W252 2244321-1/29E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, 1010 Wien Schottenring 25, (mitbeteiligte Partei vor dem Verwaltungsgericht: XXXX ), gegen den Bescheid der Datenschutzbehörde vom 11.03.2021, GZ XXXX , nach Durchführung zweier Verhandlungen am 23.10.2025 und 21.11.2025 in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:
A)
Der Beschwerde wird Folge gegeben und der angefochtene Bescheid wie folgt abgeändert:
„Die Datenschutzbeschwerde wird als unbegründet abgewiesen.“
B)
Die Revision ist nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Die nunmehrige mitbeteiligte Partei (in Folge: MP) begehrte mit Schreiben vom 12.01.2019 eine Auskunft iSd Art 15 DSGVO über die sie betreffenden, bei der beschwerdeführenden Partei (in Folge: BF) gespeicherten Informationen. Die BF erteilte mit Schreiben vom 15.01.2019 Auskunft. Mit Schreiben vom 16.01.2019 rügte die MP die Unvollständigkeit dieser Auskunft und ersuchte um Vervollständigung.
2. Mit Schreiben vom 22.02.2019 ersuchte die MP um weitere Ergänzungen der bereits erteilten Auskunft. Die BF ergänzte die Auskunft mit Schreiben vom 29.01.2019, dahingehend, dass gegenüber der XXXX keine zeitnahe Auskunft erteilt worden sei.
3. Mit Schreiben vom 02.02.2019 brachte die MP bei der Datenschutzbehörde (in Folge: belangte Behörde) eine Datenschutzbeschwerde ein und führte darin, bezogen auf den gegenständlichen Beschwerdefall, im Wesentlichen aus, dass die der BF erteilten Auskunft, trotz von der MP präzise formulierter Anfrage, weder die Frage nach dem Inhalt bzw. der konkreten Formulierung hinsichtlich der bei der BF ermittelten und gespeicherten Bonitätsbeurteilung, welche offensichtlich an Kunden von der BF weiterkommuniziert wird, noch die Frage, an welche Kunden die BF bisher Bonitätsinformationen über die Person der MP weitergegeben hat, beantwortet worden sei.
4. Im Zuge des verwaltungsbehördlichen Verfahrens erteilte die BF mit Schreiben vom 26.03.2019 eine weitere ergänzende Auskunft. Die BF verwies darauf, dass der XXXX gegenüber keine zeitnahe Auskunft erteilt worden sei, erst nach Einbringung der gegenständlichen Beschwerde sei am 13.02.2029 eine weitere Abfrage durch die XXXX erfolgt. Hierzu legte die BF eine Tabelle betreffend die Datenabfragen und deren Empfänger vor. Die BF brachte vor, dass keine Bonitätsbeurteilung im Sinne einer automatisierten Entscheidung im Einzelfall und kein Profiling gemäß Art 22 DSGVO vornehme. Es bestehe von Seiten der BF keine Verpflichtung der MP Auskunft über die involvierte Logik sowie die Trageweite und die angestrebten Auswirkungen der Datenverarbeitung zu geben. Die „Scoreformel“ selbst stelle ein Geschäftsgeheimnis dar und sei daher nicht zu beauskunften.
5. Die MP erstattete am 05.04.2019 und 27.07.2019 weitere Stellungnahmen. Auf diese Stellungnahmen replizierte die BF am 05.08.2019. Am 12.09.2019 erstattete die MP eine weitere Stellungnahme.
6. Mit Bescheid vom 11.03.2021 gab die belangte Behörde der Datenschutzbeschwerde der MP teilweise statt und stellte eine Verletzung im Recht auf Auskunft fest, da die BF bis zum Abschluss des verwaltungsbehördlichen Verfahrens der MP keine aussagekräftige Information über die involvierte Logik der von der BF durchgeführten Berechnung von Bonitätsscores gegeben hat (Spruchpunkt 1.). Der BF wurde aufgetragen, der MP innerhalb von vier Wochen in klarer sowie einfacher Sprache Informationen über die involvierte Logik der von ihr durchgeführten Berechnung von Bonitätsscores zu geben (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.).
