Verwaltungsgericht Wiesbaden Urteil vom 19.11.2025 – 6 K 788/20.WI

Der Beklagte wird unter Aufhebung des Bescheids vom 03.06.2020 verpflichtet, mit aufsichtlichen Mitteln unter Beachtung der Rechtsauffassung des Gerichts zur Erfüllung des Auskunftsanspruchs der Klägerin aus Art. 15 Abs. 1 Buchst. h DSGVO gegenüber der Beigeladenen einzuschreiten. Im Übrigen wird die Klage abgewiesen.

Die Gerichtskosten des Verfahrens und die außergerichtlichen Kosten der Klägerin tragen der Beklagte und die Beigeladene je zur Hälfte. Der Beklagte und die Beigeladene tragen ihre außergerichtlichen Kosten selbst.

Das Urteil ist wegen der Kosten vorläufig vollstreckbar. Der jeweilige Kostenschuldner darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110% des aufgrund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die Klägerin vor der Vollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrages leistet.

Die Berufung wird zugelassen.

Die Sprungrevision wird zugelassen.

Die Klägerin begehrt ein aufsichtliches Einschreiten des Beklagten gerichtet auf eine Auskunftserteilung durch die Beigeladene.

Die Beigeladene ist eine privatwirtschaftliche deutsche Wirtschaftsauskunftei, die ihre Vertragspartner mit Informationen zur Kreditwürdigkeit Dritter, insbesondere Verbraucher, versorgt. Zu diesem Zweck übermitteln die Vertragspartner der Beigeladenen relevante Daten aus ihren Geschäftsverbindungen mit Kunden. Darüber hinaus erhält die Beigeladene auch Daten aus öffentlichen Verzeichnissen wie dem Schuldnerverzeichnis und dem Insolvenzregister, oder von Privatpersonen selbst. Die Beigeladene speichert die ihr übermittelten Daten, um ihren Vertragspartnern wiederum Auskünfte zu erteilen. Vor dem Abschluss eines kreditrelevanten Geschäfts können die Vertragspartner der Beigeladenen mithilfe der Auskunft und weiteren dem Vertragspartner vorliegenden Informationen prüfen, welche Risiken das in Aussicht genommene Geschäft birgt. Die Beigeladene erstellt hierzu einen sog. Scorewert. Der Scorewert soll dem Vertragspartner der Beigeladenen Auskunft darüber geben, wie hoch das Risiko von Zahlungsstörungen der betreffenden Person ist, wenn das geplante kreditrelevante Geschäft abgeschlossen wird. Zur Ermittlung des Scorewertes durch die Beigeladene wird aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens, wie beispielsweise die Rückzahlung eines Kredits, prognostiziert, wobei sowohl die im Einzelnen zugrunde gelegten Merkmale als auch das mathematisch-statistische Verfahren von der Beigeladenen nicht offengelegt werden. Die Erstellung von Scorewerten basiert auf der Annahme, dass durch die Zuordnung einer Person zu einer Gruppe anderer Personen mit bestimmten vergleichbaren Merkmalen, die sich in einer bestimmten Weise verhalten haben, ein ähnliches Verhalten vorausgesagt werden kann. Weist die Person ein bestimmtes Profil auf, wird ihr der ermittelte Scorewert von der Beigeladenen zugerechnet. Nach eigenen Angaben der Beigeladenen erstellt sie neben einem allgemeinen Score auch individuelle Score-Modelle für spezielle Vertragspartner, die die spezifischen Anforderungen dieser Unternehmen sowie die individuelle Risikopolitik berücksichtigen sollen. Bei der Beigeladenen handelt es sich um die größte deutsche Wirtschaftsauskunftei, die nach eigenen Angaben (Stand 20.12.2023) im Schnitt 320.000 Bonitätsauskünfte am Tag erteilt (https://www.schufa.de/newsroom/schufa/schufa-eintrag-loeschen-geht/#:~:text=Die%20SCHUFA%20erteilt%20im%20Schnitt,die%20bei%20uns%20gespeicherten%20Daten, zuletzt abgerufen 19.11.2025).

Die Klägerin beabsichtigte im Juli 2018 bei der G. EasyCredit (im Folgenden: TeamBank) einen Kredit über eine Summe von 5.000,00 EUR aufzunehmen. In diesem Zusammenhang holte die TeamBank eine Auskunft bei der Beigeladenen über die Klägerin ein. Im Juli 2018 übermittelte die Beigeladene der TeamBank einen Bonitätsscore von 85,96 % zur Person der Klägerin. Die Klägerin gibt hierzu an, sie habe von der TeamBank in der Folge die Information erhalten, dass sie durch die Beigeladene mit einem Scorewert von 85,96 % eingestuft worden sei, ohne dass bei der Klägerin sogenannte "harte Negativmerkmale" vorgelegen hätten. Die TeamBank lehnte eine Kreditvergabe an die Klägerin in der Folge ab.

Die Klägerin verlangte sodann von der Beigeladenen Auskunft darüber, welche Elemente die Scoreberechnung beeinflussten, welche Kriterien der Scorebewertung zugrunde lägen und auf welche Weise der Scorewert konkret berechnet werde.

Die Beigeladene teilte der Klägerin zunächst mit Schreiben vom 10.07.2018 folgendes mit:

"Sie [erhalten] gemäß Art. 15 Datenschutz-Grundverordnung (DS-GVO) eine Kopie der am 10.07.2028 zu Ihrer Person bei der SCHUFA gespeicherten personenbezogenen Daten.

SCHUFA-Datensatznummer: AAC9CV6CAS

Nachname: A.

Vorname: Emmi

Geburtsdatum: 17.02.1957

Geburtsort: A-Stadt

Aktuelle Adresse: Birkenstr. 39, A-Stadt D, gemeldet von Commerzbank AG Filiale A-Stadt, gespeichert am 15.02.2007

Sie wurden am 11.03.2010 erstmals nach den Bestimmungen des bis zum 24.05.2018 geltenden Bundesdatenschutzgesetzes (BDSG) über das SCHUFA-Verfahren informiert.

Sie wurden am 26.05.2018 erstmals nach den Bestimmungen der seit 25.05.2018 geltenden Datenschutz-Grundverordnung (DS-GVO) über das SCHUFA-Verfahren informiert [...].

Die SCHUFA nutzt im Rahmen der durch sie erteilten Wirtschaftsauskünfte zu Unternehmen Daten der CS Connect GmbH & Co. KG, welche Informationen über Unternehmen und deren wirtschaftlich tätige Personen (z.B. Gesellschafter, Inhaber, Geschäftsführer) speichert. Sofern Sie Informationen darüber erhalten möchten welche Daten zu Ihrer Person bei der CS Connect GmbH & Co. KG gespeichert sind, bitten wir Sie dort einen entsprechenden Antrag zu stellen [...]." (Bl. 453 ff. Papier-Gerichtsakte [GA]).

Dem Schreiben war als Anlage eine zweiseitige Auflistung der von den Vertragspartnern der Beigeladenen im Hinblick auf die Klägerin zur Verfügung gestellten Informationen sowie die von den Vertragspartnern der Beigeladenen im Hinblick auf die Klägerin gestellten Anfragen beigefügt. Auf den Inhalt der Anlage wird verwiesen (Bl. 455 f. Papier-GA).

Als weitere Anlage war eine Seite mit folgendem Inhalt beigefügt:

"Am 02.07.2018 beträgt Ihr Basisscore 97,35 % von theoretisch möglichen 100 %. Der Basisscore ermöglicht Ihnen eine branchenunabhängie Einschätzung Ihrer Bonität. Er wird als Erfüllungswahrscheinlichkeit in Form eines Prozentwertes dargestellt. Die Berechnung erfolgt einmal pro Quartal auf Basis der zu Ihrer Person bei der SCHUFA gespeicherten Daten." (Bl. 7 Verwaltungsvorgang [VV]; Bl. 9 und 458 Papier-GA).

Ferner war dem Schreiben eine tabellarische Aufstellung der in den letzten zwölf Monaten in Bezug auf die Klägerin übermittelten Wahrscheinlichkeitswerte beigefügt. Die tabellarische Aufstellung enthält sechs nach Datum sortierte Einträge in den Jahren 2017 und 2018 sowie weitere Informationen in den dazugehörigen Spalten "Übermittelt an", "Bezeichnung", "Scorewert", "Ratingstufe", "Erfüllungswahrscheinlichkeit", "Bisherige Zahlungsstörungen", "Kreditaktivität letztes Jahr", "Kreditnutzung", "Länge Kredithistorie", "Allgemeine Daten", "Anschriften Daten" und "Bedeutung insgesamt". Der letzte Eintrag mit Datum vom 10.07.2018 betraf eine Übermittlung einer "individuellen SCHUFA-Scorekarte Teambank III" an die "G. easy credit", für die als "Erfüllungswahrscheinlichkeit" ein Wert von 85,96 % eingetragen und in dem Feld "Bedeutung insgesamt" als "deutlich erhöhtes bis hohes Risiko" eingestuft war. Auf den weiteren Inhalt wird verwiesen (Bl. 10 und 457 Papier-GA).

Schließlich war dem Schreiben ein Informationsblatt "SCHUFA-Information" beigefügt.

Das Informationsblatt "SCHUFA-Information" hält unter Ziff. 4 zur Profilbildung (Scoring) fest:

"Vor Geschäften mit einem finanziellen Ausfallrisiko möchten Geschäftspartner möglichst gut einschätzen können, ob den eingegangenen Zahlungsverpflichtungen nachgekommen werden kann. Durch die SCHUFA-Auskunft und die Profilbildung mittels sogenannter Scorewerte unterstützt die SCHUFA Kredit gebende Unternehmen bei der Entscheidungsfindung und hilft dabei, alltägliche Kreditgeschäfte rasch abwickeln zu können. Beim Scoring wird anhand von gesammelten Informationen und Erfahrungen aus der Vergangenheit eine Prognose über zukünftige Ereignisse erstellt. Die Berechnung aller Wahrscheinlichkeitswerte erfolgt bei der SCHUFA grundsätzlich auf Basis der zu einer betroffenen Person bei der SCHUFA gespeicherten Informationen, die auch in der Auskunft nach Art. 15 DS-GVO ausgewiesen werden. Darüber hinaus berücksichtigt die SCHUFA beim Scoring die Bestimmungen des § 31 BDSG. Anhand der zu einer Person gespeicherten Einträge erfolgt eine Zuordnung zu statistischen Personengruppen, die in der Vergangenheit ähnliche Einträge aufwiesen. Die Scoreberechnungen erfolgen auf mathematischstatistisch anerkannten und bewährten Verfahren. Folgende Datenarten werden bei der SCHUFA zur Scoreberechnung verwendet, wobei nicht jede Datenart auch in jede einzelne Scoreberechnung mit einfließt: Allgemeine Daten (z.B. Geburtsdatum, Geschlecht oder Anzahl im Geschäftsverkehr verwendeter Anschriften), bisherige Zahlungsstörungen, Kreditaktivität letztes Jahr, Kreditnutzung, Länge Kredithistorie sowie Anschriftendaten (nur wenn wenige personenbezogene kreditrelevante Informationen vorliegen). Bestimmte Informationen werden weder gespeichert noch bei der Berechnung von Scorewerten berücksichtigt, z.B. Angaben zur Staatsangehörigkeit oder besonders sensible Daten nach Art. 9 DS-GVO (z.B. ethnische Herkunft oder Angaben zu politischen oder religiösen Einstellungen). Auch die Geltendmachung von Rechten nach der DS-GVO, also z.B. die Einsichtnahme in die bei der SCHUFA gespeicherten Informationen nach Art. 15 DS-GVO, hat keinen Einfluss auf die Scorewerte. Mit welcher Wahrscheinlichkeit eine Person einen Baufinanzierungskredit zurückzahlen wird, muss nicht der Wahrscheinlichkeit entsprechen, mit der sie eine Rechnung beim Versandhandel termingerecht bezahlt. Aus diesem Grund bietet die SCHUFA ihren Vertragspartnern unterschiedliche branchenspezifische Scoremodelle an, die sogenannten SCHUFA-Branchenscores. Diese repräsentieren in der Regel die Wahrscheinlichkeit einer Zahlungsstörung innerhalb von 15 Monaten. Bei einzelnen Branchen kann der Zeitraum abweichen, um besser auf Eigenheiten der branchenüblichen Geschäftsmodelle einzugehen (z.B. Telekommunikation, Baufinanzierung). Scores verändern sich stetig, da sich auch die Informationen, die bei der SCHUFA über eine Person gespeichert sind, verändern. So kommen neue Informationen hinzu, während andere aufgrund von Speicherfristen gelöscht werden. Außerdem ändern sich auch die Informationen selbst Im Zeitverlauf (etwa die Dauer des Bestehens einer Geschäftsbeziehung), so dass auch ohne neue Informationen Veränderungen auftreten. Wichtig zu wissen: Die SCHUFA selbst trifft keine Entscheidungen, sie unterstützt die ihr angeschlossenen Vertragspartner lediglich mit ihren Informationen bei der Entscheidungsfindung. Die Risikoeinschätzung und Beurteilung der Kreditwürdigkeit erfolgt allein durch den direkten Geschäftspartner, da nur dieser über zahlreiche zusätzliche Informationen – wie zum Beispiel die aus einem Kreditantrag – verfügt. Dies gilt selbst dann, wenn er sich einzig auf die von der SCHUFA gelieferten Informationen und Scorewerte verlässt. Weitere Informationen zum Kreditwürdigkeitsscoring oder zur Erkennung auffälliger Sachverhalte sind unter www.scoring-wissen.de erhältlich." (Bl. 459 f. Papier-GA).

Unter der URL "www.scoring-wissen.de", auf die die "SCHUFA-Information" verweist, stellt die Beigeladene weitere Informationen zur Datengrundlage und Funktionsweise des Scoring bereit. Neben textlichen Erläuterungen und einem Score-Simulator finden sich dort mehrere Erklärungsvideos und ein Video-Chatbot.

Mit weiterem Schreiben vom 08.08.2018 teilte die Beigeladene der Klägerin u.a. folgendes mit:

"Berechnungsgrundlage der SCHUFA-Scores sind die zu Ihrer Mandantin im SCHUFA-Datenbestand gespeicherten Daten. Diese Daten werden Ihnen in der Kopie der personenbezogenen Daten (Art. 15 DS-GVO) ausgewiesen. Mit dieser Einsicht haben Sie die Möglichkeit, Unstimmigkeiten in der Berechnungsgrundlage auszudecken und eine etwaige erforderliche Berichtigung und Aktualisierung der Daten zu veranlassen. Die SCHUFA-Branchenscores ergeben sich aus der statistischen Auswertung gleicher oder ähnlicher Datensätze. Dazu ziehen wir Millionen anonymisierter Kreditverträge heran. Die Erfahrungen daraus analysieren wir und berechnen damit Wahrscheinlichkeiten. Das Ergebnis sind Voraussagen darüber, wie das Risiko von Zahlungsstörungen bei verschiedenen Arten von Geschäften einzuschätzen ist. So lässt sich beispielsweise festhalten, dass Vertragsstörungen bei einer bestimmten Merkmalskombination häufiger vorkommen als bei anderen.

Bezüglich des von Ihnen angemerkten Scorewertes an die G. easyCredit teilen wir Ihnen mit, dass es Vertragspartner der SCHUFA gibt, die individuelle Scorekarten und Regelwerke nutzen und so von den Standard-Scorekarten abweichende Ergebnisse erhalten.

Unsere Scoreberechnungen sind mit Hilfe mathematisch-statistischer Verfahren berechnete Wahrscheinlichkeitswerte. Diese Werte prognostizieren, wie wahrscheinlich es ist, dass die jeweils betreffende Person ihren Zahlungsverpflichtungen ordnungsgemäß nachkommen wird.

Angaben dazu, welche Daten bzw. Einzelinformationen mit welcher Gewichtung in diese Berechnung einfließen, können wir leider nicht machen, da wir damit unsere Erfahrungen und unser Wissen gegenüber den Marktwettbewerbern offenlegen würden.

Wir sind zu einer Offenlegung unserer Berechnungsmethoden nicht verpflichtet, weil unsere Berechnungsmethoden unter das Betriebs- und Geschäftsgeheimnis fallen (vgl. BGH, Urteil vom 28.01.2014 (Az. VI ZR 156/13) [...].

Der SCHUFA-Score dient im Übrigen nicht dazu, Kreditanträge abzulehnen. Das Gegenteil ist der Fall: Er soll dem Vertragspartner eine positive Entscheidung erleichtern. Zur Ablehnung eines Vertragsantrags gehört mehr als unser Score, denn bei der Prüfung eines solchen Antrags berücksichtigt der Vertragspartner viele weitere Kriterien, z.B. das Einkommen oder auch das Vermögen des Antragsstellers.

Wir liefern unseren Vertragspartnern objektive Informationen und sorgfältig berechnete Voraussagen. Damit unterstützen wir lediglich die Entscheidungen der jeweiligen Unternehmen. Vertragsentscheidungen werden allerdings von unseren Vertragspartnern allein getroffen.

Wir geben keinerlei Empfehlung ab, ob ein Vertrag geschlossen werden soll oder nicht.

Wie der Kreditgeber die Informationen, die wir ihm zur Verfügung stellen, bewertet, liegt nicht in unserer Hand. Wir können weder das Kreditgebungsverfahren selbst noch interne Arbeitsanweisungen der Kreditgeber beeinflussen." (Bl. 8 f. VV).

Mit Schreiben ihres Bevollmächtigten vom 21.08.2018 an die Beigeladene bemängelte die Klägerin, dass das Schreiben der Beigeladenen vom 08.08.2018 konkrete Auskünfte zu dem beanstandeten Scorewert von 85,96 % vom 10.07.2018 vermissen lasse. Die mitgeteilten Wahrscheinlichkeitswerte enthielten keinerlei konkrete Angaben zur Scorewert-Bildung. Es werde auch nur auf Risiken Bezug genommen, die mit den Worten "(deutlich) überdurchschnittlich, durchschnittlich, unterdurchschnittlich" näher charakterisiert würden. Warum diese Einschätzungen dergestalt erfolgten, werde mit keinem Wort näher erläutert. Da auch die Bildung der Vergleichsgruppe nicht näher erläutert werde, sei vollkommen unklar, ob die Bewertung der Klägerin nicht vollständig willkürlich sei. Aus der Auskunft vom 10.07.2018 ergebe sich, dass die Kategorien "Kreditaktivität letztes Jahr" und "Länge Kredithistorie" zulasten der Klägerin ausgefallen sei, ohne dass die Beigeladene bislang darüber aufgeklärt habe, was mit diesen Kategorien überhaupt gemeint sei und warum sie derart negativ ausfielen. Auf ein Geschäftsgeheimnis könne die Beigeladene sich nicht berufen, denn es gehe der Klägerin nicht um die konkrete Gewichtung einzelner Kategorien, die im Rahmen des Scoring-Verfahrens der Beigeladenen verwendet würden. Es gehe vielmehr allein darum, warum einzelne dieser Kategorien derart negativ bewertet worden seien. Hierfür gebe es keine nachvollziehbaren Gründe (Bl. 10 f. VV).

Mit Schreiben vom 23.08.2018 teilte die Beigeladene der Klägerin mit, die Elemente, die die Scoreberechnung beeinflussten, seien vollständig in der der Klägerin erteilten Kopie der personenbezogenen Daten (nach Art. 15 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [DSGVO]) vom 10.07.2018 ausgewiesen. Die Scores ergäben sich aus einer statistischen Auswertung gleicher oder ähnlicher Datensätze. Sie würden anhand moderner mathematisch-statistischer Verfahren berechnet. Bei der Ermittlung der Scores flössen Angaben aus Millionen anonymisierter Kreditverträge in die Wahrscheinlichkeitsberechnung ein, wobei die bei der Beigeladenen zu einer Person gespeicherten Informationen Grundlage für die Berechnung seien. Die in der Anlage zur Kopie der personenbezogenen Daten (nach Art. 15 DSGVO) enthaltene Bewertung der Risiken in den Datenarten solle hierbei lediglich veranschaulichen, ob diese in der vorliegenden Konstellation und bei der vergleichenden Betrachtung gleicher und ähnlicher Tatenkonstellationen auf durchschnittliche oder vom Durchschnitt abweichende Risiken schließen lasse. Die Beigeladene sei zu einer Offenlegung ihrer Berechnungsmethoden nicht verpflichtet, weil diese unter das Betriebs und Geschäftsgeheimnis fielen (Bl. 12 f. VV).

