Datenschutz­woche

BGH-Entscheidung zur Auskunftspflicht der SCHUFA bei Scorewerten

Mit vier Urteilen vom 21.10.2026 (I ZR 227/25, I ZR 228/25, I ZR 229/25 und I ZR 230/25) hat der I. Zivilsenat des BGH genauer bestimmt, wann eine Wirtschaftsauskunftei Auskunft über die Logik ihrer Scorewertbildung geben muss. Gegenstand waren Auskünfte der SCHUFA aus dem Jahr 2023 zu älteren Score-Modellen. Darin hatte sie den Betroffenen unter anderem Scorewerte, Ratingstufen, Erfüllungswahrscheinlichkeiten und die verwendeten Datenarten mitgeteilt. Das OLG Dresden hatte die SCHUFA teilweise verurteilt, auch die Gewichtung der einflussreichsten Kriterien, die Aussagekraft des konkreten Scores und die für den Basisscore genutzten Daten und Kriterien offenzulegen. Der BGH hob diese Urteile auf, soweit den Klagen stattgegeben worden war, und verwies die Rechtssachen zur erneuten Verhandlung und Entscheidung an das Berufungsgericht zurück.

Inhaltlich knüpft der Senat an die Entscheidung des EuGH vom 07.12.2023 (Rs. C-634/21, SCHUFA Holding) an. Danach setzt der Auskunftsanspruch nach Art. 15 Abs. 1 lit. h DSGVO voraus, dass sämtliche Tatbestandsmerkmale des Art. 22 Abs. 1 DSGVO erfüllt sind. Das Scoring der SCHUFA ist nach Auffassung des BGH zwar Profiling im Sinne von Art. 4 Nr. 4 DSGVO und eine Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO. Offen blieb aber das Merkmal der erheblichen Beeinträchtigung. Das Berufungsgericht hätte feststellen müssen, ob es nach den Maßstäben der EuGH-Rechtsprechung maßgeblich vom übermittelten Scorewert abhängt, dass ein Dritter ein Vertragsverhältnis mit dem Betroffenen begründet, durchführt oder beendet. Zuerst ist also zu klären, ob der Score für einen konkreten Nachteil überhaupt entscheidend war. Erst danach stellt sich die Frage, wie weit die Auskunft reichen muss.

Bedeutsam sind die Ausführungen zur Darlegungs- und Beweislast. Sie liegt zwar bei den Betroffenen. Mit Blick auf den unionsrechtlichen Effektivitätsgrundsatz dürfen die Anforderungen aber nicht überspannt werden. Hier weicht der Senat von strengeren Ansichten einiger Oberlandesgerichte ab. Es genügt der Vortrag, dass ein Scorewert an ein Unternehmen übermittelt wurde und es in zeitlichem Zusammenhang damit zu einer nachteiligen Entscheidung bei der Anbahnung oder Durchführung eines Vertrags kam, auch mit einem verbundenen Unternehmen. Steht dies fest, greift eine tatsächliche Vermutung, dass die Entscheidung maßgeblich auf dem Score beruht.

Außerdem hat der BGH festgestellt: Besteht der Anspruch dem Grunde nach, hat die SCHUFA ihn mit ihren Schreiben aus dem Jahr 2023 nicht erfüllt. Den genauen Umfang der Auskunft muss das OLG neu bestimmen. Die SCHUFA begrüßt die Entscheidung dennoch und sieht ihre Auskunftspraxis in zentralen Punkten bestätigt. Gleichzeitig verweist sie auf den geänderten und demnächst geltenden § 37a BDSG. Das seit März 2026 verwendete neue Score-Modell war nicht Gegenstand der Verfahren.

BSI veröffentlicht „Cloud-Publikations-Map“

Während der Planung, Beschaffung, dem Einsatz und auch des Exits bzw. Wechsels von Cloud-Diensten stellen sich vielfältige Fragen zur Sicherheit der Cloudnutzung. Als Einstiegspunkt und Orientierung hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine „Cloud-Publikations-Map“ veröffentlicht. Diese soll einen Überblick über wichtige Publikationen des BSI bieten. Die Übersicht wird durch weitere Publikationen des Bundes, der EU und des UP KRITIS ergänzt.

Die „Cloud-Publikations-Map“ stellt verschiedene Standards, Richtlinien, Empfehlungen und Hilfsdokumente dar und zeigt deren Zusammenhänge. Zentral ist die Unterscheidung der vier verschiedenen Themengebiete: Öffentliche Verwaltung, Cloud-Anbieter, Grundlagen sicherer Cloud-Nutzung sowie KRITIS/NIS-2-regulierte Unternehmen. Eine klickbare Grafik auf Seite sechs bietet einen Überblick über die bisherigen Veröffentlichungen. Kapitel 3.2.3 enthält zudem einen Leitfaden zur Erstellung einer Cloud-Nutzungsstrategie. 

