Entscheidungsdatum
01.07.2024Norm
AVG §38Spruch
W108 2230691-1/39Z
BESCHLUSS
Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerde von XXXX vertreten durch Thurnher Wittwer Pfefferkorn & Partner Rechtsanwälte GmbH, wegen Verletzung der Entscheidungspflicht der Datenschutzbehörde im Verfahren zur Zahl D123.946 betreffend eine Datenschutzbeschwerde (Beschwerdegegnerin bzw. Mitbeteiligte: XXXX beschlossen:Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerde von römisch 40 vertreten durch Thurnher Wittwer Pfefferkorn & Partner Rechtsanwälte GmbH, wegen Verletzung der Entscheidungspflicht der Datenschutzbehörde im Verfahren zur Zahl D123.946 betreffend eine Datenschutzbeschwerde (Beschwerdegegnerin bzw. Mitbeteiligte: römisch 40 beschlossen:
A)
Das Beschwerdeverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11. Februar 2022, VWG-101/042/791/2020-44, ausgesetzt.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Begründung:
I. Verfahrensgang und Sachverhalt:römisch eins. Verfahrensgang und Sachverhalt:
1. In seiner an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß Art. 77 Datenschutz-Grundverordnung (DSGVO) behauptete der Beschwerdeführer eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO durch die Beschwerdegegnerin/Mitbeteiligte, die u.a. das Gewerbe der Kreditauskunftei gemäß § 152 GewO 1994 betreibt, da die von ihr erteilte Auskunft unvollständig erfolgt sei und nicht den Vorgaben des Art. 15 DSGVO entspreche. So habe die Beschwerdegegnerin/Mitbeteiligte keine Auskunft über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 15 Abs. 1 lit. h DSGVO erteilt, obwohl sie in anderen Beschwerdeverfahren vor der belangten Behörde ausdrücklich zugestanden habe, dass eine automatisierte Entscheidungsfindung stattfinde, und sich aus ihren Angaben auch zweifelsfrei ableiten lasse, dass jedenfalls auch Profiling im Sinne von Art. 22 DSGVO durchgeführt werde.1. In seiner an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß Artikel 77, Datenschutz-Grundverordnung (DSGVO) behauptete der Beschwerdeführer eine Verletzung im Recht auf Auskunft gemäß Artikel 15, DSGVO durch die Beschwerdegegnerin/Mitbeteiligte, die u.a. das Gewerbe der Kreditauskunftei gemäß Paragraph 152, GewO 1994 betreibt, da die von ihr erteilte Auskunft unvollständig erfolgt sei und nicht den Vorgaben des Artikel 15, DSGVO entspreche. So habe die Beschwerdegegnerin/Mitbeteiligte keine Auskunft über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 15, Absatz eins, Litera h, DSGVO erteilt, obwohl sie in anderen Beschwerdeverfahren vor der belangten Behörde ausdrücklich zugestanden habe, dass eine automatisierte Entscheidungsfindung stattfinde, und sich aus ihren Angaben auch zweifelsfrei ableiten lasse, dass jedenfalls auch Profiling im Sinne von Artikel 22, DSGVO durchgeführt werde.
2. Die Beschwerdegegnerin/Mitbeteiligte, hält dem zusammengefasst entgegen, dass keine automatisierte Entscheidungsfindung einschließlich Profiling iSd Art. 22 DSGVO vorliege, da eine Entscheidung zur Zahlartensteuerung jedenfalls keine erheblichen Nachteile für den Beschwerdeführer zur Folge gehabt habe bzw. hätte. Derzeit würden zudem keine Scoring-Werte zum Beschwerdeführer vorliegen oder verarbeitet werden, weshalb auch keine automatisierte Entscheidungsfindung vorliege, die den Beschwerdeführer beeinträchtigen könnte. Hinsichtlich des Beschwerdeführers sei in der Vergangenheit die Bereitstellung eines Ratingwertes von 2,02 und eines Ampelscores von 2 erfolgt. In die Bestimmung des Rating-Wertes würden Daten aus dem Bonitätsumfeld (insbesondere Zahlungserfahrungen, Inkassoverfahren, Liegenschaftsversteigerungen, Insolvenzverfahren), Umfelddaten (Daten beteiligter Unternehmen) sowie soziodemografische Daten (z.B. Alter, Berufsausbildung) einfließen. Betreffend die Gewichtung sei zu sagen, dass Informationen zum Einkommen, zur Zahlungsweise sowie zur Branche hauptausschlaggebend für den Score seien, wobei sich keine bzw. wenige bzw. bereits länger zurückliegende Zahlungsanstände positiv auf den Ratingwert/Score auswirken würden. Werten von 1 bis 3 würden positive Zahlungserfahrungen (keine Zahlungsanstände) und Berechtigungen zur Ausübung einer bestimmten beruflichen Tätigkeit zugrunde liegen. In weiterer Folge werde zwischen dem Scoring-Wert 1 bis 3 differenziert, je nach den vorliegenden soziodemografischen Daten. Beispielsweise werde in Bezug auf junge Personen bzw. Unternehmen ein höheres Risiko für einen Zahlungsausfall angenommen, dementsprechend würde der Scoring-Wert höher angesetzt werden. Weitere Informationen zur Gewichtung, insbesondere die detaillierte Bereitstellung der Berechnungslogik, würden ein wesentliches Betriebsgeheimnis der Beschwerdegegnerin/Mitbeteiligten darstellen. 