Automatisierte Bonitätsscores: OLG Brandenburg zur DSGVO

Ob ein Kredit gewährt, ein Ratenkauf ermöglicht oder ein Vertrag abgeschlossen wird, hängt in der Praxis häufig auch von der eingeschätzten Zahlungsfähigkeit des Kunden ab. Wirtschaftsauskunfteien liefern Unternehmen hierfür sogenannte Scorewerte. Diese werden auf Grundlage gespeicherter personenbezogener Daten mithilfe statistischer Verfahren berechnet und sollen eine Prognose über das künftige Zahlungsverhalten ermöglichen.

Datenschutzrechtlich stellt sich dabei eine entscheidende Frage: Wann sind automatisierte Bonitätsscores lediglich eine rechnerisch ermittelte Bewertung und wann werden sie zu einer automatisierten Entscheidung, für die die besonderen Anforderungen des Art. 22 DSGVO gelten?

Mit dieser Abgrenzung musste sich das OLG Brandenburg in seinem Urteil vom 16. Juli 2026 (Az. 10 U 43/26) auseinandersetzen. Anlass war die Klage eines Verbrauchers gegen eine Wirtschaftsauskunftei. Er wandte sich gegen die automatisierte Berechnung und Weitergabe seiner Scorewerte und machte daneben unter anderem Auskunfts-, Unterlassungs- und Schadensersatzansprüche geltend.

Das OLG Brandenburg bestätigte jedoch die Abweisung seiner Klage. Nach Auffassung des Gerichts stellt die rein automatisierte Berechnung eines Bonitätsscores für sich genommen noch keine automatisierte Entscheidung nach Art. 22 Abs. 1 DSGVO dar. Entscheidend ist vielmehr, welchen Einfluss der Score tatsächlich auf eine konkrete Entscheidung über die betroffene Person hat.

Verbraucher geht gegen automatisierte Bonitätsscores vor

Im Mittelpunkt des Rechtsstreits stand eine Wirtschaftsauskunftei, die personenbezogene Informationen speichert und daraus mithilfe mathematisch-statistischer Verfahren Scorewerte ermittelt. Hierfür werden bestimmte Merkmale einer Person mit anonymisierten Vergleichsgruppen und bisherigen Zahlungserfahrungen abgeglichen. Das Ergebnis soll eine Einschätzung ermöglichen, mit welcher Wahrscheinlichkeit die betroffene Person ihren künftigen Zahlungsverpflichtungen nachkommen wird.

Welche Forderungen stellte der Kläger?

Der betroffene Verbraucher hielt die Verarbeitung seiner Daten und die daraus resultierenden automatisierten Bonitätsscores für unzulässig. Seiner Ansicht nach lag eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO vor.

Seine Klage beschränkte sich deshalb nicht auf die Scoreberechnung. Er verlangte unter anderem,

• dass seine Scores nicht mehr ausschließlich automatisiert erstellt und übermittelt werden,
• Schadensersatz in Höhe von mindestens 5.000 Euro,
• weitergehende Informationen über die Berechnungsmethode und die dabei eingesetzten Parameter sowie
• die Unterlassung der Verwendung bestimmter personenbezogener Merkmale für das Scoring.

Vom LG Cottbus zum OLG Brandenburg

In erster Instanz blieb der Verbraucher mit seinen Forderungen erfolglos. Das LG Cottbus wies die Klage ab, weil insbesondere nicht ausreichend nachgewiesen werden konnte, dass ein berechneter Score ohne weitere Prüfung maßgeblichen Einfluss auf einen Vertragsschluss oder eine Kreditentscheidung gehabt hatte.

Damit wollte sich der Kläger nicht abfinden und legte Berufung ein. Das OLG Brandenburg musste daher insbesondere klären, ob bereits die automatisierte Ermittlung und Übermittlung eines Bonitätsscores unter das Verbot automatisierter Entscheidungen nach Art. 22 Abs. 1 DSGVO fallen kann.

