Auskunftsanspruch gegenüber einer Wirtschaftsauskunftei bei einer automatisierten Datenverarbeitung Leitsatz 1. Eine automatisierte Verarbeitung im Einzelfall i. S. v. Art. 22 Abs. 1 DSGVO liegt vor,

Art. 15Abs.

1 Buchst. h DSGVO zu erhalten erfordert, dass anhand der maßgeblichen Informationen in präziser, transparenter und leicht zugänglicher Form die Verfahren und Grundsätze zu erläutern sind, die bei der automatisierten Verarbeitung der personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses – beispielsweise – eines Bonitätsprofils konkret angewandt wurden. Erforderlich ist eine auf den konkreten Fall bezogene Begründung. Tenor Der Beklagte wird unter Aufhebung des Bescheids vom 03.06.2020 verpflichtet, mit aufsichtlichen Mitteln unter Beachtung der Rechtsauffassung des Gerichts zur Erfüllung des Auskunftsanspruchs der Klägerin aus Art. 15 Abs. 1 Buchst. h DSGVO gegenüber der Beigeladenen einzuschreiten. Im Übrigen wird die Klage abgewiesen. Die Gerichtskosten des Verfahrens und die außergerichtlichen Kosten der Klägerin tragen der Beklagte und die Beigeladene je zur Hälfte. Der Beklagte und die Beigeladene tragen ihre außergerichtlichen Kosten selbst. Das Urteil ist wegen der Kosten vorläufig vollstreckbar. Der jeweilige Kostenschuldner darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110% des aufgrund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die Klägerin vor der Vollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrages leistet. Die Berufung wird zugelassen. Die Sprungrevision wird zugelassen. Tatbestand Die Klägerin begehrt ein aufsichtliches Einschreiten des Beklagten gerichtet auf eine Auskunftserteilung durch die Beigeladene. Die Beigeladene ist eine privatwirtschaftliche deutsche Wirtschaftsauskunftei, die ihre Vertragspartner mit Informationen zur Kreditwürdigkeit Dritter, insbesondere Verbraucher, versorgt. Zu diesem Zweck übermitteln die Vertragspartner der Beigeladenen relevante Daten aus ihren Geschäftsverbindungen mit Kunden. Darüber hinaus erhält die Beigeladene auch Daten aus öffentlichen Verzeichnissen wie dem Schuldnerverzeichnis und dem Insolvenzregister, oder von Privatpersonen selbst. Die Beigeladene speichert die ihr übermittelten Daten, um ihren Vertragspartnern wiederum Auskünfte zu erteilen. Vor dem Abschluss eines kreditrelevanten Geschäfts können die Vertragspartner der Beigeladenen mithilfe der Auskunft und weiteren dem Vertragspartner vorliegenden Informationen prüfen, welche Risiken das in Aussicht genommene Geschäft birgt. Die Beigeladene erstellt hierzu einen sog. Scorewert. Der Scorewert soll dem Vertragspartner der Beigeladenen Auskunft darüber geben, wie hoch das Risiko von Zahlungsstörungen der betreffenden Person ist, wenn das geplante kreditrelevante Geschäft abgeschlossen wird. Zur Ermittlung des Scorewertes durch die Beigeladene wird aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens, wie beispielsweise die Rückzahlung eines Kredits, prognostiziert, wobei sowohl die im Einzelnen zugrunde gelegten Merkmale als auch das mathematisch-statistische Verfahren von der Beigeladenen nicht offengelegt werden. Die Erstellung von Scorewerten basiert auf der Annahme, dass durch die Zuordnung einer Person zu einer Gruppe anderer Personen mit bestimmten vergleichbaren Merkmalen, die sich in einer bestimmten Weise verhalten haben, ein ähnliches Verhalten vorausgesagt werden kann. Weist die Person ein bestimmtes Profil auf, wird ihr der ermittelte Scorewert von der Beigeladenen zugerechnet. Nach eigenen Angaben der Beigeladenen erstellt sie neben einem allgemeinen Score auch individuelle Score-Modelle für spezielle Vertragspartner, die die spezifischen Anforderungen dieser Unternehmen sowie die individuelle Risikopolitik berücksichtigen sollen. Bei der Beigeladenen handelt es sich um die größte deutsche Wirtschaftsauskunftei, die nach eigenen Angaben (Stand 20.12.2023) im Schnitt 320.000 Bonitätsauskünfte am Tag erteilt (https://www.schufa.de/newsroom/schufa/schufa-eintrag-loeschen-geht/#:~:text=Die%20SCHUFA%20erteilt%20im%20Schnitt,die%20bei%20uns%20gespeicherten%20Daten, zuletzt abgerufen 19.11.2025). Die Klägerin beabsichtigte im Juli 2018 bei der G. EasyCredit (im Folgenden: TeamBank) einen Kredit über eine Summe von 5.000,00 EUR aufzunehmen. In diesem Zusammenhang holte die TeamBank eine Auskunft bei der Beigeladenen über die Klägerin ein. Im Juli 2018 übermittelte die Beigeladene der TeamBank einen Bonitätsscore von 85,96 % zur Person der Klägerin. Die Klägerin gibt hierzu an, sie habe von der TeamBank in der Folge die Information erhalten, dass sie durch die Beigeladene mit einem Scorewert von 85,96 % eingestuft worden sei, ohne dass bei der Klägerin sogenannte "harte Negativmerkmale" vorgelegen hätten. Die TeamBank lehnte eine Kreditvergabe an die Klägerin in der Folge ab. Die Klägerin verlangte sodann von der Beigeladenen Auskunft darüber, welche Elemente die Scoreberechnung beeinflussten, welche Kriterien der Scorebewertung zugrunde lägen und auf welche Weise der Scorewert konkret berechnet werde. Die Beigeladene teilte der Klägerin zunächst mit Schreiben vom 10.07.2018 folgendes mit: "Sie [erhalten] gemäß Art. 15 Datenschutz-Grundverordnung (DS-GVO) eine Kopie der am 10.07.2028 zu Ihrer Person bei der SCHUFA gespeicherten personenbezogenen Daten. SCHUFA-Datensatznummer: AAC9CV6CAS Nachname: A. Vorname: Emmi Geburtsdatum: 17.02.1957 Geburtsort: A-Stadt Aktuelle Adresse: Birkenstr. 39, A-Stadt D, gemeldet von Commerzbank AG Filiale A-Stadt, gespeichert am 15.02.2007 Sie wurden am 11.03.2010 erstmals nach den Bestimmungen des bis zum 24.05.2018 geltenden Bundesdatenschutzgesetzes (BDSG) über das SCHUFA-Verfahren informiert. Sie wurden am 26.05.2018 erstmals nach den Bestimmungen der seit 25.05.2018 geltenden Datenschutz-Grundverordnung (DS-GVO) über das SCHUFA-Verfahren informiert [...]. Die SCHUFA nutzt im Rahmen der durch sie erteilten Wirtschaftsauskünfte zu Unternehmen Daten der CS Connect GmbH & Co. KG, welche Informationen über Unternehmen und deren wirtschaftlich tätige Personen (z.B. Gesellschafter, Inhaber, Geschäftsführer) speichert. Sofern Sie Informationen darüber erhalten möchten welche Daten zu Ihrer Person bei der CS Connect GmbH & Co. KG gespeichert sind, bitten wir Sie dort einen entsprechenden Antrag zu stellen [...]." (Bl. 453 ff. Papier-Gerichtsakte [GA]). Dem Schreiben war als Anlage eine zweiseitige Auflistung der von den Vertragspartnern der Beigeladenen im Hinblick auf die Klägerin zur Verfügung gestellten Informationen sowie die von den Vertragspartnern der Beigeladenen im Hinblick auf die Klägerin gestellten Anfragen beigefügt. Auf den Inhalt der Anlage wird verwiesen (Bl. 455 f. Papier-GA). Als weitere Anlage war eine Seite mit folgendem Inhalt beigefügt: "Am 02.07.2018 beträgt Ihr Basisscore 97,35 % von theoretisch möglichen 100 %. Der Basisscore ermöglicht Ihnen eine branchenunabhängie Einschätzung Ihrer Bonität. Er wird als Erfüllungswahrscheinlichkeit in Form eines Prozentwertes dargestellt. Die Berechnung erfolgt einmal pro Quartal auf Basis der zu Ihrer Person bei der SCHUFA gespeicherten Daten." (Bl. 7 Verwaltungsvorgang [VV]; Bl. 9 und 458 Papier-GA). Ferner war dem Schreiben eine tabellarische Aufstellung der in den letzten zwölf Monaten in Bezug auf die Klägerin übermittelten Wahrscheinlichkeitswerte beigefügt. Die tabellarische Aufstellung enthält sechs nach Datum sortierte Einträge in den Jahren 2017 und 2018 sowie weitere Informationen in den dazugehörigen Spalten "Übermittelt an", "Bezeichnung", "Scorewert", "Ratingstufe", "Erfüllungswahrscheinlichkeit", "Bisherige Zahlungsstörungen", "Kreditaktivität letztes Jahr", "Kreditnutzung", "Länge Kredithistorie", "Allgemeine Daten", "Anschriften Daten" und "Bedeutung insgesamt". Der letzte Eintrag mit Datum vom 10.07.2018 betraf eine Übermittlung einer "individuellen SCHUFA-Scorekarte Teambank III" an die "G. easy credit", für die als "Erfüllungswahrscheinlichkeit" ein Wert von 85,96 % eingetragen und in dem Feld "Bedeutung insgesamt" als "deutlich erhöhtes bis hohes Risiko" eingestuft war. Auf den weiteren Inhalt wird verwiesen (Bl. 10 und 457 Papier-GA). Schließlich war dem Schreiben ein Informationsblatt "SCHUFA-Information" beigefügt. Das Informationsblatt "SCHUFA-Information" hält unter Ziff. 4 zur Profilbildung (Scoring) fest: " Vor Geschäften mit einem finanziellen Ausfallrisiko möchten Geschäftspartner möglichst gut einschätzen können, ob den eingegangenen Zahlungsverpflichtungen nachgekommen werden kann. Durch die SCHUFA-Auskunft und die Profilbildung mittels sogenannter Scorewerte unterstützt die SCHUFA Kredit gebende Unternehmen bei der Entscheidungsfindung und hilft dabei, alltägliche Kreditgeschäfte rasch abwickeln zu können. Beim Scoring wird anhand von gesammelten Informationen und Erfahrungen aus der Vergangenheit eine Prognose über zukünftige Ereignisse erstellt. Die Berechnung aller Wahrscheinlichkeitswerte erfolgt bei der SCHUFA grundsätzlich auf Basis der zu einer betroffenen Person bei der SCHUFA gespeicherten Informationen, die auch in der Auskunft nach Art. 15 DS-GVO ausgewiesen werden. Darüber hinaus berücksichtigt die SCHUFA beim Scoring die Bestimmungen des § 31 BDSG. Anhand der zu einer Person gespeicherten Einträge erfolgt eine Zuordnung zu statistischen Personengruppen, die in der Vergangenheit ähnliche Einträge aufwiesen. Die Scoreberechnungen erfolgen auf mathematischstatistisch anerkannten und bewährten Verfahren. Folgende Datenarten werden bei der SCHUFA zur Scoreberechnung verwendet, wobei nicht jede Datenart auch in jede einzelne Scoreberechnung mit einfließt: Allgemeine Daten (z.B. Geburtsdatum, Geschlecht oder Anzahl im Geschäftsverkehr verwendeter Anschriften), bisherige Zahlungsstörungen, Kreditaktivität letztes Jahr, Kreditnutzung, Länge Kredithistorie sowie Anschriftendaten (nur wenn wenige personenbezogene kreditrelevante Informationen vorliegen). Bestimmte Informationen werden weder gespeichert noch bei der Berechnung von Scorewerten berücksichtigt, z.B. Angaben zur Staatsangehörigkeit oder besonders sensible Daten nach Art. 9 DS-GVO (z.B. ethnische Herkunft oder Angaben zu politischen oder religiösen Einstellungen). Auch die Geltendmachung von Rechten nach der DS-GVO, also z.B. die Einsichtnahme in die bei der SCHUFA gespeicherten Informationen nach Art. 15 DS-GVO, hat keinen Einfluss auf die Scorewerte. Mit welcher Wahrscheinlichkeit eine Person einen Baufinanzierungskredit zurückzahlen wird, muss nicht der Wahrscheinlichkeit entsprechen, mit der sie eine Rechnung beim Versandhandel termingerecht bezahlt. Aus diesem Grund bietet die SCHUFA ihren Vertragspartnern unterschiedliche branchenspezifische Scoremodelle an, die sogenannten SCHUFA-Branchenscores. Diese repräsentieren in der Regel die Wahrscheinlichkeit einer Zahlungsstörung innerhalb von 15 Monaten. Bei einzelnen Branchen kann der Zeitraum abweichen, um besser auf Eigenheiten der branchenüblichen Geschäftsmodelle einzugehen (z.B. Telekommunikation, Baufinanzierung). Scores verändern sich stetig, da sich auch die Informationen, die bei der SCHUFA über eine Person gespeichert sind, verändern. So kommen neue Informationen hinzu, während andere aufgrund von Speicherfristen gelöscht werden. Außerdem ändern sich auch die Informationen selbst Im Zeitverlauf (etwa die Dauer des Bestehens einer Geschäftsbeziehung), so dass auch ohne neue Informationen Veränderungen auftreten. Wichtig zu wissen: Die SCHUFA selbst trifft keine Entscheidungen, sie unterstützt die ihr angeschlossenen Vertragspartner lediglich mit ihren Informationen bei der Entscheidungsfindung. Die Risikoeinschätzung und Beurteilung der Kreditwürdigkeit erfolgt allein durch den direkten Geschäftspartner, da nur dieser über zahlreiche zusätzliche Informationen – wie zum Beispiel die aus einem Kreditantrag – verfügt. Dies gilt selbst dann, wenn er sich einzig auf die von der SCHUFA gelieferten Informationen und Scorewerte verlässt. Weitere Informationen zum Kreditwürdigkeitsscoring oder zur Erkennung auffälliger Sachverhalte sind unter www.scoring-wissen.de erhältlich ." (Bl. 459 f. Papier-GA). Unter der URL "www.scoring-wissen.de", auf die die "SCHUFA-Information" verweist, stellt die Beigeladene weitere Informationen zur Datengrundlage und Funktionsweise des Scoring bereit. Neben textlichen Erläuterungen und einem Score-Simulator finden sich dort mehrere Erklärungsvideos und ein Video-Chatbot. Mit weiterem Schreiben vom 08.08.2018 teilte die Beigeladene der Klägerin u.a. folgendes mit: "Berechnungsgrundlage der SCHUFA-Scores sind die zu Ihrer Mandantin im SCHUFA-Datenbestand gespeicherten Daten. Diese Daten werden Ihnen in der Kopie der personenbezogenen Daten (Art. 15 DS-GVO) ausgewiesen. Mit dieser Einsicht haben Sie die Möglichkeit, Unstimmigkeiten in der Berechnungsgrundlage auszudecken und eine etwaige erforderliche Berichtigung und Aktualisierung der Daten zu veranlassen. Die SCHUFA-Branchenscores ergeben sich aus der statistischen Auswertung gleicher oder ähnlicher Datensätze. Dazu ziehen wir Millionen anonymisierter Kreditverträge heran. Die Erfahrungen daraus analysieren wir und berechnen damit Wahrscheinlichkeiten. Das Ergebnis sind Voraussagen darüber, wie das Risiko von Zahlungsstörungen bei verschiedenen Arten von Geschäften einzuschätzen ist. So lässt sich beispielsweise festhalten, dass Vertragsstörungen bei einer bestimmten Merkmalskombination häufiger vorkommen als bei anderen. Bezüglich des von Ihnen angemerkten Scorewertes an die G. easyCredit teilen wir Ihnen mit, dass es Vertragspartner der SCHUFA gibt, die individuelle Scorekarten und Regelwerke nutzen und so von den Standard-Scorekarten abweichende Ergebnisse erhalten. Unsere Scoreberechnungen sind mit Hilfe mathematisch-statistischer Verfahren berechnete Wahrscheinlichkeitswerte. Diese Werte prognostizieren, wie wahrscheinlich es ist, dass die jeweils betreffende Person ihren Zahlungsverpflichtungen ordnungsgemäß nachkommen wird. Angaben dazu, welche Daten bzw. Einzelinformationen mit welcher Gewichtung in diese Berechnung einfließen, können wir leider nicht machen, da wir damit unsere Erfahrungen und unser Wissen gegenüber den Marktwettbewerbern offenlegen würden. Wir sind zu einer Offenlegung unserer Berechnungsmethoden nicht verpflichtet, weil unsere Berechnungsmethoden unter das Betriebs- und Geschäftsgeheimnis fallen (vgl. BGH, Urteil vom 28.01.2014 (Az. VI ZR 156/13) [...]