Der BGH wird am 21. Oktober 2026 seine Entscheidung in vier Verfahren über die Frage verkünden, ob und ggf. in welchem Umfang die Wirtschaftsauskunftei Schufa betroffenen Personen Auskunft über die Entstehung des Schufa-Scores erteilen muss. In drei zentralen Urteilen aus den Jahren 2023 und 2025 hatte der EuGH der Datenverarbeitung durch private Wirtschaftsauskunfteien Grenzen gesetzt und die Auskunftsrechte betroffener Personen gestärkt. Bei den deutschen Zivilgerichten herrscht seit Erlass dieser Entscheidungen allerdings überwiegend business as usual: Die Rechtsprechung des EuGH wird nicht als Impuls verstanden, die eigene Rechtsauffassung zum Bonitäts-Scoring zu überdenken (und z.B. einen Blick ins Nachbarland Frankreich zu werfen, in dem private Auskunfteien über Verbraucher:innen keine Daten sammeln dürfen¹⁾). Vielmehr wird mit neuen Argumentationsmustern an der bisherigen Rechtsprechung festgehalten. Damit werden die deutschen Zivilgerichte ihrer Aufgabe, die Effektivität des Unionsrechts sicherzustellen, nicht gerecht.

Ausgangslage

Die Wirtschaftsauskunftei Schufa speichert laut eigenen Aussagen Positiv- wie Negativdaten von 68 Millionen Personen, um auf Basis dieser Daten den sog. Schufa-Score (in verschiedenen Varianten) zu errechnen. Die gespeicherten Daten und der Score werden auf Anfrage den ca. 10.000 Vertragspartnern der Schufa zur Verfügung gestellt, um das Ausfallrisiko einer Forderung abzuschätzen. Die Bestimmung des Schufa-Scores hat der BGH im Jahr 2014 als Geschäftsgeheimnis eingestuft; ein datenschutzrechtlicher Auskunftsanspruch der betroffenen Personen über die Bestimmung des Scores bestehe nicht.²⁾ Die langjährige Schufa-freundliche deutsche Rechtsprechung wird durch drei EuGH-Entscheidungen aus den Jahren 2023 und 2025 in Frage gestellt.

Die Entscheidungen des EuGH zum Thema Bonitäts-Scoring

In der Entscheidung Schufa Holding (Restschuldbefreiung) hat der EuGH zunächst erläutert, dass die Datenspeicherung durch Wirtschaftsauskunfteien auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden und damit rechtmäßig sein kann, wenn eine Interessenabwägung für die Datenverarbeitung spricht.³⁾ Gleichzeitig hat der Gerichtshof das Rehabilitationsinteresse der betroffenen Personen nach einer Restschuldbefreiung anerkannt und die Dauer der Speicherung durch Auskunfteien auf die gesetzlich vorgesehene Speicherfrist für das öffentliche Insolvenzregister beschränkt. Ob Auskunfteien überhaupt ein überwiegendes Interesse an der eigenständigen Speicherung personenbezogener Daten haben, die jederzeit aus einem öffentlichen Register abgerufen werden können, hat der EuGH offengelassen.

Im Fall Schufa Holding (Scoring) hatte der EuGH zu entscheiden, ob das Erstellen eines Bonitäts-Scores eine automatisierte Entscheidungsfindung i.S.d. Art. 22 DSGVO darstellt und somit grundsätzlich verboten ist.⁴⁾ Der BGH hatte das Vorliegen einer automatisierten Entscheidungsfindung zuvor  verneint,⁵⁾ anders als das österreichische Bundesverwaltungsgericht.⁶⁾ Quasi vermittelnd legte das VG Wiesbaden  dem EuGH die Frage vor, ob die automatisierte Erstellung des Bonitäts-Scores jedenfalls dann eine Entscheidung i.S.d. Art. 22 DSGVO darstelle, wenn ein Dritter „diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt“. Der EuGH bejahte diese Frage.

