Aufsatz : Das Rätsel Art. 15 Abs. 1 lit. h) DS GVO – : aus der RDV 3/2026, Seite 136 bis 142

Damit bewegt sich der EuGH in den Bahnen, die der GA de la Tour in seinen Schlussanträgen vorgezeichnet hatte. Das Auskunftsrecht müsse es der betroffenen Person ermöglichen „ihre Rechte aus Art. 22 DS‑GVO wahrzunehmen, der sich speziell auf eine Situation bezieht, in der die betroffene Person einer auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen wird.“^[8] Unter Bezugnahme auf ErwG 58 fordert er, dass „aussagekräftige Informationen (…) nicht nur klar und zugänglich sein [müssen], sondern auch mit Erläuterungen versehen werden [müssen], die ihr richtiges Verständnis sicherstellen“. Und: „Zusätzlich zu diesen Anforderungen muss die betroffene Person die Richtigkeit der sie betreffenden personenbezogenen Daten und der Informationen über die einer automatisierten Entscheidungsfindung zugrunde liegende Logik überprüfen können. Es muss ihr daher möglich sein, sich zu vergewissern, dass zwischen der verwendeten Methode und den herangezogenen Kriterien einerseits und dem Ergebnis der automatisierten Entscheidung andererseits eine objektiv nachprüfbare Übereinstimmung und ein objektiv nachprüfbarer Kausalzusammenhang besteht. Mit anderen Worten müssen die übermittelten Informationen es dieser Person ermöglichen, zu kontrollieren, ob die Informationen den Tatsachen entsprechen und die fragliche automatisierte Entscheidung somit tatsächlich auf zutreffenden Informationen beruht.“ Auch wenn der Algorithmus selber nicht offengelegt werden müsse, plädiert er daher dafür, dass „aussagekräftige Informationen über die [bei einer automatisierten Entscheidungsfindung] involvierte Logik“ es der betroffenen Person ermöglichen müssen, die ihr durch die DS‑GVO und insbesondere durch Art.  22 dieser Verordnung garantierten Rechte auszuüben. Das setzte

• erstens voraus, dass die betroffene Person präzise, leicht zugängliche, verständliche sowie in klarer und einfacher Sprache abgefasste Informationen über die für eine solche Entscheidung verwendete Methode und die dafür herangezogenen Kriterien erhalten kann.
• Zweitens müssen diese Informationen hinreichend vollständig und kontextbezogen sein, um es der betroffenen Person zu ermöglichen, zu überprüfen, ob die Informationen zutreffend sind und zwischen der verwendeten Methode und den herangezogenen Kriterien einerseits und dem Ergebnis der automatisierten Entscheidung andererseits eine objektiv nachprüfbare Übereinstimmung und ein objektiv nachprüfbarer Kausalzusammenhang bestehen.^[9]

III. Eine Ordnung der Argumente

Was daraus folgt, ist in verschiedenen Entscheidungen nun gewogen und konkretisiert worden. Exemplarisch ist der Gegensatz zwischen der wohl h.M., für die das OLG Stuttgart^[10] auf der einen Seite steht, und dem OLG Dresden^[11]auf der anderen. Das eine Gericht hält die SCHUFA-Praxis für zulässig, das andere nicht. Anknüpfungspunkt sind jeweils die Worte des EuGH – aber die Schlussfolgerungen sind andere. Unbemerkt von der deutschen Rechtsprechung ist insb. die Diskussion des Auslands, die freilich eher abstrakt bleibt.^[12]

1. Der Wortlaut spricht für Flexibilität

Auslegung beginnt mit dem Wortlaut, auch nach der Rechtsprechung des EuGH.^[13] Das ist hier bislang vielleicht zu kurz geblieben. Art.  15 Abs.  1 lit. h) DS‑GVO verpflichtet zur Mitteilung „aussagekräftige[r] Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.“ Aussagekräftig sind Informationen dem Wortsinn nach bereits dann, wenn sie konkrete Schlüsse auf die involvierte Logik und die Tragweite des Auswirkungen zulassen. Die Information darf nicht inhaltlos sein, sondern muss einen zweckbezogenen Informationswert, sprich eine bestimmte Qualität haben.^[14] Die französische („informations utiles“), die niederländische („nuttige informative“) und die portugiesische („informações úteis“) Sprachfassung heben auf die Nützlichkeit der Informationen ab und stellen damit dem Wortlaut nach noch etwas geringere Anforderungen an die Informationsqualität. Die verschiedenen Sprachfassungen, die die Auslegung des Art. 15 Abs. 1 lit. h) DS‑GVO komplementär bestimmen,^[15] zeigen, dass der europäische Gesetzgeber einen nicht klar umgrenzten Mindeststandard im Blick hatte. Sie deuten auch auf eine gewisse Flexibilität des Verantwortlichen im Hinblick auf den Gegenstand der Auskunft hin, die durch die notwendigerweise zu gewährende Funktionalität, Relevanz und Qualität der Informationen begrenzt wird.^[16] Auch der in Art. 15 Abs. 1 lit. h) DS‑GVO normierte Bezugspunkt der Auskunftspflicht bestätigt diese Auslegung: Die Begriffe „involvierte Logik“, „Tragweite“ und „angestrebten Auswirkungen“ haben einen hohen Abstrahierungsgrad und erlauben eine größere Flexibilität in der Bestimmung der Reichweite des Auskunftsanspruchs. Der Wortlaut des Art. 15 Abs. 1 lit. h) DS‑GVO stellt demnach keine dezidierten Anforderungen an die Erfüllung der Informationspflichten. Er sichert ein Mindestniveau ab, dessen Grenzen sich im Einzelfall am Sinn und Zweck der Norm orientieren.

