Ein Kreditantrag wird mit Verweis auf eine Bonitätsprüfung abgelehnt. In der späteren Datenkopie steht ein Score, aber es bleibt unklar, welcher Wert tatsächlich verwendet wurde, welche Angaben darin eingeflossen sind und ob das Unternehmen eine eigene Entscheidung getroffen hat. Um diesen Fall aufzuklären, richten Sie zwei unterschiedliche Anfragen: eine an die Auskunftei und eine an das entscheidende Unternehmen.
Dieser Leitfaden zeigt dafür einen konkreten Ablauf mit bearbeitbaren Texten. Er behandelt die datenschutzrechtliche Prüfung eines SCHUFA-bezogenen Scorings und der darauf gestützten Entscheidung. Die Anfragen schaffen Transparenz und können Fehler oder unzulässige Verarbeitung aufdecken. Sie versprechen keinen bestimmten Score und keinen Anspruch auf den gewünschten Kredit allein aufgrund eines Datenschutzantrags.
Den tatsächlichen Entscheidungsfall sichern
Legen Sie zunächst einen kleinen Vorgang an: Datum des Antrags, Name des Unternehmens, Vorgangsnummer, Datum und Wortlaut der Ablehnung, vorhandene Datenschutzhinweise sowie erhaltene Auskünfte. Speichern Sie die ursprüngliche Nachricht. Eine eigene Zusammenfassung ist nützlich, sollte aber die Originalunterlage nicht ersetzen. Eine spätere Standardauskunft kann sich auf einen anderen Zeitpunkt oder einen anderen Score beziehen.
Im fiktiven Fall K-09 beantragt eine Person am 8. September einen Ratenkredit. Das Unternehmen lehnt am selben Tag ab und verweist auf eine externe Bonitätsinformation. Die betroffene Person weiß noch nicht, ob der Score ausschlaggebend war. Sie notiert diese Unsicherheit ausdrücklich. Sie behauptet in ihrer Anfrage nicht, die Entscheidung sei nachweislich vollautomatisch erfolgt, wenn dies erst geklärt werden soll.
Die Fallmappe enthält zunächst nur die für die Zuordnung erforderlichen Unterlagen. Eine vollständige Ausweiskopie, sämtliche Kontoauszüge und private Korrespondenz werden nicht vorsorglich an mehrere Stellen versandt. Bei berechtigten Zweifeln an der Identität kann der Verantwortliche nach Artikel 12 Absatz 6 zusätzliche erforderliche Informationen verlangen. Der konkrete Identitätsnachweis sollte zur tatsächlichen Unsicherheit passen.
Wann Scoring selbst unter Artikel 22 fallen kann
Der EuGH hat in C-634/21, SCHUFA Holding, vom 7. Dezember 2023 die automatisierte Erstellung eines Wahrscheinlichkeitswerts behandelt. Wenn von diesem Wert maßgeblich abhängt, ob ein Dritter einen Vertrag mit der Person begründet, durchführt oder beendet, kann bereits die Erstellung durch die Auskunftei eine automatisierte Entscheidung im Sinne von Artikel 22 sein. Die tatsächliche Rolle des Scores ist deshalb entscheidend.
Die drei Voraussetzungen bleiben zusammen zu prüfen: eine Entscheidung, ihre ausschließliche Grundlage in automatisierter Verarbeitung einschließlich Profiling und eine rechtliche oder ähnlich erhebliche Wirkung. Liegen sie vor, gilt das grundsätzliche Verbot des Artikels 22 Absatz 1. Die betroffene Person muss dieses Verbot nicht erst durch einen Widerspruch aktivieren. Eine echte eigene Prüfung kann für die Einordnung relevant sein; ein bloßes Abzeichnen des Systemergebnisses beantwortet die Frage nach menschlichem Einfluss noch nicht.
