W254 2253353-1/26E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht erkennt durch die Richterin Dr.in Tatjana CARDONA als Vorsitzende sowie die fachkundige Laienrichterin Mag.a Viktoria HAIDINGER und den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer:in über die Beschwerde der XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP&Co KG, gegen die Spruchpunkte 1. und 2. des Bescheides der Datenschutzbehörde vom 03.01.2022, Zl. XXXX , (mitbeteiligte Partei: XXXX , vertreten durch RA Mag. Robert HAUPT LL.M.) betreffend eine datenschutzrechtliche Angelegenheit, nach Durchführung einer mündlichen Verhandlung zu Recht:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Die nunmehrige mitbeteiligte Partei begehrte mit E-Mail vom 07.04.2021 erstmalig eine Auskunft iSd Art. 15 DSGVO über die sie betreffenden, bei der beschwerdeführenden Partei gespeicherten Informationen. Die beschwerdeführende Partei erteilte daraufhin mit Schreiben vom 12.04.2021 Auskunft.
2. Mit E-Mail vom 19.05.2021 rügte die mitbeteiligte Partei die Unvollständigkeit dieser Auskunft und ersuchte um Vervollständigung. Dieser Aufforderung entsprechend erteilte die beschwerdeführende Partei der mitbeteiligten Partei mit Schreiben vom 27.05.2021 eine ergänzende Auskunft.
3. Mit Schreiben vom 13.07.2021 brachte die mitbeteiligte Partei bei der Datenschutzbehörde (in der Folge: belangte Behörde) eine Datenschutzbeschwerde ein und führte darin, bezogen auf den gegenständlichen Beschwerdefall, im Wesentlichen aus, dass die der mitbeteiligten Partei erteilte Auskunft, bestehend aus Vor- und Nachname, Geburtsdatum und Adresse, unvollständig sei, als die Datenschutzerklärung der beschwerdeführenden Partei weitaus mehr Datenkategorien nenne, die verarbeitet würden und den Auskünften auch keine entsprechenden Negativeinträge zu entnehmen seien. Auch sei die Herkunft bezüglich der verarbeiteten personenbezogenen Daten unvollständig.
4. Im Zuge des verwaltungsbehördlichen Verfahrens erteilte die beschwerdeführende Partei mit Schreiben vom 19.08.2021 eine weitere ergänzende Auskunft.
5. Die beschwerdeführende Partei nahm mit Schreiben vom selben Tag Stellung und führte darin, bezogen auf den Beschwerdefall, im Wesentlichen aus, dass sie folgende personenbezogene Daten der mitbeteiligten Partei verarbeite: Name, Geburtsdatum, Adresse, unternehmerische Funktion und ermittelte Bonitätswerte. In der Datenschutzerklärung würden sämtliche Datenkategorien genannt seien, die die beschwerdeführende Partei theoretisch verarbeiten könnte. In Bezug auf die mitbeteiligte Partei verarbeite die beschwerdeführende Partei jedoch keine sonstigen Datenkategorien. Aufgrund des Nichtvorliegens von Zahlungserfahrungsdaten der mitbeteiligten Partei würden auch keine solchen verarbeitet werden. Eine Änderung des Bonitätswertes könne sich zudem aus weiteren, nicht personenbezogenen statistischen Kriterien ergeben, welche sich abhängig von der wirtschaftlichen Entwicklung ändern würden.
6. In der Äußerung der mitbeteiligten Partei vom 09.09.2021 monierte diese bezogen auf den gegenständlichen Beschwerdefall im Wesentlichen die Unvollständigkeit der von der beschwerdeführenden Partei erteilten Auskünfte hinsichtlich der verarbeitete personenbezogenen Daten der mitbeteiligten Partei sowie auch der Herkunft der verarbeiteten Daten.
7. Mit Bescheid vom 03.01.2022 gab die belangte Behörde der Beschwerde teilweise statt und stellte eine Verletzung im Recht auf Auskunft fest, da die beschwerdeführende Partei bis zum Abschluss des verwaltungsbehördlichen Verfahrens keine Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO erteilt habe (Spruchpunkt 1.). Der beschwerdeführenden Partei wurde aufgetragen, der mitbeteiligten Partei im Umfang des Spruchpunkt 1. eine Auskunft zu erteilen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.)
Begründend führte die belangte Behörde zu Spruchpunkt 1. und 2. im Wesentlichen aus, dass die Berechnung des Bonitätswert ein Profiling iSd Art. 4 Z 4 DSGVO darstelle und aufgrund der expliziten Nennung von Profiling in Art. 15 Abs. 1 lit. h DSGVO die beschwerdeführende Partei eine Auskunftspflicht gemäß Art. 15 Abs. 1 lit. h DSGVO treffe. Es sei der beschwerdeführenden Partei auch möglich, der mitbeteiligten Partei weitere Informationen zur Berechnung des Bonitätswert zu erteilen, ohne ihre Geschäftsgeheimnisse preiszugeben.
8. Gegen die Spruchpunkte 1. und 2. des Bescheides der belangten Behörde erhob die beschwerdeführende Partei mit Schreiben vom 09.02.2022 fristgerecht Beschwerde. Darin wurde im Wesentlichen vorgebracht, dass unklar sei, welche Informationen von ihr noch zu beauskunften seien und wo die Grenze zum geschützten Geschäftsgeheimnis zu ziehen sei, weiters keine auf einer automatisierten Verarbeitung beruhende Entscheidung vorliege, weshalb sie die Auskunftspflicht nach Art. 15 Abs. 1 lit. h DSGVO nicht treffe, zudem die Berechnung der Bonität durch die beschwerdeführende Partei keine Entscheidung in diesem Sinne sei, die Berechnung auch nicht im Sinne des Art. 22 Abs. 1 DSGVO rechtliche Wirkung entfalte oder die mitbeteiligte Partei in ähnlicher Weise erheblich beeinträchtige, und schließlich in jedem Falle der Auskunftsverweigerungsgrund des Geschäftsgeheimnisses dem Auskunftsanspruch entgegenstünde.
9. Die gegenständliche Beschwerde und der Bezug habende Verwaltungsakt wurden von der belangten Behörde mit Schreiben vom 28.03.2022 vorgelegt und sind am 29.03.2022 beim Bundesverwaltungsgericht eingelangt. Mit diesem Schreiben wurde beantragt, das gegenständliche Verfahren bis zur Entscheidung des EuGH in der Rechtssache C-203/22 auszusetzen und die gegenständliche Beschwerde abzuweisen.
10. Die mitbeteiligte Partei bestritt mit Schriftsatz vom 05.10.2023 im Wesentlichen das Vorbringen der beschwerdeführenden Partei und verwies insbesondere auf die Ausführungen des Generalanwalts des EuGH zur dort anhängigen Rechtssache C-634/21, SCHUFA.
11. Mit Beschluss vom 17.04.2024 wurde das gegenständliche Verfahren bis zur Vorabentscheidung durch den EuGH in der Rechtssache C-203/22 ausgesetzt.
12. Mit Verfügung des Geschäftsverteilungsausschusses vom 29.04.2025 wurde die gegenständliche Rechtssache der Gerichtsabteilung W287 abgenommen und der Gerichtsabteilung W254 zugewiesen.
13. Das Bundesverwaltungsgericht teilte der beschwerdeführenden Partei mit Schriftsatz vom 15.05.2025 die Fortsetzung des Verfahrens aufgrund der Entscheidung des EuGH vom 27.02.2025 in der Rechtssache C-203/22 mit und forderte sie auf dieser Basis auf, dem Gericht binnen zwei Wochen ab Zustellung aussagekräftige Informationen über die involvierte Logik der automatisierten Entscheidungsfindung in präziser, transparenter und verständlicher Form zu übermitteln, und zwar insbesondere: alle maßgeblichen Informationen inkl. Erläuterungen zum Verfahren und den Grundsätzen der automatisierten Verarbeitung; alle Informationen, die es ermöglichen, die Richtigkeit und Zulässigkeit der automatisierten Entscheidungsfindung zu überprüfen; Erläuterungen zur Funktionsweise des Mechanismus und des Ergebnisses; die der Entscheidungsfindung zugrunde liegenden Überlegungen bzw. Kriterien und deren Gewichtung; welche der personenbezogenen Daten im Rahmen der automatisierten Entscheidungsfindung auf welche Art verwendet wurden; eine Erklärung, weshalb die mitbeteiligte Partei einem bestimmten Bewertungsergebnis zugeordnet wurde. Falls Teile dieser Informationen von Geschäftsgeheimnissen betroffen sein sollten, wurde die beschwerdeführende Partei darauf hingewiesen, diese gekennzeichnet dennoch zu übermitteln und das Geheimhaltungsinteresse darzulegen.