. Der SCHUFA-Score dient im Übrigen nicht dazu, Kreditanträge abzulehnen. Das Gegenteil ist der Fall: Er soll dem Vertragspartner eine positive Entscheidung erleichtern. Zur Ablehnung eines Vertragsantrags gehört mehr als unser Score, denn bei der Prüfung eines solchen Antrags berücksichtigt der Vertragspartner viele weitere Kriterien, z.B. das Einkommen oder auch das Vermögen des Antragsstellers. Wir liefern unseren Vertragspartnern objektive Informationen und sorgfältig berechnete Voraussagen. Damit unterstützen wir lediglich die Entscheidungen der jeweiligen Unternehmen. Vertragsentscheidungen werden allerdings von unseren Vertragspartnern allein getroffen. Wir geben keinerlei Empfehlung ab, ob ein Vertrag geschlossen werden soll oder nicht. Wie der Kreditgeber die Informationen, die wir ihm zur Verfügung stellen, bewertet, liegt nicht in unserer Hand. Wir können weder das Kreditgebungsverfahren selbst noch interne Arbeitsanweisungen der Kreditgeber beeinflussen." (Bl. 8 f. VV). Mit Schreiben ihres Bevollmächtigten vom 21.08.2018 an die Beigeladene bemängelte die Klägerin, dass das Schreiben der Beigeladenen vom 08.08.2018 konkrete Auskünfte zu dem beanstandeten Scorewert von 85,96 % vom 10.07.2018 vermissen lasse. Die mitgeteilten Wahrscheinlichkeitswerte enthielten keinerlei konkrete Angaben zur Scorewert-Bildung. Es werde auch nur auf Risiken Bezug genommen, die mit den Worten "(deutlich) überdurchschnittlich, durchschnittlich, unterdurchschnittlich" näher charakterisiert würden. Warum diese Einschätzungen dergestalt erfolgten, werde mit keinem Wort näher erläutert. Da auch die Bildung der Vergleichsgruppe nicht näher erläutert werde, sei vollkommen unklar, ob die Bewertung der Klägerin nicht vollständig willkürlich sei. Aus der Auskunft vom 10.07.2018 ergebe sich, dass die Kategorien "Kreditaktivität letztes Jahr" und "Länge Kredithistorie" zulasten der Klägerin ausgefallen sei, ohne dass die Beigeladene bislang darüber aufgeklärt habe, was mit diesen Kategorien überhaupt gemeint sei und warum sie derart negativ ausfielen. Auf ein Geschäftsgeheimnis könne die Beigeladene sich nicht berufen, denn es gehe der Klägerin nicht um die konkrete Gewichtung einzelner Kategorien, die im Rahmen des Scoring-Verfahrens der Beigeladenen verwendet würden. Es gehe vielmehr allein darum, warum einzelne dieser Kategorien derart negativ bewertet worden seien. Hierfür gebe es keine nachvollziehbaren Gründe (Bl. 10 f. VV). Mit Schreiben vom 23.08.2018 teilte die Beigeladene der Klägerin mit, die Elemente, die die Scoreberechnung beeinflussten, seien vollständig in der der Klägerin erteilten Kopie der personenbezogenen Daten (nach Art. 15 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [DSGVO]) vom 10.07.2018 ausgewiesen. Die Scores ergäben sich aus einer statistischen Auswertung gleicher oder ähnlicher Datensätze. Sie würden anhand moderner mathematisch-statistischer Verfahren berechnet. Bei der Ermittlung der Scores flössen Angaben aus Millionen anonymisierter Kreditverträge in die Wahrscheinlichkeitsberechnung ein, wobei die bei der Beigeladenen zu einer Person gespeicherten Informationen Grundlage für die Berechnung seien. Die in der Anlage zur Kopie der personenbezogenen Daten (nach Art. 15 DSGVO) enthaltene Bewertung der Risiken in den Datenarten solle hierbei lediglich veranschaulichen, ob diese in der vorliegenden Konstellation und bei der vergleichenden Betrachtung gleicher und ähnlicher Tatenkonstellationen auf durchschnittliche oder vom Durchschnitt abweichende Risiken schließen lasse. Die Beigeladene sei zu einer Offenlegung ihrer Berechnungsmethoden nicht verpflichtet, weil diese unter das Betriebs und Geschäftsgeheimnis fielen (Bl. 12 f. VV). Mit Schreiben ihres Bevollmächtigten vom 18.10.2018 erhob die Klägerin Beschwerde bei dem Beklagten, mit der sie folgendes geltend machte: Die Klägerin begehre von der Beigeladenen Auskunft über die für ihre Bewertung zugrunde gelegten Scoringwerte sowie Löschung falscher Eintragungen. Es lägen keinerlei Tatsachen vor, die eine Einstufung mit einem Scorewert von 85,96 % rechtfertigen könnten. Die Klägerin habe keinerlei Schulden und verfüge über eine gute Bonität. Die Vorgehensweise der Beigeladenen, insbesondere die offensichtliche Verwendung rein automatisierter Prozesse zur Erstellung von Bewertungen, verstoße gegen Art. 22 DSGVO. Somit habe die Klägerin zunächst einen Anspruch darauf, dass sämtliche über sie gespeicherten Daten bei der Beigeladenen gelöscht würden, einschließlich sämtlicher Scoringwerte, und dass diese auch nicht übermittelt würden. Des Weiteren habe sie Informations- und Auskunftsrechte über das Bestehen der Logik der automatisierten Verarbeitung gemäß Art. 13 Abs. 2 Buchst. f, Art. 14 Abs. 2 Buchst. g und Art. 15 Abs. 1 Buchst. h DSGVO. Die Beigeladene habe der Klägerin bisher nur Kopien der personenbezogenen Daten zur Verfügung gestellt. Die Beigeladene sei verpflichtet, über das "Wie?" der Verarbeitung zu informieren, also über die involvierte Logik und die Tragweite sowie die Auswirkungen der Verarbeitung. Dabei seien sämtliche Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, und zwar kostenfrei. Dies verweigere die Beigeladene bisher in rechtswidriger Weise. Gerade die massiven Auswirkungen in der Lebenswirklichkeit der Betroffenen rechtfertigten es umso mehr, dass die Beigeladene detaillierte Auskünfte erteile, und zwar insbesondere darüber, welche Daten bzw. Einzelinformationen mit welcher Gewichtung in diese Berechnungen einflössen. Die Beigeladene könne sich nicht auf schutzwürdige Geschäftsgeheimnisse berufen; diese träten hinter den Schutz der Persönlichkeitsrechte der Klägerin zurück. Überdies berücksichtige Art. 22 DSGVO gerade die von der Beigeladenen benutzten Scoring-Verfahren. Der Beklagte werde gebeten, gegenüber der Beigeladenen zu verfügen, dass diese dem Auskunfts- und Löschungsverlangen der Klägerin nachkomme (Bl. 1 ff. VV). Mit Schreiben vom 22.11.2018 bestätigte der Beklagte der Klägerin den Eingang der Beschwerde (Bl. 15 VV). Mit "Verfügung" vom 03.06.2020 teilte der Beklagte der Klägerin mit, die Nutzung von Bonitäts- oder Scorewerten zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses sei grundsätzlich zulässig. Dies ergebe sich aus Art. 6 Abs. 1 Buchst. b und f DSGVO und aus § 31 BDSG. Die Anforderungen zur Berechnung des Bonitätswertes nach § 31 BDSG erfülle die Beigeladene in aller Regel. Im dem vorliegenden Fall deute nichts darauf hin, dass diese Anforderungen nicht erfüllt würden. Bei der Bonitätsermittlung sei es zulässig, aus dem Verhalten eines Teils einer Personengruppe Wahrscheinlichkeiten für das Verhalten anderer Personen zu bilden, die ebenfalls zu dieser Personengruppe zählten, sofern eine statistische Signifikanz bestehe. Auskunfteien wie die Beigeladene errechneten diese Werte selbstständig. Die Aufsichtsbehörden hätten auf diese Art der Berechnung oder das verwendete Verfahren nur begrenzten Einfluss. Sie könnten nur überprüfen, ob die Berechnung des Bonitäts- oder Scorewertes den gesetzlichen Anforderungen entspreche und ob die Werte tatsächlich eine Aussagekraft hätten. Der Gesetzgeber gehe allerdings davon aus, dass ein Bonitätswert, der entsprechend den gesetzlichen Bestimmungen errechnet worden sei, zumindest eine statistische Aussagekraft habe. Bonitäts- oder Scorewerte bewerteten die Bonität einzelner betroffener Personen nicht exakt. Vielmehr bewerteten sie lediglich die Bonität einer Gruppe von Personen mit gleichen oder ähnlichen Merkmalen und beinhalteten darauf aufbauend eine Wahrscheinlichkeit dafür, dass eine einzelne betroffene Person ein weitgehend ähnliches Risiko beinhalte. Individuelle Abweichungen würden dabei nicht berücksichtigt. Deshalb sei es auch nicht zulässig, automatisiert anhand der Berechnung von Bonität wichtige Entscheidungen zu treffen. Etwaige Vertragspartner der Klägerin sollten daher in der Lage sein, individuelle Abweichungen zu berücksichtigen. Die Bonität werde von der Beigeladenen anhand der bei der Beigeladenen über die betroffene Person gespeicherten Daten berechnet. Eine Auskunft zu diesen Daten erhalte man von der Beigeladenen wie auch von anderen Auskunfteien auf der Grundlage von Art. 15 DSGVO. Änderungen der gespeicherten Daten wirkten sich in der Regel auf den Bonitätsscore aus. Nicht immer hätten die Berichtigung oder Löschung von Daten aber einen positiven Effekt auf die Berechnung der Bonität. Die Beigeladene beantworte Fragen zur Berechnung der Scorewerte nach Auffassung des Beklagten ausreichend und entsprechend der gesetzlichen Regelung. Sie gebe insbesondere an, welche Datenarten zur Berechnung des jeweiligen Scorewertes genutzt worden und welche Risiken in den einzelnen Datenarten nach dem Scoringmodell der Beigeladenen enthalten seien. Weitere Informationen zum Score müsse die Beigeladene zur Wahrung ihrer Geschäftsgeheimnisse nicht offenbaren. Gemäß Art. 15 Abs. 1 Buchst. h DSGVO müsse die Beigeladene lediglich aussagekräftige Informationen über die involvierte Logik nennen. Die Einzelheiten der Scoreberechnung seien dagegen nicht offenzulegen. Hinter dem Scoringmodell der Beigeladenen verberge sich auch keine einfache Formel, die offengelegt werden könnte. Stattdessen würden für die einzelnen Merkmale die Ausfallhäufigkeiten einer Vergleichsgruppe betrachtet und diese dann zu einer Gesamtausfallwahrscheinlichkeit kumuliert. Das Scoring-Verfahren der Beigeladenen arbeite daher ohne subjektive Elemente ausschließlich auf Basis der tatsächlich vorhandenen Ausfälle. Das Scoringmodell der Beigeladenen werde derzeit von dem Beklagten auch nicht bemängelt. Aufgrund dessen sei in dem vorliegenden Fall die Verfahrensweise der Beigeladenen aus datenschutzrechtlicher Sicht nicht zu beanstanden, sodass kein Grund zu einer aufsichtsrechtlichen Veranlassung gegenüber der Beigeladenen bestehe. Auf den weiteren Inhalt des Bescheids wird verwiesen (Bl. 18 ff. VV). Mit Schreiben ihres Bevollmächtigten vom 07.07.2020, eingegangen bei dem Verwaltungsgericht Wiesbaden am selben Tag, hat die Klägerin Klage erhoben. Die Klägerin ist der Auffassung, sie habe gegen den Beklagten einen Anspruch auf weitere Befassung und Überprüfung ihrer Beschwerde nach Art. 78 Abs. 2 i.V.m. Art. 57 DSGVO sowie einen Anspruch auf aufsichtliches Einschreiten gegenüber der Beigeladenen gemäß Art. 58 DSGVO. Sie habe einen Auskunftsanspruch gegenüber der Beigeladenen gemäß Art. 15 Abs. 1 Buchst. h, 22 Abs. 1 DSGVO, der nicht erfüllt sei. Die Beigeladene müsse der Klägerin gegenüber detailliert offenlegen, welche Daten zur konkreten Scoring-Wertermittlung in der Person der Klägerin genutzt würden. Die Beigeladene habe Auskunft darüber zu erteilen, ob ihr über die von der Bewertung und Auskunft betroffene Person "harte Negativmerkmale" oder "weiche Negativmerkmale" vorlägen. Die Klägerin habe seinerzeit bei der TeamBank um Auskunft gebeten. Ihr sei dazu mitgeteilt worden, dass in ihrer Person keine "harten Negativmerkmale" vorlägen und die Ablehnung ihres Kreditantrages ausschließlich auf dem "negativen Scoring-Wert", der durch die Beigeladenen ermittelt worden sei, beruhe. Sei dieser negativ, werde eine Kreditanfrage automatisch abgelehnt. Diese seit Jahren gängige Praxis werde unverändert durch die TeamBank, aber auch von der überwiegenden Zahl der anderen Kreditinstitute fortgeführt. Die Beigeladene bzw. das von ihr "beherrschte System" treffe die Kreditentscheidung, denn die TeamBank habe keine eigenen Kenntnisse. Dass die Marktmacht der Beigeladenen noch viel weiter gehe, zeige sich auch etwa daran, dass die Klägerin am 23.06.2024 eine Konditionenanfrage für einen 10.000,00 EUR-Kredit über das Portal "check24" gestellt habe. Es sei bei 22 Kreditinstituten abgefragt worden. Von der Targobank seien drei Angebote unterbreitet worden. Seitens der anderen Kreditinstitute habe es keine Angebote gegeben. Die Anfrage sei offensichtlich nicht an den nächsten Übergabepunkt weitergeleitet worden, da ein positives Signal der Beigeladenen erforderlich sei. Dies zeige, dass ohne eine Beauskunftung durch die Beigeladene und/oder eine positive Scorewertauskunft keine Kreditanfrage bearbeitet, geschweige denn ein Kredit gewährt werde. Über "check24" sei noch ein Kontakt zur CreditPlus Filiale Dortmund vermittelt worden. Die Daten seien dem Bearbeiter, Herrn Gützel, telefonisch mitgeteilt worden. Bis zur Schufa-Abfrage hätten die Daten eingetragen werden können, danach sei eine weitere Bearbeitung nicht möglich gewesen. Ebenfalls unter Vermittlung von "check24" habe es einen persönlichen Kontakt zu einem Kreditsachbearbeiter der Targobank gegeben. Auch diesmal habe der Antrag nur bis