Berichtigung von Bonitätsscores: EuGH-Vorlage zu 6Ob15/26p

I. Dem Gerichtshof der Europäischen Union werden gemäß Art 267 AEUV folgende Fragen zur Vorabentscheidung vorgelegt:

1. Ist Art 16 der Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO) dahin auszulegen, dass ein in Zahlen oder Worten ausgedrückter Bonitätswert, in dessen Ermittlung sowohl Tatsachen als auch die Einschätzung durch einen Experten (natürliche Person) einfließen, ein unrichtiges personenbezogenes Datum sein kann, dessen Berichtigung nach dieser Bestimmung verlangt werden kann.

2. Falls Frage 1. bejaht wird:

Erfordert Art 16 DSGVO in einem Fall wie dem unter Frage 1. beschriebenen, dass der Betroffene, der die Berichtigung begehrt, vorbringt und beweist, welche vom beklagten Unternehmen der Bonitätseinstufung zugrunde gelegten Daten oder welche bei der Einschätzung durch einen Experten angewendeten Methoden untauglich sind oder unrichtig angewendet wurden?

3. Falls Frage 2. bejaht wird:

Verlangt es der Effektivitätsgrundsatz, dass der beklagte Unternehmer die der Bonitätseinstufung zugrunde gelegten Daten und die bei der Einschätzung durch einen Experten angewendeten Methoden offenlegt, um dem Betroffenen zu ermöglichen, der Vorbringens- und Beweislast entsprechend Frage 2. nachzukommen?

II. Das Verfahren vor dem Obersten Gerichtshof wird bis zum Einlangen der Vorabentscheidung des Gerichtshofs der Europäischen Union gemäß § 90a Abs 1 GOG ausgesetzt.

Begründung:

Zu I.:

A. Sachverhalt

[1] Die Beklagte verfügt über eine Gewerbeberechtigung als Auskunftei über Kreditverhältnisse gemäß § 152 GewO und erteilt im Rahmen ihres Gewerbes Bonitätsauskünfte, wozu sie personenbezogene Daten aus diversen Datenbanken verarbeitet. Sie betreibt Profiling im Sinne einer Verarbeitung personenbezogener Daten, um die geld- und warenkreditgebende Wirtschaft vor Forderungsausfällen zu schützen. Auf Basis bestimmter zu einer betroffenen Person gespeicherter Informationen bzw verarbeiteter Daten (einfließende Variablen) und gegebenenfalls zusätzlicher nicht personenbezogener statistischer Daten errechnet die Beklagte eine Prognose für den zukünftigen Eintritt von Ereignissen, wobei das errechnete Ergebnis ein Bonitätsscore („UnternehmenScore“) ist. Die Variablen „Zahlweise des Unternehmers“ und „Beurteilung des Unternehmens“, die eine persönliche Einschätzung eines Menschen darstellen und von einem solchen manuell befüllt werden („manuell einfließende Variablen“), waren die beiden wesentlichen Variablen, aus denen der „UnternehmenScore“ des Klägers errechnet wurde.

[2] Der Kläger betreibt ein im Firmenbuch protokolliertes Einzelunternehmen. Zuletzt sind in der ihn betreffenden Auskunft der Beklagten die Werte „Zahlweise“ und „Beurteilung“ mit Null ausgewiesen, die Werte „RiskIndicator“ und „RiskIndicator Financial“ sind weiterhin erhöht mit einer Wahrscheinlichkeit einer Zahlungsauffälligkeit von 1,67 % bzw 22,13 %.

B. Prozessstandpunkte der Parteien

[3] Der Kläger begehrt, die Bewertungszahlen dahingehend zu berichtigen, dass diese verbunden mit den Bewertungen „Zahlweise“ und „Beurteilung“ ein jeweils „sehr geringes Risiko“ ausweisen. Die durch die Beklagte erhobenen Daten würden nicht dem Richtigkeits- und Transparenzgebot des Art 5 DSGVO genügen. Gemäß Art 16, 17 DSGVO habe er einen Anspruch auf unverzügliche Berichtigung unrichtiger Daten. Er verfüge über eine sehr gute Bonität. Seine Einschätzung basiere auf Zahlungserfahrungen mit Personen, die mit ihm in keinerlei Beziehung stünden („Branchenzugehörigkeit“).

