Kurz gefasst
Vierundzwanzig Monate: darüber hinaus sollten frühere Zahlungsvorfälle nicht mehr verwendet werden. Sechs Monate: so lange dürfen die Daten eines abgelehnten Nichtkunden aufbewahrt werden. Der Score ist über die Auskunft erfragbar, samt dem, was ihn verständlich macht. Das Geschäftsgeheimnis darf die Antwort begrenzen, nicht zur pauschalen Ablehnung machen.
Es gibt kein Recht auf Kredit, es gibt eine Pflicht zu erklären
Die CNIL setzt dort an, wo eine Juristin ansetzen würde: bei der Vertragsfreiheit nach Artikel 1101 des Code civil. Niemand ist verpflichtet, ein Darlehen zu gewähren. Vor der Gewährung besteht aber die Pflicht, die Bonität zu prüfen, und diese Prüfung verarbeitet personenbezogene Daten.
Institute dürfen künstliche Intelligenz oder statistische Modelle einsetzen. Die CNIL schreibt, diese Werkzeuge «unterliegen der DSGVO: sie müssen transparent sein, Verzerrungen begrenzen und dürfen nicht zu Diskriminierungen führen», und dass das Institut in jedem Fall für die Entscheidung verantwortlich bleibt und die wesentlichen verwendeten Kriterien sowie die Folgen des Verfahrens für die Lage der Person erklären können muss.
Die drei Zahlen
- Vierundzwanzig Monate: die CNIL empfiehlt, frühere Zahlungsvorfälle nicht länger zu verwenden, außer in besonderen Fällen.
- Sechs Monate: bei einem abgelehnten Nichtkunden dürfen die Antragsdaten sechs Monate aufbewahrt werden, um einen späteren Antrag schneller zu bearbeiten.
- Darüber hinaus nur für Rechtsstreitigkeiten: für die Dauer der Verjährung, bis zum Ende eines laufenden Verfahrens und unter strengen Vertraulichkeitsbedingungen.
Zu den Vorfällen nennt die CNIL zwei leicht vergessene Bedingungen. Verwendet werden dürfen nur solche, die im Voraus festgelegten objektiven Kriterien entsprechen. Und der Zusammenhang ist zu berücksichtigen: ob sie bestritten, ob sie ausgeglichen wurden, ob ein Gericht entschieden hat. Ein durch rechtskräftige Entscheidung ausgeräumter Vorfall darf nicht mehr in die Bewertung eingehen.
Der Score wird nach Artikel 15 erfragt
Die betroffene Person kann ihren Score erfragen, und die Auskunft muss mit dem kommen, was ihn verständlich macht — etwa den Mindest- und Höchstwerten für die Kreditgewährung. Die CNIL ist deutlich: es darf keine Wiederholung dessen sein, was vor der Prüfung mitgeteilt wurde; es muss genau und auf die Person bezogen sein.
Das Auskunftsrecht ist nicht absolut, und das Geschäftsgeheimnis kann einem Teil der Antwort entgegenstehen. Aber «diese Ablehnung darf nicht pauschal und absolut sein»: das Institut muss sich bemühen, dem Antrag stattzugeben und so weit wie möglich zu antworten, mit so vielen Angaben wie möglich.
Worauf bei einem Mandanten mit Scoring zu achten ist
Die Frist, nach der frühere Vorfälle ausscheiden, und ob sie irgendwo festgehalten ist. Die vorab festgelegte Liste verwendbarer Vorfallsarten: fehlt sie, fehlen auch die objektiven Kriterien. Das Verfahren zur Beantwortung eines Auskunftsersuchens zum Score und die Frage, wer entscheidet, was das Geschäftsgeheimnis deckt. Und die Kredite, die nicht so heißen — Ratenzahlung, Zahlungsaufschub, Karte mit Rahmenkredit, Kontoüberziehung: das ist Kredit und kann die Prüfung auslösen.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