Mit Schreiben ihres Bevollmächtigten vom 18.10.2018 erhob die Klägerin Beschwerde bei dem Beklagten, mit der sie folgendes geltend machte: Die Klägerin begehre von der Beigeladenen Auskunft über die für ihre Bewertung zugrunde gelegten Scoringwerte sowie Löschung falscher Eintragungen. Es lägen keinerlei Tatsachen vor, die eine Einstufung mit einem Scorewert von 85,96 % rechtfertigen könnten. Die Klägerin habe keinerlei Schulden und verfüge über eine gute Bonität. Die Vorgehensweise der Beigeladenen, insbesondere die offensichtliche Verwendung rein automatisierter Prozesse zur Erstellung von Bewertungen, verstoße gegen Art. 22 DSGVO. Somit habe die Klägerin zunächst einen Anspruch darauf, dass sämtliche über sie gespeicherten Daten bei der Beigeladenen gelöscht würden, einschließlich sämtlicher Scoringwerte, und dass diese auch nicht übermittelt würden. Des Weiteren habe sie Informations- und Auskunftsrechte über das Bestehen der Logik der automatisierten Verarbeitung gemäß Art. 13 Abs. 2 Buchst. f, Art. 14 Abs. 2 Buchst. g und Art. 15 Abs. 1 Buchst. h DSGVO. Die Beigeladene habe der Klägerin bisher nur Kopien der personenbezogenen Daten zur Verfügung gestellt. Die Beigeladene sei verpflichtet, über das "Wie?" der Verarbeitung zu informieren, also über die involvierte Logik und die Tragweite sowie die Auswirkungen der Verarbeitung. Dabei seien sämtliche Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, und zwar kostenfrei. Dies verweigere die Beigeladene bisher in rechtswidriger Weise. Gerade die massiven Auswirkungen in der Lebenswirklichkeit der Betroffenen rechtfertigten es umso mehr, dass die Beigeladene detaillierte Auskünfte erteile, und zwar insbesondere darüber, welche Daten bzw. Einzelinformationen mit welcher Gewichtung in diese Berechnungen einflössen. Die Beigeladene könne sich nicht auf schutzwürdige Geschäftsgeheimnisse berufen; diese träten hinter den Schutz der Persönlichkeitsrechte der Klägerin zurück. Überdies berücksichtige Art. 22 DSGVO gerade die von der Beigeladenen benutzten Scoring-Verfahren. Der Beklagte werde gebeten, gegenüber der Beigeladenen zu verfügen, dass diese dem Auskunfts- und Löschungsverlangen der Klägerin nachkomme (Bl. 1 ff. VV).

Mit Schreiben vom 22.11.2018 bestätigte der Beklagte der Klägerin den Eingang der Beschwerde (Bl. 15 VV).

Mit "Verfügung" vom 03.06.2020 teilte der Beklagte der Klägerin mit, die Nutzung von Bonitäts- oder Scorewerten zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses sei grundsätzlich zulässig. Dies ergebe sich aus Art. 6 Abs. 1 Buchst. b und f DSGVO und aus § 31 BDSG. Die Anforderungen zur Berechnung des Bonitätswertes nach § 31 BDSG erfülle die Beigeladene in aller Regel. Im dem vorliegenden Fall deute nichts darauf hin, dass diese Anforderungen nicht erfüllt würden. Bei der Bonitätsermittlung sei es zulässig, aus dem Verhalten eines Teils einer Personengruppe Wahrscheinlichkeiten für das Verhalten anderer Personen zu bilden, die ebenfalls zu dieser Personengruppe zählten, sofern eine statistische Signifikanz bestehe. Auskunfteien wie die Beigeladene errechneten diese Werte selbstständig. Die Aufsichtsbehörden hätten auf diese Art der Berechnung oder das verwendete Verfahren nur begrenzten Einfluss. Sie könnten nur überprüfen, ob die Berechnung des Bonitäts- oder Scorewertes den gesetzlichen Anforderungen entspreche und ob die Werte tatsächlich eine Aussagekraft hätten. Der Gesetzgeber gehe allerdings davon aus, dass ein Bonitätswert, der entsprechend den gesetzlichen Bestimmungen errechnet worden sei, zumindest eine statistische Aussagekraft habe. Bonitäts- oder Scorewerte bewerteten die Bonität einzelner betroffener Personen nicht exakt. Vielmehr bewerteten sie lediglich die Bonität einer Gruppe von Personen mit gleichen oder ähnlichen Merkmalen und beinhalteten darauf aufbauend eine Wahrscheinlichkeit dafür, dass eine einzelne betroffene Person ein weitgehend ähnliches Risiko beinhalte. Individuelle Abweichungen würden dabei nicht berücksichtigt. Deshalb sei es auch nicht zulässig, automatisiert anhand der Berechnung von Bonität wichtige Entscheidungen zu treffen. Etwaige Vertragspartner der Klägerin sollten daher in der Lage sein, individuelle Abweichungen zu berücksichtigen. Die Bonität werde von der Beigeladenen anhand der bei der Beigeladenen über die betroffene Person gespeicherten Daten berechnet. Eine Auskunft zu diesen Daten erhalte man von der Beigeladenen wie auch von anderen Auskunfteien auf der Grundlage von Art. 15 DSGVO. Änderungen der gespeicherten Daten wirkten sich in der Regel auf den Bonitätsscore aus. Nicht immer hätten die Berichtigung oder Löschung von Daten aber einen positiven Effekt auf die Berechnung der Bonität. Die Beigeladene beantworte Fragen zur Berechnung der Scorewerte nach Auffassung des Beklagten ausreichend und entsprechend der gesetzlichen Regelung. Sie gebe insbesondere an, welche Datenarten zur Berechnung des jeweiligen Scorewertes genutzt worden und welche Risiken in den einzelnen Datenarten nach dem Scoringmodell der Beigeladenen enthalten seien. Weitere Informationen zum Score müsse die Beigeladene zur Wahrung ihrer Geschäftsgeheimnisse nicht offenbaren. Gemäß Art. 15 Abs. 1 Buchst. h DSGVO müsse die Beigeladene lediglich aussagekräftige Informationen über die involvierte Logik nennen. Die Einzelheiten der Scoreberechnung seien dagegen nicht offenzulegen. Hinter dem Scoringmodell der Beigeladenen verberge sich auch keine einfache Formel, die offengelegt werden könnte. Stattdessen würden für die einzelnen Merkmale die Ausfallhäufigkeiten einer Vergleichsgruppe betrachtet und diese dann zu einer Gesamtausfallwahrscheinlichkeit kumuliert. Das Scoring-Verfahren der Beigeladenen arbeite daher ohne subjektive Elemente ausschließlich auf Basis der tatsächlich vorhandenen Ausfälle. Das Scoringmodell der Beigeladenen werde derzeit von dem Beklagten auch nicht bemängelt. Aufgrund dessen sei in dem vorliegenden Fall die Verfahrensweise der Beigeladenen aus datenschutzrechtlicher Sicht nicht zu beanstanden, sodass kein Grund zu einer aufsichtsrechtlichen Veranlassung gegenüber der Beigeladenen bestehe. Auf den weiteren Inhalt des Bescheids wird verwiesen (Bl. 18 ff. VV).

Mit Schreiben ihres Bevollmächtigten vom 07.07.2020, eingegangen bei dem Verwaltungsgericht Wiesbaden am selben Tag, hat die Klägerin Klage erhoben.

Die Klägerin ist der Auffassung, sie habe gegen den Beklagten einen Anspruch auf weitere Befassung und Überprüfung ihrer Beschwerde nach Art. 78 Abs. 2 i.V.m. Art. 57 DSGVO sowie einen Anspruch auf aufsichtliches Einschreiten gegenüber der Beigeladenen gemäß Art. 58 DSGVO.

Sie habe einen Auskunftsanspruch gegenüber der Beigeladenen gemäß Art. 15 Abs. 1 Buchst. h, 22 Abs. 1 DSGVO, der nicht erfüllt sei. Die Beigeladene müsse der Klägerin gegenüber detailliert offenlegen, welche Daten zur konkreten Scoring-Wertermittlung in der Person der Klägerin genutzt würden. Die Beigeladene habe Auskunft darüber zu erteilen, ob ihr über die von der Bewertung und Auskunft betroffene Person "harte Negativmerkmale" oder "weiche Negativmerkmale" vorlägen.

Die Klägerin habe seinerzeit bei der TeamBank um Auskunft gebeten. Ihr sei dazu mitgeteilt worden, dass in ihrer Person keine "harten Negativmerkmale" vorlägen und die Ablehnung ihres Kreditantrages ausschließlich auf dem "negativen Scoring-Wert", der durch die Beigeladenen ermittelt worden sei, beruhe. Sei dieser negativ, werde eine Kreditanfrage automatisch abgelehnt. Diese seit Jahren gängige Praxis werde unverändert durch die TeamBank, aber auch von der überwiegenden Zahl der anderen Kreditinstitute fortgeführt.

Die Beigeladene bzw. das von ihr "beherrschte System" treffe die Kreditentscheidung, denn die TeamBank habe keine eigenen Kenntnisse. Dass die Marktmacht der Beigeladenen noch viel weiter gehe, zeige sich auch etwa daran, dass die Klägerin am 23.06.2024 eine Konditionenanfrage für einen 10.000,00 EUR-Kredit über das Portal "check24" gestellt habe. Es sei bei 22 Kreditinstituten abgefragt worden. Von der Targobank seien drei Angebote unterbreitet worden. Seitens der anderen Kreditinstitute habe es keine Angebote gegeben. Die Anfrage sei offensichtlich nicht an den nächsten Übergabepunkt weitergeleitet worden, da ein positives Signal der Beigeladenen erforderlich sei. Dies zeige, dass ohne eine Beauskunftung durch die Beigeladene und/oder eine positive Scorewertauskunft keine Kreditanfrage bearbeitet, geschweige denn ein Kredit gewährt werde. Über "check24" sei noch ein Kontakt zur CreditPlus Filiale Dortmund vermittelt worden. Die Daten seien dem Bearbeiter, Herrn Gützel, telefonisch mitgeteilt worden. Bis zur Schufa-Abfrage hätten die Daten eingetragen werden können, danach sei eine weitere Bearbeitung nicht möglich gewesen. Ebenfalls unter Vermittlung von "check24" habe es einen persönlichen Kontakt zu einem Kreditsachbearbeiter der Targobank gegeben. Auch diesmal habe der Antrag nur bis zur Schufa-Abfrage bearbeitet werden können. Der Bearbeiter habe vom "SCHUFAPrivatkundenService Center" – Herrn Grewe – mit E-Mail vom 27.06.2024 die Auskunft erhalten: "[O]hne elektronische Schufa ist, wie Ihnen bekannt ist, keine Kreditentscheidung möglich".

Es liege somit eine automatisierte Entscheidung im Einzelfall vor. Die Beigeladene erziele intransparent und rechtswidrig die Scoring-Ergebnisse. Dazu nutze die Beigeladene zum Beispiel 250 unterschiedliche Vergleichskriterien in der verwendeten Software zur Scorewert-Ermittlung, welche den Betroffenen nie mitgeteilt würden. Da der Score selbst rechtlich als ein persönliches Datum zu bewerten sei, betreibe die Beigeladene seit Jahren rechtswidrige Datenverarbeitung, mittlerweile unter vorsätzlichem Verstoß gegen die DSGVO, und habe der Klägerin damit erheblichen Schaden zugefügt. Der Umstand, dass ein Kreditsachbearbeiter der Bank die Entscheidung treffe, führe nicht dazu, dass keine automatisierte Entscheidung vorliege. Als "Kreditsachbearbeiter" der TeamBank entscheide kein Mensch, sondern eine Software, nämlich das "Vollautomatisierte Kreditentscheidungssystem" der Firma ACTICO GmbH, deren Kunde die TeamBank sei. Die "Schufa-Bonitätsbewertung" werde über eine Schnittstelle implementiert. Das implementierte Scoringmodell stamme von der Beigeladenen und sei damit maßgeblich für die Kreditentscheidung. Da für die Implementierung des "Schufa-Scores" Schnittstellen geschaffen werden müssten, könne die TeamBank diese Software nur mit Wissen und Mithilfe der Beigeladenen (mindestens als Auftragsverarbeiter i. S. der DSGVO) einsetzen. Aufgrund der fehlenden Möglichkeit menschlichen Eingreifens werde die "Entscheidung" – gleichgültig, wer diese treffe – zu 100 % maschinell ermittelt und sei nicht DSGVO-konform. Da die Einkommens- und Vermögensverhältnisse der Klägerin vor der Entscheidung über die Kreditgewährung nicht abgefragt worden seien, hätten diese auch nicht geprüft werden können. Es habe ausschließlich die "Bonitätsauskunft" der Beigeladenen vorgelegen. Somit liege eine (verbotene) automatisierte Entscheidung vor.

Hieran ändere auch die Behauptung der Beigeladenen nichts, dass ihren Vertragspartnern nicht gestattet sei, einen Vertragsabschluss alleine aufgrund eines übermittelten Scorewerts abzulehnen. Diese Behauptung bestreite die Klägerin.

Im Falle der Klägerin habe es keine "negativen Merkmale" bzw. einen Faktor gegeben, der zu einer Herabstufung habe führen können, weder in einem "Banken-Score", noch in einem "Individualscore".

Die Beigeladene könne sich nicht im Rahmen des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO auf ein Geschäftsgeheimnis berufen. Außerdem seien nach der Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH) Informationen, die zu einem bestimmten Zeitpunkt möglicherweise Geschäftsgeheimnisse gewesen seien, aufgrund des Zeitablaufs grundsätzlich als nicht mehr aktuell und deshalb als nicht mehr vertraulich anzusehen, wenn sie mindestens fünf Jahre alt seien (EUGH, 19.06.2018 – C-15/16 –).

Die Beigeladene verarbeite Daten rechtsgrundlos. § 31 BDSG sei nicht anwendbar, da diese Vorschrift das Ergebnis einer Interessenabwägung vorbestimme und daher gegen Unionsrecht (EuGH C-634/21 und C-203/22) verstoße. Die Voraussetzungen des Art. 6 Abs. 1 Buchst. f DSGVO seien nicht erfüllt und der Beklagte habe diese Voraussetzungen offensichtlich nicht geprüft.

Die Klägerin beantragt zuletzt,

die Abschlussmitteilung vom 03.06.2020, zugestellt am 08.06.2020, aufzuheben und den Beklagten zu verpflichten, Abhilfemaßnahmen gegen die Beigeladene nach Art. 58 Abs. 2 Buchst. c und d DSGVO zu ergreifen,

hilfsweise,

die Abschlussmitteilung des Beklagten vom 03.06.2020 aufzuheben und den Beklagten zu verpflichten, die beanstandende Auskunft der Beigeladenden vom 10. Juli 2018 hinsichtlich Vollständigkeit und Transparenz inhaltlich zu bewerten, aufsichtliche Mittel gegen insofern festgestellte Mängel der Auskunft zur Behebung derselben einzusetzen und gegebenenfalls die seinen Beschwerdepunkten entgegenstehenden Prüfungsergebnisse inhaltlich zu begründen,

weiter hilfsweise,

die Abschlussmitteilung aufzuheben und den Beklagten zu verpflichten, gegen die Mängel der beanstandeten Auskunft der Beigeladenen vom 10. Juli 2018 aufsichtliche Mittel einzusetzen.

Der Beklagte beantragt,

die Klage abzuweisen.

Der Beklagte ist der Auffassung, ein Anspruch auf weitere Befassung mit der Sache und Überprüfung der Beschwerde der Klägerin sowie ein Anspruch auf aufsichtliches Einschreiten des Beklagten sei nicht begründet. Er wiederholt im Wesentlichen die Ausführungen aus dem streitgegenständlichen Bescheid und trägt ferner im Wesentlichen vor: Die Auskunftspraxis der Beigeladenen sei beanstandungsfrei. Die Beigeladene sei nicht verpflichtet, weitere Informationen zum Scoring offenzulegen. Es reiche aus, gemäß Art. 15 Abs. 1 Buchst. h DSGVO aussagekräftige Informationen über die involvierte Logik gegenüber der Klägerin zu benennen. Die Klägerin habe alle Informationen erhalten und weitere Ausführungen fänden sich zudem frei zugänglich unter https://www.schufa.de/daten-scoring/scoring. Diese Transparenz genüge den Anforderungen nach Art. 15 Abs. 1 Buchst. h DSGVO.

Der Beklagte prüfe die Scorewerte nicht inhaltlich. Geprüft werde durch den Beklagten die Zulässigkeit der Verarbeitung der in den Scorewerten einfließenden Daten und deren Richtigkeit. Der Beklagte habe sich von der Beigeladenen ein Gutachten dazu vorlegen lassen. Das Gutachten und vom Beklagten durchgeführte Ermittlungen hätten die Erfüllung der Anforderungen des § 31 Abs. 1 BDSG bestätigt. Das Gutachten könne seitens des Beklagten aber aus rechtlichen Gründen nicht vorgelegt werden, da das Gutachten den ausdrücklichen Hinweis der Beigeladenen auf ihr Geschäftsgeheimnis enthalte. Das Gutachten betreffe überdies nicht dieses Verwaltungsstreitverfahren, sondern diene der allgemeinen Aufsichtstätigkeit.

Die Beigeladene habe speziell auf dem Portfolio der TeamBank ein Modell erstellt, da das Kreditangebot "easyCredit" regelmäßig von Personen mit einem höheren Ausfallrisiko in Anspruch genommen werde. Die Kreditentscheidung basiere auf einer Reihe von Regeln und Merkmalen, die durchlaufen werden müssten.

Im Hinblick auf die Frage, ob eine automatisierte Entscheidung vorliege, meint der Beklagte: Führe ein Score nicht zum Abbruch der Prüfung und stelle er lediglich einen von mehreren Faktoren im Entscheidungsprozess des Empfängers dar – könne also durch weitere Kriterien relativiert oder überlagert werden –, liege keine Maßgeblichkeit vor. Eine gesetzliche oder vertragliche Verpflichtung des Empfängers zur eigenständigen Prüfung könne ein Indiz für eine solche Konstellation sein. Insbesondere die §§ 505a und 505b BGB sowie § 18a KWG legten die Verpflichtung der Banken zur Durchführung einer Kreditwürdigkeitsprüfung bei Verbraucherdarlehensverträgen fest. Nach Abschluss dieser Prüfung dürften keine erheblichen Zweifel an der Kreditwürdigkeit der Kreditnehmer bestehen. Zur Beurteilung der Kreditwürdigkeit könnten Kreditinstitute auch externe Informationen heranziehen, beispielsweise Auskünfte von Dritten wie Auskunfteien. Sie seien verpflichtet, diese Informationen angemessen zu überprüfen. Dies spreche dafür, dass Banken ihre Kreditentscheidungen nicht ausschließlich auf einen Scorewert einer Auskunftei stützten. Ausschlaggebend sei jedoch stets die tatsächliche individuelle Umsetzung dieser Verpflichtung. Werde der Score im Rahmen eines Algorithmus mit festgelegtem Gewicht in die Prüfung einbezogen, spreche dies eher für eine Maßgeblichkeit. Im Fall der TeamBank fließe der Scorewert der Beigeladenen nicht mit einem fest definierten Gewicht im Rahmen eines Algorithmus in die Kreditprüfung ein. Vielmehr bestünden Spielräume bei der Gewichtung, sodass eine Maßgeblichkeit nicht anzunehmen sei. Für die Kreditwürdigkeitsprüfung von Verbraucherdarlehensverträgen unterliege das jeweilige Kreditinstitut den Anforderungen nach §§ 505a, 505b BGB und § 18a KWG. Dies bedeute, dass sich für die letztendliche Entscheidung über die Kreditgewährung das jeweilige Kreditinstitut nicht allein auf die Aussagen eines Dritten (wie beispielsweise der Beigeladenen) verlassen dürfe, sondern selbst eine umfangreiche Informationsbasis schaffen müsse. Seitens der Bank werde eine eigene Bewertung nach internen Regeln mit teilweise eigenen Daten vorgenommen, was dann letztendlich zur Gewährung oder Versagung von Krediten führe. Nach den Entscheidungsregeln der TeamBank treffe nicht faktisch die Beigeladene die endgültige Entscheidung für die TeamBank, denn der Wahrscheinlichkeitswert stelle an diversen Stellen der Kreditentscheidung, die durchlaufen werden müssten, nur ein Teilkriterium dar. Nach den internen Regeln der Bank bestehe keine Entscheidungsbindung, sondern eindeutig ein Handlungsspielraum.

Erst zukünftig sehe die noch nicht verabschiedete Neuregelung des § 37a Abs. 4 BDSG vor, dass Score-Ersteller auf Antrag des Betroffenen zum Beispiel die für die Erstellung genutzten personenbezogenen Daten der betroffenen Person und Kriterien, die Gewichtung von Kategorien von Kriterien und der einzelnen Kriterien zueinander, die den Wahrscheinlichkeitswert am stärksten beeinflussten und die Aussagekraft des konkreten Wahrscheinlichkeitswerts mitteilen müssten.

