Das Kredit-Scoring ist in Verruf gekommen: Die Praxis der Bewertung von Verbrauchern mit einer Note durch Kredit- beziehungsweise Bonitätsbewertungsunternehmen, wird von Medien und Politik seit wenigen Jahren heftig kritisiert. Im Frühjahr 2005 hatte das Bundesministerium für Verbraucherschutz (BMELV) das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) mit der Erstellung eines Gutachtens "Scoringsysteme zur Beurteilung der Kreditwürdigkeit - Chancen und Risiken für Verbraucher" beauftragt. Dieses kommt zu dem Ergebnis, dass die Praxis des Kredit-Scoring in vieler Hinsicht gegen die geltenden Gesetze verstößt.
Die politische Diskussion führte nun zu einer Reaktion der Bundesregierung. Diese legte zu dem Thema Ende 2007 einen ersten und im April 2008 einen zweiten Referentenentwurf zur Änderung des Bundesdatenschutzgesetzes (BDSG) vor. Die Praxis scheint von der öffentlichen Diskussion bisher weitgehend unberührt. Die Schufa, einer der in der Studie des ULD ausgemachten "bösen Buben", gelobte Besserung, als sie ankündigte, dass Kreditvoranfragen keine negativen Auswirkungen mehr auf den Scorewert haben sollten. Ein von der Verbraucherzentrale Bundesverband (vzbv) in Auftrag gegebenes Gutachten kommt Anfang 2008 aber zum Ergebnis, dass die Praxis weiterhin verbraucherbewusstes Verhalten durch Preisvergleich mit niedrigen Scores und verschlechterten Kreditbedingungen bestraft.
Kredit-Scoring als Objektivierung der Kreditvergabe
Verbraucher-Scoring gibt es in vielen Branchen und bei Banken in verschiedenen Vertragsstadien: bei der Werbung, bei Vertragsabschluss, während der Laufzeit eines Vertrages und beim Inkassoverfahren. Es kann sich auf die Response- beziehungsweise die Abschlusswahrscheinlichkeit beziehen, aber auch auf die Dauer, das Ausfallrisiko oder sonstige zu erwartende Leistungsstörungen.
Ziel des Kredit-Scoring ist die Risikoprognose. Die angewandten mathematischstatistischen Verfahren unterscheiden sich je nach Unternehmen und Vertragsart zum Beispiel Verbraucherkredit, Baufinanzierung, Direkt-Kreditvergabe, Spezialfinanzierungen - in Bezug auf die zum Einsatz kommenden Merkmale sowie deren Bewertung und Berechnung.
Scoring ist das systematische, auf mathe-matisch-statistischer Analyse von Erfahrungswerten aus der Vergangenheit basierende Verfahren zur Prognose zukünftigen Verhaltens von Personengruppen und Einzelpersonen mit bestimmten Merkmalen. Scoring basiert auf der Erwägung, dass bei Vorliegen bestimmter vergleichbarer Merkmale von Personen ein ähnliches Verhalten zu erwarten ist.
Übergeordnetes Ziel des Kredit-Scoring ist die Verobjektivierung der Kreditvergabe: Der subjektive Eindruck über die Vertrauenswürdigkeit beim Kreditsachbearbeiter, der von vielen Unwägbarkeiten abhängt, soll durch ein einheitliches, standardisiertes, wissenschaftlich geprüftes, schnelles und aussagekräftiges Verfahren ergänzt oder gar ersetzt werden.
Hintergrund ist eine veränderte Marktsituation im Kreditgeschäft. Da anonyme Distanzgeschäfte gegenüber dem Kreditvertrag mit einem Kunden, zu dem persönliche, örtliche und institutionelle Bindungen bestehen, immer mehr zunehmen, werden Bewertungsmethoden gesucht, die nicht mehr auf persönlicher Bekanntschaft beruhen. Zugleich werden mit dem Scoring Rationalisierungseffekte beabsichtigt. Die Kreditsachbearbeitung soll über die Standardisierung beschleunigt und vereinfacht und damit kostengünstiger werden.
