Pimp your creditscore – demnächst als How To aus Luxemburg? Warum der erneute Abgesang auf den SCHUFA-Score verfehlt ist (GE/EN)

Sachverhalt und Vorlagefragen

Ein Betroffener hatte ein gewünschtes Bankdarlehen nicht erhalten – mutmaßlich auch wegen eines nicht ausreichenden Bonitätsscores, den die Bank zuvor bei der Schufa abgefragt hatte. Der Betroffene wandte sich zunächst an die Schufa mit Anträgen auf Auskunft und Löschung und, nachdem diese Anträge durch die Schufa seines Erachtens nicht hinreichend erfüllt wurden, an den Hessischen Datenschutzbeauftragten (HBDI). Dieser lehnte es unter Verweis auf die Rechtskonformität des Schufaverfahrens ab, gegen die Schufa vorzugehen. Das sich anschließende gerichtliche Verfahren gegen den HBDI setzte das VG Wiesbaden aus und legte dem EuGH u.a. folgende Frage zur Vorabentscheidung vor:

Ist Art. 22 Abs. 1 DSGVO dahin gehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung darstellt, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?

Oder kurzgefasst: Ist bereits ein durch eine Auskunftei ermittelter Bonitätsscore, der durch ein Unternehmen als Entscheidungsgrundlage für eine Kreditvergabe herangezogen wird, eine verbotene automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO?

Unter anderem zu dieser Frage hat der Generalanwalt am EuGH am 16.03.2023 seine Schlussanträge vorgelegt. Abseits der Vorlagefragen sah sich der Generalanwalt dazu genötigt, auch etwas zu den Transparenzanforderungen bei Scorewertberechnungen zu sagen.

Scorewertberechnung = verbotene automatische Entscheidung nach Profiling?

Im Zentrum des Vorlageverfahrens steht die datenschutzrechtliche Einordnung von Scorewerten. Gemäß Art. 22 Abs. 1 DSGVO hat eine betroffene Person das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“ Profiling, das automatisch zu einer für den Betroffenen nachteiligen Entscheidung führt, ist also verboten.

Der Generalanwalt kommt in seinen Schlussanträgen zu der Aussage, dass eine Scorewertberechnung durch eine Auskunftei dann als ein solches „verbotenes Profiling“ einzuordnen ist, wenn anfragende Unternehmen diesen Scorewert „nach ständiger Praxis“ „maßgeblich“ ihren Entscheidungen u.a. über den Abschluss eines Vertrages zugrunde legten.

Bereits die zitierten Passagen machen deutlich, dass der Generalanwalt bei Formulierung seiner Schlussanträge einen konkreten, sehr eng gefassten Sachverhalt vor Augen hatte. Auch in der Herleitung der Anträge wird die Darstellung des VG Wiesbaden an unterschiedlichen Stellen außergewöhnlich prominent hervorgehoben: „Nach den Angaben des vorlegenden Gerichts“ werde die Entscheidung über das Eingehen einer vertraglichen Beziehung „praktisch in so erheblichem Maße durch den […] Score-Wert determiniert […], dass jener gleichsam durch die Entscheidung des dritten Verantwortlichen durchschlägt“. „Laut dem vorlegenden Gericht“ entscheide über das Ob und Wie der Vertragseingehung „eigentlich […] der erstellte Score-Wert“. Unternehmen müssten ihre vertraglichen Entscheidungen zwar nicht von einem Score-Wert abhängig machen, sie würden es aber „in aller Regel […] maßgeblich [tun].“ Und so weiter und so fort.

Das Bild, das das vorlegende Gericht zeichnet, entspricht aber lediglich einem kleinen Teilbereich der Praxis. Für die Rechtsfindung ist das problematisch. Selbst der Generalanwalt scheint angesichts solcher verzerrter Darstellungen des vorlegenden Gerichts ein Unbehagen zu verspüren, betont er doch ausdrücklich, dass seine Einschätzung „vorbehaltlich der Würdigung des Sachverhalts, die jedem nationalen Gericht in jedem Einzelfall obliegt“ ergeht.