14. In Beantwortung dieser Aufforderung gab die beschwerdeführende Partei mit Eingabe vom 30.05.2025 im Wesentlichen bekannt, dass es sich beim von ihr erstellten Bonitätsscore um keine automatisierte Entscheidungsfindung iSd Art. 22 Abs. 1 DSGVO handle, da dieser für ihre Kunden nicht maßgeblich für die Entscheidung über die Begründung eines Vertragsverhältnisses mit der mitbeteiligten Partei sei. Demzufolge treffe sie aufgrund der Entscheidungen des EuGH zu C-203/22 sowie C-634/21 keine Auskunftspflicht nach Art. 15 Abs. 1 lit. h DSGVO. Eine Offenlegung von Geschäftsgeheimnissen sei wiederum nur geboten, wenn eine automatisierte Entscheidung im Einzelfall iSd Art. 22 Abs. 1 DSGVO vorliegen würde, was nicht der Fall sei. Ein solcher Eingriff wäre auch unverhältnismäßig und sei jedenfalls im Rahmen eines Beweisverfahrens zu prüfen. Im weiteren führte die beschwerdeführende Partei dennoch „unpräjudiziell“ weitere Informationen zur Berechnung des Bonitätsscores aus und beantragte die Einstellung des Verfahrens.
15. Am 17.09.2025 fand eine öffentliche mündliche Verhandlung am Bundesverwaltungsgericht statt, in welcher sowohl ein informierter Vertreter der beschwerdeführenden Partei als auch ein Zeuge einvernommen wurde und den Parteien Gelegenheit gegeben wurde, Fragen an die einvernommenen Personen zu stellen sowie weitere Beweismittel vorzulegen und ihre Standpunkte darzulegen.
16. Sowohl die beschwerdeführende Partei als auch die mitbeteiligte Partei erstatten im Nachhang zur mündlichen Beschwerdeverhandlung schriftliche Stellungnahmen, in welchen sie insbesondere die bereits in der mündlichen Beschwerdeverhandlung vorgelegten Beilagen nochmals schriftlich vorlegten.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Mit E-Mail vom 07.04.2021 begehrte die mitbeteiligte Partei von der beschwerdeführenden Partei Auskunft gemäß Art. 15 DSGVO.
Die beschwerdeführende Partei gab der mitbeteiligten Partei daraufhin mit Schreiben vom 12.04.2021 die sie betreffenden, gespeicherten personenbezogenen Daten der letzten sechs Monate, nämlich Name, Geburtsdatum, Adresse und unternehmerische Funktion und die Herkunft dieser Daten ebenso wie die Information bekannt, dass in diesem Zeitraum kein Partnerunternehmen den Bonitätsscore abfragte.
Mit Schreiben vom 27.05.2021 erteilte die beschwerdeführende Partei der mitbeteiligten Partei eine ergänzende Auskunft und vervollständigte darin die Tabelle mit sämtlichen die Identität bzw. Bonität der mitbeteiligten Partei abfragenden Partnerunternehmen für die Zeitspanne von 2014 bis 2021 und die an diese übermittelten Bonitätswerte.
Im Zuge des verwaltungsbehördlichen Verfahrens erteilte die beschwerdeführende Partei mit Schreiben vom 19.08.2021 eine weitere ergänzende Auskunft, welche im Wesentlichen jener Auskunft vom 27.05.2021 gleicht, zusätzlich aber hinsichtlich der Datensätze bezüglich der Namen und Adressen der mitbeteiligten Partei die konkrete Quelle und bezüglich der Errechnung des Bonitätswerts die Information enthält, dass sich dieser auch durch von der gesamtwirtschaftlichen Entwicklung abhängige statische Kriterien verändern kann.
Folgende Abfragen und übermittelte Bonitätswerte waren zu diesem Zeitpunkt gespeichert (vgl. Beilage ./C sowie Beilage ./5: Auskunft vom 27.05.2021):
Mit Schreiben vom 20.10.2023 erteilte die beschwerdeführende Partei der mitbeteiligten Partei in tabellarischer Form eine weitere Auskunft zu diesen gespeicherten personenbezogenen Daten sowie weitere Informationen über den Bonitätswert und dessen Berechnung. Demnach erfolgt die Berechnung des Bonitätswerts unter Einbeziehung folgender personenbezogener Daten der betroffenen Person: Zahlungserfahrungsdaten, Name, Alter, Geschlecht, Adresse sowie erste und letzte Bestätigung der Adresse.
Mit Eingabe vom 30.05.2025 erteilte die beschwerdeführende Partei der mitbeteiligten Partei weitere Informationen über den Bonitätswert und dessen Berechnung. Demnach errechnet die beschwerdeführende Partei zwei Bänder mit den Werten von 0 – 100 sowie 250 – 700. Ersteres berücksichtigt ausschließlich negative Zahlungserfahrungsdaten, wobei im Falle ihrer Absenz ein Wert von 100 ausgegeben wird. Zweiteres wird durch Heranziehen folgender Faktoren berechnet: Alter, Geschlecht, Anschrift und Namen sowie Zahlungserfahrungsdaten. Desweiteren fließen bei der Berechnung des Bonitätswerts auch von der gesamtwirtschaftlichen Entwicklung abhängige statistische Parameter ein. Der Faktor Alter wirkt sich insoweit aus, als ältere Personen eine höhere Bonität haben als jüngere Personen. Bezüglich des Faktors Geschlecht haben Frauen eine geringere Zahlungsausfallswahrscheinlichkeit als Männer. Hinsichtlich der Anschrift und des Namens wird ein Abgleich der Bonitätskriterien von Personen mit identer Anschrift und identem Nachnamen vorgenommen sowie berücksichtigt, ob es an einer bestimmten Anschrift häufiger oder weniger häufig zu Zahlungsausfällen kommt. Bezüglich der Zahlungserfahrungsdaten verschlechtern länger zurückliegende Zahlungserfahrungen den Bonitätswert weniger stark als jüngere bzw. wirkt sich deren Absenz positiv aus. Die genannten Faktoren werden auf Basis einer mathematischen Formel miteinander in ein Verhältnis gebracht und dadurch eine statistische Ausfallswahrscheinlichkeit berechnet. Im Falle eines Scores von 250 liegt Insolvenz vor. Einen Wert von über 650 haben hingegen nur 0,3 % aller Personen.
In der mündlichen Beschwerdeverhandlung legte die beschwerdeführende Partei eine weitere Auskunft vor (Beilage ./24), welche personenbezogene Daten zum Stichtag 15.09.2025 gespeichert wurden. Zur Interpretation der Daten wurde eine Legende beigefügt, welche abstrakt die Bonitätseinstufung einer Person erläutert.
1.2. Am 14.04.2019 fragte das Versandhandelsunternehmen XXXX (nunmehr: XXXX ) in der Datenbank der beschwerdeführenden Partei den Bonitätswert der mitbeteiligten Partei ab.
Die XXXX kann im Rahmen der Prüfung, ob einem Kunden eine unsichere Zahlungsart (Raten-/Rechnungskauf) eingeräumt werden kann, eine Bonitätsinformation einholen. Dies erfolgt entweder durch die konzerninterne Auskunftei oder durch die beschwerdeführende Partei als externe Auskunftei. Bei Übermittlung einer negativen Bonitätsauskunft durch eine Auskunftei oder bei der Berechnung eines nicht ausreichenden Scorewerts im Rahmen des internen Scorings kann automatisiert eine Ablehnung der gewünschten Zahlungsart erfolgen (vgl. Beilage ./14).
1.3. Die beschwerdeführende Partei erstellte in Bezug auf die mitbeteiligte Partei Bonitätsscores unter Verwendung von: Vor- und Nachnamen, Geschlecht, Geburtsdatum und Adresse.
Die Kunden der beschwerdeführenden Partei zahlen im Durchschnitt zwischen 2,50 und 8 Euro für eine Abfrage der Bonität. Zu den Kunden zählen vor allem Betreibungsdienstleister (Inkassounternehmen), Unternehmen der Kreditwirtschaft, sowie sonstige Unternehmen, die einen Vertrag mit einer betroffenen Person, einem Endkunden begründen wollen (etwa XXXX ]).
Die Kunden der beschwerdeführenden Partei fragen regelmäßig Bonitätsscores ab: bei einem Datensatz von 2400 betroffenen Personen hat das Versandhandelsunternehmen XXXX in einem Zeitraum von sieben Jahren ca. 1002 Abfragen getätigt.
Diese Bonitätsscores werden automatisiert unter Verwendung eines Algorithmus erstellt. Grundsätzlich wird die Score Formel immer gleich berechnet, es gibt aber auch Kunden, die bestimmte Score Modelle bestellen.
Kunden der beschwerdeführenden Partei fragen den errechneten Bonitätswert in ihrer Datenbank ab und ziehen diesen zur Entscheidung über die Eingehung eines Vertragsverhältnisses heran.
Der Bonitätsscore stellt einen entscheidenden Faktor für das weitere Prozedere mit dem Endkunden dar.