2. Zweck: Ermöglichung der Plausibilitätskontrolle, nicht umfassendes Verständnis

Weiter kommt man in der Tat mit einem Blick auf den Zweck der Regelung, auf den sich ja insbesondere der Generalanwalt maßgeblich stützt. Das Auskunftsrecht des Art. 15 Abs. 1 DS‑GVO dient dazu, dem Betroffenen die Möglichkeit zu eröffnen, in Erfahrung zu bringen, ob personenbezogene Daten von ihm verarbeitet werden, ob diese Daten richtig sind und ob eine etwaige Verarbeitung rechtmäßig erfolgt.^[17]Art.  15 DS‑GVO soll das Maß an Transparenz sicherstellen, das erforderlich ist, um die Datenverarbeitung nachvollziehen und so ihre Rechtmäßigkeit einschätzen zu können.^[18] Folgerichtig entschied der EuGH in den Rs. Schufa sowie Dun & Bradstreet, dass der Hauptzweck der Auskunftspflichten des Art. 15 Abs. 1 lit. h) DS‑GVO darin besteht, die wirksame Ausübung der Rechte aus Art. 22 Abs. 3 DS‑GVO, namentlich die Rechte auf Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung zu gewährleisten.^[19] Zu diesem Zweck sollen die Betroffenen nachvollziehen können, „welche ihrer personenbezogenen Daten im Rahmen der in Rede stehenden automatisierten Entscheidungsfindung auf welche Art verwendet wurden (…)“.^[20] Auch die Mehrzahl der Vertreter eines weiten Verständnisses gesteht ein, dass das Auskunftsrecht demnach allein „die Überprüfung der Bonitätsscorewerte auf Fehler und mangelnde Plausibilität“ ermöglichen soll.^[21] Auch in der Literatur wird vorgebracht, der Betroffene müsse lediglich „in die Lage versetzt werden, die wesentlichen Einflussfaktoren ihres Scorewerts auf Fehler, Unstimmigkeiten oder mangelnde Plausibilität zu überprüfen.“^[22] Art. 15 Abs. 1 lit. h) DS‑GVO schützt vor dem Hintergrund der informationellen Selbstbestimmung vor einer intransparenten und damit nicht nachvollziehbaren Fremdbewertung durch Dritte, die ihm die Ausübung seiner Rechte aus Art. 22 Abs. 3 DS‑GVO unmöglich machen würde.^[23] Salopp gesagt: Dem Betroffenen, der sich fragt, „Kann das richtig sein?“, soll die Beantwortung dieser Frage ermöglicht werden. Er soll hingegen nicht in die Lage versetzt werden, den Scorewert genau nachzurechnen.^[24] “ Stimmen die Daten, die die verwendet haben?“ muss der Betroffene sich beantworten können, „Wieso schließen die daraus, dass ich nicht kreditwürdig bin?“ nicht. Auf eine andere Scoreformel hätte der Betroffene ohnehin keinen Anspruch.

Einen anderen Zweck hat das Auskunftsrecht nicht. Das verkennt etwa das LG Bayreuth grundlegend, wenn es durchweg detaillierte Vorgaben für den Auskunftsumfang aufstellt, weil dies „insbesondere den Betroffenen dazu ermächtigt, sich negativ auswirkende Handlungen nach Möglichkeit zu vermeiden.“^[25] Das vom LG Bayreuth verfolgte Ziel, den Betroffenen zur Verhaltensoptimierung zu befähigen, ist ein wirtschaftliches Interesse, das außerhalb des Schutzbereichs der DS‑GVO liegt. Ein Betroffener, der das Ziel verfolgt, sein Verhalten auf einen bestimmten Scoring-Algorithmus auszurichten, nimmt keine Rechte wahr, die aus dem Recht auf informationelle Selbstbestimmung folgen. Er betreibt Profiloptimierung im wirtschaftlichen Eigeninteresse ohne dabei durch die DS‑GVO geschützt zu sein. Mit anderen Worten: Ein Anspruch des Betroffenen, zu erfahren, wie er seine Kreditwürdigkeit gegenüber Dritten verbessern kann, besteht datenschutzrechtlich nicht. Das LG Bayreuth hat mit seiner zweckwidrigen Auslegung des Auskunftsrechts einen klar europarechtswidrigen Irrweg beschritten.

3. Spurensuche bei der Art.-29-Datenschutzgruppe

Diese Standortbestimmung bewegt sich weitgehend in den Bahnen, die durch die Art.-29-Datenschutzgruppe und das EDPB vorgezeichnet wurden. Das ist von entscheidender Bedeutung, zieht der EuGH die Ausarbeitungen der Arbeitsgruppe doch ausdrücklich bei der Auslegung des Art.  15 Abs.  1 lit. h) DS‑GVO heran.^[26]Erstere stellte fest, dass Verantwortliche die „bei der Entscheidungsfindung berücksichtigten Faktoren und deren „Gewichtung“ auf aggregierter Ebene“ mitteilen sollten.^[27] Das zeigt, dass die Gewichtung einzelner Faktoren gerade nicht angegeben werden muss und spiegelt den hohen Abstrahierungsgrad des Wortlauts wider.^[28] Ausreichend ist die grobe Gewichtung auf höherer Ebene, also die Angabe, welche Faktoren das Ergebnis wesentlich und welche es weniger wesentlich beeinflusst haben. Die Arbeitsgruppe führt aus, dass die Pflicht zur Erteilung aussagekräftiger Informationen über die involvierte Logik gerade nicht zu einer ausführlichen Erläuterung der verwendeten Algorithmen zwängen, sondern bloß so umfassend sein sollten, dass die betroffene Person die Entscheidung „nachvollziehen“ könne.^[29] Damit wird der Betroffene vor einem information overload durch eine zu detaillierte Auskunft geschützt,^[30] die im Ergebnis für die Geltendmachung der Rechte des Betroffenen nicht notwendig, sondern eher hinderlich wäre. Denn eine Auskunft, die den Betroffenen mit Detailinformationen überhäuft, verfehlt den Zweck der Plausibilitätskontrolle nicht weniger als eine zu knappe Auskunft.

