Aufsatz : Automatisierte Entscheidung im Einzelfall beim Scoring: Wann wird eine Kreditentscheidung „maßgeblich“ beeinflusst? : aus der RDV 1/2026, Seite 5 bis 15

Der EuGH übernahm das dann wiederum fast wörtlich und antwortete, wie wohl vom VG Wiesbaden erhofft:

„Art.  22 Abs.  1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DS‑GVO) ist dahin auszulegen, dass eine „automatisierte Entscheidung im Einzelfall“ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.“^[4]

Dreimal „maßgeblich“ – ohne dass dies in der DS‑GVO so steht. Dunkel spricht der Mund der Pythia. Seitdem rätseln Praxis, Wissenschaft und Gerichte: Wann liegt eine „maßgebliche“ Beeinflussung vor und wann nicht? Das VG Wiesbaden hat diesen Maßstab durch seine Frage in die Welt gesetzt – und der EuGH und sein Generalanwalt haben es übernommen, ohne ihn präzise zu konturieren.

II. Welche Entscheidung ist gemeint: Das Scoring selbst oder die Kreditvergabe?

Eine gewisse Unsicherheit mag schon dahingehend bestehen, welche Entscheidung gemeint ist. Der EuGH macht deutlich, „dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt“, wenn die von ihm genannten Bedingungen erfüllt sind. Aber wer trifft sie: Die Auskunftei oder der Kreditgeber? Welche Entscheidung ist gemeint: Das Scoring selbst oder die Kreditvergabe? Der EuGH – wie auch schon sein Generalanwalt – knüpft an die Vorstellung des VG Wiesbaden an. Dieses ging klar davon aus, dass es das Scoring selbst ist, das eine Entscheidung im Sinne des Art. 22 DS‑GVO darstellt:

„Das Gericht geht jedoch davon aus, dass die Erstellung eines Score-Wertes durch eine Auskunftei nicht lediglich ein die Entscheidung des dritten Verantwortlichen vorbereitendes Profiling ist, sondern gerade eine selbstständige „Entscheidung“ im Sinne des Art. 22 Abs. 1 DS‑GVO.“^[5]

Dem folgte der Generalanwalt:

„Dagegen ist der Aspekt, der mir eine entscheidende Rolle zu spielen scheint, derjenige, der mit der Frage zusammenhängt, ob das Verfahren der Entscheidungsfindung so ausgestaltet ist, dass das von der Auskunftei durchgeführte Scoring die Entscheidung des Finanzinstituts über die Gewährung oder Ablehnung des Kredits vorbestimmt. Sollte das Scoring ohne irgendein Eingreifen einer Person erfolgen, durch das gegebenenfalls das Scoring-Ergebnis und die Richtigkeit der in Bezug auf den Kreditantragsteller zu treffenden Entscheidung überprüft werden könnten, erscheint es logisch, davon auszugehen, dass es sich bei dem Scoring selbst um die „Entscheidung“ im Sinne von Art. 22 Abs. 1 DS‑GVO handelt.“^[6]

Dies ist dann auch der Ansatz des EuGH:

„Daher ist unter Umständen wie jenen des Ausgangsverfahrens, unter denen der von einer Wirtschaftsauskunftei ermittelte und einer Bank mitgeteilte Wahrscheinlichkeitswert eine maßgebliche Rolle bei der Gewährung eines Kredits spielt, die Ermittlung dieses Wertes als solche als Entscheidung einzustufen, die i.S.v. Art. 22 Abs. 1 DS‑GVO gegenüber einer betroffenen Person „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“^[7]

Das Gesagte verwundert und kann nicht richtig sein – und eben das macht sie so sperrig im Kontext des Datenschutzrechts. Denn wenn dem so ist, dann ist im Zeitpunkt der Scoreerstellung dem Verantwortlichen noch gar nicht klar, ob sein Verhalten rechtmäßig ist oder nicht. Wenn der Score erstellt wird, und noch nicht verwendet wurde, dann weiß er nicht, ob und ggf. wann dieser Score gegenüber einer betroffenen Person „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“ – das liegt nicht mehr in seiner Hand. Er weiß nicht, welche Entscheidung sein Kunde trifft. Um es klar zu sagen: Hier wird der Verantwortliche für etwas verantwortlich, wofür er nicht verantwortlich sein kann, weil er die spätere Entscheidung gar nicht kennt und aus datenschutzrechtlichen Gründen mangels Erforderlichkeit auch regelmäßig wohl nicht kennen darf. Für den Verantwortlichen, der einen Score erstellt, ist es vor der Weitergabe nicht möglich zu beurteilen, ob der Score die spätere Entscheidung maßgeblich beeinflusst oder nicht, sodass der Nachweis der Rechtmäßigkeit der Datenverarbeitung (vgl. Art.  5 Abs.  2 und Art.  24 Abs.  1 S.  1 DS‑GVO) zum Zeitpunkt der Scoreerstellung unmöglich ist. Ultra posse nemo obligatur gilt aber auch im Datenschutzrecht.^[8] Die Rechtmäßigkeit der Scoreerstellung wird durch die Entscheidung des EuGH von einem nachgelagerten Verhalten eines Dritten abhängig gemacht, auf das der Verantwortliche keinen Einfluss hat. Überzeugender ist es daher in dem übermittelten Score eine Entscheidungshilfe zu sehen und nicht die Entscheidung selbst. Zumindest dann, wenn er bei der Weiterleitung des Scores eine maßgebliche Verwendung im Sinne der Entscheidung des EuGH in der Rs. C-634/21 untersagt, oder sich der Verwender dazu verpflichtet, eine solche Nutzung zu unterlassen, bricht der Zurechnungszusammenhang ab.^[9] Das entspricht allgemeinen Haftungsgrundsätzen aus dem Zivil- und Strafrecht, wonach die Kausalkette durchbrochen wird, wenn ein Dritter durch eigenständiges Handeln dazwischentritt:

„Je mehr der Zweite bzw. Dritte das Geschehen beherrscht und prägt, umso weniger ist der durch ihn verursachte Schaden noch dem Erstverantwortlichen zuzurechnen.“^[10]

Der Kunde des Verantwortlichen, der den Score verwendet, trifft die Entscheidung, ob das Vertragsverhältnis mit der betroffenen Person zustande kommt oder nicht. Der Scoreersteller kann diese Entscheidung nicht beeinflussen. Der Verwender beherrscht das weitere Geschehen. Handelt der Verwender ggf. entgegen der vertraglichen Vereinbarung, die die maßgebliche Nutzung untersagt, und verwendet den Score dennoch maßgeblich, dann ist es der Verwender, der die betroffene Person der automatisierten Verarbeitung unterwirft und nicht der Verantwortliche, der den Score erstellt hat. In diesem Fall handelt der Verwender des Scores eigenmächtig, sodass er richtigerweise auch für die automatisierte Einzelentscheidung verantwortlich ist. Der Scoreersteller hat durch die vertragliche Vereinbarung der Unterlassung einer maßgeblichen Verwendung des Scores alles in seiner Macht stehende getan, um eine automatisierte Einzelentscheidung abzuwenden.

III. Maßgebliche Beeinflussung: Versuch einer Deutung

Wenn dem aber nicht der Fall ist, dann stellt sich in der Tat die Frage nach der Maßgeblichkeit. Der Wortsinn hilft hier wohl nicht allzu viel weiter. Will man den EuGH auslegen, dann wird man feststellen, dass die Bedeutungen in den verschiedenen Übersetzungen des Urteils recht weit auseinanderliegen: Die englische Übersetzung verwendet mit „draws strongly on …“ ebenfalls eine unpräzise Bezeichnung, die französische spricht wiederum von „déterminante“. Letzterer Begriff wird ins Deutsche u.a. mit ausschlaggebend, maßgebend oder bestimmend übersetzt.^[11]Ausschlaggebend bedeutet aber etwas anderes als maßgeblich.^[12] Am besten, man fokussiert sich auf die Verfahrenssprache Deutsch und nähert sich aus dem Herkommen des Begriffs aus der Entscheidung des VG Wiesbaden.