OLG Brandenburg: Automatisierte Bonitätsscores nicht generell unzulässig

Auch die Berufung brachte für den Kläger keinen Erfolg. Das OLG Brandenburg bestätigte die Entscheidung des LG Cottbus und sah in der konkreten Ausgestaltung des Scorings keinen Verstoß gegen die DSGVO. Insbesondere besteht nach Auffassung des Gerichts kein genereller Anspruch darauf, dass die Berechnung eines Bonitätsscores durch einen Menschen vorgenommen oder zumindest von einer Person begleitet wird.

Für die datenschutzrechtliche Beurteilung kommt es vielmehr auf mehrere Umstände des jeweiligen Einzelfalls an. Das OLG hielt zunächst eine Verarbeitung personenbezogener Daten auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO für möglich. Gleichzeitig stellte es klar, dass automatisierte Bonitätsscores nicht allein aufgrund ihrer automatisierten Berechnung als Entscheidungen im Sinne des Art. 22 Abs. 1 DSGVO einzustufen sind.

Besonders wichtig war dabei die tatsächliche Verwendung des ermittelten Werts. Der Kläger konnte nach Ansicht des Gerichts nicht hinreichend belegen, dass ein Unternehmen eine ihn betreffende Entscheidung maßgeblich von seinem Score abhängig gemacht hatte.

Kein Freibrief für automatisierte Scoring-Verfahren

Aus dem Urteil lässt sich deshalb nicht ableiten, dass jede Form des automatisierten Scorings datenschutzrechtlich zulässig wäre. Entscheidend bleibt, welche personenbezogenen Daten verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und welchen Einfluss der Score anschließend auf Entscheidungen über die betroffene Person hat.

Die theoretische Möglichkeit, dass ein Vertragspartner seine Entscheidung allein oder maßgeblich an einem Bonitätsscore ausrichten könnte, genügte dem OLG Brandenburg im konkreten Verfahren nicht. Erforderlich war vielmehr ein Bezug zu einer tatsächlich getroffenen Entscheidung.

Berechtigte Interessen als Rechtsgrundlage für das Bonitätsscoring

Neben Art. 22 DSGVO spielte im Verfahren eine weitere zentrale Frage eine Rolle: Auf welche Rechtsgrundlage darf eine Wirtschaftsauskunftei die personenbezogenen Daten für automatisierte Bonitätsscores überhaupt verarbeiten? Das OLG Brandenburg hielt im konkreten Fall Art. 6 Abs. 1 lit. f DSGVO für eine mögliche und ausreichende Grundlage.

Eine Datenverarbeitung auf dieser Grundlage setzt voraus, dass ein berechtigtes Interesse verfolgt wird, die Verarbeitung zur Wahrung dieses Interesses erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Nach Auffassung des Gerichts waren diese Voraussetzungen hier erfüllt. Auch bei der SCHUFA Löschfrist nach Begleichung der Forderung spielt diese Interessenabwägung eine zentrale Rolle.

Als berechtigte Interessen berücksichtigte das OLG insbesondere:

• das wirtschaftliche Interesse der Auskunftei an ihrem Geschäftsmodell,
• das Interesse ihrer Vertragspartner an einer verlässlichen Einschätzung der Kreditwürdigkeit und
• den Schutz vor wirtschaftlichen Risiken bei kreditrelevanten Geschäften.

Für die Bewertung spielte außerdem eine Rolle, dass Kreditinstitute und andere Darlehensgeber bei bestimmten Verbraucherdarlehensverträgen gesetzlich zur Prüfung der Kreditwürdigkeit verpflichtet sein können. Das Gericht betrachtete die Verarbeitung der hierfür erforderlichen Daten daher grundsätzlich als erforderlich.

Auch die anschließende Interessenabwägung fiel im konkreten Verfahren zugunsten der Auskunftei aus. Der Kläger konnte insbesondere nicht hinreichend belegen, dass für seine Scoreberechnung besonders geschützte Daten im Sinne des Art. 9 DSGVO herangezogen oder personenbezogene Informationen in diskriminierender Weise berücksichtigt worden waren.

