V polovině července vyšetřování stanic NDR a deníku SZ odhalila, že úvěrová agentura SCHUFA uchovává miliony datových záznamů, které měly být již dávno smazány. Od té doby vyšlo najevo, že SCHUFA tyto údaje využívá také pro „testovací účely“ svých zákazníků. Potenciálně se to týká všech 69 milionů lidí, o nichž má SCHUFA údaje. A SCHUFA se i nadále vyhýbá odpovědi: I v reakci na žádosti o přístup podle článku 15 GDPR společnost odmítá tyto historické údaje zveřejnit. Vzhledem k zjevným porušením GDPR noyb nyní zaslala úvěrové informační agentuře formální varování a oznámila podání žaloby o vydání předběžného opatření. Subjekty údajů, jejichž historická data SCHUFA zadržuje, mohou rovněž projevit zájem o budoucí hromadnou žalobu o náhradu škody.
- Reportáže stanic NDR a SZ: „‚Stínová databáze‘ společnosti Schufa“
- Odpověď společnosti SCHUFA: „Pravda o údajné ‚stínové databázi‘“
- Odpověď právního zástupce společnosti SCHUFA Tima Wybitula na LinkedIn
- Petice organizace Algorithm Watch: „Skandál SCHUFA: Okamžitě smažte stínovou databázi!“
SCHUFA a její slib transparentnosti. VNěmecku se SCHUFA prakticky nedá obejít. Každý, kdo chce úvěr, smlouvu na mobilní telefon nebo si chce pronajmout byt, musí doufat, že tato vlivná úvěrová agentura potvrdí, že má dostatečnou úvěrovou bonitu. Způsob, jakým SCHUFA stanovuje své úvěrové skóre, však vždy představoval černou skříňku – a v důsledku toho byl pravidelně předmětem kritiky a soudních řízení, a to až před Evropským soudním dvorem. Nedávno SCHUFA zahájila „kampaň za transparentnost“ a od té doby se chlubí tím, že vytvořila „naprostou transparentnost“.
Sklep plný „smazaných“ údajů. Podle zásad ochrany osobních údajů společnosti SCHUFAmá být doba uchovávání údajů používaných k výpočtu úvěrového skóre rovněž určena dobrovolně přijatými kodexy chování. Například pohledávky z vymáhání dluhů nebo údaje o splacených úvěrech by měly být smazány tři roky po splacení. Pojem „smazáno“ však pro SCHUFA zřejmě znamená něco zcela jiného než v rámci GDPR – a než pro širokou veřejnost: data jsou zřejmě pouze „skryta“ a zmizí tak z dohledu spotřebitelů, nikoli však ze systémů společnosti SCHUFA. Právě naopak: data se i nadále zpracovávají v pozadí a dokonce se používají k „ověřování úvěrového skóre“ třetích stran.
Martin Baumann, právník specializující se na ochranu osobních údajů v organizaci noyb: „‚Stínová databáze‘ společnosti SCHUFA je učebnicovým příkladem protiprávního zpracování údajů. SCHUFA tajně zpracovává údaje, které podle vlastních prohlášení měly být již dávno vymazány, a v konečném důsledku na tom vydělává.“
Právo na přístup je kategoricky odepřeno. Pokud jde o právo na přístup, chová se SCHUFA naprosto nekonzistentně: na jedné straně tvrdí, že dosud neznámá ‚stínová databáze‘ je zcela transparentní. Na druhou stranu však připouští, že subjekty údajů při podání žádosti o přístup podle článku 15 GDPR neobdrží kopii historických údajů, které jsou stále uloženy. SCHUFA v podstatě argumentuje tím, že subjekty údajů zajímá pouze to, která data se v současné době promítají do jejich skóre. Tajně uložená data proto není nutné zveřejňovat. Z právního hlediska se jedná o zcela absurdní argumentaci. Společnost nemůže jednoduše omezit svou povinnost poskytovat informace pouze na údaje, které sama považuje za „zajímavé“ pro subjekty údajů. Evropský soudní dvůr již dávno jasně stanovil: kopie údajů musí být úplným a věrným přepisem všech zpracovávaných údajů.
