---
title: DSGVO Art. 22 (VO 2016/679) – Automatisierte Entscheidungen und Scoring – EuGH SCHUFA-Urteil (C-634/21)
seo_title: DSGVO Art. 22 – Automatisierte Entscheidungen und Scoring
slug: dsgvo-art-22-automatisierte-entscheidung-schufa
topic: datenschutz
legal_status: in_force
authority_level: A
valid_from: 2018-05-25
valid_to: null
last_reviewed: 2026-08-03
status: aktuell
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-art-22-automatisierte-entscheidung-schufa.md
wikidata_subjects: [Q1172506]
factcheck_status: review_proposed
---

# DSGVO Art. 22 (VO 2016/679) – Automatisierte Entscheidungen und Scoring – EuGH SCHUFA-Urteil (C-634/21)

## Kurzantwort

**Artikel 22 DSGVO (Verordnung (EU) 2016/679)** gibt jeder Person das **Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden**, die ihr gegenüber **rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt** (Art. 22 Abs. 1). Der **Europäische Gerichtshof (EuGH)** hat mit dem **SCHUFA-Urteil vom 07.12.2023 (Rechtssache C-634/21)** klargestellt: Bereits die **automatisierte Erstellung eines Wahrscheinlichkeitswerts (Score)** über die Zahlungsfähigkeit einer Person ist eine „automatisierte Entscheidung im Einzelfall" nach Art. 22 Abs. 1 – **wenn ein Dritter (z. B. eine Bank) maßgeblich auf diesen Score abstellt**, um über einen Vertrag (etwa einen Kredit) zu entscheiden. Damit unterliegt Kreditscoring dem grundsätzlichen **Verbot mit Erlaubnisvorbehalt**: Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift (Vertragserforderlichkeit, gesetzliche Erlaubnis oder ausdrückliche Einwilligung) – flankiert von Schutzgarantien wie dem **Recht auf menschliches Eingreifen**. In Deutschland wird die gesetzliche Erlaubnis für Scoring durch den neuen **§ 37a BDSG** (Erstes Gesetz zur Änderung des BDSG, Nachfolger des § 31 BDSG a. F.) ausgestaltet.

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Art. 22 Verordnung (EU) 2016/679 (DSGVO) |
| DSGVO anwendbar seit | 25.05.2018 |
| Grundregel | Verbot ausschließlich automatisierter Einzelentscheidungen mit rechtlicher / ähnlich erheblicher Wirkung [Art. 22 Abs. 1] |
| Ausnahmen | Vertragserforderlichkeit, Erlaubnis durch Unions-/Mitgliedstaatsrecht, ausdrückliche Einwilligung [Art. 22 Abs. 2] |
| Schutzgarantien | Recht auf menschliches Eingreifen, eigener Standpunkt, Anfechtung der Entscheidung [Art. 22 Abs. 3] |
| Verbot bei besonderen Datenkategorien | Grundsätzlich unzulässig, enge Ausnahmen [Art. 22 Abs. 4] |
| Leitentscheidung Scoring | EuGH, Urteil vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)" |
| Kernaussage C-634/21 | Score-Erstellung = automatisierte Entscheidung, wenn Dritter maßgeblich darauf abstellt |
| Parallelurteil Speicherdauer | EuGH, Urteil vom 07.12.2023, verb. Rs. C-26/22 und C-64/22 |
| Kernaussage C-26/22, C-64/22 | Auskunfteien dürfen Restschuldbefreiung nicht länger speichern als das öffentliche Register (6 Monate) [Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. f] |
| Öffentliche Löschfrist Insolvenz | 6 Monate auf insolvenzbekanntmachungen.de |
| Deutsche Scoring-Erlaubnis | § 37a BDSG (neu), Erstes Gesetz zur Änderung des BDSG – ersetzt § 31 BDSG a. F. |
| In-Kraft-Treten § 37a BDSG | erster Tag des Quartals nach Verkündung — **konkretes Datum: review_needed** |
| BGH-Folgeurteil Speicherfristen | BGH, Urteil vom 18.12.2025, I ZR 97/25 (beglichene Forderungen) |
| Sanktion Verstoß | Bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 DSGVO] |
| Betroffener Nutzerkreis | Alle Verbraucher mit Kredit-, Miet-, Mobilfunk-, Leasing- oder Ratenanfragen |

