Bonitätsscore muss individuell erklärt werden: Auskunftei schuldet Angaben zu Gewichtung und Aussagekraft

Redaktionelle Zusammenfassung · 868 Wörter

Die Entscheidung erklärt

Individuelle Erklärung des Scores, aber keine vollständige Nachrechnung

Datenkopie mit unterschiedlichen Wahrscheinlichkeitswerten

Die beklagte Auskunftei sammelte und verarbeitete wirtschaftsbezogene Daten, um Wahrscheinlichkeitswerte über das künftige Zahlungsverhalten zu bilden. In einer Datenkopie vom Oktober 2023 teilte sie der Klägerin einen Basisscore von 9,91 Prozent mit. Daneben führte eine Tabelle verschiedene an Vertragspartner übermittelte branchenspezifische Werte auf; für eine Bankanfrage war etwa eine Erfüllungswahrscheinlichkeit von 3,92 Prozent angegeben. Die Tabelle enthielt Kategorien, Risikokürzel und eine Legende. Ergänzend verwies die Auskunftei auf allgemeine Informationen im Internet. Die Klägerin hielt die Ergebnisse und deren Zustandekommen für nicht nachvollziehbar und hatte zunächst auch Unterlassung, Schadensersatz und weitergehende Feststellungen begehrt.

Nach Rücknahmen verblieb der Auskunftsstreit

Im Berufungsverfahren nahm die Klägerin einen erheblichen Teil ihrer Anträge zurück. Übrig blieb im Wesentlichen das Begehren nach Auskunft über die für ihre Scores verwendeten personenbezogenen Merkmale, deren Gewichtung und die Bedeutung der Ergebnisse. Der Senat entschied daher nicht abschließend über sämtliche ursprünglich behaupteten Folgen des Scorings oder über ein allgemeines Verbot der Datenverarbeitung. Anspruchsgrundlage für die noch verlangten Informationen waren Artikel 15 Absatz 1 Buchstabe h und Artikel 22 DSGVO. Die automatisierte Bildung persönlicher Bonitätswerte erfüllte nach den Gründen die Voraussetzungen einer Datenverarbeitung in Form von Profiling. Für den Auskunftsanspruch war dieser Charakter der Tätigkeit wesentlich.

Profiling genügt für die besondere Informationsprüfung

Die Verbraucherin musste nach Auffassung des Senats nicht zunächst beweisen, dass ein konkreter Vertragsschluss allein wegen ihres Scores abgelehnt worden war oder dass die Verarbeitung sie bereits erheblich beeinträchtigt hatte. Das Auskunftsrecht soll gerade ermöglichen, die Verarbeitung und ihre Auswirkungen zu überprüfen. Sein Umfang kann deshalb bei einem solchen Profiling nicht davon abhängen, dass die betroffene Person schon vor Erhalt der Informationen einen vollständigen Verstoß gegen die Regeln über automatisierte Entscheidungen nachweist. Der Senat begründete dies mit dem Schutz der betroffenen Rechte und Freiheiten sowie den einschlägigen Erwägungsgründen der DSGVO. Er trennte damit den Informationsanspruch von weitergehenden Ansprüchen wegen einer möglicherweise unzulässigen Entscheidung.

Transparenz muss den konkreten Vorgang erfassen

Für die Form und Verständlichkeit der Auskunft stellte das Gericht auf das Transparenzgebot des Artikels 12 DSGVO und die Rechtsprechung des Europäischen Gerichtshofs ab. Die Erläuterung muss sich auf die tatsächlich eingesetzten Verfahren und Grundsätze sowie das individuelle Ergebnis beziehen. Ein abstrakter Überblick über Scoring genügt nicht. Betroffene sollen nachvollziehen können, welche ihrer Daten auf welche Weise verwendet wurden, um mögliche Fehler zu erkennen und ihre Rechte wirksam geltend zu machen. Die Komplexität des Verfahrens entbindet die Auskunftei nicht von dieser Pflicht. Erforderlich ist eine klare, leicht zugängliche und auch für Personen ohne Spezialkenntnisse verständliche Darstellung.