zur Schufa-Abfrage bearbeitet werden können. Der Bearbeiter habe vom "SCHUFAPrivatkundenService Center" – Herrn Grewe – mit E-Mail vom 27.06.2024 die Auskunft erhalten: "[O]hne elektronische Schufa ist, wie Ihnen bekannt ist, keine Kreditentscheidung möglich". Es liege somit eine automatisierte Entscheidung im Einzelfall vor. Die Beigeladene erziele intransparent und rechtswidrig die Scoring-Ergebnisse. Dazu nutze die Beigeladene zum Beispiel 250 unterschiedliche Vergleichskriterien in der verwendeten Software zur Scorewert-Ermittlung, welche den Betroffenen nie mitgeteilt würden. Da der Score selbst rechtlich als ein persönliches Datum zu bewerten sei, betreibe die Beigeladene seit Jahren rechtswidrige Datenverarbeitung, mittlerweile unter vorsätzlichem Verstoß gegen die DSGVO, und habe der Klägerin damit erheblichen Schaden zugefügt. Der Umstand, dass ein Kreditsachbearbeiter der Bank die Entscheidung treffe, führe nicht dazu, dass keine automatisierte Entscheidung vorliege. Als "Kreditsachbearbeiter" der TeamBank entscheide kein Mensch, sondern eine Software, nämlich das "Vollautomatisierte Kreditentscheidungssystem" der Firma ACTICO GmbH, deren Kunde die TeamBank sei. Die "Schufa-Bonitätsbewertung" werde über eine Schnittstelle implementiert. Das implementierte Scoringmodell stamme von der Beigeladenen und sei damit maßgeblich für die Kreditentscheidung. Da für die Implementierung des "Schufa-Scores" Schnittstellen geschaffen werden müssten, könne die TeamBank diese Software nur mit Wissen und Mithilfe der Beigeladenen (mindestens als Auftragsverarbeiter i. S. der DSGVO) einsetzen. Aufgrund der fehlenden Möglichkeit menschlichen Eingreifens werde die "Entscheidung" – gleichgültig, wer diese treffe – zu 100 % maschinell ermittelt und sei nicht DSGVO-konform. Da die Einkommens- und Vermögensverhältnisse der Klägerin vor der Entscheidung über die Kreditgewährung nicht abgefragt worden seien, hätten diese auch nicht geprüft werden können. Es habe ausschließlich die "Bonitätsauskunft" der Beigeladenen vorgelegen. Somit liege eine (verbotene) automatisierte Entscheidung vor. Hieran ändere auch die Behauptung der Beigeladenen nichts, dass ihren Vertragspartnern nicht gestattet sei, einen Vertragsabschluss alleine aufgrund eines übermittelten Scorewerts abzulehnen. Diese Behauptung bestreite die Klägerin. Im Falle der Klägerin habe es keine "negativen Merkmale" bzw. einen Faktor gegeben, der zu einer Herabstufung habe führen können, weder in einem "Banken-Score", noch in einem "Individualscore". Die Beigeladene könne sich nicht im Rahmen des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO auf ein Geschäftsgeheimnis berufen. Außerdem seien nach der Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH) Informationen, die zu einem bestimmten Zeitpunkt möglicherweise Geschäftsgeheimnisse gewesen seien, aufgrund des Zeitablaufs grundsätzlich als nicht mehr aktuell und deshalb als nicht mehr vertraulich anzusehen, wenn sie mindestens fünf Jahre alt seien (EUGH, 19.06.2018 – C-15/16 –). Die Beigeladene verarbeite Daten rechtsgrundlos. § 31 BDSG sei nicht anwendbar, da diese Vorschrift das Ergebnis einer Interessenabwägung vorbestimme und daher gegen Unionsrecht (EuGH C-634/21 und C-203/22) verstoße. Die Voraussetzungen des Art. 6 Abs. 1 Buchst. f DSGVO seien nicht erfüllt und der Beklagte habe diese Voraussetzungen offensichtlich nicht geprüft. Die Klägerin beantragt zuletzt, die Abschlussmitteilung vom 03.06.2020, zugestellt am 08.06.2020, aufzuheben und den Beklagten zu verpflichten, Abhilfemaßnahmen gegen die Beigeladene nach Art. 58 Abs. 2 Buchst. c und d DSGVO zu ergreifen, hilfsweise, die Abschlussmitteilung des Beklagten vom 03.06.2020 aufzuheben und den Beklagten zu verpflichten, die beanstandende Auskunft der Beigeladenden vom 10. Juli 2018 hinsichtlich Vollständigkeit und Transparenz inhaltlich zu bewerten, aufsichtliche Mittel gegen insofern festgestellte Mängel der Auskunft zur Behebung derselben einzusetzen und gegebenenfalls die seinen Beschwerdepunkten entgegenstehenden Prüfungsergebnisse inhaltlich zu begründen, weiter hilfsweise, die Abschlussmitteilung aufzuheben und den Beklagten zu verpflichten, gegen die Mängel der beanstandeten Auskunft der Beigeladenen vom 10. Juli 2018 aufsichtliche Mittel einzusetzen. Der Beklagte beantragt, die Klage abzuweisen. Der Beklagte ist der Auffassung, ein Anspruch auf weitere Befassung mit der Sache und Überprüfung der Beschwerde der Klägerin sowie ein Anspruch auf aufsichtliches Einschreiten des Beklagten sei nicht begründet. Er wiederholt im Wesentlichen die Ausführungen aus dem streitgegenständlichen Bescheid und trägt ferner im Wesentlichen vor: Die Auskunftspraxis der Beigeladenen sei beanstandungsfrei. Die Beigeladene sei nicht verpflichtet, weitere Informationen zum Scoring offenzulegen. Es reiche aus, gemäß Art. 15 Abs. 1 Buchst. h DSGVO aussagekräftige Informationen über die involvierte Logik gegenüber der Klägerin zu benennen. Die Klägerin habe alle Informationen erhalten und weitere Ausführungen fänden sich zudem frei zugänglich unter https://www.schufa.de/daten-scoring/scoring. Diese Transparenz genüge den Anforderungen nach Art. 15 Abs. 1 Buchst. h DSGVO. Der Beklagte prüfe die Scorewerte nicht inhaltlich. Geprüft werde durch den Beklagten die Zulässigkeit der Verarbeitung der in den Scorewerten einfließenden Daten und deren Richtigkeit. Der Beklagte habe sich von der Beigeladenen ein Gutachten dazu vorlegen lassen. Das Gutachten und vom Beklagten durchgeführte Ermittlungen hätten die Erfüllung der Anforderungen des § 31 Abs. 1 BDSG bestätigt. Das Gutachten könne seitens des Beklagten aber aus rechtlichen Gründen nicht vorgelegt werden, da das Gutachten den ausdrücklichen Hinweis der Beigeladenen auf ihr Geschäftsgeheimnis enthalte. Das Gutachten betreffe überdies nicht dieses Verwaltungsstreitverfahren, sondern diene der allgemeinen Aufsichtstätigkeit. Die Beigeladene habe speziell auf dem Portfolio der TeamBank ein Modell erstellt, da das Kreditangebot "easyCredit" regelmäßig von Personen mit einem höheren Ausfallrisiko in Anspruch genommen werde. Die Kreditentscheidung basiere auf einer Reihe von Regeln und Merkmalen, die durchlaufen werden müssten. Im Hinblick auf die Frage, ob eine automatisierte Entscheidung vorliege, meint der Beklagte: Führe ein Score nicht zum Abbruch der Prüfung und stelle er lediglich einen von mehreren Faktoren im Entscheidungsprozess des Empfängers dar – könne also durch weitere Kriterien relativiert oder überlagert werden –, liege keine Maßgeblichkeit vor. Eine gesetzliche oder vertragliche Verpflichtung des Empfängers zur eigenständigen Prüfung könne ein Indiz für eine solche Konstellation sein. Insbesondere die §§ 505a und 505b BGB sowie § 18a KWG legten die Verpflichtung der Banken zur Durchführung einer Kreditwürdigkeitsprüfung bei Verbraucherdarlehensverträgen fest. Nach Abschluss dieser Prüfung dürften keine erheblichen Zweifel an der Kreditwürdigkeit der Kreditnehmer bestehen. Zur Beurteilung der Kreditwürdigkeit könnten Kreditinstitute auch externe Informationen heranziehen, beispielsweise Auskünfte von Dritten wie Auskunfteien. Sie seien verpflichtet, diese Informationen angemessen zu überprüfen. Dies spreche dafür, dass Banken ihre Kreditentscheidungen nicht ausschließlich auf einen Scorewert einer Auskunftei stützten. Ausschlaggebend sei jedoch stets die tatsächliche individuelle Umsetzung dieser Verpflichtung. Werde der Score im Rahmen eines Algorithmus mit festgelegtem Gewicht in die Prüfung einbezogen, spreche dies eher für eine Maßgeblichkeit. Im Fall der TeamBank fließe der Scorewert der Beigeladenen nicht mit einem fest definierten Gewicht im Rahmen eines Algorithmus in die Kreditprüfung ein. Vielmehr bestünden Spielräume bei der Gewichtung, sodass eine Maßgeblichkeit nicht anzunehmen sei. Für die Kreditwürdigkeitsprüfung von Verbraucherdarlehensverträgen unterliege das jeweilige Kreditinstitut den Anforderungen nach §§ 505a, 505b BGB und § 18a KWG. Dies bedeute, dass sich für die letztendliche Entscheidung über die Kreditgewährung das jeweilige Kreditinstitut nicht allein auf die Aussagen eines Dritten (wie beispielsweise der Beigeladenen) verlassen dürfe, sondern selbst eine umfangreiche Informationsbasis schaffen müsse. Seitens der Bank werde eine eigene Bewertung nach internen Regeln mit teilweise eigenen Daten vorgenommen, was dann letztendlich zur Gewährung oder Versagung von Krediten führe. Nach den Entscheidungsregeln der TeamBank treffe nicht faktisch die Beigeladene die endgültige Entscheidung für die TeamBank, denn der Wahrscheinlichkeitswert stelle an diversen Stellen der Kreditentscheidung, die durchlaufen werden müssten, nur ein Teilkriterium dar. Nach den internen Regeln der Bank bestehe keine Entscheidungsbindung, sondern eindeutig ein Handlungsspielraum. Erst zukünftig sehe die noch nicht verabschiedete Neuregelung des § 37a Abs. 4 BDSG vor, dass Score-Ersteller auf Antrag des Betroffenen zum Beispiel die für die Erstellung genutzten personenbezogenen Daten der betroffenen Person und Kriterien, die Gewichtung von Kategorien von Kriterien und der einzelnen Kriterien zueinander, die den Wahrscheinlichkeitswert am stärksten beeinflussten und die Aussagekraft des konkreten Wahrscheinlichkeitswerts mitteilen müssten. Anhaltspunkte dafür, dass der Entscheidungsprozess bei der TeamBank damals im Falle der Klägerin derart ausgestaltet war, dass - wie die Klägerin vortrage - die Kreditentscheidung bei der TeamBank nicht von einem Menschen getroffen worden sei, da die TeamBank das vollautomatisierte Kreditentscheidungssystem der ACTICO GmbH benutze, habe der Beklagte nicht ermitteln können. Kreditentscheidungen würden bei der TeamBank keineswegs vollautomatisiert getroffen, sondern neben den durch die ACTICO GmbH unterstützten Regelprüfungen bestünden weitere Prozessschritte, in denen menschliches Eingreifen oder Handeln bzw. Übersteuern vorgesehen sei. Diesbezüglich reicht der Beklagte die von ihm geführte Kommunikation mit der TeamBank vom 15.10.2025 ein. Hierauf wird verwiesen (Bl. 401 ff. elektr. GA). Die Beigeladene beantragt, die Klage abzuweisen. Die Beigeladene trägt vor, sie habe mit Datum vom 10.07.2018 für die Klägerin eine Datenkopie nach Art. 15 DSGVO erstellt. Datenkopien der Beigeladenen enthielten immer am Ende des Dokuments die sogenannten SCHUFA-Informationen. Dort werde unter der Ziffer 4 das Scoring-Verfahren erläutert. Auch auf der Homepage der Beigeladenen (www.scoring-wissen.de; nunmehr https://www.schufa.de/faq/privatpersonen/scoring/) seien Informationen abrufbar. Die Klägerin könne sich somit jederzeit über das Scoring der Beigeladenen informieren. Der Scorewert sei aufgrund eines speziell für die TeamBank erstellten Scoreverfahrens erstellt worden, der "Individuellen SCHUFA-Scorekarte Teambank III". Die Scorekarte beruhe auch auf konkreten Risikoerfahrungen der TeamBank bei der Vergabe von ungesicherten "easyCredit"-Krediten. Sie weise deshalb ein höheres Risiko aus als die anderen Scorekarten. Der Grund dafür liege in der Natur des Kreditangebots "easyCredit" der TeamBank. Der "easyCredit" werde regelmäßig von weniger finanzkräftigen Personen in Anspruch genommen, sodass das Ausfallrisiko für die TeamBank höher sei. Der von der Beigeladenen übermittelte Score habe darüber informiert, wie hoch das durchschnittliche Risiko von künftigen Zahlungsstörungen bei der Vergabe eines solchen ungesicherten Kredits gewesen sei. Die Beigeladene meint, der Klägerin stehe der geltend gemachte Auskunftsanspruch nach Art. 15 Abs. 1 Buchst. h DSGVO gegen die Beigeladene, zu dessen aufsichtsrechtlicher Durchsetzung sie den Beklagten verpflichten lassen wolle, nicht zu. Auskunftsverpflichtet sei gemäß Art. 15 Abs. 1 DSGVO nur der Verantwortliche (in der Logik der Klägerin also die TeamBank), nicht der Auftragsverarbeiter. Art. 15 Abs. 1 Buchst. h DSGVO sei nicht anwendbar. Das Auskunftsrecht nach Art. 15 Abs. 1 Buchst. h DSGVO setze das Bestehen einer automatisierten Entscheidungsfindung gemäß Art. 22 DSGVO voraus. Es liege im vorliegenden Fall aber keine automatisierte Entscheidung vor. Die Behauptung der Klägerin, ihr sei wegen des streitgegenständlichen Scores eine "Kreditierung" verweigert worden, werde bestritten. Es sei nicht erwiesen, dass die ablehnende Kreditentscheidung "maßgeblich" von dem streitgegenständlichen Score der Beigeladenen abhängig gewesen sei und die vom EuGH aufgestellten Voraussetzungen für eine automatisierte Einzelfallentscheidung vorgelegen hätten. Die TeamBank habe über die Konditionenanfrage auf Grundlage der von der Klägerin im Kreditantrag vorlegten Informationen und der Auskunft der Beigeladenen entschieden. Die Auskunft der Beigeladenen habe nicht nur aus der Mitteilung des Bonitätsscores bestanden. Sie habe der Team-Bank AG auch die Adresse der Klägerin bestätigt und diese über das Vorliegen kreditrelevanter Verträge (insbesondere über das Vorliegen eines Girokontos und mehrerer erfüllter Immobilienkredite) informiert. Die Voraussetzung, dass der für die TeamBank ermittelte Scorewert maßgeblich für die Entscheidung über das Vertragsverhältnis verwendet wurde, sei damit nicht erfüllt. Es sei auch nicht vorgetragen, dass die TeamBank automatisiert entschieden hätte. Art. 22 Abs. 1 DSGVO sei auf den streitgegenständlichen Score nicht anwendbar. Mangels automatisierter Einzelfallentscheidung sei somit auch Art. 15 Abs. 1 Buchst. h DSGVO nicht anwendbar. Die Ablehnung des Kredits allein sei keine "erhebliche Beeinträchtigung"

