Deep Dive · 22.10.2026

Score abgerufen, Antrag abgelehnt: Der BGH vermutet jetzt, dass der Wert entschieden hat.

Der Bundesgerichtshof hat am 21. Oktober 2026 entschieden: Wird ein Scorewert übermittelt und folgt kurz darauf eine Absage, gilt der Wert als ausschlaggebend. Was das für Betriebe heißt, die Bonitätsampeln, Risikoklassen oder Bewerber-Rankings nutzen, und was ab dem 20. November 2026 im Gesetz steht.

Für Geschäftsführung und KI-Verantwortliche · Veröffentlicht: 22. Oktober 2026 um 15:03

Druckansicht öffnen (PDF)

Hinweis zur KI-NutzungDieser Deep Dive wurde mit KI-Unterstützung recherchiert und verfasst. Jede Kernaussage ist an einer selbst abgerufenen Quelle geprüft, und am Ende steht, was nicht belegt werden konnte. Er ist eine Einordnung und keine Rechtsberatung. Redaktionell verantwortlich: Ingo Günther, KI Academy Leipzig.

Was passiert ist. Am 21. Oktober 2026 hat der I. Zivilsenat des Bundesgerichtshofs in vier Verfahren gegen die SCHUFA entschieden (I ZR 227/25 bis I ZR 230/25). Vier Privatpersonen wollten wissen, wie ihr Scorewert zustande kommt. Das Oberlandesgericht Dresden hatte ihnen 2025 teilweise recht gegeben. Der Bundesgerichtshof hob diese Urteile auf und verwies die Sachen zurück. Gleichzeitig legte er fest, was die Kläger:innen künftig vortragen müssen: dass ein Scorewert an ein Unternehmen übermittelt wurde und in zeitlichem Zusammenhang damit eine nachteilige Entscheidung über einen Vertrag fiel. Dann gilt die tatsächliche Vermutung, dass der Wert maßgeblich war.

Warum das für Sie zählt. Die SCHUFA hat formal gewonnen, die Messlatte für Betroffene liegt aber tiefer als bei den meisten Oberlandesgerichten zuvor. Entscheidend für Ihren Betrieb ist, dass der Senat keine Regel über die SCHUFA aufgestellt hat, sondern über eine Kette: automatisierter Wert, Entscheidung, Nachteil, zeitliche Nähe. Diese Kette gilt für jede Bonitätsampel im Onlineshop, jede Risikoklasse im Warenwirtschaftssystem und jedes Werkzeug, das Menschen automatisch einstuft. Und ab dem 20. November 2026 steht sie mit einem festen Auskunftskatalog im Bundesdatenschutzgesetz, für alle, die solche Werte erstellen, nicht nur für Auskunfteien.

Was der Bundesgerichtshof entschieden hat

Frage	Antwort des Senats	Was offen bleibt
Ist das Scoring eine automatisierte Entscheidung?	Ja, die SCHUFA betreibt Profiling (Art. 4 Nr. 4 DSGVO) und trifft eine Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO.	Ob die Kläger:innen erheblich beeinträchtigt wurden. Das muss das Oberlandesgericht Dresden feststellen.
Wer muss was beweisen?	Die Kläger:innen. Es genügt aber der Vortrag: Score übermittelt, kurz darauf nachteilige Vertragsentscheidung. Dann wird vermutet, dass der Score maßgeblich war.	Wie eng „zeitlicher Zusammenhang“ zu verstehen ist. Die Urteilsgründe liegen noch nicht vor.
Reicht die bisherige Auskunft?	Nein. Die Tabellen aus 2023 mit Scorewerten, Ratingstufen, Erfüllungswahrscheinlichkeiten und Datenarten erfüllen die Pflicht nicht, wenn ein Anspruch besteht.	Wie weit die Auskunft reichen muss. Der Senat hat Hinweise gegeben, das Oberlandesgericht entscheidet neu.
Gilt das für den neuen SCHUFA-Score?	Die Verfahren betreffen das alte Verfahren aus 2023. Der neue Score mit zwölf Kriterien läuft seit dem 17. März 2026.	Ob der neue Score die Auskunftspflicht erfüllt, hat kein Gericht geprüft.

