Der Europäische Gerichtshof hat im Dezember 2023 geurteilt: Bonitäts-Scoring ist oft eine verbotene automatisierte Entscheidung. Trotzdem urteilen KSV1870, CRIF und Schufa weiter über Wohnungen, Kredite und Verträge – ohne zu zeigen, wie.
Die digitale Warteschleife – Jamie Walker, Emergentin, schreibt jeden Mittwoch über die kleinen Mechanismen, die uns digital festhalten. Und über die Wege hinaus.
Franziska steht vor der Wohnung. Die Vermieterin hat schon zugesagt – am Telefon, per E-Mail, zweimal. Franziska hat den Job, sie hat das Gehalt, sie hat sogar schon überlegt, wo das Sofa hinkommt. Dann sagt die Vermieterin: „Tut mir leid. Die Bonitätsauskunft ist nicht gut genug."
Franziska fragt nach. Die Vermieterin zuckt mit den Schultern: „Da kann ich nichts machen. Der KSV-Score war zu niedrig." Franziska ruft den KSV1870 an. Der KSV sagt: „Wir entscheiden nicht. Wir liefern nur Daten."
Niemand ist zuständig. Niemand haftet. Und Franziska steht vor einer geschlossenen Tür.
Was sie nicht weiß: Eine andere Franziska, gleicher Name, ähnliches Alter, hat Schulden. Die Auskunftei hat die beiden verwechselt. Franziskas Leben ist jetzt das Leben der anderen Franziska. Monatelang wird sie kämpfen müssen, um zu beweisen, dass sie nicht die Verschuldete ist.
Willkommen in der unsichtbarsten Warteschleife des DACH-Raums.
Im deutschsprachigen Raum gibt es drei große Gatekeeper, die darüber entscheiden, ob du eine Wohnung bekommst, einen Kredit, einen Handyvertrag oder ob du auf Rechnung bestellen darfst. In Österreich sind es der KSV1870 und die CRIF, in Deutschland die Schufa, in der Schweiz Creditreform und andere. Ihr Geschäftsmodell ist überall gleich: Sie sammeln Daten über deine Kredite, deine Handyverträge, deine Ratenzahlungen, deine Wohnadresse und berechnen daraus einen Score. Eine Zahl. Diese Zahl entscheidet über dein Leben.
Das Problem: Niemand weiß, wie diese Zahl berechnet wird. Der KSV sagt: „Geschäftsgeheimnis." Die CRIF sagt: „Geschäftsgeheimnis." Die Schufa sagt: „Geschäftsgeheimnis." Die Banken sagen: „Die Auskunftei hat entschieden." Die Vermieter sagen: „Wir verlassen uns auf die Auskunftei." Und du sitzt in der Warteschleife – ohne zu wissen, wer eigentlich über dich geurteilt hat.
Am 7. Dezember 2023 hat der Europäische Gerichtshof ein Urteil gefällt, das Auskunfteien seit Jahrzehnten fürchten. In der Rechtssache C-634/21 entschied der EuGH: Wenn ein Score maßgeblich für eine Entscheidung ist, dann ist das eine automatisierte Entscheidung im Sinne von Artikel 22 DSGVO. Und solche Entscheidungen sind grundsätzlich verboten – es sei denn, es liegen besondere Rechtfertigungsgründe vor. Jahrelang haben sich Auskunfteien als „neutrale Datenlieferanten" inszeniert und damit Verantwortung weggeschoben. Der EuGH hat dieses Spiel beendet.
Zusätzlich hat der EuGH in zwei weiteren Urteilen (C-26/22 und C-64/22) festgestellt, dass die Schufa Informationen über Restschuldbefreiungen nach Privatinsolvenzen drei Jahre gespeichert hat – obwohl der Gesetzgeber sechs Monate vorsieht, damit Menschen einen „Fresh Start" bekommen. Die Schufa musste löschen, aber erst nach massivem juristischen Druck. Auch in Österreich werden Insolvenz- und Bonitätsdaten vom KSV1870 und von CRIF gespeichert, oft ist unklar, wie lange Datensätze tatsächlich nachwirken. Die Arbeiterkammer warnt: „Ein Eintrag in der Bonitätsdatenbank kann jahrelang nachwirken – selbst wenn die Schulden längst beglichen sind."
