1.

Het onderhavige verzoek om een prejudiciële beslissing van het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) op grond van artikel 267 VWEU betreft de uitlegging van artikel 6, lid 1, en artikel 22, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) ( 2 ) (hierna: „AVG”).

2.

Dit verzoek is ingediend in het kader van een geding tussen verzoekster OQ, een natuurlijke persoon, en het Land Hessen (deelstaat Hessen, Duitsland), vertegenwoordigd door de Hessische Beauftragte für Datenschutz und Informationsfreiheit (toezichthouder voor gegevensbescherming en vrijheid van informatie, Hessen; hierna: „HBDI”) over de bescherming van persoonsgegevens. SCHUFA Holding AG (hierna: „SCHUFA”), een privaatrechtelijke instantie, steunt de HBDI als interveniënte. In het kader van haar economische activiteit, die erin bestaat haar klanten informatie te verstrekken over de kredietwaardigheid van derden, heeft SCHUFA aan een kredietinstelling een score over verzoekster verstrekt op grond waarvan het voor haar aangevraagde krediet werd geweigerd. Verzoekster heeft SCHUFA verzocht het betrokken dossier te wissen en haar inzage in de desbetreffende gegevens te verlenen. SCHUFA heeft haar echter alleen de relevante score meegedeeld, alsmede, in het algemeen, de beginselen die ten grondslag liggen aan de berekeningsmethode daarvan, en haar – met het betoog dat de berekeningsmethode onder het zakengeheim valt – niet in kennis gesteld van de specifieke gegevens voor deze berekening en van de relevantie die daaraan in dit verband wordt toegekend.

3.

Aangezien verzoekster aanvoert dat de afwijzing van haar verzoek door SCHUFA in strijd is met de regeling van gegevensbescherming, zal het Hof zich moeten uitspreken over de beperkingen die de AVG oplegt aan de economische activiteit van inlichtingenbureaus in de financiële sector, met name bij het beheer van gegevens, en over de weerslag die dit kan hebben op het zakengeheim. Evenzo dient het Hof te verduidelijken wat de omvang is van de regelgevende bevoegdheden die krachtens sommige bepalingen aan de nationale wetgever zijn verleend in afwijking van de algemene harmonisatiedoelstelling die met die rechtshandeling wordt nagestreefd.

4.

Artikel 4, punt 4, AVG bepaalt het volgende:

„Voor de toepassing van deze verordening wordt verstaan onder:

[…]

5.

Artikel 6 AVG, met het opschrift „Rechtmatigheid van de verwerking”, luidt als volgt:

„1.   De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

2.   De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.

3.   De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.

4.   Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

6.

Artikel 15 AVG, met het opschrift „Recht van inzage van de betrokkene”, bepaalt:

„1.   De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

[…]

[…]”

7.

Artikel 21 AVG, met het opschrift „Recht van bezwaar”, is als volgt verwoord:

„1.   De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

[…]”

8.

Artikel 22 AVG, met het opschrift „Geautomatiseerde individuele besluitvorming, waaronder profilering”, luidt als volgt:

„1.   De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

2.   Lid 1 geldt niet indien het besluit:

3.   In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

4.   De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.”

9.

In § 31 van het Bundesdatenschutzgesetz (wet betreffende de gegevensbescherming) van 30 juni 2017 ( 3 ), zoals gewijzigd bij wet van 20 november 2019 ( 4 ) (hierna: „BDSG”), met het opschrift „Bescherming van het economisch verkeer in het kader van scoring en informatieverstrekking over kredietwaardigheid”, is het volgende opgenomen:

„(1)   Het gebruik van een waarschijnlijkheidswaarde over een bepaalde toekomstige gedraging van een natuurlijke persoon met het oog op een besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met die persoon (scoring) is alleen toegestaan indien:

(2)   Het gebruik van een door kredietinformatiebureaus vastgestelde waarschijnlijkheidswaarde voor de solvabiliteit en de betalingsbereidheid van een natuurlijke persoon is, in het geval dat hierbij rekening wordt gehouden met informatie over schuldvorderingen, alleen toegestaan voor zover aan de voorwaarden van lid 1 is voldaan en enkel schuldvorderingen in aanmerking worden genomen die betrekking hebben op een verschuldigde prestatie die nog niet is verricht ondanks het feit dat deze opeisbaar is geworden, en

De toelaatbaarheid van de verwerking, met inbegrip van de vaststelling van waarschijnlijkheidswaarden, van andere gegevens die relevant zijn voor de kredietwaardigheid op grond van de algemene wetgeving inzake gegevensbescherming, blijft onverlet.”

10.

Uit de verwijzingsbeslissing blijkt dat verzoekster in het hoofdgeding geen lening heeft gekregen wegens een solvabiliteitsbeoordeling die is verricht door SCHUFA, een privaatrechtelijke vennootschap die een kredietinformatiedienst exploiteert die erin bestaat haar klanten informatie te verstrekken over de kredietwaardigheid van consumenten. Daartoe voert SCHUFA solvabiliteitsbeoordelingen uit, waarbij zij op basis van bepaalde kenmerken van een persoon aan de hand van een wiskundig-statistische methode een voorspelling doet over de waarschijnlijkheid van toekomstig gedrag, zoals de terugbetaling van een lening.

11.

Verzoekster heeft SCHUFA gevraagd om de haar betreffende onjuiste gegevens te wissen en haar inzage te verlenen in de haar betreffende opgeslagen gegevens. SCHUFA heeft verzoekster onder meer haar score en het basisprincipe voor de berekening ervan uitgelegd, maar niet hoe de verschillende gegevens in de berekening werden meegewogen. Zij meent dat zij niet verplicht is haar berekeningsmethoden bekend te maken omdat deze onder het beroeps- en het zakengeheim vallen. Bovendien stelt zij dat zij alleen informatie verstrekt aan haar klanten, die de eigenlijke besluiten over kredietovereenkomsten nemen.

12.

Verzoekster heeft bij verweerder, een toezichthouder voor gegevensbescherming, een klacht ingediend over het rapport van SCHUFA, waarin zij verweerder verzoekt de onderneming te gelasten om overeenkomstig haar verzoek informatie te verstrekken en te wissen. In zijn besluit over de klacht oordeelde de HBDI dat er geen reden was voor verdere stappen tegen de vennootschap, aangezien deze voldeed aan de vereisten van de Duitse federale wet inzake gegevensbescherming.

13.

Verzoekster heeft tegen de uitspraak van verweerder beroep ingesteld bij de verwijzende rechter. Hij is van oordeel dat het voor de uitspraak in het hoofdgeding van wezenlijk belang is om vast te stellen of de activiteit van verrichters van diensten op het gebied van kredietinformatie, waarbij zij scores toekennen aan personen en deze zonder verdere aanbeveling of commentaar aan derden doorgeven, binnen de werkingssfeer van artikel 22, lid 1, AVG valt.

14.

Het Verwaltungsgericht Wiesbaden heeft de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

15.

Op 15 oktober 2021 is de verwijzingsbeslissing van 1 oktober 2021 ingekomen bij de griffie van het Hof.

16.

Partijen in het hoofdgeding, SCHUFA, de Deense, de Portugese en de Finse regering alsmede de Europese Commissie hebben schriftelijke opmerkingen ingediend binnen de in artikel 23 van het Statuut van het Hof van Justitie van de Europese Unie bepaalde termijn.

17.

Ter terechtzitting van 26 januari 2023 hebben de vertegenwoordigers van partijen in het hoofdgeding, SCHUFA, en de gemachtigden van de Duitse en de Finse regering, alsmede van de Commissie, mondelinge opmerkingen gemaakt.

18.

Aangezien wederzijds vertrouwen de basis vormt van elke contractuele verbintenis in een markteconomie, is het vanuit ondernemingsperspectief in beginsel begrijpelijk dat de aanbieders van diensten en goederen willen weten wie hun klanten zijn en welke risico’s inherent zijn aan een dergelijke contractuele verbintenis. Kredietinformatiebureaus kunnen dit wederzijds vertrouwen helpen op te bouwen met statistische methoden aan de hand waarvan de ondernemingen kunnen vaststellen of in een concreet geval aan bepaalde relevante criteria, waaronder de kredietwaardigheid van hun klanten, is voldaan. Op die wijze helpen zij de ondernemingen bij de eerbiediging van diverse bepalingen van het Unierecht, waarbij hun nu juist een dergelijke verplichting wordt opgelegd voor bepaalde categorieën overeenkomsten, met name kredietovereenkomsten. ( 5 ) Sommige van de aangewende methoden kunnen gebruikmaken van persoonsgegevens van klanten, die dankzij informatietechnologie op geautomatiseerde wijze worden verzameld en verwerkt. Tegenover dit belang staat dat van de betrokkenen om te weten hoe deze gegevens worden beheerd en opgeslagen en welke methoden ondernemingen gebruiken om besluiten over hun klanten te nemen.

19.

