Einmal im Jahr kann jeder Bürger kostenlos seine Schufa-Auskunft abfragen, die besagen soll, wie kreditwürdig man ist. Was man jedoch nicht erfährt, ist, wie dieser Score zustande kommt. Denn die Berechnungsformel hinter dem Score ist ein Geschäftsgeheimnis. Im Februar hat die Initiative OpenSchufa dazu aufgerufen, gemeinsam mehr über den Schufa-Score herauszufinden. Die Initiatoren finden, Auskunfteien wie die Schufa müssen mehr Einblick geben, wie sie zu ihren Ergebnissen kommen.

Auskunfteien geben Gutachten selbst in Auftrag

Die Schufa selbst verweist auf ein mehrfaches Prüfverfahren ihrer Score-Berechnung. Das Unternehmen schreibt auf seiner Webseite: "Das Schufa-Verfahren zur Scoreberechnung ist bereits für Behörden und Aufsichten transparent". Damit ist gemeint, dass Auskunfteien wie die Schufa ihr Verfahren zur Score-Berechnung den Datenschutzbehörden zur Überprüfung offenlegen – allerdings geschieht dies nach Recherchen der Datenjournalisten des Bayerischen Rundfunks zu einem wesentlichen Teil auf Grundlage von Gutachten, die Auskunfteien selbst bei Universitäten und Wissenschaftlern in Auftrag geben. Dabei wählen die Auskunfteien die Institute aus, beauftragen und bezahlen sie. Ein System, das Datenschützer Thilo Weichert als äußerst unzureichend empfindet. Weichert kennt die Arbeit in einer Datenschutzbehörde aus 25-jähriger Erfahrung, unter anderem war er bis 2015 Datenschutzbeauftragter des Landes Schleswig-Holstein:

Auch andere Auskunfteien legen den Datenschutzbehörden Gutachten vor, etwa Crif Bürgel, Creditreform oder Infoscore. Dabei ergibt sich dasselbe Bild: Die Auskunfteien sind Auftraggeber für Gutachten, die ihre eigene Arbeit beurteilen. Die Wissenschaftler bewerten dabei, ob die eingehenden Kriterien auch wirklich eine Aussage über die Kreditwürdigkeit einer Person erlauben. Mehr fordert das Gesetz nicht. Das Verbraucherschutzministerium teilt mit, die Gutachten-Praxis sei im Ministerium nicht bekannt.

Fragen an die Uni, Antwort von der Schufa

Die Schufa betont, dass sie Wert auf die Unabhängigkeit der Institute legt. Die Universität Bayreuth sieht in der Gutachten-Praxis ebenfalls keinen Interessenskonflikt. Nach einer BR-Anfrage an die Universität Bayreuth nach dem Zustandekommen des Schufa-Gutachtens kommt dann unerwartet Antwort – von der Schufa, der die Fragen weitergeleitet wurden und die ungebeten darauf antwortet. Zitieren darf man daraus jedoch nicht. Auf Nachfrage teilt die Universität mit, dass die Fragen nicht von der Universität selbst, sondern von einem der beteiligten Wissenschaftler weitergeleitet wurden.

Landesdatenschutzbehörden uneins

Die Behörde des Hessischen Datenschutzbeauftragten, die neben der Schufa auch andere Auskunfteien beaufsichtigt, hält die aktuelle Gutachten-Praxis für unproblematisch – man könne im Zweifel ein eigenes Gutachten beauftragen und bezahlen. Allerdings hat die Behörde von dieser Möglichkeit noch nie Gebrauch gemacht. Bisher sei dies nicht erforderlich gewesen, so ein Sprecher.

Die Datenschutzbehörde in Nordrhein-Westfalen betont hingegen, dass den Datenschutzbehörden die erforderliche Fachkunde fehle, um wichtige Aspekte bewerten zu können. "Wir können die Gutachten damit nur auf Plausibilität prüfen", so ein Sprecher der Behörde, die für die Auskunftei Creditreform zuständig ist. "Für die externe Vergabe eines Prüfungsauftrags fehlen die finanziellen Mittel." Deshalb fordert die Behörde, Scoring-Verfahren durch unabhängige Stellen überprüfen zu lassen, auch wenn der gesetzlichen Pflicht durch die derzeitige Gutachten-Praxis Genüge getan sei.

Auch andere Experten wie der frühere Bundesdatenschutzbeauftragte Peter Schaar fordern eine unabhängige Prüfung der Algorithmen, die über die Kreditwürdigkeit von Millionen von Bürgern entscheiden. Die Idee: eine Art "Algorithmus-TÜV".

Keine flächendeckende Prüfung auf Diskriminierung

Thilo Weichert, der Ex-Datenschutzbeauftragte von Schleswig-Holstein, benennt ein weiteres Manko des Prüfverfahrens: Es gibt keine einheitliche und strukturelle Prüfung der Scoring-Verfahren auf mögliche Diskriminierung. Gemeint ist damit, ob Variablen wie Alter, Geschlecht oder Wohnort diskriminierend ins Scoring einfließen. "Das wird von Behörde zu Behörde unterschiedlich gesehen – wir in Schleswig-Holstein haben den Diskriminierungsschutz als Teil des Datenschutzes gesehen. Andere Behörden sehen das anders", so Weichert.

Tatsächlich bestätigt die hessische Datenschutzbehörde, dafür nicht den Auftrag zu haben: "Die Diskriminierungsprüfung unterliegt nicht meiner gesetzlich vorgegebenen Kompetenz. Eine andere zuständige Behörde dafür ist mir nicht bekannt." Das Landesamt für Datenschutzaufsicht Bayern, das für die Auskunftei Crif Bürgel zuständig ist, gibt an, anhand von Einzelfällen auf Diskriminierung zu prüfen und legt dabei einen besonderen Schwerpunkt auf die Gewichtung der Wohnadresse.

Datenschutzgrundverordnung bringt keine Verbesserung

Die Rechtslage ändert sich nach Einschätzung der Landesdatenschutzbehörden auch nicht grundlegend durch die europäische Datenschutzgrundverordnung, die am 25. Mai in Kraft tritt. Weichert hat wenig Hoffnung, dass den Scorern bald mehr Regeln auferlegt werden: "Diese allgemeinen Regelungen müssen präzisiert werden durch den nationalen Gesetzgeber. Doch der lehnt sich zurück und wartet ab, bis es da noch mehr politischen Druck gibt."

Wie groß jedoch der Druck für die Auskunfteien ist, die Prüfverfahren gut darzustellen, zeigt das Beispiel der Schufa, die dafür auf ihrer Webseite sogar die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) bemüht. Die Bafin ist für eine Überprüfung von Auskunfteien jedoch gar nicht zuständig. Auf Nachfrage heißt es von der Bafin, die Darstellung der Schufa "könnte den Eindruck erwecken, dass die Bafin die Modelle der Schufa prüft. Dies ist nicht der Fall."

Update vom 16.05.2018, 15.40 Uhr: Die Universität Bayreuth sieht in der Gutachten-Praxis ebenfalls keinen Interessenskonflikt.