1. Hinweise des VG Wiesbaden, des Generalanwalts und des EuGH

Das VG Wiesbaden selbst erläutert den Begriff nicht weiter. Es trifft lediglich die faktische Aussage, der „Verantwortliche muss seine Entscheidung zwar nicht allein vom Score-Wert abhängig machen, tut es in aller Regel jedoch maßgeblich.“^[13] Das VG Wiesbaden geht davon aus, dass die Entscheidung über das Eingehen einer vertraglichen Beziehung mit der betroffenen Person „praktisch in so erheblichem Maße durch den von Wirtschaftsauskunfteien übermittelten Score-Wert determiniert [wird], dass jener gleichsam durch die Entscheidung des dritten Verantwortlichen durchschlägt.“^[14]Laut dem VG Wiesbaden „[entscheidet e]igentlich … über das Ob und Wie der Vertragseingehung des dritten Verantwortlichen mit der betroffenen Person … der aufgrund automatisierter Verarbeitung von der Wirtschaftsauskunftei erstellte Score-Wert.“^[15] Es ergänzt, dass „[e]ine Kreditvergabe … trotz eines grundsätzlich ausreichenden Score-Werts (aus anderen Gründen, wie etwa des Fehlens von Sicherheiten oder Zweifeln am Erfolg einer zu finanzierenden Investition) versagt werden [mag], ein nicht ausreichender Score-Wert hingegen … jedenfalls im Bereich der Verbraucherdarlehen in fast jedem Fall und auch dann zur Versagung eines Kredits führen [wird], wenn etwa eine Investition im Übrigen als lohnend erscheint.“^[16] Schließlich weist es darauf hin, dass „Erfahrungen aus der behördlichen Datenschutzaufsicht [zeigen, d]ass Score-Werten bei der Kreditvergabe und der Gestaltung ihrer Bedingungen die entscheidende Rolle zukommt“.^[17]

„Fast in jedem Fall“ – „entscheidende Rolle“. Das Gericht suggeriert einen Regelfall der Scoreverwendug, der selber – weil nur der Einzelfall Gegenstand des Verfahrens war – nicht weiter hinterfragt oder belegt wurde. Der Generalanwalt gibt dies dann wieder und versteht dies als eine de facto-Entscheidung, wo der Score dann eben doch das einzige Kriterium zur Kreditablehnung wäre:

„Da erstens Art.  22 Abs.  1 DS‑GVO verlangt, dass die fragliche Entscheidung „ausschließlich“ auf einer automatisierten Verarbeitung beruht, und zweitens der Wortlaut einer Bestimmung im Allgemeinen die Grenze für jede Auslegung darstellt, erscheint es erforderlich, dass die automatisierte Verarbeitung der einzige Aspekt bleibt, der den Ansatz des Finanzinstituts gegenüber dem Kreditantragsteller rechtfertigt. Dies wäre der Fall, wenn im Rahmen des Verfahrens ein Mensch beteiligt wäre, ohne jedoch in der Lage zu sein, den Kausalzusammenhang zwischen der automatisierten Verarbeitung und der endgültigen Entscheidung zu beeinflussen. Die Auskunftei müsste de facto die endgültige Entscheidung für das Finanzinstitut treffen.“^[18]

In Fußnote 19 deutet der Generalanwalt an, dass ggf. sogar ein „nicht unwesentlicher Einfluss“ reichen könnte:

„Ein solcher Ansatz erscheint mir umso notwendiger, als weder SCHUFA noch der HBDI in der mündlichen Verhandlung eine klare Antwort auf die Frage geben konnten, ob die Score-Werte die Entscheidungen der Finanzinstitute vorbestimmen sollen. Der Vertreter von SCHUFA hat jedoch darauf hingewiesen, dass diese die Erfahrung und die Fachkenntnis der Auskunfteien in Anspruch nähmen, um die Zahlungsfähigkeit einer natürlichen Person festzustellen, was grundsätzlich als ein Hinweis auf einen nicht unwesentlichen Einfluss auf den Entscheidungsprozess ausgelegt werden könnte.“

Der Generalanwalt will letzteres aber wohl nicht als seinen Maßstab verstanden wissen – der Widerspruch zum Satz davor wäre offensichtlich – sondern nur als eine Beschreibung der Wirklichkeit. Es kommt also auf die Tatsachen an. Die aber zu ermitteln, ist Aufgabe des nationalen Gerichts:

„Es handelt sich im Wesentlichen um eine Tatsachenfrage, die meines Erachtens am besten von den nationalen Gerichten beurteilt werden kann. Ich schlage daher vor, dem vorlegenden Gericht die Aufgabe zu übertragen, selbst festzustellen, inwieweit unter Berücksichtigung der oben genannten Kriterien das Finanzinstitut im Allgemeinen durch das von einer Auskunftei wie SCHUFA vorgenommene Scoring gebunden ist“.^[19]

Der EuGH übernimmt das ohne weitere Hinweise zu geben:

„So führt nach den Sachverhaltsfeststellungen des vorlegenden Gerichts im Fall eines von einem Verbraucher an eine Bank gerichteten Kreditantrags ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen dazu, dass die Bank die Gewährung des beantragten Kredits ablehnt.“^[20]

2. Vorschläge des Schrifttums

Schrifttum und nationale Instanzgerichte haben sich an diesen Hinweisen weiter entlanggehangelt. Sie lösen sich zuweilen doch recht klar von den Hinweisen des Verfahrensgangs und formulieren echt freihändig eigene Ansätze:

