Július közepén az NDR és az SZ nyomozása kiderítették, hogy a SCHUFA hitelinformációs ügynökség több millió olyan adatot tárol, amelyeket már régen törölni kellett volna. Azóta kiderült, hogy a SCHUFA ezeket az adatokat ügyfelei „tesztelési céljaira” is felhasználja. Elvileg a SCHUFA adatbázisában szereplő mind a 69 millió embert érintheti ez a helyzet. A SCHUFA pedig továbbra is kitérő válaszokat ad: még a GDPR 15. cikke szerinti hozzáférési kérelmekre is megtagadja a korábbi adatok kiadását. Tekintettel a nyilvánvaló GDPR-megsértésekre, a noyb most hivatalos figyelmeztetést intézett a hitelinformációs ügynökséghez, és jogsértés megszüntetésére irányuló kérelmet jelentett be. Azok az érintettek, akiknek a korábbi adatait a SCHUFA visszatartja, jelezhetik érdeklődésüket egy jövőbeli kártérítési csoportos perben való részvétel iránt.
- Az NDR és az SZ nyomozása: „A Schufa „árnyékadatbázisa””
- A SCHUFA válasza: „Az igazság az állítólagos „árnyékadatbázisról””
- A SCHUFA ügyvédjének válasza Tim Wybitul a LinkedIn-en
- Az Algorithm Watch petíciója: „SCHUFA-botrány: Azonnal töröljék az árnyékadatbázist!”
A SCHUFA és az átláthatóságra vonatkozó ígérete. Németországbangyakorlatilag nincs mód a SCHUFA elkerülésére. Aki hitelt, mobilszolgáltatási szerződést vagy bérlakást szeretne, annak reménykednie kell abban, hogy a befolyásos hitelinformációs ügynökség megerősíti, hogy rendelkezik megfelelő hitelképességgel. Azonban az a módszer, ahogyan a SCHUFA kiszámítja a hitelminősítéseket, mindig is egy „fekete doboz” volt – és ennek következtében rendszeresen kritika és jogi eljárások tárgyát képezte, egészen az Európai Bíróságig. Nemrég a SCHUFA elindított egy „átláthatósági kampányt”, és azóta azzal dicsekszik, hogy „teljes átláthatóságot”.
Egy „törölt” adatokkal teli pince. A SCHUFA adatvédelmi irányelveiszerint a hitelképességi pontszám kiszámításához használt adatok megőrzési idejét szintén önként vállalt magatartási kódexek. A behajtási követeléseket vagy a már rendezett hitelek adatait például a fizetés után három évvel törlik. Úgy tűnik azonban, hogy a „törölve” kifejezés a SCHUFA számára egészen mást jelent, mint a GDPR értelmében – és a nagyközönség számára: az adatok láthatóan csupán „elrejtve”, és így eltűnnek a fogyasztók szeme elől, de nem a SCHUFA rendszereiből. Éppen ellenkezőleg: az adatokat a háttérben továbbra is feldolgozzák, sőt harmadik felek „hitelképességi értékeléseihez” is felhasználják őket.
Martin Baumann, a noybadatvédelmi ügyvédje: „A SCHUFA „árnyékadatbázisa” a jogellenes adatkezelés tankönyvi példája. A SCHUFA titokban dolgozza fel azokat az adatokat, amelyeket saját állítása szerint már régen törölni kellett volna, és végül ezzel is pénzt keres.”
A hozzáférési jogot kategorikusan megtagadják. A SCHUFA teljesen következetlen, amikor a hozzáférési jogról van szó: egyrészt azt állítja, hogy a korábban ismeretlen „árnyékadatbázis” teljesen átlátható. Másrészt viszont elismeri, hogy az érintettek nem kapnak másolatot a még mindig tárolt korábbi adatokról, amikor a GDPR 15. cikke szerinti hozzáférési kérelmet nyújtanak be. Lényegében a SCHUFA azzal érvel, hogy az érintetteket csak abban érdekeltek, hogy mely adatok szerepelnek jelenleg a pontszámuk kiszámításában. A titokban tárolt adatokat ezért nem kell nyilvánosságra hozni. Jogi szempontból ez egy teljesen abszurd érvelés. Egy vállalat nem korlátozhatja egyszerűen az információszolgáltatási kötelezettségét azokra az adatokra, amelyeket maga „érdekesnek” tart az érintettek számára. Az Európai Bíróság már régóta egyértelművé tette: az adatmásolatnak az összes feldolgozott adat teljes, hű másolatának kell lennie.
Marco Blocher, adatvédelmi ügyvéd a noybszerint: „Nyilvánvalóan jogellen, hogy a SCHUFA az állítólag „törölt” adatokat egy „árnyék-adatbázisban” tárolja, de azokat nem hozza nyilvánosságra. A SCHUFA ezzel nyíltan megszegi a törvényt – és a SCHUFA vezetői valószínűleg tisztában is vannak ezzel.”
