Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser sowie die Hofrätin Mag. Hainz Sator und den Hofrat Dr. Pürgy als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichts vom 29. Juni 2023, Zl. W252 2246581 1/6E, betreffend eine datenschutzrechtliche Angelegenheit (mitbeteiligte Parteien: 1. M B in G, vertreten durch die Piaty Müller Mezin Schoeller Rechtsanwälte GmbH Co KG in 8010 Graz, Glacisstraße 27/2, und 2. K GmbH in W, vertreten durch die Putz Rischka Rechtsanwälte KG in 1030 Wien, Reisnerstraße 12; weitere Partei: Bundesministerin für Justiz), den Beschluss gefasst:
Das Revisionsverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11. Februar 2022, VWG 101/042/791/2020 44, ausgesetzt.
1 1. Mit Bescheid vom 5. August 2021 gab die Revisionswerberin der Datenschutzbeschwerde der erstmitbeteiligten Partei teilweise statt und stellte fest, dass sie von der zweitmitbeteiligten Partei im Recht aus Auskunft verletzt worden sei, indem diese ihr eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.). Der zweitmitbeteiligten Partei wurde aufgetragen, die Gewichtung der Parameter bzw. Eingangsvariablen verschiedener Bonitätsscores zu beauskunften (Spruchpunkt 2.a) sowie der erstmitbeteiligten Partei eine Erklärung zu geben, weshalb sie die jeweiligen Bewertungsergebnisse aufweise (Spruchpunkt 2.b). Im Übrigen wies die belangte Behörde die Datenschutzbeschwerde ab (Spruchpunkt 3.).
2 In der Begründung führte die Revisionswerberin aus, die zweitmitbeteiligte Partei habe zwar angegeben, dass die Parameter bzw. Eingangsvariablen unterschiedlich gewichtet seien. Sie habe aber nicht offengelegt, wie die Gewichtung konkret ausgestaltet sei. Der Algorithmus selbst sei nicht zu beauskunften.
3 2.1. Der gegen die Spruchpunkte 1., 2.a und 2.b dieses Bescheides gerichteten Beschwerde der zweitmitbeteiligten Partei gab das Bundesverwaltungsgericht mit dem angefochtenen Erkenntnis vom 29. Juni 2023 statt und sprach aus, dass der Spruch des Bescheides insgesamt zu lauten habe: „Die Datenschutzbeschwerde wird als unbegründet abgewiesen.“
Die Revision erklärte das Bundesverwaltungsgericht für zulässig.
4 2.2. Begründend führte das Bundesverwaltungsgericht im Wesentlichen aus, dass die zweitmitbeteiligte Partei die Parameter bzw. die Eingangsvariablen für die Errechnung des „Wikex“, des „RiskIndicators“ und des „[...] Rating“ bzw. der „[...] Bewertung“ in den Modellen „UnternehmensScore“, „BasisScore“ und „NeugründerScore“ offengelegt habe. Die Information zum Zustandekommen der Parameter bzw. Eingangsvariablen sei ebenfalls offengelegt worden. So habe die zweitmitbeteiligte Partei in ihrer Stellungnahme angegeben, dass der „Wikex“ „über ein statistisches Modell eine Zahlungsauffälligkeitswahrscheinlichkeit in Prozent abweichend von 100 % (keine Auffälligkeit) prognostiziert“. Zum „RiskIndicator“ habe die zweitmitbeteiligte Partei hingegen ausgeführt, dass der „Wikex“ in seine Berechnung einfließe und mit dem „RiskIndicator“ eine Zahlungsauffälligkeit „auf Basis historischer Erfahrungswerte prognostiziert wird“. Zum „[...] Rating“ bzw. zur „[...] Bewertung“ habe die zweitmitbeteiligte Partei wiederum ausgeführt, dass „unterschiedliche statistische Modelle zum Einsatz kommen“. Sie habe jene Profilkategorien aufgezählt, die für eine Zuordnung der betroffenen Person möglich seien.