Und die Realität? Scorewerte sind ein wichtiger, längst aber nicht der einzige Faktor im Rahmen von Vertragsentscheidungen. Schon die breitgefächerte Branchenlandschaft, die Vertragsabschlüsse, etwa Verträge über Darlehen und Ratenlieferungen, oder die Auswahl von Bezahlverfahren (Stichwort: Kauf auf Rechnung), auch von Scorewerten abhängig macht, verbietet eine holzschnittartige Betrachtung. Wer schon einmal eine Immobile auf Pump erworben hat, weiß, dass für Banken neben dem Bonitätsscore zahlreiche weitere Faktoren maßgebend für die Kreditentscheidung sind.

Und; selbst wenn Scorewerte hier der „wesentliche“ Faktor sein sollten, führt dies dennoch nicht zu einer Anwendbarkeit von Art. 22 DSGVO. Hiernach muss die automatisierte Entscheidung nämlich „ausschließlich“ (sic!) maschinell erfolgen. Der Vorschlag des Europäischen Parlaments im Rahmen des Gesetzgebungsverfahrens der DSGVO, auch lediglich „vorrangig“ automatisierte Entscheidungen vom Anwendungsbereich des Art. 22 DSGVO zu erfassen, hat sich gerade nicht durchgesetzt. Geht die Entscheidung nur teilweise oder nur überwiegend auf eine maschinelle Bewertung zurück, findet Art. 22 DSGVO keine Anwendung. Die Ausführungen des Generalanwalts sind an dieser Stelle rechtlich falsch.

Erhebliche Beeinträchtigung bei Scorewert-gestützten Entscheidungen?

Profiling ist nur dann verboten, wenn es automatisch in eine Entscheidung mündet, die für die betroffene Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Den damit verbundenen, überaus vielschichtigen Rechtsfragen widmet sich der Generalanwalt in gerade einmal zwei Randnummern. Das ist unterkomplex.

Auf Grundlage des Vorlagesachverhalts ist es zwar folgerichtig, dass mit der Ablehnung eines Kreditantrages jedenfalls eine erhebliche Beeinträchtigung für den Betroffenen einhergeht. In den zahlreichen anderen Konstellationen, in denen Scorewerte geschäftliche Entscheidungen beeinflussen, fehlt es jedoch regelmäßig an rechtlichen oder anderweitig erhebliche beeinträchtigenden Wirkungen. Die bloße Verweigerung eines Vertragsabschlusses oder das Verwehren bestimmter Vertragskonditionen bewirken weder eine Rechtsfolge, noch ist die betroffene Person hierdurch in einer vergleichbaren Weise erheblich beeinträchtigt. Der Grundsatz der Privatautonomie und hier insbesondere die Freiheit, Verträge nur unter Zugrundelegung einseitig definierter Modalitäten abzuschließen, würde faktisch ausgehebelt, führte man über den Umweg des Art. 22 DSGVO ein hierauf gerichtetes Verbot ein. Abseits der Grundversorgung herrscht Kontrahentenfreiheit. Hierauf und auf die Gestaltung von Verträgen gerichtete Verbote sind in der Regel grundrechtswidrig.

Fernliegend ist auch die Annahme einer erheblichen Beeinträchtigung in Fällen, in denen Verbrauchern unter Zugrundelegung eines Scorewerts der Vertragsabschluss nur unter Gewährung bestimmter Bezahlverfahren, etwa solchen, die für den Händler kein kreditorisches Risiko mit sich bringen, angeboten wird (zwar Nachnahme oder Vorkasse, nicht aber Kauf auf Rechnung). In solchen Konstellationen geht es gerade nicht um das Ausschlagen eines Vertragsangebots oder um eine Diskriminierung des Verbrauchers, sondern um eine im Sinne beider Vertragsparteien erfolgenden geringfügigen Angebotsmodifikation durch den Händler im Rahmen seiner unternehmerischen Freiheit, aber auch Pflicht. Soweit dem Verbraucher andere zumutbare Bezahlverfahren verbleiben, erreicht das subjektiv empfundene Störpotenzial nicht die in Art. 22 Abs. 1 DSGVO verlangte Schwelle der „erheblichen“ Beeinträchtigung; bloße als Unbequemlichkeit empfundene Folgen sollen gerade nicht erfasst werden. Hierauf weist auch der Generalanwalt explizit hin: Die Bestimmung decke „nur schwerwiegende Auswirkungen“ ab (Rn. 34 der Schlussanträge).