Dem schloss sich auch das EDPB an^[31] und führt weitergehend aus, dass „die Informationen nach Art.  15 Abs.  1 lit. h) DS‑GVO die genauen Gründe enthalten [müssen], die zu bestimmten Entscheidungen (…) geführt haben.^[32] Damit macht es deutlich, dass die dem Score zugrunde liegenden Informationen genau angegeben werden müssen, ihre Gewichtung im Verhältnis zueinander aber nicht. Denn die „genauen Gründe, die zu bestimmten Entscheidungen geführt haben“ sind zunächst einmal die zum Scoring verwendeten Daten selbst. Das EDPB fordert Nachvollziehbarkeit im Einzelfall – nicht weniger, aber auch nicht mehr.

4. Keine Spurensuche bei § 37a Abs. 4 BDSG-E

Man ist weiter geneigt, in der Spurensuche nach dem richtigen Ergebnis auf § 37a BDSG-E zu schielen, in dessen Abs. 4 der deutsche Gesetzgeber ja Informationspflichten als Voraussetzung einer vollständig automatisierten Datenverarbeitung, die sich auf Art.  22 Abs.  2 lit. b) DS‑GVO stützt, schaffen will:

„Verantwortliche, die Wahrscheinlichkeitswerte im Sinne des Absatzes 1 erstellen, haben auf Antrag der betroffenen Person in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache Folgendes mitzuteilen:

1. die für die Erstellung genutzten personenbezogenen Daten der betroffenen Person und Kriterien,
2. die Gewichtung von Kategorien von Kriterien und der einzelnen Kriterien zueinander, die den Wahrscheinlichkeitswert am stärksten beeinflussen,
3. die Aussagekraft des konkreten Wahrscheinlichkeitswerts und
4. die erstellten Wahrscheinlichkeitswerte und ihre Empfänger.“^[33]

Dogmatisch wäre dies freilich ein Irrweg. Nationales Recht kann europäisches Recht nicht auslegen. Zudem konkretisiert die Regelung nicht den Auskunftsanspruch, der Folge einer automatisierten Verarbeitung ist, sondern schafft nur eine Voraussetzung ihrer Rechtmäßigkeit, und auch da nur für solche automatisierten Verarbeitungen, die sich nicht auf Einwilligung nach Art. 22 Abs. 2 lit. c) oder auf Art. 22 Abs. 2 lit. a) DS‑GVO stützen (Erforderlich für die Erfüllung eines Vertrags). Damit die Regelung Sinn ergibt, muss sie eben weitergehend als Art. 15 Abs. 1 lit. h) DS‑GVO verstanden werden. Mit anderen Worten: Ist § 37a Abs. 4 BDSG-E erfüllt, dann ist auch Art. 15 Abs.  1 lit. h) DS‑GVO erfüllt, aber Art.  15 Abs.  1 lit. h) DS‑GVO muss einige Pegelstiche hinter § 37a Abs. 4 BDSG-E zurückbleiben, soll die Regelung eine eigenständige Bedeutung haben.

5. Keine Betriebs- und Geschäftsgeheimnisse^[34]

Bereits aus ErwG 63 S. 5 DS‑GVO ergibt sich, dass Geschäftsgeheimnisse^[35]durch den Auskunftsanspruch nicht beeinträchtigt werden dürfen. Dieses Schutzanliegen wird – sofern der Auskunftsanspruch nicht schon durch eine Analogie zu Art. 15 Abs. 4 DS‑GVO zu begrenzen ist^[36] – wirksam in Art. 23 Abs. 1 lit. i) DS‑GVO i.V.m. § 29 Abs. 1 S. 2 BDSG konkretisiert. Der Schutz ist allerdings nicht absolut, das Bestehen und die Reichweite des Auskunftsverweigerungsrechts richten sich nach einer Abwägung der gegenüberstehenden Rechte im Einzelfall.^[37] Je stärker die Marktstellung des Verantwortlichen durch die Information bestimmt, je konkreter die Information im Einzelfall, je weniger sie notwendig ist, um eine Plausibilitätskontrolle zu gewährleisten desto weitreichender ist der Schutz des Geschäftsgeheimnisses. Dies gilt umso mehr, als die Auskunftei ja ihrerseits einer Aufsicht unterliegt, die die Aussagekräftigkeit der Scoreformel und ihres Algorithmus überwacht – weitaus effektiver als der einzelne Verbraucher das könnte. Folglich muss der für das Bonitätsscoring Verantwortliche jedenfalls nicht die konkrete Scoreformel, d.h. den hinter der Bewertung stehenden Algorithmus mitteilen.^[38] Aber auch die um die konkrete Scoreformel liegende Penumbra ist vor Auskunftsbegehren geschützt. Wenn die Mitteilung der in diesem Bereich liegenden Umstände mittelbar dazu führt, dass die konkrete Berechnung offengelegt würde, darf die Auskunft verweigert werden.^[39]Wer über genügend Mosaiksteine des Berechnungsverfahrens verfügt, kann es rekonstruieren, ohne dafür den eigentlichen Algorithmus zu kennen. Der Geheimnisschutz kann daher nicht erst bei der konkreten Scoreformel ansetzen.^[40] Der Verantwortliche muss allerdings im Hinblick auf jede konkret verweigerte Auskunft darlegen, dass die Auskunftserteilung nicht möglich ist, ohne dass Geschäftsgeheimnisse offenbart werden, und dass das Interesse am Schutz dieser Geheimnisse das Interesse an der Auskunft überwiegt.^[41] Namentlich muss er die potenziell geheimhaltungsbedürftigen Informationen im Falle eines Streits der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht mitteilen, damit die entscheidende Stelle eine Interessenabwägung vornehmen kann.^[42]Ein pauschaler Verweis auf schützenswerte Geschäftsgeheimnisse ist unzureichend. Ein Freibrief zur Auskunftsverweigerung ist der Schutz von Geschäftsgeheimnissen daher nicht.

