W108 2230691-1/39Z
BESCHLUSS
Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerde von XXXX vertreten durch Thurnher Wittwer Pfefferkorn Partner Rechtsanwälte GmbH, wegen Verletzung der Entscheidungspflicht der Datenschutzbehörde im Verfahren zur Zahl D123.946 betreffend eine Datenschutzbeschwerde (Beschwerdegegnerin bzw. Mitbeteiligte: XXXX beschlossen:
A)
Das Beschwerdeverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11. Februar 2022, VWG-101/042/791/2020-44, ausgesetzt.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Begründung:
I. Verfahrensgang und Sachverhalt:
1. In seiner an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß Art. 77 Datenschutz-Grundverordnung (DSGVO) behauptete der Beschwerdeführer eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO durch die Beschwerdegegnerin/Mitbeteiligte, die u.a. das Gewerbe der Kreditauskunftei gemäß § 152 GewO 1994 betreibt, da die von ihr erteilte Auskunft unvollständig erfolgt sei und nicht den Vorgaben des Art. 15 DSGVO entspreche. So habe die Beschwerdegegnerin/Mitbeteiligte keine Auskunft über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 15 Abs. 1 lit. h DSGVO erteilt, obwohl sie in anderen Beschwerdeverfahren vor der belangten Behörde ausdrücklich zugestanden habe, dass eine automatisierte Entscheidungsfindung stattfinde, und sich aus ihren Angaben auch zweifelsfrei ableiten lasse, dass jedenfalls auch Profiling im Sinne von Art. 22 DSGVO durchgeführt werde.
2. Die Beschwerdegegnerin/Mitbeteiligte, hält dem zusammengefasst entgegen, dass keine automatisierte Entscheidungsfindung einschließlich Profiling iSd Art. 22 DSGVO vorliege, da eine Entscheidung zur Zahlartensteuerung jedenfalls keine erheblichen Nachteile für den Beschwerdeführer zur Folge gehabt habe bzw. hätte. Derzeit würden zudem keine Scoring-Werte zum Beschwerdeführer vorliegen oder verarbeitet werden, weshalb auch keine automatisierte Entscheidungsfindung vorliege, die den Beschwerdeführer beeinträchtigen könnte. Hinsichtlich des Beschwerdeführers sei in der Vergangenheit die Bereitstellung eines Ratingwertes von 2,02 und eines Ampelscores von 2 erfolgt. In die Bestimmung des Rating-Wertes würden Daten aus dem Bonitätsumfeld (insbesondere Zahlungserfahrungen, Inkassoverfahren, Liegenschaftsversteigerungen, Insolvenzverfahren), Umfelddaten (Daten beteiligter Unternehmen) sowie soziodemografische Daten (z.B. Alter, Berufsausbildung) einfließen. Betreffend die Gewichtung sei zu sagen, dass Informationen zum Einkommen, zur Zahlungsweise sowie zur Branche hauptausschlaggebend für den Score seien, wobei sich keine bzw. wenige bzw. bereits länger zurückliegende Zahlungsanstände positiv auf den Ratingwert/Score auswirken würden. Werten von 1 bis 3 würden positive Zahlungserfahrungen (keine Zahlungsanstände) und Berechtigungen zur Ausübung einer bestimmten beruflichen Tätigkeit zugrunde liegen. In weiterer Folge werde zwischen dem Scoring-Wert 1 bis 3 differenziert, je nach den vorliegenden soziodemografischen Daten. Beispielsweise werde in Bezug auf junge Personen bzw. Unternehmen ein höheres Risiko für einen Zahlungsausfall angenommen, dementsprechend würde der Scoring-Wert höher angesetzt werden. Weitere Informationen zur Gewichtung, insbesondere die detaillierte Bereitstellung der Berechnungslogik, würden ein wesentliches Betriebsgeheimnis der Beschwerdegegnerin/Mitbeteiligten darstellen.
3. Der Beschwerdeführer erhob eine Säumnisbeschwerde gemäß Art. 130 Abs. 1 Z 3 B-VG wegen Verletzung der Entscheidungspflicht der belangten Behörde, in der er ausführte, dass die verfahrensgegenständliche Datenschutzbeschwerde vor mehr als zwölf Monaten eingebracht worden sei und die belangte Behörde die ihr nach § 73 Abs. 1 AVG eingeräumte Entscheidungsfrist um mehr als das Doppelte überschritten habe.
4. In der Folge legte die belangte Behörde die Säumnisbeschwerde samt den dazugehörigen Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass zum Zeitpunkt der Erhebung der Säumnisbeschwerde die Entscheidungsfrist von sechs Monaten bereits abgelaufen gewesen und die Säumnisbeschwerde damit berechtigt sei. Die belangte Behörde habe die Entscheidung binnen der in § 16 Abs. 1 VwGVG vorgesehenen Frist aufgrund des erhöhten Arbeitsanfalles und der im Zusammenhang mit der COVID-19-Pandemie einhergehenden Einschränkungen bedauerlicherweise nicht nachholen können, weswegen die Zuständigkeit ex lege auf das Bundesverwaltungsgericht übergegangen sei.
5. Mit Verfügung des Geschäftsverteilungsausschusses des Bundesverwaltungsgerichtes vom 20.10.2023 wurde mit Wirksamkeit vom 07.11.2023 das gegenständliche Beschwerdeverfahren der bisher zuständigen Gerichtsabteilung W245 abgenommen und der Gerichtsabteilung W108 neu zugewiesen.
