AI Act: Kreditscoring (Anhang III, 5) — Pflichten + EuGH SCHUFA

Hauptartikel: Hochrisiko-KI nach Anhang III — Klassifizierung aller acht Anhang-III-Bereiche und der Ausnahme des Art. 6 Abs. 3.

1. EuGH C-634/21 SCHUFA (12/2023)

Der EuGH hat am 7. Dezember 2023 (C-634/21, SCHUFA) entschieden, dass die Erstellung eines Score-Werts eine automatisierte Einzelentscheidung im Sinne von Art. 22 DSGVO ist, wenn die kreditgebende Bank ihre Entscheidung im Wesentlichen darauf stützt. Als Konsequenz ist die menschliche Prüfung Pflicht.

Für die Umsetzung folgt daraus: Kreditscoring wird von zwei Regelwerken zugleich erfasst, und beide verlangen eigene Nachweise. Die datenschutzrechtliche Spur läuft über die DSGVO — mit eigenen Betroffenenrechten, eigener Aufsicht und einem Bußgeldrahmen von bis zu 20 Mio. EUR oder bis zu 4 % des gesamten weltweiten Jahresumsatzes bei Verstößen gegen die Rechte der betroffenen Person (Art. 12 bis 22 DSGVO), je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Die zweite Spur folgt der KI-VO mit ihrem risikobasierten Ansatz (Erwägungsgrund 26 KI-VO): Sie verlangt für Hochrisiko-Systeme unter anderem die menschliche Aufsicht nach Art. 14 KI-VO und gilt in ihrem allgemeinen Anwendungsbereich seit dem 2. August 2026 (Art. 113 KI-VO).

Beide Spuren betreffen dieselbe Kreditentscheidung, fragen aber Unterschiedliches ab: die DSGVO nach Rechtsgrundlage, Transparenz und Betroffenenrechten, die KI-VO nach Konformität, Daten-Governance und Aufsichtsdesign. Praxisempfehlung: Führen Sie beide Nachweisstränge je Score-Modell in einer gemeinsamen Akte, statt sie in getrennten Datenschutz- und Modellvalidierungs-Silos zu halten.

2. Anhang III, 5 EU AI Act

Anhang III Nr. 5 KI-VO enthält die Hochrisiko-Klassifikation für „KI-Systeme zur Bewertung der Kreditwürdigkeit oder zur Festlegung des Kredit-Score".

Anhang III Nr. 5 ist der Bereich „Zugänglichkeit und Inanspruchnahme grundlegender privater und öffentlicher Dienste und Leistungen"; er erfasst neben der Kreditwürdigkeit auch das Kranken- und Lebensversicherungs-Scoring sowie Notrufsysteme. Für Kreditinstitute ist lit. b einschlägig (Kreditwürdigkeitsbewertung), für Versicherer lit. c (Lebens- und Krankenversicherungs-Scoring). Die Rechtsfolge ergibt sich aus Art. 6 Abs. 2 KI-VO: Die in Anhang III aufgeführten Systeme gelten als hochriskant.

Die Ausnahme des Art. 6 Abs. 3 KI-VO greift nur, wenn das System kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt — und sie ist ausdrücklich ausgeschlossen, wenn das System ein Profiling natürlicher Personen durchführt. Erzeugt das System Empfehlungen oder Bewertungen, die menschliche Entscheidungen wesentlich beeinflussen können, bleibt es trotz Art. 6 Abs. 3 Hochrisiko. Praxisempfehlung: Wer die Ausnahme prüfen will, hält zuerst fest, ob das Score-Modell ein Profiling natürlicher Personen durchführt, legt Art. 6 Abs. 3 eng aus und klassifiziert im Zweifel als Hochrisiko.

Einstiegstor jeder Prüfung ist die Definition in Art. 3 Nr. 1 KI-VO: ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und aus Eingaben ableitet, wie Ausgaben wie Vorhersagen, Empfehlungen oder Entscheidungen erstellt werden. Abzugrenzen ist Anhang III von den verbotenen Praktiken des Art. 5 Abs. 1 KI-VO, zu denen Social Scoring (lit. c) zählt — dort gilt der höhere Bußgeldrahmen des Art. 99 Abs. 3.

3. Pflichten und Geltungsbeginn

Die folgende Übersicht listet die Hochrisiko-Pflichten der KI-VO für Kreditscoring-Systeme mit Fundstelle; ab wann sie gelten, steht im nächsten Absatz.

