Nexvyra

DSGVO Art. 22 (VO 2016/679) – Automatisierte Entscheidungen und Scoring – EuGH SCHUFA-Urteil (C-634/21) In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-09-06 · letzte Prüfung: 2026-09-06 · Quellen-Autorität A Fehler melden ✉
Kurzantwort **Artikel 22 DSGVO (Verordnung (EU) 2016/679)** gibt jeder Person das **Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden**, die ihr gegenüber **rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt** (Art. 22 Abs. 1). Der **Europäische Gerichtshof (EuGH)** hat mit dem **SCHUFA-Urteil vom 07.12.2023 (Rechtssache C-634/21)** klargestellt: Bereits die **automatisierte Erstellung eines Wahrscheinlichkeitswerts (Score)** über die Zahlungsfähigkeit einer Person ist eine „automatisierte Entscheidung im Einzelfall" nach Art. 22 Abs. 1 – **wenn ein Dritter (z. B. eine Bank) maßgeblich auf diesen Score abstellt**, um über einen Vertrag (etwa einen Kredit) zu entscheiden. Damit unterliegt Kreditscoring dem grundsätzlichen **Verbot mit Erlaubnisvorbehalt**: Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift (Vertragserforderlichkeit, gesetzliche Erlaubnis oder ausdrückliche Einwilligung) – flankiert von Schutzgarantien wie dem **Recht auf menschliches Eingreifen**. In Deutschland ist die gesetzliche Erlaubnis für Scoring derzeit noch **§ 31 BDSG** a. F.; sie wird zum **20.11.2026** durch den neuen **§ 37a BDSG** ersetzt. Dieser wurde durch **Artikel 3 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026** (BGBl. 2026 I Nr. 139) eingefügt – nicht, wie in der 20. Wahlperiode zunächst geplant, durch ein eigenständiges „Erstes Gesetz zur Änderung des BDSG".

Kernfakten

PunktWert
RechtsgrundlageArt. 22 Verordnung (EU) 2016/679 (DSGVO)
DSGVO anwendbar seit25.05.2018
GrundregelVerbot ausschließlich automatisierter Einzelentscheidungen mit rechtlicher / ähnlich erheblicher Wirkung [Art. 22 Abs. 1]
AusnahmenVertragserforderlichkeit, Erlaubnis durch Unions-/Mitgliedstaatsrecht, ausdrückliche Einwilligung [Art. 22 Abs. 2]
SchutzgarantienRecht auf menschliches Eingreifen, eigener Standpunkt, Anfechtung der Entscheidung [Art. 22 Abs. 3]
Verbot bei besonderen DatenkategorienGrundsätzlich unzulässig, enge Ausnahmen [Art. 22 Abs. 4]
Leitentscheidung ScoringEuGH, Urteil vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)"
Kernaussage C-634/21Score-Erstellung = automatisierte Entscheidung, wenn Dritter maßgeblich darauf abstellt
Parallelurteil SpeicherdauerEuGH, Urteil vom 07.12.2023, verb. Rs. C-26/22 und C-64/22
Kernaussage C-26/22, C-64/22Auskunfteien dürfen Restschuldbefreiung nicht länger speichern als das öffentliche Register (6 Monate) [Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. f]
Öffentliche Löschfrist Insolvenz6 Monate auf insolvenzbekanntmachungen.de
Deutsche Scoring-Erlaubnis§ 37a BDSG (neu), eingefügt durch Artikel 3 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026 (BGBl. 2026 I Nr. 139, ausgegeben 18.05.2026) – ersetzt § 31 BDSG a. F.
In-Kraft-Treten § 37a BDSG20.11.2026 – der Gesetzgeber hat für die BDSG-Änderungen bewusst eine Übergangszeit gesetzt, damit Unternehmen und Auskunfteien ihre Verfahren anpassen können. Bis dahin gilt § 31 BDSG a. F. fort.
BGH-Folgeurteil SpeicherfristenBGH, Urteil vom 18.12.2025, I ZR 97/25 (beglichene Forderungen)
Sanktion VerstoßBis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 DSGVO]
Betroffener NutzerkreisAlle Verbraucher mit Kredit-, Miet-, Mobilfunk-, Leasing- oder Ratenanfragen

Geltungsbereich

Art. 22 DSGVO gilt unmittelbar in allen EU-Mitgliedstaaten – als Verordnung braucht die Norm kein Umsetzungsgesetz. Erfasst ist jede ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung: Kreditscoring, automatisierte Ablehnung von Online-Krediten, algorithmische Bonitätsprüfung bei Mietanfragen, automatisierte Tarif- oder Preisentscheidungen und zunehmend KI-gestützte Bewertungsverfahren. „Ausschließlich automatisiert" bedeutet: ohne inhaltlich prüfendes menschliches Eingreifen. Ein bloßes „Durchwinken" eines maschinellen Vorschlags durch einen Menschen genügt nicht, um die Ausnahme zu begründen.

Weil Art. 22 DSGVO als EU-Verordnung unmittelbar gilt, bleibt der legal_status = in_force. Die deutsche Erlaubnisnorm für Scoring (§ 37a BDSG) ist dagegen nationales Ausführungsrecht und noch nicht in Kraft: Sie wurde durch Artikel 3 des Gesetzes zur Umsetzung der Verbraucherkreditrichtlinie (EU) 2023/2225 vom 12.05.2026 (BGBl. 2026 I Nr. 139) eingefügt und tritt erst am 20.11.2026 in Kraft. Bis zu diesem Tag ist § 31 BDSG a. F. die maßgebliche nationale Scoring-Norm – das erklärt auch, warum der amtliche BDSG-Volltext auf gesetze-im-internet.de derzeit noch § 31 und keinen § 37a ausweist.