Dann gibt es noch die Datenquellen, die niemand erwartet. Die CRIF hat Daten von Adresshändlern gekauft – aus Gewinnspielen, Katalogbestellungen, Marketingaktionen. Menschen denken: „Ich nehme an einem Gewinnspiel teil." Was sie nicht wissen: Daten können in einem Bonitätskontext landen. Die bayerische Datenschutzaufsicht hat diesen Datenfluss kritisiert, noyb hat Beschwerde eingebracht. Trotzdem passiert es. Du nimmst an einem Gewinnspiel teil – und findest dich Monate später mit einem schlechteren Score wieder, ohne es zu wissen, ohne es zu verstehen, ohne dich wehren zu können.
Und wenn die Auskunftei zu wenig über dich weiß, nimmt sie deine Wohnadresse. „Geoscoring" heißt: Statt dein Verhalten zu bewerten, bewertet man statistisch deine Umgebung. Schlechter Bezirk, schlechter Score. Das ist statistische Sippenhaftung. Die Auskunfteien beteuern, Geoscoring sei die Ausnahme. Nur: Gerade dort, wo wenig Daten vorliegen, wird genau diese Ausnahme attraktiv. In Deutschland hat OpenSCHUFA Transparenzdruck erzeugt, in Österreich fehlen vergleichbare Initiativen.
In Österreich gibt es noch eine weitere Perfidität. Die DSGVO garantiert jedem Menschen das Recht auf eine kostenlose Auskunft über gespeicherte Daten. Der KSV1870 hat dieses Recht jahrelang schwer auffindbar gemacht und gleichzeitig kostenpflichtige „InfoPässe" prominent beworben – für 43 Euro. Die kostenlose Auskunft wurde versteckt, die Google-Suche führte zuerst zur Bezahlstrecke. Auf der gratis Auskunft stand der Vermerk: „Diese Auskunft ist nicht zur Vorlage an Dritte bestimmt" – eine Falschbehauptung, denn die DSGVO-Auskunft darf selbstverständlich vorgelegt werden. Die bezahlte Auskunft kam in drei Tagen, die kostenlose in 25 bis 30 Tagen. Das ist Dark Pattern Design. Im Januar 2024 hat noyb Beschwerde bei der Datenschutzbehörde eingereicht. Die Frage bleibt: Wie viele Menschen haben gezahlt – für Daten, die ihnen ohnehin zustehen? Bei über 114.000 Behördengängen allein bei der Wiener Einwanderungsbehörde MA35 pro Jahr: Millionenbeträge.
Hier ist die unbequeme Wahrheit, die niemand ausspricht: Wenn ein System seine Entscheidungslogik nicht offenlegen kann, weil das angeblich ein Geschäftsgeheimnis ist, und wenn der Europäische Gerichtshof feststellt, dass dieses System grundsätzlich verboten ist, solange keine besonderen Rechtfertigungsgründe vorliegen, und wenn dieser Gerichtshof sogar „durchgreifende Bedenken" an der deutschen Rechtsgrundlage (§ 31 BDSG) äußert – warum existiert dieses System dann überhaupt noch?
Die Auskunfteien argumentieren, sie seien für ein funktionierendes Kreditwesen erforderlich. Das mag sein. Aber die Frage ist nicht, ob Bonitätsprüfung nützlich ist. Die Frage ist: Warum muss sie intransparent sein? Wenn du eine Entscheidung über Menschen triffst, die ihr Leben beeinflusst – Wohnung, Kredit, Vertrag – dann hast du zwei Möglichkeiten: Entweder du zeigst, wie du entscheidest, oder du entscheidest nicht.
Der DACH-Raum hat den Anspruch, die strengsten Datenschutzregeln der Welt zu haben. Aber solange KSV1870, CRIF und Schufa als unsichtbare Türsteher über Wohnungen, Kredite und Verträge mitentscheiden – und niemand nachvollziehen kann, warum – bleibt dieser Anspruch hohl. Es ist nicht nur ein juristisches Problem. Es ist ein demokratisches Problem. Denn wer Macht ausübt, ohne Rechenschaft ablegen zu müssen, lebt in einem rechtsfreien Raum. Und genau das ist hier passiert: Jahrzehntelang haben sich diese Unternehmen hinter „Geschäftsgeheimnissen" versteckt, während sie über das Leben von Millionen Menschen entschieden haben.
