Gesetz über faire und genaue Kreditgeschäfte

Der Fair and Accurate Credit Transactions Act von 2003 ( FACT Act oder FACTA , Pub. L.  108–159 (Text) (PDF) ) ist ein US-Bundesgesetz , das am 22. November 2003 vom US-Kongress verabschiedet ^{[ 1 ]} und am 4. Dezember 2003 von Präsident George W. Bush unterzeichnet wurde ^{[ 2 ]} . Es ergänzt den Fair Credit Reporting Act . Das Gesetz ermöglicht es Verbrauchern, einmal jährlich eine kostenlose Kreditauskunft von jeder der drei landesweiten Kreditauskunfteien ( Equifax , Experian und TransUnion ) anzufordern und zu erhalten. In Zusammenarbeit mit der Federal Trade Commission (FTC ) haben die drei großen Kreditauskunfteien die Website AnnualCreditReport.com eingerichtet , um kostenlosen Zugriff auf jährliche Kreditauskünfte zu ermöglichen. ^{[ 3 ]}

Das Gesetz enthält außerdem Bestimmungen zur Bekämpfung von Identitätsdiebstahl , beispielsweise die Möglichkeit für Einzelpersonen, Warnhinweise in ihrer Kredithistorie zu hinterlegen, wenn ein Identitätsdiebstahl vermutet wird oder wenn sie im Rahmen ihres Militärdienstes ins Ausland versetzt werden. Dadurch werden betrügerische Kreditanträge erschwert. Darüber hinaus schreibt es die sichere Entsorgung von Verbraucherdaten vor .

Der FACT Act enthält sieben Haupttitel: Prävention von Identitätsdiebstahl und Wiederherstellung der Kreditwürdigkeit , Verbesserungen bei der Nutzung von und dem Zugang von Verbrauchern zu Kreditinformationen , Verbesserung der Genauigkeit von Verbraucherberichten , Einschränkung der Nutzung und Weitergabe medizinischer Informationen im Finanzsystem , Verbesserung der Finanzkompetenz und -bildung , Schutz von Untersuchungen wegen Fehlverhaltens von Mitarbeitern und Verhältnis zu Landesgesetzen . ^{[ 4 ]}

Dieser Abschnitt des Gesetzes enthält Bestimmungen, die sich hauptsächlich mit der Verhinderung von Identitätsdiebstahl befassen. Insbesondere werden neue Regelungen zu Betrugswarnungen und Warnungen vor aktiven Dienstausübungen eingeführt, neue Beschränkungen für den Druck von Kreditkartennummern auf Belegen festgelegt und vorgeschrieben, dass bestimmte Regierungsbehörden neue Regelungen zur Aufdeckung von Identitätsdiebstahl durch Finanzinstitute und Gläubiger erlassen sollen .

Der Titel verpflichtet Auskunfteien, auf Antrag eines Verbrauchers, der glaubt, Opfer von Betrug oder einer anderen damit zusammenhängenden Straftat geworden zu sein oder kurz davor zu stehen, einen Betrugsvermerk für mindestens 90 Tage in die Akte dieses Verbrauchers einzutragen und alle anderen Auskunfteien über den Betrugsvermerk zu informieren. ^{[ 5 ]}

Verbraucher können eine erweiterte Betrugswarnung beantragen. In diesem Fall ist die Auskunftei verpflichtet, diese Betrugswarnung in jeder Kreditauskunft, die sie für den Verbraucher innerhalb eines Zeitraums von sieben Jahren erstellt, anzugeben. Eine erweiterte Warnung verpflichtet die Auskunftei außerdem, den Verbraucher von allen Listen auszuschließen, die an Dritte zum Zweck der Kreditvergabe oder des Versicherungsangebots an diesen Verbraucher weitergegeben werden. ^{[ 5 ]}

Der Titel sieht außerdem vor, dass jedes aktive Mitglied der Streitkräfte eine Benachrichtigung über seinen aktiven Dienst beantragen kann. Diese Benachrichtigung verpflichtet die ausstellende Behörde, diese Benachrichtigung zusammen mit jedem Kreditbericht, der innerhalb von 12 Monaten nach dem Antrag erstellt wird, offenzulegen und das aktive Mitglied für zwei Jahre ab dem Antrag von allen Listen auszuschließen, die an Dritte zum Zwecke der Kreditvergabe oder des Versicherungsangebots weitergegeben werden. ^{[ 5 ]}

