W252 2244321-1 – Bvwg Entscheidung

 Spruch

W252 2244321-1/5Z

BESCHLUSS

Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, Schottenring 25, 1010 Wien (mitbeteiligte Partei vor dem Verwaltungsgericht XXXX ), gegen den Bescheid der Datenschutzbehörde vom 11.03.2021, GZ XXXX , in nichtöffentlicher Sitzung in einer datenschutzrechtlichen Angelegenheit, beschlossen:

A)

Das Verfahren wird gemäß § 17 VwGVG iVm § 38 AVG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in den beiden Rechtssachen:

I) C-634/21 über das Ersuchen des Verwaltungsgerichts Wiesbaden vom 01.10.2021, 6 K 788/20.WI, sowie

II) C-203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11.02.2022, VWG-101/042/791/2020, berichtigt mit Schreiben vom 23.03.2022,

ausgesetzt.

B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

 Text

Begründung:

I. Verfahrensgang:

1. Die mitbeteiligte Partei (in Folge „MP“) sah sich in ihrem Recht auf Auskunft durch die Beschwerdeführerin (in Folge „BF“) – eine Kreditauskunftei – verletzt, da ihr diese insbesondere Informationen zur Bonitätsbeurteilung vorenthalten habe. Die erteilte Auskunft sei daher unvollständig.

2. Mit Bescheid vom 11.03.2021 gab die belangte Behörde der Beschwerde teilweise statt und stellte eine Verletzung im Recht auf Auskunft fest, da die übermittelte Auskunft keine aussagekräftigen Informationen über die involvierte Logik, der durchgeführten Berechnung von Bonitätsscores, enthalten habe (Spruchpunkt 1.). Der BF wurde aufgetragen in klarer sowie einfacher Sprache Informationen über die involvierte Logik der von ihr durchgeführten Berechnung von Bonitätsscores zu geben (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.).

3. Gegen die Spruchpunkte 1. und 2. des Bescheides erhob der BF am 08.04.2021 eine Bescheidbeschwerde. Unter anderem brachte die BF darin vor, dass die Berechnung der Bonität durch Kreditauskunfteien gerade keine Entscheidung iSd Art 22 Abs 1 DSGVO sei. Die geforderten Informationen zur Berechnung der Bonität seien außerdem ein Geschäftsgeheimnis.

Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 05.07.2021, hg eingelangt am 13.07.2021, vor und beantragte – unter Verweis auf die Begründung des angefochtenen Bescheids – die Beschwerde abzuweisen.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Der folgende Sachverhalt steht fest:

1.1. Die BF beauskunftete der MP eine Tabelle mit mehreren Empfängern und den an diese übermittelten Bonitätsscores. Unter anderem wurde am 12.07.2013 der Wert von XXXX , sowie am 13.02.2019 der Wert von XXXX an die XXXX übermittelt.

1.2. Das Verwaltungsgericht Wiesbaden hat mit Vorabentscheidungsersuchen vom 01.10.2021, 6 K 788/20.WI, ua folgende Frage an den Europäischen Gerichtshof zur Vorabentscheidung (anhängig beim EuGH zu C-634/21) gerichtet:

„1. Ist Art. 22 Abs. 1 der Verordnung (EU) 2016/679 dahingehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswertes über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung darstellt, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?“

1.3. Das Verwaltungsgericht Wien hat mit Vorabentscheidungsersuchen vom 11.02.2022, VWG-101/042/791/2020, berichtigt mit Schreiben vom 23.03.2022, ua folgende Fragen an den Europäischen Gerichtshof zur Vorabentscheidung (anhängig beim EuGH zu C-203/22) gerichtet:

„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend „aussagekräftig“ im Sinne des Art. 15 Abs. 1 Buchst. h der Datenschutz-Grundverordnung (DS-GVO) eingestuft zu werden?

Sind – allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses – im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftung der „involvierten Logik“ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben?

Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 DS-GVO zu ermöglichen:

a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS-GVO) erlauben,

b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten,

c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,

d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,

e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,

f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,

g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist

2) Steht das durch Art. 15 Abs. 1 Buchst. h DS-GVO gewährte Auskunftsrecht mit den durch Art. 22 Abs. 3 DS-GVO garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung im Sinne des Art. 22 DS-GVO insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO zu erteilenden Informationen nur dann ausreichend „aussagekräftig“ ist, wenn der Auskunftsbegehrende und Betroffene im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 DS-GVO garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung im Sinne des Art. 22 DS-GVO tatsächlich, profund und erfolgversprechend wahrzunehmen?

3a) Ist Art. 15 Abs. 1 Buchst. h DS-GVO dahingehend auszulegen, dass nur dann von einer „aussagekräftigen Information“ im Sinne dieser Bestimmung auszugehen ist, wenn diese Information so weitgehend ist, dass es dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO möglich ist festzustellen, ob diese erteilte Information auch den Tatsachen entspricht, daher ob der konkret angefragten automatisierten Entscheidung auch tatsächlich die bekannt gegebenen Informationen zugrunde gelegen sind?

3b) Bejahendenfalls: Wie ist vorzugehen, wenn die Richtigkeit der von einem Verantwortlichen erteilten Information nur dadurch überprüft zu werden vermag, wenn auch von der DS-GVO geschützte Daten Dritter dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO zur Kenntnis gebracht werden müssen (Black-Box)?

