Automatisierte Bonitätsprüfung im Online-Shop: Was Art. 22 DSGVO wirklich verbietet – und was (noch) nicht

Automatisierte Bonitätsprüfung: Wie „frei“ ist Ihre Zahlungsart im Internet tatsächlich? Viele Kundinnen und Kunden merken erst beim Checkout, dass der Rechnungskauf plötzlich nicht mehr angeboten wird – obwohl Kreditkarte oder PayPal weiterhin möglich sind. Dahinter stecken meist automatisierte Bonitätsprüfungen, die rechtlich heikel sein können.

Der Oberste Gerichtshof (OGH) in Österreich hat dazu einen aktuellen Fall dem Europäischen Gerichtshof (EuGH) vorgelegt. Es geht um die Auslegung von Art. 22 DSGVO und die Frage, ob und wann die automatisierte Ablehnung bestimmter Zahlungsarten überhaupt zulässig ist. Die endgültige Antwort des EuGH steht noch aus – die Weichen sind aber gestellt.

Zur Entscheidung.

Typische Ausgangssituation: Bestellung möglich, aber „auf Rechnung“ gesperrt

Im entschiedenen Fall – der nun beim EuGH liegt – sah die Konstellation so aus, wie sie tausendfach im Online-Handel vorkommt:

• Ein Versandhändler bietet verschiedene Zahlungsarten an, insbesondere „unsichere“ Varianten wie Kauf auf Rechnung oder Ratenzahlung sowie „sichere“ Varianten wie Kreditkarte oder PayPal.
• Vor Abschluss der Bestellung werden Kundendaten automatisiert geprüft – etwa durch interne Scorewerte und/oder über eine externe Auskunftei.
• Fällt das Ergebnis ungünstig aus (z. B. „Kunde unbekannt“, geringe Scorewerte, negative interne Historie), lehnt das System bestimmte Zahlungsarten ab.
• Die Bestellung als solche wird aber nicht verhindert: Der Kunde kann die Ware noch kaufen, muss jedoch auf andere Zahlungsarten ausweichen.

Ein Verbraucherverein sah darin eine unzulässige „ausschließlich automatisierte Entscheidung“ im Sinn des Art. 22 DSGVO und klagte. Seine Argumentation: Kundinnen und Kunden würden nicht ausreichend vor automatisierter Benachteiligung geschützt, wenn ohne menschliche Mitwirkung über die Zahlungsmodalitäten entschieden wird.

Der OGH erkannte, dass hier zentrale Fragen des europäischen Datenschutzrechts berührt sind, die über den Einzelfall hinausgehen – und legte daher mehrere Auslegungsfragen an den EuGH vor. Bis zur Entscheidung des EuGH ist das Verfahren ausgesetzt.

Art. 22 DSGVO: Wann ist eine automatisierte Entscheidung verboten?

Art. 22 DSGVO schützt Betroffene vor bestimmten Formen automatisierter Entscheidungen. In vereinfachter Form:

• Grundsatz: Personen dürfen nicht einer Entscheidung unterworfen werden, die ausschließlich auf automatisierter Verarbeitung beruht, rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
• Ausnahmen: Ein solcher Automatismus ist zulässig, wenn z. B. die Entscheidung für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist (Art. 22 Abs. 2 lit. a DSGVO) und bestimmte Schutzvorkehrungen eingehalten werden (Art. 22 Abs. 3 DSGVO).

Im Zusammenhang mit der Ablehnung oder Einschränkung von Zahlungsarten im Online-Handel stellen sich daher drei Kernfragen:

1. Liegt überhaupt eine „Entscheidung“ vor, die ausschließlich automatisiert ist?
   Wenn eine Software ohne menschliches Zutun aus Daten ein Ergebnis berechnet („Zahlungsart X zulassen / nicht zulassen“), spricht viel für eine automatisierte Entscheidung.
2. Hat diese Entscheidung „rechtliche Wirkung“ oder beeinträchtigt sie „in ähnlicher Weise erheblich“?
   Ein typisches Beispiel für eine erhebliche Beeinträchtigung wäre die automatische Ablehnung eines Kredits, der für eine Wohnung oder ein Auto benötigt wird.
3. Greift eine Ausnahme?
   Insbesondere: Ist diese automatisierte Entscheidung tatsächlich erforderlich für den Vertragsabschluss oder die Vertragserfüllung – und sind die genutzten Daten dafür überhaupt objektiv geeignet?

Diese Punkte sind im konkreten Fall nicht endgültig geklärt. Der OGH hat jedoch wichtige Überlegungen skizziert, an denen sich Verbraucher und Händler orientieren können.