Scholz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Auflage 2025, Art.  22 DS‑GVO Rn.  27 ff.: „Das Urteil des EuGH überzeugt nicht. Es führt zu einem Bruch mit der in der DS‑GVO zum Ausdruck kommenden Wertung, im Rahmen des Tatbestandes des Art. 22 Abs.1 zwischen dem Profiling in Form des Scorings einerseits und der darauf beruhenden Entscheidung andererseits zu unterscheiden (Rn. 5, 20, 23). Das Fehlen spezifischer und risikoadäquater Zulässigkeitsvoraussetzungen für das Profiling … kann nicht durch eine allein auf den Fall des Kreditscorings bezogene Überdehnung des Anwendungsbereichs des Art. 22 Abs.1 kompensiert werden. Die Einführung des wenig konkreten Kriteriums der „Maßgeblichkeit“ des Scorewertes für die Entscheidung des Kreditinstituts führt zu neuen Abgrenzungsschwierigkeiten und zu einer Vermengung der Verantwortlichkeiten. Denn die Erstellung des Scorewertes durch die Wirtschaftsauskunftei erhält ihre Bedeutung erst durch den im Verantwortungsbereich des Kreditinstituts liegenden Kreditvergabeprozess. Die Wirtschaftsauskunftei hat keinen Einfluss auf das hierfür erforderliche Risikomanagement des Kreditinstituts. Und der externe Score kann sich nur dann in vollem Umfang in der Kreditentscheidung niederschlagen, wenn er für das Kreditinstitut ein „KO-Kriterium“ darstellt. Darüber hinaus ist die vom EuGH vorgenommene Auslegung des Art. 22 Abs.1 nicht erforderlich, um die von der DS‑GVO geforderte Transparenz herzustellen. Vielmehr obliegt es dem Kreditinstitut, dafür Sorge zu tragen, dass es die Vorgaben des Art.15 Abs.1 lit.h) erfüllen kann … Eine Rechtsschutzlücke für die betroffenen Personen ist daher nicht erkennbar … Bezogen auf das Kredit-Scoring ergibt sich folgende Rechtslage: Die Vorschrift ist nicht nur anwendbar, wenn durch den Scorewert eine Kreditentscheidung vorgegeben wird, sondern auch, wenn der Scorewert maßgeblich in die Entscheidung mit einfließt und damit zu deren wesentlicher Grundlage wird.125 [Fn.: Erfahrungen aus dem Bereich der Datenschutzaufsicht sprechen dafür, dass dem Scorewert nicht nur eine, sondern die entscheidende Rolle bei der Kreditvergabe und der Gestaltung der Kreditbedingungen zukommt. Dazu Korczak/Wilken, Scoring im Praxistest, S.19; Abel RDV 2006, 108 (112 f.).] Eine ausschließlich automatisierte Entscheidung liegt danach vor, wenn der Kreditsachbearbeiter einen Kreditantrag allein aufgrund eines negativen Score-Ergebnisses ohne weitere Prüfung anhand zusätzlicher (eigener) Kriterien ablehnt. 126[Fn.: Vgl. Gola/Heckmann/Schulz Art. 22 DS-GVO Rn.14; Paal/Pauly/Martini Art. 22 DS-GVO Rn. 24; Kühling/Klar/Sackmann, DatenschutzR, Rn.493; Horstmann/Dalmer, ZD 2022, 260 (262); zu §6a BDSG a.F. bereits BGHZ 200, 38 Rn. 34; Möller/Florax, MMR 2002, 809; Plath/Kamlah, §6a BDSG Rn.12 f.; Gola/Schomerus, §6a Rn.6; Abel, RDV 2006, 108 (112 f.). EG 71 UAbs.1 S.1 nennt als Beispiel für eine automatisierte Einzelentscheidung ausdrücklich die „automatische Ablehnung eines Online-Kreditantrags“.] Dies ist etwa der Fall, wenn die Kreditvergaberichtlinien eines Instituts die Verweigerung eines Kredits vorsehen, ohne dem zuständigen Sachbearbeiter Beurteilungsspielräume für eine abweichende Entscheidung einzuräumen (z.B. Unterschreitung des sog. Cut-Off-Score 127[Fn.: Dabei handelt es sich um den Grenz-Scorewert des höchsten Risikos, zu dem der Kreditgeber grds. noch bereit ist, einen Kredit zu vergeben. Der „Cut-off“ stellt in aller Regel dann auch die Arbeitsanweisung für den Sachbearbeiter dar, nicht anders zu entscheiden.]). 128[Fn.: Vgl. Beckhusen, Der Datenumgang innerhalb des Kreditinformationssystems der SCHUFA, S. 267; BeckOK DatenschutzR/v. Lewinski Art. 22 DS-GVO Rn. 25. Zur vollautomatisierten Impfterminvergabe auf Basis eines Scorewertes Ruschemeier NVwZ 2021, 750 (752).] Dabei ist es unerheblich, ob die Scoreberechnung durch das Kreditinstitut – also die entcheidende Stelle – selbst (internes Scoring) oder durch eine Wirtschaftsauskunftei (externes Scoring) erfolgt. 129[Fn.: So auch Weichert, DuD 2005, 585; a.A. Taeger, RDV 2017, 3 (6); Paal/Pauly/Martini, Art. 22 DS-GVO Rn. 24. Zur Unterscheidung von internem und externem Scoring vgl. ULD, Scoringsysteme zur Beurteilung der Kreditwürdigkeit, S. 23 ff. m.w.N.] Allerdings geht der EuGH in diesen Fällen davon aus, dass beim externen Scoring bereits die Erstellung des Scorewertes durch die Auskunftei eine Entscheidung i.S.d. Art. 22 Abs.1 darstellt, da das Handeln des Kreditinstituts maßgeblich von dem übermittelten Scorewert geleitet wird….. 130[Fn.: So EuGH – C 634/21, ECLI:EU:C:2023:957 Rn.48, der davon ausgeht, dass ein unzureichender Scorewert „in nahezu allen Fällen“ zur Ablehnung des Kredits führt.] Kein Verstoß gegen die Vorschrift liegt hingegen vor, wenn im Falle drohender Ablehnung aufgrund eines schlechten Scorewertes frühzeitig eine oder mehrere weitere Personen durch den Sachbearbeiter hinzugezogen werden, die aufgrund entsprechender Entscheidungskompetenzen und Entscheidungsspielräume befugt und fachlich in der Lage sind, die automatisierte Vorgabe inhaltlich zu überprüfen und zu bewerten. 131[Fn.: So ULD, Scoringsysteme zur Beurteilung der Kreditwürdigkeit, S.87; Gola/ Heckmann/Schulz, Art. 22 DS‑GVO Rn.15. Dass der Entscheidungsträger seinerseits an gewisse Vorgaben gebunden ist, ist unschädlich, solange diese nicht fest mit der automatisierten Einzelbewertung verknüpft sind.] Die Kompetenz, die automatisierte Entscheidung korrigieren zu dürfen, sollte dokumentiert werden. Maßgeblich ist aber auch hier, dass bei der geforderten individuellen Würdigung der Gesamtumstände im Hinblick auf die Zahlungswilligkeit und -fähigkeit außer dem Scorewert und den Kreditantragsdaten noch weitere Faktoren (z.B. Alter, Einkommen, Kundenhistorie) in die neue Entscheidung einfließen. Dabei ist es unschädlich, wenn diese Faktoren bereits bei der Scoreberechnung selbst berücksichtigt wurden. 132[Fn.: Zur Diskussion insgesamt Abel, RDV 2006, 112 f.; Weichert, DuD 2006, 402 f.; LDI NW/Wuermeling, Living by Numbers 2005, 108 weist darauf hin, dass in der Praxis des SCHUFA-Verfahrens dem Sachbearbeiter neben dem Score auch der vollständige SCHUFA-Auszug und alle Daten zur Verfügung stehen, die die Bank selbst über den potenziellen Kreditnehmer bereithält. Iraschko-Luscher, DuD 2005, 471f. betont in diesem Kontext zu Recht das Nachweisproblem und fordert eine gesetzliche Beweislastumkehr zulasten des Kreditunternehmens.] Es ist auch nicht erforderlich, dass alle Einzelheiten der Scorewertberechnung nachvollzogen werden. 133[Fn.: So auch Sydow/Marsch/ Helfrich, Art. 22 DS‑GVO Rn.47; Gola/Heckmann/Schulz, Art. 22 DS‑GVO Rn.15.] Insbes. beim externen Scoring wird dies schon praktisch kaum möglich sein. Der von einer Auskunftei an das Kreditinstitut übermittelte Scorewert wird vielmehr direkt automatisiert in andere Parameter des Kreditinstituts eingearbeitet. Der Sachbearbeiter wird nur noch mit dem Ergebnis „Kreditgewährung ja/nein“ konfrontiert, ohne die einzelnen, zu dem Scorewert führenden Berechnungen zu kennen und zu verstehen.“ (Hervorhebungen durch den Verfasser)

Kremer, CR 2024, 50 (57 f.): „Gerade zur Frage der „Maßgeblichkeit“ hat sich der EuGH aber nicht geäußert (s. II.). Denkbar sind hier zwei Konstellationen, die aus dem Verbot automatisierter Entscheidungen herausführen könnten: Gibt es den – entscheidungsbefugten und auch tatsächlich Entscheidungen treffenden – „human in the loop“ bei der Anwendung des KISystems, wäre die vorherige Ermittlung des Wahrscheinlichkeitswerts durch das KI-System vom Verbot des Art.  22 Abs.  1 DS‑GVO ausgenommen. Ermittelt das KI-System mehrere unterschiedliche Wahrscheinlichkeitswerte, die sodann vom Anwender in ein Verhältnis zueinander gesetzt werden, um erst hieraus den relevanten, „finalen“ Wahrscheinlichkeitswert zu errechnen, gleich ob dies automatisiert oder menschlich geschieht, lässt dies die Kausalkette zwischen Erstermittlung der Wahrscheinlichkeitswerte und späterer Entscheidung brechen, so dass auch hier die Ermittlung der Wahrscheinlichkeitswerte durch das KI-System vom Verbot des Art. 22 Abs. 1 DS‑GVO ausgenommen sein dürfte.“ (Hervorhebungen durch den Verfasser)

Langenbucher, BKR 2024, 66 (67): „In ersten Pressereaktionen hat die SCHUFA verlauten lassen, die von ihr befragten Kreditinstitute legten den SCHUFA-Score der eigenen Entscheidung über eine Kreditgewähr jedenfalls nicht „maßgeblich“ zugrunde. Das Urteil bedinge keine Verhaltensänderung, sofern einzelne Kreditinstitute nicht ausnahmsweise doch „maßgeblich“ auf den Score Bezug nehmen. Das steht in Widerspruch zu den beschriebenen Feststellungen des VG Wiesbaden, auf welche sich der EuGH berufen hatte. Künftige Kläger sind folglich mit erheblicher Rechtsunsicherheit belastet: Für die nunmehr anstehende Folgeentscheidung des VG Wiesbaden empfiehlt sich eine deskriptiv-typologische Einordnung des Begriffs „maßgeblich“. Das vorlegende Gericht hat den Ausdruck verwendet, um die prominente Stellung des SCHUFA-Scores zu erläutern und, dies abstützend, auf Erfahrungen aus der behördlichen Datenschutzaufsicht verwiesen. Auf dieser Beschreibung setzt der EuGH auf, dem es genügt, dass der Wahrscheinlichkeitswert „die betroffene Person zumindest erheblich beeinträchtigt“ (Rn. 49). Dem lässt sich nicht etwa entgegenhalten, dass einzelne Banken neben dem SCHUFA-Score noch weitere Elemente berücksichtigen oder den Score nicht für „maßgeblich“ halten, etwa weil nach ihren internen Abläufen kein Automatismus zwischen Score und Kreditgewähr (oder -ablehnung) existiert. Hinzu kommt, dass die Bedeutung des SCHUFA-Scores über die Kreditgewährung durch Finanzinstitute hinausreicht und beispielsweise auch Mobilfunkunternehmen, Vermieter, mitunter sogar Arbeitgeber diesen anfragen. Das schließt nicht aus, dass sich im Laufe der Zeit Wettbewerber der SCHUFA ein so erhebliches Marktpotenzial erobern, dass der SCHUFA-Score „unmaßgeblich“ wird. Jedenfalls solange die SCHUFA in Deutschland eine herausragende, wenn nicht sogar monopolartige Stellung innehat, kann hiervon nicht ausgegangen werden.“

