Von der Bewertung der Bonität durch die CRIF als einer der zwei großen Kreditauskunfteien in Österreich hängt es unter anderem ab, ob man einen Vertrag mit Mobilfunkanbietern wie Magenta und Drei, Stromversorgern wie dem Verbund und Banken wie Raiffeisen oder Volksbank bekommt. „Die CRIF hat eine Art Melderegister mit den Daten fast aller Leute in Österreich aufgebaut. Daraus wird dann ein aus unserer Sicht fragwürdiger Score zu jedem Menschen berechnet und an andere Unternehmen verkauft“, lautet die Kritik des österreichischen Datenschützers Max Schrems, Gründer des Vereins noyb, der sich auf die Durchsetzung von Datenschutzgesetzen spezialisiert hat.

Aus seiner Sicht ist die Art, wie CRIF die Kreditwürdigkeit von Personen bewertet, „eher Datenvoodoo als eine ernsthafte Berechnung.“ Die CRIF gebe selber an, nur zu zehn Prozent der Bevölkerung sogenannte Zahlungserfahrungsdaten wie Meldungen von Inkassobüros zu haben. Für die restlichen 90 Prozent errechnet sich der CRIF-Score demnach aus Alter (Ältere schneiden besser ab) Geschlecht (Frauen haben einen Vorteil) und Anschrift – „vor allem die Adresse ist wichtig“, sagt Schrems nach etlichen Tests von noyb. CRIF gehe aber noch weiter: „Bei Personen, die gar nicht in der Datenbank auffindbar sind, wird ebenfalls ein Score erstellt – laut CRIF lediglich anhand der Daten in der Anfrage.“ Anders gesagt: „CRIF verkauft lieber einen Score, statt zu sagen: ,Zu dieser Person haben wir nichts‘.“ Was den Datenschützern ebenfalls auffällt, ist ein großer Anteil an sogenannten Trash-Daten bei CRIF: „Neben einem Peter Pan und zahlreichen Mustermännern taucht auch Jesus Christus in der Datenbank auf“, sagt Schrems. Der verstorbene Dietrich Mateschitz, einst reichster Österreicher, sei zum Zeitpunkt der Abfrage in der CRIF-Datenbank lebendig und unterdurchschnittlich kreditwürdig gewesen.

Woher stammen die Daten überhaupt?

Bei noyb vermutet man auch, dass CRIF die Personendaten unrechtmäßig gesammelt hat. Ein großer Teil davon stammt vom Adressverlag AZ Direct, der diese laut Gewerbeordnung nur zu Direktmarketingzwecken weitergeben dürfte, sie aber jahrelang um 120.000 Euro pro Jahr an CRIF verkauft hat, wo sie zweckentfremdet wurden, wie Schrems betont.
Nach bestehenden Gerichtsurteilen und Entscheidungen der österreichischen Datenschutzbehörde sind laut noyb viele Bereiche der Datenverarbeitungspraxis der CRIF nicht mit der Datenschutz-Grundverordnung (DSGVO) vereinbar. „Viele dieser Fälle betreffen aber nur Teilaspekte und sind auch noch nicht höchstgerichtlich bestätigt und damit nicht rechtskräftig.“ Das große Ärgernis für Datenschützer: „Entscheidungen in Einzelfällen werden zwar umgesetzt, aber das Geschäftsmodell läuft im Kern weiter und wird bisher auch von den Behörden nicht unterbunden.“

1500 „Datenspenden“ werden gesucht

Dem möchte noyb jetzt in zwei Schritten, zuerst mit einem Auskunftsprojekt und dann vor allem mit einer Sammelklage, ein Ende machen. Zunächst werden 1500 in Österreich lebende Personen gesucht, die ihre Zustimmung dazu geben, dass noyb ihre Daten bei CRIF abruft. Gemeinsam mit einer Universität werden die Scores mit den tatsächlichen Einkommenssituationen (nach denen die Teilnehmer gefragt werden) und mit den Daten anderer Teilnehmer verglichen. Das soll zeigen, wieweit die Scores statistisch korrekt sind.
Mit den Beweisen aus dem Auskunftsprojekt könnte dann eine Sammelklage gegen CRIF eingebracht werden. In diesem Fall könnte Betroffenen auch eine Schadenersatzzahlung zustehen. „Üblich sind Beträge zwischen 200 bis 1000 Euro pro Person. Bei Millionen Betroffenen in Österreich könnte das schnell die größte Sammelklage des Landes werden.“
Hier geht es zur CRIF-Aktion.

Wie CRIF argumentiert

CRIF weist die Vorwürfe von Max Schrems „ausdrücklich zurück“, wie es in einer schriftlichen Stellungnahme heißt, werde sie aber „selbstverständlich im Einzelnen überprüfen“. Die Einhaltung aller datenschutzrechtlichen Bestimmungen sei für das Unternehmen selbstverständlich. Zum Scoring heißt es: „Unser Scoring entspricht den höchsten Qualitätsstandards.“ Zuverlässige Bonitätsauskünfte seien für einen funktionierenden Wirtschaftsstandort unbedingt notwendig, um das Risiko von Zahlungsausfällen zu verringern und große finanzielle Schäden für Unternehmen und folglich für die öffentliche Hand – Stichwort Privatkonkurse – zu verhindern.

Mehr zum Thema