Urteil : Maßgeblichkeit des Scorings für die Entscheidung im Rahmen von Art. 22 Abs. 1 DS-GVO : aus der RDV 4/2025, Seite 206 bis 208

bb) Unstreitig erfolgt die Berechnung der Bonitätsscores durch die Beklagte vollständig automatisiert.

cc) Die Berechnung der Bonitätsscores durch die Beklagte beeinträchtigt den Kläger auch in ähnlicher Weise wie eine sich entfaltende rechtliche Wirkung. Nach Überzeugung des Gerichts wird das Handeln Dritter – insbesondere kreditgebender Banken – maßgeblich von dem von der Beklagten mitgeteilten Wahrscheinlichkeitswert geleitet. Hierfür spricht schon, dass die abfragenden Vertragspartner der Beklagten für die Abfragen unstreitig ein Entgelt zu leisten haben. Dass für eine Auskunft bezahlt wird, die für die Entscheidung irrelevant ist, ist nicht anzunehmen. Der EuGH verlangt in seiner Entscheidung EuGH vom 07.12.2023 (C-634/21, NJW 2024, 413) auch nicht, dass der von der Beklagten berechnete Bonitätsscore der einzige für die Entscheidung der Banken ausschlaggebende Grund ist. Die Ausführungen der Beklagten, es sei dem Geschäftsverkehr immanent, dass die Beklagte ihre Leistung Vertragspartnern nicht kostenfrei zur Verfügung stellt, erscheint dabei durchaus nachvollziehbar. Es ist dem Geschäftsverkehr aber ebenso immanent, dass keine kostenpflichtigen Auskünfte eingeholt werden, wenn deren Inhalte für den Anfragenden keine Rolle spielen. Dass Einkommen und Vermögen, wie von der Beklagten vorgetragen, ebenfalls von Relevanz sein dürften, ist naheliegend, ändert aber nichts daran, dass auch der von der Beklagten mitgeteilte Bonitätsscore ein offensichtlich maßgebliches Entscheidungskriterium darstellt. Dies bestätigen auch die vom Kläger vorgelegten Schreiben diverser Banken, insb. K10, K12b, K13. Auch wenn diese nur teilweise den hiesigen Kläger betreffen, ergibt sich aus ihnen die grundsätzliche Bedeutung eines entsprechenden Scores für die Teilnahme am Wirtschaftsleben, insb. im Hinblick auf kreditrelevante Geschäfte.

dd) Ein Fall des Art. 22 Abs. 2 DS‑GVO, wonach die automatisierte Entscheidung entgegen Art. 22 Abs. 1 DS‑GVO zulässig wäre, liegt nicht vor.

(1) Anders als die Beklagte meint, ist die automatisierte Entscheidung nicht nach Art.  22 Abs.  2 lit.  a) DS‑GVO zulässig. Die Beklagte ist schon nicht Vertragspartnerin der betroffenen Person – hier des Klägers –, sondern eines Dritten. Soweit die Beklagte meint, es sei eine weite Auslegung erforderlich, die das Dreiecksverhältnis zwischen Kunden, potenziellem Vertragspartner und Auskunftei berücksichtige, wird dem nicht beigetreten. Diese Argumentation übersieht, dass Art. 22 DS‑GVO eine Schutzvorschrift zugunsten des Verbrauchers ist. Insoweit verbietet sich eine erweiternde Auslegung der Ausnahmetatbestände (LG Leipzig, 07 O 2658/23). Sie entspricht auch nicht dem Sinn und Zweck der Vorschrift, da der von ihr vorgesehene Verbraucherschutz durch die Konstruktion eines entsprechenden Dreiecksverhältnisses ausgehebelt werden würde

(2) Die automatisierte Berechnung der Bonitätsscores durch die Beklagte ist nicht aufgrund von nationalen Rechtsvorschriften, denen der Verantwortliche unterliegt und die angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Personen enthalten, zulässig, Art. 22 Abs. 2 lit. b) DS‑GVO. In der einzig in Betracht kommenden Vorschrift des § 31 BDSG ist ausschließlich die „Verwendung“ eines Wahrscheinlichkeitswerts genannt, nicht aber die Berechnung eines solchen. Da § 31 BDSG als Ausnahmeregelung zur Schutzvorschrift des Art. 22 Abs. 1 DS‑GVO formuliert ist, verbietet sich eine gegen den Wortlaut gerichtete erweiterte Auslegung des Begriffs „Verwendung“ (LG Leipzig, 07 O 2658/23).

d) Die für einen Anspruch aus §  1004 BGB erforderliche Wiederholungsgefahr ist vor dem Hintergrund, dass die Beklagte schon nach eigenen Angaben der Auffassung ist, das Scoring nur automatisiert vornehmen zu können (vgl. Klageerwiderung, S. 4, Bl. 61 d.A.), gegeben. […]

2. Antrag Ziff. V (Schadenersatz)

a) Es liegt ein Verstoß gegen Art. 22 DS‑GVO vor, s.o.

