EuGH GA: Geschäftsmodell der SCHUFA datenschutzrechtlich unter Druck

EuGH-Generalanwalt Priit Pikamäe hat am 16.3.2023 in zwei verbundenen Rechtssachen (EuGH, Schlussanträge des GA Pikamäe v. 16.3.2023 – C-26/22 – UF und C-64/22 – AB ./. Land Hessen, Beteiligte: SCHUFA Holding AG) seine Schlussanträge vorgelegt und dabei erhebliche Bedenken gegen die weiter bestehenden insolvenzbezogenen Eintragungen in der SCHUFA-Auskunft und eine dort nicht berücksichtigte Restschuldbefreiung vorgebracht. Denn aus dem öffentlichen Register werden nach Maßgabe von § 3 Abs. 1 InsBekV nach Ablauf von sechs Monaten nach der Einstellung des Insolvenzverfahrens die entsprechenden Eintragungen gelöscht. Die Vorlagebeschlüsse hatte das VG Wiesbaden dem Gerichtshof unterbreitet und damit zahlreiche neue Rechtsfragen verbunden. Diese harren nunmehr der endgültigen Beantwortung durch den EuGH.

Zwei Bürger hatten nach Abschluss eines Insolvenzverfahrens und Ablauf der gesetzlichen Frist von sechs Monaten die Löschung dieser Einträge bei der SCHUFA beantragt. Der von ihnen nach Ablehnung ihres Begehrens angerufene Hessische Datenschutzbeauftragte aber teilte ihnen mit, die SCHUFA dürfe diese – negativen – Einträge über einen über die gesetzliche Frist hinausgehenden Zeitraum speichern. Dagegen erhoben die Betroffenen Klage vor dem VG Wiesbaden.

Die erste Frage dieses Gerichts an den EuGH läuft darauf hinaus zu klären, ob denn ein (nationales) Gericht befugt ist, die Entscheidung des Datenschutzbeauftragten aufgrund einer von einem Betroffenen erhobenen Beschwerde gerichtlich nach Art. 78 Abs. 1 DSGVO inhaltlich überprüfen zu lassen. In seiner Antwort setzt sich der Generalanwalt dafür ein, dass das VG befugt, aber auch im Sinn der Gewährung eines effektiven Rechtsschutzes verpflichtet ist, „die Sachentscheidung der Aufsichtsbehörde einer umfassenden gerichtlichen Überprüfung zu unterziehen, um festzustellen, ob die Aufsichtsbehörde die DSGVO ordnungsgemäß angewandt hat“ (Rz. 48, 53).

Der Schwerpunkt der gutachterlichen Ausführungen des Generalanwalts liegt jedoch in der Beantwortung der weiteren Rechtsfrage, ob nämlich die gängige Praxis der Auskunfteien, eine Speicherung der personenbezogenen Daten für die Dauer von drei Jahren – stammend ursprünglich aus den öffentlichen Informationsregistern – vorzunehmen, mit den „datenschutzrechtlichen Grundsätzen der Rechtmäßigkeit, der Zweckbindung und der Datenminimierung im Einklang stehen“ (Rz. 57). Dreh- und Angelpunkt ist dabei die Norm des Art. 6 Abs. 1 lit. f DSGVO. Unproblematisch ist zunächst, dass die SCHUFA mit ihrem Geschäftsmodell ein „berechtigtes Interesse“ verfolgt, welches insoweit die Verarbeitung der personenbezogenen Daten rechtfertigt (Rz. 62 ff.). Doch nach der Judikatur des Gerichtshofs muss sich die Verarbeitung dieser Daten „auf das absolut Notwendige“ beschränken (Rz. 65). Daher stellt der Generalanwalt mit guten Gründen in Abrede, dass die Speicherung der Daten über die Insolvenz eines Bürgers rechtmäßig sein kann, wenn diese Tatsache bereits aus den öffentlichen Registern gelöscht wurde (Rz. 77).

Doch der entscheidende Hieb gegen das Geschäftsmodell der SCHUFA wird von dem Argument gespeist, dass die Daten, welche hier für einen gesetzlichen Zweck verarbeitet werden, von der SCHUFA als einem privaten Unternehmen für einen weiteren (eigenen) Zweck verarbeitet werden, was dem zu beachtenden Grundsatz der Datenminimierung entgegengesetzt ist. Letztlich ist aber bei der durchzuführenden, gegen das Geschäftsmodell der SCHUFA gerichteten Abwägung entscheidend, „dass die Informationen über Insolvenzverfahren bei einer zukünftigen Beurteilung der Bonität und der Zahlungsfähigkeit der betreffenden natürlichen Person immer als negativer Faktor herangezogen werden, was erhebliche Auswirkungen auf die Rechte dieser Person hat“ (Rz. 83).

Damit ist das Verdikt über die Rechtswidrigkeit einer solchen Praxis gefällt, was der Generalanwalt allerdings noch mit einem kleinen Vorbehalt garniert: Er stützt sich, wie er sagt, auf Tatsachen, die letztlich vom VG Wiesbaden zu werten sind. Folglich haben die betroffenen Personen nach Art. 17 Abs. 1 lit. d DSGVO einen unbedingten Anspruch auf unverzügliche Löschung, vorausgesetzt, sie legen nach Art. 21 Abs. 1 DSGVO Widerspruch gegen die Verarbeitung ihrer Daten ein. Man kann eine recht hohe Wette darauf eingehen, dass der EuGH dieses Gutachten nicht kippen wird.