Auskunftsanspruch bei automationsunterstützter Bonitätsbeurteilung
EuGH, C-203/22: Schlussanträge des Generalanwalts vom 12.9.2024
Der Sachverhalt:
Ein Mobilfunkbetreiber verweigerte einer Kundin den Abschluss bzw. die Verlängerung eines Mobilfunkvertrags, der eine mtl. Zahlung von 10 € zur Folge gehabt hätte, weil sie nicht über eine ausreichende finanzielle Bonität verfüge. Die vermeintlich unzureichende Bonität mit einer Bonitätsbeurteilung begründet, die die Bisnode Austria GmbH (mittlerweile Dun & Bradstreet Austria GmbH, im Folgenden: D & B), ein auf die Bereitstellung solcher Bonitätsbeurteilungen spezialisiertes Unternehmen, automatisiert durchgeführt hatte.
Die Kundin stellte bei der österreichischen Datenschutzbehörde einen Antrag auf Erteilung relevanter Informationen über die der automatisierten Entscheidungsfindung durch D & B zugrundeliegende Logik. Diese Behörde gab dem Antrag statt. D & B focht die Entscheidung der Behörde, mit der sie verpflichtet wurde, die von der Kundin angeforderten Informationen zu übermitteln, vor dem österreichischen Bundesverwaltungsgericht an.
Das Bundesverwaltungsgericht bestätigte die Entscheidung der österreichischen Datenschutzbehörde teilweise. So stellte es fest, dass D & B das Auskunftsrecht der Kundin aus Art. 15 Abs. 1 Buchst. h DSGVO verletzt habe, indem sie dieser keine aussagekräftigen Informationen über die bei der automatisierten Entscheidungsfindung in Bezug auf ihre personenbezogenen Daten involvierte Logik zur Verfügung gestellt oder zumindest nicht hinreichend begründet habe, weshalb sie nicht in der Lage gewesen sei, solche Informationen zu erteilen. Diese Entscheidung des Bundesverwaltungsgerichts wurde rechtskräftig und ist nach österreichischem Recht vollstreckbar.
Der Antrag der Kundin auf Zwangsvollstreckung der Entscheidung wurde von der Vollstreckungsbehörde (Magistrat der Stadt Wien) gleichwohl mit der Begründung abgelehnt, dass D & B ihrer Informationspflicht bereits ausreichend nachgekommen sei. Dagegen legte die Kundin einen Rechtsbehelf beim Verwaltungsgericht Wien ein. Dieses sieht sich verpflichtet, anstelle des Magistrats der Stadt Wien eine Entscheidung über die Vollstreckung der Entscheidung des Bundesverwaltungsgerichts zu treffen. Daher müsse es konkret bestimmen, welche Informationen D & B an die Kundin zu übermitteln habe. Vor diesem Hintergrund setzte das Verwaltungsgericht Wien das Varfehren aus, legte dem EuGH Fragen zur Vorabentscheidung vor und bat um Auslegung der DSGVO sowie der Richtlinie 2016/943 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung ersucht.
Die Gründe:
Generalanwalt Richard de la Tour stellt in seinen Schlussanträgen von heute klar, was seines Erachtens unter "aussagekräftige[n] Informationen über die [einer automatisierten Entscheidungsfindung zugrunde liegende bzw. bei einer automatisierten Entscheidungsfindung] involvierte Logik" i.S.v. Art. 15 Abs. 1 Buchst. h DSGVO zu verstehen ist und nach welchen Modalitäten eine Abwägung zwischen dem Recht auf Zugang zu solchen Informationen einerseits und dem Schutz der Rechte und Freiheiten anderer, etwa von Geschäftsgeheimnissen, andererseits zu erfolgen hat. Er schlägt dem EuGH vor, dem Verwaltungsgericht Wien wie folgt zu antworten:
Art. 15 Abs. 1 Buchst. h DSGVO ist i.V.m. dem 63. Erwägungsgrund und Art. 23 Abs. 1 Buchst. i der Verordnung dahin auszulegen, dass
- wenn eine betroffene Person einer automatisierten Entscheidungsfindung einschließlich Profiling gem. Art. 22 DSGVO unterworfen wird, sich die "aussagekräftige[n] Informationen über die [bei dieser automatisierten Entscheidungsfindung] involvierte Logik", auf die die betroffene Person ein Recht hat, auf die Methode und die Kriterien beziehen, die der Verantwortliche dafür verwendet hat;
