Kreditauskunfteien am datenschutzrechtlichen Prüfstand des EuGH, OGH und BGH
Dürfen Kreditauskunfteien Bonitätsscores auch ohne konkrete Zahlungserfahrungen erstellen? Welche Daten dürfen sie dafür verwenden? Und wie weit reicht der Auskunftsanspruch über die Berechnung eines Scores? Aktuelle Entscheidungen des österreichischen Obersten Gerichtshofs (OGH), des deutschen Bundesgerichtshofs (BGH) und des Europäischen Gerichtshofs (EuGH) schärfen die datenschutzrechtlichen Grenzen des Geschäftsmodells.
Bonitätsscoring ist nicht per se unzulässig
Der OGH hatte in drei Parallelentscheidungen vom 12. August 2026 zu beurteilen, ob eine Kreditauskunftei Bonitätsscores auch dann erstellen darf, wenn zu einer Person keine konkreten Zahlungserfahrungsdaten vorliegen.
Der OGH verneinte ein generelles Verbot. Kreditauskunfteien und ihre Kunden verfolgen grundsätzlich berechtigte Interessen im Sinn des Art 6 Abs 1 lit f DSGVO: Bonitätsinformationen sollen Informationsasymmetrien, Ausfallsrisiken und Betrugsrisiken reduzieren. Würden konkrete Zahlungserfahrungen zwingend vorausgesetzt, könnten für einen großen Teil der Verbraucher überhaupt keine Bonitätsauskünfte erteilt werden. Ob die Interessen der betroffenen Person dennoch überwiegen, bleibt allerdings anhand der konkreten Umstände des Einzelfalls zu beurteilen.
Das Ergebnis: Ein Bonitätsscore ohne konkrete Zahlungserfahrungsdaten ist nicht allein deshalb rechtswidrig. Dies ist jedoch kein Freibrief für beliebige Datenquellen oder Berechnungsmethoden.
Marketingdaten dürfen nicht zu Bonitätsdaten werden
Die entscheidende Grenze zog der OGH beim Grundsatz der Zweckbindung. In den Verfahren hatte die Kreditauskunftei Daten wie Name, Anschrift und Geburtsdatum von einem Adressverlag bezogen. Diese Daten waren ursprünglich auf Grundlage des § 151 GewO für Zwecke des Adressverlags und Direktmarketings erhoben worden. Die Kreditauskunftei verwendete sie anschließend zur Identifizierung von Personen im Rahmen von Bonitätsanfragen.
Nach Ansicht des OGH ist bereits diese Identitätsprüfung Teil der Bonitätsbeurteilung. Es kommt daher nicht darauf an, ob die zugekauften Adressdaten unmittelbar in den mathematischen Berechnungsalgorithmus einfließen. Die Verwendung für Bonitätszwecke stellt eine Zweckänderung dar. Weder § 151 noch § 152 GewO enthalten eine ausreichende gesetzliche Grundlage für eine solche Weiterverarbeitung.
Ohne Einwilligung ist deshalb der Kompatibilitätstest nach Art 6 Abs 4 DSGVO durchzuführen. Dieser fiel hier zulasten der Kreditauskunftei aus:
- Zwischen Direktmarketing und Bonitätsbeurteilung besteht keine hinreichende sachliche Nähe.
- Zwischen den betroffenen Personen und der Kreditauskunftei bestand kein ursprünglicher Erhebungszusammenhang.
- Ein negativer Score kann erhebliche Folgen haben, etwa die Ablehnung eines Kredits oder eines Vertragsabschlusses.
- Geeignete zusätzliche Garantien waren nicht festgestellt.
- Betroffene müssen vernünftigerweise nicht erwarten, dass für Marketingzwecke erhobene Daten später für Bonitätsprüfungen verwendet werden.
Die Verarbeitung war daher mit dem ursprünglichen Zweck unvereinbar.
Unterlassungsanspruch in Österreich?
Der OGH bejahte außerdem einen Unterlassungsanspruch nach österreichischem Recht: Das Recht auf Datenschutz ist ein Persönlichkeitsrecht, dessen Verletzung bei bestehender Wiederholungsgefahr einen Anspruch nach § 20 Abs 1 ABGB begründen kann.
