Die Schufa ist für vieles bekannt, vor allem aber als eine der größten Datensammelstellen in Deutschland. Da wundert es nicht, dass es auf den ersten Blick etwas schwierig fällt, die Schufa mit dem Thema Datenschutz in Verbindung zu bringen.
Der Inhalt im Überblick
Vom Datensammler zum Datenschützer
Die Schufa war in diversen Artikeln aus datenschutzrechtlicher Sicht in die Kritik geraten. Wie wir bereits berichtet hatten, entschloss sich die Schufa allerdings aus einer Schwäche eine vermeintliche Stärke zu machen. So entwickelte die Schufa ein eigenes Datenschutzsiegel, welches die Einhaltung von Datenschutzvorschriften verbürgen soll.
Die Ernsthaftigkeit von Gütesiegeln
Wenn aus datenschutzrechtlicher Sicht selbst in die Kritik geratene Datensammler anfangen Gütesiegel im Bereich des Datenschutzes zu verteilen, so wirkt dies gelinde gesagt etwas irrwitzig. Da es keinen gesetzlichen Anforderungskatalog für solche Gütesiegel gibt, ist der diesbezüglich entstehende Eindruck ungefähr damit vergleichbar, als würden ausgerechnet Unternehmen wie Google, Facebook, Lidl, die Deutsche Telekom oder die Deutsche Bahn sich plötzlich entschließen Auszeichnungen im Bereich Datenschutz zu vergeben.
Immerhin, nicht völlig frei von Humor!
Neue Transparenz…
Auf jeden Fall scheint die Schufa zumindest auf den ersten Blick allerdings beim Thema Transparenz etwas hinzugelernt zu haben. So lässt das Compliance-Magazin verlauten, dass die Schufa zur Verhinderung von Identitätsdiebstählen einen Update-Service anbietet, mit welchem sich Betroffene per SMS und/oder per E-Mail über Anfragen informieren lassen können.
Laut Homepage der Schufa können sich Betroffene durch den Update-Service über
- erfolgte Informationsanfragen seitens der Schufavertragspartner
- seitens der Schufavertragspartner mitgeteilte Datenänderungen (z. B. Adresse)
- und den SCHUFA-Basisscore
informieren lassen.
…aber nur gegen Geld
Diese Information gibt es allerdings nur für eine vermeintlich „günstige“ Jahresgebühr in Höhe von 10,- EUR.
Den gesetzlichen Auskunftsanspruch gibt es dagegen häufig kostenlos
Beachtlich dabei ist, das bereits § 34 Abs. 1 und 4 BDSG ohnehin einen Auskunftsanspruch vorsehen. Danach hat die verantwortliche Stelle dem Betroffenen auf Verlangen Auskunft zu erteilen über
- die zu seiner Person gespeicherten Daten, auch soweit sie sich auf die Herkunft dieser Daten beziehen,
- den Empfänger oder die Kategorien von Empfängern, an die Daten weitergegeben werden, und
- den Zweck der Speicherung.
Eine Stelle wie die Schufa, die geschäftsmäßig personenbezogene Daten zum Zweck der Übermittlung erhebt, speichert oder verändert, hat dem Betroffenen zudem auf Verlangen Auskunft zu erteilen über
- die innerhalb der letzten zwölf Monate vor dem Zugang des Auskunftsverlangens übermittelten Wahrscheinlichkeitswerte für ein bestimmtes zukünftiges Verhalten des Betroffenen sowie die Namen und letztbekannten Anschriften der Dritten, an die die Werte übermittelt worden sind,
- die Wahrscheinlichkeitswerte, die sich zum Zeitpunkt des Auskunftsverlangens nach den von der Stelle zur Berechnung angewandten Verfahren ergeben,
- die zur Berechnung der Wahrscheinlichkeitswerte nach den Nummern 1 und 2 genutzten Datenarten sowie
- das Zustandekommen und die Bedeutung der Wahrscheinlichkeitswerte einzelfallbezogen und nachvollziehbar in allgemein verständlicher Form.