[4] Die Beklagte bestritt Verstöße gegen die DSGVO. Die Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten sei Art 6 Abs 1 lit f DSGVO. Zudem bestehe ein berechtigtes Interesse Dritter am Gläubigerschutz unter Minimierung des Ausfallsrisikos. Der genaue Algorithmus und die Gewichtung der Variablen seien als Geschäftsgeheimnis geschützt und würden nicht der Auskunftspflicht unterliegen (ErwGr 63 iVm Art 15 Abs 4 DSGVO). Die Beklagte verwende sowohl individuelle, bonitätsrelevante Daten als auch statistische Verfahren in den Bonitätsbewertungen. Die Daten seien weder unvollständig noch ungenau und daher nicht geeignet, einen irreführenden Gesamteindruck zu hinterlassen. Nur Tatsachenbehauptungen seien einer Berichtigung zugänglich, Werturteile und Schätzdaten hingegen nicht, sodass eine Scoring-Bewertung einer Berichtigung nicht zugänglich sei.

C. Bisheriges Verfahren

[5] Das Erstgericht wies die Klage ab. Die Verarbeitung durch die Beklagte sei gemäß Art 6 Abs 1 lit f DSGVO rechtmäßig erfolgt. Eine Verletzung des Transparenzgebots iSd Art 5 Abs 1 lit a DSGVO liege nicht vor. Die Datenverarbeitung verstoße auch nicht gegen den Grundsatz der Richtigkeit iSd Art 5 Abs 1 lit d DSGVO. Da die Beklagte habe keine „unrichtigen“ Daten verarbeitet.

[6] Das Berufungsgericht gab der Berufung des Klägers nicht Folge. Zur erfolgreichen Geltendmachung des Rechts nach Art 16 DSGVO müssten objektiv unrichtige personenbezogene Daten vorliegen (Art 5 Abs 1 lit d DSGVO). Die auf eine Berichtigung allein der Bonitätseinstufung selbst und nicht der dieser zugrunde liegenden (unrichtigen) personenbezogenen Daten abzielende Klage scheitere daran, dass der Kläger die Berichtigung eines von Art 16 DSGVO nicht erfassten Werturteils anstrebe.

[7] Die Revision erklärte es für zulässig, weil keine höchstgerichtliche Rechtsprechung zur Frage vorliegt, ob die Bonitätsbewertung einer betroffenen Person einem Berichtigungsantrag nach Art 16 DSGVO zugänglich sei.

D. Relevante Rechtsvorschriften

Art 4 DSGVO lautet (auszugsweise):

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

Z 1: 'personenbezogene Daten' alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden 'betroffene Person') beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;“

Art 5 Abs 1 DSGVO lautet (auszugsweise):

„Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ('Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz');

[…]

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden ('Richtigkeit');“

Art 6 Abs 1 DSGVO lautet (auszugsweise):

„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

[…]

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.“

Art 16 DSGVO lautet:

„Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten – auch mittels einer ergänzenden Erklärung – zu verlangen.“

Erwägungsgrund 65 zur DSGVO lautet:

„Eine betroffene Person sollte ein Recht auf Berichtigung der sie betreffenden personenbezogenen Daten besitzen sowie ein 'Recht auf Vergessenwerden', wenn die Speicherung ihrer Daten gegen diese Verordnung oder gegen das Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, verstößt. […]“

E. Begründung der Vorlage

[8] Art 16 DSGVO konkretisiert das in Art 8 Abs 2 Satz 2 der Charta der Grundrechte der Europäischen Union verankerte Grundrecht, wonach jede Person das Recht hat, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken (EuGH C-247/23, Deldits, ECLI:EU:C:2025:172 [Rn 24]).

1. Zu Frage 1.:

[9] 1.1. Die DSGVO definiert nicht, wann personenbezogene Daten „sachlich richtig“ (Art 5 Abs 1 lit d DSGVO) oder „unrichtig“ (Art 5 Abs 1 lit d und Art 16 DSGVO) sein können.