Die EuGH-Urteile im Detail

C-634/21 „SCHUFA Holding (Scoring)" (07.12.2023): Das Verwaltungsgericht Wiesbaden hatte dem EuGH vorgelegt, ob die automatisierte Berechnung eines Score-Werts durch eine Auskunftei bereits eine Entscheidung nach Art. 22 Abs. 1 DSGVO ist. Der EuGH bejahte dies: Wenn Dritte – etwa Banken – dem Score bei Vertragsanbahnung eine „maßgebliche Rolle" einräumen, ist schon die Score-Erstellung die automatisierte Einzelentscheidung. Folge: Sie ist grundsätzlich verboten, sofern keine mitgliedstaatliche Erlaubnisnorm (mit angemessenen Schutzmaßnahmen) sie deckt. Der EuGH äußerte erhebliche Zweifel, ob der damalige § 31 BDSG diese Anforderungen erfüllte, überließ die abschließende Prüfung aber dem nationalen Gericht.

Verb. Rs. C-26/22 und C-64/22 (07.12.2023): Parallel entschied der EuGH, dass private Auskunfteien Daten über eine erteilte Restschuldbefreiung nicht länger speichern dürfen als das öffentliche Insolvenzregister – dort sind sie nur sechs Monate einsehbar (insolvenzbekanntmachungen.de). Eine drei Jahre lange Parallelspeicherung durch die SCHUFA verstieß gegen Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 lit. f DSGVO. Die Restschuldbefreiung soll dem Betroffenen die Rückkehr ins Wirtschaftsleben ermöglichen.

Deutsche Umsetzung: von § 31 BDSG zu § 37a BDSG

Als Reaktion auf C-634/21 hat der deutsche Gesetzgeber die Scoring-Regelung neu gefasst – nicht, wie in der 20. Wahlperiode zunächst geplant, über ein eigenständiges „Erstes Gesetz zur Änderung des BDSG", sondern über Artikel 3 des Verbraucherkreditrichtlinien-Umsetzungsgesetzes vom 12.05.2026 (BGBl. 2026 I Nr. 139): Der bisherige § 31 BDSG a. F. wird durch den neuen § 37a BDSG ersetzt. § 37a BDSG erlaubt Scoring nur, wenn die verwendeten Merkmale nachweislich statistisch erheblich sind, und verbietet ausdrücklich bestimmte Datenarten als Score-Grundlage – u. a. besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), Daten aus sozialen Netzwerken sowie Angaben über Zahlungsein- und -ausgänge (Kontodaten). Zudem bestehen erweiterte Transparenzpflichten über die wesentlichen Faktoren des Scores.

Zur Speicherdauer hat der BGH mit Urteil vom 18.12.2025 (I ZR 97/25) entschieden, dass eine Auskunftei Daten über beglichene Zahlungsstörungen nicht sofort löschen muss: Die 6-Monats-Frist aus dem öffentlichen Insolvenzregister lasse sich nicht auf von Vertragspartnern gemeldete Daten übertragen; maßgeblich sei eine Einzelfallabwägung (zurückverwiesen an das OLG Köln).

Was das für Verbraucher bedeutet

Ein Kreditsuchender, dessen Online-Kreditantrag allein wegen eines schlechten Scores automatisch abgelehnt wird, kann sich auf Art. 22 Abs. 3 DSGVO berufen: menschliche Überprüfung, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung.

Eine Mietinteressentin kann von der Auskunftei nach Art. 15 Abs. 1 lit. h DSGVO aussagekräftige Informationen über die involvierte Logik des Scores verlangen – nicht den Algorithmus selbst, aber die wesentlichen Faktoren.

Eine Person nach Privatinsolvenz kann die Löschung eines über sechs Monate hinaus gespeicherten Eintrags zur Restschuldbefreiung verlangen (Art. 17 DSGVO i. V. m. C-26/22, C-64/22).

Häufige Fehler

Ausnahmen

Art. 22 Abs. 1 DSGVO greift nicht, wenn die automatisierte Entscheidung (a) für Abschluss/Erfüllung eines Vertrags erforderlich ist, (b) durch Unions- oder mitgliedstaatliches Recht erlaubt ist (in DE für Scoring: § 37a BDSG) oder (c) mit ausdrücklicher Einwilligung erfolgt (Art. 22 Abs. 2). In den Fällen (a) und (c) müssen dennoch die Schutzgarantien des Art. 22 Abs. 3 gewahrt werden. Entscheidungen auf Basis besonderer Datenkategorien (Art. 9) sind nur unter engen Zusatzvoraussetzungen zulässig (Art. 22 Abs. 4).

Beispiel

Eine Bank lehnt den vollständig online gestellten Ratenkreditantrag von Frau M. innerhalb von Sekunden ab – allein anhand eines SCHUFA-Scores von 91 %. Nach dem EuGH-Urteil C-634/21 ist bereits die maßgeblich verwendete Score-Erstellung eine automatisierte Entscheidung nach Art. 22. Frau M. verlangt gemäß Art. 22 Abs. 3 DSGVO die Überprüfung durch einen Sachbearbeiter, legt ihre stabile Einkommenssituation dar und fordert nach Art. 15 Abs. 1 lit. h DSGVO die wesentlichen Faktoren des Scores an. Stellt sich heraus, dass ein bereits beglichener Alteintrag den Score gedrückt hat, ist im Rahmen der BGH-Einzelfallabwägung (I ZR 97/25) zu prüfen, ob die weitere Speicherung noch rechtmäßig ist.

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-09-06
Letzte Prüfung:
2026-09-06
In Kraft seit:
2018-05-25
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.