Het kredietagentschap CRIF verzamelt persoonlijke gegevens van miljoenen mensen in Oostenrijk en beoordeelt hun kredietwaardigheid met een score tussen 250 en 700. Voor de meeste mensen is deze score gebaseerd op slechts een paar gegevens, zoals adres, leeftijd en geslacht. Voor de meeste mensen is deze score gebaseerd op slechts een paar gegevens, zoals adres, leeftijd en geslacht. Als de score te laag is, kunnen de betrokkenen geen contracten afsluiten met veel bedrijven, zoals providers van mobiele telefonie zoals Magenta en Drei, elektriciteitsleveranciers zoals Verbund en banken zoals Volksbank Wien. Dit gebeurt allemaal achter de rug van mensen om en is volgens ons waarschijnlijk in strijd met de GDPR. Dit heeft gevolgen voor vrijwel iedereen die in Oostenrijk woont. We willen de score van CRIF en de betekenis ervan wetenschappelijk onderzoeken - en de opties voor een mogelijke class action rechtszaak beoordelen. Als je in Oostenrijk woont, hebben we je hulp nodig!
Achtergrond: Wat is CRIF? CRIF is een van de twee grote kredietbureaus in Oostenrijk. Het bedrijf verzamelt enorme hoeveelheden persoonlijke gegevens van miljoenen mensen om een 'kredietwaardigheidsscore' te berekenen. Met andere woorden, CRIF heeft een soort nationaal register opgebouwd waarin bijna iedereen in Oostenrijk is opgenomen, maar waarvan maar heel weinig mensen op de hoogte zijn. De score, die varieert van 250 tot 700, bepaalt vaak wie contracten krijgt en wie niet. Voor de meeste mensen wordt deze score alleen berekend op basis van leeftijd, geslacht en adres. Tests die tot nu toe zijn uitgevoerd suggereren dat de score vooral afhangt van het adres. Naar onze mening maakt dit de wetenschappelijke waarde van de score twijfelachtig. CRIF heeft nog geen gegevens gepubliceerd voor de wetenschappelijke validatie van de score. Een luxe penthouse en een appartement met een oud huurcontract kunnen zich bijvoorbeeld in hetzelfde gebouw bevinden. Het is ook mogelijk dat dezelfde persoon extreem verschillende scores krijgt afhankelijk van de leveringslocatie van een bestelling - wat natuurlijk niets te maken heeft met de objectieve betalingscapaciteit van de persoon.
CRIF klanten krijgen uw gegevens geleverd. CRIF verkoopt de berekende kredietwaardigheidsscore aan een groot aantal bedrijven. Hieronder vallen banken zoals Volksbank Wien, Erste Bank, Raiffeisenbank en Oberbank, energieleveranciers zoals Verbund, providers van mobiele telefonie zoals Magenta en Drei, en online winkels zoals Zalando. Het is onduidelijk in hoeverre de klanten van CRIF weten hoe deze scores worden berekend. Klanten gebruiken deze score meestal om te beslissen of ze een contract met een persoon aangaan of dat ze deze persoon op factuur laten bestellen. Uitzoeken in hoeverre de score de enige of doorslaggevende factor is, maakt ook deel uit van ons project. Als de persoonlijke score te laag is, werden contracten voor mobiele telefonie of energielevering in het verleden vaak automatisch afgewezen. Soms wordt kopen op rekening gewoon geweigerd en moet je vooruit betalen. In theorie zou een slechte score ook kunnen leiden tot hogere kosten voor leningen als een bankmedewerker zich bij het beoordelen van risico's laat beïnvloeden door de score.
Max Schrems, voorzitter van noyb: "CRIF heeft een soort privéregister opgebouwd met de gegevens van bijna iedereen in Oostenrijk. Deze gegevens worden vervolgens gebruikt om voor elke persoon een volgens ons twijfelachtige "score" te berekenen, die vervolgens aan andere bedrijven wordt verkocht."
CRIF: Alleen betalingsgegevens voor 10%, maar scores voor iedereen. CRIF geeft zelf aan dat het slechts voor ongeveer 10% van de bevolking beschikt over gegevens over de werkelijke betalingsgeschiedenis. Dit omvat rapporten van incassobureaus over betalingsproblemen. Voor de overige 90% van de bevolking berekent CRIF de score meestal alleen op basis van leeftijd, geslacht en adres. CRIF gaat echter nog verder: Voor individuen die helemaal niet terug te vinden zijn in de database, wordt toch een score berekend - volgens CRIF uitsluitend op basis van de gegevens in het verzoek.
Max Schrems, voorzitter van noyb: "Het vermoeden bestaat dat CRIF uit het niets scores fabriceert - met zeer reële gevolgen voor de betrokkenen. CRIF zou simpelweg kunnen zeggen 'we hebben geen informatie over deze persoon' - maar het verkoopt toch liever een score. De grootste factor in alle tests tot nu toe is het adres. De score gaat iets omhoog met de leeftijd, en vrouwen krijgen een betere score dan mannen."
Potentieel onwettige gegevensbronnen. We hebben redenen om aan te nemen dat deze praktijk onwettig is - en dat CRIF de gegevens op onwettige wijze heeft verzameld. Een groot deel van de informatie die gebruikt wordt voor kredietscores is bijvoorbeeld afkomstig van de adresuitgever AZ Direct, die volgens artikel 151 van het Oostenrijkse Wetboek van Koophandel deze informatie alleen mag doorgeven voor marketingdoeleinden. Het principe van doelbinding is vastgelegd in artikel 5 GDPR. Desondanks zijn de gegevens van miljoenen Oostenrijkers jarenlang voor €120.000 per jaar verkocht aan CRIF en, naar onze mening, misbruikt. De Oostenrijkse gegevensbeschermingsautoriteit heeft in een eerdere noyb-zaak al bevestigd dat een groot deel van de CRIF-database niet in overeenstemming is met de wet. Deze beslissing is echter nog niet definitief, omdat CRIF beroep heeft aangetekend. Een uitspraak van het Hooggerechtshof laat dus nog op zich wachten. Ook om andere redenen is noyb van mening dat de gegevensverwerking waarschijnlijk onrechtmatig is. CRIF heeft bijvoorbeeld geen toestemming gekregen van de betrokkenen (behalve in uitzonderlijke gevallen) en beroept zich op een 'legitiem belang' om gegevens van bijna iedereen in Oostenrijk te verzamelen.
