FIAON › Ratgeber › Score & Bonität

KI bei der Bonitätsprüfung: Wann Sie eine Erklärung verlangen können

Eine Ablehnung beim Kredit, bei der Karte oder beim Ratenkauf fühlt sich oft wie ein Urteil an. Wenn dabei ein Hochrisiko-KI-System eine Rolle gespielt hat, können Sie eine klare Erläuterung verlangen.

Von Johanna Brecht, Redakteurin für Verbraucherfinanzen · 24.10.2026 · 11 Min. Lesezeit

Die Ablehnung kommt oft knapp. „Leider können wir Ihrem Antrag nicht entsprechen.“ Mehr steht nicht da. Kein Mensch erklärt, ob ein negativer SCHUFA-Eintrag, ein Kontoumsatz, ein alter Rückstand oder ein automatisiertes System den Ausschlag gegeben hat. Wer gerade ein Konto, eine Kreditkarte, einen Ratenkauf oder eine Finanzierung braucht, bleibt mit einer sehr praktischen Frage zurück: Was genau wurde gegen mich gewertet?

Seit die Verordnung (EU) 2024/1689 über künstliche Intelligenz nach Art. 113 laut AI Act Service Desk (Stand 27.07.2026) grundsätzlich seit dem 2. August 2026 gilt, ist diese Frage nicht mehr nur technisch. Bei bestimmten KI-Systemen zur Bonitätsprüfung geht es um Hochrisiko-KI. Das bedeutet nicht, dass jede Ablehnung rechtswidrig ist. Es bedeutet auch nicht, dass jeder schlechte Score „KI“ ist. Es bedeutet aber: Wenn eine Entscheidung auf Grundlage eines solchen Systems rechtliche oder ähnlich erhebliche Auswirkungen hat, kann ein Erklärungsrecht nach Art. 86 der Verordnung (EU) 2024/1689 greifen.

Wichtig ist die Reihenfolge. Zuerst müssen Sie verstehen, welche Daten überhaupt über Sie gespeichert sind und welche Rolle sie gespielt haben könnten. Danach können Sie gezielt fragen: bei der Bank, beim Händler, beim Kartenanbieter oder bei der Auskunftei. Ein Schreiben, das alles vermischt, bleibt leicht hängen. Ein Schreiben, das Auskunftei-Auskunft, Berichtigung, Löschung und Erklärung zur KI-gestützten Entscheidung sauber trennt, ist greifbarer.

Was bedeutet Hochrisiko-KI bei der Bonitätsprüfung?

Hochrisiko-KI heißt nicht: Die Person hat ein hohes Risiko. Es beschreibt die Art des KI-Systems und den Zweck, für den es eingesetzt wird. Anhang III Nummer 5 Buchstabe b der Verordnung (EU) 2024/1689 stuft laut AI Act Service Desk (Stand 27.07.2026) KI-Systeme als Hochrisiko-KI-Systeme ein, wenn sie bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden. Ausgenommen sind dort KI-Systeme zur Aufdeckung von Finanzbetrug.

Praktisch betrifft das natürliche Personen, also Verbraucher. Es kann um einen Kredit gehen, aber auch um andere Entscheidungen mit ähnlichem Gewicht: Kreditkarte, Verfügungsrahmen, Ratenkauf, Kontoeröffnung oder eine Finanzierung. Entscheidend ist nicht das Etikett auf dem Produkt. Entscheidend ist, ob ein KI-System zur Bewertung Ihrer Kreditwürdigkeit oder Bonität verwendet wurde und ob die Entscheidung Sie erheblich trifft.

Nicht jeder Algorithmus ist automatisch ein Hochrisiko-KI-System. Nicht jede Ablehnung beruht auf KI. Ein Unternehmen kann auch feste Regeln verwenden, etwa „kein Dispo bei offenem Negativmerkmal“. Eine Auskunftei kann Daten liefern, ohne selbst über Ihren Antrag zu entscheiden. Eine Bank kann zusätzlich eigene Kontodaten, Einkommen, Ausgaben und interne Regeln auswerten. Genau deshalb ist die Erklärung so wichtig: Sie sollen erfahren können, welche Rolle das KI-System im Entscheidungsprozess hatte und welche wichtigsten Elemente die Entscheidung geprägt haben.

Wann können Sie eine Erklärung verlangen?