## Geltungsbereich

Art. 22 DSGVO gilt **unmittelbar in allen EU-Mitgliedstaaten** – als Verordnung braucht die Norm kein Umsetzungsgesetz. Erfasst ist **jede ausschließlich automatisierte Entscheidung** mit rechtlicher oder ähnlich erheblicher Wirkung: Kreditscoring, automatisierte Ablehnung von Online-Krediten, algorithmische Bonitätsprüfung bei Mietanfragen, automatisierte Tarif- oder Preisentscheidungen und zunehmend KI-gestützte Bewertungsverfahren. „Ausschließlich automatisiert" bedeutet: **ohne inhaltlich prüfendes menschliches Eingreifen**. Ein bloßes „Durchwinken" eines maschinellen Vorschlags durch einen Menschen genügt nicht, um die Ausnahme zu begründen.

Weil Art. 22 DSGVO als EU-Verordnung unmittelbar gilt, bleibt der **legal_status = in_force**. Die deutsche **Erlaubnisnorm für Scoring (§ 37a BDSG)** ist dagegen nationales Ausführungsrecht; ihr genaues In-Kraft-Treten ist hier als **review_needed** markiert, weil das Erste Gesetz zur Änderung des BDSG erst „am ersten Tag des auf die Verkündung folgenden Quartals" wirksam wird und das exakte Verkündungsdatum nicht amtlich gegengeprüft werden konnte.

## Die EuGH-Urteile im Detail

**C-634/21 „SCHUFA Holding (Scoring)" (07.12.2023):** Das Verwaltungsgericht Wiesbaden hatte dem EuGH vorgelegt, ob die automatisierte Berechnung eines Score-Werts durch eine Auskunftei bereits eine Entscheidung nach Art. 22 Abs. 1 DSGVO ist. Der EuGH bejahte dies: Wenn Dritte – etwa Banken – dem Score bei Vertragsanbahnung eine **„maßgebliche Rolle"** einräumen, ist schon die **Score-Erstellung** die automatisierte Einzelentscheidung. Folge: Sie ist grundsätzlich verboten, sofern keine mitgliedstaatliche Erlaubnisnorm (mit angemessenen Schutzmaßnahmen) sie deckt. Der EuGH äußerte **erhebliche Zweifel**, ob der damalige § 31 BDSG diese Anforderungen erfüllte, überließ die abschließende Prüfung aber dem nationalen Gericht.

**Verb. Rs. C-26/22 und C-64/22 (07.12.2023):** Parallel entschied der EuGH, dass private Auskunfteien Daten über eine **erteilte Restschuldbefreiung nicht länger speichern dürfen als das öffentliche Insolvenzregister** – dort sind sie nur **sechs Monate** einsehbar (insolvenzbekanntmachungen.de). Eine drei Jahre lange Parallelspeicherung durch die SCHUFA verstieß gegen Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 lit. f DSGVO. Die Restschuldbefreiung soll dem Betroffenen die Rückkehr ins Wirtschaftsleben ermöglichen.

## Deutsche Umsetzung: von § 31 BDSG zu § 37a BDSG

Als Reaktion auf C-634/21 hat der deutsche Gesetzgeber mit dem **Ersten Gesetz zur Änderung des BDSG** die Scoring-Regelung neu gefasst: Der bisherige **§ 31 BDSG a. F.** wird durch den neuen **§ 37a BDSG** ersetzt. § 37a BDSG erlaubt Scoring nur, wenn die verwendeten Merkmale **nachweislich statistisch erheblich** sind, und **verbietet ausdrücklich** bestimmte Datenarten als Score-Grundlage – u. a. besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), Daten aus sozialen Netzwerken sowie Angaben über Zahlungsein- und -ausgänge (Kontodaten). Zudem bestehen erweiterte **Transparenzpflichten** über die wesentlichen Faktoren des Scores.

