04. August Stellungnahme des Verbraucherzentrale Bundesverbandes

Transkript

1 04. August 2008 Datenschutz im Zeitalter automatisierter Entscheidungsfindung: Individuelle Bonitätsrisiken angemessen bewerten Verbrauchersouveränität als Grundlage eines funktionsfähigen Marktes verteidigen Stellungnahme des Verbraucherzentrale Bundesverbandes zum Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes vom 30. Juli 2008 Verbraucherzentrale Bundesverband e.v. vzbv Fachbereiche Wirtschaft und Finanzdienstleistungen Markgrafenstr Berlin

2 Gesamtwürdigung Personenbezogene Daten über Verbraucher sind seit langem eine begehrte Ware. Unternehmen und Auskunfteien sammeln und nutzen diese Daten in vielfacher Weise. Dabei sind intransparente Verfahrensweisen, insbesondere im Zusammenhang mit Scoring-Verfahren, zu beobachten. 1 In seiner aktuellen Fassung wird das Bundesdatenschutzgesetz, welches das Grundrecht auf informationelle Selbstbestimmung ausgestaltet, diesen Fehlentwicklungen nicht mehr Herr. Es ist unzureichend auf das Zeitalter einer weitgehend automatisierten Datenverarbeitung ausgerichtet. Eine zeitgemäße Novellierung datenschutzrechtlicher Bestimmungen ist daher überfällig. Der von der Bundesregierung verabschiedete Gesetzentwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes vom 30. Juli 2008 stellt einen Schritt in die richtige Richtung dar, um die Transparenz der Datenverarbeitungsverfahren zu erhöhen und den Anwendungsbereich von Scoring- Verfahren zu regeln. In entscheidenden Punkten geht er aber nicht weit genug und bleibt hinter seiner Zielsetzung zurück. Der Verbraucherzentrale Bundesverband fordert seit langem, Regelungen für eine angemessene individuelle Bonitätsbewertung von Verbrauchern zu schaffen, um die Verbrauchersouveränität als Grundlage eines funktionsfähigen Marktes zu verteidigen. Hierzu müssen die Verwendung von Scoring-Verfahren begrenzt, die Verfahren transparenter gestaltet, und Sanktionen bei Verstößen gegen datenschutzrechtliche Bestimmungen verschärft werden. 2 Der dringliche Novellierungsbedarf wird mit unserer aktuellen, im Januar 2008 vorgestellten Studie unterstrichen. In dieser werden gravierende Defizite bei der Verwendung von Scoring-Verfahren nachgewiesen. 3 Die im Gesetzentwurf vorgesehenen Änderungen werden die Defizite nicht ausreichend abstellen. An wenigstens vier Stellen ist der Entwurf nachzubessern: Erstens ist der Anwendungsbereich für Scoring-Verfahren, die über das Ob eines Vertragsabschlusses und das Wie der Vertragskonditionen entscheiden, auf Rechtsgeschäfte mit kreditorischen Risiken zu beschränken. Nur hier sind sie für die Bonitätsbewertung von Verbrauchern sachlich gerechtfertigt und verhältnismäßig. Der derzeit zu beobachtende ungezügelte Einsatz von Scoring-Verfahren beeinträchtigt die Verhandlungsfreiheit der Verbraucher, das heißt einen wesentlichen Marktmechanismus. Zweitens muss klar geregelt werden, dass Anwender von Scoring-Verfahren Verbrauchern erklären müssen, welche Faktoren einen maßgeblichen Einfluss auf den Scorewert hatten. Es ist fatal, dass eine eindeutige Anforderung hierzu in 34 BDSG-E in letzter Minute aus dem Gesetzentwurf gestrichen wurde. Die diesbezügliche Regelung aus dem Referentenentwurf vom 17. Juni 2008 ist wieder aufzunehmen. Drittens ist bei den Regelungen zur Aufnahme nicht ausdrücklich bestrittener Forderungen in Auskunfteien ( 28a Abs. 1 BDSG-E) sicherzustellen, dass eine Forderung, die nach der Einmeldung bestritten wird, sofort wieder aus dem 2

3 Datenbestand zu entfernen oder zu sperren ist. Diese Konkretisierung ist mit Blick auf künftige Normauslegungen unerlässlich. Die Entscheidung, ob eine Forderung berechtigt oder nicht berechtigt ist, muss im Zweifel immer und alleine dem Richter vorbehalten sein. Eine Regelung, die diesen Richtervorbehalt umgehen würde, wäre angesichts des Sanktionscharakters von Negativeinträgen in Auskunfteien als verfassungswidriger zweiter Rechtsweg einzustufen. Auch 28a Abs. 1 Ziffer 5 BDSG-E ist unter die Bedingung zu stellen, dass der Verbraucher offen stehende Forderungen nicht bestreitet, andernfalls eröffnet diese Ziffer eine Umgehung zur vorangegangenen Eingrenzung. Viertens sieht 28a Abs. 2 BDSG-E für Kreditvertragsverhältnisse eine Abschaffung des Einwilligungserfordernisses der Verbraucher in die Übermittlung personenbezogener Daten an Auskunfteien vor. Hierdurch wird die Kontrollfähigkeit der Verbraucher, welche Daten an wen weitergeleitet werden, unverhältnismäßig eingeschränkt. Das Recht auf informationelle Selbstbestimmung wird unnötig für den Bereich einer ganzen Branche entzogen. Es gibt zudem keine Pflicht, weder aus Basel II noch aus der EU-Verbraucherkreditrichtlinie, Auskunfteien in die Bonitätsbewertung einzubeziehen. Folglich nimmt diese Regelung ohne Not einen Eingriff in den Kernbereich des Grundrechts vor. Daher sprechen wir uns für eine Beibehaltung des Einwilligungserfordernisses auch bei Kreditverhältnissen aus. Zudem erachten wir es für notwendig, das Bundesdatenschutzgesetz nicht nur wie von der Bundesregierung vorgesehen in Bezug auf das Auskunfteiwesen anzupassen, sondern auch weitere drängende Unzulänglichkeiten zu regeln. Hierzu zählen insbesondere eine Erweiterung der Verbandsklagebefugnis, um datenschutzrechtliche Verstöße effektiver zugunsten der Verbraucher verfolgen zu können, ein Verbot, den Zugang zu einem Online-Dienst von einer Einwilligung in die Nutzung personenbezogener Daten für Werbe- und Marketingzwecke abhängig zu machen, das Prinzip der freiwilligen Einwilligung in die Datenerhebung und -verwendung zu stärken, einen Sammelrückruf für Einwilligungserklärungen einzuführen, und die Voraussetzungen für ein Datenschutzaudit zu schaffen. 1. Bewertung des Gesetzentwurfs Der Verbraucherzentrale Bundesverband registriert mit Sorge, dass die Wirtschaft zunehmend personenbezogene Daten für Kundenprofile verwendet, um Verbraucher vor Vertragsabschlüssen zu segmentieren und zu bewerten. Dies geschieht mittels automatisierter Datenverarbeitung, in der Regel in der Form des Scoring. Beim Scoring handelt es sich um ein mathematisch-statistisches Verfahren, mit dem das zukünftige Verhalten von Verbrauchern prognostiziert wird. Dabei werden anonymisierte Vergangenheitswerte anderer Verbraucher verarbeitet, aus denen, kombiniert mit den Daten des anfragenden Verbrauchers, das Risikopotential dieses Verbrauchers abgeleitet wird. Das Scoring unterscheidet sich durch seine Ausrichtung auf die Prognose zukünftigen Verhaltens unter Verwendung der Daten von Dritten von herkömmlichen Bonitätsbewertungen, die allein das individuelle Verhalten eines 3