Marco Blocher, právník specializující se na ochranu osobních údajů v organizaci noyb: „Je zjevně protiprávní, že společnost SCHUFA uchovává údajně ‚smazaná‘ data v ‚stínové databázi‘, ale nezveřejňuje je. SCHUFA zde zjevně porušuje zákon – a odpovědné osoby ve společnosti SCHUFA si toho pravděpodobně dobře uvědomují.“
Hesenský dozorový úřad zůstává nečinný. Teoreticky by měl SCHUFA dohlížet Hesenský úřad pro ochranu osobních údajů (HBDI). Ve skutečnosti se zdá, že dozorový úřad o ‚stínové databázi‘ věděl již od jara 2025. Tento (notoricky nečinný) úřad však zřejmě i nadále chrání společnost SCHUFA. Jako státem schválený kvalifikovaný subjekt, noyb proto podnikla kroky k ochraně spotřebitelů před neomezeným hromaděním údajů a utajováním ze strany společnosti SCHUFA. Soulad s GDPR má být nyní obnoven v několika fázích:
Krok 1: Výzva k ukončení protiprávního jednání a soudní příkaz: noyb dnes zaslala společnosti SCHUFA výzvu k ukončení protiprávního jednání. Spolu s ní noyb požaduje, aby úvěrová agentura přestala uchovávat údaje po uplynutí stanovených lhůt pro uchovávání. Kromě toho noyb požaduje, aby společnost SCHUFA poskytovala dotčeným osobám historická data v rámci jejich žádostí o přístup k údajům a zajistila transparentnost ohledně svých postupů při zpracování údajů. Pokud by úvěrová informační agentura odmítla těmto požadavkům vyhovět, noyb podá žalobu na vydání předběžného opatření, aby soudy zakázaly protiprávní postupy společnosti SCHUFA.
Max Schrems, předseda organizace noyb, uvedl: „Bohužel jsme v Německu stále častěji svědky selhání veřejných orgánů pro ochranu osobních údajů. Jako nezisková organizace jednající ve veřejném zájmu proto musíme podniknout právní kroky.“
Možný krok č. 2: Hromadná žaloba:Subjektyúdajů, jejichž údaje jsou (nebo byly) uloženy v ‚stínové databázi‘ a které v posledních letech zaslaly společnosti SCHUFA žádost o přístup podle článku 15 GDPR, mohly utrpět nemajetkovou újmu. Podle vlastních informací společnost SCHUFA uchovává údaje o více než 69 milionech lidí – což představuje téměř celou dospělou populaci v Německu. Zdá se, že 1,6 milionu lidí ročně obdrželo nesprávné odpovědi na své žádosti o přístup k údajům: Historická data nebyla poskytnuta nikomu. Nemajetkovou újmu lze obvykle odhadnout na přibližně 500 EUR na osobu.
Hromadná žaloba vyžaduje podstatně více příprav než předběžné opatření. Nicméně noyb již zřídila online seznam zájemců. Kdokoli se zde může zaregistrovat, aby byl v případě podání žaloby později informován. Jako organizace financovaná z darů noyb podniká právní kroky výhradně v zájmu dotčených osob.
Max Schrems, předseda organizace noyb, uvedl: „SCHUFA nejen porušila zákon, ale také lhala dotčeným osobám a způsobila jim škodu. Hodláme se na neziskovém základě domáhat náhrady za tyto škody.“
Široká fronta občanské společnosti.Idalšínevládní organizace a odborníci na ochranu osobních údajů masivně kritizují společnost SCHUFA a požadují vymazání ‚stínové databáze‘. Nevládní organizace AlgorithmWatch zahájila petici proti společnosti SCHUFA a úřadu pro ochranu osobních údajů v Hesensku, který v této věci nezasáhl. Na stránkách je rovněž k dispozici formulář , který umožňuje dotčeným osobám požádat SCHUFA o konkrétní informace o svých historických údajích.
Matthias Spielkamp, AlgorithmWatch: „My a téměř 145 000 signatářů naší petice požadujeme: SCHUFA musí dotčeným osobám poskytnout úplné informace; hessenský úřad pro ochranu osobních údajů musí konečně zasáhnout a přimět SCHUFA k trvalému vymazání ‚stínové databáze‘ a uložit jí nejvyšší možnou pokutu.“
V poslední době se kriticky vyjádřili také někteří právníci a poukázali na možné další důsledky:
Raphael Rohrmoser, partner v advokátní kanceláři AdvoAdvice Rechtsanwälte: „Proti společnosti SCHUFA již proběhlo nespočet soudních řízení týkajících se práva na přístup k údajům a práva na výmaz. Nyní vyšlo najevo, že ‚vymazané‘ údaje jsou ve skutečnosti stále v široké míře dostupné a že o tom nikdo nebyl informován. To vyvolává zásadní otázku, zda informace poskytované společností SCHUFA v soudních řízeních byly vždy přesné.“
Peter Hense, partner ve společnosti Spirit Legal Rechtsanwälte: „Pokud úvěrová agentura za úplatu předává třetím stranám údaje označené jako ‚vymazané‘, může to představovat trestný čin. Možná potřebujeme, aby státní zastupitelství a soudy konečně vysušily datovou bažinu společnosti SCHUFA.“