Zur **Speicherdauer** hat der **BGH** mit Urteil vom **18.12.2025 (I ZR 97/25)** entschieden, dass eine Auskunftei Daten über **beglichene Zahlungsstörungen nicht sofort löschen** muss: Die 6-Monats-Frist aus dem öffentlichen Insolvenzregister lasse sich **nicht** auf von Vertragspartnern gemeldete Daten übertragen; maßgeblich sei eine **Einzelfallabwägung** (zurückverwiesen an das OLG Köln).

## Was das für Verbraucher bedeutet

**Ein Kreditsuchender**, dessen Online-Kreditantrag allein wegen eines schlechten Scores automatisch abgelehnt wird, kann sich auf Art. 22 Abs. 3 DSGVO berufen: **menschliche Überprüfung**, Darlegung des eigenen Standpunkts und **Anfechtung** der Entscheidung.

**Eine Mietinteressentin** kann von der Auskunftei nach Art. 15 Abs. 1 lit. h DSGVO **aussagekräftige Informationen über die involvierte Logik** des Scores verlangen – nicht den Algorithmus selbst, aber die wesentlichen Faktoren.

**Eine Person nach Privatinsolvenz** kann die **Löschung** eines über sechs Monate hinaus gespeicherten Eintrags zur **Restschuldbefreiung** verlangen (Art. 17 DSGVO i. V. m. C-26/22, C-64/22).

## Häufige Fehler

- **„Ein Score ist bloß eine Berechnung, keine Entscheidung."** Falsch – der EuGH (C-634/21) stellt klar: Stellt ein Dritter maßgeblich auf den Score ab, ist schon die Score-Erstellung eine automatisierte Entscheidung nach Art. 22.
- **„Wenn ein Mitarbeiter formal zustimmt, ist es keine automatisierte Entscheidung."** Falsch – erforderlich ist ein **inhaltlich prüfendes** menschliches Eingreifen; bloßes Abnicken genügt nicht.
- **„Auskunfteien dürfen Insolvenzdaten drei Jahre speichern."** Nicht mehr – für die Restschuldbefreiung gilt die 6-Monats-Grenze des öffentlichen Registers (C-26/22, C-64/22).
- **„Beglichene Negativeinträge müssen sofort gelöscht werden."** Differenziert – der BGH (I ZR 97/25, 18.12.2025) verlangt eine Einzelfallabwägung; eine automatische Sofortlöschung folgt daraus nicht.
- **„Kontobewegungen und Social-Media-Daten dürfen ins Scoring einfließen."** Falsch nach § 37a BDSG (neu) – solche Daten sind als Score-Grundlage ausdrücklich untersagt.

## Ausnahmen

Art. 22 Abs. 1 DSGVO greift **nicht**, wenn die automatisierte Entscheidung (a) für Abschluss/Erfüllung eines Vertrags **erforderlich** ist, (b) durch Unions- oder mitgliedstaatliches Recht **erlaubt** ist (in DE für Scoring: § 37a BDSG) oder (c) mit **ausdrücklicher Einwilligung** erfolgt (Art. 22 Abs. 2). In den Fällen (a) und (c) müssen dennoch die **Schutzgarantien** des Art. 22 Abs. 3 gewahrt werden. Entscheidungen auf Basis **besonderer Datenkategorien** (Art. 9) sind nur unter engen Zusatzvoraussetzungen zulässig (Art. 22 Abs. 4).