Formal hat die Auskunftei gewonnen, praktisch hat sie an Boden verloren. Bisher verlangten die meisten Oberlandesgerichte den Beweis, ein bestimmter Score habe eine bestimmte Entscheidung bestimmt. Diesen Beweis kann niemand führen, weil das Unternehmen seine Entscheidungsgründe nicht offenlegen muss. Der Bundesgerichtshof ersetzt ihn durch eine Vermutung und beruft sich dafür auf den Effektivitätsgrundsatz des Unionsrechts. Die Urteilsgründe sind noch nicht veröffentlicht, maßgeblich ist bis dahin die Pressemitteilung 198/2026.

Wann wird aus einem Wert eine Entscheidung, die Sie erklären müssen?

Der Senat hat die Prüfung des Europäischen Gerichtshofs in eine Reihenfolge gebracht, die auf jeden Wert passt, den ein System über eine Person berechnet, ob er Score, Ampel, Risikoklasse oder Ranking heißt. Die Beispiele sind unsere:

Glied 1

Ein Wert entsteht automatisch

Ein System bewertet persönliche Aspekte einer Person, etwa Zahlungsverhalten oder Eignung. Das ist Profiling nach Art. 4 Nr. 4 DSGVO.

Beispiel: Die Shop-Software vergibt beim Bestellen eine Bonitätsampel.

Glied 2

Der Wert wird zur Entscheidung

Jemand knüpft an den Wert eine Entscheidung über Begründung, Durchführung oder Beendigung eines Vertrags.

Beispiel: Bei Rot gibt es nur Vorkasse, bei Grün auch Rechnungskauf.

Glied 3

Die Person hat einen Nachteil

Die Entscheidung entfaltet rechtliche Wirkung oder beeinträchtigt die Person erheblich: Absage, Kündigung, schlechtere Konditionen.

Beispiel: Die Bewerbung wird vor dem ersten Gespräch aussortiert.

Glied 4

Zeitliche Nähe genügt

Liegen Übermittlung des Werts und Nachteil zeitlich zusammen, wird vermutet, dass der Wert maßgeblich war. Wer das Gegenteil behauptet, muss es darlegen.

Folge: Auskunft über die involvierte Logik nach Art. 15 Abs. 1 Buchst. h DSGVO, ab 20. November 2026 nach dem Katalog des § 37a BDSG.

Lesart: Die Pflicht entsteht, wenn alle vier Glieder zusammenkommen. Ein Betrieb kann die Kette an Glied 2 unterbrechen, indem ein Mensch wirklich entscheidet. Er kann sie nicht an Glied 4 bestreiten, wenn Absage und Score am selben Tag liegen.

Nicht das Etikett „KI“ löst die Pflicht aus, sondern die Kette: Wert, Entscheidung, Nachteil, Nähe.

Einordnung: Was ab dem 20. November 2026 im Gesetz steht

1. Der neue § 37a BDSG gilt für jeden, der Wahrscheinlichkeitswerte erstellt

Beleg. Mit Artikel 3 des Gesetzes vom 12. Mai 2026 (BGBl. 2026 I Nr. 139) wird zum 20. November 2026 ein neuer § 37a „Scoring“ in das Bundesdatenschutzgesetz eingefügt. Absatz 1 erlaubt Wahrscheinlichkeitswerte über künftiges Verhalten einer Person für Vertragsentscheidungen als Ausnahme vom Verbot des Art. 22 DSGVO, und zwar für jeden Verantwortlichen, nicht nur für Auskunfteien. Absatz 2 verbietet dafür bestimmte Daten: besondere Kategorien nach Art. 9 DSGVO, Alter, Geschlecht, Name, Daten aus sozialen Netzwerken, Kontobewegungen und Anschriftendaten. Absatz 4 verpflichtet alle, die solche Werte erstellen, auf Antrag binnen eines Monats zur Auskunft über genutzte Daten und Kriterien, die Gewichtung der stärksten Kriterien, die Aussagekraft des Werts sowie die erstellten Werte und ihre Empfänger; die Informationen sind ein Jahr zu speichern. Absatz 5 gibt das Recht auf Anfechtung, Darlegung des eigenen Standpunkts und Entscheidung durch einen Menschen.

Folge. Wer im Betrieb eine eigene Bonitätsampel, eine Risikoklasse oder einen Zahlungsausfall-Score berechnet, fällt unter dieselben Pflichten wie die SCHUFA. Wer solche Werte nur abruft, ist der Dritte, dessen Entscheidung die Vermutung auslöst, und braucht einen Lieferanten, der die Logik erklären kann.