2. Die Beschwerdegegnerin/Mitbeteiligte, hält dem zusammengefasst entgegen, dass keine automatisierte Entscheidungsfindung einschließlich Profiling iSd Artikel 22, DSGVO vorliege, da eine Entscheidung zur Zahlartensteuerung jedenfalls keine erheblichen Nachteile für den Beschwerdeführer zur Folge gehabt habe bzw. hätte. Derzeit würden zudem keine Scoring-Werte zum Beschwerdeführer vorliegen oder verarbeitet werden, weshalb auch keine automatisierte Entscheidungsfindung vorliege, die den Beschwerdeführer beeinträchtigen könnte. Hinsichtlich des Beschwerdeführers sei in der Vergangenheit die Bereitstellung eines Ratingwertes von 2,02 und eines Ampelscores von 2 erfolgt. In die Bestimmung des Rating-Wertes würden Daten aus dem Bonitätsumfeld (insbesondere Zahlungserfahrungen, Inkassoverfahren, Liegenschaftsversteigerungen, Insolvenzverfahren), Umfelddaten (Daten beteiligter Unternehmen) sowie soziodemografische Daten (z.B. Alter, Berufsausbildung) einfließen. Betreffend die Gewichtung sei zu sagen, dass Informationen zum Einkommen, zur Zahlungsweise sowie zur Branche hauptausschlaggebend für den Score seien, wobei sich keine bzw. wenige bzw. bereits länger zurückliegende Zahlungsanstände positiv auf den Ratingwert/Score auswirken würden. Werten von 1 bis 3 würden positive Zahlungserfahrungen (keine Zahlungsanstände) und Berechtigungen zur Ausübung einer bestimmten beruflichen Tätigkeit zugrunde liegen. In weiterer Folge werde zwischen dem Scoring-Wert 1 bis 3 differenziert, je nach den vorliegenden soziodemografischen Daten. Beispielsweise werde in Bezug auf junge Personen bzw. Unternehmen ein höheres Risiko für einen Zahlungsausfall angenommen, dementsprechend würde der Scoring-Wert höher angesetzt werden. Weitere Informationen zur Gewichtung, insbesondere die detaillierte Bereitstellung der Berechnungslogik, würden ein wesentliches Betriebsgeheimnis der Beschwerdegegnerin/Mitbeteiligten darstellen.
3. Der Beschwerdeführer erhob eine Säumnisbeschwerde gemäß Art. 130 Abs. 1 Z 3 B-VG wegen Verletzung der Entscheidungspflicht der belangten Behörde, in der er ausführte, dass die verfahrensgegenständliche Datenschutzbeschwerde vor mehr als zwölf Monaten eingebracht worden sei und die belangte Behörde die ihr nach § 73 Abs. 1 AVG eingeräumte Entscheidungsfrist um mehr als das Doppelte überschritten habe.3. Der Beschwerdeführer erhob eine Säumnisbeschwerde gemäß Artikel 130, Absatz eins, Ziffer 3, B-VG wegen Verletzung der Entscheidungspflicht der belangten Behörde, in der er ausführte, dass die verfahrensgegenständliche Datenschutzbeschwerde vor mehr als zwölf Monaten eingebracht worden sei und die belangte Behörde die ihr nach Paragraph 73, Absatz eins, AVG eingeräumte Entscheidungsfrist um mehr als das Doppelte überschritten habe.
4. In der Folge legte die belangte Behörde die Säumnisbeschwerde samt den dazugehörigen Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass zum Zeitpunkt der Erhebung der Säumnisbeschwerde die Entscheidungsfrist von sechs Monaten bereits abgelaufen gewesen und die Säumnisbeschwerde damit berechtigt sei. Die belangte Behörde habe die Entscheidung binnen der in § 16 Abs. 1 VwGVG vorgesehenen Frist aufgrund des erhöhten Arbeitsanfalles und der im Zusammenhang mit der COVID-19-Pandemie einhergehenden Einschränkungen bedauerlicherweise nicht nachholen können, weswegen die Zuständigkeit ex lege auf das Bundesverwaltungsgericht übergegangen sei.4. In der Folge legte die belangte Behörde die Säumnisbeschwerde samt den dazugehörigen Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass zum Zeitpunkt der Erhebung der Säumnisbeschwerde die Entscheidungsfrist von sechs Monaten bereits abgelaufen gewesen und die Säumnisbeschwerde damit berechtigt sei. Die belangte Behörde habe die Entscheidung binnen der in Paragraph 16, Absatz eins, VwGVG vorgesehenen Frist aufgrund des erhöhten Arbeitsanfalles und der im Zusammenhang mit der COVID-19-Pandemie einhergehenden Einschränkungen bedauerlicherweise nicht nachholen können, weswegen die Zuständigkeit ex lege auf das Bundesverwaltungsgericht übergegangen sei.
5. Mit Verfügung des Geschäftsverteilungsausschusses des Bundesverwaltungsgerichtes vom 20.10.2023 wurde mit Wirksamkeit vom 07.11.2023 das gegenständliche Beschwerdeverfahren der bisher zuständigen Gerichtsabteilung W245 abgenommen und der Gerichtsabteilung W108 neu zugewiesen.
