CRIF-Score in Österreich: So entsteht Ihr Bonitätswert

Der CRIF-Score soll Ihre Zahlungsmoral vorhersagen

Bevor ein Handyvertrag freigeschaltet, eine Bestellung auf Rechnung angenommen oder ein Kredit bewilligt wird, möchte das Unternehmen wissen, wie wahrscheinlich es ist, dass Sie zahlen. Genau diese Einschätzung liefert die CRIF GmbH aus Wien. Das Ergebnis ist eine Zahl, der Score, die das Ausfallrisiko in einem einzigen Wert bündelt und in Sekunden beim anfragenden Unternehmen landet.

Wie Scoring grundsätzlich funktioniert, hat der Europäische Gerichtshof 2023 am Beispiel der deutschen Schufa beschrieben: Die Auskunftei ordnet eine Person anhand bestimmter Merkmale einer Gruppe von Menschen mit ähnlichen Merkmalen zu und schließt aus deren bisherigem Verhalten auf das künftige Verhalten dieser Person. Der Score ist also eine statistische Prognose aus Vergleichsgruppen. Ihr Einkommen oder Ihr Kontostand kommen in der Liste der Daten, die die CRIF dafür angibt, nicht vor.

Hinter dem Namen steht die CRIF GmbH mit Sitz in Wien. Sie ist seit 2000 in Österreich tätig und gehört zur CRIF-Gruppe, die 1988 in Bologna gegründet wurde und weltweit über 6.400 Menschen beschäftigt. Nach eigener Darstellung ist die CRIF hierzulande Marktführer bei Personenauskünften. Bemerkenswert ist ihre Doppelrolle: Als Auskunftei bewertet sie die Kreditwürdigkeit, als Adressverlag handelt sie mit Adressen für Werbung (§ 152 und § 151 GewO). An genau dieser Grenze zwischen Werbeadressen und Bonitätsprüfung setzte 2026 auch der Oberste Gerichtshof an. Es ging dabei um Adressdaten, die die CRIF bei einem anderen Adressverlag zugekauft hatte.

Wer Ihren Score zu sehen bekommt

Abfragen darf nur, wer mit Ihnen schon Geschäfte macht oder gerade einen Vertrag anbahnt, und jede Abfrage wird laut CRIF automatisch protokolliert. In der Praxis sind das vor allem Unternehmen, die etwas liefern oder leisten, bevor Sie bezahlt haben. Die CRIF nennt auf ihrer Website und in ihrer Datenschutzerklärung unter anderem:

• Banken, Kreditkartenanbieter und andere Kreditgeber
• Versicherungen und Leasinggesellschaften
• den Onlinehandel, etwa wenn Sie auf offene Rechnung bestellen
• Mobilfunk- und Telekomanbieter beim Handyvertrag
• Energieversorger, zum Beispiel beim Stromvertrag
• Vermieter
• Unternehmen mit gesetzlichen Prüfpflichten, etwa gegen Geldwäsche

Ihr Score kann damit an vielen Stellen des Alltags mitbestimmen, ob Sie auf Rechnung kaufen dürfen oder vorauszahlen müssen und zu welchen Konditionen Sie eine Finanzierung erhalten. Die CRIF betont, dass die Entscheidung über einen Vertrag immer das jeweilige Unternehmen trifft und nicht sie selbst. Wie viel Gewicht der Wert dort hat, sehen Sie von außen nicht. Was Sie sehen können: Jede Abfrage bleibt laut Datenschutzerklärung sieben Jahre gespeichert, und laut CRIF erfahren Sie in Ihrer Auskunft, an wen Daten übermittelt wurden.

Bei den meisten zählen Alter, Geschlecht und Wohnort

Grob gibt es zwei Sorten von Daten. Die eine sind Zahlungserfahrungen, also Forderungen, die trotz Mahnung offen geblieben sind, dazu Insolvenzen und Versteigerungen aus der Ediktsdatei. Die andere sind allgemeine Angaben zur Person: Name, Alter, Geschlecht und die Adressen, unter denen Sie im Wirtschaftsleben auftreten. In ihrer Datenschutzerklärung schreibt die CRIF, sie ermittle Scorewerte mit statistischen Verfahren unter Berücksichtigung von Zahlungsausfällen, Alter, Geschlecht und Wohnort.

