W256 2233303-1/8E
Im Namen der republik
Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende und den fachkundigen Laienrichterinnen Dr. Claudia Rosenmayr-Klemenz und Mag. Adriana Mandl als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch Putz Rischka Rechtsanwälte KG, gegen die Spruchpunkte 1, 2a und 2b des Bescheids der Datenschutzbehörde vom 16. März 2020, Zl. XXXX
I. zu Recht erkannt:
A) Der Beschwerde gegen Spruchpunkt 2a wird Folge gegeben und dieser Spruchpunkt ersatzlos behoben.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
II. beschlossen:
A) Das Verfahren wird in Bezug auf Spruchpunkt 1 und 2b gemäß § 17 VwGVG iVm § 38 AVG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in den beiden Rechtssachen a) C-203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11. Februar 2022, VWG-101/042/791/2020, berichtigt mit Schreiben vom 23. März 2022, sowie b) in der Rechtssache C-634/21 über das Ersuchen des Verwaltungsgerichts Wiesbaden vom 1. Oktober 2021, 6 K 788/20.WI, ausgesetzt.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang und Sachverhalt:
In ihrer Beschwerde vom 16. Mai 2019 behauptet Mag. XXXX (im Folgenden: Mitbeteiligte) eine Verletzung in ihrem Recht auf Auskunft. Sie habe bei der Beschwerdeführerin eine kostenlose Selbstauskunft angefordert. Die darauf erteilte Auskunft sei aber u.a. in Bezug auf die Herkunft der Daten und das Zustandekommen einer Bonitätsbewertung mangelhaft. Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Das sei ihr mit der allgemein gehaltenen Information über die Datenherkunft in der gegenständlichen Auskunft jedoch nicht möglich. So werde in der Auskunft im Abschnitt „Anschrift“ als „Quelle“ vom 1. Mai 2014 ein „Partner“ genannt. Damit fehlen aber alle verfügbaren Informationen über die Herkunft dieses Datums, insbesondere wer dieser konkrete Partner sei. Ebenso enthalte die Auskunft sie betreffende Bewertungen, wie einen Riskindicator 334, einen KKE-Score 498 und einen WirtschaftlichkeitsIndex 97,35%. Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person würden darin aber nicht offengelegt.
Über Aufforderung der belangten Behörde teilte die Beschwerdeführerin in ihrer Stellungnahme vom 4. September 2019 mit, die Beschwerdeführer habe die Auskunft an die Mitbeteiligte in verständlicher Form und fristgerecht erstattet, insbesondere entspreche die Auskunft den Vorgaben der DSGVO. Eine Rechtsverletzung durch die Beschwerdeführerin liege daher nicht vor. Sofern die Mitbeteiligte die Bewertung der Bonität bemängle, sei festzuhalten, dass eine solche Bewertung der Beschwerdeführerin als gewerbliche Auskunftei obliege. Der Mitbeteiligten seien die Kriterien ausreichend bekanntgegeben worden, die Bekanntgabe weiterer Kriterien zu den Bewertungen sei nicht vorgesehen und unterliege dem Geschäfts- und Betriebsgeheimnis der Beschwerdeführerin.
Dazu hat sich die Mitbeteiligte im Rahmen des Parteiengehörs nicht geäußert.