Begründend zu den Spruchpunkten 1. und 2. führte die belangte Behörde aus, dass sie aufgrund der Entscheidung des Bundesverwaltungsgerichts vom 17.07.2020, W253 2221146-1 davon ausgehe, dass Scorewerte eine automatisierte Verarbeitung, aber keine automatisierte Entscheidungsfindung darstellen und somit nicht gemäß Art 15 Abs 1 lit h DSGVO zu beauskunften seien. Dennoch sei im Ergebnis eine die Information gemäß Art 15 Abs 1 lit h DSGVO nicht enthaltene Auskunft als nicht ausreichend zu bezeichnen, da sie in diesem Punkt gegen den in Art 5 Abs 1 lit a DSGVO genannten Transparenzgrundsatz verstoße.
Die belangte Behörde führte weiters aus, dass der MP durch Art 15 Abs 1 lit h iVm Art 5 Abs 1 lit a DSGVO ein Recht eingeräumt werde, eine Auskunft „über die involvierte Logik“ des von ihr durchgeführten Profilings zu erhalten, welches die BF jedoch säumig geblieben sei. Die BF hätte, ohne ihre Geschäftsgeheimnisse oder Urheberrechte an der verwendeten Software zu verletzen, in leicht zugänglicher Form und klarer sowie einfacher Sprache Auskunft über die involvierte Logik geben müssen.
7. Gegen die Spruchpunkte 1. Und 2. des Bescheides der belangten Behörde erhob die BF mit Schriftsatz vom 08.04.2021 fristgerecht Beschwerde. Darin wurde im Wesentlichen vorgebracht, dass die belangte Behörde selbst davon ausgehe, dass kein Auskunftsanspruch gemäß Art 15 Abs 1 lit h DSGVO bestehe, weil keine automatisierte Entscheidungsfindung erfolgt sei. Überdies führte die BF aus, dass selbst wenn man annehmen würde, dass der MP gegenüber dem BF ein Auskunftsrecht gemäß Art 15 Abs 1 lit h DSGVO zustünde, dieses nur in den Grenzen des Art 23 Abs 1 lit i DSGVO iVm § 4 Abs 6 DSGVO zu erfolgen habe, wonach das Recht auf Auskunft gemäß Art 15 Abs 1 lit h DSGVO gegenüber einem Verantwortlichen dann nicht bestehe, wenn durch die Erteilung dieser Auskunft Geschäfts- oder Betriebsgeheimnisse des Verantwortlichen gefährdet wären. Bei der von der belangten Behörde offenzulegenden Information handle es sich um Geschäftsgeheimnisse der BF.
8. Die gegenständliche Beschwerde und der Bezug habende Verwaltungsakt wurden von der belangten Behörde mit Schreiben vom 05.07.2021 vorgelegt und sind am 13.07.2021 beim Bundesverwaltungsgericht eingegangen.
9. Mit Beschluss vom 12.06.2023 wurde das gegenständliche Verfahren bis zur Vorabentscheidung durch den EuGH in den Rechtssachen C-634/21 und C-203/22 ausgesetzt.
10. Das Bundesverwaltungsgericht teilte der BF mit Schriftsatz vom 24.03.2025 die Fortsetzung des Verfahrens aufgrund der Entscheidungen des EuGH vom 07.12.2023, C-634/21 und vom 27.02.2025, C-203/22 mit.
11. Am 23.10.2025 und 21.11.2025 fanden mündliche Verhandlungen vor dem Bundesverwaltungsgericht statt, in welchen sowohl ein informierter Vertreter der BF, die MP und ein Zeuge der XXXX einvernommen wurden und den Parteien Gelegenheit gegeben wurde, Fragen an die einvernommenen Personen zu stellen, sowie weitere Beweismittel vorzulegen und ihre Standpunkte darzulegen.
