Rechtssache C‑634/21

OQ

gegen

Land Hessen

(Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden, Deutschland)

Urteil des Gerichtshofs (Erste Kammer) vom 7. Dezember 2023

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 22 – Automatisierte Entscheidung im Einzelfall – Wirtschaftsauskunfteien – Automatisierte Erstellung eines Wahrscheinlichkeitswerts in Bezug auf die Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen (‚Scoring‘) – Verwendung dieses Wahrscheinlichkeitswerts durch Dritte“

1. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Rechtsbehelfe – Gerichtlicher Rechtsbehelf gegen den Beschluss einer Aufsichtsbehörde über eine Beschwerde – Gerichtliche Überprüfung – Umfang – Grenzen – Fehlen

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 78 Abs. 1)

   (vgl. Rn. 34)

2. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht der betroffenen Person, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden – Automatisierte Entscheidung im Einzelfall – Begriff – Automatisierte Erstellung durch eine Wirtschaftsauskunftei eines von Dritten verwendeten Wahrscheinlichkeitswerts in Bezug auf die Kreditwürdigkeit einer Person – Einbeziehung – Voraussetzungen

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, 71. Erwägungsgrund und Art. 4 Nr. 4 sowie Art. 22 Abs. 1)

   (vgl. Rn. 43, 46, 50, 60-63, 73 und Tenor)

3. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht der betroffenen Person, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden – Ausnahmen – Nach dem Recht eines Mitgliedstaats zulässiger Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung – Verpflichtung, die in dieser Verordnung vorgesehenen Voraussetzungen und Anforderungen einzuhalten – Dem nationalen Gericht obliegende Prüfung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, 71. Erwägungsgrund sowie Art. 5, 6 und 22 Abs. 2 bis 4)

   (vgl. Rn. 53-55, 64, 67-70, 72)

Zusammenfassung

Die SCHUFA, eine private Gesellschaft deutschen Rechts, versorgt ihre Vertragspartner mit Informationen zur Kreditwürdigkeit von Personen. Dazu ordnet sie jeder betroffenen Person einen Wert („Score-Wert“) zu, den sie aus bestimmten Merkmalen auf der Grundlage mathematisch-statistischer Verfahren ermittelt. Die Ermittlung der Werte dient dazu, das künftige Verhalten einer Person, wie etwa die Rückzahlung eines Kredits, auf der Grundlage ihrer Zuordnung zu einer Gruppe anderer Personen mit vergleichbaren Merkmalen vorherzusagen.

Nachdem einem Kreditinstitut von der SCHUFA eine negative Auskunft erteilt worden war, verweigerte dieses Kreditinstitut OQ die Kreditierung. OQ forderte die SCHUFA auf, ihr Zugang zu den sie betreffenden Daten zu gewähren und die nach ihrer Auffassung unrichtigen Daten zu löschen. Die SCHUFA teilte ihr jedoch nur ihren Score-Wert mit und legte allgemein dessen Berechnung dar, wobei sie sich im Übrigen auf das Betriebs- und Geschäftsgeheimnis berief.

OQ erhob daraufhin beim HBDI ( 1 ), der deutschen Aufsichtsbehörde, Beschwerde gegen die SCHUFA, die von der Aufsichtsbehörde mit der Begründung zurückgewiesen wurde, dass die Tätigkeit der SCHUFA mit den deutschen Rechtsvorschriften in Einklang stehe, in denen die Einzelheiten der Verwendung eines Wahrscheinlichkeitswerts in Bezug auf die Kreditwürdigkeit geregelt seien ( 2 ).

Das Verwaltungsgericht Wiesbaden (Deutschland), bei dem OQ Klage gegen den Bescheid des HBDI erhoben hat, hat den Gerichtshof um Auslegung der Bestimmungen der DSGVO ( 3 ) ersucht, die das Recht der betroffenen Person betreffen, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden ( 4 ).

In seinem Urteil legt der Gerichtshof erstmals die Bestimmungen der DSGVO aus, die den sensiblen Bereich von ausschließlich auf einer automatisierten Datenverarbeitung beruhenden Entscheidungen betreffen. In diesem Rahmen äußert er sich zu der Frage, ob die automatisierte Erstellung eines Wahrscheinlichkeitswerts in Bezug auf die Kreditwürdigkeit einer Person durch eine Wirtschaftsauskunftei eine automatisierte Entscheidung im Einzelfall darstellt und somit in den Anwendungsbereich dieser Bestimmungen fällt.

Würdigung durch den Gerichtshof

Zunächst stellt der Gerichtshof fest, dass die drei kumulativen Voraussetzungen für die Anwendbarkeit der Bestimmungen der DSGVO, die das Recht der Person regeln, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, im vorliegenden Fall erfüllt sind.

Zur ersten Voraussetzung, dem Vorliegen einer Entscheidung, stellt der Gerichtshof klar, dass der Begriff „Entscheidung“ eine weite Bedeutung hat und das Ergebnis der Berechnung der Kreditwürdigkeit einer Person in Form eines Wahrscheinlichkeitswerts in Bezug auf die Fähigkeit dieser Person zur Erfüllung künftiger Zahlungsverpflichtungen miteinschließen kann.

In Bezug auf die zweite Voraussetzung, wonach die Entscheidung „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – [beruhen]“ muss, steht nach Auffassung des Gerichtshofs fest, dass die Tätigkeit des fraglichen Unternehmens der Definition des „Profiling“ ( 5 ) entspricht und dass diese Voraussetzung somit im vorliegenden Fall erfüllt ist. Außerdem weist das vorlegende Gericht ausdrücklich darauf hin, dass es um die automatisierte Erstellung eines auf personenbezogene Daten einer Person gestützten Wahrscheinlichkeitswerts in Bezug auf deren Fähigkeit, künftig einen Kredit zu bedienen, gehe.

