62022CJ0203_RES
Rechtssache C‑203/22
CK
gegen
Magistrat der Stadt Wien
(Vorabentscheidungsersuchen des Verwaltungsgerichts Wien)
Urteil des Gerichtshofs (Erste Kammer) vom 27. Februar 2025
„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 15 Abs. 1 Buchst. h – Automatisierte Entscheidungsfindung einschließlich Profiling – ‚Scoring‘ – Beurteilung der Bonität einer natürlichen Person – Zugang zu aussagekräftigen Informationen über die involvierte Logik des Profilings – Überprüfung der Richtigkeit der zur Verfügung gestellten Informationen – Richtlinie (EU) 2016/943 – Art. 2 Nr. 1 – Geschäftsgeheimnis – Personenbezogene Daten Dritter“
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind – Automatisierte Entscheidungsfindung einschließlich Profiling – Auskunftsrecht hinsichtlich aussagekräftiger Informationen über die involvierte Logik des Profilings – Umfang
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 12 Abs. 1, Art. 15 Abs. 1 Buchst. h, Art. 15 Abs. 3 und Art. 22 Abs. 1 und 3)
(vgl. Rn. 40-43, 47, 48, 50, 58, 59, 61, 62, 66, Tenor 1)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind – Automatisierte Entscheidungsfindung einschließlich Profiling – Auskunftsrecht hinsichtlich aussagekräftiger Informationen über die involvierte Logik des Profilings – Wahrung der Rechte und Freiheiten anderer Personen – Recht auf Schutz personenbezogener Daten Dritter und Schutz von Geschäftsgeheimnissen – Abwägung der einander gegenüberstehenden Rechte und Interessen durch die zuständige Aufsichtsbehörde oder das zuständige Gericht
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, 63. Erwägungsgrund und Art. 15, Abs. 1 Buchst. h; Richtlinie 2016/943 des Europäischen Parlament und des Rates, Art. 2 Nr. 1)
(vgl. Rn. 72-76, Tenor 2)
Zusammenfassung
Der Gerichtshof, der mit einem Vorabentscheidungsersuchen des Verwaltungsgerichts Wien (Österreich) befasst ist, entwickelt seine jüngste Rechtsprechung zu den Rechten von Personen weiter, die im Zusammenhang mit der Beurteilung ihrer Bonität von einem Profiling betroffen sind (
1
). Zum einen konkretisiert er den Umfang des Auskunftsrechts der betroffenen Person hinsichtlich Informationen zur Verarbeitung ihrer Daten. Zum anderen äußert er sich dazu, wie dieses Recht mit dem Recht auf Schutz von Daten Dritter bzw. auf Schutz von Geschäftsgeheimnissen in Einklang zu bringen ist.
CK wurde von einem Mobilfunkbetreiber der Abschluss bzw. die Verlängerung eines Mobilfunkvertrags verweigert. Diese Verweigerung beruhte auf einer Bonitätsbeurteilung, die von D & B, einem auf die Erstellung solcher Beurteilungen spezialisierten Unternehmen, automatisiert durchgeführt worden war.
Die österreichische Datenschutzbehörde trug D & B auf, CK aussagekräftige Informationen über die involvierte Logik der auf der Grundlage der personenbezogenen Daten von CK erfolgten automatisierten Entscheidungsfindung zu übermitteln. D & B erhob gegen diese Entscheidung Beschwerde, die das Bundesverwaltungsgericht (Österreich) mit Erkenntnis vom 23. Oktober 2019 abwies. CK beantragte beim Magistrat der Stadt Wien (Österreich) die Exekution dieses Erkenntnisses, die jedoch abgewiesen wurde.
