Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Scoring

  • BGH zur SCHUFA: Wann besteht ein Anspruch auf Auskunft über Scorewerte?

    Wie berechnet die SCHUFA den Bonitätsscore – und wann müssen Betroffene Auskunft über die zugrunde liegenden Verfahren erhalten? Mit vier Urteilen vom 21. Oktober 2026 hat der Bundesgerichtshof die Voraussetzungen für einen datenschutzrechtlichen Auskunftsanspruch präzisiert. Entscheidend ist insbesondere, ob ein von der SCHUFA übermittelter Scorewert die Vertragsentscheidung eines Unternehmens maßgeblich beeinflusst.

    Der BGH stärkt dabei die Möglichkeiten der Betroffenen, indem er klarstellt, dass an ihre Darlegung und Beweisführung keine übermäßig hohen Anforderungen gestellt werden dürfen. Zugleich hat er die vorinstanzlichen Entscheidungen aufgehoben, soweit sie der SCHUFA Auskunftspflichten auferlegt hatten, und die Verfahren zur erneuten Verhandlung zurückverwiesen.

    Die Entscheidungen im Überblick

    Der I. Zivilsenat des Bundesgerichtshofs, der unter anderem für Ansprüche aus der Datenschutz-Grundverordnung (DSGVO) zuständig ist, entschied am 21. Oktober 2026 in vier Verfahren:

    • BGH, Urteil vom 21. Oktober 2026 – I ZR 227/25
    • BGH, Urteil vom 21. Oktober 2026 – I ZR 228/25
    • BGH, Urteil vom 21. Oktober 2026 – I ZR 229/25
    • BGH, Urteil vom 21. Oktober 2026 – I ZR 230/25

    Im Mittelpunkt stand die Frage, unter welchen Voraussetzungen Privatpersonen von der SCHUFA Auskunft über das Verfahren verlangen können, mit dem ihre Scorewerte gebildet werden.

    Rechtlicher Ausgangspunkt sind Art. 15 Abs. 1 Buchst. h DSGVO und Art. 22 Abs. 1 DSGVO. Die Vorschriften betreffen die Auskunft über automatisierte Entscheidungsfindungen und die Voraussetzungen, unter denen Betroffene vor ausschließlich automatisierten Entscheidungen geschützt werden.

    Wie funktioniert das SCHUFA-Scoring?

    Die SCHUFA ist eine Wirtschaftsauskunftei. Sie sammelt, speichert und verarbeitet Wirtschaftsdaten natürlicher und juristischer Personen und stellt ihren Vertragspartnern Informationen zur Einschätzung des finanziellen Risikos zur Verfügung.

    Auf Grundlage gespeicherter Daten berechnet sie mithilfe mathematisch-statistischer Verfahren Wahrscheinlichkeitswerte. Diese sogenannten Scorewerte sollen beispielsweise Kreditgebern helfen, das voraussichtliche Zahlungsverhalten potenzieller Vertragspartner einzuschätzen.

    Für Verbraucher können solche Werte erhebliche Folgen haben. Sie können unter anderem bei Kreditvergaben, Finanzierungen oder anderen Vertragsentscheidungen eine Rolle spielen. Entscheidend ist dabei nicht allein, dass ein Score erstellt wird, sondern welchen Einfluss er auf die konkrete Entscheidung eines Unternehmens hat.

    Wann besteht ein Auskunftsanspruch nach der DSGVO?

    Nach Art. 15 Abs. 1 Buchst. h DSGVO haben betroffene Personen unter den dort genannten Voraussetzungen das Recht, aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer automatisierten Entscheidungsfindung zu erhalten.

    Ein solcher Anspruch im Zusammenhang mit dem SCHUFA-Scoring setzt nach den aktuellen Entscheidungen des BGH voraus, dass die Voraussetzungen des Art. 22 Abs. 1 DSGVO erfüllt sind.

    Danach muss die betroffene Person einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

    Der Bundesgerichtshof stellt klar, dass das Verhalten der SCHUFA die Merkmale des Profilings im Sinne von Art. 4 Nr. 4 DSGVO und einer Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO erfüllt. Damit ist der Auskunftsanspruch jedoch noch nicht automatisch gegeben.

