EuGH, Urt. 27.2.2025 - C-203/22
Umfang des Auskunftsanspruchs bei automatisierten Entscheidungen
Autor: RA, FA IT‑Recht Dr. Aegidius Vogt, Herberger Vogt von Schoeler, München – www.hvs-rechtsanwaelte.de
Aus: IT-Rechtsberater, Heft 05/2025
Aus: IT-Rechtsberater, Heft 05/2025
Bei automatisierten Entscheidungsfindungen i.S.v. Art. 22 Abs. 1 DSGVO müssen Verantwortliche den Betroffenen anhand der maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form das Verfahren und die Grundsätze erläutern, die bei der Datenverarbeitung zur Gewinnung eines bestimmten Ergebnisses (hier: Bonitätsprofil) konkret angewandt wurden. Beruft sich der Verantwortliche auf Geschäftsgeheimnisse oder geschützte Daten Dritter, muss er der Aufsichtsbehörde bzw. dem Gericht diese Informationen zur konkreten Ermittlung des Auskunftsumfangs bereitstellen.
AEUV Art. 267; DSGVO Art. 15 Abs. 1 lit. h), Art. 22; RL (EU) 2016/943 Art. 2 Nr. 1
Grundsätze der Auslegung:Nach st. Rspr. seien bei der Auslegung einer Bestimmung des Unionsrechts neben dem Wortlaut auch ihr Kontext und die mit der Regelung verfolgten Ziele zu berücksichtigen (vgl. nur EuGH v. 4.5.2023 – C-487/21, ITRB 2023, 227 [Vogt] = CR 2023, 433).
Wortlaut:Die Bedeutungen des Ausdrucks „aussagekräftige Informationen“ in Art. 15 Abs. 1 lit. h DSGVO seien bei Analyse der verschiedenen Sprachfassungen unterschiedlich. Diese Vielfalt sei im Sinne einer Komplementarität der Bedeutungen zu lösen und entsprechend zu berücksichtigen. Im Ergebnis seien unter den Wortlaut alle Informationen zu subsumieren, die für das Verfahren und die Grundsätze der automatisierten Verarbeitung personenbezogener Daten zum Erreichen eines bestimmten Ergebnisses auf der Grundlage dieser Daten maßgeblich seien.
Regelungskontext:Hierbei sei insb. zu berücksichtigen, dass bei einer automatisierten Entscheidungsfindung i.S.v. Art. 22 Abs. 1 DSGVO das diesbezügliche Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO mit den weiteren Informationspflichten des Verantwortlichen (Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g DSGVO) eine Einheit bilde (vgl. EuGH v. 7.12.2023 – C-634/21, ITRB 2024, 34 [Rössel] = CR 2024, 29). Zudem gelte das in Art. 12 Abs. 1 DSGVO niedergelegte Transparenzerfordernis für sämtliche Daten und Informationen, die gem. Art. 15 DSGVO zu beauskunften seien. Die nach der Wortlautauslegung zu erteilenden Informationen müssten daher in präziser, transparenter, verständlicher und leicht zugänglicher Form übermittelt werden.
Ziele der DSGVO:Die DSGVO bezwecke ein hohes Datenschutzniveau (vgl. EuGH v. 4.10.2024 – C-446/21, ITRB 2025, 6 [Rössel] = CR 2024, 807). Nach Erwgrd. 11 der DSGVO seien dementsprechend die Rechte der betroffenen Personen zu stärken und präzise festzulegen, was im Rahmen des Auskunftsrechts bedeute, dass den Betroffenen eine Überprüfungsmöglichkeit gegeben werden müsse, ob die Daten richtig und in zulässiger Weise verarbeitet worden seien. Nicht zuletzt sei dieses Auskunftsrecht erforderlich, damit Betroffene ihre weiteren Rechte aus Kap. III DSGVO ausüben könnten (vgl. nur EuGH v. 4.5.2023 – C-487/21, ITRB 2023, 227 [Vogt] = CR 2023, 433). Im Kontext einer automatisierten Entscheidung bezwecke das Auskunftsrecht hauptsächlich, den Betroffenen ihr Recht auf Darlegung ihres eigenen Standpunkts und auf Anfechtung der Entscheidung zu ermöglichen (Art. 22 Abs. 3 DSGVO).