4 Verbrauchers in der Vergangenheit in Augenschein nehmen. Scoring ist also lediglich eine Form der Bonitätsbewertung. Dabei beschränken sich Scoring-Verfahren bei der Kreditvergabe nicht mehr nur auf die Entscheidung, ob ein Verbraucher einen Kredit erhält, sondern auch zu welchem Preis. Darüber hinaus werden Scoring-Verfahren zunehmend in anderen Wirtschaftszweigen eingesetzt, etwa im Zusammenhang mit dem Abschluss von Telekommunikations- und Energielieferverträgen, bei der Vermietung von Wohnraum und für die Bestimmung der Bezahlweise im Versandhandel. Die Verwendung von Scoring-Verfahren ist aus unserer Sicht überhaupt nur dort zulässig, wo kreditorische Risiken bestehen. Dies trifft etwa zu bei der Vergabe von Krediten, wo Banken vor Vertragsabschluss beurteilen können müssen, ob der Verbraucher in der Zukunft in der Lage sein wird, den Kredit zurück zu zahlen. Aber selbst hier zeigt die Praxis, dass die im Einsatz befindlichen Scoring-Verfahren die individuelle Kapitaldienstfähigkeit der Verbraucher nicht verlässlich prognostizieren können. Für Scoring-Verfahren sind daher unter Datenschutzgesichtspunkten klare Rahmenbedingungen zu schaffen. a) Willkür durch Scoring-Verfahren verhindern Lediglich 15 Prozent der Verbraucher kennen den Begriff Scoring. 4 Dies ist nicht verwunderlich, da Scoring-Verfahren zumeist ohne Wissen der Verbraucher eingesetzt werden. In unserer aktuellen Untersuchung zur Scoring-Praxis mit 21 Testpersonen mit Echt-Biografien, die 82 Stichproben bei verschiedenen Banken durchführten, wurden die Testpersonen in knapp 50 Prozent der Fälle selbst auf Nachfrage hin nicht über den Einsatz von Scoring-Verfahren informiert; in mehr als 60 Prozent der Fälle erhielten die Testpersonen kein Angebot, die verwendeten Daten zu kontrollieren; und in mehr als 90 Prozent der Fälle wurde den Testpersonen der Score und die Gewichtung der Daten nicht mitgeteilt. 5 Werden Verbraucher nicht über den Einsatz von Scoring-Verfahren informiert, können sie ihre Rechte nicht geltend machen. Erfahren Verbraucher nicht, welche Daten in den Verfahren verwendet werden, können sachliche Fehler in der Datensammlung nicht erkannt und korrigiert werden. Erlangen Verbraucher keine Kenntnis darüber, wie die verwendeten Daten gewichtet werden, wird ihnen die Möglichkeit genommen, Fehlinterpretationen zu korrigieren oder aber auch eine missbräuchliche Verwendung von Daten aufzudecken. Probleme mit der Datenkorrektheit existieren genügend. Testanfragen des Verbraucherzentrale Bundesverbandes, der Stiftung Warentest und anderer Verbraucherinformationsmedien konnten wiederholt zeigen, dass die dem Scoring zugrundeliegenden Daten häufig in entscheidenden Punkten lückenhaft oder sogar unzutreffend waren. 6 Verbraucher brauchen zudem Transparenz über die Gewichtung der beim Scoring verwendeten Daten. Tests offenbaren immer wieder Diskrepanzen zwischen dem Score und der tatsächlichen Rückzahlungskapazität bei Verbrauchern. Immer noch, wie ein aktueller Test von Finanztest zeigt, 7 kann ein vom Verbraucher 4

