Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) muss mit aufsichtlichen Mitteln gegenüber der Schufa einschreiten, damit diese ihrer Auskunftspflicht gemäß Art. 15 Abs. 1 Buchst. h DS-GVO ausreichend nachkommt. Das hat das VG Wiesbaden entschieden (Urteil vom 19.12.2025 – 6 K 788/20.WI).

Eine Frau beantragte einen Kredit, der abgelehnt wurde. Zuvor hatte die Schufa der Bank einen Bonitätsscore von rund 86% zu der Frau übermittelt und ihren Fall als "deutlich erhöhtes bis hohes Risiko" eingestuft. Die spätere Klägerin wollte von der Schufa wissen, wie der Score und die Risikoeinschätzung zustandegekommen sind.

Die Schufa antwortete der Frau mehrere Male, doch diese war damit nicht zufrieden und erhob Beschwerde zum Datenschutzbeauftragten: Sie könne noch immer nicht nachvollziehen, wie der Score zustandegekommen sei. Der HBDI lehnte es ab, gegenüber der Schufa aufsichtlich einzuschreiten. Er meinte, die Wirtschaftsauskunftei habe die Fragen zur Berechnung des Scorewerts ausreichend und entsprechend ihrer gesetzlichen Verpflichtung beantwortet. Die Betroffene zog daraufhin vor das VG Wiesbaden.

EuGH: Schufa-Scoring fällt in den Anwendungsbereich der DS-GVO

Dort bekam sie am Freitag Recht. Der HBDI müsse gegenüber der Schufa einschreiten, um sicherzustellen, dass die Wirtschaftsauskunftei ihre Auskunftspflichten erfüllt, so die Kammer. 

Zuvor hatten die Wiesbadener Richterinnen und Richter den EuGH eingeschaltet. Das Auskunftsrecht nach Art. 15 Abs. 1 Buchst. h DS-GVO, auf das die Betroffene sich berief, hänge davon ab, ob eine "automatisierte Entscheidung im Einzelfall" i.S.v. Art. 22 Abs. 1 DS-GVO vorliege. Der EuGH entschied, "dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet."

Auf dieser Grundlage ging das VG Wiesbaden davon aus, dass es sich bei der Erstellung des Scorewerts um eine ausschließlich auf einer "automatisierten Verarbeitung" beruhende Tätigkeit iSd Art. 22 Abs. 1 DS-GVO handelt. Daher könne die Betroffene von der Schufa gemäß Art. 15 Abs. 1 Buchst. h DS-GVO Auskunft über das Zustandekommen ihres Scores verlangen. 

Abstrakte oder allgemein gehaltene Informationen genügen nicht

Fraglich blieb, inwieweit die Schufa diesen Anspruch mit ihren Antwortschreiben bereits erfüllt hat. Hierzu orientierte sich das VG erneut am EuGH. Nach einem in anderer Sache ergangenen Urteil (27.02.2025 – C-203/22) müsse die Wirtschaftsauskunftei die relevanten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache zur Verfügung stellen. Die Schufa sei zwar nicht zur Offenlegung ihres Algorithmus verpflichtet. Allerdings müsse sie das Verfahren und die Grundsätze, die sie konkret bei der Erstellung des Scorewerts verwendet habe, so beschreiben, dass man nachvollziehen könne, welche personenbezogenen Daten wie verwendet worden seien. Abstrakte oder allgemein gehaltene Informationen genügten insofern nicht, die Verfahren und Grundsätze, die bei der Erstellung des Bonitätsprofils konkret angewandt worden seien, müssten vielmehr individualisiert dargelegt werden. 

Diese Anforderungen erfüllte die Auskunft, die die Schufa im Streitfall erteilt hatte, nach Ansicht des VG nicht. Die Auskunftei müsse nachzubessern, wozu das Gericht auch gleich konkrete Vorgaben machte. So müsse die Schufa der Betroffenen mitteilen, welche von deren personenbezogenen Daten sie für die Erstellung des Scorewerts konkret genutzt hat und welche sie zwar erhoben, aber nicht verwertet hat. Auch müsse die Auskunftei die Frau darüber informieren, in welcher Gewichtung ihre Daten in die Berechnung ihres Scorewerts eingingen und warum die Schufa den errechneten Scorewert als "deutlich erhöhtes bis hohes Risiko" bewertet hat. Der HBDI sei insoweit verpflichtet, gegenüber der Schufa einzuschreiten. Welches aufsichtsrechtliche Mittel er dabei anwende, stehe in seinem Ermessen.

Das Urteil ist noch nicht rechtskräftig. Die Kammer hat wegen grundsätzlicher Bedeutung Berufung und Sprungrevision zugelassen.