EuGH: Profiling – aussagekräftige Information über involvierte Logik

DSGVO: Art 15, Art 22

RL (EU) 2016/943: Art 2

Bei automatisierten Entscheidungsfindungen (inkl Profiling) iSv Art 22 Abs 1 DSGVO (hier: automatisierte Bonitätsbeurteilung) kann die betroffene Person vom Verantwortlichen im Rahmen des Anspruchs auf Erteilung „aussagekräftiger Informationen über die involvierte Logik“ verlangen, ihr anhand der maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form die Verfahren und Grundsätze zu erläutern, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses konkret angewandt wurden. Der Verantwortliche muss das Verfahren und die Grundsätze, die konkret zur Anwendung kommen, so beschreiben, dass die betroffene Person nachvollziehen kann, welche ihrer personenbezogenen Daten auf welche Art verwendet wurden, ohne dass die Komplexität der Arbeitsschritte im Rahmen der automatisierten Entscheidungsfindung den Verantwortlichen von seiner Erläuterungspflicht entbinden könnte. Beim gegenständlichen Profiling könnte es insb als ausreichend transparent und nachvollziehbar erachtet werden, die betroffene Person zu informieren, in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte.

Weder die bloße Übermittlung einer komplexen mathematischen Formel (etwa eines Algorithmus), noch die detaillierte Beschreibung jedes Schritts einer automatisierten Entscheidungsfindung genügen diesen Anforderungen, da beides keine ausreichend präzise und verständliche Erläuterung darstellt.

In Fällen, in denen nach Ansicht des Verantwortlichen die Informationen, die der betroffenen Person gem Art 15 Abs 1 Buchst h DSGVO zu übermitteln sind, von der DSGVO geschützte Daten Dritter oder Geschäftsgeheimnisse iSv Art 2 Nr 1 RL (EU) 2016/943 (Geschäftsgeheimnis-RL = GG-RL) umfassen, hat der Verantwortliche diese angeblich geschützten Informationen der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht zu übermitteln, die die einander gegenüberstehenden Rechte und Interessen abwägen müssen, um den Umfang des Auskunftsrechts der betroffenen Person zu ermitteln. Da dies von Fall zu Fall zu ermitteln ist, steht Art 15 Abs 1 Buchst h DSGVO insb der Anwendung einer nationalen Bestimmung entgegen, die das Auskunftsrecht der betroffenen Person gem Art 15 DSGVO grds ausschließt, wenn die Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen oder eines Dritten gefährden würde. Da das Unionsrecht verlangt, dass die einander gegenüberstehenden Rechte und Interessen auf Einzelfallbasis abzuwägen sind, kann ein Mitgliedstaat das Ergebnis einer solchen Abwägung nicht abschließend vorschreiben.

EuGH 27. 2. 2025, C-203/22, Dun & Bradstreet Austria