Vorläufige Einschätzung des OGH: Wann ist die Einschränkung von Zahlungsarten „erheblich“?

Der OGH hat betont, dass er den Fall nicht endgültig entschieden hat. Er hat aber deutlich gemacht, wie er Art. 22 DSGVO vorläufig versteht:

• Keine automatische „Erheblichkeit“ bei alternativen Zahlungsarten
  Wenn die Bestellung weiterhin möglich ist und dem Kunden zumutbare alternative Zahlungsarten (z. B. Kreditkarte, PayPal) offenstehen, sieht der OGH nicht ohne Weiteres eine „rechtliche Wirkung“ oder eine „ähnlich erhebliche Beeinträchtigung“ im Sinn von Art. 22 DSGVO. Ob das der EuGH genauso sieht, bleibt abzuwarten.
• Sachlicher Zusammenhang mit dem Vertrag
  Der OGH erkennt grundsätzlich einen nachvollziehbaren Zusammenhang zwischen Bonitätsprüfung und Zweck des Kaufvertrags: Der Händler möchte Waren liefern, ohne auf dem Kaufpreis sitzen zu bleiben. Bonitätsprüfungen können daher – grundsätzlich – dem Vertragszweck dienen.
• Objektive Eignung der Daten entscheidend
  Damit sich ein Händler auf die Ausnahme des Art. 22 Abs. 2 lit. a DSGVO stützen kann („erforderlich für Vertragsabschluss/-erfüllung“), müssen die verwendeten Daten objektiv geeignet sein, die Ausfallwahrscheinlichkeit realistisch zu bewerten. Reine Fantasiewerte oder pauschale Annahmen genügen nicht.
• „Erforderlichkeit“ heißt: keine sinnvolleAlternative
  Die automatische Entscheidung muss auch tatsächlich erforderlich sein. Das kann zum Beispiel dann der Fall sein, wenn bei hohen Bestellmengen eine individuelle menschliche Prüfung mit vertretbarem Aufwand gar nicht durchführbar ist – etwa weil Kundinnen und Kunden eine sofortige Zahlungsentscheidung erwarten.
• Offen: Wer muss was beweisen?
  Noch ungeklärt ist, wer im Streitfall nachweisen muss, welche Daten genau verarbeitet wurden und ob eine manuelle Entscheidung mit vertretbarem Aufwand möglich gewesen wäre. Genau hierzu soll der EuGH nun Klarheit schaffen.

Was bedeutet das für Verbraucher konkret?

Für Konsumentinnen und Konsumenten ist zunächst wichtig: Die bloße Ablehnung einer bestimmten Zahlungsart ist nicht automatisch rechtswidrig. Dennoch bestehen wesentliche Rechte und Handlungsmöglichkeiten:

• 1. Verweigerte Zahlungsart = Warnsignal
  Wenn Sie plötzlich keinen Kauf auf Rechnung oder keine Ratenzahlung mehr angeboten bekommen, obwohl andere Zahlungsmethoden funktionieren, spricht viel dafür, dass eine automatisierte Bonitätsprüfung stattgefunden hat.
• 2. Anspruch auf Information und Auskunft
  Sie haben ein Recht zu erfahren, ob und in welchem Umfang Ihre Daten für eine Bonitätsprüfung verwendet wurden. Sie können insbesondere Auskunft verlangen:
  • welche Datenkategorien herangezogen wurden (z. B. Adressdaten, Zahlungsverhalten, Auskunftei-Informationen),
  • welches grobe Ergebnis das Scoring hatte,
  • ob und in welchem Umfang eine automatisierte Entscheidung im Sinn des Art. 22 DSGVO vorgenommen wurde.
• 3. Recht auf menschliche Überprüfung
  Wenn Art. 22 DSGVO zur Anwendung kommt, müssen Händler Sicherungen einbauen. Dazu gehört insbesondere die Möglichkeit, eine manuelle Überprüfung der Entscheidung zu verlangen und den eigenen Standpunkt darzulegen.
• 4. Beschwerde und rechtliche Schritte
  Fühlen Sie sich durch eine automatisierte Zahlungsentscheidung benachteiligt, können Sie sich an die Datenschutzbehörde wenden oder rechtliche Hilfe in Anspruch nehmen, um:
  • Auskunftsansprüche durchzusetzen,
  • die Rechtmäßigkeit der Entscheidung prüfen zu lassen,
  • gegebenenfalls Ansprüche auf Unterlassung oder Schadenersatz zu prüfen.

Praxisbeispiele: Wann kann es brenzlig werden?