Kann dieses Spannungsverhältnis zwischen dem Auskunftsrecht im Sinne des Art. 15 Abs. 1 DS-GVO und dem Datenschutzrecht Dritter auch dadurch aufgelöst werden, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter, welche ebenfalls demselben Profiling unterzogen wurden, ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen hat, ob die bekannt gegebenen Daten dieser dritten Personen den Tatsachen entsprechen?

3c) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte im Sinne des Art. 15 Abs. 4 DS-GVO durch die Schaffung der unter Punkt 3b) angesprochenen Black-Box jedenfalls eingeräumt zu werden?

Sind dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO in diesem Fall jedenfalls die für die Ermöglichung der Überprüfbarkeit der Richtigkeit der Entscheidungsfindung vom Verantwortlichen im Sinne des Art. 15 Abs. 1 DS-GVO bekannt zu gebenden Daten anderer Personen in pseudoanonymisierter Form bekannt zu geben?

4a) Wie ist vorzugehen, wenn die zu erteilende Information im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO auch die Vorgaben eines Geschäftsgeheimnisses im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie erfüllt?

Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 Buchst. h DS-GVO garantierten Auskunftsrecht und dem durch die Know-how-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie auszugehen ist, und ob die vom Verantwortlichen im Sinne des Art. 15 Abs. 1 DS-GVO erteilte Information den Tatsachen entspricht?

4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte im Sinne des Art. 15 Abs. 4 DS-GVO durch die Schaffung der unter Punkt 4a) angesprochenen Black-Box jedenfalls eingeräumt zu werden?

Sind (auch) in diesem Fall eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 Buchst. h DS-GVO bekannt zu gebenden Informationen in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 DS-GVO völlig zu ermöglichen:

a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der DS-GVO erlauben,

b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten,

c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,

d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,

e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,

f) Erklärung, weshalb der Auskunftsberechtigte im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,

g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist?

5) Wird durch die Bestimmung des Art. 15 Abs. 4 DS-GVO in irgendeiner Weise der Umfang der gemäß Art. 15 Abs. 1 Buchst. h DS-GVO zu erteilenden Auskunft beschränkt?

Bejahendenfalls, in welcher Weise wird dieses Auskunftsrecht durch Art. 15 Abs. 4 DS-GVO beschränkt, und wie ist im jeweiligen Fall dieser Umfang der Einschränkung zu ermitteln?

6) Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonach „das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DS-GVO gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde, mit den Vorgaben des Art. 15 Abs. 1 in Verbindung mit Art. 22 Abs. 3 DS-GVO vereinbar? Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“

2. Die Feststellungen gründen auf der folgenden Beweiswürdigung:

Die Feststellungen ergeben sich aus dem unbedenklichen Verwaltungsakt (siehe insbesondere die Stellungnahme der BF vom 26.03.2019) sowie den zitierten Vorabentscheidungsersuchen an den EuGH.

3. Rechtlich folgt daraus:

Zu A)

3.1. Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.

3.2. Eine Hauptfrage in diesem Sinne kann auch eine Vorlagefrage eines beim EuGH anhängigen Vorabentscheidungsverfahren sein. Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl zB VwGH 13.12.2011, 2011/22/0316). Präjudiziell ist eine Rechtsfrage dabei auch zu einer "bloß" ähnliche Rechtsfrage, und zwar auch dann, wenn nicht dieselbe gesetzliche Regelung desselben Gesetzgebers betroffen ist (vgl VwGH 13.09.2017, Ra 2017/12/0068).

3.3. Im vorliegenden Fall sind die vom Verwaltungsgericht Wiesbaden und vom Verwaltungsgericht Wien an den Europäischen Gerichtshof herangetragenen Vorlagefragen für die Behandlung der hier zu klärenden Rechtsfrage, ob und wenn ja, welche aussagekräftigen Informationen über die involvierte Logik einer automatisierten Entscheidungsfindung dem Betroffenen gemäß Art 15 Abs 1 lit h DSGVO von der BF als Kreditauskunftei im Spannungsverhältnis zu einem etwaigen Geschäftsgeheimnis zur Verfügung zu stellen sind, maßgeblich. Sie sind den im gegenständlichen Verfahren zu lösenden Rechtsfragen im Sinne der oben angeführten Judikatur jedenfalls ähnlich und auch präjudiziell. Die vorgelegten Fragen sind für das gegenständliche Verfahren relevant, um den Umfang des Rechts auf Auskunft gemäß Art 15 Abs 1 lit h DSGVO beurteilen zu können.

3.4. Es wird daher die Aussetzung des Beschwerdeverfahrens – mit nicht bloß verfahrensleitenden Beschluss (vgl VwGH 20.12.2017, Ra 2017/12/0119) – bis zur Vorabentscheidung durch den EuGH (anhängig unter EuGH C-634/21 und C-203/22) beschlossen.

3.5. Es war spruchgemäß zu entscheiden.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten. Die Beurteilung, dass die gegenständliche – bei einem anderen Gericht (dem EuGH) anhängige – Rechtsfrage, für das hiergerichtliche Verfahren präjudiziell bzw „ähnlich“ ist, erfolgte anhand der vom Verwaltungsgerichtshof aufgestellten Grundsätze und ist als einzelfallbezogene Beurteilung nicht reversibel (vgl VwGH 13.09.2017, Ra 2017/12/0068).