Ermittlung eines Score-Werts kann das Verbot der automatisierten Entscheidung (Art 22 DSGVO) verletzen

Auslegung des Verbots der automatisierten Entscheidung im Rahmen der EuGH-E C-634/21, SCHUFA Holding (Scoring)

Der EuGH hat in der E C-634/21, SCHUFA Holding (Scoring), festgestellt, dass bereits die Ermittlung eines Wahrscheinlichkeitswerts - im konkreten Fall des Bonitäts-Score - unter das Verbot einer automatisierten Entscheidungsfindung gem Art 22 Abs 1 DSGVO fallen kann. Demnach hat eine betroffene Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung - einschließlich Profiling - beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Der Begriff "Entscheidung" iSd Art 22 Abs 1 DSGVO muss laut EuGH in diesem Zusammenhang weit ausgelegt werden, um die Gefahr einer Umgehung der Schutzwirkungen von Art 22 DSGVO zu vermeiden.¹ Dies sei insb in Konstellationen wichtig, in denen mehrere Akteure zusammenspielen, um Rechtsschutzlücken zu verhindern, die durch eine beschränkte Anwendbarkeit der Anforderungen an technische und organisatorische Maßnahmen gem Art 22 Abs 3 DSGVO und von zusätzlichen Informations- und Auskunftspflichten entstehen würden. Der EuGH übersieht dabei jedoch, dass sich diese Anforderungen und die Informations- und Auskunftspflichten einerseits für Kreditauskunfteien in sehr ähnlicher Weise auch aus den allgemeinen Bestimmungen der DSGVO ergeben und daher auch für "normales" Profiling iSv Art 4 Z 4 DSGVO - also Profiling ohne darauf basierende automatische Entscheidungsfindung - vorliegen und andererseits auch durch die Kunden der Kreditauskunftei - sogar besser - erfüllt werden können. Der VwGH hat die weite Auslegung der "Entscheidung" in der sog "AMAS"-E bereits übernommen und äußert sich in dieser - anders als der EuGH - zu den möglichen Kriterien für die Erreichung der "Maßgeblichkeit" des errechneten Wahrscheinlichkeitswerts für die nachgelagerte Entscheidung, die für deren Einstufung als automatisierte Entscheidung iSd Art 22 Abs 1 DSGVO relevant ist.²