Einleitung: Schufa-Daten im datenschutzrechtlichen Fokus
Die Frage der Zulässigkeit von Datenübermittlungen an Wirtschaftsauskunfteien wie die Schufa beschäftigt aktuell nicht nur deutsche Gerichte, sondern könnte bald auch den Europäischen Gerichtshof entscheidend beschäftigen. Ausgangspunkt ist ein Verfahren vor dem Landgericht Lübeck, in dem ein Kläger gegen die Weitergabe seiner Vertragsdaten durch ein Mobilfunkunternehmen vorgegangen ist. Das Gericht sieht bei der Auslegung der einschlägigen Regelungen der Datenschutzgrundverordnung erhebliche Zweifel und hat daher mit Beschluss vom 4. September 2025 (Az. 15 O 12/24) den Europäischen Gerichtshof eingeschaltet. Für Unternehmen aller Branchen, ob Mobilfunkanbieter, Onlinehändler oder auch Finanzinstitutionen, sind die möglichen Konsequenzen von zentraler Bedeutung, da sie die Grenze zwischen zulässiger Datenverarbeitung und unzulässiger Grundrechtseinschränkung neu bestimmen könnten.
Juristischer Hintergrund und einschlägige Normen
Maßgeblich für die Beurteilung der Rechtmäßigkeit ist Artikel 6 f der Datenschutzgrundverordnung. Diese Norm erlaubt eine Datenverarbeitung, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist und nicht die Interessen oder Grundrechte der betroffenen Person überwiegen. Das Spannungsfeld liegt somit zwischen wirtschaftlichen Interessen an einem verlässlichen Bonitätssystem und dem Grundrecht auf informationelle Selbstbestimmung. Der Begriff der Verarbeitung umfasst nach der Definition der Datenschutzgrundverordnung jeden Vorgang im Zusammenhang mit personenbezogenen Daten, von der bloßen Speicherung bis zur Übermittlung an Dritte. Bei personenbezogenen Daten handelt es sich um sämtliche Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, also auch Name, Adresse oder Vertragsnummer.
Analyse der Vorlagefragen und mögliche Konsequenzen
- Das Landgericht Lübeck zweifelt zunächst daran, ob Artikel 6 f überhaupt eine taugliche Rechtsgrundlage für eine massenhafte und automatisierte Datenübermittlung darstellt. Der Gedanke dabei ist, dass diese Praxis tief in die Grundrechte einer Vielzahl von Bürgerinnen und Bürgern eingreift und deshalb nur durch eine speziellere gesetzliche Grundlage auf europäischer Ebene gedeckt sein dürfte.
- Eine weitere zentrale Vorlagefrage zielt darauf, ob die Verwendung dieser Daten für ein sogenanntes Scoring, also die Bildung eines Bonitätswertes, die Übermittlung per se rechtswidrig macht. Diese Fragestellung ist deshalb so bedeutsam, weil das Geschäftsmodell der Schufa maßgeblich auf derartigen Daten basiert und faktisch die Kreditvergabe vieler Banken und Leasingunternehmen beeinflusst.
- Schließlich geht es um die Auslegung des Schadensersatzanspruchs nach Artikel 82 der Datenschutzgrundverordnung. Dieser gewährt betroffenen Personen eine Entschädigung auch für immaterielle Schäden, sofern eine Datenschutzverletzung vorliegt. Umstritten ist jedoch, ob bereits ein bloßer Hinweis im Vertrag auf eine Datenübermittlung ausreicht, um die Rechtmäßigkeit abzusichern, oder ob zwingend eine ausdrückliche Einwilligung eingeholt werden muss.
Die Antworten auf diese Fragen könnten dazu führen, dass gängige Geschäftsprozesse in der Telekommunikationsbranche, aber auch in anderen Wirtschaftsbereichen, erheblich angepasst werden müssen. Betroffen sind nicht nur Mobilfunkunternehmen, sondern ebenso Onlinehändler, Leasinggesellschaften oder auch Pflegeeinrichtungen, die im Rahmen von Zahlungsvereinbarungen mit Auskunfteien zusammenarbeiten.
Praktische Auswirkungen für Unternehmen
Sollte der Europäische Gerichtshof die Rechtsauffassung bestätigen, wonach Artikel 6 f nicht einschlägig sei, würde dies bedeuten, dass Datenübermittlungen an Auskunfteien ohne ausdrückliche gesetzliche Grundlage unzulässig sind. Damit stünde das gesamte System automatisierter Bonitätsprüfungen rechtlich in Frage. Unternehmen müssten sich dann vollständig auf die freiwillige Einwilligung ihrer Kunden stützen, was erhebliche praktische Herausforderungen und ein erhöhtes Risiko von Vertragsabbrüchen mit sich bringt. Darüber hinaus besteht für jedes Unternehmen die Pflicht, die Informationsrechte der Betroffenen umfassend zu erfüllen und sicherzustellen, dass Dokumentation und Nachweise zu Einwilligungen jederzeit abrufbar sind. Die Gefahr von Schadensersatzforderungen und Bußgeldern bei Verstößen würde deutlich steigen.
Gerade mittelständische Unternehmen, die in sensiblen Märkten wie dem Gesundheits- und Pflegebereich agieren, müssen dabei besondere Sorgfalt walten lassen. Dort sind die Daten oftmals besonders schützenswert, da sie neben finanziellen auch Gesundheitsinformationen enthalten. Aber auch für Onlinehändler und kleine Betriebe, die Zahlungsrisiken über Auskunfteien absichern, könnte eine Entscheidung zugunsten strengerer Anforderungen zusätzliche Kosten und organisatorische Umstellungen nach sich ziehen.
Fazit und Handlungsempfehlung
Die zukünftige Rechtsprechung des Europäischen Gerichtshofs wird entscheidend sein, um die Grenzen der rechtmäßigen Datenübermittlung an Auskunfteien zu bestimmen. Unternehmen sind daher gut beraten, bereits jetzt ihre internen Prozesse kritisch zu überprüfen, um sich auf ein mögliches Szenario mit verschärften Anforderungen vorzubereiten. Besondere Bedeutung kommt dabei der sorgfältigen Dokumentation, der Gestaltung von Einwilligungsprozessen und der Schulung von Mitarbeitern im Umgang mit personenbezogenen Daten zu. Unsere Kanzlei unterstützt kleine und mittelständische Unternehmen bei der rechtssicheren Umsetzung datenschutzrechtlicher Anforderungen und fokussiert sich insbesondere auf Digitalisierung und Prozessoptimierung in der Buchhaltung. Unsere Erfahrung zeigt, dass hierdurch nicht nur erhebliche rechtliche Sicherheit, sondern auch nachhaltige Kostenersparnisse erzielt werden können.
Gerichtsentscheidung lesen