Die Entscheidung Dun & Bradstreet Austria hatte schließlich zum Gegenstand, in welchem Umfang eine Wirtschaftsauskunftei gem. Art. 15 Abs. 1 lit. h DSGVO Auskunft über die bei einer Entscheidung nach Art. 22 DSGVO „involvierte Logik“ zu erteilen hat.⁷⁾ Der Gerichtshof führte hierzu aus, die Auskunft solle der betroffenen Person die wirksame Ausübung ihrer Rechte nach Art. 22 Abs. 3 DSGVO ermöglichen (insbes. eine Darlegung des eigenen Standpunkts und die Möglichkeit zur Anfechtung). In präziser, transparenter, verständlicher und leicht zugänglicher Form seien Verfahren und Grundsätze offenzulegen, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten konkret angewandt wurden; ggf. im Wege kontrafaktischer Erklärungen. Die Offenlegung des gesamten Algorithmus sei zwar nicht erforderlich, dessen Komplexität und Einordnung als Geschäftsgeheimnis entbinde aber nicht von der Erläuterungspflicht.

Die Reaktion der deutschen Zivilgerichte

Diese Rechtsprechung des EuGH steht in deutlichem Kontrast zu der zuvor in Deutschland vertretenen herrschenden Meinung. Die Reaktion der deutschen Zivilgerichte fiel entsprechend verhalten aus.

Datenspeicherung

Der BGH vertritt in Sachen Datenspeicherung durch die Schufa weiterhin eine liberale Haltung. Sowohl die Speicherung von Positivdaten über abgeschlossene Mobilfunkverträge⁸⁾ als auch die Speicherung von Daten über Zahlungsausfälle, die im amtlichen Schuldnerverzeichnis bereits gelöscht wurden,⁹⁾ sei zulässig. Eine Orientierung an den Löschfristen für das amtliche Schuldnerverzeichnis gem. § 882e III Nr. 1 ZPO und damit eine Übertragung der Erwägungen des EuGH in der Entscheidung Schufa Holding (Restschuldbefreiung) lehnte der BGH ab. Dabei überzeugt zwar das Argument des Senats, dass mit Blick auf das Rehabilitationsinteresse erhebliche Unterschiede zwischen der (stark grundrechtsbeeinträchtigenden) Information über eine erfolgte Restschuldbefreiung und der (weniger belastenden) Information über eine behobene Zahlungsstörung bestehen. Die weiteren Ausführungen des Senats sind aber wenig überzeugend und lassen sich zugespitzt so zusammenfassen: Eine längere Speicherdauer durch Auskunfteien sei zulässig, weil die Informationen privat erhoben sowie früher und umfassender gespeichert würden als im öffentlichen Register.

Verbot der automatisierten Entscheidungsfindung

Was das Verbot der automatisierten Entscheidungsfindung betrifft, hat die Schufa im Nachgang zum Urteil Schufa Holding (Scoring) eine klare Kommunikationsstrategie verfolgt: Der Schufa-Score habe keine maßgebliche Wirkung auf die Entscheidungsfindung der Schufa-Vertragspartner und werde somit vom Verbot des Art. 22 DSGVO nicht erfasst.¹⁰⁾Diese Strategie ist vor den deutschen Zivilgerichten mehrheitlich aufgegangen. Nahezu durch die Bank hinweg haben die deutschen Oberlandesgerichte angenommen, der Score habe keine maßgebliche Bedeutung für die Entscheidungen der Score-Vertragspartner, weshalb keine automatisierte Entscheidungsfindung vorliege und weder ein Schadensersatz noch ein Auskunftsanspruch der betroffenen Personen in Betracht komme.¹¹⁾ Grundlage dieser Argumentation ist zunächst ein Inversionsfehlschluss: In der Entscheidung Schufa Holding (Scoring) hat der EuGH lediglich die Vorlagefrage des ersuchenden VG Wiesbadens beantwortet, ob eine automatisierte Entscheidungsfindung vorliege, wenn der Score die Entscheidung des Vertragspartners maßgeblich beeinflusse. Diese Frage hat der Gerichtshof bejaht. Zur gegenteiligen Situation, ob der Score keine automatisierte Entscheidungsfindung darstellt, wenn das Verhalten von Dritten nicht maßgeblich beeinflusst wird, hat sich der Gerichtshof nicht geäußert. Aus diesem Grund enthält das Urteil Schufa Holding (Scoring) auch keine Maßstäbe dafür, wie der maßgebliche Einfluss zu bestimmen ist. Wie der Generalanwalt in seinen Schlussanträgen hervorgehoben hat, ergibt sich bereits aus einem negativen Bonitäts-Score eine stigmatisierende Wirkung.¹²⁾ Gerichte, die aus der fehlenden maßgeblichen Beeinflussung der Drittentscheidung schließen wollen, dass die Erstellung des Scores keine automatisierte Entscheidungsfindung darstelle, müssten die Frage eigentlich erneut dem EuGH vorlegen.

