Wir sollten die Öffnungsklauseln nutzen

Das Europäische Parlament hat am 14. April 2016 nach langen Verhandlungen die neue Datenschutz-Grundverordnung verabschiedet. Nachdem sie im Mai dieses Jahres in Kraft getreten ist, haben die Mitgliedstaaten bis 2018 Zeit, nationale Rechtsvorschriften an die europäische Verordnung anzupassen.

Es ist eine gute Nachricht für Verbraucherinnen und Verbraucher in Europa, dass sich Parlament und Mitgliedstaaten auf gemeinsame Regeln einigen konnten, denn die bisherige Regulierung stammte noch aus den neunziger Jahren. Mit der neuen Verordnung gibt es jetzt eine zeitgemäße Regelung, die den Datenschutz in vielen Bereichen stärkt. So muss künftig jede Verarbeitung von Daten einer Person, die sich in Europa befindet, nach den Regeln der Verordnung erfolgen - egal, ob das Unternehmen seinen Sitz in der EU oder außerhalb hat. Es gilt das sogenannte Marktortprinzip: Was auf europäischen Märkten geschieht, muss nach europäischen Regeln ablaufen.

Allerdings wäre es aus Sicht des Verbraucherschutzes nötig gewesen, die Profilbildung konsequenter anzugehen. In diesem Bereich sehe ich unbedingten gesetzgeberischen Handlungsbedarf.

Besonderer Prüfungs- und Handlungsbedarf beim Scoring

Profilbildung in der digitalen Welt bedeutet eine automatisierte Verarbeitung personenbezogener Daten um, wie es in der Verordnung heißt, "persönliche Aspekte zu bewerten" (Art. 4 DS-GVo) - etwa die wirtschaftliche Lage, persönliche Vorlieben oder die Zuverlässigkeit einer Person. Beispielsweise nutzen Kreditauskunfteien dieses Verfahren, um die Wahrscheinlichkeit zu berechnen, dass ein Verbraucher seinen Zahlungsverpflichtungen nachkommt. Diese spezielle Anwendung der Profilbildung bezeichnen wir als Scoring.

Für die Wirtschaft ist das erst einmal gut: Nicht nur Kreditgeber, sondern auch Vermieter und Online-Händler vertrauen darauf, dass Auskunfteien ihnen verlässliche Informationen geben. Auf dieser Vertrauensbasis werden viele Vertragsabschlüsse erst möglich. Die Digitalisierung ermöglicht es allerdings, immer größere Mengen und neue Arten von Informationen als Daten zu erfassen, zu speichern und zu verwerten. Welche dieser Daten sind vernünftigerweise geeignet, die Bonität von Verbrauchern zu bestimmen?

In der DS-GVo hat es zur Beantwortung dieser Frage zu nicht mehr als einem knappen Artikel (Art. 22: "Profiling") gereicht. Demzufolge können Unternehmen weitgehend uneingeschränkt gesammelte Daten zu Personenprofilen zusammenführen, solange die betroffene Person dies nachträglich anfechten kann. Aber wenn ich sehe, was heute schon im Bereich des Scoring möglich ist, dann reicht das nicht!

Schon die bestehenden Vorschriften in Deutschland sind, wenn wir ehrlich sind, nicht einwandfrei. Die letzte Evaluation des Bundesdatenschutzgesetzes (BDSG) hat bereits einigen Regelungsbedarf im bestehenden Rechtsrahmen aufgezeigt: Die Auskünfte, die Verbraucher über ihr Scoring erhalten, sind oft unverständlich und nicht nachvollziehbar; die Kontrollmöglichkeiten der Scoring-Verfahren durch Aufsichtsbehörden waren unzureichend.

Nicht jedes Verfahren ist zum Scoring geeignet

Es ist wichtig, die für das Scoring zulässigen Datenarten und Quellen klar einzugrenzen. In der EU existieren bereits Anbieter, die soziale Medien wie Facebook auswerten, um Nutzerprofile zu erstellen - sogenanntes Social Scoring. Es besteht damit die Gefahr, dass Verbraucher aufgrund ihres Kommunikationsverhaltens diskriminiert werden.

Daneben eröffnet die Datenschutzgrundverordnung die Möglichkeit, Scoring nur auf Basis der Adresse der Verbraucher durchzuführen, also Geo Scoring. In Deutschland war das bisher nicht zulässig, auch wenn der Verdacht besteht, dass die entsprechende Vorschrift des BDSG nicht immer korrekt befolgt wurde.

Dass ein Verfahren, welches nur auf Informationen zum Wohnumfeld beruht, die tatsächliche Bonität spiegeln soll, ist absurd. Soll denn jemandem ein Kredit oder ein neuer Mietvertrag verweigert werden, nur weil er bisher zum Beispiel die "falschen" Nachbarn hatte?

Zulässige Datentypen nach Bonitätsrelevanz eingrenzen

Daher, meine ich, müssen die zulässigen Datentypen klar nach ihrer Bonitätsrelevanz eingegrenzt werden. Die Datenschutzgrundverordnung gebietet bereits, dass Scoring-Unternehmen Vorkehrungen treffen, um Diskriminierungen aufgrund der Herkunft, Weltanschauung oder genetischer Anlagen zu verhindern (Art. 22 Abs. 4 DS-GVo). Für den Umgang mit Adressdaten ist jedoch keine Einschränkung vorgesehen.