Paal/Hüger, MMR 2024, 540 (542 f.) „Grundsätzlich in den Anwendungsbereich des Art.  22 Abs.  1 DS‑GVO fallen können sog. Vorschlagssysteme, die einem menschlichen Entscheidungsträger bereits einen konkreten Entscheidungsausgang nahelegen. Beispiele hierfür sind KI-Systeme, die i.R.d. Kreditscorings eine konkrete Einstufung der Kreditwürdigkeit auf einer abschließenden Punkteskala 16[Fn.: So die Konstellation in EuGH, MMR 2024, 153 m. Anm. Radtke = ZD 2024, 157 m. Anm. Söbbing/Schwarz und m. Anm. Schild.] oder i.R.d. RecruitingKontexts eine automatisierte Vorsortierung von Lebensläufen vornehmen. 17[Fn.: Zum KI-Einsatz im Recruiting-Kontext s. statt vieler Hoffmann, NZA 2022, 19; Höpfner/Daum, ZfA 2021, 467.] Für die Annahme eines maßgeblichen Beruhens einer menschlichen Entscheidung auf einem KI-basierten Vorschlag spricht in diesen Fällen eines konkreten KI-basierten Entscheidungsvorschlags insbesondere das als sog. Automatisierungsbias diskutierte sozio-technische Phänomen des besonderen Vertrauens des menschlichen Entscheidungsträgers in die Ausgabe von KI-Systemen, wobei dieses Vertrauen insbesondere durch die Intransparenz des KI-Systems sowie den potenziellen Rechtfertigungsdruck bei Abweichung von dem KI-generierten Vorschlag begünstigt wird.18 [S. dazu Kolleck/Orwat, Mögliche Diskriminierung durch algorithmische Entscheidungssysteme und maschinelles Lernen, 2020, S.  27 ff.; s. exemplarisch die Untersuchung des Georgia Institute of Technology, bei welchem Versuchspersonen in einem bereits vernebelten Raum einem offenkundig fehleranfälligen Roboter folgten, statt eigenständig den Notausgang zu nutzen, Robinette/Allen/Howard/Wagner, Overtrust of robots in emergency evacuation scenarios, 11th ACM/IEEE International Conference on Human-Robot Interaction 2016, S.  101 ff.; so auch anerkannt als besonderer Gegenstand der erforderlichen menschlichen Aufsicht von HochrisikoKI-Systemen nach Art.  14 Abs.  4 KI-VO.] Gleichwohl wird auch in diesen Konstellationen die Maßgeblichkeit des Beruhens der Entscheidung auf dem KI-basierten Vorschlag im Einzelfall widerlegbar sein, wenn eine hinreichend konkrete Auseinandersetzung mit der rechtserheblichen Einzelfallentscheidung durch einen menschlichen Entscheider sichergestellt ist. 19[Fn.: Paal, ZfDR 2023, 114 (117) und Schild/Paal, PinG, 2024, 90 (91 f.) verweisen etwa im Kontext der Kreditvergabe auf die gesetzlich erforderliche Einzelfallprüfung nach § 18a KWG, §§ 505a, 505b BGB; EuGH, MMR 2024, 153 m. Anm. Radtke = ZD 2024, 157 m. Anm. Söbbing/Schwarz und m. Anm. Schild betonen die Unzulässigkeit von Banken nach § 25b Abs.  2 KWG, ihr Risikomanagement auf die SCHUFA auszulagern.] Demgegenüber keine Maßgeblichkeit des Beruhens begründen und folglich nicht in den Anwendungsbereich des Art. 22 DS‑GVO fallen wird die bloße Nutzung von KIbasierten Assistenzsystemen, welche die menschliche Entscheidungsfindung durch die Aufbereitung, Analyse oder Visualisierung von Informationen lediglich vorbereitend unterstützen, ohne bereits einen hinreichend konkreten Entscheidungsvorschlag zu unterbreiten. In diese Kategorie einzuordnen wäre u.a. die wertungsfreie automatisierte Aufbereitung von Daten oder auch die Nutzung von großen Sprachmodellen wie etwa ChatGPT, um allgemeine Hintergrundinformationen für eine Entscheidung anzusammeln.“ (Hervorhebung durch den Verfasser).

Radtke, Anm. zu EuGH, Urt. v. 7.12.2023 – C-634/21, MMR 2024, 153 (156): „Allerdings legen die Ausführungen in Rn. 48 f. nun nahe, dass die Maßgeblichkeit vermutet werden kann, wenn ein unzureichender Score „in nahezu allen Fällen“ zu Grunde gelegt wird. Selbst wenn die Empfänger also gesetzlich zur Vornahme einer eigenen Prüfung verpflichtet sind, schließt dies nicht zwingend aus, dass der SCHUFA-Score maßgeblich, weil ein regelmäßig ausschlaggebender Faktor ist. Entscheidend ist somit die tatsächliche Bedeutung im Einzelfall. Jedenfalls außerhalb des engmaschig regulierten Bankensektors dürfte das Merkmal der Maßgeblichkeit hiernach oft erfüllt sein.“ (Hervorhebungen durch den Verfasser)

Ziegenhorn, CR 2024, 586 (589): „Unabhängig davon, wie man die Entscheidung des EuGH inhaltlich beurteilen möchte, kommt dieser nur eine geringe praktische Relevanz zu. 46[Fn.: So auch Marsch/Kratz, NJW 2024, 392, 393.] Denn der EuGH begrenzt diese Sonderkonstellation auf Fälle, in denen der Score eine „maßgebliche“ Rolle spielt. Diese Maßgeblichkeit ist nach ihm gegeben, wenn „ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen“ dazu führt, dass die Bank den beantragten Kredit ablehnt. 47[Fn.: EuGH v. 7.12.2023 – C-634/21, ECLI:EU:C:2023:957 Rz. 48, CR 2024, 29 m. Anm. Kerkemeyer.] Dies wird im Kreditwesen bereits wegen den besonderen Anforderungen an die Kreditwürdigkeitsprüfung von Verbraucherdarlehensverträgen (§§ 505a, 505b BGB und § 18a KWG) für die Mehrheit der Fälle des externen Scorings zu Recht bezweifelt. 48[Fn.: Blasek, ZD 2022, 433, 436; Paal, ZfDR 2023, 114, 131.] Unklar bleibt jedoch, inwiefern der Maßstab der „Maßgeblichkeit“ auf andere Branchen, in denen automatisierte Entscheidungen vorgenommen werden, zu übertragen ist und es damit zu einer Ausweitung des Anwendungsbereichs der judizierten Ausnahme kommen könnte. 49[Fn.: Zur Bedeutung für KI-Anwendungen, Klein, BB 2024, 266, 268 f.; allgemein zu weiteren denkbaren Fallgestaltungen in anderen Bereichen Thüsing, CB 2024, 45, 50.] Hier wird eine weitere Konkretisierung des Merkmals der „Maßgeblichkeit“ durch die Rechtsprechung abzuwarten sein. 50[Fn.: Marsch / Kratz, NJW 2024, 392, 393.]“ (Hervorhebungen durch den Verfasser) Dies knüpft zum Teil an Überlegungen an, die das Schrifttum schon vor der Entscheidung des EuGH unternommen hat. Köhler fasst die Bandbreite dieser Stellungnahmen zusammen und ordnet sie:

