---
title: "DSGVO Art. 22 (VO 2016/679) – Automatisierte Entscheidungen und Scoring – EuGH SCHUFA-Urteil (C-634/21)"
slug: "dsgvo-art-22-automatisierte-entscheidung-schufa"
domaine: "datenschutz"
valid_from: "2018-05-25"
valid_to: null
last_reviewed: "2026-09-06"
statut: "In Kraft"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-art-22-automatisierte-entscheidung-schufa.md
wikidata_subjects: []
factcheck_status: "ok"
---

# DSGVO Art. 22 (VO 2016/679) – Automatisierte Entscheidungen und Scoring – EuGH SCHUFA-Urteil (C-634/21)

## Kurzantwort

**Artikel 22 DSGVO (Verordnung (EU) 2016/679)** gibt jeder Person das **Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden**, die ihr gegenüber **rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt** (Art. 22 Abs. 1). Der **Europäische Gerichtshof (EuGH)** hat mit dem **SCHUFA-Urteil vom 07.12.2023 (Rechtssache C-634/21)** klargestellt: Bereits die **automatisierte Erstellung eines Wahrscheinlichkeitswerts (Score)** über die Zahlungsfähigkeit einer Person ist eine „automatisierte Entscheidung im Einzelfall" nach Art. 22 Abs. 1 – **wenn ein Dritter (z. B. eine Bank) maßgeblich auf diesen Score abstellt**, um über einen Vertrag (etwa einen Kredit) zu entscheiden. Damit unterliegt Kreditscoring dem grundsätzlichen **Verbot mit Erlaubnisvorbehalt**: Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift (Vertragserforderlichkeit, gesetzliche Erlaubnis oder ausdrückliche Einwilligung) – flankiert von Schutzgarantien wie dem **Recht auf menschliches Eingreifen**. In Deutschland ist die gesetzliche Erlaubnis für Scoring derzeit noch **§ 31 BDSG** a. F.; sie wird zum **20.11.2026** durch den neuen **§ 37a BDSG** ersetzt. Dieser wurde durch **Artikel 3 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026** (BGBl. 2026 I Nr. 139) eingefügt – nicht, wie in der 20. Wahlperiode zunächst geplant, durch ein eigenständiges „Erstes Gesetz zur Änderung des BDSG".

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Art. 22 Verordnung (EU) 2016/679 (DSGVO) |
| DSGVO anwendbar seit | 25.05.2018 |
| Grundregel | Verbot ausschließlich automatisierter Einzelentscheidungen mit rechtlicher / ähnlich erheblicher Wirkung [Art. 22 Abs. 1] |
| Ausnahmen | Vertragserforderlichkeit, Erlaubnis durch Unions-/Mitgliedstaatsrecht, ausdrückliche Einwilligung [Art. 22 Abs. 2] |
| Schutzgarantien | Recht auf menschliches Eingreifen, eigener Standpunkt, Anfechtung der Entscheidung [Art. 22 Abs. 3] |
| Verbot bei besonderen Datenkategorien | Grundsätzlich unzulässig, enge Ausnahmen [Art. 22 Abs. 4] |
| Leitentscheidung Scoring | EuGH, Urteil vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)" |
| Kernaussage C-634/21 | Score-Erstellung = automatisierte Entscheidung, wenn Dritter maßgeblich darauf abstellt |
| Parallelurteil Speicherdauer | EuGH, Urteil vom 07.12.2023, verb. Rs. C-26/22 und C-64/22 |
| Kernaussage C-26/22, C-64/22 | Auskunfteien dürfen Restschuldbefreiung nicht länger speichern als das öffentliche Register (6 Monate) [Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. f] |
| Öffentliche Löschfrist Insolvenz | 6 Monate auf insolvenzbekanntmachungen.de |
| Deutsche Scoring-Erlaubnis | § 37a BDSG (neu), eingefügt durch Artikel 3 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026 (BGBl. 2026 I Nr. 139, ausgegeben 18.05.2026) – ersetzt § 31 BDSG a. F. |
| In-Kraft-Treten § 37a BDSG | 20.11.2026 – der Gesetzgeber hat für die BDSG-Änderungen bewusst eine Übergangszeit gesetzt, damit Unternehmen und Auskunfteien ihre Verfahren anpassen können. Bis dahin gilt § 31 BDSG a. F. fort. |
| BGH-Folgeurteil Speicherfristen | BGH, Urteil vom 18.12.2025, I ZR 97/25 (beglichene Forderungen) |
| Sanktion Verstoß | Bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 DSGVO] |
| Betroffener Nutzerkreis | Alle Verbraucher mit Kredit-, Miet-, Mobilfunk-, Leasing- oder Ratenanfragen |