Wann fallen automatisierte Bonitätsscores unter Art. 22 DSGVO?

Dass ein Score vollständig ohne menschliches Eingreifen berechnet wird, bedeutet noch nicht automatisch, dass Art. 22 Abs. 1 DSGVO eingreift. Genau diese Abgrenzung war ein wesentlicher Punkt der Entscheidung des OLG Brandenburg.

Art. 22 Abs. 1 DSGVO schützt Betroffene grundsätzlich davor, einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, wenn diese ihnen gegenüber rechtliche Wirkung entfaltet oder sie in vergleichbarer Weise erheblich beeinträchtigt. Für die Anwendung der Vorschrift kommt es daher nicht nur darauf an, wie der Bonitätsscore zustande kommt. Ebenso wichtig ist, was anschließend mit diesem Wert geschieht.

Ein automatisiert berechneter Score kann beispielsweise dann relevant werden, wenn ein Unternehmen ihn bei der Entscheidung über einen Kredit oder einen Vertragsschluss heranzieht und der Wert hierfür tatsächlich maßgebliche Bedeutung erhält.

Im konkreten Verfahren fehlte nach Auffassung des OLG Brandenburg jedoch gerade ein ausreichender Nachweis für eine solche Wirkung. Der Kläger hatte zwar auf abgelehnte Verträge verwiesen. Daraus ließ sich nach Ansicht des Gerichts aber nicht konkret ableiten, dass die jeweiligen Entscheidungen maßgeblich auf seinen Scorewerten beruhten.

Gegen eine solche Annahme sprach zudem ein Umstand des konkreten Falls: Trotz einer mitgeteilten Einstufung als „sehr hohes Risiko“ waren dem Kläger Kreditrahmen eingeräumt worden. Dies verdeutlichte, dass ein Bonitätsscore nicht zwangsläufig die endgültige Entscheidung eines Unternehmens bestimmt.

Für Art. 22 DSGVO ist somit die tatsächliche Entscheidungssituation entscheidend. Die bloße Möglichkeit, dass automatisierte Bonitätsscores später erheblichen Einfluss auf einen Vertragsschluss oder eine Kreditvergabe haben könnten, genügte dem OLG Brandenburg nicht.

Welche Informationen müssen Auskunfteien über Bonitätsscores offenlegen?

Wer von einem Scoring-Verfahren betroffen ist, kann grundsätzlich Auskunft darüber verlangen, welche personenbezogenen Daten verarbeitet werden. Im Verfahren vor dem OLG Brandenburg wollte der Kläger allerdings noch weiter gehen: Er verlangte detaillierte Informationen dazu, wie seine automatisierten Bonitätsscores konkret zustande gekommen waren.

Art. 15 DSGVO kann bei automatisierten Verfahren auch Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der Verarbeitung erfassen. Daraus folgt jedoch nicht, dass eine Wirtschaftsauskunftei sämtliche technischen Einzelheiten ihres Scoring-Verfahrens offenlegen muss.

Betroffene können insbesondere Informationen darüber erhalten,

• welche Kategorien personenbezogener Daten gespeichert sind,
• welche ihrer konkreten Daten in die Berechnung des Scores eingeflossen sind und
• nach welchen grundlegenden Prinzipien das eingesetzte Scoring- und Profilingverfahren funktioniert.

Ziel dieser Transparenz ist es, den Betroffenen eine Überprüfung der Datenverarbeitung zu ermöglichen. Sie sollen beispielsweise erkennen können, ob unzutreffende personenbezogene Informationen gespeichert oder bei der Bewertung berücksichtigt wurden.

Eine vollständige Offenlegung des verwendeten Algorithmus lässt sich daraus nach Auffassung des OLG Brandenburg jedoch nicht ableiten. Dem können insbesondere Geschäfts- und Betriebsgeheimnisse sowie Rechte des geistigen Eigentums entgegenstehen. Im konkreten Fall überwog für das Gericht das Geheimhaltungsinteresse der Auskunftei den zusätzlichen Informationsgewinn, den der Kläger durch eine Offenlegung des Algorithmus erhalten hätte.