Anhaltspunkte dafür, dass der Entscheidungsprozess bei der TeamBank damals im Falle der Klägerin derart ausgestaltet war, dass - wie die Klägerin vortrage - die Kreditentscheidung bei der TeamBank nicht von einem Menschen getroffen worden sei, da die TeamBank das vollautomatisierte Kreditentscheidungssystem der ACTICO GmbH benutze, habe der Beklagte nicht ermitteln können. Kreditentscheidungen würden bei der TeamBank keineswegs vollautomatisiert getroffen, sondern neben den durch die ACTICO GmbH unterstützten Regelprüfungen bestünden weitere Prozessschritte, in denen menschliches Eingreifen oder Handeln bzw. Übersteuern vorgesehen sei. Diesbezüglich reicht der Beklagte die von ihm geführte Kommunikation mit der TeamBank vom 15.10.2025 ein. Hierauf wird verwiesen (Bl. 401 ff. elektr. GA).

Die Beigeladene beantragt,

die Klage abzuweisen.

Die Beigeladene trägt vor, sie habe mit Datum vom 10.07.2018 für die Klägerin eine Datenkopie nach Art. 15 DSGVO erstellt. Datenkopien der Beigeladenen enthielten immer am Ende des Dokuments die sogenannten SCHUFA-Informationen. Dort werde unter der Ziffer 4 das Scoring-Verfahren erläutert. Auch auf der Homepage der Beigeladenen (www.scoring-wissen.de; nunmehr https://www.schufa.de/faq/privatpersonen/scoring/) seien Informationen abrufbar. Die Klägerin könne sich somit jederzeit über das Scoring der Beigeladenen informieren.

Der Scorewert sei aufgrund eines speziell für die TeamBank erstellten Scoreverfahrens erstellt worden, der "Individuellen SCHUFA-Scorekarte Teambank III". Die Scorekarte beruhe auch auf konkreten Risikoerfahrungen der TeamBank bei der Vergabe von ungesicherten "easyCredit"-Krediten. Sie weise deshalb ein höheres Risiko aus als die anderen Scorekarten. Der Grund dafür liege in der Natur des Kreditangebots "easyCredit" der TeamBank. Der "easyCredit" werde regelmäßig von weniger finanzkräftigen Personen in Anspruch genommen, sodass das Ausfallrisiko für die TeamBank höher sei. Der von der Beigeladenen übermittelte Score habe darüber informiert, wie hoch das durchschnittliche Risiko von künftigen Zahlungsstörungen bei der Vergabe eines solchen ungesicherten Kredits gewesen sei.

Die Beigeladene meint, der Klägerin stehe der geltend gemachte Auskunftsanspruch nach Art. 15 Abs. 1 Buchst. h DSGVO gegen die Beigeladene, zu dessen aufsichtsrechtlicher Durchsetzung sie den Beklagten verpflichten lassen wolle, nicht zu.

Auskunftsverpflichtet sei gemäß Art. 15 Abs. 1 DSGVO nur der Verantwortliche (in der Logik der Klägerin also die TeamBank), nicht der Auftragsverarbeiter.

Art. 15 Abs. 1 Buchst. h DSGVO sei nicht anwendbar. Das Auskunftsrecht nach Art. 15 Abs. 1 Buchst. h DSGVO setze das Bestehen einer automatisierten Entscheidungsfindung gemäß Art. 22 DSGVO voraus. Es liege im vorliegenden Fall aber keine automatisierte Entscheidung vor. Die Behauptung der Klägerin, ihr sei wegen des streitgegenständlichen Scores eine "Kreditierung" verweigert worden, werde bestritten. Es sei nicht erwiesen, dass die ablehnende Kreditentscheidung "maßgeblich" von dem streitgegenständlichen Score der Beigeladenen abhängig gewesen sei und die vom EuGH aufgestellten Voraussetzungen für eine automatisierte Einzelfallentscheidung vorgelegen hätten.

Die TeamBank habe über die Konditionenanfrage auf Grundlage der von der Klägerin im Kreditantrag vorlegten Informationen und der Auskunft der Beigeladenen entschieden. Die Auskunft der Beigeladenen habe nicht nur aus der Mitteilung des Bonitätsscores bestanden. Sie habe der Team-Bank AG auch die Adresse der Klägerin bestätigt und diese über das Vorliegen kreditrelevanter Verträge (insbesondere über das Vorliegen eines Girokontos und mehrerer erfüllter Immobilienkredite) informiert. Die Voraussetzung, dass der für die TeamBank ermittelte Scorewert maßgeblich für die Entscheidung über das Vertragsverhältnis verwendet wurde, sei damit nicht erfüllt. Es sei auch nicht vorgetragen, dass die TeamBank automatisiert entschieden hätte. Art. 22 Abs. 1 DSGVO sei auf den streitgegenständlichen Score nicht anwendbar. Mangels automatisierter Einzelfallentscheidung sei somit auch Art. 15 Abs. 1 Buchst. h DSGVO nicht anwendbar.

Die Ablehnung des Kredits allein sei keine "erhebliche Beeinträchtigung" im Sinne von Art. 22 Abs. 1 DSGVO. Es komme vielmehr darauf an, welche negativen Folgen der Klägerin aus der entgangenen vorübergehenden Verfügungsmöglichkeit über den Kreditbetrag entstanden seien und ob sie dadurch "erheblich beeinträchtigt" im Sinne von Art. 22 Abs. 1 DSGVO sei. Dazu sei nichts vorgetragen.

Kreditinstitute, einschließlich der TeamBank, müssten in Erfüllung ihrer gesetzlichen Pflichten (einschließlich nach § 25a des Gesetzes über das Kreditwesen [KWG], den Anforderungen der "MaRisk" sowie den Vorgaben der Verbraucherkreditrichtline bzw. der §§ 419 ff. des Bürgerlichen Gesetzbuches [BGB]) Entscheidungen über die Vergabe eines Verbraucherkredits grundsätzlich selbst treffen. Diese Verantwortung könnten Kreditinstitute nicht auf Dritte auslagern. Die Beigeladene unterstütze Kreditinstitute lediglich bei der Erfüllung ihrer Pflichten zur verantwortungsvollen Prüfung der Kreditwürdigkeit nach Art. 8 Abs. 1 in Verbindung mit dem 26. Erwägungsgrund der Richtlinie 2008/48/EG des Europäischen Parlaments und des Rates vom 23. April 2008 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 87/102/EWG (Verbraucherkreditrichtlinie). Die Vertragspartner der Beigeladenen seien zudem gegenüber der Beigeladenen vertraglich verpflichtet, die von der Beigeladenen übermittelten Scorewerte ihren Entscheidungen über den Abschluss kreditrelevanter Verträge nicht maßgeblich zugrunde zu legen. Insbesondere sei es den Vertragspartnern der Beigeladenen nicht gestattet, einen Vertragsabschluss alleine aufgrund eines übermittelten Scorewerts abzulehnen. Die Beigeladene dürfe sich grundsätzlich darauf verlassen, dass sich ihre Vertragspartner rechtmäßig verhielten.

Es sei wahrscheinlicher, dass andere Umstände in der Person der Klägerin als der streitgegenständliche Scorewert für die ablehnende Entscheidung der TeamBank maßgeblich gewesen seien. Die potentiellen Vertragspartner der Klägerin entschieden typischerweise auf Grundlage der von der Klägerin vorgelegten Informationen und der Auskunft der Beigeladenen sowie gegebenenfalls weiteren Informationen über eine Anfrage. Eine Auskunft der Beigeladenen umfasse in der Regel nicht nur einen Bonitätsscore, sondern auch weitere ihr bekannte bonitätsrelevante Informationen, wie beispielsweise das Vorliegen oder Fehlen von Zahlungsstörungen oder das Bestehen bereits abgeschlossener kreditrelevanter Verträge.

Die TeamBank führe eigene Bonitätsprüfungen durch und sei hierzu auch verpflichtet. Es sei lebensfremd und mit den geltenden gesetzlichen Anforderungen für die Vergabe von Verbraucherkrediten nicht in Einklang zu bringen, wenn die TeamBank Kredite vergeben würde, ohne sich etwa über die Einkommens- und Vermögensverhältnisse der betroffenen Person zu informieren. Hierüber speichere die Beigeladene allerdings keine Informationen und beauskunfte solche daher auch nicht.

Es gebe keinen Erfahrungssatz dazu, dass die von der Beigeladenen beauskunfteten Scorewerte bei der Entscheidung über einen Vertragsschluss stets maßgeblich wären. Die Informationen über Einkommen und Vermögen stellten in aller Regel die mit Abstand relevantesten Informationen bei der Prüfung eines Vertragsschlusses mit einer Person dar. Diese Informationen lägen den potentiellen Vertragspartnern vor, die ihre Kunden vor Abschluss eines kreditrelevanten Vertrags danach fragten. Der Beigeladenen lägen diese Informationen weder vor, noch fragten die Vertragspartner diese bei ihr ab. Ebenso frage die Beigeladene diese Information nicht bei ihren Vertragspartnern ab.

Es bestehe auch keine "Rechtsschutzlücke", weil der Vertragspartner der Beigeladenen (TeamBank) selbst Auskunft über das Verfahren der Kreditvergabe und die Logik des Scoreverfahrens hätte erteilen können, Grundsätzlich müsse die TeamBank selbst in der Lage sein, der betroffenen Person die Bonitätseinschätzung zu erläutern, auf die sie sich stütze. Die Beigeladene hätte der TeamBank die dafür notwendigen Informationen zur Verfügung gestellt, wenn die Klägerin eine Auskunft bei der TeamBank erfragt hätte. Im Übrigen sei der Scorewert aufgrund eines speziell für die TeamBank erstellten Scoreverfahrens erstellt ("Individuelle SCHUFA-Scorekarte Teambank III"), das auf konkreten Risikoerfahrungen des Kreditinstituts bei der Vergabe von "easyCredit"-Krediten beruhe.

Selbst wenn die Klägerin einen Anspruch gegen die Beigeladene aus Art. 15 Abs. 1 Buchst. h DSGVO haben sollte, sei dieser jedenfalls vollständig erfüllt und erloschen. Die Beigeladene habe der Klägerin die begehrte Auskunft transparent und vollständig erteilt. Die Kriterien und ihre Gewichtung ergäben sich aus der Tabelle auf Seite 5 der Auskunft vom 10.07.2018. Sie würden zudem unter Ziffer 4 der SCHUFA-Informationen, die der Datenkopie beigefügt gewesen sei, erläutert. Darüber hinaus habe die Klägerin bereits mit Schriftsatz der Beigeladenen vom 15.09.2020 eine Erläuterung der in der Übersicht über die Score-Historie verwendeten Begriffe "Kreditaktivität letztes Jahr", "Kreditnutzung", "Länge Kredithistorie" und "Allgemeine Daten" bekommen.

Aus der von der Beigeladenen erteilten Datenkopie gehe insbesondere hervor, welche Daten die Beigeladene zur Person der Klägerin gespeichert und wem sie welche Daten in den vergangenen Monaten übermittelt habe. Aus der Tabelle der anfragenden Vertragspartner ergebe sich zudem, in welchen Fällen ein bestimmter Score errechnet und übermittelt worden sei.

Der Auskunft vom 10.07.2018 lasse sich hierbei entnehmen, dass die Kreditaktivität der Klägerin als deutlich überdurchschnittliches Risiko (- -), die Kreditnutzung als unter-durchschnittliches Risiko (+) und die Länge der Kredithistorie als überdurchschnittliches Risiko (-) in Ansatz gebracht worden sei. Die allgemeinen Daten zur Klägerin seien als deutlich unterdurchschnittliches Risiko (+ +) in Ansatz gebracht worden. In der anliegenden "SCHUFA-Information" (dort Ziffer 4) werde auch darüber informiert, dass die "Logik" der Beigeladenen darauf beruhe, anhand der gespeicherten Daten und Erfahrungen, die sie aus den ihr bekannten Daten habe gewinnen können, Prognosen für das künftige kreditrelevante Verhalten der einzelnen Personen abzuleiten. Die Beigeladene stelle die Tragweite und angestrebten Auswirkungen des Scorings zudem öffentlich zugänglich im Internet dar. Dies genüge, um einen Betroffenen – wie die Klägerin – darüber zu informieren, welche Informationen die Beigeladene besitze, ob sie diese bei einzelnen Anfragen berücksichtigt habe und in welcher Weise (neutral, positiv, stark positiv, negativ oder stark negativ) dies geschehen sei.

Weitergehende Auskunftsansprüche stünden der Klägerin nicht zu. Insbesondere habe sie keinen Anspruch auf Auskunftserteilung über den von der Beigeladenen verwendeten "Algorithmus" oder über die konkrete Weise der Errechnung ihrer Bonitätsscorewerte. Ihre Informationspflicht über die involvierte Logik beziehe sich lediglich auf Methoden und Kriterien, also abstrakt gehaltene Informationen über die Wirkungsweise und Relevanz des von ihr betriebenen Entscheidungs- oder Profilingsystems. Nicht geschuldet seien dagegen weitere Details zur konkreten Berechnung. Denn bezüglich der "involvierten Logik" sei lediglich das Prinzip darzustellen, auf dem die Berechnung basiere, nicht jedoch die konkrete Berechnungsformel, wie es sowohl aus den englischen und französischen Fassungen als auch aus Erwägungsgrund 63 der DSGVO hervorgehe, wonach der Auskunftsanspruch Geschäftsgeheimnisse nicht beeinträchtigen dürfe. Die Beigeladene habe die Informationserteilung nicht "absolut" verweigert, sondern in verständlicher Weise die Datengrundlage und Funktionsweise ("Logik") der Scoreberechnung erklärt.

Jedenfalls stünden einer noch weitergehenden Auskunft (etwa über die Scorewert-Berechnungsformel bzw. den Algorithmus) als der bereits erteilten Auskunft Geschäftsgeheimnisse und das Recht auf geistiges Eigentum der Beigeladenen entgegenstehen.

Der von der Klägerin geltend gemachte Anspruch auf aufsichtliches Einschreiten komme nur in Betracht, soweit das im Rahmen von Art. 58 DSGVO bestehende Einschreitermessen des Beklagten "auf null" reduziert sei. Das sei nicht der Fall.

Der Beigeladenen sei nicht bekannt, ob und mit welcher Software die TeamBank die streitige Kreditentscheidung im Jahr 2018 getroffen habe. Selbst wenn die Software der ACTICO GmbH im Jahr 2018 eingesetzt worden sei, sei weder substantiiert von der Klägerin dargetan noch sonst ersichtlich, dass der streitgegenständliche Score in der Software als auschlaggebendes Entscheidungskriterium eingestellt gewesen sei.

Es werde bestritten, dass die Einkommens- und Vermögensverhältnisse der Klägerin vor der Entscheidung über die Kreditgewährung durch die TeamBank nicht abgefragt worden und ausschließlich die "Bonitätsauskunft" der Beigeladenen vorgelegen habe. Die Klägerin habe bei der TeamBank einen Sofortkredit (easyCredit) beantragt. Insofern sei ein sogenannter Online-Kontocheck obligatorisch. Der Antragsteller müsse der TeamBank hierbei Einblick in sein Gehaltsgirokonto geben, um sein Einkommen und seine Ausgaben nachzuweisen. Mit dem Kontocheck überprüfe die TeamBank die im Kreditantrag angegebenen Finanzdaten, um die Kreditentscheidung treffen zu können. Es sei daher unplausibel, dass die TeamBank die finanzielle Situation der Klägerin vor der Kreditentscheidung nicht geprüft hätte.

Soweit die Klägerin eine fehlende Rechtsgrundlage für die Berechnung des streitgegenständlichen Scores rüge, sei die Rechtmäßigkeit des Scores nicht entscheidungserheblich. Im Übrigen bestehe mit Art. 6 Abs. 1 UAbs. 1 Buchst. f DSGVO eine Rechtsgrundlage.

Der Beklagte hat im gerichtlichen Verfahren dem Gericht mit Schriftsatz vom 12.09.2025 den zwischen ihm und der TeamBank geführten Schriftverkehr aus dem Jahr 2024 vorgelegt. Hieraus geht folgendes hervor: Der Beklagte bat die G. mit Schreiben vom 26.04.2024 darzulegen, ob der seitens der Beigeladenen mitgeteilte Bonitätsscore zur Person der Klägerin im Juli 2018 maßgeblich für Ablehnung der Kreditierung durch die TeamBank gewesen sei. Es solle auch erläutert werden, welche Rolle der von der Beigeladenen übermittelte Wahrscheinlichkeitswert bei der Nichtgewährung des Kredits gespielt habe. Außerdem solle die Frage beantwortet werden, ob die TeamBank sich bei der Kreditentscheidung von dem Bonitätscore maßgeblich habe leiten lassen (Bl. 335 ff. elektr. GA). Hierauf teilte die TeamBank dem Beklagten mit Schreiben vom 13.05.2024 mit, dass man aufgrund der internen Löschvorgaben die Antragsdaten der Klägerin bereits gelöscht habe. Da die Klägerin nach Recherche auch keine Überprüfung der automatisierten Kreditentscheidung gemäß Art. 22 Abs. 3 DSGVO durch die TeamBank angestoßen habe, habe man auch keine Daten in der eigenen Beschwerdedatenbank zu der Anfrage vorliegen (Bl. 338 elektr. GA). Mit E-Mail vom 15.05.2025 bat der Beklagte die TeamBank, unabhängig von der Person der Klägerin, den zugrundeliegenden Prozess hinsichtlich der Ablehnung eines Kredits unter Verwendung des Schufa-Bonitätsscores bei der Entscheidung über eine Ablehnung zu erläutern. Ferner wurde darum gebeten, zu erläutern, was hinter der Bezeichnung "individueller Score" stehe (Bl. 343 f. elektr. GA). Mit E-Mail vom 22.05.2024 antwortete die TeamBank dem Beklagten wie folgt:

"1. Prozess zu einer Kreditentscheidung

In unsere Kreditentscheidung fließen eine Reihe von Regeln und Kriterien ein, die alle durchlaufen werden müssen. Der Verstoß gegen eine dieser Regeln kann zu einer Ablehnung des Kreditantrages führen.

Zu jeder Person einer Anfrage erhält die TeamBank den Schufa-TeamBank-Score. Dieser Wert fließt an zwei Stellen in die Kreditentscheidung ein:

• als Eingangsgröße in einem umfassenden Verkaufsscore, der weitere interne Merkmale enthält und zusammen mit diesen eine gemeinsame Bonitätsklasse bildet und

• als Teilkriterium in einer Entscheidungsregel; das andere Teilkriterium ist u.a. die TeamBank-interne Bonitätsklasse.

Die finale Kreditentscheidung kann rot oder grün sein. Die Entscheidungslogik wird regelmäßig validiert.

2. Bezeichnung "individueller Score"

In Ihrer Anfrage nehmen Sie Bezug auf die Bezeichnung "individueller Score", der aus einer Auskunft der Beschwerdeführerin nach Art. 15 DSGVO herrührt. Diese Auskunft nach Art. 15 DSGVO wurde nicht von der TeamBank erteilt, weshalb wir den Zusammenhang, in dem die Bezeichnung verwendet wurde, nicht kennen. Unabhängig davon möchten wir Ihnen nachfolgend unseren TeamBank-Score erörtern:

Der von der TeamBank verwendete Score wurde von der Schufa eigens für die TeamBank entwickelt. Er wird bei jeder Kreditanfrage bei der TeamBank von der TeamBank bei der Schufa abgefragt.

Im Gegensatz zum Schufa-Bankenscore wurde der Schufa-TeamBank-Score speziell auf dem Portfolio der TeamBank entwickelt. D.h., es wurde ein statistisches Modell erstellt, welches speziell für die Kunden der TeamBank die Eigenschaften von Kunden zum Abschlusszeitpunkt ins Verhältnis zu einer später ggfs. tatsächlich stattgefundenen Zahlungsunfähigkeit setzt. Beim Schufa-Banken-Score bilden hingegen alle der Schufa bekannten Kunden die Datenbasis für die Entwicklung, nicht nur die der TeamBank. Der Vorteil bei der Verwendung eines eigenen Scores besteht darin, dass Personen, die nicht zum Kundenklientel der TeamBank gehören, die Genauigkeit des Prognosemodells nicht verfälschen, was wiederum zu einer besseren Ausfallprognose und damit zu einem besseren Überschuldungsschutz für den Kunden führt.

Merkmale und deren Gewichtung sind der TeamBank für den Banken-Score nicht bekannt. Es ist aber davon auszugehen, dass weder die Merkmale noch deren Gewichtung bei Banken-Score und TeamBank-Score übereinstimmen. Anders ausgedrückt: Es wäre statistisch gesehen enorm unwahrscheinlich, wenn die Modellentwicklungen auf zwei verschiedenen Datengrundlagen zu denselben Ergebnissen führten.

