EuGH C-203/22: Scoring-Auskunft bei Dun & Bradstreet

Wer wegen eines Bonitätsscores keinen Vertrag erhält, muss sich nicht mit einer Zahl, einer Risikoklasse oder allgemeinen Hinweisen auf ein statistisches Verfahren zufriedengeben. Der Europäische Gerichtshof hat in der Rechtssache C-203/22 (Dun & Bradstreet) konkretisiert, wie eine verständliche Scoring-Auskunft nach Art. 15 DSGVO aussehen muss.

Die kurze Antwort: Bei einer automatisierten Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO muss die betroffene Person nachvollziehen können, welche eigenen personenbezogenen Daten auf welche Weise verarbeitet wurden und nach welchen konkret angewandten Verfahren und Grundsätzen das individuelle Ergebnis entstand. Ein Anspruch auf Quellcode oder die vollständige Offenlegung eines Algorithmus folgt daraus nicht automatisch. Umgekehrt befreien weder technische Komplexität noch der pauschale Hinweis auf Geschäftsgeheimnisse von einer nachvollziehbaren Erläuterung.

Stand dieses Beitrags: 21. August 2026. Das Urteil legt Unionsrecht verbindlich aus. Welche Ansprüche in einem konkreten Fall bestehen, hängt unter anderem vom eingesetzten Score, seiner Rolle bei der Entscheidung und dem Inhalt der bereits erteilten Auskunft ab.

Worum ging es im Fall C-203/22?

Eine Mobilfunkkundin in Österreich erhielt keinen neuen beziehungsweise verlängerten Mobilfunkvertrag, weil eine automatisierte Bonitätsbeurteilung von Dun & Bradstreet Austria sie als nicht ausreichend zahlungskräftig eingestuft hatte. Die österreichische Datenschutzbehörde verlangte daraufhin aussagekräftige Informationen über die Logik der automatisierten Verarbeitung. In dem späteren Vollstreckungsverfahren war unter anderem umstritten, wie konkret diese Erläuterung sein muss und welchen Einfluss Geschäftsgeheimnisse oder personenbezogene Daten Dritter auf den Auskunftsumfang haben.

Der EuGH entschied am 27. Februar 2025 über die Auslegung von Art. 15 Abs. 1 Buchst. h DSGVO. Das Gericht entschied dagegen nicht abschließend, ob die Kundin einen Anspruch auf den gewünschten Mobilfunkvertrag hatte, ob ihr Score sachlich richtig war oder ob ihr ein Schadensersatzanspruch zustand. Solche Fragen sind anhand des jeweiligen Sachverhalts zu beurteilen.

Kernaussage des EuGH: ein echtes Recht auf verständliche Erläuterung

Art. 15 Abs. 1 Buchst. h DSGVO nennt bei einer automatisierten Entscheidungsfindung einschließlich Profiling „aussagekräftige Informationen über die involvierte Logik“ sowie Informationen über Tragweite und angestrebte Auswirkungen der Verarbeitung. Nach dem Urteil des EuGH in der Rechtssache C-203/22 ist damit ein Recht auf Erläuterung des Verfahrens und der Grundsätze gemeint, die bei der Verarbeitung der Daten dieser konkreten Person zu dem konkreten Ergebnis geführt haben.

Die Information muss präzise, transparent, verständlich und leicht zugänglich sein. Ihr Zweck ist praktisch: Die betroffene Person soll die Bewertung prüfen, ihren Standpunkt darlegen und eine automatisierte Entscheidung gegebenenfalls anfechten können. Eine Erklärung ist daher nicht schon deshalb ausreichend, weil sie technisch umfangreich ist.

Was eine aussagekräftige Scoring-Auskunft erkennen lassen sollte

Je nach Verfahren und Einzelfall gehören insbesondere folgende Punkte in eine brauchbare Erklärung:

• das konkrete Ergebnis: etwa der tatsächlich berechnete Score, die zugeordnete Risikoklasse und der Zeitpunkt der Berechnung;
• die Bedeutung des Ergebnisses: was die Zahl oder Kategorie im verwendeten Modell aussagt und welche Auswirkungen sie für die betroffene Person haben sollte;
• die verwendeten personenbezogenen Daten: welche individuellen Eingabedaten in das betreffende Profil eingeflossen sind und wie sie verarbeitet wurden;
• das konkret angewandte Verfahren und seine Grundsätze: welche Überlegungen oder Kriterien für die Bewertung maßgeblich waren;
• der nachvollziehbare Einfluss der Daten: in welcher Richtung und in welchem für die Erklärung relevanten Umfang bestimmte Eingaben das individuelle Ergebnis beeinflussten;
• verständliche Vergleichsbeispiele: gegebenenfalls, in welchem Maße eine Abweichung bei berücksichtigten Daten zu einem anderen Ergebnis geführt hätte;
• Abweichungen zwischen Auskunft und tatsächlichem Profil: Wurde gegenüber dem Vertragspartner ein anderer Score oder ein anderes Profil verwendet als in der Auskunft mitgeteilt, muss dieser Unterschied nachvollziehbar erklärt werden.