    Zusätzlich muss feststehen, dass die betreffende Person durch die Entscheidung erheblich beeinträchtigt wurde. Dafür kommt es maßgeblich darauf an, welche Bedeutung der Scorewert für die Entscheidung eines Unternehmens hatte.

    Entscheidend ist der Einfluss des Scorewerts auf die Vertragsentscheidung

    Nach dem BGH muss das Berufungsgericht feststellen, ob die Entscheidung eines Unternehmens, einen Vertrag mit einer betroffenen Person zu begründen, durchzuführen oder zu beenden, maßgeblich von dem übermittelten SCHUFA-Score abhing.

    Das kann beispielsweise relevant werden, wenn ein Unternehmen einen Kreditantrag ablehnt oder ein anderes Vertragsverhältnis wegen einer negativen Bonitätseinschätzung nicht zustande kommt.

    Nicht jede ungünstige Vertragsentscheidung begründet daher automatisch einen Anspruch auf Auskunft über die Berechnung des Scorewerts. Es muss vielmehr ein hinreichender Zusammenhang zwischen dem übermittelten Score und der nachteiligen Entscheidung bestehen.

    Beweislast: Betroffene müssen nicht ins Blaue hinein vortragen

    Grundsätzlich müssen die Kläger darlegen und gegebenenfalls beweisen, dass die Voraussetzungen des Auskunftsanspruchs erfüllt sind. Der BGH betont allerdings, dass dabei der unionsrechtliche Effektivitätsgrundsatz zu berücksichtigen ist. Die Anforderungen an den Vortrag der Betroffenen dürfen deshalb nicht zu hoch angesetzt werden.

    Nach den Urteilen kann es zunächst genügen, wenn eine betroffene Person vorträgt,

    • dass die SCHUFA einen Scorewert an ein Unternehmen übermittelt hat,
    • dass es in zeitlichem Zusammenhang damit zu einer nachteiligen Entscheidung gekommen ist und
    • dass diese Entscheidung die Anbahnung oder Durchführung eines Vertragsverhältnisses mit diesem oder einem verbundenen Unternehmen betrifft.

    Ist dieser Zusammenhang hinreichend dargelegt und gegebenenfalls bewiesen, besteht nach Auffassung des BGH eine tatsächliche Vermutung dafür, dass die Entscheidung des Unternehmens maßgeblich auf den von der SCHUFA gebildeten Scorewert zurückzuführen ist.

    Diese Erleichterung ist für Verbraucher bedeutsam. Sie müssen den internen Entscheidungsprozess eines Unternehmens nicht von vornherein vollständig kennen, um einen Auskunftsanspruch geltend machen zu können.

    Reichen die bisherigen Auskünfte der SCHUFA aus?

    Die Kläger hatten von der SCHUFA bereits im Jahr 2023 Auskünfte über gespeicherte personenbezogene Daten und übermittelte Scorewerte erhalten. Die Auskünfte enthielten unter anderem Scorewerte, Ratingstufen, Erfüllungswahrscheinlichkeiten und Angaben zu verwendeten Datenarten sowie deren jeweiligem Ausfallrisiko. Außerdem verwies die SCHUFA auf weitere online verfügbare Informationen.

    Der BGH hat hierzu klargestellt: Sollte ein Auskunftsanspruch dem Grunde nach bestehen, wären die bisherigen Schreiben aus dem Jahr 2023 nicht ausreichend gewesen, um diese Verpflichtung zu erfüllen.

    Welche Informationen im Einzelnen geschuldet sind, muss das Berufungsgericht allerdings erneut prüfen. Der Bundesgerichtshof hat die vorinstanzlichen Urteile auch insoweit beanstandet, als die Reichweite des jeweiligen Auskunftsanspruchs nicht in allen Punkten rechtsfehlerfrei bestimmt worden war.

    Die Entscheidungen bedeuten somit nicht, dass die SCHUFA jedem Betroffenen auf Anfrage uneingeschränkt sämtliche Einzelheiten ihrer Berechnungsmodelle offenlegen muss. Umfang und Voraussetzungen des Auskunftsanspruchs sind anhand der gesetzlichen Anforderungen und des konkreten Sachverhalts zu bestimmen.

    Was sollten Betroffene praktisch tun?

