41 O 749/24 KOIN

Leitsatz: 1. Art. 22 Abs. 1 DSGVO stellt ein Schutzgesetz i.S.v. § 823 Abs. 2 BGB dar und begründet bei Verstößen gegen das Verbot automatisierter Entscheidungen einen zivilrechtlichen Unterlassungsanspruch i.V.m. § 1004 BGB. (Rn. 23 – 24) (redaktioneller Leitsatz) 2. Die Übermittlung eines von einer Auskunftei berechneten Bonitätsscores entfaltet gegenüber der betroffenen Person eine einer rechtlichen Wirkung vergleichbare Beeinträchtigung, wenn der Score ein wesentliches Kriterium für geschäftliche Entscheidungen Dritter – insbesondere kreditgebender Banken – darstellt. Nicht erforderlich ist, dass er der einzige für die Entscheidung ausschlaggebende Grund ist. (Rn. 28) (redaktioneller Leitsatz) 3. Bei der Auslegung von Art. 22 Abs. 2 DSGVO ist zu berücksichtigen, dass es sich hierbei um eine Schutzvorschrift zugunsten des Verbrauchers handelt. Insoweit verbietet sich eine erweiternde Auslegung der Ausnahmetatbestände, die das Dreiecksverhältnis zwischen Kunden, potenziellem Vertragspartner und Auskunftei berücksichtigt. Sie entspricht nicht dem Sinn und Zweck der Vorschrift, weil der von ihr vorgesehene Verbraucherschutz durch die Konstruktion eines entsprechenden Dreiecksverhältnisses ausgehebelt werden würde. (Rn. 30) (redaktioneller Leitsatz) 4. Die bloße Mitteilung von entgegen Art. 22 Abs. 1 DSGVO automatisiert berechneten Bonitätsscores an potenzielle Vertragspartner des Betroffenen stellt einen Kontrollverlust dar, der einen immateriellen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO begründet. (Rn. 35 – 36) (redaktioneller Leitsatz) 1. Die Beklagte wird verurteilt, die Erstellung des Bonitätsscores der Klagepartei, also der sog. „Basisscorewerte“, der sog. „Branchenscorewerte“ sowie der sog. „Orientierungswerte“, nicht ausschließlich auf einer automatisierten Verarbeitung beruhend vorzunehmen. 2. Die Beklagte wird verurteilt, bei jeder Abfrage der ...-Scorewerte betreffend die Klagepartei, hinsichtlich des Basisscorewertes, des Orientierungswertes sowie sämtlicher Branchenscorewerte keine Werte mitzuteilen, die ausschließlich auf einer automatisierten Verarbeitung beruhen. 3. Die Beklagte wird verurteilt, an den Kläger Schadensersatz in Höhe von 1.000,00 € zuzüglich Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit 20.09.2024 zu zahlen. 4. Die Beklagte wird verurteilt, an die Klagepartei außergerichtliche Rechtsanwaltskosten in Höhe von 159,94 € nebst Zinsen hieraus in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit 20.09.2024 zu zahlen. 5. Im Übrigen wird die Klage abgewiesen. 6. Von den Kosten des Rechtsstreits haben der Kläger 63 % und die Beklagte 37 % zu tragen. 7. Das Urteil ist vorläufig vollstreckbar, für den Kläger gegen Sicherheitsleistung in Höhe von 110 % des jeweils zu vollstreckenden Betrags. Der Kläger kann die Vollstreckung der Beklagten durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110 % des zu vollstreckenden Betrags leistet. Beschluss Der Streitwert wird auf 10.750,00 € festgesetzt. I. 1. Das Landgericht Bamberg ist gemäß § 44 Abs. 1 S. 2 BDSG örtlich und gemäß §§ 23, 71 GVG sachlich für die Entscheidung des Rechtsstreits zuständig. 