2. Was eine Auskunft leisten muss, hat der Europäische Gerichtshof 2025 gesagt

Beleg. Im Fall Dun & Bradstreet Austria (C-203/22, 27. Februar 2025) hatte ein Mobilfunkanbieter einer Kundin wegen eines automatisierten Bonitätswerts einen Vertrag über zehn Euro im Monat verweigert. Der Gerichtshof verlangt, dass der Verantwortliche Verfahren und Grundsätze so beschreibt, dass die Person nachvollziehen kann, welche ihrer Daten wie verwendet wurden. Ausreichen kann die Angabe, wie stark eine Abweichung bei den Daten das Ergebnis geändert hätte. Die Übergabe des Algorithmus genügt nicht, das Geschäftsgeheimnis schließt die Auskunft nicht pauschal aus.

Folge. „Das macht das System“ ist keine Auskunft. Eine brauchbare Antwort nennt die drei bis fünf Kriterien mit dem größten Einfluss und sagt, was sich geändert hätte, wenn eines anders gewesen wäre.

3. Und die KI-Verordnung?

Beleg. Anhang III der KI-Verordnung stuft Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen (Nr. 5 Buchst. b, außer Betrugserkennung) und zur Einstellung oder Auswahl von Bewerber:innen (Nr. 4) als hochriskant ein. Die Pflichten dafür gelten nach der Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026 erst ab dem 2. Dezember 2027; Systeme, die vorher in Betrieb sind, werden nur bei erheblicher Änderung erfasst.

Folge. Die KI-Verordnung gibt Ihnen Zeit, die Datenschutz-Grundverordnung nicht. Auskunftspflicht und Vermutungsregel gelten heute, der § 37a ab dem 20. November 2026.

Die Stolperfallen

Was das für Ihren Betrieb heißt

Alle Werte über Personen auflistenDiese Woche
Geschäftsführung und IT tragen zusammen, wo im Betrieb ein System Menschen einstuft: Bonitätsprüfung im Shop, Risikoklasse in der Warenwirtschaft, Mahnlauf, Bewerbervorauswahl, Betrugsprüfung. Daneben steht, ob der Wert zugekauft oder selbst berechnet wird und welche Entscheidung daran hängt. Erledigt ist der Schritt, wenn die Liste auf einer Seite steht.
Die Eingangsdaten gegen die Verbotsliste prüfen
Für jeden selbst berechneten Wert prüft, wer ihn pflegt, ob Anschrift, Alter, Geschlecht, Name, Kontobewegungen oder Daten aus sozialen Netzwerken eingehen. Jedes Ja ist bis zum 20. November 2026 zu beseitigen oder der Wert wird aus der Entscheidung genommen. Bei zugekauften Werten stellen Sie dem Anbieter dieselbe Frage schriftlich.
Die Auskunft vorbereiten, bevor jemand fragt
Für jeden Wert liegt eine Vorlage bereit, die in einfacher Sprache die genutzten Daten und Kriterien, die Gewichtung der stärksten Kriterien, die Aussagekraft und die Empfänger nennt. Die Grundlagen dafür werden ein Jahr aufbewahrt. Ein Anbieter, der diese Angaben nicht liefern kann, ist ab November ein Risiko.
Den Menschen in der Kette wirklich entscheiden lassen
Legen Sie fest, wer bei einem negativen Wert abweichen darf und wie Betroffene ihren Standpunkt vortragen können: ein Satz auf der Absage, eine Adresse, eine Frist. Erkennbar ist der Schritt daran, dass es in den letzten Monaten mindestens eine Entscheidung gegen den Wert gab.
Abruf und Entscheidung protokollieren
Wer einen Score abruft, hält den Zeitpunkt des Abrufs, den Zeitpunkt der Entscheidung und die weiteren Entscheidungsgründe fest. Nur so lässt sich die Vermutung im Einzelfall entkräften und der Auskunftei antworten, wenn sie nachfragt.

