Almanya Federal Yüksek Mahkemesi (BGH) SCHUFA hakkında ne karar verdi?

Almanya Federal Yüksek Mahkemesi (Bundesgerichtshof, BGH) 21 Ekim 2026'da, Alman kredi bürosu SCHUFA'nın tüketicilere kredi notlarının nasıl hesaplandığını hangi durumda açıklaması gerektiğini belirledi. BGH, dört kararında (I ZR 227/25 ila I ZR 230/25), SCHUFA notunun AB Genel Veri Koruma Tüzüğü'nün (GDPR) 22. maddesi anlamında otomatik karar sayılması için bir şirketin kişiyle sözleşme kurma, sürdürme veya sona erdirme kararının bu nota belirleyici ölçüde bağlı olması gerektiğine hükmetti. İspat yükü tüketicide, ancak mahkeme bu yükü önemli ölçüde hafifletti. Karar, Türkiye'de Findeks notu ve KVKK açısından da düşündürücü.

Kararın en önemli kısmı ispatla ilgili. BGH'nin 198/2026 sayılı basın duyurusuna göre tüketicinin, SCHUFA'nın bir şirkete not gönderdiğini ve kısa süre sonra aleyhine bir sözleşme kararı verildiğini göstermesi yeterli. Bu durumda notun belirleyici olduğu karine olarak kabul ediliyor; aksini ispat etmek SCHUFA'ya düşüyor.

BGH, SCHUFA'yı puanlama hakkında daha fazla bilgi vermeye mahkûm eden Dresden Eyalet Yüksek Mahkemesinin (Oberlandesgericht, OLG) 7 Ekim 2025 tarihli dört kararını bozdu ve dosyaları geri gönderdi. Uyuşmazlığın yapısı Türkiye ve Kore'den okuyanlara tanıdık gelecek: Bir şirket puanı hesaplıyor, başka bir şirket kararı veriyor. Findeks notu da, Kore'deki kredi bürosu puanları da böyle işliyor.

Karar tam olarak ne diyor?

BGH, SCHUFA'nın puanlamasını GDPR m. 22/1'deki üç koşula göre inceledi ve yalnızca üçüncü koşulun, yani kişi üzerinde önemli bir etkinin ispatlanmadığını tespit etti. Aşağıdaki özet, I ZR 227/25 sayılı kararın yayımlanan gerekçesine dayanıyor.

  • Bir "karar" var. Kişinin ödeme gücüne ilişkin bir olasılık değerinin hesaplanması başlı başına karardır. Karar, not gönderildiğinde değil, hesaplandığı anda doğar. Bu yüzden SCHUFA'nın kendi içinde tuttuğu "temel not" da bir karardır.
  • Karar yalnızca otomatik profillemeye dayanıyor. SCHUFA, kişinin verilerini geçmişte benzer verilere sahip istatistiksel gruplarla eşleştiriyor. Bu, GDPR m. 4/4 anlamında profillemedir.
  • Önemli etki ispatlanmadı. Notun gönderildiği şirketin sözleşme kurma, sürdürme veya sona erdirme kararı bu nota belirleyici ölçüde (maßgeblich) bağlı olmalı. Dresden mahkemesi bunu hiç incelememişti. SCHUFA'nın dediği gibi temel not kimseye gönderilmiyorsa, bu not açısından koşul gerçekleşmiyor.

GDPR m. 15/1-h, erişim hakkının otomatik kararlarda "ilgili mantık hakkında anlamlı bilgi" verilmesini öngören kısmı. BGH'ye göre bu hak ancak m. 22/1'in üç koşulu birlikte gerçekleşirse doğuyor; profilleme tek başına yetmiyor. Ancak tüketicinin puanlamanın hukuka aykırı olduğunu ispatlaması gerekmiyor.

Kim neyi ispat edecek?

İspat yükü tüketicide. Ancak BGH, AB hukukundaki etkililik ilkesi gereği (ulusal usul kuralları AB'nin tanıdığı hakları kullanılamaz hâle getirmemeli) bu yükün ağır tutulamayacağını vurguladı.