2. Hinsichtlich des unter Ziff. I der Klage gestellten Feststellungsantrags fehlt es an dem gemäß § 256 Abs. 1 ZPO erforderlichen Feststellungsinteresse. Mangels Vollstreckbarkeit des Feststellungsurteils in der Hauptsache fehlt das Feststellungsinteresse in der Regel, falls der Kläger sein Leistungsziel genau benennen und deshalb auf Leistung oder Unterlassung klagen kann (MüKoZPO/Becker-Eberhard, 7. Aufl. 2025, ZPO § 256 Rn. 54). Dies ist hier im Hinblick auf die – vom Kläger auch gestellten – Anträge Ziff. II und III auf Unterlassen der Erstellung ausschließlich auf automatisierter Verarbeitung beruhender Bonitätsscores sowie deren Weitergabe der Fall. II. Die Klage ist im tenorierten Umfang begründet. 1. Anträge Ziff. II, III Der Kläger hat gegen die Beklagte einen Anspruch auf Unterlassen einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Erstellung des Bonitätsscores sowie auf Unterlassen von deren Mitteilung. Dieser ergibt sich aus §§ 1004, 823 Abs. 2 BGB i.V.m. Art. 22 Abs. 1 DS-GVO. a) Anwendbarkeit §§ 1004, 823 Abs. 2 BGB i.V.m. Art. 22 Abs. 1 DSGVO sind vorliegend anwendbar (vgl. z.B. Wiedemann, Die Sch.-Bonitätsauskunft, VuR 2024, 174). Etwas anderes ergibt sich auch nicht aus dem von der Beklagten zitierten Urteil des BGH vom 27.07.2020 (VI ZR 405/18, NJW 2020, 3436). Zwar führte der BGH dort aus, der dortige Kläger könne seinen Anspruch im Hinblick auf den Anwendungsvorrang des unionsweit abschließend vereinheitlichen Datenschutzrechts nicht auf Vorschriften des nationalen deutschen Rechts stützen. Gegenständlich waren in dem Verfahren vor dem BGH jedoch geltend gemachte Ansprüche auf Löschung, die von Art. 17 DSGVO erfasst werden. Die vorliegend geltend gemachten Unterlassungsansprüche finden jedoch keine eigene Anspruchsgrundlage in der DSGVO, sodass auch kein Anwendungsvorrang anzunehmen ist. Dies gilt insbesondere vor dem Hintergrund, dass eine entsprechende Anwendung des nationalen Rechts den Vorschriften der DSGVO – wie hier dem Art. 22 Abs. 1 DSGVO – gerade zur Umsetzung verhelfen kann. b) Bei der Vorschrift des Art. 22 DSGVO handelt es sich um ein Schutzgesetz im Sinne des § 823 Abs. 2 BGB (vgl. Grüneberg/Sprau, 81. Aufl. 2022, § 823 BGB, Rn. 85). Art. 22 Abs. 1 DS-GVO verfolgt den Zweck, Personen vor den besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten verbunden sind (EuGH, Urteil vom 07.12.2023, C-634/21, NJW 2024, 413, Rn. 57) und dient damit dem Schutz eines anderen im Sinne des § 823 Abs. 2 S. 1 BGB. c) Verstoß gegen Art. 22 Abs. 1 DSGVO Durch die automatisierte Erstellung der den Kläger betreffenden Bonitätsscores und deren Weitergabe hat die Beklagte gegen Art. 22 Abs. 1 DSGVO verstoßen. Art. 22 Abs. 2 DSGVO verbietet eine Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruht und gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (vgl. EuGH, Urteil vom 07.12.2023, C-634/21, NJW 2024, 413, Rn. 43). Diese Voraussetzungen liegen hier vor. aa) Der in Art. 22 Abs. 1 DSGVO enthaltene Begriff der Entscheidung ist in der DSGVO nicht definiert. Wie der EuGH (EuGH, Urteil vom 07.12.2023, C-634/21, NJW 2024, 413, Rn. 44 ff.) festgestellt hat, ist, auch unter Zugrundelegung des 71. Erwägungsgrundes der DSGVO, der Begriff so weit auszulegen, dass das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts erfasst wird. bb) Unstreitig erfolgt die Berechnung