    Wer vermutet, dass ein SCHUFA-Score zu einer nachteiligen Vertragsentscheidung geführt hat, sollte die verfügbaren Informationen möglichst sorgfältig sichern.

    Sinnvoll sind insbesondere:

    1. Auskunft einholen: Die bei der SCHUFA gespeicherten personenbezogenen Daten und die mitgeteilten Scorewerte dokumentieren.
    2. Vertragsentscheidung festhalten: Eine Ablehnung, Einschränkung oder sonstige nachteilige Entscheidung des Unternehmens schriftlich sichern.
    3. Zeitlichen Zusammenhang dokumentieren: Festhalten, wann der Score abgefragt oder übermittelt wurde und wann die negative Entscheidung erfolgte.
    4. Unternehmen gezielt anfragen: Nachfragen, ob und in welcher Weise die Bonitätsauskunft bei der Entscheidung berücksichtigt wurde.
    5. Auskunftsanspruch prüfen lassen: Bei unzureichender Auskunft oder erheblichen finanziellen Folgen kann eine datenschutzrechtliche Prüfung des Einzelfalls sinnvoll sein.

    Je konkreter sich der Zusammenhang zwischen der Scoreübermittlung und der nachteiligen Entscheidung darstellen lässt, desto besser lässt sich ein möglicher Auskunftsanspruch begründen.

    Bedeutung für Unternehmen und Datenschutzpraxis

    Die Entscheidungen betreffen nicht nur die SCHUFA. Sie verdeutlichen allgemein die Bedeutung der DSGVO bei automatisierten Bewertungs- und Entscheidungsverfahren.

    Unternehmen, die Bonitätsscores oder vergleichbare Wahrscheinlichkeitswerte verwenden, sollten prüfen, welche Rolle diese Werte bei ihren Vertragsentscheidungen tatsächlich spielen. Soweit automatisierte Entscheidungen im Sinne von Art. 22 DSGVO vorliegen, können sich daraus besondere datenschutzrechtliche Anforderungen ergeben.

    Auch die Dokumentation interner Entscheidungsprozesse gewinnt an Bedeutung. Unternehmen sollten nachvollziehen können, welche Informationen in eine Entscheidung eingeflossen sind und welchen Stellenwert externe Scorewerte hatten.

    Für Auskunfteien wiederum unterstreichen die Urteile die Bedeutung transparenter und rechtlich belastbarer Auskunftsprozesse.

    Auskunftsanspruch hängt vom tatsächlichen Einfluss des Scores ab

    Mit seinen Urteilen vom 21. Oktober 2026 hat der Bundesgerichtshof die Voraussetzungen für Auskunftsansprüche gegen die SCHUFA präzisiert. Ein Anspruch nach Art. 15 Abs. 1 Buchst. h DSGVO setzt in Verbindung mit Art. 22 Abs. 1 DSGVO voraus, dass eine ausschließlich automatisierte Entscheidung zu einer rechtlichen oder vergleichbar erheblichen Beeinträchtigung führt.

    Entscheidend ist insbesondere, ob die Entscheidung eines Unternehmens maßgeblich vom übermittelten Scorewert abhing. Zwar liegt die Darlegungs- und Beweislast grundsätzlich bei den Betroffenen; der BGH gewährt ihnen jedoch erhebliche Erleichterungen, wenn eine Scoreübermittlung und eine zeitnah folgende nachteilige Vertragsentscheidung dargelegt werden.

    Die Verfahren wurden an das Berufungsgericht zurückverwiesen. Über die konkreten Auskunftsansprüche ist daher erneut zu entscheiden.

    Quelle: Bundesgerichtshof, Urteile vom 21. Oktober 2026 – I ZR 227/25, I ZR 228/25, I ZR 229/25 und I ZR 230/25.

    Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Maßgeblich sind die vollständigen Entscheidungsgründe und die Umstände des jeweiligen Einzelfalls.

  • EuGH Dun & Bradstreet: Recht auf Erklärung beim Bonitäts-Scoring

    Ein Mobilfunkvertrag wird abgelehnt, Begründung: „mangelnde Bonität“. Wie dieses Ergebnis zustande kam, bleibt für Betroffene meist im Dunkeln. Der Gerichtshof der Europäischen Union hat mit Urteil vom 27. Februar 2025 (Rs. C-203/22, Dun & Bradstreet Austria) klargestellt, welche Erklärung Betroffene bei automatisierten Entscheidungen verlangen können und wie sich dieses Recht zu Geschäftsgeheimnissen verhält.