Art. 86 der Verordnung (EU) 2024/1689 gibt betroffenen Personen laut AI Act Service Desk (Stand 27.07.2026) bei Entscheidungen auf Grundlage eines Anhang-III-Hochrisiko-KI-Systems mit rechtlichen oder ähnlich erheblichen Auswirkungen ein Recht auf eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems und zu den wichtigsten Elementen der Entscheidung.

Das sind mehrere Voraussetzungen. Sie müssen nicht alle technischen Details kennen. Aber Sie sollten Ihre Anfrage so formulieren, dass der Empfänger erkennt, worum es geht.

SituationWas Sie verlangen können
Kredit wurde nach Bonitätsprüfung abgelehntErläuterung, ob und welche Rolle ein Anhang-III-Hochrisiko-KI-System gespielt hat
Kartenantrag oder Rahmen wurde abgelehntErläuterung der wichtigsten Elemente der Entscheidung, wenn ein entsprechendes KI-System Grundlage war
Ratenkauf wurde verweigertErklärung zur Rolle des KI-Systems, wenn die Ablehnung auf KI-gestützter Bonitätsbewertung beruhte
Nur ein allgemeiner Score wurde angezeigtZusätzlich Datenkopie nach Art. 15 DSGVO prüfen und klären, wer entschieden hat

Die Bundesnetzagentur erläutert laut ihrer Seite „Akteure und Pflichten“ (abgerufen am 24.10.2026), dass Betreiber von Hochrisiko-KI-Systemen nach Anhang III betroffenen Personen gegebenenfalls nach Art. 86 Abs. 1 eine klare und aussagekräftige Erklärung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der Entscheidung bereitstellen müssen.

„Klar und aussagekräftig“ ist mehr als ein Standardsatz. Eine brauchbare Antwort sollte nicht nur sagen: „Die Entscheidung erfolgte automatisiert.“ Sie sollte erkennen lassen, ob die KI das Ergebnis vorbereitet, gewichtet oder wesentlich geprägt hat. Und sie sollte die wichtigsten Entscheidungselemente benennen, etwa Zahlungsstörungen, Einkommens- und Ausgabenbild, bestehende Verpflichtungen, Auskunftei-Merkmale oder interne Risikomerkmale, soweit diese im konkreten Fall relevant waren.

An wen richten Sie Ihre Anfrage?

Wenden Sie sich zuerst an die Stelle, die Ihren Antrag abgelehnt hat. Das kann die Bank, der Kartenanbieter, der Händler, ein Zahlungsdienstleister oder ein Finanzierungsanbieter sein. Dort ist die konkrete Entscheidung gefallen. Schreiben Sie sachlich: Datum der Ablehnung, Produkt, Kundennummer oder Antragsnummer, Ihre Kontaktdaten und die Bitte um Erläuterung nach Art. 86 der Verordnung (EU) 2024/1689, falls ein Hochrisiko-KI-System nach Anhang III eingesetzt wurde.

Parallel sollten Sie die Auskunftei-Daten prüfen. In Deutschland ist das oft die SCHUFA, je nach Fall auch CRIF oder andere Auskunfteien. Die Datenkopie nach Art. 15 DSGVO fordern Sie selbst kostenlos an. Wenn Daten falsch sind, geht es um Berichtigung nach Art. 16 DSGVO. Wenn ein Eintrag nicht mehr gespeichert werden darf, geht es um Löschung nach Art. 17 DSGVO. Wenn Sie der Verarbeitung widersprechen wollen, kann Art. 21 DSGVO eine Rolle spielen. Bei einer Beschwerde an die Datenschutzaufsicht ist Art. 77 DSGVO die Grundlage.

Der Punkt ist: Das Erklärungsrecht zur KI-gestützten Entscheidung ersetzt nicht die Prüfung Ihrer Daten. Wenn eine Bank sagt, ein negativer Eintrag sei ausschlaggebend gewesen, müssen Sie wissen, ob dieser Eintrag korrekt ist. Für offene Forderungen sind die Voraussetzungen des § 31 Abs. 2 BDSG wichtig: Die Forderung muss fällig und nicht bestritten sein; es müssen zwei Mahnungen mit mindestens vier Wochen Abstand erfolgt sein; es muss ein Hinweis auf die mögliche Meldung gegeben worden sein; die Meldung darf frühestens vier Wochen nach der ersten Mahnung erfolgen. Alternativ kann eine titulierte oder anerkannte Forderung vorliegen.