6.1. Mit Vorabentscheidungsersuchen vom 11.02.2022, VGW-101/042/791/2020-44, (beim EuGH eingereicht am 16.03.2022, berichtigt mit Schreiben vom 23.03.2022 und anhängig zur Zahl C-203/22) richtete das Verwaltungsgericht Wien folgende Fragen an den EuGH zur Vorabentscheidung (Formatierung nicht 1:1 wiedergegeben):
„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend ‚aussagekräftig‘ i.S.d. Art. 15 Abs. 1 lit. h der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DS-GVO) eingestuft zu werden?
Sind - allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses - im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftung der ‚involvierten Logik‘ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben?
Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS-VGO) erlauben,
b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist.
2) Steht das durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) gewährte Auskunftsrecht mit den durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens i.S.d. Art. 15 lit. h Datenschutz-Grundverordnung (DS-GVO) zu erteilenden Informationen nur dann ausreichend ‚aussagekräftig‘ ist, wenn der Auskunftsbegehrende und Betroffene i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) tatsächlich, profund und erfolgversprechend wahrzunehmen?
...
4a) Wie ist vorzugehen, wenn die zu erteilende Information i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch die Vorgaben eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, L 157/1 (Know-How-Richtlinie) erfüllt?
Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) garantierten Auskunftsrecht und dem durch die Know-How-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis i.S.d. Art. 2 Z 1 der Know-How-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Know-How-Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) erteilte Information den Tatsachen entspricht.
4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechts i.S.d. Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) durch die Schaffung der unter Punkt 4a angesprochenen Black-Box jedenfalls eingeräumt zu werden?
Sind (auch) in diesem Falle eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) völlig zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS-VGO) erlauben,
b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist
...
6) Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonach das Recht auf Auskunft der betroffenen Person gemäß Art. 15 Datenschutz-Grundverordnung (DS-GVO) gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde‘, mit den Vorgaben des Art. 15 Abs. 1 i.V.m. Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) vereinbar. Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“
6.2. Zu den Gründen für die Vorlage der Fragen zur Vorabentscheidung an den EuGH führte das Verwaltungsgericht Wien wie folgt aus (Formatierung nicht 1:1 wiedergegeben):
„III. ad Frage 1)
Im gegenständlichen Beschwerdeverfahren hat das antragstellende Gericht konkret zu bestimmen, in welchem Umfang welche Daten von der verurteilten C. Ges.m.b.H. bzw. nunmehr von der D. Ges.m.b.H., FN ..., bekannt zu geben sind.
Das anfragende Gericht geht davon aus, dass durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem Betroffenen ein Recht auf Erteilung einer eine wahrheitsgemäßen Auskunft eingeräumt wird, sodass es nicht ausreicht, dem Betroffenen eine erfundene, falsche Auskunft zu erteilen.
Wenn nun aber wirklich auch ein Anspruch auf eine wahrheitsgemäße Auskunft gewährt werden soll, ist zu folgern, dass der Betroffene auch in die Lage versetzt werden muss, eine richtige Information einzufordern.
Ein solches Recht auf eine richtige Information kann im Falle eines erfolgten Profilings des Betroffenen von diesem aber nur dann geltend gemacht werden, wenn dem Betroffenen durch diese Bestimmung ein so umfassendes Auskunftsrecht zuerkannt wird, dass dieser (allenfalls unter Beiziehung von Sachverständigen) in die Lage versetzt wird, die Schlüssigkeit der erteilten Bewertung zu überprüfen und zudem auch zu erkennen, ob die im Rahmen der Auskunftserteilung bekannt gegebene innere Logik auch tatsächlich dem zu seiner Person erstellten Profiling zugrunde gelegen ist.
Nach Auslegung des anfragenden Gerichts wird diese Annahme, dass ein Betroffener in die Lage versetzt sein muss, die Nachvollziehbarkeit und Wahrheitsgemäßheit der erteilten Auskunft zu überprüfen, durch die letzten beiden einem Betroffenen durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte, nämlich das Recht den eigenen Standpunkt darzulegen, und das Recht, die (auf einer automatisierten Verarbeitung beruhende) Entscheidung anzufechten, erhärtet.
Denn beide Rechte können nur dann wahrgenommene werden, wenn der Betroffene zuvor eine so weitgehende Auskunft zur internen Logik der zu seiner Person erfolgten automatisierten Entscheidungsfindung erlangt hat, dass dieser in die Lage versetzt ist, die Nachvollziehbarkeit und die Wahrheitsgemäßheit der erteilten Auskunft zu überprüfen. Ohne diese Kenntnis ist es schlicht nicht möglich, einer die eigene Person betreffenden automatisierten Entscheidungsfindung dergestalt entgegen zu treten, dass es möglich ist, der dieser Entscheidungsfindung zugrunde gelegenen Logik und den anlässlich dieser Entscheidungsfindung verarbeiteten Daten seinen eigenen Standpunkt gegenüber zu stellen, und in weiterer Folge auch mit Erfolg das Ergebnis dieser automatisierten Entscheidungsfindung zu bekämpfen.