der Bonitätsscores durch die Beklagte vollständig automatisiert. cc) Die Berechnung der Bonitätsscores durch die Beklagte beeinträchtigt den Kläger auch in ähnlicher Weise wie eine sich entfaltende rechtliche Wirkung. Nach Überzeugung des Gerichts wird das Handeln Dritter – insbesondere kreditgebender Banken – maßgeblich von dem von der Beklagten mitgeteilten Wahrscheinlichkeitswert geleitet. Hierfür spricht schon, dass die abfragenden Vertragspartner der Beklagten für die Abfragen unstreitig ein Entgelt zu leisten haben. Dass für eine Auskunft bezahlt wird, die für die Entscheidung irrelevant ist, ist nicht anzunehmen. Der EuGH verlangt in seiner Entscheidung EuGH vom 07.12.2023 (C-634/21, NJW 2024, 413) auch nicht, dass der von der Beklagten berechnete Bonitätsscore der einzige für die Entscheidung der Banken ausschlaggebende Grund ist. Die Ausführungen der Beklagten, es sei dem Geschäftsverkehr immanent, dass die Beklagte ihre Leistung Vertragspartnern nicht kostenfrei zu Verfügung stellt, erscheint dabei durchaus nachvollziehbar. Es ist dem Geschäftsverkehr aber ebenso immanent, dass keine kostenpflichtigen Auskünfte eingeholt werden, wenn deren Inhalte für den Anfragenden keine Rolle spielen. Dass Einkommen und Vermögen, wie von der Beklagten vorgetragen, ebenfalls von Relevanz sein dürften, ist naheliegend, ändert aber nichts daran, dass auch der von der Beklagten mitgeteilte Bonitätsscore ein offensichtlich maßgebliches Entscheidungskriterium darstellt. Dies bestätigen auch die vom Kläger vorgelegten Schreiben diverser Banken, insb. Anl. K10, K12b, K13. Auch wenn diese nur teilweise den hiesigen Kläger betreffen, ergibt sich aus ihnen die grundsätzliche Bedeutung eines entsprechenden Scores für die Teilnahme am Wirtschaftsleben, insb. im Hinblick auf kreditrelevante Geschäfte. dd) Ein Fall des Art. 22 Abs. 2 DSGVO, wonach die automatisierte Entscheidung entgegen Art. 22 Abs. 1 DSGVO zulässig wäre, liegt nicht vor. (1) Anders als die Beklagte meint, ist die automatisierte Entscheidung nicht nach Art. 22 Abs. 2 lit. a) DSGVO zulässig. Die Beklagte ist schon nicht Vertragspartnerin der betroffenen Person – hier des Klägers –, sondern eines Dritten. Soweit die Beklagte meint, es sei eine weite Auslegung erforderlich, die das Dreiecksverhältnis zwischen Kunden, potentiellem Vertragspartner und Auskunftsei berücksichtige, wird dem nicht beigetreten. Diese Argumentation übersieht, dass Art. 22 DSGVO eine Schutzvorschrift zugunsten des Verbrauchers ist. Insoweit verbietet sich eine erweiternde Auslegung der Ausnahmetatbestände (LG Leipzig, 07 O 2658/23). Sie entspricht auch nicht dem Sinn und Zweck der Vorschrift, da der von ihr vorgesehene Verbraucherschutz durch die Konstruktion eines entsprechenden Dreiecksverhältnisses ausgehebelt werden würde. (2) Die automatisierte Berechnung der Bonitätsscores durch die Beklagte ist nicht aufgrund von nationalen Rechtsvorschriften, denen der Verantwortliche unterliegt und die angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Personen enthalten, zulässig, Art. 22 Abs. 2 lit. b DSGVO. In der einzig in Betracht kommenden Vorschrift des § 31 BDSG ist ausschließlich die „Verwendung“ eines Wahrscheinlichkeitswerts genannt, nicht aber die Berechnung eines