Zum Abhaken

Liste aller Werte, die Personen einstufen, mit Herkunft und zugehöriger Entscheidung
Eingangsdaten jedes eigenen Werts gegen § 37a Abs. 2 BDSG geprüft
Schriftliche Zusage jedes Anbieters, dass sein Wert ohne verbotene Daten entsteht und erklärbar ist
Auskunftsvorlage je Wert mit Kriterien, Gewichtung, Aussagekraft und Empfängern
Abweichungsregel für Sachbearbeitung und Hinweis auf Standpunkt und Anfechtung in der Absage
Protokoll mit Zeitpunkt von Abruf und Entscheidung eingerichtet

WichtigDer Vorbehalt

Die Urteilsgründe des Bundesgerichtshofs sind noch nicht veröffentlicht, alle Aussagen zum Urteil stützen sich auf die Pressemitteilung des Gerichts. Wie eng der zeitliche Zusammenhang sein muss und wie weit die Auskunft reicht, entscheidet erst das Oberlandesgericht Dresden. Ob Bewerbungsverfahren unter § 37a BDSG fallen, ist nicht entschieden; die Prüfkette des Art. 22 DSGVO gilt dort unabhängig davon. Die Angaben zum neuen SCHUFA-Score sind Unternehmensangaben aus der Presse, eine Stellungnahme der SCHUFA zum Urteil lag uns nicht vor. Den Gesetzestext haben wir in einer konsolidierten Fassung gelesen, nicht im Bundesgesetzblatt. Dieser Deep Dive ist eine Einordnung und keine Rechtsberatung.

Und fair bleiben: Ein Scorewert schützt Betriebe vor Zahlungsausfällen, und der Gesetzgeber erlaubt ihn ausdrücklich weiter. Verlangt wird nicht der Verzicht, sondern die Fähigkeit, ihn zu erklären.

Jeder Wert, an dem eine Absage hängt, muss in einem Satz erklärbar sein. Wer das heute nicht kann, hat bis zum 20. November 2026 Zeit.

Quellen

Bundesgerichtshof: Pressemitteilung 198/2026, Urteile vom 21.10.2026, I ZR 227/25 bis I ZR 230/25Primärquelle zum Urteil: Prüfkette, Vermutungsregel, Beweislast, Zurückverweisung. Die Urteilsgründe sind noch nicht veröffentlicht, Einzelheiten zur Reichweite fehlen.bundesgerichtshof.de
Gerichtshof der EU: Pressemitteilungen 186/23 (C-634/21, SCHUFA Holding, 07.12.2023) und 22/25 (C-203/22, Dun & Bradstreet Austria, 27.02.2025)Primärquellen des Gerichtshofs zur Einstufung des Scorings als automatisierte Entscheidung und zum Inhalt der Auskunft über die involvierte Logik. Pressemitteilungen, nicht die Urteilsvolltexte.C-634/21 · C-203/22
Gesetz vom 12.05.2026 (BGBl. 2026 I Nr. 139), Artikel 3 (neuer § 37a BDSG) und Artikel 16 (Inkrafttreten), konsolidiert bei buzer.deGesetzestext in einer konsolidierten Fassung mit amtlicher Fundstelle. Belegt Wortlaut, Anwendungsbereich und Inkrafttreten am 20.11.2026, nicht die Auslegung im Einzelfall.§ 37a BDSG · Inkrafttreten
Datenschutz-Grundverordnung, Art. 4 Nr. 4, Art. 15 Abs. 1 Buchst. h und Art. 22Gesetzestext. Trägt die Rechtslage zu Profiling, Auskunft und automatisierten Entscheidungen, nicht die Anwendung auf Ihren Betrieb.eur-lex.europa.eu
KI-Verordnung: Omnibus-Verordnung (EU) 2026/1744 vom 08.07.2026 (Amtsblatt 24.07.2026) und Anhang III der Verordnung (EU) 2024/1689Die Omnibus-Verordnung ist Gesetzestext und belegt den Geltungsbeginn 02.12.2027 für Hochrisikosysteme nach Anhang III. Anhang III wurde über den Spiegel AI Act Explorer gelesen, weil EUR-Lex automatische Abrufe sperrt.Omnibus · Anhang III
Ruth Janal: Der Ineffektivitätsgrundsatz in der deutschen Schufa-Rechtsprechung, Verfassungsblog, 29.09.2026Wissenschaftlicher Diskussionsbeitrag mit Übersicht der bisherigen OLG-Rechtsprechung. Belegt die Vorgeschichte und die Kritik, nicht das Urteil.verfassungsblog.de
Legal Tribune Online mit dpa: BGH präzisiert Auskunftsanspruch zu Schufa-Scores, 21.10.2026Fachpresse. Gibt die Pressemitteilung korrekt wieder und ergänzt Unternehmensangaben der SCHUFA zum neuen Score; für diese Zahlen keine Primärquelle.lto.de

Alle Deep Dives