Onjuiste scores kunnen enorme gevolgen hebben. We kennen talloze individuele gevallen waarin mensen een contract werd geweigerd vanwege onbegrijpelijke scores die niets te maken hebben met hun betalingsgedrag. Vergelijkingen tussen bekende scores zijn ook twijfelachtig. Zo kreeg een 19-jarige die verplichte ambtenarij deed een vrij hoge score, terwijl goedbetaalde universiteitsmedewerkers een vrij lage score kregen. Wijlen Dietrich Mateschitz (vroeger de rijkste man van Oostenrijk) leefde nog in een testquery van de database en had een score onder het Oostenrijkse gemiddelde. Tot slot zijn 'Peter Pan', 'Jezus Christus' en talloze 'Mustermänner' te vinden in de database. Ook zijn adressen vaak verouderd, wat vragen oproept over de kwaliteit van de gegevens. De score voor dezelfde persoon kan zelfs met 150 punten variëren door simpelweg een ander adres te gebruiken bij het ondertekenen van een contract. De gevolgen kunnen variëren van afgewezen mobiele telefoon- of energiecontracten tot theoretisch hogere rentetarieven op leningen. Vaak zijn de betrokkenen zich er niet eens van bewust dat er een CRIF-score op de achtergrond meespeelt.
Max Schrems, voorzitter van noyb: "In sommige individuele gevallen is het duidelijk dat de score objectief fout is - vaak met enorme gevolgen voor de getroffenen. Maar om wetenschappelijk te verifiëren of de score structureel juist of onjuist is, hebben we gegevens nodig van duizenden getroffen individuen.'
Stap 1: Wetenschappelijk onderzoek via 'datadonaties'. noyb wil de ondoorzichtige en mogelijk illegale handelspraktijken van CRIF tot op de bodem uitzoeken. Als eerste stap zijn we daarom op zoek naar mensen die in Oostenrijk wonen en ons willen helpen met dit project door een 'datadonatie' te doen. Dit betekent dat we, met toestemming van de deelnemers, een kopie van hun gegevens van CRIF krijgen. Samen met een universiteit vergelijken we dan hun score met hun werkelijke inkomenssituatie en ook met de gegevens van andere deelnemers. Zo kunnen we controleren of de CRIF-score statistisch correct is. De kosten hiervoor worden gedekt door noyb.
Max Schrems, voorzitter van noyb: "We willen deze twijfelachtige scores onderzoeken met wetenschappelijke methoden. Met slechts een paar klikken kunt u ons opdracht geven om de gegevens op te vragen en te evalueren."
Stap 2: Mogelijke class action rechtszaak. Tegelijkertijd onderzoeken we of CRIF de GDPR schendt. In veel opzichten zijn er al beslissingen genomen door de gegevensbeschermingsautoriteit of de rechtbank - ook al zijn deze vaak nog niet juridisch bindend omdat CRIF hiertegen in beroep is gegaan. Als noyb voldoende bewijs vindt voor schendingen van de GDPR, zal in een tweede stap een class action lawsuit worden aangespannen tegen CRIF en mogelijk enkele van haar zakenpartners. In dit geval zouden de betrokkenen ook recht kunnen hebben op compensatie. Bedragen tussen € 200 en € 1.000 per persoon zijn gebruikelijk. Met miljoenen gedupeerden in Oostenrijk zou dit al snel de grootste collectieve rechtszaak in het land kunnen worden. Zo'n class action rechtszaak zou dan apart moeten worden aangespannen.
Max Schrems, CEO van noyb: "Er zijn al verschillende beslissingen en vonnissen die het gedrag van CRIF onwettig hebben bevonden. Zelfs als deze zaken nog niet definitief zijn beslist, is dit een goede basis voor een class action lawsuit. We hopen dit jaar nog een rechtszaak te kunnen aanspannen. Een collectieve rechtszaak tegen CRIF en haar partners zou waarschijnlijk de grootste collectieve rechtszaak zijn die ooit in Oostenrijk is aangespannen. We schatten dat miljoenen mensen getroffen zijn."
Doe gratis mee! We zijn op zoek naar mensen uit heel Oostenrijk in verschillende leeftijdsgroepen, met verschillende inkomens en geslachten. Mensen met vergelijkbare levenssituaties zijn ook bijzonder interessant. Bijvoorbeeld mensen die in hetzelfde huishouden wonen, van dezelfde leeftijd zijn - en eigenlijk alleen verschillen wat betreft hun geslacht.
Dus als je in Oostenrijk woont en 5 minuten hebt, klik dan snel door het registratieformulier en ontdek welke gegevens er over jou zijn verzameld. Door mee te doen, help je ons ook om bewijs te verzamelen. Wij doen de rest. Natuurlijk zijn er geen kosten aan verbonden. Hartelijk dank voor je steun!
Wie is noyb? noyb is een vereniging zonder winstoogmerk en voert dit onderzoeks- en handhavingsproject uit zonder financieel risico voor jou. We zijn door de Oostenrijkse overheid erkend als een bevoegde entiteit en kunnen daarom groepsacties ('collective actions') aanspannen.