6.1. Mit Vorabentscheidungsersuchen vom 11.02.2022, VGW-101/042/791/2020-44, (beim EuGH eingereicht am 16.03.2022, berichtigt mit Schreiben vom 23.03.2022 und anhängig zur Zahl C-203/22) richtete das Verwaltungsgericht Wien folgende Fragen an den EuGH zur Vorabentscheidung (Formatierung nicht 1:1 wiedergegeben):
„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend ‚aussagekräftig‘ i.S.d. Art. 15 Abs. 1 lit. h der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DS-GVO) eingestuft zu werden?„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend ‚aussagekräftig‘ i.S.d. Artikel 15, Absatz eins, Litera h, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DS-GVO) eingestuft zu werden?
Sind - allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses - im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftung der ‚involvierten Logik‘ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben?
Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zu ermöglichen:Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS-VGO) erlauben,
b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist.
2) Steht das durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) gewährte Auskunftsrecht mit den durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens i.S.d. Art. 15 lit. h Datenschutz-Grundverordnung (DS-GVO) zu erteilenden Informationen nur dann ausreichend ‚aussagekräftig‘ ist, wenn der Auskunftsbegehrende und Betroffene i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) tatsächlich, profund und erfolgversprechend wahrzunehmen?2) Steht das durch Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) gewährte Auskunftsrecht mit den durch Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung i.S.d. Artikel 22, Datenschutz-Grundverordnung (DS-GVO) insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens i.S.d. Artikel 15, Litera h, Datenschutz-Grundverordnung (DS-GVO) zu erteilenden Informationen nur dann ausreichend ‚aussagekräftig‘ ist, wenn der Auskunftsbegehrende und Betroffene i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) in die Lage versetzt wird, die ihm durch Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung i.S.d. Artikel 22, Datenschutz-Grundverordnung (DS-GVO) tatsächlich, profund und erfolgversprechend wahrzunehmen?
...
4a) Wie ist vorzugehen, wenn die zu erteilende Information i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch die Vorgaben eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, L 157/1 (Know-How-Richtlinie) erfüllt?4a) Wie ist vorzugehen, wenn die zu erteilende Information i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) auch die Vorgaben eines Geschäftsgeheimnisses i.S.d. Artikel 2, Ziffer eins, der Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, L 157/1 (Know-How-Richtlinie) erfüllt?
Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) garantierten Auskunftsrecht und dem durch die Know-How-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis i.S.d. Art. 2 Z 1 der Know-How-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Know-How-Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) erteilte Information den Tatsachen entspricht.Kann das Spannungsverhältnis zwischen dem durch Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) garantierten Auskunftsrecht und dem durch die Know-How-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis i.S.d. Artikel 2, Ziffer eins, der Know-How-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Artikel 2, Ziffer eins, der Know-How-Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) erteilte Information den Tatsachen entspricht.
4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechts i.S.d. Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) durch die Schaffung der unter Punkt 4a angesprochenen Black-Box jedenfalls eingeräumt zu werden?4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechts i.S.d. Artikel 15, Absatz 4, Datenschutz-Grundverordnung (DS-GVO) durch die Schaffung der unter Punkt 4a angesprochenen Black-Box jedenfalls eingeräumt zu werden?
Sind (auch) in diesem Falle eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) völlig zu ermöglichen:Sind (auch) in diesem Falle eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) völlig zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS-VGO) erlauben,
b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten;
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist
...
6) Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonach das Recht auf Auskunft der betroffenen Person gemäß Art. 15 Datenschutz-Grundverordnung (DS-GVO) gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde‘, mit den Vorgaben des Art. 15 Abs. 1 i.V.m. Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) vereinbar. Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“6) Ist die Bestimmung des Paragraph 4, Absatz 6, Datenschutzgesetz, wonach das Recht auf Auskunft der betroffenen Person gemäß Artikel 15, Datenschutz-Grundverordnung (DS-GVO) gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde‘, mit den Vorgaben des Artikel 15, Absatz eins, i.V.m. Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) vereinbar. Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“
6.2. Zu den Gründen für die Vorlage der Fragen zur Vorabentscheidung an den EuGH führte das Verwaltungsgericht Wien wie folgt aus (Formatierung nicht 1:1 wiedergegeben):
„III. ad Frage 1)
Im gegenständlichen Beschwerdeverfahren hat das antragstellende Gericht konkret zu bestimmen, in welchem Umfang welche Daten von der verurteilten C. Ges.m.b.H. bzw. nunmehr von der D. Ges.m.b.H., FN ..., bekannt zu geben sind.
Das anfragende Gericht geht davon aus, dass durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem Betroffenen ein Recht auf Erteilung einer eine wahrheitsgemäßen Auskunft eingeräumt wird, sodass es nicht ausreicht, dem Betroffenen eine erfundene, falsche Auskunft zu erteilen. Das anfragende Gericht geht davon aus, dass durch Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) einem Betroffenen ein Recht auf Erteilung einer eine wahrheitsgemäßen Auskunft eingeräumt wird, sodass es nicht ausreicht, dem Betroffenen eine erfundene, falsche Auskunft zu erteilen.
Wenn nun aber wirklich auch ein Anspruch auf eine wahrheitsgemäße Auskunft gewährt werden soll, ist zu folgern, dass der Betroffene auch in die Lage versetzt werden muss, eine richtige Information einzufordern.
Ein solches Recht auf eine richtige Information kann im Falle eines erfolgten Profilings des Betroffenen von diesem aber nur dann geltend gemacht werden, wenn dem Betroffenen durch diese Bestimmung ein so umfassendes Auskunftsrecht zuerkannt wird, dass dieser (allenfalls unter Beiziehung von Sachverständigen) in die Lage versetzt wird, die Schlüssigkeit der erteilten Bewertung zu überprüfen und zudem auch zu erkennen, ob die im Rahmen der Auskunftserteilung bekannt gegebene innere Logik auch tatsächlich dem zu seiner Person erstellten Profiling zugrunde gelegen ist.