5 vorgenommener Kreditkonditionenvergleich zu einer Scorewert-Verschlechterung führen, wenn die Bank nicht zwischen Kreditkonditionen- und Kreditangebotsanfrage unterscheidet. Scoring-Verfahren können Verbraucher bloß wegen einer statistischen Korrelation mit Zahlungsausfällen diskriminieren, die einer Risikogruppe zugeschrieben werden und in die man den Verbraucher irrtümlich zuordnet. Was wir auf Grund des Verschanzens der Auskunfteien und Unternehmen hinter ihre Geschäftsgeheimnisse bis heute nicht erfahren ist, wie oft Verbraucher von Fehlannahmen konkret beeinträchtigt werden, deren Hintergründe die Verbraucher nie erfahren und damit auch nie beseitigen konnten. Es gibt aus unserer Sicht daher keine andere Alternative als die Offenlegung der Gewichtungsmaßstäbe zumindest soweit, dass Fehleinschätzungen, wie in den oben genannten Beispielen dargestellt, aufdeckbar und korrekturfähig werden. Die momentane Praxis der Scoring-Verfahren führt auch zu einer erheblichen wirtschaftlichen Benachteiligung von Verbrauchern. Unsere Studie konnte nachweisen, dass keine Testperson den beworbenen Bestzins erhalten hat. Im Extremfall lagen die Abweichungen zwischen Werbung und konkretem Angebot bei 10 Prozentpunkten. Zudem unterschieden sich die Kreditangebote der Banken für ein und dieselbe Person enorm. Hier betrug die höchste Spannweite 5,5 Prozentpunkte. Die Studie konnte keinen auch nur annähernden Zusammenhang zwischen dem auf einem Scoring- Verfahren beruhenden Kreditangebot und der tatsächlichen Bonität der Tester festmachen. Hier zeigt sich jenes Informationsdefizit, das das Bundesverfassungsgericht schon erkannt hat, als es die Grundlagen unseres heutigen Datenschutzes gestaltet hat. Ohne Transparenz wird dem Verbraucher sein Handeln am Markt und damit sein Einfluss auf ein nachfrageorientiertes Angebot erheblich erschwert. Fazit: Um Fehler im Datenbestand aufdecken und korrigieren zu können, und um die Angemessenheit der Interpretation der Daten überprüfen zu können, fordert der Verbraucherzentrale Bundesverband, dass Anbieter Verbraucher über den Einsatz von Scoring-Verfahren, die verwendeten Daten und deren Gewichtung aufklären. 8 Der Gesetzentwurf sieht zwar einige zu begrüßende Ansätze vor, er verfehlt allerdings insgesamt das Ziel, die Transparenz der Verfahren gerade im Hinblick auf die Gewichtung der verwendeten Daten zu verbessern. Pro und Contra des Gesetzentwurfs lassen sich wie folgt zusammenfassent: Änderungen in 6a BDSG-E präzisieren, was unter einer ausschließlich auf eine automatisierte Verarbeitung gestützte Entscheidung zu verstehen ist und sehen zu Recht vor, dass Verbrauchern nicht nur die Tatsache des Vorliegens einer automatisierten Einzelentscheidung mitgeteilt werden muss, sondern auch die wesentlichen Gründe dieser Entscheidung ( 6a Abs. 2 Nr. 1 Satz 2 BDSG-E). In 6a Abs. 2 Nr. 1 Satz 2 BDSG-E sollte jedoch eindeutiger definiert werden, was unter wesentliche Gründe dieser Entscheidung verstanden wird. 5

6 Eine Neuregelung in 6a Abs. 3 BDSG-E verbietet zu Recht, dass Daten über die Ausübung von Rechten (Scorewert-Abfragen bei Auskunfteien) übermittelt werden. Die Neuregelung des 28a Abs. 1 BDSG-E schafft wichtige Voraussetzungen zum Umgang mit umstrittenen Forderungen. Finden bestrittene beziehungsweise bestreitbare Forderungen unrichtigerweise Eingang in den Datenbestand von Auskunfteien, können Folgen wie beispielsweise. das Sperren von Zahlungskarten und Versorgungsverträgen bis hin zur Gefährdung von Anschlussfinanzierungen zu Baufinanzierungen unzulässige Sanktionswirkungen entfalten. Ein Verbraucher muss jedoch davor bewahrt werden, nur deshalb auf Forderungen einzugehen, weil dieser Sanktionseffekt ihn schneller konkret gefährdet, als er noch Rechtsschutz suchen kann. Auskunfteien und Scoringverfahren dürfen ihrer Wirkung nach keinen zweiten Rechtsweg gestalten können. Vor dieser Prämisse sehen wir momentan noch die Gefahr, dass 28a Abs. 1 BDSG-E fehlerhafterweise als lex specialis zu 35 Abs. 4 BDSG interpretiert wird. Auch eine nachträglich bestrittene Forderung muss im Sinne jener Norm aber unverzüglich wieder aus dem Datenbestand entfernt werden können, selbst wenn das Einmelden, das nun definiert wird, erlaubt war. Sonst wäre der Rechtsweg faktisch verkürzt. Der pragmatische Ansatz des Gesetzentwurfs, die Voraussetzungen der zulässigen Einmeldung zu definieren, wird dem Verbraucher zwar in der Regel eine rechtzeitige Wahrnehmung und ein rechtzeitiges Bestreiten ermöglichen. Trotzdem ist die verspätete Wahrnehmung wie auch der Irrtum über den Inhalt und die Rechtmäßigkeit einer Forderung nicht ausgeschlossen. Dies ist beispielsweise dann der Fall, wenn ein unseriöser Anbieter unrechtmäßige Forderungen erhebt und den Forderungsgrund ständig variiert. Dann ist es dem Verbraucher nicht zuzumuten, auf jede neue Forderung reagieren zu müssen. Gleichfalls kann sich eine sehr hohe aber unzulässige Forderung beispielsweise erst bei der Rechts- oder Schuldnerberatung als tatsächlich unzulässig herausstellen. Ein ergänzender Satz in 28a Abs. 1 BDSG-E, dass 35 Abs. 4 BDSG von dieser Regelung unberührt bleibt, kann diese Risiken wirksam ausschließen. Eine neue Regelung in 28a Abs. 2 Satz 4 BDSG-E verbietet zu Recht, dass Verhaltensweisen, die der Markttransparenz dienen (Konditionenanfragen) übermittelt werden. Sie dürfen somit auch nicht mit Einwilligung der Verbraucher von Auskunfteien verwertet werden. Die neuen Regelungen in 34 Abs. 2, Abs. 3 und Abs. 4 BDSG-E sehen vor, dass Auskunfteien und die für die Entscheidung verantwortlichen Stellen (beispielsweise Banken) Verbrauchern sechs bzw. zwölf Monate lang auch Auskunft über die Wahrscheinlichkeitswerte, Datenarten und das Zustandekommen der Wahrscheinlichkeitswerte in allgemein verständlicher Form geben müssen. Zwar zeigen diese Änderungen in die richtige Richtung. Sie greifen jedoch entschieden zu kurz. Während es in dem Referentenentwurf vom 17. Juni 2008 noch eine Verpflichtung für die Anwender von Scoring-Verfahren gab, 6