Die beschwerdeführende Partei hat bis zum Abschluss des gegenständlichen Verfahrens insbesondere keine Auskunft über die Gewichtung der zur Berechnung des Bonitätswerts verwendeten Datenkategorien Alter, Geschlecht, Anschrift, Name, Zahlungserfahrungsdaten und gesamtwirtschaftliche statistische Parameter sowie keine Auskunft über die Relevanz der gesamtwirtschaftlichen statistischen Parameter erteilt. Sie hat keine ausreichende Erklärung in verständlicher, nachvollziehbarer Weise erteilt, weshalb die mitbeteiligte Partei einem bestimmten Bewertungsergebnis zugeordnet wurde.
2. Beweiswürdigung:
2.1. Die getroffenen Feststellungen ergeben sich aus dem Akteninhalt, dem Vorbringen der Parteien und den von ihnen vorgelegten Beilagen sowie aus der mündlichen Beschwerdeverhandlung am 17.09.2025.
Die Auskunft über die gespeicherten Abfragen vom 27.05.2021 ergibt sich aus dem Akteninhalt und insbesondere aus der Beilage ./5 (Auskunft der beschwerdeführenden Partei vom 27.05.2021). Die gespeicherten Daten sind im Wesentlichen unstrittig.
Die weiteren durch die beschwerdeführenden Partei erteilten Informationen ergeben sich aus dem Akteninhalt.
2.2. Die Feststellung, dass automatisiert eine Ablehnung der gewünschten Zahlungsart erfolgen kann, ergibt sich aus der von der beschwerdeführenden Partei übermittelten Datenschutzinformationen der XXXX (Beilage /.14).
2.3. Dass die Bonitätsscores automatisiert unter Heranziehung eines Algorithmus erstellt werden, ist unstrittig. Ebenso die Verwendung der genannten Datenkategorien Vor- und Nachnamen, Geschlecht, Geburtsdatum und Adresse im vorliegenden Fall.
Der Preis der Bonitätsabfrage ergibt sich aus der mündlichen Beschwerdeverhandlung (Verhandlungsprotokoll S. 6) und den vorgelegten Beweismitteln (Pricing Anfrage [Beilage N2] und XXXX [Beilage N]). Zwar wollte sich der informierte Vertreter der beschwerdeführenden Partei auf Nachfrage nicht festlegen und schien dieser Frage eher auszuweichen, doch blieben die hierzu vorgelegten Beweismittel der mitbeteiligten Partei (Beilage ./N2 und ./N) unwidersprochen. Letztlich sagt der informierte Vertreter doch in Einklang mit dieser Einschätzung aus, dass der Preis zwischen 2 und 5 EUR liegen könnte, es aber auch Produkte gibt, die sehr viel kosten (Verhandlungsprotokoll S.6).
Auch die Frage nach der Häufigkeit der Abfragen der Bonitätsscores schien der informierte Vertreter nicht beantworten zu wollen und berief sich hier auf seine Unkenntnis (VR: Können Sie mir sagen, wie viele Abfragen zum Beispiel die XXXX Bank jährlich bei der XXXX tätigt? P: Das entzieht sich leider meiner Kenntnis. Verhandlungsprotokoll S. 6). Dass die Kunden der beschwerdeführenden Partei regelmäßige Abfragen tätigen, ergibt sich aus dem Vorbringen der mitbeteiligten Partei in der mündlichen Beschwerdeverhandlung und des diesbezüglich vorgelegten Beweismittels (Vgl. Beilage ./O und Verhandlungsprotokoll S. 23) und wird auch nicht bestritten (vgl. Vorbringen der mitbeteiligten Partei Verhandlungsprotokoll S. 23).
Dass die Score Formel grundsätzlich immer gleich berechnet wird, es aber auch Kunden gibt, die bestimmte Score Modelle bestellen, ergibt sich aus der unbestrittenen Aussage des informierten Vertreters in der mündlichen Beschwerdeverhandlung (vgl. Verhandlungsprotokoll S.10).
Dass Kunden den Bonitätsscore zur Entscheidung über die Eingehung eines Vertragsverhältnisses heranziehen ergibt sich aus den vorgelegten Datenschutzinformationen (zB Datenschutzinformation Beilage ./16) und aus den Bestätigungen (Bestätigungen der Scorenutzung zB Beilage ./17). Es wird auch nicht bestritten, dass grundsätzlich die Bonitätsscores herangezogen werden. So kann den Aussagen des informierten Vertreters der beschwerdeführenden Partei entnommen werden, dass der Scorewert (Verhandlungsprotokoll S. 7) als Entscheidungshilfe von den Kunden herangezogen wird.
Strittig ist jedoch die Frage, welche Bedeutung die errechneten Bonitätsscores im weiteren Prozedere der Unternehmen haben.
Dass diese Bonitätsscores einen entscheidenden Faktor darstellen für das weitere Prozedere mit dem Endkunden, ergibt sich aus folgenden Erwägungen:
Die Bonität gibt Auskunft darüber, wie wahrscheinlich es ist, dass ein Kunde oder eine Kundin seiner oder ihrer Zahlungsverpflichtung nachkommt. Schon alleine aus diesem Umstand lässt sich schließen, dass eine solche Information für ein Unternehmen, das einen Vertrag mit einem Endkunden abschließen möchte, von essentieller Bedeutung sein muss und Einfluss darauf haben wird, ob ein Vertrag zustande kommt. Aus dem Beweisverfahren hat sich ergeben, dass die Kunden der beschwerdeführenden Partei Entgelt für die Abfragen bezahlen und regelmäßig Abfragen tätigen. Dies wird von der beschwerdeführenden Partei auch nicht bestritten.
Nun ist aber der mitbeteiligten Partei zuzustimmen in dem Argument, dass die (grundsätzlich gewinnorientierten) Kunden der beschwerdeführenden Partei nicht regelmäßig für eine Information zahlen würden, die keinen entscheidenden Einfluss auf einen Vertragsabschluss mit dem Endkunden haben. Ergibt eine Bonitätsprüfung etwa, dass ein Endkunde eine schlechte Bonität hat, wird das Unternehmen in der Regel keinen Vertrag abschließen – auch wenn es im Einzelfall dennoch möglich ist (vgl. Verhandlungsprotokoll S. 21f). So räumt auch der befragte Zeuge ein, dass es bei Kleinkrediten etwa bei 200 Euro wahrscheinlich eher nicht möglich ist, Negativkennzeichen aufzuwägen.
Außerdem schließt sich das Bundesverwaltungsgericht der Argumentation an, dass die Abfragegebühr als Kostenfaktor den Gewinn erheblich schmälert, und auch aus diesem Grund ein Bonitätsscore nur dann abgefragt wird, wenn er eine entscheidende Bedeutung für das Zustandekommen oder Nichtzustandekommen eines Vertrages ist. Die Frage an den informierten Vertreter der beschwerdeführenden Partei, weshalb die Kunden für einen Scorewert zahlen, der nicht maßgeblich ist, blieb letztlich unbeantwortet – zuerst antwortet dieser ausweichend die Entscheidung liegt letztendlich beim Kunden – auf nochmalige Frage holt der informierte Vertreter weiter aus, nur um zu erklären, dass es mehrere Entscheidungsparameter gibt, eine Antwort auf die Frage, weshalb ein Kunde für ein Service zahlen sollte, das nicht maßgeblich ist, bleibt er weiter schuldig (Verhandlungsprotokoll S. 7 „VR: Weshalb sollten ihre Kunden bereit sein, für die Bonitätsscores Entgelt zu entrichten, wenn diese Auskünfte über die Zahlungsfähigkeit potentieller Kunden ihre Entscheidungen über weitere Vertragsverhältnisse nicht maßgeblich beeinflussen würden? P:Weil wir unseren Kunden die Entscheidung nicht abnehmen können und auch nicht vorweg nehmen können, sondern, unser Score stellt lediglich eine Entscheidungshilfe dar. Unsere Kunden wissen, was unser Score aussagt, aber die Entscheidung, ob ein Kunde ein Vertrag bzw. ein Rechtsgeschäft mit seinen Endverbrauchern abschließt, liegt letztendlich bei ihm. VR: Wenn der Score für Ihre Kunden nicht maßgeblich ist, warum sollten sie dann dafür bezahlen? P: Darf ich dazu ein bisschen ausholen? Der Endkunde wendet sich an unseren Kunden und möchte einen… bleiben wir beim Beispiel eines Online-Kaufs. Er sucht sich aus was er kaufen möchte, gibt es in den Warenkorb, woraufhin dieser ganze interne Prozess anfängt zu laufen. Allein dieser Prozess ist bei unseren Kunden sehr unterschiedlich aufgesetzt. Die meisten unserer Kunden haben mehrere Entscheidungshilfen. Das heißt, es wird dazu vielleicht zuerst die eigene Kundenkartei abgerufen, gibt es zu diesem Kunden bereits Geschäftsfälle, wie ist der Warenwert, welche Zahlungsart wählt dieser Kunde. Und wird in dem ganzen Entscheidungsprozess ein bestimmter Warenwert überschritten oder ein Kauf auf Rechnung, dann wird eine Score-Berechnung ausgelöst. Das kann sein. Wir wissen nicht, welches Element bei unseren Kunden ein Scoring auslöst. Und dann liefern wir den Kunden den Score zurück, aber wie er diesen Score auswertet wissen wir nicht. Es ist nur eine Entscheidungshilfe. Wir sagen nur, der Endkunde hat einen bestimmten Score, der lediglich eine Zahlungsausfallwahrscheinlichkeit beauskunftet. Der Kunde entscheidet dann aufgrund seiner internen Parametern, ob er das Geschäft abschließt und zu welchen Modalitäten. Bei einem Kunden – da habe ich mich informiert – dieser zieht zum Beispiel bei seiner Entscheidung 11 Entscheidungsparameter heran. Wir sind eine davon.“).
