Schufa trotz DSGVO – Profiling und Kosten auf dem Prüfstand

DSGVO – fünf Buchstaben, die die Verbraucher in Europa besser schützen sollen. Die Rede ist von der Datenschutzverordnung, die seit dem 25. Mai 2018 in Kraft ist. Das gilt auch für die Schufa. Ändern sich nun die Auskunfts- und Informationspraktiken der Auskunftei?

Auf Grundlage der Datenschutzgrundverordnung (DSGVO) haben Verbraucher das Recht, sich so oft sie wollen eine kostenlose Auskunft über die sie betreffenden gespeicherten Dateien zusenden zu lassen. Das gilt auch für die Auskunftei Schufa. Diese erstellte eine kostenfreie Auskunft bislang nur einmal pro Jahr – das jedoch nicht in elektronischer Form, sondern in Papier und per Post.

Nach Artikel 15 DSGVO müsste die Schufa den Verbrauchern nach einer elektronischen Anfrage die Auskünfte auch elektronisch – also etwa per Download oder E-Mail – erteilen. Müsste ... denn an der Praxis, die kostenfreie Auskunft der persönlichen Schufa-Daten nur per Papier und postalisch zur Verfügung zu stellen, hat sich nichts geändert.

Wollen Verbraucher ihre bei der Schufa gespeicherten Daten online einsehen, müssen sie sich für 9,95 Euro einmalig registrieren und monatlich mindestens 3,95 Euro überweisen. Erst dann haben sie die Möglichkeit, unbegrenzt online ihre Daten abzufragen. Alternativ können Verbraucher 29,95 Euro für eine einmalige Schufa-Bonitätsauskunft zahlen (Preisliste Stand 12.6.2018).

Laut Artikel 15 DSGVO müsse der Verantwortliche, also die Schufa, eine kostenfreie "Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung" stellen. Dort heißt es aber auch: Für weitere Kopien könne "ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen." Ob darunter auch Anmeldegebühren oder monatliche Entgelte fallen, ist fraglich. Die Schufa begründet die Kosten mit einem Mehrwert für den Kunden, da diesem zusätzliche Dienstleistungen zur Verfügung stünden.

Schufa: Problem der Verifizierung bei elektronischen Anfragen

Die Schufa betont, sie könne bei elektronischen Anfragen nicht sicher sein, ob die Daten von Befugten angefordert werden. Aus diesem Grund schicke sie die angeforderte Auskunft an die Post-Adresse, bei der sie sich sicher sei, dass sie stimme.

Zudem habe die Schufa laut Gesetz vier Wochen Zeit, die angeforderte Auskunft zuzustellen, per Post oder per E-Mail. Das bezahlpflichtige Onlineangebot "meineSchufa" sei nicht unbedingt schneller, weil für den Erstzugang ein Identifikationsprozess nötig sei, der "ungefähr identisch" lange dauere wie eine postalische Datenkopie, so die Argumentation.

Die Prozedur sei laut Schufa mit den Datenschutzbehörden abgestimmt, so die Auskunftei. Beim hessischen Datenschutzbeauftragten heißt es dazu, die entsprechende Vereinbarung werde derzeit überprüft. Bis zu einem Ergebnis können jedoch mehrere Wochen vergehen.

Schufa-Score: Das Problem mit dem Profiling

Der nächste Knackpunkt: das Scoring. Wie die Schufa zu ihren Daten kommt und anhand welcher Algorithmen der individuelle Schufa-Score ermittelt wird, ist ein großes Geheimnis der Auskunftei.

Das könnte der Transparenzrichtlinie der DSGVO entgegenstehen. Dort heißt es: Sollten die "personenbezogenen Daten nicht bei der betroffenen Person erhoben werden", müssten die Unternehmen "alle verfügbaren Informationen über die Herkunft der Daten" zur Verfügung stellen. Und weiter: "das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling" – also die Scoring-Praxis der Schufa – müsse "aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person" offenlegen.

Zugleich haben Nutzer nach Artikel 15 DSGVO das "Recht auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung", was allerdings begründet werden muss.

Schufa zieht Nutzen von Auskünften nach DSGVO in Zweifel

Schließlich bezweifelt die Schufa, ob Auskünfte nach der DSGVO im Alltag einen Vorteil bringen. So dürfen beispielsweise Vermieter diese Art der Auskünfte laut Bundesdatenschutzbeauftragtem gar nicht anfordern, weil sie zu detailliert sind. Die Lösung der Schufa: eine spezielle Bonitätsauskunft – die auch nur per Post zugestellt wird und kostenplichtig ist.

EU-Datenschutz – DSGVO: Seit dem 25. Mai 2018 gelten in der Europäischen Union einheitliche Datenschutzregeln. Unternehmen dürfen nur solche Daten der Kunden speichern oder abfragen, die für den unmittelbaren Zweck benötigt werden. Zudem müssen sie die Sicherheit der erhobenen Daten sicherstellen. Kunden und Nutzer von im Internet aktiven Firmen haben ein Recht auf Auskunft über die eigenen Daten sowie das "Recht auf Vergessen". Das heißt, Unternehmen müssen auf Antrag die personenbezogenen Daten löschen. Bei einem Anbieterwechsel haben Kunden das Anrecht, die eigenen Daten mitzunehmen. Datenschützer haben das Recht, das Löschen bestimmter Daten anzuordnen. Die DSGVO gilt europaweit auch für Unternehmen, deren Hauptsitz sich außerhalb der EU befindet, sie aber Geschäftsbeziehungen mit Konsumenten in der EU unterhalten (Marktortprinzip).