Kreditvergabe und DSGVO: Auskunft, Scoring und Datenschutz
Datenschutz bei Kreditantrag und Scoring: Rechtsgrundlage, Informationspflicht, Auskunft, Berichtigung, automatisierte Entscheidungen und SCHUFA-Urteil.
In diesem Artikel
Kurzantwort
Bei einer Kreditprüfung dürfen nur Daten mit einer tragfähigen Rechtsgrundlage und für klare Zwecke verarbeitet werden. Antragsteller haben insbesondere Rechte auf Information, Auskunft und Berichtigung. Nach dem EuGH-Urteil C-634/21 kann die Bildung eines Bonitätsscores eine automatisierte Entscheidung nach Artikel 22 DSGVO sein, wenn ein Dritter seine Kreditentscheidung maßgeblich darauf stützt. Nicht jede automatisierte Vorprüfung ist deshalb verboten, aber sie benötigt eine passende Rechtsgrundlage, Transparenz und Schutzmaßnahmen.
Welche Daten bei einem Kreditantrag anfallen
Kreditgeber verarbeiten typischerweise Identitäts-, Kontakt-, Einkommens-, Ausgaben-, Beschäftigungs-, Konto- und Vertragsdaten. Je nach Produkt kommen Informationen zu Sicherheiten und Auskunfteien hinzu. Die Kreditwürdigkeitsprüfung ist gesetzlich vorgeschrieben; die einzelne Datenverarbeitung benötigt trotzdem eine Rechtsgrundlage nach der DSGVO.
Artikel 5 DSGVO verlangt Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Sicherheit. Ein Kreditgeber darf nicht beliebig Daten sammeln, nur weil sie technisch verfügbar sind.
Informationen vor und bei der Datenerhebung
| Recht | Praktische Frage |
|---|---|
| Information, Art. 13/14 | Wer verarbeitet welche Daten zu welchem Zweck und wie lange? |
| Auskunft, Art. 15 | Welche Daten, Empfänger und Herkunft sind gespeichert? |
| Berichtigung, Art. 16 | Wie werden nachweislich falsche Angaben korrigiert? |
| Löschung/Einschränkung, Art. 17/18 | Ist Speicherung noch erforderlich oder rechtlich vorgeschrieben? |
| Widerspruch, Art. 21 | Welche Interessenabwägung oder Direktwerbung ist betroffen? |
| Automatisierte Entscheidung, Art. 22 | Entsteht eine erhebliche Entscheidung ausschließlich automatisiert? |
Scoring nach dem EuGH-Urteil C-634/21
Der Europäische Gerichtshof entschied am 7. Dezember 2023: Ermittelt eine Auskunftei automatisiert einen Wahrscheinlichkeitswert und stützt ein Unternehmen seine Entscheidung maßgeblich darauf, kann bereits die Score-Erstellung als automatisierte Entscheidung im Sinne von Artikel 22 Absatz 1 DSGVO einzuordnen sein. Die konkrete nationale Anwendung hängt von Rechtsgrundlage und Verfahren ab.
Das Urteil bedeutet nicht, dass jede statistische Bewertung generell unzulässig ist. Es erhöht aber die Anforderungen an Rechtmäßigkeit, aussagekräftige Informationen über die involvierte Logik, Bedeutung und angestrebten Folgen sowie an menschliche Überprüfung, wenn Artikel 22 einschlägig ist.
Auskunft und Korrektur praktisch durchsetzen
- Verantwortlichen und konkrete Datenverarbeitung identifizieren.
- Auskunft nach Artikel 15 DSGVO mit angemessener Identifikation anfordern.
- Falsche Daten mit Belegen benennen und Berichtigung verlangen.
- Bei einer automatisierten Ablehnung nach Entscheidungskriterien, menschlicher Prüfung und Anfechtungsmöglichkeit fragen.
- Antwort und Fristen dokumentieren; bei Bedarf Datenschutzaufsicht oder unabhängige Beratung einschalten.
Grenzen des Auskunftsrechts
Auskunft gibt Zugang zu personenbezogenen Daten und den gesetzlich vorgesehenen Informationen. Sie bedeutet nicht automatisch einen Anspruch auf die vollständige Offenlegung von Geschäftsgeheimnissen oder Quellcode. Der Verantwortliche muss jedoch genug erklären, damit die betroffene Person die Verarbeitung und ihre Folgen nachvollziehen und ihre Rechte ausüben kann.
Häufige Fragen
Darf eine Bank eine Auskunftei abfragen?
Eine Übermittlung und Abfrage benötigt eine Rechtsgrundlage und muss die Datenschutzgrundsätze einhalten. Die genaue Bewertung hängt von Zweck, Vertragssituation und den betroffenen Daten ab.
Kann ich die Score-Formel vollständig verlangen?
Sie haben Anspruch auf die gesetzlich vorgesehenen aussagekräftigen Informationen zur Logik, Bedeutung und zu Folgen. Das ist nicht zwingend identisch mit Quellcode oder sämtlichen Geschäftsgeheimnissen.
Muss ein Mensch jede Kreditentscheidung treffen?
Nicht jede Automatisierung fällt unter Artikel 22 DSGVO. Bei einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung gelten jedoch besondere Voraussetzungen und Schutzrechte.
Offizielle Quellen und Rechtsgrundlagen
Zuletzt fachlich geprüft am 25.09.2026.