Aktuelle Gerichtsentscheidungen

• BGH, Urteile vom 21.10.2026, Az. I ZR 227/25, I ZR 228/25, I ZR 229/25 und I ZR 230/25 (Volltexte): Zum Auskunftsanspruch nach Art. 15 Abs. 1 lit. h DSGVO gegen die SCHUFA.
• KG Berlin, Urteil vom 24.09.2026, Az. 20 U 16/26 (Volltext): Nichtigkeit einer Abtretungsvereinbarung nach § 134 BGB wegen Verstößen gegen § 203 StGB und Art. 9 DSGVO. Gegenstand des Verfahrens war die Abtretung von Vergütungsforderungen eines Dentallabors an ein Factoringunternehmen, was auch die Weitergabe von Gesundheitsdaten beinhaltete.
• LG Frankfurt am Main, Urteil vom 24.09.2026, Az. 2-03 O 388/25 (Volltext): Unterlassungsanspruch eines Grundstückseigentümers gegen Google zur 3D-Darstellung seines Grundstücks innerhalb der Dienste „Google Maps“ und „Google Earth“. Das Urteil ist noch nicht rechtskräftig.
• BVwG Österreich, Urteil vom 11.09.2026, Az. W256 2280818-2/14E (Volltext): Zur Datenschutzwidrigkeit eines Newsletter-Versands über einen US-Dienstleister im Jahr 2022.

Neues aus Bund und Ländern

Bund: Entschließung des Bundesrates zur Einführung einer gesetzlichen Regelung zum "Recht auf Vergessenwerden" für ehemals an Krebs erkrankte Menschen.

Bund: Stellungnahme des Chaos Computer Clubs zum Gesetzentwurf zur Stärkung der Cybersicherheit.

• Bund: Der Bundestag hat am Donnerstag, den 15.10.2026, den Gesetzentwurf der Bundesregierung „zur Durchführung der unionsrechtlichen Vorschriften über die Europäische Brieftasche für die Digitale Identität sowie zur Änderung anderer Rechtsvorschriften“ (Digitale Identitätengesetz) verabschiedet, mit dem die rechtlichen Voraussetzungen für die Europäische Brieftasche für die digitale Identität (EUDI-Wallet) in Deutschland geschaffen werden.
• Bund: Eckpunkte der Bundesregierung für Kinder- und Jugendmedienschutz.
• Bund: Warnung des Bundesamts für Sicherheit in der Informationstechnik vor kritischen Schwachstellen innerhalb der Programmiersprache PHP.

Internationale Nachrichten

• Europa: Mehrere Opinions des EDSA zu Entwurfsfassung von Binding Corporate Rules nationaler Aufsichtsbehörden (25/2026, 26/2026, 27/2026 und 28/2026).
• Niederlande: Start eines Pilotprojekts zur Grundrechte-Folgenabschätzung nach Art. 27 KI-VO der Datenschutzaufsichtsbehörde Autoriteit Persoonsgegevens, welche zugleich auch KI-Regulierungsbehörde ist.
• Frankreich: Kurz-Leitfaden der Datenschutzaufsichtsbehörde CNIL zur Zulässigkeit der Nutzung von im Internet veröffentlichten Kontaktdaten zu Werbezwecken.

Neues aus den Aufsichtsbehörden

• Der Landesbeauftragte für den Datenschutz und Informationsfreiheit Baden-Württemberg: Der Landesbeauftragter empfiehlt Verwaltungen dringend eine Inventur von technischen Systemen.
• Die Berliner Beauftragte für Datenschutz und Informationsfreiheit: Pressemitteilung zum Höchststand bei gemeldeten Datenschutzvorfällen.
• Der Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit: HmbBfDI wird Marktüberwachungsbehörde für den KI-Einsatz in Hamburgs Behörden.
• Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz: Pressemitteilung zum 6. Runden Tisch 2026 der rheinland-pfälzischen Wirtschaft.
• Sächsische Datenschutz- und Transparenzbeauftragte: Mitteilung im Rahmen des Newsletters über gestiegene Eingaben zur Videoüberwachung. Im nichtöffentlichen Bereich betrafen die Vorgänge Kameras im gewerblichen Umfeld sowie im Wohn- und Nachbarschaftsbereich (z.B. unzulässige Erfassung örtlicher Gehwege oder Nachbarschaftsstreitigkeiten).
• Katholisches Datenschutzzentrum Bayern: Praxis-Leitladen zum Medienprivileg und Leitlinien für journalistisch-redaktionelle Tätigkeiten kirchlicher Stellen nebst Praxisblättern zu einzelnen Schwerpunkten.