Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Schara, über die Revision der B GmbH in W, vertreten durch Mag. Martin Dohnal, Rechtsanwalt in 1010 Wien, Wollzeile 24, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 23. Oktober 2019, Zl. W256 2217011 1/11E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: G W in D, vertreten durch Thurnher Wittwer Pfefferkorn Partner Rechtsanwälte GmbH in 6850 Dornbirn, Messestraße 11), den Beschluss gefasst:
Das Revisionsverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in den beiden Rechtssachen a) C203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11. Februar 2022, VWG 101/042/791/2020 44, sowie b) in der Rechtssache C 634/21 über das Ersuchen des Verwaltungsgerichts Wiesbaden vom 1. Oktober 2021, 6 K 788/20.WI, ausgesetzt.
1 Mit Bescheid vom 30. Jänner 2019 gab die Datenschutzbehörde der Beschwerde der Mitbeteiligten vom 23. November 2016 wegen Verletzung im Recht auf Auskunft durch die revisionswerbende Partei im zweiten Rechtsgang teilweise statt und stellte fest (Spruchpunkt 1.), dass die revisionswerbende Partei die Mitbeteiligte dadurch in ihrem Grundrecht auf Datenschutz verletzt habe, dass sie in ihrem Auskunftsschreiben vom 20. Jänner 2017 samt Ergänzungen vom 26. April 2017, 12. Juli 2018 und 25. September 2018 der Mitbeteiligten „keine inhaltliche vollständige bzw. unrichtige Auskunft in folgenden Punkten erteilt habe“ und zwar:
a) im Hinblick auf die Kategorien personenbezogener Daten, die verarbeitet werden,
b) betreffend die Bonitätsumfelddaten der Mitbeteiligten,
c) im Hinblick auf die Gewichtung der Einflussfaktoren und
d) zur Tragweite und zu den angestrebten Auswirkungen der automatisierten Entscheidungsfindung.
Im Übrigen wies die Datenschutzbehörde die Beschwerde ab (Spruchpunkt 2.) und trug der revisionswerbenden Partei auf, binnen zwei Wochen „eine die laut Spruchpunkte 1. a., 1.b. und 1.c., 1.d., festgestellten Mängel behebende datenschutzrechtliche Auskunft zu erteilen“ (Spruchpunkt 3.).
2 Der dagegen von der revisionswerbenden Partei erstatteten Beschwerde gab das Bundesverwaltungsgericht (Verwaltungsgericht) mit dem angefochtenen Erkenntnis in Bezug auf die Spruchpunkte 1a, 1b und 1d Folge, und wies im Übrigen die Beschwerde als unbegründet ab, sodass die Spruchpunkte 1. und 3. des angefochtenen Bescheides zu lauten hätten:
„1a. Der Beschwerde wird stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin [revisionswerbende Partei] die Beschwerdeführerin [Mitbeteiligte] dadurch in ihrem Recht auf Auskunft verletzt hat, dass sie ihr keine aussagekräftigen Informationen über die involvierte Logik einer die Daten der Beschwerdeführerin betreffenden automatisierten Entscheidungsfindung zur Verfügung gestellt hat oder zumindest ausreichend begründet hat, weshalb sie diese Auskunft nicht erteilen kann.
b. Im Übrigen wird die Beschwerde als unbegründet abgewiesen.
3. Der Beschwerdegegnerin wird aufgetragen, binnen zweier Wochen bei sonstiger Exekution der Beschwerdeführerin eine Spruchpunkt 1a. bereinigende Auskunft zu erteilen.“
Die Revision erklärte das Verwaltungsgericht für zulässig.
3Begründend führte das Verwaltungsgericht im Wesentlichen aus, gemäß § 69 Abs. 4 DSG gelangten auf das vorliegende Verfahren die Bestimmungen der DSGVO und des DSG zur Anwendung.
