Jusletter IT

Die Beurteilung der Kreditwürdigkeit bzw. des Kredit-Ausfalls-Risikos erfolgt heute i.d.R. durch Software, deren Komplexität und Leistungsfähigkeit in den letzten Jahren stetig zugenommen hat. Im Zuge von Kreditwürdigkeitsprüfungs-Verfahren¹ erfolgt eine Analyse der wirtschaftlichen Lage Betroffener, um somit eine Aussage über ihre Kreditwürdigkeit treffen zu können und um in weiterer Folge die Ausfallswahrscheinlichkeit² vorhersagen zu können. Es handelt sich dabei grundsätzlich um die Verarbeitung personenbezogener Daten, die alle einfachgesetzlichen und grundrechtlichen Anforderungen an die Zulässigkeit der Verarbeitung zu erfüllen hat. Besonders relevant bei solcherart automatisierten Verarbeitungen ist das Verbot automatisierter Einzelentscheidungen, das im Zentrum der nachfolgenden Ausführungen stehen wird. Es wurde bereits in Art. 15 der Richtlinie 95/46/EG (Datenschutz-Richtlinie; DSRL)³ normiert und die EU-Datenschutz-Grundverordnung (DSGVO)⁴ enthält nun etwas detailliertere Bestimmungen zu automatisierten Einzelentscheidungen bzw. zum «Profiling»⁵. Nachfolgend wird zunächst die geltende Rechtslage nach dem österreichischen Datenschutzgesetz 2000 (DSG 2000)⁶ auf Basis der DSRL beschrieben. Im Anschluss daran wird die künftige Rechtslage nach der DSGVO ausführlich dargestellt.

In § 49 DSG 2000, welcher der deutschen Regelung in § 6a des deutschen Bundesdatenschutzgesetzes (BDSG)⁷ dem Grunde nach ähnlich ist und welcher auf Art. 15 DSRL basiert, ist ein grundsätzliches Verbot automatisierter Einzelentscheidungen normiert.⁸ Dabei verweist § 49 Abs. 1 DSG 2000 explizit auf das Verbot einer Entscheidung, auf Grundlage einer automationsunterstützten Verarbeitung zum Zwecke der Bewertung der Kreditwürdigkeit einer Person. Die Kriterien der rechtlichen Folgen bzw. erheblichen Beeinträchtigung sind bei Kreditwürdigkeitsprüfungs-Entscheidungen ebenfalls häufig erfüllt. Entscheidend ist, dass sich die Bestimmung nur auf ausschließlich automationsunterstützt getroffene Entscheidungen bezieht. Dies liegt nach herrschender Ansicht nur dann vor, «wenn das Ergebnis der Verarbeitung 1:1 als Entscheidung umgesetzt wird».⁹ Es handelt sich also dann nicht um eine – grundsätzlich unzulässige – automatisierte Entscheidung im Einzelfall, wenn ein menschlicher Akteur in nennenswertem Ausmaß in die Entscheidung eingebunden ist. Dies ist u.E. jedenfalls nicht schon dann der Fall, wenn ein Mensch das Ergebnis der automatisierten Verarbeitung bloß sichtet und übernimmt oder weiterkommuniziert.

Bestimmungen über zulässige Kreditwürdigkeitsprüfungs-Maßnahmen enthalten laut Dohr et al.¹⁰ die Regeln des Bankwesengesetzes¹¹ für Kreditinstitute betreffend die Bonitätsbeurteilung ihrer Kreditnehmer und die gesamtheitliche Betrachtung ihrer Risikosituation. Es handle sich dabei um einen Fall der ausdrücklichen gesetzlichen Ermächtigung oder Verpflichtung zur Verwendung von Daten (§ 8 Abs. 1 Z 1 DSG 2000) und der Einsatz von Big Data-Verfahren zur Verarbeitung der personenbezogenen Daten der einzelnen Kreditnehmer sei grundsätzlich zulässig, um diese gesetzliche Verpflichtung bestmöglich zu erfüllen. Das Verbot automatisierter Einzelentscheidungen sei dabei allerdings zu beachten. Davon abweichend «darf eine Person einer ausschließlich automationsunterstützt erzeugten Entscheidung unterworfen werden, wenn dies gesetzlich vorgesehen ist oder die Entscheidung im Rahmen des Abschlusses oder der Erfüllung eines Vertrages ergeht und dem Ersuchen des Betroffenen auf Abschluss oder Erfüllung des Vertrages stattgegeben wurde (Positives Ergebnis) oder die Wahrung der berechtigten Interessen des Betroffenen durch geeignete Maßnahmen – beispielsweise die Möglichkeit, seinen Standpunkt geltend zu machen – garantiert wird.»¹²