Mit dem angefochtenen Bescheid wurde der Beschwerde der Mitbeteiligten teilweise Folge gegeben und festgestellt, dass die erteilte Auskunft unvollständig sei (Spruchpunkt 1). Der Beschwerdeführerin wurde daher in Spruchpunkt 2a aufgetragen, zu überprüfen, ob weitere Informationen im Hinblick auf die Herkunft der Daten der Mitbeteiligten vorhanden seien und bejahendenfalls der Mitbeteiligten eine entsprechende Auskunft zu erteilen. Weiters wurde der Beschwerdeführerin in Spruchpunkt 2b aufgetragen, der Mitbeteiligten aussagekräftige Informationen über die involvierte Logik über die sie betreffende Bonitätsbewertung zu geben. Im Übrigen wurde die Beschwerde der Mitbeteiligten in Spruchpunkt 3 abgewiesen. Begründend führte die belangte Behörde – sofern hier wesentlich – aus, Art 15 Abs. 3 lit g DSGVO schaffe einen Auskunftsanspruch über alle verfügbaren Informationen über die Herkunft der Daten. Damit werde folglich kein absolutes Recht auf Bekanntgabe der Herkunft der Daten, sondern nur ein Recht auf Bekanntgabe der „verfügbaren“ Informationen geschaffen. Wie der Verwaltungsgerichtshof festgehalten habe, müssten Auskünfte grundsätzlich derart erfolgen, dass der Betroffene seine Berichtigungs- und Löschungsrechte auch gegenüber der Quelle der Daten sowie gegenüber den Empfängern geltend machen könne. Nur die Kenntnis der Quelle ermögliche eine Überprüfung der Zulässigkeit der Datenverarbeitung. Die Beschwerdeführerin habe lediglich allgemein gehaltene Angaben über die Herkunft der Daten der Mitbeteiligten gemacht. Zwar sei die Herkunft der Daten nicht in ein Verzeichnis der Verarbeitungen aufzunehmen, die Beschwerdeführerin habe aber nie dargelegt, dass die Ermittlung der Quelle einen unverhältnismäßigen Aufwand verursache. So führte die Beschwerdeführerin in der Auskunft hinsichtlich der Anschrift der Mitbeteiligten als „Quelle“ lediglich einen „Partner“ an. Die Auskunft erweise sich daher in diesem Punkt als mangelhaft.
Auch in Bezug auf Spruchpunkt 2b sei die Auskunft mangelhaft. Die Beschwerdeführerin treffe automatisierte Einzelentscheidungen, zumal sie Bonitätsprüfungen durchführe. Mangels Darlegung sonstiger aussagekräftiger Informationen, die geeignet seien, Aufschluss über das Zustandekommen der Score-Werte zu treffen, habe die Beschwerdeführerin der mitbeteiligten Partei die Möglichkeit genommen, das Zustandekommen der ihr zugeschriebenen Bonitätswerte nachvollziehen zu können. Die Beschwerdeführerin habe auch nicht hinreichend dargelegt, inwiefern die Bereitstellung aussagekräftiger Informationen über die Logik einer automatisierten Entscheidungsfindung im konkreten Fall ein Betriebsgeheimnis darstelle. Die Beschwerdeführerin sei daher gehalten, aussagekräftige Informationen über die involvierte Logik zu geben.
Dagegen richtet sich die vorliegende Beschwerde. Die Beschwerdeführerin habe eine vollständige der DSGVO entsprechende Auskunft erteilt. Die Herkunft der Adresse sei unter Angabe der Quelle mit XXXX offengelegt worden. Eine darüberhinausgehende Pflicht zur Auskunft bestehe nicht. Eine Speicherung sämtlicher Datenherkünfte sei gesetzlich auch nicht vorgesehen und seien auch nur verfügbare Informationen von der Auskunftspflicht erfasst. Es habe sich bei der in Rede stehenden Angabe lediglich um eine Adresskontrolle gehandelt, welche überdies im Jahr 2014 erfolgt sei. Es könne nicht erwartet werden, dass 6 Jahre die Adresskontrolle (nicht die Erhebung) gespeichert werde. Die Auskunft, dass die Kontrolle von einem gewerberechtlich befugten Partner erfolgt sei, sei daher ausreichend. Dies auch deshalb, weil die Adresse stets unverändert geblieben sei und die Mitbeteiligte insofern auch gar keine Löschungsrechte haben könne.
In Bezug auf Spruchpunkt 2b führte die Beschwerdeführerin zusammengefasst aus, dass ein Auskunftsanspruch gemäß Art. 15 Abs. 1 lit. h DSGVO gegen die Beschwerdeführerin nicht bestehe, weil sie keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung iSd Art. 22 Abs. 1 DSGVO treffe, die Berechnung der Bonität durch die Beschwerdeführerin gegenüber Betroffenen weder rechtliche Wirkungen entfalte, noch sie in ähnlicher Weise erheblich beeinträchtige und es im vorliegenden Fall auch zu gar keiner Weiterleitung der Scorewerte an Dritte gekommen sei. Selbst wenn der Tatbestand des Art. 15 Abs. 1 lit. h DSGVO erfüllt wäre, stünde der Auskunftsverweigerungsgrund der Gefährdung von Geschäftsgeheimnissen entgegen. Die Auskunft sei daher ohnedies bereits hinreichend erteilt worden.