Keine Regel ohne Ausnahme

Selbst wenn man mit den Ausführungen des Generalanwalts bereits in der Erstellung eines Scorewerts durch eine Auskunftei eine „Entscheidung“ im Sinne von Art. 22 Abs. 1 DSGVO sehen würde, wäre in einem zweiten Schritt jedenfalls zu prüfen, ob das grundsätzliche Verbot der Nutzung einer solchen „Entscheidung“ nicht ausnahmsweise gemäß Art. 22 Abs. 2 DSGVO gerechtfertigt ist. Der Wortlaut der Norm ist eindeutig: Das Verwendungsverbot des Art. 22 Abs. 1 DSGVO „gilt nicht“, wenn einer der in Absatz 2 der Vorschrift genannten Ausnahmetatbestände greift.

Der Generalanwalt verliert hierzu kein Wort, mutmaßlich auch deshalb, weil das vorlegende Gericht (aus Gründen?) zu möglichen Ausnahmen vom Verwendungsverbot des Art. 22 Abs. 1 DSGVO nichts hören will. Vor dem EuGH ist es wie im richtigen Leben: Welche Antwort man erhält, ist maßgeblich durch die Fragestellung determiniert.

Jedenfalls drängt sich bezogen auf die durch den EuGH zu entscheidenden Kreditvergabefälle mit Art. 22 Abs. 2 lit. a DSGVO eine Ausnahme von dem Verwendungsverbot des Absatz 1 geradezu auf. Hiernach darf eine automatisierte Entscheidungsfindung genutzt werden, wenn die Entscheidung „für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist“.

Die durch den EuGH zu betrachtende automatisierte, auf Grundlage eines im Rahmen der Anbahnung eines Darlehensvertrags durchgeführten Bonitäts-Scorings erfolgende Entscheidung über die Kreditvergabe dürfte ein Hauptanwendungsfall dieser Ausnahme sein. Eine solche Entscheidung ist offenkundig erforderlich im Sinne von Art. 22 Abs. 2 lit. a DSGVO, da hierüber z. B. die maximale Darlehenshöhe und die Höhe der Raten für Zins und Tilgung auf Grundlage der tatsächlichen Leistungsfähigkeit des Antragstellers festgelegt werden. Der Generalanwalt legt sich hier selbst die Fährte, indem er darauf hinweist, dass „die Bearbeitung eines Kreditantrags ein dem Abschluss eines Darlehensvertrags vorausgehender Schritt“ ist (Rn. 35 der Schlussanträge), folgt dieser aber letztlich nicht. Spätestens das VG Wiesbaden wird um eine Befassung mit dieser Norm jedoch nicht herumkommen.

Pimp your creditscore

Schließlich äußerst sich der Generalanwalt – hier dann doch ungefragt – zu Transparenzpflichten im Zusammenhang mit der Erstellung von Scorewerten. Gesetzlich verankert ist diese Pflicht zur Transparenz in Art. 15 Abs. 1 lit. h DSGVO, wonach dem Betroffenen Auskunft über das Bestehen einer automatisierten Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DSGVO zu erteilen ist, einschließlich „aussagekräftiger“ Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung.

Im Ausgangsverfahren hatte die Schufa dem Vernehmen nach lediglich allgemeine Informationen zur eigens vorgenommenen Scorewertberechnung verfügbar gemacht und sich im Übrigen auf Betriebs- und Geschäftsgeheimnisse berufen. Geht es nach der Vorstellung des Generalanwalts ist die Verpflichtung, „aussagekräftige Informationen über die involvierte Logik“ bereitzustellen, jedoch dahin zu verstehen, dass „hinreichend detaillierte Erläuterungen zur Methode für die Berechnung des Score-Wertes und zu den Gründen […], die zu einem bestimmten Ergebnis geführt haben“ bereitgestellt werden müssen. Der Verantwortliche sollte die betroffene Person Informationen „vor allem zu bei der Entscheidungsfindung berücksichtigten Faktoren und deren Gewichtung auf aggregierter Ebene“ bereitstellen (Rn. 58 der Schlussanträge).