Was die dritte Voraussetzung betrifft, dass die Entscheidung gegenüber der betroffenen Person „rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise erheblich“ beeinträchtigen muss, weist der Gerichtshof darauf hin, dass im vorliegenden Fall das Handeln des Dritten, dem der Wahrscheinlichkeitswert übermittelt wird, „maßgeblich“ von diesem Wert geleitet wird. Ein unzureichender Wahrscheinlichkeitswert führt nämlich nahezu immer zur Verweigerung eines Kredits. Somit beeinträchtigt dieser Wert die betroffene Person zumindest erheblich.

Der Gerichtshof schließt daraus, dass in Fällen, in denen der von einer Wirtschaftsauskunftei ermittelte und einer Bank mitgeteilte Wahrscheinlichkeitswert eine maßgebliche Rolle bei der Gewährung eines Kredits spielt, die Ermittlung dieses Wertes als solche als Entscheidung einzustufen ist, die gegenüber einer betroffenen Person „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“ ( 6 ).

Sodann hebt der Gerichtshof hervor, dass diese Auslegung und vor allem die weite Bedeutung des Begriffs „Entscheidung“ den wirksamen Schutz verstärkt, auf den die DSGVO abzielt. Dagegen würde eine restriktive Auslegung, wonach die Ermittlung des Wahrscheinlichkeitswerts nur als vorbereitende Handlung anzusehen ist und nur die vom Dritten vorgenommene Handlung gegebenenfalls als „Entscheidung“ eingestuft werden kann, zu einer Rechtsschutzlücke führen. In diesem Fall würde nämlich die Ermittlung eines solchen Werts nicht den besonderen Anforderungen der DSGVO ( 7 ) unterliegen, obwohl dieses Verfahren auf einer automatisierten Verarbeitung beruht und Wirkungen entfaltet, welche die betroffene Person erheblich beeinträchtigen, da das Handeln des Dritten, dem dieser Wahrscheinlichkeitswert übermittelt wird, von diesem maßgeblich geleitet ist.

Außerdem könnte die betroffene Person zum einen bei der Wirtschaftsauskunftei, die den sie betreffenden Wahrscheinlichkeitswert ermittelt, ihr Recht auf Auskunft über die spezifischen Informationen ( 8 ) nicht geltend machen, wenn keine automatisierte Entscheidungsfindung durch dieses Unternehmen vorliegt. Zum anderen wäre der Dritte – unter der Annahme, dass die von ihm vorgenommene Handlung unter die Vorschriften der DSGVO fiele, die das Recht der Person betreffen, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden – nicht in der Lage, diese spezifischen Informationen vorzulegen, weil er darüber im Allgemeinen nicht verfügt.

Schließlich stellt der Gerichtshof fest, dass die Tatsache, dass die Ermittlung eines Wahrscheinlichkeitswerts von den Bestimmungen der DSGVO erfasst wird, die das Recht der Person regeln, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, zur Folge hat, dass sie verboten ist, es sei denn, eine der Ausnahmen ist anwendbar und die besonderen Anforderungen der DSGVO sind erfüllt.

Außerdem muss jede Verarbeitung personenbezogener Daten zum einen mit den in der DSGVO festgelegten Grundsätzen für die Datenverarbeitung im Einklang stehen und zum anderen, insbesondere in Anbetracht des Grundsatzes der Rechtmäßigkeit der Verarbeitung, eine der Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen.

In diesem Zusammenhang weist der Gerichtshof darauf hin, dass das vorlegende Gericht auf die Ausnahme Bezug nimmt, wonach der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung zulässig sein kann, wenn dies im Recht des Mitgliedstaats vorgesehen ist. Insoweit erläutert er, dass das vorlegende Gericht zu prüfen hat, ob die nationalen Rechtsvorschriften, die die Einzelheiten der Verwendung eines Wahrscheinlichkeitswerts in Bezug auf die Kreditwürdigkeit regeln, als Rechtsgrundlage qualifiziert werden können, wonach der Erlass einer solchen Entscheidung zulässig wäre, und, wenn ja, ob die Voraussetzungen für diese Ausnahme und die Voraussetzungen in Bezug auf die in der DSGVO vorgesehenen Grundsätze für die Verarbeitung im vorliegenden Fall erfüllt sind.

( 1 ) Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) (Deutschland).

( 2 ) § 31 Bundesdatenschutzgesetz (BDSG) vom 30. Juni 2017 (BGBl. I S. 2097).

( 3 ) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO).

( 4 ) Art. 22 DSGVO.

( 5 ) Im Sinne von Art. 4 Nr. 4 DSGVO.

( 6 ) Im Sinne von Art. 22 Abs. 1 DSGVO.

( 7 ) In Art. 22 Abs. 2 bis 4 DSGVO genannte Anforderungen. Aus diesen Bestimmungen ergibt sich, dass das Verbot einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung im Einzelfall drei Ausnahmen unterliegt, die mit zusätzlichen Garantien verbunden sind. So ist eine solche Entscheidung zulässig, wenn sie für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist, wenn sie aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist oder wenn sie mit ausdrücklicher Einwilligung der betroffenen Person erfolgt, vorausgesetzt, angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person sind vorgesehen.

( 8 ) Im Sinne von Art. 15 Abs. 1 Buchst. h DSGVO, der im Fall einer automatisierten Entscheidungsfindung der betroffenen Person ein umfassendes Auskunftsrecht gewährt.