Das Gesetz verbietet Unternehmen außerdem, mehr als fünf Ziffern der Kartennummer oder des Ablaufdatums einer Kundenkarte auf Belegen abzudrucken, die dem Karteninhaber beim Kauf oder bei einer Transaktion ausgehändigt werden. Bei Verstößen drohen gesetzliche Schadensersatzzahlungen zwischen 100 und 1000 US-Dollar. Werden die Ansprüche in einer Sammelklage (von allen Kunden eines Einzelhändlers, der die Kreditkartennummern nicht gekürzt hat) zusammengefasst, können die Schadensersatzzahlungen enorm sein. ^{[ 6 ]} Ausgenommen von der Bestimmung sind handschriftliche oder gedruckte Belege, sofern die Kreditkartennummer ausschließlich auf diese Weise erfasst werden kann. Das Gesetz trat für Kassen, die vor dem 1. Januar 2005 hergestellt wurden, erst drei Jahre nach seinem Inkrafttreten und für Kassen, die nach dem 1. Januar 2005 hergestellt wurden, erst ein Jahr nach seinem Inkrafttreten in Kraft. ^{[ 7 ]}

Das Gesetz führte die „Red Flags Rule“ ein , die die Bundesbankenaufsichtsbehörden, die National Credit Union Administration und die Federal Trade Commission verpflichtete , gemeinsam Vorschriften zur Verhinderung von Identitätsdiebstahl für Finanzinstitute und Kreditgeber zu erlassen. Die „Red Flags Rule“ regelt auch, wie Kartenherausgeber auf Adressänderungen reagieren müssen. ^{[ 8 ]} Zu den daraufhin erlassenen Vorschriften gehören: ^{[ 9 ]}

• Eine Regelung, die Finanzinstitute oder Gläubiger verpflichtet, ein Programm zur Verhinderung von Identitätsdiebstahl im Zusammenhang mit neuen und bestehenden Konten zu entwickeln und umzusetzen. Das Programm muss angemessene Richtlinien und Verfahren zur Aufdeckung, Verhinderung und Minderung von Identitätsdiebstahl umfassen;
• Eine weitere Regelung, die Nutzer von Verbraucherberichten dazu verpflichtet, auf Benachrichtigungen über Adressabweichungen zu reagieren, die sie erhalten; und
• Ein drittes Gesetz sieht besondere Anforderungen an die Emittenten von Debit- oder Kreditkarten vor, die Gültigkeit einer Adressänderung zu prüfen, wenn sie eine Mitteilung über eine Adressänderung für das Debit- oder Kreditkartenkonto eines Verbrauchers erhalten und innerhalb kurzer Zeit danach ein Antrag auf eine zusätzliche oder Ersatzkarte für dasselbe Konto gestellt wird.

Ein weiterer wichtiger Punkt war die Verpflichtung für Hypothekengeber, Verbrauchern eine Kreditauskunft auszuhändigen, die deren Kreditwürdigkeit , die Bandbreite der Kreditwürdigkeitswerte, die Auskunfteien, die verwendeten Bewertungsmodelle und die Faktoren, die die Kreditwürdigkeit beeinflussen, enthält. Dieses Formular ist üblicherweise bei Kreditauskunfteien erhältlich, und viele senden es im Auftrag der Kreditgeber direkt an die Verbraucher.

Finanzinstitute mussten bis zum 1. November 2008 die Bestimmungen der Red Flags Rule ^{[ 10 ]} gemäß Abschnitt 114 und 315 des Fair and Accurate Credit Transactions (FACT) Act einhalten. Aufgrund weit verbreiteter Verwirrung über den Anwendungsbereich des Gesetzes, insbesondere darüber, ob der Begriff „Gläubiger“ auf bestimmte Unternehmen Anwendung findet, forderten Mitglieder des Kongresses die FTC wiederholt auf, die Frist für die Einhaltung von Abschnitt 315 bis nach dem 31. Dezember 2010 zu verschieben. ^{[ 11 ]}

Laut einer im Juni 2008 von der Federal Trade Commission (FTC) veröffentlichten Geschäftswarnung ^{[ 12 ]} gilt die Red Flags Rule für eine sehr breite Liste von Unternehmen, darunter „Finanzinstitute“ und „Gläubiger“ mit „abgedeckten Konten“. Als „Gläubiger“ gelten demnach unter anderem „Kreditgeber wie Banken, Finanzierungsgesellschaften, Autohändler, Hypothekenmakler, Versorgungsunternehmen und Telekommunikationsunternehmen“. Diese Liste ist jedoch nicht vollständig.