[10] 1.2. Art 16 DSGVO ist zum einen im Licht von Art 5 Abs 1 lit d DSGVO zu lesen, in dem der Grundsatz der Richtigkeit verankert ist, wonach die verarbeiteten Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen, wobei alle angemessenen Maßnahmen zu treffen sind, damit Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden. Zum anderen ist diese Bestimmung auch im Licht des 59. Erwägungsgrundes der DSGVO zu lesen, wonach Modalitäten festgelegt werden sollten, die einer betroffenen Person die Ausübung der Rechte, die ihr nach dieser Verordnung zustehen, erleichtern, darunter auch Mechanismen, die dafür sorgen, dass sie unentgeltlich insbesondere die Berichtigung ihrer personenbezogenen Daten beantragen und gegebenenfalls erhalten kann. Nach der Rechtsprechung des Gerichtshofs sind die Richtigkeit und die Vollständigkeit personenbezogener Daten im Hinblick auf den Zweck zu beurteilen, für den die Daten erhoben wurden (EuGH C-247/23, Deldits, ECLI:EU:C:2025:172 [Rn 25, 26]).

[11] In der Rechtssache TU und RE gegen Google LLC (EuGH C-460/20, Google [Déféférencement d´un contenu prétendument inexact], ECLI:EU:C:2022:962 [Rn 64 ff]), führte der EuGH aus, dass die „Richtigkeit“ eines Inhalts ein relevanter Gesichtspunkt der Interessenabwägung des Art 17 Abs 3 lit a DSGVO (Ausübung des Rechts auf freie Meinungsäußerung und Information) sei und „richtig“ nur Tatsachenbehauptungen, nicht aber Werturteile sein könnten; dies mit dem Beisatz, dass die Richtigkeit von Tatsachenurteilen nachgewiesen werden könne, während der Wahrheitsgehalt von Werturteilen keinem Beweis zugänglich sei.

[12] In den Schlussanträgen zu C-634/21, SCHUFA Holding (Scoring), ECLI:EU:C:2023:220 (Rn 50), wurde vertreten, dass die Auskunftei, die ihre Kunden mit Informationen über die Kreditwürdigkeit von Personen versorgt, „die einzige Stelle sein sollte“, die in der Lage ist, Anträgen auf Berichtigung nach Art 16 DSGVO nachzukommen, „falls sich die für die Durchführung des Scorings verwendeten personenbezogenen Daten als unrichtig erweisen sollten“.

[13] 1.3. In der deutschsprachigen Literatur wird die Berichtigungsfähigkeit von Beurteilungen der Bonität (Scoring) mehrheitlich abgelehnt (vgl Jahnel, Kommentar zur Datenschutz-Grundverordnung [2021] Art 16 Rz 7; Haidinger in Knyrim, DatKomm [2024] Art 17 DSGVO Rz 24 f; Stollhoff in Eßer/Kramer/v. Lewinski, DSGVO – BDSG8 [2023] Art 16 Rz 10, 10b; Reif in Gola/Heckmann/Rost, DS‑GVO4 [2026] Art 16 Rn 17; Paal in Pauly/Paal, DSGVO – BDSG4 [2026] Art 16 Rn 15; Schaffland/Holthaus in Schaffland/Wiltfang, DS-GVO/BDSG [Lfg 9/25] Art 16 DS‑GVO Rn 3c; Plath in Plath, DSGVO/BDSG/TDDDG5 [2026] Art 16 EUV 2016/679, Rn 8).

[14] Kamann/Braun (in Ehmann/Selmayr, DS-GVO3 Art 16 Rz 20) sehen dagegen auch Werturteile, die die Rechtsstellung der betroffenen Person ebenso beeinträchtigen könnten wie Tatsachenangaben, nach funktionaler Auslegung des Art 16 DSGVO als grundsätzlich nicht von dessen Anwendungsbereich ausgeschlossen an. Dies gelte insbesondere in Fällen, in denen ein Werturteil auf tatsächliche Umstände zurückgeführt werde.