Der EuGH verlangt damit keine für alle Scoring-Modelle identische Tabelle exakter Prozentgewichte. Der erforderliche Detailgrad richtet sich danach, was nötig ist, um die konkrete Verarbeitung und das Ergebnis wirksam zu verstehen und zu überprüfen. Eine bloße Liste abstrakter Faktoren wie „Zahlungsverhalten“, „Vertragsdaten“ oder „statistische Merkmale“ kann zu wenig sein, wenn offenbleibt, welche Daten der betroffenen Person tatsächlich verwendet wurden und warum gerade ihr Ergebnis entstand.

Was nicht genügt – und was nicht automatisch offengelegt werden muss

Nicht ausreichend sind regelmäßig Informationen, die zwar formal vorhanden, für die betroffene Person aber nicht nutzbar sind. Dazu können gehören:

• nur der Scorewert ohne Erklärung seiner Bedeutung;
• allgemeine Datenschutzhinweise ohne Bezug zum individuellen Profil;
• eine komplexe mathematische Formel ohne verständliche Einordnung;
• ein umfangreicher technischer Ablauf, aus dem die maßgeblichen Kriterien nicht hervorgehen;
• eine Erklärung zu einem anderen Score als demjenigen, der tatsächlich übermittelt oder verwendet wurde.

Gleichzeitig hat der EuGH ausdrücklich klargestellt: Art. 15 DSGVO verlangt nicht unbedingt die ausführliche Erläuterung oder vollständige Offenlegung des gesamten Algorithmus. Quellcode, Modellarchitektur und jeder einzelne Rechenschritt sind nicht automatisch herauszugeben. Entscheidend ist nicht die Menge technischer Details, sondern ob die Erklärung die konkrete Verarbeitung verständlich macht.

Eingabedaten, Datenquellen und Empfänger gehören mit auf den Prüfstand

Die Auskunft über die Logik ersetzt nicht die übrige Auskunft nach Art. 15 DSGVO. Der Anspruch auf Zugang zu den verarbeiteten personenbezogenen Daten folgt bereits aus Art. 15 Abs. 1 DSGVO. Wurden die Daten nicht bei der betroffenen Person erhoben, sind grundsätzlich auch verfügbare Informationen über ihre Herkunft zu nennen; außerdem kann die Auskunft Angaben zu Empfängern oder Empfängerkategorien umfassen.

Für eine Prüfung kann es deshalb sinnvoll sein, nicht nur nach „meinem Score“ zu fragen, sondern das konkrete Profil einzugrenzen:

• Welcher Score wurde an welches Unternehmen übermittelt?
• Wann wurde er berechnet und auf welchen Datenstand bezog er sich?
• Welche personenbezogenen Eingabedaten wurden für genau diesen Score verwendet?
• Aus welchen Quellen stammten diese Daten?
• Welche Risikoklasse und welche inhaltliche Aussage waren mit dem Wert verbunden?
• Welche Rolle spielte der Score bei Vertragsschluss, Preis, Zahlungsart oder Kündigung?

Das ist besonders wichtig, wenn eine Auskunftei mehrere branchen-, kunden- oder zeitbezogene Scores bildet. Eine allgemeine Selbstauskunft muss dann nicht zwangsläufig erkennen lassen, welcher Wert für die konkrete Ablehnung maßgeblich war.

Mehr zum allgemeinen Umfang des Auskunftsrechts lesen Sie im Beitrag Auskunft nach Art. 15 DSGVO: Reichweite, Datenkopien und Fristen.

Geschäftsgeheimnisse erlauben keine pauschale Verweigerung

Scoring-Anbieter berufen sich häufig auf den Schutz ihrer Modelle, auf Geschäftsgeheimnisse oder auf personenbezogene Daten Dritter. Solche Rechte sind zu berücksichtigen, verdrängen das Auskunftsrecht aber nicht automatisch.