Die Unsicherheit in der Rechtslage betrifft viele Alltagssituationen im Online-Handel. Einige typische Konstellationen:

• Beispiel 1: Neuer Kunde, Rechnungskauf verweigert
  Eine Kundin bestellt erstmals bei einem Händler. Sie möchte auf Rechnung zahlen, bekommt aber nur Vorkasse und Kreditkarte angeboten. Im Hintergrund hat das System aufgrund fehlender Daten („Kunde unbekannt“) den Rechnungskauf ausgeschlossen. Ob das zulässig ist, hängt davon ab, wie der EuGH die „Erheblichkeit“ und die Ausnahmen nach Art. 22 bewertet.
• Beispiel 2: Kunde mit negativer Auskunft
  Ein Kunde hatte früher Zahlungsschwierigkeiten; in einer Auskunftei ist ein negativer Eintrag vorhanden. Der Händler lehnt den Rechnungskauf automatisiert ab, lässt aber Kreditkarte und PayPal zu. Je nach Auslegung des EuGH kann dies als zulässige risikoorientierte Entscheidung oder als unzulässige automatisierte Benachteiligung bewertet werden – insbesondere, wenn die Daten veraltet oder nur begrenzt aussagekräftig sind.
• Beispiel 3: Nur eine Zahlungsart – automatisiert blockiert
  Ein Händler bietet ausschließlich Kauf auf Rechnung an und lehnt auf Basis eines Scores automatisiert ab. Der Kunde kann dann gar nicht bestellen. Hier spricht deutlich mehr für eine „rechtliche Wirkung“ und eine erhebliche Beeinträchtigung, sodass der Schutz des Art. 22 DSGVO wesentlich näher liegt.

Handlungsempfehlungen für Online-Händler: Jetzt Prozesse prüfen

Für Händler ist die Lage heikel: Die EuGH-Entscheidung steht zwar noch aus, aber die Stoßrichtung des OGH zeigt, worauf es künftig ankommen wird. Online-Händler sollten ihre Bonitäts- und Zahlungsprozesse bereits jetzt kritisch prüfen:

• Datenbasis transparent und sachlich begründen
  Dokumentieren Sie, welche Datenkategorien Sie verwenden (z. B. Name, Adresse, Zahlungsverhalten, Auskunftei-Score) und warum diese objektiv geeignet sind, ein Zahlungsausfallrisiko einzuschätzen.
• „Erforderlichkeit“ der Automatisierung belegen
  Machen Sie nachvollziehbar, weshalb eine manuelle Einzelfallprüfung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist – etwa wegen hoher Bestellvolumina, Marktanforderungen an schnelle Checkout-Prozesse oder Personalkapazitäten.
• Verfahrensgarantien nach Art. 22 Abs. 3 DSGVO implementieren
  Stellen Sie sicher, dass betroffene Kunden:
  • Informationen zur automatisierten Entscheidung erhalten,
  • eine menschliche Überprüfung verlangen können,
  • ihren Standpunkt darlegen und die Entscheidung anfechten können.
• Transparenzhinweise in Shop und Datenschutzerklärung
  Weisen Sie klar und verständlich darauf hin, dass Bonitätsprüfungen stattfinden können, durch wen, zu welchem Zweck und auf welcher Rechtsgrundlage. Nennen Sie betroffene Datenkategorien und die wesentlichen Kriterien.
• Beschwerden und Anfragen strukturiert bearbeiten
  Richten Sie interne Abläufe ein, um Auskunftsbegehren, Widersprüche und Anfechtungen effizient und fristgerecht beantworten zu können. Sorgfältige Dokumentation kann im Konfliktfall entscheidend sein.

Rechtsanwalt Wien

Checkliste: Was sollten Betroffene jetzt konkret tun?

Für Verbraucherinnen und Verbraucher

• 1. Situation dokumentieren
  Speichern Sie wenn möglich Screenshots des Bestellvorgangs und der angezeigten Zahlungsarten.
• 2. Auskunft verlangen
  Fragen Sie beim Händler schriftlich nach:
  • ob eine automatisierte Bonitätsprüfung erfolgt ist,
  • welche Datenkategorien dabei verwendet wurden,
  • auf welcher Rechtsgrundlage die Entscheidung beruht.
• 3. Manuelle Überprüfung anregen
  Fordern Sie eine erneute, menschliche Prüfung der Zahlungsentscheidung und legen Sie, falls nötig, Ihre Sicht der Dinge dar (z. B. aktualisierte Einkommensverhältnisse, bereits beglichene Altschulden).
• 4. Beratung einholen
  Wenn der Händler nicht reagiert oder Sie die Antwort für unbefriedigend halten, kann anwaltliche Unterstützung helfen, Rechte durchzusetzen oder eine Beschwerde bei der Datenschutzbehörde vorzubereiten.