6. Konkrete Fragen und ihre Folgen

Doch was bedeutet das alles nun konkret für die Reichweite der Informationspflicht? Wo muss der Verantwortliche konkret werden – wo darf er abstrakt bleiben? Insgesamt zeigt sich, dass die von dem BGH in seinem Urteil vom 28.1.2014^[43]für § 34 BDSG a.F. entwickelten Grundsätze unter der Geltung der autonom unionsrechtlich auszulegenden DS‑GVO auch unter Beachtung der Rechtsprechung des EuGH beibehalten werden kann.

a) Informationen über die für die Erstellung des Scores genutzten Daten

Streng wird man bei den Informationen sein müssen, die für die Erstellung des Scores genutzt werden: Der Kredit, der Zahlungsverzug, die Kreditanfrage, der Kreditkartenvertrag. All das muss überprüfbar sein. Schon aus Art. 15 Abs. 1 Hs. 1 DS‑GVO folgt, dass der Betroffene ein Recht auf Auskunft über die ihn betreffenden und vom Verantwortlichen verarbeiteten Daten hat. Der Verantwortliche muss hier konkret werden und u.a. die verarbeiteten Positiv-, Negativ- und Stammdaten mitteilen. Aus Art. 15 Abs. 1 lit. h) DS‑GVO folgt, dass der Verantwortliche dabei deutlich machen muss, welche dieser Daten für die jeweiligen Scores auch tatsächlich verwendet wurden, da die Plausibilität des Ergebnisses ansonsten kaum überprüft und das Recht auf Darlegung des eigenen Standpunkts aus Art. 22 Abs. 3 DS‑GVO – etwa durch das Vorbringen eines atypischen Sachverhalts – nicht wirksam ausgeübt werden kann.^[44]Wurden Daten in der Vergangenheit gelöscht und werden daher nicht mehr verarbeitet, müssen sie nicht mitgeteilt werden. Das gilt auch dann, wenn der Verantwortliche noch verpflichtet ist, dem Betroffenen einen Score mitzuteilen, den er Dritten mitgeteilt hat, der aber auf Daten beruht, die inzwischen gelöscht wurden. Denn Art. 15 Abs. 1 lit. c) DS‑GVO verpflichtet den Verantwortlichen, die Empfänger oder Empfängerkategorien mitzuteilen, an die personenbezogene Daten – eben auch ein Score – übermittelt wurden, unabhängig davon, ob die dem Score zugrunde liegenden Daten noch gespeichert sind. Der Betroffene erfährt damit zwar, was gemeldet wurde und an wen, nicht aber mehr, auf welcher Grundlage. Die Auskunftspflicht kann nicht weiterreichen als die Speicherung der Daten. Datenspeicherung nur zum Zwecke der Beauskunftung wird zurecht nicht verlangt.^[45] Andernfalls wäre der Verantwortliche im Widerspruch zum Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. d) DS‑GVO und dem Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e) DS‑GVO gezwungen, die Daten länger als für seine eigentliche Tätigkeit notwendig zu speichern.

b) Informationen zur Gewichtung von Kategorien von Kriterien

Weniger konkret muss der Verantwortliche bei der Auskunft über die Gewichtung bestimmter Kriterien bzw. Kategorien von Kriterien sein. Wenn der EuGH feststellt, dass „aussagekräftige Informationen über die involvierte Logik“ insbesondere Informationen darüber sein können, „in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte“ (sog. Counterfactuals), macht er deutlich, dass die verwendeten Daten gerade nicht mit einem bestimmten Wert und dessen Auswirkungen angegeben sein müssen, um Art.  15 Abs. 1 lit. h) DS‑GVO zu genügen.^[46] Counterfactuals genügen der Erläuterung, sind jedoch nicht erforderlich. Es kann ein Weg zur Transparenz sein, ist aber nicht der zwingend gebotene. Der Betroffene soll durch Art. 15 Abs. 1 lit. h) DS‑GVO nicht in die Lage versetzt werden, seinen Score nachrechnen oder gar die Überzeugungskraft des Scores bewerten zu können. Die Plausibilitätskontrolle setzt – und darauf zielt auch die Mitteilung kontrafaktischer Informationen ab – aber voraus, dass der Betroffene ein Verständnis von der groben Funktionsweise des Scorings erlangt, um Fehler seiner Anwendung, aber eben nur innerhalb der Eigengesetzlichkeiten des konkreten Scorings zu entlarven. Dafür reichen abstrakte Informationen über die Gewichtung in Verbindung mit den konkret verwendeten Informationen und eine Erklärung über die allgemeine Funktionsweise des Bonitätsscorings aus.