Die Vorschriften gelten für alle Unternehmen mit „geschützten Konten“. Ein „geschütztes Konto“ umfasst jedes Konto, bei dem ein vorhersehbares Risiko von Identitätsdiebstahl besteht. Beispiele hierfür sind Kreditkarten, monatlich abgerechnete Konten wie Strom- oder Mobilfunkrechnungen, Sozialversicherungsnummern, Führerscheinnummern, Krankenversicherungskonten und vieles mehr. Dies erweitert die Definition erheblich und schließt alle Unternehmen unabhängig von ihrer Größe ein, die Verbraucherinformationen zu Geschäftszwecken speichern oder anderweitig besitzen. Aufgrund der weitreichenden Definitionen in diesen Vorschriften werden nur wenige Unternehmen diesen Anforderungen entgehen können. ^{[ 13 ]}

Die Bestimmungen dieses Titels verpflichten die Federal Trade Commission (FTC), in Abstimmung mit den Bundesbankenaufsichtsbehörden und der National Credit Union Agency „eine Musterzusammenfassung der Verbraucherrechte … hinsichtlich der Verfahren zur Behebung der Folgen von Betrug oder Identitätsdiebstahl …“ zu erstellen. Sechzig Tage nach Erstellung dieser Zusammenfassung sind alle Auskunfteien verpflichtet, jedem Verbraucher, der sich an eine Auskunftei wendet und angibt, Opfer von Betrug oder Identitätsdiebstahl geworden zu sein, eine Kopie dieser Zusammenfassung zukommen zu lassen. ^{[ 14 ]}

Das Gesetz verpflichtet Auskunfteien außerdem, die Weitergabe von Informationen in der Akte eines Verbrauchers zu sperren, die dieser als Folge eines mutmaßlichen Identitätsdiebstahls identifiziert. Die Sperrung muss innerhalb von vier Tagen nach Erhalt des entsprechenden Nachweises erfolgen. Dieser Nachweis umfasst eine Kopie der Anzeige wegen Identitätsdiebstahls, die Identifizierung der Informationen durch den Verbraucher sowie dessen Erklärung, dass die Informationen nicht auf einer von ihm durchgeführten Transaktion beruhen.

Behörden sind nicht verpflichtet, Informationen zu sperren (und können bestehende Sperrungen aufheben), wenn sich herausstellt, dass die Sperrung irrtümlich oder aufgrund fehlerhafter Angaben des Verbrauchers erfolgte oder dass der Verbraucher infolge der gesperrten Transaktion(en) Waren, Dienstleistungen oder Geld erlangt hat. ^{[ 15 ]}

Dieser Abschnitt verpflichtet alle Kreditauskunfteien, ein System zur Kommunikation von Verbraucherbeschwerden über Betrug oder Identitätsdiebstahl sowie von Anfragen zu Betrugswarnungen oder -sperrungen untereinander zu entwickeln. Darüber hinaus schreibt er vor, dass jede Kreditauskunftei jährlich einen Bericht an die Federal Trade Commission (FTC) über die bei ihr eingegangenen Anfragen zu Betrugswarnungen und Beschwerden im Zusammenhang mit Betrug oder Identitätsdiebstahl übermitteln muss. Schließlich verpflichtet der Abschnitt die FTC, ein Verfahren einzurichten, über das Verbraucher sich mit Beschwerden über Identitätsdiebstahl oder Betrug an die Kreditauskunfteien und Gläubiger wenden können. ^{[ 16 ]}

Nach seinem Inkrafttreten kritisierten einige Verbraucherschutzgruppen den FACT Act. Sie argumentierten, er verdränge strengere, bereits bestehende Landesgesetze und sehe „viel zu großzügige“ Ausnahmen von den neuen Bestimmungen zur Offenlegung personenbezogener Daten durch Banken vor. ^{[ 17 ]} Darüber hinaus bemängelte ein Artikel in der Washington Post die Schwierigkeiten beim Abruf von Kreditberichten in einigen der Bundesstaaten, die als erste unter das Gesetz fielen. ^{[ 18 ]}

Vermont, Colorado, Georgia, Maine, Maryland, Massachusetts, New Jersey und Kalifornien hatten bis 1994 Gesetze erlassen, die Kreditauskunfteien verpflichteten, auf Anfrage kostenlos einen Kreditbericht bereitzustellen. Laut US Pirg erreichte die Finanzbranche jedoch mit dem FACT Act ihr Hauptziel: die dauerhafte Verdrängung strengerer staatlicher Kredit- und Datenschutzgesetze. ^{[ 19 ]} Konkret werden staatliche Gesetze in bestimmten Bereichen verdrängt, beispielsweise hinsichtlich des Inhalts eines Verbraucherberichts, der Pflichten von Auskunfteien, der Reaktionen von Kreditauskunfteien auf Streitigkeiten über fehlerhafte Informationen (wobei es eine Ausnahme für Gesetze gibt, die vor 1996 galten) und der Pflichten derjenigen, die aufgrund eines Berichts negative Maßnahmen ergreifen. ^{[ 20 ]}