Met de AVG, die sinds 25 mei 2018 van toepassing is, is een rechtskader gecreëerd dat ertoe strekt in de gehele Unie met bovengenoemde belangen rekening te houden, door met name bepaalde beperkingen op te leggen aan de verwerking van persoonsgegevens. Zo gelden specifieke beperkingen voor geautomatiseerde verwerking waaraan voor een natuurlijke persoon rechtsgevolgen verbonden kunnen worden of die hem in aanmerkelijke mate kan treffen. Deze beperkingen zijn gerechtvaardigd in het kader van profilering, dat wil zeggen een beoordeling van persoonlijke aspecten die erop gericht is de economische situatie, de betrouwbaarheid of het gedrag van een natuurlijke persoon te analyseren of te voorspellen. In dit verband zij gewezen op de in artikel 22 AVG bedoelde beperkingen, die in de onderhavige zaak relevant zijn en ertoe strekken de menselijke waardigheid te beschermen door te voorkomen dat de betrokkene wordt onderworpen aan een louter op geautomatiseerde verwerking gebaseerd besluit, zonder enige menselijke tussenkomst waardoor zo nodig kan worden nagaan of het besluit op correcte, billijke en niet-discriminerende wijze is genomen. ( 6 ) Door de verplichting om in het kader van dit type geautomatiseerde gegevensverwerking in menselijke tussenkomst te voorzien, wordt gewaarborgd dat de betrokkene de mogelijkheid heeft om zijn standpunt kenbaar te maken, een toelichting te krijgen over het na dit soort beoordeling genomen besluit en het eventueel te betwisten als hij het er niet mee eens is. De eerste prejudiciële vraag heeft nu juist betrekking op de omvang van de in artikel 22 AVG bedoelde beperkingen.

20.

Hoewel met de AVG een in beginsel volledig algemeen regelgevingskader voor de bescherming van persoonsgegevens is gecreëerd, moet toch worden opgemerkt dat sommige bepalingen de lidstaten de mogelijkheid bieden om aanvullende, strengere of afwijkende nationale bepalingen vast te stellen die hun een beoordelingsruimte laten met betrekking tot de wijze waarop deze regels kunnen worden toegepast („openingsclausules”), voor zover die regels geen afbreuk doen aan de inhoud en de doelstellingen van de AVG. ( 7 ) De omvang van deze resterende regelgevende bevoegdheid van de lidstaten staat centraal in de tweede prejudiciële vraag die in deze conclusie moet worden onderzocht.

21.

De HBDI en SCHUFA betwisten de ontvankelijkheid van het verzoek om een prejudiciële beslissing. SCHUFA betoogt dienaangaande dat de verwijzing niet noodzakelijk is voor de beslechting van het geding en onvoldoende gemotiveerd is: de verwijzing zou een tweede beroepsmogelijkheid doen ontstaan en strijdig zijn met andere verzoeken om een prejudiciële beslissing die door dezelfde verwijzende rechter zijn ingediend en vervolgens weer zijn ingetrokken.

22.

Om te beginnen zij eraan herinnerd dat het, volgens vaste rechtspraak van het Hof, in het kader van de in artikel 267 VWEU ingestelde samenwerking tussen het Hof en de nationale rechterlijke instanties uitsluitend een zaak is van de nationale rechter aan wie het geschil is voorgelegd en die de verantwoordelijkheid voor de te geven rechterlijke beslissing draagt om, rekening houdend met de bijzonderheden van de zaak, zowel de noodzaak van een prejudiciële beslissing voor het wijzen van zijn vonnis als de relevantie van de vragen die hij aan het Hof voorlegt, te beoordelen. Wanneer de gestelde vragen betrekking hebben op de uitlegging of de geldigheid van een Unierechtelijke regel, is het Hof derhalve in beginsel verplicht daarop te antwoorden. Bijgevolg worden vragen die het Unierecht betreffen, vermoed relevant te zijn. Het Hof kan slechts weigeren op een door een nationale rechterlijke instantie gestelde prejudiciële vraag te antwoorden wanneer duidelijk blijkt dat de gevraagde uitlegging of toetsing van de geldigheid van een regel van het Unierecht geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het vraagstuk van hypothetische aard is of wanneer het Hof niet beschikt over de gegevens, feitelijk en rechtens, die noodzakelijk zijn om een zinvol antwoord te geven op de gestelde vragen. ( 8 )

23.

Aan deze voorwaarden is in casu niet voldaan, aangezien uit punt 40 van de verwijzingsbeslissing duidelijk blijkt dat de uitkomst van de procedure afhangt van de eerste prejudiciële vraag. De verwijzende rechter licht toe dat moest artikel 22, lid 1, AVG aldus worden uitgelegd dat de vaststelling van een score door een kredietinformatiebureau een zelfstandig besluit is in de zin van artikel 22, lid 1, AVG, dat bureau – en meer bepaald zijn relevante activiteit – onder het verbod van geautomatiseerde individuele besluitvorming zou vallen. Bijgevolg zou een rechtsgrond op het niveau van de lidstaat in de zin van artikel 22, lid 2, onder b), AVG vereist zijn, waarvoor alleen § 31 BDSG in aanmerking kan komen. De verwijzende rechter heeft ernstige twijfels over de verenigbaarheid van deze nationale bepaling met artikel 22, lid 1, AVG. Volgens hem zou SCHUFA dan niet alleen zonder rechtsgrond handelen, maar ook het verbod uit die laatste bepaling schenden. Verzoekster zou dan kunnen vorderen dat de HBDI als toezichthoudende autoriteit haar zaak (verder) behandelt. Het is dan ook duidelijk dat het antwoord op de vragen van de verwijzende rechter doorslaggevend blijkt te zijn voor de beslechting van het geding.

24.

SCHUFA voert ook aan dat het verzoek om een prejudiciële beslissing niet-ontvankelijk is omdat verzoekster reeds op de hoogte is gebracht van de logica van de score. Uit de verwijzingsbeslissing blijkt echter dat verzoekster zo gedetailleerd mogelijk wenste te worden geïnformeerd over alle verzamelde gegevens en over de voor de vaststelling van de score gebruikte methode. Aangezien SCHUFA verzoekster in grote lijnen heeft meegedeeld hoe haar scoreberekening werkt, maar niet heeft meegedeeld welke verschillende soorten informatie in de berekening worden opgenomen en hoe deze worden gewogen, is het duidelijk dat SCHUFA niet aan dat verzoek om informatie heeft voldaan. Bijgevolg heeft verzoekster een gerechtvaardigd belang om middels een prejudiciële beslissing te laten vaststellen welke rechten de betrokkene heeft ten aanzien van een kredietinformatiebureau zoals SCHUFA.

25.

Wat betreft het vermeende risico dat voor betrokkene een tweede beroepsmogelijkheid ontstaat, zij erop gewezen dat, anders dan SCHUFA in haar opmerkingen betoogt, het feit dat verzoekster zich eerst tot de gewone rechter en vervolgens tot de verwijzende bestuursrechter heeft gewend, niet in de weg staat aan de ontvankelijkheid van het verzoek om een prejudiciële beslissing. Met haar twee beroepen heeft verzoekster de beroepsmogelijkheden van de artikelen 78 en 79 AVG uitgeoefend, die het recht waarborgen om een doeltreffende voorziening in rechte in te stellen tegen respectievelijk de toezichthoudende autoriteit en de verwerkingsverantwoordelijke. Aangezien deze beroepsmogelijkheden autonoom naast elkaar bestaan, zonder dat de ene ondergeschikt is aan de andere, kunnen zij parallel worden uitgeoefend. ( 9 ) Verzoekster kan dus geen onregelmatigheid worden verweten bij de verdediging van haar door de AVG beschermde rechten.

26.

Bovendien moet in herinnering worden gebracht dat volgens vaste rechtspraak van het Hof, bij ontstentenis van een Unieregeling ter zake, het een aangelegenheid van de interne rechtsorde van elke lidstaat is om de bevoegde rechter aan te wijzen en de procesregels vast te stellen voor beroepen in rechte die ertoe strekken de door de justitiabelen aan het Unierecht ontleende rechten te beschermen. ( 10 ) Derhalve is er geen enkele objectieve reden om het stelsel van beroepsmogelijkheden van een lidstaat ter discussie te stellen, behalve in gevallen waarin de doelmatigheid van het Unierecht gevaar zou lopen, bijvoorbeeld indien de nationale rechter de in artikel 267 VWEU bedoelde bevoegdheid zou worden ontnomen om het Hof vragen te stellen over de uitlegging of de geldigheid van het Unierecht , of indien hij van de in dat artikel bedoelde verplichting zou worden ontslagen.

27.

In casu is er geen enkele aanwijzing dat het bestaan van twee beroepsmogelijkheden die een doelmatige voorziening in rechte mogelijk maken tegen respectievelijk de toezichthoudende autoriteit en de verwerkingsverantwoordelijke, de doelmatigheid van het Unierecht bedreigt of de nationale rechter de mogelijkheid ontneemt om gebruik te maken van de procedure van artikel 267 VWEU. Integendeel, zoals ik reeds heb uiteengezet, is het in het licht van de artikelen 78 en 79 AVG duidelijk dat die verordening zich niet verzet tegen een dergelijk beroepsstelsel, waarbij het eerder aan de lidstaat wordt overgelaten om de bevoegde rechter aan te wijzen en de nadere procedurele regels van het beroep in rechte vast te stellen, met volledige inachtneming van het beginsel van procedurele autonomie. Dit is in recente rechtspraak door het Hof erkend. ( 11 )

28.

Ten slotte zij opgemerkt dat SCHUFA slechts kritiek heeft op de beroepsmogelijkheden die naar Duits recht beschikbaar zijn, zonder evenwel precies uit te leggen waarom een arrest van het Hof in de onderhavige prejudiciële procedure niet van nut zou zijn voor de beslechting van het geding. Zoals de verwijzende rechter opmerkt, zou een uitlegging door het Hof van artikel 22, lid 1, AVG verweerder immers in staat stellen zijn toezichtsbevoegdheden ten aanzien van SCHUFA op Unierechtconforme wijze uit te oefenen. Het lijkt mij dan ook dat het argument waarmee SCHUFA de ontvankelijkheid van het verzoek om een prejudiciële beslissing betwist, ongegrond is.