Da die TeamBank den Banken-Score nicht kennt, ist es für uns auch nicht möglich, die Abweichungen der Wahrscheinlichkeitsprognose der beiden Scores zu begründen.

Allgemein sind Abweichungen bei zwei Modellen mit unterschiedlicher Datenbasis aber nicht ungewöhnlich: Werden Kunden der TeamBank als Referenz heran-gezogen, so ergibt sich eine bestimmte Wahrscheinlichkeit für einen späteren Ausfall. Werden zusätzlich auch die Kunden von Bausparkassen oder von Kunden ohne Kreditbedarf herangezogen, so wird die Wahrscheinlichkeit für ein nach-folgendes Negativereignis geringer eingeschätzt."

Die Kammer hat nach Anhörung der Beteiligten mit Beschluss vom 01.10.2021 das Verfahren ausgesetzt und es gemäß Art. 267 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) zur Vorabentscheidung dem Gerichtshof der Europäischen Union (EuGH) hinsichtlich folgender Fragen vorgelegt:

"Ist Art. 22 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (– DS-GVO –, ABl. EU L Nr. 119 vom 4.5.2016, S. 1) dahingehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswertes über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?

Falls die 1. Vorlagefrage zu verneinen ist: Sind Art. 6 Abs. 1 und Art. 22 der Verordnung (EU) 2016/679 – DS-GVO – dahingehend auszulegen, dass sie einer innerstaatlichen Regelung entgegenstehen, nach der die Verwendung eines Wahrscheinlichkeitswerts – vorliegend über die Zahlungsfähigkeit und Zahlungswilligkeit einer natürlichen Person bei der Einbeziehung von Informationen über Forderungen – über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) nur zulässig ist, wenn bestimmte weitere Voraussetzungen, die in der Vorlagebegründung näher ausgeführt sind, erfüllt sind?"

Mit Urteil vom 07.12.2023 – C-634/21 – hat der EuGH entschieden, dass Art. 22 Abs. 1 DSGVO dahingehend auszulegen sei,

"dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Er-füllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet."

Wegen der weiteren Einzelheiten wird auf das Urteil des EuGH vom 07.12.2023, C-634/21, ECLI:EU:C:2023:958 Bezug genommen.

Das Gericht hat mit Schreiben vom 04.06.2025 die TeamBank zur schriftlichen Beantwortung der folgenden Fragen aufgefordert:

"1. Warum wurde der Kreditantrag der Klägerin bei der G. im Jahre 2018 abgelehnt?

2. Welche Kriterien wurden bei der negativen Entscheidung der G. über den Kreditantrag der Klägerin zugrunde gelegt?

3. Beruhte die negative Kreditentscheidung der G. bezüglich des Kreditantrages der Klägerin maßgeblich oder ausschließlich auf dem von der C. an die G. übermittelten Bonitätsscore oder flossen weitere Kriterien in die (negative) Entscheidung der G. über die Kreditvergabe mit ein? Wenn ja, welche Kriterien waren dies?

4. Verwendete die G. individuelle Scorekarten und Regelwerke und ist es daher möglich, ein von den Standard-Scorekarten abweichendes Ergebnis im Hinblick auf die Bonität eines Kreditantragstellers zu erhalten?"

(Bl. 98 ff. elektr. GA).

Mit Schreiben vom 20.06.2025 hat die TeamBank dem Gericht folgendes mitgeteilt:

"[A]ufgrund unserer internen Löschvorgaben haben wir die Antragsdaten der Beschwerdeführerin bereits gelöscht. Somit können wir Ihre Fragen 1 bis 3 nicht beantworten.

Der von der TeamBank verwendete Score wurde von der Schufa eigens für die TeamBank entwickelt. Er wird bei jeder Kreditanfrage bei der TeamBank von der TeamBank bei der Schufa abgefragt. Im Gegensatz zum Schufa-Bankenscore wurde der Schufa-TeamBank-Score speziell auf dem Portfolio der TeamBank entwickelt. D.h. es wurde ein statistisches Modell erstellt, welches speziell für die Kunden der TeamBank die Eigenschaften von Kunden zum Abschlusszeitpunkt ins Verhältnis zu einer später ggfs. tatsächlich stattgefundenen Zahlungsunfähigkeit setzt. Vor diesem Hintergrund kann der von der TeamBank verwendete Score und weitere Merkmale dazu führen, dass es im Vergleich zu den Standard-Scorekarten zu einem abweichenden Ergebnis kommt." (Bl. 113 elektr. GA).

Am 19.11.2025 hat die Kammer mündlich zur Sache verhandelt. Wegen der Einzelheiten wird auf die Sitzungsniederschrift verwiesen.

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der (in Papierform vorliegenden und elektronisch weitergeführten) Gerichtsakte und des vorgelegten Behördenvorgangs Bezug genommen, die allesamt Gegenstand der mündlichen Verhandlung gewesen sind.

Bei der in der mündlichen Verhandlung erklärten "Umstellung" der Klageanträge durch den Bevollmächtigten der Klägerin handelt es sich nicht um eine Klageänderung oder Klagerücknahme i.S.v. §§ 91, 92 der Verwaltungsgerichtsordnung (VwGO), sondern lediglich um eine Konkretisierung der schriftsätzlich angekündigten Antragstellung. Denn insbesondere hat sich der Klagegrund – das begehrte aufsichtliche Einschreiten durch den Beklagten gegenüber der Beigeladenen – nicht geändert und es wurde kein neuer Streitstoff eingeführt, § 173 Satz 1 VwGO i.V.m. § 264 Nr. 2 Zivilprozessordnung (ZPO).

Die Klage hat hinsichtlich des (ersten) Hilfsantrags Erfolg. Dieser ist ausgehend von dem Begehren der Klägerin (§ 88 VwGO) sachgerecht dahingehend auszulegen, dass begehrt wird, den ablehnenden Bescheid des Beklagten – hier die "Verfügung" vom 03.06.2020 – aufzuheben und den Beklagten zum Einschreiten mit aufsichtlichen Mitteln gegenüber der Beigeladenen zur Erfüllung des Auskunftsanspruchs der Klägerin aus Art. 15 Abs. 1 Buchst. h DSGVO gegenüber der Beigeladenen unter Beachtung der Rechtsauffassung des Gerichts zu verpflichten, § 113 Abs. 5 Satz 2 VwGO. Der so verstandene Antrag ist zulässig und begründet.

Der Hauptantrag hat hingegen keinen Erfolg. Der Beklagte ist nicht zur Ergreifung von Abhilfemaßnahmen nach Art. 58 Abs. 2 Buchst. c und d DSGVO gegenüber der Beigeladenen zu verpflichten, weil das dem Beklagten zukommende Auswahlmessen nicht auf Null reduziert ist. Die Ermessensentscheidung bezüglich der Auswahl der aufsichtlichen Mittel, die der Beklagte treffen muss, darf vom Gericht nicht vorweggenommen werden. Bezogen auf den Hauptantrag war die Klage daher mangels Spruchreife als unbegründet abzuweisen, § 113 Abs. 5 Satz 1 VwGO.

I. Das Verwaltungsgericht Wiesbaden ist zur Entscheidung über den Rechtsstreit befugt.

Der Verwaltungsrechtsweg ist eröffnet. Die Klägerin wendet sich mit der vorliegenden Klage gegen eine als "Verfügung" bezeichnete Abschlussmitteilung des Beklagten, die auf eine von ihr erhobene Beschwerde nach Art. 77 DSGVO hin ergangen ist. Eine solche Abschlussmitteilung stellt einen "rechtsverbindlichen Beschluss" im Sinne von Art. 78 DSGVO dar (vgl. dazu: EuGH, Urteil vom 07.12.2023 – C-26/22, C-64/22 –, juris Rn. 50). Die Klägerin macht mit der vorliegenden Klage ihr Recht nach Art. 78 Abs. 1 DSGVO auf einen "wirksamen gerichtlichen Rechtsbehelf" hiergegen geltend.

Das Verwaltungsgericht Wiesbaden ist nach § 45 der Verwaltungsgerichtsordnung (VwGO) sachlich zuständig. Nach § 20 Abs. 3 BDSG ist das Gericht örtlich zuständig, in dessen Bezirk die Aufsichtsbehörde ihren Sitz hat. Der Beklagte hat seinen Sitz in C-Stadt, sodass die örtliche Zuständigkeit aus § 1 Abs. 2 Nr. 5 des Hessischen Gesetzes zur Ausführung der Verwaltungsgerichtsordnung (HessAGVwGO) folgt.

II. Die Klage ist zulässig.

Die auf Verurteilung des Beklagten zur Ergreifung aufsichtlicher Maßnahmen nach Art. 58 Abs. 2 DSGVO gegen die Beigeladene (unter Aufhebung der "Verfügung" des Beklagten vom 03.06.2020) gerichtete Klage ist als Verpflichtungsklage nach § 42 Abs. 1 Alt. 2 VwGO, gerichtet auf ein aufsichtliches Einschreiten, statthaft.

Die Klage ist auch im Übrigen zulässig.

Die Klägerin ist gemäß § 42 Abs. 2 VwGO klagebefugt. Die Klagebefugnis der Klägerin folgt daraus, dass sie geltend machen kann, durch die "Verfügung" des Beklagten vom 03.06.2020, mit der der Beklagte ein weiteres aufsichtliches Einschreiten gegenüber der Bei- geladenen abgelehnt hat – in eigenen subjektiv-öffentlichen Rechten verletzt zu sein, § 42 Abs. 2 Alt. 2 VwGO.

Das Recht einer betroffenen Person auf Beschwerde bei einer Aufsichtsbehörde erschöpft sich nicht lediglich in einem nicht rechtsförmlichen Behelf ähnlich einem petitionsrechtlichen Ersuchen. Vielmehr hat die betroffene Person, wie sich aus dem Regelungszusammenhang der Art. 57 Abs. 1 Buchst. f, 77 Abs. 1 und 78 Abs. 1 DSGVO ergibt, einen Anspruch darauf, dass die Aufsichtsbehörde – mithin der Beklagte – (in angemessenem Umfang) überprüft, ob ein Verstoß gegen die Datenschutzgrundverordnung vorliegt und ferner, für den Fall, dass ein Verstoß festgestellt wird, einen Anspruch auf ermessensfehlerfreie Entscheidung über ein aufsichtsbehördliches Einschreiten des Beklagten. Denn nach Art. 57 Abs. 1 Buchst. f DSGVO ist die Aufsichtsbehörde verpflichtet, sich mit Beschwerden einer betroffenen Person zu befassen, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung zu unterrichten. An diese objektiv-rechtliche Verpflichtung der Aufsichtsbehörde knüpfen Art. 77 und 78 DSGVO an, die das Beschwerderecht betroffener Personen sowie deren Rechtsschutzmöglichkeiten regeln. Gemäß Art. 77 Abs. 1 DSGVO hat jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutzgrundverordnung verstößt; aus Art. 77 Abs. 2 DSGVO folgt, dass die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Art. 78 DSGVO unterrichtet. Des Weiteren regelt Art. 78 Abs. 1 DSGVO, dass jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde hat. Ferner sieht Art. 78 Abs. 2 DSGVO vor, dass jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn die nach den Art. 55 und 56 DSGVO zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Art. 77 DSGVO erhobenen Beschwerde in Kenntnis gesetzt hat. Eine Person, die im Rahmen einer Beschwerde nach Art. 57 Abs. 1 Buchst. f, 77 Abs. 1 DSGVO geltend macht, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutzgrundverordnung verstößt, hat insoweit einen Anspruch auf ermessensfehlerfreie Entscheidung.

Eine Verletzung der Klägerin in eigenen subjektiven Rechten erscheint vor diesem Hintergrund möglich. Denn es ist nicht von vornherein ausgeschlossen, dass die Beigeladene die diese gegenüber der Klägerin treffende Auskunftspflicht gemäß Art. 15 DSGVO verletzt hat und der Beklagte somit zur Ergreifung aufsichtlicher Mittel gemäß Art. 58 DSGVO gegenüber der Beigeladenen verpflichtet ist.

Ein Vorverfahren findet gemäß § 20 Abs. 6 des Bundesdatenschutzgesetzes (BDSG) i.V.m. § 68 Abs. 1 Satz 1 Nr. 1 VwGO nicht statt.

Die Klagefrist des § 74 Abs. 1 Satz 2 VwGO ist eingehalten worden.

III. Die Klage ist auch hinsichtlich des (ersten) Hilfsantrages begründet.

Der beklagte Hessische Beauftragte für Datenschutz und Informationsfreiheit ist selbst passivlegitimiert. Gemäß § 20 Abs. 5 Satz 1 Nr. 2 BDSG ist die Aufsichtsbehörde direkt als Beklagte beteiligt. Es liegt somit eine durch die Unabhängigkeit der Aufsichtsbehörde unionsrechtlich bedingte bundesrechtliche Spezialregelung gegenüber § 78 VwGO vor.

Der Bescheid des Beklagten vom 03.06.2020 ist rechtswidrig und verletzt die Klägerin in ihren Rechten. Die Klägerin hat im maßgeblichen Zeitpunkt der gerichtlichen Entscheidung einen Anspruch auf ein Einschreiten des Beklagten gegenüber der Beigeladenen zur Erfüllung des Auskunftsrechts aus Art. 15 Abs. 1 DSGVO. Die konkret zu ergreifende Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO steht dabei im pflichtgemäßen Ermessen des Beklagten.

1. Zum gerichtlichen Prüfungsmaßstab gilt nach der Rechtsprechung des EuGH, der sich die Kammer anschließt, das Folgende:

Die Entscheidung der Aufsichtsbehörde unterliegt einer vollständigen inhaltlichen Überprüfung durch das Gericht (vgl. EuGH, Urteil vom 07.12.2023 – C-26/22, C-64/22 –, ECLI: EU:C:2023:958, juris Rn. 70).

Zunächst ist zu prüfen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die DSGVO vorliegt. Um bewerten zu können, ob eine Datenverarbeitung rechtswidrig ist und ob aufsichtsrechtliche Maßnahmen zu ergreifen sind, muss die Aufsichtsbehörde den Sachverhalt ermitteln und alle zur Ermittlung und Überprüfung des Verstoßes erforderlichen Umstände aufklären.

Art. 58 Abs. 1 DSGVO gibt der Aufsichtsbehörde weitreichende Untersuchungsbefugnisse. Welcher Untersuchungsumfang im Rahmen des Amtsermittlungsgrundsatzes als "in angemessenen Umfang" anzusehen ist, ist nicht geregelt. Aus dem Erwägungsgrund 141 Satz 2 zur DSGVO folgt, dass die Untersuchung vorbehaltlich gerichtlicher Überprüfung so weit gehen soll, wie dies im Einzelfall angemessen ist. Maßstab für den Umfang der Ermittlungen sind danach insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Verstoßes. Die Untersuchung hat in angemessenem Umfang und mit aller gebotenen Sorgfalt zu erfolgen. Dabei ist zu berücksichtigen, dass die Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. a DSGVO zur Durchsetzung der DSGVO verpflichtet ist (vgl. EuGH, Urteil vom 16.07.2020 ["Facebook Ireland und Schrems"] - C-311/18, ECLI: EU:C:2020:559, juris Rn. 111 und EuGH, Urteil vom 07.12.2023 ["SCHUFA Holding"] - C-26/22, ECLI: EU:C:2023:958, juris Rn. 56).

Stellt die Aufsichtsbehörde am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der DSGVO fest, ist sie in der Regel gehalten, Abhilfemaßnahmen mit dem Ziel der Abstellung des Verstoßes zu ergreifen. Art. 58 Abs. 2 DSGVO sieht einen Maßnahmenkatalog vor. Die Aufsichtsbehörde hat nach pflichtgemäßem Ermessen zu entscheiden, ob die Ausübung einer milderen Abhilfebefugnis ausreichend ist, um die Anwendung und Durchsetzung der Datenschutzgrundverordnung sicherzustellen, oder ob eine eingriffsintensivere Maßnahme zu ergreifen ist. Sie ist dabei nicht verpflichtet, stets exakt in der Reihenfolge der in Art. 58 Abs. 2 DSGVO genannten Abhilfebefugnisse vorzugehen, sondern kann im Interesse der wirksamen Durchsetzung des europäischen Datenschutzrechts auch sogleich eine schärfere Abhilfebefugnis ausüben, wenn dies sachlich geboten und verhältnismäßig erscheint (vgl. Selmayr, in: Ehmann/ders., DSGVO, 3. Auflage 2024, Art. 58 Rn. 18).

Hinsichtlich dieser in Art. 58 Abs. 2 DSGVO genannten Abhilfebefugnisse verfügt die Behörde somit über ein Ermessen in Bezug auf die geeigneten und erforderlichen Mittel, welches das Gericht nur dahingehend überprüft, ob die Aufsichtsbehörde die Grenzen ihres Ermessens eingehalten hat (vgl. zum Ganzen EuGH, Urteil vom 07.12.2023 – C-26/22 –, ECLI: EU:C:2023:958, juris Rn. 47 ff., insb. Rn. 68 ff.; Hamburgisches OVG, Urteil vom 07.10.2019 – 5 Bf 291/17 –, juris Rn. 69 ff.).

Die gerichtliche Prüfung richtet sich hierbei nach § 114 Abs. 1 VwGO. Danach prüft das Gericht auch, ob der Verwaltungsakt oder die Ablehnung oder Unterlassung des Verwaltungsakts rechtswidrig ist, weil die gesetzlichen Grenzen des Ermessens überschritten sind oder von dem Ermessen in einer dem Zweck der Ermächtigung nicht entsprechenden Weise Gebrauch gemacht worden ist. Die Verwaltungsbehörde kann ihre Ermessenserwägungen hinsichtlich des Verwaltungsaktes auch noch im verwaltungsgerichtlichen Verfahren ergänzen (vgl. auch BVerwG, Urteil vom 11. Mai 2016 - 10 C 8/15 -, juris Rn. 13 m.w.N.).

2. Das der Klägerin in Art. 15 Abs. 1 DSGVO gewährte Auskunftsrecht gegenüber der Beigeladenen ist im Hinblick auf das Recht, die in Art. 15 Abs. 1 lit. h DSGVO genannten Informationen zu erhalten, nicht (vollständig) durch die Beigeladene erfüllt. Die der Klägerin erteilte Auskunft durch die Beigeladene ist - gemessen an Art. 15 Abs. 1 lit. h DSGVO - defizitär.

Der Beklagte hat daher zu Unrecht im Hinblick auf die Beschwerde der Klägerin vom 18.10.2018 ein (weiteres) aufsichtliches Einschreiten gegenüber der Beigeladenen zur Erfüllung des Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO abgelehnt.

Ob ein Auskunftsanspruch erfüllt ist, hängt zunächst von dem Begehren der um Auskunft ersuchenden Person und dem (noch zu ermittelnden) Umfang der Auskunftspflicht ab.

Gegenstand des mit der Klage geltend gemachten Anspruchs auf Verpflichtung des Beklagten zum Einschreiten gegenüber der Beigeladenen – hier zur Erfüllung des Auskunftsanspruchs aus Art. 15 DSGVO – ist dabei allein der Sachverhalt, der Gegenstand der Beschwerde der Klägerin nach Art. 77 DSGVO war und dem Bescheid des Beklagten vom 03.06.2020 zugrunde liegt. Denn Voraussetzung für die wirksame Beschwerdeerhebung ist, dass ein konkreter Sachverhalt mitgeteilt wird, aufgrund dessen der Beschwerdeführer von einer Verletzung der DSGVO ausgeht.

Die Beschwerde muss zumindest alle Informationen enthalten, die erforderlich sind, damit die Aufsichtsbehörde den Sachverhalt erfassen und gegebenenfalls weiter aufklären und etwaige Datenschutzrechtsverstöße prüfen kann. Die Beschwerde muss daher Angaben über die betroffene Person und den Verantwortlichen aufweisen und zumindest ansatzweise zum Ausdruck bringen, welcher Verstoß gegen datenschutzrechtliche Vorschriften gerügt wird (vgl. VG Mainz, Urteil vom 22.07.2020 – 1 K 473/19.MZ –, juris Rn. 23 m.w.N.). Dieser in der Beschwerde mitgeteilte Sachverhalt bestimmt und begrenzt daher auch den Prüfungsauftrag, der der Aufsichtsbehörde mit der Beschwerde gesetzt wird, und damit auch den streitgegenständlichen Sachverhalt im Rahmen des nach Art. 78 Abs. 1 DSGVO eingeleiteten Gerichtsverfahrens.