Ein Negativeintrag entsteht nicht durch eine einzelne verspätete Zahlung. Gespeichert werden laut CRIF nur sogenannte qualifizierte Zahlungsverzüge: Der Gläubiger hat mindestens zweimal gemahnt, eine Frist gesetzt und auf die Meldung an die CRIF hingewiesen, und die Forderung blieb unbestritten offen. Wer innerhalb dieser Frist zahlt, bleibt ohne Eintrag. Die Meldungen kommen nach Angaben der CRIF von mehr als 80 Inkassobüros und Rechtsanwälten in ganz Österreich oder direkt von Gläubigern. Pünktlich bezahlte Rechnungen kommen in der Datenliste der CRIF dagegen nicht vor: Als Zahlungserfahrungen führt sie dort nur negative Daten.

Spannend wird es bei der Frage, wie selten solche Daten überhaupt vorliegen. Die CRIF schreibt selbst, dass sie zu über 90 Prozent aller Konsumenten keine Zahlungserfahrungsdaten hat. In zwei der Verfahren, über die der Oberste Gerichtshof 2026 entschied, ist festgestellt, dass Inkassobüros zu ungefähr 10 Prozent der Österreicher negative Zahlungserfahrungen liefern können. Für die große Mehrheit entsteht der Score also allein aus den allgemeinen Angaben. Bei den Klägern war es genau so: Ihr Wert wurde allein aus allgemeinen Daten wie Adresse, Alter und Geschlecht berechnet, und die CRIF hängte ihren Auskünften einen Hinweis an, dass keine Zahlungserfahrungen verarbeitet wurden.

• über 90 %der Konsumenten, zu denen die CRIF laut eigener Angabe keine Zahlungserfahrungen hat
• ca. 10 %der Österreicher, zu denen Inkassobüros Negativdaten liefern können, laut Feststellung im OGH-Verfahren
• 2 Mahnungenmindestens, bevor ein Zahlungsverzug bei der CRIF gemeldet wird
• 7 JahreSpeicherdauer für Abfragen und für erledigte Negativdaten laut CRIF

Was die CRIF nach ihrer Datenschutzerklärung für die Bonitätsauskunft verarbeitet und wie lange sie es aufhebt, im Überblick:

Score-Tabelle und Ampel suchen Sie bei der CRIF derzeit vergeblich

Wer nach einer CRIF-Score-Tabelle oder nach einzelnen Punktwerten sucht, findet viele Zahlen, die sich an keiner aktuellen Quelle der CRIF prüfen lassen. Auf ihrer Website veröffentlicht die CRIF derzeit weder eine Punkteskala noch eine Ampel mit Farbstufen, und auch nicht, wie stark Alter, Wohnort oder ein Zahlungsausfall in die Rechnung eingehen. Die Berechnung selbst legt sie nicht offen. Deshalb nennen wir hier bewusst keine Grenzwerte: Jede Zahl, die wir Ihnen als guten oder schlechten Score präsentieren würden, wäre geraten.

Die gute Nachricht: Statt an fremden Beispielen zu rätseln, holen Sie sich Ihren eigenen Datensatz. Mit einer Auskunft nach Art. 15 DSGVO sehen Sie, was tatsächlich über Sie gespeichert ist. Und wenn ein Vertrag an Ihrem Score hängt, gibt Ihnen der Europäische Gerichtshof ein Recht auf eine verständliche Erklärung, dazu gleich mehr.

Wann der Score selbst zur Entscheidung wird

Zwei Urteile des Europäischen Gerichtshofs bestimmen, wie offen eine Auskunftei mit ihrem Score umgehen muss. Im Fall der deutschen Schufa (C-634/21 vom 7. Dezember 2023) war einem Menschen nach einer negativen Auskunft ein Kredit verweigert worden. Der Gerichtshof entschied, dass schon das automatische Erstellen des Wahrscheinlichkeitswerts eine automatisierte Entscheidung nach Art. 22 DSGVO ist, wenn das Unternehmen den Vertrag maßgeblich von diesem Wert abhängig macht. Solche Entscheidungen sind nur in engen Grenzen erlaubt, und Sie haben dann besondere Rechte, etwa darauf, dass ein Mensch eingreift und Sie die Entscheidung anfechten können.