In ihren allgemeinen Ausführungen habe die zweitmitbeteiligte Partei ausführlich angegeben, was die jeweiligen Bewertungen aussagen sollten. Wie ihre jeweiligen Vertragspartner diese Informationen weiterverwenden, könne die zweitmitbeteiligte Partei naturgemäß nicht wissen und daher auch nicht beauskunften. Manche Unternehmen bzw. Sachbearbeiter würden gewisse Bewertungsergebnisse für einen Vertragsabschluss bzw. für bestimmte Konditionen noch akzeptieren, andere nicht. Eine Auskunftserteilung hierüber sei nicht möglich. Insofern habe die zweitmitbeteiligte Partei über die Tragweite der Verarbeitung angemessen informiert.
5 Entgegen der Ansicht der Revisionswerberin seien die Angaben der zweitmitbeteiligten Partei zum Einfluss der einzelnen Variablen auf das Bewertungsergebnis ausreichend. Wie den Feststellungen zu entnehmen sei, habe die zweitmitbeteiligte Partei dargelegt, dass sich etwa die Variable „Realbesitz“ des „RiskIndicators“ bei Vorhandensein von Realbesitz positiv, sonst neutral auf das Bewertungsergebnis auswirke. „Inkasso offene Fälle“ wirke sich negativ aus. Wenn derartige Einträge nicht vorhanden seien, habe dies keinen Einfluss („neutral“) auf die Bewertung. Da die erstmitbeteiligte Partei durch diese Angaben wisse, wie sich welche Variable auf das Bewertungsergebnis auswirke, sei es ihr (wie von ihr gefordert) möglich, auf den Scorewert „einzuwirken“. Die erstmitbeteiligte Partei könne somit nachvollziehen, wie die einzelnen Variablen auf die jeweiligen Bewertungen Einfluss nehme. Das Prinzip, auf dem die Bewertung basiere, habe die zweitmitbeteiligte Partei damit dargelegt. Mit welcher exakten Gewichtung die jeweiligen Variablen in die Bewertung einfließen würden, sei allerdings nicht zu beauskunften. Die Scoreformeln, der rechnerische Algorithmus, das statistische/rechnerische Verfahren und die Gewichtung der dabei verarbeiteten Daten seien nicht vom Recht auf Auskunft umfasst. Die erstmitbeteiligte Partei müsse nicht in die Lage versetzt werden, ihr konkretes Ergebnis nachzurechnen. Das Prinzip der Berechnung sei hingegen ausreichend erläutert worden.
6 Unabhängig davon, ob im gegenständlichen Fall eine automatisierte Entscheidungsfindung einschließlich Profiling stattfinde und ob die erteilten Informationen hiezu geschuldet gewesen seien, habe die zweitmitbeteiligte Partei eine nach Art. 15 Abs. 1 lit. h DSGVO entsprechende Auskunft erteilt und sei diese auch vollständig gewesen. Da die jeweiligen Erklärungen zu den Variablen und Berechnungen auch verständlich gewesen seien, habe sich die erstmitbeteiligte Partei ein Bild von der Verarbeitung können, sich dieser bewusst werden und deren Rechtmäßigkeit überprüfen können. Ein „Nachrechnen“ der einzelnen Bewertungen sei dazu nicht notwendig.
7 Die einzelnen Spruchpunkte des Bescheides würden alle das Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO betreffen und seien daher nicht trennbar. Der Beschwerde sei somit stattzugeben und der Spruch des Bescheides entsprechend zu ändern gewesen.
8 Die Zulässigkeit der Revision begründete das Bundesverwaltungsgericht damit, dass noch keine Rechtsprechung des Verwaltungsgerichtshofes vorliege, anhand welcher Kriterien eine präzise, transparente, verständliche und in einer klaren und einfachen Sprache formulierte Auskunft zu beurteilen sei.
9 3. Gegen dieses Erkenntnis richtet die vorliegende ordentliche Amtsrevision.
