Die Kreditauskunftei „CRIF” sammelt die persönlichen Daten von Millionen Menschen in Österreich und bewertet ihre Kreditwürdigkeit mit einem „Score“ zwischen 250 und 700. Für die meisten Personen basiert dieser Score nur auf wenigen Daten wie Wohnort, Alter und Geschlecht. Ist er zu niedrig, kriegen Betroffene bei vielen Unternehmen keinen Vertrag, zum Beispiel bei Mobilfunkanbietern wie Magenta und Drei, Stromanbietern wie dem Verbund und Banken wie der Volksbank Wien. All das passiert im Verborgenen und verstößt aus unserer Sicht wahrscheinlich gegen die DSGVO. Davon betroffen sind quasi alle Personen, die in Österreich wohnen. Wir wollen den Score der CRIF und seinen Aussagewert wissenschaftlich unter die Lupe nehmen – für eine mögliche Sammelklage. Dafür brauchen wir deine Hilfe! Melde dich jetzt an, wir erledigen den Rest.
Hintergrund: Was ist bitte CRIF? CRIF ist eine der zwei großen Kreditauskunfteien in Österreich. Das Unternehmen sammelt massenhaft persönliche Daten von Millionen Menschen, um daraus einen "Kreditwürdigkeits-Score" zu errechnen. In anderen Worten: Die CRIF hat eine Art nationales Register aufgebaut, in dem fast alle Menschen in Österreich verzeichnet sind, von dem aber nur die wenigsten wissen. Der Score zwischen 250 und 700 entscheidet oft wer Verträge bekommt und wer nicht. Bei den meisten Menschen errechnet sich dieser Score nur aus Alter, Geschlecht und Anschrift. Bisherige Tests erwecken den Eindruck, dass die Höhe des Scores vor allem von der Wohnadresse abhängt. Das macht den wissenschaftlichen Aussagewert des Scores aus unserer Sicht entsprechend fragwürdig. Die CRIF hat bisher auch keine Daten zur wissenschaftlichen Validierung des Scores veröffentlicht. So können im gleichen Wohnhaus etwa ein Luxus-Penthouse und eine Wohnung mit Altmietvertrag liegen. Es kann auch dazu kommen, dass die gleiche Person extrem verschiedene Scores erhält, je nach Lieferort der Bestellung – was natürlich mit der objektiven Zahlungsfähigkeit der Person nichts zu tun hat.
Kunden der CRIF bekommen deine Daten frei Haus. CRIF verkauft den errechneten Kreditwürdigkeits-Score an eine Vielzahl von Unternehmen. Dazu gehören Banken wie die Volksbank Wien, Erste Bank, Raiffeisenbank oder Oberbank, Energieanbieter wie der Verbund, Handyanbieter wie Magenta und Drei oder Online-Shops wie Zalando. Inwiefern den Kunden der CRIF bekannt ist, wie diese Scores zustande kommen, ist unklar. Die Kunden entscheiden auf Basis dieses Scores üblicherweise, ob sie mit einer Person einen Vertrag abschließen oder ob sie auf Rechnung bestellen darf. Herauszufinden, inwiefern der Score hier alleinig oder maßgeblich entscheidend ist, ist Teil unseres Projekts. Ist der persönliche Score zu niedrig, wurden Handyverträge oder Energielieferverträge bisher oft automatisch abgelehnt. Mitunter wird auch nur die Zahlung auf Rechnung abgelehnt und man muss vorab zahlen. Theoretisch könnte ein schlechter Score auch zu höheren Kosten für Kredite führen, wenn ein:e Bankmitarbeiter:in durch den Score etwa bei der Risikobewertung beeinflusst würde.