Artikel 22 Absatz 2 enthält genau drei Ausnahmegruppen: Erforderlichkeit für Abschluss oder Erfüllung eines Vertrags, Zulassung durch Unions- oder mitgliedstaatliches Recht mit geeigneten Schutzmaßnahmen und ausdrückliche Einwilligung. In den Vertrags- und Einwilligungsfällen müssen mindestens menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung ermöglicht werden. Bei gesetzlich zugelassenen Entscheidungen müssen die Schutzmaßnahmen im Gesetz vorgesehen sein. Der allgemeine Leitfaden zu automatisierten Entscheidungen nach Artikel 22 erläutert diese Prüfung ausführlicher.
Anfrage an die Auskunftei: Daten und tatsächliches Profil
Die Auskunftei kann die bei ihr gespeicherten Daten, deren Herkunft, erstellte beziehungsweise übermittelte Werte und ihre eigene Verarbeitung erklären. Sie kann nicht ohne Weiteres sämtliche internen Entscheidungen des Kreditgebers beantworten. Richten Sie die Anfrage deshalb ausdrücklich auf Ihre personenbezogenen Daten und das für den konkreten Vorgang verwendete Profil.
Ein bearbeitbarer Text für K-09 lautet:
Ich bitte nach Artikel 15 DSGVO um Auskunft und eine Kopie der zu meiner Person verarbeiteten Daten. Meine Anfrage betrifft insbesondere die Bonitätsinformation, die im Zusammenhang mit dem Kreditantrag K-09 am 8. September 2026 an das bezeichnete Unternehmen übermittelt wurde. Bitte teilen Sie mir die hierfür tatsächlich verarbeiteten Eingabedaten, deren Herkunft, den erstellten und übermittelten Wert, den zugehörigen Zeitpunkt sowie die Empfänger und Speicherangaben mit. Soweit eine automatisierte Entscheidung im Sinne von Artikel 22 vorliegt, bitte ich um aussagekräftige Informationen über die konkret angewandte Logik sowie deren Tragweite und Auswirkungen für mich.
Ergänzen Sie die notwendigen Identifikationsangaben und den tatsächlichen Namen des Empfängers. Fragen Sie nicht nur nach dem „aktuellen Score“, wenn Sie eine frühere Ablehnung prüfen möchten. Ein später berechneter Wert kann andere Datenstände oder eine andere Bewertung betreffen. Die Erklärung muss sich auf die relevante Verarbeitung beziehen, soweit die entsprechenden Daten noch verarbeitet werden.
Das Auskunftsrecht nach Artikel 15 erfasst personenbezogene Daten unabhängig davon, ob Artikel 22 am Ende anwendbar ist. Die besonderen Informationen zur Logik nach Artikel 15 Absatz 1 Buchstabe h sind zusätzlich im dafür vorgesehenen Kontext zu prüfen. Lassen Sie sich deshalb nicht allein mit dem Satz abweisen, dass die Vertragsentscheidung beim Kreditgeber liege.
Anfrage an das Unternehmen: Welche Rolle hatte der Score?
Das entscheidende Unternehmen soll seine eigene Verarbeitung und die tatsächliche Entscheidung erklären. Die entscheidenden Fragen lauten: Welche Bonitätsinformation wurde wann bezogen? Welche weiteren personenbezogenen Daten wurden verwendet? Welchen Einfluss hatte der Wert? Gab es vor der Entscheidung eine befugte Person, die die Angaben eigenständig bewertete und das Ergebnis ändern konnte?
Für K-09 kann die Anfrage lauten:
Bitte erteilen Sie mir Auskunft zu den bei der Bearbeitung meines Kreditantrags K-09 verwendeten personenbezogenen Daten und der hierzu erfolgten Bonitätsprüfung. Bitte benennen Sie die bezogene Auskunftei, den Zeitpunkt und den tatsächlich verwendeten Wert. Ich bitte außerdem um Erläuterung, ob und in welcher Weise eine ausschließlich automatisierte Entscheidung vorlag und welche Rolle die externe Bewertung für die Ablehnung spielte. Falls Sie sich auf eine Ausnahme nach Artikel 22 Absatz 2 stützen, erläutern Sie bitte die einschlägige Grundlage und die verfügbaren Schutzmaßnahmen.