Die Argumentationsstruktur der deutschen OLGs unterliegt zudem einem schwer aufzulösenden Paradox: Einerseits soll die Erstellung und Übermittlung des Bonitäts-Scores nach Art. 6 Abs. 1 lit. f DSGVO rechtmäßig sein, weil sie für den Schutz der Schufa-Vertragspartner vor Zahlungsausfällen erforderlich sei. Andererseits soll aber der übermittelte Score gar nicht maßgeblich für die Entscheidung der Vertragspartner sein. Hierzu passt das schöne englische Sprichwort „You can’t have your cake and eat it“: Wäre der Score für die Entscheidung der Vertragspartner nicht in der Regel maßgeblich, könnte er die ihm zugedachte Funktion des Schutzes vor dem Ausfallrisiko nicht erfüllen und dürfte mangels Erlaubnistatbestand nach Art. 6 Abs. 1 lit. f DSGVO weder erstellt noch übermittelt werden. Der Hinweis darauf, dass Schufa-Vertragspartner in ihre Entscheidung über den Vertragsschluss auch noch weitere Informationen einbeziehen, ist natürlich richtig. Doch stellt ein schlechter Score i.d.R. ein Ausschlusskriterium für den Vertragsschluss dar bzw. beeinflusst die Konditionen des Vertrags negativ. Auch wirtschaftlich betrachtet würde es für Vertragspartner wenig Sinn machen, Geld für einen Score zu bezahlen, der für ihre Entscheidungsfindung nicht maßgeblich ist.

Betroffene, welche das Bonitäts-Scoring durch die Schufa unter Verweis auf einen Verstoß gegen Art. 22 DSGVO unterbinden wollen, sehen sich außerdem durch ein faktisches Problem daran gehindert. Auf Schadensersatzklagen betroffener Personen hin reagiert die Schufa mit einer sog. Score-Sperre: Es werden keine Bonitäts-Scores über die jeweiligen Kläger:innen mehr erteilt. Die Rechtsprechung billigt diese Score-Sperren:¹³⁾ Eine betroffene Person setzt sich in Widerspruch zum eigenen Verhalten, wenn sie einerseits Schadensersatz für die Erstellung und Übermittlung des Scores in der Vergangenheit fordert, gleichzeitig aber die Erstellung und Übermittlung des Scores für die Zukunft begehrt. Da der Schufa-Score allerdings wesentlich für die Teilhabe am Wirtschaftsleben in Deutschland ist, können sich Verbraucher:innen eine Score-Sperre nicht „leisten“. Die Schufa muss somit Klagewellen wie jene nach dem „Facebook Datenleck“¹⁴⁾ nicht fürchten.

Auskunft

Liegt eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO vor, ist die verarbeitende Stelle verpflichtet, Informationen über die mit der Entscheidungsfindung „involvierte Logik“ gemäß Art. 15 Abs. 1 lit. h DSGVO zu erteilen. Da die Mehrheit der deutschen Oberlandesgerichte den Schufa-Score nicht als automatisierte Entscheidungsfindung i.S.d. Art. 22 DSGVO ansehen, scheitern auch die von den Betroffenen gegen die Schufa erhobenen Auskunftsbegehren regelmäßig. Eine positive Ausnahme bildet das OLG Dresden,¹⁵⁾ gegen dessen Entscheidungen die Schufa Revision eingelegt hat. Auch das VG Wiesbaden¹⁶⁾ geht im Endurteil seines Vorabentscheidungsersuchens von einer Auskunftspflicht über die Bildung des Scores aus. Nach Auffassung des VG Wiesbadens umfasst die Auskunftspflicht über die „involvierte Logik“ u.a., welche Daten in den Score eingeflossen sind und weshalb diese relevant und aussagekräftig sein sollen, welche Bedeutung den einzelnen Datentypen für die Scorebildung zukommt, ob Gruppeninformationen (wie z.B. zur Nachbarschaft) relevant sind und in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätten.