## Beispiel

Eine Bank lehnt den vollständig online gestellten Ratenkreditantrag von Frau M. innerhalb von Sekunden ab – allein anhand eines SCHUFA-Scores von 91 %. Nach dem EuGH-Urteil C-634/21 ist bereits die maßgeblich verwendete Score-Erstellung eine automatisierte Entscheidung nach Art. 22. Frau M. verlangt gemäß Art. 22 Abs. 3 DSGVO die **Überprüfung durch einen Sachbearbeiter**, legt ihre stabile Einkommenssituation dar und fordert nach Art. 15 Abs. 1 lit. h DSGVO die **wesentlichen Faktoren** des Scores an. Stellt sich heraus, dass ein bereits **beglichener** Alteintrag den Score gedrückt hat, ist im Rahmen der BGH-Einzelfallabwägung (I ZR 97/25) zu prüfen, ob die weitere Speicherung noch rechtmäßig ist.

## Quellen

- Art. 22 DSGVO – Volltext EUR-Lex (Verordnung (EU) 2016/679): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- EuGH, Urteil vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)" – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0634
- EuGH, Urteil vom 07.12.2023, verb. Rs. C-26/22 und C-64/22 „SCHUFA Holding" – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CJ0026
- EuGH – Pressemitteilung Nr. 186/23 zu C-634/21 u. a.: https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230186de.pdf
- § 37a BDSG (Scoring) – dejure.org: https://dejure.org/gesetze/BDSG/37a.html
- § 37a BDSG (Scoring) – gesetze-im-internet.de: https://www.gesetze-im-internet.de/bdsg_2018/__37a.html [toter Link, geprüft 2026-08-29 — § 37a im amtlichen Volltext weiterhin nicht vorhanden; BDSG-Inhaltsübersicht führt Stand 2026-08-22 unverändert § 31 Scoring]
- BDSG – Inhaltsuebersicht (amtlicher Volltext; enthaelt Stand 2026-08-15 weiterhin § 31 Scoring, keinen § 37a): https://www.gesetze-im-internet.de/bdsg_2018/index.html
- BGH, Urteil vom 18.12.2025, I ZR 97/25 (Speicherfristen) – dejure.org: https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=BGH&Datum=18.12.2025&Aktenzeichen=I+ZR+97/25
- EDPB – Leitlinien zu automatisierten Entscheidungen und Profiling (WP251rev.01): https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_en

## Änderungsverlauf

- 2026-08-23: Totlink-Markierung nachgeprüft und Prüfdatum aktualisiert. URL weiterhin nicht erreichbar, Befund und Begründung unverändert; kein Ersatz gefunden. | change_type=source_recheck field="sources" reviewed_by="Nexvyra-Faktenchecker (automatisiert)"
- 2026-08-03: Erstveröffentlichung durch EU-Recht-Bot. EuGH C-634/21 (Scoring) und verb. Rs. C-26/22, C-64/22 (Speicherdauer) dokumentiert; deutsche Umsetzung § 37a BDSG und BGH-Folgeurteil I ZR 97/25 (18.12.2025) eingearbeitet. In-Kraft-Treten § 37a BDSG als review_needed markiert (Verkündungsdatum nicht amtlich gegengeprüft). | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

## Siehe auch

- [DSGVO Art. 15 – Auskunftsrecht der betroffenen Person](/fakten/dsgvo-auskunftsrecht-art-15.html)
- [DSGVO Art. 17 – Recht auf Löschung](/fakten/dsgvo-loeschungsrecht-art-17.html)
- [DSGVO-Schadensersatz Art. 82 (EuGH-Rechtsprechung)](/fakten/dsgvo-schadensersatz-art-82-eugh.html)
- [Drittlandtransfer nach Schrems II](/fakten/drittlandtransfer-schrems-ii.html)

## Stand

- Stand: 2026-08-03
- Gültig ab: 2018-05-25 (DSGVO-Anwendung)
- Leitentscheidung: EuGH C-634/21 vom 07.12.2023
- Status: aktuell
- factcheck_status: review_needed (In-Kraft-Treten § 37a BDSG zu verifizieren)
- Quellenautorität: A (VO 2016/679, EuGH, BDSG, BGH, EDPB)
- Lizenz: CC BY 4.0