Im Bescheid vom 13. Mai 2019 zur GZ DSBD123.688/0003-DSB/2018 hatte sich die Datenschutzbehörde u.a. mit der Frage zu beschäftigen, ob eine Kreditauskunftei für die von ihr durchgeführte Bonitätsbewertung als datenschutzrechtlicher Verantwortlicher zu qualifizieren ist.
Gegenstand des genannten Verfahrens ist eine behauptete Verletzung im Recht auf Auskunft. Neben mehreren seitens des Beschwerdeführers behaupteten
Verletzungen, die sich im Wesentlichen auf eine unvollständige Auskunft beschränken, wurde geltend gemacht, dass die Beschwerdegegnerin, welche eine Kreditauskunftei betreibt, keine näheren Angaben im Hinblick auf die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der durchgeführten Bonitätsbewertung des Beschwerdeführers beauskunftet habe. Die Beschwerdegegnerin brachte dem zusammengefasst entgegen, dass die Entscheidung über das Zustandekommen eines Rechtsgeschäfts bzw. in welcher Form das Rechtsgeschäft zustande kommt, ausschließlich das bei der Beschwerdegegnerin abfragende Unternehmen treffe.
Die Datenschutzbehörde hielt diesbezüglich fest, dass die Beschwerdegegnerin personenbezogene Daten zum Zweck der Ausübung ihres Gewerbes nach § 152 GewO 1994 (Auskunfteien über Kreditverhältnisse) verarbeitet und dass aufgrund der statistischen Wahrscheinlichkeit anhand gewisser Parameter ein mathematischer Wert errechnet wird, der die Zahlungsausfallwahrscheinlichkeit widerspiegelt. Der Umstand, dass Unternehmen die Möglichkeit haben, die Gewichtung bzw. weitere Parameter (etwa eigene Zahlungserfahrungen mit dem Endkunden/der betroffenen Person) in die Logik einfließen zu lassen, schadet dabei nicht. Im Sinne der obigen Überlegungen kann die Beschwerdegegnerin nämlich nicht als Auftragsverarbeiter verstanden werden, da die Daten nicht bloß im Auftrag des jeweiligen Kunden verarbeitet werden, sondern eine Verarbeitung unabhängig davon im Rahmen der Ausübung des Gewerbes nach
§ 152 GewO 1994 durchgeführt wird und die „Score-Formel“ – das heißt welche konkreten Informationen mit Personenbezug auf welche konkrete Weise miteinander kombiniert werden, um eine bestimmte Bonität zu errechnen- von der Beschwerdegegnerin selbst festgelegt
wird.
Nach Ansicht der Datenschutzbehörde handelt es sich um einen eigenständigen Entscheidungsprozess bei der Beschwerdegegnerin, da die Beschwerdegegnerin das genannte Gewerbe ausübt, um errechnete Bonitätsdaten in den wirtschaftlichen Verkehr zu bringen und dies nach der allgemeinen Lebenserfahrung mit erheblichen Beeinträchtigungen im wirtschaftlichen Leben verbunden sein kann. Sofern ein Endkunde, welcher die Bonitätsauskunft einholt, auf Basis der berechneten Bonität eine gewisse Entscheidung trifft – etwa indem er das Bonitätsergebnis unhinterfragt seiner wirtschaftlichen
Entscheidung zugrunde legt – handelt es sich hierbei um einen zweiten eigenständigen Entscheidungsprozess bei dem Endkunden.
Im Ergebnis war somit der Leistungsauftrag an die Beschwerdegegnerin zu erteilen, dem Beschwerdegegner aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der den Beschwerdeführer betreffenden Bonitätsbewertung zu geben. Dieser Bescheid ist nicht rechtskräftig.