Nach Ansicht des anfragenden Gerichts wird daher durch die beiden obangesprochenen und durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte insbesondere zum Ausdruck gebracht, in welchem Umfang jedenfalls eine Auskunft i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zu gewähren ist, und welche Auskunftspflichten einen Verantwortlichen zusätzlich zur bloßen Bekanntgabe der involvierten Logik treffen, um seiner Auskunftspflicht i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) genüge zu tun.
Es spricht daher Vieles dafür, dass insbesondere diese beiden durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte nur dann wahrgenommen werden können, wenn der Betroffene i.S.d. Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zuvor in die Lage versetzt wurde, im Hinblick auf ein Profiling bzw. eine automatisierte Entscheidung seinen eigenen Standpunkt zu vertreten und zudem der Wertung dieses Profilings bzw. dieser automatisierten Entscheidung entgegen zu treten.
Um diese beiden Rechte wahrzunehmen ist es aber erforderlich, dass der Betroffene zuvor eine ausreichende Auskunft über die verarbeiteten Daten und die involvierte Logik der automatisierten Entscheidungsfindung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) erlangt, sodass er diese Weise in der Lage ist, die automatisierte Entscheidungsfindung nachzuvollziehen und auf deren Richtigkeit (daher deren tatsächliche Verwendung anlässlich der zum Betroffenen erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung [DS-GVO]) zu überprüfen.
Nach dem Verständnis des gegenständlichen Gerichts wird durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) insbesondere garantiert, dass der Betroffene i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) diese für die Wahrnehmung der obangeführten Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) erforderlichen Informationen erlangt.
Gemäß dem im antragsgegenständlichen Verfahren zugrunde liegenden Universitätsgutachten ist jedenfalls in einer Konstellation wie der gegenständlichen diese erforderliche Nachvollziehbarkeit der automatisierten Entscheidungsfindung nur dann möglich, wenn der Betroffene im Wege seines Auskunftsrechts i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) jedenfalls nachfolgende Informationen erhält:
- erstens die verarbeiteten Daten des Betroffenen, zumal nur auf diese Weise der Betroffene in die Lage versetzt ist zu erkennen, welche seiner Daten in welcher Weise verarbeitet und (allenfalls unsachlich) gewichtet worden sind,
- zweitens die zentralen Teile des Algorithmus der automatisierten Entscheidungsfindung, worunter jedenfalls 2.1) die mathematische Formel in die sämtliche für die Berechnung des gegenständlichen Ratings relevanten Informationen in Form von Zahlenwerten eingesetzt werden können, sodass die Formel dann das gegenständliche Rating zum Ergebnis hat, wobei die Formel mindestens alle in der ursprünglichen Auskunft angegebenen Informationen zur Berechnung des Wertes anführen muss, und 2.2) die nachvollziehbare Erklärung sämtlicher in der Formel verwendeten Werte insbesondere solcher, die nicht direkt aus den über den Betroffenen gespeicherten Informationen abgeleitet sind, zählen, und
- drittens die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung, worunter insbesondere 3.1) die die Angabe und angemessene Beschreibung der Valuierungsfunktionen aller in dieser Formel verwendeten Werte, sowie 3.2) die Darlegung der erforderlichen Informationen zur Darstellung des Zusammenhangs zwischen Information und Valuierung bei Intervall-Bewertungen. Und 3.3) die Darlegung der zur Anwendung gelangten Kataster- oder Indexfunktionen zählen.
Im Übrigen hat aber auch das vom anfragenden Gericht eingeholte Universitätsgutachten ergeben, dass jedenfalls im gegenständlichen Fall nur durch Herausgabe der im Gutachten als offenzulegen dargelegten Informationen, welche insbesondere die obangeführten Mindestinformationen umfassen, es möglich ist, die Schlüssigkeit und Richtigkeit einer von einem Verantwortlichen im Hinblick auf seine Verpflichtung nach Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) erteilten Informationen zu überprüfen.
Insbesondere im Hinblick darauf, dass es – wie in der Frage 3b angesprochen - vertretbar sein kann, dass die bekannt zu gebenden Algorithmusteile und Valuierungsfunktionen in dem Umfang, als diese ein Geschäftsgeheimnis darstellen, nur gegenüber der Behörde oder dem Gericht bekannt gegeben werden müssen, erscheint auch ein allfälliger Einwand einer Beeinträchtigung grundlegender Rechte des Verarbeiters für den Fall der Verpflichtung der Herausgabe dieser erforderlichen umfassenden Daten denkmöglich unberechtigt.
In Anbetracht der offenen Formulierung „aussagekräftig“ im Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) bleibt es völlig ungewiss, in welchem Umfang nun ein Verantwortlicher im Hinblick auf seine Verpflichtung nach Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zur Bekanntgabe von Informationen verpflichtet ist. Für diesen Fall erscheint daher mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht eine Auslegung durch den Gerichtshof als unbedingt geboten.
IV. ad Frage 2)
Nach Ansicht des anfragenden Gerichts spricht vieles dafür, dass die durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung effektiv ausgestaltet sind, daher dem Betroffenen auch wirklich in die Lage versetzen sollen, in einer fundierten Weise sein Stellungnahmerecht wahrnehmen zu können, und diesen mit einer hohen Aussicht auf Erfolg in die Lage versetzen sollen, eine unrechtmäßig bzw. fachlich unvertretbar ergangene automatisierte Entscheidung zu bekämpfen. Wenn diese beiden Rechte nun aber effektiv ausgestaltet sein soll, setzt dies zwingend voraus, dass der Betroffene durch diese beiden Rechtszuerkennungen auch all die Rechte zuerkannt erhalten hat, welche erforderlich sind, um diese Rechte auch wirklich in Anspruch zu nehmen.