Obwohl in den Schlussanträgen eher randständig, hat dieser Punkt einiges an Sprengkraft. Bislang war anerkannt, dass aufgrund des eher abstrakten Begriffs der „Logik“ lediglich die einer Scorewertberechnung zugrundliegende Mechanik darzustellen ist, nicht jedoch die Gewichtung einzelner Faktoren, erst recht nicht die konkrete Berechnungsformel. Wenn nun aber künftig jedermann weiß, dass es sich beispielsweise – freilich hypothetisch – negativ auswirkt, wenn man exzessiv auf Rechnung bestellt, mehrere Kreditkarten hingegen einen tendenziell positiven Einfluss auf den eigenen Scorewert haben – welche Aussagekraft kommt solchen Scorewerten dann noch zu?

Hätte es künftig jedermann in der Hand, den eigenen Bonitätsscore zu modellieren, stünde die vor allem durch den Gesetzgeber wiederkehrend betonte Bedeutung des Auskunfteienwesens als unverzichtbaren Bestandteil der Wirtschaftsordnung wohl vor einer deutlichen Zäsur. Die Ermittlung der Kreditwürdigkeit und die Erteilung von Bonitätsauskünften bildeten „das Fundament des deutschen Kreditwesens und damit auch der Funktionsfähigkeit der Wirtschaft.“ (BT-Drs. 18/11325, 101; BT-Drs. 16/10529, 9). Damit und auch mit dem Schutz von Verbrauchern vor Überschuldung, der „sowohl im Interesse der Verbraucher selbst als auch der Wirtschaft“ liege, ist es nicht mehr weit her, wenn jedermann seinen Scorewert nach Belieben steuern könnte. Würden aber keine objektiv aufbereiteten Informationen zur Bonität von Marktteilnehmern mehr existieren, wären breite Schichten der Bevölkerung aufgrund der für Kreditgeber nicht kalkulierbaren Risiken von einer Kreditvergabe praktisch ausgeschlossen. Kontaktlose Massengeschäfte, die insbesondere in der zurückliegenden pandemischen Lage weiter an Bedeutung gewonnen haben, etwa in den Bereichen E-Commerce oder Telekommunikation, wären ohne objektiv aufbereitete Informationen zu potentiellen Kunden unmöglich, jedenfalls aber erheblich erschwert. In der Rechtsprechung wird diese Einordnung des Auskunfteienwesens als für die Wirtschaftsordnung besonders bedeutsam seit jeher geteilt. Bereits in seinen ersten Entscheidungen zum seinerzeit neu erlassenen ersten Bundesdatenschutzgesetz anerkannte der BGH die Interessen der Wirtschaft an validen und neutral aufbereiteten Informationen über potentielle Geschäftspartner (z.B. BGH, Urt. v. 15.12.83 – III ZR 207/82; BGH, Urt. v. 17.12.85 – VI ZR 244/84). Die Instanzrechtsprechung hat diese grundsätzliche Ausrichtung in der Folge ausnahmslos bestätigt (vgl. jüngst OLG Naumburg, Urt. v. 10.03.21 – 5 U 182/20; davor z.B. OLG Frankfurt a. M., Beschl. v. 14.12.17 – 3 U 141/15). Und nach Auffassung des EuGH höchstselbst unterstützen Kreditinformationssysteme Kreditinstitute bei der Erfüllung ihrer Aufgaben (EuGH, Urt. v. 27.3.14 – C-565/12) und sind dazu geeignet, der Überschuldung von Kreditnehmern vorzubeugen (EuGH, Urt. v. 23.11.2006 – C-238/05).

Ob und wenn ja, wie der EuGH diese eigens propagierte Wertschätzung für das Auskunfteienwesen mit der handwerklich schlecht gemachten Norm des Art. 15 Abs.1 lit. h DSGVO in Ausgleich bringen wird, bleibt also abzuwarten.