7 wonach diese die zur Berechnung der Wahrscheinlichkeitswerte genutzten Datenarten in absteigender Reihenfolge ihrer Bedeutung für das im Einzelfall berechnete Ergebnis nennen mussten, beschränkt sich der Gesetzentwurf auf die Beauskunftung der genutzten Datenarten und der Verpflichtung, das Zustandekommen der Wahrscheinlichkeitswerte einzelfallbezogen und nachvollziehbar in allgemein verständlicher Form zu erläutern. Das reicht nicht aus. Eine Auskunft über die Datenart erhält der Verbraucher heute schon in vielen Fällen, ohne dass er hierdurch versteht, wie der Scorewert zustande gekommen ist. Auch ist zu befürchten, dass die abstrakt gehaltene Aufforderung, in allgemein verständlicher Form zu unterrichten, in der Praxis zu keiner spürbaren Verbesserung des Status Quo führt. Daher fordern wir, dass die im Referentenentwurf vom 17. Juni 2008 vorgesehene Regelung wieder aufgenommen wird. Das ist wichtig, um Entscheidungen von Anbietern, auch Fehlentscheidungen auf Grund fehlerhafter Daten, nachvollziehbar zu machen. Sollte diese Regelung nicht aufgenommen werden, verfehlt die Novellierung ihr Ziel, für mehr Transparenz zu sorgen. Zudem sollten die Speicherfristen ( 34 Abs. 2 Nr. 1 und Abs. 4 Nr. 1 BDSG- E) auf zwölf Monate angeglichen werden. Es gibt aus unserer Sicht keine erkennbaren Gründe für eine unterschiedliche Regelung. Wir sprechen uns ausdrücklich für die längere Speicherfrist aus, da Verbraucher teilweise sehr spät in einem Fall erst nach eineinhalb Jahren von einer fehlerhaften Eintragung erfahren. Gerade weil es noch wenig bekannt ist, dass ein fehlerhafter Eintrag Grund für schlechte Angebote oder auch Ablehnungen sein kann, ist damit zu rechnen, dass nicht wenige Verbraucher erst spät auf fehlerhafte Informationen als Ursache für ihre Probleme stoßen. Bei der Vielzahl von Auskunfteien ist es auch nicht immer möglich, diese Information sofort zu finden. Die längere Speicherung gibt Verbrauchern die Chance, Annahmen von Anbietern korrigieren zu können, die auf einer fehlerhaften Datengrundlage beruhen. Davon profitiert auch der Anbieter, wenn er von einem Verbraucher, den er zu Unrecht abgewiesen hatte, wieder angesprochen wird. Speichert man ohnehin die Score-Ergebnisse und die Weitergaben, gehen wir davon aus, dass der Mehraufwand für gegebenenfalls etwas größere Speichereinheiten umsatzbezogen für das Unternehmen quasi keine Relevanz hat. Eine Änderung in 34 Abs. 8 BDSG-E räumt Verbrauchern begrüßenswerter Weise das Recht ein, einmal im Jahr eine unentgeltliche schriftliche Auskunft zu verlangen. Diese Änderung ist wichtig, da die Wahrnehmung des Grundrechts auf informationelle Selbstbestimmung kostenfrei sein muss. Eine Regelung des Gesetzentwurfs lehnen wir jedoch strikt ab: 28a Abs. 2 BDSG-E will die vermeintliche Rechtsunsicherheit über die Freiwilligkeit von Einwilligungserklärungen zur Nutzung von Positivdaten im Kreditgeschäft dadurch auflösen, dass das Einwilligungserfordernis zur Übermittlung von personenbezogenen Daten an Auskunfteien ganz abgeschafft werden soll. Diese Rechtsunsicherheit sehen wir nicht. Vielmehr ignorieren und verletzen Unternehmen das Recht ihrer Kunden, wie etwa in unserer Studie und auch wiederholt von Stiftung Warentest 9 festgestellt, indem sie keine Einwilligungen 7