Das vorlegende Gericht, das mit der von CK gegen den Bescheid des Magistrats Wien erhobenen Beschwerde befasst ist, ersucht den Gerichtshof, den Umfang der Informationen zu präzisieren, die der betroffenen Person zur umfassenden Gewährleistung ihres in der Datenschutz-Grundverordnung vorgesehenen Auskunftsrechts (
2
) zu übermitteln sind. Es möchte außerdem wissen, ob bzw. inwiefern die für das Vorliegen eines Geschäftsgeheimnisses bestehende Ausnahme dieses Recht einschränken kann.
Würdigung durch den Gerichtshof
Erstens präzisiert der Gerichtshof das Recht der von einer automatisierten Entscheidung (einschließlich Profiling) betroffenen Person auf Auskunft über „aussagekräftige Informationen über die involvierte Logik“ im Sinne von Art. 15 Abs. 1 Buchst. h DSGVO, wobei er auf der Grundlage verschiedener Sprachfassungen dieser Bestimmung feststellt, dass unter ihren Wortlaut alle Informationen zu subsumieren sind, die für das Verfahren und die Grundsätze der automatisierten Verarbeitung personenbezogener Daten zum Erreichen eines bestimmten Ergebnisses auf der Grundlage dieser Daten maßgeblich sind.
Sodann führt der Gerichtshof aus, dass die kontextuelle Auslegung dieser Bestimmung der DSGVO ihre wörtliche Auslegung bestätigt und dass diese Informationen im Übrigen aufgrund der Transparenzverpflichtung, die für sämtliche Daten und Informationen gilt, einschließlich derjenigen, die die automatisierte Entscheidungsfindung betreffen (
3
), in präziser, transparenter, verständlicher und leicht zugänglicher Form zu übermitteln sind.
Außerdem ergibt sich aus der Prüfung der Ziele der DSGVO und insbesondere von Art. 15 Abs. 1 Buchst. h DSGVO, dass das Recht auf „aussagekräftige Informationen über die involvierte Logik“ bei einer automatisierten Entscheidungsfindung im Sinne dieser Bestimmung als ein Recht auf Erläuterung des Verfahrens und der Grundsätze zu verstehen ist, die bei der automatisierten Verarbeitung der personenbezogenen Daten der betroffenen Person zur Anwendung kamen, um auf der Grundlage dieser Daten zu einem bestimmten Ergebnis – etwa einem Bonitätsprofil – zu gelangen. Damit die betroffene Person die ihr durch die DSGVO (
4
) gewährten Rechte wirksam ausüben kann, müssen im Rahmen dieser Erläuterung die relevanten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form übermittelt werden. Weder die bloße Übermittlung einer komplexen mathematischen Formel (etwa eines Algorithmus) noch die detaillierte Beschreibung jedes Schritts einer automatisierten Entscheidungsfindung genügen diesen Anforderungen, da beides keine ausreichend präzise und verständliche Erläuterung darstellt.
Der Gerichtshof kommt zu dem Schluss, dass die „aussagekräftigen Informationen über die involvierte Logik“ einer automatisierten Entscheidungsfindung im Sinne von Art. 15 Abs. 1 Buchst. h DSGVO das Verfahren und die Grundsätze, die konkret zur Anwendung kommen, so beschreiben müssen, dass die betroffene Person nachvollziehen kann, welche ihrer personenbezogenen Daten im Rahmen der automatisierten Entscheidungsfindung auf welche Art verwendet wurden, ohne dass die Komplexität der im Rahmen einer automatisierten Entscheidungsfindung vorzunehmenden Arbeitsschritte den Verantwortlichen von seiner Erläuterungspflicht entbinden könnte.
Was konkret ein Profiling wie im vorliegenden Fall betrifft, könnte das vorlegende Gericht es insbesondere als ausreichend transparent und nachvollziehbar erachten, die betroffene Person zu informieren, in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte.