Vorliegend begehrte die Klägerin, wie sich aus dem Schreiben ihres Bevollmächtigten vom 18.10.2018 an die Beigeladene ergibt, "Auskunft über die für ihre Bewertung zu Grunde gelegten Scoring-Werte". Konkret geltend gemacht wurden "Informations- und Auskunftsrechte über das Bestehen und die Logik der automatisierten Verarbeitung gemäß Art. 13 Abs. 2 Buchst. f, Art. 14 Abs. 2 Buchst. g und Art. 15 Abs. 1 Buchst. h DSGVO". Die Beigeladene sei verpflichtet, "über das "Wie?" der Verarbeitung zu informieren, also über die involvierte Logik und die Tragweite sowie die Auswirkungen der Verarbeitung." Dabei seien "sämtliche Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln". Verlangt werde, dass die Beigeladene "detaillierte Auskünfte" erteile, "und zwar insbesondere darüber, welche Daten bzw. Einzelinformationen mit welcher Gewichtung in diese Berechnungen einfließen" (Bl. 1 ff. Verwaltungsvorgang [VV]). Mit Schreiben ihres Bevollmächtigten vom 21.08.2018 an die Beigeladene bemängelte die Klägerin ferner, dass das Schreiben der Beigeladenen vom 08.08.2018 konkrete Auskünfte zu dem bemängelten Scoring-Wert von 85,96 % vom 10.07.2018 vermissen lasse. Die mitgeteilten Wahrscheinlichkeitswerte enthielten keinerlei konkrete Angaben zur Scorewert-Bildung. Es werde auch nur auf Risiken Bezug genommen, die mit den Worten "(deutlich) überdurchschnittlich, durchschnittlich, unterdurchschnittlich" näher charakterisiert würden. Warum diese Einschätzungen dergestalt erfolgten, werde mit keinem Wort näher erläutert. Da auch die Bildung der Vergleichsgruppe nicht näher erläutert werde, sei vollkommen unklar, ob die Bewertung der Klägerin nicht vollständig willkürlich sei. Aus der Auskunft vom 10.07.2018 ergebe sich, dass die Kategorien "Kreditaktivität letztes Jahr" und "Länge Kredithistorie" zulasten der Klägerin ausgefallen sei, ohne dass die Beigeladene bislang darüber aufgeklärt habe, was mit diesen Kategorien überhaupt gemeint sei und warum sie derart negativ ausfielen. Es gehe der Klägerin nicht um die konkrete Gewichtung einzelner Kategorien, die im Rahmen des Scoring-Verfahrens der Beigeladenen verwendet würden. Es gehe vielmehr allein darum, warum einzelne dieser Kategorien derart negativ bewertet worden seien. Hierfür gebe es keine nachvollziehbaren Gründe (Bl. 10 f. VV).

In dem Beschwerdeschreiben an den Beklagten vom 18.10.2018 wiederholte die Klägerin im Wesentlichen ihre Forderung nach Information über das "Wie?" der Verarbeitung, also über die involvierte Logik und die Tragweite sowie die Auswirkungen der Verarbeitung, und zwar in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache. Sie fügte hinzu, dass gerade die massiven Auswirkungen in der Lebenswirklichkeit der Betroffenen es umso mehr rechtfertigten, dass die Beigeladene detaillierte Auskünfte erteile, und zwar insbesondere (auch) darüber, welche Daten bzw. Einzelinformationen mit welcher Gewichtung in diese Berechnungen einflössen (Bl. 1 ff. VV).

In der mündlichen Verhandlung erklärte der Bevollmächtigte der Klägerin, dass die Klägerin mit Blick auf das prozessuale Verhalten der Beigeladenen nunmehr auch den Einblick in die Formel haben möchte.

Diese im Laufe des vorgerichtlichen und gerichtlichen Verfahrens vorgebrachte qualitative Steigerung bezüglich des von der Klägerin gewünschten Inhalts der Auskunft ist für den Prüfungsauftrag, der dem Beklagten mit der Beschwerde gesetzt wird, und damit auch für den streitgegenständlichen Sachverhalt im Rahmen des nach Art. 78 Abs. 1 DSGVO eingeleiteten Gerichtsverfahrens schon deshalb unerheblich, weil der Beklagte als Aufsichtsbehörde zur selbständigen datenschutzrechtlichen Bewertung des ihm unterbreiteten Sachverhalts – hier der Auskunftserteilung über den Scorewert von 85,96 % – verpflichtet ist. Hinzu kommt, dass der gesteigerte klägerische Vortrag lediglich die Erfüllungsmodalitäten der Auskunftspflicht bzw. des korrespondieren Auskunftsrechts nach Art. 15 Abs. 1 DSGVO, zu dessen Erfüllung der Beklagte die Beigeladene nach dem klägerischen Begehr mit aufsichtlichen Mitteln anhalten soll, betrifft. Die insoweit geäußerte subjektive Auffassung der Klägerin über die Reichweite der Auskunftspflicht kann der Beklagte zwar zur Kenntnis nehmen, sie vermag indes nicht den eigentlichen Beschwerdegegenstand, nämlich den vom Beklagten zu prüfenden Verstoß gegen die Datenschutzgrundverordnung, zu determinieren.

Schließlich hat das angerufene Gericht im Rahmen des ihm unterbreiteten Rechtsstreits die Reichweite des Auskunftsanspruchs und damit dasjenige, was zu dessen Erfüllung im konkreten Fall geboten, aber auch ausreichend ist, als Rechtsfrage mit Bindungswirkung für die Beteiligten zu bestimmen. Hierbei kommt es, wie nachfolgend zu erörtern ist, maßgeblich auf die Auslegung der unbestimmten Rechtsbegriffe der "aussagekräftige[n] Informationen über die involvierte Logik [der automatisierten Datenverarbeitung] nach Art. 15 Abs. 1 Buchst. h DSGVO an. Bezüglich der Auslegung dieser unbestimmten Rechtsbegriffe ist der Verwaltung – somit auch dem Beklagten – kein Beurteilungsspielraum eingeräumt, sodass die Entscheidung des Beklagten in dieser Hinsicht einer vollen, nicht nur auf Beurteilungsfehler beschränkten, gerichtlichen Kontrolle unterliegt.

3. Der Auskunftsanspruch der Klägerin, welcher im oben genannten Sinne auf das von der Klägerin an die Beilgeladene gerichtete Auskunftsbegehren über den von dieser Hinblick auf die Klägerin berechneten Scorewert von 85,96 % begrenzt ist, über dessen Erfüllungsmodalitäten die Beteiligten sich streiten und für den vorliegend einzig Art. 15 Abs. 1 DSGVO als Anspruchsgrundlage in Betracht kommt, ist seitens der Beigeladenen im Hinblick auf die nach Art. 15 Abs. 1 Buchst. h DSGVO geschuldeten Angaben nicht erfüllt worden. Der Bescheid des Beklagten vom 03.06.2020, mit dem dieser ein aufsichtliches Einschreiten gegenüber der Beigeladenen abgelehnt hat, ist deshalb rechtswidrig. Der Beklagte ist im maßgeblichen Zeitpunkt der gerichtlichen Entscheidung seiner Pflicht zum Ergreifen aufsichtlicher Mittel nach Art. 58 Abs. 2 DSGVO nicht nachgekommen, um die Beigeladene zur Erfüllung des subjektiv-rechtlichen Auskunftsanspruchs der Klägerin aus Art. 15 Abs. 1 Buchst. h DSGVO anzuhalten.

Gemäß Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in den Buchstaben a) bis h) des Art. 15 Abs. 1 DSGVO genannten Informationen, namentlich über die Verarbeitungszwecke (Buchst. a); die Kategorien personenbezogener Daten, die verarbeitet werden (Buchst. b); die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Buchst. c), falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Buchst. d); das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung (Buchst. e); das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (Buchst. f); wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten (Buchst. g); das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person (Buchst. h).

a) Zunächst ist der Anwendungsbereich des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO eröffnet.

Die Beigeladene hat als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO durch die Erstellung des Scorewerts und dessen Zuordnung zu der Person der Klägerin personenbezogene Daten der Klägerin (das sog. Scoring) im Sinne von Art. 4 Nr. 1 DSGVO verarbeitet.

Nach der insoweit unstreitigen Darstellung der Beklagten (vgl. Schreiben der Beigeladenen an die Klägerin vom 08.08.2018 und vom 23.08.2018) erfolgt die Ermittlung von Scorewerten zur Bonität auf Grundlage der zu einer Person gespeicherten Daten, anhand derer dann eine Zuordnung zu statistischen Personengruppen erfolgt, die in der Vergangenheit eine ähnliche Datenbasis aufgewiesen haben. Für die Ermittlung von Scorewerten zur Bonität unterteilt die Beigeladene die gespeicherten Daten in sogenannte Datenarten. Nach den insoweit unstreitigen Angaben der Beigeladenen fallen hierunter fallen unter anderem:

• Kreditaktivität letztes Jahr (ob und in welcher Anzahl die Person in den letzten zwölf Monaten Geschäfte mit einem finanziellen Ausfallrisiko angefragt und tatsächlich abgeschlossen hat)

• Kreditnutzung (Anzahl, Art, Dauer und Umfang der von der Person abgeschlossenen Geschäfte mit einem finanziellen Ausfallrisiko)

• Länge Kredithistorie (Länge der Kreditbeziehungen, z. B. Girokonten oder Kreditkarten)

• Allgemeine Daten (z. B. das Geburtsdatum, das Geschlecht oder die Anzahl und das Datum der letzten Bearbeitung der einmal im Geschäftsverkehr verwendeten Anschriften, auch Daten einer dem Geschäft zugrundeliegenden Ausweisprüfung (vgl. Schriftsatz der Beigeladenen vom 15.09.2020 sowie Informationsblatt "SCHUFA-Information", Bl. 459 f. PapierGA).

Diese Daten sind personenbezogene Daten im Sinne von Art. 15 Abs. 1 i.V.m. Art. 4 Nr. 1 DSGVO, da sie allesamt Informationen enthalten, die sich auf eine identifizierte oder identifizierbare natürliche Person – vorliegend die Klägerin – beziehen.

Da die diese Daten von der Beigeladenen zum Scoring verwendet werden, für welches diese sich eines mathematisch-statistischen Verfahrens bedient, ist eine Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet und damit Verantwortliche im Sinne von Art. 15 Abs. 1 i.V.m. Art. 4 Nr. 7 DSGVO.

b) Darüber hinaus sind auch die Tatbestandsvoraussetzungen des Auskunftsrechts aus Art. 15 Abs. 1 Buchst. h DSGVO erfüllt.

Die Tätigkeit der Beigeladenen - die Erstellung des streitgegenständlichen Scorewerts – erfüllt nach Auffassung der Kammer die Voraussetzungen des Art. 22 Abs. 1 DSGVO.

Der Anwendungsbereich des Art. 15 Abs. 1 Buchst. h DSGVO knüpft mit dem Begriff "automatisierte Entscheidungsfindung" an den Regelungsbereich des Art. 22 DSGVO, der unter der amtlichen Überschrift "Automatisierte Entscheidungen im Einzelfall einschließlich Profiling" steht, an. Was hierunter zu verstehen ist, ergibt sich aus Art. 22 Abs. 1 DSGVO. Nach Art 22 Abs. 1 DSGVO hat die betroffene Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Der EuGH hat auf die Vorlagefrage der Kammer im hiesigen Verfahren entschieden,

"dass Art. 22 Abs. 1 DSGVO dahin auszulegen ist, dass eine "automatisierte Entscheidung im Einzelfall" im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet" (EuGH, Urteil vom 7. Dezember 2023 - C-634/21 - Rn. 73.).

Das erkennende Gericht ist hieran gebunden. Ein Urteil des EuGH im Vorabentscheidungsverfahren bindet nach dessen ständiger Rechtsprechung das nationale Gericht hinsichtlich der Auslegung oder der Gültigkeit der fraglichen Handlungen der Unionsorgane bei der Entscheidung über den Ausgangsrechtsstreit (vgl. EuGH, Urteil vom 16. Juni 2015 – C-62/14 –, juris, Rn. 16). Das vorlegende Gericht ist nicht befugt, den Inhalt der Vorabentscheidung zu überprüfen, zu ignorieren oder abzuändern (vgl. Wegener in: Calliess/Ruffert, EUV/AEUV, 6. Aufl. 2022, AEUV Art. 267 Rn. 50 m.w.N.).

Diese vom EuGH aufgestellten Voraussetzungen sind im Hinblick auf die Erstellung des Scorewerts durch die Beigeladene erfüllt; die Erstellung des in Bezug auf die Klägerin ermittelten Scorewerts durch die Beigeladene stellt im vorliegenden Fall eine auf einer "automatisierenden Verarbeitung – einschließlich Profiling – beruhenden Entscheidung gemäß Art. 22 Abs. 1 DSGVO dar.

Im Hinblick auf die Auslegung des in der DSGVO nicht näher definierten Begriffs "Entscheidung" im Sinne von Art. 22 Abs. 1 DSGVO ist nach der Rechtsprechung des EuGH – der sich die Kammer anschließt – ein weites Begriffsverständnis zugrunde zu legen.

So nimmt der EuGH an,

"dass sich bereits aus dem Wortlaut dieser Bestimmung ergibt, dass sich dieser Begriff nicht nur auf Handlungen bezieht, die rechtliche Wirkung gegenüber der betroffenen Person entfalten, sondern auch auf Handlungen, die diese Person in ähnlicher Weise erheblich beeinträchtigen. Die weite Bedeutung des Begriffs ‚Entscheidung‘ wird durch den 71. Erwägungsgrund der DSGVO bestätigt, wonach eine Entscheidung zur Bewertung persönlicher Aspekte, die eine Person betreffen, ‚eine Maßnahme einschließen [kann]‘, die entweder ‚rechtliche Wirkung für die betroffene Person‘ entfaltet oder ‚sie in ähnlicher Weise erheblich beeinträchtigt‘, wobei die betroffene Person das Recht haben sollte, einer solchen Entscheidung nicht unterworfen zu werden. Nach diesem Erwägungsgrund umfasst der Begriff ‚Entscheidung‘ beispielsweise die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen. Da der Begriff ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 DSGVO somit [...] mehrere Handlungen umfassen kann, die die betroffene Person in vielerlei Weise beeinträchtigen können, ist dieser Begriff weit genug, um das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts mit einzuschließen." (EuGH, Urteil vom 7. Dezember 2023 – C-634/21 –, Rn. 44-46).

Ein derart weites Verständnis von Art. 22 Abs. 1 DSGVO ist auch vor dem Hintergrund der Vermeidung von Rechtsschutzlücken im Hinblick auf den Auskunftsanspruch angezeigt. Wäre Art. 22 Abs. 1 DSGVO hingegen dahin auszulegen, dass die Eigenschaft einer "automatisierten Entscheidung im Einzelfall" in einer Situation wie der im Ausgangsverfahren in Rede stehenden nur der Entscheidung des Dritten gegenüber der betroffenen Person zuerkannt werden könne, ergäbe sich daraus eine Rechtsschutzlücke. Zum einen wäre nämlich eine Gesellschaft wie die Beigeladene nicht verpflichtet, Auskunft über die zusätzlichen Informationen zu erteilen, auf die die betroffene Person nach Art. 15 Abs. 1 Buchst. h DSGVO Anspruch habe, da sie nicht diejenige wäre, die eine "automatisierte Entscheidung" im Sinne dieser Bestimmung und folglich im Sinne von Art. 22 Abs. 1 DSGVO treffe. Zum anderen könnte der Dritte, dem der Wahrscheinlichkeitswert mitgeteilt werde, diese zusätzlichen Informationen nicht vorlegen, da er nicht darüber verfüge. Insofern hat auch der EuGH herausgestellt, dass die weite Bedeutung des Begriffs "Entscheidung" im Sinne von Art. 22 Abs. 1 DSGVO den wirksamen Schutz verstärkt, auf den diese Bestimmung abzielt (EuGH, Urteil vom 7. Dezember 2023 – C-634/21 –. Rn. 60). So könnte die betroffene Person zum einen bei der Wirtschaftsauskunftei, die den sie betreffenden Wahrscheinlichkeitswert ermittelt, ihr Recht auf Auskunft über die in Art. 15 Abs. 1 Buchst. h DSGVO genannten spezifischen Informationen nicht geltend machen, wenn keine automatisierte Entscheidungsfindung durch dieses Unternehmen vorliegt. Zum anderen wäre der Dritte – unter der Annahme, dass die von ihm vorgenommene Handlung unter Art. 22 Abs. 1 DSGVO fiele, da sie die Voraussetzungen für die Anwendung dieser Bestimmung erfüllte – nicht in der Lage, diese spezifischen Informationen vorzulegen, weil er darüber im Allgemeinen nicht verfügt (EuGH, Urteil vom 7. Dezember 2023 – C-634/21 –. Rn. 63).

Vorliegend hat die Beigeladene, eine Wirtschaftsauskunftei, mit der Errechnung des eigens für die Verwendung durch die TeamBank als deren Vertragspartnerin bezweckten Scorewerts von 85,96 % einen auf personenbezogene Daten zu der Klägerin gestützten Wahrscheinlichkeitswert in Bezug auf die Fähigkeit der Klägerin zur Erfüllung künftiger Zahlungsverpflichtungen erstellt. Die Beigeladene versorgt hiermit ihre Vertragspartner – hier die TeamBank - mit Informationen zur Kreditwürdigkeit Dritter, insbesondere Verbraucher. Dazu prognostiziert sie aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens ("Scorewert"), wie insbesondere die Rückzahlung eines Kredits. Die Erstellung von Scorewerten ("Scoring") basiert auf der Annahme, dass durch die Zuordnung einer Person zu einer Gruppe anderer Personen mit vergleichbaren Merkmalen, die sich in einer bestimmten Weise verhalten haben, ein ähnliches Verhalten vorausgesagt werden kann.

Die Scorewerterstellung durch die Beigeladene erfüllt somit den Tatbestand des Profiling im Sinne von Art. 4 Nr. 4 DSGVO, welche ein Unterfall einer ausschließlich auf einer "automatisierten Verarbeitung" beruhenden Tätigkeit im Sinne von Art. 22 Abs. 1 DSGVO ist (so auch EuGH, Urteil vom 7. Dezember 2023 – C-634/21 –, Rn. 47).

Nach Art. 4 Nr. 4 DSGVO meint Profiling jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

Durch die Ermittlung und die Zusammenstellung von personenbezogenen Daten zwecks einer Profilbildung und der daraus folgenden Ermittlung eines finalen Score-Wertes betreibt die Beigeladene Profiling im o.g. Sinne (so auch OLG Dresden, Urteil vom 7. Oktober 2025 – 4 U 884/24 –, juris Rn. 30). Diese Verarbeitung erfordert nämlich, wie sich aus dem 71. Erwägungsgrund der DSGVO ergibt, die Bewertung persönlicher Aspekte in Bezug auf die von dieser Verarbeitung betroffene natürliche Person, insbesondere zur Analyse oder Prognose von Aspekten bezüglich ihrer Arbeitsleistung, wirtschaftlichen Lage, Gesundheit, Vorlieben oder Interessen, Zuverlässigkeit oder ihres Verhaltens, ihres Aufenthaltsorts oder Ortswechsels (EuGH, Urteil vom 7. Dezember 2023 – C-634/21 –, Rn. 58).

Das Verfahren der Beigeladenen greift auf personenbezogene Daten zurück, um bestimmte Aspekte, die sich auf natürliche Personen beziehen, zu bewerten, um Aspekte bezüglich ihrer wirtschaftlichen Lage, ihrer Zuverlässigkeit und ihres wahrscheinlichen Verhaltens zu analysieren oder vorherzusagen. Wie die Beigeladene selbst erläutert, liefert die von ihr angewandte Methode auf der Grundlage bestimmter Kriterien einen "Scorewert", d. h. ein Ergebnis, das Rückschlüsse auf die Kreditwürdigkeit der betroffenen Person erlaubt.

Schließlich ist auch das dritte Tatbestandsmerkmal des Art. 22 Abs. 1 DSGVO, nämlich einer erheblichen Beeinträchtigung "in ähnlicher Weise", im vorliegenden Fall erfüllt. Zwar entfaltet die Scorewerterstellung als automatisierte Entscheidung durch die Beigeladene die Klägerin als betroffene Person nicht ihr gegenüber unmittelbare rechtliche Wirkung – eine solche erfolgt erst durch die Entscheidung eines Dritten, etwa über die Kreditvergabe an die Klägerin. Aber auch wenn eine Entscheidungsfindung sich nicht auf die Rechte einer Person auswirkt, kann sie dennoch in den Anwendungsbereich von Art. 22 Abs. 1 DSGVO fallen, wenn sie eine entsprechende Wirkung entfaltet oder die Person in ähnlicher Weise erheblich beeinträchtigt.

Dies ist nach Auffassung der Kammer dann der Fall, wenn sie geeignet ist, eine Vorgriffswirkung auf die Begründung, Änderung oder Aufhebung einer rechtlichen Position der betroffenen Person zu haben. Damit die Datenverarbeitung eine Person erheblich beeinträchtigt, muss diese also gegenüber der betroffenen Person in ihren Auswirkungen einer "rechtlichen Wirkung" gleichkommen. Dies ist nach den Umständen des konkreten Falls zu beurteilen.