Das entspricht den Wegmarken des EuGH aus Dun & Bradstreet, die das Auskunftsrecht aus Art.  15 Abs.  1 lit. h) DS‑GVO auf ein „Recht auf Erläuterung des Verfahrens und der Grundsätze“ des Scorings beschränken.^[47] Nur so wird das Recht auf informationelle Selbstbestimmung mit dem Recht auf Geheimnisschutz wirksam in Einklang gebracht. Denn auch die Verpflichtung zur Mitteilung der konkreten Gewichtung der verwendeten Informationen zwänge letztlich zur Offenlegung des hinter dem Scoring stehenden Berechnungsverfahrens.^[48] Eben dies war wesentlicher Grund für die Rechtsprechung des BGH zu § 34 BDSG a.F. Der hier betonte Schutz von Geschäftsgeheimnissen gilt auch heute noch europarechtlich unverändert. Und: „Das gesetzgeberische Ziel eines transparenten Verfahrens wird … dadurch erreicht, dass für den Betroffenen ersichtlich ist, welche konkreten Umstände als Berechnungsgrundlage in die Ermittlung des Wahrscheinlichkeitswerts eingeflossen sind. Insoweit kann er nachfolgend seinen Standpunkt geltend machen, diesbezügliche Fehler aufdecken und individuelle Besonderheiten erklären“.^[49] Die Gewichtung mag ihn nicht überzeugen, aber auf dessen Änderung hat er keinen Anspruch.

Anderes folgt auch nicht daraus, dass die Auskunft über das Verfahren und die Grundsätze nach der Rspr. des EuGH „in präziser, transparenter, verständlicher und leicht zugänglicher Form“^[50] zu erfolgen hat. Der Passus bezieht sich auf die Modalitäten der Erfüllung der Informationspflicht, nicht ihre gegenständliche Reichweite. Der Auskunftspflichtige muss folglich mitteilen, inwiefern sich Informationen negativ auswirken, dabei allerdings nicht den konkreten Einfluss auf den Score angeben. Ob die abstrakten Informationen zur Gewichtung in der Auskunft selbst enthalten sind, oder schon vorgelagert auf einem anderen allgemein zugänglichen Weg – etwa einer Website des Verantwortlichen – bekanntgemacht werden, ist dabei irrelevant. Ein Mix der Medien kann der transparentere Weg sein, als alles in den Ausdruck. Wenn das OLG Dresden also offenlässt, ob eine „grob gewichtete Einstufung“ ausreicht, hätte es das nicht müssen. Wenn das Gericht fordert, eine weitergehende „Gewichtung der Datenarten – insbesondere im Verhältnis untereinander“^[51] fordert, dann fehlt dem die europarechtliche Grundlage.^[52]

c) Informationen zur Aussagekraft des Scores

Demnach sind die verwendeten Daten sowie wohl auch ihre grobe Gewichtung mitzuteilen. Doch was gilt für das Ergebnis, sprich den eigentlichen Score? Jedenfalls das Ergebnis eines durchgeführten Scorings ist als personenbezogene Information nach Art. 14 Abs. 1, 15 Abs. 1 DS‑GVO von der Auskunftspflicht erfasst. Das muss auch im Lichte des Art. 15 Abs. 1 lit. h) DS‑GVO so sein, weil die Kenntnis des Scores zur Kontrolle des Verfahrens notwendig ist. Die Mitteilungspflicht bezieht sich dabei auf alle berechneten Scores, sodass u.U. nach den jeweiligen branchenspezifischen Scores aufgeschlüsselt werden muss. Nicht berechnete Scores müssen hingegen aus mehreren Gründen nicht exklusiv für die Auskunft berechnet werden.^[53] Einerseits würde der Verantwortliche ansonsten durch Art. 15 Abs. 1 lit. h) DS‑GVO zu einer Datenverarbeitung gezwungen werden, was sowohl dem Wortlaut als auch dem Zweck des Art.  15 DS‑GVO – der ja in der maßgeblich in der Ermöglichung einer Überprüfung erfolgter Datenverarbeitungen besteht – fremd wäre. Zudem würde die Datenauskunft durch eine entsprechende Pflicht überladen und dadurch in der Tendenz eher weniger aussagekräftig werden, weil es eine Vielzahl von Scores für unterschiedliche Branchen und spezifische Geschäfte gibt. Die Rechtsprechung des EuGH in Dun & Bradstreet bestätigt dieses Ergebnis: Der Unterschied zwischen einem tatsächlich für den Verkauf an Dritte vorgesehenen Branchenscore und einem durch die Berechnung eines Mittelwerts erstellten Score, der nur zur Information des Betroffenen dient, sei nur dann mitzuteilen, wenn die Datenverarbeitung für den Branchenscore auch tatsächlich durchgeführt werde. Das impliziert, dass ein nicht „durchgeführter“ Branchenscore auch nicht in der Auskunft enthalten sein muss.