Verwendete Daten: Unterschiede zwischen Basis- und Branchenscores

Beim Basisscore fehlte es bereits an einer hinreichenden Zuordnung der konkret verwendeten Daten und Kriterien. Die Mitteilung eines Prozentwerts und der allgemeinen Erklärung, es handele sich um eine branchenübergreifende Einschätzung, sagte noch nicht, welche individuellen Informationen diesen Wert bestimmten. Für die an Vertragspartner übermittelten Scores war dieser Teil des Anspruchs hingegen erfüllt. Aus der Tabelle und ihrer gut auffindbaren Legende ließ sich erkennen, welche Datenarten verwendet worden waren. Beispielsweise war die Kredithistorie eingeflossen, während Anschriftendaten als nicht verwendet gekennzeichnet waren. Der Senat verlangte deshalb keine pauschale Wiederholung bereits ausreichend erteilter Informationen, sondern unterschied zwischen den einzelnen Auskunftsdefiziten.

Gewichtung und Aussagekraft blieben unverständlich

Unzureichend blieb für sämtliche betroffenen Scores die Erklärung der Gewichtung. Die Kürzel für unterdurchschnittliche, durchschnittliche oder überdurchschnittliche Risiken ließen nicht erkennen, welchen Einfluss die verschiedenen Kategorien zueinander hatten und welche Kriterien das Ergebnis besonders stark bestimmten. Auch die Aussagekraft der konkreten Werte war nicht ausreichend erklärt. Eine allgemeine Einordnung als sehr kritisches Risiko beseitigte die Unklarheit zwischen dem Basisscore und den hiervon abweichenden Werten für einzelne Anfragen nicht. Die Klägerin konnte auf dieser Grundlage nicht prüfen, ob möglicherweise falsche Daten oder eine unzulässige Verarbeitung richtiger Daten zum Ergebnis geführt hatten. Genau diese individuelle Plausibilitätskontrolle sollte die ergänzende Auskunft ermöglichen.

Grenze gegenüber Algorithmus und Vergleichsgruppen

Eine vollständige mathematische Nachrechnung musste die Auskunftei nach Ansicht des Senats dagegen nicht eröffnen. Er berücksichtigte hierbei auch Rechte anderer Personen, Geschäftsgeheimnisse und geistiges Eigentum nach Artikel 15 Absatz 4 DSGVO. Die Offenlegung des gesamten Algorithmus oder der statistisch ausgewerteten Vergleichsgruppen war im entschiedenen Fall nicht geschuldet. Die Grenze verlief nach seinem Verständnis zwischen der verständlichen Erklärung konkreter Einflussfaktoren und einer Information, mit der das gesamte Rechenverfahren überprüft werden könnte. Der zugesprochene Umfang war im weitergehenden Antrag enthalten. Daher konnte das Gericht einen Teil der Auskunft gewähren, ohne etwas anderes als das beantragte Rechtsschutzziel zuzusprechen.

Zugesprochene Informationen, Kosten und zugelassene Revision

Im Ergebnis musste die Auskunftei die besonders einflussreichen Kriterien und ihre gegenseitige Gewichtung sowie die Bedeutung der konkreten Scores erläutern. Für den Basisscore kamen Angaben zu den tatsächlich verwendeten personenbezogenen Daten und Kriterien hinzu. Außerdem wurden 90,96 Euro vorgerichtliche Rechtsanwaltskosten zugesprochen. Die gesamten Prozesskosten verblieben dennoch bei der Klägerin, weil sie gegenüber ihren ursprünglichen umfangreichen Anträgen nur in geringem Umfang erfolgreich war und viele Kosten bereits vor den Rücknahmen entstanden waren. Die zugelassene Revision dient der Sicherung einer einheitlichen Rechtsprechung. Das Urteil kennzeichnet damit ausdrücklich eine noch obergerichtlich unterschiedlich beurteilte Reichweite des Informationsanspruchs.