Barbara Thiel ist Of Counsel bei lexICT in Hannover, Die Landesbeauftragte für den Datenschutz Niedersachsen a.D. und Mitglied im Wissenschaftsbeirat der ZD.
ZD 2026, 61 Ende März 2026 ist es so weit: Für Millionen Verbraucher ändert sich etwas Grundlegendes. Ein lange kritisiertes Bewertungssystem, der SCHUFA-Score, wird erstmals greifbarer. Der SCHUFA-Score wird bekanntlich dazu genutzt, wichtige Risikoentscheidungen iRv unternehmerischen Entscheidungen vorzubereiten und zu ermöglichen. Denn konkret im Hinblick auf wirtschaftliche Ausfallrisiken besteht ein berechtigtes Interesse an möglichst belastbaren Prognosen. Vergleichbare Überlegungen greifen für den Online-Handel, etwa wenn ein Kauf auf Rechnung ermöglicht werden soll. Schon 2014 hat deshalb der BGH (ZD 2014, 306 mAnm Schade) die Berechtigung von Bonitätsauskünften und ihre Bedeutung für das Funktionieren der Wirtschaft nicht in Frage gestellt. Und so fließt der SCHUFA-Score im Alltag in Entscheidungen darüber ein, ob zB ein Kreditvertrag oder ein Handyvertrag zustande kommen oder nicht. Auch Energieversorgungsunternehmen und Versicherungen greifen iRd Kreditwürdigkeitsprüfung auf den SCHUFA-Score zurück. Ein schwacher Wert kann alles teurer oder komplizierter machen oder im schlimmsten Fall den Vertragsabschluss sogar gänzlich verhindern. Und dennoch blieb die Berechnung dieses Scores bislang im Dunklen, obwohl auch aus der Verbraucherperspektive durchaus ein Interesse an belastbarem und verlässlichem Scoring besteht.
Auch in dem der Entscheidung des EuGH (ZD 2024, 157 mAnm Söbbing/Schwarz; s.a. Blasek ZD 2024, 258) zugrunde liegenden Sachverhalt hatte die SCHUFA lediglich in groben Zügen die grundsätzliche Funktionsweise ihrer Scorewert-Berechnung mitgeteilt, nicht jedoch, welche Einzelinformationen mit welcher Gewichtung in die Berechnung eingeflossen waren. Dieser Scorewert war vermutlich ausschlaggebend dafür, dass die Klägerin mit einem Kreditantrag bei einer Bank scheiterte. Dem Auskunftsrecht aus Art. 15 Abs. 1 lit. h DS-GVO (involvierte Logik einer automatisierten Entscheidung) nachzukommen, lehnte die SCHUFA unter Hinweis auf ihr Betriebs- und Geschäftsgeheimnis ab. Ergänzend trug die SCHUFA hierzu vor, dass nicht sie, sondern die Bank mit der Kreditabteilung die belastende Entscheidung iSv Art. 22 DS-GVO trifft, sodass ein Auskunftsrecht nach Art. 15 Abs. 1 lit. h DS-GVO auch nur gegenüber der Bank, nicht aber gegenüber der SCHUFA besteht. Mit dieser Entscheidung hat der EuGH iÜ dem SCHUFA-Score keine generelle Absage erteilt. Der EuGH hat (lediglich), ohne die Entscheidung in ihrer Bedeutung bagatellisieren zu wollen, die Scorewert-Bildung als Anwendungsfall von Art. 22 Abs. 1 DS-GVO eingeordnet, wenn die anschließende Kreditentscheidung „maßgeblich“ auf dem in Rede stehenden Scorewert beruht. Auf den darüber heftig entbrannten Streit, was unter „maßgeblich“ zu verstehen ist, soll hier jedoch nicht näher eingegangen werden.