Evidentermaßen setzt die Möglichkeit der Inanspruchnahme des Rechts auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung im Hinblick auf eine automatisierte Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) voraus, dass dem Betroffenen ausreichend Informationen zur involvierten Logik dieser automatisierten Entscheidungsfindung erteilt worden sein müssen, um sodann in die Lage versetzt zu werden, gegen die Schlüssigkeit und/oder fachliche Richtigkeit dieser Entscheidungsfindung Einwendungen erheben zu können, welche zudem so überzeugend sein können müssen, dass es dem Betroffenen möglich ist, mit diesen Einwendungen auch die seine Person betreffende automatisierte Entscheidung (im Gerichtsweg) erfolgreich zu bekämpfen.
Das antragsstellende Gericht nimmt daher an, dass die Datenschutz-Grundverordnung (DS-GVO) einem von einer automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) Betroffenen insbesondere aufgrund der Bestimmung des Art. 22. Abs. 3 Datenschutz-Grundverordnung (DS-GVO) ein umfassendes Auskunftsrecht zuerkennt, durch welches er in die Lage versetzt wird, auf profunde Weise der erfolgten automatisierten Entscheidungsfindung mit einem eigenen Standpunkt entgegen zu treten und diese sodann auch erfolgreich zu bekämpfen.
Nach dem Verständnis des antragstellenden Gerichts kann diese Rechtszuerkennung durch die im Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) erfolgte Ausgestaltung des in dieser Bestimmung zuerkannten Auskunftsrechts erblickt werden.
Ein solches Verständnis hätte für das dem gegenständlichen Antrag zugrunde liegende Verfahren eine weitreichende Konsequenz, zumal diesfalls davon auszugehen wäre, dass das durch das antragstellende Gericht im konkreten Fall zu konkretisierende Recht jedenfalls so umfassend bzw. detailliert sein muss, dass Frau B. dadurch in die Lage versetzt wird, ihre durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zuerkannten Rechte auf Darlegung des eigenen Standpunkts und auf Bekämpfung des ihre Person betreffenden Profilings auf profude und erfolgversprechende Weise geltend zu machen.
Damit erscheint es unbedingt geboten, Kenntnis vom Umfang und von der inhaltlichen Determination des Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zu erlangen.
Mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht erscheint diesbezüglich eine Klarstellung durch den Gerichtshof als unbedingt geboten.
V. ad Frage 3a)
Im gegenständlichen Fall sprechen deutliche Indizien dafür, dass die bislang von der C. Ges.m.b.H. bzw. nunmehr der D. Ges.m.b.H., FN ..., erteilten Informationen tatsachenwidrig sind. Während nämlich gemäß der an Frau B. erteilten Auskunft dieser eine besonders gute Bonität zukommt, wurde aufgrund des tatsächlichen Profilings von Frau B. dieser faktisch jegliche Bonität, daher sogar die finanzielle Möglichkeit, monatlich den Betrag von zehn Euro zu begleichen, abgesprochen.
Es stellt sich daher aktuell die Frage, welchen Sinn die Garantie des Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) haben soll, wenn durch die Vorgaben der Datenschutz-Grundverordnung (DS-GVO) nicht sichergestellt ist, dass der Betroffene in die Lage versetzt wird, die Richtigkeit dieser bekannt gegebenen Informationen zu überprüfen.
Wollte man ein solches Überprüfungsrecht nicht zwingend als durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) mitgewährt einstufen, wäre das Auskunftsrecht des Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) völlig inhaltsleer und überflüssig, zumal dann jeder Verantwortliche rechtmäßig in die Lage versetzt wäre, falsche und unzutreffende Auskünfte zu erteilen.
Doch hat ein solches Verständnis eines zugleich dem Betroffenen eingeräumten Rechts auf Überprüfung der Schlüssigkeit und Richtigkeit der erteilten Auskunft i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) insbesondere im Hinblick auf die Frage, in welchem Umfang und welchen Detaillierungsgrad der Verantwortliche durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zur Preisgabe von Informationen verpflichtet ist, weitreichende Auswirkungen.
So hat etwa im gegenständlichen Fall das Universitätsgutachten ergeben und wurde bereits anlässlich der Begründung der ersten Frage dargestellt, dass eine solche Überprüfbarkeit nur dann möglich ist, wenn nicht nur wesentliche Teile des der automatisierten Entscheidungsfindung zugrunde gelegenen Algorithmus, sowie die von der Betroffenen verarbeiteten Daten und die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteten Information und erfolgter Valuierung bekannt gegeben werden müssen, sondern auch zumindest fünfundzwanzig nicht anonymisierte Vergleichsprofilingfälle, welche etwa zum Zeitpunkt des gegenständlichen Profilings erstellt wurden, offen gelegt werden müssen.
Wenn man dieser Auslegung folgt, sind auch diese zusätzlichen Informationsvorgaben in dem, dem gegenständlichen Vorabentscheidungsantrag zugrundeliegenden Gerichtsverfahren durch das antragstellende Gericht vorzuschreiben.