Hält der Verantwortliche Informationen, die eigentlich von der Scoring-Auskunft erfasst sind, für ein Geschäftsgeheimnis oder für geschützte Daten Dritter, muss er sie nach dem EuGH im Streitfall der zuständigen Datenschutzaufsichtsbehörde oder dem zuständigen Gericht zugänglich machen. Dort sind die gegenläufigen Rechte und Interessen im Einzelfall abzuwägen. Eine nationale Regel, die den Auskunftsanspruch bei einer möglichen Gefährdung von Geschäftsgeheimnissen grundsätzlich ausschließt, genügt diesem Maßstab nicht.

Das Urteil bedeutet deshalb weder „Geschäftsgeheimnisse spielen keine Rolle“ noch „Betroffene erhalten stets sämtliche Modellinformationen“. Möglich sind abgestufte Lösungen, etwa verständliche Erläuterungen ohne fremde Identitätsdaten oder eine vertrauliche Prüfung nicht offengelegter Unterlagen durch Behörde beziehungsweise Gericht. Eine pauschale Antwort wie „geheim, daher keine weitere Auskunft“ beendet die Prüfung jedoch nicht.

C-203/22 und C-634/21: Dun & Bradstreet ist nicht das SCHUFA-Urteil

Die beiden EuGH-Entscheidungen ergänzen sich, beantworten aber unterschiedliche Fragen:

Das SCHUFA-Urteil C-634/21 besagt nicht, dass jede Verwendung eines Scores stets eine ausschließlich automatisierte Entscheidung darstellt. Relevant ist insbesondere, wie stark der Score die nachfolgende Entscheidung tatsächlich bestimmt. Eine echte, eigenständige menschliche Bewertung kann rechtlich anders einzuordnen sein als eine bloße formale Bestätigung eines automatisch vorgegebenen Ergebnisses.

Weitere Informationen zu Auskunfteien, Scorewerten und möglichen Ansprüchen finden Sie auf der Seite SCHUFA und Bonität.

Welche Rechte bestehen bei einer automatisierten Ablehnung?

Art. 22 Abs. 1 DSGVO schützt grundsätzlich davor, einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder eine Person in ähnlicher Weise erheblich beeinträchtigt. Ob eine Vertragsablehnung, eine bestimmte Zahlungsbedingung oder eine andere Maßnahme diese Schwelle erreicht, ist im konkreten Kontext zu prüfen.

Die DSGVO kennt Ausnahmen, etwa wenn die automatisierte Entscheidung für einen Vertrag erforderlich, gesetzlich zugelassen oder auf eine ausdrückliche Einwilligung gestützt ist. Auch dann sind Schutzvorkehrungen zu beachten. Bei den in Art. 22 Abs. 2 Buchst. a und c genannten Fällen umfasst Art. 22 Abs. 3 jedenfalls das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Bei gesetzlich zugelassenen Verfahren müssen die einschlägigen Vorschriften angemessene Maßnahmen zum Schutz der Rechte vorsehen.

Nicht jede negative Bonitätsbewertung ist deshalb automatisch rechtswidrig oder zu löschen. Sind jedoch verwendete Tatsachen falsch, kommen insbesondere Berichtigung und – unter den gesetzlichen Voraussetzungen – Einschränkung der Verarbeitung oder Löschung in Betracht. Ist dagegen die Tatsachengrundlage richtig, aber die Bewertung unverständlich oder die Entscheidung unzulässig automatisiert, sind andere Ansprüche und Rechtsbehelfe zu prüfen.

Einen Überblick über Beratung und Prüfung weiterer Betroffenenrechte finden Sie unter Datenschutzrecht.

Vorgehen für Betroffene: Bonitätsscore in sechs Schritten prüfen

1. Ablehnung und Ablauf dokumentieren

Sichern Sie Schreiben, E-Mails und Bildschirmhinweise. Notieren Sie Datum, beantragtes Produkt, genannte Auskunftei und die Begründung. Fragen Sie das entscheidende Unternehmen, ob ein Score verwendet wurde und welche Bedeutung er für die Entscheidung hatte.

2. Auskunftei und Vertragspartner getrennt anschreiben

Auskunftei und Bank, Händler, Vermieter, Telekommunikations- oder Energieunternehmen können unterschiedliche Daten verarbeiten und jeweils Verantwortliche im Sinne der DSGVO sein. Eine Anfrage nur an eine Stelle kann deshalb Lücken lassen.

