Uitspraak
SCHUFA: kredietscore die derden zwaar laten meewegen is een geautomatiseerd besluit
- Datum
- Status
- definitief
- Instantie
- Hof van Justitie van de EU (Eerste kamer), OQ tegen Land Hessen, met SCHUFA Holding AG als interveniënt
- Kenmerk
- C-634/21, ECLI:EU:C:2023:957
Waar het over gaat
Kernvraag: is het automatisch berekenen van een kredietscore door een kredietinformatiebureau al een geautomatiseerd individueel besluit in de zin van artikel 22, ook al neemt een bank of winkel het eigenlijke besluit? Oordeel: ja, wanneer de derde die de score ontvangt daar sterk op steunt om een overeenkomst aan te gaan, uit te voeren of te beëindigen. De score is dan zelf het besluit met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen, en het verbod van artikel 22 lid 1 geldt tenzij een uitzondering van lid 2 van toepassing is.
Wat dit betekent voor de praktijk
Als u scores, risico-indicatoren of rankings levert die klanten bijna automatisch overnemen, bent u zelf verantwoordelijk voor de eisen van artikel 22: een geldige uitzondering (wet, overeenkomst of uitdrukkelijke toestemming), passende waarborgen, menselijke tussenkomst en informatie over de gebruikte logica. Afnemers van zulke scores moeten nagaan of hun besluitproces feitelijk op de score leunt en hun informatievoorziening en bezwaarmogelijkheid daarop inrichten. Dit raakt ook AI-modellen die risicoscores voor mensen berekenen.
De AVG-artikelen waar het om gaat
- Artikel 13: Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld
- Artikel 14: Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen
- Artikel 15: Recht van inzage van de betrokkene
- Artikel 22: Geautomatiseerde individuele besluitvorming, waaronder profilering
Bron: EUR-Lex, arrest C-634/21gecontroleerd op 15 september 2026
Samenvatting en praktijkduiding door Praxikon. Geen juridisch advies; de bron gaat voor.
Samenhang
Wat samenhangt met deze ontwikkeling
Thema’s waarin dit terugkomt
De tegenhanger in de andere wet
- Artikel 14 AI Act: Menselijk toezicht
- Artikel 26 AI Act: Verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico
- Artikel 50 AI Act: Transparantieverplichtingen voor aanbieders en gebruiksverantwoordelijken van bepaalde AI-systemen
- Artikel 86 AI Act: Recht op uitleg bij individuele besluitvorming
Rechtspraak
- EDPS tegen SRB: gepseudonimiseerde gegevens zijn niet voor iedereen altijd persoonsgegevens, maar de informatieplicht geldt vanaf het verzamelen
2025-09-04 · definitief, Hof van Justitie van de EU (Eerste kamer), Europese Toezichthouder voor gegevensbescherming (EDPS) tegen Gemeenschappelijke Afwikkelingsraad (SRB)
- Dun & Bradstreet: recht op begrijpelijke uitleg van een geautomatiseerd besluit, bedrijfsgeheim is geen absolute weigeringsgrond
2025-02-27 · definitief, Hof van Justitie van de EU (Eerste kamer), CK tegen Magistrat der Stadt Wien, met Dun & Bradstreet Austria GmbH als andere partij
- Brillen Rottler: een eerste inzageverzoek kan misbruik zijn als het alleen dient om schadevergoeding te claimen
2026-03-19 · definitief, Hof van Justitie van de EU (Vierde kamer), Brillen Rottler GmbH & Co. KG tegen TC
- Voorzieningenrechter: AP moet boetebedrag onleesbaar maken bij verstrekking van handhavingsbesluit aan klagers
2024-05-31 · status niet vastgesteld, Rechtbank Den Haag, voorzieningenrechter (kort geding, team handel)