Im Ergebnis dürfen Personen bei positivem Entscheid einer automatisierten Einzelentscheidung unterworfen werden. Sollte der Entscheid negativ ausfallen, muss ihm, damit der Schutz des Betroffenen gewahrt werden kann, die Möglichkeit der Vorbringung seiner Argumente gegeben werden. Dies stellt auch die gängige Praxis dar. Die bisherige Rechtslage und Praxis ist hier vor allem deshalb kritisch zu sehen, weil damit die Zulässigkeit der automatisierten Datenverarbeitung letztlich vom Ergebnis derselben abhängig gemacht wird und damit eigentlich ein Zirkelschluss entsteht. Die Rechtfertigung für eine bestimmte Form der Datenverarbeitung sollte aber von vornherein klar feststehen, Regelungen für eine allfällige weitere Verwendung der Ergebnisse der Datenverarbeitung sind von der grundlegenden Rechtfertigung der Verarbeitung selbst zu unterscheiden.

Kreditwürdigkeitsprüfungen sind unter die Legaldefinition des Profiling zu subsumieren, da personenbezogene Daten¹³ automatisiert verarbeitet werden, um die wirtschaftliche Lage der betroffenen Personen zu analysieren und somit eine Aussage über ihre Kreditwürdigkeit treffen zu können, auf deren Basis in weiterer Folge die Ausfallswahrscheinlichkeit prognostiziert werden kann. Die wirtschaftliche Lage wird dabei explizit in Art. 4 Abs. 4 DSGVO als persönlicher Aspekt genannt. Zur wirtschaftlichen Lage gehören u.a. die Einkünfte der betroffenen Personen und deren regelmäßige Ausgaben. Aber auch andere Kriterien können zur Beurteilung der Kreditwürdigkeit herangezogen werden. Es findet sich eine Liste von möglichen Kriterien in der Studie von Kamp/Weichert¹⁴. Dazu zählen u.a. Name, Alter, Geschlecht, Familienstand, Anzahl der Kinder, Alter der Kinder, Meldeadresse, Wohndauer, Haushaltstyp, Bildungsstand, Beruf, Arbeitgeber, Beschäftigungsdauer, monatliches Nettoeinkommen, monatliche Ausgaben, Kfz-Besitz, Eintragungen in Schuldnerverzeichnissen und Warnlisten, Insolvenz, gebotene Sicherheiten, Kontoführung und Überziehungen, Dauer der Kundenbeziehung, auffällige Einzeltransaktionen, vorherige interne Kredite und Erfahrungen hieraus, Art und Anzahl der Kredite, Anzahl von Kredit-Anfragen, Anzahl von Auskunftei-Anfragen, Gesundheitszustand, Freiheitsstrafen, Nationalität und Religion.

Analysieren¹⁵ bezeichnet die Zergliederung und dadurch Klarlegung von Informationen. Im Falle der Kreditwürdigkeitsprüfungen werden die persönlichen Aspekte (wirtschaftliche Lage) von betroffenen Personen mittels Datenverarbeitungssystem kumuliert und bewertet, um im Ergebnis einen «Score» ermitteln zu können, welcher die Basis für die Beurteilung der Kreditwürdigkeit darstellt. Ebenfalls kann durch diese Art der Datenverarbeitung (die heutzutage in der Regel als Big-Data-Anwendung betrieben wird) die wirtschaftliche Lage der Betroffenen vorhergesagt werden – es handelt sich hierbei um den eigentlichen Zweck des Ratings¹⁶. Diesen Kriterien zufolge handelt es sich bei der Kreditwürdigkeitsprüfung somit um eine Art des Profiling. Art. 22 DSGVO ist daher anwendbar.