Max Schrems, Vorstandsvorsitzender von noyb: „Die CRIF hat eine Art privates Melderegister mit den Daten fast aller Leute in Österreich aufgebaut. Aus diesen Daten wird dann ein aus unserer Sicht fragwürdiger ‘Score’ zu jedem Menschen berechnet und an andere Unternehmen verkauft.“
CRIF: Nur zu 10% Zahlungsdaten, aber Scores zu allen. Die CRIF gibt selbst an, nur zu etwa 10% der Bevölkerung tatsächlich sogenannte Zahlungserfahrungsdaten zu haben. Das sind etwa Meldungen von Inkassobüros über Zahlungsprobleme. Für die restlichen 90% der Bevölkerung wird der Score lauf CRIF in den meisten Fällen nur anhand von Alter, Geschlecht und Anschrift errechnet. Die CRIF geht jedoch noch weiter: Bei Personen, die überhaupt nicht in der Datenbank auffindbar sind, wird trotzdem ein Score errechnet – und zwar laut CRIF lediglich anhand der Daten in der Anfrage.
Max Schrems, Vorstandsvorsitzender von noyb: „Es besteht der Verdacht, dass die CRIF hier Scores aus sehr dünner Luft fabriziert – mit sehr realen Konsequenzen für die Betroffenen. Die CRIF könnte einfach sagen ‚uns liegt zu dieser Person nichts vor‘ – aber sie verkauft lieber trotzdem einen Score. Der größte Faktor ist in allen bisherigen Tests die Anschrift. Mit dem Alter geht der Score etwas rauf und Frauen werden besser gescored als Männer.“
Wahrscheinlich unrechtmäßige Datenquellen. Wir haben Grund zur Annahme, dass dieses Vorgehen nicht rechtmäßig ist – und dass CRIF die Daten unrechtmäßig gesammelt hat. Ein großer Teil der für Credit Scores genutzten Informationen stammt zum Beispiel vom Adressverlag AZ Direct, der diese laut § 151 Gewerbeordnung ausschließlich zu Marketingzwecken weitergeben dürfte. Das Prinzip der Zweckbindung findet sich dabei in Artikel 5 DSGVO. Trotzdem sind die Daten von Millionen Österreicher:innen jahrelang für € 120.000 pro Jahr an die CRIF verkauft worden und wurden damit aus unserer Sicht zweckentfremdet. Die österreichische Datenschutzbehörde hat in einem früheren noyb-Fall bereits bestätigt, dass ein Großteil der CRIF-Datenbank nicht rechtskonform ist. Diese Entscheidung ist allerdings noch nicht rechtskräftig, da CRIF ein Rechtsmittel eingelegt hat. Eine höchstgerichtliche Entscheidung steht deshalb noch aus. Auch aus anderen Gründen ist aus Sicht von noyb wahrscheinlich, dass die Datenverarbeitung nicht rechtmäßig ist – so hat die CRIF (außer in Ausnahmefällen) keine Einwilligung der Betroffenen erhalten und beruft sich auf ein “berechtigtes Interesse”, um die Daten über fast alle Menschen in Österreich anzuhäufen.
Falscher Score kann massive Auswirkungen haben. Wir wissen von zahlreichen Einzelfällen, in denen Menschen wegen nicht nachvollziehbaren Scores, die nichts mit ihrem Zahlungsverhalten zu tun haben, keine Verträge erhalten haben. Fragwürdig sind auch Vergleiche zwischen bekannten Scores. So wurde ein 19-jähriger Zivildiener z.B. eher hoch bewertet, gutverdienende Universitätsangestellte im Gegenzug eher schlecht. Der verstorbene Dietrich Mateschitz (der ehemals reichste Österreicher) war bei einer Testabfrage in der Datenbank noch lebendig und hatte einen Score unter dem Österreich-Durchschnitt. Schließlich finden sich „Peter Pan“, „Jesus Christus“ und unzählige „Mustermänner“ in der Datenbank und Anschriften sind oft veraltet – was Fragen bezüglich der Qualität der Daten aufwirft. Der Score zur gleichen Person kann sogar um 150 Punkte variieren, einfach nur durch Nutzung einer anderen Anschrift bei Vertragsabschluss. Die Auswirkungen können von abgelehnten Handy- oder Energieverträgen bis hin zu theoretisch höheren Kreditzinsen gehen. Oft wissen die Betroffenen gar nicht, dass im Hintergrund ein CRIF-Score involviert ist.