Vorliegend habe die revisionswerbende Partei als Wirtschaftsauskunftei personenbezogene Daten von der Mitbeteiligten verarbeitet, welche sie zur Bewertung der wirtschaftlichen Lage der Mitbeteiligten und damit zum Zweck der Erstellung einer Entscheidungshilfe für den Abschluss eines Vertrages („Score“) für Dritte automatisiert ausgewertet habe. Die revisionswerbende Partei sei daher aufgrund des Auskunftsbegehrens der Mitbeteiligten verpflichtet, dieser eine Art. 15 Abs. 1 lit. h DSGVO entsprechende Auskunft zu erteilen. Dieser Anforderung sei die revisionswerbende Partei nicht vollständig nachgekommen.
Art. 15 Abs. 1 lit. h DSGVO fordere dem Grundsatz einer fairen und transparenten Verarbeitung entsprechend, aussagekräftige Informationen über die Logik einer automatisierten Entscheidungsfindung, zumindest in jenen Fällen, in denen wie vorliegend die Verarbeitung auf Profiling beruhe. Damit solle wie insbesondere Erwägungsgrund 63 der DSGVO zu entnehmen sei die betroffene Person in die Lage versetzt werden, den Ablauf der Berechnung der automatisierten Entscheidungsfindung nachzuvollziehen und damit das Ergebnis dieser Berechnung für sich abschätzen und auch nachprüfen zu können.
Vorliegend habe die revisionswerbende Partei der Mitbeteiligten zwar mitgeteilt, dass sie bestimmte näher dargestellte Daten der Mitbeteiligten miteinander „gleichwertig“ abgeglichen habe und damit zum Score im besten Bereich 2,6 gekommen sei. Sonstige aussagekräftige Informationen, die geeignet Aufschluss über das Zustandekommen dieses Wertes geben hätten können, fehlten allerdings. Damit sei der Mitbeteiligten die Möglichkeit genommen worden, das Zustandekommen des anhand einer automatisierten Entscheidungsfindung ihr von der revisionswerbenden Partei zugeschriebenen Bonitätswerts und damit diesen Wert an sich nachvollziehen zu können. Die Auskunft sei daher im Hinblick auf die Gewichtung der Einflussfaktoren und damit auf die Logik (Spruchpunkt 1.c. des Bescheides der Datenschutzbehörde) mangelhaft geblieben. Daran vermöge auch der in diesem Zusammenhang lediglich pauschal ergangene Hinweis der revisionswerbenden Partei, das konkrete Verfahren unterliege dem Betriebsgeheimnis, nichts zu ändern. Die revisionswerbende Partei hätte dazu konkret darzulegen gehabt, weshalb die Bereitstellung aussagekräftiger Informationen über die involvierte Logik einer automatisierten Entscheidungsfindung konkret ein Betriebsgeheimnis darstellen solle.
Demgegenüber habe die revisionswerbende Partei die Mitbeteiligte klar und deutlich über die Tragweite und die angestrebten Auswirkungen der automatisierten Entscheidungsfindung (Spruchpunkt 1.d. des Bescheides der Datenschutzbehörde), die Kategorien personenbezogener Daten (Spruchpunkt 1.a. des Bescheides der Datenschutzbehörde) und die „Bonitätsumfelddaten“ (Spruchpunkt 1.b. des Bescheides der Datenschutzbehörde) ausreichend aufgeklärt. Der Beschwerde sei daher in diesen Punkten Folge zu geben.
Die Zulässigkeit der Revision begründete das Verwaltungsgericht mit fehlender höchstgerichtlicher Rechtsprechung zu Art. 15 Abs. 1 lit. h DSGVO, insbesondere zur Rechtsfrage, welche aussagekräftigen Informationen über die involvierte Logik einer automatisierten Entscheidungsfindung dem Betroffenen gemäß Art. 15 Abs. 1 lit. h DSGVO vom Verantwortlichen zur Verfügung zu stellen sei.
