Entscheidungen zum Datenschutzrecht · 01. Mai 2019

Finnland: Datenverarbeitung zur Kreditwürdigkeit – Änderungen notwendig – zwei Entscheidungen der Tietosuojavaltuutetn Toimisto

Das Alter ist kein Kriterium zur Beurteilung der Kreditwürdigkeit.

Online-Kreditantrag: Entscheidung iSd Art 22 DSGVO

Eine Entscheidung betraf Svea Ekonomi AB, ein Unternehmen, das u.a. auch im Bereich Factoring sowie Darlehen für KMUs international tätig ist.

Die finnische Datenschutzbehörde hat angeordnet, dass das Unternehmen das System der Beurteilung der Kreditwürdigkeit bzw. Bonität umstellt.

Alter

In einer Entscheidung stellte die finnische Aufsichtsbehörde fest, dass die Verwendung einer kategorischen Altersobergrenze bei der Beurteilung der Kreditwürdigkeit durch ein Finanzinstitut nach der Definition der Kreditinformationen im Kreditinformationsgesetz nicht zulässig ist.

Das bloße Alter eines Kreditantragstellers beschreibt die Zahlungsfähigkeit, Zahlungsbereitschaft oder Fähigkeit, seinen Verpflichtungen nachzukommen, nicht, und ist daher nicht zweckmäßig.

Online-Kreditantrag und Art 22 DSGVO.

Eine betroffene Person beschwerte sich bei der Aufsichtsbehörde über die Beurteilung der Kreditwürdigkeit sowie das Auskunftsrecht. Aus eigener Initiative prüfte die Behörde dann die Datenschutzinformationen.

Die finnische Aufsichtsbehörde wies das Unternehmen darauf hin, dass eine Online-Kreditentscheidung eines Finanzinstitutes als automatische Entscheidung im Sinne von Artikel 22 der DSGVO anzusehen ist. Diese automatische Entscheidung ist nach Ansicht der Behörde erforderlich, damit das Unternehmen entscheidet, ob ein Vertrag abgeschlossen wird oder nicht und entfaltet somit Rechtswirkungen gegenüber der betroffenen Person.

Die Aufsichtsbehörde hat das Unternehmen angewiesen, die Informationen, die den betroffenen Personen erteilt werden, zu ändern, und diese auch darüber zu informieren, wie die Entscheidung zustande kommt, damit diese die Entscheidung auch verstehen können. Dies bereits proaktiv iSd Art 12 und Art 13 DSGVO.

Weiters muss das Unternehmen bei einem Auskunftsersuchen den betroffenen Personen den Algorithmus und die Logik der Entscheidungsfindung offenlegen.