Losgelöst von dieser Entwicklung hat die SCHUFA bereits 2022 ihre Transparenzoffensive gestartet - mit dem Ziel, die Scorewert-Berechnung künftig transparenter und besser erklärbar auszugestalten. Grundlage dafür war das Gutachten „Verbrauchergerechtes Scoring“ des Sachverständigenrats für Verbraucherfragen der Bundesregierung aus dem Jahr 2018. Dieser hatte seinerzeit dazu angeregt, Wissen über Bonität zu fördern. Konkret sollen Menschen in die Lage versetzt werden, den Zusammenhang zwischen ihren finanziellen Entscheidungen und den Auswirkungen auf ihre Bonität zu verstehen. Wesentliche Merkmale des Scores und deren Gewichtung sollen offengelegt werden.
Hinzu kam die Erkenntnis, dass sich auch das Konsumverhalten der Menschen geändert hat. Im Vergleich zur 3. Score-Generation aus dem Jahr 2016 ist die Zahl an Minikrediten kräftig gestiegen, und seit ein paar Jahren ist die Nutzung von „Buy Now, Pay Later“-Angeboten im E-Com\merce ein neues Phänomen. Zugleich nutzen immer mehr Personen Vergleichsportale und wechseln häufiger als noch vor zehn Jahren die Hausbank, um sich so günstigere Konditionen zu sichern. Diese und weitere Veränderungen im Konsumverhalten will der neue Score berücksichtigen.
Die Entscheidung für das Projekt „Next Generation Scoring“ fiel im Herbst 2022, nachdem die SCHUFA den Score-Simulator veröffentlicht hatte, der das Prinzip des derzeitigen SCHUFA-Scoring erklärt. Seit seinem Launch war klar, dass die SCHUFA die aktuelle Score-Landschaft niemals so erklären kann, dass sie für alle Verbraucher schnell und einfach nachvollziehbar wird. Die Anzahl der SCHUFA-Score-Modelle macht den Anspruch an verständliche Kommunikation herausfordernd. Zudem kommt es mitunter auf die jeweilige Datenkonstellation im Einzelfall an. Dem Anspruch an eine allgemeine, über den Einzelfall hinausgehende Transparenz und Erklärbarkeit trägt diese Situation keineswegs hinreichend Rechnung.
Der neue Score soll nun nicht nur eine Zahl liefern, sondern auch erklären, wie sie zustande kommt. Im Rahmen seiner Entwicklung wurden zunächst Druckpunkte von Verbraucherinnen und Verbrauchern sowie von Unternehmenskunden erhoben, gesichtet und auf insgesamt fünf Zieldimensionen (Erklärbarkeit, Transparenz, Nachvollziehbarkeit, Trennschärfe und Fairness) heruntergebrochen. In einem nächsten Schritt hat die SCHUFA aus mehr als 250 möglichen Kriterien die zwölf verständlichsten und zugleich für die Prognosegüte aussagekräftigsten ausgewählt. Allein die sechs Branchen-Scores, die perspektivisch abgelöst werden, verwenden bisher in Summe rd. 100 Kriterien. Nach einer Erprobungsphase hat das Fraunhofer Institut für intelligente Analyse- und Informationssysteme alsdann den neuen Score zur Bonitätsbewertung von Privatpersonen aus mathematisch-statistischer Sicht begutachtet und die wissenschaftliche Vorgehensweise bei der Entwicklung und Validierung des neuen Scores sowie die Erheblichkeit und Signifikanz der verwendeten Daten bestätigt. Damit trägt die SCHUFA auch beim neuen Score den gesetzlichen Anforderungen an die Wissenschaftlichkeit der eingesetzten Score-Verfahren und Erheblichkeit der verwendeten Daten Rechnung. Zugleich entspricht sie damit offenbar auch den gesetzlichen Anforderungen des § 31 BDSG, so jedenfalls dürfte das positive Feedback der zuständigen hessischen Datenschutzaufsichtsbehörde zu verstehen sein.
