Auskunft über Scoring und automatisierte Entscheidungen gehört zu den komplexesten Themen des Datenschutzrechts. Während Betroffene im Rahmen des Art 15 Abs 1 lit h DSGVO Auskunft über Bewertungslogiken begehren, berufen sich Unternehmen häufig auf Geschäftsgeheimnisse oder das Fehlen einer solchen automatisierten Entscheidungsfindung. In diesem Zusammenhang entschied der VwGH kürzlich über eine Revision der Datenschutzbehörde (DSB).
Die Betroffene wandte sich mit einer Beschwerde gegen einen Adressverlag an die DSB. Der Adressverlag hätte unvollständige Auskunft über die Herkunft von Daten und über eine automatisierte Entscheidungsfindung bzw über die involvierte Logik statistisch hochgerechneter Affinitäten erteilt. Die DSB gab der Beschwerde teilweise statt und verpflichtete den Verlag zur Offenlegung der Datenquellen sowie einer Erklärung zur Affinitätsberechnung. Der Verlag legte Beschwerde beim BVwG ein, das diese jedoch als unbegründet abwies.
Auf Amtsrevision der DSB hob der VwGH das Erkenntnis des BVwG wegen Rechtswidrigkeit auf und betonte, dass vor einer Prüfung des Rechtsschutzinteresses die Auskunftsreichweite nach Art 15 Abs 1 lit h DSGVO zu klären sei. Dieses Recht setzt eine automatisierte Entscheidungsfindung iSd Art 22 Abs 1 DSGVO voraus, die drei kumulative Elemente erfüllt: eine Entscheidung, eine rein automatisierte Verarbeitung (inkl. Profiling) sowie rechtliche Wirkungen oder erhebliche Beeinträchtigung.
Entscheidend ist dabei, ob das Profiling-Ergebnis eine Entscheidung Dritter maßgeblich leitet und den Betroffenen ähnlich erheblich beeinträchtigt – wie der EuGH in C-634/21 (SCHUFA) und C-203/22 präzisiert hat. Das BVwG habe diese Voraussetzungen nicht konkret geprüft, weshalb eine Vorabfeststellung erforderlich ist, ehe die Auskunftsumfänge (z.B. Parameter, Gewichtungen) bewertet werden können. Das Erkenntnis des BVwG wurde folglich aufgehoben.
Für die Praxis bedeutet dies einen gewissen Schutz für Unternehmen vor übermäßigen Offenlegungspflichten. Erst wenn eine automatisierte Entscheidungsfindung iSd Art 22 DSGVO vorliegt, kommt es zu einer Anwendung des besonderen Auskunftsanspruches nach Art 15 Abs 1 lit h DSGVO der betroffenen Personen und stellt sich erst dann die Frage, welche Informationen über Logik, Tragweite und angestrebte Auswirkungen zu erteilen sind. Dies gewährleistet DSGVO-Konformität bei Bonitätsbewertungen, Risikoscores und ähnlichen Systemen.
Nicht nur vor dem Hintergrund dieser Entscheidung sind Unternehmen dennoch gut beraten, die Einhaltung ihrer Dokumentationspflichten im Detail zu prüfen. Darüber hinaus ist eine interne Klassifizierung algorithmischer Vorgänge ratsam. Denn ob diese bloß zur menschlichen Unterstützung oder tatsächlich der vollautomatisierten Entscheidungsfindung eingesetzt werden, hat weitrechende Konsequenzen für den Umfang des Auskunftsanspruches.
VwGH 17.12.2025, Ro 2023/04/0029