29.

In beginsel volstaan bovenstaande overwegingen om het betoog van SCHUFA af te wijzen. Toch acht ik het voor een beter begrip van de onderhavige zaak noodzakelijk in te gaan op het argument dat het verzoek om een prejudiciële beslissing niet gemotiveerd zou zijn. Anders dan SCHUFA beweert, wordt in de verwijzingsbeslissing het belang in casu voldoende nauwkeurig onderbouwd om te voldoen aan de vereisten van artikel 94, onder c), van het Reglement voor de procesvoering van het Hof. De verwijzende rechter legt meer bepaald uit dat verzoekster voornemens is haar rechten tegenover SCHUFA te doen gelden. Volgens de verwijzende rechter kan artikel 22, lid 1, AVG haar in beginsel bescherming bieden tegen een geautomatiseerde verwerking van haar persoonsgegevens, tenzij deze bepaling restrictief wordt uitgelegd.

30.

De verwijzende rechter is van oordeel dat, gelet op het belang dat sommige ondernemingen voor de voorspelling van de economische draagkracht van een natuurlijke persoon hechten aan de score die wordt vastgesteld door kredietinformatiebureaus voor de voorspelling van de economische draagkracht van een natuurlijke persoon, die score kan worden beschouwd als een autonoom „besluit” in de zin van deze bepaling. Een uitlegging in die zin is noodzakelijk om een juridische leemte op te vullen die voortvloeit uit het feit dat de betrokkene anders niet in staat zou zijn de krachtens artikel 15, lid 1, onder h), AVG vereiste informatie te verkrijgen. Gelet op deze grondige motivering ben ik van mening dat het betoog van SCHUFA moet worden afgewezen en dat het verzoek om een prejudiciële beslissing ontvankelijk is.

31.

Artikel 22, lid 1, AVG verschilt van de andere beperkingen inzake gegevensverwerking van de verordening in die zin dat daarin een „recht” van de betrokkene is neergelegd om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit. De gebruikte terminologie laat weliswaar anders vermoeden, maar voor de toepassing van artikel 22, lid 1, AVG is niet vereist dat de betrokkene het recht actief aanvoert. Een uitlegging in het licht van overweging 71 van deze verordening waarbij rekening wordt gehouden met de opzet van deze bepaling, met name lid 2 ervan, waarin de gevallen worden genoemd waarin een dergelijke geautomatiseerde verwerking bij wijze van uitzondering is toegestaan, leidt namelijk eerder tot de conclusie dat deze bepaling een algemeen verbod op besluiten van het hierboven beschreven type instelt. Niettemin moet worden benadrukt dat dit verbod slechts geldt in zeer specifieke omstandigheden, namelijk voor besluiten „waaraan voor hem rechtsgevolgen zijn verbonden of [die] hem anderszins in aanmerkelijke mate [treffen]”.

32.

Met zijn eerste vraag wenst de verwijzende rechter te vernemen of de berekening van een score door een kredietinformatiebureau onder artikel 22, lid 1, AVG valt wanneer de verkregen score is doorgegeven aan een onderneming die daaraan een doorslaggevend belang hecht bij haar besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met de betrokkene. Het gaat met andere woorden om de vraag of deze bepaling van toepassing is op kredietinformatiebureaus die scores ter beschikking stellen van financiële ondernemingen. Voor het onderzoek van deze vraag moet worden vastgesteld of in casu aan de voorwaarden van artikel 22, lid 1, AVG is voldaan.

33.

Deze bepaling vereist om te beginnen dat er sprake is van geautomatiseerde verwerking van persoonsgegevens, aangezien „profilering” – gezien de bewoordingen ervan – als een subcategorie wordt beschouwd. ( 12 ) In dit verband zij opgemerkt dat de door SCHUFA verrichte scoring onder de wettelijke definitie van artikel 4, punt 4, AVG valt, aangezien bij deze procedure persoonsgegevens worden gebruikt om bepaalde aspecten van een natuurlijke persoon te evalueren teneinde elementen betreffende hun economische situatie, betrouwbaarheid en waarschijnlijke gedrag te analyseren of te voorspellen. Uit het dossier van de zaak komt namelijk naar voren dat de door SCHUFA gebruikte methode op basis van bepaalde criteria een „score” oplevert, dat wil zeggen een resultaat waarmee conclusies kunnen worden getrokken over de kredietwaardigheid van de betrokkene. Ten slotte wil ik erop wijzen dat geen van de belanghebbende partijen de kwalificatie van de betrokken procedure als „profilering” betwist, zodat in casu kan worden aangenomen dat aan deze voorwaarde is voldaan.

34.

Voor de toepassing van artikel 22, lid 1, AVG is vereist dat aan het betrokken besluit „rechtsgevolgen” verbonden zijn voor de betrokkene of dat het besluit „hem anderszins in aanmerkelijke mate treft”. De AVG erkent dus dat geautomatiseerde besluitvorming, waaronder profilering, zware gevolgen kan hebben voor de betrokkenen. De AVG bevat weliswaar geen definitie van het begrip „rechtsgevolgen”, noch van de bewoordingen „anderszins in aanmerkelijke mate treft”, maar uit de gebruikte formulering blijkt duidelijk dat met deze bepaling alleen zware gevolgen worden bedoeld. In dit verband moet er om te beginnen op worden gewezen dat in overweging 71 AVG uitdrukkelijk „de automatische weigering van een online ingediende kredietaanvraag” wordt genoemd als een typisch voorbeeld van een besluit dat de betrokkene „in aanmerkelijke mate” treft.

35.

Vervolgens moet er rekening mee worden gehouden dat de verwerking van een leningsaanvraag een stap is die voorafgaat aan het sluiten van een leningsovereenkomst en dat de afwijzing van een dergelijke aanvraag „rechtsgevolgen” kan hebben voor de betrokkene, aangezien deze niet langer in aanmerking komt voor een contractuele relatie met de betrokken financiële instelling. Verder zij opgemerkt dat een dergelijke weigering ook gevolgen kan hebben voor de financiële situatie van de betrokkene. Het is dan ook logisch te concluderen dat deze persoon in elk geval „anderszins” in de zin van deze bepaling zal worden getroffen. De Uniewetgever lijkt zich hiervan bewust te zijn geweest bij het opstellen van overweging 71 AVG, in het licht waarvan artikel 22, lid 1, van deze verordening moet worden uitgelegd. Bijgevolg ben ik van mening dat, gelet op de situatie waarin verzoekster zich bevindt, in casu aan de voorwaarden van deze bepaling is voldaan, ongeacht of de juridische of economische gevolgen van de kredietweigering centraal staan.

36.

Verder moeten twee extra voorwaarden zijn vervuld. In de eerste plaats moet ten aanzien van de betrokkene een handeling worden vastgesteld die als een „besluit” kan worden aangemerkt. In de tweede plaats moet het betrokken besluit „uitsluitend op geautomatiseerde verwerking […] gebaseerd [zijn]”. Wat deze laatste voorwaarde betreft, blijkt uit de uiteenzetting van de feiten in de verwijzingsbeslissing niet dat SCHUFA de scores, naast de toepassing van een wiskundig-statistische methode, op enigerlei doorslaggevende wijze vaststelt aan de hand van een door een mens uitgevoerde individuele beoordeling en toetsing. Bijgevolg moet de vaststelling van de score als een door SCHUFA verrichte handeling als „uitsluitend op geautomatiseerde verwerking […] gebaseerd” worden beschouwd. Hierbij moet echter voor ogen worden gehouden dat de financiële instelling waaraan SCHUFA de score meedeelt, een verondersteld autonome handeling ten aanzien van de betrokkene moet verrichten, namelijk het verlenen of weigeren van krediet. De vraag is dus aan de orde welke van deze twee handelingen kan worden aangemerkt als een „besluit” in de zin van artikel 22, lid 1, AVG. Dat zal hieronder worden onderzocht.

37.

Wat de eerste voorwaarde betreft, moet eerst worden vastgesteld wat de juridische aard van een „besluit” is en welke vorm dat moet aannemen. Etymologisch gezien impliceert dit begrip een „mening” of een „standpunt” over een bepaalde situatie. Het moet ook „bindend” zijn om het te onderscheiden van louter „aanbevelingen” die in beginsel geen juridische of feitelijke gevolgen hebben. ( 13 ) Anders dan de HBDI stelt, lijkt een analogie met artikel 288, vierde alinea, VWEU mij in de onderhavige context echter niet relevant, temeer daar zij geen grondslag vindt in de bepalingen van de AVG.

38.

Bij gebreke van een wettelijke definitie kan worden aangenomen dat de Uniewetgever heeft gekozen voor een ruim begrip dat verschillende handelingen kan omvatten die de betrokkene op verschillende manieren kunnen treffen. Zoals ik reeds heb aangegeven, kan een „besluit” in de zin van artikel 22, lid 1, AVG immers ofwel „rechtsgevolgen” hebben, ofwel de betrokkene „anderszins” treffen, wat inhoudt dat het „besluit” gevolgen kan hebben die niet noodzakelijkerwijs juridisch, maar eerder economisch en sociaal zijn. Aangezien artikel 22, lid 1, AVG beoogt natuurlijke personen te beschermen tegen de mogelijk discriminerende en onrechtvaardige gevolgen van geautomatiseerde gegevensverwerkingen, lijkt mij bijzondere waakzaamheid geboden en moet deze ook doorschemeren in de uitlegging van deze bepaling.