Geht es um die Begründung eines privatrechtlichen Vertragsverhältnisses – wie hier über eine Kreditvergabe – ist dabei auch zu berücksichtigen, dass sich bereits die automatisierte Scorewerterstellung auf die finanzielle Lage der betroffenen Person auswirken kann, weil hierbei eine Einschätzung ihrer Kreditwürdigkeit getroffen wird (a.A. OLG München, Hinweisbeschluss vom 03.02.2025 – 24 U 3326/24 e, GRUR-RS 2025, 15992 Rn. 28, beck-online; OLG D-Stadt, Hinweisbeschluss vom 18.03.2025 – 9 U 20/25, GRUR-RS 2015, 7249 Rn. 25, beck-online; Brandenburgisches Oberlandesgericht, Beschluss vom 7. Juli 2025 – 1 U 68/24 –, Rn. 47 - 49, juris, eine rechtliche oder dieser ähnliche Wirkung als "bloßes Internum" ablehnend). Jedenfalls ist vorliegend der in Bezug auf die Klägerin von der Beigeladenen erstellte Scorewert tatsächlich an die Team-Bank weitergegeben und damit einem Verwender zur Kenntnis gebracht worden. Im Anschluss daran hat die TeamBank in Kenntnis dieses Scorewerts im Hinblick auf die Klägerin eine negative Kreditentscheidung getroffen.

Schon die Scorewerterstellung und auch deren Weitergabe an die TeamBank beeinträchtigt die Klägerin "in ähnlicher Weise erheblich" im Sinne von Art. 22 Abs. 1 DSGVO.

Ob das von der Beigeladenen vorgenommene Profiling die Klägerin "in ähnlicher Weise erheblich beeinträchtigt" (die einer rechtlichen Wirkung gleichkommt), setzt nach Auffassung der Kammer nicht voraus, dass das Profiling (also die Scorewerterstellung) die Entscheidung eines Dritten, namentlich eines Vertragspartners der Beigeladenen, welcher den Scorewert, nachdem dieser ihm von der Beigeladenen übermittelt worden ist, auch tatsächlich als einziges bzw. ausschließliches Kriterium verwendet, um zu entscheiden, ob dieser ein Vertragsverhältnis zu der Klägerin eingeht.

Die noch zur alten Rechtslage ergangene Rechtsprechung des Bundesgerichtshofs (BGH, Urteil vom 28. Januar 2014 – VI ZR 156/13 - Rn... :"Von einer automatisierten Einzelentscheidung kann im Falle des Scorings nur dann ausgegangen werden, wenn die für die Entscheidung verantwortliche Stelle eine rechtliche Folgen für den Betroffenen nach sich ziehende oder ihn erhebliche beeinträchtigende Entscheidung ausschließlich aufgrund eines Score-Ergebnisses ohne weitere inhaltliche Prüfung trifft, nicht aber, wenn die mittels automatisierter Datenverarbeitung gewonnenen Erkenntnisse lediglich Grundlage für eine von einem Menschen noch zu treffende abschließende Entscheidung sind") ist jedenfalls durch das Inkrafttreten der DSGVO überholt).

Denn Rahmen des Auskunftsanspruchs gemäß Art. 15 Abs. 1 Buchst. h DSGVO ist es unerheblich, ob die Klägerin ausreichend konkret vorgetragen und bewiesen hat, dass der Verantwortliche – die Beigeladene - sie (nur) mit der Übermittlung dieses Bonitätsscores an Dritte einer gem. Art. 22 Abs. 2 bis 4 DSGVO i.V.m. nationalen Datenschutzvorschriften unzulässigen automatisierten Entscheidung mit rechtlichen Wirkungen oder erheblichen Beeinträchtigungen unterworfen hat. Denn Zweck des Art. 22 DSGVO ist es, Personen vor den besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten - einschließlich Profiling - verbunden sind, wie durch Erwägungsgrund Nr. 71 herausgestellt wird. Diese Risiken ergeben sich insbesondere aus der Bewertung persönlicher Aspekte und Daten wie sie auch bei der Ermittlung der Wahrscheinlichkeit eines Forderungsausfalls heranzuziehen sind. Der Umfang des Auskunftsanspruchs aus Art 15 Abs. 1 Buchst. h DSGVO kann daher nicht maßgeblich davon abhängen, ob und inwieweit mit der auf einem Profiling beruhenden Bonitätsauskunft der Beklagten jeweils konkret gegen Art 22 Abs. 1 und 4 DSGVO nachweislich verstoßen wird. Vielmehr stehen mit Blick auf Zweck und Zielrichtung der Vorschrift der betroffenen Person Auskunftsrechte jedenfalls in den Fällen zu, in denen die Verarbeitung personenbezogener Daten zur einer automatisierten Entscheidungsfindung in Form einer Bonitätsscoreermittlung führt und insbesondere auf einem Profiling beruht, wie sich auch aus der Formulierung der Vorschrift selbst ergibt. Bestätigt wird dies durch den Erwägungsgrund Nr. 63 Satz 3 DSGVO, der gleichfalls in Fällen eines Profiling besondere Auskunftsrechte der betroffenen Person vorsieht (OLG Dresden, Urteil vom 7. Oktober 2025 – 4 U 884/24 –, juris Rn. 31).

So ist nicht von der Hand zu weisen, dass bereits aus einer ökonomischen Perspektive heraus Scoring generell als sinnvoll eingestuft wird. Nicht nur für Kreditinstitute als Darlehensgeber, sondern für alle Unternehmen, die bei ihren Geschäften kreditorische Risiken eingehen, sind Informationen über die Kreditwürdigkeit ihrer (potenziellen) Kunden bedeutsam. Der Bonitätsprüfung liegt im Allgemeinen ein (Kredit-)Scoring zugrunde (vgl. Taeger, Externes Scoring als "automatisierte Entscheidung im Einzelfall" über eine Kreditgewährung, BKR 2024, 41 (42)). Ein Kreditinstitut ist gemäß § 18a Abs. 1 KWG und jeder Darlehensgeber gemäß §§ 505a, 505b BGB verpflichtet, vor Abschluss eines Verbraucherdarlehensvertrages die Kreditwürdigkeit des Verbrauchers zu prüfen.

In der Praxis kommen Kreditinstitute ihrer Verpflichtung zur Minimierung von Risiken mit einem internen Kreditscoring nach, in das in der Regel auch die von einer Wirtschaftsauskunftei wie der Beigeladenen übermittelten Scorewerte über die Kreditausfallwahrscheinlichkeit eines potentiellen Darlehensnehmers einfließen, um das interne Rating zuverlässiger zu machen (vgl. Thiele/v. Keitz/Brücks, Internationales Bilanzrecht, 2023, S. 342).

Auch der Bundesgerichtshof (BGH) hat angemerkt, dass die Erteilung von zutreffenden Bonitätsauskünften für das Funktionieren der Wirtschaft von erheblicher Bedeutung ist und Angaben einer Wirtschaftsauskunftei, die geeignet sind, etwaige Kreditgeber zu einer sorgfältigen Bonitätsprüfung zu veranlassen, für das Kreditgewerbe erforderlich sind (BGH, Urteil vom 22. Februar 2011 – VI ZR 120/10 –, juris Rn. 21).

Im Gesetzentwurf der Bundesregierung zum Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) heißt es zu § 31 (Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften): "Die Ermittlung der Kreditwürdigkeit und die Erteilung von Bonitätsauskünften bilden das Fundament des deutschen Kreditwesens und damit auch der Funktionsfähigkeit der Wirtschaft. ... Für die Verwendung des Score-Wertes wird auf die Kriterien der derzeitigen § 28a Absatz 1 und § 28b zurückgegriffen, die die im Wirtschaftsleben bedeutsame Tätigkeit von Auskunfteien sowie die Ermittlung von Score-Werten grundsätzlich ermöglichen. ... Insoweit wird für alle Beteiligten Sicherheit in der Weise geschaffen, dass Scoringverfahren und Kreditinformationssysteme mit der Einmeldung von Positiv- und Negativdaten, die z. B. durch Kreditinstitute, Finanzdienstleistungsunternehmen, Zahlungsinstitute, Telekommunikations-, Handels-, Energieversorgungs- und Versicherungsunternehmen oder Leasinggesellschaften erfolgt, prinzipiell weiter zulässig bleiben. Sie werden nach wie vor als wichtige Voraussetzungen für das Wirtschaftsleben angesehen" (BT-Drs. 18/11325, 24.02.2017, abrufbar unter: https://dserver.bundestag.de/btd/18/113/1811325.pdf, dort S. 101 f.).

Sowohl in dem Erwägungsgrund 56 der Richtlinie (EU) 2023/2225 des Europäischen Parlaments und des Rates vom 18. Oktober 2023 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 2008/48/EG (Verbraucherkredit-Richtlinie [Abl. L 2023/2225 vom 30.10.2023]) als auch in Erwägungsgrund 58 der Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz [Abl. L 2024/1689 vom 12.07.2024]) heißt es, dass KI-Systeme, die zur Bewertung der Kreditwürdigkeit natürlicher Personen verwendet werden, als Hochrisiko-KI-Systeme eingestuft werden (sollten), da sie den Zugang dieser Personen zu Finanzmitteln oder wesentlichen Dienstleistungen wie Wohnraum, Elektrizität und Telekommunikationsdienstleistungen bestimmen.

Dass zahlreiche Banken und Kreditinstitute auf "externes Scoring" bei ihrer Entscheidung, ob und in welcher Höhe ein Kredit vergeben werden soll, zurückgreifen, lässt sich bereits anhand der allgemein zugänglichen Informationen, etwa auf den Internetseiten der Einrichtung, ablesen. So informiert etwa die Sparkassen-Finanzgruppe auf ihrer Internetseite gerade im Hinblick auf die die Bedeutung der Auskünfte der Beigeladenen im Hinblick auf Kreditanfragen (https://www.sparkasse.de/pk/ratgeber/finanzplanung/traeume-finanzieren/bonitaet.html; zuletzt abgerufen 4.11.2025). So heißt es dort u.a.: "Bonität bedeutet Kreditwürdigkeit, also ob davon auszugehen ist, dass Sie einen aufgenommenen Kredit auch wie vereinbart zurückzahlen. ... Wie Ihre Bonität aktuell bewertet wird, können Sie beispielsweise mit dem SCHUFA-BonitätsCheck online herausfinden. ... Die Schufa erfasst zum Beispiel bestehende Finanzierungen. Sie gibt Kreditinstituten Auskunft darüber, ob die Kundinnen und Kunden bereits vorhandene Kredite, Darlehen und Leasingverträge fristgerecht bedienen. Oder ob es Schwierigkeiten bei der Rückzahlung gibt. Letzteres wirkt sich negativ auf die Kreditwürdigkeit aus. ... " Weiterhin wird auf der Internetseite (https://www.sparkasse.de/pk/ratgeber/finanzplanung/traeumefinanzieren/kredit-ohne-schufa.html; zuletzt abgerufen 4.11.2025) unter der Überschrift "Kredite trotz oder ohne SCHUFA – so vermeiden Sie unseriöse Angebote" u.a. anderem über folgendes informiert: "Sparkassen, Banken und andere Kreditgeber können unterschiedliche Kriterien für die Bewilligung von Krediten haben. Einer der Faktoren kann die Bonitätsbewertung bei der SCHUFA sein. ... Ein negativer SCHUFA-Eintrag beziehungsweise ein schlechter SCHUFA-Score kann dem Kreditgeber ein erhöhtes Risiko signalisieren und dazu führen, dass der Kreditantrag abgelehnt wird. ... ‚Kredit ohne SCHUFA‘: Oft ist ein Kredit trotz negativer SCHUFA gemeint ... Im Internet finden sich verschiedene Anbieter von sogenannten ‚Krediten ohne SCHUFA‘. Häufig werden solche angeblichen SCHUFA-freien Kredite jedoch nicht wirklich ohne Einblicknahme in die SCHUFA-Daten des Kunden oder der Kundin vergeben. Stattdessen ist gemeint, dass die Kreditvergabe auch bei einem schlechteren SCHUFA-Score nicht ausgeschlossen ist. ‚Kredit ohne SCHUFA‘ meint also genau genommen tatsächlich oft ‚Kredit trotz negativer SCHUFA‘. Denn Kreditinstitute sind gesetzlich zur Bonitätsprüfung verpflichtet. ... Für Kredite trotz negativer SCHUFA-Beurteilung gilt: Eine schlechtere Bonität führt in der Regel zu einem höheren Zinssatz, da die Bearbeitung des Antrags aufwendiger und das Risiko eines Kreditausfalls höher ist." Auch auf der Internetseite der TeamBank (https://www.easycredit.de/blog/die-schufa-was-istdas-eigentlich, veröffentlicht am 14.01.2019 von easyCredit; zuletzt abgerufen 4.11.2025) wird über die Beigeladene unter dem Eintrag "Die SCHUFA -Was ist das eigentlich" ausführlich informiert. Hierbei wird darauf hingewiesen, dass die SCHUFA nicht die einzige Auskunftei dieser Art sei. Weitere Unternehmen, die ähnliche Dienste anböten, seien zum Beispiel: Arvato, Bisnode, CRIF Bürgel, Creditreform. Gleichzeitig wird aber hinzugefügt: "Die SCHUFA hat durch ihre Nähe zu zahlreichen Finanzdienstleistern in Deutschland allerdings am meisten Bedeutung." Weiterhin findet sich auf der Website folgende Aussage: "Vor allem bei der Vergabe von Krediten sollte man als Kunde darauf achten, dass der Kreditgeber eine SCHUFA-Auskunft verlangt. Kreditanbieter, die in Zeitungsannoncen oder im Internet einen Kredit ohne SCHUFA-Auskunft bzw. SCHUFA-Abfrage anbieten, gelten als sehr unseriös. Zumeist übersteigen sie auch die Kosten von Krediten bei seriösen Anbietern. Oft locken diese Anbieter mit günstigen Zinsen, verlangen dann aber zusätzlich ordentliche Bearbeitungsgebühren und Nebenkosten." Unter https://www.easycredit.de/wissen/kredit-ohne-schufa (zuletzt abgerufen am 4.11.2025) heißt es: "Schufa-Abfrage bei easyCredit ... Personen mit einer negativen Schufa haben häufig Schwierigkeiten, einen herkömmlichen Kredit zu erhalten. ... " und "Kredit trotz negativer Schufa? Wer bereits negative Schufa-Einträge hat und damit einen schlechten Schufa-Score vorweist, hat es deutlich schwerer, eine Bank zu finden, die ihm einen Kredit gewährt." Unter https://www.easycredit.de/wissen/schufa (zuletzt abgerufen 4.11.2025) heißt es: "Was macht die Schufa? Das Wichtigste auf einen Blick ... Die Schufa hat einen starken Einfluss auf die Kreditvergabe in Deutschland. Es ist möglich, einen Kredit ohne Schufa-Anfrage zu bekommen – aber nicht ohne Bonitätsauskunft. Sie können Ihren Schufa-Score mit verschiedenen Mitteln verbessern. [...] Spezialfall: Schufa und Kredite ... Wenn Sie in Deutschland einen Kredit anfragen, wird die Bank eine Bonitätsprüfung vornehmen. Dazu ist sie gesetzlich verpflichtet. Die Schufa muss sie dafür nicht unbedingt nutzen, aber da sie die größte Auskunftei in Deutschland ist, wird sie meistens kontaktiert. Kredit ohne Schufa ist also möglich, eine Bonitätsprüfung findet aber immer statt." Außerdem enthält die Website "6 Tipps, wie Sie Ihren Schufa-Score verbessern können".

Eine Kreditvergabe mag also trotz eines grundsätzlich ausreichenden Scorewerts (aus anderen Gründen, wie etwa des Fehlens von Sicherheiten oder Zweifeln am Erfolg einer zu finanzierenden Investition) versagt werden, ein nicht ausreichender Score-Wert hingegen wird jedenfalls im Bereich der Verbraucherdarlehen häufig und auch dann zur Versagung eines Kredits führen, wenn etwa eine Investition im Übrigen als lohnend erscheint. Dass Scorewerten bei der Kreditvergabe und der Gestaltung ihrer Bedingungen die bedeutende Rolle zukommt, zeigen auch Erfahrungen aus der behördlichen Datenschutzaufsicht (Siehe LfDI BW, Neue Broschüre: Scoring – solide Prognose oder miese Nummer?, https://www.badenwuerttemberg.datenschutz.de/wp-content/uploads/2021/06/20210629_Scoring_web.pdf (Stand 30.09.2021)). Der Dritte muss seine Kredit-Entscheidung zwar nicht allein vom Scorewert abhängig machen, tut es in aller Regel jedoch maßgeblich.

Da sonach bereits anzunehmen ist, dass ein von der Beigeladenen erstellter Wahrscheinlichkeitswert über eine Person hinsichtlich deren Fähigkeit, künftig einen Kredit zu bedienen, schon an sich – ohne Weiteres – geeignet ist, die betroffene Person zumindest erheblich zu beeinträchtigen (so EuGH, Urteil vom 7. Dezember 2023 – C-634/21 –, Rn. 49), ist dies nach Auffassung der Kammer im vorliegenden Fall erst Recht in Bezug auf der Erstellung eines für die Team-Bank eigens berechneten Scorewerts durch die Beigeladene gegeben. Insoweit ist in Bezug auf den im Hinblick auf die Klägerin von der Beigeladenen errechneten und an die TeamBank weitergeleiteten Scorewert eine Maßgeblichkeit der Scorewerterstellung anzunehmen.

Es steht zur Überzeugung der Kammer fest, dass auch im vorliegenden Fall der von der Beigeladenen über die Klägerin errechnete Score für die TeamBank dergestalt maßgeblich für die Kreditentscheidung der TeamBank gewesen ist, dass bereits die Erstellung diese Scores für die Klägerin eine auf einer "automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung ist, die ihr gegenüber rechtliche Wirkungen entfaltet oder sie in ähnlicher Weise beeinträchtigt". Einer weiteren Beweisaufnahme bedurfte es vor diesem Hintergrund nicht.

Dies ergibt sich aus der Kommunikation zwischen dem Beklagten und der TeamBank. So hat die TeamBank dem Beklagten mit E-Mail vom 22.05.2024 mitgeteilt, dass die TeamBank zu jeder Person einer Anfrage den Schufa-TeamBank-Score erhalte. Dieser Wert fließe an zwei Stellen in die Kreditentscheidung ein: als Eingangsgröße in einem umfassenden Verkaufsscore, der weitere interne Merkmale enthalte und zusammen mit diesen eine gemeinsame Bonitätsklasse bilde, und als Teilkriterium in einer Entscheidungsregel; das andere Teilkriterium sei u.a. die TeamBank-interne Bonitätsklasse. Weiterhin wird ausgeführt, dass der von der TeamBank verwendete Score von der Schufa eigens für die TeamBank entwickelt worden sei. Er werde bei jeder Kreditanfrage bei der TeamBank von der TeamBank bei der Schufa abgefragt. Im Gegensatz zum Schufa-Bankenscore sei der Schufa-TeamBank-Score speziell auf dem Portfolio der TeamBank entwickelt worden. D.h., es sei ein statistisches Modell erstellt worden, welches speziell für die Kunden der TeamBank die Eigenschaften von Kunden zum Abschlusszeitpunkt ins Verhältnis zu einer später ggfs. tatsächlich stattgefundenen Zahlungsunfähigkeit setze. Der Vorteil bei der Verwendung eines eigenen Scores bestehe darin, dass Personen, die nicht zum Kundenklientel der TeamBank gehörten, die Genauigkeit des Prognosemodells nicht verfälschten, was wiederum zu einer besseren Ausfallprognose und damit zu einem besseren Überschuldungsschutz für den Kunden führe (Bl. 340 ff. GA).