Fazit

Selbst wenn der EuGH den holprigen Ausführungen des Generalanwalts folgen sollte, ist damit keineswegs die Aussage verbunden, der Schufa-Score verstoße gegen EU-Recht. Medien, auch öffentlich-rechtliche, die mit dieser reißerischen Headline schon nach Vorlage der Schlussanträge des Generalanwalts aufwarteten, sollten sich auf ihre journalistisch-publizistische Sorgfaltspflicht besinnen.

Auch sonst wird die Erwartungshaltung Vieler wohl enttäuscht werden: Das aktuelle Schufa-Verfahren taugt weder für ein Bashing des Schufa-Scores noch des Auskunfteienwesens insgesamt. Der den Vorlagefragen zugrunde gelegte Sachverhalt ist eng und spiegelt, wenn überhaupt, nur einen kleinen Ausschnitt der Praxis wider. Und sollte das vorlegende VG Wiesbaden am Ende ein Anti-Schufa-Urteil fällen, wird das Verfahren damit gewiss noch nicht sein Ende gefunden haben.

_______________

Pimp your creditscore – coming soon as a HowTo from Luxembourg? Why the renewed criticism of the SCHUFA score is mistaken.

Several cases pending in Germany have led to the European Court of Justice (ECJ) dealing with individual issues relating to the admissibility of score calculations by credit agencies and their downstream use by companies. The questions submitted to the ECJ by the Administrative Court of Wiesbaden deal with the permissibility of storing information on residual debt discharges, the classification of score values as „prohibited profiling“ and transparency requirements in connection with score value calculations. The last two points will be discussed below.

Facts of the case and questions raised to the ECJ

A data subject had not received a desired bank loan – presumably also because of an insufficient credit score that the bank had previously queried with Schufa. The person concerned first turned to Schufa with requests for information and deletion and, after these requests were not sufficiently fulfilled by Schufa in his opinion, to the Hessian Data Protection Commissioner (HBDI). The HBDI refused to take action against Schufa, referring to the legal conformity of the Schufa procedure. The subsequent court proceedings against the HBDI were suspended by the Wiesbaden Administrative Court, which referred the following question, among others, to the ECJ for a preliminary ruling:

Is Article 22 (1) of Regulation (EU) 2016/679 1 to be interpreted as meaning that the automated establishment of a probability value concerning the ability of a data subject to service a loan in the future already constitutes a decision based solely on automated processing, including profiling, which produces legal effects concerning the data subject or similarly significantly affects him or her, where that value, determined by means of personal data of the data subject, is transmitted by the controller to a third-party controller and the latter draws strongly on that value for its decision on the establishment, implementation or termination of a contractual relationship with the data subject?

Or to put it briefly: Is a credit score determined by a credit agency and used by a company as the basis for a decision to grant credit already a prohibited automated decision within the meaning of Article 22 (1) of the GDPR?

Among other things, the Advocate General at the ECJ submitted his opinion on this question on March 16, 2023. Apart from the questions submitted, the Advocate General also felt compelled to say something about the transparency requirements for score calculations.

Score calculation = prohibited automatic decision after profiling?

At the heart of the reference proceedings is the classification of score values under data protection law. According to Article 22 (1) of the GDPR, a data subject has the right „not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her or similarly significantly affects him or her.“ Profiling that automatically leads to a decision adverse to the data subject is thus prohibited.

In his opinion, the Advocate General concludes that a score calculation by a credit agency is to be classified as such „prohibited profiling“ if inquiring companies „according to established practice“ base their decisions, inter alia, on the conclusion of a contract „decisively“ on this score.

The quoted passages already make it clear that the Advocate General had a concrete, very narrowly defined set of facts in mind when formulating his opinion. Also, in the derivation of the opinion, the facts presented by the Administrative Court of Wiesbaden is emphasized extraordinarily prominently at different points:  „According to the referring court“, the decision on entering into a contractual relationship is „practically determined to such a considerable extent by the […] score value […] that the latter, as it were, filters through to the decision of the third party responsible“. „According to the referring court“, the decision on whether and how to enter into a contract is „actually […] determined by the score value“. Companies do not have to make their contractual decisions dependent on a score value, but they would „as a rule […] significantly [do so].“ And so on and so forth.