39.

Ten slotte moet ik benadrukken dat ik, aangezien handelingen die aan een particuliere financiële instelling kunnen worden toegerekend ook ernstige gevolgen kunnen hebben voor de onafhankelijkheid en de handelingsvrijheid van de betrokkene in een markteconomie, met name wanneer het gaat om de bevestiging dat de kredietaanvrager kredietwaardig is ( 14 ), geen enkele objectieve reden zie om het begrip „besluit” te beperken tot de strikt publieke sfeer, dat wil zeggen tot de relatie tussen de staat en de burger, zoals de door de HBDI voorgestelde analogie impliciet suggereert. Mijns inziens dient per geval te worden onderzocht of een ten aanzien van de betrokkene ingenomen standpunt als een „besluit” kan worden aangemerkt, en dient hierbij rekening te worden gehouden met de specifieke omstandigheden en de ernst van de gevolgen voor de juridische, economische en sociale positie van de betrokkene. ( 15 )

40.

Op basis van de in de voorgaande punten uiteengezette criteria moet vervolgens worden bepaald welk „besluit” in casu relevant is. Zoals hierboven vermeld, is er enerzijds de handeling waarbij een bank aanvaardt of weigert aan de aanvrager een krediet te verstrekken, en anderzijds de score die voortvloeit uit een door SCHUFA uitgevoerde profilering. Naar mijn mening is het onmogelijk om deze vraag stellig te beantwoorden, aangezien de kwalificatie afhangt van de omstandigheden van elk afzonderlijk geval. In concreto is de wijze waarop de besluitvormingsprocedure is gestructureerd van essentieel belang. Deze procedure bestaat doorgaans uit verschillende fasen, zoals profilering, de scorebepaling en het eigenlijke besluit over het krediet.

41.

Het lijkt mij duidelijk dat een financiële instelling die deze procedure op zich kan nemen, ook bepaalde taken contractueel aan een kredietinformatiebureau kan uitbesteden, zoals profilering en scoring. Artikel 22, lid 1, AVG vereist immers geenszins dat deze taken door een of meer entiteiten worden verricht. Mijns inziens is het voor de analyse echter niet essentieel of bepaalde bevoegdheden al of niet zijn uitbesteed aan een externe dienstverlener, aangezien een dergelijke uitbesteding in het algemeen berust op economische en organisatorische overwegingen, die per geval kunnen verschillen.

42.

Het aspect dat volgens mij wel een cruciale rol speelt, houdt daarentegen verband met de vraag of de besluitvormingsprocedure zodanig is opgezet dat de scoring van het kredietinformatiebureau het besluit van de financiële instelling om het krediet al dan niet toe te kennen vooraf bepaalt. Mocht de scoring worden uitgevoerd zonder enige menselijke tussenkomst waarmee het resultaat ervan en de juistheid van het ten aanzien van de kredietaanvrager te nemen besluit in voorkomend geval kunnen worden gecontroleerd, lijkt het logisch om de scoring zelf als een „besluit” in de zin van artikel 22, lid 1, AVG te beschouwen.

43.

Uitgaan van het tegendeel omdat het besluit om krediet te verlenen of te weigeren formeel onder de verantwoordelijkheid van de financiële instelling valt, zou niet alleen getuigen van buitensporig formalisme, maar bovendien nauwelijks recht doen aan de specifieke omstandigheden van een dergelijke situatie. Dit lijkt des te meer het geval daar artikel 22, lid 1, AVG voor het „besluit” geen enkele bijzondere vorm oplegt. Het zijn de gevolgen van het „besluit” voor de betrokkene die doorslaggevend zijn. Aangezien een negatieve score op zich voor de betrokkene nadelig kan zijn omdat deze hem met name aanzienlijk in de uitoefening van zijn vrijheden kan beperken of zelfs in de samenleving kan stigmatiseren, lijkt het gerechtvaardigd om deze score aan te merken als een „besluit” in de zin van voornoemde bepaling wanneer een financiële instelling er in de besluitvormingsprocedure zeer groot belang aan hecht. ( 16 ) In dergelijke omstandigheden wordt de kredietaanvrager immers al getroffen vanaf de fase waarin zijn solvabiliteit wordt beoordeeld door de verstrekker van commerciële informatie en niet pas in de eindfase van de weigering van het krediet, waarin de financiële instelling slechts het resultaat van deze beoordeling op het concrete geval toepast. ( 17 )

44.

Aangezien, ten eerste, artikel 22, lid 1, AVG vereist dat het betrokken besluit „uitsluitend” op geautomatiseerde verwerking is gebaseerd ( 18 ) en, ten tweede, de bewoordingen van een bepaling doorgaans iedere uitlegging ervan afbakenen, lijkt het noodzakelijk dat de geautomatiseerde verwerking het enige element blijft dat de aanpak van de financiële instelling ten aanzien van de kredietaanvrager rechtvaardigt. Dit zou het geval zijn indien sprake was van menselijke deelname in de procedure, zonder dat daardoor evenwel het oorzakelijk verband tussen de geautomatiseerde verwerking en het eindbesluit zou kunnen worden beïnvloed. Het kredietinformatiebureau zou de facto voor de financiële instelling het eindbesluit moeten nemen. Dit hangt af van de interne regels en praktijken van de betrokken financiële instelling, die haar over het algemeen geen beoordelingsruimte mogen geven bij de toepassing van de score op een kredietaanvraag.

45.

Het gaat hier in wezen om een feitelijke kwestie die mijns inziens het best door de nationale rechter kan worden beoordeeld. Ik stel derhalve voor de verwijzende rechter de taak te geven zelf vast te stellen in hoeverre de financiële instelling in het algemeen gebonden is door de scoring van een kredietinformatiebureau als SCHUFA, rekening houdend met de hierboven genoemde criteria. ( 19 ) Ik zal mij baseren op de informatie in de verwijzingsbeslissing om de nationale rechter in casu een nuttig antwoord te geven.

46.

In dit verband merk ik om te beginnen op dat volgens de verwijzende rechter menselijke tussenkomst weliswaar in beginsel nog mogelijk is in deze fase van het besluitvormingsproces, maar dat het besluit om een contractuele relatie met de betrokkene aan te gaan „in de praktijk in een dusdanig sterke mate wordt bepaald door de door de kredietinformatiebureaus meegedeelde kredietscore dat deze als het ware doordringt in het besluit van de verwerkingsverantwoordelijke derde”. Volgens de verwijzende rechter „bepaalt de door het kredietinformatiebureau op basis van geautomatiseerde verwerking vastgestelde kredietscore uiteindelijk of en hoe de verwerkingsverantwoordelijke derde een overeenkomst met de betrokkene sluit”. De verwijzende rechter legt ook uit dat de verwerkingsverantwoordelijke derde zijn besluit niet uitsluitend hoeft te laten afhangen van de kredietscore, maar „[…] dit gewoonlijk wel in grote mate [doet]”. Hij voegt daaraan toe dat „[e]en lening […] geweigerd [kan worden] ondanks een kredietscore die in principe voldoende is (om andere redenen, zoals het ontbreken van zekerheden of twijfels over het succes van een te financieren investering), maar een onvoldoende score […] in bijna alle gevallen [zal] leiden tot de weigering van een lening, althans op het gebied van consumentenkredieten, en zelfs indien een investering voor het overige de moeite waard lijkt te zijn”. Ten slotte wijst deze rechter erop „[d]at kredietscores een doorslaggevende rol spelen bij de kredietverstrekking en de vormgeving van de kredietvoorwaarden, [hetgeen] blijkt uit de ervaringen bij het toezicht op de gegevensbescherming door overheidsinstanties”.

47.

Onder voorbehoud van de beoordeling van de feiten die de nationale rechter in elk concreet geval moet maken, lijken de hierboven uiteengezette overwegingen mij erop te wijzen dat de door een kredietinformatiebureau vastgestelde en aan een financiële instelling meegedeelde score het besluit van deze laatste over de verlening of weigering van krediet aan de betrokkene in het algemeen bij voorbaat bepaalt, zodat dit standpunt in het kader van de procedure moet worden geacht louter formeel van aard te zijn. ( 20 ) Hieruit volgt dat de score zelf moet worden beschouwd als een „besluit” in de zin van artikel 22, lid 1, AVG.

48.

Een dergelijke conclusie lijkt mij redelijk omdat elke andere uitlegging afbreuk zou doen aan het door de Uniewetgever met deze bepaling nagestreefde doel, namelijk de bescherming van de rechten van de betrokkenen. Zoals de verwijzende rechter terecht heeft opgemerkt, zou een strikte lezing van artikel 22, lid 1, AVG leiden tot een lacune in de rechtsbescherming: het kredietinformatiebureau waarbij de voor de betrokkene vereiste informatie zou kunnen worden verkregen, is krachtens artikel 15, lid 1, onder h), AVG niet verplicht inzage te verstrekken omdat het zogenaamd geen eigen „geautomatiseerde besluitvorming” in de zin van artikel 15, lid 1, onder h), AVG verricht, en de financiële instelling die haar besluitvorming baseert op de geautomatiseerd bepaalde kredietscore en die krachtens artikel 15, lid 1, onder h), AVG wel verplicht is inzage te verstrekken, kan de vereiste informatie niet verstrekken omdat zij er niet over beschikt.