„Bereits vor dem Urteil des EuGH zur SCHUFA herrschte weitgehend Einigkeit darüber, dass eine rein formale Zwischenschaltung eines Menschen in den Entscheidungsprozess nicht genügt, um die Anwendung des Art.  22 Abs.  1 DS‑GVO auszuschließen. 11[Fn.: Raji, Künstliche Intelligenz im öffentlichen Sektor, 2023, S. 207; Kögel, ZdiW 2022, 205 (207).]Wird eine menschliche Instanz installiert, die die automatisierten Entscheidungen lediglich alibimäßig abnickt, wird den Gefahren, vor denen Art. 22 Abs. 1 DS‑GVO schützen soll, nicht ausreichend begegnet. 12[Fn.: Paal/ Hüger, MMR 2024, 540 (541).] Der Mensch muss die Entscheidung stattdessen beeinflussen können. 13[Fn.: Martini, Blackbox Algorithmus, 2019, S. 173.] Erforderlich sind daher zumindest eine eigene inhaltliche (Letzt-)Entscheidungskompetenz und ein eigener Beurteilungsspielraum. 14[Fn.: Martini/Nink, NVwZ-Extra 10 (2017), 1 (3); Kumkar/Roth-Isigikeit, JZ 2020, 277 (279).] Der hiernach zum Ausschluss des Verbots mindestens erforderliche Einfluss des Menschen lässt sich mit Paal/Hüger treffend als formelle Hoheit bezeichnen. 15[Fn.: Paal/Hüger, MMR 2024, 540 (542).] In welcher Form darüber hinaus eine materielle Hoheit erforderlich ist, wurde vor dem Urteil des EuGH dagegen nicht einheitlich beurteilt. Eine materielle Hoheit verlangt nach den in diesem Beitrag gewählten Begrifflichkeiten eine inhaltliche Auseinandersetzung der menschlichen Instanz mit dem im Einzelfall ausgegebenen Ergebnis des algorithmischen Systems. In Bezug auf Art. 22 Abs. 1 DS‑GVO wurde teilweise vertreten, dass ein menschliches Dazwischentreten im Sinne einer Plausibilitätskontrolle genügt. 16[Fn.: Kühling/Buchner/Buchner, Art. 22 DS‑GVO Rn. 15; BeckOK DatenschutzR/v. Lewinski, Art. 22 DS‑GVO Rn. 25.1.] Demnach sollte es für den Ausschluss von Art. 22 DS‑GVO Abs. 1 ausreichen, wenn die menschliche Kontrollinstanz einzelne, nicht plausible Entscheidungen herausgreift und inhaltlich überprüft. 17[Fn.: Kühling/ Buchner/Buchner, Art. 22 DS‑GVO Rn. 15.] Lediglich rein stichprobenhafte Kontrollen seien unzureichend. 18[Fn.: Kühling/Buchner/ Buchner, Art.  22 DS‑GVO Rn.  15.] Andere forderten eine umfassende inhaltliche Auseinandersetzung in jedem Einzelfall. 19[Fn.: Paal/Pauly/Martini, Art. 22 DS‑GVO Rn. 19; Kumkar/Roth-Isigikeit, JZ 2020, 277 (279).] Wie eine solche konkret zu erfolgen hat, wurde dabei meist offengelassen. Regelmäßig wird nach dieser Ansicht allerdings erforderlich sein, dass der Mensch weitere Aspekte in die Entscheidung einbezieht. 20[Fn.: v. Walter in Kaulartz/Braegelmann, AI und Machine Learning-HdB Kap. 8.4 Rn. 7.]“

Von ihm stammt auch die bislang ausführlichste Auseinandersetzung mit der hier diskutierten Frage. Er bietet zur Konkretisierung der Maßgeblichkeit ein Drei-Stufen-Modell an:^[21]

„Der Ausschluss des in Art.  22 Abs.  1 DS‑GVO enthaltenen Verbots der automatisierten Einzelentscheidung setzt die materielle Hoheit des Menschen voraus. Deren konkrete Ausgestaltung ist anhand eines differenzierenden Stufenmodells zu beurteilen:

Weiterführend sind vor allem die Ausführungen, die die KISysteme in den Kontext des EuGH-Urteils einbindet – eine Fragestellung, die bereits vorher aufgeworfen wurde.^[22] Im hier diskutierten – beschränkteren Kontext reicht die Feststellung, dass auch nach seiner Ansicht eine Plausibilitätskontrolle genügt.

3. Erste Duftmarken der Instanzgerichte

Erste Entscheidungen der Instanzgerichte deuten auf einen weiten Anwendungsbereich. So geht das LG Bamberg davon aus, dass eine maßgebliche Leitung des Handelns der kreditgebenden Banken auch vorliegen kann, wenn deren Handeln neben dem Bonitätsscore durch weitere Faktoren bestimmt wird. Ein Indiz für die maßgebliche Leitung des Handelns der kreditgebenden Banken liege in der Zahlung eines Entgelts für die Übermittlung des Bonitätsscores:

„Die Berechnung der Bonitätsscores durch die Beklagte beeinträchtigt den Kläger auch in ähnlicher Weise wie eine sich entfaltende rechtliche Wirkung. Nach Überzeugung des Gerichts wird das Handeln Dritter – insbesondere kreditgebender Banken – maßgeblich von dem von der Beklagten mitgeteilten Wahrscheinlichkeitswert geleitet. Hierfür spricht schon, dass die abfragenden Vertragspartner der Beklagten für die Abfragen unstreitig ein Entgelt zu leisten haben. Dass für eine Auskunft bezahlt wird, die für die Entscheidung irrelevant ist, ist nicht anzunehmen. Der EuGH verlangt in seiner Entscheidung vom 7.12.2023 (C-634/21, NJW 2024, 413) auch nicht, dass der von der Beklagten berechnete Bonitätsscore der einzige für die Entscheidung der Banken ausschlaggebende Grund ist. Die Ausführungen der Beklagten, es sei dem Geschäftsverkehr immanent, dass die Beklagte ihre Leistung Vertragspartnern nicht kostenfrei zur Verfügung stellt, erscheint dabei durchaus nachvollziehbar. Es ist dem Geschäftsverkehr aber ebenso immanent, dass keine kostenpflichtigen Auskünfte eingeholt werden, wenn deren Inhalte für den Anfragenden keine Rolle spielen. Dass Einkommen und Vermögen, wie von der Beklagten vorgetragen, ebenfalls von Relevanz sein dürften, ist naheliegend, ändert aber nichts daran, dass auch der von der Beklagten mitgeteilte Bonitätsscore ein offensichtlich maßgebliches Entscheidungskriterium darstellt. Dies bestätigen auch die vom Kläger vorgelegten Schreiben diverser Banken, insb. Anl. K10, K12b, K13. Auch wenn diese nur teilweise den hiesigen Kläger betreffen, ergibt sich aus ihnen die grundsätzliche Bedeutung eines entsprechenden Scores für die Teilnahme am Wirtschaftsleben, insb. im Hinblick auf kreditrelevante Geschäfte.“^[23]

Ähnlich sieht es das LG Bayreuth, das sein Urteil ebenfalls mit prozeduralen Argumenten begründet:

„Was also drittens die Voraussetzung betrifft, dass die Entscheidung gegenüber der betroffenen Person „rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise erheblich“ beeinträchtigen muss, indem das Handeln des Kunden, dem der Wahrscheinlichkeitswert übermittelt wird, „maßgeblich“ von diesem Wert geleitet wird (EuGH, NJW 2024, 413 [415, Rn.  48, 50]), so kann aus dem Umstand, dass die Kunden die kostenpflichtigen Dienste der Beklagten in Anspruch nehmen bzw. nach der erteilten Auskunft konkret in Anspruch genommen haben, die widerlegliche Vermutung aufgestellt werden, dass dies der Fall ist. Die Beklagte ist allgemein bekannt nicht eine Auskunftei unter Vielen. Im Gegenteil trägt sie selbst ihre zentrale Rolle als Zusammenschluss von Unternehmen der Kreditwirtschaft vor. Der Beklagtenvortrag im Schriftsatz vom 15.4.2025 ist nicht geeignet, die Vermutung zu widerlegen, es ist nicht nachvollziehbar, dass die Tätigkeit der Beklagten für ihre Kunden als irrelevant bzw. unmaßgeblich dargestellt wird. Es besteht auch kein Anlass zum Wiedereintritt in die mündliche Verhandlung, nachdem die Beklagte Beweismittel für eine andere Entscheidungsfindung ihrer Kunden gerade nicht anbietet. Jedenfalls bei einem schlechten Score kann sich die Beklagte auch nicht darauf zurückziehen, dass der Kläger erst nachweisen müsse, dass ein Kunde aufgrund des mitgeteilten Score ohne weitere Überprüfung ein Geschäft mit dem Kläger abgelehnt habe. Aus dem Inhalt der vorgelegten Auskünfte (Anlage K1/B2) spricht dafür der Beweis des ersten Anscheins. Insbesondere im weitgehend automatisierten Betrieb von Massengeschäften wäre es höchst ungewöhnlich, eine ablehnende Entscheidung über die nachteilige S. -Auskunft hinaus noch einmal individuell zu überprüfen. Nur bei darüber hinausgehenden Kreditentscheidungen von erheblichem Gewicht dürfte es üblich sein, selbst eine positive S. -Auskunft nur als ein Kriterium unter mehreren zu betrachten. Das ist hier aber nicht streitgegenständlich.“^[24]

