Ein Urteil mit Folgen für Auskunfteien, Kreditnehmer – und das Vertrauen in automatisierte Entscheidungen.
Hintergrund:
Die Entscheidung des LG Bamberg (Urt. v. 26.03.2025 – 41 O 749/24 KOIN) bringt Bewegung in ein Thema, das bislang oft unter dem Radar blieb: Der Einfluss automatisiert erstellter Bonitätsscores auf den Alltag von Verbrauchern. Das Gericht sprach einem Kläger 1.000 Euro immateriellen Schadensersatz zu, weil eine Wirtschaftsauskunftei – gemeint ist die SCHUFA oder eine ähnliche Einrichtung – einen Score vollständig automatisiert berechnet und an Vertragspartner weitergegeben hatte. Das allein, so das LG, reiche unter bestimmten Voraussetzungen bereits für einen DSGVO-Schadensersatzanspruch nach Art. 82 DSGVO.
Der Fall: Mensch gegen Maschine – und die Folgen
Der Kläger hatte in der Vergangenheit regelmäßig Kredite erhalten. Plötzlich wurde ihm mehrfach die Aufnahme neuer Darlehen verweigert. Grund: ein drastisch gesunkener Bonitätsscore. Der Verdacht lag nahe, dass die Ursache dafür nicht sein Verhalten, sondern ein rein datengetriebener Algorithmus war. Die berechneten Werte lagen unter 10 % – ohne ersichtlichen Anlass. Vorherige Zahlungsstörungen: keine.
Das Gericht stellte klar: Ein solcher Score kann für Banken und andere Vertragspartner eine erhebliche Entscheidungsgrundlage darstellen. Entscheidend: Es reicht bereits, wenn der Score ein wesentliches Kriterium ist. Dass er nicht allein ausschlaggebend war, ändert nichts.
Art. 22 DSGVO – Schutzgesetz mit Zähnen
Spannend ist die rechtliche Begründung: Art. 22 Abs. 1 DSGVO wird vom LG Bamberg als Schutzgesetz im Sinne des § 823 Abs. 2 BGB eingeordnet. Damit steht Verbrauchern ein zivilrechtlicher Unterlassungsanspruch zu, wenn gegen dieses Verbot verstoßen wird.
Das LG lehnt eine weite Auslegung der Ausnahmeregeln aus Art. 22 Abs. 2 DSGVO ab. Die oft von Auskunfteien vertretene Argumentation eines „Dreiecksverhältnisses“ zwischen Auskunftei, Betroffenem und dem tatsächlichen Vertragspartner sei europarechtswidrig. Schutzmechanismen könnten sonst durch einfache Konstruktionen ausgehebelt werden.
Ergebnis: Die automatisierte Berechnung und Weitergabe des Scores ohne menschliches Eingreifen ist rechtswidrig – und zwar auch dann, wenn ein Unternehmen wie die SCHUFA gar nicht selbst die Entscheidung trifft, sondern „nur“ den Score liefert.
DSGVO-Schadensersatz bei Kontrollverlust über Daten
Ein weiteres zentrales Element der Entscheidung ist die Anerkennung eines immateriellen Schadens. Der Kläger musste nicht erst massive finanzielle Einbußen nachweisen. Der „Kontrollverlust über die eigenen Daten“ in Kombination mit den psychischen Belastungen – die etwa auch zu sozialem Rückzug führten – genügten.
Dabei verweist das LG auf den EuGH und den BGH (VI ZR 10/24), wonach auch kurze Kontrollverluste einen immateriellen Schaden darstellen können. Im konkreten Fall sei der Eingriff jedoch von beachtlicher Tragweite, da die fehlerhafte Bewertung der Bonität ganz unmittelbar die Teilnahme am Wirtschaftsleben beeinträchtigt habe.
Keine Pflicht zur aktiven Auskunft, aber Grenzen beim Geschäftsgeheimnis
Der Kläger hatte auch umfangreiche Auskünfte über das Scoring-Verfahren verlangt. Das Gericht stellte klar: Zwar besteht ein Anspruch auf allgemeine Information – aber keine Pflicht zur Offenlegung der gesamten Scoreformel. Das Geschäftsgeheimnis wiegt schwerer, solange eine verständliche Auskunft über verwendete Kategorien und Datenarten erfolgt. Hier sah das Gericht die Anforderungen erfüllt.
Einordnung und Ausblick
Diese Entscheidung zeigt exemplarisch, wie stark automatisierte Datenverarbeitung in persönliche Lebensbereiche eingreift – und dass Gerichte bereit sind, diesen Eingriff rechtlich ernst zu nehmen. Zwar bleiben viele Fragen weiterhin offen – insbesondere zur künftigen Rolle von KI-gestützten Entscheidungsprozessen –, doch das Urteil markiert eine Grenze: Wo die Maschine alleine entscheidet, müssen Schutzmechanismen greifen. Das gilt umso mehr, wenn wirtschaftliche Existenzen davon abhängen.
Für die Praxis bedeutet das:
Verbraucher können sich künftig auf Art. 22 DSGVO stützen – und im Fall rechtswidriger automatisierter Entscheidungen immateriellen Schadensersatz geltend machen. Unternehmen, die Scores berechnen oder verwenden, müssen sorgfältig prüfen, ob menschliche Kontrollinstanzen integriert sind – und ob die Betroffenenrechte gewahrt bleiben.