10 Die zweitmitbeteiligte Partei erstattete eine Revisionsbeantwortung, in der sie beantragt, der Amtsrevision keine Folge zu geben.
11 4. Mit dem Vorabentscheidungsersuchen vom 11. Februar 2022, VGW 101/042/791/2020-44, (beim EuGH eingereicht am 16. März 2022 und dort anhängig zu C-203/22) richtete das Verwaltungsgericht Wien folgende Fragen an den EuGH zur Vorabentscheidung:
„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend ‚aussagekräftig‘ i.S.d. Art. 15 Abs. 1 lit. h der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DS-GVO) eingestuft zu werden?
Sind allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftungder ‚involvierten Logik‘ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben?
Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS-GVO) auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS GVO) zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS VGO) erlauben,
b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist.
2) Steht das durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS GVO) mit den durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS GVO) garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens i.S.d. Art. 15 lit. h Datenschutz-Grundverordnung (DS-GVO) zu erteilenden Informationen nur dann ausreichend ‚aussagekräftig‘ ist, wenn der Auskunftsbegehrende und Betroffene i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS GVO) in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) tatsächlich, profund und erfolgversprechend wahrzunehmen?
...
4a) Wie ist vorzugehen, wenn die zu erteilende Information i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch die Vorgaben eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, L 157/1 (Know How Richtlinie) erfüllt?
Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) garantierten Auskunftsrecht und dem durch die Know-How-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis i.S.d. Art. 2 Z 1 der Know-How-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Know-How-Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) erteilte Information den Tatsachen entspricht.
4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechts i.S.d. Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) durch die Schaffung der unter Punkt 4a angesprochenen Black-Box jedenfalls eingeräumt zu werden?
Sind (auch) in diesem Falle eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS-GVO) jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS GVO) völlig zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS VGO) erlauben,
b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist
...
6) Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonach das Recht auf Auskunft der betroffenen Person gemäß Art. 15 Datenschutz Grundverordnung (DS-GVO) gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde‘, mit den Vorgaben des Art. 15 Abs. 1 i.V.m. Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) vereinbar. Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“
12 5. Den Parteien wurde die Möglichkeit zur Stellungnahme zu der in Bezug auf dieses Vorabentscheidungsersuchen beabsichtigten Aussetzung des Revisionsverfahrens eingeräumt. Die Parteien erstatteten keine Äußerung.
13 6.Nach der Rechtsprechung des EuGH (zu Art. 267 AEUV) darf ein einzelstaatliches Gericht, dessen Entscheidungen nicht mehr mit Rechtsmitteln des innerstaatlichen Rechts angefochten werden können, eine Frage nach der Auslegung des Unionsrechts in eigener Verantwortung lösen, wenn die richtige Auslegung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel bleibt (vgl. EuGH 6.10.1982, Srl C.I.L.F.I.T. ua., C 283/81, und EuGH 6.10.2021, Consorzio Italian Management , C 561/19, Rn. 39 ff).
14Unter diesem Gesichtspunkt ist davon auszugehen, dass der Beantwortung der vom Verwaltungsgericht Wien an den EuGH herangetragenen Fragen für die Behandlung der gegenständlichen ordentlichen Revision und die hier zu klärende wesentliche Rechtsfrage in Zusammenhang mit Art. 15 Abs. 1 lit. h DSGVO Bedeutung zukommt, weshalb die Voraussetzungen des gemäß § 62 Abs. 1 VwGG auch vom Verwaltungsgerichtshof anzuwendenden § 38 AVG vorliegen (vgl. etwa zuletzt VwGH 7.4.2022, Ro 2020/04/0010, mwN).
15 Das gegenständliche Revisionsverfahren war somit bis zur Entscheidung des EuGH über das genannte Vorabentscheidungsersuchen im Verfahren zur Rechtssache C-203/22 (siehe Rn. 11) auszusetzen.
Wien, am 28. Februar 2024
Rückverweise
RIS