Der allgemeine Geltungsbeginn der KI-VO war der 2. August 2026 (Art. 113 KI-VO); die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 gelten für Anhang-III-Systeme wie das Kreditscoring jedoch erst ab dem 2. Dezember 2027. Vorgezogen galten bereits Kapitel I und II mit den Verboten des Art. 5 seit dem 2. Februar 2025 sowie Kapitel V für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025 (ausgenommen Art. 101); Art. 6 Abs. 1 mit den Anhang-I-Produkten folgt erst ab dem 2. August 2028. Grundlage der beiden Hochrisiko-Termine ist die Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit dem 27. Juli 2026 (Art. 113 Abs. 3 lit. c Ziff. i und ii KI-VO n. F.). Die FRIA-Pflicht nach Art. 27 gehört zu Kapitel III Abschnitt 3 und folgt für Anhang-III-Systeme demselben Termin, dem 2. Dezember 2027.

Die Rollenzuordnung für Risikomanagement, technische Dokumentation, Konformitätsbewertung und EU-Datenbank steht in Abschnitt 7.

4. Bias-Test pflichtig

Art. 10 KI-VO verlangt ein Data-Governance-Konzept, einschließlich der Prüfung der Trainingsdaten auf Verzerrungen gegen geschützte Gruppen; welche statistischen Verfahren dafür einzusetzen sind, ist in diesem Artikel nicht belegt (Quellenstand 02.05.2026).

Praxisempfehlung, kein gesetzlich vorgegebenes Prüfschema: Statistische Tests und ihre Dokumentation lassen sich in drei Arbeitsschritte zerlegen — (1) festlegen, entlang welcher Merkmale geprüft wird; den Katalog liefert das Gleichbehandlungsrecht (nächster Absatz), (2) die Datenbasis je Merkmal auf Lücken und Verzerrungen prüfen, (3) Testmethodik, Datenbasis und Ergebnis je Modellversion getrennt festhalten, damit Änderungen am Modell nachvollziehbar bleiben. Welche statistischen Verfahren, Kennzahlen oder Schwellenwerte Art. 10 KI-VO im Einzelnen verlangt und zu welchem Zeitpunkt zu prüfen ist, ist in diesem Artikel nicht belegt (Quellenstand 02.05.2026); maßgeblich ist der Wortlaut des Art. 10 KI-VO.

Welche Gründe als geschützte Merkmale gelten, nennt das Gleichbehandlungsrecht — und dort weichen Deutschland und Österreich in der Systematik voneinander ab. In Deutschland nennt § 1 AGG die Gründe Rasse und ethnische Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter und sexuelle Identität. In Österreich stehen dafür — bezogen auf Arbeitsverhältnisse — § 3 GlBG (Geschlecht) und § 17 GlBG (ethnische Zugehörigkeit, Religion oder Weltanschauung, Alter, sexuelle Orientierung); für Güter und Dienstleistungen gilt § 31 GlBG — dort allein für die ethnische Zugehörigkeit (siehe nächster Absatz).

Für das Kreditgeschäft kommt in Deutschland das zivilrechtliche Benachteiligungsverbot des § 19 AGG hinzu: Es gilt bei zivilrechtlichen Schuldverhältnissen, die typischerweise ohne Ansehen der Person in einer Vielzahl von Fällen zustande kommen (Massengeschäfte), und bei privatrechtlichen Versicherungen; für Rasse und ethnische Herkunft gilt es darüber hinaus umfassend. Das österreichische Gegenstück ist § 31 GlBG, der eine Diskriminierung wegen der ethnischen Zugehörigkeit unter anderem beim Zugang zu und der Versorgung mit Gütern und Dienstleistungen untersagt. Ob ein konkretes Kreditprodukt unter diese Tatbestände fällt, ist im Einzelfall zu klären.

