Egal ob Mobilfunktarif, neuer Energieversorger oder Ratenzahlung im Elektronik-Geschäft - manche Unternehmen überprüfen vor einem Vertrag die Kreditwürdigkeit ihrer Kunden. Dazu wenden sie sich an sogenannten Kreditauskunfteien. Eine der Branchengrößen, CRIF, muss nun zumindest einen Teil ihrer Auskunft ändern, urteilt die Datenschutzbehörde.
Worum geht es: Die Datenschutzorganisation NOYB hat im Namen eines Stromkunden eine Beschwerde bei der Behörde eingebracht. Ein Energielieferant lehnte einen Vertrag ab, weil der Betroffene eine zu niedrige Bonität hätte. Das Unternehmen CRIF hatte ihm lediglich einen Score von 446 Punkten gegeben, 650 wären nötig.
Der Kunde hatte ein solides Einkommen und auch niemals eine Rechnung zu spät gezahlt. Auf Nachfrage teilte CRIF ihm mit, dass das Unternehmen keine Daten über ihn hätte. Die Bewertung beruhte einzig auf demografischen Daten wie Adresse, Alter oder Geschlecht.
Grundlage offenlegen
Die Datenschutzbehörde hat nun geurteilt, dass CRIF bei seiner Kreditauskunft klarstellen muss, ob dazu echte Daten über das Finanzgebaren verwendet wurden oder lediglich das Melderegister als Datenbasis herangezogen wurde.
Ganz zufrieden ist NOYB mit der Entscheidung doch nicht, erklärt Datenschützer Max Schrems gegenüber der Kleinen Zeitung. "Die Datenschutzbehörde hat die Praxis dieses Scorings an sich nicht untersagt." Deshalb werde NOYB die Entscheidung auch beim Bundesverwaltungsgericht bekämpfen.
"Die Datenschutzgrundverordnung sagt sehr klar, dass nur Daten verarbeitet werden, die richtig sind", erklärt Schrems. Wenn die Kreditwürdigkeit nur anhand der Adresse festgestellt werde, könnten diese Daten jedoch niemals richtig seien. "Hier findet eine aktive Diskriminierung anhand des Wohnortes und des Alters statt."
CRIF geht in Berufung
Das Unternehmen CRIF schreibt in einer ersten Stellungnahme, dass das Urteil nun rechtlich beurteilt werde, kündigt aber an, ebenfalls Rechtsmittel gegen die Entscheidung einbringen zu wollen. Es wird jedoch betont, dass CRIF durchaus bereit wäre, die datenschutzrechtlichen Informationen auszubauen, wenn das rechtlich nötig sei.