Außerdem sind auch die in Art. 25 DSGVO neu eingeführten Prinzipien «Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen» zu beachten. Diese Bestimmung fordert vom Verantwortlichen, dass dieser «geeignete technische und organisatorische Maßnahmen trifft, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen und die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden.» Dies bedeutet vor allem, bereits bei der Gestaltung von Systemen dafür zu sorgen, dass diese von sich aus möglichst wenig in die Privatsphäre der Betroffenen eingreifen und Eingriffe, die für den Zweck des Systems nicht erforderlich sind, wenn möglich faktisch ausgeschlossen oder ansonsten in den Defaulteinstellungen deaktiviert sind.

Gem. Art. 22 Abs. 1 DSGVO hat eine betroffene Person «das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt». Davon ausgenommen ist eine solche Entscheidung, wenn sie «für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist»¹⁷ oder «aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten»¹⁸ oder wenn die Entscheidung «mit ausdrücklicher Einwilligung der betroffenen Person erfolgt»¹⁹. Jedoch dürfen Entscheidungen nach Abs. 2 «nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden»²⁰.

Die beiden genannten Ausnahmen, bei deren Vorliegen auch «besonders schutzwürdige»²¹ Daten einbezogen werden dürfen, sind die ausdrückliche Einwilligung des Betroffenen «für einen oder mehrere festgelegte Zwecke […], es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden»²², sowie die Erforderlichkeit der Verarbeitung «aus Gründen eines erheblichen öffentlichen Interesses und auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht»²³.

Art. 22 DSGVO ist im Kern § 49 DSG 2000 sehr ähnlich. Beide Bestimmungen sehen auch die Ausnahme vor, dass eine rein automatisierte Entscheidung zulässig ist, wenn dafür eine gesetzliche Grundlage besteht (§ 49 Abs. 2 Z 1 DSG 2000 und Art. 22 Abs. 2 lit. b DSGVO). Sie unterscheiden sich jedoch darin, dass Art. 22 DSGVO im Vergleich zu § 49 DSG 2000 nicht zwischen positiven- und negativen Entscheidungen differenziert. Zu beachten ist die Einschränkung in Art. 22 Abs. 2 lit. b DSGVO, dass eine solche gesetzliche Grundlage «angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten» muss. Hierfür muss der Staat Regelungen schaffen, die für den Betroffenen ausreichend Maßnahmen zur Wahrung seiner Rechte vorsehen. Im Hinblick auf die Finanzwirtschaft wäre ein Platz für solche Regelungen etwa im Verbraucherkreditgesetz²⁴ in einem Zusatzabsatz in § 7, welcher Kreditgeber verpflichtet, die Bonität von Kreditwerbern zu prüfen und dabei gegebenenfalls auch Datenbanken zu nützen. 

Es stellt sich die Frage, ob eine Verweigerung der Zustimmung zur Kreditwürdigkeitsprüfung automatisch die Ablehnung des Kredites bewirken darf. Bejaht wird dies in der öffentlichen Diskussion von Seiten der Kreditinstitute. Dabei wird die Ansicht der zulässigen Ablehnung zumeist auf das Argument der betriebswirtschaftlichen Notwendigkeit dieser Möglichkeit und die Privatautonomie gestützt. Diese ermögliche den Kreditinstituten die «grundsätzlich» freie Gestaltung von Kreditvergaben zur wirtschaftlich effizienten Unternehmensführung, so das wesentliche Argument.

Vor allem aber ist zu klären, ob der Ausnahmetatbestand in Art. 22 Abs. 2 lit. a DSGVO²⁵ zur Geltung kommt. Hierzu müsste man allerdings postulieren, dass das automatisierte Bonitätsrating eine wesentliche Voraussetzung zur Erfüllung oder zum Abschluss des Vertrags zwischen der betroffenen Person und dem Kreditinstitut ist. Diese Annahme ist u.E. im Hinblick auf den Schutzzweck von Art. 22 DSGVO äußerst kritisch zu betrachten, auch wenn es dafür sachliche Argumente gibt, die im Diskurs zu beachten sind. Allgemein wird in der Praxis angenommen, dass die automatisierte Kreditwürdigkeitsprüfung eine höhere Treffsicherheit bietet, als es ein einfacher Kreditsachbearbeiter jemals könnte. Allerdings gibt es bislang keine Evaluation, deren Ergebnisse diese Annahme zu stützen vermag. Dabei wäre vor allem zu untersuchen, wie häufig es zu «false positives»²⁶ unter den Ergebnissen kommt, die sowohl die Zuverlässigkeit der Systeme als auch die Grundrechtsposition der Betroffenen beeinträchtigen. Das Axiom der höheren Zuverlässigkeit legt in der Praxis nun aber den Schluss nahe, dass die automatisierte Bonitätsprüfung im Lichte der Stabilität des Finanzmarktes eine wesentliche Voraussetzung zur Erfüllung oder zum Abschluss eines Vertrags darstellt.

