Nexvyra

EuGH C-203/22 (Dun & Bradstreet, VO 2016/679) – Auskunft über die Logik automatisierter Scoring-Entscheidungen und Geschäftsgeheimnisse

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-09-04 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Mit Urteil vom 27. Februar 2025 in der Rechtssache C-203/22 (CK ./. Magistrat der Stadt Wien und Dun & Bradstreet Austria GmbH) hat der Gerichtshof der Europäischen Union (Erste Kammer, ECLI:EU:C:2025:117) entschieden, wie weit der Auskunftsanspruch aus Art. 15 Abs. 1 lit. h DSGVO bei automatisierten Entscheidungen und Profiling reicht.

Zwei Kernaussagen:

  1. „Aussagekräftige Informationen über die involvierte Logik" bedeutet: Der Verantwortliche muss das tatsächlich angewandte Verfahren und die tatsächlich angewandten Grundsätze so erläutern, dass die betroffene Person versteht, welche ihrer personenbezogenen Daten auf welche Weise in die automatisierte Entscheidung eingeflossen sind – und zwar in präziser, transparenter, verständlicher und leicht zugänglicher Form (Art. 12 Abs. 1 DSGVO). Die Übermittlung einer komplexen mathematischen Formel oder des Algorithmus genügt ausdrücklich nicht; ebenso wenig die detaillierte Aufzählung sämtlicher Verarbeitungsschritte. Umgekehrt muss der Algorithmus selbst nicht offengelegt werden.
  2. Geschäftsgeheimnisse rechtfertigen keine pauschale Auskunftsverweigerung. Meint der Verantwortliche, die Auskunft würde Geschäftsgeheimnisse oder Rechte Dritter verletzen, muss er die betreffenden Informationen der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht vorlegen. Diese nehmen die Abwägung im Einzelfall vor und bestimmen, in welchem Umfang die betroffene Person Auskunft erhält.

Zusätzlich stellt der EuGH klar: Eine nationale Regelung, die das Auskunftsrecht bei Berührung von Geschäfts- oder Betriebsgeheimnissen generell ausschließt – wie § 4 Abs. 6 des österreichischen Datenschutzgesetzes – ist mit der DSGVO unvereinbar. Mitgliedstaaten dürfen das Ergebnis der unionsrechtlich gebotenen Einzelfallabwägung nicht vorwegnehmen.

Das Urteil ist die praktische Fortsetzung des SCHUFA-Scoring-Urteils C-634/21 vom 07.12.2023: Dort ging es um das Ob der automatisierten Entscheidung, hier um das Wie ihrer Erklärung.

Kernfakten

PunktWert
AktenzeichenC-203/22
ParteienCK ./. Magistrat der Stadt Wien, Beteiligte: Dun & Bradstreet Austria GmbH
Entscheidungsdatum27.02.2025
SpruchkörperEuGH, Erste Kammer
ECLIECLI:EU:C:2025:117
CELEX62022CJ0203
VerfahrensartVorabentscheidungsersuchen nach Art. 267 AEUV
Vorlegendes GerichtVerwaltungsgericht Wien (Österreich)
AusgangsfallAblehnung eines Mobilfunkvertrags über 10 EUR monatlich wegen automatisierter Bonitätsbeurteilung
Ausgelegte NormenArt. 15 Abs. 1 lit. h, Art. 15 Abs. 4, Art. 12 Abs. 1, Art. 22 DSGVO; Art. 2 Nr. 1 RL (EU) 2016/943
Nicht geschuldetOffenlegung des Algorithmus / der mathematischen Formel
Nicht ausreichendBloße Nennung der Formel oder Aufzählung aller Verarbeitungsschritte
GeschuldetErläuterung des tatsächlich angewandten Verfahrens und der Grundsätze
Beispielhaft ausreichendAngabe, ob und wie ein abweichender Datenwert zu einem anderen Ergebnis geführt hätte
Bei GeschäftsgeheimnisVorlage an Aufsichtsbehörde oder Gericht, dort Abwägung im Einzelfall
UnionsrechtswidrigNationale Norm, die Auskunft bei Geschäftsgeheimnis generell ausschließt (§ 4 Abs. 6 öDSG)
Auskunftsfrist1 Monat ab Eingang, verlängerbar um 2 Monate (Art. 12 Abs. 3 DSGVO)
Bußgeldrahmen bei VerstoßBis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist (Art. 83 Abs. 5 lit. b DSGVO)
Weitere SanktionImmaterieller Schadensersatz nach Art. 82 DSGVO
VorgängerurteilEuGH, 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)"
VorwirkungAuslegungsmaßstab auch für Art. 86 KI-VO (VO 2024/1689) – Geltungsbeginn siehe Hinweis unten

Geltungsbereich

Die DSGVO ist eine unmittelbar anwendbare EU-Verordnung; ein nationales Umsetzungsgesetz ist nicht erforderlich. Ein Vorabentscheidungsurteil des EuGH legt das Unionsrecht verbindlich für alle Mitgliedstaaten aus – die Auslegung wirkt grundsätzlich ex tunc, also auf den Zeitpunkt des Inkrafttretens der ausgelegten Norm (25.05.2018) zurück. Für Deutschland gilt das Urteil daher ohne weiteren Umsetzungsakt.

