{
    "slug": "dsgvo-art-22-automatisierte-entscheidung-schufa",
    "titre": "DSGVO Art. 22 (VO 2016/679) – Automatisierte Entscheidungen und Scoring – EuGH SCHUFA-Urteil (C-634/21)",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Artikel 22 DSGVO (Verordnung (EU) 2016/679) gibt jeder Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich…",
    "resume_court": "**Artikel 22 DSGVO (Verordnung (EU) 2016/679)** gibt jeder Person das **Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden**, die ihr gegenüber **rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt** (Art. 22 Abs. 1). Der **Europäische Gerichtshof (EuGH)** hat mit dem **SCHUFA-Urteil vom 07.12.2023 (Rechtssache C-634/21)** klargestellt: Bereits die **automatisierte Erstellung eines Wahrscheinlichkeitswerts (Score)** über die Zahlungsfähigkeit einer Person ist eine „automatisierte Entscheidung im Einzelfall\u0022 nach Art. 22 Abs. 1 – **wenn ein Dritter (z. B. eine Bank) maßgeblich auf diesen Score abstellt**, um über einen Vertrag (etwa einen Kredit) zu entscheiden. Damit unterliegt Kreditscoring dem grundsätzlichen **Verbot mit Erlaubnisvorbehalt**: Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift (Vertragserforderlichkeit, gesetzliche Erlaubnis oder ausdrückliche Einwilligung) – flankiert von Schutzgarantien wie dem **Recht auf menschliches Eingreifen**. In Deutschland ist die gesetzliche Erlaubnis für Scoring derzeit noch **§ 31 BDSG** a. F.; sie wird zum **20.11.2026** durch den neuen **§ 37a BDSG** ersetzt. Dieser wurde durch **Artikel 3 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026** (BGBl. 2026 I Nr. 139) eingefügt – nicht, wie in der 20. Wahlperiode zunächst geplant, durch ein eigenständiges „Erstes Gesetz zur Änderung des BDSG\u0022.",
    "faits": [
        {
            "point": "Rechtsgrundlage",
            "valeur": "Art. 22 Verordnung (EU) 2016/679 (DSGVO)",
            "autorite": "A"
        },
        {
            "point": "DSGVO anwendbar seit",
            "valeur": "25.05.2018",
            "autorite": "A"
        },
        {
            "point": "Grundregel",
            "valeur": "Verbot ausschließlich automatisierter Einzelentscheidungen mit rechtlicher / ähnlich erheblicher Wirkung [Art. 22 Abs. 1]",
            "autorite": "A"
        },
        {
            "point": "Ausnahmen",
            "valeur": "Vertragserforderlichkeit, Erlaubnis durch Unions-/Mitgliedstaatsrecht, ausdrückliche Einwilligung [Art. 22 Abs. 2]",
            "autorite": "A"
        },
        {
            "point": "Schutzgarantien",
            "valeur": "Recht auf menschliches Eingreifen, eigener Standpunkt, Anfechtung der Entscheidung [Art. 22 Abs. 3]",
            "autorite": "A"
        },
        {
            "point": "Verbot bei besonderen Datenkategorien",
            "valeur": "Grundsätzlich unzulässig, enge Ausnahmen [Art. 22 Abs. 4]",
            "autorite": "A"
        },
        {
            "point": "Leitentscheidung Scoring",
            "valeur": "EuGH, Urteil vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)\u0022",
            "autorite": "A"
        },
        {
            "point": "Kernaussage C-634/21",
            "valeur": "Score-Erstellung = automatisierte Entscheidung, wenn Dritter maßgeblich darauf abstellt",
            "autorite": "A"
        },
        {
            "point": "Parallelurteil Speicherdauer",
            "valeur": "EuGH, Urteil vom 07.12.2023, verb. Rs. C-26/22 und C-64/22",
            "autorite": "A"
        },
        {
            "point": "Kernaussage C-26/22, C-64/22",
            "valeur": "Auskunfteien dürfen Restschuldbefreiung nicht länger speichern als das öffentliche Register (6 Monate) [Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. f]",
            "autorite": "A"
        },
        {
            "point": "Öffentliche Löschfrist Insolvenz",
            "valeur": "6 Monate auf insolvenzbekanntmachungen.de",
            "autorite": "A"
        },
        {
            "point": "Deutsche Scoring-Erlaubnis",
            "valeur": "§ 37a BDSG (neu), eingefügt durch Artikel 3 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026 (BGBl. 2026 I Nr. 139, ausgegeben 18.05.2026) – ersetzt § 31 BDSG a. F.",
            "autorite": "A"
        },
        {
            "point": "In-Kraft-Treten § 37a BDSG",
            "valeur": "20.11.2026 – der Gesetzgeber hat für die BDSG-Änderungen bewusst eine Übergangszeit gesetzt, damit Unternehmen und Auskunfteien ihre Verfahren anpassen können. Bis dahin gilt § 31 BDSG a. F. fort.",
            "autorite": "A"
        },
        {
            "point": "BGH-Folgeurteil Speicherfristen",
            "valeur": "BGH, Urteil vom 18.12.2025, I ZR 97/25 (beglichene Forderungen)",
            "autorite": "A"
        },
        {
            "point": "Sanktion Verstoß",
            "valeur": "Bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Betroffener Nutzerkreis",