49.

Bijgevolg zou de financiële instelling niet in staat zijn de beoordeling van de kredietwaardigheid van de kredietaanvrager te controleren wanneer het besluit wordt aangevochten, zoals vereist door artikel 22, lid 3, AVG, of een behoorlijke en transparante en niet-discriminerende verwerking te garanderen door middel van passende wiskundig-statistische procedures en passende technische en organisatorische maatregelen, zoals overweging 71, zesde volzin, AVG vereist. ( 21 ) Om een dergelijke situatie, die duidelijk in strijd zou zijn met de in het vorige punt genoemde wettelijke doelstelling, te vermijden, stel ik voor om artikel 22, lid 1, AVG aldus uit te leggen dat rekening wordt gehouden met de reële gevolgen van scoring op de situatie van de betrokkene.

50.

Dit lijkt mij een logische benadering omdat het kredietinformatiebureau in het algemeen de enige entiteit is die kan ingaan op andere verzoeken van de betrokkene die zijn gebaseerd op rechten die ook door de AVG worden gewaarborgd, te weten het in artikel 16 AVG bedoelde recht op rectificatie ingeval de voor de scoring gebruikte persoonsgegevens onjuist zouden blijken te zijn en het in artikel 17 AVG bedoelde recht op gegevenswissing ingeval die gegevens onrechtmatig zouden zijn verwerkt. Aangezien de financiële instelling in het algemeen niet betrokken is bij het verzamelen van die gegevens of bij profilering wanneer deze taken aan een derde zijn uitbesteed, kan de mogelijkheid dat zij in staat is daadwerkelijk de eerbiediging van die rechten te verzekeren redelijkerwijs worden uitgesloten. Van de betrokkene mag echter niet worden verlangd dat hij de nadelige gevolgen van een dergelijke uitbesteding van taken zonder meer ondergaat.

51.

Het lijkt mij dat de meest doeltreffende manier om te zorgen voor de bescherming van de grondrechten van de betrokkene, namelijk het recht op bescherming van persoonsgegevens, bedoeld in artikel 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”), maar ook het in artikel 7 van het Handvest bedoelde recht op eerbiediging van zijn privéleven, is dat het kredietinformatiebureau verantwoordelijk wordt gehouden wegens de vaststelling van de score – en niet wegens het gebruik dat er later van wordt gemaakt –, aangezien deze activiteit uiteindelijk de „bron” van eventuele schade is. Gelet op het risico dat de door het kredietinformatiebureau vastgestelde score door een groot aantal financiële instellingen wordt gebruikt, dient de betrokkene redelijkerwijs zijn rechten rechtstreeks tegen dit bureau te kunnen doen gelden.

52.

Om de hierboven uiteengezette redenen ben ik van mening dat aan de voorwaarden van artikel 22, lid 1, AVG is voldaan, zodat deze bepaling van toepassing is in omstandigheden als die van het hoofdgeding.

53.

In dit verband kan niet genoeg worden benadrukt hoe belangrijk het is dat de verwerkingsverantwoordelijke zijn verplichtingen inzake informatieverstrekking jegens de betrokkene naleeft. Overeenkomstig artikel 15, lid 1, onder h), AVG heeft deze laatste niet alleen het recht om van de verwerkingsverantwoordelijke uitsluitsel over het al dan niet verwerken van de hem betreffende persoonsgegevens te verkrijgen, maar ook andere informatie, zoals het bestaan van een geautomatiseerde besluitvorming, waaronder profilering, in de zin van artikel 22 AVG, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor hem.

54.

Aangezien SCHUFA heeft geweigerd om verzoekster bepaalde informatie over de berekeningsmethode te verstrekken omdat dit een zakengeheim zou betreffen, lijkt het relevant om de omvang van het in artikel 15, lid 1, onder h), AVG bedoelde recht op informatie nader te bepalen, in het bijzonder met betrekking tot de verplichting om „nuttige informatie over de onderliggende logica” te verstrekken. Naar mijn mening moet deze bepaling aldus worden uitgelegd dat zij in beginsel ook betrekking heeft op de berekeningsmethode die een kredietinformatiebureau gebruikt om een score vast te stellen, op voorwaarde dat er geen beschermingswaardige conflicterende belangen spelen. In dit verband zij verwezen naar overweging 63 AVG, waarin onder meer staat dat dat „recht […] geen afbreuk [mag] doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt” (cursivering van mij).

55.

Uit een uitlegging van artikel 15, lid 1, onder h), AVG, gelezen in het licht van de overwegingen 58 en 63 van deze verordening, kan een aantal conclusies worden getrokken. In de eerste plaats is het duidelijk dat de Uniewetgever zich ten volle bewust was van conflicten die zouden kunnen ontstaan tussen het door artikel 8 van het Handvest gewaarborgde recht op bescherming van persoonsgegevens en het in artikel 17, lid 2, van het Handvest bedoelde recht op bescherming van de intellectuele eigendom. Ten tweede is het helder dat hij niet de bedoeling had om het ene grondrecht op te offeren ten gunste van het andere. Integendeel, een nadere analyse van de bepalingen van de AVG leidt juist tot de conclusie dat hij heeft gestreefd naar een juist evenwicht tussen rechten en verantwoordelijkheden.

56.

De aansporing van de Uniewetgever in overweging 63 AVG dat „die overwegingen [er] niet [toe mogen] leiden dat de betrokkene alle informatie wordt onthouden” ( 22 ) betekent volgens mij dat in ieder geval een minimum aan informatie moet worden verstrekt om de wezenlijke inhoud van het recht op bescherming van persoonsgegevens niet in gevaar te brengen. Hieruit volgt dat de bescherming van het zakengeheim of van de intellectuele eigendom weliswaar in beginsel voor een kredietinformatiebureau een legitieme reden is om te weigeren het algoritme bekend te maken dat wordt gebruikt voor de berekening van de score van de betrokkene, maar dat zij geenszins een absolute weigering van informatie kan rechtvaardigen. Dit geldt des te meer wanneer er passende communicatiemiddelen voorhanden zijn die voor meer inzicht in de berekening zorgen en tegelijkertijd een zekere mate van vertrouwelijkheid waarborgen.

57.

Artikel 12, lid 1, AVG, dat bepaalt dat „[d]e verwerkingsverantwoordelijke […] passende maatregelen [neemt] opdat de betrokkene de [in artikel 15 bedoelde] communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt” ( 23 ), lijkt mij in dit verband bijzonder relevant. Deze bepaling ondersteunt de hierboven uiteengezette redenering, aangezien daaruit voortvloeit dat het werkelijke doel van artikel 15, lid 1, onder h), AVG erin bestaat om de betrokkene, in overeenstemming met zijn behoeften, op begrijpelijke en toegankelijke wijze informatie te laten verkrijgen. Gelet op de complexiteit van het algoritme sluiten deze vereisten mijns inziens een eventuele verplichting tot openbaarmaking ervan al uit. Het is namelijk maar de vraag of het nut heeft een bijzonder ingewikkelde formule mee te delen zonder de nodige uitleg te verstrekken. In dit verband dient te worden gewezen op overweging 58 AVG waaruit naar voren komt dat de naleving van de hierboven genoemde vereisten van bijzonder belang is in „situaties, waarin het vanwege […] de technologische complexiteit van de praktijk voor een betrokkene moeilijk is te weten en te begrijpen of, door wie en met welk doel zijn persoonsgegevens worden verzameld” ( 24 ).

58.

Om de uiteengezette redenen ben ik van mening dat de verplichting om „nuttige informatie over de onderliggende logica” te verstrekken aldus moet worden opgevat dat deze voldoende gedetailleerde gegevens dient te bevatten over de methode die is gebruikt om de score te berekenen en de redenen die tot een bepaald resultaat hebben geleid. In het algemeen dient de verwerkingsverantwoordelijke de betrokkene algemene informatie te verstrekken – met name over factoren die in het besluitvormingsproces in aanmerking zijn genomen en hun respectieve weging op een geaggregeerd niveau – die hem ook van nut is om elk „besluit” in de zin van artikel 22, lid 1, AVG aan te vechten. ( 25 )

59.

In het licht van de bovenstaande overwegingen ben ik van mening dat artikel 22, lid 1, AVG aldus moet worden uitgelegd dat de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde betreffende het vermogen van een persoon om in de toekomst een lening af te lossen, reeds een besluit vormt dat uitsluitend op geautomatiseerde verwerking, waaronder profilering, is gebaseerd en waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft, wanneer die waarde, die met behulp van persoonsgegevens van de betrokkene is vastgesteld, door de verwerkingsverantwoordelijke aan een verwerkingsverantwoordelijke derde wordt doorgegeven en, volgens een vaste praktijk, voor die derde bepalend is bij zijn besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met de betrokkene.

60.

Hoewel de tweede vraag alleen maar is gesteld voor het geval dat de eerste vraag ontkennend wordt beantwoord, lijkt zij mij ook relevant indien het Hof tot de conclusie zou komen dat scoring onder het in artikel 22, lid 1, AVG neergelegde verbod op het nemen van een geautomatiseerd besluit valt. Zoals de Finse regering terecht opmerkt, zou in een dergelijk geval moeten worden onderzocht of op grond van artikel 22, lid 2, onder b), AVG een uitzondering op dit verbod kan worden gemaakt. Volgens deze bepaling is het verbod niet van toepassing „indien het besluit […] is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is”.

61.