solchen. Da § 31 BDSG als Ausnahmeregelung zur Schutzvorschrift des Art. 22 Abs. 1 DSGVO formuliert ist, verbietet sich eine gegen den Wortlaut gerichtete erweiterte Auslegung des Begriffs „Verwendung“ (LG Leipzig, 07 O 2658/23). d) Die für einen Anspruch aus § 1004 BGB erforderliche Wiederholungsgefahr ist vor dem Hintergrund, dass die Beklagte schon nach eigenen Angaben der Auffassung ist, das Scoring nur automatisiert vornehmen zu können (vgl. Klageerwiderung, S. 4, Bl. 61 d.A.), gegeben. e) Soweit der Antrag Ziff III über das Unterlassen entsprechender Mitteilungen hinaus darauf gerichtet ist, die Beklagte zu verurteilen, „bei jeder Abfrage der ...-Scorewerte betreffend die Klagepartei, hinsichtlich des Basisscorewertes, des Orientierungswertes sowie sämtlicher Branchenscorewerte Werte mitzuteilen, die nicht ausschließlich auf einer automatisierten Verarbeitung beruhen“, mangelt es insoweit an einer Anspruchsgrundlage, als die aktive Mitteilung entsprechender Scorewerte verlangt wird. Es ist keine Vorschrift ersichtlich, nach der die Beklagte verpflichtet sein könnte, überhaupt Scorewerte betreffend den Kläger an Dritte mitzuteilen. Als Minus im Antrag enthalten ist jedoch das Unterlassen der Mitteilung solcher Werte, die auf automatisierter Verarbeitung beruhen. Insoweit hatte der Antrag auch Erfolg, s.o. 2. Antrag Ziff. V (Schadensersatz) a) Es liegt ein Verstoß gegen Art. 22 DSGVO vor, s.o. b) Auch der von Art. 82 Abs. 1 DSGVO vorausgesetzte Schaden bei dem Kläger liegt vor. Der Begriff des „immateriellen Schadens“ ist in Ermangelung eines Verweises in Art. 82 I DSGVO auf das innerstaatliche Recht der Mitgliedstaaten im Sinne dieser Bestimmung autonom unionsrechtlich zu definieren. Dabei soll nach ErwG 146 Satz 3 DSGVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen dieser Verordnung in vollem Umfang entspricht. Der bloße Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung reicht nach der Rechtsprechung des Gerichtshofs jedoch nicht aus, um einen Schadensersatzanspruch zu begründen, vielmehr ist darüber hinaus – im Sinne einer eigenständigen Anspruchsvoraussetzung – der Eintritt eines Schadens (durch diesen Verstoß) erforderlich (BGH, Urt. v. 18.11.2024, VI ZR 10/14, GRUR 2024, 1910 Rn. 28). Dabei kann bereits ein kurzzeitiger Kontrollverlust einen immateriellen Schaden darstellen, ohne dass der Nachweis zusätzlicher spürbarer negativer Folgen erforderlich ist (vgl. ebd.). Dies zugrunde gelegt, ist hier vom Vorliegen eines Schadens auszugehen. Wie sich aus der von der Beklagten an den Kläger erteilten Auskunft (Anl. K1/B1) ergibt, teilte die Beklagte auf verschiedene Anfragen hin Scores hinsichtlich des Klägers an diverse Banken mit, die eine vergleichsweise geringe Erfüllungswahrscheinlichkeit auswiesen. Die bloße Mitteilung von entgegen Art. 22 Abs. 1 DSGVO automatisiert berechneten Bonitätsscores an potentielle Vertragspartner des Klägers stellt einen beachtlich größeren Eingriff in die Rechtsposition des Klägers dar als dies in der vom BGH (Urt. v. 18.11.2024, VI ZR 10/14, GRUR 2024, 1910) entschiedenen Konstellation der Fall war. Denn dort handelte es sich um den Kontrollverlust an selbst in einem sozialen Netzwerk angegebenen Daten, während die vorliegend weitergegebenen Daten nicht