- diese Informationen es der betroffenen Person ermöglichen müssen, die ihr durch die DSGVO und insbesondere durch diesen Art. 22 garantierten Rechte auszuüben. Sie müssen somit präzise, leicht zugänglich, verständlich sowie in klarer und einfacher Sprache abgefasst sein. Zudem müssen sie hinreichend vollständig und kontextbezogen sein, um es dieser Person zu ermöglichen, ihre Richtigkeit sowie das Bestehen einer objektiv nachprüfbaren Übereinstimmung und eines objektiv nachprüfbaren Kausalzusammenhangs zwischen einerseits der verwendeten Methode und den herangezogenen Kriterien und andererseits dem Ergebnis der fraglichen automatisierten Entscheidung zu überprüfen;
- der Verantwortliche hingegen nicht verpflichtet ist, der betroffenen Person Informationen offenzulegen, die aufgrund ihrer technischen Natur einen solchen Komplexitätsgrad aufweisen, dass sie von Personen, die nicht über besondere technische Fachkenntnisse verfügen, nicht nachvollzogen werden können, was die Mitteilung von Algorithmen, die im Rahmen einer automatisierten Entscheidungsfindung verwendet werden, ausschließen kann;
- Informationen, die der betroffenen Person im Rahmen des durch Art. 15 Abs. 1 Buchst. h DSGVO garantierten Auskunftsrechts zur Verfügung gestellt werden müssen und geeignet sind, zu einer Beeinträchtigung der Rechte und Freiheiten anderer Personen zu führen, insbesondere weil sie durch diese Verordnung geschützte personenbezogene Daten Dritter oder ein Geschäftsgeheimnis i.S.v. Art. 2 Nr. 1 der Richtlinie (EU) 2016/943 (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung enthalten, der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht übermittelt werden müssen, damit diese in voller Kenntnis der Sachlage und unter Beachtung des Grundsatzes der Verhältnismäßigkeit sowie der Vertraulichkeit der Informationen die widerstreitenden Interessen abwägen und den Umfang des der betroffenen Person zu gewährenden Auskunftsrechts bestimmen können.
Mehr zum Thema:
Beratermodul Datenschutzrecht
Das weitgreifende Komplettangebot zum deutschen und europäischen Datenschutzrecht deckt die DSGVO, das TTDSG und das BDSG ab. Mit Top-Inhalten aus den Verlagen Dr. Otto Schmidt und C.F. Müller. Bearbeiten Sie zahlreiche bewährte Formulare mit LAWLIFT! Das Komplettangebot zum Datenschutzrecht. 4 Wochen gratis nutzen!
EuGH online
Ein Mobilfunkbetreiber verweigerte einer Kundin den Abschluss bzw. die Verlängerung eines Mobilfunkvertrags, der eine mtl. Zahlung von 10 € zur Folge gehabt hätte, weil sie nicht über eine ausreichende finanzielle Bonität verfüge. Die vermeintlich unzureichende Bonität mit einer Bonitätsbeurteilung begründet, die die Bisnode Austria GmbH (mittlerweile Dun & Bradstreet Austria GmbH, im Folgenden: D & B), ein auf die Bereitstellung solcher Bonitätsbeurteilungen spezialisiertes Unternehmen, automatisiert durchgeführt hatte.
Die Kundin stellte bei der österreichischen Datenschutzbehörde einen Antrag auf Erteilung relevanter Informationen über die der automatisierten Entscheidungsfindung durch D & B zugrundeliegende Logik. Diese Behörde gab dem Antrag statt. D & B focht die Entscheidung der Behörde, mit der sie verpflichtet wurde, die von der Kundin angeforderten Informationen zu übermitteln, vor dem österreichischen Bundesverwaltungsgericht an.
Das Bundesverwaltungsgericht bestätigte die Entscheidung der österreichischen Datenschutzbehörde teilweise. So stellte es fest, dass D & B das Auskunftsrecht der Kundin aus Art. 15 Abs. 1 Buchst. h DSGVO verletzt habe, indem sie dieser keine aussagekräftigen Informationen über die bei der automatisierten Entscheidungsfindung in Bezug auf ihre personenbezogenen Daten involvierte Logik zur Verfügung gestellt oder zumindest nicht hinreichend begründet habe, weshalb sie nicht in der Lage gewesen sei, solche Informationen zu erteilen. Diese Entscheidung des Bundesverwaltungsgerichts wurde rechtskräftig und ist nach österreichischem Recht vollstreckbar.
