Entscheidung des VG Wiesbaden zum aufsichtsrechtlichen Vorgehen gegen die Schufa
Die Verwaltungsgerichtsbarkeit hatte sich bislang wiederholt mit dem Umfang der Auskunftspflichten von Auskunfteien gegenüber betroffenen Personen zu befassen. Aktuell befasste sich das Verwaltungsgericht Wiesbaden in seinem Beschluss vom 29. Dezember 2023 (Az. 6 K 788/20.WI) mit der Frage, inwieweit das Datenschutzrecht es zulässt, dass die Schufa Holding AG im Rahmen der Score-Auskunft Angaben zu den zur Berechnung verwendeten Faktoren gibt, aber nicht die genauen Gewichtungen offenlegt.
Hintergrund des Verfahrens
Auslöser des Verfahrens war das Einschreiten der Datenschutzaufsichtsbehörde, die beanstandete, dass durch die Art und Weise der von der Schufa erteilten Auskünfte an betroffene Personen deren Rechte auf Auskunft gemäß Art. 15 DSGVO nicht ausreichend gewahrt würden. Konkret monierte die Behörde, dass die Mitteilungen der Schufa zu den Score-Werten die dahinterstehenden Berechnungsgrundlagen nur in allgemeiner Form darstellten, sodass die Betroffenen die individuelle Entscheidungsfindung nicht nachvollziehen könnten.
Betreiberpflichten nach der DSGVO
Umfang der Auskunftspflicht
Das Verfahren drehte sich maßgeblich um den korrekten Umfang der Auskunftsverpflichtung aus Art. 15 Abs. 1 und Abs. 2 DSGVO. Hiernach steht betroffenen Personen das Recht zu, eine umfassende Aufklärung über die verarbeiteten personenbezogenen Daten zu verlangen, einschließlich „aussagekräftiger Informationen über die involvierte Logik“ automatisierter Entscheidungshergänge.
Offenlegung der Gewichtungsfaktoren
Die Schufa gab im Rahmen ihrer Score-Auskunft den betroffenen Personen an, welche Datenarten zur Ermittlung ihres Scorewerts herangezogen worden waren und erklärte die allgemeinen Berechnungsfaktoren. Die genaue Gewichtung einzelner Datenpunkte blieb dabei jedoch – mit Hinweis auf Geschäftsgeheimnisse – unbenannt. Die Datenschutzaufsichtsbehörde forderte darüber hinaus, dass auch diese Angaben konkretisiert werden müssten.
Bewertung des Verwaltungsgerichts
Abwägung zwischen Transparenzgebot und Schutz von Geschäftsgeheimnissen
Das Verwaltungsgericht Wiesbaden kam zu der Einschätzung, dass die von der Schufa gewählte Praxis den datenschutzrechtlichen Vorgaben grundsätzlich genügt. Insbesondere stellte das Gericht fest, dass das Ziel der Transparenz durch Mitteilung der relevanten Datenarten und allgemeinen Funktionsweisen erreicht werden könne, ohne das berechtigte Interesse des Unternehmens am Schutz seiner Geschäftsgeheimnisse unverhältnismäßig einzuschränken.
Kein weitergehender Auskunftsanspruch hinsichtlich Gewichtungsdetails
Im Ergebnis sah das Gericht keine Verpflichtung, über die bereits gewährten Mitteilungen hinausgehende, detaillierte Einblicke in die einzelnen Gewichtungsfaktoren oder mathematischen Modelle zu gewähren. Hierdurch wäre die Funktionsfähigkeit der Auskunftei im Wettbewerb beeinträchtigt, ohne dass der Informationsgewinn für die betroffene Person erheblich erhöht würde.
Bedeutung für betroffene Unternehmen und Verantwortliche
Die Entscheidung des Verwaltungsgerichts Wiesbaden hat erhebliche Relevanz für den Umgang von Auskunfteien und anderen datenverarbeitenden Stellen mit Auskunftsersuchen nach der DSGVO. Die Urteilsbegründung unterstreicht, dass der Schutz von Geschäftsgeheimnissen bei der Ausgestaltung von Auskunftspflichten weiterhin Berücksichtigung findet. Die betroffenen Unternehmen müssen dennoch sicherstellen, dass sie aussagekräftige Informationen zur Funktionsweise ihrer automatisierten Entscheidungsprozesse bereitstellen.
Zu beachten bleibt, dass gegenwärtig Rechtsmittel zur Überprüfung dieses Beschlusses möglich sind (Sachstand laut VG Wiesbaden, 6 K 788/20.WI), sodass die Rechtslage noch Gegenstand weiterer gerichtlicher Klärungen sein kann. Es gilt daher die Unschuldsvermutung gegenüber allen Beteiligten.
Diskussionsbedarf und rechtliche Einordnung
Für verantwortliche Unternehmen ergibt sich aus der Entscheidung weiterhin ein gewisser Handlungsspielraum, wie sie den Verpflichtungen aus Art. 15 DSGVO im Zusammenhang mit automatisierten Entscheidungsprozessen nachkommen. Gleichwohl bleibt die konkrete Ausgestaltung weiterhin ein vielschichtiges und sich dynamisch entwickelndes Rechtsgebiet, das gerade im Licht weiterer Entscheidungen der Gerichte fortlaufend überprüft werden sollte.
Wer angesichts der Vielschichtigkeit des Datenschutzrechts eine fundierte Analyse seiner Prozesse im Zusammenhang mit Auskunfts- und Informationsrechten nach Datenschutz-Grundverordnung wünscht, findet weiterführende Informationen und individuelle Rechtsberatung im Datenschutz bei MTR Legal.