Das Bundesverwaltungsgericht übersieht dabei nicht, dass die beschwerdeführende Partei vorbringt, dass der Score von den Kunden nur einer von vielen Parametern ist und nicht maßgeblich für die Entscheidung herangezogen wird.
Diesem Vorbringen folgt das Bundesverwaltungsgericht in seiner Allgemeinheit nicht: so erklärt der informierte Vertreter der beschwerdeführenden Partei im Widerspruch zu dieser Behauptung in der mündlichen Beschwerdeverhandlung, dass die beschwerdeführende Partei sogar, wenn sie keine Daten zu einer Person vorliegen haben, einen Score Wert zurückliefern, damit der Prozess dort weitergehen kann (Verhandlungsprotokoll S. 10f) – bereits aus dieser Aussage lässt sich die wesentliche Bedeutung im Entscheidungsprozess der Unternehmen ableiten. Aus der Vielzahl der Abfragen durch die Unternehmen (vgl Beilage ./O.) und dem Entgelt, der für Abfragen getätigt werden, ergibt sich aber jedenfalls (wie bereits weiter oben ausgeführt), dass die Bonitätscores einen entscheidenden Faktor darstellen. Außerdem verfügen viele Unternehmen über keine eigenen Zahlungserfahrungsdaten (etwa bei Neukund:innen), mit denen sie ein internes Scoring durchführen könnten, weshalb sie sich umso mehr auf den von der Beschwerdeführenden Partei errechneten Score stützen müssen.
Die beschwerdeführende Partei hat zwar Bestätigungen vorgelegt, in denen ihre Kunden unterschreiben, dass sie den Bonitätsscore nicht zum maßgeblichen Kriterium ihrer Entscheidungsfindung machen (vgl. etwa Beilage ./17). Diese wurden jedoch im Nachhang zum SCHUFA Urteil des EuGHs von der beschwerdeführenden Partei selbst formuliert und wurden von ihren Kunden mehr oder weniger gleichlautend unterschrieben. Aus der mündlichen Beschwerdeverhandlung ergibt sich aber, dass die beschwerdeführende Partei die internen Abläufe ihrer Kunden nicht im Detail kennt (Verhandlungsprotokoll S. 11) und daher eine von der beschwerdeführenden Partei formulierte und vorgegebene Bestätigung, die von ihren Kunden gleichlautend unterschrieben wird, keine besondere Beweiskraft zukommen kann. Umso mehr als der informierte Vertreter in der mündlichen Beschwerdeverhandlung selbst einräumt, dass er nicht wisse, wie die Kunden die Scores auswerten (siehe bereits weiter oben, Verhandlungsprotokoll S.7).
Der von der mitbeteiligten Partei beantragte Zeuge, ein Mitarbeiter einer Bank, die unter anderem Kleinkredite finanziert, gibt zwar in der mündlichen Verhandlung an, dass die Vertragsbeziehungen nicht maßgeblich vom Score Wert abhängig gemacht werden und dass viele Faktoren berücksichtigt werden. Diese Aussagen stimmen letztlich auch mit der Bestätigung der Scorenutzung, die auch die Bank unterzeichnet hat überein (vgl. etwa Beilage ./20), weshalb die Aussage dazu nicht überrascht. Wie aber bereits weiter oben erläutert, kommt dieser Bestätigung kein besonderer Beweiswert zu. Diese wurden unbestrittenermaßen im Nachhang zur EuGH Entscheidung (SCHUFA C-634/21) von der beschwerdeführenden Partei initiiert und formuliert (vgl. Verhandlungsprotokoll S. 19), um die Konsequenzen aus dieser Entscheidung hintanzustellen bzw. wie es die mitbeteiligte Partei formuliert, „ungeschehen“ zu machen. Darüber hinaus ist auch nicht erforderlich, dass der Bonitätsscore alleine über den Vertragsabschluss mit dem Endkunden entscheidet, sondern durchaus denkbar, dass auch andere Kriterien hineinspielen. Die besondere Bedeutung, die der Bonitätsscore aber hat, wird durch die Heranziehung anderer Kriterien nicht zunichte gemacht. Außerdem räumt der Zeuge bei der Befragung auch ein, dass es bei Kleinkrediten bei Warenwert um die 200 EUR ein „roter Score“ wahrscheinlich keine Möglichkeiten gibt, diesen aufzuwägen. Schon in einem solchen Fall wäre dann der Score entscheidend im Sinne von maßgeblich.
Zu den Bestätigungen der Scorenutzung und der Behauptung der Kunden der beschwerdeführenden Partei (und damit auch durch die Aussage des Zeugen) die Scores wären nicht maßgeblich, ist abschließend auch noch folgendes mitzudenken: der informierte Vertreter erklärt in der mündlichen Beschwerdeverhandlung, dass in der Folge der Umsetzung des SCHUFA-Urteils sie mit allen Kunden Kontakt aufgenommen hätten, um zu überprüfen, ob der Score in den Entscheidungsprozessen maßgeblich genutzt wird (Verhandlungsprotokoll S.6). Damit zeigt sich, dass selbst die beschwerdeführende Partei davon ausgegangen ist, dass der Bonitätsscore denkmöglich derart genutzt werde. Aufschlussreich ist in diesem Zusammenhang auch die Aussage, dass die Kunden Interesse daran gehabt hätten, diesen Aspekt zu klären (Verhandlungsprotokoll S. 6f). Offensichtlich sind selbst die Kunden nicht davon ausgegangen, dass der Score Wert nur einen unbedeutenden Faktor im Entscheidungsprozess spielt, und sind im Gegenteil davon ausgegangen, dass das SCHUFA Urteil Konsequenzen haben könnte und Änderungsbedarf in der Vorgehensweise bestehe. Die Verantwortlichen haben als Konsequenz jedoch keine Änderung in ihrer Vorgehensweise etabliert, sondern sich auf die „korrekte bzw. richtige Lesart des Urteils“ geeinigt (vgl. Verhandlungsprotokoll S. 13). Damit zeigt sich, dass die Verantwortlichen – vermutlich in voller Überzeugung – ihre Vorgehensweise in der Heranziehung der Scores dahin interpretiert, dass diese eben nicht maßgeblich ist. Durch eine solche Interpretation bzw. Lesart kann die Bedeutung, die die Score Werte im Prozedere der Kunden hat, jedoch nicht vermindert werden (vgl. Verhandlungsprotokoll S. 13 RV2: Sie haben gesagt, bevor diese Bestätigungen unterschrieben wurden, gab es einen Abstimmungsprozess. Gab es Kunden die um den Anforderungen des EuGH Urteils zu entsprechen, interne Abläufe anpassen mussten? P: So viel ich weiß – immer in Bezug auf die Nutzung unseres Scores – dort war meines Wissens nach keine Anpassung des Prozesses notwendig. RV2: Nichts desto trotz hat es laut Ihnen Anfragen von den Rechtsabteilungen gegeben, ob und wie das SCHUFA Urteil umzusetzen ist. Und laut Ihnen gab es keinen Änderungsbedarf? P: Ja. Wie so häufig ist bei Urteilen die erste Aufregung groß, bis man sich auf die korrekte bzw. richtige Lesart des Urteils einigt und dann eben auch feststellt, was die Konsequenzen des Urteils sind.)
Letztlich ergab sich für das Bundesverwaltungsgericht unter Einbeziehung aller Aspekte und Beweismittel unter Heranziehung der Argumentation, dass gewinnorientierte Unternehmen nur für maßgebliche Informationen Entgelt bezahlen und regelmäßig Scores abfragen, dass der Bonitätsscore einen entscheidenden Faktor für das weitere Prozedere mit dem Endkunden darstellt. Da der offene Zeugenantrag (vgl. Verhandlungsprotokoll S. 23) von der (obsiegenden) mitbeteiligten Partei gestellt wurde, und dasselbe Beweisthema bereits durch die Befragung des ebenfalls beantragten Zeugen der XXXX Bank umfassend erörtert wurde, erweist sich eine weitere Zeugeneinvernahme unter dem Aspekt der Verfahrensökonomie als entbehrlich und wurde daher davon Abstand genommen.