## Geltungsbereich

Art. 22 DSGVO gilt **unmittelbar in allen EU-Mitgliedstaaten** – als Verordnung braucht die Norm kein Umsetzungsgesetz. Erfasst ist **jede ausschließlich automatisierte Entscheidung** mit rechtlicher oder ähnlich erheblicher Wirkung: Kreditscoring, automatisierte Ablehnung von Online-Krediten, algorithmische Bonitätsprüfung bei Mietanfragen, automatisierte Tarif- oder Preisentscheidungen und zunehmend KI-gestützte Bewertungsverfahren. „Ausschließlich automatisiert" bedeutet: **ohne inhaltlich prüfendes menschliches Eingreifen**. Ein bloßes „Durchwinken" eines maschinellen Vorschlags durch einen Menschen genügt nicht, um die Ausnahme zu begründen.

Weil Art. 22 DSGVO als EU-Verordnung unmittelbar gilt, bleibt der **legal_status = in_force**. Die deutsche **Erlaubnisnorm für Scoring (§ 37a BDSG)** ist dagegen nationales Ausführungsrecht und **noch nicht in Kraft**: Sie wurde durch Artikel 3 des Gesetzes zur Umsetzung der Verbraucherkreditrichtlinie (EU) 2023/2225 vom 12.05.2026 (BGBl. 2026 I Nr. 139) eingefügt und tritt erst am **20.11.2026** in Kraft. Bis zu diesem Tag ist **§ 31 BDSG a. F.** die maßgebliche nationale Scoring-Norm – das erklärt auch, warum der amtliche BDSG-Volltext auf gesetze-im-internet.de derzeit noch § 31 und keinen § 37a ausweist.

## Die EuGH-Urteile im Detail

**C-634/21 „SCHUFA Holding (Scoring)" (07.12.2023):** Das Verwaltungsgericht Wiesbaden hatte dem EuGH vorgelegt, ob die automatisierte Berechnung eines Score-Werts durch eine Auskunftei bereits eine Entscheidung nach Art. 22 Abs. 1 DSGVO ist. Der EuGH bejahte dies: Wenn Dritte – etwa Banken – dem Score bei Vertragsanbahnung eine **„maßgebliche Rolle"** einräumen, ist schon die **Score-Erstellung** die automatisierte Einzelentscheidung. Folge: Sie ist grundsätzlich verboten, sofern keine mitgliedstaatliche Erlaubnisnorm (mit angemessenen Schutzmaßnahmen) sie deckt. Der EuGH äußerte **erhebliche Zweifel**, ob der damalige § 31 BDSG diese Anforderungen erfüllte, überließ die abschließende Prüfung aber dem nationalen Gericht.

**Verb. Rs. C-26/22 und C-64/22 (07.12.2023):** Parallel entschied der EuGH, dass private Auskunfteien Daten über eine **erteilte Restschuldbefreiung nicht länger speichern dürfen als das öffentliche Insolvenzregister** – dort sind sie nur **sechs Monate** einsehbar (insolvenzbekanntmachungen.de). Eine drei Jahre lange Parallelspeicherung durch die SCHUFA verstieß gegen Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 lit. f DSGVO. Die Restschuldbefreiung soll dem Betroffenen die Rückkehr ins Wirtschaftsleben ermöglichen.

## Deutsche Umsetzung: von § 31 BDSG zu § 37a BDSG

Als Reaktion auf C-634/21 hat der deutsche Gesetzgeber die Scoring-Regelung neu gefasst – nicht, wie in der 20. Wahlperiode zunächst geplant, über ein eigenständiges „Erstes Gesetz zur Änderung des BDSG", sondern über **Artikel 3 des Verbraucherkreditrichtlinien-Umsetzungsgesetzes vom 12.05.2026** (BGBl. 2026 I Nr. 139): Der bisherige **§ 31 BDSG a. F.** wird durch den neuen **§ 37a BDSG** ersetzt. § 37a BDSG erlaubt Scoring nur, wenn die verwendeten Merkmale **nachweislich statistisch erheblich** sind, und **verbietet ausdrücklich** bestimmte Datenarten als Score-Grundlage – u. a. besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), Daten aus sozialen Netzwerken sowie Angaben über Zahlungsein- und -ausgänge (Kontodaten). Zudem bestehen erweiterte **Transparenzpflichten** über die wesentlichen Faktoren des Scores.