Für die Mehrheit der Betroffenen hat der „Abwehrwall“ der Oberlandesgerichte allerdings dazu geführt, dass ihr Informationsbegehren gegen die Schufa scheiterten: Die Gerichte haben von den Kläger:innen verlangt, zu beweisen, dass der Schufa-Score für die konkrete Entscheidung eines konkreten Vertragspartners maßgeblich war. Damit werden übermäßige Hürden für die Auskunftserteilung der Schufa errichtet, da Auskunftssuchende zunächst Klage gegen potentielle Vertragspartner auf Auskunft über deren Entscheidungsfindung erheben müssten (und anschließend noch Klage gegen die Schufa). Abgesehen davon, dass gegen potentielle Vertragspartner schon gar kein Anspruch auf Auskunft über deren Entscheidungsfindungsprozesse besteht, scheitert ein doppeltes Klageerfordernis an der rationalen Apathie der meisten Betroffenen. Damit realisiert sich genau das Aufspaltungsrisiko, vor welchem der EuGH in der Entscheidung Schufa Holding (Scoring) ausdrücklich gewarnt hatte: „[U]nter Umständen wie jenen des Ausgangsverfahrens, an denen drei Akteure beteiligt sind, [bestünde] die Gefahr einer Umgehung von Art. 22 DSGVO und folglich eine Rechtsschutzlücke“, denn die betroffene Person könnte „bei der Wirtschaftsauskunftei, die den sie betreffenden Wahrscheinlichkeitswert ermittelt, ihr Recht auf Auskunft über die in Art. 15 Abs. 1 Buchst. h DSGVO genannten spezifischen Informationen nicht geltend machen. […] Zum anderen wäre der Dritte […] nicht in der Lage, diese spezifischen Informationen vorzulegen, weil er darüber im Allgemeinen nicht verfügt.“¹⁷⁾

Ausblick

Auch der deutsche Gesetzgeber hat auf die EuGH-Entscheidung in der Sache Schufa Holding (Scoring) reagiert: Mit § 37a Abs. 1 BDSG treten am 26. November 2026 zwei Ausnahmen vom Verbot der automatisierten Entscheidungsfindung gem. Art. 22 DSGVO in Kraft. Dabei ist der Gesetzgeber ersichtlich davon ausgegangen, dass das Bonitäts-Scoring durch Auskunfteien unter das Verbot der automatisierten Entscheidungsfindung nach Art. 22 DSGVO fällt. Die Tendenz deutscher Gerichte, die EuGH-Rechtsprechung Schufa-freundlich auszulegen, wirft deshalb auch schwierige Auslegungsfragen zu § 37a BDSG auf.

Die Verkündigung der BGH-Entscheidung über die Revisionen der Schufa gegen die Auskunftsurteile des OLG Dresden ist für den 21. Oktober 2026 anvisiert. Der Senat sollte die Chance nutzen, den Trend der deutschen Zivilgerichte umzukehren und dem Effektivitätsgrundsatz beim Bonitäts-Scoring zur Wirkung zu verhelfen. Die Berichterstattung über die mündliche Verhandlung lässt allerdings nichts Gutes hoffen. Laut dieser Berichterstattung ist der Senat der Auffassung, eine automatisierte Entscheidungsfindung erfordere „mehr als das bloße Errechnen eines Scores“.¹⁸⁾ Sollte der Senat der Schufa tatsächlich mit dem Argument Recht geben wollen, der Schufa-Score sei nicht maßgeblich für die Entscheidung der Schufa-Vertragspartner, so müsste er die Rechtssache noch einmal dem EuGH vorlegen. Denn über diese Fallkonstellation hat der Gerichtshof keine Aussage getroffen. Sinnvoll wäre es stattdessen, wenn sich der Senat sowohl das vom EuGH hervorgehobene Aufspaltungsrisiko als auch den Grundsatz der Effektivität vor Augen hielte: „Vor allem den nationalen Gerichten obliegt es, den Rechtsschutz zu gewährleisten, der sich für den Einzelnen aus den gemeinschaftsrechtlichen Bestimmungen ergibt, und deren volle Wirkung sicherzustellen.“¹⁹⁾