Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser sowie die Hofrätin Mag. Hainz Sator und den Hofrat Dr. Pürgy als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision des M B in G, vertreten durch die Piaty Müller Mezin Schoeller Rechtsanwälte GmbH Co KG in 8010 Graz, Glacisstraße 27/2, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 29. Juni 2023, Zl. W252 2246581 1/6E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: K GmbH in W, vertreten durch die Putz Rischka Rechtsanwälte KG in 1030 Wien, Reisnerstraße 12/22: weitere Partei: Bundesministerin für Justiz), den Beschluss gefasst:
Das Revisionsverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11. Februar 2022, VWG 101/042/791/2020 44, ausgesetzt.
1 1. Mit Bescheid vom 5. August 2021 gab die belangte Behörde der Datenschutzbeschwerde des Revisionswerbers teilweise statt und stellte fest, dass er von der mitbeteiligten Partei im Recht aus Auskunft verletzt worden sei, indem diese ihm eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.). Der mitbeteiligten Partei wurde aufgetragen, die Gewichtung der Parameter bzw. Eingangsvariablen verschiedener Bonitätsscores zu beauskunften (Spruchpunkt 2.a) sowie dem Revisionswerber eine Erklärung zu geben, weshalb er die jeweiligen Bewertungsergebnisse aufweise (Spruchpunkt 2.b). Im Übrigen wies die belangte Behörde die Datenschutzbeschwerde ab (Spruchpunkt 3.).
2 In der Begründung führte die belangte Behörde aus, die mitbeteiligte Partei habe zwar angegeben, dass die Parameter bzw. Eingangsvariablen unterschiedlich gewichtet seien. Sie habe aber nicht offengelegt, wie die Gewichtung konkret ausgestaltet sei. Der Algorithmus selbst sei nicht zu beauskunften.
3 2.1. Der gegen die Spruchpunkte 1., 2.a und 2.b dieses Bescheides gerichteten Beschwerde der mitbeteiligten Partei gab das Bundesverwaltungsgericht mit dem angefochtenen Erkenntnis vom 29. Juni 2023 statt und sprach aus, dass der Spruch des Bescheides insgesamt zu lauten habe: „Die Datenschutzbeschwerde wird als unbegründet abgewiesen.“
Die Revision erklärte das Bundesverwaltungsgericht für zulässig.
4 2.2. Begründend führte das Bundesverwaltungsgericht im Wesentlichen aus, dass die mitbeteiligte Partei die Parameter bzw. die Eingangsvariablen für die Errechnung des „Wikex“, des „RiskIndicators“ und des „[...] Rating“ bzw. der „[...] Bewertung“ in den Modellen „UnternehmensScore“, „BasisScore“ und „NeugründerScore“ offengelegt habe. Die Information zum Zustandekommen der Parameter bzw. Eingangsvariablen sei ebenfalls offengelegt worden. So habe die mitbeteiligte Partei in ihrer Stellungnahme angegeben, dass der „Wikex“ „über ein statistisches Modell eine Zahlungsauffälligkeitswahrscheinlichkeit in Prozent abweichend von 100 % (keine Auffälligkeit) prognostiziert“. Zum „RiskIndicator“ habe die mitbeteiligte Partei hingegen ausgeführt, dass der „Wikex“ in seine Berechnung einfließe und mit dem „RiskIndicator“ eine Zahlungsauffälligkeit „auf Basis historischer Erfahrungswerte prognostiziert wird“. Zum „[...] Rating“ bzw. zur „[...] Bewertung“ habe die mitbeteiligte Partei wiederum ausgeführt, dass „unterschiedliche statistische Modelle zum Einsatz kommen“. Sie habe jene Profilkategorien aufgezählt, die für eine Zuordnung der betroffenen Person möglich seien.