Die Nachricht sollte an den zuständigen Datenschutzkontakt oder einen vorgesehenen sicheren Auskunftskanal gehen. Ein allgemeiner Vertriebschat kann Rückfragen aufnehmen, bietet aber nicht notwendigerweise eine geeignete Übermittlung für die vollständige Datenkopie. Dokumentieren Sie Versand und Eingang getrennt von einer unverbindlichen telefonischen Auskunft.
Eine verständliche Erklärung statt einer Formel verlangen
Im Urteil C-203/22, Dun & Bradstreet Austria, vom 27. Februar 2025 konkretisiert der EuGH die aussagekräftigen Informationen über die Logik. Die Erklärung muss die konkret angewandten Verfahren und Grundsätze verständlich machen. Eine komplexe mathematische Formel allein genügt ebenso wenig wie eine unverständliche Aufzählung technischer Einzelschritte. Umgekehrt folgt daraus kein pauschaler Anspruch auf Offenlegung des gesamten Algorithmus.
Für die Prüfung von K-09 ist eine Erklärung hilfreich, die erkennen lässt, welche tatsächlichen Angaben für das Ergebnis verwendet wurden und wie diese das Ergebnis beeinflussten. Ein abstrakter Prospekt über allgemeine statistische Methoden reicht nicht, wenn er die konkrete Verarbeitung offenlässt. Der Gerichtshof nennt als mögliche verständliche Darstellung auch die Erläuterung, in welchem Maß abweichende berücksichtigte Daten zu einem anderen Ergebnis geführt hätten.
Fordern Sie bei einer unklaren Antwort gezielt nach: „Ihre Auskunft nennt eine Datenkategorie, aber nicht die zu meiner Person verwendete Angabe. Bitte erläutern Sie den tatsächlich berücksichtigten Inhalt und seinen Einfluss auf die Bewertung des bezeichneten Vorgangs.“ Damit benennen Sie eine überprüfbare Lücke, anstatt eine beliebige technische Dokumentation zu verlangen.
Fehler, bestrittene Forderungen und Bewertung auseinanderhalten
Eine unrichtige Anschrift, eine falsch zugeordnete Forderung und ein unerwartet niedriger Score sind unterschiedliche Probleme. Artikel 16 betrifft unrichtige personenbezogene Daten. Dass ein Ergebnis ungünstig ist, beweist für sich genommen noch keinen Datenfehler. Prüfen Sie zuerst die zugrunde liegenden Tatsachen, Zeitpunkte und Zuordnungen.
Im Beispiel stellt sich heraus, dass in der Auskunft eine Forderung einem ähnlich benannten Menschen zugeordnet wurde. Die betroffene Person bezeichnet den betreffenden Datensatz und erläutert die konkrete Abweichung mit einem geeigneten begrenzten Nachweis. Sie verlangt Berichtigung. Für die Dauer der Überprüfung der bestrittenen Richtigkeit kann sie die Einschränkung nach Artikel 18 Absatz 1 Buchstabe a geltend machen. Diese Anfrage ist genauer als eine unbegründete Forderung, sämtliche gespeicherten Daten sofort zu löschen.
Ein geeigneter Zusatz lautet: „Ich bestreite die Richtigkeit der bezeichneten Zuordnung. Bitte berichtigen Sie die unrichtigen Daten und schränken Sie deren Verarbeitung während der Überprüfung nach Artikel 18 Absatz 1 Buchstabe a ein. Bitte teilen Sie mir das Ergebnis mit und informieren Sie die Empfänger entsprechend Artikel 19, soweit dessen Voraussetzungen vorliegen.“ Die DSGVO regelt Berichtigung, Einschränkung und Empfängerinformation getrennt; eine Bearbeitung sollte diese Schritte ebenfalls unterscheiden.