Im Hinblick auf diese Implikation erscheint die Klärung dieser Frage für das gegenständliche Verfahren von zentraler Relevanz.
VI. ad Frage 3b)
Durch diese Frage wird die schon zuvor erwähnte, bei Profilings geradezu typische Konsequenz angesprochen, dass die Richtigkeit einer Auskunft i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung auch die Offenlegung nicht anonymisierter Vergleichsprofilingfälle zu etwa zum Zeitpunkt des dem Verfahren zugrunde liegenden Profilings erfordert, wodurch offenkundig aber auch die Rechte dieser in den Vergleichsprofilingfällen bewerteten Personen auf Datenschutz betroffen sind.
Es liegt daher nahe, dass im Falle der Bejahung der Frage 3a) auch entsprechende Vorkehrungen zum weitestmöglichen Schutz dieser Personen zu treffen sind.
Mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht ist diesfalls eine Anleitung durch den Gerichtshof unbedingt geboten.
Insbesondere im Hinblick auf die ebenfalls die Lösung eines Spannungsverhältnisses zwischen Geheimhaltungsinteressen zum Gegenstand habende Regelung des Art. 9 der Know-How-Richtlinie erscheint es angebracht anzufragen, ob dieses Spannungsverhältnis etwa dahingehend aufzulösen ist bzw. aufgelöst werden kann, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob die bekannt gegebenen Daten Dritter den Tatsachen entsprechen?
VII. ad Frage 3c)
Diese Frage thematisiert den Umstand, dass dem Betroffenen durch die in der Frage 3b) angesprochene mögliche Vorkehrung der Einrichtung einer Black-Box zum Schutz der Rechte Dritter weitgehende Informationen vorenthalten werden, wodurch diesem insbesondere die Wahrnehmung der ihm insbesondere durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung verunmöglicht werden kann.
Auch erscheint eine solche Beschränkung der Wahrnehmung von dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zuerkannten Rechten im Lichte der Vorgaben des Art. 47 Charta der Grundrechte (GRC) bedenklich, und daher nur in einem sehr engen Rahmen vertretbar.
Nach dem Verständnis des antragstellenden Gerichts vermag insbesondere aus den Bestimmungen der Datenschutz-Grundverordnung (DS-GVO) keine ausreichend klare Lösung dieses Spannungsverhältnisses erschlossen werden. So lässt es die Bestimmung des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) offen, ob durch entsprechende verfahrensrechtliche Vorkehrungen, wie etwa der Einrichtung einer unter der Frage 4a) angesprochen Black-Box, erreicht werden kann (muss), dass die allenfalls gebotene Verweigerung näherer Informationen an den Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) nicht zur Verunmöglichung der Überprüfung einer erteilten Auskunft auf deren Nachvollziehbarkeit und Richtigkeit führt.
Mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht ist diesfalls eine Anleitung durch den Gerichtshof, wie dieser Interessenskonflikt zwischen den Rechten Dritter und den Rechten des Betroffenen angemessen zu lösen ist, unbedingt geboten.
VIII. ad Frage 4a)
Nach der von der herrschenden Lehre geteilten Judikatur des österreichischen Obersten Gerichtshofs handelt es sich bei dem, bei einem Profiling zur Anwendung gebrachten Algorithmus um ein Geschäftsgeheimnis i.S.d. Know-How-Richtlinie (vgl. OGH 10.12.2020, 4 Ob 182/20y, Blah R., Quellcode eines Computerprogramms als Geschäftsgeheimnis, MR 2021, 93).
Das anfragende Gericht geht davon aus, dass diese Auslegung des Obersten Gerichtshofs in faktisch allen Profilingfällen dem Verständnis der Know-How-Richtlinie entspricht.
Dann ist aber im Falle eines Auskunftsbegehrens i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) die Verweigerung von näheren, insbesondere die Rechte i.S.d. Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) auf Darlegung des eigenen Standpunkts und auf Bekämpfung der Entscheidung unter Hinweis auf das Vorliegen eines Geschäftsgeheimnisses stets Rechtens.
Im Übrigen ist es schon jetzt faktisch der Regelfall, dass unter Hinweis auf das Vorliegen eines Geschäftsgeheimnisses Auskunftsbegehren i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) gar nicht oder maximal rudimentär beantwortet werden.
Im Sinne dieses Regelfalls wurde auch im gegenständlichen Fall von der C. Ges.m.b.H. bzw. nunmehr von der D. Ges.m.b.H., FN ..., die Bekanntgabe von ausreichenden Informationen zur verwendeten Logik mit Verweis auf das Geschäftsgeheimnis verweigert.
Für das gegenständliche Beschwerdeverfahren stellt sich daher ganz konkret die Frage, ob bzw. inwiefern der geradezu typische Fall des Einwands des Vorliegens eines Geschäftsgeheimnisses das durch Art. 15 Abs. 1 lit. h i.V.m. Art. 22 Datenschutz-Grundverordnung (DS-GVO) garantierte Auskunftsrecht des Betroffenen weitestgehend aushebeln bzw. sogar verunmöglichen darf.
