Personenbezogene Daten und Auskunfteien – Rechtslage nach DSGVO und BDSG

Was sind Auskunfteien?

Auskunfteien sind privatwirtschaftlich organisierte Unternehmen, die Informationen über die Kreditwürdigkeit, Zahlungsfähigkeit sowie wirtschaftliche Betätigung von Privatpersonen und Unternehmen sammeln. Diese Informationen werden gespeichert und auf Anfrage an andere Unternehmen weitergegeben, die entsprechende wirtschaftliche Risiken bei Geschäftsvorfällen beurteilen möchten. Typische Namen in diesem Kontext sind SCHUFA, Creditreform, CRIF Bürgel und Infoscore.

Auskunfteien agieren dabei nicht im rechtsfreien Raum: Sowohl die Erhebung und Speicherung von Daten als auch deren Weitergabe und Verwendung für das sogenannte Scoring unterliegen strengen datenschutzrechtlichen Anforderungen – die sich in den letzten Jahren durch Rechtsprechung des Europäischen Gerichtshofs (EuGH) erheblich verschärft haben.

Die aktuelle Rechtslage – DSGVO und § 31 BDSG

Mit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 wurde § 28a BDSG-alt aufgehoben. Die Rechtsgrundlage für die Datenübermittlung an Auskunfteien und die Verwendung von Scorewerten ergibt sich seitdem aus:

• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) als primäre Rechtsgrundlage für die Übermittlung bonitätsrelevanter Daten

• § 31 BDSG (Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften) als nationale Ergänzungsregelung

Lesen Sie mehr zu den Unterscheiden zwischen und Gemeinsamkeiten von DSGVO und BDSG.

Was regelt § 31 BDSG?

§ 31 BDSG legt fest, unter welchen Voraussetzungen ein von einer Auskunftei ermittelter Wahrscheinlichkeitswert (Score) zur Beurteilung der Zahlungsfähigkeit verwendet werden darf. Die Verwendung eines solchen Scores ist nur zulässig, wenn:

1. die Vorschriften des Datenschutzrechts eingehalten wurden,

2. die zur Berechnung genutzten Daten unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sind,

3. für die Berechnung nicht ausschließlich Anschriftendaten genutzt wurden und

4. die betroffene Person im Fall der Nutzung von Anschriftendaten vor der Berechnung über die vorgesehene Nutzung unterrichtet wurde; die Unterrichtung ist zu dokumentieren.

Für die Verwendung eines von Auskunfteien ermittelten Wahrscheinlichkeitswerts über die Zahlungsfähig- und Zahlungswilligkeit gelten bei Einbeziehung von Informationen über Forderungen zusätzlich die Anforderungen des § 31 Abs. 2 BDSG. Berücksichtigt werden dürfen nur Forderungen über eine trotz Fälligkeit nicht erbrachte Leistung, die

• durch ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil festgestellt sind oder für die ein Schuldtitel nach § 794 ZPO vorliegt,

• im Insolvenzverfahren nach § 178 InsO festgestellt und nicht bestritten wurden,

• vom Schuldner ausdrücklich anerkannt wurden,

• zweimal schriftlich gemahnt wurden, wobei zwischen der ersten Mahnung und der Verwendung mindestens vier Wochen liegen, der Schuldner rechtzeitig – jedoch frühestens bei der ersten Mahnung – über die bevorstehende Verwendung unterrichtet wurde und die Forderung nicht bestritten hat, oder

• aus einem Vertragsverhältnis resultieren, das wegen Zahlungsverzugs fristlos gekündigt werden kann, und der Schuldner vorab über die bevorstehende Verwendung unterrichtet wurde.

⚠️ Wichtig für Unternehmen: § 31 Abs. 2 BDSG adressiert unmittelbar die Verwendung des Scores. Für die Einmeldung eigener Forderungsdaten an eine Auskunftei ist demgegenüber Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage; die Kriterien des § 31 Abs. 2 BDSG werden in der Praxis als Maßstab der Interessenabwägung herangezogen. Eine fehlerhafte Einmeldung kann Ansprüche nach Art. 82 DSGVO auslösen.