- Raad van State: AP mocht DPG Media beboeten voor standaard vragen van kopie ID, boete gehalveerd naar 262.500 euro
2025-09-24 · definitief, Raad van State, Afdeling bestuursrechtspraak
Richtsnoeren
- Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
- Richtsnoeren inzake transparantie overeenkomstig Verordening 2016/679
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
- Richtsnoeren 1/2024 over verwerking van persoonsgegevens op grond van artikel 6 lid 1 onder f AVG (gerechtvaardigd belang)
2024-10-08 · aangenomen, European Data Protection Board (EDPB)
- Richtsnoeren 03/2026 over webscraping in het kader van generatieve AI
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Richtsnoeren 1/2026 over verwerking van persoonsgegevens voor wetenschappelijk onderzoek
2026-04-15 · aangenomen, European Data Protection Board (EDPB)
- Autoriteit Persoonsgegevens publiceert position paper over Omnibus Digitaal en Omnibus AI
2026-01-13 · definitief, Autoriteit Persoonsgegevens
- EDPB en EDPS nemen Joint Opinion 2/2026 over de Digital Omnibus aan
2026-02-10 · definitief, European Data Protection Board en European Data Protection Supervisor
Handhaving en boetes
- AP legt Uber boete op van 824,99 miljoen euro voor geautomatiseerd blokkeren van chauffeurs
2026-08-21 · in beroep, Autoriteit Persoonsgegevens
- Netflix krijgt boete van 4,75 miljoen euro voor niet goed informeren van klanten
2024-11-26 · in beroep, Autoriteit Persoonsgegevens
- Boete van 10 miljoen euro voor Uber om onduidelijkheid over bewaartermijnen en doorgifte, bezwaar ongegrond
2023-12-11 · in beroep, Autoriteit Persoonsgegevens
- Experian Nederland krijgt boete van 2,7 miljoen euro voor kredietscores zonder grondslag en zonder informatie
2025-10-16 · definitief, Autoriteit Persoonsgegevens
- Clearview AI: boete van 30,5 miljoen euro en dwangsommen voor illegale gezichtendatabase
2024-05-16 · definitief, Autoriteit Persoonsgegevens
Wetgeving in beweging6 van 7
- Voorstel: geen informatieplicht bij niet data-intensieve relaties (artikel 13, lid 4 AVG)
2025-11-19 · voorstel, Europese Commissie
- Voorstel: herformulering van geautomatiseerde individuele besluitvorming (artikel 22 AVG)
2025-11-19 · voorstel, Europese Commissie
- Europees Parlement: gezamenlijk ontwerpverslag ITRE-LIBE, amendementen ingediend, nog geen commissiestemming
2026-06-22 · in onderhandeling, Europees Parlement, commissies ITRE en LIBE (gezamenlijke commissie)
- Voorstel: weigeren van verzoeken bij misbruik van het inzagerecht (artikel 12, lid 5 AVG)
2025-11-19 · voorstel, Europese Commissie
- Voorstel: definitie wetenschappelijk onderzoek, doelbinding en informatieplicht bij onderzoek (artikel 4, punt 38, artikel 5, lid 1, onder b, en artikel 13, lid 5 AVG)
2025-11-19 · in onderhandeling, Europese Commissie
- Raad: Cypriotisch voorzitterschap legt onderhandelingsmandaat voor, Coreper-stemming van 26 juni 2026 geannuleerd
2026-06-22 · in onderhandeling, Raad van de Europese Unie, Antici-groep (vereenvoudiging) en Coreper
Analyses
- Agentic AI onder de EU AI Act: zo regel je de governance van autonome agents
2026-07-07
- Agentic AI governance: verplichtingen, controls en aanpak onder de EU AI Act
2026-07-07
- Valt een AI-agent onder de EU AI Act?
2026-07-07
- Wie is verantwoordelijk als een AI-agent fouten maakt?
2026-07-07
- AI en privacy: EU AI Act en AVG compliance gids
2025-01-03
- Uitlegbare AI (XAI): waarom de black box opengebroken moet
2025-04-15