Als Scoring bezeichnet das Bundesdatenschutzgesetz (BDSG) die Verwendung eines Wahrscheinlichkeits-Werts über ein bestimmtes zukünftiges Verhalten einer natürlichen Person.
Zweck ist es, darüber zu entscheiden, mit dieser Person ein Vertrags-Verhältnis zu begründen, durchzuführen oder zu beenden – oder nicht.
Scoring bei Wirtschafts-Auskunfteien beruht auf statistischen Erkenntnissen über den Zusammenhang zwischen bestimmten einzelnen Merkmalen und der Bonität.
Der Score-Wert lässt sich ermitteln, indem aufgrund von statistischen Auswertungen Eigenschaften einen bestimmten Punktwert bekommen. Je höher der Gesamtpunktwert ausfällt, desto höher die Bonität.
Die Tatsache, dass jemand bereits einmal einen Kredit in Anspruch genommen und ihn ordnungsgemäß zurückgezahlt hat, ist positiv. Hierfür berücksichtigt das Scoring deshalb eine bestimmte Punktezahl.
Daher kann beispielsweise ein niedriges Alter dazu führen, dass weniger Punkte zu erzielen sind als bei einem höheren Alter.
§ 31 BDSG (Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften) nennt die Voraussetzungen für ein datenschutzkonformes Scoring.
Es ist nur zulässig, wenn
Der Datenschutz möchte unter anderem vermeiden, dass Auskunfteien allein aus der Anschrift die Bonität eines Kunden vorhersagen.
Soll dies trotzdem erfolgen, muss der Verantwortliche den betroffenen Kunden darüber informieren. Und das muss er dokumentieren.
Scoring-Verfahren gehören zu den Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung (DSFA) nötig ist. Das sagt Artikel 35 Datenschutz-Grundverordnung (DSGVO).
Außerdem zählt die sogenannte „Muss-Liste“ der Datenschutzkonferenz Scoring zu den Verarbeitungen, die einer Datenschutz-Folgenabschätzungen unterliegen.
Diese Muss-Liste heißt vollständig „Liste von Verarbeitungsvorgängen nach Art. 35 Abs. 4 DSGVO für den nicht-öffentlichen Bereich“.
Will ein Unternehmen (der „nicht-öffentlichen Bereich“) Scoring einführen, muss es also vorher eine Datenschutz-Folgenabschätzung vornehmen.
Scoring bekommt Personenbezug, wenn ein bestimmter Wert mit einer bestimmten Person verknüpft wird. Das ist vor einer Kredit-Entscheidung der Fall, dem klassischen Beispiel, bei dem die Score-Bewertung eine große Rolle spielt.
Die wirtschaftliche Bedeutung von Score-Werten liegt auf der Hand:
Deshalb sind die Vorgaben des Datenschutzes hier sehr hoch.
Neben den Scorewerten verarbeiten Auskunfteien personenbezogene Daten und personenbeziehbare Daten wie
Neben der Verpflichtung aus der DSGVO, vor der Aufnahme eines Scoring-Verfahrens eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO zu machen, ist insbesondere ein Urteil des Europäischen Gerichtshofs (EuGH) zur Anwendung von Score-Werten relevant, über das mehrere Aufsichtsbehörden berichtet haben. So hat sich dazu etwa die hessische Aufsichtsbehörde geäußert:
„Der EuGH hat die Anwendung von Score-Werten zur alleinigen Bemessung von Kreditwürdigkeit in Auskunfteien eingeschränkt. Das Erstellen und Verwenden solcher Scores hat der EuGH soweit als automatisierte Entscheidung über einen Vertrag angesehen, als ihnen der Vertragspartner – der Kunde einer Auskunftei (also insbesondere ein Kreditinstitut) – eine maßgebliche Rolle bei der Begründung, Durchführung oder Beendigung eines Vertrags beimisst. Eine solche automatisierte Entscheidung ist nach Artikel 22 DSGVO aber grundsätzlich unzulässig und darf nur aufgrund einer Einwilligung oder auf Grundlage einer gesetzlichen Regelung getroffen werden.
Weiterhin entschied der EuGH, dass Auskunfteien Daten zur Ermittlung von Scores nicht länger als das öffentliche Insolvenzregister über Restschuldbefreiungen aufbewahren dürfen, also nicht länger als sechs Monate. Nach den sechs Monaten überwiegen die Rechte und Interessen der betroffenen Personen. Rechtswidrig gespeicherte Daten sind zu löschen.“
Ein weiteres Urteil des EuGH besagt, dass bei einer automatisierten Bonitätsbeurteilung die betroffene Person das Recht hat, zu erfahren, wie die sie betreffende Entscheidung zustande kam (https://curia.europa.eu/site/upload/docs/application/pdf/2025-02/cp250022de.pdf). Die Erläuterung muss es ihr ermöglichen, die automatisierte Entscheidung nachzuvollziehen und sie anzufechten.
Zudem haben die Aufsichtsbehörden für den Datenschutz bereits in der Vergangenheit einige Vorgaben veröffentlicht:
„Die Zulässigkeit einer Einmeldung beurteilt sich (..) nach Art. 6 Abs. 1 S. 1 lit. f DSGVO. Hierzu ist es notwendig, dass die Einmeldung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Zudem dürfen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen. Das bedeutet, dass eine Abwägung unter Berücksichtigung dieser Kriterien im Einzelfall vorzunehmen ist.“
„Auskunfteien dürfen Bonitätsauskünfte gemäß Art. 6 Abs. 1 S. 1 lit. f DSGVO grundsätzlich nur erteilen, wenn es zur Wahrung eines berechtigten Interesses eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.“
„Handels- und Wirtschaftsauskunfteien können sog. Positivdaten zu Privatpersonen grundsätzlich nicht auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO erheben.
Denn bei Positivdaten – das sind Informationen, die keine negativen Zahlungserfahrungen oder sonstiges nicht vertragsgemäßes Verhalten zum Inhalt haben – überwiegt regelmäßig das schutzwürdige Interesse der betroffenen Personen, selbst über die Verwendung ihrer Daten zu bestimmen.
Werden die Daten von einem Verantwortlichen an eine Auskunftei übermittelt, ist insoweit bereits die Übermittlung dieser Daten nach Art. 6 Abs. 1 S. 1 lit. f DSGVO regelmäßig unzulässig.
Will eine Auskunftei Positivdaten zu Privatpersonen erheben, bedarf es dafür im Regelfall einer wirksamen Einwilligung der betroffenen Personen im Sinne des Art. 7 DSGVO.“
Zudem sei verwiesen auf die „Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling“. Das ist eine Leitlinie der Artikel-29-Gruppe, die der Europäische Datenschutzausschuss (EDSA) bestätigt hat. Zudem hat der Verband „Die Wirtschaftsauskunfteien e.V.“ genehmigte Verhaltensregeln nach Artikel 40 DSGVO für die Prüf- und Speicherfristen von personenbezogenen Daten (https://www.datenschutzkonferenz-online.de/media/vr/250525_CoC_DW_.pdf) veröffentlicht.