Das EuGH-Urteil zum SCHUFA-Scoring (7. Dezember 2023)

Am 7. Dezember 2023 hat der Europäische Gerichtshof in den Rechtssachen C-634/21, C-26/22 und C-64/22 wegweisende Entscheidungen zur Arbeitsweise von Wirtschaftsauskunfteien getroffen. Die Urteile haben erhebliche Auswirkungen auf Unternehmen, die Bonitätsauskünfte einholen oder Daten an Auskunfteien melden.

Urteil 1: SCHUFA-Scoring als automatisierte Entscheidung (C-634/21)

Der EuGH stellte klar: Die automatisierte Erstellung eines Scorewertes durch eine Auskunftei stellt eine „automatisierte Entscheidung im Einzelfall" im Sinne von Art. 22 Abs. 1 DSGVO dar – sofern von diesem Scorewert maßgeblich abhängt, ob ein Dritter (z. B. ein Kreditinstitut oder Onlineshop) ein Vertragsverhältnis mit der betroffenen Person begründet, durchführt oder beendet.

Was bedeutet das für Unternehmen?

• Unternehmen dürfen Vertragsentscheidungen nicht maßgeblich auf einen automatisiert erstellten Scorewert stützen, ohne der betroffenen Person die Rechte aus Art. 22 DSGVO zu gewähren (Recht auf menschliche Überprüfung, Darlegung des Standpunkts, Anfechtung der Entscheidung).

• § 31 BDSG, der bislang als nationale Sonderregelung für Scoring herangezogen wird, wird von Teilen der Instanzrechtsprechung und der Literatur als unionsrechtswidrig angesehen, da er das Ergebnis einer nach Art. 6 Abs. 1 lit. f DSGVO gebotenen Einzelfallabwägung vorwegnimmt. Eine höchstrichterliche Klärung steht aus; ein Reformvorhaben des Gesetzgebers ist bislang nicht abgeschlossen.

Urteil 2: Speicherdauer bei Restschuldbefreiung (C-26/22 und C-64/22)

🆕 Der EuGH entschied außerdem: Eine parallele Speicherung von Daten über eine erteilte Restschuldbefreiung durch private Auskunfteien ist mit Art. 6 Abs. 1 lit. f DSGVO unvereinbar, sobald die Information im öffentlichen Insolvenzregister gelöscht ist – dort beträgt die Speicherfrist sechs Monate. Über die Zulässigkeit einer Speicherung innerhalb dieser sechs Monate hat das nationale Gericht im Wege der Interessenabwägung zu entscheiden. Die zuvor branchenüblich praktizierte dreijährige Speicherung hat die SCHUFA bereits vor der Entscheidung auf sechs Monate verkürzt.

EuGH-Urteil vom 27. Februar 2025 (C-203/22)

🆕 In einem weiteren Urteil vom 27. Februar 2025 präzisierte der EuGH den Auskunftsanspruch nach Art. 15 Abs. 1 lit. h DSGVO: Bei automatisierten Entscheidungen einschließlich Profiling muss der Verantwortliche das angewandte Verfahren und die Grundsätze in präziser, transparenter und verständlicher Form so erläutern, dass die betroffene Person nachvollziehen kann, welche ihrer Daten in welcher Weise zu dem Ergebnis geführt haben. Die bloße Offenlegung des Algorithmus genügt dafür regelmäßig nicht; Geschäftsgeheimnisse sind geschützt, rechtfertigen aber keine pauschale Auskunftsverweigerung – in Streitfällen sind sie  der Aufsichtsbehörde oder dem Gericht zur Abwägung offenzulegen.

Informationspflichten nach Art. 14 DSGVO

Da Auskunfteien personenbezogene Daten typischerweise nicht direkt bei den Betroffenen erheben, greift Art. 14 DSGVO: Sie müssen Betroffene spätestens innerhalb eines Monats über Zweck, Rechtsgrundlage, Datenkategorien und Empfänger informieren. Auch Unternehmen, die Daten einmelden, sollten ihre Datenschutzerklärung entsprechend aktualisieren.