Die CRIF hat darauf reagiert. In ihrer Datenschutzerklärung steht, Kunden dürften den Scorewert nicht als einzig maßgebliches Entscheidungskriterium nutzen, deshalb liege keine automatisierte Entscheidung vor. Nach dem Urteil kündigte sie an, die Zusammenarbeit dort anzupassen, wo Kunden ihre Kreditentscheidung überwiegend auf den Score stützen. Ob das im Einzelfall so gelebt wird, zeigt sich beim jeweiligen Unternehmen. Haben Sie den Eindruck, ein Antrag sei allein am Score gescheitert, fragen Sie dort nach, welche Rolle der Wert gespielt hat.

Das zweite Urteil kommt aus einem Wiener Fall rund um die Auskunftei Dun & Bradstreet Austria (C-203/22 vom 27. Februar 2025) und stärkt Ihr Recht auf eine Erklärung: Wer von einer automatisierten Entscheidung betroffen ist, muss verständlich erklärt bekommen, nach welchen Verfahren und Grundsätzen sein Ergebnis zustande kam. Eine mathematische Formel zu schicken, reicht dafür ausdrücklich nicht.

Was der OGH 2026 am CRIF-Scoring beanstandet hat

Am 12. August 2026 hat der Oberste Gerichtshof in drei Verfahren von Einzelpersonen gegen die CRIF entschieden (6 Ob 147/25y, 6 Ob 148/25w und 6 Ob 151/25m). Für Ihren Score stecken darin zwei Botschaften, die man auseinanderhalten sollte.

Erstens bleibt ein Score ohne Zahlungserfahrungen grundsätzlich erlaubt. Die Kläger wollten eine Bewertung allein aus Alter und Wohnort verbieten lassen und sind damit gescheitert. Der OGH hielt dazu fest: „Würde man Zahlungserfahrungsdaten für die Zulässigkeit einer Bonitätsauskunft voraussetzen, könnten damit für einen Großteil der Verbraucher keine Bonitätsauskünfte erteilt werden.“ Welche Anforderungen an solche Scores im Einzelnen gelten, ließ er ausdrücklich offen.

Zweitens kommt es sehr wohl darauf an, woher die Grunddaten stammen. Laut den Feststellungen lief eine Bonitätsanfrage in zwei Schritten: Zuerst glich die CRIF die abgefragte Person mit Name, Anschrift und Geburtsdatum ab, die sie von einem Adressverlag gekauft hatte, um zu prüfen, ob es diese Person an dieser Adresse wirklich gibt. Danach berechnete sie den Score mit der Anschrift, die das anfragende Unternehmen übermittelt hatte. Die CRIF hatte argumentiert, sie nutze diese Daten für die Identitätsprüfung, die jeder Bonitätsprüfung vorausgehen müsse. Der OGH ließ das nicht gelten: Die Identitätsprüfung bei einer Bonitätsanfrage gehört schon zum Bonitätsscoring, und Daten, die für Werbung erhoben wurden, dürfen nicht für die Bonitätsbeurteilung weiterverwendet werden (Zweckbindung, Art. 5 Abs. 1 lit. b in Verbindung mit Art. 6 Abs. 4 DSGVO).

Über Schadenersatz hat der OGH in diesen Verfahren nicht entschieden, die Kläger verlangten nur Unterlassung. Die CRIF gibt an, seit 27. September 2023 keine Adressverlagsdaten mehr für die Bonität zu verarbeiten. Was die drei Entscheidungen im Detail sagen, erklärt unser Beitrag zum OGH-Urteil zur CRIF.

Und hier wird es für Sie interessant. Hat die CRIF Ihre Identität früher mit eingekauften Werbeadressen abgeglichen, können Sie dafür Schadenersatz nach Art. 82 DSGVO geltend machen. Ob Ihre Daten dabei waren, zeigt die Auskunft der CRIF, und diesen Schritt müssen Sie nicht allein gehen: Wir nehmen seit September 2026 CRIF-Fälle auf, und eine Rechtsanwaltskanzlei fordert für unsere Kundinnen und Kunden laufend die Auskünfte bei der CRIF an. Wie das für Sie abläuft, steht auf unserer Seite Schadenersatz von der CRIF fordern.

So sehen Sie, was über Sie gespeichert ist

Ihren eigenen Datensatz erhalten Sie über eine Auskunft nach Art. 15 DSGVO. Die CRIF erstellt sie nach eigenen Angaben unentgeltlich, am schnellsten über ihr Online-Service-Portal. Alternativ schreiben Sie an auskunft@crif.com und legen eine Zustelladresse sowie die Kopie eines amtlichen Lichtbildausweises bei. Die CRIF hat dafür grundsätzlich einen Monat Zeit; bei vielen oder schwierigen Anträgen darf sie mit Begründung um bis zu zwei Monate verlängern (Art. 12 Abs. 3 DSGVO). Laut ihrer Datenschutzerklärung zählt auch der aus Ihren Daten berechnete Scorewert zu dem, was sie über Sie verarbeitet. Wenn Sie Ihren Wert sehen möchten, fragen Sie im Antrag ausdrücklich danach.