Seit der o.g. Entscheidung des EuGH ist jedoch zumindest fraglich, ob § 31 BDSG als unionsrechtskonforme Rechtsgrundlage iSv Art. 22 Abs. 2 lit. b DS-GVO qualifiziert werden kann, denn § 31 BDSG regelt nach seinem Wortlaut nur die Verwendung, nicht aber die Erstellung von Scorewerten. Darüber hinaus enthält die Vorschrift auch nicht die nach Art. 22 Abs. 2 lit. b DS-GVO zu regelnden angemessenen Maßnahmen zur Wahrung der Rechte, Freiheiten und berechtigten Interessen der Betroffenen. Das vorlegende Gericht, das VG Wiesbaden, wird diese Frage zu klären haben, hatte aber bereits in seiner Vorlageentscheidung starke Zweifel geäußert. Auch der deutsche Gesetzgeber ist offenbar inzwischen der Ansicht, dass § 31 BDSG nicht als Rechtsgrundlage iSv Art. 22 Abs. 2 lit. b DS-GVO taugt. Der Regierungsentwurf zur BDSG-Novelle, der nun iRd nationalen Umsetzung der Verbraucherkredit-RL diskutiert wird, enthält mit § 37a eine neue Vorschrift zum Scoring, die eben jene Ausnahme vom Verbot automatisierter Entscheidungen nach Art. 22 Abs. 2 lit. b DS-GVO schaffen soll. Und sinnvollerweise greift der neue § 37a BDSG-E gleichzeitig einige Kritikpunkte bzw. Empfehlungen der DSK auf, die diese in ihrer Stellungnahme v. 11.5.2023 „Vorschläge für Handlungsempfehlungen an die Bundesregierung zur Verbesserung des Datenschutzes bei Scoringverfahren“ geäußert hatte. Dabei geht es darum, dass bestimmte personenbezogene Daten mit Diskriminierungspotenzial, nämlich Daten iSv Art. 9 DS-GVO, die Namen Betroffener und deren Anschriftendaten sowie Daten aus der Nutzung sozialer Netzwerke, nicht mehr in die Scorewert-Erstellung einfließen dürfen.
Bei der Bildung des neuen SCHUFA-Scores sollen künftig Kriterien wie das Alter des ältesten Bankvertrags, das Alter der ältesten Kreditkarte und das Alter der aktuellen Adresse zum Einsatz kommen. Zugleich fließen in Zukunft die Anzahl von Anfragen und Abschlüssen für Girokonten und Kreditkarten sowie die Anzahl von Anfragen im Bereich Telekommunikation und (Online-)Handel, aufgenommene Ratenkredite und jüngste Rahmenkredite in den vergangenen 12 Monaten, der Kreditstatus, der Kredit mit der längsten Restlaufzeit und Zahlungsstörungen in die Bonitätsbewertung mit ein. Von Bedeutung sind zudem Immobilienkredite oder Bürgschaften sowie das Vorliegen einer Identitätsprüfung.
Der neue SCHUFA-Score belohnt also Beständigkeit. Wer häufig wechselt, viele Anfragen stellt oder Rechnungen nicht bezahlt, sammelt Minuspunkte. Wer stabil bleibt und Verpflichtungen zuverlässig erfüllt, verbessert seine Ausgangslage. Diese Zusammenhänge macht der neue Score sichtbar. Erkennbar wird in Zukunft nicht nur, ob ein Wert gut oder schlecht ist, sondern auch, warum das so ist. Genau dies fehlte bisher. Möglich war dies durch eine Vereinfachung der komplexen SCHUFA-Score-Welt, zB durch die beschriebene Reduktion der Scores und der Kriterien sowie den erklärten Anspruch, dass die Kriterien sich so auf den Score auswirken, dass es für jede und jeden leicht nachvollziehbar ist. Mit einem Erklärtool für den neuen Score legt die SCHUFA die Formel verständlich und nachvollziehbar offen. Verbraucher können so den neuen Score zukünftig anhand ihrer eigenen Daten selbst nachrechnen - und das ganz ohne statistische Fachkenntnisse. Zu wissen, nach welchen Regeln Bonität bewertet wird, ist demzufolge ein echter Fortschritt. Und ehrlich gesagt: Es wurde höchste Zeit, dass Transparenz ermöglicht wird und Verbraucher eine Einsicht in Zusammensetzung und Bewertung erhalten.