8 eingeholt haben. Der geplante Verzicht auf die Einwilligung des Verbrauchers beeinträchtigt dessen Handlungs- und Kontrollfähigkeit, welche Daten an wen weitergeleitet werden, unverhältnismäßig stark. Dabei sieht der Entwurf selbst diesen Konflikt und schlägt die Zulässigkeit für den Fall des überwiegenden schutzwürdigen Interesses des Betroffenen vor. Allerdings kann nur der Betroffene selbst dies formulieren, und die Interessenverletzung wird nach dieser Norm in der Regel erst nachgängig festgestellt werden können. Das heißt, hier wird nicht eine Rechtsunsicherheit aufgelöst, sondern erst eine erhebliche Rechtsunsicherheit zum Nachteil des Verbrauchers geschaffen. Damit der Verbraucher auch vorab den Überblick über die verwendeten Datenquellen behält, müssen Anbieter auch weiterhin verpflichtet sein, eine Einwilligung einzuholen. Andernfalls können Verbraucher ihnen suspekte Auskunfteien nicht meiden und ausschließen. Zu beachten ist, dass es nicht nur um die Abfrage, sondern auch um die Einmeldung von Informationen über Verbraucher geht. Verbraucher würden mit dieser neuen Regelung jede Kontrolle über den Kreditbereich verlieren, wer über sie relevante Daten speichern darf. Denn durch einen Verzicht auf eine Einwilligung kann ein Anbieter eine vom Verbraucher explizit abgelehnte Auskunftei ohne weiteres in den Datenaustausch einbeziehen. Wir sind uns bewusst, dass ein Fortbestehen des Einwilligungserfordernisses das Recht des Anbieters nicht einschränkt, die Abfrage bestimmter Auskunfteien zur Bedingung seiner Leistung zu machen. Der Verbraucher kann dann aber steuern, mit welchem Anbieter er kooperieren möchte. Auch ist darauf hinzuweisen, dass es keine Pflichtvorgabe zur Nutzung von Datenbanken gegenüber dem einzelnen Verbraucher bei der Bonitätsbewertung gibt, weder aus Basel II noch aus der neuen EU- Verbraucherkreditrichtlinie. b) Diskriminierung durch Scoring-Verfahren unterbinden Die Verwendung von Scoring-Verfahren birgt die Gefahr einer verdeckten Diskriminierung in sich. Werden Verbraucher beispielsweise anhand ihres Wohnortes bewertet, besteht das Risiko des redlinings, einer kollektiven geographischen Sippenhaft. Menschen haben viele unterschiedliche Gründe dafür, sich an einem bestimmten Ort niederzulassen. Werden jedoch die Bewohner einer bestimmten Region (beispielsweise eines Straßenzuges) in Scoring-Verfahren kollektiv benachteiligt, steigt die Gefahr, dass die gesamte Region in eine Abwärtsspirale gerät. Daher begrüßen wir es, dass der Gesetzentwurf in 28b Abs. 3 BDSG-E vorsieht, dass im Falle der Nutzung von Anschriftdaten der Betroffene vor der Berechnung des Wahrscheinlichkeitswerts von der vorgesehenen Nutzung dieser Daten unterrichtet worden ist; die Unterrichtung ist zu dokumentieren. Zu kritisieren ist allerdings, dass es nicht möglich ist, der wohnortbezogenen Bewertung durch Einlegung eines Widerspruchs zu entgehen. Dass wohnortbezogene Bewertungen individuelle wie auch gemeinwohlschädliche Konsequenzen entwickeln, ist durch die Erfahrungen in den USA belegt. Es wäre jetzt eine Chance, diese negativen Folgen gar nicht erst entstehen zu lassen. 8

9 c) Den Einsatz von Scoring-Verfahren am Grundsatz der Verhältnismäßigkeit ausrichten Scoring-Verfahren finden in immer mehr Bereichen des Wirtschaftslebens Anwendung. Der Verbraucherzentrale Bundesverband vertritt jedoch die Auffassung, dass Scoring- Verfahren nicht in allen Bereichen verwendet werden dürfen. Wir sehen hier einen aus Art. 2 Grundgesetz erwachsenen Verfassungsauftrag des Gesetzgebers. Der Verhältnismäßigkeitsgrundsatz ist verletzt, wenn Verbraucher bei zunehmend mehr Geschäften mit einer einfachen händlerseitigen Vorleistungspflicht nicht davor geschützt werden, sich stets einem umfassenden Daten-Screening über ihr ganzes bisheriges Geschäftsgebaren aussetzen zu müssen. Hier reicht nämlich für das berechtigte Interesse des Anbieters die einfache Datenabfrage, ob der Verbraucher tatsächlich schon einmal diesbezüglich ausgefallen ist, als geringerer, durch Einwilligung jeweils hinzunehmender Eingriff in die informationelle Selbstbestimmung völlig aus. Besteht ein kreditorisches Risiko wie etwa beim Abschluss eines Kreditvertrags, beim Ratenkauf oder beim Abschluss eines Mobiltelekommunikationsvertrags, bei dem ein Handy in einem Abzahlungsgeschäft mitfinanziert wird, dann ist die Verwendung von Scoring-Verfahren legitim, natürlich unter Berücksichtigung der Transparenz und Antidiskriminierung. Ein kreditorisches Risiko ist dadurch charakterisiert, dass langfristige Zahlungsverpflichtungen über die Laufzeit eines Vertrags womöglich nicht eingehalten werden können. Allerdings werden Scoring-Verfahren auch im Vorfeld des Abschlusses von Verträgen verwendet, die regelmäßig und in kurzen Zeitabständen abgerechnet werden und bei denen lediglich ein allgemeines Vertragsrisiko vorliegt. Dieses Risiko ist in finanzieller Höhe überschaubar zahlt der Verbraucher nicht, kann das Vertragsverhältnis gekündigt werden. Im Übrigen ist hier auch der Verbraucher der Gefahr ausgesetzt, dass sein Vertragspartner seinen Verpflichtungen nicht nachkommt. Würde es Anbietern gestattet sein, Scoring-Verfahren für die Berechnung eines allgemeinen Vertragsrisikos zu verwenden, würden Verbraucher im Vertragsverhältnis einseitig benachteiligt. Legitim ist es hier, dass Anbieter eine Bonitätsauskunft einholen, die gezielt über das bisherige Zahlungsverhalten des Verbrauchers informiert, vor allem darüber, ob er in der Vergangenheit negativ aufgefallen ist, nicht aber darauf abzielt, zukünftiges Verhalten mittels Daten Dritter zu prognostizieren. Scoring, also die automatisierte und mittels Daten Dritter angelegte Prognoseberechnung zur Bonität des Verbrauchers in der Zukunft, ist ein unverhältnismäßiges und unzulässiges Bewertungsmittel für kurzfristige Zahlungsziele. Es ist nach unserer Kenntnis nicht geeignet, in signifikanter Weise eine Aussage über einen kurzfristigen Ausfall zu treffen, der nicht auch und wesentlich konkreter über die Datenabfrage, ob offene, ausgefallene Verträge vorliegen, abgedeckt werden kann. Zudem ist es unverhältnismäßig, über jede Art der Vorleistung langfristige Prognoseerwartungen aus zahlreichen anderen Vertragsbeziehungen einzuholen, die dem Anbieter über sein berechtigtes Interesse und seine konkreten eigenen Erfahrungen mit dem Verbraucher hinaus Hinweise geben, wie interessant 9