Tüketicinin, SCHUFA'nın bir şirkete not gönderdiğini ve buna yakın bir zamanda o şirketle ya da bağlı bir şirketle sözleşme kurulması veya yürütülmesi sırasında aleyhine bir karar verildiğini ileri sürmesi yeterli. Bu gösterildiğinde, notun belirleyici olduğuna dair fiilî karine (tatsächliche Vermutung), yani hayat tecrübesine dayanan ve aksi ispatlanabilen bir çıkarım doğuyor. Karineyi çürütmek SCHUFA'ya kalıyor. BGH, Berlin Kammergericht ile Brandenburg, Hamm, Münih, Nürnberg ve Stuttgart eyalet yüksek mahkemelerinin aradığı daha sıkı ölçütleri aşırı buldu.

Bankaların Alman Bankacılık Kanunu (KWG) § 18a uyarınca kredi değerliliğini kendilerinin incelemek zorunda olması da karineyi ortadan kaldırmıyor. BGH'nin ifadesiyle bu yükümlülük, kredi profillerine fiilen ne kadar ağırlık verildiği hakkında hiçbir şey söylemiyor.

SCHUFA ne kadar açıklama yapmalı?

Açıklama yükümlülüğü varsa, SCHUFA'nın 2023'te gönderdiği yazılar bunu karşılamıyor. Yazılarda kullanılan veri türleri, her biri için "++" ile "--" arasında bir risk işaretiyle sıralanmıştı. SCHUFA ayrıca her değerlendirmenin hangi ölçütlere dayandığını, bu değerlendirmelerin birbirine göre nasıl ağırlıklandırıldığını ve notlar arasındaki göze batan farkları açıklamalı. Genel bir ticari sır itirazı yetmiyor; mahkeme menfaatleri tartmak zorunda. SCHUFA algoritmasını vermek zorunda değil (Dresden mahkemesi böyle karar vermişti, BGH bu noktaya dokunmadı); GDPR m. 15 notların bilimsel geçerliliği hakkında bilgi isteme hakkı da vermiyor. BGH, Avrupa Birliği Adalet Divanı'na (ABAD) soru yöneltmeye gerek görmedi.

BGH'nin SCHUFA kararı ABAD'ın 2023 kararına nasıl dayanıyor?

BGH, ABAD'ın 7 Aralık 2023 tarihli SCHUFA kararını uyguluyor ve o kararın ulusal mahkemelere bıraktığı soruyu cevaplıyor: Tüketici, notun belirleyici olduğunu nasıl ispat edecek?

C-634/21 sayılı OQ - Land Hessen davasında ABAD, bir kredi bürosunun kişinin ödeme gücüne ilişkin olasılık değerini otomatik olarak üretmesinin, notun gönderildiği üçüncü kişi sözleşme kararında bu nota güçlü biçimde dayanıyorsa GDPR m. 22/1 anlamında otomatik bireysel karar olduğuna hükmetmişti. Aksi hâlde büro m. 22'nin dışında kalacak, kredi veren de elinde olmayan bir mantığı açıklayamayacaktı. Davanın ayrıntıları ABAD'ın SCHUFA kararı özetimizde yer alıyor.

ABAD, 27 Şubat 2025 tarihli Dun & Bradstreet Austria (C-203/22) kararında açıklamanın içeriğini de belirledi: Fiilen uygulanan usul ve ilkeler, anlaşılır biçimde anlatılmalı; bir formül vermek yetmez. Kişiye, verilerindeki bir değişikliğin sonucu nasıl değiştireceğini göstermek yeterli olabilir. Bkz. Dun & Bradstreet Austria kararı özetimiz. BGH'nin katkısı, ABAD'ın ölçütü ile yalnızca kredi verenin bildiği olgular arasında bir ispat köprüsü kurması.

Kredi notu GDPR m. 22 anlamında otomatik karar mı ve bu neden önemli?

SCHUFA notu, notu alan şirket ona belirleyici ölçüde dayandığında otomatik karardır; fiilî karine sayesinde bu durum uygulamada çoğu zaman varsayılacak. Bunun sonuçları kredi bürolarının ötesine uzanıyor.

Kararın sınırları da var: Karar erişim hakkıyla ilgili, tazminatla değil; yalnızca SCHUFA'nın 2023'teki yazılarında bildirilen notları kapsıyor. LTO'nun haberine göre SCHUFA'nın 17 Mart 2026'dan beri kullandığı yeni not davaların konusu değildi.