Prozessual verschiebt sich in Deutschland die Beweislast: Nach § 22 AGG muss die Gegenseite beweisen, dass kein Verstoß vorlag, sobald die klagende Partei im Streitfall Indizien beweist, die eine Benachteiligung wegen eines Grundes nach § 1 AGG vermuten lassen. In Österreich tritt an ihre Stelle die Glaubhaftmachung nach § 12 Abs. 12 GlBG (Geschlecht) bzw. § 26 Abs. 12 GlBG (übrige Gründe): Die betroffene Person macht den Diskriminierungstatbestand glaubhaft, dann obliegt der beklagten Partei der Gegenbeweis. Wer Bias entlang sensibler Merkmale misst, berührt zugleich Art. 9 Abs. 1 DSGVO: Die Verarbeitung von Daten, aus denen etwa die ethnische Herkunft oder religiöse Überzeugungen hervorgehen, ist grundsätzlich untersagt und nur über die engen Ausnahmen des Abs. 2 zulässig — etwa die ausdrückliche Einwilligung. Damit bleibt eine Frage offen, die vor dem ersten Bias-Test zu klären ist: Worauf stützt sich die Verarbeitung sensibler Merkmale allein zu Testzwecken? Die Rechtsgrundlage ist im Einzelfall vorab zu klären.

5. Menschliche Endentscheidung

Ein KI-Score darf eine Kreditablehnung nicht allein tragen: Art. 14 KI-VO verlangt menschliche Aufsicht, die Entscheidung trifft die zuständige Person.

Rechtlich verankert ist die menschliche Aufsicht in Art. 14 KI-VO; sie gehört zu den Anhang-III-Pflichten aus Abschnitt 3, die betreiberseitigen Begleitpflichten — Eingabedaten-Relevanz, Logaufbewahrung, Beschäftigteninformation — stehen mit Fundstellen in Abschnitt 7. Welche Aufsichtsmaßnahmen Art. 14 KI-VO im Einzelnen verlangt, ist in diesem Artikel nicht belegt (Quellenstand 02.05.2026); maßgeblich ist der Wortlaut des Art. 14 KI-VO.

Praxisempfehlung, keine gesetzliche Vorgabe: Halten Sie je Ablehnung fest, welche Person auf welcher Informationsgrundlage entschieden hat, und werten Sie aus, wie häufig die menschliche Entscheidung vom Score abweicht. Eine Abweichungsquote nahe null ist ein Hinweis darauf, dass die Aufsicht formal ausgeübt, aber inhaltlich nicht wirksam wird. In welchem Rhythmus diese Auswertung erfolgt, ist eine Organisationsentscheidung und keine Frist aus der KI-VO.

6. Transparenz für Antragsteller

Bei Ablehnung: Begründung + Zugang zu Daten (Art. 15 DSGVO + Art. 86 KI-VO). Nach Art. 86 Abs. 1 KI-VO haben Personen, die von einer Entscheidung des Betreibers auf Grundlage der Ausgaben eines in Anhang III aufgeführten Hochrisiko-KI-Systems (ausgenommen Anhang III Nr. 2) betroffen sind, das Recht auf eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der getroffenen Entscheidung. Nicht einschlägig ist hier Art. 50 KI-VO: Dieser regelt Kennzeichnungs- und Offenlegungspflichten (direkte Interaktion mit Menschen, synthetische Inhalte, Emotionserkennung/biometrische Kategorisierung, Deepfakes, KI-generierte Texte von öffentlichem Interesse).

Operativ hängt an der datenschutzrechtlichen Seite eine Frist: Auf Anträge betroffener Personen nach den Art. 15 bis 22 DSGVO muss der Verantwortliche unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags über die ergriffenen Maßnahmen informieren. Diese Frist ist um weitere zwei Monate verlängerbar, wenn Komplexität und Anzahl der Anträge es erfordern; über die Verlängerung ist die Person innerhalb des ersten Monats unter Angabe der Gründe zu unterrichten (Art. 12 Abs. 3 DSGVO).

Praxisempfehlung: Legen Sie den Erläuterungsbaustein nach Art. 86 Abs. 1 KI-VO direkt in den Ablehnungsprozess und nicht in den Auskunftsprozess. Sonst entsteht der Erklärungsaufwand erst mit dem Betroffenenantrag — also unter der Monatsfrist des Art. 12 Abs. 3 DSGVO.

7. Anbieter oder Betreiber: wer trägt welche Pflicht

Wer ein Score-Modell entwickelt oder unter eigenem Namen in Verkehr bringt, ist Anbieter (Art. 3 Nr. 3 KI-VO) und trägt die Hauptlast; wer ein zugekauftes Modell unter eigener Verantwortung einsetzt, ist Betreiber (Art. 3 Nr. 4 KI-VO). Die Rolle ist je System zu bestimmen, nicht je Unternehmen.