Für Händler und Online-Shops

• 1. Bestehende Prozesse inventarisieren
  Erfassen Sie alle Systeme, in denen Bonitätsprüfungen und Zahlungsentscheidungen automatisiert stattfinden.
• 2. Rechtliche Grundlagen prüfen
  Überprüfen Sie, ob Sie sich realistisch auf Art. 22 Abs. 2 lit. a DSGVO („erforderlich für den Vertrag“) stützen können und ob die Voraussetzungen dazu tatsächlich erfüllt sind.
• 3. Technische und organisatorische Anpassungen
  Passen Sie Systeme und Prozesse so an, dass Betroffenenrechte (Information, Auskunft, Überprüfung) effektiv umgesetzt werden können.
• 4. Laufende Überwachung
  Behalten Sie die anstehende EuGH-Entscheidung im Blick und planen Sie jetzt schon, wie Sie Ihre Prozesse bei einer engen Auslegung von Art. 22 DSGVO rasch nachschärfen können.

FAQ: Häufige Fragen rund um automatisierte Bonitätsprüfungen

Ist es erlaubt, dass mir der Rechnungskauf einfach verweigert wird?

Es kann zulässig sein, Ihnen bestimmte Zahlungsarten zu verweigern, insbesondere wenn alternative, zumutbare Zahlungsarten zur Verfügung stehen. Ob die konkrete Ausgestaltung datenschutzrechtlich erlaubt ist, hängt aber davon ab, ob eine verbotene automatisierte Entscheidung im Sinn von Art. 22 DSGVO vorliegt und ob eine zulässige Ausnahme greift. Hierfür ist die noch ausstehende Klärung durch den EuGH maßgeblich.

Wie finde ich heraus, ob eine Auskunftei über mich befragt wurde?

Sie können sowohl beim Händler als auch direkt bei bekannten Auskunfteien (z. B. in Österreich KSV1870, CRIF u. a.) ein Auskunftsbegehren stellen. Diese müssen Ihnen mitteilen, ob Daten zu Ihrer Person verarbeitet werden, von wem sie stammen und zu welchem Zweck sie verwendet werden.

Kann ich verlangen, dass ein Mensch über meine Zahlungsart entscheidet?

Wenn Art. 22 DSGVO einschlägig ist, haben Sie Anspruch darauf, dass eine betroffene Entscheidung von einer Person erneut überprüft wird. Der Händler muss dann Ihren Standpunkt berücksichtigen und darf nicht ausschließlich auf eine Blackbox-Entscheidung vertrauen. Ob dies im Einzelfall so ist, bedarf jedoch einer rechtlichen Prüfung.

Was droht Händlern, wenn die Verfahren nicht DSGVO-konform sind?

Bei Verstößen gegen die DSGVO drohen Verwarnungen, Anordnungen der Datenschutzbehörde, Unterlassungsansprüche und im Extremfall erhebliche Geldbußen. Zudem besteht das Risiko von Sammelaktionen durch Verbraucherorganisationen, wenn systematisch gegen Datenschutzvorgaben verstoßen wird.

Rechtliche Unterstützung: Bonitätsprüfungen und Zahlungsprozesse professionell absichern

Die anstehende EuGH-Entscheidung wird entscheidend dafür sein, wie weit automatisierte Bonitätsprüfungen im Online-Handel künftig zulässig sind. Bis dahin besteht eine Grauzone, in der sowohl Verbraucher als auch Händler Risiken tragen.

Mit langjähriger Erfahrung als Rechtsanwalt im Datenschutz- und Zivilrecht berät die Kanzlei Pichler sowohl betroffene Kundinnen und Kunden als auch Unternehmen bei der rechtssicheren Gestaltung und Überprüfung von Bonitäts- und Zahlungsprozessen. Wir unterstützen Sie dabei, Auskunftsrechte durchzusetzen, Beschwerden vorzubereiten oder interne Abläufe DSGVO-konform auszurichten.

Wenn Sie wissen möchten, wie Ihre konkrete Situation rechtlich zu beurteilen ist, oder wenn Sie Ihre bestehenden Verfahren einer kritischen Prüfung unterziehen wollen, erreichen Sie die Pichler Rechtsanwalt GmbH unter 01/5130700 oder per E‑Mail an wien@anwaltskanzlei-pichler.at.

---

Rechtliche Hilfe benötigt?

Kontaktieren Sie unsere Rechtsanwaltskanzlei in 1010 Wien: Beratungstermin vereinbaren.