Die Betreiber solcher Verfahren betonen, Scoring bedeute mehr Gerechtigkeit und schnellere Kreditgewährung bei geringeren Kosten. Es erlaube eine Kreditvergabe in Fällen, die ohne Scoring zur Ablehnung führten. Die Kritiker stellen dagegen Diskriminierungseffekte fest: Personen werden benachteiligt, wenn sie Merkmale aufweisen, die zu einem negativen Score führen, auch wenn bei ihnen im Sinne der Kreditvergabe positive Merkmale vorliegen, die aber nicht oder ungenügend bei der Scoreberechnung berücksichtigt werden. Die gescorten Personen werden zum Opfer eines statistischen Vorurteils.
Scoring oft ohne ausdrückliche Zustimmung angewandt
Eine ausdrückliche Einwilligung zur Durchführung des Scoring holen sich die Kreditunternehmen regelmäßig nicht ein. Im besten Fall erfolgt eine Erwähnung in den Allgemeinen Geschäftsbedingungen (AGB), über die das Scoring zum wesentlichen Bestandteil des Kreditvertrages gemacht wird. Unter dem Eindruck von Basel II, das in der Regel eine Risikobewertung jedes Kreditgeschäftes verlangt, werden Kreditgeschäft und Scoring zunehmend miteinander verknüpft. Die vorformulierten Klauseln dürfen weder dem AGB-Recht noch den Grundgedanken des Datenschutzrechtes widersprechen.
Das vom Bundestag 2006 novellierte Kreditwesengesetz (KWG), mit dem die internationale Eigenkapitalrichtlinie (Basel II) umgesetzt wurde, enthält Aussagen über das interne Gesamtrating der Banken, regelt aber nicht das Scoring von Verbraucherinnen und Verbrauchern. Anwendbar ist das BDSG.
Zweck und verwendete Daten müssen offengelegt werden
Die Zustimmung zum Scoring durch den Verbraucher muss vorher schriftlich erfolgt sein. Der Betroffene ist auf Verlangen darauf hinzuweisen, wenn die Verweigerung der Zustimmung dazu führt, dass dieser keinen Kredit erhält oder dass sich die Kreditbedingungen verschlechtern. Benannt werden müssen Zweck (Prognose des Kreditrisikos), verantwortliche Stellen und verwendete Daten beziehungsweise durchgeführte Datenverarbeitung.
Werden durch den Score die Vertragsbedingungen mitbestimmt (sogenanntes risikobezogenes Pricing), so ist dies ausdrücklich zu benennen. Konkret benannt werden müssen bei einem externen Scoring das Unternehmen, und dieses präzise, damit der Betroffene im Zweifel nachfragen kann. Bezüglich der zu benennenden Daten genügen zur Beschreibung klare Kategorisierungen, zum Beispiel "die im Antrag genannten Daten".
Erfolgt eine Bewertung auch unter Einbeziehung soziodemografischer Daten, so muss wegen des damit verbundenen Diskriminierungsrisikos dies ausdrücklich benannt werden. Zwar in abstrakter Form, aber allgemein verständlich, muss beschrieben werden, welche Daten einfließen - zum Beispiel durch Nennung der wesentlichen Merkmale (wie etwa Adresse, Alter, Familienstand).
Eine gesetzliche Legitimation des Kredit-Scoring über ein "berechtigtes Interesse" ist nicht möglich, da die schutzwürdigen Interessen der Kreditkäufer überwiegen, als da sind: Diskriminierungsrisiken, die Sensibilität der Datenverarbeitung, die Gefahr automatisierter Entscheidung und die fehlende Transparenz für den Kreditinteressenten. Scoring dient, so das Gesetz, "der Zweckbestimmung eines Vertragsverhältnisses". Einbezogen werden dürfen aber nur Daten, die für die Beurteilung der Kreditwürdigkeit Aussagekraft haben. Der Umstand und der Umfang des Scoring bei Kreditverträgen sind für den Betroffenen nicht selbstverständlich und überschaubar; sie müssen daher in den Vertrag ausdrücklich angesprochen werden.
