Automatisierte Kreditentscheidungen und Art. 22 DSGVO

Score und Entscheidung unterscheiden

Ein Score kann in einen Entscheidungsprozess einfließen, ohne selbst die abschließende Kreditentscheidung zu sein. Art. 22 DSGVO richtet sich an Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten oder eine Person ähnlich erheblich beeinträchtigen. Deshalb sind zwei Fragen getrennt: Wie entstand eine Auskunfteibewertung, und wie verwendete der Kreditgeber sie? Eine automatisierte Vorprüfung mit echter menschlicher Entscheidung kann anders zu beurteilen sein als eine vollständig maschinelle Ablehnung. Die bloße Geschwindigkeit einer Antwort beweist keine der beiden Varianten. Verantwortliche Stelle und konkreter Ablauf müssen ermittelt werden.

Beleggrundlage: Art. 22 DSGVO – automatisierte Entscheidungen

Ausnahmen haben Schutzvorkehrungen

Art. 22 DSGVO nennt Ausnahmen, etwa wenn eine automatisierte Entscheidung für einen Vertrag erforderlich oder ausdrücklich eingewilligt ist, jeweils unter weiteren Bedingungen. Bei bestimmten Ausnahmen müssen angemessene Maßnahmen die Rechte und Freiheiten der betroffenen Person schützen. Dazu zählt mindestens die Möglichkeit, menschliches Eingreifen zu verlangen, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten. Eine Einwilligung muss die allgemeinen DSGVO-Anforderungen erfüllen; ein verstecktes Häkchen ist nicht automatisch wirksam. Ob eine konkrete Kreditentscheidung unter eine Ausnahme fällt, verlangt Kenntnis des tatsächlichen Verfahrens und der Rechtsgrundlage.

Beleggrundlage: Art. 22 DSGVO – automatisierte Entscheidungen

Welche Auskunft weiterhilft

Art. 13 bis 15 DSGVO sehen bei automatisierter Entscheidungsfindung Informationen über das Bestehen des Verfahrens, aussagekräftige Informationen über die involvierte Logik sowie Tragweite und angestrebte Auswirkungen vor. Das bedeutet nicht zwingend die Herausgabe vollständigen Programmcodes. Eine gute Anfrage benennt Antrag, Datum und erhaltene Entscheidung und fragt den jeweiligen Verantwortlichen nach Automatisierungsgrad, Datenkategorien, Logik und vorgesehenem Überprüfungsweg. Kreditinstitut und Auskunftei erhalten getrennte Schreiben. Antworten werden auf konkrete Angaben geprüft; allgemeine Datenschutzhinweise können den individuellen Auskunftsanspruch nicht in jedem Fall vollständig erfüllen.

Beleggrundlage: Art. 22 DSGVO – automatisierte Entscheidungen · Art. 15 DSGVO – Informationen über automatisierte Verarbeitung

Menschliche Überprüfung konkret verlangen

Wer eine ausschließlich automatisierte erhebliche Entscheidung vermutet, kann nicht nur eine allgemeine Beschwerde formulieren, sondern sachliche Punkte für eine Überprüfung nennen: fehlerhafte Daten, verwechslungsfähige Identität oder besondere Umstände, die das Modell nicht erfassen konnte. Das ist keine Anleitung, Angaben zu beschönigen; alle Informationen müssen wahr sein. Das Ergebnis einer menschlichen Prüfung bleibt offen und kann weiterhin ablehnend ausfallen. Bei Streit über Transparenz oder Rechtsgrundlage kommen betrieblicher Datenschutzkontakt, Datenschutzaufsicht oder qualifizierte Rechtsberatung infrage. HD Kredit kann weder den internen Prozess sehen noch eine Annahme durch Überprüfung versprechen.

Beleggrundlage: Art. 22 DSGVO – automatisierte Entscheidungen

Zeitlinie statt Vermutung erstellen

Eine kurze Zeitlinie enthält Antrag, Datenerhebung, Auskunfteiabfrage, Entscheidung, Auskunftsanfrage und Antwort. Sie macht sichtbar, welcher Datenstand zu welchem Schritt verfügbar war. Ein später korrigierter Eintrag beweist nicht automatisch, dass er die frühere Entscheidung verursacht hat. Für eine Überprüfung wird genau gefragt, ob und wie der betreffende Datensatz im damaligen Verfahren verwendet wurde. So bleibt die Beanstandung überprüfbar.

Beleggrundlage: Art. 22 DSGVO – automatisierte Entscheidungen · Art. 15 DSGVO – Informationen über automatisierte Verarbeitung

Im gleichen Prüfschritt weiterlesen

• SCHUFA-Score sachlich einordnen — Ein Score verdichtet statistische Informationen für einen bestimmten Zweck. Er ist keine persönliche Kreditentscheidung und keine Charakterbewertung.
• Datenschutz bei einer Kreditanfrage — Eine Kreditanfrage verarbeitet besonders aussagekräftige Finanzdaten. Verantwortliche, Zwecke, Empfänger und Rechtsgrundlagen müssen transparent sein.
• Eine Kreditablehnung sachlich einordnen — Eine Ablehnung ist die Entscheidung zu einem konkreten Antrag. Sie ist weder eine allgemeine Zukunftsprognose noch ein Beweis für einen einzelnen Datenfehler.