vom Kläger selbst mitgeteilt, sondern durch die Beklagte auf rechtswidrige Weise berechnet wurden und zugleich auch unmittelbar die Teilnahme des Klägers am Wirtschaftsleben betreffen. c) Der Verstoß gegen Art. 22 DSGVO war für den eingetretenen Schaden auch kausal, da gerade die auf automatisierter Berechnung beruhenden Scores den anfragenden Banken mitgeteilt wurden, wodurch der immaterielle Schaden eintrat. d) Die DSGVO enthält keine Bestimmung über die Bemessung des aus Art. 82 Abs. 1 DSGVO geschuldeten Schadensersatzes. Insbesondere können aufgrund des unterschiedlichen Zwecks der Vorschriften nicht die in Art. 83 DSGVO genannten Kriterien herangezogen werden. Die Bemessung richtet sich vielmehr entsprechend dem Grundsatz der Verfahrensautonomie nach den innerstaatlichen Vorschriften über den Umfang der finanziellen Entschädigung. In Deutschland ist somit insbesondere die Verfahrensvorschrift des § 287 ZPO anzuwenden (BGH Urt. v. 18.11.2024 – VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 93 m.w.N.). Dabei dürfen die Modalitäten der Schadensermittlung bei einem – wie im Streitfall – unter das Unionsrecht fallenden Sachverhalt nicht ungünstiger sein als diejenigen, die gleichartige Sachverhalte regeln, die dem innerstaatlichen Recht unterliegen (Äquivalenzgrundsatz). Auch dürfen sie die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz) (BGH Urt. v. 18.11.2024 – VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 95 m.w.N.). In Anbetracht der Ausgleichsfunktion des in Art. 82 DSGVO vorgesehenen Schadenersatzanspruchs, wie sie in ErwG 146 Satz 6 DSGVO zum Ausdruck kommt, ist eine auf Art. 82 DSGVO gestützte Entschädigung in Geld als „vollständig und wirksam“ anzusehen, wenn sie es ermöglicht, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen; eine Abschreckungs- oder Straffunktion soll der Anspruch aus Art. 82 Abs. 1 DSGVO dagegen nicht erfüllen. Folglich darf weder die Schwere des Verstoßes gegen die Datenschutz-Grundverordnung, durch den der betreffende Schaden entstanden ist, berücksichtigt werden, noch der Umstand, ob ein Verantwortlicher mehrere Verstöße gegenüber derselben Person begangen (BGH Urt. v. 18.11.2024 – VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 96 m.w.N.). Vor dem Hintergrund dieser Erwägungen erscheint im vorliegenden Fall ein Schadensersatz in Höhe von 1.000,00 € angemessen. 3. Antrag Ziff. IV Ein Anspruch auf Unterlassen der Einbeziehung der unter Ziff. IV der Klage genannten Merkmale in die Erstellung der Scorewerte besteht nicht. Dass die Beklagte Daten i.S.d. Art. 9 Abs. 1 der Verordnung (EU) 2016/679 oder Daten aus der Nutzung sozialer Netzwerke in der Vergangenheit verwendet hätte, trägt der Kläger schon nicht vor, sodass es bereits an einem Erstverstoß fehlt. Was die Verwendung von Informationen über Zahlungseingänge und -ausgänge auf und von Bankkonten sowie von Alter und Geschlecht angeht, ist die Erhebung dieser Daten gemäß Art. 5 und 6 f DSGVO angesichts der Bedeutung der Erhebung dieser Informationen für die Funktionsfähigkeit des Kreditmarktes in Abwägung mit dem informationellen Selbstbestimmungsrecht des Klägers gerechtfertigt (vgl. LG Leipzig, 07 O 2658/23). Nach dem substantiierten Vortrag der Beklagten hat diese bei der Berechnung