Dem lässt sich allerdings entgegen halten, dass bislang auch ohne automatisiertes Bonitätsrating möglich ist, Verträge abzuschließen und die Risiken trotzdem wirtschaftlich vertretbar zu beherrschen. Dies wirft die Frage auf, ob eine bloße Verbesserung der Treffersicherheit eine Einschränkung der Grundrechte rechtfertigt. Die pauschale Annahme, dass diese (angenommene) höhere Treffsicherheit in der Risikoprognose bei einem Rechtsgeschäft mit Kreditcharakter automatisch als Erfordernis zu sehen ist, würde im Ergebnis außerdem dazu führen, dass für Art. 22 Abs. 2 lit. b DSGVO im Bereich der Privatwirtschaft kaum noch ein Anwendungsbereich verbliebe.

Da es sich, wie oben schon beschrieben, um den Schutz der Daten von betroffenen Personen handelt, statuiert Art. 22 Abs. 3 DSGVO, dass der Verantwortliche²⁷ in den in Art. 22 Abs. 2 lit. a und c DSGVO genannten Fällen angemessene Maßnahmen zu treffen hat, «um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört»²⁸. Dies korrespondiert mit ErwGr. 71 zu Art. 22 DSGVO²⁹ der Ausführungen zum Schutzzweck dieser Norm enthält. Hierbei ist auch auf Art. 25 DSGVO zu verweisen.

Als weitere wichtige Punkte gelten die Transparenz der Verarbeitung von Daten und insbesondere die Berechnung zur Ermittlung des Scoring-Werts. Dabei machen es die Grundsätze einer fairen und transparenten Verarbeitung erforderlich, «dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Darüber hinaus sollte er die betroffene Person darauf hinweisen, dass Profiling stattfindet und welche Folgen dies hat. Werden die personenbezogenen Daten bei der betroffenen Person erhoben, so sollte dieser darüber hinaus mitgeteilt werden, ob sie verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche Folgen eine Zurückhaltung der Daten nach sich ziehen würde.»³⁰ Entsprechende Forderungen in einer Studie der Arbeiterkammer in Kooperation mit dem Institut für Technikfolgen-Abschätzung der Österreichischen Akademie der Wissenschaften (ITA) werden durch die DSGVO gestützt.³¹ Die Studie kommt zu dem Ergebnis, dass es nahezu keine Informationen zu dem Bereich der Kreditwürdigkeitsprüfung von Privatpersonen gibt. Weder verwendete Koeffizienten noch definierte Risikoklassen werden offengelegt. Ebenfalls versagen die Rechtsansprüche auf Richtigstellung und Löschung aufgrund der bestehenden Intransparenz. Gerade bei diesen Vorgängen wäre aber aufgrund der Masse an Verbraucherkrediten eine Umsetzung der Transparenzansprüche im Sinne der DSGVO dringend indiziert.

Dementsprechend sollte nach dem ErwGr. 63 zu Art. 15 DSGVO jede betroffene Person «ein Anrecht darauf haben, zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird.»³²

Kreditinstitute berufen sich bei der Thematik «Scoring» regelmäßig auf den Geheimhaltungsgrund des Betriebsgeheimnisses. Die komplexe individuelle Gestaltung der Kreditwürdigkeitsprüfungen können für sie einen Wettbewerbsvorteil darstellen, da sie mit deren Hilfe ihre Ausfallwahrscheinlichkeit minimieren können, um so auch attraktivere Kreditoptionen an ihre Kunden vergeben zu können – so jedenfalls das Argument, welches natürlich auf der Annahme basiert, dass die automatisierte Bonitätsbewertung qualitativ bessere Ergebnisse liefert. Dies schlägt sich in einer Steigerung der Zahl der Kreditnehmer und in weiterer Folge in Gewinnzuwächsen nieder. Wie ErwGr. 63 zu Art. 15 DSGVO aber richtigerweise ausführt, darf dies nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Hier wird es die Aufgabe der nationalen Gesetzgeber sein, diesen bislang regelungsfreien Raum zu befüllen.