Ein Artikel der Washington Post vom 13. März 2005 stellte fest, dass Einwohner von sechs Ostküstenstaaten – Maryland, Georgia, Maine, Massachusetts, New Jersey und Vermont – aufgrund staatlicher Gesetze bereits Anspruch auf kostenlose Berichte aller drei Auskunfteien haben. Die angegebenen Telefonnummern zur Anforderung dieser Berichte führten jedoch zu automatisierten Systemen, die laut Artikel „unerträglich komplex und unnachgiebig sind, wenn die individuellen Umstände von der Programmierung des Systems abweichen“. Weiterhin kritisierte der Artikel automatisierte Systeme dafür, dass sie Verbraucher zwingen, sich durch einen Dschungel aufgezeichneter Informationen zu kämpfen – darunter auch Werbeangebote für Produkte wie einen Kredit-Score (eine Bewertung der Kreditwürdigkeit) oder einen Überwachungsdienst zum Schutz vor Identitätsdiebstahl. ^{[ 18 ]} Seit 2012 veröffentlicht das Consumer Financial Protection Bureau (CFPB) eine Liste der Kreditauskunfteien. Es ermöglicht Verbrauchern, relevante Kreditauskunfteien (CRAs) zu identifizieren und deren Kontaktdaten einzusehen, um ihre persönlichen Verbraucherberichte einfacher bestellen zu können. Viele der aufgeführten CRAs bieten diese Berichte kostenlos an. Die Liste von 2016 ist hier auf der Website des CFPB verfügbar .

Da die Red-Flag-Regel Gläubiger sehr weit definiert, sind viele Unternehmen (z. B. Energieversorger) ^{[ 21 ]} nun verpflichtet, personenbezogene Daten (wie Sozialversicherungsnummern und Führerscheinnummern) zu erheben, die sie weder benötigen noch verwenden können. Diese Vorgehensweise widerspricht diametral der Empfehlung der FTC an Verbraucher, ihre Sozialversicherungsnummer nur dann an Unternehmen weiterzugeben, wenn dies unbedingt erforderlich ist. ^{[ 22 ]} Dieser Aspekt der Red-Flag-Regel hat die unbeabsichtigte Folge, dass die Anzahl der Unternehmen, die Sozialversicherungsnummern von Verbrauchern speichern, steigt, wodurch Verbraucher einem höheren Risiko von Identitätsdiebstahl durch Datendiebstahl ausgesetzt sind.

Das Gesetz verbietet Händlern, Ablaufdaten von Kredit- und Debitkarten auf elektronisch gedruckten Belegen anzugeben. Nach Inkrafttreten des Gesetzes im Jahr 2004 gingen bei den Gerichten zahlreiche Klagen zu diesem Thema ein. Alle Bundesgerichte, die sich ausdrücklich mit der Frage befasst hatten, lehnen nun Sammelklagen in diesem Zusammenhang ab. Im Jahr 2008 verabschiedete der Kongress den „Credit and Debit Card Receipt Clarification Act“ (Klarstellungsgesetz). Dieser sah vor, dass Händler, die zwar Ablaufdaten auf Belegen druckten, aber ansonsten das Gesetz einhielten, bis zum 3. Juni 2008 nicht mehr vorsätzlich gegen das Gesetz verstießen. ^{[ 23 ]} Im Klarstellungsgesetz stellte der Kongress fest: „Experten sind sich einig, dass die korrekte Kürzung der Kartennummer an sich  – unabhängig von der Angabe des Ablaufdatums – potenzielle Betrüger daran hindert, Identitätsdiebstahl oder Kreditkartenbetrug zu begehen.“ ^{[ 24 ]} Trotz Gerichtsurteilen und des Klarstellungsgesetzes blieb der Gesetzestext hinsichtlich der Ablaufdaten auf Belegen nach dem 3. Juni 2008 jedoch weitgehend unverändert.

• Pressemitteilung des Weißen Hauses
• Vollständiger Text des „Fair and Accurate Credit Transactions Act of 2003“
• Federal Register, Band 72, Nr. 217, Freitag, 9. November 2007, Regeln und Vorschriften, S. 63718–63775.
• Liste der Verbraucherauskunfteien des US-amerikanischen Verbraucherfinanzschutzbüros (CFPB), Stand: Januar 2016