Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) muss mit aufsichtlichen Mitteln gegenüber der Wirtschaftsauskunftei Schufa Holding AG einschreiten, damit diese ihrer Auskunftspflicht gemäß der Datenschutzgrundverordnung (DSGVO) nachkommt.
Der Entscheidung lag der nachfolgende Sachverhalt zugrunde:
Die Klägerin beantragte im Jahr 2018 einen Kredit, der abgelehnt wurde. Zuvor hatte die Schufa der betreffenden Bank einen Bonitätsscore von rund 86 % zur Klägerin übermittelt und ihren Fall als „deutlich erhöhtes bis hohes Risiko“ eingestuft. Die Klägerin begehrte daraufhin von der Schufa eine Erläuterung zum Zustandekommen des Scores und der Risikoeinschätzung.
Obwohl die Klägerin mehrere Antwortschreiben von der Schufa erhielt, erhob sie Beschwerde bei dem HBDI, in der sie rügte, dass die ihr von der Schufa erteilte Auskunft unzureichend sei, weil das Zustandekommen des Scores weiterhin nicht nachvollziehbar sei. Der HBDI lehnte ein aufsichtliches Einschreiten gegenüber der Schufa ab. Nach Auffassung des HBDI habe die Schufa die Fragen zur Berechnung des Scorewerts ausreichend und entsprechend ihrer gesetzlichen Verpflichtung beantwortet.
Da das in Rede stehende Auskunftsrecht nach Art. 15 Abs. 1 Buchst. h DSGVO nach Auffassung der Kammer davon abhängt, ob eine „automatisierte Entscheidung im Einzelfall“ im Sinne von Art. 22 Abs. 1 DSGVO vorliege, legte die Kammer das Verfahren zunächst dem Gerichtshof der Europäischen Union (EuGH) zur Vorabentscheidung hinsichtlich der Auslegung von Art. 22 Abs. 1 DSGVO vor.
Der EuGH entschied mit Urteil vom 07.12.2023 (Az:
C-634/21), „dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.“
Wie die 6. Kammer des Verwaltungsgerichts Wiesbaden nun entschied, handele es sich bei der Erstellung des Scorewerts, um eine ausschließlich auf einer „automatisierten Verarbeitung“ beruhenden Tätigkeit in diesem Sinne. Daher könne die Klägerin von der Schufa gemäß Art. 15 Abs. 1 Buchst. h DSGVO „aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung“ verlangen.
Nach den vom EuGH mit Urteil vom 27.02.2025 (Az: C-203/22) aufgestellten Grundsätzen, denen die Kammer folgte, bedeute dies, dass die relevanten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache zur Verfügung gestellt werden müssten. Die Schufa sei zwar nicht zur Offenlegung ihres Algorithmus verpflichtet. Allerdings müsse sie das Verfahren und die Grundsätze, die sie konkret bei der Erstellung des Scorewerts verwendet habe, so beschreiben, dass man nachvollziehen könne, welche personenbezogenen Daten auf welche Art verwendet worden seien. Abstrakte oder allgemein gehaltene Informationen genügten insofern nicht. Erforderlich sei eine individualisierte Darlegung der Verfahren und Grundsätze, die bei der Erstellung des Bonitätsprofils konkret angewandt worden seien.
Nach Auffassung der Kammer genüge die von der Schufa der Klägerin erteilte Auskunft diesen Anforderungen nicht. Die Schufa habe ihre Auskunft daher nachzubessern. Hierzu hat die Kammer konkrete Vorgaben dazu gemacht, was der Klägerin noch von der Schufa mitzuteilen ist, nämlich:
- welche personenbezogenen Daten der Klägerin sie für die Erstellung des Scorewerts konkret genutzt hat und welche sie zwar erhoben, aber nicht verwertet hat,
- in welcher Gewichtung die Daten Eingang in die Berechnung des Scorewerts hatten und
- warum der im Falle der Klägerin errechnete Scorewert als „deutlich erhöhtes bis hohes Risiko“ bewertet worden ist.
Der HBDI sei insoweit verpflichtet, gegenüber der Schufa einzuschreiten. Welches aufsichtsrechtliche Mittel der HBDI dabei anwende, stehe aber in seinem Ermessen.
Das Urteil ist noch nicht rechtskräftig. Die Kammer hat die Berufung und die Sprungrevision wegen grundsätzlicher Bedeutung zugelassen. Die Berufung, über die der Hessische Verwaltungsgerichtshof zu entscheiden hätte, kann innerhalb eines Monats nach Zustellung des Urteils eingelegt werden. Innerhalb derselben Frist kann alternativ auch die Revision an das Bundesverwaltungsgericht eingelegt werden, wenn der Rechtsmittelgegner der Einlegung der Sprungrevision zustimmt; die Berufungsinstanz würde dann übersprungen.