[15] Herbst (in Kühling/Buchner, DS-GVO4 [2024] Art 16 Rn 9) schlägt vor, bei einer nicht nachvollziehbaren zusammenfassenden Beurteilung von richtigen zugrunde liegenden Tatsachenangaben darauf abzustellen, ob die speichernde Stelle zu einer eigenständigen, gerichtlich nicht überprüfbaren Beurteilung ermächtigt oder die Beurteilung gerichtlich überprüfbar sei. Im letzteren Fall bejaht er einen (auch gerichtlich durchsetzbaren Berichtigungsausspruch; so auch Meents/Blum in Taeger/Gabel, Kommentar DSGVO – BDSG – TDDDG5 [2025] Art 16 DSGVO Rz 2, 8). Nach Dix (in Simitis/Hornung/Spiecker gen Döhmann/Dix [2025] DS‑GVO2 Art 16 Rn 15) ist ein auf falschen Tatsachen beruhender Scorewert zu berichtigen.

[16] 1.4. Eine Klarstellung durch den EuGH, ob Bonitätsbewertungen, in die sowohl Tatsachen als auch die Einschätzung durch einen Experten einfließen, einer Berichtigung nach Art 16 DSGVO zugänglich sind, liegt – soweit ersichtlich – nicht vor. Die Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679 der Artikel‑29‑Datenschutzgruppe (WP 251 rev.01, 19), bestätigt vom Europäischen Datenschutzausschuss (EDPB), sehen eine Berichtigung der Ausgabedaten – allerdings zum automatisierten Profiling – vor. Aufgrund des divergierenden Meinungsstands in der deutschsprachigen Literatur geht der Oberste Gerichtshof von der Notwendigkeit der Auslegung des Unionsrechts durch den EuGH aus (Art 267 AEUV). Die Anwendung des Unionsrechts ist in Ermangelung einer Definition der sachlichen (Un-)Richtigkeit und der Klarstellung zur Berichtigungsfähigkeit von Bonitätsscores nicht derartig offenkundig, dass kein Raum für vernünftigen Zweifel bleibt (vgl EuGH C-283/81, CILFIT v Ministero della Sanità, ECLI:EU:C:1982:335 [Rn 21]).

2. Zu den Fragen 2. und 3.:

[17] 2.1. Im Fall der Bejahung der Berichtigungsfähigkeit von Bonitätsscores in Anwendung des Art 16 DSGVO stellt sich die Frage der Vorbringens- und Beweislast.

[18] 2.2. Der Nachweis der Unrichtigkeit der Daten, deren Berichtigung begehrt wird, obliegt der betroffenen Person, soweit dies „unter Berücksichtigung der Umstände des Einzelfalls von ihr vernünftigerweise verlangt“ werden kann (EuGH C-247/23, Deldits, ECLI:EU:C:2025:172 [Rn 41]).

[19] 2.3. Auch in der Literatur wird vertreten, dass der betroffenen Person die Darlegungs- und Substantiierungslast für das Vorliegen der Unrichtigkeit obliegt, sie muss also in detaillierter und schlüssiger Weise darlegen, dass verarbeitete Daten unrichtig sind. Verlangt die betroffene Person, dass sie betreffenden Daten in einer bestimmten Weise korrigiert werden, trägt sie die Beweislast für die Richtigkeit der ersatzweise angegebenen Informationen (vgl Reif in Gola/Heckmann/Rost [2026] DS-GVO4 Art 16 Rn 5; Stollhoff in Eßer/Kramer/v. Lewinski, DSGVO – BDSG8 [2023] Art 16 Rz 12).

[20] 2.4. Nach Erwägungsgrund 39 sollen alle vertretbaren Schritte unternommen werden, damit unrichtige personenbezogene Daten berichtigt werden.

[21] 2.5. Dieser Beweislast wird die betroffene Person nicht nachkommen können, wenn nicht das beklagte Unternehmen die angewandten Methoden offenlegt. Eine Klarstellung ist durch den EuGH daher auch in dieser Hinsicht angezeigt.

Zu II.:

[22] Der Ausspruch über die Aussetzung des Verfahrens bis zur Erledigung des Vorabentscheidungsersuchens beruht auf § 90a Abs 1 GOG.