    Der Fall

    Einer Kundin wurde in Österreich ein Mobilfunkvertrag verweigert. Grundlage war eine automatisierte Bonitätsbeurteilung der Wirtschaftsauskunftei Dun & Bradstreet Austria. Die Kundin verlangte Auskunft über die Logik der Entscheidung. Die Auskunftei verweigerte nähere Angaben unter Berufung auf Geschäftsgeheimnisse und eine österreichische Vorschrift, die das Auskunftsrecht in solchen Fällen generell ausschloss. Das Verwaltungsgericht Wien legte dem EuGH Fragen vor.

    Die Kernaussagen

    • Nach Art. 15 Abs. 1 lit. h DSGVO hat die betroffene Person Anspruch auf aussagekräftige Informationen über die involvierte Logik. Der Verantwortliche muss das Verfahren und die Grundsätze, die konkret angewandt wurden, in präziser, transparenter, verständlicher und leicht zugänglicher Form erläutern.
    • Die Erklärung muss zeigen, welche personenbezogenen Daten wie verwendet wurden. Beim Profiling kann es genügen darzulegen, inwieweit eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte. Die bloße Übermittlung einer komplexen mathematischen Formel oder einer detaillierten Beschreibung aller Rechenschritte genügt nicht. Der Algorithmus selbst muss nicht offengelegt werden.
    • Beruft sich der Verantwortliche auf Geschäftsgeheimnisse, darf er die Auskunft nicht einfach verweigern. Die betreffenden Informationen sind der zuständigen Aufsichtsbehörde oder dem Gericht vorzulegen, die die widerstreitenden Interessen im Einzelfall abwägen.
    • Nationale Regelungen, die das Auskunftsrecht bei Geschäftsgeheimnissen generell ausschließen, sind mit der DSGVO unvereinbar.

    Einordnung

    Das Urteil knüpft an das SCHUFA-Urteil vom Dezember 2023 an, in dem der EuGH Scoring als automatisierte Entscheidung eingeordnet hatte. Nun ist auch klar, was Betroffene in solchen Fällen erfahren dürfen. Die Grundsätze dürften über Auskunfteien hinaus für jede automatisierte Entscheidung im Sinne von Art. 22 DSGVO Bedeutung haben, etwa bei Online-Kreditvergaben, Versicherungen oder KI-gestützter Bewerberauswahl.

    Was bedeutet das für Unternehmen?

    • Wer automatisierte Entscheidungen trifft oder Scores nutzt, muss in der Lage sein, das Zustandekommen des Ergebnisses verständlich zu erklären.
    • Erklärungsmodelle sollten vorab entwickelt und dokumentiert werden, auch bei KI-gestützten Systemen.
    • Geschäftsgeheimnisse sind zu identifizieren; im Streitfall muss man bereit sein, sie Behörden oder Gerichten offenzulegen.
    • Die Auskunftsprozesse sollten entsprechend angepasst werden; siehe unseren Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

    Was bedeutet das für Betroffene?

    Wer aufgrund eines Scores abgelehnt wird, kann eine nachvollziehbare Erklärung verlangen, welche Daten maßgeblich waren und wie sie das Ergebnis beeinflusst haben. Eine Anleitung für das Auskunftsersuchen finden Sie in unserem Beitrag „Datenauskunft verlangen“.

    Geschäftsgeheimnisse schützen den Algorithmus, aber nicht vor jeder Transparenz. Wurden Sie aufgrund eines Scores abgelehnt, oder setzen Sie selbst automatisierte Entscheidungen ein, beraten wir Sie zu Auskunft und Erklärungspflichten. Kontaktformular oder Online-Termin.