Wann muss die Berechnung eines Scores offengelegt werden?
Eine zweite aktuelle Entwicklung betrifft die Transparenz des Scorings. Der deutsche Bundesgerichtshof entschied am 21. Oktober 2026 in vier Parallelverfahren über Auskunftsansprüche gegen die SCHUFA.
Nach dem Urteil des Europäischen Gerichtshofs in der Rechtssache C-634/21, SCHUFA Holding (Scoring) kann bereits die automatisierte Bildung eines Wahrscheinlichkeitswerts eine automatisierte Entscheidung nach Art 22 Abs 1 DSGVO darstellen. Voraussetzung ist, dass von diesem Wert maßgeblich abhängt, ob ein Dritter mit der betroffenen Person einen Vertrag begründet, durchführt oder beendet.
Der BGH bestätigte, dass die Scorebildung als Profiling und als „Entscheidung“ im Sinn des Art 22 DSGVO einzuordnen sein kann. Für den besonderen Auskunftsanspruch nach Art 15 Abs 1 lit h DSGVO muss jedoch zusätzlich feststehen, dass die betroffene Person durch die automatisierte Entscheidung rechtlich oder in ähnlich erheblicher Weise beeinträchtigt wurde. Die bisherigen Feststellungen der Vorinstanz reichten dafür nicht aus; der BGH verwies die Verfahren daher zurück.
Die Beweislast liegt grundsätzlich bei den Betroffenen. Der BGH gewährt ihnen aber eine wesentliche Beweiserleichterung: Wird dargelegt, dass ein Score an ein Unternehmen übermittelt wurde und in zeitlichem Zusammenhang damit eine nachteilige Vertragsentscheidung erfolgte, spricht eine tatsächliche Vermutung dafür, dass der Score für diese Entscheidung maßgeblich war.
Damit ist der Auskunftsanspruch weder automatisch gegeben noch auf Ausnahmefälle beschränkt. Entscheidend ist die tatsächliche Bedeutung des Scores für die nachfolgende Entscheidung des Vertragspartners.
Drei GEISTWERT-Leitlinien für die Praxis
Aus der aktuellen Rechtsprechung ergeben sich drei klare Vorgaben:
Scoring bleibt grundsätzlich möglich. Auch ohne individuelle Zahlungserfahrungen kann ein Bonitätsscore auf berechtigte Interessen gestützt werden. Erforderlichkeit, Datenqualität, Transparenz und die konkrete Interessenabwägung bleiben aber zu dokumentieren.
Die Herkunft der Daten ist entscheidend. Eine zulässige Bonitätsprüfung heilt keine unzulässige Zweckänderung. Kreditauskunfteien müssen nachweisen können, zu welchem Zweck jede verwendete Datenkategorie ursprünglich erhoben wurde und weshalb ihre weitere Nutzung mit diesem Zweck vereinbar ist.
Je größer die Entscheidungswirkung, desto größer die Transparenzpflicht. Hängt ein Vertragsabschluss maßgeblich vom Score ab, bewegt sich die Verarbeitung im Anwendungsbereich des Art 22 DSGVO. Dann muss die betroffene Person aussagekräftige Informationen über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen der Verarbeitung erhalten.
GEISTWERT-Fazit
Die Gerichte stellen das Geschäftsmodell von Kreditauskunfteien nicht grundsätzlich infrage. Sie verlangen aber eine klare Trennung zwischen zulässiger Bonitätsbewertung und unzulässiger Datenzweckentfremdung.
Ein Score kann zulässig sein, obwohl keine konkreten Zahlungserfahrungen vorliegen. Für Marketingzwecke erhobene Daten dürfen deshalb aber nicht ohne Weiteres zur Identifizierung oder Bonitätsbeurteilung herangezogen werden. Und wird der Score für eine Vertragsentscheidung maßgeblich, steigen die Anforderungen an Transparenz und Nachvollziehbarkeit erheblich.
Entscheidungen und weiterführende Links