Die FRIA nach Art. 27 KI-VO umfasst die Beschreibung des KI-Einsatzes, die betroffenen Personen, die Risiken für Grundrechte und die Schutzmaßnahmen (zum Geltungsbeginn siehe Abschnitt 3). Achtung beim Rollenwechsel: Nach Art. 25 KI-VO wird ein Betreiber zum Anbieter, wenn er Zweck oder Funktionalität wesentlich ändert oder das System unter eigenem Namen in Verkehr bringt — wer ein eingekauftes Score-Modell für ein eigenes Kreditprodukt umbaut und vermarktet, prüft diesen Punkt vor dem Rollout.

8. DSGVO-Schnittstelle: Rechtsgrundlage, DSFA, Dienstleister

Neben der KI-VO braucht jedes Kreditscoring eine tragfähige datenschutzrechtliche Grundlage: Die Verarbeitung ist nur rechtmäßig, wenn mindestens einer der sechs Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO erfüllt ist — Einwilligung, Vertrag oder vorvertragliche Maßnahmen, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder berechtigte Interessen. Stützen Sie sich auf eine Einwilligung, müssen Sie diese nachweisen können, und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 1 und 3 DSGVO).

Art. 35 Abs. 3 DSGVO nennt als Regelbeispiel für die Pflicht zur Datenschutz-Folgenabschätzung die systematische umfassende Bewertung persönlicher Aspekte (Profiling), auf die sich Entscheidungen mit Rechtswirkung stützen. Praxisempfehlung: Halten Sie die Einordnung des eigenen Score-Prozesses in dieses Regelbeispiel schriftlich fest. FRIA und DSFA beruhen dabei auf getrennten Rechtsgrundlagen: die FRIA auf Art. 27 KI-VO, die DSFA auf Art. 35 DSGVO.

Wird der Score von einem externen Dienstleister berechnet, gilt Art. 28 DSGVO: Es dürfen nur Auftragsverarbeiter eingesetzt werden, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und die Zusammenarbeit braucht einen Vertrag mit dem Mindestinhalt des Abs. 3. Beim Datenschutzbeauftragten trennen sich DE und AT: In Deutschland verlangt § 38 Abs. 1 BDSG eine Benennung, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — und unabhängig von dieser Zahl, wenn Verarbeitungen einer DSFA nach Art. 35 DSGVO unterliegen. Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle vor; die Benennungspflicht folgt dort unmittelbar aus Art. 37 DSGVO (§ 5 DSG regelt ergänzend Geheimhaltung und Weisungsfreiheit).

9. Aufsicht und Sanktionen in Deutschland und Österreich

Kreditscoring steht unter getrennten Aufsichtsregimen — für Kreditinstitute in Deutschland zusätzlich unter der Bankenaufsicht. Für die KI-VO benennt jeder Mitgliedstaat nach Art. 70 Abs. 1 und 2 mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde; eine Marktüberwachungsbehörde ist zentrale Anlaufstelle, und die Kontaktdaten waren bis zum 2. August 2025 öffentlich zugänglich zu machen. In Deutschland ist Marktüberwachungsbehörde seit dem 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden — etwa die BaFin — zuständig sind; zentrale Anlaufstelle nach Art. 70 Abs. 2 ist ebenfalls die Bundesnetzagentur (§ 6 Abs. 1 KI-MIG). Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt; die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis. Praxisempfehlung: Klären Sie die Zuständigkeit einmal je Standort und hinterlegen Sie die Kontaktdaten dort, wo Ihr Incident-Response-Prozess sie braucht — nicht erst im Ereignisfall.

Für den Datenschutz sind in Deutschland die nach Landesrecht zuständigen Behörden für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG) und der oder die BfDI für Bundesstellen (§ 9 Abs. 1 BDSG) zuständig, in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG). Für Kreditinstitute in Deutschland tritt die Bankenaufsicht nach dem KWG neben die KI-VO; die aufsichtsrechtlichen Anforderungen an das Score-Modell sind gesondert zu prüfen. Praxisempfehlung: die Nachweise zum Score-Modell so ablegen, dass sie sowohl gegenüber der Marktüberwachung nach der KI-VO als auch gegenüber der Bankenaufsicht vorgelegt werden können, statt zwei getrennte Berichtslinien zu führen.

Alle Zeilen dieser Tabelle nennen gesetzliche Obergrenzen, keine Regelbeträge. Die KI-VO gilt als EU-Verordnung in Deutschland und Österreich unmittelbar und wortgleich; national geregelt sind nur die zuständigen Behörden und das Sanktionsregime im Rahmen von Art. 99 Abs. 1 KI-VO.