SCHUFA-Score: Wann Auskunfteien ihre Bewertungslogik offenlegen müssen

Der Auskunftsanspruch über die involvierte Logik eines Bonitätsscores besteht nur, wenn alle drei Merkmale des Art. 22 Abs. 1 DSGVO erfüllt sind, also auch eine rechtliche oder ähnlich erhebliche Beeinträchtigung vorliegt. Der Betroffene muss dies darlegen und beweisen, wobei hieran keine zu hohen Anforderungen gestellt werden: Ein übermittelter Score und eine zeitlich nachfolgende nachteilige Vertragsentscheidung begründen eine tatsächliche Vermutung. Zudem müssen Auskunftsanträge hinreichend bestimmt formuliert sein.

Auskunftsansprüche über Bonitätsscores

Wirtschaftsauskunfteien berechnen mittels mathematisch-statistischer Verfahren Wahrscheinlichkeitswerte (Scorewerte), die das künftige Zahlungsverhalten einer Person einschätzen sollen. Die Berechnung beruht auf gespeicherten Daten, die einer Zuordnung zu statistischen Personengruppen mit ähnlicher Datenbasis dienen. Betroffene können von der Auskunftei Auskunft über diese Scorewerte verlangen und beanspruchen insbesondere Informationen über die Gewichtung einzelner Kriterien sowie die Aussagekraft der Werte. Streitig ist regelmäßig, ob und in welchem Umfang ein solcher Anspruch aus Art. 15 Abs. 1 Buchst. h DSGVO besteht.

Vorliegend verlangte eine Privatperson von einer Wirtschaftsauskunftei Auskunft über die Berechnung ihrer Scorewerte, nachdem sie zuvor ein Auskunftsschreiben mit tabellarischer Übersicht der übermittelten Werte erhalten hatte. Das Berufungsgericht sprach der Privatperson einen Teil der begehrten Auskünfte zu. Die Revision der Auskunftei hatte Erfolg, die Sache wurde zurückverwiesen.

Welche Voraussetzungen hat der Auskunftsanspruch nach Art. 15 Abs. 1 Buchst. h DSGVO?

Der Anspruch auf aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der Verarbeitung setzt eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 DSGVO voraus. Die Anwendbarkeit des Art. 22 Abs. 1 DSGVO hängt von drei kumulativen Voraussetzungen ab: Erstens muss eine Entscheidung vorliegen, zweitens muss diese ausschließlich auf einer automatisierten Verarbeitung - einschließlich Profiling - beruhen, und drittens muss sie gegenüber der betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (vgl. EuGH, 07.12.2023 - Az: C-634/21).

Der Begriff „Entscheidung“ ist nach der Rechtsprechung des Gerichtshofs der Europäischen Union weit auszulegen. Er umfasst auch das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts. Bereits die Berechnung dieses Werts und nicht erst seine Übermittlung an Dritte stellt eine Entscheidung dar. Berechnet eine Wirtschaftsauskunftei automatisiert einen solchen Wert, liegt zudem ein Profiling im Sinne des Art. 4 Nr. 4 DSGVO vor, da personenbezogene Daten automatisiert zur Bewertung persönlicher Aspekte wie wirtschaftlicher Lage, Zuverlässigkeit und Verhalten verarbeitet werden. Die ersten beiden Merkmale sind damit bei einem Bonitätsscoring regelmäßig erfüllt.

Muss auch das dritte Merkmal des Art. 22 Abs. 1 DSGVO vorliegen?

Der Auskunftsanspruch setzt voraus, dass sämtliche Merkmale des Art. 22 Abs. 1 DSGVO erfüllt sind, also auch die rechtliche Wirkung oder erhebliche Beeinträchtigung der betroffenen Person. Zwar kann Erwägungsgrund 63 Satz 3 DSGVO so verstanden werden, dass bereits ein Profiling den Auskunftsanspruch auslöst. Der Gerichtshof der Europäischen Union hat das Erläuterungsrecht jedoch im Licht des Erwägungsgrunds 71 DSGVO daran geknüpft, dass die betroffene Person einer ausschließlich automatisiert beruhenden, sie erheblich beeinträchtigenden Entscheidung unterworfen wird (vgl. EuGH, 27.02.2025 - Az: C-203/22). Der Erläuterungsanspruch steht nach Erwägungsgrund 71 Satz 4 DSGVO neben den Rechten auf Eingreifen einer Person, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung, die der Verantwortliche nach Art. 22 Abs. 2 Buchst. a und c, Abs. 3 DSGVO einräumen muss. Auch die Antwort des Gerichtshofs auf die Vorlagefrage im Verfahren SCHUFA Holding (Scoring) zeigt, dass die drei Merkmale als Einheit verstanden werden. Die Wendung „zumindest in diesen Fällen“ in Art. 15 Abs. 1 Buchst. h DSGVO begründet keinen Anspruch in Fällen, in denen nicht alle Voraussetzungen des Art. 22 Abs. 1 DSGVO vorliegen.

Nicht erforderlich ist hingegen, dass ein Verstoß gegen Art. 22 Abs. 2 bis 4 DSGVO vorliegt. Der Auskunftsanspruch besteht unabhängig davon, ob die automatisierte Entscheidungsfindung zulässig ist oder nicht.

Das dritte Merkmal ist bei einem Wahrscheinlichkeitswert einer Wirtschaftsauskunftei erfüllt, wenn von diesem Wert maßgeblich abhängt, ob ein Dritter, dem der Wert übermittelt wird, ein Vertragsverhältnis mit der betroffenen Person begründet, durchführt oder beendet (vgl. EuGH, 07.12.2023 - Az: C-634/21). Hierzu sind für jeden im Antrag bezeichneten Wahrscheinlichkeitswert Feststellungen erforderlich. Besonderheiten gelten für Werte, die nicht an Dritte übermittelt werden, sondern allein der Information der betroffenen Person dienen (etwa ein sogenannter Basisscorewert): Insoweit wäre das dritte Merkmal nicht erfüllt.

Wer trägt die Darlegungs- und Beweislast, und welche Anforderungen gelten?

Die Darlegungs- und Beweislast für sämtliche Voraussetzungen des Anspruchs aus Art. 15 Abs. 1 Buchst. h, Art. 22 Abs. 1 DSGVO trägt nach allgemeinen Grundsätzen der Anspruchsteller (vgl. BGH, 21.11.2024 - Az: I ZR 107/23). Mit Blick auf den unionsrechtlichen Effektivitätsgrundsatz dürfen daran jedoch keine zu hohen Anforderungen gestellt werden. Andernfalls drohte - gerade in der Konstellation mit drei Akteuren (Betroffener, Auskunftei, Vertragspartner) - ein Leerlaufen des Anspruchs, weil der Betroffene typischerweise keinen Einblick in die Entscheidungsgrundlagen des Dritten hat.

Der weitere Inhalt ist nur für registrierte Nutzer zugänglich. Bitte melden Sie sich an oder registrieren Sie sich für einen Zugang.

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.