Ebenfalls nicht mitteilen muss der Verantwortliche, warum dieselben Informationen zu branchenspezifisch unterschiedlichen Scores führen.^[54] Dies schon oftmals deshalb, weil Informationen darüber wiederum die Erforschung der Funktionsweise des Algorithmus ermöglichen könnten, ohne dass die Information notwendig wäre, um die Plausibilitätskontrolle durchzuführen. Vor allem aber gilt: Jeder einzelne Score ist ein eigenständiges Profil, das im Hinblick auf Art. 15 Abs. 1 lit. h) DS‑GVO eigenständig bewertet werden muss. Solange die Plausibilität jedes einzelnen Profils nachvollzogen werden kann, ist den Anforderungen des Art. 15 Abs. 1 lit. h) DS‑GVO genüge getan. Man mag ggf. erklären müssen, das verschiedene Scores zu verschiedenen Ergebnissen führen können, weil sie verschiedene Gewichtungen vorgeben. Das aber geschieht schon durch die jeweils scorespezifischen Hinweise der Gewichtungen im einzelnen Score, die sich dann eben von Score zu Score unterscheiden. Es gilt damit das zu den Counterfactuals Gesagte entsprechend. Solche Information ist nicht erforderlich, um beurteilen zu können, ob die den Kläger betreffenden Daten des Klägers richtig sind und in zulässiger Weise verarbeitet wurden – das aber ist der entscheidende Maßstab.^[55]

IV. Ein Caveat: Warum der BGH vielleicht doch keine Klärung bringt

Vielleicht kommt es nun aber dennoch nicht zur Klärung. Denn der BGH könnte es sich einfach machen (was freilich zu bedauern wäre). Das OLG Dresden geht davon aus, es sei für den Umfang des Auskunftsrechts unerheblich, ob vom Profiling des Betroffenen eine erhebliche Beeinträchtigung ausgehe, und kommt im konkreten Fall nur daher zum Auskunftsanspruch.^[56] Das ist aber ganz sicherlich falsch, schon deshalb weil im Score allein noch keine vollständig automatisierte Entscheidung liegt, wenn diese nicht maßgeblich die Kreditvergabe beeinflusst. Eben darum ging das ganze SCHUFA-Verfahren.^[57]Das kann man nicht leichtfüßig übergehen. Art. 15 Abs. 1 lit. h) DS‑GVO verlangt nun mal eine Datenverarbeitung nach Art. 22 DS‑GVO, und die liegt nur vor, wenn die automatisierte Entscheidung gegenüber dem Betroffenen rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Der Wortlaut ist eindeutig, und erst recht der Zweck: Wo keine Beeinträchtigung dargelegt ist, und nicht klar ist, erst recht keine, die maßgeblich ist, braucht es die weitergehenden Informationen nicht, die eben an der spezifischen Schutzbedürftigkeit anknüpfen. Das OLG Dresden argumentiert schief, wenn es meint, es sei unerheblich, ob der Kläger ausreichend konkret vorgetragen und bewiesen hat, dass die Beklagte ihn (nur) mit der Übermittlung dieses Bonitätsscores an Dritte einer gem. Art. 22 Abs. 2 bis 4 DS‑GVO i.V.m. nationalen Datenschutzvorschriften unzulässigen automatisierten Entscheidung unterworfen hat. In der Tat: Die Unzulässigkeit muss er nicht darlegen – der Auskunftsausspruch besteht selbstverständlich auch bei zulässigen Verarbeitungen. Daher ist es auch richtig: „Der Umfang des Auskunftsanspruchs aus Art 15 Abs. 1 lit. h) DS‑GVO kann (…) nicht maßgeblich davon abhängen, ob und inwieweit mit der auf einem Profiling beruhenden Bonitätsauskunft der Beklagten jeweils konkret gegen Art 22 Abs. 1 und 4 DS‑GVO nachweislich verstoßen wird.“ Die Schlussfolgerung aber, deshalb auch auf die Darlegung einer Beeinträchtigung zu verzichten, wird durch nichts gestützt außer einem Verweis auf ErwG 63 S. 3. Aber selbst da heißt es für den Auskunftsanspruch jedes Betroffenen nur „sollte“, nicht „soll“ und erst recht nicht „muss“.^[58] Ein Gegenschluss ist geboten, auch zum europäischen Recht: Art. 18 Abs. 8 der neuen Verbraucherkredit-Richtlinie 2023/2225 regelt „für den Fall, dass die Kreditwürdigkeitsprüfung eine automatisierte Verarbeitung personenbezogener Daten beinhaltet“, ein entsprechendes Auskunftsrecht (lit. a) und dem Art.  22 Abs.  3 DS‑GVO entsprechende Rechte des Verbrauchers. Art.  18 Abs.  8 dieser Richtlinie ist – anders als Art. 22 Abs. 1 DS‑GVO – auch dann einschlägig, wenn die Bonitätsprüfung nicht „ausschließlich“ automatisiert erfolgt; es bedarf auch keiner Beeinträchtigung des Verbrauchers.^[59]

V. Ausblick

Es bleibt also spannend. Einmal mehr gilt: Datenschutzrecht ist Fallrecht. Der Richter ist der wahre Herr der DS‑GVO. Die abstrakten Begriffe sind herunterzubrechen auf den konkreten Fall. Je präziser der Interessenausgleich gelingt, desto besser ist dem Anliegen der DS‑GVO Rechnung getragen: „Diese Verordnung soll zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer Wirtschaftsunion, zum wirtschaftlichen und sozialen Fortschritt, zur Stärkung und zum Zusammenwachsen der Volkswirtschaften innerhalb des Binnenmarkts sowie zum Wohlergehen natürlicher Personen beitragen.“ (ErwG 2). Bislang ist dem BGH dies gut gelungen. Nichts spricht dafür, dass es diesmal anders sein wird. Warten wir ab, ob der BGH der herrschenden Meinung folgt.