Diese Auskunft ist gemäß § 34 Abs. 8 BDSG grundsätzlich unentgeltlich. Werden die personenbezogenen Daten allerdings wie bei der Schufa geschäftsmäßig zum Zweck der Übermittlung gespeichert, so kann der Betroffene lediglich einmal je Kalenderjahr eine unentgeltliche Auskunft in Textform verlangen. Erst für jede weitere Auskunft kann allerdings ein Entgelt verlangt werden. Und dies auch nur, wenn der Betroffene die Auskunft gegenüber Dritten zu wirtschaftlichen Zwecken nutzen kann (z.B. Bonitätsnachweise gegenüber Vermietern). Das Entgelt darf über die durch die Auskunftserteilung entstandenen unmittelbar zurechenbaren Kosten nicht hinausgehen.
Ein Entgelt kann jedoch nicht verlangt werden, wenn
- besondere Umstände die Annahme rechtfertigen, dass Daten unrichtig (z.B. aufgrund einer Adressänderung nach Umzug) oder unzulässig gespeichert werden, oder
- die Auskunft ergibt, dass die Daten nach § 35 Abs. 1 zu berichtigen oder nach § 35 Abs. 2 Satz 2 Nr. 1 zu löschen sind
Erfolgt die Auskunftserteilung nicht unentgeltlich, so ist dem Betroffenen gemäß § 34 Abs. 9 BDSG zudem die Möglichkeit zu geben, sich im Rahmen seines Auskunftsanspruchs persönlich Kenntnis über die ihn betreffenden Daten zu verschaffen. Er ist hierauf hinzuweisen.
Die Pflicht zur Auskunftserteilung besteht allerdings nur dann nicht, wenn der Betroffene nach § 33 Abs. 2 Satz 1 Nr. 2, 3 und 5 bis 7 nicht zu benachrichtigen ist.
Häufig besteht ohnehin eine Benachrichtigungspflicht
Besteht eine Benachrichtigungspflicht, so muss dass Unternehmen ohne Zutun des Betroffenen von sich aus tätig werden.
Eine solche Benachrichtigungspflicht im Hinblick auf
- die Speicherung,
- der Art der Daten,
- der Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung,
- und der Identität der verantwortlichen Stelle
besteht, sofern erstmals personenbezogene Daten für eigene Zwecke ohne Kenntnis des Betroffenen gespeichert werden (§ 33 Abs. 1 BDSG).
Werden personenbezogene Daten wie bei der Schufa geschäftsmäßig zum Zweck der Übermittlung ohne Kenntnis des Betroffenen gespeichert, ist der Betroffene grundsätzlich auch von der erstmaligen Übermittlung und der Art der übermittelten Daten zu benachrichtigen. Der Betroffene ist in diesen Fällen zudem auch über die Kategorien von Empfängern zu unterrichten, soweit er nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss.
Das Gesetz nennt in § 33 Abs. 2 BDSG jedoch auch eine ganze Reihe von Ausnahmen von der Benachrichtigungspflicht, welche in Bezug auf Schufa-Auskünfte häufig jedoch kaum vorliegen dürften.
FAZIT: Keine neue Transparenz
Häufig wird die Schufa bereits per Gesetz auf ausdrückliche Nachfrage zu einer kostenlosen Auskunft oder sogar zu einer selbständigen Benachrichtigungspflicht verpflichtet sein. Da erscheint das Argument des potentiellen Identitätsdiebstahls lediglich als vorgeschobenes Argument zur Geldschneiderei.
Zu bedenken ist darüber hinaus, dass eine Datenübermittlung seitens der Auskunftei gem. § 29 II BDSG ohnehin nur zulässig ist, wenn
- der Dritte, dem die Daten übermittelt werden, ein berechtigtes Interesse an ihrer Kenntnis glaubhaft dargelegt hat und
- kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat.
Dabei sind die Gründe für das Vorliegen eines berechtigten Interesses und die Art und Weise ihrer glaubhaften Darlegung von der übermittelnden Stelle aufzuzeichnen und zudem Stichprobenverfahren durchzuführen, wobei auch das Vorliegen eines berechtigten Interesses einzelfallbezogen festzustellen und zu überprüfen ist.