Findeks notu ve KVKK 11. madde: Türkiye ve Kore'de durum ne?

İki ülkede de aynı üçlü yapı var, ancak ikisinde de GDPR m. 22'nin birebir karşılığı yok; Kore, kredi notlarına özgü açıklama hakkıyla Almanya'ya daha yakın.

Türkiye: Findeks notu ve KVKK 11. madde. Findeks Kredi Notu'nu Kredi Kayıt Bürosu (KKB) üretiyor. KKB'nin açıklamasına göre büro 11 Nisan 1995'te dokuz bankanın ortaklığıyla kuruldu ve 5411 sayılı Bankacılık Kanunu'nun ek 1. maddesiyle Türkiye Bankalar Birliği bünyesinde kurulan Risk Merkezi'nin operasyonel ve teknik işlerini yürütüyor. Findeks'e göre not, geçmiş ödeme performansına ve borç durumuna bakarak gelecek 12 aydaki borç ödeme olasılığını tahmin ediyor ve 1 ile 1900 arasında değişiyor. Findeks ağırlıkları da yayımlıyor: kredili ürün ödeme alışkanlıkları %45, mevcut hesap ve borç durumu %32, kredi kullanım yoğunluğu %18, yeni kredili ürün açılışları %5. Findeks, bankaların kredi başvurularını değerlendirirken kendi iç değerlendirmeleriyle birlikte bu notu temel girdilerden biri olarak kullandığını belirtiyor.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nda (KVKK) GDPR m. 22 gibi bir yasak da, otomatik kararın mantığı hakkında bilgi alma hakkı da açıkça yer almıyor. KVKK m. 11/1-g, ilgili kişiye "işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkı tanıyor. Banka, Findeks'in yalnızca girdilerden biri olduğunu, kararın "münhasıran" otomatik olmadığını savunacaktır; BGH'nin fiilî ağırlık vurgusu tam da bu savunmaya cevap veriyor. 6100 sayılı HMK'nın 190. maddesine göre ispat yükü, iddia edilen vakıadan lehine hak çıkaran taraftadır. Kanaatimce Türk mahkemeleri de zamanlamadan benzer bir fiilî karine çıkarabilir. Genel çerçeve için KVKK ve yapay zekâ yönetişimi rehberimize bakılabilir.

Kore: iki katman. 15 Mart 2024'ten beri yürürlükte olan Kişisel Bilgilerin Korunması Kanunu'nun (PIPA) 37-2. maddesi, haklarını veya yükümlülüklerini önemli ölçüde etkileyen ve yapay zekâ dâhil tam otomatik bir sistemle verilen kararı reddetme hakkı tanıyor; karar rızaya, kanuna veya sözleşmeye dayanıyorsa bu hak uygulanmıyor. Açıklama isteme hakkı ise her durumda geçerli. Ayrıntılar PIPA otomatik kararlar rehberimizde.

Kredi notları için daha özel kural, Kredi Bilgilerinin Kullanımı ve Korunması Kanunu'nun 36-2. maddesi. Kişi, kredi bürolarından ve kararnameyle belirlenen diğer kredi bilgisi kullanıcılarından otomatik değerlendirme yapıp yapmadıklarını, yapıyorlarsa sonucu, ana ölçütleri ve kullanılan verilerin özetini isteyebiliyor; düzeltme ve notun yeniden hesaplanmasını da talep edebiliyor. Açıklama yapmamanın yaptırımı, Kanun'un 52. maddesinin 3. fıkrası uyarınca 30 milyon wona kadar idari para cezası. Almanya'dan farklı olarak bu hak, notun belirli bir ret kararında belirleyici olduğunun ispatına bağlı değil. Seul İdare Mahkemesinin Kakao Pay kararı, risk puanlamasının arkasındaki veri akışlarının da denetlendiğini gösteriyor.

Findeks notu ve benzeri puanları kullanan kurumlar neyi gözden geçirmeli?

Zamanlama puanı işaret ettiğinde kurumlar, puanın belirleyici olmadığını göstermeye ve puanı ölçüt ve ağırlık düzeyinde açıklamaya hazır olmalı.

