---
title: EuGH C-203/22 (Dun & Bradstreet, VO 2016/679) – Auskunft über die Logik automatisierter Scoring-Entscheidungen und Geschäftsgeheimnisse
seo_title: EuGH C-203/22 – Auskunft über die Logik automatisierter…
slug: eugh-c-203-22-dun-bradstreet-auskunft-scoring-logik
topic: datenschutz
legal_status: in_force
authority_level: A
valid_from: 2025-02-27
valid_to: null
last_reviewed: 2026-09-05
status: aktuell
license: CC-BY-4.0
url: https://nexvyra.de/fakten/eugh-c-203-22-dun-bradstreet-auskunft-scoring-logik.md
wikidata_subjects: []
factcheck_status: review_proposed
---

# EuGH C-203/22 (Dun & Bradstreet, VO 2016/679) – Auskunft über die Logik automatisierter Scoring-Entscheidungen und Geschäftsgeheimnisse

## Kurzantwort

Mit Urteil vom **27. Februar 2025** in der Rechtssache **C-203/22 (CK ./. Magistrat der Stadt Wien und Dun & Bradstreet Austria GmbH)** hat der **Gerichtshof der Europäischen Union** (Erste Kammer, ECLI:EU:C:2025:117) entschieden, wie weit der Auskunftsanspruch aus **Art. 15 Abs. 1 lit. h DSGVO** bei automatisierten Entscheidungen und Profiling reicht.

Zwei Kernaussagen:

1. **„Aussagekräftige Informationen über die involvierte Logik"** bedeutet: Der Verantwortliche muss das **tatsächlich angewandte Verfahren und die tatsächlich angewandten Grundsätze** so erläutern, dass die betroffene Person **versteht, welche ihrer personenbezogenen Daten auf welche Weise** in die automatisierte Entscheidung eingeflossen sind – und zwar in **präziser, transparenter, verständlicher und leicht zugänglicher Form** (Art. 12 Abs. 1 DSGVO). Die Übermittlung einer **komplexen mathematischen Formel oder des Algorithmus** genügt ausdrücklich **nicht**; ebenso wenig die detaillierte Aufzählung sämtlicher Verarbeitungsschritte. Umgekehrt muss der Algorithmus selbst **nicht** offengelegt werden.
2. **Geschäftsgeheimnisse rechtfertigen keine pauschale Auskunftsverweigerung.** Meint der Verantwortliche, die Auskunft würde Geschäftsgeheimnisse oder Rechte Dritter verletzen, muss er die betreffenden Informationen der **zuständigen Aufsichtsbehörde oder dem zuständigen Gericht** vorlegen. Diese nehmen die **Abwägung im Einzelfall** vor und bestimmen, in welchem Umfang die betroffene Person Auskunft erhält.

Zusätzlich stellt der EuGH klar: Eine **nationale Regelung**, die das Auskunftsrecht bei Berührung von Geschäfts- oder Betriebsgeheimnissen **generell ausschließt** – wie § 4 Abs. 6 des österreichischen Datenschutzgesetzes – ist mit der DSGVO **unvereinbar**. Mitgliedstaaten dürfen das Ergebnis der unionsrechtlich gebotenen Einzelfallabwägung nicht vorwegnehmen.

Das Urteil ist die praktische Fortsetzung des SCHUFA-Scoring-Urteils **C-634/21** vom 07.12.2023: Dort ging es um das **Ob** der automatisierten Entscheidung, hier um das **Wie** ihrer Erklärung.

