Schufa dank DSGVO im Schussfeld von Verbraucherschützern

Die private Wirtschaftsauskunftei Schufa Holding AG ist bei vielen Bürgern berüchtigt. Wer dort mit einem negativen Eintrag registriert ist, der gilt als nicht kreditwürdig. Er muss Angst haben, nur schwer einen Kredit zu erhalten und Online-Bestellungen nicht per Rechnung bezahlen zu dürfen. Für Unternehmer kann es das Aus bedeuten, wenn ihnen die Schufa eine negative Bonität bescheinigt. Und die Schufa zählt zu den hungrigsten Datensammlern des Landes. Sie verfügt nach eigenen Angaben über 864 Millionen Daten zu 5,3 Millionen Unternehmen und 67,5 Millionen natürlichen Personen.

Doch nun steht die mächtige Schufa selbst in der Schusslinie. Wie Welt Online am Freitag berichtete, prüft die hessische Landesdatenschutzbehörde, ob das Geschäftsgebaren der Auskunftei mit der neuen Datenschutzgrundverordnung (DSGVO) vereinbar ist. Der Verdacht: Die Datensammler verletzen zentrale Verbraucherrechte. Und lassen sich Auskünfte per Cash vergüten, auf die eigentlich jeder EU-Bürger kostenfrei einen Anspruch hat.

Die Auskunft kommt per Brief - nach zwei Wochen

Konkret geht es um die Frage, auf welchem Weg die Bürger erfahren, welche Daten die Schufa über sie speichert. Laut DSGVO haben Verbraucher das Recht, kostenlos Auskunft über die gespeicherten Daten zu verlangen - und zwar jederzeit. Dabei müssen die Bürger auch auf digitalem Wege informiert werden - etwa per Mail oder Download.

Doch hier steht der Datenschutz paradoxerweise dem Datenschutz selbst im Wege. Die Schufa verschickt die Daten ausschließlich auf dem Postweg, das dauert mindestens zwei Wochen. Aber nicht unbegründet. Ein Sprecher der Schufa erklärte gegenüber dem Versicherungsboten, dass die Auskunftei bei elektronischen Anfragen nicht eindeutig klären könne, ob der Antragsteller auch befugt sei die Daten abzufragen. Denn eine Mailadresse oder Identität lässt sich schnell fälschen.

Das bestätigt auch die zuständige hessische Landesdatenschutzbehörde. "Um zu verhindern, dass unberechtigte Personen sich im Wege der Auskunft nach Art. 15 DS-GVO Daten von Dritten verschaffen, dürfen Auskünfte nur an solche Personen erteilt werden, die eindeutig als berechtigte Auskunftsempfänger identifizieren werden können", schreibt sie in einer Stellungnahme an die "Welt", die Versicherungsbote in Auszügen vorliegt. Mit anderen Worten: Ohne ein aufwendiges Identifizierungs- bzw. Legitimierungsverfahren (z.B. PostIdent, elektronische Signatur o.ä.) darf die Schufa keine Auskunft geben.

Deshalb habe die Schufa mit den hessischen Datenschützern vereinbart, dass die Auskunft über gespeicherte Daten auf dem Postweg erteilt werde, berichtet der Schufa-Sprecher weiter. Hier könne anhand der Post-Adresse überprüft werden, dass die Daten nicht in die Hände von Unbefugten geraten. Das Verfahren sei auch mit der Arbeitsgruppe des Düsseldorfer Kreises abgesprochen - einem Zusammenschluss der Aufsichtsbehörden aller Bundesländer. Laut DSGVO reiche eine Frist von vier Wochen, um die Bürger über die gespeicherten Daten zu informieren. Der hessische Datenschutzbeauftragte teilt mit, dass die gängige Praxis derzeit überprüft werde.

Hier stellt sich ein grundsätzliches Problem, welches nicht allein die Schufa betrifft. Einerseits müssen den Kunden laut DSGVO die eigenen Daten auch online bzw. digital zugänglich gemacht werden. Andererseits muss die Identität des Antragstellers eindeutig geklärt sein, damit die Daten nicht in die Hände von Unbefugten gelangen. Ursprünglich hatten "Welt" und Versicherungsbote berichtet, die Schufa verlange für eine Auskunft Geld, die laut DSGVO jedem Bürger ohnehin zustehe. Dies hat sich jedoch als falsch erwiesen.

Viele, viele Fehler?

Wie wichtig der Anspruch auf Eigenauskunft sein kann, zeigt eine Erhebung von „Finanztest“ aus dem Jahr 2010. Diese ließ vermuten, dass die Schufa eine immens hohe Fehlerquote bei den gespeicherten Daten haben könnte. Von 89 Testpersonen, die eine Eigenauskunft einholten, bekamen nur elf eine korrekte und vollständige Auskunft: das sind etwas mehr als 12 Prozent. Bei beinahe 88 Prozent aber waren Fehler, Lücken und falsche Informationen gespeichert.

Angesichts der großen Macht der Schufa sind solche Zahlen ein Armutszeugnis. Jeder, der in Deutschland ein Konto eröffnen will, einen Handyvertrag schließen oder einen Kredit aufnehmen, muss in der Regel sein Einverständnis erklären, dass der Anbieter bei der Schufa anfragen kann. Entsprechend korrekt sollten die Angaben sein. Verbraucher können nachträglich eine Korrektur verlangen, wenn falsche Daten gespeichert sind.

Neuere Studien zur Zuverlässigkeit der Schufa liegen aktuell nicht vor. Ein Sprecher verwies jedoch auf den aktuellen Bericht des Schufa-Ombudsmannes, einer Schlichtungsstelle unter Leitung des früheren Präsidenten des Bundesverfassungsberichtes, Hans-Jürgen Papier. Hier können sich die Bürger hinwenden, wenn sie Ärger mit der Schufa haben. Von 140 Millionen Auskünften, die von der Schufa pro Jahr erteilt werden, seien demnach im Jahr 2017 nur 366 zulässige Anträge eingegangen. Circa 40 hätten nachträglich korrigiert werden müssen: dieser Wert spreche für die Zuverlässigkeit der Daten.

Auch verzichte die Schufa im Gegensatz zu vielen Wettbewerbern fast vollständig auf sogenanntes Geoscoring, berichtet der Sprecher - wenn also zum Beispiel eine Postadresse im Problemviertel dazu führt, dass die Kreditwürdigkeit eines Anwohners herabgestuft wird. Man könne sich dies leisten, weil man über die kreditrelevanten Informationen zu den Verbrauchern verfüge.