A hesseni felügyeleti hatóság továbbra is tétlen marad. Elvileg a Hesseni Adatvédelmi Hatóságnak (HBDI) kellene felügyelnie a SCHUFA-t. Valójában úgy tűnik, hogy a felügyeleti hatóság már 2025 tavasza óta tud a „árnyékadatbázisról”. Azonban a (hírhedten tétlen) hatóság úgy tűnik, továbbra is védi a SCHUFA-t. Mint államilag elismert minősített szervezet, a noyb ezért lépéseket tett a fogyasztók védelme érdekében a SCHUFA korlátlan adatgyűjtése és titkolózása ellen. A GDPR-nek való megfelelést most több lépésben kell helyreállítani:
1. lépés: Felszólító levél és ideiglenes intézkedés: A noyb ma felszólító levelet küldött a SCHUFA-nak. Ezzel a a noyb arra kéri a hitelinformációs ügynökséget, hogy a meghatározott megőrzési időtartamokon túl ne tároljon adatokat. Ezen felül a a noyb azt kéri, hogy a SCHUFA az érintett személyek hozzáférési kérelmeinek keretében bocsássa rendelkezésre a korábbi adatokat, és biztosítsa az adatkezelési gyakorlatának átláthatóságát. Amennyiben a hitelinformációs ügynökség megtagadja e kérések teljesítését, a noyb tiltó határozat meghozatalára irányuló keresetet indít annak érdekében, hogy a bíróságok tiltsák meg a SCHUFA jogellenes gyakorlatát.
Max Schrems, a noybelnöke így nyilatkozott: „Sajnos egyre gyakrabban tapasztaljuk, hogy a németországi állami adatvédelmi hatóságok nem teljesítik feladataikat. Ezért közérdekű tevékenységet folytató nonprofit szervezetként jogi lépéseket kell tennünk.”
Lehetséges 2. lépés: Csoportos per: Azok az érintettek, akiknek adatait a „árnyékadatbázisban” tárolják (vagy tárolták), és akik az elmúlt években a GDPR 15. cikke alapján hozzáférési kérelmet nyújtottak be a SCHUFA-hoz, nem vagyoni kárt szenvedhettek. Saját adatai szerint a SCHUFA több mint 69 millió ember adatait – ami Németország szinte teljes felnőtt lakosságát jelenti. Úgy tűnik, hogy évente 1,6 millió ember kapott helytelen választ az adataihoz való hozzáférés iránti kérelmére: a korábbi adatokat senkinek sem bocsátották rendelkezésre. Általában a nem anyagi kár személyenként körülbelül 500 euróra becsülhető.
Egy csoportos per jelentősen több előkészületet igényel, mint egy ideiglenes intézkedés. Mindazonáltal a noyb már létrehozott egy online érdeklődési listát. Itt bárki feliratkozhat, hogy később értesítést kapjon, amennyiben jogi lépéseket tesznek. Adományokból finanszírozott szervezetként a a noyb kizárólag az érintettek érdekében indít jogi eljárásokat.
Max Schrems, a noybelnöke így nyilatkozott: „A SCHUFA nem csupán megszegte a törvényt, hanem hazudott az érintetteknek és kárt okozott nekik. Nonprofit alapon kártérítést szándékozunk követelni ezekért a károkért.”
Széles körű civil társadalmi front. Máscivil szervezetek és adatvédelmi szakértők is hevesen bírálják a SCHUFA-t, és követelik az „árnyékadatbázis” törlését. Az AlgorithmWatch nevű civil szervezet petíciót a SCHUFA és a hesseni adatvédelmi hatóság ellen, amely nem tett lépéseket az ügyben. Emellett egy űrlapot is, amelynek segítségével az érintettek konkrét információkat kérhetnek a SCHUFA-tól a korábbi adataikról.
Matthias Spielkamp, AlgorithmWatch: „Mi és petíciónk közel 145 000 aláírója azt követeljük: a SCHUFA-nak teljes körű tájékoztatást kell nyújtania az érintetteknek; a hesseni adatvédelmi hatóságnak végre intézkednie kell, és köteleznie kell a SCHUFA-t az „árnyékadatbázis” végleges törlésére, valamint a lehetséges legmagasabb bírság kiszabására.”
A közelmúltban több ügyvéd is kritikus véleményt fogalmazott meg, és felhívta a figyelmet a lehetséges további következményekre:
Raphael Rohrmoser, az AdvoAdvice Rechtsanwälte ügyvédi iroda partnere: „Már eddig is számtalan bírósági eljárás indult a SCHUFA ellen az adataihoz való hozzáféréshez való jog és az adatai törléséhez való jog kapcsán. Most kiderült, hogy a „törölt” adatok valójában továbbra is széles körben elérhetők, és erről senkit sem tájékoztattak. Ez felveti azt a kulcsfontosságú kérdést, hogy a SCHUFA által a bírósági eljárások során szolgáltatott információk mindig pontosak voltak-e.”
Peter Hense, a Spirit Legal Rechtsanwälte ügyvédi iroda partnere: „Ha egy hitelinformációs ügynökség fizetés ellenében továbbítja a »törölt« jelöléssel ellátott adatokat harmadik feleknek, az bűncselekménynek minősülhet. Talán szükség van az ügyészségre és a bíróságokra ahhoz, hogy végre kiszárítsák a SCHUFA adatmocsárát.”