Ganz ohne Vorbereitung geht es allerdings nicht. Um auf die Daten zurückgreifen zu können, benötigt jede Verbraucherin und jeder Verbraucher einen persönlichen SCHUFA-Account. Die Registrierung ist einmalig, der Zugang wird schrittweise freigeschaltet, nicht jeder sieht also seinen Score sofort. Die dafür erforderliche Identitätsprüfung läuft aus Sicherheitsgründen über den Personalausweis mit aktivierter Online-Funktion. Der eigentliche Abruf läuft über eine Web-App im Browser. Egal ob Laptop, Tablet oder Smartphone - eine zusätzliche Software wird nicht benötigt. Eine eigene App ist zwar geplant, steht aber zum Start des neuen Scores noch nicht zur Verfügung.
Aus Sicht der SCHUFA bestätigt das neue Urteil des EuGH (MMR 2025, 421) den Weg, den die SCHUFA mit der Entwicklung des neuen Scores längst eingeschlagen hat. Das Urteil fordert, den Menschen „die Verfahren und Grundsätze“, die zur Berechnung eines Scores eingesetzt wurden, „in präziser, transparenter, verständlicher und leicht zugänglicher Form“ zu erklären. Diese neuen regulatorischen Anforderungen bedient der neue Score nach Auffassung der SCHUFA in Kombination mit dem SCHUFA-Account und dem Erklärtool in bester Weise. Es wird sich zeigen, ob diese Einschätzung Bestand haben kann. Denn der EuGH fordert u.a. zugleich eine detaillierte Erläuterung, wie Verbraucher tatsächlich Einfluss auf ihren Score nehmen können. Hinter diesen Anforderungen bleibt der neue SCHUFA-Score - obgleich weltweit der erste Score, der dieses hohe Maß an Transparenz bietet - möglicherweise zurück. Die nächste Vorlageentscheidung eines Gerichts dürfte deshalb nicht ganz unwahrscheinlich sein, wenn - und hieran ist in der Vergangenheit leider häufig eine Weiterentwicklung des europäischen Datenschutzrechts gescheitert - ein erstinstanzliches Gericht (oder ein Berufungsgericht) wie seinerzeit vor allem das VG Wiesbaden über die Einsichtsfähigkeit verfügt, dass auf diese Weise effektiver Rechtsschutz schneller gewährt werden kann.
Bleibt aktuell noch die Frage, ob es zulässig ist, dass ein Unternehmen Kundendaten ohne Zustimmung an die SCHUFA übermittelt, die dann in den Bonitäts-Score der Betroffenen einfließen. Das LG Lübeck hat hieran Zweifel und sieht die Datenverarbeitung wegen der massenhaften Übermittlung solcher Daten an die SCHUFA nicht durch Art. 6 Abs. 1 lit. f DS-GVO gedeckt. Das LG Lübeck (ZD 2025, 704 mAnm Söbbing/Schwarz) hat das Verfahren ausgesetzt und den EuGH angerufen. Nach Auffassung des Gerichts ist es Aufgabe der EU, genau zu regeln, wer was zu welchem Zweck an die SCHUFA übermitteln dürfe, und dies sei bislang nicht geschehen. Damit stehen letztlich auch die Kriterien, die für den neuen SCHUFA-Score Verwendung finden, auf dem Prüfstand, dies allerdings erst in frühestens zwei bis drei Jahren. Bis dahin bleibt abzuwarten, wie sich der neue SCHUFA-Score in der Wirtschaftswelt und bei den Verbraucherinnen und Verbrauchern etablieren und idealerweise die von der SCHUFA gewünschte Akzeptanz auch durch die Datenschutzaufsichtsbehörden erfahren kann. Es bleibt also weiterhin spannend.