Bonitätsprüfungs-Verfahren externer Dienstleister

Schufa-Score gesunken, Beschwerde offen

Schufa-Score einer Kundin gesunken, Beschwerde-Ticket offen, fünfstelliges Bußgeld möglich. Im Payment-Team schiebt dir deine Teamleiterin Hanna am Dienstagvormittag das Ticket rüber: Die Kundin schreibt, sie wollte nur auf Rechnung bestellen, wurde abgelehnt, und jetzt steht eine Kreditanfrage in ihrer Schufa-Auskunft.

Erinnerst du dich an die Datenpunkte externer Risikodienstleister? Genau hier wird es konkret. Die Schufa speichert Informationen, auf die dein Shop keinen direkten Zugriff hat. Fünf typische Datenpunkte fließen in den Bonitätsindex ein:

1. Zahlungserfahrungen - pünktliche oder verspätete Rückzahlungen bei Krediten und Verträgen
2. Laufende Kreditverpflichtungen - offene Darlehen, Dispokredite
3. Anschriftenstabilität - Umzugshäufigkeit
4. Kontoeröffnungen - Anzahl und Zeitpunkt neuer Bankverbindungen
5. Anfrageverhalten - wie oft der Score abgefragt wurde

Dein Onlineshop sieht nur den Score-Wert. Auf laufende Kreditverpflichtungen und Kontoeröffnungen hat er keinen Zugriff.

Hard-Inquiry oder Soft-Inquiry?

Welche Art von Abfrage hat euer Dienstleister ausgelöst? Hier liegt der Kern der Beschwerde.

Hard-Inquiry (Kreditanfrage): Score sinkt, Anfrage wird 12 Monate gespeichert und ist 10 Tage für andere Kreditgeber sichtbar. Üblich bei Ratenkauf und Kreditvertrag.

Soft-Inquiry (Konditionsanfrage): Score bleibt unverändert, nur für die Person selbst sichtbar. Üblich bei der Risikoabfrage zum Rechnungskauf und bei der Eigenauskunft.

Für einen normalen Rechnungskauf hätte euer Dienstleister eine Soft-Inquiry auslösen müssen. Lief stattdessen eine Hard-Inquiry, ist die Beschwerde der Kundin berechtigt.

⚖️ Vergleich im Kopf: Hard-Inquiry vs. Soft-Inquiry - bei welchen der vier Anfragearten (Ratenkauf, Rechnungskauf-Prüfung, Eigenauskunft, Kreditvertrag) sinkt der Score, und bei welchen bleibt er unverändert?

Art. 22 DSGVO: Zwei Tatbestandsmerkmale

Neben der Abfrageart steckt ein zweites Problem in Hannas Ticket: War die automatische Ablehnung ohne Einwilligung zulässig?

Art. 22 DSGVO verbietet Entscheidungen, die zwei Merkmale gleichzeitig erfüllen: Sie beruhen ausschließlich auf automatisierter Verarbeitung, und sie entfalten eine rechtliche Wirkung oder erhebliche Beeinträchtigung. Ohne ausdrückliche Einwilligung ist das unzulässig. Der EuGH (C-634/21 SCHUFA, 07.12.2023) hat klargestellt, dass bereits die Score-Berechnung als automatisierte Einzelentscheidung im Sinne von Art. 22 DSGVO gilt, wenn Dritte (z.B. Online-Shops) die Entscheidung "im Wesentlichen" auf den Score stützen.

Drei Checkout-Szenarien zeigen, wo die Grenze liegt:

1. Rechnungskauf automatisch abgelehnt, Vorkasse und Kreditkarte bleiben verfügbar. Keine komplette Ablehnung, aber viele Datenschutzbehörden werten die Zahlart-Einschränkung bereits als erhebliche Beeinträchtigung.
2. Gesamte Bestellung automatisch abgelehnt, keine Alternative. Der Vertrag kommt nicht zustande - das ist eine rechtliche Wirkung. Einwilligung zwingend nötig.
3. Automatische Vorauswahl, aber eine Person prüft die Ablehnung vor der Anzeige. Keine ausschließlich automatisierte Entscheidung. Art. 22 greift nicht.

Zwei Verstöße in einem Ticket

Im Ticket der Kundin kommen beide Probleme zusammen: eine Hard-Inquiry, die den Score gesenkt hat, und eine automatische Ablehnung ohne Einwilligung. Wenn sich beides bestätigt, drohen eurem Shop ein ungerechtfertigter Score-Eintrag bei der Schufa und ein Bußgeld nach Art. 22 DSGVO.

🧑‍🏫 Erkläre es im Kopf: Stell dir vor, du erklärst einer neuen Kolleg:in in zwei Sätzen, wann eine automatisierte Bonitätsprüfung im Checkout einwilligungspflichtig ist - und wann nicht. Welche zwei Bedingungen aus Art. 22 DSGVO nennst du?