Nach Auslegung des anfragenden Gerichts wird diese Annahme, dass ein Betroffener in die Lage versetzt sein muss, die Nachvollziehbarkeit und Wahrheitsgemäßheit der erteilten Auskunft zu überprüfen, durch die letzten beiden einem Betroffenen durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte, nämlich das Recht den eigenen Standpunkt darzulegen, und das Recht, die (auf einer automatisierten Verarbeitung beruhende) Entscheidung anzufechten, erhärtet. Nach Auslegung des anfragenden Gerichts wird diese Annahme, dass ein Betroffener in die Lage versetzt sein muss, die Nachvollziehbarkeit und Wahrheitsgemäßheit der erteilten Auskunft zu überprüfen, durch die letzten beiden einem Betroffenen durch Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte, nämlich das Recht den eigenen Standpunkt darzulegen, und das Recht, die (auf einer automatisierten Verarbeitung beruhende) Entscheidung anzufechten, erhärtet.
Denn beide Rechte können nur dann wahrgenommene werden, wenn der Betroffene zuvor eine so weitgehende Auskunft zur internen Logik der zu seiner Person erfolgten automatisierten Entscheidungsfindung erlangt hat, dass dieser in die Lage versetzt ist, die Nachvollziehbarkeit und die Wahrheitsgemäßheit der erteilten Auskunft zu überprüfen. Ohne diese Kenntnis ist es schlicht nicht möglich, einer die eigene Person betreffenden automatisierten Entscheidungsfindung dergestalt entgegen zu treten, dass es möglich ist, der dieser Entscheidungsfindung zugrunde gelegenen Logik und den anlässlich dieser Entscheidungsfindung verarbeiteten Daten seinen eigenen Standpunkt gegenüber zu stellen, und in weiterer Folge auch mit Erfolg das Ergebnis dieser automatisierten Entscheidungsfindung zu bekämpfen.
Nach Ansicht des anfragenden Gerichts wird daher durch die beiden obangesprochenen und durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte insbesondere zum Ausdruck gebracht, in welchem Umfang jedenfalls eine Auskunft i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zu gewähren ist, und welche Auskunftspflichten einen Verantwortlichen zusätzlich zur bloßen Bekanntgabe der involvierten Logik treffen, um seiner Auskunftspflicht i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) genüge zu tun. Nach Ansicht des anfragenden Gerichts wird daher durch die beiden obangesprochenen und durch Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte insbesondere zum Ausdruck gebracht, in welchem Umfang jedenfalls eine Auskunft i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) zu gewähren ist, und welche Auskunftspflichten einen Verantwortlichen zusätzlich zur bloßen Bekanntgabe der involvierten Logik treffen, um seiner Auskunftspflicht i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) genüge zu tun.
Es spricht daher Vieles dafür, dass insbesondere diese beiden durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte nur dann wahrgenommen werden können, wenn der Betroffene i.S.d. Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zuvor in die Lage versetzt wurde, im Hinblick auf ein Profiling bzw. eine automatisierte Entscheidung seinen eigenen Standpunkt zu vertreten und zudem der Wertung dieses Profilings bzw. dieser automatisierten Entscheidung entgegen zu treten. Es spricht daher Vieles dafür, dass insbesondere diese beiden durch Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte nur dann wahrgenommen werden können, wenn der Betroffene i.S.d. Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) zuvor in die Lage versetzt wurde, im Hinblick auf ein Profiling bzw. eine automatisierte Entscheidung seinen eigenen Standpunkt zu vertreten und zudem der Wertung dieses Profilings bzw. dieser automatisierten Entscheidung entgegen zu treten.
Um diese beiden Rechte wahrzunehmen ist es aber erforderlich, dass der Betroffene zuvor eine ausreichende Auskunft über die verarbeiteten Daten und die involvierte Logik der automatisierten Entscheidungsfindung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) erlangt, sodass er diese Weise in der Lage ist, die automatisierte Entscheidungsfindung nachzuvollziehen und auf deren Richtigkeit (daher deren tatsächliche Verwendung anlässlich der zum Betroffenen erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung [DS-GVO]) zu überprüfen. Um diese beiden Rechte wahrzunehmen ist es aber erforderlich, dass der Betroffene zuvor eine ausreichende Auskunft über die verarbeiteten Daten und die involvierte Logik der automatisierten Entscheidungsfindung i.S.d. Artikel 22, Datenschutz-Grundverordnung (DS-GVO) erlangt, sodass er diese Weise in der Lage ist, die automatisierte Entscheidungsfindung nachzuvollziehen und auf deren Richtigkeit (daher deren tatsächliche Verwendung anlässlich der zum Betroffenen erfolgten automatisierten Entscheidung i.S.d. Artikel 22, Datenschutz-Grundverordnung [DS-GVO]) zu überprüfen.
Nach dem Verständnis des gegenständlichen Gerichts wird durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) insbesondere garantiert, dass der Betroffene i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) diese für die Wahrnehmung der obangeführten Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) erforderlichen Informationen erlangt. Nach dem Verständnis des gegenständlichen Gerichts wird durch Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) insbesondere garantiert, dass der Betroffene i.S.d. Artikel 22, Datenschutz-Grundverordnung (DS-GVO) diese für die Wahrnehmung der obangeführten Rechte aus Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) erforderlichen Informationen erlangt.
