Die Datenschutzorganisation noyb hat am 9. Juni 2026 eine Unterlassungsklage gegen die österreichische Kreditauskunftei CRIF eingebracht und bereitet in diesem Zuge eine Sammelklage auf Schadenersatz vor. Hintergrund ist der Vorwurf, CRIF habe ein weitgehend unbekanntes „Schattenmelderegister“ mit Namen, Geburtsdatum und Anschrift zu nahezu allen Erwachsenen in Österreich aufgebaut und nutze diese Daten für ein Bonitätsscoring.
Die Datensammlung ohne Anlass und die Erstellung der Scores von Personen ohne bonitätsrelevante Daten verstöße dabei gegen die DSGVO. Nach Auffassung von noyb könnten diese Scores wirtschaftliche Auswirkungen für Betroffene haben, etwa bei Vertragsentscheidungen von Mobilfunkunternehmen, Energieanbietern, Banken, Onlinehändlern oder Zahlungsdiensten.
Datenbasis und Scoring nach Darstellung von noyb
Nach den Angaben von noyb verfügt CRIF über personenbezogene Daten von Millionen Menschen in Österreich. Die Datenbank enthalte insbesondere Namen, Geburtsdaten und Wohnanschriften. Auf dieser Grundlage bewerte CRIF Personen mit einem Score zwischen 250 und 700. Für rund 90 Prozent der Betroffenen lägen nach Darstellung von noyb jedoch keine Finanzinformationen vor. Der Bonitätsscore basiere bei ihnen lediglich auf Alter, Geschlecht und Anschrift.
Gerade darin liegt aus datenschutzrechtlicher Sicht Konfliktpotential. Wenn ein Score ohne belastbare bonitätsrelevante Informationen erstellt wird, stellt sich die Frage, ob die Verarbeitung personenbezogener Daten für diesen Zweck erforderlich, angemessen und transparent ist. Noyb hält sowohl die anlasslose Datensammlung als auch das Scoring von Personen, zu denen keine bonitätsrelevanten Daten vorliegen, für Verstöße gegen die DSGVO.
Rechtliche Angriffspunkte
Noyb macht mehrere mögliche Rechtsverletzungen geltend. Ein wesentlicher Vorwurf betrifft die Herkunft und Zweckbindung der Daten. Viele Daten seien ursprünglich für andere Zwecke gesammelt worden, etwa durch Adresshändler. Diese dürften Anschriften nur zu Marketingzwecken verkaufen, nicht jedoch für ein Bonitätsscoring.
Hinzu kommt der Vorwurf mangelnder Transparenz. Noyb führt aus, CRIF informiere betroffene Personen nur ausnahmsweise über die Datenverarbeitung. Aus datenschutzrechtlicher Perspektive ist dies besonders relevant, da die DSGVO eine informierte Kontrolle über die Verarbeitung personenbezogener Daten ermöglichen soll. Ferner solle nahezu niemand der Speicherung in der Datenbank oder der Bewertung durch CRIF zugestimmt haben. CRIF berufe sich demgegenüber auf ein berechtigtes Interesse und darauf, dass das Scoring für Unternehmensentscheidungen nicht „maßgeblich“ sei.
Aufruf zur Sammelklage
Noyb verfolgt das Verfahren zweistufig. Zunächst wurde eine Unterlassungsklage gegen CRIF erhoben. Noyb tritt als staatlich anerkannte qualifizierte Einrichtung auf. Diese Klage soll zugleich die Verjährungsfrist hemmen und weitergehende Ansprüche von Konsumenten erhalten.
In einem zweiten Schritt soll eine Sammelklage auf Schadenersatz im Sinne einer Abhilfeklage erhoben werden. Betroffene müssen sich hierfür individuell anmelden und beitreten. Noyb geht dabei im Erfolgsfall von etwa 500 Euro Schadenersatz pro Person aus, die unrechtmäßig im Bonitätsscoring aufgenommen worden sei. Die Abhilfeklage soll nach der Unterlassungsklage folgen.
Fazit
Der Fall CRIF zeigt, welche datenschutzrechtliche Relevanz privatwirtschaftliche Bonitätsscoring-Systeme entfalten können, wenn sie für Betroffene nicht sichtbar sind.
Maßgeblich wird für den Rechtsstreit sein, ob die Gerichte die von noyb behauptete anlasslose Datensammlung, die Zweckänderung der Datenverwendung, die fehlende Information der Betroffenen und das Scoring ohne belastbare Finanzdaten als mit der DSGVO vereinbar ansehen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