Deze bepaling bevat expliciete regelgevende beoordelingsruimte wanneer de geautomatiseerde profilering waarop zij betrekking heeft, is gebaseerd op Unierechtelijke- of lidstaatrechtelijke bepalingen. Indien die profilering berust op het recht van een lidstaat, moet het nationale recht de betrokkene specifieke waarborgen bieden. Het Hof zou dan moeten bepalen of een dergelijke „toestemming” kan worden afgeleid uit artikel 6 AVG zelf of uit een nationale bepaling die op een daarin voorziene rechtsgrond is vastgesteld. Dit laatste noopt mijns inziens tot een grondige analyse, aangezien de verwijzende rechter zich afvraagt of § 31 BDSG verenigbaar is met de artikelen 6 en 22 AVG, hetgeen vereist dat de artikelen 6 en 22 AVG geschikte rechtsgronden kunnen vormen.

62.

De nationale rechter uit juist op dit punt twijfels, aangezien volgens hem geen van de in de artikelen 6 en 22 AVG bedoelde bepalingen als rechtsgrond kunnen dienen voor de vaststelling van een nationale bepaling als bedoeld in § 31 BDSG, waarmee bepaalde regels inzake scoring worden vastgesteld. De vraag rijst dan ook of de nationale wetgever de bepalingen van de AVG die hem speelruimte geven om voor de verwerking van persoonsgegevens in het kader van de AGV nationale regels vast te stellen en hem zelfs toestaan om daarvan in bepaalde omstandigheden af te wijken, wel juist heeft toegepast. Het antwoord op deze vraag blijkt te worden bemoeilijkt door het feit dat de Duitse wetgever in de memorie van toelichting op de wet niet verwijst naar een clausule die enige opening biedt. ( 26 ) Het antwoord is echter des te relevanter omdat in § 31, lid 1, punt 1, BDSG uitdrukkelijk wordt bepaald dat scoring „alleen is toegestaan indien de bepalingen inzake gegevensbescherming in acht zijn genomen” (cursivering van mij). Zoals ik hieronder zal aangeven, moet ik deze vraag op grond van verschillende argumenten ontkennend beantwoorden.

63.

Om te beginnen moet worden gewezen op artikel 22, lid 2, onder b), AVG, dat de lidstaten de bevoegdheid verleent besluiten toe te staan die uitsluitend zijn gebaseerd op geautomatiseerde verwerking, waaronder profilering, en dat derhalve als rechtsgrond zou kunnen worden aangevoerd. Opgemerkt zij echter dat dit lid 2 niet van toepassing is indien het Hof zou oordelen dat scoring niet onder het verbod van lid 1 van dit artikel 22 valt. Zoals duidelijk uit de bewoordingen en de algemene opzet van artikel 22 AVG naar voren komt, veronderstelt de toepassing van lid 2 namelijk dat aan de voorwaarden van lid 1 is voldaan. Bijgevolg is het duidelijk dat artikel 22, lid 2, onder b), AVG niet kan worden toegepast indien de eerste vraag ontkennend wordt beantwoord.

64.

Volledigheidshalve en gelet op het bevestigende antwoord dat ik op de eerste vraag in overweging geef, acht ik het noodzakelijk na te gaan of deze bepaling van toepassing kan zijn ingeval het Hof op zijn beurt van oordeel zou zijn dat een scoring door een kredietinformatiebureau een „besluit” in de zin van lid 1 van dit artikel 22 is. Maar zelfs dan blijft er om een aantal redenen twijfel bestaan over de geschiktheid van artikel 22, lid 2, onder b), van deze verordening als rechtsgrond.

65.

Ten eerste moet eraan worden herinnerd dat artikel 22 AVG enkel betrekking heeft op besluiten die „uitsluitend” zijn genomen na de geautomatiseerde verwerking van gegevens, terwijl § 31 BDSG volgens de verwijzende rechter zonder onderscheid regels bevat die ook van toepassing zijn op niet-geautomatiseerde besluiten en tegelijkertijd de rechtmatigheid regelt van het gebruik van gegevensverwerkingen voor scoringsdoeleinden. § 31 BDSG heeft met andere woorden een veel ruimere materiële werkingssfeer dan artikel 22 AVG. ( 27 ) Bijgevolg valt te betwijfelen of artikel 22, lid 2, onder b), AVG als rechtsgrond kan dienen.

66.

Ten tweede moet worden opgemerkt dat, zoals de verwijzende rechter aangeeft, § 31 BDSG het „gebruik” van een waarschijnlijkheidswaarde door marktdeelnemers regelt, maar niet de „vaststelling” van deze waarde door kredietinformatiebureaus, een aspect waarop de eerste prejudiciële vraag niettemin betrekking heeft. Dit kan ook worden afgeleid uit de verklaringen die de Duitse regering ter terechtzitting heeft afgelegd. Zoals ik in het kader van de behandeling van die vraag uitvoerig heb uiteengezet, is artikel 22, lid 1, AVG ook van toepassing in de fase van de „vaststelling” van de score en niet alleen in die van het „gebruik” ervan door een financiële instelling, mits aan bepaalde voorwaarden is voldaan. ( 28 ) Anders gezegd, artikel § 31 BDSG lijkt erop gericht een andere situatie te regelen dan die welke binnen de materiële werkingssfeer van artikel 22 AVG valt, hetgeen de verwijzende rechter dient te bevestigen. In het licht van de voorgaande overwegingen ben ik van mening dat artikel 22, lid 2, onder b), AVG moet worden uitgesloten als rechtsgrond voor de vaststelling van een nationale wettelijke maatregel als bedoeld in § 31 BDSG.

67.

Krachtens artikel 6, lid 1, AVG is de verwerking van persoonsgegevens alleen rechtmatig indien aan de voorwaarde inzake een van de daarin opgesomde gronden is voldaan. Zoals het Hof reeds heeft geoordeeld, is dit een uitputtende en limitatieve lijst van gevallen waarin de verwerking van persoonsgegevens kan worden geacht rechtmatig te zijn. ( 29 ) De vaststelling van een score door een kredietinformatiebureau moet dan ook vallen onder een van de in deze bepaling bedoelde gevallen om als rechtmatig te kunnen worden beschouwd.

68.

In een geval als aan de orde in het hoofdgeding zouden de punten b), c) en f) van artikel 6, lid 1, AVG in beginsel van toepassing kunnen zijn. Overeenkomstig lid 2 van dit artikel kunnen de lidstaten specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van de AVG worden toegepast. Deze bepaling is echter alleen van toepassing met het oog op de naleving van lid 1, onder c) en e). Evenzo bepaalt lid 3 van dit artikel 6 dat de rechtsgrond voor de verwerking moet worden vastgesteld bij lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is, voor zover de verwerking betrekking heeft op de in lid 1, punten c) en e) bedoelde gevallen.

69.

Hieruit volgt dat de lidstaten specifiekere bepalingen kunnen vaststellen wanneer de verwerking „noodzakelijk [is] om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust” of „noodzakelijk [is] voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen”. Als gevolg van deze voorwaarden wordt de regelgevende bevoegdheid van de lidstaten strikt afgebakend, waardoor wordt uitgesloten dat in de AVG opgenomen openingsclausules willekeurig worden toegepast, hetgeen de doelstelling van harmonisatie van het recht inzake de bescherming van persoonsgegevens zou kunnen doorkruisen.

70.

Bovendien moet in dit verband worden opgemerkt dat voor zover in sommige van die bepalingen de specifieke terminologie van de AVG wordt aangewend, zonder dat uitdrukkelijk naar het recht van de lidstaten wordt verwezen, de gebruikte termen autonoom en uniform moeten worden uitgelegd. ( 30 ) Of de regeling van § 31 BDSG onder een van de in artikel 6, lid 1, AVG genoemde gronden valt, moet dus tegen deze achtergrond worden beoordeeld.

71.

Uit het bepaalde in punt b) volgt dat de verwerking alleen rechtmatig is indien en voor zover zij noodzakelijk is voor „de uitvoering van een overeenkomst waarbij de betrokkene partij is” of „om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”. In dit verband moet worden gewezen op het feit dat tijdens de uitvoeringsfase van een overeenkomst alleen in uitzonderlijke gevallen een beroep wordt gedaan op kredietinformatiebureaus. De belangrijkste fase is de precontractuele fase, waarin doorgaans informatie over de solvabiliteit wordt verkregen. Het lijkt mij dat op basis van deze bepaling ten behoeve van een kredietcontrole een verzoek om inlichtingen tot een kredietinformatiebureau mag worden gericht. ( 31 ) Het moet echter worden verduidelijkt dat deze bepaling alleen betrekking heeft op de toestemming om kredietwaardigheidsonderzoeken te laten uitvoeren door potentiële contractuele partners, schuldeisers en/of juridische dienstverleners, en dus de voorwaarden schept waaronder kredietinformatiebureaus rechtmatig gegevens kunnen verzamelen. Deze bepaling lijkt mij daarentegen op zich geen toereikende rechtsgrond om de activiteiten van een kredietinformatiebureau in het algemeen te legitimeren. ( 32 )

72.

Bovendien zij eraan herinnerd dat in artikel 6, lid 1, onder b), AVG weliswaar een grondslag is vastgelegd voor de rechtmatigheid van de verwerking van persoonsgegevens, maar dat dit artikel geen betrekking heeft op een van de in de leden 2 en 3 bedoelde gevallen, volgens welke de lidstaten over regelgevende bevoegdheid beschikken. Daaruit volgt dat, voor zover artikel 6 AVG dergelijke gevallen limitatief opsomt, een nationale bepaling als die bedoeld in § 31 BDSG niet uitsluitend op basis van artikel 6, lid 1, onder b), AVG kan worden vastgesteld.