Zur **Speicherdauer** hat der **BGH** mit Urteil vom **18.12.2025 (I ZR 97/25)** entschieden, dass eine Auskunftei Daten über **beglichene Zahlungsstörungen nicht sofort löschen** muss: Die 6-Monats-Frist aus dem öffentlichen Insolvenzregister lasse sich **nicht** auf von Vertragspartnern gemeldete Daten übertragen; maßgeblich sei eine **Einzelfallabwägung** (zurückverwiesen an das OLG Köln).

## Was das für Verbraucher bedeutet

**Ein Kreditsuchender**, dessen Online-Kreditantrag allein wegen eines schlechten Scores automatisch abgelehnt wird, kann sich auf Art. 22 Abs. 3 DSGVO berufen: **menschliche Überprüfung**, Darlegung des eigenen Standpunkts und **Anfechtung** der Entscheidung.

**Eine Mietinteressentin** kann von der Auskunftei nach Art. 15 Abs. 1 lit. h DSGVO **aussagekräftige Informationen über die involvierte Logik** des Scores verlangen – nicht den Algorithmus selbst, aber die wesentlichen Faktoren.

**Eine Person nach Privatinsolvenz** kann die **Löschung** eines über sechs Monate hinaus gespeicherten Eintrags zur **Restschuldbefreiung** verlangen (Art. 17 DSGVO i. V. m. C-26/22, C-64/22).

## Häufige Fehler

- **„Ein Score ist bloß eine Berechnung, keine Entscheidung."** Falsch – der EuGH (C-634/21) stellt klar: Stellt ein Dritter maßgeblich auf den Score ab, ist schon die Score-Erstellung eine automatisierte Entscheidung nach Art. 22.
- **„Wenn ein Mitarbeiter formal zustimmt, ist es keine automatisierte Entscheidung."** Falsch – erforderlich ist ein **inhaltlich prüfendes** menschliches Eingreifen; bloßes Abnicken genügt nicht.
- **„Auskunfteien dürfen Insolvenzdaten drei Jahre speichern."** Nicht mehr – für die Restschuldbefreiung gilt die 6-Monats-Grenze des öffentlichen Registers (C-26/22, C-64/22).
- **„Beglichene Negativeinträge müssen sofort gelöscht werden."** Differenziert – der BGH (I ZR 97/25, 18.12.2025) verlangt eine Einzelfallabwägung; eine automatische Sofortlöschung folgt daraus nicht.
- **„Kontobewegungen und Social-Media-Daten dürfen ins Scoring einfließen."** Falsch nach § 37a BDSG (neu) – solche Daten sind als Score-Grundlage ausdrücklich untersagt.

## Ausnahmen

Art. 22 Abs. 1 DSGVO greift **nicht**, wenn die automatisierte Entscheidung (a) für Abschluss/Erfüllung eines Vertrags **erforderlich** ist, (b) durch Unions- oder mitgliedstaatliches Recht **erlaubt** ist (in DE für Scoring: § 37a BDSG) oder (c) mit **ausdrücklicher Einwilligung** erfolgt (Art. 22 Abs. 2). In den Fällen (a) und (c) müssen dennoch die **Schutzgarantien** des Art. 22 Abs. 3 gewahrt werden. Entscheidungen auf Basis **besonderer Datenkategorien** (Art. 9) sind nur unter engen Zusatzvoraussetzungen zulässig (Art. 22 Abs. 4).

## Beispiel

Eine Bank lehnt den vollständig online gestellten Ratenkreditantrag von Frau M. innerhalb von Sekunden ab – allein anhand eines SCHUFA-Scores von 91 %. Nach dem EuGH-Urteil C-634/21 ist bereits die maßgeblich verwendete Score-Erstellung eine automatisierte Entscheidung nach Art. 22. Frau M. verlangt gemäß Art. 22 Abs. 3 DSGVO die **Überprüfung durch einen Sachbearbeiter**, legt ihre stabile Einkommenssituation dar und fordert nach Art. 15 Abs. 1 lit. h DSGVO die **wesentlichen Faktoren** des Scores an. Stellt sich heraus, dass ein bereits **beglichener** Alteintrag den Score gedrückt hat, ist im Rahmen der BGH-Einzelfallabwägung (I ZR 97/25) zu prüfen, ob die weitere Speicherung noch rechtmäßig ist.