Da ihm bereits Informationen über die gespeicherten Daten und die grundsätzliche Funktionsweise des Scoring-Verfahrens zur Verfügung gestellt worden waren, betrachtete das OLG den Auskunftsanspruch als erfüllt.

Wann gibt es Schadensersatz wegen eines Bonitätsscores?

Neben Unterlassung und Auskunft verlangte der Kläger mindestens 5.000 Euro Schadensersatz. Auch mit diesem Anspruch nach Art. 82 Abs. 1 DSGVO konnte er sich vor dem OLG Brandenburg nicht durchsetzen.

Für das Scheitern des Schadensersatzanspruchs waren im konkreten Fall zwei Aspekte entscheidend. Zum einen stellte das Gericht bereits keinen Verstoß gegen die DSGVO fest. Zum anderen gelang es dem Kläger nach Auffassung des OLG nicht, einen ersatzfähigen materiellen oder immateriellen Schaden hinreichend darzulegen und nachzuweisen.

Dabei genügt es nicht, lediglich auf denkbare Nachteile hinzuweisen, die durch automatisierte Bonitätsscores entstehen könnten. Auch ein hypothetisches Risiko, dass personenbezogene Daten möglicherweise zu einem späteren Zeitpunkt nachteilig verwendet werden, begründet nicht ohne Weiteres einen Schadensersatzanspruch.

Der Kläger führte unter anderem an, dass er sich durch das Vorgehen der Auskunftei gedemütigt und in seinem Selbstwertgefühl beeinträchtigt fühle. Diese Angaben waren dem Gericht jedoch zu pauschal und nicht ausreichend nachvollziehbar.

Auch eine behauptete Benachteiligung aufgrund bestimmter personenbezogener Merkmale ließ sich im Verfahren nicht hinreichend belegen. Insbesondere ergab sich aus der vorgelegten Auskunft nach den Feststellungen des OLG gerade nicht, dass Anschriftendaten in die Berechnung der betreffenden Scores eingeflossen waren.

Im Ergebnis fehlten damit beide Voraussetzungen, auf die der Kläger seinen Anspruch stützen wollte: ein festgestellter Datenschutzverstoß und der hinreichende Nachweis eines konkreten Schadens.

Was bedeutet das Urteil zu automatisierten Bonitätsscores für die Praxis?

Die Entscheidung des OLG Brandenburg zeigt, dass die datenschutzrechtliche Bewertung von Bonitätsscores nicht allein davon abhängt, ob ihre Berechnung automatisiert erfolgt. Mindestens ebenso relevant sind die Rechtsgrundlage der Datenverarbeitung und die konkrete Verwendung des ermittelten Scores. Daraus ergeben sich unterschiedliche Konsequenzen für Auskunfteien, Unternehmen und betroffene Verbraucher. Auch erledigte Forderungen können sich weiterhin auf die Bonitätsbewertung auswirken. Wann solche Daten gelöscht werden müssen, erläutern wir in unserem Beitrag zur SCHUFA Löschfrist nach Begleichung der Forderung.

Für Auskunfteien und Unternehmen

Auskunfteien können die Verarbeitung personenbezogener Daten grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO stützen, wenn im konkreten Fall ein berechtigtes Interesse besteht, die Verarbeitung erforderlich ist und die Interessen der betroffenen Person nicht überwiegen.

Unternehmen, die solche Scorewerte erhalten, sollten zugleich darauf achten, welche Bedeutung sie ihnen bei ihren Entscheidungen beimessen. Wird ein Score ohne weitere Prüfung zur maßgeblichen Grundlage einer Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung, kann die Bewertung nach Art. 22 DSGVO anders ausfallen.