In ihren allgemeinen Ausführungen habe die mitbeteiligte Partei ausführlich angegeben, was die jeweiligen Bewertungen aussagen sollten. Wie ihre jeweiligen Vertragspartner diese Informationen weiterverwenden, könne die mitbeteiligte Partei naturgemäß nicht wissen und daher auch nicht beauskunften. Manche Unternehmen bzw. Sachbearbeiter würden gewisse Bewertungsergebnisse für einen Vertragsabschluss bzw. für bestimmte Konditionen noch akzeptieren, andere nicht. Eine Auskunftserteilung hierüber sei nicht möglich. Insofern habe die mitbeteiligte Partei über die Tragweite der Verarbeitung angemessen informiert.
5 Entgegen der Ansicht der belangten Behörde seien die Angaben der mitbeteiligten Partei zum Einfluss der einzelnen Variablen auf das Bewertungsergebnis ausreichend. Wie den Feststellungen zu entnehmen sei, habe die mitbeteiligte Partei dargelegt, dass sich etwa die Variable „Realbesitz“ des „RiskIndicators“ bei Vorhandensein von Realbesitz positiv, sonst neutral auf das Bewertungsergebnis auswirke. „Inkasso offene Fälle“ wirke sich negativ aus. Wenn derartige Einträge nicht vorhanden seien, habe dies keinen Einfluss („neutral“) auf die Bewertung. Da der Revisionswerber durch diese Angaben wisse, wie sich welche Variable auf das Bewertungsergebnis auswirke, sei es ihm (wie von ihm gefordert) möglich, auf den Scorewert „einzuwirken“. Der Revisionswerber könne somit nachvollziehen, wie die einzelnen Variablen auf die jeweiligen Bewertungen Einfluss nehme. Das Prinzip, auf dem die Bewertung basiere, habe die mitbeteiligte Partei damit dargelegt. Mit welcher exakten Gewichtung die jeweiligen Variablen in die Bewertung einfließen würden, sei allerdings nicht zu beauskunften. Die Scoreformeln, der rechnerische Algorithmus, das statistische/rechnerische Verfahren und die Gewichtung der dabei verarbeiteten Daten seien nicht vom Recht auf Auskunft umfasst. Der Revisionswerber müsse nicht in die Lage versetzt werden, sein konkretes Ergebnis nachzurechnen. Das Prinzip der Berechnung sei hingegen ausreichend erläutert worden.
6 Unabhängig davon, ob im gegenständlichen Fall eine automatisierte Entscheidungsfindung einschließlich Profiling stattfinde und ob die erteilten Informationen hiezu geschuldet gewesen seien, habe die mitbeteiligte Partei eine nach Art. 15 Abs. 1 lit. h DSGVO entsprechende Auskunft erteilt und sei diese auch vollständig gewesen. Da die jeweiligen Erklärungen zu den Variablen und Berechnungen auch verständlich gewesen seien, habe sich der Revisionswerber ein Bild von der Verarbeitung machen, sich dieser bewusst werden und deren Rechtmäßigkeit überprüfen können. Ein „Nachrechnen“ der einzelnen Bewertungen sei dazu nicht notwendig.
7 Die einzelnen Spruchpunkte des Bescheides würden alle das Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO betreffen und seien daher nicht trennbar. Der Beschwerde sei somit stattzugeben und der Spruch des Bescheides entsprechend zu ändern gewesen.
8 Die Zulässigkeit der Revision begründete das Bundesverwaltungsgericht damit, dass noch keine Rechtsprechung des Verwaltungsgerichtshofes vorliege, anhand welcher Kriterien eine präzise, transparente, verständliche und in einer klaren und einfachen Sprache formulierte Auskunft zu beurteilen sei.
9 3. Gegen dieses Erkenntnis richtet die vorliegende ordentliche Revision.
10 Die mitbeteiligte Partei erstattete eine Revisionsbeantwortung, in der sie beantragt, der Revision keine Folge zu geben.
11 Die belangte Behörde führte in ihrer Revisionsbeantwortung aus, dass sich die von der Revisionswerberin vorgebrachten Gründe für die Rechtswidrigkeit der angefochtenen Entscheidung inhaltlich mit den in ihrer Amtsrevision vorgebrachten Gründen inhaltlich deckten.