Art. 22Abs.

1 DSGVO. Es komme vielmehr darauf an, welche negativen Folgen der Klägerin aus der entgangenen vorübergehenden Verfügungsmöglichkeit über den Kreditbetrag entstanden seien und ob sie dadurch "erheblich beeinträchtigt"

Art. 22Abs. 1 DSGVO sei. Dazu sei nichts vorgetragen. Kreditinstitute, einschließlich der Team

Bank, müssten in Erfüllung ihrer gesetzlichen Pflichten (einschließlich nach § 25a des Gesetzes über das Kreditwesen [KWG], den Anforderungen der "MaRisk" sowie den Vorgaben der Verbraucherkreditrichtline bzw. der §§ 419 ff. des Bürgerlichen Gesetzbuches [BGB]) Entscheidungen über die Vergabe eines Verbraucherkredits grundsätzlich selbst treffen. Diese Verantwortung könnten Kreditinstitute nicht auf Dritte auslagern. Die Beigeladene unterstütze Kreditinstitute lediglich bei der Erfüllung ihrer Pflichten zur verantwortungsvollen Prüfung der Kreditwürdigkeit nach Art. 8 Abs. 1 in Verbindung mit dem

1. Erwägungsgrund der Richtlinie 2008/48/EG des Europäischen Parlaments und des Rates vom
2. April 2008 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 87/102/EWG (Verbraucherkreditrichtlinie). Die Vertragspartner der Beigeladenen seien zudem gegenüber der Beigeladenen vertraglich verpflichtet, die von der Beigeladenen übermittelten Scorewerte ihren Entscheidungen über den Abschluss kreditrelevanter Verträge nicht maßgeblich zugrunde zu legen. Insbesondere sei es den Vertragspartnern der Beigeladenen nicht gestattet, einen Vertragsabschluss alleine aufgrund eines übermittelten Scorewerts abzulehnen. Die Beigeladene dürfe sich grundsätzlich darauf verlassen, dass sich ihre Vertragspartner rechtmäßig verhielten. Es sei wahrscheinlicher, dass andere Umstände in der Person der Klägerin als der streitgegenständliche Scorewert für die ablehnende Entscheidung der TeamBank maßgeblich gewesen seien. Die potentiellen Vertragspartner der Klägerin entschieden typischerweise auf Grundlage der von der Klägerin vorgelegten Informationen und der Auskunft der Beigeladenen sowie gegebenenfalls weiteren Informationen über eine Anfrage. Eine Auskunft der Beigeladenen umfasse in der Regel nicht nur einen Bonitätsscore, sondern auch weitere ihr bekannte bonitätsrelevante Informationen, wie beispielsweise das Vorliegen oder Fehlen von Zahlungsstörungen oder das Bestehen bereits abgeschlossener kreditrelevanter Verträge. Die TeamBank führe eigene Bonitätsprüfungen durch und sei hierzu auch verpflichtet. Es sei lebensfremd und mit den geltenden gesetzlichen Anforderungen für die Vergabe von Verbraucherkrediten nicht in Einklang zu bringen, wenn die TeamBank Kredite vergeben würde, ohne sich etwa über die Einkommens- und Vermögensverhältnisse der betroffenen Person zu informieren. Hierüber speichere die Beigeladene allerdings keine Informationen und beauskunfte solche daher auch nicht. Es gebe keinen Erfahrungssatz dazu, dass die von der Beigeladenen beauskunfteten Scorewerte bei der Entscheidung über einen Vertragsschluss stets maßgeblich wären. Die Informationen über Einkommen und Vermögen stellten in aller Regel die mit Abstand relevantesten Informationen bei der Prüfung eines Vertragsschlusses mit einer Person dar. Diese Informationen lägen den potentiellen Vertragspartnern vor, die ihre Kunden vor Abschluss eines kreditrelevanten Vertrags danach fragten. Der Beigeladenen lägen diese Informationen weder vor, noch fragten die Vertragspartner diese bei ihr ab. Ebenso frage die Beigeladene diese Information nicht bei ihren Vertragspartnern ab. Es bestehe auch keine "Rechtsschutzlücke", weil der Vertragspartner der Beigeladenen (TeamBank) selbst Auskunft über das Verfahren der Kreditvergabe und die Logik des Scoreverfahrens hätte erteilen können, Grundsätzlich müsse die TeamBank selbst in der Lage sein, der betroffenen Person die Bonitätseinschätzung zu erläutern, auf die sie sich stütze. Die Beigeladene hätte der TeamBank die dafür notwendigen Informationen zur Verfügung gestellt, wenn die Klägerin eine Auskunft bei der TeamBank erfragt hätte. Im Übrigen sei der Scorewert aufgrund eines speziell für die TeamBank erstellten Scoreverfahrens erstellt ("Individuelle SCHUFA-Scorekarte Teambank III"), das auf konkreten Risikoerfahrungen des Kreditinstituts bei der Vergabe von "easyCredit"-Krediten beruhe. Selbst wenn die Klägerin einen Anspruch gegen die Beigeladene aus Art. 15 Abs. 1 Buchst. h DSGVO haben sollte, sei dieser jedenfalls vollständig erfüllt und erloschen. Die Beigeladene habe der Klägerin die begehrte Auskunft transparent und vollständig erteilt. Die Kriterien und ihre Gewichtung ergäben sich aus der Tabelle auf Seite 5 der Auskunft vom 10.07.
3. Sie würden zudem unter Ziffer 4 der SCHUFA-Informationen, die der Datenkopie beigefügt gewesen sei, erläutert. Darüber hinaus habe die Klägerin bereits mit Schriftsatz der Beigeladenen vom 15.09.2020 eine Erläuterung der in der Übersicht über die Score-Historie verwendeten Begriffe "Kreditaktivität letztes Jahr", "Kreditnutzung", "Länge Kredithistorie" und "Allgemeine Daten" bekommen. Aus der von der Beigeladenen erteilten Datenkopie gehe insbesondere hervor, welche Daten die Beigeladene zur Person der Klägerin gespeichert und wem sie welche Daten in den vergangenen Monaten übermittelt habe. Aus der Tabelle der anfragenden Vertragspartner ergebe sich zudem, in welchen Fällen ein bestimmter Score errechnet und übermittelt worden sei. Der Auskunft vom 10.07.2018 lasse sich hierbei entnehmen, dass die Kreditaktivität der Klägerin als deutlich überdurchschnittliches Risiko (- -), die Kreditnutzung als unter-durchschnittliches Risiko (+) und die Länge der Kredithistorie als überdurchschnittliches Risiko (-) in Ansatz gebracht worden sei. Die allgemeinen Daten zur Klägerin seien als deutlich unterdurchschnittliches Risiko (+ +) in Ansatz gebracht worden. In der anliegenden "SCHUFA-Information" (dort Ziffer 4) werde auch darüber informiert, dass die "Logik" der Beigeladenen darauf beruhe, anhand der gespeicherten Daten und Erfahrungen, die sie aus den ihr bekannten Daten habe gewinnen können, Prognosen für das künftige kreditrelevante Verhalten der einzelnen Personen abzuleiten. Die Beigeladene stelle die Tragweite und angestrebten Auswirkungen des Scorings zudem öffentlich zugänglich im Internet dar. Dies genüge, um einen Betroffenen – wie die Klägerin – darüber zu informieren, welche Informationen die Beigeladene besitze, ob sie diese bei einzelnen Anfragen berücksichtigt habe und in welcher Weise (neutral, positiv, stark positiv, negativ oder stark negativ) dies geschehen sei. Weitergehende Auskunftsansprüche stünden der Klägerin nicht zu. Insbesondere habe sie keinen Anspruch auf Auskunftserteilung über den von der Beigeladenen verwendeten "Algorithmus" oder über die konkrete Weise der Errechnung ihrer Bonitätsscorewerte. Ihre Informationspflicht über die involvierte Logik beziehe sich lediglich auf Methoden und Kriterien, also abstrakt gehaltene Informationen über die Wirkungsweise und Relevanz des von ihr betriebenen Entscheidungs- oder Profilingsystems. Nicht geschuldet seien dagegen weitere Details zur konkreten Berechnung. Denn bezüglich der "involvierten Logik" sei lediglich das Prinzip darzustellen, auf dem die Berechnung basiere, nicht jedoch die konkrete Berechnungsformel, wie es sowohl aus den englischen und französischen Fassungen als auch aus Erwägungsgrund 63 der DSGVO hervorgehe, wonach der Auskunftsanspruch Geschäftsgeheimnisse nicht beeinträchtigen dürfe. Die Beigeladene habe die Informationserteilung nicht "absolut" verweigert, sondern in verständlicher Weise die Datengrundlage und Funktionsweise ("Logik") der Scoreberechnung erklärt. Jedenfalls stünden einer noch weitergehenden Auskunft (etwa über die Scorewert-Berechnungsformel bzw. den Algorithmus) als der bereits erteilten Auskunft Geschäftsgeheimnisse und das Recht auf geistiges Eigentum der Beigeladenen entgegenstehen. Der von der Klägerin geltend gemachte Anspruch auf aufsichtliches Einschreiten komme nur in Betracht, soweit das im Rahmen von Art. 58 DSGVO bestehende Einschreitermessen des Beklagten "auf null" reduziert sei. Das sei nicht der Fall. Der Beigeladenen sei nicht bekannt, ob und mit welcher Software die TeamBank die streitige Kreditentscheidung im Jahr 2018 getroffen habe. Selbst wenn die Software der ACTICO GmbH im Jahr 2018 eingesetzt worden sei, sei weder substantiiert von der Klägerin dargetan noch sonst ersichtlich, dass der streitgegenständliche Score in der Software als auschlaggebendes Entscheidungskriterium eingestellt gewesen sei. Es werde bestritten, dass die Einkommens- und Vermögensverhältnisse der Klägerin vor der Entscheidung über die Kreditgewährung durch die TeamBank nicht abgefragt worden und ausschließlich die "Bonitätsauskunft" der Beigeladenen vorgelegen habe. Die Klägerin habe bei der TeamBank einen Sofortkredit (easyCredit) beantragt. Insofern sei ein sogenannter Online-Kontocheck obligatorisch. Der Antragsteller müsse der TeamBank hierbei Einblick in sein Gehaltsgirokonto geben, um sein Einkommen und seine Ausgaben nachzuweisen. Mit dem Kontocheck überprüfe die TeamBank die im Kreditantrag angegebenen Finanzdaten, um die Kreditentscheidung treffen zu können. Es sei daher unplausibel, dass die TeamBank die finanzielle Situation der Klägerin vor der Kreditentscheidung nicht geprüft hätte. Soweit die Klägerin eine fehlende Rechtsgrundlage für die Berechnung des streitgegenständlichen Scores rüge, sei die Rechtmäßigkeit des Scores nicht entscheidungserheblich. Im Übrigen bestehe mit Art. 6 Abs. 1 UAbs. 1 Buchst. f DSGVO eine Rechtsgrundlage. Der Beklagte hat im gerichtlichen Verfahren dem Gericht mit Schriftsatz vom 12.09.2025 den zwischen ihm und der TeamBank geführten Schriftverkehr aus dem Jahr 2024 vorgelegt. Hieraus geht folgendes hervor: Der Beklagte bat die G. mit Schreiben vom 26.04.2024 darzulegen, ob der seitens der Beigeladenen mitgeteilte Bonitätsscore zur Person der Klägerin im Juli 2018 maßgeblich für Ablehnung der Kreditierung durch die TeamBank gewesen sei. Es solle auch erläutert werden, welche Rolle der von der Beigeladenen übermittelte Wahrscheinlichkeitswert bei der Nichtgewährung des Kredits gespielt habe. Außerdem solle die Frage beantwortet werden, ob die TeamBank sich bei der Kreditentscheidung von dem Bonitätscore maßgeblich habe leiten lassen (Bl. 335 ff. elektr. GA). Hierauf teilte die TeamBank dem Beklagten mit Schreiben vom 13.05.2024 mit, dass man aufgrund der internen Löschvorgaben die Antragsdaten der Klägerin bereits gelöscht habe. Da die Klägerin nach Recherche auch keine Überprüfung der automatisierten Kreditentscheidung gemäß Art. 22 Abs. 3 DSGVO durch die TeamBank angestoßen habe, habe man auch keine Daten in der eigenen Beschwerdedatenbank zu der Anfrage vorliegen (Bl. 338 elektr. GA). Mit E-Mail vom 15.05.2025 bat der Beklagte die TeamBank, unabhängig von der Person der Klägerin, den zugrundeliegenden Prozess hinsichtlich der Ablehnung eines Kredits unter Verwendung des Schufa-Bonitätsscores bei der Entscheidung über eine Ablehnung zu erläutern. Ferner wurde darum gebeten, zu erläutern, was hinter der Bezeichnung "individueller Score" stehe (Bl. 343 f. elektr. GA). Mit E-Mail vom 22.05.2024 antwortete die TeamBank dem Beklagten wie folgt: "