4 Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Revision. Darin wird zusammengefasst vorgebracht, durch die Bekanntgabe der gespeicherten Daten und die grobe Darstellung der Logik sei dem Auskunftsbegehren Genüge getan. Eine allgemeine Beschreibung des Zustandekommens der Scores reiche aus, um der betroffenen Person den in die Bewertung eingeflossenen Lebenssachverhalt darzustellen und gegebenenfalls auf Fehler zu reagieren.
In Österreich seien näher genannte Unternehmen als Wirtschaftsauskunftei tätig. Diese stünden in direktem Wettbewerb. Jedes dieser Unternehmen habe eine eigene Berechnungsmethode zur Herstellung ihrer Scores. Diese Methode unterscheide die Unternehmen voneinander, weshalb diese Berechnungsmethode ein Betriebsgeheimnis sei.
Vorliegend basiere die Erstellung der Rechenformel insbesondere auf der Analyse von Datenbeständen durch Ermittlung allgemeiner Korrelationen und Signifikanzen. Die Algorithmen der Herstellung dieser Scores enthielten die relevanten und signifikanten Merkmale aus der Analyse sowie deren Gewichtung und Verhältnis zueinander. Erst in einem nächsten Schritt werde aus dieser Rechenformel mit einer Anzahl von Variablen durch das Einsetzen von personenbezogenen Daten des Betroffenen in die Variablen ein personenbezogener Wert errechnet. Zu den als Geschäftsgeheimnis geschützten Inhalten der Scoreformel (Berechnungsmethode) zählten damit die im ersten Schritt in der Scoreformel eingeflossenen allgemeinen Rechengrößen, wie etwa die herangezogenen statistischen Werte, die Gewichtung einzelner Berechnungselemente bei der Ermittlung des Wahrscheinlichkeitswerts und die Bildung etwaiger Vergleichsgruppen als Grundlage des Scores.
5 Demgegenüber wandte die Mitbeteiligte in der von ihr eingebrachten Revisionsbeantwortung im Wesentlichen ein, dass die bisher erteilten Auskünfte zum Profiling nicht ausreichend gewesen seien und die Mitbeteiligte auf deren Basis nicht ihre weiteren Betroffenenrechte in Anspruch nehmen könne. Für sie sei nicht nachvollziehbar, welche Parameter in welchem Umfang von der revisionswerbenden Partei für die Berechnung des Scoring Werts herangezogen worden seien. Diese Information könne jedenfalls ohne Verletzung von Geschäfts- und Betriebsgeheimnissen der revisionswerbenden Partei erteilt werden.
6 Die Datenschutzbehörde schloss sich in ihrer Revisionsbeantwortung zusammengefasst im Wesentlichen der rechtlichen Beurteilung des Verwaltungsgerichts an.
7 Am 18. Februar 2022 übermittelte das Verwaltungsgericht Wien deren Vorabentscheidungsersuchen vom 11. Februar 2022, VGW 101/042/791/2020 44, anhängig beim EuGH zu C 203/22. Damit wurden unter anderem folgende Fragen an den EuGH zur Vorabentscheidung gerichtet:
„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend „aussagekräftig“ i.S.d. Art. 15 Abs. 1 lit. h der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung, DS GVO) eingestuft zu werden?
Sind allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftung der ‚involvierten Logik‘ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben?
Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS VGO) erlauben,
b) Zur Verfügung Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist.
2) Steht das durch Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) mit den durch Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz Grundverordnung (DS GVO) insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens i.S.d. Art. 15 lit. h Datenschutz Grundverordnung (DS GVO) zu erteilenden Informationen nur dann ausreichend ‚aussagekräftig‘ ist, wenn der Auskunftsbegehrende und Betroffene i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung i.S.d. Art. 22 Datenschutz Grundverordnung (DS GVO) tatsächlich, profund und erfolgversprechend wahrzunehmen?