Auch kann das Verarbeitungsverbot für besonders sensible Daten nach Art. 9 DS-GVo - in der Sprache der Verordnung "besondere Kategorien personenbezogener Daten" - wie etwa Gesundheitsdaten durch die Einwilligung der betroffenen Personen aufgehoben werden. Letzteres darf und sollte in Übereinstimmung mit Art. 9 DS-GVo untersagt werden.

Nur wissenschaftlich anerkannte Verfahren zulassen

Auch in den Fällen, die in den genannten Artikeln nicht berücksichtigt wurden, müssen im Interesse des Verbraucherschutzes Schranken gesetzt werden. Deshalb sollten nachweisbar ausschließlich wissenschaftlich anerkannte mathematischstatistische Verfahren zur Berechnung eines Scoring-Wertes eingesetzt werden. Der Hinweis auf "geeignete mathematische Verfahren" findet sich in der Verordnung leider nur in den Erwägungsgründen wieder (Nr. 71).

Ich bin optimistisch, dass sich trotzdem ein Weg finden wird, um die unabhängige Begutachtung und Bewertung der Verfahren durch die Wissenschaft sowie den fachlichen Austausch über die Verfahren zu gewährleisten. Eine Grundlage für Transparenz und Kontrolle der angewandten Scoring-Verfahren ist aber das Auskunftsrecht.

Auskunftsrechte nutzen

Es ist für betroffene Verbraucher oft schwierig, ihr Recht auf informationelle Selbstbestimmung geltend zu machen. Bislang erhalten sie zwar Auskünfte darüber, welche Daten gesammelt werden. Jedoch ist daran nicht unbedingt erkennbar, warum die Daten zu einer schlechten Bewertung geführt haben. Das Zustandekommen der Scoring-Werte war bisher in vielen Fällen unverständlich.

Das neue Auskunftsrecht nach Art. 15 DS-GVo bedeutet einen Fortschritt, denn es schreibt vor, dass die konkreten Daten, die dem Scoring zugrunde liegen, benannt werden. Dazu haben Verbraucher künftig ein Recht auf eine Kopie der vom Unternehmen gespeicherten Daten. Bei der ersten Anfrage muss diese unentgeltlich sein. Es bleibt zu beobachten, wie sich das neue Recht auswirkt. Nach den Erfahrungen mit dem Bundesdatenschutzgesetz würde ich mir wünschen, dass Scoring-Anbieter einmal prüfen, ob es nicht technische Möglichkeiten gibt, das Auskunftsersuchen zu vereinfachen. Wer die Feinheiten der Informationstechnologie nutzt, um Internetnutzer auszuforschen, sollte auch in der Lage sein, eine übersichtliche Website bereitzustellen. Schließlich sollten Verbraucher nicht einer "Blackbox der Datenanalyse" ausgesetzt sein, wie es der Sachverstän digenrat für Verbraucherfragen nennt.

Fehler nicht in alle Ewigkeit fortschreiben

Eine gute Auskunft ist zugleich auch die Grundlage für zwei weitere Errungenschaften des Datenschutzes: Das Recht auf Berichtigung (im Gesetz auch: "Anfechtung") sowie die Löschung von Daten (Art. 16 beziehungsweise Art. 22 Abs.3 sowie Art. 17 DS-GVo). Dieses Recht ist unter anderem durch die Grundsätze der Datenminimierung und der Richtigkeit (Art. 5 DS-GVo) gut begründet.

Es geht darum, zu verhindern, dass aufgrund unvollständiger oder tatsächlich fehlerhafter Informationen ein falscher Eindruck über die betroffenen Personen entsteht, denn das kann für den einzelnen schwerwiegende wirtschaftliche Konsequenzen haben. Bedauerlicherweise sieht die Verordnung keine festen Fristen zur Überprüfung längst überholter Daten in den Karteien der Auskunfteien vor, wie es nach BDSG der Fall war. Für ihr Recht auf die Löschung von Daten muss sich die betroffene Person erst aktiv einsetzen. Nach Art. 17 Abs.1 e) DS-GVo können die Mitgliedstaaten allerdings Unternehmen dazu verpflichten, bestimmte personenbezogene Daten zu löschen. Sinnvoll wäre es, wenigstens im deutschen Recht eine Regelung zur Löschung von Daten bei Auskunfteien zu formulieren. Schon seit langem fordern Verbraucherschützer, dass etwa die Höchstspeicherdauer für eine erteilte Restschuldbefreiung nach einer Insolvenz innerhalb einer angemessenen Frist aus den Veröffentlichungen Dritter gelöscht wird. Transparente Scoring-Verfahren im Einklang mit dem Recht auf informationelle Selbstbestimmung würden die Qualität und die Akzeptanz von Scoring-Werten erhöhen. Davon profitieren sowohl die Verbraucher als auch der Handel, der auf zuverlässige Informationen angewiesen ist.

Die diesjährige Verbraucherschutzministerkonfe renz am 22. April in Düsseldorf hat deshalb auf Initiative des Saarlandes die Bundesregierung aufgefordert, Gestaltungsspielräume zu prüfen und entsprechende Gesetzgebungsvorschläge ein zubringen. Eine EU-Verordnung bedarf zwar grundsätzlich keiner Umsetzung durch deutsche Gesetze, es bestehen aber Öffnungsklauseln, die es erlauben, in Detailfragen Ergänzungen vorzunehmen. Diese Klauseln sollten wir nutzen.