EuGH: Bonitätsbewertungen müssen transparenter werden

Die Erklärung müsse ihnen ermöglichen, die Entscheidung nachzuvollziehen und sie anzufechten, so die Luxemburger Richter. Hintergrund war ein Fall aus Österreich: Ein Mobilfunkanbieter verweigerte einer Kundin den Abschluss eines Vertrags, da sie über keine ausreichende Bonität verfüge.

Die Entscheidung basierte auf einer Bonitätsbeurteilung des auf solche Beurteilungen spezialisierten Unternehmens Dun & Bradstreet Austria, die automatisiert durchgeführt wurde. Der Bonitätswert wird mithilfe eines Algorithmus von sogenannten Wirtschaftsauskunfteien erstellt. Die Bonität beschreibt die Zahlungsfähigkeit und somit Kreditwürdigkeit einer Person oder eines Unternehmens.

Der Vertrag hätte die Kundin zu einer monatlichen Zahlung von zehn Euro verpflichtet. Diese wandte sich daraufhin an ein österreichisches Gericht. Dieses stellte fest, dass Dun & Bradstreet gegen die Datenschutz-Grundverordnung (DSGVO) der EU verstoßen habe. Dun & Bradstreet habe der Kundin keine "aussagekräftigen Informationen über die involvierte Logik" der Entscheidungsfindung gegeben und auch keine Begründung, warum sie diese nicht erhalten könne.

Österreichisches Gericht ersuchte um Auslegung der DSGVO

Das österreichische Gericht ersuchte den EuGH um eine Auslegung der DSGVO und der Richtlinie über den Schutz von Geschäftsgeheimnissen. Den EU-Richtern zufolge muss der Verantwortliche das angewandte Verfahren und die Grundsätze so beschreiben, dass die betroffene Person nachvollziehen kann, welche ihrer personenbezogenen Daten im Rahmen der automatisierten Entscheidungsfindung auf welche Art verwendet wurden.

Die betroffene Person müsste beispielsweise informiert werden, in welchem Maße eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte. Die Übermittlung eines Algorithmus reicht laut Urteil nicht aus. Ist der Verantwortliche der Ansicht, dass die zu übermittelnden Informationen geschützte Daten Dritter oder Geschäftsgeheimnisse umfassen, hat er diese der zuständigen Aufsichtsbehörde oder dem Gericht zu übermitteln. Diese müssen dann die betroffenen Rechte und Interessen abwägen. Der Gerichtshof betont, dass die DSGVO einer nationalen Bestimmung entgegenstehe, die das Auskunftsrecht grundsätzlich ausschließt, wenn dies ein Geschäfts- oder Betriebsgeheimnis gefährden würde. Der EuGH urteilt allerdings nie im konkreten Fall, sondern beantwortet Fragen zur Auslegung des EU-Rechts.

(APA/Red)