12. Am 03.12.2025 fand in den Geschäftsräumlichkeiten der BF ein Termin statt, zu dem die MP eingeladen wurde, in welchem Fragen der MP zum Scorewert der BF erläutert wurden. Die Dokumentationen der MP und der BF wurden dem Bundesverwaltungsgericht übermittelt und zum Akt genommen.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1 Die MP begehrte mit Schreiben vom 12.01.2019 von der BF eine Auskunft iSd Art 15 DSGVO über die sie betreffenden, bei der BF gespeicherten Informationen.
1.2. Die am 12.07.2013 und 13.02.2019 von der XXXX bei der BF über die MP gezogenen Scores wurden nicht aufgrund einer möglichen Vertragsbeziehung zwischen der XXXX und der MP abgerufen. Der MP gegenüber wurde weder ein Vertragsverhältnis aufgrund dieser Scorewerte abgelehnt, noch wurde die MP durch diese Scorewerte erheblich beeinträchtigt.
1. Beweiswürdigung:
2.1. Die Feststellung über das Auskunftsbegehren der MP ergibt sich aus dem Verwaltungsakt. Das Auskunftsbegehren der MP vom 12.01.2019 ist unstrittig.
2.2. Die Feststellungen, dass die MP das Auskunftsbegehren aus reinem Interesse gestellt hat, dass sie kein Vertragsverhältnis angestrebt hat und dass kein Vertragsverhältnis aufgrund der abgerufenen Scorewerte abgelehnt wurde konnte aufgrund der Aussage der MP in der mündlichen Verhandlung vom 23.10.2025 (OZ 16, S. 3f) getroffen werden. Die MP wurde in der Verhandlung von der vorsitzenden Richterin befragt, ob sie mit XXXX einen Vertrag abschließen wollte. Die MP gab an, dass sie aus reinem Interesse gehandelt habe, Ausgangspunkt sei der Skandal mit der XXXX gewesen, in welchem bekannt wurde, dass die XXXX über höchstpersönliche Daten von Personen verfüge. Die MP hat aus Interesse auch bei anderen Unternehmen nachgefragt, ob diese über Daten über sie verarbeiten würden. Der MP ging es nicht um einen Vertragsabschluss, sie hat auch klar angegeben, dass ihr gegenüber von keinem Unternehmen (auch keinem Telekommunikationsunternehmen) ein Vertragsabschluss verweigert wurde.
2.3. Die Feststellung, dass die XXXX Abfragen bezüglich der MP gestellt hat konnte aufgrund des unbedenklichen Akteninhalts getroffen werden, insbesondere aus der Stellungnahme der BF vom 26.03.2019, in welcher die BF eine ergänzende Auskunft erteilt hat die Tabelle der erfolgten Abfragen übermittelt hat.
2. Rechtliche Beurteilung:
Zu A)
2.1. Die zulässige Beschwerde ist berechtigt.
2.2. Ausgangspunkt des Auskunftsrechts gemäß Art. 15 Abs. 1 DSGVO ist die Bestätigung, gerichtet an die betroffene Person, ob überhaupt personenbezogene Daten verarbeitet werden, welche die auskunftsersuchende Person betreffen. Dieses Bestätigungsverlangen kann mit dem Auskunftsverlangen nach Art 15 Abs 1 Hs 2 DSGVO kombiniert werden (Ehmann in Ehmann/Selmayr, Datenschutz-Grundverordnung, 3. Auflage 2024, Art 15 Rn 25). Neben der Auskunft über die Daten selbst, müssen die in Art 15 Abs 1 lit a-h DSGVO aufgelisteten Informationen über die Verarbeitung (sog. „Kataloginformationen“) zur Verfügung gestellt werden (Bergauer/Gosch, Datenschutzrecht, 2024, Rn 103).
Die MP begehrte mit Schreiben vom 12.01.2019 eine Auskunft iSd Art 15 DSGVO über die sie betreffenden, bei der BF gespeicherten Informationen und forderte die BF auf die in Art 15 Abs 1 lit a-h DSGVO aufgelisteten Informationen über die Verarbeitung zu ihrer Person zur Verfügung zu stellen.
Von der belangten Behörde wurde im Bescheid festgestellt, dass die Auskünfte gemäß Art 15 Abs 1 lit a bis g DSGVO erteilt wurden und gab der Beschwerde nur in Bezug auf Art 15 Abs 1 lit h DSGVO statt (Spruchpunkte 1. Und 2.). Die BF bekämpfte diese beiden Spruchpunkte.
2.3. Das Auskunftsrecht des Art 15 Abs 1 lit h DSGVO setzt das Bestehen einer automatisierten Entscheidungsfindung im Sinne des Art 22 DSGVO voraus.
Die Anwendbarkeit von Art 22 DSGVO hängt von drei kumulativen Voraussetzungen ab. Erstens muss eine „Entscheidung“ vorliegen, zweitens muss diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling“ beruhen und drittens muss die Entscheidung „gegenüber der [betroffenen Person] rechtliche Wirkung“ entfaltet oder sie „in ähnlicher Weise erheblich“ beeinträchtigen.
Übertragen auf den gegenständlichen Sachverhalt bedeutet dies:
Dem EuGH Judikat (EuGH 08.12.2023, C-634/21) ist zu entnehmen, dass der Begriff „Entscheidung“ iSd Art 22 Abs 1 DSGVO mehrere Handlungen umfassen kann, die die betroffene Person in vielerlei Weise beeinträchtigen kann und der Begriff damit weit genug ist, um das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts mit einzuschließen. Damit ist auch der von der BF berechnete Bonitätswert, betreffend die Zahlungsfähigkeit und Zahlungswilligkeit einer Person, als Entscheidung iSd Art 22 Abs 1 DSGVO zu sehen und die erste Voraussetzung ist erfüllt (EuGH 08.12.2023, C-634/21 [SCHUFA Holding] Rz 44 -46).
Zweitens muss die Entscheidung iSd Art 22 Abs 1 DSGVO ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruhen. Aus dem bereits erwähnten EuGH Judikat (EuGH 08.12.2023, C-634/21 [SCHUFA Holding] Rz 47) und den dazu gehörenden Schlussanträgen des Generalanwalts vom 16.03.2023 (Rz 33) geht hervor, dass keine strikte Trennung zwischen Profiling einerseits und einer automatisierten Entscheidung andererseits gemacht wird. Vielmehr ist Profiling iSd Art 4 Z 4 DSGVO als Unterkategorie der automatisierten Verarbeitung personenbezogener Daten zu sehen und ist es demnach, für die Anwendbarkeit des Art 22 Abs 1 DSGVO ausreichend, wenn ein Profiling iSd Art 4 Z 4 DSGVO vorliegt.
Der von der BF erstellte Bonitätswert wird unter Heranziehung personenbezogener Daten berechnet und erlaubt Rückschlüsse auf die Kreditwürdigkeit der betroffenen Person. Die BF verwendet im Rahmen ihres Scorings daher personenbezogene Daten, um bestimmte Aspekte, die sich auf natürliche Personen beziehen, zu bewerten, insbesondere um Aspekte bezüglich ihrer wirtschaftlichen Lage, Zuverlässigkeit und ihres wahrscheinlichen Verhaltens zu analysieren oder vorherzusagen. Die Legaldefinition des Art 4 Z 4 DSGVO ist damit erfüllt, die zweite Voraussetzung des Art 22 Abs 1 DSGVO auch gegeben.
Drittens muss die auf eine ausschließlich automatisierte Verarbeitung, einschließlich Profiling, beruhende Entscheidung gegenüber der betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Den Schlussanträgen des Generalanwalts (Rz 34 und 35) ist dabei zu entnehmen, dass das Tatbestandserfordernis des Art 22 Abs 1 DSGVO der Entfaltung von rechtlichen Wirkungen oder der Beeinträchtigung auf ähnliche Weise nur dann erfüllt ist, wenn die Entscheidung schwerwiegende Auswirkungen auf die betroffene Person hat. Weiters wird auf den 71. Erwägungsgrund der DSGVO verwiesen, welcher als typisches Beispiel einer Entscheidung, die die betroffene Person erheblich beeinträchtigt, die automatische Ablehnung eines Online-Kreditantrages nennt. Die Ablehnung eines solchen Antrages hat rechtliche Wirkungen für die betroffene Person, da sie nicht mehr in den Genuss einer vertraglichen Beziehung mit dem in Rede stehenden Finanzunternehmen kommen kann. Ebenso kann sich eine solche Ablehnung auch auf die finanzielle Situation der betroffenen Person auswirken, weshalb diese jedenfalls in ähnlicher Weise beeinträchtigt wird.
Eine rechtliche Wirkung ist immer dann anzunehmen, wenn sich die Rechtsposition der betroffenen Person in irgendeiner Weise verändert, ein Recht oder Rechtsverhältnis begründet oder aufgehoben wird oder in ein Recht eingegriffen wird (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Art 22 DS-GVO, Rn 24a). In Zusammenschau beider denkbaren Folgen („in ähnlicher Weise erheblich“) wird aufgezeigt, dass nicht jede rechtliche Wirkung von Art 22 DSGVO erfasst wird, sondern nur solche, die selbst mit einer gewissen Erheblichkeit für die betroffene Person verbunden sind. Um der zweiten denkbaren Folge der „in ähnlicher Weise erheblichen Beeinträchtigung“ noch Raum zu geben, wird man zudem verlangen müssen, dass mit „rechtlicher Wirkung“ nur Rechtsfolgen gemeint sind, die eine Rechtsposition begründen, ändern oder aufheben (Schulz in Ehmann/Selmayr, Datenschutz-Grundverordnung, 3. Auflage 2024, Art 22 Rn 21). Ebenso spricht auch EG 71 von einer Entscheidung, die „rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“ Aufgrund dieses eindeutigen Wortlauts sowohl in Art 22 DSGVO als auch in EG 71 ist davon auszugehen, dass solche Entscheidungen, die einem Begehren der betroffenen Person vollumfänglich stattgeben, nicht unter Art 22 DSGVO fallen (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Art 22 DS-GVO, Rn 25).
Von einer erheblichen Beeinträchtigung ist immer dann auszugehen, wenn der Betroffene durch die Entscheidung in seiner wirtschaftlichen oder persönlichen Entfaltung nachhaltig gestört wird. Bespiele sind die Kündigung eines Kredites, ein erhöhter Zinssatz oder die Versagung einer behördlichen Genehmigung. Auch die Ablehnung eines Vertragsabschlusses kann eine erhebliche Beeinträchtigung sein. Art 22 DSGVO untersagt nicht die Ablehnung eines Vertragsabschlusses, sondern lediglich, dass eine solche Entscheidung ausschließlich automatisiert getroffen wird (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Art 22 DS-GVO, Rn 26).
Wie bereits oben festgestellt, stellte die MP das gegenständliche Auskunftsbegehren aus reinem Interesse. Die am 12.07.2013 und 13.02.2019 von der XXXX bei der BF über die MP gezogenen Scores wurden nicht aufgrund einer möglichen Vertragsbeziehung zwischen der XXXX und der MP abgerufen. Der MP gegenüber wurde weder ein Vertragsverhältnis aufgrund dieser Scorewerte abgelehnt noch wurde die MP durch diese Scorewerte erheblich beeinträchtigt. Nachdem diese von der BF erstellten Scorewerte der MP gegenüber weder rechtliche Wirkung entfalten noch sie in ähnlicher Weise erheblich beeinträchtigt haben, liegt die dritte Voraussetzung des Art 22 DSGVO nicht vor und der Tatbestand des Art 22 Abs 1 DSGVO ist nicht erfüllt. Die BF trifft im vorliegen Fall keine Auskunftspflicht gemäß Art 15 Abs 1 lit. h DSGVO.
Der Bescheidbeschwerde war daher stattzugeben und der Spruch des angefochtenen Bescheides spruchgemäß abzuändern.
Zu B) (Un)Zulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte Rechtsprechung insbesondere des EuGH bezüglich Art 22 DSGVO stützen.
Rückverweise
RIS