## Änderungsverlauf

- 2026-09-20: Quellenpflege im Morgenlauf, keine inhaltliche Änderung. Die dejure-URL zu § 37a BDSG lieferte HTTP 404 und hatte die Seite auf `review_needed` gesetzt. Der Befund ist geprüft und **kein toter Link**: § 37a BDSG ist verkündet (BGBl. 2026 I Nr. 139), tritt aber erst am 20.11.2026 in Kraft — Einzelnormdatenbanken führen ihn bis dahin nicht. Am 20.09.2026 gegengeprüft: `dejure.org/gesetze/BDSG/37a.html` → 404 **und** `gesetze-im-internet.de/bdsg_2018/__37a.html` → 404, während § 31 BDSG a. F. auf beiden Hosts HTTP 200 liefert. Zwei unabhängige amtliche bzw. etablierte Quellen zeigen denselben Befund; das bestätigt die Zeitschiene, die die Seite seit dem 06.09. beschreibt. Beide § 37a-Zeilen tragen jetzt die Markierung `[noch nicht abrufbar, geprüft 2026-09-20]` (bisher bei der gesetze-im-internet-Zeile fälschlich `[toter Link]` — das ist eine Aussage über das Dokument, die hier nicht zutrifft) und nennen im sichtbaren Text das Inkrafttreten. § 31 BDSG a. F. ist als eigene, abrufbare Quellenzeile ergänzt, damit die bis 19.11.2026 geltende Norm auch belegt ist. `factcheck_status` von `review_needed` auf `ok`; `last_reviewed` unverändert 2026-09-06, weil inhaltlich nichts nachgeprüft wurde. | change_type=source_maintenance field="sources" old="[toter Link, geprüft 2026-08-29]" new="[noch nicht abrufbar, geprüft 2026-09-20] + § 31 BDSG a. F. ergänzt" reviewed_by="Nexvyra Faktenchecker (automatisiert)"

- 2026-09-06: Restkorrektur und **Freigabe**. Der Lauf vom 05.09.2026 hatte die Zuordnung des § 37a BDSG berichtigt, die falsche Angabe aber in der Kurzantwort stehen lassen („Erstes Gesetz zur Änderung des BDSG") und zudem das Frontmatter-Flag nicht umgestellt; der Stand-Block behauptete bereits `factcheck_status: ok`. Beides ist jetzt bereinigt. Am 06.09.2026 nachgeprüft: § 37a BDSG (Scoring) wurde durch **Artikel 3 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026**, verkündet als BGBl. 2026 I Nr. 139, eingefügt; Bundestagsbeschluss 17.04.2026; **Inkrafttreten 20.11.2026** (Fassungsdatierung im rvRecht-Literatursystem der Deutschen Rentenversicherung: § 37a BDSG, Fassung ab 2026-11-20). Bis zum 19.11.2026 gilt § 31 BDSG a. F. fort; der amtliche BDSG-Volltext führt deshalb weiterhin § 31 und keinen § 37a. Die Kurzantwort ist entsprechend neu gefasst und macht die zeitliche Staffelung jetzt explizit. `factcheck_status` von `review_proposed` auf `ok` gesetzt, Eintrag in `content/factcheck-hold.json` aufgehoben. | change_type=factcheck field="factcheck_status" old="review_proposed" new="ok" reviewed_by="Nexvyra Freigabe-Aufholer"

- 2026-09-05: Faktencheck mit Korrektur: Das In-Kraft-Treten des § 37a BDSG ist geklärt und die Zuordnung des Änderungsgesetzes berichtigt. § 37a BDSG wurde **nicht** durch ein eigenständiges „Erstes Gesetz zur Änderung des BDSG" eingeführt (dieser Entwurf der 20. Wahlperiode, BR-Drs. 72/24, wurde nicht abgeschlossen), sondern durch **Artikel 3 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026**, verkündet als BGBl. 2026 I Nr. 139 (ausgegeben 18.05.2026, Verkündungsnachweis: recht.bund.de/bgbl/1/2026/139/VO.html). Die BDSG-Änderungen treten mit einer bewussten Übergangszeit erst am **20.11.2026** in Kraft; bis dahin gilt § 31 BDSG a. F. fort. Das deckt sich mit dem amtlichen BDSG-Volltext, der Stand heute weiterhin § 31 und keinen § 37a führt, und mit der Fassungsdatierung im rvRecht-Literatursystem der Deutschen Rentenversicherung (§ 37a BDSG, Fassung ab 2026-11-20). Die zuvor als `review_needed` markierte Zeile „erster Tag des Quartals nach Verkündung" war unzutreffend und wurde ersetzt. `factcheck_status` von `review_proposed` auf `ok` gesetzt. | change_type=factcheck field="fact" old="In-Kraft-Treten § 37a BDSG unbekannt; Erstes BDSG-Änderungsgesetz" new="20.11.2026; Art. 3 VerbrKrRL-UmsG vom 12.05.2026, BGBl. 2026 I Nr. 139" reviewed_by="Nexvyra Freigabe-Aufholer"
- 2026-08-23: Totlink-Markierung nachgeprüft und Prüfdatum aktualisiert. URL weiterhin nicht erreichbar, Befund und Begründung unverändert; kein Ersatz gefunden. | change_type=source_recheck field="sources" reviewed_by="Nexvyra-Faktenchecker (automatisiert)"
- 2026-08-03: Erstveröffentlichung durch EU-Recht-Bot. EuGH C-634/21 (Scoring) und verb. Rs. C-26/22, C-64/22 (Speicherdauer) dokumentiert; deutsche Umsetzung § 37a BDSG und BGH-Folgeurteil I ZR 97/25 (18.12.2025) eingearbeitet. In-Kraft-Treten § 37a BDSG als review_needed markiert (Verkündungsdatum nicht amtlich gegengeprüft). | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