4. Ordnung der Argumente

Wer sich um eine Ordnung der Argumente bemüht, der muss schrittweise vorgehen. Es ist offensichtlich: Angesichts der nur spärlichen Hinweise des EuGH muss seine Argumentation fortgedacht und konkretisiert werden. Die Schwierigkeit besteht jedoch darin, ihm nicht eigene Vorstellungen gleichsam „in den Mund zu legen“.

a) Der Wortsinn hilft nicht allzu viel weiter

In der Tat: Der Wortsinn hilft nicht allzu viel weiter. Zu vage ist der Begriff. Aber etwas Erkenntnis kann man doch hieraus ableiten: Maßgeblich ist mehr als eine Mitursächlichkeit. Ein conditio sine qua non- Zusammenhang reicht nicht. Auf der anderen Seite bedeutet maßgeblich etwas anderes als z.B. ausschlaggebend: Wenn ein Enkel seinen Großvater seit Jahren nicht mehr besucht hat und auch nicht zu seinem 80. Geburtstag erscheint, und der Großvater daraufhin den Enkel enterbt, dann ist das Nichterscheinen zum 80. Geburtstag der ausschlaggebende Grund gewesen. Maßgeblich für die Entscheidung der Enterbung war aber das jahrelange Nichtbesuchen davor.

b) Systematische Überlegungen

Auch die Systematik hilft nur bedingt weiter, da der Begriff „maßgeblich“ an keiner Stelle in der DS‑GVO verwendet wird. Der Begriff kommt zwar zuweilen in anderen Gesetzen vor, wie etwa in Art. 23 Abs. 5 S. 2 GG, wonach bei Angelegenheiten der Europäischen Union, die im Schwerpunkt die Gesetzgebungsbefugnisse der Länder betreffen, „bei der Willensbildung des Bundes insoweit die Auffassung des Bundesrates maßgeblich zu berücksichtigen [ist]“.^[25] Unter dem Begriff „maßgeblich“ wird in diesem Zusammenhang verstanden, „dass die Bundesregierung sich bei ihrer Entscheidungsbildung von der Stellungnahme leiten lassen muss“.^[26]Was das konkret bedeutet und ob damit eine Bindungswirkung, also ein Letztentscheidungsrecht des Bundesrats, einhergeht, ist umstritten.^[27] Das Beispiel hat nichts mit dem Kontext hier und erst recht nicht mit europarechtskonformer Auslegung zu tun. Es zeigt aber, dass der Begriff „maßgeblich“ auch in anderen Kontexten unscharf ist und sich kaum für juristisch präzise Abgrenzungen eignet – eben darin liegt die Herausforderung.

c) Eine teleologische Interpretation, orientiert am effet utile

Es kommt damit also entscheidend auf den Sinn und Zweck des Art.  22 DS‑GVO an. Ziel ist es, betroffene Personen vor sie beschwerenden Entscheidungen zu schützen, die ausschließlich auf einer automatisierten Verarbeitung beruhen. Die Letztentscheidungsbefugnis muss bei einer natürlichen Person liegen.^[28] Das durch den EuGH neu eingeführte Merkmal der Maßgeblichkeit soll verhindern, dass ein Mensch das Ergebnis eines automatisiert erstellten Scores lediglich abnickt und keine weitere Auseinandersetzung stattfindet. Daraus folgt, dass starre Kriterien oder Grenzen, die allein vom Score abhängen und nicht von einem Menschen überstimmt werden können, für eine maßgebliche Beeinflussung sprechen.

d) Beispiele maßgeblicher und nicht-maßgeblicher Beeinflussung

Eine „maßgebliche“ Beeinflussung ist damit insbesondere dann anzunehmen, wenn der Verwender des Scores die Entscheidung allein vom Score abhängig macht. Dies ist etwa der Fall, wenn der Verwender ausschließlich den Score über die Bonität der betroffenen Person einholt und keine weiteren Informationen erhebt. In diesem Fall ist der Score alleinentscheidend, dann muss er erst recht maßgeblich sein. Darüber hinaus hängt eine Entscheidung auch dann maßgeblich vom Score ab, wenn der Verwender zwar auch weitere Informationen erhebt, vorher aber einen Mindestscore („Cut-Off-Score“) festlegt, bei dessen Unterschreiten die Entscheidung automatisch negativ ausfällt (z.B. wird bei einem Score von unter 80 % der Antrag der betroffenen Personen automatisch abgelehnt). Denn dann stellt der Score ein „KO-Kriterium“ für die Entscheidung dar.

Keine „maßgebliche“ Beeinflussung liegt hingegen vor, wenn der Score abgefragt wird sowie weitere Informationen erhoben werden und diese offen für die Kompensation eines negativen Scores sind, d.h. es muss die reale Möglichkeit bestehen, dass der Score durch die weiteren Informationen aufgewogen werden kann, auch wenn er es am Ende dann eben nicht wird. Ein Beispiel: Ein Gehaltsnachweis, der ein hohes monatliches Einkommen ausweist, ist grundsätzlich dazu geeignet, etwaige Defizite bei einem Score über die Bonität zu kompensieren. Die Entscheidung darüber, ob das Einkommen den negativen Score tatsächlich aufwiegt, ist eine Frage des Einzelfalles und obliegt dem Verwender des Scores. Dies setzt eine menschliche Auseinandersetzung mit dem abgefragten Score und den weiteren Informationen voraus, mit der Folge, dass keine automatisierte Einzelentscheidung i.S.d. Art. 22 DS‑GVO vorliegt.

Die § 505b BGB, § 18a KWG zeigen, dass im Kreditwesen neben dem Score auch weitere Informationen über die Zahlungsfähigkeit des Antragstellers einzuholen sind. Das folgt auch aus den Mindestanforderungen an das Risikomanagement (MaRisk) der BaFin, die sich an alle Kreditinstitute und Finanzdienstleistungsinstitute in Deutschland richtet. Dort heißt es:

MaRisk BTO 1.2 Tz. 4: „Die Verwendung externer Bonitätseinschätzungen enthebt das Institut nicht von seiner Verpflichtung, sich ein Urteil über das Adressenausfallrisiko zu bilden und dabei eigene Erkenntnisse und Informationen in die Kreditentscheidung einfließen zu lassen.“^[29]

Daraus folgt, dass der Bonitätsscore im Kreditwesen schon rechtlich nicht maßgeblich sein darf. Der Kreditgeber muss eigene Erkenntnisse und Informationen in die Entscheidung über die Kreditvergabe einfließen lassen, in dem er diese weiteren Informationen selbst erhebt. Ob der Kreditgeber dies auch tatsächlich macht, ist keine Rechtsfrage, sondern eine Tatfrage.^[30]

Wie hoch der Entscheidungsanteil des Scores sein muss, um eine maßgebliche Beeinflussung anzunehmen, lässt sich nicht anhand einer mathematisch berechneten Zahl quantifizieren. Ziel des Art. 22 Abs. 1 DS‑GVO ist es, wie bereits angesprochen, dass eine für die betroffene Person belastende Entscheidung nicht ausschließlich von einer Maschine getroffen wird; der Mensch soll darüber entscheiden. Es muss daher eine reale menschliche Auseinandersetzung erfolgen, nur dann kann auch die Entscheidung dem Menschen zugerechnet werden. Eine pro-forma Kontrolle, bei der ein Mensch lediglich als Sachbearbeiter die Entscheidung abnickt und somit ausnahmslos dem Score folgt, genügt nicht diesen Anforderungen. Werden aber neben dem Bonitätsscore weitere Informationen, wie ein Gehaltsnachweis oder mögliche Sicherheiten abgefragt, und diese auch tatsächlich bewertet, findet eine menschliche Auseinandersetzung statt. Der Umstand, dass ein Score eingeholt wird, führt damit allein noch nicht zu einer maßgeblichen Beeinflussung.