            "valeur": "Alle Verbraucher mit Kredit-, Miet-, Mobilfunk-, Leasing- oder Ratenanfragen",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Art. 22 DSGVO – Volltext EUR-Lex (Verordnung (EU) 2016/679)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)\u0022 – EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0634",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil vom 07.12.2023, verb. Rs. C-26/22 und C-64/22 „SCHUFA Holding\u0022 – EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CJ0026",
            "autorite": "A"
        },
        {
            "titre": "EuGH – Pressemitteilung Nr. 186/23 zu C-634/21 u. a.",
            "url": "https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230186de.pdf",
            "autorite": "A"
        },
        {
            "titre": "§ 37a BDSG (Scoring; in Kraft erst am 20.11.2026, bis dahin gilt § 31 BDSG a. F. fort) – dejure.org: https://dejure.org/gesetze/BDSG/37a.html [noch nicht abrufbar, geprüft 2026-09-20 — HTTP 404, weil die Norm am Prüftag noch nicht in Kraft getreten ist; kein toter Link. Bis 19.11.2026 einschlägig",
            "url": "https://dejure.org/gesetze/BDSG/31.html]",
            "autorite": "A"
        },
        {
            "titre": "§ 37a BDSG (Scoring; in Kraft erst am 20.11.2026, bis dahin gilt § 31 BDSG a. F. fort) – gesetze-im-internet.de: https://www.gesetze-im-internet.de/bdsg_2018/__37a.html [noch nicht abrufbar, geprüft 2026-09-20 — HTTP 404, weil die Norm am Prüftag noch nicht in Kraft getreten ist; kein toter Link. Bis 19.11.2026 einschlägig",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__31.html]",
            "autorite": "A"
        },
        {
            "titre": "§ 31 BDSG a. F. (bis 19.11.2026 geltende Scoring-Erlaubnis) – gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__31.html",
            "autorite": "A"
        },
        {
            "titre": "BDSG – Inhaltsuebersicht (amtlicher Volltext; enthaelt Stand 2026-08-15 weiterhin § 31 Scoring, keinen § 37a)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/index.html",
            "autorite": "A"
        },
        {
            "titre": "BGH, Urteil vom 18.12.2025, I ZR 97/25 (Speicherfristen) – dejure.org",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=BGH\u0026Datum=18.12.2025\u0026Aktenzeichen=I+ZR+97/25",
            "autorite": "A"
        },
        {
            "titre": "EDPB – Leitlinien zu automatisierten Entscheidungen und Profiling (WP251rev.01)",
            "url": "https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_en",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 22 (VO 2016/679) – Automatisierte Entscheidungen und Scoring – EuGH SCHUFA-Urteil (C-634/21)?",
            "reponse": "Artikel 22 DSGVO (Verordnung (EU) 2016/679) gibt jeder Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 Abs. 1)."
        },
        {
            "question": "Für wen gilt DSGVO Art. 22 (VO 2016/679)?",
            "reponse": "Art. 22 DSGVO gilt unmittelbar in allen EU-Mitgliedstaaten – als Verordnung braucht die Norm kein Umsetzungsgesetz. Erfasst ist jede ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung: Kreditscoring, automatisierte Ablehnung von Online-Krediten, algorithmische Bonitätsprüfung bei Mietanfragen, automatisierte Tarif- oder Preisentscheidungen und zunehmend KI-gestützte…"
        },
        {
            "question": "Gibt es Ausnahmen bei DSGVO Art. 22 (VO 2016/679)?",
            "reponse": "Art. 22 Abs. 1 DSGVO greift nicht, wenn die automatisierte Entscheidung (a) für Abschluss/Erfüllung eines Vertrags erforderlich ist, (b) durch Unions- oder mitgliedstaatliches Recht erlaubt ist (in DE für Scoring: § 37a BDSG) oder (c) mit ausdrücklicher Einwilligung erfolgt (Art. 22 Abs. 2). In den Fällen (a) und (c) müssen dennoch die Schutzgarantien des Art. 22 Abs. 3 gewahrt werden."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 22 (VO 2016/679)?",
            "reponse": "„Ein Score ist bloß eine Berechnung, keine Entscheidung.\u0022 Falsch – der EuGH (C-634/21) stellt klar: Stellt ein Dritter maßgeblich auf den Score ab, ist schon die Score-Erstellung eine automatisierte Entscheidung nach Art. 22. „Wenn ein Mitarbeiter formal zustimmt, ist es keine automatisierte Entscheidung.\u0022 Falsch – erforderlich ist ein inhaltlich prüfendes menschliches Eingreifen; bloßes Abnicken genügt nicht."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für DSGVO Art. 22 (VO 2016/679) aus?",
            "reponse": "Eine Bank lehnt den vollständig online gestellten Ratenkreditantrag von Frau M. innerhalb von Sekunden ab – allein anhand eines SCHUFA-Scores von 91 %. Nach dem EuGH-Urteil C-634/21 ist bereits die maßgeblich verwendete Score-Erstellung eine automatisierte Entscheidung nach Art. 22. Frau M. verlangt gemäß Art. 22 Abs."
        }
    ],
    "wikidata": [
        "Q1172506"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-09-06",
    "derniere_verification": "2026-09-06",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-art-22-automatisierte-entscheidung-schufa"
}