The picture painted by the referring court, however, corresponds to only a small subset of practice. This is problematic for the finding of law. Even the Advocate General seems to feel uneasy in the face of such distorted portrayals by the referring court, as he explicitly emphasizes that his assessment is „subject to the assessment of the facts, which is incumbent on each national court in each individual case.“

And the reality? Score values are an important factor in contract decisions, but by no means the only one. The wide-ranging nature of the industry, which makes the conclusion of contracts such as loans and installment deliveries, or the selection of payment methods (e.g., purchase on account) dependent on score values, makes it impossible to take a simplistic view. Anyone who has ever bought a property on credit knows that, for banks, numerous other factors are decisive for the credit decision in addition to the credit score.

And; even if score values should be the „essential“ factor here, this still does not lead to an applicability of Article 22 of the GDPR. According to this, the automated decision must be made „exclusively“ (sic!) by machine. The proposal of the European Parliament in the context of the legislative process of the GDPR, to include also only „primarily“ automated decisions in the scope of application of Article 22 of the GDPR, has just not prevailed. If the decision is only partially or only predominantly based on a machine evaluation, Article 22 of the GDPR does not apply. The statements of the Advocate General are legally incorrect at this point.

Significant impairment in the case of score-based decisions?

Profiling is only prohibited if it automatically leads to a decision that has a legal effect on the data subject or significantly affects him or her in a similar way. The Advocate General addresses the associated, extremely complex legal issues in just two paragraphs. That is undercomplex.

On the basis of the facts of the case, it is indeed logical that the rejection of a credit request is in any case accompanied by a considerable impairment for the person concerned. However, in the numerous other constellations in which score values influence business decisions, there is regularly a lack of legal or otherwise significant impairing effects. The mere refusal to enter into a contract or to accept certain contractual terms and conditions does not have any legal effect, nor is the person concerned significantly impaired in a comparable way as a result. The principle of private autonomy, and in particular the freedom to conclude contracts only on the basis of unilaterally defined modalities, would be effectively undermined if a prohibition to this effect were introduced via the detour of Article 22 of the GDPR. Apart from the provision of primary care, there is freedom of contract. Prohibitions directed at this and at the drafting of contracts are generally contrary to fundamental rights.

It is also far-fetched to assume a significant infringement in cases where consumers are offered the conclusion of a contract on the basis of a score only if they are granted certain payment methods, such as those that do not entail any credit risk for the merchant (cash on delivery or payment in advance, but not purchase on invoice). In such constellations, it is not a matter of rejecting a contractual offer or discriminating against the consumer, but rather of a minor modification of the offer by the merchant within the scope of his entrepreneurial freedom, but also within the scope of his duty, which is in the interest of both contracting parties. To the extent that the consumer is left with other reasonable payment methods, the subjectively perceived potential for disruption does not reach the threshold of „significant“ impairment required by Article 22 (1) of the GDPR; mere consequences perceived as inconvenience are precisely not to be covered. The Advocate General also explicitly points this out: The provision covers „only serious effects“ (para. 34 of the Opinion).

No rule without exception

Even if one were to agree with the Advocate General’s comments that the creation of a score by a credit agency already constitutes a „decision“ within the meaning of Article 22 (1) of the GDPR, it would in any case have to be examined in a second step whether the general prohibition on the use of such a „decision“ is not justified by way of exception pursuant to Article 22 (2) of the GDPR. The wording of the provision is clear: The prohibition of use of Article 22 (1) of the GDPR „does not apply“ if one of the exceptions mentioned in paragraph 2 of the provision applies.

The Advocate General does not say anything about this, presumably also because the referring court (for reasons?) does not want to hear anything about possible exceptions to the prohibition of use of Article 22 (1) of the GDPR. Before the ECJ, it is like in real life: The answer one receives is largely determined by the question.