Gemäß dem im antragsgegenständlichen Verfahren zugrunde liegenden Universitätsgutachten ist jedenfalls in einer Konstellation wie der gegenständlichen diese erforderliche Nachvollziehbarkeit der automatisierten Entscheidungsfindung nur dann möglich, wenn der Betroffene im Wege seines Auskunftsrechts i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) jedenfalls nachfolgende Informationen erhält: Gemäß dem im antragsgegenständlichen Verfahren zugrunde liegenden Universitätsgutachten ist jedenfalls in einer Konstellation wie der gegenständlichen diese erforderliche Nachvollziehbarkeit der automatisierten Entscheidungsfindung nur dann möglich, wenn der Betroffene im Wege seines Auskunftsrechts i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) jedenfalls nachfolgende Informationen erhält:
- erstens die verarbeiteten Daten des Betroffenen, zumal nur auf diese Weise der Betroffene in die Lage versetzt ist zu erkennen, welche seiner Daten in welcher Weise verarbeitet und (allenfalls unsachlich) gewichtet worden sind,
- zweitens die zentralen Teile des Algorithmus der automatisierten Entscheidungsfindung, worunter jedenfalls 2.1) die mathematische Formel in die sämtliche für die Berechnung des gegenständlichen Ratings relevanten Informationen in Form von Zahlenwerten eingesetzt werden können, sodass die Formel dann das gegenständliche Rating zum Ergebnis hat, wobei die Formel mindestens alle in der ursprünglichen Auskunft angegebenen Informationen zur Berechnung des Wertes anführen muss, und 2.2) die nachvollziehbare Erklärung sämtlicher in der Formel verwendeten Werte insbesondere solcher, die nicht direkt aus den über den Betroffenen gespeicherten Informationen abgeleitet sind, zählen, und
- drittens die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung, worunter insbesondere 3.1) die die Angabe und angemessene Beschreibung der Valuierungsfunktionen aller in dieser Formel verwendeten Werte, sowie 3.2) die Darlegung der erforderlichen Informationen zur Darstellung des Zusammenhangs zwischen Information und Valuierung bei Intervall-Bewertungen. Und 3.3) die Darlegung der zur Anwendung gelangten Kataster- oder Indexfunktionen zählen.
Im Übrigen hat aber auch das vom anfragenden Gericht eingeholte Universitätsgutachten ergeben, dass jedenfalls im gegenständlichen Fall nur durch Herausgabe der im Gutachten als offenzulegen dargelegten Informationen, welche insbesondere die obangeführten Mindestinformationen umfassen, es möglich ist, die Schlüssigkeit und Richtigkeit einer von einem Verantwortlichen im Hinblick auf seine Verpflichtung nach Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) erteilten Informationen zu überprüfen. Im Übrigen hat aber auch das vom anfragenden Gericht eingeholte Universitätsgutachten ergeben, dass jedenfalls im gegenständlichen Fall nur durch Herausgabe der im Gutachten als offenzulegen dargelegten Informationen, welche insbesondere die obangeführten Mindestinformationen umfassen, es möglich ist, die Schlüssigkeit und Richtigkeit einer von einem Verantwortlichen im Hinblick auf seine Verpflichtung nach Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) erteilten Informationen zu überprüfen.
Insbesondere im Hinblick darauf, dass es – wie in der Frage 3b angesprochen - vertretbar sein kann, dass die bekannt zu gebenden Algorithmusteile und Valuierungsfunktionen in dem Umfang, als diese ein Geschäftsgeheimnis darstellen, nur gegenüber der Behörde oder dem Gericht bekannt gegeben werden müssen, erscheint auch ein allfälliger Einwand einer Beeinträchtigung grundlegender Rechte des Verarbeiters für den Fall der Verpflichtung der Herausgabe dieser erforderlichen umfassenden Daten denkmöglich unberechtigt.
In Anbetracht der offenen Formulierung „aussagekräftig“ im Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) bleibt es völlig ungewiss, in welchem Umfang nun ein Verantwortlicher im Hinblick auf seine Verpflichtung nach Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zur Bekanntgabe von Informationen verpflichtet ist. Für diesen Fall erscheint daher mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht eine Auslegung durch den Gerichtshof als unbedingt geboten. In Anbetracht der offenen Formulierung „aussagekräftig“ im Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) bleibt es völlig ungewiss, in welchem Umfang nun ein Verantwortlicher im Hinblick auf seine Verpflichtung nach Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) zur Bekanntgabe von Informationen verpflichtet ist. Für diesen Fall erscheint daher mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht eine Auslegung durch den Gerichtshof als unbedingt geboten.