«Automatisierte Entscheidungsfindung und Profiling auf der Grundlage besonderer Kategorien von personenbezogenen Daten sollten nur unter bestimmten Bedingungen erlaubt sein.»³³

Damit wird auf Art. 9 DSGVO verwiesen, der in seinem Abs. 1 die Verarbeitung von personenbezogenen Daten, «aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person» untersagt. Wie schon weiter oben beschrieben können nicht nur wirtschaftliche Daten der Betroffenen in die Kreditwürdigkeitsprüfung einfließen, sondern auch Gesundheitsdaten. Sollten in die Kreditwürdigkeitsprüfung solche Daten einfließen, dann lässt sich aus den Ausnahmetatbeständen des Art. 9 Abs. 2 DSGVO, bei denen eine Verwendung von besonderen Kategorien von personenbezogenen Daten erlaubt ist, hier nur die Ausnahme der ausdrücklichen Einwilligung in die Verarbeitung der Daten durch den Betroffenen anwenden.³⁴

Mit der Massenverarbeitung von Daten zum Zwecke einer automatisierten Entscheidung gehen auch datenschutzrechtliche Probleme einher, wie sich bei der Diskussion um die Transparenz und die Zulässigkeit zeigt. Hier besteht Handlungsbedarf der nationalen Gesetzgeber zur Anpassung der nationalen Rechtslage an die ab Mitte 2018 in Kraft tretende DSGVO. Schließlich ist darauf hinzuweisen, dass der Europäische Datenschutzausschuss gemäß ErwGr. 72 zu Art. 22 DSGVO Leitlinien bezüglich des Profiling entwickeln sollte. Nach der DSGVO wird es nämlich dem «Europäischen Datenschutzausschuss» obliegen, in wichtigen Grundsatzfragen die Kohärenz in der Anwendung der DSGVO sicherzustellen.³⁵

Weiterführender Forschungsbedarf besteht u.E. schließlich zur Frage, ob eine automatisierte Kreditwürdigkeitsprüfung tatsächlich als Erfordernis zum Abschluss oder zur Erfüllung eines Vertrags zu qualifizieren ist. Diese bislang in der Praxis schlicht postulierte Annahme ist besonders kritisch zu hinterfragen, weil in diesem Fall die für den Grundrechtsschutz äußerst wichtige Voraussetzung einer gesetzlichen Grundlage «mit angemessenen Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person»³⁶ wegfällt. Ein Gegenmodell wäre hier, die Annahme der Erforderlichkeit zum Vertragsabschluss eng auszulegen und im Sinne des Art. 22 Abs. 2 lit. b DSGVO im Regelfall eine gesetzliche Grundlage mit entsprechenden Schutzvorkehrungen zu verlangen. Der notwendige Interessensausgleich zwischen der Wirtschaft und den betroffenen Personen – potentiell ein großer Teil der Bevölkerung – ist jedenfalls durch ausdrückliche gesetzliche Regelungen eher erreichbar als bei einer Fortschreibung der gegenwärtigen Praxis.

---

 

Rolf-Dieter Kargl, Researcher, LL.M (WU), Research Institute AG & Co KG – Zentrum für digitale Menschenrechte, Amundsenstraße 9, 1170 Wien, AT; rolf-dieter.kargl@researchinstitute.at, http://researchinstitute.at.

 

Walter Hötzendorfer, Senior Researcher, Dipl.-Ing. Dr. iur., Research Institute AG & Co KG – Zentrum für digitale Menschenrechte, Amundsenstraße 9, 1170 Wien, AT; walter.hoetzendorfer@researchinstitute.at, http://researchinstitute.at.