Automatisiertes Bonitätsscoring: OLG Brandenburg bestätigt Zulässigkeit

Bonitätsscores spielen bei Krediten, Ratenkäufen und anderen Verträgen eine wichtige Rolle. Wirtschaftsauskunfteien berechnen anhand gespeicherter personenbezogener Daten Wahrscheinlichkeitswerte, die Unternehmen bei der Einschätzung der Zahlungsfähigkeit potenzieller Kunden unterstützen. Doch ist ein solches automatisiertes Bonitätsscoring mit der DSGVO vereinbar oder handelt es sich dabei bereits um eine unzulässige automatisierte Entscheidung?

Mit dieser Frage beschäftigte sich das OLG Brandenburg in seinem Urteil vom 16. Juli 2026 (Az. 10 U 43/26). Ein Verbraucher hatte sich gegen die automatisierte Berechnung seiner Bonitätsscores durch eine Wirtschaftsauskunftei gewehrt. Er verlangte unter anderem, dass seine Scores nicht ausschließlich automatisiert erstellt und übermittelt werden. Zudem machte er Auskunfts-, Unterlassungs- und Schadensersatzansprüche geltend.

Das OLG Brandenburg wies seine Berufung jedoch zurück. Entscheidend war insbesondere: Die bloße automatisierte Erstellung eines Scorewerts ist nach Auffassung des Gerichts noch keine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO. Maßgeblich ist vielmehr, welche tatsächliche Wirkung der Score auf eine konkrete Entscheidung über den Betroffenen hat.

Sachverhalt: Verbraucher wehrt sich gegen automatisiertes Bonitätsscoring

Ausgangspunkt des Verfahrens war das automatisierte Bonitätsscoring einer Wirtschaftsauskunftei. Diese speichert personenbezogene Daten und ermittelt daraus mithilfe mathematisch-statistischer Verfahren sogenannte Scorewerte. Sie sollen prognostizieren, wie wahrscheinlich es ist, dass eine Person ihren zukünftigen Zahlungsverpflichtungen nachkommt. Dafür werden Betroffene anhand bestimmter Merkmale mit anonymisierten Vergleichsgruppen und bisherigen Zahlungserfahrungen abgeglichen.

Der Kläger hielt die Berechnung seiner Bonitätsscores für rechtswidrig. Seiner Auffassung nach handelte es sich um eine ausschließlich automatisierte Entscheidung nach Art. 22 Abs. 1 DSGVO. Er verlangte deshalb unter anderem:

• keine ausschließlich automatisierte Erstellung und Übermittlung seiner Scores,
• mindestens 5.000 Euro Schadensersatz,
• detaillierte Auskünfte über Berechnungsmethode und verwendete Parameter,
• die Unterlassung der Verwendung bestimmter personenbezogener Merkmale beim Scoring.

Bereits das LG Cottbus hatte die Klage abgewiesen. Es sah insbesondere keinen ausreichenden Nachweis dafür, dass der Score ohne weitere Prüfung maßgeblich über einen Vertragsschluss oder eine Kreditvergabe entschieden hatte. Der Verbraucher legte gegen diese Entscheidung Berufung zum OLG Brandenburg ein.

OLG Brandenburg: Automatisiertes Bonitätsscoring kann zulässig sein

Das OLG Brandenburg wies die Berufung des Klägers zurück und bestätigte damit im Ergebnis die Entscheidung des LG Cottbus. Nach Auffassung des Gerichts verstieß das im konkreten Fall praktizierte automatisierte Bonitätsscoring nicht gegen die DSGVO. Einen generellen Anspruch darauf, dass ein Bonitätsscore manuell oder zumindest unter menschlicher Beteiligung berechnet wird, gebe es nicht.

Für die Entscheidung waren insbesondere drei Punkte maßgeblich:

• Die Verarbeitung personenbezogener Daten konnte auf Art. 6 Abs. 1 lit. f DSGVO und damit auf berechtigte Interessen gestützt werden.
• Die Erstellung eines Scorewerts ist nicht automatisch eine Entscheidung nach Art. 22 Abs. 1 DSGVO.
• Der Kläger konnte nicht ausreichend darlegen, dass eine konkrete Entscheidung eines Unternehmens maßgeblich auf dem übermittelten Score beruhte.

Damit stellte das Gericht allerdings keinen allgemeinen Freibrief für jedes Scoring-Verfahren aus. Entscheidend bleiben die konkrete Datenverarbeitung und die tatsächliche Bedeutung des Scores für nachfolgende Entscheidungen. Bereits der EuGH hatte zum SCHUFA-Scoring entschieden, dass Art. 22 DSGVO greifen kann, wenn der Score die Entscheidung eines Dritten maßgeblich bestimmt.