Nach dem Verständnis des antragstellenden Gerichts vermag insbesondere aus den Bestimmungen der Datenschutz-Grundverordnung (DS-GVO) keine ausreichend klare Lösung dieses Spannungsverhältnisses erschlossen werden. So lassen es die Bestimmungen des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) wie auch der Erwägungsgrund 63 der Datenschutz-Grundverordnung (DS-GVO) offen, ob durch entsprechende verfahrensrechtliche Vorkehrungen, wie etwa der Einrichtung einer unter der Frage 4a) angesprochen Black-Box, erreicht werden kann (muss), dass die allenfalls gebotene Verweigerung näherer Informationen an den Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) nicht zur Verunmöglichung der Überprüfung einer erteilten Auskunft auf deren Nachvollziehbarkeit und Richtigkeit führt.
Mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht ist diesfalls eine Anleitung durch den Gerichtshof, wie dieser Interessenskonflikt zwischen dem Recht des Betroffenen und dem Recht des Verarbeiters angemessen zu lösen ist, unbedingt geboten.
Insbesondere im Hinblick auf die Regelung des Art. 9 der Know-How-Richtlinie erscheint es angebracht anzufragen, ob dieses Spannungsverhältnis etwa dahingehend aufzulösen ist bzw. aufgelöst werden kann, indem die als Geschäftsgeheimnis i.S.d. Art. 2 Z 1 der Know-How-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Know-How-Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) erteilte Information den Tatsachen entspricht.
IX. ad Frage 4b)
Diese Frage thematisiert den Umstand, dass durch die in der Frage 4a) angesprochene mögliche Vorkehrung der Einrichtung einer Black-Box zum Schutz der Rechte des Verarbeiters dem Betroffenen weitgehende Informationen vorenthalten werden, wodurch diesem insbesondere die Wahrnehmung der ihm insbesondere durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung verunmöglicht werden kann.
Auch erscheint eine solche Beschränkung der Wahrnehmung von dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zuerkannten Rechten im Lichte der Vorgaben des Art. 47 Charta der Grundrechte (GRC) bedenklich, und daher nur in einem sehr engen Rahmen vertretbar.
Mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht ist diesfalls eine Anleitung durch den Gerichtshof, wie dieser Interessenskonflikt zwischen dem Recht des Betroffenen und dem Recht des Verarbeiters angemessen zu lösen ist, unbedingt geboten.
X. ad Frage 5)
In den Artikeln der Datenschutz-Grundverordnung (DS-GVO) findet sich, soweit ersichtlich, nur eine einzige Bestimmung, welche auch eine Vorgabe der Berücksichtigung der Rechte Dritter normiert, nämlich im Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO). Diese Regelung ist aber nach ihrem Wortlaut nur auf die Herausgabe von Kopien im Hinblick auf die von einem Betroffenen i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) verarbeiteten Daten beschränkt.
Da wohl auch eine Auskunftsgewährung i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch in der Übermittlung einer Kopie von verarbeiteten Daten bestehen kann, stellt sich bereits die Frage, ob bzw. inwiefern diese Datenherausgabebeschränkung auch gebietet, dass in diesem Umfang dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) überhaupt keinerlei Informationen erteilt werden dürfen. Wenngleich der Wortlaut des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) einer solchen Auslegung widerstreitet, könnte doch eine teleologische Auslegung selbst zu diesem mit dem klaren Wortlaut des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) nicht gedeckten Ergebnis führen.
Zudem fällt auf, dass die im Erwägungsgrund 63 der Datenschutz-Grundverordnung (DS-GVO) normierte Vorgabe der Abwägung der Interessen des Auskunftspflichtigen i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auf Wahrung seiner Interessen aus im zukommenden Geschäftsgeheimnissen im Vergleich mit den Auskunftsinteressen des Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) in den Artikeln der Datenschutz-Grundverordnung (DS-GVO) keinen Niederschlag findet, sodass denkbar erscheint, dass aus der Bestimmung des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) auch im teleologischen Wege die Beachtung der Vorgabe des Erwägungsgrunds 63 der Datenschutz-Grundverordnung (DS-GVO) abzuleiten ist.
Da im gegenständlichen Fall insbesondere das Spannungsverhältnis zwischen den Interessen des Auskunftspflichtigen i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auf Wahrung seiner Interessen aus im zukommenden Geschäftsgeheimnissen einerseits, und den Auskunftsinteressen des Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz- 40 Grundverordnung (DS-GVO) einer angemessenen Lösung zuzuführen ist, erscheint auch im Hinblick auf diese Bestimmung des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) eine Anleitung durch den Gerichtshof, wie dieser Interessenskonflikt zwischen dem Recht des Betroffenen und dem Recht des Verarbeiters angemessen zu lösen ist, unbedingt geboten.
XI. ad Frage 6)
Wie schon zur Frage 3a) ausgeführt, ist im Falle eines Auskunftsbegehrens i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) die Verweigerung von näheren, insbesondere die Rechte i.S.d. Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung gewährleistender Informationen unter Hinweis auf das Vorliegen eines Geschäftsgeheimnisses geradezu der Regelfall, und wurde dieses auch im gegenständlichen Verfahren eingewendet.
Auch wurde bereits unter Frage 3a ausgeführt, dass die Gefahr besteht, dass dieser geradezu typische Einwand des Vorliegens eines Geschäftsgeheimnisses das durch Art. 15 Abs. 1 lit. h i.V.m. Art. 22 Datenschutz-Grundverordnung (DS-GVO) garantierte Informationsrecht des Betroffenen aushebelt bzw. sogar verunmöglicht.