IV. ad Frage 2) römisch IV. ad Frage 2)
Nach Ansicht des anfragenden Gerichts spricht vieles dafür, dass die durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung effektiv ausgestaltet sind, daher dem Betroffenen auch wirklich in die Lage versetzen sollen, in einer fundierten Weise sein Stellungnahmerecht wahrnehmen zu können, und diesen mit einer hohen Aussicht auf Erfolg in die Lage versetzen sollen, eine unrechtmäßig bzw. fachlich unvertretbar ergangene automatisierte Entscheidung zu bekämpfen. Wenn diese beiden Rechte nun aber effektiv ausgestaltet sein soll, setzt dies zwingend voraus, dass der Betroffene durch diese beiden Rechtszuerkennungen auch all die Rechte zuerkannt erhalten hat, welche erforderlich sind, um diese Rechte auch wirklich in Anspruch zu nehmen.Nach Ansicht des anfragenden Gerichts spricht vieles dafür, dass die durch Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) gewährten Rechte auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung effektiv ausgestaltet sind, daher dem Betroffenen auch wirklich in die Lage versetzen sollen, in einer fundierten Weise sein Stellungnahmerecht wahrnehmen zu können, und diesen mit einer hohen Aussicht auf Erfolg in die Lage versetzen sollen, eine unrechtmäßig bzw. fachlich unvertretbar ergangene automatisierte Entscheidung zu bekämpfen. Wenn diese beiden Rechte nun aber effektiv ausgestaltet sein soll, setzt dies zwingend voraus, dass der Betroffene durch diese beiden Rechtszuerkennungen auch all die Rechte zuerkannt erhalten hat, welche erforderlich sind, um diese Rechte auch wirklich in Anspruch zu nehmen.
Evidentermaßen setzt die Möglichkeit der Inanspruchnahme des Rechts auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung im Hinblick auf eine automatisierte Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) voraus, dass dem Betroffenen ausreichend Informationen zur involvierten Logik dieser automatisierten Entscheidungsfindung erteilt worden sein müssen, um sodann in die Lage versetzt zu werden, gegen die Schlüssigkeit und/oder fachliche Richtigkeit dieser Entscheidungsfindung Einwendungen erheben zu können, welche zudem so überzeugend sein können müssen, dass es dem Betroffenen möglich ist, mit diesen Einwendungen auch die seine Person betreffende automatisierte Entscheidung (im Gerichtsweg) erfolgreich zu bekämpfen. Evidentermaßen setzt die Möglichkeit der Inanspruchnahme des Rechts auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung im Hinblick auf eine automatisierte Entscheidung i.S.d. Artikel 22, Datenschutz-Grundverordnung (DS-GVO) voraus, dass dem Betroffenen ausreichend Informationen zur involvierten Logik dieser automatisierten Entscheidungsfindung erteilt worden sein müssen, um sodann in die Lage versetzt zu werden, gegen die Schlüssigkeit und/oder fachliche Richtigkeit dieser Entscheidungsfindung Einwendungen erheben zu können, welche zudem so überzeugend sein können müssen, dass es dem Betroffenen möglich ist, mit diesen Einwendungen auch die seine Person betreffende automatisierte Entscheidung (im Gerichtsweg) erfolgreich zu bekämpfen.
Das antragsstellende Gericht nimmt daher an, dass die Datenschutz-Grundverordnung (DS-GVO) einem von einer automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) Betroffenen insbesondere aufgrund der Bestimmung des Art. 22. Abs. 3 Datenschutz-Grundverordnung (DS-GVO) ein umfassendes Auskunftsrecht zuerkennt, durch welches er in die Lage versetzt wird, auf profunde Weise der erfolgten automatisierten Entscheidungsfindung mit einem eigenen Standpunkt entgegen zu treten und diese sodann auch erfolgreich zu bekämpfen. Das antragsstellende Gericht nimmt daher an, dass die Datenschutz-Grundverordnung (DS-GVO) einem von einer automatisierten Entscheidung i.S.d. Artikel 22, Datenschutz-Grundverordnung (DS-GVO) Betroffenen insbesondere aufgrund der Bestimmung des Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) ein umfassendes Auskunftsrecht zuerkennt, durch welches er in die Lage versetzt wird, auf profunde Weise der erfolgten automatisierten Entscheidungsfindung mit einem eigenen Standpunkt entgegen zu treten und diese sodann auch erfolgreich zu bekämpfen.
Nach dem Verständnis des antragstellenden Gerichts kann diese Rechtszuerkennung durch die im Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) erfolgte Ausgestaltung des in dieser Bestimmung zuerkannten Auskunftsrechts erblickt werden. Nach dem Verständnis des antragstellenden Gerichts kann diese Rechtszuerkennung durch die im Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) erfolgte Ausgestaltung des in dieser Bestimmung zuerkannten Auskunftsrechts erblickt werden.
Ein solches Verständnis hätte für das dem gegenständlichen Antrag zugrunde liegende Verfahren eine weitreichende Konsequenz, zumal diesfalls davon auszugehen wäre, dass das durch das antragstellende Gericht im konkreten Fall zu konkretisierende Recht jedenfalls so umfassend bzw. detailliert sein muss, dass Frau B. dadurch in die Lage versetzt wird, ihre durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zuerkannten Rechte auf Darlegung des eigenen Standpunkts und auf Bekämpfung des ihre Person betreffenden Profilings auf profude und erfolgversprechende Weise geltend zu machen. Ein solches Verständnis hätte für das dem gegenständlichen Antrag zugrunde liegende Verfahren eine weitreichende Konsequenz, zumal diesfalls davon auszugehen wäre, dass das durch das antragstellende Gericht im konkreten Fall zu konkretisierende Recht jedenfalls so umfassend bzw. detailliert sein muss, dass Frau B. dadurch in die Lage versetzt wird, ihre durch Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) zuerkannten Rechte auf Darlegung des eigenen Standpunkts und auf Bekämpfung des ihre Person betreffenden Profilings auf profude und erfolgversprechende Weise geltend zu machen.
Damit erscheint es unbedingt geboten, Kenntnis vom Umfang und von der inhaltlichen Determination des Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zu erlangen. Damit erscheint es unbedingt geboten, Kenntnis vom Umfang und von der inhaltlichen Determination des Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) zu erlangen.
Mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht erscheint diesbezüglich eine Klarstellung durch den Gerichtshof als unbedingt geboten.
V. ad Frage 3a)römisch fünf. ad Frage 3a)
Im gegenständlichen Fall sprechen deutliche Indizien dafür, dass die bislang von der C. Ges.m.b.H. bzw. nunmehr der D. Ges.m.b.H., FN ..., erteilten Informationen tatsachenwidrig sind. Während nämlich gemäß der an Frau B. erteilten Auskunft dieser eine besonders gute Bonität zukommt, wurde aufgrund des tatsächlichen Profilings von Frau B. dieser faktisch jegliche Bonität, daher sogar die finanzielle Möglichkeit, monatlich den Betrag von zehn Euro zu begleichen, abgesprochen.
Es stellt sich daher aktuell die Frage, welchen Sinn die Garantie des Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) haben soll, wenn durch die Vorgaben der Datenschutz-Grundverordnung (DS-GVO) nicht sichergestellt ist, dass der Betroffene in die Lage versetzt wird, die Richtigkeit dieser bekannt gegebenen Informationen zu überprüfen. Es stellt sich daher aktuell die Frage, welchen Sinn die Garantie des Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) haben soll, wenn durch die Vorgaben der Datenschutz-Grundverordnung (DS-GVO) nicht sichergestellt ist, dass der Betroffene in die Lage versetzt wird, die Richtigkeit dieser bekannt gegebenen Informationen zu überprüfen.
Wollte man ein solches Überprüfungsrecht nicht zwingend als durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) mitgewährt einstufen, wäre das Auskunftsrecht des Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) völlig inhaltsleer und überflüssig, zumal dann jeder Verantwortliche rechtmäßig in die Lage versetzt wäre, falsche und unzutreffende Auskünfte zu erteilen. Wollte man ein solches Überprüfungsrecht nicht zwingend als durch Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) mitgewährt einstufen, wäre das Auskunftsrecht des Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) völlig inhaltsleer und überflüssig, zumal dann jeder Verantwortliche rechtmäßig in die Lage versetzt wäre, falsche und unzutreffende Auskünfte zu erteilen.
Doch hat ein solches Verständnis eines zugleich dem Betroffenen eingeräumten Rechts auf Überprüfung der Schlüssigkeit und Richtigkeit der erteilten Auskunft i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) insbesondere im Hinblick auf die Frage, in welchem Umfang und welchen Detaillierungsgrad der Verantwortliche durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zur Preisgabe von Informationen verpflichtet ist, weitreichende Auswirkungen. Doch hat ein solches Verständnis eines zugleich dem Betroffenen eingeräumten Rechts auf Überprüfung der Schlüssigkeit und Richtigkeit der erteilten Auskunft i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) insbesondere im Hinblick auf die Frage, in welchem Umfang und welchen Detaillierungsgrad der Verantwortliche durch Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) zur Preisgabe von Informationen verpflichtet ist, weitreichende Auswirkungen.
So hat etwa im gegenständlichen Fall das Universitätsgutachten ergeben und wurde bereits anlässlich der Begründung der ersten Frage dargestellt, dass eine solche Überprüfbarkeit nur dann möglich ist, wenn nicht nur wesentliche Teile des der automatisierten Entscheidungsfindung zugrunde gelegenen Algorithmus, sowie die von der Betroffenen verarbeiteten Daten und die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteten Information und erfolgter Valuierung bekannt gegeben werden müssen, sondern auch zumindest fünfundzwanzig nicht anonymisierte Vergleichsprofilingfälle, welche etwa zum Zeitpunkt des gegenständlichen Profilings erstellt wurden, offen gelegt werden müssen.
Wenn man dieser Auslegung folgt, sind auch diese zusätzlichen Informationsvorgaben in dem, dem gegenständlichen Vorabentscheidungsantrag zugrundeliegenden Gerichtsverfahren durch das antragstellende Gericht vorzuschreiben.
Im Hinblick auf diese Implikation erscheint die Klärung dieser Frage für das gegenständliche Verfahren von zentraler Relevanz.
VI. ad Frage 3b) römisch VI. ad Frage 3b)
Durch diese Frage wird die schon zuvor erwähnte, bei Profilings geradezu typische Konsequenz angesprochen, dass die Richtigkeit einer Auskunft i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung auch die Offenlegung nicht anonymisierter Vergleichsprofilingfälle zu etwa zum Zeitpunkt des dem Verfahren zugrunde liegenden Profilings erfordert, wodurch offenkundig aber auch die Rechte dieser in den Vergleichsprofilingfällen bewerteten Personen auf Datenschutz betroffen sind.Durch diese Frage wird die schon zuvor erwähnte, bei Profilings geradezu typische Konsequenz angesprochen, dass die Richtigkeit einer Auskunft i.S.d. Artikel 15, Absatz eins, Datenschutz-Grundverordnung auch die Offenlegung nicht anonymisierter Vergleichsprofilingfälle zu etwa zum Zeitpunkt des dem Verfahren zugrunde liegenden Profilings erfordert, wodurch offenkundig aber auch die Rechte dieser in den Vergleichsprofilingfällen bewerteten Personen auf Datenschutz betroffen sind.
Es liegt daher nahe, dass im Falle der Bejahung der Frage 3a) auch entsprechende Vorkehrungen zum weitestmöglichen Schutz dieser Personen zu treffen sind.
Mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht ist diesfalls eine Anleitung durch den Gerichtshof unbedingt geboten.