Der Antrag der Kundin auf Zwangsvollstreckung der Entscheidung wurde von der Vollstreckungsbehörde (Magistrat der Stadt Wien) gleichwohl mit der Begründung abgelehnt, dass D & B ihrer Informationspflicht bereits ausreichend nachgekommen sei. Dagegen legte die Kundin einen Rechtsbehelf beim Verwaltungsgericht Wien ein. Dieses sieht sich verpflichtet, anstelle des Magistrats der Stadt Wien eine Entscheidung über die Vollstreckung der Entscheidung des Bundesverwaltungsgerichts zu treffen. Daher müsse es konkret bestimmen, welche Informationen D & B an die Kundin zu übermitteln habe. Vor diesem Hintergrund setzte das Verwaltungsgericht Wien das Varfehren aus, legte dem EuGH Fragen zur Vorabentscheidung vor und bat um Auslegung der DSGVO sowie der Richtlinie 2016/943 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung ersucht.
Die Gründe:
Generalanwalt Richard de la Tour stellt in seinen Schlussanträgen von heute klar, was seines Erachtens unter "aussagekräftige[n] Informationen über die [einer automatisierten Entscheidungsfindung zugrunde liegende bzw. bei einer automatisierten Entscheidungsfindung] involvierte Logik" i.S.v. Art. 15 Abs. 1 Buchst. h DSGVO zu verstehen ist und nach welchen Modalitäten eine Abwägung zwischen dem Recht auf Zugang zu solchen Informationen einerseits und dem Schutz der Rechte und Freiheiten anderer, etwa von Geschäftsgeheimnissen, andererseits zu erfolgen hat. Er schlägt dem EuGH vor, dem Verwaltungsgericht Wien wie folgt zu antworten:
Art. 15 Abs. 1 Buchst. h DSGVO ist i.V.m. dem 63. Erwägungsgrund und Art. 23 Abs. 1 Buchst. i der Verordnung dahin auszulegen, dass
- wenn eine betroffene Person einer automatisierten Entscheidungsfindung einschließlich Profiling gem. Art. 22 DSGVO unterworfen wird, sich die "aussagekräftige[n] Informationen über die [bei dieser automatisierten Entscheidungsfindung] involvierte Logik", auf die die betroffene Person ein Recht hat, auf die Methode und die Kriterien beziehen, die der Verantwortliche dafür verwendet hat;
- diese Informationen es der betroffenen Person ermöglichen müssen, die ihr durch die DSGVO und insbesondere durch diesen Art. 22 garantierten Rechte auszuüben. Sie müssen somit präzise, leicht zugänglich, verständlich sowie in klarer und einfacher Sprache abgefasst sein. Zudem müssen sie hinreichend vollständig und kontextbezogen sein, um es dieser Person zu ermöglichen, ihre Richtigkeit sowie das Bestehen einer objektiv nachprüfbaren Übereinstimmung und eines objektiv nachprüfbaren Kausalzusammenhangs zwischen einerseits der verwendeten Methode und den herangezogenen Kriterien und andererseits dem Ergebnis der fraglichen automatisierten Entscheidung zu überprüfen;
- der Verantwortliche hingegen nicht verpflichtet ist, der betroffenen Person Informationen offenzulegen, die aufgrund ihrer technischen Natur einen solchen Komplexitätsgrad aufweisen, dass sie von Personen, die nicht über besondere technische Fachkenntnisse verfügen, nicht nachvollzogen werden können, was die Mitteilung von Algorithmen, die im Rahmen einer automatisierten Entscheidungsfindung verwendet werden, ausschließen kann;
- Informationen, die der betroffenen Person im Rahmen des durch Art. 15 Abs. 1 Buchst. h DSGVO garantierten Auskunftsrechts zur Verfügung gestellt werden müssen und geeignet sind, zu einer Beeinträchtigung der Rechte und Freiheiten anderer Personen zu führen, insbesondere weil sie durch diese Verordnung geschützte personenbezogene Daten Dritter oder ein Geschäftsgeheimnis i.S.v. Art. 2 Nr. 1 der Richtlinie (EU) 2016/943 (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung enthalten, der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht übermittelt werden müssen, damit diese in voller Kenntnis der Sachlage und unter Beachtung des Grundsatzes der Verhältnismäßigkeit sowie der Vertraulichkeit der Informationen die widerstreitenden Interessen abwägen und den Umfang des der betroffenen Person zu gewährenden Auskunftsrechts bestimmen können.
Beratermodul Datenschutzrecht
Das weitgreifende Komplettangebot zum deutschen und europäischen Datenschutzrecht deckt die DSGVO, das TTDSG und das BDSG ab. Mit Top-Inhalten aus den Verlagen Dr. Otto Schmidt und C.F. Müller. Bearbeiten Sie zahlreiche bewährte Formulare mit LAWLIFT! Das Komplettangebot zum Datenschutzrecht. 4 Wochen gratis nutzen!