  • Zinciri haritalayın: Puanı kim hesaplıyor, kararı kim veriyor, puan fiilen ne kadar ağırlık taşıyor? Puandan ne sıklıkla ayrıldığınız, yazılı politikalardan daha çok şey söyler.
  • Delili saklayın: Ret gelir, teminat gibi başka gerekçelere dayanıyorsa dosyada görünmeli.
  • Anlaşılır açıklama hazırlayın: Her değerlendirmenin ölçütü, ağırlıklar ve verideki bir değişikliğin sonucu nasıl etkileyeceği.
  • Ticari sır gerekçesini önceden kurun: Genel itiraz BGH önünde sonuç vermedi.
  • Yapay zekâ ile kredi puanlamasını yüksek riskli sayın: AB Yapay Zekâ Tüzüğü'nün Ek III, 5(b) bendi, gerçek kişilerin kredi değerliliğini ölçmek veya kredi notunu belirlemek için kullanılacak yapay zekâ sistemlerini yüksek riskli sayıyor; finansal dolandırıcılığı tespit etmeye yönelik sistemler bunun dışında. Bkz. yüksek risk testi rehberimiz.
  • Türkiye'de KVKK m. 11/1-g itirazlarını gerçek bir insan incelemesiyle cevaplayın; Kore'de PIPA m. 37-2/4'teki yayımlama yükümlülüğünü kontrol edin.

Almanya'da bundan sonra ne olacak?

Dosyalar Dresden'e dönüyor ve 20 Kasım 2026'dan itibaren puanlama için yeni bir yasal rejim uygulanacak.

  • Yeniden yargılama. Tüketiciler, BGH'nin belirsiz bulduğu taleplerini yeniden düzenleyebilecek; Dresden mahkemesi de her notun belirleyici olup olmadığına karar verecek.
  • Federal Veri Koruma Kanunu'nun (BDSG) yeni § 37a hükmü. (AB) 2023/2225 sayılı Tüketici Kredisi Direktifi'ni uygulayan Kanun (BGBl. 2026 I Nr. 139), puanlamaya koşullu olarak izin veriyor. Özel nitelikli veriler, yaş, cinsiyet, isim, sosyal ağ verileri, banka hesabı hareketleri ve adres verileri kullanılamayacak; küçükler hakkında puan üretilemeyecek. Puanı üreten, talep üzerine kullanılan veri ve ölçütleri, en etkili ölçütlerin ağırlığını, puanın açıklayıcılığını, üretilen puanları ve alıcılarını bildirecek. BGH bu hakkın GDPR m. 15/1-h'nin yanında ayrıca var olacağını belirtti.
  • Tüketici kredilerinde insan incelemesi. Değişen BDSG § 30, genel tüketici kredilerinde kredi değerliliği incelemesi otomatik veri işlemeye dayanıyorsa kredi alana, kredi verenden insan müdahalesi isteme hakkı veriyor.
  • SCHUFA'nın yeni notu. LTO'ya göre yeni model on iki ölçüt kullanıyor ve 100 ile 999 arasında değişiyor; SCHUFA eski modelleri 2028 sonuna kadar tamamen bırakmayı planlıyor.

Sıkça sorulan sorular

BGH 21 Ekim 2026'da SCHUFA hakkında ne karar verdi?

Almanya Federal Yüksek Mahkemesi, SCHUFA'nın GDPR m. 15/1-h uyarınca kredi notunun mantığını ancak not GDPR m. 22/1 anlamında otomatik karar ise, yani bir şirketin sözleşme kararı nota belirleyici ölçüde bağlıysa açıklaması gerektiğine hükmetti. Not gönderildikten kısa süre sonra aleyhe bir karar verilmişse tüketici fiilî karineden yararlanabiliyor.

Findeks notu nedir, nasıl hesaplanır?

Findeks Kredi Notu, Kredi Kayıt Bürosu'nun (KKB) geçmiş ödeme performansı ve borç durumuna göre gelecek 12 aydaki borç ödeme olasılığını tahmin eden, 1 ile 1900 arasında değişen notudur. Findeks'e göre notun %45'i kredili ürün ödeme alışkanlıklarından, %32'si mevcut hesap ve borç durumundan, %18'i kredi kullanım yoğunluğundan, %5'i yeni kredili ürün açılışlarından oluşuyor.