Wenn Sie Ihre Datenkopie noch nicht haben, können Sie den Brief für die Selbstauskunft nutzen. Wenn Sie den neuen SCHUFA-Wert einordnen wollen, hilft der Überblick SCHUFA-Score verstehen. Die Erklärung zur KI-Entscheidung und die Prüfung der gespeicherten Daten sind zwei getrennte Wege. Beide können nebeneinander laufen.

Schritt für Schritt: So gehen Sie nach einer Ablehnung vor

  1. Ablehnung sichern. Speichern Sie E-Mail, Brief, Screenshot oder Nachricht im Kundenkonto. Notieren Sie das Datum der Ablehnung und das betroffene Produkt.
  1. Entscheider benennen. Schreiben Sie auf, wer abgelehnt hat: Bank, Händler, Kartenanbieter, Zahlungsdienstleister oder Finanzierungsanbieter. Die Anfrage zur KI-Erklärung richten Sie an diese Stelle.
  1. Datenkopie anfordern. Fordern Sie Ihre kostenlose Datenkopie nach Art. 15 DSGVO bei der genannten Auskunftei an. Wenn in der Ablehnung keine Auskunftei genannt wird, fragen Sie nach, welche externen Bonitätsdaten verwendet wurden.
  1. Erklärung nach Art. 86 verlangen. Formulieren Sie ruhig und konkret: „Bitte erläutern Sie mir nach Art. 86 der Verordnung (EU) 2024/1689, ob die Entscheidung auf Grundlage eines Hochrisiko-KI-Systems nach Anhang III getroffen wurde, welche Rolle dieses System im Entscheidungsprozess hatte und welche wichtigsten Elemente für die Entscheidung maßgeblich waren.“
  1. Daten und Entscheidung trennen. Wenn ein Auskunftei-Eintrag falsch ist, schreiben Sie an die Auskunftei. Wenn die Ablehnung unverständlich bleibt, schreiben Sie an den Entscheider. Vermischen Sie beides nicht in einem einzigen langen Beschwerdetext.
  1. Fristen und Antworten sammeln. Legen Sie einen Ordner an. Jede Antwort, jedes Datum, jede Kundennummer gehört dazu. So sehen Sie später, ob eine Stelle nur allgemein geantwortet hat oder wirklich auf Ihre Frage eingegangen ist.
  1. Bei falschen Daten nachfassen. Nutzen Sie Art. 16 DSGVO für Berichtigung und Art. 17 DSGVO für Löschung. Wenn ein offener Forderungseintrag die Voraussetzungen des § 31 Abs. 2 BDSG nicht erfüllt, benennen Sie genau diesen Punkt.

Warum die Datenkopie oft wichtiger ist als das Wort „KI“

Viele Menschen suchen nach KI und Bonitätsprüfung, weil sie eine Ablehnung bekommen haben und vermuten, dass ein System sie aussortiert hat. Das kann stimmen. Es kann aber auch sein, dass ein alter Eintrag, eine verwechslungsanfällige Adresse, ein erledigter Rückstand oder ein unklarer Forderungsstatus das Problem ist.

Ein KI-System verarbeitet nicht im luftleeren Raum. Es arbeitet mit Daten, Merkmalen und Gewichtungen. Wenn die Daten falsch sind, kann auch eine technisch saubere Entscheidung falsch wirken. Wenn die Daten stimmen, kann eine Ablehnung trotzdem hart sein, aber rechtlich schwer angreifbar. Darum ist die Datenkopie kein Nebenweg. Sie ist die Grundlage, um nicht ins Blaue zu schreiben.

Achten Sie besonders auf diese Punkte:

  • offene Forderungen, die Sie bestritten haben,
  • erledigte Forderungen, die noch als offen erscheinen,
  • falsche Namen, Adressen oder Geburtsdaten,
  • mehrfach gemeldete Forderungen,
  • Anfragen, die Sie nicht zuordnen können,
  • Einträge, bei denen Mahnungen oder Hinweise fehlen könnten.