10 der Verbraucher ist, zum Beispiel sich ihm gegenüber kulant in der Kundenbetreuung zu verhalten. Daher fordern wir, dass die Verwendung von Scoring-Verfahren auf die Bereiche beschränkt wird, in denen ein kreditorisches Risiko besteht. Es genügt nicht, dass 29 Abs. 2 BDSG-E auf ein berechtigtes Interesse verweist. Es ist nämlich zu befürchten, dass dieser Verweis den Einsatz von Scoring-Verfahren im Rahmen eines allgemeinen Vertragsrisikos gerade rechtfertigen würde. Daher sollte der Gesetzgeber hier klarstellen, dass eine Übermittlung von Daten im Rahmen der Zwecke der Tätigkeit von Auskunfteien nur zulässig ist, wenn der Dritte, dem die Daten übermittelt werden, das Vorliegen eines kreditorischen Risikos glaubhaft dargelegt hat. d) Stärkere Sanktionen einführen Viele Datenschutzverstöße bleiben unsanktioniert, weil die traditionellen Aufsichts- und Kontrollverfahren, für die im privaten Bereich die Datenschutzaufsichtsbehörden und die betrieblichen Datenschutzbeauftragten zuständig sind, an einer zu geringen Kontrolldichte leiden, was zu spürbaren Vollzugsdefiziten führt. Eine Erhebung des Wirtschaftsmagazins WISO verdeutlicht exemplarisch dieses Umsetzungsdefizit. Das Bundesdatenschutzgesetz gibt Verbrauchern das Recht, bei Unternehmen nachzufragen, welche Daten über sie gespeichert sind, was mit diesen gemacht wird, und Daten gegebenenfalls berichtigen und löschen zu lassen. WISO hat geprüft, inwieweit die Unternehmen ihren Pflichten in der Praxis nachkommen. Das Ergebnis war, dass sie ihrer Auskunftspflicht über gespeicherte Daten nur in ungenügender Weise nachkommen. Die Wartezeiten für die Beantwortung von Anfragen betrugen zwischen 2 und 42 Tagen, die Hälfte der Unternehmen musste in einem Schreiben angemahnt werden, und von Neckermann, KarstadtQuelle und Mobilcom hätten die Verbraucher bis heute nichts gehört, wenn WISO nicht nachgehakt hätte. Auch unser Test der Kreditscoring-Praxis hat Verstöße gegen geltendes Recht festgestellt. So verbietet 6a Abs. 1 BDSG eine automatisierte Einzelentscheidung, wenn mit ihr ein erheblicher wirtschaftlicher Nachteil für den Verbraucher verbunden ist. Das Verbot gilt gemäß 6a Abs. 2 Nr. 2 BDSG nur dann nicht, wenn dem Verbraucher die Möglichkeit zur Stellungnahme gegeben wird und die Entscheidung anschließend noch einmal geprüft wird. Auf die Kreditwerbung mit Bestzins-Angeboten übertragen besagt diese Vorschrift, dass Verbrauchern, die nicht den beworbenen Bestzins erhalten, die Möglichkeit gegeben werden muss, ihren Standpunkt zu ihrer Kapitaldienstfähigkeit geltend zu machen. Unser Test zeigte jedoch, dass in knapp 80 Prozent der Fälle die Entscheidung für ein bestimmtes Kreditangebot als automatisierte Entscheidung erfolgte und somit gegen 6a BDSG verstoßen wird. Wir begrüßen es daher, dass der Gesetzgeber durch die Einführung eines Bußgeldtatbestands bei Auskunftsverweigerung ( 43 Abs. 1 BDSG-E) zumindest in diesem Bereich Sanktionen verschärft. Damit werden die Kosten von Verstößen genauso wie letztlich der Anreiz zur Einhaltung von Gesetzen erhöht. 10

11 2. Den Gesetzentwurf nutzen, um weitere Fälle des Datenmissbrauchs zu unterbinden Der Gesetzentwurf konzentriert sich wegen der Vielzahl der bestehenden Probleme auf Scoring-Verfahren. Intransparenz bei Datenverarbeitungsprozessen und weitere datenschutzrechtlich relevante Probleme gibt es aber genügend in anderen Bereichen. Daher halten wir es für erforderlich, die Novellierung des Bundesdatenschutzgesetzes auch dazu zu nutzen, zumindest die folgenden Maßnahmen umzusetzen. a) Klagebefugnisse der Verbraucherverbände im Datenschutz stärken Verbraucherverbände wie der Verbraucherzentrale Bundesverband können zur Wahrnehmung von Verbraucherinteressen mit Hilfe der Verbandsklage Unterlassungsansprüche wegen folgender Verstöße geltend machen: Verstoß gegen das Wettbewerbsrecht ( 8 UKlaG), Verwendung unzulässiger Allgemeiner Geschäftsbedingungen ( 1 UKlaG) und Verstoß gegen ein Verbraucherschutzgesetz, wenn ein solches Verfahren im Interesse des Verbraucherschutzes liegt ( 2 UKlaG). Es besteht jedoch der Bedarf, Unterlassungsansprüche gegen Unternehmen auch wegen datenschutzrechtlicher Verstöße durchsetzen zu können. Unter datenschutzrechtlichen Verstößen sind nicht nur inhaltlich unzulässig gestaltete Datenschutzklauseln zu verstehen, sondern vor allem die in der Praxis häufig vorkommenden Fehler bei der Art der Einbeziehung der Datenschutzklausel, ihrer äußeren Gestaltung und sonstiger formeller Mängel. Genau den drei letztgenannten Verstößen ist aber weder mit Hilfe des Unterlassungsanspruchs nach 1 UKlaG noch nach 2 UklaG zu begegnen notwendige Rechtsverfahren scheitern daher. Beide Vorschriften greifen nicht, wie vor allem das Beispiel der sogenannten Einwilligungsklauseln zeigt. Durch das Setzen eines Häkchens hinter eine solche Erklärung soll der Verbraucher in eine umfängliche Datenspeicherung und den Erhalt von -Werbung zustimmen ( Ich erkläre mich mit den Datenschutzbestimmungen einverstanden). Sofern nicht die hinter dieser Formulierung hinterlegten Datenschutzbestimmungen inhaltlich auf ihre Gesetzeskonformität überprüft und gegebenenfalls beanstandet werden sollen, sondern allein die Form und Darstellung der Erklärung, kann hierfür 1 UKlaG nicht genutzt werden, da über diese Vorschrift nur eine Inhaltskontrolle von Geschäftsbedingungen möglich ist. Im Rahmen des 1 UKlaG kann lediglich der Inhalt einer Allgemeinen Geschäftsbedingung beanstandet werden, nicht hingegen die Art ihrer Einbeziehung und weitere formelle Mängel wie die äußere Gestaltung einer Klausel. Ein Unterlassungsanspruch lässt sich auch nicht aus 2 UKlaG herleiten. Denn 2 UklaG setzt voraus, dass eine verbraucherschützende Norm verletzt ist. Datenschutzrechtliche Vorschriften als Verbraucherschutzvorschriften finden sich jedoch nicht im Beispielskatalog des 2 Abs. 2 UKlaG wieder. Auch die Rechtsprechung hat hier noch keine Abhilfe geschaffen. Insoweit sind klagebefugten Verbänden an dieser Stelle die Hände gebunden. Die Praxis zeigt jedoch, dass unseriöse Unternehmen genau diese Lücke nutzen und ahnungslosen Verbrauchern auf diesem Weg umfängliche Einwilligungserklärungen unterschieben, die sie in dieser Form bei einer transparenten Darstellung in vielen Fällen nicht abgegeben hätten. 11