Auch aus den von der beschwerdeführenden Partei selbst vorgelegten Datenschutzinformationen (Datenschutzinformation der XXXX [vgl. Beilage ./14]), geht außerdem hervor, dass „die Übermittlung einer negativen Bonitätsauskunft durch eine Auskunftei“ – konkret also durch die beschwerdeführende Partei – „automatisiert eine Ablehnung der gewünschten Zahlungsart“ zur Folge haben könne. Diese Formulierung lässt keinen Zweifel offen, dass der von der beschwerdeführenden Partei übermittelte Bonitätswert für die Entscheidungsfindung des besagten Unternehmens maßgeblich ist.
Abschließend ist auch festzuhalten, dass die Beurteilung, ob die Score Werte der mitbeteiligten Partei gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, also im Sinne der Rechtsprechung des EuGH maßgeblich beeinträchtigt, letztlich der rechtlichen Beurteilung durch das Bundesverwaltungsgericht obliegt. Diese Beurteilung kann auch nicht durch eine vorformulierte Bestätigung hintangehalten werden. Darüber hinaus geht aus den Bestätigungen insbesondere hervor, dass weitere Kriterien in die Entscheidung einfließen und wird als Beispiel das Vorliegen von Negativdaten genannt. Diese liegen aber in vielen Fällen überhaupt nicht vor. Auch wenn es im Einzelfall möglich und denkbar ist, dass der Bonitätsscore neben anderen Kriterien herangezogen wird und in seiner Bedeutung zurücktritt, gilt dies aber jedenfalls nicht ausnahmslos für alle abfragenden Unternehmen. In Fällen von Kleinkrediten oder von Massengeschäften sind zusätzliche Überprüfungsmodalitäten, die nach der Abfrage von Bonitätsscores getätigt werden müssten, nicht realistisch.
Dass die beschwerdeführende Partei keine Auskunft über die Gewichtung der zur Berechnung des Bonitätswerts verwendeten Datenkategorien Alter, Geschlecht, Anschrift, Name, Zahlungserfahrungsdaten und gesamtwirtschaftliche statistische Parameter sowie keine Auskunft über die Relevanz der gesamtwirtschaftlichen statistischen Parameter bis zum Abschluss des Verfahrens erteilt hat und keine ausreichende Erklärung in verständlicher, nachvollziehbarer Weise erteilt, weshalb die mitbeteiligte Partei einem bestimmten Bewertungsergebnis zugeordnet wurde. ergibt sich aus der Aktenlage (siehe dazu aber auch unter Punkt Rechtliche Beurteilung).
3. Rechtliche Beurteilung:
Zu A)
3.1. Rechtsgrundlagen:
Unionsrecht – DSGVO
In den Erwägungsgründen 4, 11, 58, 63 und 71 DSGVO heißt es:
(4) Die Verarbeitung personenbezogener Daten sollte im Dienste der Menschheit stehen. Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht; es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der [Charta der Grundrechte der Europäischen Union (im Folgenden: Charta)] anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere Achtung des Privat- und Familienlebens, der Wohnung und der Kommunikation, Schutz personenbezogener Daten, Gedanken-, Gewissens- und Religionsfreiheit, Freiheit der Meinungsäußerung und Informationsfreiheit, unternehmerische Freiheit, Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren und Vielfalt der Kulturen, Religionen und Sprachen. (…)
(11) Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen sowie eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden, ebenso wie – in den Mitgliedstaaten – gleiche Befugnisse bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie gleiche Sanktionen im Falle ihrer Verletzung. (…)
(58) Der Grundsatz der Transparenz setzt voraus, dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst ist und gegebenenfalls zusätzlich visuelle Elemente verwendet werden. … (…)
(63) Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. (…) Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. (…)
(71) Die betroffene Person sollte das Recht haben, keiner Entscheidung – was eine Maßnahme einschließen kann – zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen. Zu einer derartigen Verarbeitung zählt auch das ‚Profiling‘, das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. … In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Anspruchs auf direktes Eingreifen einer Person, auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung sowie des Rechts auf Anfechtung der Entscheidung. …“
Art. 4 Abs. 1 Z 1 und 4 DSGVO – Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; (…)
4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
Art. 12 DSGVO - Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten….
Artikel 14 - Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
(…)
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:
(…)
g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(…)
Art. 15 DSGVO – Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
(…)
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(…)
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
Art. 22 Abs. 1 DSGVO – Automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling
(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
Die maßgeblichen Erwägungsgründe und Bestimmungen der Richtlinie (EU) 2016/943 des Europäischen Parlaments und des Rates vom 8. Juni 2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, ABl. L 157 vom 15.6.2016, S. 1, lauten wie folgt:
„(35) ... Für die im Rahmen dieser Richtlinie unter Aufsicht der zuständigen Behörden der Mitgliedstaaten und insbesondere der von ihnen bezeichneten unabhängigen öffentlichen Stellen durchgeführte Verarbeitung personenbezogener Daten gilt die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates (1). Daher sollte diese Richtlinie die in der Richtlinie 95/46/EG niedergelegten Rechte und Pflichten - insbesondere das Recht der betroffenen Person auf Zugang zu ihren personenbezogenen Daten, die verarbeitet werden, sowie auf Berichtigung, Löschung oder Sperrung unvollständiger oder unrichtiger Daten sowie gegebenenfalls die Pflicht zur Verarbeitung sensibler Daten gemäß Artikel 8 Absatz 5 der Richtlinie 95/46/EG - nicht berühren.
(1) Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281 vom 23.11.1995, S. 31).
Artikel 2
Begriffsbestimmungen
Für die Zwecke dieser Richtlinie bezeichnet der Ausdruck
1. ‚Geschäftsgeheimnis‘ Informationen, die alle nachstehenden Kriterien erfüllen:
a) Sie sind in dem Sinne geheim, dass sie weder in ihrer Gesamtheit noch in der genauen Anordnung und Zusammensetzung ihrer Bestandteile den Personen in den Kreisen, die üblicherweise mit dieser Art von Informationen umgehen, allgemein bekannt oder ohne weiteres zugänglich sind;
b) sie sind von kommerziellem Wert, weil sie geheim sind;
c) sie sind Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen durch die Person, die die rechtmäßige Kontrolle über die Informationen besitzt;
Artikel 9
Wahrung der Vertraulichkeit von Geschäftsgeheimnissen im Verlauf von Gerichtsverfahren
(1) Die Mitgliedstaaten stellen sicher, dass die Parteien, ihre Rechtsanwälte oder sonstigen Vertreter, Gerichtsbedienstete, Zeugen, Sachverständige und alle sonstigen Personen, die an einem Gerichtsverfahren beteiligt sind, das den rechtswidrigen Erwerb oder die rechtswidrige Nutzung oder Offenlegung eines Geschäftsgeheimnisses zum Gegenstand hat, oder die Zugang zu Dokumenten haben, die Teil eines solchen Gerichtsverfahrens sind, nicht befugt sind, ein Geschäftsgeheimnis oder ein angebliches Geschäftsgeheimnis zu nutzen oder offenzulegen, das von den zuständigen Gerichten aufgrund eines ordnungsgemäß begründeten Antrags einer interessierten Partei als vertraulich eingestuft worden ist und von dem sie aufgrund der Teilnahme an dem Verfahren oder des Zugangs zu den Dokumenten Kenntnis erlangt haben. Die Mitgliedstaaten können ferner die zuständigen Gerichte ermächtigen, solche Maßnahmen von Amts wegen zu ergreifen.
Die in Unterabsatz 1 genannte Verpflichtung besteht auch nach Abschluss des Gerichtsverfahrens weiter fort. Die Verpflichtung endet jedoch, wenn eine der folgenden Situationen eintritt:
a) Im Rahmen einer rechtskräftigen Entscheidung wird festgestellt, dass das angebliche Geschäftsgeheimnis nicht die in Artikel 2 Nummer 1 genannten Kriterien erfüllt, oder
b) im Laufe der Zeit werden die in Frage stehenden Informationen für Personen in den Kreisen, die üblicherweise mit der betreffenden Art von Informationen umgehen, allgemein bekannt oder ohne weiteres zugänglich.
(2) Die Mitgliedstaaten stellen des Weiteren sicher, dass die zuständigen Gerichte auf ordnungsgemäß begründeten Antrag einer Partei spezifische Maßnahmen treffen können, die erforderlich sind, um die Vertraulichkeit eines Geschäftsgeheimnisses oder eines angeblichen Geschäftsgeheimnisses zu wahren, das im Laufe eines Gerichtsverfahrens im Zusammenhang mit dem rechtswidrigen Erwerb oder der rechtswidrigen Nutzung oder Offenlegung eines Geschäftsgeheimnisses genutzt oder auf das in diesem Rahmen Bezug genommen wird. Die Mitgliedstaaten können ferner die zuständigen Gerichte ermächtigen, solche Maßnahmen von Amts wegen zu ergreifen.