Bei erledigten Forderungen gelten nach den Verhaltensregeln der Auskunfteien grundsätzlich drei Jahre. Seit 2024 kann eine kürzere Speicherdauer greifen, wenn die Forderung 100 Tage nach Meldung beglichen wurde und keine weiteren Einträge hinzukommen: Dann sind 18 Monate genannt. Nach der Rechtsprechung des BGH aus 2023 zur Restschuldbefreiung wird diese sechs Monate gespeichert. Anfragen werden zwölf Monate gespeichert und sind für Dritte zehn Tage sichtbar. Diese Fristen ändern nichts daran, dass unrichtige Daten nach Art. 16 DSGVO berichtigt werden müssen.

Was FIAON dabei übernimmt

FIAON setzt genau an der Stelle an, an der viele Betroffene festhängen: bei der Trennung von Daten, Eintrag und Entscheidung. Für Privatkunden erklärt FIAON jeden Eintrag Ihrer selbst angeforderten, kostenlosen Datenkopie von SCHUFA, KSV1870 oder CRIF, bereitet Schreiben vor und versendet sie. Dazu gehören Löschantrag, Widerspruch und Ratenangebot. Fristen und Antworten werden im Kundenbereich verfolgt. Mehr dazu finden Sie unter FIAON für Privatkunden.

Zusätzlich zeigt die FIAON-Bonitätsauswertung Ihre Bonität aus Sicht einer Bank anhand von Ausweis und Kontoauszügen: Haushaltsrechnung, Ampel und Handlungsplan. Für neue Paketkunden ist diese Auswertung im Paket enthalten. Nach der Einordnung öffnet FIAON den Weg zum Link der Partnerbank DKB für Girokonto und Visa-Kreditkarte; über Konto, Karte und Rahmen entscheidet die Bank. FIAON beschafft keine Auskünfte für Privatkunden, vergibt keine Kredite und verspricht keine Löschung.

Für eine KI-gestützte Ablehnung heißt das praktisch: FIAON kann ein Schreiben so vorbereiten, dass die Auskunftei-Auskunft, eine mögliche Berichtigung oder Löschung und die Erläuterung nach Art. 86 der Verordnung (EU) 2024/1689 getrennt angesprochen werden. Der Antrag bei FIAON führt durch die Angaben, die für das passende Paket und die nächsten Schritte gebraucht werden.

Welche Pflichten gelten jetzt, welche erst später?

Am 24. Oktober 2026 ist wichtig, sauber zu unterscheiden. Die Verordnung (EU) 2024/1689 gilt nach Art. 113 laut AI Act Service Desk (Stand 27.07.2026) grundsätzlich seit dem 2. August 2026. Das Erklärungsrecht nach Art. 86 ist deshalb für Betroffene ein aktueller Ansatzpunkt, wenn die Entscheidung auf Grundlage eines Anhang-III-Hochrisiko-KI-Systems getroffen wurde und rechtliche oder ähnlich erhebliche Auswirkungen hat.

Gleichzeitig greifen nicht alle technischen Hochrisiko-Pflichten für Anhang-III-Systeme schon vollständig. Nach der konsolidierten Fassung von Art. 113 sollen Kapitel III Abschnitte 1 bis 3 für KI-Systeme, die nach Art. 6 Abs. 2 und Anhang III als hochriskant eingestuft sind, laut AI Act Service Desk (Stand 27.07.2026) ab dem 2. Dezember 2027 gelten. Das ist für Verbraucher wichtig, weil Unternehmen sich bei technischen Detailpflichten auf spätere Anwendungszeitpunkte beziehen können. Das nimmt Ihnen aber nicht automatisch das Recht, zur konkreten Entscheidung eine klare Erläuterung zu verlangen, wenn Art. 86 greift.

Bei Beschwerden ist die Zuständigkeit im Aufbau. Nach dem Bundestagsbericht vom 11. Juni 2026 soll die Bundesnetzagentur zentrale Marktüberwachungsbehörde und Anlauf- beziehungsweise Beschwerdestelle werden; bei KI-Systemen in direktem Zusammenhang mit regulierter Finanztätigkeit soll nach Darstellung der Bundesregierung die BaFin zuständige Marktüberwachungsbehörde sein. Für Datenschutzfragen bleibt daneben die Datenschutzaufsicht wichtig, etwa bei falschen Auskunftei-Daten nach der DSGVO.