4. Prozess zu einer Kreditentscheidung In unsere Kreditentscheidung fließen eine Reihe von Regeln und Kriterien ein, die alle durchlaufen werden müssen. Der Verstoß gegen eine dieser Regeln kann zu einer Ablehnung des Kreditantrages führen. Zu jeder Person einer Anfrage erhält die TeamBank den Schufa-TeamBank-Score. Dieser Wert fließt an zwei Stellen in die Kreditentscheidung ein: • als Eingangsgröße in einem umfassenden Verkaufsscore, der weitere interne Merkmale enthält und zusammen mit diesen eine gemeinsame Bonitätsklasse bildet und • als Teilkriterium in einer Entscheidungsregel; das andere Teilkriterium ist u.a. die TeamBank-interne Bonitätsklasse. Die finale Kreditentscheidung kann rot oder grün sein. Die Entscheidungslogik wird regelmäßig validiert.
5. Bezeichnung "individueller Score" In Ihrer Anfrage nehmen Sie Bezug auf die Bezeichnung "individueller Score", der aus einer Auskunft der Beschwerdeführerin nach Art. 15 DSGVO herrührt. Diese Auskunft nach Art. 15 DSGVO wurde nicht von der TeamBank erteilt, weshalb wir den Zusammenhang, in dem die Bezeichnung verwendet wurde, nicht kennen. Unabhängig davon möchten wir Ihnen nachfolgend unseren TeamBank-Score erörtern: Der von der TeamBank verwendete Score wurde von der Schufa eigens für die TeamBank entwickelt. Er wird bei jeder Kreditanfrage bei der TeamBank von der TeamBank bei der Schufa abgefragt. Im Gegensatz zum Schufa-Bankenscore wurde der Schufa-TeamBank-Score speziell auf dem Portfolio der TeamBank entwickelt. D.h., es wurde ein statistisches Modell erstellt, welches speziell für die Kunden der TeamBank die Eigenschaften von Kunden zum Abschlusszeitpunkt ins Verhältnis zu einer später ggfs. tatsächlich stattgefundenen Zahlungsunfähigkeit setzt. Beim Schufa-Banken-Score bilden hingegen alle der Schufa bekannten Kunden die Datenbasis für die Entwicklung, nicht nur die der TeamBank. Der Vorteil bei der Verwendung eines eigenen Scores besteht darin, dass Personen, die nicht zum Kundenklientel der TeamBank gehören, die Genauigkeit des Prognosemodells nicht verfälschen, was wiederum zu einer besseren Ausfallprognose und damit zu einem besseren Überschuldungsschutz für den Kunden führt. Merkmale und deren Gewichtung sind der TeamBank für den Banken-Score nicht bekannt. Es ist aber davon auszugehen, dass weder die Merkmale noch deren Gewichtung bei Banken-Score und TeamBank-Score übereinstimmen. Anders ausgedrückt: Es wäre statistisch gesehen enorm unwahrscheinlich, wenn die Modellentwicklungen auf zwei verschiedenen Datengrundlagen zu denselben Ergebnissen führten. Da die TeamBank den Banken-Score nicht kennt, ist es für uns auch nicht möglich, die Abweichungen der Wahrscheinlichkeitsprognose der beiden Scores zu begründen. Allgemein sind Abweichungen bei zwei Modellen mit unterschiedlicher Datenbasis aber nicht ungewöhnlich: Werden Kunden der TeamBank als Referenz heran-gezogen, so ergibt sich eine bestimmte Wahrscheinlichkeit für einen späteren Ausfall. Werden zusätzlich auch die Kunden von Bausparkassen oder von Kunden ohne Kreditbedarf herangezogen, so wird die Wahrscheinlichkeit für ein nach-folgendes Negativereignis geringer eingeschätzt." Die Kammer hat nach Anhörung der Beteiligten mit Beschluss vom 01.10.2021 das Verfahren ausgesetzt und es gemäß Art. 267 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) zur Vorabentscheidung dem Gerichtshof der Europäischen Union (EuGH) hinsichtlich folgender Fragen vorgelegt: "Ist Art. 22 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom
6. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (– DS-GVO –, ABl. EU L Nr. 119 vom 4.5.2016, S. 1) dahingehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswertes über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt? Falls die
7. Vorlagefrage zu verneinen ist: Sind Art. 6 Abs. 1 und Art. 22 der Verordnung (EU) 2016/679 – DS-GVO – dahingehend auszulegen, dass sie einer innerstaatlichen Regelung entgegenstehen, nach der die Verwendung eines Wahrscheinlichkeitswerts – vorliegend über die Zahlungsfähigkeit und Zahlungswilligkeit einer natürlichen Person bei der Einbeziehung von Informationen über Forderungen – über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) nur zulässig ist, wenn bestimmte weitere Voraussetzungen, die in der Vorlagebegründung näher ausgeführt sind, erfüllt sind?" Mit Urteil vom 07.12.2023 – C-634/21 – hat der EuGH entschieden, dass Art. 22 Abs. 1 DSGVO dahingehend auszulegen sei, "dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Er-füllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet." Wegen der weiteren Einzelheiten wird auf das Urteil des EuGH vom 07.12.2023, C-634/21, ECLI:EU:C:2023:958 Bezug genommen. Das Gericht hat mit Schreiben vom 04.06.2025 die TeamBank zur schriftlichen Beantwortung der folgenden Fragen aufgefordert: "
8. Warum wurde der Kreditantrag der Klägerin bei der G. im Jahre 2018 abgelehnt?
9. Welche Kriterien wurden bei der negativen Entscheidung der G. über den Kreditantrag der Klägerin zugrunde gelegt?
10. Beruhte die negative Kreditentscheidung der G. bezüglich des Kreditantrages der Klägerin maßgeblich oder ausschließlich auf dem von der C. an die G. übermittelten Bonitätsscore oder flossen weitere Kriterien in die (negative) Entscheidung der G. über die Kreditvergabe mit ein? Wenn ja, welche Kriterien waren dies?
11. Verwendete die G. individuelle Scorekarten und Regelwerke und ist es daher möglich, ein von den Standard-Scorekarten abweichendes Ergebnis im Hinblick auf die Bonität eines Kreditantragstellers zu erhalten?" (Bl. 98 ff. elektr. GA). Mit Schreiben vom 20.06.2025 hat die TeamBank dem Gericht folgendes mitgeteilt: "[A]ufgrund unserer internen Löschvorgaben haben wir die Antragsdaten der Beschwerdeführerin bereits gelöscht. Somit können wir Ihre Fragen 1 bis 3 nicht beantworten. Der von der TeamBank verwendete Score wurde von der Schufa eigens für die TeamBank entwickelt. Er wird bei jeder Kreditanfrage bei der TeamBank von der TeamBank bei der Schufa abgefragt. Im Gegensatz zum Schufa-Bankenscore wurde der Schufa-TeamBank-Score speziell auf dem Portfolio der TeamBank entwickelt. D.h. es wurde ein statistisches Modell erstellt, welches speziell für die Kunden der TeamBank die Eigenschaften von Kunden zum Abschlusszeitpunkt ins Verhältnis zu einer später ggfs. tatsächlich stattgefundenen Zahlungsunfähigkeit setzt. Vor diesem Hintergrund kann der von der TeamBank verwendete Score und weitere Merkmale dazu führen, dass es im Vergleich zu den Standard-Scorekarten zu einem abweichenden Ergebnis kommt." (Bl. 113 elektr. GA). Am 19.11.2025 hat die Kammer mündlich zur Sache verhandelt. Wegen der Einzelheiten wird auf die Sitzungsniederschrift verwiesen. Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der (in Papierform vorliegenden und elektronisch weitergeführten) Gerichtsakte und des vorgelegten Behördenvorgangs Bezug genommen, die allesamt Gegenstand der mündlichen Verhandlung gewesen sind. Entscheidungsgründe Bei der in der mündlichen Verhandlung erklärten "Umstellung" der Klageanträge durch den Bevollmächtigten der Klägerin handelt es sich nicht um eine Klageänderung oder Klagerücknahme i.S.v. §§ 91, 92 der Verwaltungsgerichtsordnung (VwGO), sondern lediglich um eine Konkretisierung der schriftsätzlich angekündigten Antragstellung. Denn insbesondere hat sich der Klagegrund – das begehrte aufsichtliche Einschreiten durch den Beklagten gegenüber der Beigeladenen – nicht geändert und es wurde kein neuer Streitstoff eingeführt, § 173 Satz 1 VwGO i.V.m. § 264 Nr. 2 Zivilprozessordnung (ZPO). Die Klage hat hinsichtlich des (ersten) Hilfsantrags Erfolg. Dieser ist ausgehend von dem Begehren der Klägerin (§ 88 VwGO) sachgerecht dahingehend auszulegen, dass begehrt wird, den ablehnenden Bescheid des Beklagten – hier die "Verfügung" vom 03.06.2020 – aufzuheben und den Beklagten zum Einschreiten mit aufsichtlichen Mitteln gegenüber der Beigeladenen zur Erfüllung des Auskunftsanspruchs der Klägerin aus Art. 15 Abs. 1 Buchst. h DSGVO gegenüber der Beigeladenen unter Beachtung der Rechtsauffassung des Gerichts zu verpflichten, § 113 Abs. 5 Satz 2 VwGO. Der so verstandene Antrag ist zulässig und begründet. Der Hauptantrag hat hingegen keinen Erfolg. Der Beklagte ist nicht zur Ergreifung von Abhilfemaßnahmen nach Art. 58 Abs. 2 Buchst. c und d DSGVO gegenüber der Beigeladenen zu verpflichten, weil das dem Beklagten zukommende Auswahlmessen nicht auf Null reduziert ist. Die Ermessensentscheidung bezüglich der Auswahl der aufsichtlichen Mittel, die der Beklagte treffen muss, darf vom Gericht nicht vorweggenommen werden. Bezogen auf den Hauptantrag war die Klage daher mangels Spruchreife als unbegründet abzuweisen, § 113 Abs. 5 Satz 1 VwGO. I. Das Verwaltungsgericht Wiesbaden ist zur Entscheidung über den Rechtsstreit befugt. Der Verwaltungsrechtsweg ist eröffnet. Die Klägerin wendet sich mit der vorliegenden Klage gegen eine als "Verfügung" bezeichnete Abschlussmitteilung des Beklagten, die auf eine von ihr erhobene Beschwerde nach Art. 77 DSGVO hin ergangen ist. Eine solche Abschlussmitteilung stellt einen "rechtsverbindlichen Beschluss"