Umfang der Auskunft:Art. 15 Abs. 1 lit. h DSGVO biete im Zusammenhang mit Erwgrd. 71 der DSGVO ein echtes Recht auf Erläuterung der Funktionsweise des Mechanismus und Ergebnisses einer automatisierten Entscheidungsfindung. Weder die bloße Übermittlung einer komplexen mathematischen Formel noch die detaillierte Beschreibung jedes Schritts einer automatisierten Entscheidungsfindung genügten diesen Anforderungen, da beides keine ausreichend präzise und verständliche Erläuterung darstelle. Im Fall des streitgegenständlichen Profilings könne es etwa erforderlich sein, die Kundin darüber zu informieren, in welchem Maß eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte.
Geheimnisschutz:Gem. Erwgrd. 4 der DSGVO bestehe das Recht auf Schutz personenbezogener Daten nicht uneingeschränkt, sondern müsse unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden (vgl. nur EuGH v. 26.10.2023 – C-307/22, ITRB 2024, 37 [Vogt] = CR 2024, 106). Nach Erwgrd. 63 der DSGVO solle das Auskunftsrecht die Rechte und Freiheiten anderer Personen (insb. Geschäftsgeheimnisse, geistiges Eigentum) nicht beeinträchtigen. Wie bereits zum Recht auf Kopie gem. Art. 15 Abs. 4 DSGVO festgestellt, seien die fraglichen Rechte dann gegeneinander abzuwägen und ggf. eine rechtsschonende Art der Auskunft zu finden, die aber nicht zu einer vollständigen Auskunftsverweigerung führen dürfe (vgl. EuGH v. 4.5.2023 – C-487/21, ITRB 2023, 227 [Vogt] = CR 2023, 433). Hinsichtlich der Umsetzung des Auskunftsrechts nach Art. 15 Abs. 1 lit. h DSGVO müssten angeblich geschützte Informationen der Aufsichtsbehörde bzw. dem Gericht übermittelt werden, damit diese eine Abwägung der kollidierenden Rechte und Interessen vornehmen könnten, um dann den konkreten Umfang des Auskunftsrechts ermitteln zu können (Übertragung der Rspr. des EuGH v. 2.3.2023 – C-268/21, EWiR 2023, 317).
AEUV Art. 267; DSGVO Art. 15 Abs. 1 lit. h), Art. 22; RL (EU) 2016/943 Art. 2 Nr. 1
Das Problem
Der Kundin eines Mobilfunkanbieters wurde aufgrund einer automatisiert durchgeführten Bonitätsbeurteilung mit negativem Ergebnis die Verlängerung ihres Vertrags verweigert. Die Kundin machte daraufhin ihr Auskunftsrecht nach Art. 15 Abs. 1 DSGVO geltend. Der EuGH hatte zu klären, welchen konkreten Umfang die Informationen bei einer automatisierten Entscheidungsfindung gem. Art. 15 Abs. 1 lit. h DSGVO („aussagekräftige Informationen über die involvierte Logik“) haben müssen und ob sich der vom Anbieter eingesetzte Bonitätsdienst dabei auf den Schutz von Geschäftsgeheimissen berufen kann.Die Entscheidung des Gerichts
Betroffenen einer automatisierten Entscheidungsfindung stehe ein umfangreiches Auskunftsrecht zu. Etwaige Interessen Verantwortlicher und Dritter bzgl. geschützter Informationen seien durch eine aufsichtsbehördliche bzw. gerichtliche Interessenabwägung zu wahren.Grundsätze der Auslegung:Nach st. Rspr. seien bei der Auslegung einer Bestimmung des Unionsrechts neben dem Wortlaut auch ihr Kontext und die mit der Regelung verfolgten Ziele zu berücksichtigen (vgl. nur EuGH v. 4.5.2023 – C-487/21, ITRB 2023, 227 [Vogt] = CR 2023, 433).
Wortlaut:Die Bedeutungen des Ausdrucks „aussagekräftige Informationen“ in Art. 15 Abs. 1 lit. h DSGVO seien bei Analyse der verschiedenen Sprachfassungen unterschiedlich. Diese Vielfalt sei im Sinne einer Komplementarität der Bedeutungen zu lösen und entsprechend zu berücksichtigen. Im Ergebnis seien unter den Wortlaut alle Informationen zu subsumieren, die für das Verfahren und die Grundsätze der automatisierten Verarbeitung personenbezogener Daten zum Erreichen eines bestimmten Ergebnisses auf der Grundlage dieser Daten maßgeblich seien.