Dass der eigens für die TeamBank von der Beigeladenen entwickelte Score keine maßgebliche Bedeutung für die TeamBank haben soll, erweist sich vor diesem Hintergrund als lebensfremd. Auf die gerichtliche Anfrage hin teilte die TeamBank mit Schreiben vom 20.06.2025 mit, dass der von der TeamBank verwendete Score von der Schufa eigens für die TeamBank entwickelt worden sei. Er werde bei jeder Kreditanfrage bei der TeamBank von der TeamBank bei der Schufa abgefragt. Im Gegensatz zum Schufa-Bankenscore sei der Schufa-TeamBank-Score speziell auf dem Portfolio der TeamBank entwickelt. D.h. es sei ein statistisches Modell erstellt worden, welches speziell für die Kunden der TeamBank die Eigenschaften von Kunden zum Abschlusszeitpunkt ins Verhältnis zu einer später ggfs. tatsächlich stattgefundenen Zahlungsunfähigkeit setze. Vor diesem Hintergrund könnten der von der TeamBank verwendete Score und weitere Merkmale dazu führen, dass es im Vergleich zu den Standard-Scorekarten zu einem abweichenden Ergebnis komme. Die weiteren Fragen des Gerichts nach dem Grund der Ablehnung der Kreditanfrage der Klägerin aus dem Jahre 2018 und danach, welche Kriterien seitens der TeamBank zugrunde gelegt wurden, könne man nicht beantworten, da die Antragsdaten der Klägerin gelöscht worden seien. Dies vermag die Vermutung, der grundsätzlichen Maßgeblichkeit des eigens für die TeamBank entwickelten Bonitätsscores der für die Kreditentscheidung der TeamBank im Jahre 2018 betreffend die Klägerin nicht zu entkräften.

Auf die von dem Bevollmächtigten der Klägerin aufgeworfene Frage, ob die TeamBank selbst durch die Verwendung einer Software die Kreditentscheidung automatisiert getroffen hat oder die Entscheidung durch einen Menschen unter Zuhilfenahme der Software erfolgte, kommt es nicht an. Denn die automatisierte Entscheidung im Sinne von Art. 15 Abs. 1 Buchst. h i.V.m. Art. 22 Abs. 1 DSGVO erfolgte durch die Beigeladene; diese erfüllt das vom EuGH aufgestellte Kriterium der Maßgeblichkeit, unabhängig davon, ob sich die TeamBank wiederum einer Software bei ihrer Kreditentscheidung bedient.

c) Sind demnach die Voraussetzungen des Auskunftsanspruchs nach Art. 15 Abs. 1 Buchst. h erfüllt, folgt daraus ein Recht auf Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Den Umfang des Auskunftsanspruchs nach Art. 15 Abs. 1 Buchst. h DSGVO hat der EuGH mit Urteil vom 27.02.2025 (C-203/22, Rn. 43 ff.) wie folgt präzisiert:

"Unter den Wortlaut von Art. 15 Abs. 1 Buchst. h DSGVO sind daher alle Informationen zu subsumieren, die für das Verfahren und die Grundsätze der automatisierten Verarbeitung personenbezogener Daten zum Erreichen eines bestimmten Ergebnisses auf der Grundlage dieser Daten maßgeblich sind. Zum Kontext, in den sich der in Art. 15 Abs. 1 Buchst. h DSGVO enthaltene Ausdruck ‚aussagekräftige Informationen über die involvierte Logik‘ einfügt, ist erstens darauf hinzuweisen, dass diese Informationen nur einen Teil der Informationen darstellen, die unter das in dieser Bestimmung vorgesehene Auskunftsrecht fallen, da dieses auch die Informationen zur Tragweite und zu den angestrebten Auswirkungen der in Rede stehenden Verarbeitung für die betroffene Person umfasst. Zwar sind diese Informationen, für die gemäß den Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, angenommen am 3. Oktober 2017 von der durch Art. 29 der Richtlinie 95/46 eingesetzten Datenschutzgruppe, in der überarbeiteten und am 6. Februar 2018 angenommenen Fassung, ‚echte, greifbare Beispiele‘ anzuführen sind, um sie aussagekräftig und verständlich zu machen [...] als Teil des Kontexts zu berücksichtigen, zu dem der Ausdruck ‚aussagekräftige Informationen über die involvierte Logik‘" gehört. [...] Zweitens hat der Gerichtshof zum Umstand, dass der Ausdruck ‚aussagekräftige Informationen über die involvierte Logik‘ auch in Art. 13 Abs. 2 Buchst. f und in Art. 14 Abs. 2 Buchst. g DSGVO vorkommt, bereits festgestellt, dass im Fall einer automatisierten Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DSGVO das in Art. 15 Abs. 1 Buchst. h DSGVO verankerte, diese Informationen betreffende Auskunftsrecht und die zusätzlichen Informationspflichten des Verantwortlichen gemäß Art. 13 Abs. 2 Buchst. f und Art. 14 Abs. 2 Buchst. g DSGVO eine Einheit bilden (vgl. in diesem Sinne Urteil vom 7. Dezember 2023, SCHUFA Holding u. a. [Scoring], C-634/21, EU:C:2023:957, Rn. 56). Drittens ist [...] im Rahmen der kontextuellen Auslegung der für den Fall einer automatisierten Entscheidungsfindung vorgesehenen Auskunftsrechte die Rechtsprechung des Gerichtshofs zu den Anforderungen zu berücksichtigen, die der Verantwortliche gemäß Art. 15 Abs. 3 DSGVO erfüllen muss. So ist insbesondere dem Umstand Rechnung zu tragen, dass das in Art. 12 Abs. 1 DSGVO vorgesehene Erfordernis der Transparenz der übermittelten Informationen für sämtliche Daten und Informationen gemäß Art. 15 gilt, einschließlich derjenigen, die automatisierte Entscheidungsfindungen betreffen. Um zu gewährleisten, dass die betroffene Person in die Lage versetzt wird, die ihr vom Verantwortlichen übermittelten Informationen in vollem Umfang zu verstehen, verpflichtet Art. 12 Abs. 1 DSGVO den Verantwortlichen, geeignete Maßnahmen zu treffen, um insbesondere der betroffenen Person diese Daten und Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln (vgl. in diesem Sinne Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 38). Die Prüfung des Kontexts von Art. 15 Abs. 1 Buchst. h DSGVO bestätigt somit die Auslegung, die sich aus der Analyse der in dieser Bestimmung verwendeten Ausdrücke ergibt, wonach ‚aussagekräftige Informationen über die involvierte Logik‘ einer automatisierten Entscheidungsfindung im Sinne dieser Bestimmung alle maßgeblichen Informationen zum Verfahren und zu den Grundsätzen der automatisierten Verarbeitung personenbezogener Daten zwecks Erreichen eines bestimmten Ergebnisses umfassen und diese Informationen aufgrund des Transparenzerfordernisses außerdem in präziser, transparenter, verständlicher und leicht zugänglicher Form zu übermitteln sind. Zum Zweck der DSGVO ist schließlich darauf hinzuweisen, dass ihr Ziel insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen zu gewährleisten, und zwar insbesondere ihres in Art. 16 AEUV gewährleisteten Rechts auf Schutz der personenbezogenen Daten, das in Art. 8 der Charta als Grundrecht verankert ist und das in Art. 7 der Charta verankerte Recht auf ein Privatleben ergänzt (vgl. in diesem Sinne Urteil vom 4. Oktober 2024, Schrems [Mitteilung von Daten an die breite Öffentlichkeit], C-446/21, EU:C:2024:834, Rn. 45 und die dort angeführte Rechtsprechung). Die DSGVO hat also, wie sich aus ihrem elften Erwägungsgrund ergibt, den Zweck, die Rechte der betroffenen Personen zu stärken und präzise festzulegen (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 33 und die dort angeführte Rechtsprechung). Was konkret das in Art. 15 DSGVO vorgesehene Auskunftsrecht betrifft, muss es der betroffenen Person nach der Rechtsprechung des Gerichtshofs ermöglichen, zu überprüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden (Urteile vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 34, und vom 26. Oktober 2023, FT [Kopien der Patientenakte], C-307/22, EU:C:2023:811, Rn. 73). [...]

Insbesondere im speziellen Kontext des Erlasses einer Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung beruht, bezweckt das Recht der betroffenen Person, die in Art. 15 Abs. 1 Buchst. h DSGVO genannten Informationen zu erhalten, hauptsächlich, ihr die wirksame Ausübung der ihr nach Art. 22 Abs. 3 DSGVO zustehenden Rechte zu ermöglichen, nämlich des Rechts auf Darlegung ihres eigenen Standpunkts und des Rechts auf Anfechtung der Entscheidung. Wenn von einer automatisierten Entscheidung – einschließlich Profiling – betroffene Personen nicht in der Lage wären, vor der Darlegung ihres Standpunkts oder der Anfechtung der Entscheidung die Gründe für diese Entscheidung nachzuvollziehen, würden diese Rechte ihren Zweck, diese Personen gegen die besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten verbunden sind, nicht in vollem Umfang erfüllen (vgl. in diesem Sinne Urteil vom 7. Dezember 2023, SCHUFA Holding u. a. [Scoring], C-634/21, EU:C:2023:957, Rn. 57). Gemäß dem 71. Erwägungsgrund der DSGVO muss die betroffene Person, wenn sie einer Entscheidung unterworfen wird, die ausschließlich auf einer automatisierten Verarbeitung beruht und die sie erheblich beeinträchtigt, das Recht auf Erläuterung dieser Entscheidung haben. [...] Art. 15 Abs. 1 Buchst. h DSGVO [bietet] der betroffenen Person also ein echtes Recht auf Erläuterung der Funktionsweise des Mechanismus der automatisierten Entscheidungsfindung, der diese Person unterworfen worden ist, und des Ergebnisses, zu dem diese Entscheidung geführt hat. Aus der Prüfung der Ziele der DSGVO und insbesondere von Art. 15 Abs. 1 Buchst. h DSGVO ergibt sich, dass das Recht auf ‚aussagekräftige Informationen über die involvierte Logik‘ bei einer automatisierten Entscheidungsfindung im Sinne dieser Bestimmung als ein Recht auf Erläuterung des Verfahrens und der Grundsätze zu verstehen ist, die bei der automatisierten Verarbeitung der personenbezogenen Daten der betroffenen Person zur Anwendung kamen, um auf der Grundlage dieser Daten zu einem bestimmten Ergebnis – etwa einem Bonitätsprofil – zu gelangen. Damit die betroffene Person die ihr durch die DSGVO und insbesondere deren Art. 22 Abs. 3 gewährten Rechte wirksam ausüben kann, müssen im Rahmen dieser Erläuterung die relevanten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form übermittelt werden. Weder die bloße Übermittlung einer komplexen mathematischen Formel (etwa eines Algorithmus), noch die detaillierte Beschreibung jedes Schritts einer automatisierten Entscheidungsfindung genügen diesen Anforderungen, da beides keine ausreichend präzise und verständliche Erläuterung darstellt.

Wie sich aus [den...] Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679 ergibt, sollte nämlich zum einen der Verantwortliche einfache Möglichkeiten finden, die betroffene Person über die der Entscheidungsfindung zugrunde liegenden Überlegungen bzw. Kriterien zu informieren. Zum anderen verpflichtet die DSGVO den Verantwortlichen zur Übermittlung aussagekräftiger Informationen über die involvierte Logik, ‚nicht unbedingt zu einer ausführlichen Erläuterung der verwendeten Algorithmen oder zur Offenlegung des gesamten Algorithmus‘. Die ‚aussagekräftigen Informationen über die involvierte Logik‘ einer automatisierten Entscheidungsfindung im Sinne von Art. 15 Abs. 1 Buchst. h DSGVO müssen also das Verfahren und die Grundsätze, die konkret zur Anwendung kommen, so beschreiben, dass die betroffene Person nachvollziehen kann, welche ihrer personenbezogenen Daten im Rahmen der in Rede stehenden automatisierten Entscheidungsfindung auf welche Art verwendet wurden, ohne dass die Komplexität der im Rahmen einer automatisierten Entscheidungsfindung vorzunehmenden Arbeitsschritte den Verantwortlichen von seiner Erläuterungspflicht entbinden könnte."

Dem schließt sich die Kammer an.

d) Diesen Anforderungen genügt die von der Beigeladenen der Klägerin erteilte Auskunft im Hinblick auf die Bewertung der Klägerin mit einem Scorewert von 85,96 % unter Berücksichtigung der vorgerichtlichen Kommunikation (Schreiben der Beigeladenen an die Klägerin vom 10.07.2018, 08.08.2018 und 23.08.2018), dem Verweis auf Ziffer 4 der Schufa-Informationen und dem weiteren Hinweis auf im Internet abrufbare Informationen sowie mit den Erläuterungen in Verfahrensschriftsätzen (insb. Erläuterung der Datenkategorien im Schriftsatz der Beigeladenen vom 15.09.2020 sowie Schriftsatz ihres Bevollmächtigten vom 28.03.2024 zum "TeamBank-Score") einschließlich der in der mündlichen Verhandlung ergänzenden Erläuterungen durch die Beigeladene nicht. Der Anspruch aus Art. 15 Abs. 1 Buchst. h DSGVO ist daher nicht durch die der Klägerin erteilten Auskünfte erfüllt worden.

Zwar informiert die Beigeladene über die Tragweite des Scorings auf ihrer Website öffentlich zugänglich. Auch die angestrebten Auswirkungen der automatisiert erstellten Scorewerte sind angesichts des der Klägerin bekannten Geschäftszwecks der Beklagten, ihren Kunden Anhaltspunkte für Entscheidungen über Geschäfte mit vom Scoring betroffenen Personen mit kreditrelevantem Inhalt zu treffen, offenbart. Jedoch genügen vor dem Hintergrund des Transparenzgebots allgemein gehaltene Information, etwa über die Webseite der Beklagten, ohnehin nicht, den Informationspflichten über die Datenverarbeitung ausreichend nachzukommen. Sinn und Zweck des Auskunftsrechts ist es, es der betroffenen Person problemlos und in angemessenen Zeitabständen zu ermöglichen, sich der Verarbeitung der sie betreffenden Daten bewusst zu werden und die Rechtmäßigkeit dieser Verarbeitung überprüfen zu können. Die Informationen müssen sich daher insofern direkt an den Betroffenen richten, als ihm eine individuelle Überprüfung seiner bei der Beklagten gespeicherten Daten ermöglicht wird.

Hinsichtlich des im Auskunftsschreiben vom 10.07.2018 samt Anlagen mitgeteilten, der TeamBank übermittelten Scorewerts nach "individuellen SCHUFA-Scorekarte Teambank III" wird die Klägerin zwar über den auf sie persönlich bezogenen Prozentsatz der Erfüllungswahrscheinlichkeit (von 85,96 %) sowie darüber informiert, welche personenbezogenen Daten über die Klägerin bei der Beigeladenen gespeichert sind. In der als Anlage beigefügten tabellarischen Aufstellung der von der Beigeladenen an deren Vertragspartner übermittelten Wahrscheinlichkeitswerte im Hinblick auf die Klägerin, lässt sich zwar entnehmen, dass die Kreditaktivität der Klägerin als deutlich überdurchschnittliches Risiko (- -), die Kreditnutzung als unterdurchschnittliches Risiko (+) und die Länge der Kredithistorie als überdurchschnittliches Risiko (-) in Ansatz gebracht worden ist. Die allgemeinen Daten zur Klägerin sind als deutlich unterdurchschnittliches Risiko (+ +) in Ansatz gebracht worden. Zwar begegnet es keinen Bedenken, dass die entsprechenden Erläuterungen sich erst in der Legende zu der Tabelle finden, da diese leicht aufzufinden und auch hinreichend klar erläutert wird, so dass die geforderte Transparenz für die Kontrolle der Richtigkeit der Daten gegeben ist. Der Tabelle lässt sich entnehmen, dass beispielsweise das Kriterium "Länge der Kredithistorie" in alle mitgeteilten Scorewerte eingeflossen ist, wenn auch nicht jeweils gleich gewichtet, und dass das Kriterium "Anschriftendaten" durchweg nicht verwendet wurde (hier Kürzel "n/v").

Die Beigeladene informiert lediglich allgemein über die Datenarten, von ihr zur Scoreberechnung verwendet werden, namentlich Allgemeine Daten (z.B. Geburtsdatum, Geschlecht oder Anzahl im Geschäftsverkehr verwendeter Anschriften), bisherige Zahlungsstörungen, Kreditaktivität letztes Jahr, Kreditnutzung, Länge Kredithistorie sowie Anschriftendaten (nur wenn wenige personenbezogene kreditrelevante Informationen vorliegen). Nach Angaben der Beigeladenen fließt aber nicht jede Datenart auch in jede einzelne Scoreberechnung mit ein. Hierüber aber muss die Beigeladene aber aufklären. Es fehlen aber Angaben, ob und gegebenenfalls welche der eingangs des Schreibens aufgeführten personenbezogenen Daten der Klägerin genau (alle Daten oder nur einige?) verwendet hat. Insbesondere enthält die Tabellenspalte "Allgemeine Daten" keineweitere Angaben, welche Daten im Falle der Klägerin im vorliegenden Fall für die Berechnung des Team-Bank-Scorewerts verwendet worden sind, und mit welcher Einzelgewichtung. Diese Angaben sind auch nicht offensichtlich oder aus dem Gesamtzusammenhang der übrigen Angaben der Beigeladenen wie den allgemeinen oder online abrufbaren Informationen zu ermitteln, da nicht erklärt wird, worauf der Wert individuell bezogen auf die Klägerin - beruht oder wie ihre hier konkret herangezogenen personenbezogenen Daten im Einzelnen gewichtet wurden. Die Auskunft der Beigeladenen erschöpft sich vielmehr in abstrakten Erklärungen und allgemeinen Angaben, ohne dass diese individuellen Bezug auf die Klägerin nehmen. Es fehlt auch eine leicht verständliche und nachvollziehbare Beschreibung, warum die von der Beigeladenen gebildeten einzelnen Datenkategorien, wie etwa Kreditaktivität, Kredithistorie sowie die allgemeinen Daten, etwa zum Alter und Wohnort, für das Profiling aussagekräftig sind.

Diese Informationspflicht besteht insbesondere auch deshalb, weil aus den von der Beigeladenen der Klägerin am 10.07.2018 übermittelten zweiseitigen Auflistung der von den Vertragspartnern der Beigeladenen im Hinblick auf die Klägerin zur Verfügung gestellten Informationen sowie die von den Vertragspartnern der Beigeladenen im Hinblick auf die Klägerin gestellten Anfragen nichts dafür ersichtlich ist, dass die Klägerin bislang in Zahlungsschwierigkeiten gewesen wäre oder sonstige Anhaltspunkte ersichtlich sind, warum die Beigeladene im Hinblick auf die Klägerin ein "deutlich erhöhtes bis hohes Risiko" angenommen hat (Bl. 455, 457 GA). Es besteht daher Aufklärungsbedarf, worauf diese Einstufung mit 85,96 % und einem deutlich erhöhten bis hohes Risiko beruht. Denn für die Klägerin ist unter Berücksichtigung der bei der Beigeladenen über sie gespeicherten Informationen über ihre finanziellen Aktivitäten ein Score von 85,96 % ungewöhnlich.

Wenn die Beigeladene lediglich die einzelnen Kategorien aufführt, die abstrakt den Scorewert bestimmen, so muss dies inhaltlich konkretisiert und auf die Person der Klägerin hin bestimmt werden. Daran fehlt es hier. Die Beigeladene führt nicht aus, welcher prozentuale Wert in jeder Kategorie im Einzelfall auf die Klägerin entfällt, also inwieweit die Klägerin Gläubiger z. B. in der Kategorie "Kreditaktivität letztes Jahr", den allgemein von der Beigeladenen errechneten Wert voll erreicht oder die Beigeladene einen Abschlag vornimmt, und wenn ja, warum.