Die in Unterabsatz 1 genannten Maßnahmen sehen mindestens die Möglichkeit vor,
a) den Zugang zu von den Parteien oder Dritten vorgelegten Dokumenten, die Geschäftsgeheimnisse oder angebliche Geschäftsgeheimnisse enthalten, ganz oder teilweise auf eine begrenzte Anzahl von Personen zu beschränken;
b) den Zugang zu Anhörungen, bei denen unter Umständen Geschäftsgeheimnisse oder angebliche Geschäftsgeheimnisse offengelegt werden, und zu der entsprechenden Aufzeichnung oder Mitschrift dieser Anhörungen auf eine begrenzte Anzahl von Personen zu beschränken;
c) Personen, die nicht der begrenzten Anzahl von Personen nach den Buchstaben a und b angehören, eine nicht vertrauliche Fassung einer gerichtlichen Entscheidung bereitzustellen, in der die Geschäftsgeheimnisse enthaltenden Passagen gelöscht oder geschwärzt wurden.
Die Anzahl der Personen nach Unterabsatz 2 Buchstaben a und b darf nicht größer sein, als zur Wahrung des Rechts der Verfahrensparteien auf einen wirksamen Rechtsbehelf und ein faires Verfahren erforderlich ist, und muss mindestens eine natürliche Person jeder Partei und ihre jeweiligen Rechtsanwälte oder sonstigen Vertreter dieser Gerichtsverfahrensparteien umfassen.
(3) Bei der Entscheidung über die Maßnahmen gemäß Absatz 2 und der Beurteilung ihrer Verhältnismäßigkeit berücksichtigen die zuständigen Gerichte die Notwendigkeit, das Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren zu gewährleisten, die legitimen Interessen der Parteien und gegebenenfalls etwaiger Dritter sowie den möglichen Schaden, der einer der Parteien und gegebenenfalls etwaigen Dritten durch die Gewährung oder Ablehnung dieser Maßnahmen entstehen kann.
(4) Jede Verarbeitung personenbezogener Daten gemäß den Absätzen 1, 2 oder 3 erfolgt gemäß der Richtlinie 95/46/EG.“
3.2. In der Sache:
3.2.1. Zu den Voraussetzungen des Art. 22 DSGVO
Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, sofern sie betreffende personenbezogene Daten vom Verantwortlichen verarbeitet werden, Auskunft über diese personenbezogenen Daten zu erhalten. Zusätzlich hat die betroffene Person auch das Recht auf Auskunft über die in Art. 15 Abs. 1 lit. a bis h DSGVO enthaltenen Informationen. Wie aus der Datenschutzbeschwerde vom 02.09.2021 und der Äußerung vom 22.11.2021 der nunmehrigen mitbeteiligen Partei hervorgeht, hat diese unter anderem eine Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO begehrt. Die beschwerdeführende Partei verneint eine diesbezügliche, sie treffende Auskunftspflicht.
Voraussetzung für das Bestehen einer Auskunftspflicht gemäß Art. 15 Abs. 1 lit. h DSGVO der beschwerdeführenden Partei ist die Anwendbarkeit des Art. 22 Abs. 1 DSGVO, was wiederum von drei kumulativen Voraussetzungen abhängt, nämlich davon, dass erstens eine „Entscheidung“ vorliegen muss, zweitens diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung, – einschließlich Profiling“ beruhen muss und drittens sie „gegenüber [der betroffenen Person] rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise erheblich“ beeinträchtigen muss (EuGH 08.12.2023, C-634/21, SCHUFA, Rn43).
Die zunächst zu klärende Frage ist daher, ob der von der beschwerdeführenden Partei erstellte Scoring- bzw. Bonitätswert eine Entscheidung iSd Art. 22 Abs. 1 DSGVO darstellt.
Der EuGH sprach im obzitierten Judikat zu dieser Frage aus, dass der Begriff „Entscheidung“ iSd Art. 22 Abs. 1 DSGVO mehrere Handlungen umfassen kann, die die betroffene Person in vielerlei Weise beeinträchtigen können, und der Begriff damit weit genug ist, um das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts miteinzuschließen (Rn44 – 46). Damit ist auch der von der beschwerdeführenden Partei berechnete Bonitätswert, der die Zahlungsfähigkeit und Zahlungswilligkeit einer Person betrifft, als Entscheidung iSd Art. 22 Abs. 1 DSGVO zu sehen. Die erste Voraussetzung ist dadurch erfüllt.
Aus diesem Judikat erhellt sich daher, dass es entgegen der Rechtsansicht der beschwerdeführenden Partei für das Vorliegen einer Entscheidung iSd Art. 22 Abs. 1 DSGVO nicht auf eine Bewertung der Bonitätswert durch die beschwerdeführende Partei ankommt. Dass die beschwerdeführende Partei lediglich den Bonitätswert erstellt und an sich keine Bewertung dieses Werts vornimmt, sondern eine Bewertung und damit auch die Entscheidung über das Zustandekommen einer Geschäfts- bzw. Vertragsbeziehung erst in einem zweiten Schritt, nach Übermittlung des Bonitätswerts an anfragende Kunden durch diese selbst erfolgt, steht der Anwendbarkeit des Art. 22 Abs. 1 DSGVO nicht entgegen.
Zweitens muss die Entscheidung iSd Art. 22 Abs. 1 DSGVO ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruhen.
Der von der beschwerdeführenden Partei erstellte Bonitätswert wird, wie den von ihr erteilten Auskünften vom 12.04.2021, 27.05.2021 und 19.08.2021 entnommen werden kann, unter Heranziehung personenbezogener Daten berechnet und erlaubt Rückschlüsse auf die Kreditwürdigkeit der betroffenen Person. Die beschwerdeführende Partei verwendet im Rahmen ihres Scorings daher personenbezogene Daten, um bestimmte Aspekte, die sich auf natürliche Personen beziehen, zu bewerten, insbesondere um Aspekte bezüglich ihrer wirtschaftlichen Lage, Zuverlässigkeit und ihres wahrscheinlichen Verhaltens zu analysieren oder vorherzusagen. Die Legaldefinition des Art. 4 Z 4 DSGVO ist damit erfüllt und das von der beschwerdeführenden Partei durchgeführte Scoring stellt ein Profiling iSd Art. 4 Z 4 DSGVO dar. Da die beschwerdeführende Partei außerdem nicht in Frage gestellt hat, dass es sich bei ihrem Scoring um Profiling handelt, ist die zweite Voraussetzung des Art. 22 Abs. 1 DSGVO auch gegeben (vgl. ebenso Rn 47 des SCHUFA Urteils , C 634/21).
Drittens muss die auf eine ausschließlich automatisierte Verarbeitung, einschließlich Profiling, beruhende Entscheidung gegenüber der betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Den bereits erwähnten Schlussanträgen des Generalanwalts (Rn 34 und 35) ist dabei zunächst zu entnehmen, dass das Tatbestandserfordernis des Art. 22 Abs. 1 DSGVO der Entfaltung von rechtlichen Wirkungen oder der Beeinträchtigung auf ähnliche Weise nur dann erfüllt ist, wenn die Entscheidung schwerwiegende Auswirkungen auf die betroffene Person hat. Weiters wird auf den 71. Erwägungsgrund der DSGVO verwiesen, welcher als typisches Beispiel einer Entscheidung, die die betroffene Person erheblich beeinträchtigt, die automatische Ablehnung eines Online-Kreditantrages nennt.
Indem der von der beschwerdeführenden Partei berechnete Bonitätswert an anfragende Kunden übermittelt wird und diese anhand dieses Werts über die Eingehung eines Vertragsverhältnisses bzw. über die Kreditwürdigkeit und damit über die Eingehung eines Kreditvertrages entscheiden, ist darin eine Entscheidung zu sehen, die gegenüber der betroffenen Person iSd der obigen Ausführungen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen kann. Entscheidend ist dabei nicht, dass aufgrund dieses Bonitätswerts ein Vertragsverhältnis (nicht) begründet, durchgeführt oder beendet wird, sondern lediglich, ob der Bonitätswert dafür maßgeblich ist (vgl. nochmals EuGH 08.12.2023, C-634/21, Rn73), sodass es nicht notwendig ist, dass die mitbeteiligte Partei der gegenständlichen Angelegenheit durch den übermittelten Bonitätswert tatsächlich beeinträchtigt wurde. Im Übrigen hat der Betroffene gegenüber der Auskunftei, auch ein Recht auf Übermittlung einer hypothetischen Scorewert-Berechnung (Franck in Gola/Heckmann, DSGVO3 Art 15 Rz 19; Bäcker in Kühling/Buchner, DS-GVO/ BDSG4 Art 15 Rz 9).