...
4a) Wie ist vorzugehen, wenn die zu erteilende Information i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS GVO) auch die Vorgaben eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, L 157/1 (Know How Richtlinie) erfüllt?
Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS GVO) garantierten Auskunftsrecht und dem durch die Know How Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis i.S.d. Art. 2 Z 1 der Know How Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Know How Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) erteilte Information den Tatsachen entspricht.
4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechts i.S.d. Art. 15 Abs. 4 Datenschutz Grundverordnung (DS GVO) durch die Schaffung der unter Punkt 4a angesprochenen Black Box jedenfalls eingeräumt zu werden?
Sind (auch) in diesem Falle eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) völlig zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz Grundverordnung (DS VGO) erlauben,
b) Zur Verfügung Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist
...
6) Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonach ‚das Recht auf Auskunft der betroffenen Person gemäß Art. 15 Datenschutz Grundverordnung (DS GVO) gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde‘, mit den Vorgaben des Art. 15 Abs. 1 i.V.m. Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) vereinbar. Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“
8 Überdies richtete das Verwaltungsgericht Wiesbaden (Deutschland) mit Beschluss vom 1. Oktober unter anderem folgende Frage an den EuGH (dort anhängig zu C 634/21) zur Vorabentscheidung:
„1. Ist Art. 22 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG ( DS GVO , Abl. EU L Nr. 119 vom 4.5.2016, S. 1) dahingehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswertes über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhende Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?
...“
9 Den Parteien wurde die Möglichkeit zur Stellungnahme zu der in Bezug auf diese beiden Vorabentscheidungsersuchen beabsichtigten Aussetzung des Revisionsverfahrens eingeräumt. Während die Mitbeteiligte mit Schriftsatz vom 15. März 2022 dagegen keinen Einwand erhob, äußerten sich weder die revisionswerbende Partei noch die Datenschutzbehörde innerhalb der Frist zur Stellungnahme.
10Nach der Rechtsprechung des EuGH (zu Art. 267 AEUV) darf ein einzelstaatliches Gericht, dessen Entscheidungen nicht mehr mit Rechtsmitteln des innerstaatlichen Rechts angefochten werden können, eine Frage nach der Auslegung des Unionsrechts in eigener Verantwortung lösen, wenn die richtige Auslegung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel bleibt (vgl. EuGH 6.10.1982, Srl C.I.L.F.I.T. ua., C 283/81, EU:C:1982:335, und EuGH 6.10.2021, Consorzio Italian Management , C 561/19, EU:C:2021:799, Rn. 39 ff).
11Unter diesem Gesichtspunkt ist davon auszugehen, dass der Beantwortung der vom Verwaltungsgericht Wien und vom Verwaltungsgericht Wiesbaden an den EuGH herangetragenen Fragen für die Behandlung der gegenständlichen ordentlichen Revision und die zu klärende wesentliche Rechtsfrage, ob und wenn ja, welche aussagekräftigen Informationen über die involvierte Logik einer automatisierten Entscheidungsfindung dem Betroffenen gemäß Art. 15 Abs. 1 lit. h DSGVO von der revisionswerbenden Partei als Wirtschaftsauskunftei im Spannungsverhältnis zu einem etwaigen Geschäftsgeheimnis zur Verfügung zu stellen sind, Bedeutung zukommt, weshalb die Voraussetzungen des gemäß § 62 Abs. 1 VwGG auch vom Verwaltungsgerichtshof anzuwendenden § 38 AVG vorliegen (vgl. etwa zuletzt VwGH 24.2.2022, Ra 2020/04/0187, Rn. 17, mwN).
12 Das gegenständliche Revisionsverfahren war somit bis zur Entscheidung des EuGH über die beiden genannten Vorabentscheidungsersuchen in den Verfahren zu den Rechtssachen C 203/22 und C 634/21 auszusetzen.
Wien, am 7. April 2022
Rückverweise
RIS