Nexvyra

DSGVO Art. 22 (VO 2016/679) – Automatisierte Entscheidungen und Scoring – EuGH SCHUFA-Urteil (C-634/21)

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-03 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Artikel 22 DSGVO (Verordnung (EU) 2016/679) gibt jeder Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 Abs. 1). Der Europäische Gerichtshof (EuGH) hat mit dem SCHUFA-Urteil vom 07.12.2023 (Rechtssache C-634/21) klargestellt: Bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts (Score) über die Zahlungsfähigkeit einer Person ist eine „automatisierte Entscheidung im Einzelfall" nach Art. 22 Abs. 1 – wenn ein Dritter (z. B. eine Bank) maßgeblich auf diesen Score abstellt, um über einen Vertrag (etwa einen Kredit) zu entscheiden. Damit unterliegt Kreditscoring dem grundsätzlichen Verbot mit Erlaubnisvorbehalt: Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift (Vertragserforderlichkeit, gesetzliche Erlaubnis oder ausdrückliche Einwilligung) – flankiert von Schutzgarantien wie dem Recht auf menschliches Eingreifen. In Deutschland wird die gesetzliche Erlaubnis für Scoring durch den neuen § 37a BDSG (Erstes Gesetz zur Änderung des BDSG, Nachfolger des § 31 BDSG a. F.) ausgestaltet.

Kernfakten

PunktWert
RechtsgrundlageArt. 22 Verordnung (EU) 2016/679 (DSGVO)
DSGVO anwendbar seit25.05.2018
GrundregelVerbot ausschließlich automatisierter Einzelentscheidungen mit rechtlicher / ähnlich erheblicher Wirkung [Art. 22 Abs. 1]
AusnahmenVertragserforderlichkeit, Erlaubnis durch Unions-/Mitgliedstaatsrecht, ausdrückliche Einwilligung [Art. 22 Abs. 2]
SchutzgarantienRecht auf menschliches Eingreifen, eigener Standpunkt, Anfechtung der Entscheidung [Art. 22 Abs. 3]
Verbot bei besonderen DatenkategorienGrundsätzlich unzulässig, enge Ausnahmen [Art. 22 Abs. 4]
Leitentscheidung ScoringEuGH, Urteil vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)"
Kernaussage C-634/21Score-Erstellung = automatisierte Entscheidung, wenn Dritter maßgeblich darauf abstellt
Parallelurteil SpeicherdauerEuGH, Urteil vom 07.12.2023, verb. Rs. C-26/22 und C-64/22
Kernaussage C-26/22, C-64/22Auskunfteien dürfen Restschuldbefreiung nicht länger speichern als das öffentliche Register (6 Monate) [Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. f]
Öffentliche Löschfrist Insolvenz6 Monate auf insolvenzbekanntmachungen.de
Deutsche Scoring-Erlaubnis§ 37a BDSG (neu), Erstes Gesetz zur Änderung des BDSG – ersetzt § 31 BDSG a. F.
In-Kraft-Treten § 37a BDSGerster Tag des Quartals nach Verkündung — konkretes Datum: review_needed
BGH-Folgeurteil SpeicherfristenBGH, Urteil vom 18.12.2025, I ZR 97/25 (beglichene Forderungen)
Sanktion VerstoßBis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 DSGVO]
Betroffener NutzerkreisAlle Verbraucher mit Kredit-, Miet-, Mobilfunk-, Leasing- oder Ratenanfragen

Geltungsbereich

Art. 22 DSGVO gilt unmittelbar in allen EU-Mitgliedstaaten – als Verordnung braucht die Norm kein Umsetzungsgesetz. Erfasst ist jede ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung: Kreditscoring, automatisierte Ablehnung von Online-Krediten, algorithmische Bonitätsprüfung bei Mietanfragen, automatisierte Tarif- oder Preisentscheidungen und zunehmend KI-gestützte Bewertungsverfahren. „Ausschließlich automatisiert" bedeutet: ohne inhaltlich prüfendes menschliches Eingreifen. Ein bloßes „Durchwinken" eines maschinellen Vorschlags durch einen Menschen genügt nicht, um die Ausnahme zu begründen.

Weil Art. 22 DSGVO als EU-Verordnung unmittelbar gilt, bleibt der legal_status = in_force. Die deutsche Erlaubnisnorm für Scoring (§ 37a BDSG) ist dagegen nationales Ausführungsrecht; ihr genaues In-Kraft-Treten ist hier als review_needed markiert, weil das Erste Gesetz zur Änderung des BDSG erst „am ersten Tag des auf die Verkündung folgenden Quartals" wirksam wird und das exakte Verkündungsdatum nicht amtlich gegengeprüft werden konnte.