In any case, with regard to the loan cases to be decided by the ECJ, Article 22 (2) (a) of the GDPR virtually imposes an exception to the prohibition on use in paragraph 1. According to this, automated decision-making may be used if the decision is „necessary for the conclusion or performance of a contract between the data subject and the controller“.

The automated decision on the granting of a loan, which is to be considered by the ECJ and is based on a credit scoring carried out in the context of the initiation of a loan agreement, is likely to be a main case of application of this exception. Such a decision is obviously necessary within the meaning of Article 22 (2) (a) of the GDPR, since it determines, for example, the maximum loan amount and the amount of the installments for interest and repayment on the basis of the applicant’s actual ability to pay. The Advocate General puts himself on the track here by pointing out that „the processing of a loan application is a step preceding the conclusion of a loan agreement“ (para. 35 of the Opinion), but ultimately does not follow this. However, the Wiesbaden Administrative Court will have to deal with this issue at the latest.

Pimp your creditscore

Finally, the Advocate General comments – here without being asked – on transparency obligations in connection with the creation of score values. This duty of transparency is enshrined in law in Article 15 (1) (h) of the GDPR, according to which the data subject must be provided with information about the existence of automated decision-making within the meaning of Article 22 (1) of the GDPR, including „meaningful“ information about the logic involved and the scope and intended effects of such processing.

In the original proceedings, Schufa had reportedly only made available general information on the score calculation it had carried out itself and otherwise invoked trade and business secrets. However, if the Advocate General has his way, the obligation to provide „meaningful information about the logic involved“ must be understood as providing „sufficiently detailed explanations about the method for calculating the score value and the reasons […] that led to a certain result“. The controller should provide the data subject with information „in particular on factors taken into account in the decision-making process and their weighting at an aggregated level“ (para. 58 of the Opinion).

Although rather marginal in the Opinion, this point has some explosive power. Up to now, it was recognized that, due to the rather abstract concept of „logic“, only the underlying mechanics of a score calculation had to be presented, but not the weighting of individual factors, and certainly not the concrete calculation formula. But if everyone knows in the future that, for example, ordering excessively on invoice has a negative effect while several credit cards tend to have a positive influence on one’s score, what significance do such scores still have?

If everyone were able to model their own credit score in the future, the importance of the credit bureau system as an indispensable part of the economic order, which is repeatedly emphasized by the (German) legislator, would probably face a significant break. The determination of creditworthiness and the provision of credit reports form „the foundation of the German credit system and thus also of the economy’s ability to function.“ This, and also the protection of consumers against overindebtedness, which is „in the interests of both consumers themselves and the economy,“ is worth nothing anymore if everyone could control their score at will. However, if objectively processed information on the creditworthiness of market participants no longer existed, broad sections of the population would be virtually excluded from lending due to the risks that cannot be calculated for lenders. Non-contact mass transactions, which have gained in importance particularly in the recent pandemic, for example in the areas of e-commerce or telecommunications, would be impossible, or at least considerably more difficult, without objectively processed information on potential customers. This classification of credit agencies as particularly important for the economic order has always been shared by the courts. And according to the ECJ itself, credit information systems support credit institutions in fulfilling their tasks (ECJ, C-565/12) and are suitable for preventing the over-indebtedness of borrowers (ECJ, C-238/05).

It remains to be seen whether and if so, how the ECJ will reconcile this specially propagated appreciation for the credit bureau system with the poorly crafted standard of Article 15 (1) (h) of the GDPR.

Conclusion

Even if the ECJ were to follow the Advocate General’s bumpy comments, this would in no way imply that the Schufa score violates EU law. The media, including the public service media, which came up with this lurid headline as soon as the Advocate General’s opinion was presented, should remember their duty of care as journalists.

In other respects, too, the expectations of many will probably be disappointed: The current Schufa proceedings are not suitable for bashing either the Schufa score or the credit agency system as a whole. The facts underlying the questions referred are narrow and reflect, if at all, only a small section of the practice. And if the referring Administrative Court of Wiesbaden ultimately rules against Schufa, the proceedings will certainly not have come to an end.