IV. Zur Frage der Beweislast – Grenzen und Möglichkeiten des Anscheinsbeweis

Der EuGH hat in der Rs. C-634/21 klargestellt, dass es Aufgabe der nationalen Gerichte sei, zu beurteilen, ob die Entscheidung über die Begründung eines Vertragsverhältnisses maßgeblich vom Bonitätsscore abhängt.^[31] Demzufolge ist das jeweilige nationale Prozessrecht auf die Frage, ob eine maßgebliche Beeinflussung vorliegt, anzuwenden. Das LG Bayreuth stellte hinsichtlich der Maßgeblichkeit eine widerlegliche Vermutung auf:

„Was also drittens die Voraussetzung betrifft, dass die Entscheidung gegenüber der betroffenen Person „rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise erheblich“ beeinträchtigen muss, indem das Handeln des Kunden, dem der Wahrscheinlichkeitswert übermittelt wird, „maßgeblich“ von diesem Wert geleitet wird (EuGH, NJW 2024, 413 [415, Rn. 48, 50]), so kann aus dem Umstand, dass die Kunden die kostenpflichtigen Dienste der Beklagten in Anspruch nehmen bzw. nach der erteilten Auskunft konkret in Anspruch genommen haben, die widerlegliche Vermutung aufgestellt werden, dass dies der Fall ist. Die Beklagte ist allgemein bekannt nicht eine Auskunftei unter Vielen. Im Gegenteil trägt sie selbst ihre zentrale Rolle als Zusammenschluss von Unternehmen der Kreditwirtschaft vor. Der Beklagtenvortrag im Schriftsatz vom 15.4.2025 ist nicht geeignet, die Vermutung zu widerlegen, es ist nicht nachvollziehbar, dass die Tätigkeit der Beklagten für ihre Kunden als irrelevant bzw. unmaßgeblich dargestellt wird. Es besteht auch kein Anlass zum Wiedereintritt in die mündliche Verhandlung, nachdem die Beklagte Beweismittel für eine andere Entscheidungsfindung ihrer Kunden gerade nicht anbietet

Jedenfalls bei einem schlechten Score kann sich die Beklagte auch nicht darauf zurückziehen, dass der Kläger erst nachweisen müsse, dass ein Kunde aufgrund des mitgeteilten Score ohne weitere Überprüfung ein Geschäft mit dem Kläger abgelehnt habe. Aus dem Inhalt der vorgelegten Auskünfte (Anlage K1/B2) spricht dafür der Beweis des ersten Anscheins. Insbesondere im weitgehend automatisierten Betrieb von Massengeschäften wäre es höchst ungewöhnlich, eine ablehnende Entscheidung über die nachteilige S. -Auskunft hinaus noch einmal individuell zu überprüfen. Nur bei darüber hinausgehenden Kreditentscheidungen von erheblichem Gewicht dürfte es üblich sein, selbst eine positive S. -Auskunft nur als ein Kriterium unter mehreren zu betrachten. Das ist hier aber nicht streitgegenständlich.“^[32]

Die Annahme eines Anscheinsbeweises überrascht. Denn „Voraussetzung seiner Anwendung ist ein sog. typischer Geschehensablauf, also ein sich aus der Lebenserfahrung bestätigender gleichförmiger Vorgang, durch dessen Typizität es sich erübrigt, die tatsächlichen Einzelumstände eines bestimmten historischen Geschehens nachzuweisen.“^[33]Aus dem Umstand, dass der Verwender für die Einholung des Scores zahlt, eine maßgebliche Beeinflussung anzunehmen, führt zu weit. Folge wäre, dass jeder genutzte Score automatisch als maßgeblich anzusehen wäre. Der BGH hat jedoch in einer früheren Entscheidung Zurückhaltung bei der Anwendung des Anscheinsbeweises angemahnt, weil er es erlaubt, bei typischen Geschehensabläufen auf Grund allgemeiner Erfahrungssätze auf einen ursächlichen Zusammenhang oder ein schuldhaftes Verhalten zu schließen, ohne dass im konkreten Fall die Ursache bzw. das Verschulden festgestellt ist.^[34]Wenn der Verwender einen Score einholt und dafür zahlt, ist es denkbar, einen Anscheinsbeweis dahingehend anzunehmen, dass der Score in die Entscheidung mit einfließt – niemand kauft einen Score, den er nicht nutzen will. In welchem Ausmaß der Score die Entscheidung beeinflusst, ist eine Frage des Einzelfalles. Dafür gibt es schlicht keinen Erfahrungssatz – erst recht keinen, der aus dem bloßen Umstand der Entgeltlichkeit des Scores hergeleitet werden kann.

V. Eine Vorlage an den EuGH scheint unumgänglich

Es hat sich gezeigt: Der vom EuGH neu eingeführte Begriff der Maßgeblichkeit wirft Fragen auf, die sich gegenwärtig nicht abschließend – und vor allem nicht rechtsverbindlich – klären lassen. Dass der Gerichtshof es versäumt hat, den Begriff zu konkretisieren und mit Leben zu füllen, ist misslich. Angesichts der Rechtsunsicherheit, die der unbestimmte Rechtsbegriff mit sich bringt, scheint daher eine Vorlage an den EuGH unumgänglich zu sein. Denn auszulegen ist hier, was der EuGH eigentlich meint; das kann nicht das nationale Gericht. Dieses ist nur dazu berufen, die Obersätze des EuGH auf das nationale Recht und den nationalen Sachverhalt anzuwenden, nicht aber den Sinn der Obersätze zu ergründen und zu deuten.^[35] Solch ein dialogisches Vorgehen zwischen nationalem Gericht und EuGH hat durchaus Vorbilder – insb. dort, wo die Vorgaben des EuGH allzu sperrig, systemwidrig und dunkel waren. Auf die Entscheidung Alemo-Herron folgte die Vorlage Asklepios (mit einem ganz anderen Ergebnis)^[36], auf die Vorlage Schultz-Hoff folgte KHS^[37], oder gerade auch im Datenschutz: Auf die Ausführungen des EuGH insb. in der Entscheidung vom 4.5.2023^[38] folgte jüngst die Vorlage des BGH vom 6.5.2025.^[39] Wenn Antworten des EuGH weitere Fragen provozieren, dann müssen sie gestellt werden.

VI. Was bleibt

Ob und wann es zu einer Konkretisierung durch den EuGH kommt, ist unklar. Bis dahin braucht es Kriterien, an denen sich die Praxis orientieren kann. Nach dem oben gesagten, ist eine maßgebliche Beeinflussung dann anzunehmen, wenn der Score ein „KO-Kriterium“ darstellt, d.h.

1. wenn allein der Score eingeholt wird und nur auf dieser Grundlage die Entscheidung getroffen wird. In diesem Fall ist der Score alleinentscheidend, da es gar keine weiteren Kriterien gibt, die überhaupt Berücksichtigung finden könnten. Beispiel hierfür wäre ein Vermieter, der von potenziellen Mietern lediglich eine Bonitätsauskunft verlangt und ausschließlich auf dieser Grundlage entscheidet, ob er sie zu einer Besichtigung einlädt oder nicht.
2. oder wenn neben dem Score zwar weitere Informationen erhoben werden, vorher aber ein Mindestscore („Cut-Off-Score“) festlegt wurde, bei dessen Unterschreiten die Entscheidung automatisch negativ ausfällt. Setzt eine Bank für die Kreditvergabe bspw. einen Mindestscore von 80 % voraus, mit der Folge, dass Antragsteller mit einem niedrigeren Score automatisch abgelehnt werden, liegt eine maßgebliche Beeinflussung vor. Eine pro-forma Kontrolle durch einen Menschen, der die Entscheidung lediglich abnickt, ändert hieran nichts, da keine inhaltliche Auseinandersetzung durch einen Menschen erfolgt.