12 4. Mit dem Vorabentscheidungsersuchen vom 11. Februar 2022, VGW 101/042/791/2020 44, (beim EuGH eingereicht am 16. März 2022 und dort anhängig zu C 203/22) richtete das Verwaltungsgericht Wien folgende Fragen an den EuGH zur Vorabentscheidung:
„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend ‚aussagekräftig‘ i.S.d. Art. 15 Abs. 1 lit. h der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung, DS GVO) eingestuft zu werden?
Sind allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftungder ‚involvierten Logik‘ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben?
Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS GVO) zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS VGO) erlauben,
b) Zur Verfügung Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist.
2) Steht das durch Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) mit den durch Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz Grundverordnung (DS GVO) insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens i.S.d. Art. 15 lit. h Datenschutz Grundverordnung (DS GVO) zu erteilenden Informationen nur dann ausreichend ‚aussagekräftig‘ ist, wenn der Auskunftsbegehrende und Betroffene i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung i.S.d. Art. 22 Datenschutz Grundverordnung (DS GVO) tatsächlich, profund und erfolgversprechend wahrzunehmen?
...
4a) Wie ist vorzugehen, wenn die zu erteilende Information i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) auch die Vorgaben eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, L 157/1 (Know How Richtlinie) erfüllt?
Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) garantierten Auskunftsrecht und dem durch die Know How Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis i.S.d. Art. 2 Z 1 der Know How Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Know How Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) erteilte Information den Tatsachen entspricht.
4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechts i.S.d. Art. 15 Abs. 4 Datenschutz Grundverordnung (DS GVO) durch die Schaffung der unter Punkt 4a angesprochenen Black Box jedenfalls eingeräumt zu werden?
Sind (auch) in diesem Falle eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) völlig zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz Grundverordnung (DS VGO) erlauben,
b) Zur Verfügung Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz Grundverordnung (DS GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist
...
6) Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonachdas Recht auf Auskunft der betroffenen Person gemäß Art. 15 Datenschutz Grundverordnung (DS GVO) gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde‘, mit den Vorgaben des Art. 15 Abs. 1 i.V.m. Art. 22 Abs. 3 Datenschutz Grundverordnung (DS GVO) vereinbar. Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“
13 5. Den Parteien wurde die Möglichkeit zur Stellungnahme zu der in Bezug auf dieses Vorabentscheidungsersuchen beabsichtigten Aussetzung des Revisionsverfahrens eingeräumt. Die Parteien erstatteten dazu keine Äußerung.
14 6.Nach der Rechtsprechung des EuGH (zu Art. 267 AEUV) darf ein einzelstaatliches Gericht, dessen Entscheidungen nicht mehr mit Rechtsmitteln des innerstaatlichen Rechts angefochten werden können, eine Frage nach der Auslegung des Unionsrechts in eigener Verantwortung lösen, wenn die richtige Auslegung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel bleibt (vgl. EuGH 6.10.1982, Srl C.I.L.F.I.T. ua., C 283/81, und EuGH 6.10.2021, Consorzio Italian Management , C 561/19, Rn. 39 ff).
15Unter diesem Gesichtspunkt ist davon auszugehen, dass der Beantwortung der vom Verwaltungsgericht Wien an den EuGH herangetragenen Fragen für die Behandlung der gegenständlichen ordentlichen Revision und die hier zu klärende wesentliche Rechtsfrage in Zusammenhang mit Art. 15 Abs. 1 lit. h DSGVO Bedeutung zukommt, weshalb die Voraussetzungen des gemäß § 62 Abs. 1 VwGG auch vom Verwaltungsgerichtshof anzuwendenden § 38 AVG vorliegen (vgl. etwa zuletzt VwGH 7.4.2022, Ro 2020/04/0010, mwN).
16 Das gegenständliche Revisionsverfahren war somit bis zur Entscheidung des EuGH über das genannte Vorabentscheidungsersuchen im Verfahren zur Rechtssache C 203/22 (siehe Rn. 12) auszusetzen.
Wien, am 28. Februar 2024
Rückverweise
RIS