Mit Schreiben vom 29. Juni 2022 wurden die Parteien vom Bundesverwaltungsgericht darüber in Kenntnis gesetzt, dass an den Gerichtshof der Europäischen Union Vorlagefragen herangetragen worden seien, welche für die Behandlung der gegenständlichen Rechtsfragen relevant sein können und insofern die Aussetzung des Verfahrens in diesem Punkt beabsichtigt sei.
Dazu teilte die Beschwerdeführerin mit, dass sie die beabsichtigte Aussetzung zur Kenntnis nehme. Gleichzeitig bekräftigte die Beschwerdeführerin, dass sich Ihre Beschwerde ausschließlich gegen die Spruchpunkte 1 und 2 richte.
Die belangte Behörde und die Mitbeteiligte haben sich dazu im Rahmen des Parteiengehörs nicht geäußert.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Sachverhalt
Bei der Beschwerdeführerin handelt es sich um eine Kreditauskunftei gemäß § 152 Gewerbeordnung.
Die Mitbeteiligte begehrte von der Beschwerdeführerin Auskunft über ihre Daten.
Daraufhin teilte die Beschwerdeführerin der Mitbeteiligten mit Schreiben vom 23. Februar 2019 u.a. mit, dass sie als Personendaten den Namen, die Adresse und das Geburtsdatum der Mitbeteiligten verarbeite.
Als Quelle der Anschrift wurde hier die Beschwerdeführerin selbst genannt, wobei auch festgehalten wurde, dass es am 1. Mai 2014 zu einer Adressbestätigung bei einem Partner gekommen sei.
Die Beschwerdeführerin besitzt keine Informationen (mehr) darüber, wer dieser Partner ist.
Weiters enthält die Auskunft in Bezug auf die Mitbeteiligte u.a. diverse Bewertungen, wie einen Risk-Indicator in der Höhe von 334, einen KKE Scorewert in der Höhe von 498 und einen WirtschaftlichkeitsIndex in der Höhe von 97,35%.
1. Beweiswürdigung:
Der oben wiedergegebene Verfahrensgang und der festgestellte Sachverhalt ergeben sich aus dem vorgelegten Verwaltungsakt. Dass die Beschwerdeführerin keine Informationen darüber besitzt, wer die Adressbestätigung im Jahr 2014 durchgeführt hat, ergibt sich aus ihrem Vorbringen in der Beschwerde. Es bestehen schon angesichts der Zeitspanne von 6 Jahren keine Gründe, dieses Vorbringen in Zweifel zu ziehen und wurde dazu von Seiten der sonstigen Verfahrensparteien auch gar nichts (mehr) vorgebracht.
2. Rechtliche Beurteilung:
zu Spruchpunkt I.A)
Die hier wesentlichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lauten auszugsweise wie folgt:
„Art 4
Begriffsbestimmungen
[..]
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[…]
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
[..]
Art 15 Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
[…]“
Art 15 DSGVO räumt der betroffenen Person das Recht ein, vom jeweiligen Verantwortlichen eine näher dargestellte Auskunft zu verlangen. Sofern eine Verarbeitung personenbezogener Daten vorliegt, kann die betroffene Person zum einen Auskunft über diese Daten selbst fordern, zum anderen Auskunft über eine erhebliche Zahl von Informationen, die sich auf die Verarbeitung dieser Daten beziehen (vgl. Ehmann in Ehmann/Selmayr [Hrsg], Datenschutz-Grundverordnung², Art. 15, Rn 15).
Dazu zählt nach Art 15 Abs 1 lit g DSGVO das Recht Auskunft über alle verfügbaren Informationen über die Herkunft der Daten zu verlangen.
Da der Wortlaut ausdrücklich von „verfügbaren“ Informationen spricht, besteht nach dieser Gesetzesstelle keine Pflicht zur Dokumentation von Datenquellen. Auch kann aufgrund des Abstellens auf die verfügbaren Informationen eine nachträgliche Erhebungspflicht beim Verantwortlichen nicht angenommen werden (Jahnel, Kommentar zur Datenschutz-Grundverordnung (DSGVO) Art 15, Rz 31).
Im vorliegenden Fall hat die Beschwerdeführerin der Mitbeteiligten in ihrer Auskunft u.a. mitgeteilt, dass sie die Adresse der Mitbeteiligten verarbeite und diese aus ihren eigenen Datenbeständen bezogen wurde. Im Jahr 2014 sei es zu einer Adresskontrolle bei einem Partner gekommen und habe diese die unveränderte Adresse der Mitbeteiligten hervorgebracht.