Regelungskontext:Hierbei sei insb. zu berücksichtigen, dass bei einer automatisierten Entscheidungsfindung i.S.v. Art. 22 Abs. 1 DSGVO das diesbezügliche Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO mit den weiteren Informationspflichten des Verantwortlichen (Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g DSGVO) eine Einheit bilde (vgl. EuGH v. 7.12.2023 – C-634/21, ITRB 2024, 34 [Rössel] = CR 2024, 29). Zudem gelte das in Art. 12 Abs. 1 DSGVO niedergelegte Transparenzerfordernis für sämtliche Daten und Informationen, die gem. Art. 15 DSGVO zu beauskunften seien. Die nach der Wortlautauslegung zu erteilenden Informationen müssten daher in präziser, transparenter, verständlicher und leicht zugänglicher Form übermittelt werden.
Ziele der DSGVO:Die DSGVO bezwecke ein hohes Datenschutzniveau (vgl. EuGH v. 4.10.2024 – C-446/21, ITRB 2025, 6 [Rössel] = CR 2024, 807). Nach Erwgrd. 11 der DSGVO seien dementsprechend die Rechte der betroffenen Personen zu stärken und präzise festzulegen, was im Rahmen des Auskunftsrechts bedeute, dass den Betroffenen eine Überprüfungsmöglichkeit gegeben werden müsse, ob die Daten richtig und in zulässiger Weise verarbeitet worden seien. Nicht zuletzt sei dieses Auskunftsrecht erforderlich, damit Betroffene ihre weiteren Rechte aus Kap. III DSGVO ausüben könnten (vgl. nur EuGH v. 4.5.2023 – C-487/21, ITRB 2023, 227 [Vogt] = CR 2023, 433). Im Kontext einer automatisierten Entscheidung bezwecke das Auskunftsrecht hauptsächlich, den Betroffenen ihr Recht auf Darlegung ihres eigenen Standpunkts und auf Anfechtung der Entscheidung zu ermöglichen (Art. 22 Abs. 3 DSGVO).
Umfang der Auskunft:Art. 15 Abs. 1 lit. h DSGVO biete im Zusammenhang mit Erwgrd. 71 der DSGVO ein echtes Recht auf Erläuterung der Funktionsweise des Mechanismus und Ergebnisses einer automatisierten Entscheidungsfindung. Weder die bloße Übermittlung einer komplexen mathematischen Formel noch die detaillierte Beschreibung jedes Schritts einer automatisierten Entscheidungsfindung genügten diesen Anforderungen, da beides keine ausreichend präzise und verständliche Erläuterung darstelle. Im Fall des streitgegenständlichen Profilings könne es etwa erforderlich sein, die Kundin darüber zu informieren, in welchem Maß eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte.
Geheimnisschutz:Gem. Erwgrd. 4 der DSGVO bestehe das Recht auf Schutz personenbezogener Daten nicht uneingeschränkt, sondern müsse unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden (vgl. nur EuGH v. 26.10.2023 – C-307/22, ITRB 2024, 37 [Vogt] = CR 2024, 106). Nach Erwgrd. 63 der DSGVO solle das Auskunftsrecht die Rechte und Freiheiten anderer Personen (insb. Geschäftsgeheimnisse, geistiges Eigentum) nicht beeinträchtigen. Wie bereits zum Recht auf Kopie gem. Art. 15 Abs. 4 DSGVO festgestellt, seien die fraglichen Rechte dann gegeneinander abzuwägen und ggf. eine rechtsschonende Art der Auskunft zu finden, die aber nicht zu einer vollständigen Auskunftsverweigerung führen dürfe (vgl. EuGH v. 4.5.2023 – C-487/21, ITRB 2023, 227 [Vogt] = CR 2023, 433). Hinsichtlich der Umsetzung des Auskunftsrechts nach Art. 15 Abs. 1 lit. h DSGVO müssten angeblich geschützte Informationen der Aufsichtsbehörde bzw. dem Gericht übermittelt werden, damit diese eine Abwägung der kollidierenden Rechte und Interessen vornehmen könnten, um dann den konkreten Umfang des Auskunftsrechts ermitteln zu können (Übertragung der Rspr. des EuGH v. 2.3.2023 – C-268/21, EWiR 2023, 317).