b) Auch der von Art.  82 Abs.  1 DS‑GVO vorausgesetzte Schaden bei dem Kläger liegt vor. Der Begriff des „immateriellen Schadens“ ist in Ermangelung eines Verweises in Art. 82 I DS‑GVO auf das innerstaatliche Recht der Mitgliedstaaten im Sinne dieser Bestimmung autonom unionsrechtlich zu definieren. Dabei soll nach ErwG 146 S. 3 DS‑GVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen dieser Verordnung in vollem Umfang entspricht. Der bloße Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung reicht nach der Rechtsprechung des Gerichtshofs jedoch nicht aus, um einen Schadenersatzanspruch zu begründen, vielmehr ist darüber hinaus – im Sinne einer eigenständigen Anspruchsvoraussetzung – der Eintritt eines Schadens (durch diesen Verstoß) erforderlich (BGH, Urt. v. 18.11.2024, VI ZR 10/14, GRUR 2024, 1910 Rn. 28). Dabei kann bereits ein kurzzeitiger Kontrollverlust einen immateriellen Schaden darstellen, ohne dass der Nachweis zusätzlicher spürbarer negativer Folgen erforderlich ist (vgl. ebd.). Dies zugrunde gelegt, ist hier vom Vorliegen eines Schadens auszugehen. Wie sich aus der von der Beklagten an den Kläger erteilten Auskunft (Anl. K1/B1) ergibt, teilte die Beklagte auf verschiedene Anfragen hin Scores hinsichtlich des Klägers an diverse Banken mit, die eine vergleichsweise geringe Erfüllungswahrscheinlichkeit auswiesen. Die bloße Mitteilung von entgegen Art. 22 Abs. 1 DS‑GVO automatisiert berechneten Bonitätsscores an potenzielle Vertragspartner des Klägers stellt einen beachtlich größeren Eingriff in die Rechtsposition des Klägers dar als dies in der vom BGH (Urt. v. 18.11.2024, VI ZR 10/14, GRUR 2024, 1910) entschiedenen Konstellation der Fall war. Denn dort handelte es sich um den Kontrollverlust an selbst in einem sozialen Netzwerk angegebenen Daten, während die vorliegend weitergegebenen Daten nicht vom Kläger selbst mitgeteilt, sondern durch die Beklagte auf rechtswidrige Weise berechnet wurden und zugleich auch unmittelbar die Teilnahme des Klägers am Wirtschaftsleben betreffen.

c) Der Verstoß gegen Art. 22 DS‑GVO war für den eingetretenen Schaden auch kausal, da gerade die auf automatisierter Berechnung beruhenden Scores den anfragenden Banken mitgeteilt wurden, wodurch der immaterielle Schaden eintrat.

d) Die DS‑GVO enthält keine Bestimmung über die Bemessung des aus Art. 82 Abs. 1 DS‑GVO geschuldeten Schadenersatzes. Insbesondere können aufgrund des unterschiedlichen Zwecks der Vorschriften nicht die in Art. 83 DS‑GVO genannten Kriterien herangezogen werden. Die Bemessung richtet sich vielmehr entsprechend dem Grundsatz der Verfahrensautonomie nach den innerstaatlichen Vorschriften über den Umfang der finanziellen Entschädigung. In Deutschland ist somit insbesondere die Verfahrensvorschrift des §  287 ZPO anzuwenden (BGH Urt. v. 18.11.2024 – VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 93 m.w.N.). Dabei dürfen die Modalitäten der Schadensermittlung bei einem – wie im Streitfall – unter das Unionsrecht fallenden Sachverhalt nicht ungünstiger sein als diejenigen, die gleichartige Sachverhalte regeln, die dem innerstaatlichen Recht unterliegen (Äquivalenzgrundsatz). Auch dürfen sie die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz) (BGH Urt. v. 18.11.2024 – VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 95 m.w.N.). In Anbetracht der Ausgleichsfunktion des in Art. 82 DS‑GVO vorgesehenen Schadenersatzanspruchs, wie sie in ErwG 146 S. 6 DS‑GVO zum Ausdruck kommt, ist eine auf Art. 82 DS‑GVO gestützte Entschädigung in Geld als „vollständig und wirksam“ anzusehen, wenn sie es ermöglicht, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen; eine Abschreckungs- oder Straffunktion soll der Anspruch aus Art. 82 Abs. 1 DS‑GVO dagegen nicht erfüllen. Folglich darf weder die Schwere des Verstoßes gegen die Datenschutz-Grundverordnung, durch den der betreffende Schaden entstanden ist, berücksichtigt werden, noch der Umstand, ob ein Verantwortlicher mehrere Verstöße gegenüber derselben Person begangen hat (BGH Urt. v. 18.11.2024 – VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 96 m.w.N.). Vor dem Hintergrund dieser Erwägungen erscheint im vorliegenden Fall ein Schadenersatz in Höhe von 1.000 € angemessen. […]