3. Auskunft konkret formulieren

Eine mögliche Formulierung lautet:

Bitte erteilen Sie mir Auskunft nach Art. 15 DSGVO zu der Bonitätsbewertung, die im Zusammenhang mit [Vorgang und Datum] erstellt, übermittelt oder verwendet wurde. Bitte nennen Sie den konkreten Score beziehungsweise die Profilkategorie, alle dafür verwendeten personenbezogenen Eingabedaten, verfügbare Informationen zu deren Herkunft, Empfänger sowie Zeitpunkt und Bedeutung des Ergebnisses. Soweit eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 Abs. 1 DSGVO vorliegt, erläutern Sie bitte in präziser, verständlicher und leicht zugänglicher Form die konkret angewandten Verfahren und Grundsätze, wie meine Daten das Ergebnis beeinflusst haben sowie Tragweite und angestrebte Auswirkungen. Bitte teilen Sie auch mit, welche Rolle der Score bei der konkreten Entscheidung spielte.

Diese Formulierung ist ein Ausgangspunkt und muss gegebenenfalls an den Sachverhalt angepasst werden. Ein Unternehmen darf bei begründeten Zweifeln zusätzliche Informationen zur Identitätsbestätigung anfordern; die Prüfung sollte dabei verhältnismäßig bleiben.

4. Inhalt statt Seitenzahl prüfen

Vergleichen Sie Score, Datum, Empfänger und Eingabedaten mit der dokumentierten Ablehnung. Prüfen Sie insbesondere, ob Daten veraltet, einer anderen Person zugeordnet, doppelt gespeichert oder sachlich falsch sind. Fragen Sie nach, wenn nur Faktorgruppen genannt werden, der Einfluss auf Ihr individuelles Ergebnis aber offenbleibt.

5. Berichtigung oder menschliche Überprüfung verlangen

Benennen Sie falsche Daten möglichst genau und fügen Sie geeignete Nachweise bei. Bei einer einschlägigen automatisierten Entscheidung können Sie außerdem Ihren Standpunkt darlegen, die Entscheidung anfechten und – soweit Art. 22 Abs. 3 greift – ein tatsächliches menschliches Eingreifen verlangen. Eine menschliche Prüfung sollte sich inhaltlich mit Ihren Einwänden befassen und nicht nur das automatische Ergebnis wiederholen.

6. Frist und Rechtsbehelfe im Blick behalten

Nach Art. 12 Abs. 3 DSGVO ist grundsätzlich innerhalb eines Monats über den Antrag zu informieren. Bei komplexen oder zahlreichen Anträgen kann die Frist um bis zu zwei weitere Monate verlängert werden; über Verlängerung und Gründe muss innerhalb des ersten Monats informiert werden.

Bleibt die Auskunft aus oder ist sie weiterhin nicht nachvollziehbar, kommen eine Nachfrage, eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde und eine gerichtliche Prüfung in Betracht. Welcher Weg sinnvoll ist, hängt von Ziel, Dringlichkeit, Nachweisen und dem konkreten Nachteil ab. Ein bestimmtes Ergebnis lässt sich nicht allein aus dem Urteil C-203/22 ableiten.

Was Unternehmen und Auskunfteien jetzt organisatorisch benötigen

Das Urteil betrifft nicht nur den Text einer Datenschutzerklärung. Verantwortliche müssen in der Lage sein, die Entstehung eines individuellen Ergebnisses tatsächlich zu rekonstruieren. Sinnvoll sind insbesondere:

• klare Rollen und Zuständigkeiten: Wer erstellt das Profil, wer entscheidet und wer beantwortet welchen Teil der Anfrage?
• nachvollziehbare Datenherkunft: Eingabedaten, Quellen, Berechnungszeitpunkt, verwendetes Modell und übermitteltes Ergebnis sollten dem Vorgang zugeordnet werden können;
• adressatengerechte Erklärungen: Kriterien, Verfahren, Ergebnis und Auswirkungen sollten in klarer Sprache statt ausschließlich in mathematischen oder technischen Beschreibungen erläutert werden;
• individuelle statt nur generische Informationen: Ein allgemeines Modellblatt kann hilfreich sein, ersetzt aber nicht zwingend die Erklärung, welche Daten im konkreten Fall wie verwendet wurden;
• plausible Beispiele: Konkrete, greifbare Beispiele oder Vergleichsszenarien können zeigen, wie Änderungen relevanter Eingaben das Ergebnis beeinflusst hätten;
• wirksame menschliche Kontrolle: Wenn eine menschliche Überprüfung vorgesehen ist, benötigt die prüfende Person ausreichende Kompetenz, Entscheidungsspielraum und Zugriff auf die relevanten Informationen;
• ein Verfahren für Geheimhaltungsinteressen: Geschäftsgeheimnisse und Drittdaten sollten konkret bezeichnet und für eine mögliche vertrauliche Prüfung durch Aufsichtsbehörde oder Gericht bereitgehalten werden;
• Qualitäts- und Fristenkontrolle: Unrichtige Daten, Widersprüche zwischen Profilen und verspätete Antworten erhöhen rechtliche und operative Risiken.