Max Schrems, Vorstandsvorsitzender von noyb: „In einigen Einzelfällen ist klar ersichtlich, dass der Score objektiv falsch ist – mit oft massiven Konsequenzen für Betroffene. Um wissenschaftlich zu prüfen, ob der Score strukturell richtig oder falsch ist, brauchen wir aber die Daten von tausenden Betroffenen.“
Schritt 1: Wissenschaftliche Prüfung durch „Datenspenden“. noyb will den intransparenten und womöglich rechtswidrigen Geschäftspraktiken von CRIF auf den Grund gehen. Im ersten Schritt suchen wir deshalb in Österreich lebende Menschen, die uns bei diesem Projekt durch eine „Datenspende“ helfen möchten. Das heißt: Mit deiner Zustimmung holen wir eine Kopie deiner Daten von CRIF. Gemeinsam mit einer Universität vergleichen wir dann deinen Score mit deiner tatsächlichen Einkommenssituation und auch mit den Daten anderer Teilnehmer:innen. Damit können wir überprüfen, ob der CRIF-Score statistisch korrekt ist. Die Kosten hierfür übernimmt noyb.
Max Schrems, Vorstandsvorsitzender von noyb: „Wir wollen diese fragwürdigen Scores mit wissenschaftlichen Methoden prüfen. Mit ein paar Klicks kann man uns beauftragen, die Daten zu holen und auszuwerten.“
Schritt 2: Mögliche Sammelklage. Gleichzeitig prüfen wir, ob CRIF gegen die DSGVO verstößt. In vielen Punkten gibt es hierzu auch schon Entscheidungen der Datenschutzbehörde oder der Gerichte – auch wenn diese oft noch nicht rechtskräftig entschieden sind, weil die CRIF dagegen berufen hat. Falls noyb genügend Beweise für DSGVO-Verletzungen findet, soll in einem zweiten Schritt eine sogenannte Sammelklage gegen CRIF und möglicherweise einige ihrer Geschäftspartner eingebracht werden. In diesem Fall könnte Betroffenen auch eine Schadenersatzzahlung zustehen. Üblich sind Beträge zwischen € 200 bis € 1.000 pro Person. Bei Millionen Betroffenen in Österreich könnte dies schnell die größte Sammelklage des Landes werden. Einer solchen Sammelklage müsste dann gesondert beigetreten werden.
Max Schrems, Vorstandsvorsitzender von noyb: „Es gibt bereits mehrere Entscheidungen und Urteile, die rechtswidriges Verhalten der CRIF festgestellt haben. Auch wenn diese Fälle noch nicht final entschieden sind, ist das eine gute Basis für eine Sammelklage. Wir hoffen, noch dieses Jahr eine Klage einbringen zu können. Eine Sammelklage gegen CRIF und ihre Partner wäre vermutlich die größte Sammelklage, die es in Österreich bisher gab. Wir gehen von Millionen Betroffenen aus.“
Kostenlos mitmachen! Wir suchen Menschen aus ganz Österreich in verschiedenen Altersgruppen, mit unterschiedlichem Einkommen und Geschlecht. Besonders spannend sind auch Menschen mit ähnlichen Lebenssituationen. Zum Beispiel Menschen, die im selben Haushalt leben, ein ähnliches Alter haben – und sich eigentlich nur bezüglich ihres Geschlechts unterscheiden.
Wenn du also 5 Minuten hast, klick dich schnell durch die Anmeldung und finde heraus, welche Daten über dich gesammelt wurden. Mit deiner Teilnahme hilfst du gleichzeitig mit, Beweise zu sammeln. Wir kümmern uns um den Rest. Natürlich ist das ohne jegliches Kostenrisiko für dich. Vielen Dank für deine Unterstützung!
Wer ist noyb? noyb ist ein gemeinnütziger Verein und führt dieses Recherche- und Durchsetzungsprojekt ohne finanzielles Risiko für dich durch. Wir sind in Österreich als Qualifizierte Einrichtung staatlich anerkannt und können daher sogenannte Verbandsklagen („Sammelklagen“) einbringen.