Den Einwendungen der beschwerdeführenden Partei (vgl. etwa Schriftsatz vom Schriftsatz vom 30.05.2025), dass ihre Bonitätsscores nicht im Sinne dieser Judikatur maßgeblich für ihre Kunden – die abfragenden Unternehmen – seien, können dies nicht in Zweifel ziehen: wie festgestellt und in der Beweiswürdigung umfassend dargelegt wurde, stellt der Bonitätsscore einen entscheidenden Faktor für das weitere Prozedere mit dem Endkunden dar (vgl. dazu Punkt 2.). Wenn der Bonitätsscore einen entscheidenden Faktor darstellt, so ist er auch maßgeblich im Sinne der EuGH Rechtsprechung.
Die Einwendungen widersprechen auch den von der beschwerdeführenden Partei selbst vorgelegten Datenschutzinformationen, wonach „die Übermittlung einer negativen Bonitätsauskunft durch eine Auskunftei“ – konkret also durch die beschwerdeführende Partei – „automatisiert eine Ablehnung der gewünschten Zahlungsart“ zur Folge haben könne. Diese Formulierung lässt keinen Zweifel offen, dass der von der beschwerdeführenden Partei übermittelte Bonitätswert für die Entscheidungsfindung des besagten Unternehmens maßgeblich ist.
Nur am Rande soll an dieser Stelle angemerkt werden, dass die Vehemenz, mit der die involvierte Logik betreffend das Zustandekommen des Bonitätswertes geheim zu halten versucht wird, dem Narrativ widerspricht, dass der Score keine maßgebliche Bedeutung hat.
Somit liegen alle drei Voraussetzungen kumulativ vor und der Tatbestand des Art. 22 Abs. 1 DSGVO ist erfüllt. Da die beschwerdeführende Partei, wie oben bereits geschrieben, personenbezogene Daten der mitbeteiligten Partei verarbeitet und mit diesen personenbezogenen Daten automatisierte Entscheidungsfindungen, einschließlich Profiling, durchführt, trifft die beschwerdeführende Partei im vorliegen Fall auch eine Auskunftspflicht gemäß Art. 15 Abs. 1 lit. h DSGVO.
Abschließend muss an dieser Stelle aber auch klargestellt werden, dass das durch die rezente EuGH Rechtsprechung gestärkte Verbraucherauskunftsrecht in Fällen automatisierter Entscheidungsfindung bzw. Profiling nicht durch eine einseitige Interpretation bzw. Unterzeichnung von Bestätigungen wie im vorliegenden Fall, oder durch die Heranziehung weiterer Parameter für den Abschluss eines Vertrages ausgehebelt werden bzw. ungeschehen gemacht werden kann.
3.2.2. Zum Umfang der Auskunftspflicht gemäß Art. 15 Abs 1 lit h DSGVO
Dem Wortlaut des Art. 15 Abs. 1 lit. h DSGVO entsprechend müssen neben dem Bestehen einer automatisierten Entscheidung, einschließlich Profiling, auch aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person beauskunftet werden. Hervorzuheben ist dabei, dass unter Logik nicht der konkrete Algorithmus, bestehend aus der Berechnungsformel, einschließlich Gewichtung und Rechnungsweg, verstanden wird, sondern lediglich das Prinzip, auf dem die Berechnung des Bonitätswerts beruht. Eine Auskunft über die Logik muss daher die Parameter beinhalten, anhand welcher die betroffene Person erkennen kann, welche Aspekte ihrer Person oder ihres Verhaltens für die Berechnung des Bonitätswerts verwendet wurden. Die betroffene Person muss nicht in die Lage versetzt werden, den Bonitätswert nachzurechnen.
Die Artikel-29-Datenschutzgruppe empfiehlt dabei folgende Bestandteile der Auskunft:
Die Kategorien von Daten, die bei Profiling oder automatisierten Entscheidungen verwendet wurden bzw. künftig verwendet werden, einschließlich deren Gewichtung;
warum diese Kategorien als relevant gelten;
wie die bei der automatisierten Entscheidungsfindung verwendeten Profile erstellt werden, wozu auch bei der Analyse verwendete Statistiken zählen;
warum dieses Profil für die automatisierte Entscheidungsfindung relevant ist und
wie es für eine Entscheidung zur betroffenen Person verwendet wird (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 44 (Stand 1.7.2024, rdb.at),).
Auch der EuGH verweist in seiner rezenten Entscheidung vom 27.02.2025, C-203/22, auf diese Leitlinien als zu berücksichtigenden Kontext der zu beauskunftenden Informationen (Rn 45).
Die beschwerdeführende Partei erteilte mit ihren Schreiben vom 12.04.2021, 27.05.2021 und 19.08.2021 sowie ihrer gegenständlichen Beschwerde vom 09.02.2022 zunächst lediglich Auskunft über den Bonitätswert an sich und – mit Ausnahme der gesamtwirtschaftlichen statistischen Parameter – die dafür verwendeten personenbezogenen Daten sowie deren Herkunft. Mit Schreiben vom 30.05.2023 erteilte sie schließlich der mitbeteiligten Partei weitere Informationen über die Scorewertberechnung. Sie erklärte darin die für die Berechnung des Bonitätswertes herangezogenen Faktoren – nämlich Alter, Geschlecht, Anschrift und Namen sowie Zahlungserfahrungsdaten – und deren Auswirkungen auf die Berechnung. Ebenso gab sie an, dass auch gesamtwirtschaftliche statistische Parameter in die Berechnung einfließen, wobei sie deren Inhalt und Auswirkungen nicht näher darlegte.
Die beschwerdeführende Partei gab der mitbeteiligten Partei aber keine vollständige Auskunft im Sinne des Art. 15 Abs. 1 lit. h DSGVO. Zwar nannte sie die verwendeten Datenkategorien und deren Herkunft, erklärte aber – anders als bei den Faktoren Alter, Geschlecht, Anschrift und Namen sowie Zahlungserfahrungsdaten – bezüglich der gesamtwirtschaftlichen statistischen Parameter nicht deren Relevanz, d.h. deren Auswirkung. Ebenso unterließ es die beschwerdeführende Partei, die Gewichtung all dieser Kategorien in ihrer Berechnung bekanntzugeben.
Insoweit als die beschwerdeführende Partei es unterlassen hat, ausreichend aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der automatisierten Entscheidungsfindung für die mitbeteiligte Partei zu erteilen, hat die beschwerdeführende Partei die sie treffende Auskunftspflicht gemäß Art. 15 Abs. 1 lit. h DSGVO verletzt.
Die erteilte Auskunft darf nicht auf allgemeine Erwägungen beschränkt bleiben, sondern muss sich konkret auf den individuellen Fall der betroffenen Person beziehen. Nach den Ausführungen des EuGH könnten in diesem Zusammenhang auch Informationen darüber erteilt werden, „[…] in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte“ (vgl. EuGH C 203/22, Rn62).
Die von der beschwerdeführenden Partei bisher erteilten Informationen sind – wie mitbeteiligte Partei zutreffend ausführt – jedenfalls zu allgemein gehalten und nicht konkret auf die mitbeteiligte Partei bezogen, womit die Auskunft nicht den Vorgaben des Art. 15 Abs. 1 lit. h DSGVO, welche durch die zitierte Rechtsprechung des EuGH konkretisiert wurden, entspricht, zumal nur Datenkategorien bzw. allgemein „statistische Werte“, welche in die Berechnung des Ratingwerts eingeflossen sind, nicht jedoch die konkret die mitbeteiligte Partei betreffenden verarbeiteten Daten beauskunftet wurden, eine konkrete Gewichtung der unterschiedlichen Daten, die in die Berechnung des Ratingwerts einfließen, nicht beschrieben wurde, nur ansatzweise der Einfluss und die Tragweite der Daten [Das Alter der mitbeteiligten Partei hat sich insofern positiv ausgewirkt, als ältere Personen statistisch gesehen eine höhere Bonität haben als jüngere; Das Geschlecht wirkt sich insofern aus, als Frauen statistisch gesehen eine geringere Zahlungsausfallswahrscheinlichkeit haben als Männer. Vgl Stellungnahme vom 29.04.2025, OZ 7]) mitgeteilt wurde, worin keine ausreichend präzise und verständliche Erläuterung der Funktionsweise des Mechanismus der automatisierten Entscheidungsfindung, der diese Person unterworfen worden ist, und des Ergebnisses, zu dem diese Entscheidung geführt hat, zu sehen ist. Es liegen auch keine Informationen der Beschwerdeführerin darüber vor, in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten der mitbeteiligten Partei zu einem anderen Ergebnis geführt hätte. Es bleibt ebenso offen, wie sich eine andere Wohnadresse auf die Berechnung des Scores auswirken würde. Die von der beschwerdeführenden Partei gegebene Auskunft kann daher nicht als ausreichend transparent und nachvollziehbar angesehen werden.