Wie aufgrund der glaubhaften Angaben der Beschwerdeführerin festgestellt wurde, besitzt die Beschwerdeführerin selbst keine Informationen (mehr) darüber, bei wem sie diese Adressbestätigung im Jahr 2014 durchgeführt hat.
Vor dem Hintergrund der obigen Ausführungen bestehen daher im vorliegenden Fall keine Gründe, die in Rede stehende Auskunft über die Herkunft ihrer Adresse als mangelhaft zu beurteilen.
Davon abgesehen hat die Beschwerdeführerin auch zu Recht darauf hingewiesen, dass die Adressbestätigung im Jahr 2014 ohnedies keine neue Adresse und damit auch kein neues Datum der Mitbeteiligten hervorgebracht hat. Dass sie diese (unverändert gebliebene) Adresse von ihr selbst bezogen hat, wurde der Mitbeteiligten in der Auskunft bereits mitgeteilt und wurde der Mitbeteiligten damit hinreichend die Möglichkeit zur Überprüfung der Rechtmäßigkeit dieses Verarbeitungsvorganges eingeräumt. Auch aus diesem Grund bestehen daher keine Gründe, die Vollständigkeit dieser Auskunft in Zweifel ziehen.
Es war daher spruchgemäß zu entscheiden.
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.
zu I.B) Zulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Aufgrund der eindeutigen Rechtslage handelt es sich nicht um eine Rechtsfrage grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Sonstige Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage liegen nicht vor.
zu II.A
Das Verwaltungsgericht Wiesbaden hat mit Vorabentscheidungsersuchen vom 1. Oktober 2021, 6 K 788/20.WI, ua folgende Frage an den Europäischen Gerichtshof zur Vorabentscheidung (anhängig beim EuGH zu C-634/21) gerichtet:
„1. Ist Art. 22 Abs. 1 der Verordnung (EU) 2016/679 dahingehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswertes über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung darstellt, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?“
Das Verwaltungsgericht Wien hat mit Vorabentscheidungsersuchen vom 11. Februar 2022, VWG-101/042/791/2020, berichtigt mit Schreiben vom 23. März 2022, ua folgende Fragen an den Europäischen Gerichtshof zur Vorabentscheidung (anhängig beim EuGH zu C-203/22) gerichtet:
„Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend „aussagekräftig“ im Sinne des Art. 15 Abs. 1 Buchst. h der Datenschutz-Grundverordnung (DS-GVO) eingestuft zu werden?
Sind – allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses – im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftung der „involvierten Logik“ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben?
Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 DS-GVO zu ermöglichen:
Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der DS-GVO erlauben,
Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten,
die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
Erklärung, weshalb der Auskunftsberechtigte im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist?
Steht das durch Art. 15 Abs. 1 Buchst. h DS-GVO gewährte Auskunftsrecht mit den durch Art. 22 Abs. 3 DS-GVO garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung im Sinne des Art. 22 DS-GVO insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO zu erteilenden Informationen nur dann ausreichend „aussagekräftig“ ist, wenn der Auskunftsbegehrende und Betroffene im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 DS-GVO garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung im Sinne des Art. 22 DS-GVO tatsächlich, profund und erfolgversprechend wahrzunehmen?
a) Ist Art. 15 Abs. 1 Buchst. h DS-GVO dahingehend auszulegen, dass nur dann von einer „aussagekräftigen Information“ im Sinne dieser Bestimmung auszugehen ist, wenn diese Information so weitgehend ist, dass es dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO möglich ist festzustellen, ob diese erteilte Information auch den Tatsachen entspricht, daher ob der konkret angefragten automatisierten Entscheidung auch tatsächlich die bekannt gegebenen Informationen zugrunde gelegen sind?
b) Bejahendenfalls: Wie ist vorzugehen, wenn die Richtigkeit der von einem Verantwortlichen erteilten Information nur dadurch überprüft zu werden vermag, wenn auch von der DS-GVO geschützte Daten Dritter dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO zur Kenntnis gebracht werden müssen (Black-Box)?