Die Entscheidung mit dem eigenen Standpunkt überprüfen lassen
Wenn die maßgebliche Entscheidung unter Artikel 22 fällt und der einschlägige Ausnahmefall die Mindestgarantien des Absatzes 3 verlangt, kann die betroffene Person menschliches Eingreifen, die Darlegung ihres Standpunkts und die Anfechtung verlangen. Für K-09 werden dafür die tatsächlich ermittelten Fehler und zusätzlichen entscheidungserheblichen Angaben zusammengestellt. Das Schreiben sollte deutlich machen, welche konkrete Entscheidung geprüft werden soll.
Ein Textbaustein lautet: „Ich fechte die bezeichnete automatisierte Entscheidung an und bitte um Prüfung durch eine hierfür befugte Person. Die zugrunde liegende Forderungszuordnung ist aus den beigefügten Gründen unzutreffend. Bitte berücksichtigen Sie meinen Standpunkt und teilen Sie mir das Ergebnis der Überprüfung sowie die dafür maßgeblichen Gründe verständlich mit.“ Bei einem gesetzlich zugelassenen Verfahren prüfen Sie zusätzlich die dort vorgesehenen Schutz- und Rechtsbehelfsmöglichkeiten.
Die Prüfung muss sich mit den Angaben befassen können. Eine erneute unveränderte Berechnung ohne Befassung einer entscheidungsbefugten Person wäre keine überzeugende Antwort auf das Verlangen nach menschlichem Eingreifen. Dennoch kann eine zulässige erneute Bewertung zum selben Vertragsresultat führen. Die datenschutzrechtlichen Rechte gewährleisten keine bestimmte wirtschaftliche Entscheidung.
Fristen, Geheimnisse und weitere Schritte dokumentieren
Für Anträge nach den Artikeln 15 bis 22 gilt grundsätzlich die Antwort ohne unangemessene Verzögerung und spätestens innerhalb eines Monats nach Eingang. Eine erforderliche Verlängerung um bis zu zwei weitere Monate setzt die gesetzlichen Voraussetzungen voraus und muss innerhalb des ersten Monats mit Gründen mitgeteilt werden. Verwenden Sie nicht automatisch „30 Tage“ als Ersatz für die Monatsfrist. Der Auskunftsprozess zeigt die praktische Frist- und Zustellungsorganisation.
Geschäftsgeheimnisse rechtfertigen keine pauschale vollständige Verweigerung. Nach C-203/22 sind behauptete geschützte Informationen gegebenenfalls der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht zu übermitteln, damit diese die gegenüberstehenden Rechte und Interessen abwägen. Das bedeutet nicht, dass alle Informationen ohne Prüfung öffentlich werden. Benennen Sie in einer Beschwerde die verweigerten Angaben und den konkreten Geheimhaltungseinwand.
Das Beschwerderecht nach Artikel 77 ermöglicht die Befassung einer Aufsichtsbehörde. Benennen Sie dabei die konkrete Verarbeitung und die noch offenen Rechte; eine Beschwerde ersetzt nicht automatisch einen gesondert erforderlichen Rechtsbehelf gegen eine andere Entscheidung.
Für eine Beschwerde bündeln Sie beide Anfragen, Eingangsbelege, Antworten und die verbleibenden Widersprüche. Halten Sie getrennt fest, was die Auskunftei beantwortet hat und was beim entscheidenden Unternehmen offenblieb. Die Einführung zum automatisierten Verarbeiten personenbezogener Daten hilft, technische Verarbeitung und rechtlich erhebliche automatische Entscheidung auseinanderzuhalten. Mit dieser geordneten Akte lässt sich der konkrete Vorgang prüfen, ohne aus einer Ablehnung vorschnell auf einen bestimmten Rechtsverstoß zu schließen.