EstEnergy lehnte Kunden automatisch aufgrund eines undurchsichtigen Scores ab; Italiens Datenschutzbehörde verhängte ein Bußgeld von 1,4 Mio. €

Italiens Datenschutzbehörde, der Garante, verhängte am 3. Juli 2026 gegen den Energieversorger EstEnergy ein Bußgeld von 1,4 Millionen €, weil das Unternehmen ein automatisiertes Bonitätsscoring betrieb, das Gas- und Stromverträge ablehnte – und die Antragsteller darüber im Unklaren ließ. Verwandte Entscheidungen desselben Monats verhängten gegen die Konzerngesellschaft Hera Comm 5,8 Mio. €, gegen die Auskunftei Cerved Group 400 Tsd. € und gegen Experian Italia 120 Tsd. €, insgesamt 7,72 Millionen €.

Das System arbeitete in Stufen: EstEnergy führte zunächst eigene Prüfungen durch und fragte dann Cerved und Experian ab, deren beide Scores zum „Score CGS-X“ zusammengeführt wurden. Oberhalb eines bestimmten Schwellenwerts gab das System automatisch ein „KO“ zurück – kein Vertrag. Nach Angaben des Garante durchliefen zwischen 2022 und dem 18. März 2024 insgesamt 1.003.657 Personen die externen Prüfungen; die Entscheidung sagt nicht, wie viele abgelehnt wurden.

Als Beschwerdeführer EstEnergy nach ihren Scores fragten, erklärte das Unternehmen, die Einzelheiten nicht zu kennen, und verwies sie an Cerved und Experian. Der Garante stellte fest, die Informationen seien „tatsächlich EstEnergy vollständig verfügbar“ gewesen – und in einem Fall habe EstEnergy einem Kunden einen Bonitätsbericht geschickt, in dem sie den Abschnitt mit den Teil-Scores „bewusst unkenntlich gemacht“ habe. Die Aufsichtsbehörde stellte Verstöße gegen die Artikel 5, 12, 13, 14, 15 und 28 der DSGVO fest und ordnete an, dass EstEnergy binnen sechs Monaten Auskunftsersuchen mit dem Score und der Logik seiner Berechnung beantwortet, ihre Antworten korrigiert und menschliche Eingriffsmöglichkeiten vorsieht.

Experian wurde gesondert geprüft: Der Garante befand, sein Scoring falle unter die automatisierte Entscheidungsfindung, wie sie der Gerichtshof der Europäischen Union im Fall SCHUFA beschrieben hat, und verhängte ein Bußgeld von 120.000 €. Am 21. Juli 2026 erklärten Hera Comm und EstEnergy, sie hätten bereits Korrekturmaßnahmen ergriffen, und behielten sich das Recht vor, die Entscheidung anzufechten.

1,4 Mio. € für EstEnergy, 5,8 Mio. € für die Konzerngesellschaft Hera Comm, 400 Tsd. € für Cerved, 120 Tsd. € für Experian – insgesamt 7,72 Mio. € – plus eine sechsmonatige Anordnung zur Offenlegung von Scores und Logik.

Die Automatisierung eines „KO“ bei einer wesentlichen Dienstleistung ist die heikelste Verwendung eines Bonitätsscores – und das Unternehmen konnte die eine Zahl nicht erklären, die darüber entschied.

Das Abblocken war gezielt: Der Garante dokumentierte einen geschwärzten Bonitätsbericht, der an einen Kunden geschickt wurde, der nach dem Grund gefragt hatte.

Die Auskunfteien verantwortlich zu machen, funktionierte nicht – die Aufsichtsbehörde stellte fest, dass der Score und seine Faktoren in den eigenen Systemen von EstEnergy lagen.

Die SCHUFA-Einordnung zieht gewöhnliches Bonitätsscoring unter die strengsten DSGVO-Regeln: Eine automatisierte Entscheidung mit rechtlichen Wirkungen erfordert Erklärbarkeit und menschliche Überprüfung.

Wenn ein Algorithmus darüber entscheidet, wer eine wesentliche Dienstleistung erhält, muss man jeder Person ihren Score, die Gründe dafür und die Möglichkeit einer menschlichen Überprüfung mitteilen können.

Die Entscheidung vom 3. Juli 2026 erlaubt binnen dreißig Tagen die Anfechtung vor den ordentlichen Gerichten; Hera Comm und EstEnergy erklärten am 21. Juli 2026, Korrekturmaßnahmen seien bereits ergriffen worden und sie prüften ihre Optionen, und bis zum 3. Oktober 2026 war keine eingelegte Anfechtung festgestellt. EstEnergy muss binnen sechs Monaten jedem Anfragenden seinen CGS-X-Score und dessen Berechnung mitteilen, den Beschwerdeführern korrigierte Antworten senden und Verfahren zur Berichtigung und zum menschlichen Eingriff einrichten.