12 Daher fordert der Verbraucherzentrale Bundesverband dringend, das Rechtsinstrument der Verbandsklage zu verbessern. Im Unterlassungsklagengesetz ist eine Klarstellung erforderlich, dass Datenschutzgesetze Verbraucherschutzgesetze im Sinne des 2 UKlaG sind. Zudem sollte eine solche Klarstellung auch im 1 BDSG (Zweck und Anwendungsbereich des Gesetzes) und in dem Telemediengesetz aufgenommen werden. b) Die Einwilligung in einen Vertrag darf nicht an die Einwilligung in die Verwendung persönlicher Daten zu Werbezwecken gekoppelt werden Das Recht auf informationelle Selbstbestimmung basiert auf dem Prinzip der Freiwilligkeit der Einwilligung zur Weitergabe von Informationen. Es gibt jedoch eine deutliche Zunahme von Fällen, in denen ein Vertragsschluss von der Einwilligung der Verwendung personenbezogener Informationen abhängig gemacht wird, die über die zur Vertragserfüllung notwendigen Informationen hinausgehen. Wir sprechen in diesen Fällen von einer Koppelung. Hierbei wurde in der Vergangenheit unter anderem 3 Abs. 4 Teledienstedatenschutzgesetz ausgenutzt, der besagt, dass Unternehmen keine Koppelung vornehmen dürfen, es sei denn, es gibt andere Anbieter, auf die der Verbraucher ausweichen kann. Am Beispiel Ebay, das die Nutzung seiner Plattform von der Einwilligung zur Verwendung personenbezogener Daten zu Werbezwecken abhängig macht, offenbart sich die praktische Schwäche dieses begrenzten Koppelungsverbots. Bewertet nämlich ein Gericht eine Firma wie Ebay nicht als marktbeherrschendes oder zumindest dominantes Unternehmen, greift das Verbot nicht jüngst geschehen durch das Oberlandesgericht Brandenburg. Es ist der irrigen Ansicht, dass eine Monopolstellung in Bezug auf die von Ebay angebotenen Teledienste nicht angenommen werden könne. Das Telemediengesetz hat diese Schutzlücke nicht geschlossen und das Bundesdatenschutzgesetz ist in dieser Frage nicht eindeutig. Ein weiteres aktuelles Beispiel für Koppelungen sind die sogenannten sozialen Netzwerke wie StudiVZ oder SchülerVZ. Auch hier wird die Mitgliedschaft zumeist von der Einwilligung des Verbrauchers abhängig gemacht, dass seine Daten für Werbeund Marketingzwecke verwendet werden dürfen. Eine Koppelung läuft dem Grundsatz einer freiwilligen Einwilligung zuwider. Verbraucher müssen Entscheidungen frei von datenschutzfremden Zwängen treffen können. Um einer fortschreitenden Aushöhlung des Rechts auf informationelle Selbstbestimmung durch rein kommerzielle Interessen entgegenzuwirken, halten wir ein Koppelungsverbot in den Datenschutzgesetzen daher für dringend erforderlich. Ein Vertragsschluss darf nicht von der Weiterverarbeitung von Daten, die nicht für die Vertragserfüllung erforderlich sind, abhängig gemacht werden. c) Das Prinzip der freiwilligen Einwilligung stärken Nach dem Bundesdatenschutzgesetz sind die Erhebung, Verarbeitung und Nutzung personenbezogener Daten verboten, es sei denn, sie sind durch das Bundesdatenschutzgesetz oder eine andere Rechtsvorschrift ausdrücklich erlaubt oder 12