73.

De in artikel 6, lid 1, onder c), AVG genoemde grond betreft de verwerking op basis van een „wettelijke verplichting” waaraan de verwerkingsverantwoordelijke is onderworpen. Het gaat om eisen die de staat zelf oplegt. Deze bepaling geldt echter niet voor verplichtingen die voortvloeien uit civielrechtelijke overeenkomsten, zoals een overeenkomst tussen een financiële instelling en een kredietinformatiebureau. Financiële instellingen die zich moeten vergewissen van de kredietwaardigheid van hun cliënten op grond van de hun door het nationale recht opgelegde verplichtingen, kunnen zich voor de desbetreffende verzoeken om inlichtingen niettemin op deze rechtsgrond beroepen om vanuit het gezichtspunt van een kredietinformatiebureau de volstrekte rechtmatigheid van dergelijke verzoeken te waarborgen. De „vaststelling” van een score door het kredietinformatiebureau kan daarentegen niet worden beschouwd als een maatregel die is genomen ter vervulling van een aan hem opgelegde „wettelijke verplichting”, aangezien een dergelijke verplichting in het nationale recht niet lijkt te bestaan. Derhalve moet worden aangenomen dat dit punt c) niet geldig kan worden ingeroepen als rechtsgrond om scoring als een rechtmatige verwerking aan te merken.

74.

Vervolgens rijst de vraag of artikel 6, lid 1, onder e), AVG kan worden ingeroepen als rechtsgrond voor de vaststelling van § 31 BDSG. Dit zou het geval zijn indien de verwerking „noodzakelijk [zou zijn] voor de vervulling van een taak van algemeen belang of van een taak in het kader van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen”. Enerzijds kan worden gesteld, zoals blijkt uit de wetgevende doelstelling van § 31 BDSG die in het opschrift van die nationale bepaling is weergegeven („Bescherming van economische transacties in het kader van scoring en informatieverstrekking over kredietwaardigheid”), en uit de voorbereidende werkzaamheden ( 33 ), dat kredietinformatiebureaus bijdragen tot het goed functioneren van de economie van een land. ( 34 )

75.

Aangezien deze ondernemingen informatie ter beschikking stellen over de kredietwaardigheid van bepaalde personen, helpen zij immers niet alleen om de consument te beschermen tegen het risico van een bovenmatige schuldenlast ( 35 ), maar ook om de ondernemingen te beschermen die hun goederen verkopen of hun kredieten verstrekken. Deze bedrijven zorgen voor stabiliteit van het financiële stelsel door te voorkomen dat op onverantwoorde wijze krediet wordt verstrekt aan kredietnemers bij wie het risico op wanbetaling groot is. ( 36 ) Zonder een betrouwbaar kredietbeoordelingssysteem zou een groot deel van de bevolking vrijwel geen leningen kunnen krijgen vanwege onberekenbare risico’s, zouden economische transacties in het informatietijdperk aanzienlijk moeilijker zijn en pogingen tot fraude onopgemerkt blijven. In dat licht bezien kan worden ingestemd met de redenen op grond waarvan de Duitse wetgever § 31 BDSG blijkbaar heeft vastgesteld.

76.

Hoewel het algemeen bekend is dat privaatrechtelijke rechtspersonen in het algemeen belang kunnen handelen, lijkt het mij overigens duidelijk dat een „gerechtvaardigd belang” geen toepassing van artikel 6, lid 1, onder e), AVG kan rechtvaardigen. De verhouding met de „uitoefening van openbaar gezag” en de overwegingen 45, 55 en 56 AVG wijzen er eerder op dat deze bepaling in de eerste plaats gericht is op overheidsinstanties in strikte zin, alsook op rechtspersonen met een taak van openbaar gezag, en in de tweede plaats op privaatrechtelijke rechtspersonen die verwerkingen uitvoeren in het kader van de openbare dienstverlening, bijvoorbeeld op het gebied van „volksgezondheid”, „sociale bescherming” en „het beheer van gezondheidszorgdiensten”, die uitdrukkelijk zijn vermeld in overweging 45. Deze bepaling heeft met andere woorden betrekking op de traditionele taken van de staat.

77.

Ook zij opgemerkt dat in de overwegingen 55 en 56 AVG wordt verwezen naar „officieel erkende religieuze verenigingen” en naar „politieke partijen”, dat wil zeggen organisaties die volgens de criteria van de Uniewetgever activiteiten in het algemeen belang verrichten en daartoe persoonsgegevens verwerken. Het valt dan ook te betwijfelen of deze bepaling ook kan slaan op activiteiten van kredietinformatiebureaus, zoals scoring. Een dergelijke uitlegging zou de werkingssfeer van deze bepaling aanzienlijk verruimen en het bijzonder moeilijk maken om de grenzen van deze openingsclausule te bepalen. ( 37 )

78.

Naast de uiteengezette overwegingen moet in dit verband worden opgemerkt dat § 31 BDSG weliswaar beoogt economische transacties te beschermen, maar dat in deze bepaling geen concrete taken van de bedoelde ondernemingen worden genoemd. ( 38 ) Zoals ik reeds in deze conclusie heb aangegeven, waarbij ik mij baseer op de verduidelijkingen van de verwijzende rechter over het nationale rechtskader, heeft deze bepaling betrekking op het „gebruik” van de score door marktdeelnemers en niet op de „vaststelling” ervan door kredietinformatiebureaus. ( 39 ) Centraal in het hoofdgeding staat echter de rechtmatigheid van deze activiteit. Om de hierboven uiteengezette redenen ben ik van mening dat artikel 6, lid 1, onder e), AVG niet geschikt is als rechtsgrond.

79.

Vervolgens moet worden onderzocht of deze activiteit binnen de werkingssfeer van artikel 6, lid 1, onder f), AVG valt. Volgens de rechtspraak van het Hof ( 40 ) zijn in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan wil een verwerking van persoonsgegevens rechtmatig zijn, namelijk, in de eerste plaats de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de tweede plaats de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en in de derde plaats de voorwaarde dat de grondrechten en fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen.

80.

Wat om te beginnen de behartiging van een „gerechtvaardigd belang” betreft, wil ik eraan herinneren dat de AVG en de rechtspraak een breed scala aan belangen als gerechtvaardigd erkennen ( 41 ), met dien verstande dat het krachtens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om aan te geven welke gerechtvaardigde belangen worden behartigd in de zin van artikel 6, lid 1, onder f), AVG. Zoals ik in deze conclusie reeds heb aangegeven, beoogt § 31 BDSG de rechtmatigheid van de activiteiten van kredietinformatiebureaus te waarborgen, aangezien deze ondernemingen volgens de Duitse wetgever bijdragen tot het goed functioneren van de economie. ( 42 ) Aangezien deze activiteiten verschillende marktdeelnemers bescherming bieden tegen de risico’s die inherent zijn aan insolventie, met ernstige gevolgen voor de stabiliteit van het financiële stelsel, kan in dit stadium van de analyse worden aangenomen dat de bovengenoemde nationale bepaling een economische doelstelling nastreeft, die een „gerechtvaardigd belang” in de zin van artikel 6, lid 1, onder f), AVG kan vormen.

81.

Wat vervolgens de voorwaarde betreft inzake de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang, moeten volgens de rechtspraak van het Hof de uitzonderingen en beperkingen ter zake van de bescherming van persoonsgegevens binnen de grenzen van het strikt noodzakelijke blijven. ( 43 ) Derhalve moet er een nauw verband bestaan tussen de verwerking en het nagestreefde belang, bij gebreke van alternatieven die de bescherming van persoonsgegevens beter in acht nemen, aangezien het niet volstaat dat de verwerking louter nuttig is voor de verwerkingsverantwoordelijke. In dit verband moet worden opgemerkt dat de verwijzende rechter weliswaar twijfels uit over de rechtmatigheid van scoring in het licht van de bepalingen van de AVG, maar geen informatie verstrekt waaruit blijkt dat er eventueel alternatieve maatregelen voorhanden zouden zijn die de bescherming van persoonsgegevens beter in acht nemen. Bij gebreke van andersluidende informatie, ben ik geneigd te erkennen dat er bij de keuze van de juiste maatregelen om het beoogde doel te bereiken enige speelruimte bestaat.

82.

Ten slotte moet, wat betreft de afweging tussen de belangen van de verwerkingsverantwoordelijke enerzijds en de belangen of grondrechten en fundamentele vrijheden van de betrokkene anderzijds, worden vastgesteld dat deze belangenafweging in casu bij een wetgevende handeling heeft plaatsgevonden. Met de vaststelling van § 31 BDSG heeft de Duitse wetgever economische belangen zwaarder laten wegen dan het recht op bescherming van persoonsgegevens. Een dergelijke benadering is echter alleen mogelijk indien artikel 6, lid 1, onder f), AVG een clausule zou bevatten op grond waarvan de lidstaten specifiekere voorschriften zouden kunnen handhaven of invoeren ter aanpassing van de manier waarop de regels van die verordening met betrekking tot verwerking worden toegepast. Maar dat is niet het geval, zoals ik hieronder zal uitleggen.

83.