Wenn die Beigeladene des Weiteren mit Schriftsatz ihres Bevollmächtigten vom 28.03.2024 zum berechneten Scorewert ausführt, dass dieser aufgrund eines speziell für die TeamBankerstellten Scoreverfahrens erstellt worden sei, der "Individuellen SCHUFA-Scorekarte Teambank III", dass die Scorekarte auch auf konkreten Risikoerfahrungen der G. bei der Vergabe von ungesicherten "easyCredit"-Krediten beruhe, dass sie deshalb ein höheres Risiko aus als die anderen Scorekarten aufweise, weil dies in der Natur des Kreditangebots "easyCredit" der TeamBank liege, welcher regelmäßig von weniger finanzkräftigen Personen in Anspruch genommen werde, sodass das Ausfallrisiko für die G. höher sei, und dass der von der Beigeladenen übermittelte Score darüber informiert habe, wie hoch das durchschnittliche Risiko von künftigen Zahlungsstörungen bei der Vergabe eines solchen ungesicherten Kredits gewesen sei, so ist festzustellen, dass es darum vorliegend nicht geht. Denn es geht um den konkret berechneten Score der Klägerin und nicht von der TeamBank als besonderer Vertragspartner der Beigeladenen oder der "individuellen SCHUFA-Scorekarte". Dies nimmt die Beigelande nicht hinreichend wahr, wie sich aus ihren Ausführungen entnehmen lässt, in dem ausgeführt ist, dass das Ausfallrisiko für die TeamBank höher sei. Was das mit dem Score der Klägerin, der deren Kreditwürdigkeit in hohem Maße beeinflusst, zu tun haben soll, ist nicht hinreichend erläutert und auch nicht nachvollziehbar.

e) Die von der Beigeladenen der Klägerin noch zu erteilenden Auskünfte sind nach der o.g. Rechtsprechung des EuGH maßgeblich am Transparenzgebot gemäß Art. 12 Abs. 1 DSGVO sowie an der teleologischen Auslegung des Umfangs und Inhalts des Auskunftsanspruchs aus Art. 15 Abs. 1 Buchst. h DSGVO im Lichte der Betroffenenrechte nach Art. 22 Abs. 3 DSGVO auszurichten. Zum einen verpflichtet Art. 12 Abs. 1 DSGVO den Verantwortlichen dazu, der betroffenen Person die relevanten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache zur Verfügung zu stellen (EuGH, Urt. v. 27.02.2025, C-203/22, Rn. 49). Zum anderen soll das Auskunftsrecht der betroffenen Person ermöglichen, ihre datenschutzrechtlichen Ansprüche, wirksam geltend machen zu können. Bei automatisierten Entscheidungen soll die betroffene Person durch die erteilten Informationen in die Lage versetzt werden, ihre Rechte aus Art. 22 Abs. 3 DSGVO - insbesondere das Recht auf Darlegung des eigenen Standpunkts sowie auf Anfechtung der Entscheidung - wirksam auszuüben (vgl. EuGH, a.a.O., Rn. 53- 55). Daraus folgt zugleich, dass der Betroffene ein Recht "auf Erläuterung des Verfahrens" sowie der "Grundsätze" hat, die bei der automatisierten Verarbeitung seiner personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses - beispielsweise eines Bonitätsprofils - konkret angewandt wurden (vgl. EuGH, a.a.O, Rn. 58). Die DSGVO verpflichtet den Verantwortlichen zwar "nicht unbedingt zu einer ausführlichen Erläuterung der verwendeten Algorithmen oder zur Offenlegung des gesamten Algorithmus" (vgl. EuGH a.a.O., Rn 60). Die "aussagekräftigen Informationen über die involvierte Logik" einer automatisierten Entscheidungsfindung im Sinne von Art. 15 Abs. 1 Buchst. h DSGVO müssen aber das Verfahren und die Grundsätze, die konkret zur Anwendung kommen, so beschreiben, dass die betroffene Person nachvollziehen kann, welche ihrer personenbezogenen Daten im Rahmen der in Rede stehenden automatisierten Entscheidungsfindung auf welche Art verwendet wurden, ohne dass die Komplexität der im Rahmen einer automatisierten Entscheidungsfindung vorzunehmenden Arbeitsschritte den Verantwortlichen von seiner Erläuterungspflicht entbinden könnte (vgl. EuGH a.a.O., Rn 61). Zudem sollten sich die Erläuterungen sowohl auf die Funktionsweise des automatisierten Entscheidungsmechanismus als auch auf das konkrete Ergebnis beziehen, zu dem die Entscheidung geführt hat (EuGH, a.a.O., Rn. 57). Abstrakte Informationen genügen insofern nicht. Erforderlich ist vielmehr eine individualisierte Darlegung der Verfahren und Grundsätze, die bei der Verarbeitung - etwa zur Erstellung eines Bonitätsprofils - "konkret" (EuGH, a.a.O., Rn. 61, 66) angewandt wurden. Hierbei ist auch den Gefahren zu begegnen, die für den Betroffenen durch eine – meist sogar ohne dessen Kenntnis erfolgende - automatisierten Entscheidungsfindung insb. Profiling im Sinne von Art. 22 Abs. 1 DSGVO ausgehen. Aufgrund der oben dargestellten Auswirkungen eines solchen zur Bonitätsprüfung maßgeblichen Profilings muss der Betroffene durch Informationen in die Lage versetzt werden, sein Verhalten auszurichten, indem er z.B. solche Faktoren, die zu einem für ihn ungünstigen Score beitragen, durch eigenes Verhalten, etwa Wohnortwechsel, Eröffnung von Konten, weitere Kreditanfragen, etc., beeinflussen bzw. verändern kann.

Dies zugrunde gelegt, schuldet die Beigeladene nach der Rechtsauffassung des Gerichts, der Klägern in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache in Bezug auf den ermittelten TeamBank Scorewert von 85,96 % mitzuteilen:

· Welche personenbezogen Daten der Klägerin und Kriterien sie für die Erstellung des Score konkret genutzt hat.

· Warum die einzelnen konkret verwendeten Daten für das Profiling der Klägerin relevant und aussagekräftig sind.

· Sind Informationen in die Scorewertberechnung eingeflossen, die nicht unmittelbar aus den über die Klägerin gespeicherten Informationen abgeleitet werden und wenn ja, welche? (etwa: Sind auch Daten aus dem Wohnumfeld bzw. der Nachbarschaft der Klägerin zur Berechnung der Scores herangezogen worden?

· Die zur Berechnung genutzten Daten sind in absteigender Reihenfolge ihrer Bedeutung (Ranking) für das berechnete Ergebnis darzustellen, beginnend mit dem personenbezogenen Datum, das im vorliegenden Fall den errechneten Scorewert am stärksten beeinflusst hat.

· Die Klägerin ist darüber zu informieren, in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte: Wie wirken sich die Änderungen der gespeicherten und verwendeten Daten in den einzelnen Datenkategorien auf den errechneten Score aus? Beispielsweise: Wie würde es sich auf den Score auswirken, wenn die Klägerin eine längere bzw. kürzere Kredithistorie hätte; wie würde es sich auf den Score auswirken, wenn ein Wohnortwechsel stattfindet, etc.).

· Warum wird der Score von 85,96 % als "deutlich erhöhtes bis hohes Risiko" bewertet?

f) Weitergehende Auskunftsansprüche, die auch die Offenbarung der Scoreformel bzw. den verwendeten Algorithmus umfassen, kann die Klägerin indes nicht verlangen.

Der Auskunftsanspruch wird beschränkt durch die Rechte und Freiheiten anderer Personen, Art. 15 Abs. 4 DSGVO. Hierzu gehören auch Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, wozu der von der Beklagten verwendete Algorithmus oder auch die anonymisierten und anhand von mathematisch-statistischen Verfahren ausgewerteten und gewichteten Daten der jeweiligen Vergleichsgruppen (Altfälle) auch in den einzelnen Datenarten gehören (vgl. OLG Dresden, Urteil vom 7. Oktober 2025 – 4 U 884/24 –, juris Rn. 40).

Geschäftsgeheimnisse sind als allgemeiner Grundsatz des Unionsrechts sowie grundrechtlich nach Art. 16, 17 Grundrechtecharta geschützt. Auch erkennt Erwägungsgrund 63 DSGVO den Schutz von Geschäftsgeheimnissen ausdrücklich an. Dem genügt aber nicht ein pauschaler Verweis auf ein Geschäftsgeheimnis durch die Beigeladene. Nach der Rechtsprechung des EuGH sind im Fall eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft über die personenbezogenen Daten zum einen und den Rechten oder Freiheiten anderer Personen zum anderen die fraglichen Rechte gegeneinander abzuwägen (EuGH, Urteil vom 27.02.2025 - C-203/22 -, Rn. 72 und Urteil vom 4. Mai 2023, Rn. 44).

Sofern Geschäftsgeheimnisse oder sonstige schutzwürdige Interessen Dritter betroffen sind, hat die Beigeladene hat die Aspekte, die in die Abwägung einfließen sowie die Abwägungsgründe zu erläutern, damit diese einer Überprüfung durch den Beklagten als Aufsichtsbehörde und letztlich auch einer gerichtlichen Überprüfung zugänglich sind.

Es ist nichts dafür ersichtlich, dass die wie oben konkretisierte geschuldete Auskunft durch die Beigeladenen geeignet wäre, zu einer Beeinträchtigung der Rechte und Freiheiten anderer Personen zu führen, insbesondere, da sie durch die DSGVO geschützte personenbezogene Daten Dritter oder ein Geschäftsgeheimnis im Sinne von Art. 2 Nr. 1 der Richtlinie 2016/943 enthalten. Zum einen kann die Beigeladene ihrer Auskunftspflicht nachkommen, ohne personenbezogene Daten Dritter preiszugeben.

Zum anderen steht der Klägerin – entgegen ihrer nunmehr in der mündlichen Verhandlung geäußerten Begehr, auch die Scoreformel zu erhalten – ein Auskunftsrecht nur insoweit zustehen, als ihr damit eine Überprüfung der Bonitätsscorewerte auf Fehler und mangelnde Plausibilität ermöglicht wird. Allein zu diesem Zweck schuldet die Beigeladene lediglich eine auch für einen Laien verständliche Information, die diesem eine solche Plausibilitätskontrolle ermöglicht, nicht jedoch eine Auskunft, auf deren Grundlage der Betroffene den nach statistischen Verfahren errechneten jeweiligen Score mathematisch nachvollziehen und überprüfen könnte, ob "zwischen der verwendeten Methode und den herangezogenen Kriterien einerseits und dem Ergebnis der automatisierten Entscheidung andererseits eine objektiv nachprüfbare Übereinstimmung und ein objektiv nachprüfbarer Kausalzusammenhang" besteht (vgl. EuGH, a.a.O., C-203/22, Rn. 53). Eine Verpflichtung der Beigeladenen, den ihren Scorewerten zugrundeliegenden Algorithmus oder das statistische Verfahren, das der Scorewertbildung zugrunde liegt, mitzuteilen, besteht hier nicht. Entscheidend ist vielmehr, dass der Betroffene aus den mitgeteilten Umständen ersehen kann, welche konkreten Faktoren in jede einzelne Scorewertbildung eingeflossen sind und wie diese im Verhältnis zueinander und in der Gesamtschau gewichtet worden sind (so auch OLG Dresden, Urteil vom 7. Oktober 2025 – 4 U 884/24 –, Rn. 40, juris).

In diesem Zusammenhang nimmt die Kammer auch Kenntnis von der Pressemitteilung der Beigeladenen vom 03.04.2025, veröffentlicht auf deren Website (https://www.schufa.de/newsroom/pressemitteilungen/neuer-schufa-score-voellige-transparenz/, zuletzt besucht am 5.11.2025) mit dem Titel "SCHUFA setzt bei neuem Score auf völlige Transparenz", in der es u.a. heißt:

"[...] Weltweit erster Score, den Verbraucherinnen und Verbraucher anhand von Punkten selbst nachrechnen können [...]. Als weltweit erste Auskunftei setzt die SCHUFA mit ihrem neuen Bonitätsscore auf völlige Transparenz. Verbraucherinnen und Verbraucher können den neuen Score, der eine Bonitätsprognose wiedergibt, anhand ihrer eigenen Daten selbst nachrechnen – und das ganz ohne statistische Fachkenntnisse. Dazu hat die SCHUFA ihre teils sehr komplexen Scores einfacher und verständlicher gemacht. Aus mehr als 250 möglichen Kriterien hat die SCHUFA die zwölf verständlichsten und gleichzeitig für die Prognosegüte aussagekräftigsten ausgewählt. Die sechs Branchenscores, die perspektivisch abgelöst werden, verwenden bisher allein in Summe rund 100 Kriterien. Jedes Kriterium, das in den neuen Score einfließt, erhält Punkte, die ganz einfach zusammengerechnet werden können. Die Höhe der Punktzahl pro Kriterium spiegelt die Gewichtung im Score wider. Verbraucherinnen und Verbraucher können so künftig einfach nachvollziehen, welche Kriterien ihren persönlichen Score wie beeinflussen und Änderungen ihres Scores leichter verstehen. Mit dem neuen SCHUFA-Score wird es zukünftig möglich sein, Einfluss auf den eigenen Score zu nehmen. [...]. Voraussichtlich im vierten Quartal 2025 werden ausreichend Unternehmenskunden den neuen Score einsetzen und die digitalen Anwendungen den Verbraucherinnen und Verbrauchern zur Verfügung stehen. Dann wird der neue SCHUFA-Score den Basisscore ersetzen, der für Verbraucherinnen und Verbraucher seit 2006 eine branchenübergreifende Orientierungshilfe darstellt. Der Unterschied: Während der Basisscore nicht an Unternehmen weitergegeben wird, ist der neue Score derselbe – für Verbraucherinnen und Verbraucher wie für Unternehmen und Banken [...]. Die SCHUFA hat sich zudem bei der Entwicklung des neuen Scores am Gutachten "Verbrauchergerechtes Scoring" des Sachverständigenrates für Verbraucherfragen der Bundesregierung aus dem Jahr 2018 orientiert. Ein neueres EuGH-Urteil zum Scoring aus dem Februar 2025 bestätigt den Weg, den die SCHUFA mit der Entwicklung des neuen Scores längst eingeschlagen hat: Es fordert, den Menschen "die Verfahren und Grundsätze", die zur Berechnung eines Scores eingesetzt wurden, "in präziser, transparenter, verständlicher und leicht zugänglicher Form" zu erklären. "Diese neuen regulatorischen Anforderungen bedient der neue Score in Kombination mit dem SCHUFA-Account und dem Erklärtool in bester Form. Unternehmen, die den neuen Score einsetzen, erfüllen damit die höchsten Ansprüche an Transparenz und Erklärbarkeit [...]".

Auch vor dem Hintergrund dieser Ankündigung vermag die Kammer im maßgeblichen Zeitpunkt der gerichtlichen Entscheidung keinen plausiblen Grund erkennen, warum die Beigeladene der Klägerin auf ihr Auskunftsbegehren nicht diejenigen Informationen mitgeteilt hat, die die Klägerin in die Lage versetzen, den von der Beigeladenen über den errechneten Score nachzuvollziehen bzw. – so wie es in der Pressemitteilung heißt – "nachzurechnen". Vor dem Hintergrund dieser Ankündigung vermag die Kammer nicht zu erkennen, wie die Beigeladene ein dem Auskunftsinteresse der Klägerin überwiegendes Geschäftsgeheimnis entgegenhalten könnte, § 242 BGB analog.

Die Kammer kann für die hier allein streitgegenständliche Frage der Erfüllung der Auskunftspflicht nach Art. 15 Abs. 1 Buchst. h DSGVO offenlassen, ob die Tätigkeit der Beigeladenen, also die Erstellung eines Scorewerts als solche nach Maßgabe von Art. 22 DSGVO, der in Abs. 1 ein grundsätzliches Verbot der automatisierten Datenerarbeitung – einschließlich Profiling – statuiert, das lediglich dann nicht gilt, wenn ein Erlaubnistatbestand nach Abs. 2 erfüllt ist. Denn der Anwendungsbereich des Art. 15 Abs. 1 Buchst. b DSGVO verweist lediglich im Sinne einer Tatbestandsverweisung auf das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß in Art. 22 Abs. 1 und Abs. 4 DSGVO als solcher, ohne dass es für das Bestehen eines Auskunftsrechts auf die Frage der Rechtmäßigkeit einer solchen Tätigkeit ankommt.

Für eine (weitere) Beschränkung des Auskunftsrechts aus Art. 15 Abs. 1 DSGVO gemäß Art. 23 DSGVO ist nichts ersichtlich.

4. Der vorliegende Verstoß gegen das subjektive Recht der Klägerin aus Art. 15 Abs. 1 Buchst. h DSGVO führt gemäß den oben erläuterten Bewertungsgrundsätzen dazu, dass auch im Zeitpunkt der gerichtlichen Entscheidung der Beklagte zum Ergreifen von Abhilfemaßnahmen im Sinne von Art. 58 Abs. 2 DSGVO nach pflichtgemäßem Ermessen verpflichtet ist.

Bei der Ausübung des Auswahlermessens ist eine Orientierung an den in Erwägungsgrund 148 der DSGVO festgehaltenen Wertungsgesichtspunkten geboten. Nach Erwägungsgrund 148, insbesondere Satz 3, soll die Behörde bei der Wahl der geeigneten Maßnahme Folgendem gebührend Rechnung tragen: der Art, Schwere und Dauer des Verstoßes, dem vorsätzlichen Charakter des Verstoßes, den Maßnahmen zur Minderung des entstandenen Schadens, dem Grad der Verantwortlichkeit oder jeglichem früheren Verstoß, der Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, der Einhaltung der gegen den Verantwortlichen angeordneten Maßnahmen, der Einhaltung von Verhaltensregeln und jedem anderen erschwerenden oder mildernden Umstand. Es bleibt aber dabei, dass das Gericht seine Beurteilung der Wahl der geeigneten und erforderlichen Abhilfebefugnisse nicht an die Stelle der Beurteilung des Beklagten setzen kann (vgl. EuGH, Urteil vom 7.12.2023 – C-26/22, C-64/22 – juris Rn. 69), da eine Ermessensreduktion auf null insoweit nicht ersichtlich ist.

Aus diesem Grund musste, weil das streitgegenständliche Verfahren noch nicht spruchreif ist, die Verpflichtung ausgesprochen werden, dass der Beklagte unter Aufhebung des Bescheids vom 03.06.2020, mit aufsichtlichen Mitteln unter Beachtung der Rechtsauffassung des Gerichts zur Erfüllung des Auskunftsanspruchs der Klägerin aus Art. 15 Abs. 1 Buchst. h DSGVO gegenüber der Beigeladenen einschreitet, § 113 Abs. 5 Satz 2 VwGO.

5. Die Kostenentscheidung folgt aus § 154 Abs. 1, § 155 Abs. 1 Satz 3 VwGO. Nach § 155 Abs. 1 Satz 3 VwGO können einem Beteiligten die Kosten ganz auferlegt werden, wenn der andere nur zu einem geringen Teil unterlegen ist. So verhält es sich hier, da die Klägerin mit ihrem Anliegen, den Beklagten zu verpflichten, darauf hinzuwirken, dass die Beigeladene der Klägerin eine den Anforderungen des Art. 15 Abs. 1 Buchst. d DSGVO genügende Auskunft erteilt, vollständig durchdringt und das Unterliegen hinsichtlich des Hauptantrages in der Gesamtschau unter Berücksichtigung der Bedeutung der Sache für die Beteiligten als gering zu bewerten ist.

Die außergerichtlichen Kosten der Beigeladene sind aus Billigkeitsgründen dem Beklagten aufzuerlegen, weil die Beigeladene einen eigenen Antrag gestellt hat und daher grundsätzlich am Kostenrisiko zu beteiligen ist, § 154 Abs. 3 VwGO.

Die Entscheidung über die vorläufige Vollstreckbarkeit ergibt sich aus § 167 VwGO i.V.m. §§ 708 Nr. 11, 711 ZPO.

6. Die Berufung und die Sprungrevision werden zugelassen.

Nach § 124 Abs. 1, Abs. 2 Nr. 3 VwGO ist die Berufung zuzulassen, wenn die Rechtssache grundsätzliche Bedeutung hat. Eine Rechtssache hat grundsätzliche Bedeutung, wenn sie eine in der Rechtsprechung bislang noch nicht geklärte fallübergreifende, verallgemeinerungsfähige Rechts- oder Tatsachenfrage aufwirft, die für das Gericht entscheidungserheblich war und auch für die Berufungsinstanz entscheidungserheblich und damit klärungsfähig ist, und die im Interesse der Rechtssicherheit, der Rechtseinheit oder der Fortbildung des Rechts einer Klärung im Berufungsverfahren bedarf (Roth, in: BeckOK VwGO, 72. Ed. 1.10.2024, VwGO § 124 Rn. 53 m.w.N.). Das ist hier der Fall. Die Voraussetzungen und der Umfang des Auskunftsrechts nach Art. 15 Abs. 1 Buchst. h DSGVO sind – im Anschluss an die hierzu ergangenen Entscheidungen des EuGH, insbesondere in den Rechtssachen C-634/21 und C-203/22 - in der ober- und höchstrichterlichen Rechtsprechung bislang nicht weiter geklärt. Insbesondere ist der in Art. 15 Abs. 1 Buchst. h DSGVO genannte, aber nicht definierte Begriff der "involvierten Logik" einer automatisierten Entscheidungsfindung klärungsbedürftig. Auch die Frage, ob die von dem BGH in seinem Urteil vom 28.01.2014 (VI ZR 156/13) für § 34 BDSG a.F. entwickelten Grundsätze unter der Geltung der autonom unionsrechtlich auszulegenden DSGVO unter Beachtung der Rechtsprechung des EuGH noch aufrechtzuerhalten ist, erscheint klärungsbedürftig. Die Klärung dieser Rechtsfragen trägt zur Rechtseinheit und zur Weiterbildung des Rechts bei. Sie hat Bedeutung für eine Vielzahl von Auskunftsansprüchen gegen Verantwortliche, die personenbezogene Daten in Konstellationen einer automatisierten Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO verarbeiten.

Die Sprungrevision wird zugelassen, weil die Rechtssache grundsätzliche Bedeutung hat (§ 134 Abs. 2 Satz 1, § 132 Abs. 2 Nr. 1. Zur Begründung der grundsätzlichen Bedeutung der Rechtssache wird auf die obigen Ausführungen verwiesen.