Berechtigte Interessen können automatisiertes Bonitätsscoring rechtfertigen

Ein zentraler Punkt der Entscheidungsgründe war die Frage, auf welcher Rechtsgrundlage die personenbezogenen Daten für das automatisierte Bonitätsscoring verarbeitet werden dürfen. Das OLG Brandenburg sah hierfür im konkreten Fall Art. 6 Abs. 1 lit. f DSGVO als ausreichende Grundlage an. Danach ist eine Verarbeitung zulässig, wenn ein berechtigtes Interesse besteht, sie zur Verwirklichung dieses Interesses erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Auch bei der Speicherung von Bonitätsdaten kommt der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO erhebliche Bedeutung zu. Der BGH hat sich hierzu zuletzt im Zusammenhang mit der SCHUFA-Löschfrist für erledigte Forderungen positioniert.

Das Gericht erkannte dabei mehrere berechtigte Interessen an:

• die wirtschaftlichen Interessen der Auskunftei an ihrem Geschäftsmodell,
• das Interesse ihrer Vertragspartner an einer zuverlässigen Bewertung der Kreditwürdigkeit,
• die Vermeidung wirtschaftlicher Risiken bei kreditrelevanten Verträgen.

Hinzu kommt: Kreditinstitute und andere Darlehensgeber können sogar gesetzlich verpflichtet sein, vor bestimmten Verbraucherdarlehensverträgen die Kreditwürdigkeit zu prüfen. Das Gericht hielt die Verarbeitung daher für erforderlich. Auch die Interessenabwägung fiel zugunsten der Auskunftei aus. Der Kläger konnte insbesondere nicht substantiiert nachweisen, dass besonders geschützte Daten nach Art. 9 DSGVO für seine Scoreberechnung verwendet oder seine Daten in diskriminierender Weise berücksichtigt worden waren.

Wann wird automatisiertes Bonitätsscoring zur Entscheidung nach Art. 22 DSGVO?

Besonders relevant ist das Urteil für die Anwendung von Art. 22 Abs. 1 DSGVO. Die Vorschrift schützt Betroffene davor, einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Ein automatisiertes Bonitätsscoring erfüllt diese Voraussetzungen nach Auffassung des OLG Brandenburg jedoch nicht allein deshalb, weil der Score ohne menschliches Eingreifen berechnet wird.

Entscheidend ist die tatsächliche Bedeutung des Scorewerts

Der Scorewert selbst entfaltet nach Ansicht des Gerichts zunächst keine unmittelbare Außenwirkung. Relevant wird Art. 22 DSGVO insbesondere dann, wenn ein Dritter seine Entscheidung maßgeblich an diesem Wert ausrichtet. Das kann beispielsweise bei der Entscheidung über einen Kredit oder einen Vertragsschluss der Fall sein.

Eine lediglich abstrakte Möglichkeit genügte dem Gericht allerdings nicht. Der Kläger hätte konkret darlegen müssen, dass zumindest eine ihn betreffende Entscheidung tatsächlich maßgeblich auf dem übermittelten Score beruhte. Sein allgemeiner Hinweis auf abgelehnte Verträge reichte dafür nicht aus. Zudem zeigte der konkrete Fall, dass ihm trotz eines mitgeteilten „sehr hohen Risikos“ Kreditrahmen eingeräumt worden waren.

Welche Auskunftsansprüche bestehen beim Bonitätsscoring?

Neben der Zulässigkeit des Scorings verlangte der Kläger detaillierte Informationen darüber, wie seine Bonitätsscores konkret berechnet wurden. Der Auskunftsanspruch aus Art. 15 DSGVO kann bei automatisierten Verfahren grundsätzlich Informationen über die involvierte Logik sowie über Tragweite und Auswirkungen der Verarbeitung umfassen. Daraus folgt jedoch nach Auffassung des OLG Brandenburg kein uneingeschränkter Anspruch auf Offenlegung des vollständigen Berechnungsalgorithmus.

Betroffene können insbesondere erfahren,

• welche Kategorien personenbezogener Daten gespeichert werden,
• welche eigenen Daten für die Scoreberechnung herangezogen werden und
• wie das eingesetzte Scoring- und Profilingsystem grundsätzlich funktioniert.

Diese Informationen sollen es ermöglichen, fehlerhafte Daten zu erkennen und die Verarbeitung nachvollziehen zu können.

Muss die Auskunftei den Scoring-Algorithmus offenlegen?

Grenzen können sich allerdings aus Geschäfts- und Betriebsgeheimnissen sowie Rechten des geistigen Eigentums ergeben. Im konkreten Fall gewichtete das OLG das Geheimhaltungsinteresse der Auskunftei am Algorithmus stärker als den zusätzlichen Erkenntnisgewinn des Klägers. Da die Auskunftei bereits Informationen zu den gespeicherten Daten und zur Funktionsweise des Scorings erteilt hatte, sah das Gericht den Auskunftsanspruch als erfüllt an.