Zoals duidelijk blijkt uit de bewoordingen van artikel 6, leden 2 en 3, AVG, kunnen specifiekere bepalingen slechts worden gehandhaafd of ingevoerd in de in lid 1, onder c) en e), bedoelde gevallen. Uit de voorgaande analyse is gebleken dat § 31 BDSG geen betrekking heeft op omstandigheden die daaronder zouden kunnen vallen, waardoor het logischerwijs is uitgesloten dat artikel 6, leden 2 en 3, AVG als rechtsgrond kan worden ingeroepen. Toepassing op het onder punt f), van lid 1 beoogde geval zou niet alleen in strijd zijn met de bewoordingen van die bepalingen, maar ook indruisen tegen de bedoeling van de Uniewetgever, zoals die blijkt uit de ontstaansgeschiedenis van deze bepalingen.

84.

In dit verband wil ik eraan herinneren dat de lidstaten op grond van artikel 5 van richtlijn 95/46/EG ( 44 ) – de voorloper van de AVG – verplicht waren „de voorwaarden [te bepalen] waaronder de verwerking van persoonsgegevens rechtmatig is”. Het Hof heeft deze bepaling aldus uitgelegd dat niets eraan in de weg staat dat de lidstaten bij de uitoefening van hun in artikel 5 van richtlijn 95/46 neergelegde beoordelingsmarge „richtsnoeren” vaststellen voor de afweging die nodig is krachtens artikel 7, onder f), van die richtlijn, dat overeenkomt met artikel 6, lid 1, onder f), AVG. Het is echter belangrijk op te merken dat de AVG de lidstaten geen dergelijke bevoegdheid meer verleent. Doordat een vergelijkbare bepaling in deze verordening ontbreekt, mogen de lidstaten in hun nationale recht namelijk geen richtsnoeren meer vaststellen om het „gerechtvaardigde belang” in de zin van artikel 6, lid 1, onder f), van die verordening nader te bepalen. ( 45 )

85.

De verwijzing in de leden 2 en 3 naar de „bepalingen in verband met specifieke situaties op het gebied van gegevensverwerking” van hoofdstuk IX leidt niet tot een verruiming van de werkingssfeer van artikel 6 AVG. Het gaat veeleer om een verwijzing naar bepalingen op grond waarvan de lidstaten specifiekere regels kunnen vaststellen in welomschreven gebieden, namelijk wanneer de verwerking noodzakelijk is voor de naleving van een „wettelijke verplichting” in de zin van punt c) van lid 1, of voor de uitvoering van een „taak van algemeen belang”, dan wel in het kader van de uitoefening van het „openbaar gezag”, als bedoeld in punt e) van dat lid. ( 46 ) Zoals ik reeds eerder heb aangegeven, houden deze gebieden echter geen verband met de omstandigheden waarin § 31 BDSG van toepassing is.

86.

In dit verband zij er tevens aan herinnerd dat de Commissie in haar voorstel voor een verordening weliswaar de bevoegdheid werd toegekend om „gedelegeerde handelingen vast te stellen met het oog op de nadere invulling van de in [artikel 6], lid 1, onder f), bedoelde voorwaarden, voor diverse sectoren en situaties op het gebied van gegevensverwerking, onder meer ten aanzien van de verwerking van persoonsgegevens met betrekking tot kinderen”, maar dat dit voorstel niet door de Uniewetgever is overgenomen. Uit een analyse van de ontwikkeling van de tekst blijkt dat de regelgevende bevoegdheden van de lidstaten zijn beperkt in het belang van een grotere harmonisatie, om een coherente en homogene toepassing van de regels in verband met de verwerking van persoonsgegevens te verzekeren, zoals ook wordt bevestigd door de overwegingen 3, 9 en 10 AVG. ( 47 ) Hiermee moet rekening worden gehouden bij de uitlegging van artikel 6 AVG.

87.

Tot slot acht ik het noodzakelijk erop te wijzen dat zelfs indien artikel 6, lid 1, onder f), AVG van toepassing zou zijn, een nationale bepaling als § 31 BDSG niet kan worden geacht in overeenstemming te zijn met het Unierecht. Ik wijs erop dat het Hof artikel 7, onder f), van richtlijn 95/46 aldus heeft uitgelegd dat „[e]en lidstaat […] voor [bepaalde] categorieën [persoonsgegevens] de uitkomst van de afweging van de tegengestelde rechten en belangen […] niet definitief [mag] vaststellen, zonder ruimte te bieden voor een afwijkende uitkomst wegens de bijzondere omstandigheden van een concreet geval” ( 48 ). Aangezien deze bepaling in vrijwel identieke bewoordingen is gesteld als de bepaling waardoor zij is vervangen, te weten artikel 6, lid 1, onder f), AVG, lijkt deze uitlegging mij nog steeds geldig. ( 49 ) Zoals de verwijzende rechter suggereert, lijkt de nationale wetgever net dat doel voor ogen te hebben gehad, aangezien, nu § 31 BDSG het gebruik van scores in de financiële sector toestaat, de economische belangen van de financiële sector zwaarder wegen dan het recht op bescherming van persoonsgegevens, zonder dat evenwel rekening wordt gehouden met de bijzondere omstandigheden van het concrete geval. Een dergelijke aanpak zou erop neerkomen dat de werkingssfeer van artikel 6 AVG op ontoelaatbare wijze wordt verruimd.

88.

Gelet op het voorgaande ben ik van mening dat artikel 6, lid 1, onder f), AVG niet geldig kan worden ingeroepen als rechtsgrond voor de vaststelling van een nationale bepaling als § 31 BDSG.

89.

De verwijzende rechter wijst erop dat in het kader van de wetgevingsprocedure voor de vaststelling van § 31 BDSG, artikel 6, lid 4, en artikel 23, lid 1, AVG als rechtsgronden zijn aangevoerd. In een later stadium zou die gedachtegang echter verlaten zijn. Volgens de verwijzende rechter zijn deze bepalingen in casu niet van toepassing.

90.

Bij gebreke van meer gedetailleerde informatie kan ik geen standpunt innemen over de vraag of bovengenoemde bepalingen van toepassing zouden kunnen zijn. Dit lijkt mij ook niet nodig omdat die bepalingen, zoals de verwijzende rechter stelt, tijdens de wetgevingsprocedure geen enkele rol hebben gespeeld. ( 50 )

91.

In de voorgaande punten heb ik de vraag onderzocht of de artikelen 6 en 22 AVG kunnen dienen als rechtsgrond voor de vaststelling van een nationale bepaling, zoals § 31 BDSG, om de rechtmatigheid van het vaststellen van scores in het kader van activiteiten van kredietinformatiebureaus te onderbouwen. Een aantal redenen, die ik in mijn analyse uitvoerig heb uiteengezet, sterken mij in de overtuiging dat deze mogelijkheid moet worden uitgesloten. Samenvattend ben ik – bij gebreke van openingsclausules of vrijstellingen die de lidstaten toestaan nadere regels vast te stellen of van de regels van de AVG af te wijken teneinde deze activiteit te reguleren, en rekening houdend met de mate van harmonisatie die wordt nagestreefd door deze verordening, die overeenkomstig artikel 288 VWEU verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat – van mening dat een dergelijke bepaling niet in overeenstemming is met de AVG.

92.

Aangezien het Hof in een prejudiciële procedure op grond van artikel 267 VWEU niet bevoegd is om het nationale recht uit te leggen of zich uit te spreken over de verenigbaarheid daarvan met het Unierecht, dienen de in deze conclusie uiteengezette argumenten te worden opgevat als aanwijzingen voor de uitlegging van de relevante bepalingen van de AVG, zodat de verwijzende rechter deze bevoegdheid in voorkomend geval kan uitoefenen nadat hij zelf § 31 BDSG aan de AVG heeft getoetst en met name heeft onderzocht of het mogelijk is de nationale wetgeving uit te leggen overeenkomstig de vereisten van het Unierecht.

93.

Het beginsel van voorrang van het Unierecht houdt in dat dit recht voorrang heeft op het recht van de lidstaten. Dit beginsel verplicht dus alle instanties van de lidstaten om volle werking te verlenen aan de verschillende bepalingen van het Unierecht, aangezien het recht van de lidstaten niet kan afdoen aan de werking die op het grondgebied van die staten aan deze bepalingen is verleend. Dit beginsel brengt mee dat, indien nationale wetgeving niet in overeenstemming met de vereisten van het Unierecht kan worden uitgelegd, de nationale rechter die in het kader van zijn bevoegdheid is belast met de toepassing van de bepalingen van het Unierecht, verplicht is de volle werking van deze bepalingen te verzekeren en daarbij zo nodig, op eigen gezag, elke, zelfs latere, strijdige bepaling van de nationale wetgeving buiten toepassing te laten, zonder dat hij de voorafgaande opheffing hiervan via de wetgeving of enige andere constitutionele procedure hoeft te vragen of af te wachten. ( 51 )

94.

In antwoord op de tweede prejudiciële vraag ben ik van mening dat artikel 6, lid 1, en artikel 22 AVG aldus moeten worden uitgelegd zij niet in de weg staan aan een nationale wettelijke regeling inzake profilering wanneer het gaat om andere profilering dan die als bedoeld in artikel 22, lid 1, van die verordening. De nationale wettelijke regeling moet in dat geval echter wel voldoen aan de voorwaarden van artikel 6 van die verordening en met name een passende rechtsgrond hebben, hetgeen door de nationale rechter moet worden nagegaan.

95.

Gelet op een en ander geef ik het Hof in overweging om de prejudiciële vragen van het Verwaltungsgericht Wiesbaden te beantwoorden als volgt: