noyb legt Datenschutzbeschwerde gegen Adresshändler und Auskunftei ein

Das Europäische Zentrum für digitale Rechte (noyb; Bedeutung: „none of your business“) hat Datenschutzbeschwerden gegen eine Auskunftei und einen Adresshändler eingelegt. Die beiden deutschen Unternehmen sollen gezielt die Datenschutz-Grundverordnung (DSGVO) ignorieren, teilte noyb mit. Der österreichische Verein um den bekannten Juristen und Datenschützer Max Schrems setzt damit seine Arbeit gegen rechtswidrige Geschäftspraktiken fort. Max Schrems erlangte im Oktober 2015 europaweite Bekanntheit, indem er in zwei großen Verfahren vor dem Europäischen Gerichtshof gegen den Internet-Riesen Facebook siegte. Dadurch erzielte er, dass die transatlantischen Datenschutzvereinbarungen „Safe Harbor“ und „Privacy Shield“ gekippt wurden.

Rechtswidriger Datenhandel

Ziel der Beschwerden sind zwei deutsche Unternehmen: Die Kreditauskunftei CRIF Bürgel und der Adresshändler Acxiom, beide in Deutschland ansässig. Acxiom verkauft Adressdaten Millionen deutscher Bürger an CRIF Bürgel. Diese Adressinformationen wurden allerdings ursprünglich zum Zweck des Direktmarketings gesammelt. Der Handel zwischen den Unternehmen mit personenbezogenen Daten verstoße laut noyb gegen die DSGVO sowie gegen nationales Datenschutzrecht. Das grundlegende Prinzip der DSGVO besagt, dass Daten nur für „festgelegte, eindeutige und legitime Zwecke“ erhoben werden dürfen. Insofern sei die nachträgliche Änderung des Zwecks nicht erlaubt. Daten, die ursprünglich für Direktmarketing erhoben wurden, dürften folglich ohne Zustimmung der Betroffenen nicht für Bonitätsberechnungen und Kreditbewertungen verwendet werden.

Im Juni 2018 hielt die deutsche Datenschutzkonferenz außerdem fest, dass „Positivdaten“ – also Daten, die nicht auf vergangenen Zahlungserfahrungen beruhen – nur mit Einwilligung der betroffenen Person verarbeitet werden dürfen. Das Bundesdatenschutzgesetz verbietet sogar ausdrücklich, einen Bonitätsscore ausschließlich anhand von Adressdaten zu berechnen. Trotzdem schreibt CRIF Bürgel den Betroffenen im konkreten Fall einen Score zu, der nur auf Basis ihres Namens und der aktuellen sowie ehemaligen Wohnadresse errechnet wird. Kreditscores müssen aber auf Zahlungserfahrungsdaten basieren.

Mehr als 62 Millionen Privatpersonen betroffen

Die betroffenen Personen ahnen in der Regel nicht, dass ihre Daten gesammelt, verarbeitet und weitergeben werden. Ebenso wenig rechnen sie damit, dass auf Basis ihrer Daten wie Name, Adresse und Geburtsdatum Kreditscores berechnet und verkauft werden. Die meisten von ihnen werden sich des Missbrauchs ihrer Daten erst bewusst, wenn sie die Konsequenzen spüren, wenn ihnen beispielsweise ein Kredit, der Kauf auf Rechnung oder der Abschluss eines Handyvertrags verwehrt werden. Wie ihre Kreditwürdigkeit berechnet wurde und woher die Daten stammen, wird dabei nicht deutlich. In der Datenbank von CRIF Bürgel befinden sich nach eigenen Angaben Datensätze über beinahe alle am Wirtschaftsleben teilnehmenden Privatpersonen – insgesamt über mehr als 62 Millionen Privatpersonen in Deutschland. Adressdaten Millionen deutscher Staatsbürger werden also ohne ihr Wissen oder ihre Zustimmung zur Kreditbewertung benutzt.

Vergangene Beschwerden von noyb

Bereits in der Vergangenheit hatte noyb eine ähnliche Beschwerde bei der österreichischen Datenschutzbehörde eingereicht. Auch in dem damaligen Fall ging es um Adresshandel. Der Adressverlag AZ Direct hatte damals rechtswidrig Adressdaten weiterverkauft – ebenfalls an CRIF Bürgel. Auch andere Wirtschaftsauskunfteien wie die Schufa sind aktuell Gegenstand weiterer Untersuchungen von noyb. Wie der neueste Schritt im Kampf gegen den unrechtmäßigen Datenhandel zwischen Adressverlagen und Kreditauskunfteien ausgehen wird, bleibt abzuwarten.

lrü