_{[1] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471.}

_{[2] Anhängig I ZR 226/25. Verfasser hat für die verfahrensbeteiligte Auskunftei gegutachtet.}

_{[3] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 50, 58.}

_{[4] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 53, 55.}

_{[5] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 59.}

_{[6] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 61.}

_{[7] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 62.}

_{[8] Anträge des Generalanwalts v. 14.9.2024 – C–203/22 – Dun & Bradstreet Austria, Rn. 47.}

_{[9] Anträge des Generalanwalts v. 14.9.2024 – C–203/22 – Dun & Bradstreet Austria, Rn 71.}

_{[10] OLG Stuttgart, Beschl. v. 3.2.2026 – 9 U 148/25; OLG Stuttgart, Beschl. v. 18.3.2025 – 9 U 20/25; ebenso OLG Koblenz, Urt. v. 12.2.2026 – 2 U 300/25; Brandenburgisches OLG, Beschl. v. 7.7.2025 – 1 U 68/24.}

_{[11] OLG Dresden, Urt. v. 7.10.2025 – 4 U 884/24; OLG Dresden , Urt. v. 7.10.2025 – 4 U 1492/24, GRUR-RS 2025, 29332; gleichsinnig VG Wiesbaden, Urt. v. 19.11.2025 – 6 K 788/20.WI, ZD 2026, 232.}

_{[12] Ausführlich insb. Custers/Heijne, The right of access in automated decisionmaking:The scope of article 15(1)(h) GDPR in theory and Practice, Computer Law & Security Review, Volume 46, September 2022, 105727: „Unfortunately, the whole debate leaves unanswered the types of information that actually constitute ‘meaningful information’. The word meaningful is polysemous, it means both ‘intended to show the meaning’ (i.e., understandable) and ‘serious, important, useful’ (i.e., significant). It is unclear which meaning the legislator had in mind, or even, perhaps, both.” S. auch Selbst, A.D., Powles, J., ‘Meaningful information and the right to explanation, International Data Privacy Law 2018, Vol. 7, No. 4, S. 233–242; Goodman/Flaxman, ‘European Union Regulations on Algorithmic Decision-Making and a “Right to Explanation”’ (2016) ICML Workshop on Human Interpretability in Machine Learning 26, arXiv:1606.08813; Wachter/Mittelstadt/Floridi, ‘Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation’ (2017) 7 IDPL 76. Im deutschen Schrifttum insb. hervorzuheben Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 341 ff.; s. auch Kühling/Buchner/Bäcker, DS‑GVO, 4. Aufl. 2024, Art. 15 Rn. 27a.}

_{[13] Zu den Auslegungsmethoden des EuGH lesenswert Anweiler, Die Auslegungsmethoden des Gerichtshofs der Europäischen Gemeinschaften, 1997, S. 145 ff.}

_{[14] Vgl. EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 40.}

_{[15] Vgl. EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 41}

_{[16] Vgl. Selbst/Powles, IDPL 2017, Vol. 7, No. 4, 233, 236.}

_{[17] EuGH, Urt. v. 12.1.2023 – C-154/21 – Österreichische Post AG, NJW 2023, 973 Rn. 37.}

_{[18] Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 61.}

_{[19] EuGH, Urt. v. 12.1.2023 – C-154/21 – Österreichische Post AG, NJW 2023, 973 Rn. 55}

_{[20] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 61.}

_{[21] VG Wiesbaden, Urt. v. 19.11.2025 – 6 K 788/20.WI, ZD 2026, 232 Rn. 164; OLG Dresden, Urt. v. 7.10.2025 – 4 U 884/24, GRUR-RS 2025, 29303 Rn. 27.}

_{[22] Callewaert/Hessel, BKR 2026, 412, 413.}

_{[23] Das ist, wie vom Heiligen Vater Leo XIV. in der Enzyklika Magnifica Humanitas über die Bewahrung des Menschen im Zeitalter der Künstlichen Intelligenz jüngst aufgezeigt wurde, zentral: “Konkret bedeutet die Ausrichtung der Wirtschaft auf die Menschenwürde die Übernahme bestimmter Handlungskriterien, die auch im Zeitalter von KI beständig sind. An erster Stelle stehen Transparenz und Zurechenbarkeit: Wenn Daten und Algorithmen die Kreditvergabe,(…) beeinflussen, ist es notwendig, dass Entscheidungen nachvollziehbar und anfechtbar sind und einer Kontrolle unterzogen werden, damit der Mensch nicht auf ein Profil reduziert wird.}

_{[24] OLG München, Hinweisbeschl. v. 14.7.2025 – 5 U 3606/24 e, GRUR-RS 2025, 30054 Rn. 37}

_{[25] LG Bayreuth, Urt. v. 29.4.2025 – 31 O 593/24, ZD 2025, 651 Rn. 49.}

_{[26] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 45.}

_{[27] Art.-29-Datenschutzgruppe, Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, 2018, S. 30 (Hervorhebung durch die Verf., abrufbar unter https://ec.europa.eu/newsroom/article29/items/612053).}

_{[28] Vgl. auch van Drunen/Helberger/Bastian, IDPL 2019, Vol. 9, No. 4, 220, 223: “Nevertheless, the A29WP asserts that while article 15 allows a user to become aware of a decision, it does not entitle him to an explanation of the factors that underlie that particular decision.”}

_{[29] Art.-29-Datenschutzgruppe, Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, 2018, S. 28 (Hervorhebung durch die Verf., abrufbar unter https://ec.europa.eu/newsroom/article29/items/612053).}

_{[30] Vgl. Ehmann/Selmayr/Heckmann/Paschke, 3. Aufl. 2024, DS‑GVO Art. 12 Rn. 12}

_{[31] Vgl. EDPB, Leitlinien 01/2022 zu den Rechten der betroffenen Person – Auskunftsrecht, Version 2.0 2023, Rn. 121 Fn. 74}