Art. 78DSGVO dar (vgl. dazu: Eu

GH, Urteil vom 07.12.2023 – C-26/22, C-64/22 –, juris Rn. 50). Die Klägerin macht mit der vorliegenden Klage ihr Recht nach Art. 78 Abs. 1 DSGVO auf einen "wirksamen gerichtlichen Rechtsbehelf" hiergegen geltend. Das Verwaltungsgericht Wiesbaden ist nach § 45 der Verwaltungsgerichtsordnung (VwGO) sachlich zuständig. Nach § 20 Abs. 3 BDSG ist das Gericht örtlich zuständig, in dessen Bezirk die Aufsichtsbehörde ihren Sitz hat. Der Beklagte hat seinen Sitz in C-Stadt, sodass die örtliche Zuständigkeit aus § 1 Abs. 2 Nr. 5 des Hessischen Gesetzes zur Ausführung der Verwaltungsgerichtsordnung (HessAGVwGO) folgt. II. Die Klage ist zulässig. Die auf Verurteilung des Beklagten zur Ergreifung aufsichtlicher Maßnahmen nach Art. 58 Abs. 2 DSGVO gegen die Beigeladene (unter Aufhebung der "Verfügung" des Beklagten vom 03.06.2020) gerichtete Klage ist als Verpflichtungsklage nach § 42 Abs. 1 Alt. 2 VwGO, gerichtet auf ein aufsichtliches Einschreiten, statthaft. Die Klage ist auch im Übrigen zulässig. Die Klägerin ist gemäß § 42 Abs. 2 VwGO klagebefugt. Die Klagebefugnis der Klägerin folgt daraus, dass sie geltend machen kann, durch die "Verfügung" des Beklagten vom 03.06.2020, mit der der Beklagte ein weiteres aufsichtliches Einschreiten gegenüber der Bei- geladenen abgelehnt hat – in eigenen subjektiv-öffentlichen Rechten verletzt zu sein, § 42 Abs. 2 Alt. 2 VwGO. Das Recht einer betroffenen Person auf Beschwerde bei einer Aufsichtsbehörde erschöpft sich nicht lediglich in einem nicht rechtsförmlichen Behelf ähnlich einem petitionsrechtlichen Ersuchen. Vielmehr hat die betroffene Person, wie sich aus dem Regelungszusammenhang der Art. 57 Abs. 1 Buchst. f, 77 Abs. 1 und 78 Abs. 1 DSGVO ergibt, einen Anspruch darauf, dass die Aufsichtsbehörde – mithin der Beklagte – (in angemessenem Umfang) überprüft, ob ein Verstoß gegen die Datenschutzgrundverordnung vorliegt und ferner, für den Fall, dass ein Verstoß festgestellt wird, einen Anspruch auf ermessensfehlerfreie Entscheidung über ein aufsichtsbehördliches Einschreiten des Beklagten. Denn nach Art. 57 Abs. 1 Buchst. f DSGVO ist die Aufsichtsbehörde verpflichtet, sich mit Beschwerden einer betroffenen Person zu befassen, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung zu unterrichten. An diese objektiv-rechtliche Verpflichtung der Aufsichtsbehörde knüpfen Art. 77 und 78 DSGVO an, die das Beschwerderecht betroffener Personen sowie deren Rechtsschutzmöglichkeiten regeln. Gemäß Art. 77 Abs. 1 DSGVO hat jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutzgrundverordnung verstößt; aus Art. 77 Abs. 2 DSGVO folgt, dass die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Art. 78 DSGVO unterrichtet. Des Weiteren regelt Art. 78 Abs. 1 DSGVO, dass jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde hat. Ferner sieht Art. 78 Abs. 2 DSGVO vor, dass jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn die nach den Art. 55 und 56 DSGVO zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Art. 77 DSGVO erhobenen Beschwerde in Kenntnis gesetzt hat. Eine Person, die im Rahmen einer Beschwerde nach Art. 57 Abs. 1 Buchst. f, 77 Abs. 1 DSGVO geltend macht, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutzgrundverordnung verstößt, hat insoweit einen Anspruch auf ermessensfehlerfreie Entscheidung. Eine Verletzung der Klägerin in eigenen subjektiven Rechten erscheint vor diesem Hintergrund möglich. Denn es ist nicht von vornherein ausgeschlossen, dass die Beigeladene die diese gegenüber der Klägerin treffende Auskunftspflicht gemäß Art. 15 DSGVO verletzt hat und der Beklagte somit zur Ergreifung aufsichtlicher Mittel gemäß Art. 58 DSGVO gegenüber der Beigeladenen verpflichtet ist. Ein Vorverfahren findet gemäß § 20 Abs. 6 des Bundesdatenschutzgesetzes (BDSG) i.V.m. § 68 Abs. 1 Satz 1 Nr. 1 VwGO nicht statt. Die Klagefrist des § 74 Abs. 1 Satz 2 VwGO ist eingehalten worden. III. Die Klage ist auch hinsichtlich des (ersten) Hilfsantrages begründet. Der beklagte Hessische Beauftragte für Datenschutz und Informationsfreiheit ist selbst passivlegitimiert. Gemäß § 20 Abs. 5 Satz 1 Nr. 2 BDSG ist die Aufsichtsbehörde direkt als Beklagte beteiligt. Es liegt somit eine durch die Unabhängigkeit der Aufsichtsbehörde unionsrechtlich bedingte bundesrechtliche Spezialregelung gegenüber § 78 VwGO vor. Der Bescheid des Beklagten vom 03.06.2020 ist rechtswidrig und verletzt die Klägerin in ihren Rechten. Die Klägerin hat im maßgeblichen Zeitpunkt der gerichtlichen Entscheidung einen Anspruch auf ein Einschreiten des Beklagten gegenüber der Beigeladenen zur Erfüllung des Auskunftsrechts aus Art. 15 Abs. 1 DSGVO. Die konkret zu ergreifende Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO steht dabei im pflichtgemäßen Ermessen des Beklagten.

1. Zum gerichtlichen Prüfungsmaßstab gilt nach der Rechtsprechung des EuGH, der sich die Kammer anschließt, das Folgende: Die Entscheidung der Aufsichtsbehörde unterliegt einer vollständigen inhaltlichen Überprüfung durch das Gericht (vgl. EuGH, Urteil vom 07.12.2023 – C-26/22, C-64/22 –, ECLI: EU:C:2023:958, juris Rn. 70). Zunächst ist zu prüfen, ob die Aufsichtsbehörde in angemessenem Umfang überprüft hat, ob ein Verstoß gegen die DSGVO vorliegt. Um bewerten zu können, ob eine Datenverarbeitung rechtswidrig ist und ob aufsichtsrechtliche Maßnahmen zu ergreifen sind, muss die Aufsichtsbehörde den Sachverhalt ermitteln und alle zur Ermittlung und Überprüfung des Verstoßes erforderlichen Umstände aufklären. Art. 58 Abs. 1 DSGVO gibt der Aufsichtsbehörde weitreichende Untersuchungsbefugnisse. Welcher Untersuchungsumfang im Rahmen des Amtsermittlungsgrundsatzes als "in angemessenen Umfang" anzusehen ist, ist nicht geregelt. Aus dem Erwägungsgrund 141 Satz 2 zur DSGVO folgt, dass die Untersuchung vorbehaltlich gerichtlicher Überprüfung so weit gehen soll, wie dies im Einzelfall angemessen ist. Maßstab für den Umfang der Ermittlungen sind danach insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Verstoßes. Die Untersuchung hat in angemessenem Umfang und mit aller gebotenen Sorgfalt zu erfolgen. Dabei ist zu berücksichtigen, dass die Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. a DSGVO zur Durchsetzung der DSGVO verpflichtet ist (vgl. EuGH, Urteil vom 16.07.2020 ["Facebook Ireland und Schrems"] - C-311/18, ECLI: EU:C:2020:559, juris Rn. 111 und EuGH, Urteil vom 07.12.2023 ["SCHUFA Holding"] - C-26/22, ECLI: EU:C:2023:958, juris Rn. 56). Stellt die Aufsichtsbehörde am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der DSGVO fest, ist sie in der Regel gehalten, Abhilfemaßnahmen mit dem Ziel der Abstellung des Verstoßes zu ergreifen. Art. 58 Abs. 2 DSGVO sieht einen Maßnahmenkatalog vor. Die Aufsichtsbehörde hat nach pflichtgemäßem Ermessen zu entscheiden, ob die Ausübung einer milderen Abhilfebefugnis ausreichend ist, um die Anwendung und Durchsetzung der Datenschutzgrundverordnung sicherzustellen, oder ob eine eingriffsintensivere Maßnahme zu ergreifen ist. Sie ist dabei nicht verpflichtet, stets exakt in der Reihenfolge der in Art. 58 Abs. 2 DSGVO genannten Abhilfebefugnisse vorzugehen, sondern kann im Interesse der wirksamen Durchsetzung des europäischen Datenschutzrechts auch sogleich eine schärfere Abhilfebefugnis ausüben, wenn dies sachlich geboten und verhältnismäßig erscheint (vgl. Selmayr, in: Ehmann/ders., DSGVO,
2. Auflage 2024, Art. 58 Rn. 18). Hinsichtlich dieser in Art. 58 Abs. 2 DSGVO genannten Abhilfebefugnisse verfügt die Behörde somit über ein Ermessen in Bezug auf die geeigneten und erforderlichen Mittel, welches das Gericht nur dahingehend überprüft, ob die Aufsichtsbehörde die Grenzen ihres Ermessens eingehalten hat (vgl. zum Ganzen EuGH, Urteil vom 07.12.2023 – C-26/22 –, ECLI: EU:C:2023:958, juris Rn. 47 ff., insb. Rn. 68 ff.; Hamburgisches OVG, Urteil vom 07.10.2019 – 5 Bf 291/17 –, juris Rn. 69 ff.). Die gerichtliche Prüfung richtet sich hierbei nach § 114 Abs. 1 VwGO. Danach prüft das Gericht auch, ob der Verwaltungsakt oder die Ablehnung oder Unterlassung des Verwaltungsakts rechtswidrig ist, weil die gesetzlichen Grenzen des Ermessens überschritten sind oder von dem Ermessen in einer dem Zweck der Ermächtigung nicht entsprechenden Weise Gebrauch gemacht worden ist. Die Verwaltungsbehörde kann ihre Ermessenserwägungen hinsichtlich des Verwaltungsaktes auch noch im verwaltungsgerichtlichen Verfahren ergänzen (vgl. auch BVerwG, Urteil vom
3. Mai 2016 - 10 C 8/15 -, juris Rn. 13 m.w.N.).
4. Das der Klägerin in Art. 15 Abs. 1 DSGVO gewährte Auskunftsrecht gegenüber der Beigeladenen ist im Hinblick auf das Recht, die in Art. 15 Abs. 1 lit. h DSGVO genannten Informationen zu erhalten, nicht (vollständig) durch die Beigeladene erfüllt. Die der Klägerin erteilte Auskunft durch die Beigeladene ist - gemessen an Art. 15 Abs. 1 lit. h DSGVO - defizitär. Der Beklagte hat daher zu Unrecht im Hinblick auf die Beschwerde der Klägerin vom 18.10.2018 ein (weiteres) aufsichtliches Einschreiten gegenüber der Beigeladenen zur Erfüllung des Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO abgelehnt. Ob ein Auskunftsanspruch erfüllt ist, hängt zunächst von dem Begehren der um Auskunft ersuchenden Person und dem (noch zu ermittelnden) Umfang der Auskunftspflicht ab. Gegenstand des mit der Klage geltend gemachten Anspruchs auf Verpflichtung des Beklagten zum Einschreiten gegenüber der Beigeladenen – hier zur Erfüllung des Auskunftsanspruchs aus Art. 15 DSGVO – ist dabei allein der Sachverhalt, der Gegenstand der Beschwerde der Klägerin nach Art. 77 DSGVO war und dem Bescheid des Beklagten vom 03.06.2020 zugrunde liegt. Denn Voraussetzung für die wirksame Beschwerdeerhebung ist, dass ein konkreter Sachverhalt mitgeteilt wird, aufgrund dessen der Beschwerdeführer von einer Verletzung der DSGVO ausgeht. Die Beschwerde muss zumindest alle Informationen enthalten, die erforderlich sind, damit die Aufsichtsbehörde den Sachverhalt erfassen und gegebenenfalls weiter aufklären und etwaige Datenschutzrechtsverstöße prüfen kann. Die Beschwerde muss daher Angaben über die betroffene Person und den Verantwortlichen aufweisen und zumindest ansatzweise zum Ausdruck bringen, welcher Verstoß gegen datenschutzrechtliche Vorschriften gerügt wird (vgl. VG Mainz, Urteil vom 22.07.2020 – 1 K 473/19.MZ –, juris Rn. 23 m.w.N.). Dieser in der Beschwerde mitgeteilte Sachverhalt bestimmt und begrenzt daher auch den Prüfungsauftrag, der der Aufsichtsbehörde mit der Beschwerde gesetzt wird, und damit auch den streitgegenständlichen Sachverhalt im Rahmen des nach Art. 78 Abs. 1 DSGVO eingeleiteten Gerichtsverfahrens. Vorliegend begehrte die Klägerin, wie sich aus dem Schreiben ihres Bevollmächtigten vom 18.10.2018 an die Beigeladene ergibt, "Auskunft über die für ihre Bewertung zu Grunde gelegten Scoring-Werte". Konkret geltend gemacht wurden "Informations- und Auskunftsrechte über das Bestehen und die Logik der automatisierten Verarbeitung gemäß Art. 13 Abs. 2 Buchst. f, Art. 14 Abs. 2 Buchst. g und Art. 15 Abs. 1 Buchst. h DSGVO". Die Beigeladene sei verpflichtet, "über das "Wie?" der Verarbeitung zu informieren, also über die involvierte Logik und die Tragweite sowie die Auswirkungen der Verarbeitung." Dabei seien "sämtliche Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln". Verlangt werde, dass die Beigeladene "detaillierte Auskünfte" erteile, "und zwar insbesondere darüber, welche Daten bzw. Einzelinformationen mit welcher Gewichtung in diese Berechnungen einfließen" (Bl. 1 ff. Verwaltungsvorgang [VV]). Mit Schreiben ihres Bevollmächtigten vom 21.08.2018 an die Beigeladene bemängelte die Klägerin ferner, dass das Schreiben der Beigeladenen vom 08.08.2018 konkrete Auskünfte zu dem bemängelten Scoring-Wert von 85,96 % vom 10.07.2018 vermissen lasse. Die mitgeteilten Wahrscheinlichkeitswerte enthielten keinerlei konkrete Angaben zur Scorewert-Bildung. Es werde auch nur auf Risiken Bezug genommen, die mit den Worten "(deutlich) überdurchschnittlich, durchschnittlich, unterdurchschnittlich" näher charakterisiert würden. Warum diese Einschätzungen dergestalt erfolgten, werde mit keinem Wort näher erläutert. Da auch die Bildung der Vergleichsgruppe nicht näher erläutert werde, sei vollkommen unklar, ob die Bewertung der Klägerin nicht vollständig willkürlich sei. Aus der Auskunft vom 10.07.2018 ergebe sich, dass die Kategorien "Kreditaktivität letztes Jahr" und "Länge Kredithistorie" zulasten der Klägerin ausgefallen sei, ohne dass die Beigeladene bislang darüber aufgeklärt habe, was mit diesen Kategorien überhaupt gemeint sei und warum sie derart negativ ausfielen. Es gehe der Klägerin nicht um die konkrete Gewichtung einzelner Kategorien, die im Rahmen des Scoring-Verfahrens der Beigeladenen verwendet würden. Es gehe vielmehr allein darum, warum einzelne dieser Kategorien derart negativ bewertet worden seien. Hierfür gebe es keine nachvollziehbaren Gründe (Bl. 10 f. VV). In dem Beschwerdeschreiben an den Beklagten vom 18.10.2018 wiederholte die Klägerin im Wesentlichen ihre Forderung nach Information über das "Wie?" der Verarbeitung, also über die involvierte Logik und die Tragweite sowie die Auswirkungen der Verarbeitung, und zwar in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache. Sie fügte hinzu, dass gerade die massiven Auswirkungen in der Lebenswirklichkeit der Betroffenen es umso mehr rechtfertigten, dass die Beigeladene detaillierte Auskünfte erteile, und zwar insbesondere (auch) darüber, welche Daten bzw. Einzelinformationen mit welcher Gewichtung in diese Berechnungen einflössen (Bl. 1 ff. VV). In der mündlichen Verhandlung erklärte der Bevollmächtigte der Klägerin, dass die Klägerin mit Blick auf das prozessuale Verhalten der Beigeladenen nunmehr auch den Einblick in die Formel haben möchte. Diese im Laufe des vorgerichtlichen und gerichtlichen Verfahrens vorgebrachte qualitative Steigerung bezüglich des von der Klägerin gewünschten Inhalts der Auskunft ist für den Prüfungsauftrag, der dem Beklagten mit der Beschwerde gesetzt wird, und damit auch für den streitgegenständlichen Sachverhalt im Rahmen des nach Art. 78 Abs. 1 DSGVO eingeleiteten Gerichtsverfahrens schon deshalb unerheblich, weil der Beklagte als Aufsichtsbehörde zur selbständigen datenschutzrechtlichen Bewertung des ihm unterbreiteten Sachverhalts – hier der Auskunftserteilung über den Scorewert von 85,96 % – verpflichtet ist. Hinzu kommt, dass der gesteigerte klägerische Vortrag lediglich die Erfüllungsmodalitäten der Auskunftspflicht bzw. des korrespondieren Auskunftsrechts nach Art. 15 Abs. 1 DSGVO, zu dessen Erfüllung der Beklagte die Beigeladene nach dem klägerischen Begehr mit aufsichtlichen Mitteln anhalten soll, betrifft. Die insoweit geäußerte subjektive Auffassung der Klägerin über die Reichweite der Auskunftspflicht kann der Beklagte zwar zur Kenntnis nehmen, sie vermag indes nicht den eigentlichen Beschwerdegegenstand, nämlich den vom Beklagten zu prüfenden Verstoß gegen die Datenschutzgrundverordnung, zu determinieren. Schließlich hat das angerufene Gericht im Rahmen des ihm unterbreiteten Rechtsstreits die Reichweite des Auskunftsanspruchs und damit dasjenige, was zu dessen Erfüllung im konkreten Fall geboten, aber auch ausreichend ist, als Rechtsfrage mit Bindungswirkung für die Beteiligten zu bestimmen. Hierbei kommt es, wie nachfolgend zu erörtern ist, maßgeblich auf die Auslegung der unbestimmten Rechtsbegriffe der "aussagekräftige[n] Informationen über die involvierte Logik [der automatisierten Datenverarbeitung] nach Art. 15 Abs. 1 Buchst. h DSGVO an. Bezüglich der Auslegung dieser unbestimmten Rechtsbegriffe ist der Verwaltung – somit auch dem Beklagten – kein Beurteilungsspielraum eingeräumt, sodass die Entscheidung des Beklagten in dieser Hinsicht einer vollen, nicht nur auf Beurteilungsfehler beschränkten, gerichtlichen Kontrolle unterliegt.
5. Der Auskunftsanspruch der Klägerin, welcher im oben genannten Sinne auf das von der Klägerin an die Beilgeladene gerichtete Auskunftsbegehren über den von dieser Hinblick auf die Klägerin berechneten Scorewert von 85,96 % begrenzt ist, über dessen Erfüllungsmodalitäten die Beteiligten sich streiten und für den vorliegend einzig Art. 15 Abs. 1 DSGVO als Anspruchsgrundlage in Betracht kommt, ist seitens der Beigeladenen im Hinblick auf die nach Art. 15 Abs. 1 Buchst. h DSGVO geschuldeten Angaben nicht erfüllt worden. Der Bescheid des Beklagten vom 03.06.2020, mit dem dieser ein aufsichtliches Einschreiten gegenüber der Beigeladenen abgelehnt hat, ist deshalb rechtswidrig. Der Beklagte ist im maßgeblichen Zeitpunkt der gerichtlichen Entscheidung seiner Pflicht zum Ergreifen aufsichtlicher Mittel nach Art. 58 Abs. 2 DSGVO nicht nachgekommen, um die Beigeladene zur Erfüllung des subjektiv-rechtlichen Auskunftsanspruchs der Klägerin aus Art. 15 Abs. 1 Buchst. h DSGVO anzuhalten. Gemäß Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in den Buchstaben a) bis h) des Art. 15 Abs. 1 DSGVO genannten Informationen, namentlich über die Verarbeitungszwecke (Buchst. a); die Kategorien personenbezogener Daten, die verarbeitet werden (Buchst. b); die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Buchst. c), falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Buchst. d); das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung (Buchst. e); das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (Buchst. f); wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten (Buchst. g); das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person (Buchst. h). a) Zunächst ist der Anwendungsbereich des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO eröffnet. Die Beigeladene hat als Verantwortliche

Art. 4Nr.

7 DSGVO durch die Erstellung des Scorewerts und dessen Zuordnung zu der Person der Klägerin personenbezogene Daten der Klägerin (das sog. Scoring)

Art. 4Nr.

1 DSGVO verarbeitet. Nach der insoweit unstreitigen Darstellung der Beklagten (vgl. Schreiben der Beigeladenen an die Klägerin vom 08.08.2018 und vom 23.08.2018) erfolgt die Ermittlung von Scorewerten zur Bonität auf Grundlage der zu einer Person gespeicherten Daten, anhand derer dann eine Zuordnung zu statistischen Personengruppen erfolgt, die in der Vergangenheit eine ähnliche Datenbasis aufgewiesen haben. Für die Ermittlung von Scorewerten zur Bonität unterteilt die Beigeladene die gespeicherten Daten in sogenannte Datenarten. Nach den insoweit unstreitigen Angaben der Beigeladenen fallen hierunter fallen unter anderem: • Kreditaktivität letztes Jahr (ob und in welcher Anzahl die Person in den letzten zwölf Monaten Geschäfte mit einem finanziellen Ausfallrisiko angefragt und tatsächlich abgeschlossen hat) • Kreditnutzung (Anzahl, Art, Dauer und Umfang der von der Person abgeschlossenen Geschäfte mit einem finanziellen Ausfallrisiko) • Länge Kredithistorie (Länge der Kreditbeziehungen, z. B. Girokonten oder Kreditkarten) • Allgemeine Daten (z. B. das Geburtsdatum, das Geschlecht oder die Anzahl und das Datum der letzten Bearbeitung der einmal im Geschäftsverkehr verwendeten Anschriften, auch Daten einer dem Geschäft zugrundeliegenden Ausweisprüfung (vgl. Schriftsatz der Beigeladenen vom 15.09.2020 sowie Informationsblatt "SCHUFA-Information", Bl. 459 f. PapierGA). Diese Daten sind personenbezogene Daten

Art. 15Abs.

1 i.V.m. Art. 4 Nr. 1 DSGVO, da sie allesamt Informationen enthalten, die sich auf eine identifizierte oder identifizierbare natürliche Person – vorliegend die Klägerin – beziehen. Da die diese Daten von der Beigeladenen zum Scoring verwendet werden, für welches diese sich eines mathematisch-statistischen Verfahrens bedient, ist eine Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet und damit Verantwortliche

Art. 15Abs.

1 i.V.m. Art. 4 Nr. 7 DSGVO. b) Darüber hinaus sind auch die Tatbestandsvoraussetzungen des Auskunftsrechts aus Art. 15 Abs. 1 Buchst. h DSGVO erfüllt. Die Tätigkeit der Beigeladenen - die Erstellung des streitgegenständlichen Scorewerts – erfüllt nach Auffassung der Kammer die Voraussetzungen des Art. 22 Abs. 1 DSGVO. Der Anwendungsbereich des Art. 15 Abs. 1 Buchst. h DSGVO knüpft mit dem Begriff "automatisierte Entscheidungsfindung" an den Regelungsbereich des Art. 22 DSGVO, der unter der amtlichen Überschrift "Automatisierte Entscheidungen im Einzelfall einschließlich Profiling" steht, an. Was hierunter zu verstehen ist, ergibt sich aus Art. 22 Abs. 1 DSGVO. Nach Art 22 Abs. 1 DSGVO hat die betroffene Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Der EuGH hat auf die Vorlagefrage der Kammer im hiesigen Verfahren entschieden, "dass Art. 22 Abs. 1 DSGVO dahin auszulegen ist, dass eine "automatisierte Entscheidung im Einzelfall" im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet" (EuGH, Urteil vom 7. Dezember 2023 - C-634/21 - Rn. 73.). Das erkennende Gericht ist hieran gebunden. Ein Urteil des EuGH im Vorabentscheidungsverfahren bindet nach dessen ständiger Rechtsprechung das nationale Gericht hinsichtlich der Auslegung oder der Gültigkeit der fraglichen Handlungen der Unionsorgane bei der Entscheidung über den Ausgangsrechtsstreit (vgl. EuGH, Urteil vom 16. Juni 2015 – C-62/14 –, juris, Rn. 16). Das vorlegende Gericht ist nicht befugt, den Inhalt der Vorabentscheidung zu überprüfen, zu ignorieren oder abzuändern (vgl. Wegener in: Calliess/Ruffert, EUV/AEUV, 6. Aufl. 2022, AEUV Art. 267 Rn. 50 m.w.N.). Diese vom EuGH aufgestellten Voraussetzungen sind im Hinblick auf die Erstellung des Scorewerts durch die Beigeladene erfüllt; die Erstellung des in Bezug auf die Klägerin ermittelten Scorewerts durch die Beigeladene stellt im vorliegenden Fall eine auf einer "automatisierenden Verarbeitung – einschließlich Profiling – beruhenden Entscheidung gemäß Art. 22 Abs. 1 DSGVO dar. Im Hinblick auf die Auslegung des in der DSGVO nicht näher definierten Begriffs "Entscheidung"

Art. 22Abs. 1 DSGVO ist nach der Rechtsprechung des Eu

GH – der sich die Kammer anschließt – ein weites Begriffsverständnis zugrunde zu legen. So nimmt der EuGH an, "dass sich bereits aus dem Wortlaut dieser Bestimmung ergibt, dass sich dieser Begriff nicht nur auf Handlungen bezieht, die rechtliche Wirkung gegenüber der betroffenen Person entfalten, sondern auch auf Handlungen, die diese Person in ähnlicher Weise erheblich beeinträchtigen. Die weite Bedeutung des Begriffs ‚Entscheidung‘ wird durch den 71. Erwägungsgrund der DSGVO bestätigt, wonach eine Entscheidung zur Bewertung persönlicher Aspekte, die eine Person betreffen, ‚eine Maßnahme einschließen [kann]‘, die entweder ‚rechtliche Wirkung für die betroffene Person‘ entfaltet oder ‚sie in ähnlicher Weise erheblich beeinträchtigt‘, wobei die betroffene Person das Recht haben sollte, einer solchen Entscheidung nicht unterworfen zu werden. Nach diesem Erwägungsgrund umfasst der Begriff ‚Entscheidung‘ beispielsweise die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen. Da der Begriff ‚Entscheidung‘

Art. 22Abs.

1 DSGVO somit [...] mehrere Handlungen umfassen kann, die die betroffene Person in vielerlei Weise beeinträchtigen können, ist dieser Begriff weit genug, um das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts mit einzuschließen." (EuGH, Urteil vom 7. Dezember 2023 – C-634/21 –, Rn. 44-46). Ein derart weites Verständnis von Art. 22 Abs. 1 DSGVO ist auch vor dem Hintergrund der Vermeidung von Rechtsschutzlücken im Hinblick auf den Auskunftsanspruch angezeigt. Wäre Art. 22 Abs. 1 DSGVO hingegen dahin auszulegen, dass die Eigenschaft einer "automatisierten Entscheidung im Einzelfall" in einer Situation wie der im Ausgangsverfahren in Rede stehenden nur der Entscheidung des Dritten gegenüber der betroffenen Person zuerkannt werden könne, ergäbe sich daraus eine Rechtsschutzlücke. Zum einen wäre nämlich eine Gesellschaft wie die Beigeladene nicht verpflichtet, Auskunft über die zusätzlichen Informationen zu erteilen, auf die die betroffene Person nach Art. 15 Abs. 1 Buchst. h DSGVO Anspruch habe, da sie nicht diejenige wäre, die eine "automatisierte Entscheidung" im Sinne dieser Bestimmung und folglich

Art. 22Abs.

1 DSGVO treffe. Zum anderen könnte der Dritte, dem der Wahrscheinlichkeitswert mitgeteilt werde, diese zusätzlichen Informationen nicht vorlegen, da er nicht darüber verfüge. Insofern hat auch der EuGH herausgestellt, dass die weite Bedeutung des Begriffs "Entscheidung"

Art. 22Abs. 1 DSGVO den wirksamen Schutz verstärkt, auf den diese Bestimmung abzielt (Eu

GH, Urteil vom

1. Dezember 2023 – C-634/21 –. Rn. 60). So könnte die betroffene Person zum einen bei der Wirtschaftsauskunftei, die den sie betreffenden Wahrscheinlichkeitswert ermittelt, ihr Recht auf Auskunft über die in Art. 15 Abs. 1 Buchst. h DSGVO genannten spezifischen Informationen nicht geltend machen, wenn keine automatisierte Entscheidungsfindung durch dieses Unternehmen vorliegt. Zum anderen wäre der Dritte – unter der Annahme, dass die von ihm vorgenommene Handlung unter Art. 22 Abs. 1 DSGVO fiele, da sie die Voraussetzungen für die Anwendung dieser Bestimmung erfüllte – nicht in der Lage, diese spezifischen Informationen vorzulegen, weil er darüber im Allgemeinen nicht verfügt (EuGH, Urteil vom
2. Dezember 2023 – C-634/21 –. Rn. 63). Vorliegend hat die Beigeladene, eine Wirtschaftsauskunftei, mit der Errechnung des eigens für die Verwendung durch die TeamBank als deren Vertragspartnerin bezweckten Scorewerts von 85,96 % einen auf personenbezogene Daten zu der Klägerin gestützten Wahrscheinlichkeitswert in Bezug auf die Fähigkeit der Klägerin zur Erfüllung künftiger Zahlungsverpflichtungen erstellt. Die Beigeladene versorgt hiermit ihre Vertragspartner – hier die TeamBank - mit Informationen zur Kreditwürdigkeit Dritter, insbesondere Verbraucher. Dazu prognostiziert sie aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens ("Scorewert"), wie insbesondere die Rückzahlung eines Kredits. Die Erstellung von Scorewerten ("Scoring") basiert auf der Annahme, dass durch die Zuordnung einer Person zu einer Gruppe anderer Personen mit vergleichbaren Merkmalen, die sich in einer bestimmten Weise verhalten haben, ein ähnliches Verhalten vorausgesagt werden kann. Die Scorewerterstellung durch die Beigeladene erfüllt somit den Tatbestand des Profiling

Art. 4Nr.