Dieses Spannungsverhältnis hat auch der österreichische Gesetzgeber erkannt und einfachgesetzlich bestimmt, dass bei solch einem Spannungsverhältnis die einem Betroffenen die durch Art. 15 Abs. 1 lit. h i.V.m. Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte faktisch nie zukommen.
Dieses Spannungsverhältnis wurde daher einseitig zugunsten der Garantien der Know-How-Richtlinie gelöst, was aber nach Auslegung des anfragenden Gerichts insbesondere in Hinblick auf die Judikatur des Europäischen Gerichtshofs der Union, wonach Einschränkungen des Grundrechts auf Datenschutz (wozu auch Einschränkungen der Rechtsschutzmöglichkeiten zählen) auf das absolut Notwendige zu beschränken sind (vgl. etwa EuGH 14.2.2019, C-345/1 (Buivids) Rz 64), weder geboten noch im Lichte der Vorgaben der Datenschutz-Grundverordnung (DS-GVO), wie insbesondere des Erwägungsgrundes 63, sachlich vertretbar ist.
Es stellt sich daher die Frage, ob diese Bestimmung des § 4 Abs. 6 Datenschutzgesetz sich zutreffend auf die Öffnungsklausel des Art. 23 Abs. 1 lit. i oder eine andere Öffnungsklausel der Datenschutz-Grundverordnung (DS-GVO) stützen kann.“
7. Den Parteien wurde die Möglichkeit zur Stellungnahme zu der in Bezug auf dieses Vorabentscheidungsersuchen beabsichtigten Aussetzung des Beschwerdeverfahrens eingeräumt.
Der Beschwerdeführer führte hierzu aus, er teile die Ansicht des Bundesverwaltungsgerichtes, wonach die im Vorabentscheidungsverfahren zu C-203/22 relevierten Vorlagefragen, insbesondere zum Inhalt und zum Umfang der gemäß Art. 15 Abs. 1 lit. h DSGVO zu erteilenden Auskünfte, auch für das gegenständliche Beschwerdeverfahren relevant seien, und erhob keine Einwände gegen die vom Bundesverwaltungsgericht beabsichtigte Verfahrensaussetzung.
Die Beschwerdegegnerin/Mitbeteiligte äußerte sich dahin, dass sie die beabsichtigte Aussetzung des Beschwerdeverfahrens zur Kenntnis nehme und sich nicht dagegen ausspreche.
II. Das Bundeverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter Punkt I. dargestellte Verfahrensgang wird als Sachverhalt zu Grunde gelegt.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsakten sowie dem gegenständlichen Gerichtsakt und sind unstrittig.
3. Rechtliche Beurteilung:
Zu A)
3.1.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen, soweit nicht ein Erkenntnis zu fällen ist, durch Beschluss.
3.1.2. Relevante Bestimmungen der DSGVO lauten (auszugsweise) samt Überschrift:
Art. 15
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
Art. 22 DSGVO
Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
(2) Absatz 1 gilt nicht, wenn die Entscheidung
a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,
b) aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten oder
c) mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.
(3) In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.
(4) Entscheidungen nach Absatz 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.
Art. 81
Aussetzung des Verfahrens
(1) Erhält ein zuständiges Gericht in einem Mitgliedstaat Kenntnis von einem Verfahren zu demselben Gegenstand in Bezug auf die Verarbeitung durch denselben Verantwortlichen oder Auftragsverarbeiter, das vor einem Gericht in einem anderen Mitgliedstaat anhängig ist, so nimmt es mit diesem Gericht Kontakt auf, um sich zu vergewissern, dass ein solches Verfahren existiert.
(2) Ist ein Verfahren zu demselben Gegenstand in Bezug auf die Verarbeitung durch denselben Verantwortlichen oder Auftragsverarbeiter vor einem Gericht in einem anderen Mitgliedstaat anhängig, so kann jedes später angerufene zuständige Gericht das bei ihm anhängige Verfahren aussetzen.
(3) Sind diese Verfahren in erster Instanz anhängig, so kann sich jedes später angerufene Gericht auf Antrag einer Partei auch für unzuständig erklären, wenn das zuerst angerufene Gericht für die betreffenden Klagen zuständig ist und die Verbindung der Klagen nach seinem Recht zulässig ist.
3.1.3. Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung von Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.
Nach der Rechtsprechung des Verwaltungsgerichtshofes können auf Grundlage des § 38 AVG Verfahren bis zur (in einem anderen Verfahren beantragten) Vorabentscheidung durch den Gerichtshof der Europäischen Union ausgesetzt werden; eine dem EuGH zur Klärung vorgelegte Frage des Unionsrecht kann nämlich eine Vorfrage iSd § 38 AVG darstellen, die zufolge des im Bereich des Unionsrechts bestehenden Auslegungsmonopols des EuGH von diesem zu entscheiden ist (VwGH 18.12.2020, Ra 2020/15/0059; 11.11.2020, Ro 2020/17/0010; 19.12.2000, 99/12/0286). Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl. zB VwGH 13.12.2011, 2011/22/0316).
Für eine Aussetzung eines Verfahrens gemäß § 38 AVG ist es ausreichend, wenn aufgrund eines Vorabentscheidungsersuchens eine (bloß) ähnliche Rechtsfrage beim EuGH anhängig ist (vgl. VwGH 19.09.2001, 2001/16/0439). Der Umstand, dass die Unionsrechtskonformität formell unterschiedlicher nationaler Normen zu beurteilen ist, steht einer Aussetzung des Verfahrens gemäß § 38 AVG nicht entgegen (VwGH Ra 13.09.2017, 2017/12/0068).