Keine maßgebliche Beeinflussung liegt vor, sofern neben dem Score weitere Informationen erhoben werden und diese offen für die Kompensation eines negativen Scores sind, d.h. es muss die reale Möglichkeit bestehen, dass der Score durch die weiteren Informationen aufgewogen werden kann. Dies setzt eine menschliche Auseinandersetzung mit dem abgefragten Score und den weiteren Informationen voraus, mit der Folge, dass keine automatisierte Einzelentscheidung vorliegt. Diese Auslegung entspricht dem Sinn und Zweck des Art. 22 DS‑GVO.

Der Umstand, dass ein Score abgefragt wird und der Verwender für diesen bezahlt, kann allein nicht die Vermutung begründen, dass der Score die Entscheidung maßgeblich beeinflusst. Aus der Entgeltlichkeit des Scores kann allenfalls der Schluss gezogen werden, dass er in die Entscheidung mit einfließt. Ob der Score die Entscheidung maßgeblich beeinflusst oder nicht, kann nach den oben genannten Kriterien beurteilt werden.

Verpflichtet sich der Verwender eines Scores, diesen nicht maßgeblich zu benutzen, dann hört hier die Verantwortlichkeit des Verantwortlichen aus. Die Zurechnungskette wird unterbrochen. Die Scoreerstellung kann keine Entscheidung i.S.d. Art.  22 DS‑GVO sein, wenn der Scoreersteller die nachfolgende, ja dann pflichtwidrige Verwendung des Scores zwar nicht verhindert (und ggf. auch gar nicht verhindern kann), aber eben auch nicht gebilligt hat. Das Verhalten des Scorenutzers kann ihm nicht zu gerechnet werden – insoweit ist er nicht Verantwortlicher.

_{[1] Ochse, BILD-online v. 17.7.2025, abrufbar unter: https://www.bild.de/lebenwissen/sparfochs/bild-analyse-ist-der-schufa-score-am-ende-doch-rechtswidrig-686e4cc9bfdec31b7cda9784.}

_{[2] EuGH, Urt. v. 7.12.2023 – C-634/21, GRUR-RS 2023, 34905 Rn. 27; Hervorhebung durch den Verfasser.}

_{[3] GA Pikamäe, Schlussantr. v. 16.3.2023 – C-634/21, BeckRS 2023, 4643 Rn. 95; Hervorhebung durch den Verfasser.}

_{[4] EuGH, Urt. v. 7.12.2023 – C-634/21, GRUR-RS 2023, 34905; Hervorhebung durch den Verfasser.}

_{[5] VG Wiesbaden, Beschl. v. 1.10.2021 – 6 K 788/20.WI, BeckRS 2021, 30719 Rn. 21.}

_{[6] GA Pikamäe, Schlussantr. v. 16.3.2023 – C-634/21, BeckRS 2023, 4643 Rn. 42; Hervorhebung durch den Verfasser.}

_{[7] EuGH, Urt. v. 7.12.2023 – C-634/21, GRUR-RS 2023, 34905 Rn. 50; Hervorhebung durch den Verfasser.}

_{[8] So Heckmann, MMR 2023, 816 (818); Hacker, MMR 2018, 779 (783 f.)}

_{[9] Ähnlich schon die Kritik durch Taeger, BKR 2024, 41 (46): „Während es im Tatbestand des Art.  22 DS‑GVO heißt, dass eine betroffene Person nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen sein darf, soll die Anwendung des Verbots aus Art. 22 DS‑GVO schon auf das externe Scoring nun von dem im Tatbestand nicht vorkommenden Begriff ‚maßgeblich‘ abhängen, der die Verwendung des Scorewertes durch den Kreditgeber im Verhältnis zur Wirtschaftsauskunftei also einem Dritten beschreibt. Es ist nicht nachvollziehbar, dass nach der „Theorie vom Zusammenwirken“ die Rechtmäßigkeit der externen Wahrscheinlichkeitswertberechnung vom künftigen, nicht vorhersehbaren Verhalten des Empfängers eines Scores abhängen soll.“; Hervorhebung im Original.}

_{[10] Pardey/Balke/Link/Pardey, Schadenrecht, 2023, Kausalität und Zurechnung Rn. 24; Hervorhebung durch den Verfasser.}

_{[11] PONS-Onlinewörterbuch, abrufbar unter: https://de.pons.com/übersetzung-2/französisch-deutsch/déterminante.}

_{[12] S. nachfolgend Gliederungspunkt III. 3.a).}

_{[13] VG Wiesbaden, Beschl. v. 1.10.2021 – 6 K 788/20.WI, BeckRS 2021, 30719 Rn. 25}

_{[14] VG Wiesbaden, Beschl. v. 1.10.2021 – 6 K 788/20.WI, BeckRS 2021, 30719 Rn. 25}

_{[15] VG Wiesbaden, Beschl. v. 1.10.2021 – 6 K 788/20.WI, BeckRS 2021, 30719 Rn. 25.}

_{[16] VG Wiesbaden, Beschl. v. 1.10.2021 – 6 K 788/20.WI, BeckRS 2021, 30719 Rn. 25.}

_{[17] VG Wiesbaden, Beschl. v. 1.10.2021 – 6 K 788/20.WI, BeckRS 2021, 30719 Rn. 25}

_{[18] GA Pikamäe, Schlussantr. v. 16.3.2023 – C-634/21, BeckRS 2023, 4643 Rn. 44}

_{[19] GA Pikamäe, Schlussantr. v. 16.3.2023 – C-634/21, BeckRS 2023, 4643 Rn. 45.}

_{[20] EuGH, Urt. v. 7.12.2023 – C-634/21, GRUR-RS 2023, 34905 Rn. 48.}

_{[21] Köhler, EuDIR 2025, 16 Rn. 34.}

_{[22] Unmittelbar nach der Entscheidung des EuGH Thüsing, Das EuGH-Urteil wird zum Problem für KI, LTO v. 10.12.2023, abrufbar unter https://www.lto.de/recht/meinung/m/eugh-c63421-schufa-scoring-folgen-ki-automatisierteverarbeitung-kreditauskunft}

_{[23] LG Bamberg, Urt. v. 26.3.2025 – 41 O 749/24, GRUR-RS 2025, 7269 Rn. 28}

_{[24] LG Bayreuth, Urt. v. 29.4.2025 – 31 O 593/24, GRUR-RS 2025, 13866 Rn. 34 f.}

_{[25] Hervorhebung durch den Verfasser.}

_{[26] BeckOK GG/Heintschel von Heinegg/Frau, 61. Ed. 15.3.2025, GG Art. 23 Rn. 46.}

_{[27] S. hierzu Sodan/Schmahl, 5. Aufl. 2024, GG Art. 23 Rn. 49 m.w.N.}

_{[28] Gola/Heckmann/Schulz, 3. Aufl. 2022, DS‑GVO Art. 22 Rn. 1.}

_{[29] Rundschreiben 06/2024 (BA) vom 29.5.2025 – MaRisk, abrufbar unter: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_rs_06_2024_MaRisk_pdf_BA.html.}

_{[30] Vgl. zur Abgrenzung zwischen Rechts- und Tatfragen, Stein/Jonas/Jacobs, 23. Aufl. 2018, ZPO § 546 Rn. 3 ff.}

_{[31] EuGH, Urt. v. 7.12.2023 – C-634/21, GRUR-RS 2023, 34905 Rn. 48.}

_{[32] LG Bamberg, Urt. v. 26.3.2025 – 41 O 749/24, GRUR-RS 2025, 7269 Rn. 34 f.}

_{[33] MüKoZPO/Prütting, 7. Aufl. 2025, ZPO § 286 Rn. 50.}

_{[34] BGH, Urt. v. 13.12.2011 − VI ZR 177/10, NJW 2012, 608 Rn. 11.}

_{[35] S. Thüsing, BB 2024, Editorial, Heft 16, I.}

_{[36] EuGH, Urt. v. 18.7.2013 – C-426/11, BeckRS 2013, 81519; Urt. v. 27.4.2017 – C-680/15, C-681/15, BeckRS 2017, 108049}

_{[37] EuGH, Urt. v. 20.1.2009 – C-350/06, C-520/06, BeckRS 2009, 70077; Urt. v. 22.11.2011 – C-214/10, BeckRS 2011, 81665.}

_{[38] EuGH, Urt. v. 4.5.2023 – C-300/21, GRUR-RS 2023, 8972.}

_{[39] BGH, Beschl. v. 6.5.2025 – VI ZR 53/23, GRUR-RS 2025, 13267.}