Voraussetzung für die Rechtmäßigkeit des Scorings ist, dass es konkret geeignet ist, valide Aussagen über die vertraglich relevante Kreditwürdigkeit zu machen. Dies ist nicht der Fall, wenn die Aussagekraft gering oder falsch ist. Ein Schwachpunkt ist, dass der Prognosefähigkeit von reinen Statistiken Grenzen gesetzt sind.
Dauernde Qualitätskontrollen nötig
Bei der Prüfung der Zulässigkeit der einzelnen Merkmale sind drei Schritte zu vollziehen: 1. Zunächst ist festzustellen, ob in Bezug auf die Merkmale eine wissen-schaftlich-statistische Relevanz besteht und ob diese korrekt gewichtet werden. 2. Sodann ist zu prüfen, ob die wissen-schaftlich-statistischen Erkenntnisse plausibel nachvollzogen werden können. 3. Schließlich ist sicherzustellen, dass der Nutzung der Merkmale keine Nutzungsverbote entgegenstehen, insbesondere dass damit keine unzulässige Diskriminierung verbunden ist.
Die verwendete Methode muss dauernd einer Qualitätskontrolle unterzogen werden, da die Merkmalsrelevanz aufgrund des gesellschaftlichen Wandels sich ändert und bei der wissenschaftlichen Hinterfragung Fehler aufgedeckt werden können.
Ein zentrales Instrument der Qualitätssicherung besteht in der rückblickenden Verifikation vorgenommener Prognosen. Um eine Qualitätsprüfung durchführen zu können, bedarf es der Dokumentation der erfolgenden Rechenschritte und der Datenbasis. Anforderungen an diese Dokumentation wurden bisher noch wenig erörtert. Zweites Standbein der Qualitätskontrolle ist die (externe) Protokollierung der individuellen Scoregenese sowie -nutzung. Auch insofern bestehen bisher noch keine Standards.
Zufällig bestehende Relationen ausschließen
Es dürfen nur Merkmale genutzt werden, bei denen eine praktisch nachvollziehbare Deutung vorgelegt werden kann, das heißt die plausibel sind. So sollen zufällig bestehende Relationen ebenso ausgeschlossen werden wie auch Gesetzmäßigkeiten, deren Logik und deren persönlichkeitsrechtliche Konsequenzen nicht verifiziert werden können.
Bezüglich der einbezogenen Merkmale kann unterschieden werden zwischen 1. Vertragsdaten, 2. Angaben zu den allgemeinen finanziellen Verhältnissen und 3. soziodemografischen Daten. Vertragsdaten sowie allgemeine Finanzdaten des Kreditantragstellers sind am ehesten akzeptabel. Eine Einnahme-Ausgaben-Bilanz ermöglicht - ob gescort oder nicht - die Feststellung, inwieweit Zins und Tilgung realistischerweise bedient werden können.
Hohe Anforderungen an Aussagekraft soziodemografischer Faktoren
Die heute offensichtlich immer noch erfolgende negative Bewertung der Zahl der Kreditanfragen ist dagegen unzulässig: Kreditanfragen sind unter Umständen nicht Ausdruck eines finanziellen Engpasses, sondern eines besonders rationalen Verbraucherverhaltens. Es ist unsinnig wie unzulässig, wenn gerade derart bewusstes, marktförderndes Verbraucherverhalten dazu führt, dass über das scorebedingte Pricing ein höherer Zinssatz zu zahlen ist.