Die Erwägungsgründe 144 zu Art. 81 DSGVO betreffend die „Aussetzung des Verfahrens“ sprechen vom Erfordernis für die Aussetzung, dass Verfahren miteinander verwandt sein müssen, was dann der Fall ist, wenn zwischen ihnen eine so enge Beziehung gegeben ist, dass eine gemeinsame Verhandlung und Entscheidung geboten erscheint, um zu vermeiden, dass in getrennten Verfahren einander widersprechende Entscheidungen ergehen. Daraus kann abgeleitet werden, dass für eine Aussetzung der Zweck des Verfahrens sowie die Grundlage, dh der Sachverhalt und der Vorwurf der Rechtsverletzung, identisch sein müssen (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung, Art. 81 DSGVO Rz 5 unter Hinweis auf Schweiger in Knyrim, DatKomm Art. 81 DSGVO Rz 16). Art. 81 DSGVO ist für zivilgerichtliche und verwaltungsgerichtliche Verfahren ohne Einschränkung auf bestimmte Verfahrensarten anzuwenden (s. Schweiger in Knyrim, DatKomm Art. 81 DSGVO Rz 8).
3.2. Für den vorliegenden Fall ergibt sich daraus Folgendes:
3.2.1. Die Beantwortung der vom Verwaltungsgericht Wien dem EuGH zur Vorabentscheidung vorgelegten Fragen ist für die gegenständliche Rechtssache im Sinne der oben angeführten Judikatur relevant; sie ist für das gegenständliche Verfahren auch präjudiziell.
Der EuGH hat in Bezug auf das vorgelegte Vorabentscheidungsersuchen zusammengefasst zu beurteilen, welche inhaltlichen Erfordernisse eine erteilte Auskunft erfüllen muss, um als ausreichend „aussagekräftig“ im Sinne des Art. 15 Abs. 1 lit. h DSGVO eingestuft zu werden, sohin welche aussagekräftigen Informationen über die involvierte Logik einer automatisierten Entscheidungsfindung dem Betroffenen gemäß Art. 15 Abs. 1 lit. h DSGVO von der Beschwerdegegnerin/Mitbeteiligten als Kreditauskunftei im Spannungsverhältnis zu einem etwaigen Geschäftsgeheimnis zu erteilen sind. Von der Beantwortung der Fragen durch den EuGH hängt sodann ab, ob die bisher von der Beschwerdegegnerin/Mitbeteiligten dem Beschwerdeführer erteilten Auskünfte (Scorewert aus den Jahren 2016 und 2018 sowie eine allgemeine Übersicht über die Profilkategorien [welche Bonitätsumfelddaten, [allgemeine] Umfelddaten und soziodemografische Daten einfließen] und [ansatzweise] die Gewichtung sowie der Einfluss der Daten [positiv, negativ, neutral]) Art. 15 Abs. 1 lit. h DSGVO entsprechen.
Im hier zu beurteilenden Fall stellen sich sohin die gleichen Rechtsfragen wie in der dem Vorlagebeschluss des Verwaltungsgerichts Wien zugrundeliegenden Rechtssache, es liegen insofern verwandte Verfahren iSv Art. 81 DSGVO vor.
Vor diesem Hintergrund ist davon auszugehen, dass der Beantwortung der vom Verwaltungsgericht Wien an den EuGH herangetragenen Fragen für die Behandlung der gegenständlichen Datenschutzbeschwerde Bedeutung zukommt, weshalb die Voraussetzungen des § 38 AVG und des Art. 81 DSGVO vorliegen. Die Anwendung des Unionsrechts und dessen Auslegung erscheinen auch nicht als derart offenkundig, dass für einen vernünftigen Zweifel kein Raum bleibt (vgl. EuGH 06.10.1982, Srl C.I.L.F.I.T. u.a., C 283/81, EU:C:1982:335; 6.10.2021, Consorzio Italian Management, C 561/19, EU:C:2021:799, Rn. 39ff). Im Interesse an einer einheitlichen Rechtsprechung und an einem Erkenntnisgewinn aus dem beim EuGH anhängigen Verfahren war das Ermessen zu Gunsten einer Aussetzung zu üben, zumal auch nicht vorgebracht oder sonst ersichtlich wurde, dass der Aussetzung überwiegende Interessen der Verfahrensparteien entgegenstehen.
3.4. Das Beschwerdeverfahren war daher – mit nicht bloß verfahrensleitendem Beschluss (vgl. VwGH 20.12.2017, Ra 2017/12/0119) – bis zur Vorabentscheidung durch den EuGH über die mit Ersuchen des Verwaltungsgerichts Wien vom 11.02.2022, VWG-101/042/791/2020-44, auszusetzen (vgl. auch VwGH 28.02.2023, Ro 2024/04/0001-9, betreffend die Aussetzung eines Revisionsverfahrens, das ebenfalls die behauptete Unvollständigkeit der Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO zum Gegenstand hat, bis zur Entscheidung des EuGH über das genannte Vorabentscheidungsersuchen des Verwaltungsgerichts Wien).
Zu B)
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten.
Rückverweise
Keine Verweise gefunden