KVKK 11. madde nedir?

KVKK'nın 11. maddesi ilgili kişinin haklarını sayar: verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme ve zararın giderilmesini isteme gibi. KVKK m. 11/1-g ise verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucunda kişinin aleyhine çıkan sonuca itiraz etme hakkını düzenler. Bu bir itiraz hakkıdır; GDPR m. 22'deki gibi bir yasak değildir.

Kredi başvurusu Findeks notu nedeniyle reddedilirse KVKK ne öngörüyor?

Ret münhasıran otomatik bir analize dayanıyorsa kişi KVKK m. 11/1-g uyarınca itiraz edebilir ve KVKK m. 13 uyarınca veri sorumlusuna başvurabilir; veri sorumlusu en geç otuz gün içinde cevap vermek zorundadır. Bankanın kendi değerlendirmesi de devredeyse "münhasıran" koşulu tartışmalı hâle gelir; BGH'nin fiilî ağırlık vurgusu bu tartışmada yol gösterici olabilir.

BGH'nin SCHUFA kararı Türkiye'yi bağlar mı?

Hayır. BGH kararı AB'nin GDPR'ını yorumluyor ve Türk mahkemelerini bağlamıyor. Findeks notu ise Türk hukukuna, özellikle KVKK'ya tabidir. Bununla birlikte, kredi notunun fiilen ne kadar belirleyici olduğu ve ispatın nasıl kolaylaştırılacağı konusundaki gerekçe, Türkiye'deki benzer uyuşmazlıklarda karşılaştırmalı bir kaynak olarak kullanılabilir.

Burhan Doğuş Ayparlar'ın Görüşü

ABAD 2023'te notun kendisinin karar olabileceğine hükmetti; bankanın dışındaki birinin bunu nasıl ispatlayacağını ise belirleyemezdi. BGH buna pratik bir cevap verdi ve bence doğru cevap verdi: İspatlanamayan hak, hak değildir. Karineyi çürütecek delil de zaten SCHUFA'nın ve müşterilerinin elinde.

Her kredi verenin altını çizmesi gereken cümle § 18a KWG'ye ilişkin olanı. Bağımsız inceleme yükümlülüğü, kimsenin bunu fiilen yaptığını göstermez. Bir modelin çıktısının kâğıt üzerinde yalnızca "girdi" olduğu her yerde mahkemeler, insanın modelden ne sıklıkla ayrıldığını soracak.

Findeks, ağırlıklarını zaten yayımlıyor; bu, SCHUFA'nın 2023 yazılarında verdiğinden fazla. Türkiye'deki boşluk hukukta: KVKK m. 11/1-g yalnızca "münhasıran" otomatik sonuçları kapsıyor ve açık bir açıklama hakkı tanımıyor. KVKK'da ileride yapılacak bir değişiklik, bu hakkı eklemek için doğal bir fırsat olur.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık teşkil etmez. Açıklamalar, BGH'nin 21 Ekim 2026 tarihli 198/2026 sayılı basın duyurusuna ve I ZR 227/25 ile I ZR 228/25 sayılı kararların yayımlanan gerekçelerine; BGBl. 2026 I Nr. 139'a; ABAD'ın C-634/21 ve C-203/22 sayılı kararlarına; (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü'ne; 6698, 5411 ve 6100 sayılı Kanunlara; Kore Kişisel Bilgilerin Korunması Kanunu ile Kredi Bilgilerinin Kullanımı ve Korunması Kanunu'na ve KKB ile Findeks'in yayımladığı bilgilere dayanmaktadır; kaynaklara 25 Ekim 2026'da başvurulmuştur. SCHUFA'nın yeni notuna ilişkin ayrıntılar LTO'nun 21 Ekim 2026 tarihli haberinden alınmıştır. Almanca metinlerin Türkçe karşılıkları ile yorum ve değerlendirmeler yazara aittir. Dresden mahkemesinin karineyi nasıl uygulayacağı henüz bilinmemektedir; somut olaylar ayrıca değerlendirilmelidir.