WIEN. Im kürzlich erschienen und bisher wenig beachteten Urteil des EuGH C-203/22 wird ausdrücklich festgehalten, dass Betroffene Anspruch darauf haben, dass Auskunftsdienste sich daran halten, die "maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form die Verfahren und Grundsätze zu erläutern, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses - beispielsweise eines Bonitätsprofils - konkret angewandt wurden".
Hinter der sperrigen Formulierung steckt eine Revolution, meint ARGe Daten. Bisher hätten Wirtschaftsauskunftsdienste die Umsetzung der DSGVO de facto torpediert und sich auf das Betriebsgeheimnis berufen. Niemand durfte konkret erfahren nach welchen Algorithmen die Bonität hoch oder nieder eingestuft wurde.
Ausgangslage
Einer Betroffenen (CK) wurde ein Mobilfunkvertrag über 10 Euro wegen "mangelnder" Bonität verweigert. Datenschutzbehörde und BvWG beauftragten Dun & Bradstreet Austria GmbH (D&B) mit der Beauskunftung der verwendeten Bonitäts-Berechnung in einer verständlichen und berprüfbaren Form. D&B kam diesem Auftrag nicht nach und die Stadt Wien weigerte sich, die fehlende Beauskunftung zu exekutieren.
In weiterer Folge präzisierte ein Sachverständiger den Auskunftsumfang
- die CK betreffenden personenbezogenen Daten, die im Rahmen der Bildung eines "Faktors" verarbeitet wurden (Geburtsdatum, Adresse, Geschlecht etc.);
- die der Berechnung des in Rede stehenden "Scores" zugrunde liegende mathematische Formel;
- den konkreten Wert, der CK jeweils zu den betreffenden Faktoren zugeordnet wurde;
- die konkreten Intervalle, innerhalb deren unterschiedlichen Daten zum selben Faktor derselbe Wert beigemessen wird (Intervall-Bewertung bzw. diskrete Bewertung bzw. Index/Katasterbewertung).
Prüfung der Richtigkeit der Daten
Bisher waren Angaben der Wirtschaftsauskunftsdienste für Betroffene praktisch wertlos, da sie weder erkennen konnten, wie ein Bonitätswert zustande kam, noch welchen Wert Personen in vergleichbarer Situation erhalten hatten.
Um die Richtigkeit eines Bonitätswerts überprüfen zu können, muss "D&B zudem eine Liste mit den "Scores" von Personen ("Scoring") übermitteln, die im Zeitraum von sechs Monaten vor und sechs Monaten nach der Berechnung des "Scores" von CK erstellt worden seien und auf derselben Berechnungsregel
basierten."
Hans G. Zeger, Obmann Arge Daten: "Bisher konnten Wirtschaftsauskunftsdienste bei den Bonitätswerten buchstäblich würfeln. Zum Schaden der Betroffenen, aber
auch zum Schaden ihrer Kunden. Niemand konnte die Korrektheit der Werte prüfen. Vergleichbarkeit herzustellen ist eine echte Revolution."
Regelmäßigen Bonitätscheck einholen
Ob jemand dubiose Bonitätswerte hat, kann leicht erkannt werden:
- Banken lehnen Kredite trotz ausreichendem Einkommen ab
- Versandhändler lehnen Ratenzahlungen ab
- Energie- oder Telekom-Anbieter lehnen Vertragsabschlüsse ab
Betroffene, die schon einmal mit dubiosen Bonitätswerten zu kämpfen hatten, sollten regelmäßig (jährlich) Auskünfte bei den Wirtschaftsuaskunftsdiensten einholen (KSV1870, Creditreform, Crif, Dun & Bradstreet).
Dabei sollten Betroffene sich nicht mit allgemeinen Formulierungen und bloßen Stammdaten, wie Name, Adresse und Geburtsdatum abspeisen lassen.
Die nunmehrige EuGH-Entscheidung verpflichtet zu umfassender Erläuterung der Berechnungsmethoden und auch zur Bekanntgabe von Vergleichsberechnungen um den
eigenen Bonitätswert auf seine Richtigkeit prüfen zu können.
Unvollständige Auskünfte exekutierbar
Kommt ein Auskunftsdienst seinen Verpflichtungen nach DSGVO trotz Entscheidung der Datenschutzbehörde nicht nach, dann kann die Auskunft auch durch die Bezirkshauptmannschaften oder dem Magistrat zwangsweise durchgesetzt werden. Zuständig ist jene Behörde, bei der der Auskunftsdienst seinen Sitz hat, also in der Regel die Stadt Wien.
Schadenersatz bei unvollständigen Auskünften
Unabhängig vom Exekutionsrecht ist bei unvollständiger Auskunft auch Schadenersatz zu zahlen.
Zeger: "Eine unvollständige Auskunft, bei der nicht erkennbar ist, wie ein Bonitätswert zustande gekommen ist, verunsichert Menschen massiv. Sie können nicht mehr darauf vertrauen, ungehindert am wirtschaftlichen Leben teilzunehmen."
Kontrollverlust, Sorge des Missbrauchs persönlicher Daten, Angst vor negativer Bewertung durch fehlerhafte Algorithmen und Befürchtung wirtschaftlicher Nachteile sind typische Schäden gemäß DSGVO, die laut OGH schadenersatzpflichtig sind.
Je nach Dauer und Umfang der Schäden beträgt der immaterielle Schadenersatz zwischen 1.000,- bis 5.000,- Euro je Auskunftsdienst und Betroffenen.