Lesen Sie die Antwort mit drei Fragen im Kopf. Stimmen die gespeicherten Daten, also Name, Geburtsdatum und Adressen? Aus welchen Quellen stammen sie, und taucht dort ein Adressverlag auf? An wen wurden Daten übermittelt, welche Unternehmen haben also nach Ihnen gefragt? Laut CRIF enthält die Auskunft außerdem die Zwecke, die Speicherdauer und die Angabe, ob automatisierte Entscheidungen stattfinden. Wie Sie die Auskunft Schritt für Schritt anfordern, steht im Ratgeber CRIF-Auskunft anfordern.

Gehen Sie den Weg über uns, sparen Sie sich auch diesen Teil: Die Kanzlei fordert die Auskunft mit Ihrer Vollmacht an und wertet die Antwort gleich darauf aus, ob Adressverlagsdaten im Spiel waren.

Fünf verbreitete Annahmen im Faktencheck

„Ist eine Schuld bezahlt, verschwindet der Eintrag“

Laut Datenschutzerklärung der CRIF bleibt eine beglichene Forderung gespeichert, nur eben als erledigt vermerkt. Sie zählt auch weiter mit, weil frühere Zahlungsausfälle nach Darstellung der CRIF statistisch auf ein höheres Risiko hindeuten. Die Speicherdauer dafür beträgt laut CRIF sieben Jahre ab der Erledigung. Steht sie trotz Zahlung noch als offen drin, lassen Sie das berichtigen.

„Eine verspätete Rechnung landet sofort bei der CRIF“

Laut CRIF bleiben bloß verspätet bezahlte Rechnungen unberücksichtigt. Gemeldet wird erst, wenn nach mindestens zwei Mahnungen mit Frist und Hinweis auf die Meldung weiterhin nicht gezahlt wurde.

„Wer nie Schulden hatte, hat automatisch den besten Score“

Pünktliche Zahlungen kommen in der Datenliste der CRIF nicht vor. Wer keine Negativdaten hat, wird deshalb vor allem nach Alter, Geschlecht und Wohnort bewertet. Eine Datenschutzexpertin der CRIF sagte im Juni 2026 dem ORF, Personen ohne Negativmeldungen hätten einen „positiven mittelmäßigen Score“. Mittelmäßig ist eben nicht Spitze.

„Die CRIF entscheidet, ob ich den Vertrag bekomme“

Laut CRIF entscheidet immer das Unternehmen, bei dem Sie den Vertrag abschließen wollen. Stützt es sich aber maßgeblich auf den Score, ist das nach dem Schufa-Urteil des Europäischen Gerichtshofs eine automatisierte Entscheidung, und dann gelten die strengen Regeln des Art. 22 DSGVO.

„Eine Selbstauskunft verschlechtert meinen Score“

Als Grundlage ihrer Scorewerte nennt die CRIF Zahlungsausfälle, Alter, Geschlecht und Wohnort. Ihre eigene Auskunft ist keine dieser Angaben und auch keine Abfrage durch ein Unternehmen. Eine ausdrückliche Aussage der CRIF dazu haben wir auf ihrer Website nicht gefunden; die CRIF wirbt aber selbst dafür, die Auskunft über ihr Portal abzurufen.

Falsche Einträge lassen sich richtigstellen

Stimmen Daten nicht, können Sie eine Berichtigung verlangen (Art. 16 DSGVO). Die CRIF beschreibt den Weg selbst: Veraltete Identitäts- oder Kontaktdaten aktualisiert sie gegen einen Nachweis wie Meldezettel oder Ausweis, und auch Zahlungserfahrungen lassen sich korrigieren, etwa wenn eine beglichene Forderung noch als offen geführt wird. Als erledigt bleibt sie danach weiter gespeichert, ganz verschwindet sie also erst mit Ablauf der Speicherdauer. Die Unterlagen schicken Sie an auskunft@crif.com.

