Am 21. Oktober 2026 hat der erste Zivilsenat des Bundesgerichtshofs (BGH) ein wegweisendes Grundsatzurteil zur Durchsetzbarkeit von Transparenzansprüchen nach Art. 15 Abs. 1 lit. h DSGVO gegen Wirtschaftsauskunfteien gefällt. Das Urteil hebt vier Urteile des OLG Dresden vom 7. Oktober 2025 (Az. I ZR 227/25 bis I ZR 230/25) auf und definiert, wann und wie Betroffene Auskunft über die Logik hinter einem Schufa-Score erhalten können. Gleichzeitig wird deutlich, welche Grenzen – insbesondere zum Schutz des mathematischen Algorithmus als Geschäftsgeheimnis – bestehen.
Hintergrund: Auskunftsanspruch und automatisierte Entscheidungen
Nach Art. 15 Abs. 1 lit. h DSGVO hat jede betroffene Person das Recht, Informationen darüber zu erhalten, ob eine Entscheidung ausschließlich auf einer automatisierten Verarbeitung nach Art. 22 DSGVO beruht. Dabei muss die Auskunft die involvierte Logik, die Tragweite und die angestrebten Auswirkungen der Verarbeitung umfassen. Für Scoring-Verfahren der Schufa bedeutet das, dass ein Betroffener nicht nur über den erhaltenen Scorewert, sondern auch über die maßgeblichen Kriterien und deren Gewichtung informiert werden kann – vorausgesetzt, der Score hatte unmittelbar Einfluss auf eine nachteilige Entscheidung, etwa eine Kreditablehnung.
Europäische Vorgaben
- EuGH-Entscheidung C-634/21 (07.12.2023) ordnet Bonitäts-Scores unter Art. 22 Abs. 1 DSGVO als mögliche automatisierte Entscheidung ein.
- Ein Auskunftsanspruch greift erst, wenn die automatisierte Entscheidung maßgeblich für die Vertragsablehnung war.
Das Karlsruher Grundsatzurteil vom 21. Oktober 2026
Der BGH hob die vier Urteile des OLG Dresden (Az. I ZR 227/25, I ZR 228/25, I ZR 229/25, I ZR 230/25) teilweise auf und verwies die Verfahren zurück. Die Gründe sind drei-fach:
- Das OLG Dresden habe nicht hinreichend festgestellt, dass der Score tatsächlich kausal für die nachteilige Unternehmensentscheidung war.
- Die von der Schufa im Jahr 2023 erteilten Standard-Auskünfte erfüllten die gesetzlichen Transparenzanforderungen nicht, weil sie keine ausreichende Auskunft über die zugrundeliegende Logik boten.
- Der BGH stellte klar, dass ein Auskunftsanspruch nach Art. 15 DSGVO nur bei Vorliegen einer automatisierten Entscheidung nach Art. 22 DSGVO besteht.
Damit bleibt bestehen, dass die Schufa den genauen mathematischen Kernalgorithmus – seit dem Grundsatzurteil VI ZR 156/13 (28.01.2014) als Betriebs- und Geschäftsgeheimnis geschützt – nicht offenlegen muss.
Beweiserleichterung durch die Kausalitätsvermutung
Der BGH leitet aus dem Effektivitätsgebot des Unionsrechts eine “tatsächliche Vermutung” ab: Zeigt ein Kläger, dass ein Schufa-Score innerhalb kurzer Zeit nach seiner Übermittlung an ein Unternehmen übermittelt wurde und unmittelbar danach eine nachteilige Entscheidung (z. B. Kreditablehnung) erfolgte, reicht diese Kausalitätsvermutung aus, um die Auskunftspflicht zu begründen. Aufwändige Beweise für interne Bank‑KO‑Kriterien sind damit entbehrlich.
- Voraussetzung: zeitlicher Zusammenhang zwischen Score‑Übermittlung und negativer Entscheidung.
- Resultat: Die Schufa muss zumindest die maßgeblichen Einflussfaktoren und deren Gewichtung offenlegen – nicht jedoch den vollständigen Quellcode.
Grenzen der Auskunft: Geschäftsgeheimnisse und fehlende Volloffenlegung
Das BGH‑Urteil von 2014 hält den mathematisch‑statistischen Kernalgorithmus der Schufa für ein geschütztes Betriebs‑ und Geschäftsgeheimnis. Auch nach dem aktuellen Urteil erhalten Kläger keinen Anspruch auf Einsicht in den exakten Quellcode oder die genauen mathematischen Formeln. Die Auskunft muss sich auf die logische Struktur und die besonders einflussreichen Kriterien beschränken.
Konsequenzen für die vier Verfahren
- Das OLG Dresden muss die Verfahren neu verhandeln und prüfen, ob die Schufa die “tatsächliche Vermutung” im Einzelfall widerlegen kann.
- Sollte das Gericht feststellen, dass der Score maßgeblich war, kann ein erweiterter Auskunftsanspruch nach Art. 15 DSGVO entstehen.
- Die Schufa‑Schreiben von 2023 genügen hierfür nicht.
Neuregelung des Scorings im BDSG – § 37a BDSG ab 20. November 2026
Parallel zum Gerichtsurteil tritt am 20. November 2026 § 37a BDSG in Kraft. Die Norm enthält klare Transparenzpflichten und ein Verbot zur Nutzung besonders sensibler Daten (z. B. Geodaten, Kontobewegungen, Daten von Minderjährigen) für Scoring‑Zwecke. Das neue Schufa‑Score‑Modell hat folgende Merkmale:
- Punktebereich: 100 bis 999.
- Einflusskriterien: 12 definierte Kriterien.
- Umstellung: 50 % der Kunden haben bis Herbst 2026 auf das neue Modell gewechselt; vollständige Ablösung bis Ende 2028 geplant.
Die Gesetzesänderung stärkt den rechtlichen Rahmen für Bonitäts‑Scoring und erleichtert künftig die Durchsetzung von Transparenzansprüchen, weil die Auskunftei bereits nach Vorgaben informiert werden muss, welche Kriterien den Score besonders stark beeinflussen.
Praxisleitfaden für Verbraucher
Aus den beiden Entscheidungen ergeben sich klare Handlungsempfehlungen für Betroffene:
- Bei einer nachteiligen Vertragssituation prüfen, ob ein Schufa‑Score übermittelt wurde.
- Den zeitlichen Zusammenhang zwischen Score‑Übermittlung und der Entscheidung dokumentieren.
- Auf Grundlage der “tatsächlichen Vermutung” Art. 15 DSGVO‑Auskunft verlangen – ohne Vollbeweis der internen Bankprozesse.
- Falls die Schufa keine ausreichende Auskunft nach § 37a BDSG erteilt, kann ein gerichtlicher Anspruch geltend gemacht werden.
Fazit
Das Karlsruher Grundsatzurteil vom 21. Oktober 2026 markiert einen Wendepunkt für die Durchsetzbarkeit von DSGVO‑Transparenzansprüchen gegenüber Wirtschaftsauskunfteien. Durch die Einführung einer Kausalitätsvermutung wird der Nachweis für Verbraucher erheblich erleichtert, während das Geschäftsgeheimnis des Kernalgorithmus weiterhin geschützt bleibt. In Kombination mit der novellierten § 37a BDSG, die ab November 2026 strengere Transparenz‑ und Datenschutzvorgaben für Bonitäts‑Scoring festlegt, entsteht ein effektiver rechtlicher Rahmen, der Verbraucherrechte stärkt und gleichzeitig die Interessen der Auskunfteien berücksichtigt.