Zusammengefasst hat die beschwerdeführende Partei konkret darzustellen, welche personenbezogenen Daten der mitbeteiligten Partei im Rahmen der in Rede stehenden automatisierten Entscheidungsfindung auf welche Art verwendet wurden und wie das Bewertungsergebnis der mitbeteiligten Partei konkret zustande kam. Die beschwerdeführende Partei müsste, mit den Worten des EuGH im genannten Urteil (C-203/22), in präziser, transparenter, verständlicher und leicht zugänglicher Form das Verfahren und die Grundsätze erläutern, anhand derer das tatsächliche Profiling (hier die Scorewerte 500-549, 550-574 und 575-599 ) erstellt wurde, damit ihre Auskunft den Anforderungen des Art. 15 Abs. 1 lit. h DSGVO entspricht. Insbesondere fehlt – wie bereits mehrfach festgehalten - die Auskunft über die Gewichtung der zur Berechnung des Bonitätswerts verwendeten Datenkategorien Alter, Geschlecht, Anschrift, Name, Zahlungserfahrungsdaten und gesamtwirtschaftliche statistische Parameter sowie Auskunft über die Relevanz der gesamtwirtschaftlichen statistischen Parameter erteilt hat. Die beschwerdeführende Partei hat keine ausreichende Erklärung in verständlicher, nachvollziehbarer Weise erteilt, weshalb die mitbeteiligte Partei einem bestimmten Bewertungsergebnis zugeordnet wurde.
3.3. Zur Einwendung des Geschäftsgeheimnisses, das zu schützen ist:
Diesbezüglich ist auch darauf hinzuweisen, dass die beschwerdeführende Partei im Verfahren nur sehr allgemein das Vorliegen von Geschäftsgeheimnissen behauptet, zu den Voraussetzungen für das Vorliegen von Geschäftsgeheimnissen jedoch kein konkretes Vorbringen erstattet hat, geschweige denn der belangten Behörde oder dem Bundesverwaltungsgericht die angeblich geschützten Informationen übermittelt hat. Die beschwerdeführende Partei ist auch dem diesbezüglichen Auftrag des Bundesverwaltungsgerichts (OZ 10) nicht nachgekommen und hat dem Bundesverwaltungsgericht keine (geschützten) Informationen und Daten bereitgestellt, womit das Vorliegen von Geschäftsgeheimnissen auch im Verfahren vor dem Bundesverwaltungsgericht nicht konkret belegt werden konnte.
Vor diesem Hintergrund vermag das Bundesverwaltungsgericht im konkreten Fall nicht zu erkennen, dass die von der beschwerdeführenden Partei im Ergebnis begehrte Beschränkung des Umfangs des der mitbeteiligten Partei gemäß Art. 15 Abs. 1 lit. h DSGVO gewährleisteten Auskunftsrechts eine notwendige und verhältnismäßige Maßnahme darstellt. Im Übrigen hat der EuGH in seiner Entscheidung vom 27.02.2025, C-203/22, festgehalten, dass auch das Vorliegen von Geschäftsgeheimnissen nicht dazu führen darf, dass der betroffenen Person jegliche Auskunft verweigert wird.
Dabei ist aber zu unterstreichen, dass es nicht notwendig ist, dass die beschwerdeführende Partei den Algorithmus preisgibt, mit welchem der Bonitätswert errechnet wird. Dass die von der beschwerdeführenden Partei erstellte und bei der Ermittlung des „Scores“ angewendete Berechnungsmethode ein Geschäftsgeheimnis iSd Art 2 Z 1 der Richtlinie 2016/943 darstellt, wird auch nicht in Zweifel gezogen.
Eine automatisierte Verarbeitung personenbezogener Daten zwecks Ermittlung eines Bonitätsprofils kann schwerwiegende Folgen für das wirtschaftliche Leben einer betroffenen Person, wie etwa Ausschluss von oder erschwerter Zugang zu Kreditmitteln, haben (vgl. Leitlinien der durch Art. 29 der Richtlinie 95/46/EG eingesetzten Datenschutzgruppe zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, angenommen am 3.10.2017, in der überarbeiteten und am 6.2.2018 angenommenen Fassung, WP251rev.01, S 23 f, 28 f). Insofern kommt dem Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO in Bezug auf die Ausübung der der betroffenen Person zukommenden Rechte besonderes Gewicht zu. Demnach kann der bloße Hinweis auf eine mögliche Gefährdung eines Geschäftsgeheimnisses nicht dazu führen, dass die Art und Weise der automatisierten Verarbeitung für die betroffene Person - wie vorliegend - unklar bleibt und ihr eine Überprüfung des Verfahrens und der Grundsätze der automatisierten Verarbeitung zwecks Ausübung der ihr nach der DSGVO zukommenden Rechte im wesentlichen Maße nicht möglich ist.
Vorliegend hat die beschwerdeführende Partei in Erfüllung ihrer Auskunftspflicht gemäß Art. 15 Abs. 1 lit. h DSGVO, wie oben dargelegt, die Art und Weise der automatisierten Verarbeitung der personenbezogenen Daten der Mitbeteiligten, und zwar in Bezug auf die Bedeutung der verarbeiteten personenbezogenen Daten für den für die Mitbeteiligte errechneten „Score“, gegenüber der Mitbeteiligten Partei zu erläutern, um ihr die Ausübung der ihr zukommenden Rechte, insbesondere jener nach Art. 22 Abs. 3 DSGVO zu gewährleisten. Einer ausführlichen Erläuterung der dabei verwendeten Algorithmen oder einer Offenlegung des gesamten Algorithmus bedarf es hingegen nicht (vgl. wiederum EuGH 27.2.2025, C-203/22, Dun&Bradstreet Austria, Rn. 60 und VwGH vom 20.08.2025, Ro 2020/04/0010-13 Rn33f).
Ausgehend von diesem Umfang der notwendigen Erläuterungen der Art und Weise der automatisierten Verarbeitung der personenbezogenen Daten der Mitbeteiligten ist jedoch nicht ersichtlich, dass damit zwingend das von der revisionswerbenden Partei geltend gemachte Geschäftsgeheimnis betreffend die allgemeine Berechnungsmethode („Scoreformel“) offengelegt wird (vgl wiederum Ro 2020/04/0010-13 Rz 35).
3.4. Abschließend ist an dieser Stelle im Einklang mit der Datenschutzbehörde ausdrücklich festzuhalten, dass eine Konstellation, in welcher die Daten der mitbeteiligten Partei zwar einerseits für ein datenbasiertes Geschäftsmodell verwendet werden, diesem aber gleichzeitig wesentliche datenschutzrechtliche Betroffenenrechte wie der Auskunftsanspruch nach Art: 15 Abs. 1 lit. h DSGVO absolut vorenthalten werden, nicht mit dem primärrechtlich normierten Schutz personenbezogener Daten nach Art. 8 Abs. 1 EU-GRC vereinbar ist.
In Einklang mit den Entscheidungen des EuGH (EuGH 634/21 vom 07.12.2023 und C-203/22 vom 27.02.2025), die Rechtsposition der Verbraucher zu stärken und die Anforderungen an Transparenz und Nachvollziehbarkeit im Umgang mit personenbezogenen Daten zu stärken und der Entscheidung des VwGH vom 20.08.2025, Ro 2020/14/0010, in welcher ebenso die schwerwiegenden Folgen eines automatisierten Verarbeitung personenbezogener Daten zwecks Ermittlung eines Bonitätsprofils hervorgehoben werden, war spruchgemäß zu entscheiden. Im Übrigen hat der Verfassungsgerichtshof erst kürzlich in einem ähnlich gelagerten Fall die Behandlung der Beschwerde abgelehnt (GZ W108 2230691-1/53E, VfGH vom 12.09.2025, E 1924/2025-16 ).
Zu B) Unzulässigkeit der Revision:
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil bereits zwei EuGH Entscheidungen (EuGH 634/21 und C-203/22) zur Auslegung der anwendbaren Bestimmungen der DSGVO ergangen sind und der Entscheidung zugrunde gelegt wurden. Die Frage ob der Bonitätsscore gegenüber der betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen, daher im Sinne der EuGH Rechtsprechung maßgeblich ist, wurde im Rahmen einer einzelfallbezogenen Beurteilung anhand der Kriterien der EuGH Rechtsprechung beantwortet. Darüber hinaus hat sich auch der VwGH in seiner rezenten Entscheidung vom 20.08.2025, Ro 2020/14/0010 mit einem vergleichbaren Sachverhalt befasst. Das Bundesverwaltungsgericht trifft die vorliegende Entscheidung in Übereinstimmung mit der Rechtsprechung des Verwaltungsgerichtshofes. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Rückverweise
RIS