_{[32] EDPB, Leitlinien 01/2022 zu den Rechten der betroffenen Person – Auskunftsrecht, Version 2.0 2023, Rn. 121 (Hervorhebung durch die Verf., abrufbar unter https://www.edpb.europa.eu/system/files/2024-04/edpb_guidelines_202201_data_subject_rights_access_v2_de.pdf).}

_{[33] Entwurf eines Ersten Gesetzes zur Änderung des Bundesdatenschutzgesetzes BT-Drucks. 20/10859, S. 11. S. hierzu auch die Erläuterung, S. 24: „Der Verantwortliche sollte u.a. eine zielgruppenspezifische Sprache wählen (z.B. bei Zielgruppen, bei denen kognitive Einschränkungen zu erwarten sind). Um die Aussagekraft des Wahrscheinlichkeitswerts in verständlicher Form mitzuteilen, kommt die Angabe eines Gini-Koeffizienten in Betracht. Zur Erläuterung der Aussagekraft sollte der Wahrscheinlichkeitswert zudem ins Verhältnis zu Vergleichswerten anderer Teile der Bevölkerung gesetzt werden. So tragen diese Transparenzmaßahmen dazu bei, dass für die betroffene Person die besonderen Auswirkungen und die Tragweite der Wahrscheinlichkeitswerte leichter verständlich und überschaubarer und so ihre Rechte, Freiheiten und berechtigten Interessen gewahrt werden.“}

_{[34] Hierzu auch Klar/Oelke, NJW 2026, 1249.}

_{[35] Zur Begriffsbestimmung ist auf Art. 2 Nr. 1 RL (EU) 2016/943 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung zurückzugreifen}

_{[36] Darstellung des Streitstands bei Grosser, RDi 2025, 325, 328.}

_{[37] Vgl. EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 70, 72; Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 441.}

_{[38] VG Wiesbaden, Urt. v. 19.11.2025 – 6 K 788/20.WI, ZD 2026, 232 Rn. 164.}

_{[39] Vgl. OLG Stuttgart, Hinweisbeschl. v. 3.2.2026 – 9 U 148/25, GRUR-RS 2026, 1295 Rn. 25; OLG München, Hinweisbeschl. v. 14.7.2025 – 5 U 3606/24 e, GRUR-RS 2025, 30054 Rn. 37.}

_{[40] Dubovitskaya, ZIP 2025, 2031, 2036 weist auf die Gefahr eines Reverse Engineerings zur Ermittlung des Algorithmus hin.}

_{[41] Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 443.}

_{[42] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 74.}

_{[43] BGH, Urt. v. 28.1.2014 – VI ZR 156/13, NVwZ 2014, 747.}

_{[44] Vgl. dazu schon die Rspr. des EuGH vor Geltung der DS‑GVO, BGH, Urt. v. 28.1.2014 – VI ZR 156/13, NJW 2014, 1235 Rn. 20.}

_{[45] Ausführlich Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 329 f.}

_{[46] Hierzu auch Langenbucher/Bauer, NYU School of Law Blog Sec. Compliance & Enforcement, 18.3.2025, abrufbar unter: https://wp.nyu.edu/compliance_enforcement/2025/03/18/explaining-credit-scores-the-ecj-rules-on-automated-credit-assessments/. Zustimmend Grosser, RDI 2025, 325.}

_{[47] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 58.}

_{[48] OLG Stuttgart, Hinweisbeschl. v. 3.2.2026 – 9 U 148/25, GRUR-RS 2026, 1295 Rn. 25: „Denn die Mitteilung der Gewichtung der konkret verwendeten Kriterien zueinander stellt letztlich nichts anderes als die – nicht geschuldete – Offenlegung der dem Scorewert zugrunde liegenden Rechenformel dar“; LG Bamberg, Urt. v. 26.3.2025 – 41 O 749/24 KOIN, GRUR-RS 2025, 7269 Rn. 41.}

_{[49] BGH, Urt. v. 28.1.2014 – VI ZR 156/13, NVwZ 2014, 747, 750}

_{[50] EuGH, Urt. v. 27.2.2025 – C–203/22 – Dun & Bradstreet Austria, NJW 2025, 1471 Rn. 58.}

_{[51] OLG Dresden, Urt. v. 7.10.2025 – 4 U 884/24, GRUR-RS 2025, 29303}

_{[52] Gegen die Erforderlichkeit irgendeiner Mitteilung der Gewichtung OLG Stuttgart, Hinweisbeschl. v. 3.2.2026 – 9 U 148/25, GRUR-RS 2026, 1295.}

_{[53] A.A. BeckOK DatenschutzR/Schmidt-Wudy, 55. Ed. 1.2.2026, DS‑GVO Art.  15 Rn. 78.3.}

_{[54] A.A. Wiederum OLG Dresden, Urt. v. 7.10.2025 – 4 U 884/24, GRUR-RS 2025, 29303.}

_{[55] OLG Stuttgart, Hinweisbeschl. v. 3.2.2026 – 9 U 148/25, GRUR-RS 2026, 1295 unter Hinweis auf EuGH, Urt. v. 27.2.2025 – C-203/22 – Dun & Bradstreet Austria, NJW 2025, 1471, Rn. 53, 61.}

_{[56] OLG Dresden, Urt. v. 7.10.2025 – 4 U 884/24, GRUR-RS 2025, 29303.}

_{[57] EuGH, Urt. v. 7.12.2023 – C-634/21 – Schufa, NJW 2024, 413.}

_{[58] Dennoch ebenso wie das OLG Dresden, Wiedemann, EuZW 2025, 442, 447, auf den sich das OLG beruft, der freilich selber darlegt, dass er über den EuGH hinausgeht.}

_{[59] S. ebenso Maier, VuR 2025, 403, 409}