Der EuGH hat begonnen, aufzuräumen. Die Datenschutzbehörden ermitteln. Die Arbeiterkammern kämpfen. Organisationen wie noyb legen den Finger in die Wunde. Aber das reicht nicht. Denn die Frage bleibt: Wenn Transparenz nicht möglich ist – warum ist das System dann erlaubt?
Die Lösung ist einfacher, als es klingt. Wenn Bonitäts-Scoring weiter existieren soll, dann muss es drei Bedingungen erfüllen. Nicht eine, nicht zwei – alle drei. Sonst muss es verboten werden.
Erstens: Vollständige Transparenz. Jeder Score muss erklärbar sein. Nicht „Score niedrig", sondern welche Merkmale mit welcher Gewichtung zum Ergebnis führen. Kein Geschäftsgeheimnis mehr. Entweder du zeigst, wie du urteilst, oder du urteilst nicht. Es ist wirklich so einfach. Andere Länder haben das längst begriffen – in Frankreich müssen Banken ihre Kreditablehnungen detailliert begründen, in den USA gibt es durch den Fair Credit Reporting Act klare Auskunftsrechte und Korrekturmechanismen. Der DACH-Raum kann das auch.
Zweitens: Echtes Auskunftsrecht ohne Tricks. Kostenlose Auskunft muss prominent, schnell und vollständig sein. Keine Versteckspiele, keine Dark Patterns, keine 30 Tage Wartezeit für die Gratis-Version, während die Bezahlversion in drei Tagen kommt. Die Datenschutzbehörden müssen hier durchgreifen – mit Bußgeldern, die wehtun, nicht nur als Geschäftsrisiko kalkulierbar sind.
Drittens: Score-Verfallsdatum. Erledigte Negativmerkmale dürfen nicht ewig nachwirken. Zweite Chance ist keine PR-Floskel, sondern ein Grundrecht. Wenn das Insolvenzgericht nach sechs Monaten löscht, dann hat die Schufa nach sechs Monaten zu löschen. Wenn ein Kredit abbezahlt ist, dann ist er abbezahlt. Punkt. Und Geoscoring – statistische Sippenhaftung für deine Nachbarschaft – gehört komplett verboten.
Wenn diese drei Bedingungen nicht erfüllt werden können, dann ist die Antwort klar: Verbot. Nicht als Strafe, sondern als logische Konsequenz. Du kannst nicht über Menschen urteilen, ohne zu zeigen, wie. Du kannst nicht Macht ausüben, ohne Rechenschaft. Und du kannst nicht ein System betreiben, das der EuGH als grundsätzlich verboten einstuft, nur weil du behauptest, du seiest für die Wirtschaft wichtig.
Es ist spät hier in New York. Draußen rauscht die Klimaanlage, drinnen tropft der Kaffee durch die French Press, und irgendwo in Brooklyn kämpft gerade jemand um eine Wohnung – weil sein Credit Score zu niedrig ist. Aber hier gibt es wenigstens Transparenz. Mehr Auskunft. Mehr Möglichkeiten, Fehler anzufechten.
Der EuGH hat angefangen, aufzuräumen. Die Datenschutzbehörden ermitteln. Die Arbeiterkammern kämpfen. Organisationen wie noyb legen den Finger in die Wunde. Aber das reicht nicht. Denn jede Warteschleife endet irgendwann – entweder du wirst durchgestellt, oder du legst auf.
Vielleicht ist genau das der Moment, in dem Österreich, Deutschland und die Schweiz entscheiden müssen: Wollen wir ein System, das Menschen dient – oder eins, das mit Menschen Geld verdient, ohne jemals zeigen zu müssen, wie es urteilt?
Die Frage ist nicht mehr: Wie können wir Scoring transparenter machen? Die Frage ist: Warum erlauben wir Systeme, die grundsätzlich nicht transparent sein wollen?
– EuGH-Urteil C-634/21 (SCHUFA Scoring) vom 7.12.2023
– EuGH-Urteile C-26/22 und C-64/22 (Restschuldbefreiung) vom 7.12.2023
– noyb: Beschwerde gegen KSV1870 wegen InfoPass (Januar 2024)
– Arbeiterkammer: Bonitätsprüfung und Auskunfteien
– Stadtrechnungshof Wien: Bericht zur MA35 und KSV-Auskünften
– Verbraucherzentrale Bundesverband: EuGH-Urteil zu Scoring