Änderung der Rechtslage für Auskunfteien nach DSGVO/BDSG

Aktueller Stand: Rechtsgrundlage für die Einmeldung bonitätsrelevanter Daten an Auskunfteien ist Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen). Erforderlich ist eine Interessenabwägung im Einzelfall: Die Interessen des Verantwortlichen und der Auskunftei dürfen nicht von den Interessen oder Grundrechten der betroffenen Person überwogen werden. § 31 BDSG tritt für die Verwendung von Wahrscheinlichkeitswerten hinzu, steht aber unter dem Vorbehalt seiner Unionsrechtskonformität. Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist in dieser Konstellation regelmäßig kein tragfähiger Ansatz, da sie jederzeit widerrufbar ist.

Praktische Checkliste für Unternehmen

Unternehmen, die Daten an Auskunfteien melden oder Bonitätsauskünfte einholen, sollten folgende Punkte beachten:

Vor der Meldung an eine Auskunftei:

• Kriterien des § 31 Abs. 2 BDSG als Maßstab der Interessenabwägung geprüft und dokumentiert? (Titel/Anerkenntnis oder zweimalige Mahnung, Vier-Wochen-Frist, rechtzeitige Unterrichtung, keine Bestreitung)

• Forderung fällig und vom Schuldner nicht bestritten?

• Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO geprüft?

• Interessenabwägung schriftlich dokumentiert?

Beim Einholen von Bonitätsauskünften:

• Wird der Scorewert nur als eines von mehreren Entscheidungskriterien genutzt (kein maßgebliches Abstellen auf den Score allein)?

• Sind Prozesse für die Betroffenenrechte nach Art. 22 DSGVO eingerichtet (menschliche Überprüfung, Widerspruchsmöglichkeit)?

• Datenschutzhinweise für Kunden aktuell und vollständig?

Betroffenenrechte beachten:

• Betroffene können Auskunft über gespeicherte Daten bei der Auskunftei verlangen (Art. 15 DSGVO)

• Fehlerhafte Einträge können berichtigt oder gelöscht werden (Art. 16, 17 DSGVO)

• Seit dem EuGH-Urteil vom 27.02.2025: Auskunft nach Art. 15 Abs. 1 lit. h DSGVO muss das Verfahren und die Grundsätze der automatisierten Entscheidung nachvollziehbar erläutern

Ausblick – Bonitätsscoring und der EU AI Act

Bonitätsbewertungen natürlicher Personen, die auf maschinellen Lernverfahren basieren, sind nach Anhang III Nr. 5 lit. b der KI-Verordnung (EU AI Act) als Hochrisiko-KI-Systeme eingestuft. Das bedeutet: Auskunfteien und Unternehmen, die solche Systeme einsetzen oder betreiben, müssen ab den jeweiligen Geltungsterminen des EU AI Acts umfangreiche Anforderungen erfüllen – darunter Transparenz- und Dokumentationspflichten, Risikomanagement sowie menschliche Aufsicht.

Für Unternehmen, die bereits heute Bonitätsscoring einsetzen, empfiehlt sich eine frühzeitige Prüfung der KI-Compliance-Anforderungen. Proliance unterstützt Sie dabei mit einer strukturierten KI-Compliance-Beratung.

Datenübermittlung an Auskunfteien - komplexe Rechtslage

Die Rechtslage rund um Auskunfteien ist durch die EuGH-Urteile vom Dezember 2023 und Februar 2025 in Bewegung geraten. Unternehmen stehen vor der Herausforderung, ihre Prozesse zur Bonitätsprüfung und Datenübermittlung an die aktuelle Rechtsprechung anzupassen – zumal eine gesetzgeberische Klarstellung zu § 31 BDSG weiterhin aussteht. Wer heute Scorewerte für Vertragsentscheidungen nutzt oder Daten an Auskunfteien meldet, sollte seine Abläufe sorgfältig prüfen und dokumentieren. Einen Überblick über die Grundlagen des Datenschutzes bei personenbezogenen Daten finden Sie in unserem weiterführenden Beitrag.

Quellen: EuGH, Urt. v. 07.12.2023 – C-634/21 (SCHUFA Holding u. a. [Scoring]); EuGH, Urt. v. 07.12.2023 – C-26/22 und C-64/22 (SCHUFA Holding u. a. [Restschuldbefreiung]); EuGH, Urt. v. 27.02.2025 – C-203/22 (Dun & Bradstreet Austria); § 31 BDSG; Art. 6 Abs. 1 lit. f, Art. 15 Abs. 1 lit. h, Art. 22, Art. 82 DSGVO