Nutzt Ihr Unternehmen einen Score, etwa zur Bonitätsprüfung vor einem Kauf auf Rechnung, und hängt die Entscheidung maßgeblich davon ab, gilt Art. 22 DSGVO. Eine ausschließlich automatisierte Entscheidung mit erheblichen Folgen ist dann nur zulässig, wenn sie für einen Vertrag erforderlich ist, ein Gesetz sie erlaubt oder eine ausdrückliche Einwilligung vorliegt. Kunden können eine menschliche Prüfung verlangen, ihren Standpunkt darlegen und die Entscheidung anfechten.
Das Verbot in Art. 22 DSGVO
Niemand darf einer Entscheidung unterworfen werden, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruht und rechtliche Wirkung entfaltet oder die Person in ähnlicher Weise erheblich beeinträchtigt (Art. 22 Abs. 1 DSGVO). Beispiele sind die vollautomatische Ablehnung eines Kredits, eines Mietvertrags oder einer Zahlung auf Rechnung, die automatische Absage an Bewerber und die automatische Kündigung eines Vertrags.
Scoring nach dem SCHUFA-Urteil
Der EuGH hat entschieden, dass schon die Ermittlung eines Scores durch eine Auskunftei eine automatisierte Entscheidung sein kann, wenn der Empfänger, etwa eine Bank, maßgeblich auf den Score abstellt (EuGH, Urteil vom 07.12.2023, C-634/21). Für Unternehmen, die Scores einkaufen, heißt das: Entscheidet am Ende faktisch der Score, müssen Sie die Voraussetzungen des Art. 22 DSGVO erfüllen, auch wenn Sie selbst keinen Algorithmus betreiben.
Welche Ausnahmen gelten?
Art. 22 Abs. 2 DSGVO erlaubt automatisierte Entscheidungen in drei Fällen:
| Ausnahme | Beispiel | Pflicht zu Schutzmaßnahmen |
|---|---|---|
| Erforderlich für Abschluss oder Erfüllung eines Vertrags | Bonitätsprüfung vor Kauf auf Rechnung | ja, Art. 22 Abs. 3 |
| Erlaubt durch Rechtsvorschrift | Sonderregeln für Versicherungen in § 37 BDSG | nach der jeweiligen Vorschrift |
| Ausdrückliche Einwilligung | freiwillige automatisierte Tarifberechnung | ja, Art. 22 Abs. 3 |
In den Fällen Vertrag und Einwilligung müssen Sie mindestens das Eingreifen einer Person, die Darlegung des eigenen Standpunkts und die Anfechtung der Entscheidung ermöglichen.
§ 31 BDSG und der neue § 37a BDSG
In Deutschland regelt § 31 BDSG bisher Anforderungen an Scoring, etwa ein wissenschaftlich anerkanntes mathematisch-statistisches Verfahren und das Verbot, allein Anschriftendaten zu nutzen. Der Gesetzgeber hat § 31 BDSG durch einen neuen § 37a BDSG ersetzt (Gesetz vom 12.05.2026, BGBl. 2026 I Nr. 139). Die Neuregelung tritt am 20.11.2026 in Kraft. Bis dahin gilt § 31 BDSG. § 37a BDSG legt fest, welche Daten nicht in Scores einfließen dürfen, etwa besondere Kategorien und Daten aus sozialen Netzwerken. Betroffene erhalten Rechte auf Auskunft über Kriterien und Gewichtung und auf eine Entscheidung durch einen Menschen. Prüfen Sie Ihre Verträge mit Auskunfteien und Ihre Prozesse vor diesem Datum.
Was Unternehmen tun sollten
- Prozess prüfen: Entscheidet ein Mensch mit echtem Spielraum, oder übernimmt er den Score nur?
- Transparent informieren: In den Datenschutzhinweisen nennen Sie die automatisierte Entscheidung, die involvierte Logik und die Tragweite (Art. 13 Abs. 2 lit. f DSGVO).
- Anfragen vorbereiten: Kunden können Auskunft über die Logik verlangen (Art. 15 Abs. 1 lit. h DSGVO). Legen Sie fest, wer die Entscheidung erklärt und überprüft.
- Alternativen anbieten: Wer nicht auf Rechnung kaufen darf, kann oft per Vorkasse bestellen. Das mildert die Folgen.
- Risiko bewerten: Umfangreiches Scoring kann eine Datenschutz-Folgenabschätzung erfordern.
Wenn ein Kunde widerspricht
Verlangt ein Kunde eine menschliche Prüfung, antworten Sie innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Wie Sie einen solchen Antrag bearbeiten, zeigt der Artikel zum Widerspruch gegen automatisierte Entscheidungen. Für Online-Händler fasst der Artikel zu Datenschutzhinweisen im Online-Shop die Bonitätsprüfung zusammen.