Die EuGH-Urteile im Detail

C-634/21 „SCHUFA Holding (Scoring)" (07.12.2023): Das Verwaltungsgericht Wiesbaden hatte dem EuGH vorgelegt, ob die automatisierte Berechnung eines Score-Werts durch eine Auskunftei bereits eine Entscheidung nach Art. 22 Abs. 1 DSGVO ist. Der EuGH bejahte dies: Wenn Dritte – etwa Banken – dem Score bei Vertragsanbahnung eine „maßgebliche Rolle" einräumen, ist schon die Score-Erstellung die automatisierte Einzelentscheidung. Folge: Sie ist grundsätzlich verboten, sofern keine mitgliedstaatliche Erlaubnisnorm (mit angemessenen Schutzmaßnahmen) sie deckt. Der EuGH äußerte erhebliche Zweifel, ob der damalige § 31 BDSG diese Anforderungen erfüllte, überließ die abschließende Prüfung aber dem nationalen Gericht.

Verb. Rs. C-26/22 und C-64/22 (07.12.2023): Parallel entschied der EuGH, dass private Auskunfteien Daten über eine erteilte Restschuldbefreiung nicht länger speichern dürfen als das öffentliche Insolvenzregister – dort sind sie nur sechs Monate einsehbar (insolvenzbekanntmachungen.de). Eine drei Jahre lange Parallelspeicherung durch die SCHUFA verstieß gegen Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 lit. f DSGVO. Die Restschuldbefreiung soll dem Betroffenen die Rückkehr ins Wirtschaftsleben ermöglichen.

Deutsche Umsetzung: von § 31 BDSG zu § 37a BDSG

Als Reaktion auf C-634/21 hat der deutsche Gesetzgeber mit dem Ersten Gesetz zur Änderung des BDSG die Scoring-Regelung neu gefasst: Der bisherige § 31 BDSG a. F. wird durch den neuen § 37a BDSG ersetzt. § 37a BDSG erlaubt Scoring nur, wenn die verwendeten Merkmale nachweislich statistisch erheblich sind, und verbietet ausdrücklich bestimmte Datenarten als Score-Grundlage – u. a. besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), Daten aus sozialen Netzwerken sowie Angaben über Zahlungsein- und -ausgänge (Kontodaten). Zudem bestehen erweiterte Transparenzpflichten über die wesentlichen Faktoren des Scores.

Zur Speicherdauer hat der BGH mit Urteil vom 18.12.2025 (I ZR 97/25) entschieden, dass eine Auskunftei Daten über beglichene Zahlungsstörungen nicht sofort löschen muss: Die 6-Monats-Frist aus dem öffentlichen Insolvenzregister lasse sich nicht auf von Vertragspartnern gemeldete Daten übertragen; maßgeblich sei eine Einzelfallabwägung (zurückverwiesen an das OLG Köln).

Was das für Verbraucher bedeutet

Ein Kreditsuchender, dessen Online-Kreditantrag allein wegen eines schlechten Scores automatisch abgelehnt wird, kann sich auf Art. 22 Abs. 3 DSGVO berufen: menschliche Überprüfung, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung.

Eine Mietinteressentin kann von der Auskunftei nach Art. 15 Abs. 1 lit. h DSGVO aussagekräftige Informationen über die involvierte Logik des Scores verlangen – nicht den Algorithmus selbst, aber die wesentlichen Faktoren.

Eine Person nach Privatinsolvenz kann die Löschung eines über sechs Monate hinaus gespeicherten Eintrags zur Restschuldbefreiung verlangen (Art. 17 DSGVO i. V. m. C-26/22, C-64/22).

Häufige Fehler

Ausnahmen

Art. 22 Abs. 1 DSGVO greift nicht, wenn die automatisierte Entscheidung (a) für Abschluss/Erfüllung eines Vertrags erforderlich ist, (b) durch Unions- oder mitgliedstaatliches Recht erlaubt ist (in DE für Scoring: § 37a BDSG) oder (c) mit ausdrücklicher Einwilligung erfolgt (Art. 22 Abs. 2). In den Fällen (a) und (c) müssen dennoch die Schutzgarantien des Art. 22 Abs. 3 gewahrt werden. Entscheidungen auf Basis besonderer Datenkategorien (Art. 9) sind nur unter engen Zusatzvoraussetzungen zulässig (Art. 22 Abs. 4).

Beispiel

Eine Bank lehnt den vollständig online gestellten Ratenkreditantrag von Frau M. innerhalb von Sekunden ab – allein anhand eines SCHUFA-Scores von 91 %. Nach dem EuGH-Urteil C-634/21 ist bereits die maßgeblich verwendete Score-Erstellung eine automatisierte Entscheidung nach Art. 22. Frau M. verlangt gemäß Art. 22 Abs. 3 DSGVO die Überprüfung durch einen Sachbearbeiter, legt ihre stabile Einkommenssituation dar und fordert nach Art. 15 Abs. 1 lit. h DSGVO die wesentlichen Faktoren des Scores an. Stellt sich heraus, dass ein bereits beglichener Alteintrag den Score gedrückt hat, ist im Rahmen der BGH-Einzelfallabwägung (I ZR 97/25) zu prüfen, ob die weitere Speicherung noch rechtmäßig ist.

Quellen

Änderungsverlauf

Siehe auch

Stand