Kann dieses Spannungsverhältnis zwischen dem Auskunftsrecht im Sinne des Art. 15 Abs. 1 DS-GVO und dem Datenschutzrecht Dritter auch dadurch aufgelöst werden, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter, welche ebenfalls demselben Profiling unterzogen wurden, ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen hat, ob die bekannt gegebenen Daten dieser dritten Personen den Tatsachen entsprechen?
c) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte im Sinne des Art. 15 Abs. 4 DS-GVO durch die Schaffung der unter Punkt 3b) angesprochenen Black-Box jedenfalls eingeräumt zu werden?
Sind dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO in diesem Fall jedenfalls die für die Ermöglichung der Überprüfbarkeit der Richtigkeit der Entscheidungsfindung vom Verantwortlichen im Sinne des Art. 15 Abs. 1 DS-GVO bekannt zu gebenden Daten anderer Personen in pseudoanonymisierter Form bekannt zu geben?
a) Wie ist vorzugehen, wenn die zu erteilende Information im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO auch die Vorgaben eines Geschäftsgeheimnisses im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie erfüllt?
Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 Buchst. h DS-GVO garantierten Auskunftsrecht und dem durch die Know-how-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie auszugehen ist, und ob die vom Verantwortlichen im Sinne des Art. 15 Abs. 1 DS-GVO erteilte Information den Tatsachen entspricht?
b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte im Sinne des Art. 15 Abs. 4 DS-GVO durch die Schaffung der unter Punkt 4a) angesprochenen Black-Box jedenfalls eingeräumt zu werden?
Sind (auch) in diesem Fall eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 Buchst. h DS-GVO bekannt zu gebenden Informationen in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 DS-GVO völlig zu ermöglichen:
Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der DS-GVO erlauben,
Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten,
die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
Erklärung, weshalb der Auskunftsberechtigte im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist?
Wird durch die Bestimmung des Art. 15 Abs. 4 DS-GVO in irgendeiner Weise der Umfang der gemäß Art. 15 Abs. 1 Buchst. h DS-GVO zu erteilenden Auskunft beschränkt?
Bejahendenfalls, in welcher Weise wird dieses Auskunftsrecht durch Art. 15 Abs. 4 DS-GVO beschränkt, und wie ist im jeweiligen Fall dieser Umfang der Einschränkung zu ermitteln?
Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonach „das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DS-GVO gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde, mit den Vorgaben des Art. 15 Abs. 1 in Verbindung mit Art. 22 Abs. 3 DS-GVO vereinbar? Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“
Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung von Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.
Eine Hauptfrage in diesem Sinne kann auch eine Vorlagefrage eines beim EuGH anhängigen Vorabentscheidungsverfahrens sein. Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl VwGH 13.12.2011, 2011/22/0316). Präjudiziell ist eine Rechtsfrage dabei auch zu einer „bloß“ ähnlichen Rechtsfrage, und zwar auch dann, wenn nicht dieselbe gesetzliche Regelung desselben Gesetzgebers betroffen ist (vgl VwGH 13.9.2017, Ra 2017/12/0068).
Im vorliegenden Fall sind die vom Verwaltungsgericht Wien und vom Verwaltungsgericht Wiesbaden an den Europäischen Gerichtshof herangetragenen Vorlagefragen für die Behandlung der hier zu klärenden Rechtsfrage, ob und wenn ja, welche aussagekräftigen Informationen über die involvierte Logik einer automatisierten Entscheidungsfindung dem Betroffenen gemäß Art 15 Abs 1 lit h DSGVO von der Beschwerdeführerin als Wirtschaftsauskunftei im Spannungsverhältnis zu einem etwaigen Geschäftsgeheimnis zur Verfügung zu stellen sind, maßgeblich.
Es wird daher die Aussetzung des Beschwerdeverfahrens bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in den beiden Rechtssachen a) C-203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11. Februar 2022, VWG-101/042/791/2020, berichtigt mit Schreiben vom 23. März 2022, sowie b) in der Rechtssache C-634/21 über das Ersuchen des Verwaltungsgerichts Wiesbaden vom 1. Oktober 2021, 6 K 788/20.WI, beschlossen.
zu Spruchpunkt II. B)
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützen. Eine – wie hier – im Rahmen dieser vom Verwaltungsgerichtshof aufgestellten Grundsätze vorgenommene Beurteilung einer bei einem anderen Gericht anhängigen Rechtsfrage als für das gegenständliche Verfahren präjudiziell ist nicht reversibel (vgl VwGH 13.9.2017, Ra 2017/12/0068).
Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Rückverweise
RIS