## Siehe auch

- [DSGVO Art. 15 – Auskunftsrecht der betroffenen Person](/fakten/dsgvo-auskunftsrecht-art-15.html)
- [DSGVO Art. 17 – Recht auf Löschung](/fakten/dsgvo-loeschungsrecht-art-17.html)
- [DSGVO-Schadensersatz Art. 82 (EuGH-Rechtsprechung)](/fakten/dsgvo-schadensersatz-art-82-eugh.html)
- [Drittlandtransfer nach Schrems II](/fakten/drittlandtransfer-schrems-ii.html)

## Stand

- Stand: 2026-09-06
- Gültig ab: 2018-05-25 (DSGVO-Anwendung)
- Leitentscheidung: EuGH C-634/21 vom 07.12.2023
- Status: aktuell
- factcheck_status: ok (Inkrafttreten § 37a BDSG am 20.11.2026 und Einfügung durch Art. 3 VerbrKrRL-UmsG vom 12.05.2026, BGBl. 2026 I Nr. 139, am 06.09.2026 bestätigt)
- Quellenautorität: A (VO 2016/679, EuGH, BDSG, BGH, EDPB)
- Lizenz: CC BY 4.0

## Quellen

- Art. 22 DSGVO – Volltext EUR-Lex (Verordnung (EU) 2016/679):
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- EuGH, Urteil vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)" – EUR-Lex:
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0634
- EuGH, Urteil vom 07.12.2023, verb. Rs. C-26/22 und C-64/22 „SCHUFA Holding" – EUR-Lex:
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CJ0026
- EuGH – Pressemitteilung Nr. 186/23 zu C-634/21 u. a.:
  https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230186de.pdf
- § 37a BDSG (Scoring; in Kraft erst am 20.11.2026, bis dahin gilt § 31 BDSG a. F. fort) – dejure.org: https://dejure.org/gesetze/BDSG/37a.html [noch nicht abrufbar, geprüft 2026-09-20 — HTTP 404, weil die Norm am Prüftag noch nicht in Kraft getreten ist; kein toter Link. Bis 19.11.2026 einschlägig:
  https://dejure.org/gesetze/BDSG/31.html]
- § 37a BDSG (Scoring; in Kraft erst am 20.11.2026, bis dahin gilt § 31 BDSG a. F. fort) – gesetze-im-internet.de: https://www.gesetze-im-internet.de/bdsg_2018/__37a.html [noch nicht abrufbar, geprüft 2026-09-20 — HTTP 404, weil die Norm am Prüftag noch nicht in Kraft getreten ist; kein toter Link. Bis 19.11.2026 einschlägig:
  https://www.gesetze-im-internet.de/bdsg_2018/__31.html]
- § 31 BDSG a. F. (bis 19.11.2026 geltende Scoring-Erlaubnis) – gesetze-im-internet.de:
  https://www.gesetze-im-internet.de/bdsg_2018/__31.html
- BDSG – Inhaltsuebersicht (amtlicher Volltext; enthaelt Stand 2026-08-15 weiterhin § 31 Scoring, keinen § 37a):
  https://www.gesetze-im-internet.de/bdsg_2018/index.html
- BGH, Urteil vom 18.12.2025, I ZR 97/25 (Speicherfristen) – dejure.org:
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=BGH&Datum=18.12.2025&Aktenzeichen=I+ZR+97/25
- EDPB – Leitlinien zu automatisierten Entscheidungen und Profiling (WP251rev.01):
  https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_en

## Stand

- Letzte Änderung: 2026-09-06
- Letzte Prüfung: 2026-09-06
- In Kraft seit: 2018-05-25
- Status: In Kraft
- Quellen-Autorität: A
- Lizenz: CC BY 4.0