Höchste Relevanz-Anforderungen sind bei soziodemografischen Daten zu stellen, denen in der Regel nur eine sehr indirekte Aussagekraft zukommt. Beispiel Adresse: Zwar dürfte dieser eine hohe Signifikanz zukommen, denn "gleich und gleich gesellt sich gern". Doch wer in einem Viertel wohnt, in dem statistisch ein hohes Kreditausfallrisiko besteht, dem wird dieses zugerechnet.
Die Wohnungswahl dient regelmäßig nicht der Entziehung von Gläubigern, sie hat trotz "schlechter Gegend" unter Umständen besonderen finanziellen Erfolges als Hintergrund, zum Beispiel eine verkehrsgünstige Anbindung (im anrüchigen Bahnhofsviertel) oder ein berufsförderndes Umfeld (erfolgreicher Künstler im "Szene-Viertel"). Die Nutzung soziodemografischer Daten führt zwangsläufig dazu, dass besondere Individualität (das heißt das Abweichen vom Gruppenstandard) zu einer negativen Bewertung führen kann.
Diskriminierungsverbote schließen die Nutzung bestimmter diskriminierungsträchtiger Merkmale aus. Das Allgemeine Gleichbehandlungsgesetz, das EU-Richtlinien umsetzt, verbietet Diskriminierungen in Bezug auf Alter, Geschlecht, Rasse, sexuelle Orientierung, Behinderung, Religion und Weltanschauung. Es ist auf das Kredit-Scoring anwendbar, da beim Scoring eine automatische Bewertung ohne "Ansehen der Person" erfolgt. Weitere Diskriminierungsverbote ergeben sich aus speziellen gesetzlichen Regelungen. So darf die Wahrnehmung der Datenschutzrechte (Auskunft, Datenkorrektur oder Anrufung der Datenschutzaufsicht) nicht ins Scoring einbezogen werden.
Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder ihn erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung personenbezogener Daten gestützt werden, die der Bewertung einzelner Persönlichkeitsmerkmale dienen. Dies gilt sowohl bei der Heranziehung des Scores zur Entscheidung über den Kreditantrag als auch bei der Festlegung der Kreditbedingungen.
Mit der Regelung soll gewährleistet werden, dass Negativentscheidungen nicht ausschließlich automatisiert getroffen werden, dass im Zweifel also eine Überprüfung durch einen Menschen erfolgt. Hierfür muss der Betroffene über das Scoring und über dessen negative Konsequenz informiert werden. Es muss ihm die effektive Möglichkeit gegeben werden, seine berechtigten Interessen zu formulieren und in den Entscheidungsprozess einzubringen. Dem gegenüber hat in der Praxis der Score nicht nur die Rolle einer Entscheidungshilfe, sondern ist oft die wesentliche Entscheidungsgrundlage. Dies ist generell, vor allem aber bei der Vergabe von Massen- und Distanzkrediten der Fall.
Korrekturrechte durch mangelnde Transparenz kaum realisierbar
In besonderem Maße defizitär ist die Transparenz des Scorings für die Verbraucher. Die gesetzlich unabdingbaren Datenschutzansprüche können in der Praxis oft nicht durchgesetzt werden. Solange keine Benachrichtigung erfolgt und keine Auskunft gewährt wird, können auch die Korrekturrechte nicht realisiert genommen werden. Dass und unter welchen Rahmenbedingungen bei der Kreditvergabe ein Scoring durchgeführt wird, muss bei den vertraglichen Festlegungen mitgeteilt werden. Die Score-Erstellung und -Übermittlung durch ein externes Unternehmen setzt zumindest eine Benachrichtigung in allgemeiner Form voraus.
Schließlich ist der Betroffene über die vollständige oder teilweise ablehnende Kreditentscheidung aufgrund eines Scores unter Nennung der tragenden Gründe zu informieren. Dessen ungeachtet haben die wenigsten Kreditnehmer in der Praxis überhaupt Kenntnis von der Durchführung des Scoring.