Kein DSGVO-Schadensersatz ohne nachgewiesenen Schaden

Auch mit seinem Anspruch auf Schadensersatz nach Art. 82 Abs. 1 DSGVO hatte der Kläger keinen Erfolg. Das OLG Brandenburg stellte zunächst darauf ab, dass im konkreten Fall bereits kein Verstoß gegen die DSGVO festgestellt werden konnte. Darüber hinaus hatte der Kläger nach Auffassung des Gerichts keinen ersatzfähigen materiellen oder immateriellen Schaden hinreichend dargelegt und bewiesen.

Der bloße Hinweis auf mögliche negative Folgen eines automatisierten Bonitätsscorings genügt hierfür nicht. Insbesondere reicht ein lediglich hypothetisches Risiko, dass personenbezogene Daten künftig nachteilig verwendet werden könnten, nicht ohne Weiteres aus.

Der Kläger hatte unter anderem vorgetragen, er fühle sich durch das Vorgehen der Auskunftei in seinem Selbstwertgefühl verletzt und gedemütigt. Dem OLG war dies jedoch zu pauschal und nicht ausreichend nachvollziehbar. Auch die behauptete Benachteiligung aufgrund bestimmter Merkmale konnte nicht substantiiert belegt werden. So ergab die vorgelegte Auskunft nach den Feststellungen des Gerichts gerade nicht, dass Anschriftendaten bei der Berechnung der betreffenden Scores berücksichtigt worden waren. Damit fehlte es sowohl an einem festgestellten Datenschutzverstoß als auch am erforderlichen Nachweis eines konkreten Schadens.

Was bedeutet das Urteil zum automatisierten Bonitätsscoring für die Praxis?

Die Entscheidung des OLG Brandenburg ist sowohl für Verbraucher als auch für Unternehmen und Wirtschaftsauskunfteien relevant. Sie zeigt zunächst, dass ein automatisiertes Bonitätsscoring nicht allein deshalb gegen die DSGVO verstößt, weil ein Score vollständig automatisiert berechnet wird. Entscheidend ist vielmehr, auf welcher Rechtsgrundlage die Daten verarbeitet werden und welche tatsächliche Bedeutung der Score für eine anschließende Entscheidung hat.

Für die Praxis lassen sich insbesondere folgende Punkte festhalten:

• Auskunfteien können die Datenverarbeitung grundsätzlich auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO stützen, sofern die Voraussetzungen im konkreten Fall erfüllt sind.
• Unternehmen sollten einen Bonitätsscore nicht unreflektiert zur alleinigen Grundlage einer erheblichen Entscheidung machen.
• Betroffene müssen konkret darlegen können, wenn beispielsweise eine Kreditablehnung maßgeblich auf einem Score beruhte.
• Ein Auskunftsanspruch ermöglicht Transparenz über verwendete Daten und die grundsätzliche Funktionsweise des Scorings, bedeutet aber nicht automatisch die Offenlegung des Algorithmus.

Das Urteil ist damit kein allgemeiner Freibrief für Bonitätsscoring. Das OLG betont vielmehr die Bedeutung der konkreten Umstände des jeweiligen Einzelfalls.

Fazit: Automatisiertes Bonitätsscoring bleibt eine Frage des Einzelfalls

Das Urteil des OLG Brandenburg vom 16. Juli 2026 (Az. 10 U 43/26) schafft wichtige Orientierung für den datenschutzrechtlichen Umgang mit Bonitätsscores. Ein automatisiertes Bonitätsscoring ist demnach nicht allein deshalb unzulässig, weil der Score ohne menschliches Eingreifen berechnet wird. Entscheidend ist insbesondere, ob der Score selbst oder seine Verwendung durch einen Dritten eine erhebliche Wirkung für den Betroffenen entfaltet.

Für Art. 22 Abs. 1 DSGVO kommt es darauf an, ob eine konkrete Entscheidung maßgeblich durch den Score bestimmt wird. Eine lediglich abstrakte Möglichkeit reicht nach Auffassung des OLG Brandenburg nicht aus. Gleichzeitig kann die Verarbeitung der für das Scoring erforderlichen personenbezogenen Daten über Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt sein, sofern die notwendige Interessenabwägung zugunsten der Auskunftei beziehungsweise ihrer Vertragspartner ausfällt.

Auch hinsichtlich der Transparenz setzt das Urteil Grenzen: Betroffene können Informationen über ihre verwendeten Daten und die grundsätzliche Funktionsweise des Scorings verlangen. Ein uneingeschränkter Anspruch auf Offenlegung des konkreten Algorithmus besteht dagegen nicht. Damit stärkt die Entscheidung die Position von Auskunfteien, ohne die datenschutzrechtlichen Schutzmechanismen für Betroffene grundsätzlich einzuschränken.

Fragen zum automatisierten Bonitätsscoring?

Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie dabei, automatisiertes Bonitätsscoring DSGVO-konform einzusetzen und die Anforderungen des Art. 22 DSGVO rechtssicher umzusetzen. Jetzt Beratung anfordern oder unverbindlich mit uns in Kontakt treten!