4 DSGVO, welche ein Unterfall einer ausschließlich auf einer "automatisierten Verarbeitung" beruhenden Tätigkeit

Art. 22Abs. 1 DSGVO ist (so auch Eu

GH, Urteil vom

1. Dezember 2023 – C-634/21 –, Rn. 47). Nach Art. 4 Nr. 4 DSGVO meint Profiling jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen. Durch die Ermittlung und die Zusammenstellung von personenbezogenen Daten zwecks einer Profilbildung und der daraus folgenden Ermittlung eines finalen Score-Wertes betreibt die Beigeladene Profiling im o.g. Sinne (so auch OLG Dresden, Urteil vom
2. Oktober 2025 – 4 U 884/24 –, juris Rn. 30). Diese Verarbeitung erfordert nämlich, wie sich aus dem
3. Erwägungsgrund der DSGVO ergibt, die Bewertung persönlicher Aspekte in Bezug auf die von dieser Verarbeitung betroffene natürliche Person, insbesondere zur Analyse oder Prognose von Aspekten bezüglich ihrer Arbeitsleistung, wirtschaftlichen Lage, Gesundheit, Vorlieben oder Interessen, Zuverlässigkeit oder ihres Verhaltens, ihres Aufenthaltsorts oder Ortswechsels (EuGH, Urteil vom
4. Dezember 2023 – C-634/21 –, Rn. 58). Das Verfahren der Beigeladenen greift auf personenbezogene Daten zurück, um bestimmte Aspekte, die sich auf natürliche Personen beziehen, zu bewerten, um Aspekte bezüglich ihrer wirtschaftlichen Lage, ihrer Zuverlässigkeit und ihres wahrscheinlichen Verhaltens zu analysieren oder vorherzusagen. Wie die Beigeladene selbst erläutert, liefert die von ihr angewandte Methode auf der Grundlage bestimmter Kriterien einen "Scorewert", d. h. ein Ergebnis, das Rückschlüsse auf die Kreditwürdigkeit der betroffenen Person erlaubt. Schließlich ist auch das dritte Tatbestandsmerkmal des Art. 22 Abs. 1 DSGVO, nämlich einer erheblichen Beeinträchtigung "in ähnlicher Weise", im vorliegenden Fall erfüllt. Zwar entfaltet die Scorewerterstellung als automatisierte Entscheidung durch die Beigeladene die Klägerin als betroffene Person nicht ihr gegenüber unmittelbare rechtliche Wirkung – eine solche erfolgt erst durch die Entscheidung eines Dritten, etwa über die Kreditvergabe an die Klägerin. Aber auch wenn eine Entscheidungsfindung sich nicht auf die Rechte einer Person auswirkt, kann sie dennoch in den Anwendungsbereich von Art. 22 Abs. 1 DSGVO fallen, wenn sie eine entsprechende Wirkung entfaltet oder die Person in ähnlicher Weise erheblich beeinträchtigt. Dies ist nach Auffassung der Kammer dann der Fall, wenn sie geeignet ist, eine Vorgriffswirkung auf die Begründung, Änderung oder Aufhebung einer rechtlichen Position der betroffenen Person zu haben. Damit die Datenverarbeitung eine Person erheblich beeinträchtigt, muss diese also gegenüber der betroffenen Person in ihren Auswirkungen einer "rechtlichen Wirkung" gleichkommen. Dies ist nach den Umständen des konkreten Falls zu beurteilen. Geht es um die Begründung eines privatrechtlichen Vertragsverhältnisses – wie hier über eine Kreditvergabe – ist dabei auch zu berücksichtigen, dass sich bereits die automatisierte Scorewerterstellung auf die finanzielle Lage der betroffenen Person auswirken kann, weil hierbei eine Einschätzung ihrer Kreditwürdigkeit getroffen wird (a.A. OLG München, Hinweisbeschluss vom 03.02.2025 – 24 U 3326/24 e, GRUR-RS 2025, 15992 Rn. 28, beck-online; OLG D-Stadt, Hinweisbeschluss vom 18.03.2025 – 9 U 20/25, GRUR-RS 2015, 7249 Rn. 25, beck-online; Brandenburgisches Oberlandesgericht, Beschluss vom
5. Juli 2025 – 1 U 68/24 –, Rn. 47 - 49, juris, eine rechtliche oder dieser ähnliche Wirkung als "bloßes Internum" ablehnend). Jedenfalls ist vorliegend der in Bezug auf die Klägerin von der Beigeladenen erstellte Scorewert tatsächlich an die Team-Bank weitergegeben und damit einem Verwender zur Kenntnis gebracht worden. Im Anschluss daran hat die TeamBank in Kenntnis dieses Scorewerts im Hinblick auf die Klägerin eine negative Kreditentscheidung getroffen. Schon die Scorewerterstellung und auch deren Weitergabe an die TeamBank beeinträchtigt die Klägerin "in ähnlicher Weise erheblich"

Art. 22Abs.

1 DSGVO. Ob das von der Beigeladenen vorgenommene Profiling die Klägerin "in ähnlicher Weise erheblich beeinträchtigt" (die einer rechtlichen Wirkung gleichkommt), setzt nach Auffassung der Kammer nicht voraus, dass das Profiling (also die Scorewerterstellung) die Entscheidung eines Dritten, namentlich eines Vertragspartners der Beigeladenen, welcher den Scorewert, nachdem dieser ihm von der Beigeladenen übermittelt worden ist, auch tatsächlich als einziges bzw. ausschließliches Kriterium verwendet, um zu entscheiden, ob dieser ein Vertragsverhältnis zu der Klägerin eingeht. Die noch zur alten Rechtslage ergangene Rechtsprechung des Bundesgerichtshofs (BGH, Urteil vom

1. Januar 2014 – VI ZR 156/13 - Rn... :"Von einer automatisierten Einzelentscheidung kann im Falle des Scorings nur dann ausgegangen werden, wenn die für die Entscheidung verantwortliche Stelle eine rechtliche Folgen für den Betroffenen nach sich ziehende oder ihn erhebliche beeinträchtigende Entscheidung ausschließlich aufgrund eines Score-Ergebnisses ohne weitere inhaltliche Prüfung trifft, nicht aber, wenn die mittels automatisierter Datenverarbeitung gewonnenen Erkenntnisse lediglich Grundlage für eine von einem Menschen noch zu treffende abschließende Entscheidung sind") ist jedenfalls durch das Inkrafttreten der DSGVO überholt). Denn Rahmen des Auskunftsanspruchs gemäß Art. 15 Abs. 1 Buchst. h DSGVO ist es unerheblich, ob die Klägerin ausreichend konkret vorgetragen und bewiesen hat, dass der Verantwortliche – die Beigeladene - sie (nur) mit der Übermittlung dieses Bonitätsscores an Dritte einer gem. Art. 22 Abs. 2 bis 4 DSGVO i.V.m. nationalen Datenschutzvorschriften unzulässigen automatisierten Entscheidung mit rechtlichen Wirkungen oder erheblichen Beeinträchtigungen unterworfen hat. Denn Zweck des Art. 22 DSGVO ist es, Personen vor den besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten - einschließlich Profiling - verbunden sind, wie durch Erwägungsgrund Nr. 71 herausgestellt wird. Diese Risiken ergeben sich insbesondere aus der Bewertung persönlicher Aspekte und Daten wie sie auch bei der Ermittlung der Wahrscheinlichkeit eines Forderungsausfalls heranzuziehen sind. Der Umfang des Auskunftsanspruchs aus Art 15 Abs. 1 Buchst. h DSGVO kann daher nicht maßgeblich davon abhängen, ob und inwieweit mit der auf einem Profiling beruhenden Bonitätsauskunft der Beklagten jeweils konkret gegen Art 22 Abs. 1 und 4 DSGVO nachweislich verstoßen wird. Vielmehr stehen mit Blick auf Zweck und Zielrichtung der Vorschrift der betroffenen Person Auskunftsrechte jedenfalls in den Fällen zu, in denen die Verarbeitung personenbezogener Daten zur einer automatisierten Entscheidungsfindung in Form einer Bonitätsscoreermittlung führt und insbesondere auf einem Profiling beruht, wie sich auch aus der Formulierung der Vorschrift selbst ergibt. Bestätigt wird dies durch den Erwägungsgrund Nr. 63 Satz 3 DSGVO, der gleichfalls in Fällen eines Profiling besondere Auskunftsrechte der betroffenen Person vorsieht (OLG Dresden, Urteil vom
2. Oktober 2025 – 4 U 884/24 –, juris Rn. 31). So ist nicht von der Hand zu weisen, dass bereits aus einer ökonomischen Perspektive heraus Scoring generell als sinnvoll eingestuft wird. Nicht nur für Kreditinstitute als Darlehensgeber, sondern für alle Unternehmen, die bei ihren Geschäften kreditorische Risiken eingehen, sind Informationen über die Kreditwürdigkeit ihrer (potenziellen) Kunden bedeutsam. Der Bonitätsprüfung liegt im Allgemeinen ein (Kredit-)Scoring zugrunde (vgl. Taeger, Externes Scoring als "automatisierte Entscheidung im Einzelfall" über eine Kreditgewährung, BKR 2024, 41

Art. 15Abs. 1 Buchst. h i.V.m. Art. 22 Abs. 1 DSGVO erfolgte durch die Beigeladene; diese erfüllt das vom Eu

GH aufgestellte Kriterium der Maßgeblichkeit, unabhängig davon, ob sich die TeamBank wiederum einer Software bei ihrer Kreditentscheidung bedient. c) Sind demnach die Voraussetzungen des Auskunftsanspruchs nach Art. 15 Abs. 1 Buchst. h erfüllt, folgt daraus ein Recht auf Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. Den Umfang des Auskunftsanspruchs nach Art. 15 Abs. 1 Buchst. h DSGVO hat der EuGH mit Urteil vom 27.02.2025 (C-203/22, Rn. 43 ff.) wie folgt präzisiert: "Unter den Wortlaut von Art. 15 Abs. 1 Buchst. h DSGVO sind daher alle Informationen zu subsumieren, die für das Verfahren und die Grundsätze der automatisierten Verarbeitung personenbezogener Daten zum Erreichen eines bestimmten Ergebnisses auf der Grundlage dieser Daten maßgeblich sind. Zum Kontext, in den sich der in Art. 15 Abs. 1 Buchst. h DSGVO enthaltene Ausdruck ‚aussagekräftige Informationen über die involvierte Logik‘ einfügt, ist erstens darauf hinzuweisen, dass diese Informationen nur einen Teil der Informationen darstellen, die unter das in dieser Bestimmung vorgesehene Auskunftsrecht fallen, da dieses auch die Informationen zur Tragweite und zu den angestrebten Auswirkungen der in Rede stehenden Verarbeitung für die betroffene Person umfasst. Zwar sind diese Informationen, für die gemäß den Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, angenommen am 3. Oktober 2017 von der durch Art. 29 der Richtlinie 95/46 eingesetzten Datenschutzgruppe, in der überarbeiteten und am 6. Februar 2018 angenommenen Fassung, ‚echte, greifbare Beispiele‘ anzuführen sind, um sie aussagekräftig und verständlich zu machen [...] als Teil des Kontexts zu berücksichtigen, zu dem der Ausdruck ‚aussagekräftige Informationen über die involvierte Logik‘" gehört. [...] Zweitens hat der Gerichtshof zum Umstand, dass der Ausdruck ‚aussagekräftige Informationen über die involvierte Logik‘ auch in Art. 13 Abs. 2 Buchst. f und in Art. 14 Abs. 2 Buchst. g DSGVO vorkommt, bereits festgestellt, dass im Fall einer automatisierten Entscheidungsfindung

Art. 22Abs.

1 DSGVO das in Art. 15 Abs. 1 Buchst. h DSGVO verankerte, diese Informationen betreffende Auskunftsrecht und die zusätzlichen Informationspflichten des Verantwortlichen gemäß Art. 13 Abs. 2 Buchst. f und Art. 14 Abs. 2 Buchst. g DSGVO eine Einheit bilden (vgl. in diesem Sinne Urteil vom

1. Dezember 2023, SCHUFA Holding u. a. [Scoring], C-634/21, EU:C:2023:957, Rn. 56). Drittens ist [...] im Rahmen der kontextuellen Auslegung der für den Fall einer automatisierten Entscheidungsfindung vorgesehenen Auskunftsrechte die Rechtsprechung des Gerichtshofs zu den Anforderungen zu berücksichtigen, die der Verantwortliche gemäß Art. 15 Abs. 3 DSGVO erfüllen muss. So ist insbesondere dem Umstand Rechnung zu tragen, dass das in Art. 12 Abs. 1 DSGVO vorgesehene Erfordernis der Transparenz der übermittelten Informationen für sämtliche Daten und Informationen gemäß Art. 15 gilt, einschließlich derjenigen, die automatisierte Entscheidungsfindungen betreffen. Um zu gewährleisten, dass die betroffene Person in die Lage versetzt wird, die ihr vom Verantwortlichen übermittelten Informationen in vollem Umfang zu verstehen, verpflichtet Art. 12 Abs. 1 DSGVO den Verantwortlichen, geeignete Maßnahmen zu treffen, um insbesondere der betroffenen Person diese Daten und Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln (vgl. in diesem Sinne Urteil vom
2. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 38). Die Prüfung des Kontexts von Art. 15 Abs. 1 Buchst. h DSGVO bestätigt somit die Auslegung, die sich aus der Analyse der in dieser Bestimmung verwendeten Ausdrücke ergibt, wonach ‚aussagekräftige Informationen über die involvierte Logik‘ einer automatisierten Entscheidungsfindung im Sinne dieser Bestimmung alle maßgeblichen Informationen zum Verfahren und zu den Grundsätzen der automatisierten Verarbeitung personenbezogener Daten zwecks Erreichen eines bestimmten Ergebnisses umfassen und diese Informationen aufgrund des Transparenze