Zweitens verweist der Gerichtshof zur Abwägung des durch die DSGVO gewährleisteten Auskunftsrechts gegen das Recht auf Schutz von Daten Dritter bzw. auf Schutz von Geschäftsgeheimnissen (
5
) zunächst auf seine Rechtsprechung, wonach ein nationales Gericht der Ansicht sein kann, dass ihm personenbezogene Daten von Parteien oder Dritten übermittelt werden müssen, damit es in voller Kenntnis der Sachlage und unter Beachtung des Grundsatzes der Verhältnismäßigkeit die betroffenen Interessen abwägen kann. Diese Beurteilung kann es gegebenenfalls dazu veranlassen, die vollständige oder teilweise Offenlegung der ihm so übermittelten personenbezogenen Daten gegenüber der Gegenpartei zuzulassen, wenn es der Auffassung ist, dass eine solche Offenlegung nicht über das hinausgeht, was erforderlich ist, um die effektive Wahrnehmung der Rechte zu gewährleisten, die den Rechtsuchenden aus Art. 47 der Charta der Grundrechte der Europäischen Union erwachsen (
6
).
In weiterer Folge führt er aus, dass diese Rechtsprechung uneingeschränkt auf den Fall übertragen werden kann, dass die Informationen, die der betroffenen Person im Rahmen des durch Art. 15 Abs. 1 Buchst. h DSGVO garantierten Auskunftsrechts zur Verfügung gestellt werden müssen, geeignet sind, zu einer Beeinträchtigung der Rechte und Freiheiten anderer Personen zu führen, insbesondere, da sie durch die DSGVO geschützte personenbezogene Daten Dritter oder ein Geschäftsgeheimnis enthalten. Auch in diesem Fall sind diese Informationen der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht zu übermitteln, die die einander gegenüberstehenden Rechte und Interessen abwägen müssen, um den Umfang des Rechts der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten zu ermitteln.
Der Gerichtshof stellt fest, dass hinsichtlich der Notwendigkeit, dies von Fall zu Fall zu ermitteln, Art. 15 Abs. 1 Buchst. h DSGVO insbesondere der Anwendung einer nationalen Bestimmung entgegensteht, die das Auskunftsrecht der betroffenen Person grundsätzlich ausschließt, wenn die Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen oder eines Dritten gefährden würde. In diesem Zusammenhang weist der Gerichtshof darauf hin, dass ein Mitgliedstaat das Ergebnis einer durch das Unionsrecht vorgegebenen, auf Einzelfallbasis durchzuführenden Abwägung der einander gegenüberstehenden Rechte und Interessen nicht abschließend vorschreiben kann (
7
).
Schließlich entscheidet der Gerichtshof, dass Art. 15 Abs. 1 Buchst. h DSGVO dahin auszulegen ist, dass in Fällen, in denen nach Ansicht des Verantwortlichen die Informationen, die der betroffenen Person gemäß dieser Bestimmung zu übermitteln sind, von der DSGVO geschützte Daten Dritter oder Geschäftsgeheimnisse umfassen, der Verantwortliche diese angeblich geschützten Informationen der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht zu übermitteln hat, die die einander gegenüberstehenden Rechte und Interessen abwägen müssen, um den Umfang des in Art. 15 DSGVO vorgesehenen Auskunftsrechts der betroffenen Person zu ermitteln.
(
1
)	Urteil vom 7. Dezember 2023, SCHUFA Holding u. a. (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Art. 15 Abs. 1 Buchst. h der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
(
3
)	Gemäß Art. 12 Abs. 1 DSGVO.
(
4
)	Insbesondere Art. 22 Abs. 3 DSGVO.
(
5
)	Im Sinne von Art. 2 Nr. 1 der Richtlinie (EU) 2016/943 des Europäischen Parlaments und des Rates vom 8. Juni 2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung (ABl. 2016, L 157, S. 1).
(
6
)	Urteil vom 2. März 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, Rn. 58).
(
7
)	Vgl. in diesem Sinne Urteil vom 7. Dezember 2023, SCHUFA Holding u. a. (Scoring) (C‑634/21, EU:C:2023:957, Rn. 70 und die dort angeführte Rechtsprechung).