Insbesondere im Hinblick auf die ebenfalls die Lösung eines Spannungsverhältnisses zwischen Geheimhaltungsinteressen zum Gegenstand habende Regelung des Art. 9 der Know-How-Richtlinie erscheint es angebracht anzufragen, ob dieses Spannungsverhältnis etwa dahingehend aufzulösen ist bzw. aufgelöst werden kann, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob die bekannt gegebenen Daten Dritter den Tatsachen entsprechen? Insbesondere im Hinblick auf die ebenfalls die Lösung eines Spannungsverhältnisses zwischen Geheimhaltungsinteressen zum Gegenstand habende Regelung des Artikel 9, der Know-How-Richtlinie erscheint es angebracht anzufragen, ob dieses Spannungsverhältnis etwa dahingehend aufzulösen ist bzw. aufgelöst werden kann, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob die bekannt gegebenen Daten Dritter den Tatsachen entsprechen?
VII. ad Frage 3c) römisch VII. ad Frage 3c)
Diese Frage thematisiert den Umstand, dass dem Betroffenen durch die in der Frage 3b) angesprochene mögliche Vorkehrung der Einrichtung einer Black-Box zum Schutz der Rechte Dritter weitgehende Informationen vorenthalten werden, wodurch diesem insbesondere die Wahrnehmung der ihm insbesondere durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung verunmöglicht werden kann. Diese Frage thematisiert den Umstand, dass dem Betroffenen durch die in der Frage 3b) angesprochene mögliche Vorkehrung der Einrichtung einer Black-Box zum Schutz der Rechte Dritter weitgehende Informationen vorenthalten werden, wodurch diesem insbesondere die Wahrnehmung der ihm insbesondere durch Artikel 22, Absatz 3, Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung des eigenen Standpunkts und Bekämpfung der Entscheidung verunmöglicht werden kann.
Auch erscheint eine solche Beschränkung der Wahrnehmung von dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zuerkannten Rechten im Lichte der Vorgaben des Art. 47 Charta der Grundrechte (GRC) bedenklich, und daher nur in einem sehr engen Rahmen vertretbar. Auch erscheint eine solche Beschränkung der Wahrnehmung von dem Auskunftsberechtigten i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) zuerkannten Rechten im Lichte der Vorgaben des Artikel 47, Charta der Grundrechte (GRC) bedenklich, und daher nur in einem sehr engen Rahmen vertretbar.
Nach dem Verständnis des antragstellenden Gerichts vermag insbesondere aus den Bestimmungen der Datenschutz-Grundverordnung (DS-GVO) keine ausreichend klare Lösung dieses Spannungsverhältnisses erschlossen werden. So lässt es die Bestimmung des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) offen, ob durch entsprechende verfahrensrechtliche Vorkehrungen, wie etwa der Einrichtung einer unter der Frage 4a) angesprochen Black-Box, erreicht werden kann (muss), dass die allenfalls gebotene Verweigerung näherer Informationen an den Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) nicht zur Verunmöglichung der Überprüfung einer erteilten Auskunft auf deren Nachvollziehbarkeit und Richtigkeit führt. Nach dem Verständnis des antragstellenden Gerichts vermag insbesondere aus den Bestimmungen der Datenschutz-Grundverordnung (DS-GVO) keine ausreichend klare Lösung dieses Spannungsverhältnisses erschlossen werden. So lässt es die Bestimmung des Artikel 15, Absatz 4, Datenschutz-Grundverordnung (DS-GVO) offen, ob durch entsprechende verfahrensrechtliche Vorkehrungen, wie etwa der Einrichtung einer unter der Frage 4a) angesprochen Black-Box, erreicht werden kann (muss), dass die allenfalls gebotene Verweigerung näherer Informationen an den Auskunftsberechtigten i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) nicht zur Verunmöglichung der Überprüfung einer erteilten Auskunft auf deren Nachvollziehbarkeit und Richtigkeit führt.
Mangels einer näheren gesetzlichen Ausgestaltung im EU-Recht ist diesfalls eine Anleitung durch den Gerichtshof, wie dieser Interessenskonflikt zwischen den Rechten Dritter und den Rechten des Betroffenen angemessen zu lösen ist, unbedingt geboten.
VIII. ad Frage 4a) römisch VIII. ad Frage 4a)
Nach der von der herrschenden Lehre geteilten Judikatur des österreichischen Obersten Gerichtshofs handelt es sich bei dem, bei einem Profiling zur Anwendung gebrachten Algorithmus um ein Geschäftsgeheimnis i.S.d. Know-How-Richtlinie (vgl. OGH 10.12.2020, 4 Ob 182/20y, Blah R., Quellcode eines Computerprogramms als Geschäftsgeheimnis, MR 2021, 93).Nach der von der herrschenden Lehre geteilten Judikatur des österreichischen Obersten Gerichtshofs handelt es sich bei dem, bei einem Profiling zur Anwendung gebrachten Algorithmus um ein Geschäftsgeheimnis i.S.d. Know-How-Richtlinie vergleiche OGH 10.12.2020, 4 Ob 182/20y, Blah R., Quellcode eines Computerprogramms als Geschäftsgeheimnis, MR 2021, 93).
Das anfragende Gericht geht davon aus, dass diese Auslegung des Obersten Gerichtshofs in faktisch allen Profilingfällen dem Verständnis der Know-How-Richtlinie entspricht.
Dann ist aber im Falle eines Auskunftsbegehrens