Erfasst ist jede automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 Abs. 1 und 4 DSGVO. Typische Fälle: Kredit- und Bonitätsscoring (SCHUFA, Crif, Creditreform Boniversum, Dun & Bradstreet), automatisierte Ablehnung von Ratenkauf oder Rechnungskauf im Online-Handel, Mobilfunk- und Leasingverträge, automatisiertes Bewerber-Screening, Betrugserkennung bei Zahlungsdiensten, algorithmische Tarifierung in der Versicherungswirtschaft.

Wichtig für die Anspruchsgegner: Der EuGH behandelt den Scoring-Anbieter selbst als Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO, obwohl er in der Regel kein direktes Vertragsverhältnis zur betroffenen Person hat. Betroffene können ihren Auskunftsanspruch daher sowohl gegen den Vertragspartner (im Ausgangsfall: den Mobilfunkanbieter) als auch gegen die Auskunftei richten.

Was der EuGH konkret entschieden hat

Zur ersten Vorlagefrage (Umfang der Auskunft). Der Gerichtshof leitet den Umfang aus Sinn und Zweck des Auskunftsrechts ab: Es soll die betroffene Person in die Lage versetzen, die Richtigkeit der verwendeten Daten und die Rechtmäßigkeit der Verarbeitung zu überprüfen und die weiteren Rechte aus Art. 16 (Berichtigung), Art. 17 (Löschung), Art. 18 (Einschränkung) und Art. 22 Abs. 3 DSGVO (Standpunkt darlegen, Entscheidung anfechten, menschliches Eingreifen) auszuüben. Wer nicht versteht, warum eine Entscheidung so ausgefallen ist, kann sie nicht sinnvoll anfechten.

Daraus folgt der Maßstab: Die Auskunft muss das tatsächlich angewandte Verfahren beschreiben – nicht ein abstraktes Modell und nicht eine Marketing-Umschreibung. Sie muss erkennen lassen, welche personenbezogenen Daten verwendet wurden und auf welche Weise sie das Ergebnis beeinflusst haben. Die Komplexität der Verarbeitung entbindet den Verantwortlichen ausdrücklich nicht von dieser Pflicht.

Für die konkrete Ausgestaltung nennt der EuGH ein Beispiel: Es kann genügen, der betroffenen Person mitzuteilen, ob und inwiefern eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte (kontrafaktische Erläuterung). Die weitere Ausgestaltung überlässt der Gerichtshof den Verantwortlichen und den nationalen Gerichten.

Zur zweiten Vorlagefrage (Geschäftsgeheimnisse). Der EuGH erkennt an, dass das Datenschutzgrundrecht nicht absolut gilt und mit dem Schutz von Geschäftsgeheimnissen im Sinne von Art. 2 Nr. 1 der Richtlinie (EU) 2016/943 sowie mit Rechten Dritter in Ausgleich zu bringen ist (Art. 15 Abs. 4 DSGVO, Erwägungsgrund 63). Dieser Ausgleich rechtfertigt aber keine vollständige Verweigerung. Wo immer möglich, sind Übermittlungsformen zu wählen, die Rechte Dritter nicht verletzen. Bleibt ein Konflikt, ist die angeblich geschützte Information der Aufsichtsbehörde oder dem Gericht vorzulegen; diese übernehmen eine Filterfunktion und bestimmen den Umfang der Auskunft.

Zur nationalen Ausschlussnorm. § 4 Abs. 6 des österreichischen Datenschutzgesetzes schloss das Auskunftsrecht in der Regel aus, wenn dadurch ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen oder eines Dritten gefährdet würde. Der EuGH hält dies für unionsrechtswidrig: Ein Mitgliedstaat darf das Ergebnis einer unionsrechtlich gebotenen Einzelfallabwägung nicht generell vorwegnehmen.

Was das für Betroffene in Deutschland bedeutet

Was das für Verantwortliche und Scoring-Anbieter bedeutet

Verhältnis zur KI-Verordnung (VO 2024/1689)

Art. 86 der KI-Verordnung gibt Personen, die von einer Entscheidung auf Grundlage eines Hochrisiko-KI-Systems nach Anhang III betroffen sind, ein Recht auf klare und aussagekräftige Erläuterung der Rolle des KI-Systems und der wesentlichen Elemente der Entscheidung. Die Formulierung liegt sehr nahe an Art. 15 Abs. 1 lit. h DSGVO, sodass C-203/22 als Auslegungsmaßstab für Art. 86 KI-VO herangezogen werden dürfte.

Hinweis zum Geltungsbeginn: Die ursprünglich für den 02.08.2026 vorgesehene Anwendbarkeit der Anhang-III-Hochrisikopflichten – und damit auch des Art. 86 KI-VO – wurde im Rahmen des sogenannten Digital-Omnibus-Pakets verschoben. Der maßgebliche Geltungstermin ist nicht gegen den amtlichen Amtsblatt-Text gegengeprüft und daher hier bewusst nicht als feststehendes Datum ausgewiesen. Der Auskunftsanspruch aus Art. 15 Abs. 1 lit. h DSGVO gilt davon unabhängig bereits heute.

Häufige Fehler

Beispiel

Herr S. bestellt im Onlineshop auf Rechnung. Der Shop lehnt den Rechnungskauf binnen Sekunden ab und verweist auf eine Bonitätsprüfung durch eine Auskunftei. Herr S. verlangt nach Art. 15 Abs. 1 lit. h DSGVO Auskunft – zunächst beim Shop, parallel bei der Auskunftei.

Quellen

Änderungsverlauf

Siehe auch

Stand