V polovině července vyšetřování provedené stanicí NDR a deníkem SZ odhalila, že úvěrová agentura SCHUFA uchovává miliony datových záznamů, které měly být již dávno smazány. Od té doby vyšlo najevo, že SCHUFA tyto údaje využívá také pro „testovací účely“ svých zákazníků. Potenciálně se to týká všech 69 milionů lidí, o nichž SCHUFA uchovává údaje. A SCHUFA se i nadále vyhýbá odpovědi: I v reakci na žádosti o přístup podle článku 15 GDPR společnost odmítá tyto historické údaje zveřejnit. Vzhledem k zjevným porušením GDPR noyb nyní vydala úvěrové agentuře formální varování a oznámila podání předběžného opatření. Subjekty údajů, jejichž historická data SCHUFA zadržuje, mohou rovněž projevit zájem o budoucí hromadnou žalobu o náhradu škody.
- Reportáže stanic NDR a SZ: „‚Stínová databáze‘ společnosti Schufa“
- Odpověď společnosti SCHUFA: „Pravda o údajné ‚stínové databázi‘“
- Odpověď právního zástupce společnosti SCHUFA Tima Wybitula na LinkedIn
- Petice organizace Algorithm Watch: „Skandál SCHUFA: Okamžitě smažte stínovou databázi!“
SCHUFA a její slib transparentnosti. VNěmecku se SCHUFA prakticky nedá obejít. Každý, kdo chce půjčku, smlouvu na mobilní telefon nebo pronajmout si byt, musí doufat, že tato vlivná úvěrová agentura potvrdí, že má dostatečnou úvěrovou bonitu. Způsob, jakým SCHUFA stanovuje své úvěrové skóre, však vždy představoval černou skříňku – a v důsledku toho byl pravidelně terčem kritiky a soudních řízení, a to až před Evropským soudním dvorem. Nedávno SCHUFA zahájila „kampaň za transparentnost“ a od té doby se chlubí tím, že vytvořila „naprostou transparentnost“.
Sklep plný „smazaných“ údajů. Podle zásad ochrany osobních údajů společnosti SCHUFAmá být doba uchovávání údajů použitých k výpočtu úvěrového skóre rovněž určována dobrovolně přijatými kodexy chování. Například pohledávky z vymáhání dluhů nebo údaje o splacených úvěrech by měly být vymazány tři roky po splacení. Pojem „vymazané“ však pro společnost SCHUFA zřejmě znamená něco zcela jiného než v rámci GDPR – a než pro širokou veřejnost: data jsou zřejmě pouze „skryta“ a zmizí tak z dohledu spotřebitelů, nikoli však ze systémů společnosti SCHUFA. Právě naopak: data se i nadále zpracovávají v pozadí a dokonce se používají pro „ověřování úvěrového skóre“ třetích stran.
Martin Baumann, právník specializující se na ochranu osobních údajů v organizaci noyb: „‚Stínová databáze‘ společnosti SCHUFA je učebnicovým příkladem protiprávního zpracování údajů. SCHUFA tajně zpracovává údaje, které podle vlastních prohlášení měly být již dávno vymazány, a v konečném důsledku na tom vydělává.“
Právo na přístup je kategoricky odepřeno. Pokud jde o právo na přístup, SCHUFA se chová naprosto nekonzistentně: na jedné straně tvrdí, že dosud neznámá ‚stínová databáze‘ je zcela transparentní. Na druhou stranu však připouští, že subjekty údajů při podání žádosti o přístup podle článku 15 GDPR neobdrží kopii historických údajů, které jsou stále uloženy. SCHUFA v podstatě argumentuje tím, že subjekty údajů zajímá pouze to, která data se v současné době promítají do jejich skóre. Tajně uložená data proto nemusí být zveřejňována. Z právního hlediska se jedná o zcela absurdní argumentaci. Společnost nemůže jednoduše omezit svou povinnost poskytovat informace na údaje, které sama považuje za „zajímavé“ pro subjekty údajů. Evropský soudní dvůr již dávno jasně stanovil: kopie údajů musí být úplným a věrným přepisem všech zpracovávaných údajů.