13 angeordnet, oder der Betroffene hat dazu seine Einwilligung erklärt. Wichtig bei der freiwilligen Einwilligung ist, dass diese (i) in Schriftform erfolgt, (ii) der Betroffene über die Tragweite seiner Entscheidung aufgeklärt ist und (iii) die Einwilligung freiwillig, das heißt frei von Zwang, erfolgt. Ein aktuelles Beispiel für die Unzulänglichkeit der bestehenden Gesetze im Bereich der Rabattkartenprogramme ist der Branchenführer Payback. Der Verbraucherzentrale Bundesverband hat das Bundesdatenschutzgesetz dahingehend ausgelegt, dass die freiwillige Einwilligung zur Datenverarbeitung eine aktive Handlung der Betroffenen voraussetzt. Diese drückt sich in dem sogenannten Opt-In aus. Die Praxis bei Payback entspricht jedoch dem Opt-Out. Hier wird standardmäßig die Einwilligung der Verbraucher zur Verwendung der Daten zu Werbezwecken vorausgesetzt. Will der Verbraucher nicht einwilligen, muss er eine aktive Handlung des Auskreuzens vollziehen. Der Verbraucherzentrale Bundesverband sieht den Grundsatz der Freiwilligkeit hiermit auf den Kopf gestellt und hatte daher Klage gegen Payback eingereicht. Er bekam in der ersten Instanz vom Landgericht München I Recht. Dem schloss sich die Berufungsinstanz nicht an. Der Bundesgerichtshof hat am 16. Juli 2008 entschieden, dass eine freiwillige Einwilligung im Sinne des BDSG nicht durch ein Opt-In zum Ausdruck gebracht werden muss ein Opt-Out Verfahren daher zulässig ist. Wir bedauern diese Entscheidung und sehen daher gesetzgeberischen Handlungsbedarf. Die Bedeutung des Unterschieds zwischen einer Opt-In- und einer Opt-Out-Regelung wird durch Untersuchungen illustriert. In diesen Studien wird festgestellt, dass lediglich circa 20 Prozent der Verbraucher bei einem Ankreuz-Verfahren die Einwilligung zur Verwendung der Daten für Werbezwecke erteilen würden. Sind sie jedoch gehalten eine Einwilligung zurückzuziehen, dann tun dies nur 20 Prozent mit dem Resultat, dass 80 Prozent ihre Einwilligung erteilen. Das heißt, dass die Art der Formulierung der Einwilligung einen wesentlichen Einfluss darauf hat, wie viele Verbraucher diese Einwilligung erteilen. Der Grund hierbei dürfte darin zu finden sein, dass Verbraucher es zum einen nicht gewohnt sind, in Verträgen Dinge zu streichen, und zum anderen befürchten, dass die Streichung der Einwilligung dazu führen könnte, dass sie dann keine Rabattpunkte mehr bekommen. Vor dem Hintergrund der Entscheidung des Bundesgerichtshofes fordert der Verbraucherzentrale Bundesverband, im Bundesdatenschutzgesetz klar zu stellen, dass die Verwendung von personenbezogenen Daten für jeden anderen Zweck als zur Vertragserfüllung von der freiwilligen und expliziten Einwilligung des Betroffenen abhängig ist. Eine solche Einwilligung wird durch das Opt-In zum Ausdruck gebracht. d) Sammelrückruf für Einwilligungen verankern Verbraucher haben das Recht, einmal erteilte Einwilligungen in die Verwendung von Daten zu widerrufen. Allerdings ist lediglich derjenige an diesen Widerruf gebunden, den der Verbraucher anspricht. In vielen Fällen werden Einwilligungen jedoch auch für die Weitergabe von Daten erteilt. Verbraucher haben jedoch in den seltensten Fällen einen Überblick darüber, an wen ihre Daten weitergegeben werden. 13

14 Um Verbrauchern die Möglichkeit zu geben, erteilte Einwilligungen wirksam zu widerrufen, muss im Bundesdatenschutzgesetz geregelt werden, dass Anbieter, die die Daten weitergegeben haben, dazu verpflichtet sind, einen Widerruf an alle Unternehmen weiter zu geben, an die sie auch die Daten weiter gegeben haben. e) Voraussetzungen für ein Datenschutzaudit schaffen Im Zuge der letzten Novelle des Bundesdatenschutzgesetzes wurden selbstregulierende und selbstkontrollierende Verfahren vorgeschlagen, die auf marktwirtschaftlichen Anreizen basieren und den Datenschutz und die Datensicherheit verbessern sollen. Eines dieser marktwirtschaftlichen Instrumente ist das Datenschutzaudit. Das Datenschutzaudit ist ein freiwilliges Instrument für die Überprüfung der datenschutzrechtlichen Eignung von Produkten, Dienstleistungen und Verfahren. Das Ziel des Datenschutzaudits ist es, die Transparenz über den Datenschutz und die Datensicherheit zu erhöhen, Vertrauen von Nutzern zu gewinnen und für eine kontinuierliche Verbesserung des Datenschutzes und der Datensicherheit zu sorgen. Ein Datenschutzsiegel auf der Grundlage eines Audits sollte Verbrauchern auf den ersten Blick vermitteln, dass ein Produkt, eine Dienstleistung oder ein Verfahren den produkt- bzw. anwendungsspezifischen Datenschutz- und Datensicherheitsanforderungen genügt. Entscheidend für die Aussagekraft eines Datenschutzsiegels ist, dass es glaubwürdig, aussagekräftig und vergleichbar ist. Zwar wurde das Instrument des Datenschutzaudits bei der letzten Novellierung des Bundesdatenschutzgesetzes eingeführt. Allerdings fehlt es bislang an einem Ausführungsgesetz zu 9a BDSG. Der Gesetzgeber hat im September 2007 einen Referentenentwurf vorgelegt. Der Verbraucherzentrale Bundesverband hat diesen in seiner Stellungnahme vom 15. Oktober 2007 grundsätzlich begrüßt. Zwar erfüllt dieser Entwurf wesentliche Anforderungen aus Verbrauchersicht nicht, wir halten es jedoch für notwendig, dass die Diskussion um diesen Entwurf noch in dieser Legislaturperiode fortgesetzt wird. 1 Siehe exemplarisch die aktuellen Untersuchungsergebnisse der Stiftung Warentest zum Umgang mit personenbezogenen Kundendaten bei Kundenkarten, 2 siehe unter anderem: gnahme04.pdf 3 ask=mit&search_1=scoring&search_2=&hiliting=yes 4 Zeitsensor, Nr. 4 (2007) 5 ask=mit&search_1=scoring&search_2=&hiliting=yes 6 vgl. Börse Online Heft 44/2006 ab S. 47, Ganz schön viele Fehler 14

15 7 Finanztest 07/2008, Schufa/ / / 8 siehe unter anderem: gnahme04.pdf 9 Vgl. Finanztest 02/2007 und 02/2008, jeweils ab S