Verwaltungsgerichtshof (VwGH)

Das Revisionsverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in den beiden Rechtssachen a) C-203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11. Februar 2022, VWG-101/042/791/2020-44, sowie b) in der Rechtssache C-634/21 über das Ersuchen des Verwaltungsgerichts Wiesbaden vom 1. Oktober 2021, 6 K 788/20.WI, ausgesetzt.

Da es sich beim Recht auf Auskunft um kein punktuelles Geschehen handelt, das vorliegend nicht vor Inkrafttreten der DSGVO als abgeschlossen anzusehen ist, sind die DSGVO und das DSG in den zum Zeitpunkt der Entscheidung des VwG geltenden Fassungen als maßgebliche Rechtslage heranzuziehen (VwGH 6.3.2024, Ro 2021/04/0037, Rn. 18 f).

Nach der Rsp. des EuGH (EuGH 7.12.2023, C-634/21, SCHUFA Holding [Scoring], Rn. 73) liegt eine "automatisierte Entscheidung im Einzelfall" im Sinne des Art. 22 Abs. 1 DSGVO vor, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.Nach der Rsp. des EuGH (EuGH 7.12.2023, C-634/21, SCHUFA Holding [Scoring], Rn. 73) liegt eine "automatisierte Entscheidung im Einzelfall" im Sinne des Artikel 22, Absatz eins, DSGVO vor, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.

Die von der Verantwortlichen der Betroffenen gemäß Art. 15 Abs. 1 lit. h DSGVO zu erteilenden, "aussagekräftigen Informationen über die involvierte Logik" im Zusammenhang mit der Ermittlung des "Scores" haben das Verfahren und die Grundsätze, die konkret zur Anwendung kommen, so zu beschreiben und es sind das Verfahren und die Grundsätze von der Verantwortlichen gegenüber der Betroffenen so zu erläutern, dass die Betroffene die Funktionsweise des Mechanismus der automatisierten Entscheidungsfindung und des Ergebnisses, zu dem die Entscheidung geführt hat, nachvollziehen kann. Demnach ist der Betroffenen bekannt zu geben, welche ihrer personenbezogenen Daten im Rahmen der Ermittlung des "Scores" auf welche Art verwendet wurden, um es ihr zu ermöglichen, die ihr zukommenden Rechte, insbesondere das Recht auf Darlegung ihres eigenen Standpunktes und das Recht auf Anfechtung der auf einer automatisierten Entscheidung beruhenden Entscheidung nach Art. 22 Abs. 3 DSGVO auszuüben.Die von der Verantwortlichen der Betroffenen gemäß Artikel 15, Absatz eins, Litera h, DSGVO zu erteilenden, "aussagekräftigen Informationen über die involvierte Logik" im Zusammenhang mit der Ermittlung des "Scores" haben das Verfahren und die Grundsätze, die konkret zur Anwendung kommen, so zu beschreiben und es sind das Verfahren und die Grundsätze von der Verantwortlichen gegenüber der Betroffenen so zu erläutern, dass die Betroffene die Funktionsweise des Mechanismus der automatisierten Entscheidungsfindung und des Ergebnisses, zu dem die Entscheidung geführt hat, nachvollziehen kann. Demnach ist der Betroffenen bekannt zu geben, welche ihrer personenbezogenen Daten im Rahmen der Ermittlung des "Scores" auf welche Art verwendet wurden, um es ihr zu ermöglichen, die ihr zukommenden Rechte, insbesondere das Recht auf Darlegung ihres eigenen Standpunktes und das Recht auf Anfechtung der auf einer automatisierten Entscheidung beruhenden Entscheidung nach Artikel 22, Absatz 3, DSGVO auszuüben.

Es ist bei der Beurteilung des Umfangs des einer von einer automatisierten Verarbeitung ihrer personenbezogenen Daten betroffenen Person nach Art. 15 Abs. 1 lit. h DSGVO zukommenden Auskunftsrechts im Hinblick auf den Schutz von Geschäftsgeheimnissen iSd Art. 2 Z 1 der Richtlinie 2016/943 unbeschadet des § 4 Abs. 6 DSG im jeweiligen Einzelfall zwischen dem Auskunftsrecht und dem Schutz von Geschäftsgeheimnissen abzuwägen.Es ist bei der Beurteilung des Umfangs des einer von einer automatisierten Verarbeitung ihrer personenbezogenen Daten betroffenen Person nach Artikel 15, Absatz eins, Litera h, DSGVO zukommenden Auskunftsrechts im Hinblick auf den Schutz von Geschäftsgeheimnissen iSd Artikel 2, Ziffer eins, der Richtlinie 2016/943 unbeschadet des Paragraph 4, Absatz 6, DSG im jeweiligen Einzelfall zwischen dem Auskunftsrecht und dem Schutz von Geschäftsgeheimnissen abzuwägen.