Für betroffene Verbraucher

Wer geltend machen möchte, durch automatisierte Bonitätsscores unzulässig benachteiligt worden zu sein, muss die konkrete Verwendung des Scores in den Blick nehmen. Nach der Argumentation des OLG genügt der allgemeine Hinweis auf eine Kreditablehnung oder einen nicht zustande gekommenen Vertrag nicht ohne Weiteres. Relevant ist vielmehr, ob der Score für die jeweilige Entscheidung tatsächlich maßgeblich war.

Gleichzeitig stehen Betroffenen Auskunftsrechte zu. Sie können Informationen über die verwendeten personenbezogenen Daten und die grundlegende Funktionsweise des Scorings verlangen. Daraus folgt allerdings nicht automatisch ein Anspruch auf Offenlegung des vollständigen Berechnungsalgorithmus.

Das Urteil bedeutet daher keine pauschale Freigabe automatisierter Scoring-Verfahren. Ob die Verarbeitung zulässig ist und Art. 22 DSGVO eingreift, muss weiterhin anhand der konkreten Umstände des Einzelfalls beurteilt werden.

Fazit: Automatisierte Bonitätsscores sind nicht generell unzulässig

Mit seinem Urteil vom 16. Juli 2026 (Az. 10 U 43/26) zieht das OLG Brandenburg eine wichtige Grenze: Allein die Tatsache, dass automatisierte Bonitätsscores ohne menschliches Eingreifen berechnet werden, führt noch nicht zu einem Verstoß gegen die DSGVO. Für die rechtliche Beurteilung müssen vielmehr die einzelnen Verarbeitungsschritte und die spätere Verwendung des Scorewerts betrachtet werden.

Besonders relevant ist dabei Art. 22 Abs. 1 DSGVO. Die Vorschrift greift nach der Entscheidung nicht schon deshalb ein, weil ein Score automatisiert zustande kommt. Entscheidend ist, ob eine konkrete Entscheidung über den Betroffenen maßgeblich durch diesen Wert bestimmt wird und für ihn rechtliche oder ähnlich erhebliche Auswirkungen entstehen. Eine lediglich theoretische Möglichkeit einer solchen Verwendung reicht dafür nicht aus.

Auch die zugrunde liegende Datenverarbeitung kann zulässig sein. Art. 6 Abs. 1 lit. f DSGVO kommt hierfür als Rechtsgrundlage in Betracht, wenn berechtigte Interessen bestehen, die Verarbeitung erforderlich ist und die Interessenabwägung nicht zugunsten des Betroffenen ausfällt.

Zugleich bleiben Auskunfteien zur Transparenz verpflichtet. Betroffene können insbesondere Auskunft darüber verlangen, welche personenbezogenen Daten verwendet werden und wie das Scoring grundsätzlich funktioniert. Einen uneingeschränkten Anspruch auf Offenlegung des vollständigen Algorithmus begründet die DSGVO nach der Entscheidung des OLG Brandenburg dagegen nicht.

Damit macht das Urteil vor allem eines deutlich: Automatisierte Bonitätsscores müssen datenschutzrechtlich stets im konkreten Zusammenhang bewertet werden. Weder ihre automatisierte Berechnung noch ihre Verwendung ist pauschal unzulässig. Entscheidend sind Rechtsgrundlage, Funktionsweise und tatsächlicher Einfluss auf die jeweilige Entscheidung.

Fragen zu automatisierten Bonitätsscores und der DSGVO?

Sie sind unsicher, ob automatisierte Bonitätsscores in Ihrem Fall DSGVO-konform verwendet wurden oder ob Ihnen Auskunfts-, Unterlassungs- oder Schadensersatzansprüche zustehen? Unsere erfahrenen Rechtsanwälte unterstützen Sie bei der rechtlichen Prüfung von Bonitätsscores, Auskunftsansprüchen nach Art. 15 DSGVO und möglichen Ansprüchen nach Art. 82 DSGVO. Vereinbaren Sie ein Teams-Meeting oder stellen Sie direkt Ihre Rechtsfrage – wir helfen Ihnen gerne!