Je nach Risiko der Verarbeitung können außerdem eine Datenschutz-Folgenabschätzung, regelmäßige Tests auf Fehler und Verzerrungen sowie klare Vereinbarungen mit eingesetzten Dienstleistern erforderlich sein. Die Leitlinien des Europäischen Datenschutzausschusses zu automatisierten Entscheidungen und Profiling betonen dabei verständliche Informationen und reale, greifbare Beispiele.

Häufige Fragen zur Scoring-Auskunft

Muss die SCHUFA oder eine andere Auskunftei den gesamten Algorithmus offenlegen?

Nein, nicht automatisch. Der EuGH verlangt eine verständliche, individuelle Erklärung der konkret angewandten Verfahren und Grundsätze. Eine komplexe Formel allein genügt nicht; zugleich ist die vollständige Offenlegung des Algorithmus nicht zwingend erforderlich.

Reicht eine kostenlose Datenkopie mit dem aktuellen Score?

Nicht immer. Die Datenkopie kann verarbeitete Daten und Scorewerte zeigen. Liegt eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO vor, muss die zusätzliche Information nach Art. 15 Abs. 1 Buchst. h die konkrete Verarbeitung verständlich erklären. Entscheidend ist der Inhalt, nicht die Bezeichnung des Dokuments.

Darf eine Auskunftei Auskunft wegen Geschäftsgeheimnissen ablehnen?

Ein pauschaler Ausschluss ist mit dem EuGH-Urteil nicht vereinbar. Geschützte Interessen sind im Einzelfall mit dem Auskunftsrecht abzuwägen. Die angeblich geschützten Informationen müssen dafür der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht vorgelegt werden können.

Gilt C-203/22 nur für Dun & Bradstreet?

Nein. Das Urteil erging zwar in einem Verfahren mit Dun & Bradstreet Austria, legt aber Art. 15 Abs. 1 Buchst. h DSGVO unionsweit aus. Seine Grundsätze können daher auch andere Verantwortliche betreffen, die automatisierte Bonitätsbewertungen oder vergleichbare Profile einsetzen. Ob die Voraussetzungen im Einzelfall erfüllt sind, bleibt gesondert zu prüfen.

Führt ein unverständlicher Score automatisch zur Löschung oder zu Schadensersatz?

Nein. Auskunft, Berichtigung, Löschung, Einschränkung, Anfechtung und Schadensersatz haben unterschiedliche Voraussetzungen. Eine unzureichende Erklärung kann weitere Schritte begründen, ersetzt aber nicht die Prüfung des jeweiligen Anspruchs.

Was gilt, wenn ein Mensch die endgültige Entscheidung getroffen hat?

Dann kommt es darauf an, ob die Person tatsächlich eigenständig geprüft und entschieden hat oder das automatische Ergebnis faktisch nur übernommen wurde. Auch außerhalb von Art. 22 können allgemeine Auskunfts-, Transparenz- und Berichtigungsrechte bestehen. Die besondere Scoring-Erläuterung aus C-203/22 bezieht sich auf automatisierte Entscheidungen einschließlich Profiling im Sinne von Art. 22 Abs. 1 DSGVO.

Fazit: Nicht der Quellcode, sondern die individuelle Nachvollziehbarkeit ist entscheidend

C-203/22 stärkt die praktische Kontrolle über automatisierte Bonitätsbewertungen. Auskunfteien und entscheidende Unternehmen müssen eine Erklärung liefern, mit der Betroffene verstehen können, welche eigenen Daten wie zum konkreten Score und zu seinen Auswirkungen beigetragen haben. Technische Informationsmengen, allgemeine Faktorlisten und pauschale Geheimhaltungsargumente reichen dafür nicht zwangsläufig aus.

Wer eine Ablehnung erhalten hat, sollte zunächst den tatsächlich verwendeten Score, seine Eingabedaten und seine Rolle in der Entscheidung klären. Erst danach lässt sich sinnvoll beurteilen, ob Daten berichtigt, eine Entscheidung menschlich überprüft oder weitere datenschutzrechtliche Schritte eingeleitet werden sollten.

Amtliche Quellen

• EuGH, Urteil vom 27. Februar 2025 – C-203/22, CK/Dun & Bradstreet
• EuGH, Urteil vom 7. Dezember 2023 – C-634/21, SCHUFA (Scoring)
• Datenschutz-Grundverordnung, insbesondere Art. 12, 15 und 22
• Europäischer Datenschutzausschuss: Leitlinien zu automatisierten Entscheidungen und Profiling