Da es sich bei dem Score um ein personenbezogenes Datum handelt, muss hierüber - einschließlich Zweck- und Empfängerangabe - dem Betroffenen Auskunft gegeben werden. Ausweichstrategien der Unternehmen vereiteln dies oft. Selbst wenn der Score als Originaldatum nicht gespeichert wird, so sind doch sämtliche Grunddaten in der Regel verfügbar, sodass deren Zusammenführung durch ein vorprogrammiertes Verfahren ohne großen Aufwand möglich ist.
Die Auskunfterteilung muss in nachvollziehbarer Weise, das heißt uncodiert und unter Erläuterung von deren Bedeutung offengelegt werden. Der Auskunftsanspruch soll gewährleisten, dass dem Betroffenen im Bedarfsfall ebenso wie der verarbeitenden Stelle seine Daten verfügbar sind.
Es gehört - entgegen der aktuellen Praxis - zum ordnungsgemäßen Betrieb eines automatisierten Datenverarbeitungsverfahrens, dass übermittelte oder genutzte Daten für Revisionszwecke protokolliert werden - gerade im Bereich des Kredit- Scorings. Diese Protokollierungspflichten sollten bezüglich Dauer und Umfang standardisiert festgelegt werden. Die Praxis, zum Beispiel der Schufa, die Auskunft über den Score von der Zahlung eines Entgeltes abhängig zu machen, ist unzulässig.
Vorgaben für Best Practice sind geboten
Ein individuelles Auskunftsrecht besteht auch über den logischen Aufbau des Sco-ring-Verfahrens. Dem können, anders als die Praxis der Unternehmen, nicht Betriebs- und Geschäftsgeheimnisse entgegen gehalten werden. Es geht nicht um die Offenlegung der verwendeten Algorithmen, sondern um die Bekanntgabe der Merkmale, über die dem Betroffenen ohnehin nach dem allgemeinen Auskunftsanspruch Mitteilung gemacht werden muss. Dies sind zumindest die wichtigsten vier Merkmale in der Reihenfolge ihrer Bedeutung. Eine entsprechende Auskunftspraxis besteht heute schon in den USA.
Im April 2008 legte das Bundesinnenministerium einen zweiten Gesetzentwurf zur Änderung des BDSG vor, in dem Bonitätsauskünfte und Scoringverfahren erstmals ausdrücklich geregelt werden sollen. In einem Paragraf 28a BDSG wird gefordert, dass die mathematisch-statistische Relevanz des Verfahrens nachgewiesen werden und dass der Betroffene zuvor unterrichtet werden muss.
In einem Paragraf 34 Abs. 1a wird den Betroffenen ein Anspruch zugesprochen auf Auskunft "in allgemein verständlicher Form" über den Score, über die genutzten Datenarten und deren Gewichtung. Dabei handelt es sich um nichts anderes als um die Klarstellung einer ohnehin bestehenden Rechtslage.
Es ist unerfindlich, weshalb sich die Wirtschaft bisher dem Datenschutzgesetz verweigert. Sie wäre vielmehr gut beraten, wenn sie sich selbst, etwa über verbindliche Verhaltensregeln, einheitliche Maßstäbe geben würde. Zumindest Vorgaben für ein Best Practice sind geboten, die Maßstab für die Branche wie - als Wettbewerbsfaktor - für die Verbraucher sein könnten. Handlungsbedarf besteht im Hinblick auf die Ausstattung der Datenschutzaufsichtsbehörden. Diesen fehlt angesichts derartiger komplizierter IT-Verfahren die ausreichende personelle, finanzielle und technische Ausstattung, um solche komplexen IT-Abläufe nachvollziehen und tatsächlich überprüfen können. Die Diskussion über das Scoring und speziell das Kredit-Scoring steht erst am Anfang.
Hinweis
Das Gutachten des ULD zum Kredit-Scoring ist im Internet verfügbar unter http://www.bmelv.de; Download-Link bei http://www.datenschutzzentrum.de/scoring.