Was nicht geht

Eine Erklärung nach Art. 86 ist kein Anspruch auf Zusage eines Kredits, einer Karte, eines Kontos oder eines Verfügungsrahmens. Sie zwingt den Anbieter nicht dazu, seine Entscheidung zu ändern. Sie soll Ihnen erklären, welche Rolle das KI-System hatte und welche wichtigsten Elemente die Entscheidung geprägt haben.

Auch eine berechtigte Auskunftei-Meldung verschwindet nicht allein deshalb, weil sie belastend ist. Wenn die Voraussetzungen erfüllt sind und die Speicherfrist noch läuft, ist eine vorzeitige Löschung oft nicht erreichbar. Angreifbar sind vor allem falsche, veraltete, doppelte oder unvollständig gemeldete Daten sowie Einträge, bei denen die Voraussetzungen des § 31 Abs. 2 BDSG nicht eingehalten wurden.

Vorsicht auch bei Versprechen rund um „Kredit ohne SCHUFA“. Eine seriöse Lösung besteht nicht darin, die Bonitätsprüfung zu umgehen. Realistischer ist: Daten prüfen, Fehler korrigieren lassen, offene Forderungen ordnen, Antworten dokumentieren und danach neu ansetzen.

Das Wichtigste in drei Sätzen

KI bei der Bonitätsprüfung ist rechtlich relevant, wenn ein Anhang-III-Hochrisiko-KI-System zur Kreditwürdigkeitsprüfung oder Bonitätsbewertung natürlicher Personen eingesetzt wurde. Nach Art. 86 der Verordnung (EU) 2024/1689 können Betroffene eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems und zu den wichtigsten Elementen der Entscheidung verlangen, wenn die Entscheidung rechtliche oder ähnlich erhebliche Auswirkungen hat. Parallel sollten Sie Ihre Auskunftei-Daten nach Art. 15 DSGVO prüfen, denn eine verständliche KI-Erklärung hilft wenig, wenn die zugrunde liegenden Einträge falsch oder unvollständig sind.

Quellen

Häufige Fragen

Ist jede Bonitätsprüfung mit schlechtem Ergebnis automatisch KI?

Nein. Eine Ablehnung kann auf festen Regeln, Auskunftei-Daten, internen Vorgaben oder einer Kombination beruhen. Hochrisiko-KI liegt nach Anhang III Nummer 5 Buchstabe b der Verordnung (EU) 2024/1689 nur vor, wenn ein KI-System bestimmungsgemäß zur Kreditwürdigkeitsprüfung oder Bonitätsbewertung natürlicher Personen verwendet wird.

Was kann ich verlangen, wenn meine Bonität durch KI abgelehnt wurde?

Wenn die Entscheidung auf Grundlage eines Anhang-III-Hochrisiko-KI-Systems getroffen wurde und rechtliche oder ähnlich erhebliche Auswirkungen hat, können Sie nach Art. 86 der Verordnung (EU) 2024/1689 eine klare und aussagekräftige Erläuterung verlangen. Diese muss die Rolle des KI-Systems und die wichtigsten Elemente der Entscheidung betreffen.

Muss ich zuerst die SCHUFA-Datenkopie anfordern?

Sie müssen das nicht zuerst tun, aber es ist oft sinnvoll. Die Datenkopie nach Art. 15 DSGVO zeigt, welche Einträge gespeichert sind. Wenn ein Eintrag falsch ist, können Berichtigung nach Art. 16 DSGVO oder Löschung nach Art. 17 DSGVO der passendere Schritt sein als nur eine KI-Erklärung.

An wen schreibe ich: Auskunftei oder Bank?

Die Erklärung zur konkreten Ablehnung richten Sie an die Stelle, die entschieden hat, also etwa Bank, Händler, Kartenanbieter oder Zahlungsdienstleister. Die Auskunftei schreiben Sie an, wenn Sie Auskunft, Berichtigung, Löschung oder Widerspruch zu gespeicherten Daten geltend machen wollen.

Gelten alle Pflichten für Hochrisiko-KI schon am 24. Oktober 2026?

Nein. Die Verordnung (EU) 2024/1689 gilt nach Art. 113 grundsätzlich seit dem 2. August 2026. Nach der konsolidierten Fassung sollen Kapitel III Abschnitte 1 bis 3 für Anhang-III-Hochrisiko-Systeme laut AI Act Service Desk ab dem 2. Dezember 2027 gelten; das Erklärungsrecht nach Art. 86 bleibt für die konkrete Entscheidung der aktuelle Hebel.