Marco Blocher, právník specializující se na ochranu osobních údajů v organizaci noyb: „Je zjevně protiprávní, že společnost SCHUFA uchovává údajně ‚smazaná‘ data v ‚stínové databázi‘, ale nezveřejňuje je. SCHUFA tím zjevně porušuje zákon – a odpovědné osoby ve společnosti SCHUFA si toho pravděpodobně dobře uvědomují.“
Hesenský dozorový úřad zůstává nečinný. Teoreticky by měl SCHUFA dohlížet Hesenský úřad pro ochranu osobních údajů (HBDI). Ve skutečnosti se zdá, že dozorový úřad o ‚stínové databázi‘ věděl již od jara 2025. Tento (notoricky nečinný) úřad však zřejmě i nadále chrání společnost SCHUFA. Jako státem schválený kvalifikovaný subjekt, noyb proto podnikla kroky k ochraně spotřebitelů před neomezeným hromaděním údajů a utajováním ze strany společnosti SCHUFA. Soulad s GDPR má být nyní obnoven v několika fázích:
Krok 1: Výzva k ukončení protiprávního jednání a soudní příkaz: noyb dnes zaslala společnosti SCHUFA výzvu k zastavení činnosti. Tímto krokem noyb požaduje, aby úvěrová agentura přestala uchovávat údaje po uplynutí stanovených lhůt pro uchovávání. Kromě toho noyb požaduje, aby společnost SCHUFA poskytovala dotčeným osobám historická data v rámci jejich žádostí o přístup k údajům a zajistila transparentnost ohledně svých postupů při zpracování údajů. Pokud by úvěrová informační agentura odmítla těmto požadavkům vyhovět, noyb podá žalobu na vydání předběžného opatření, aby soudy zakázaly protiprávní postupy společnosti SCHUFA.
Max Schrems, předseda organizace noyb, uvedl: „Bohužel jsme v Německu stále častěji svědky selhání veřejných orgánů na ochranu osobních údajů. Jako nezisková organizace jednající ve veřejném zájmu proto musíme podniknout právní kroky.“
Možný krok č. 2: Hromadná žaloba:Subjektyúdajů, jejichž údaje jsou (nebo byly) uloženy v ‚stínové databázi‘ a které v posledních letech zaslaly společnosti SCHUFA žádost o přístup podle článku 15 GDPR, mohly utrpět nemajetkovou újmu. Podle vlastních informací společnost SCHUFA uchovává údaje o více než 69 milionech lidí – což představuje téměř celou dospělou populaci v Německu. Zdá se, že 1,6 milionu lidí ročně obdrželo nesprávné odpovědi na své žádosti o přístup: Historická data nebyla nikomu poskytnuta. Nemateriální škody lze obvykle odhadnout na přibližně 500 EUR na osobu.
Hromadná žaloba vyžaduje podstatně více příprav než předběžné opatření. Nicméně noyb již zřídila online seznam zájemců. Kdokoli se zde může zaregistrovat, aby byl v případě podání žaloby později informován. Jako organizace financovaná z darů noyb podniká právní kroky výhradně v zájmu dotčených osob.
Max Schrems, předseda organizace noyb, uvedl: „SCHUFA nejen porušila zákon, ale také lhala dotčeným osobám a způsobila jim škodu. Hodláme se o náhradu těchto škod ucházet na neziskovém základě.“
Široká fronta občanské společnosti.Takédalšínevládní organizace a odborníci na ochranu osobních údajů masivně kritizují společnost SCHUFA a požadují vymazání této ‚stínové databáze‘. Nevládní organizace AlgorithmWatch zahájila petici proti společnosti SCHUFA a úřadu pro ochranu osobních údajů v Hesensku, který v této věci nezasáhl. Na stránkách je k dispozici také formulář , který umožňuje dotčeným osobám požádat SCHUFA o konkrétní informace o svých historických údajích.
Matthias Spielkamp, AlgorithmWatch: „My a téměř 145 000 signatářů naší petice požadujeme: SCHUFA musí dotčeným osobám poskytnout úplné informace; hessenský úřad pro ochranu osobních údajů musí konečně zasáhnout a přimět SCHUFA k trvalému vymazání ‚stínové databáze‘ a uložit jí nejvyšší možnou pokutu.“
V poslední době se kriticky vyjádřili také někteří právníci a poukázali na možné další důsledky:
Raphael Rohrmoser, partner v advokátní kanceláři AdvoAdvice Rechtsanwälte: „Proti společnosti SCHUFA již proběhlo nespočet soudních řízení týkajících se práva na přístup k údajům a práva na výmaz. Nyní vyšlo najevo, že ‚vymazaná‘ data jsou ve skutečnosti stále v široké míře dostupná a že o tom nikdo nebyl informován. To vyvolává zásadní otázku, zda informace poskytované společností SCHUFA v soudních řízeních byly vždy přesné.“
Peter Hense, partner ve společnosti Spirit Legal Rechtsanwälte: „Pokud úvěrová agentura za úplatu předává třetím stranám údaje označené jako ‚vymazané‘, může to představovat trestný čin. Možná je zapotřebí, aby státní zastupitelství a soudy konečně vysušily datovou bažinu společnosti SCHUFA.“