Eine automatisierte Verarbeitung personenbezogener Daten zwecks Ermittlung eines Bonitätsprofils kann schwerwiegende Folgen für das wirtschaftliche Leben einer betroffenen Person, wie etwa Ausschluss von oder erschwerter Zugang zu Kreditmitteln, haben (vgl. Leitlinien der durch Art. 29 der Richtlinie 95/46/EG eingesetzten Datenschutzgruppe zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, angenommen am 3.10.2017, in der überarbeiteten und am 6.2.2018 angenommenen Fassung, WP251rev.01, S 23 f, 28 f). Insofern kommt dem Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO in Bezug auf die Ausübung der der betroffenen Person zukommenden Rechte besonderes Gewicht zu. Demnach kann der bloße Hinweis auf eine mögliche Gefährdung eines Geschäftsgeheimnisses nicht dazu führen, dass die Art und Weise der automatisierten Verarbeitung für die betroffene Person unklar bleibt und ihr eine Überprüfung des Verfahrens und der Grundsätze der automatisierten Verarbeitung zwecks Ausübung der ihr nach der DSGVO zukommenden Rechte im wesentlichen Maße nicht möglich ist.Eine automatisierte Verarbeitung personenbezogener Daten zwecks Ermittlung eines Bonitätsprofils kann schwerwiegende Folgen für das wirtschaftliche Leben einer betroffenen Person, wie etwa Ausschluss von oder erschwerter Zugang zu Kreditmitteln, haben vergleiche Leitlinien der durch Artikel 29, der Richtlinie 95/46/EG eingesetzten Datenschutzgruppe zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, angenommen am 3.10.2017, in der überarbeiteten und am 6.2.2018 angenommenen Fassung, WP251rev.01, S 23 f, 28 f). Insofern kommt dem Auskunftsrecht nach Artikel 15, Absatz eins, Litera h, DSGVO in Bezug auf die Ausübung der der betroffenen Person zukommenden Rechte besonderes Gewicht zu. Demnach kann der bloße Hinweis auf eine mögliche Gefährdung eines Geschäftsgeheimnisses nicht dazu führen, dass die Art und Weise der automatisierten Verarbeitung für die betroffene Person unklar bleibt und ihr eine Überprüfung des Verfahrens und der Grundsätze der automatisierten Verarbeitung zwecks Ausübung der ihr nach der DSGVO zukommenden Rechte im wesentlichen Maße nicht möglich ist.

Die Verantwortliche hat in Erfüllung ihrer Auskunftspflicht gemäß Art. 15 Abs. 1 lit. h DSGVO die Art und Weise der automatisierten Verarbeitung der personenbezogenen Daten der Betroffenen, und zwar in Bezug auf die Bedeutung der verarbeiteten personenbezogenen Daten für den für die Betroffene errechneten "Score", gegenüber der Betroffenen zu erläutern, um ihr die Ausübung der ihr zukommenden Rechte, insbesondere jener nach Art. 22 Abs. 3 DSGVO zu gewährleisten. Einer ausführlichen Erläuterung der dabei verwendeten Algorithmen oder einer Offenlegung des gesamten Algorithmus bedarf es hingegen nicht (vgl. EuGH 27.2.2025, C-203/22, Dun & Bradstreet Austria, Rn. 60).Die Verantwortliche hat in Erfüllung ihrer Auskunftspflicht gemäß Artikel 15, Absatz eins, Litera h, DSGVO die Art und Weise der automatisierten Verarbeitung der personenbezogenen Daten der Betroffenen, und zwar in Bezug auf die Bedeutung der verarbeiteten personenbezogenen Daten für den für die Betroffene errechneten "Score", gegenüber der Betroffenen zu erläutern, um ihr die Ausübung der ihr zukommenden Rechte, insbesondere jener nach Artikel 22, Absatz 3, DSGVO zu gewährleisten. Einer ausführlichen Erläuterung der dabei verwendeten Algorithmen oder einer Offenlegung des gesamten Algorithmus bedarf es hingegen nicht vergleiche EuGH 27.2.2025, C-203/22, Dun & Bradstreet Austria, Rn. 60).