des Scorewerts des Klägers auch nicht dessen Anschriften verwendet. So ist auch in der von der Beklagten erteilten Auskunft (Anl. K1) in der Tabelle unter der Überschrift „In den letzten 12 Monaten übermittelte Wahrscheinlichkeitswerte“ in der Spalte „Anschriften Daten“ jeweils „n/v“ als Abkürzung für „nicht verwendet“ die Rede. Dass diese Angabe nicht zutrifft, ist nicht ersichtlich. Auch dass keine Daten Dritter, die nicht im Zusammenhang mit dem Zahlungsverhalten der Klagepartei stehen, insbesondere Daten der Nachbarschaft, bei Berechnung des Bonitätsscores verwendet wurden, wurde von der Beklagten substantiiert dargelegt (vgl. LG Leipzig, 07 O 2658/23). 4. Antrag Ziff. VI (Auskunft) Der mit Ziff. VI der Klage geltend gemachte Auskunftsanspruch besteht nicht. Zwar hat ein durch eine Bonitätsauskunft der ... - Betroffener gem. § 34 Abs. 4 Satz 1 Nr. 4 BDSG einen Anspruch auf Auskunft darüber, welche personenbezogenen, insb. kreditrelevanten Daten dort gespeichert sind und in die den Kunden der Beklagten mitgeteilten Wahrscheinlichkeitswerte (Scorewerte) einfließen. Die sog. Scoreformel, also die abstrakte Methode der Scorewertberechnung, ist hingegen nicht mitzuteilen. Zu den als Geschäftsgeheimnis geschützten Inhalten der Scoreformel zählen die im ersten Schritt in die Scoreformel eingeflossenen allgemeinen Rechengrößen, wie etwa die herangezogenen statistischen Werte, die Gewichtung einzelner Berechnungselemente bei der Ermittlung des Wahrscheinlichkeitswerts und die Bildung etwaiger Vergleichsgruppen als Grundlage der Scorekarten (BGH, Urteil vom 28.1.2014 – VI ZR 156/13, ZD 2014, 306). Der Auskunftsanspruch des Klägers wurde durch die von der Beklagten erteilte Auskunft mit Schreiben vom 26.10.2023 vollständig erfüllt und ist damit erloschen. 5. Antrag Ziff. VII (außergerichtliche Rechtsanwaltskosten) Der Anspruch auf außergerichtliche Rechtsanwaltskosten ergibt sich aus §§ 823 Abs. 2, 286 Abs. 1 BGB. Die Anträge Ziff. I, IV und VI waren nicht erfolgreich, sodass insoweit schon deshalb keine außergerichtlichen Rechtsanwaltskosten zuzusprechen sind. Die bestehenden bzw. teilweise bestehenden Ansprüche entsprechend der Anträge Ziff. II und III wurden außergerichtlich nicht geltend gemacht (vgl. Schreiben vom 11.04.2024, Anl. K5), sodass diesbezüglich keine außergerichtlichen Rechtsanwaltskosten angefallen sind. Erfolgreich und zugleich bereits außergerichtlich geltend gemacht war lediglich der Anspruch auf Schadensersatz in Höhe von 1.000,00 €, sodass dieser Betrag als Gegenstandswert für die außergerichtlichen Anwaltskosten zugrundezulegen ist. Hieraus ergibt sich ein Anspruch auf Zahlung in Höhe von 159,94 €. III Die Kostenentscheidung ergibt sich aus § 92 Abs. 1 S. 2 ZPO, wobei bezüglich des Antrags Ziff. II ein hälftiges Unterliegen angenommen wurde. Die Entscheidung über die vorläufige Vollstreckbarkeit beruht hinsichtlich der Vollstreckung durch den Kläger auf § 709 ZPO, hinsichtlich der Vollstreckung durch die Beklagte auf §§ 708 Nr. 11, 711 ZPO. IV. Der Streitwert wurde auf 10.750,00 € festgelegt und setzt sich wie folgt zusammen: Antrag Ziff. I: 500,00 € Antrag Ziff. II: 2.000,00 € Antrag Ziff. III: 2.000,00 € Antrag Ziff. IV: 750,00 € Antrag Ziff. V: 5.000,00 € Antrag Ziff. VI: 500,00 €