  • EuGH zur SCHUFA: Scoring als automatisierte Entscheidung

    Beim Kredit, beim Handyvertrag und bei der Mietwohnung entscheidet der SCHUFA-Score in Deutschland oft mit darüber, ob jemand einen Vertrag erhält. Am 7. Dezember 2023 hat der Gerichtshof der Europäischen Union gleich zwei wichtige Urteile zu den Praktiken von Wirtschaftsauskunfteien gefällt: zum Scoring (Rs. C-634/21) und zur Speicherung von Informationen über eine erteilte Restschuldbefreiung (verbundene Rs. C-26/22 und C-64/22). Beide stärken die Rechte von Verbraucherinnen und Verbrauchern. Scoring ist danach nicht verboten, aber an strenge Voraussetzungen geknüpft.

    Urteil 1: Scoring kann eine automatisierte Entscheidung sein

    Im ersten Verfahren war einer Person ein Kredit verweigert worden, nachdem die Bank einen negativen Score der SCHUFA erhalten hatte. Sie verlangte von der SCHUFA Auskunft und Löschung. Art. 22 DSGVO verbietet grundsätzlich Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und der betroffenen Person gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Die SCHUFA argumentierte, sie selbst treffe keine Entscheidung, das tue die Bank.

    Der EuGH sah das anders: Bereits die automatisierte Ermittlung eines Wahrscheinlichkeitswerts durch eine Auskunftei ist eine „automatisierte Entscheidung im Einzelfall“, wenn ein Dritter, dem dieser Wert übermittelt wird, ihn maßgeblich für seine Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses heranzieht. Damit ist Scoring in solchen Fällen nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 DSGVO greift, etwa eine mitgliedstaatliche Regelung mit angemessenen Schutzmaßnahmen. Ob § 31 BDSG eine solche taugliche Grundlage ist, muss das vorlegende Verwaltungsgericht prüfen; der EuGH äußerte daran erhebliche Zweifel.

    Urteil 2: Restschuldbefreiung nur so lange wie im öffentlichen Register

    Im zweiten Verfahren ging es um die Praxis, Informationen über eine erteilte Restschuldbefreiung aus dem öffentlichen Insolvenzregister zu übernehmen und drei Jahre lang zu speichern, während das öffentliche Register sie nach sechs Monaten löscht. Der EuGH entschied: Eine private Auskunftei darf diese Daten nicht länger speichern als das öffentliche Register. Die Restschuldbefreiung soll es Betroffenen ermöglichen, sich wieder am Wirtschaftsleben zu beteiligen; sie ist für sie daher von existenzieller Bedeutung. Nach Ablauf der sechs Monate besteht ein Anspruch auf unverzügliche Löschung. Auch innerhalb der sechs Monate können Betroffene der Verarbeitung widersprechen; die Auskunftei muss dann zwingende schutzwürdige Gründe nachweisen.

    Was bedeutet das für Verbraucher?

    • Wer eine Restschuldbefreiung erhalten hat, sollte prüfen, ob diese Information mehr als sechs Monate nach der Veröffentlichung noch gespeichert ist, und gegebenenfalls Löschung verlangen.
    • Über eine Selbstauskunft nach Art. 15 DSGVO lässt sich ermitteln, welche Daten eine Auskunftei gespeichert hat. Wie Sie dabei vorgehen und was Ihnen zusteht, lesen Sie in unserem Beitrag zum Umfang des Auskunftsanspruchs.
    • Löschanträge lassen sich nach den Grundsätzen stellen, die wir in „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“ beschrieben haben.

    Was bedeutet das für Unternehmen?

    Banken, Vermieter, Telekommunikations- und Energieunternehmen, die Bonitätsauskünfte nutzen, sollten ihre Entscheidungsprozesse prüfen. Wird ein Vertrag allein aufgrund eines Scores abgelehnt, liegt ein erhebliches Risiko vor. Empfehlenswert ist eine echte menschliche Prüfung, die weitere Kriterien einbezieht, sowie eine transparente Information der Kunden. Auch eigene Scoring-Modelle, etwa im Online-Handel beim Kauf auf Rechnung, sind an Art. 22 DSGVO zu messen.

    Wie deutsche Gerichte und der Gesetzgeber die Urteile umsetzen, bleibt abzuwarten. Belastet Sie ein negativer Score oder eine veraltete Eintragung, prüfen wir Ihre Ansprüche auf Auskunft, Berichtigung und Löschung. Schreiben Sie uns oder buchen Sie einen Termin.