Löschen lassen können Sie Daten, die nicht mehr nötig sind, die unrechtmäßig verarbeitet wurden oder nach einem berechtigten Widerspruch (Art. 17 und 21 DSGVO). Die CRIF weist darauf hin, dass ein Widerspruch Gründe aus Ihrer besonderen Situation braucht und sie eine Löschung ablehnen kann, wenn ihr berechtigtes Interesse überwiegt.

Sie tragen sich ein, um den Rest kümmern wir uns

Sie müssen vorab nichts wissen und nichts selbst anfordern. Ob die CRIF Ihre Daten mit Adressen aus dem Werbehandel abgeglichen hat, prüft die Kanzlei anhand Ihrer Auskunft, und wenn ja, sorgen wir dafür, dass Schadenersatz für Sie geltend gemacht wird. Das läuft bei uns schon: Seit September 2026 nehmen wir CRIF-Fälle auf, und Sie kostet das kaum Zeit.

1. Online eintragen Sie tragen sich ein, laden Ihren Ausweis hoch und unterschreiben den Prozessfinanzierungsvertrag und die Vollmacht für die Kanzlei digital. Das dauert rund zwei Minuten.
2. Die Kanzlei holt Ihre Auskunft Mit der Vollmacht fordert die Rechtsanwaltskanzlei Ihre Auskunft bei der CRIF an und klärt, welche Daten woher stammen.
3. Die Kanzlei macht Schadenersatz für Sie geltend Sind Sie betroffen, macht sie 500 Euro geltend, zuerst mit einem Aufforderungsschreiben und dem Ziel eines Vergleichs, wenn nötig vor Gericht.

Ob und in welcher Höhe gezahlt wird, entscheidet am Ende ein Vergleich mit der CRIF oder das Gericht. Ihr Kostenrisiko dabei: null. Die Koptimal GmbH, die Prozessfinanzierung unserer Unternehmensgruppe, finanziert die Durchsetzung vor und trägt das Kostenrisiko. Sie haben keine Vorabkosten, und geht die Sache verloren, zahlen Sie nichts. Im Erfolgsfall werden aus dem Erlös zuerst die vorfinanzierten Fallkosten gedeckt, vom Rest erhalten Sie 58 Prozent und die Koptimal GmbH 42 Prozent inklusive Umsatzsteuer. Bleiben nach Deckung der Fallkosten zum Beispiel 500 Euro übrig, gehen 290 Euro an Sie und 210 Euro an die Prozessfinanzierung. Wie gesetzlich vorgesehen, können Sie binnen 14 Tagen ohne Angabe von Gründen zurücktreten.

Warum dieser Weg sinnvoll ist: Eine DSGVO-Schadenersatzklage gehört unabhängig vom Betrag vor das Landesgericht, dort brauchen Sie zwingend einen Anwalt, und wer verliert, zahlt zusätzlich die Kosten der Gegenseite. Nach unserer eigenen Überschlagsrechnung kämen bei einer Niederlage eigene und gegnerische Kosten zusammen auf rund 1.530 Euro, etwa das Dreifache der Forderung. Genau dieses Risiko nehmen wir Ihnen ab. Wie das Modell im Detail funktioniert, lesen Sie im Ratgeber zur Prozessfinanzierung, und wann die Gerichte einen Schaden anerkennen, im Beitrag zum DSGVO-Schadenersatz.

Rechnen Sie mit mehreren Monaten, abhängig davon, ob sich die CRIF außergerichtlich einigt; ein Gerichtsverfahren kann länger dauern. Die Rollen sind dabei klar verteilt: Wir finanzieren und organisieren, die Prüfung Ihres Einzelfalls und die Vertretung übernimmt die Kanzlei.

Ein Grund, die Sache nicht auf die lange Bank zu schieben: Schadenersatz verjährt grundsätzlich drei Jahre ab Kenntnis von Schaden und Schädiger (§ 1489 ABGB), und wann diese Frist im CRIF-Fall zu laufen beginnt, haben die Höchstgerichte noch nicht geklärt. Lassen Sie Ihren Fall deshalb lieber bald prüfen.

Alles zum Ablauf, zu den Unterlagen und zur Erfolgsbeteiligung finden Sie auf der Seite CRIF-Schadenersatz geltend machen. Am schnellsten geht es direkt online: jetzt in rund zwei Minuten eintragen. Lieber zuerst mit einem Menschen sprechen? Unter der gebührenfreien Nummer 0800 88 44 92 erreichen Sie uns persönlich, und wer hinter Fixkostenreduzierer steht, lesen Sie über uns.