## Kernfakten

| Punkt | Wert |
|---|---|
| Aktenzeichen | C-203/22 |
| Parteien | CK ./. Magistrat der Stadt Wien, Beteiligte: Dun & Bradstreet Austria GmbH |
| Entscheidungsdatum | 27.02.2025 |
| Spruchkörper | EuGH, Erste Kammer |
| ECLI | ECLI:EU:C:2025:117 |
| CELEX | 62022CJ0203 |
| Verfahrensart | Vorabentscheidungsersuchen nach Art. 267 AEUV |
| Vorlegendes Gericht | Verwaltungsgericht Wien (Österreich) |
| Ausgangsfall | Ablehnung eines Mobilfunkvertrags über **10 EUR monatlich** wegen automatisierter Bonitätsbeurteilung |
| Ausgelegte Normen | Art. 15 Abs. 1 lit. h, Art. 15 Abs. 4, Art. 12 Abs. 1, Art. 22 DSGVO; Art. 2 Nr. 1 RL (EU) 2016/943 |
| Nicht geschuldet | Offenlegung des Algorithmus / der mathematischen Formel |
| Nicht ausreichend | Bloße Nennung der Formel oder Aufzählung aller Verarbeitungsschritte |
| Geschuldet | Erläuterung des tatsächlich angewandten Verfahrens und der Grundsätze |
| Beispielhaft ausreichend | Angabe, ob und wie ein **abweichender Datenwert** zu einem anderen Ergebnis geführt hätte |
| Bei Geschäftsgeheimnis | Vorlage an Aufsichtsbehörde oder Gericht, dort Abwägung im Einzelfall |
| Unionsrechtswidrig | Nationale Norm, die Auskunft bei Geschäftsgeheimnis **generell** ausschließt (§ 4 Abs. 6 öDSG) |
| Auskunftsfrist | 1 Monat ab Eingang, verlängerbar um 2 Monate (Art. 12 Abs. 3 DSGVO) |
| Bußgeldrahmen bei Verstoß | Bis **20 Mio. EUR** oder **4 %** des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist (Art. 83 Abs. 5 lit. b DSGVO) |
| Weitere Sanktion | Immaterieller Schadensersatz nach Art. 82 DSGVO |
| Vorgängerurteil | EuGH, 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)" |
| Vorwirkung | Auslegungsmaßstab auch für Art. 86 KI-VO (VO 2024/1689) – Geltungsbeginn siehe Hinweis unten |

## Geltungsbereich

Die DSGVO ist eine **unmittelbar anwendbare EU-Verordnung**; ein nationales Umsetzungsgesetz ist nicht erforderlich. Ein Vorabentscheidungsurteil des EuGH legt das Unionsrecht **verbindlich für alle Mitgliedstaaten** aus – die Auslegung wirkt grundsätzlich **ex tunc**, also auf den Zeitpunkt des Inkrafttretens der ausgelegten Norm (25.05.2018) zurück. Für Deutschland gilt das Urteil daher ohne weiteren Umsetzungsakt.

Erfasst ist jede **automatisierte Entscheidungsfindung einschließlich Profiling** im Sinne von Art. 22 Abs. 1 und 4 DSGVO. Typische Fälle: Kredit- und Bonitätsscoring (SCHUFA, Crif, Creditreform Boniversum, Dun & Bradstreet), automatisierte Ablehnung von Ratenkauf oder Rechnungskauf im Online-Handel, Mobilfunk- und Leasingverträge, automatisiertes Bewerber-Screening, Betrugserkennung bei Zahlungsdiensten, algorithmische Tarifierung in der Versicherungswirtschaft.

Wichtig für die Anspruchsgegner: Der EuGH behandelt den **Scoring-Anbieter selbst als Verantwortlichen** im Sinne von Art. 4 Nr. 7 DSGVO, obwohl er in der Regel kein direktes Vertragsverhältnis zur betroffenen Person hat. Betroffene können ihren Auskunftsanspruch daher **sowohl gegen den Vertragspartner** (im Ausgangsfall: den Mobilfunkanbieter) **als auch gegen die Auskunftei** richten.

## Was der EuGH konkret entschieden hat

**Zur ersten Vorlagefrage (Umfang der Auskunft).** Der Gerichtshof leitet den Umfang aus Sinn und Zweck des Auskunftsrechts ab: Es soll die betroffene Person in die Lage versetzen, die **Richtigkeit der verwendeten Daten** und die **Rechtmäßigkeit der Verarbeitung** zu überprüfen und die weiteren Rechte aus Art. 16 (Berichtigung), Art. 17 (Löschung), Art. 18 (Einschränkung) und Art. 22 Abs. 3 DSGVO (Standpunkt darlegen, Entscheidung anfechten, menschliches Eingreifen) auszuüben. Wer nicht versteht, warum eine Entscheidung so ausgefallen ist, kann sie nicht sinnvoll anfechten.

Daraus folgt der Maßstab: Die Auskunft muss das **tatsächlich angewandte** Verfahren beschreiben – nicht ein abstraktes Modell und nicht eine Marketing-Umschreibung. Sie muss erkennen lassen, **welche personenbezogenen Daten** verwendet wurden und **auf welche Weise** sie das Ergebnis beeinflusst haben. Die **Komplexität** der Verarbeitung entbindet den Verantwortlichen ausdrücklich **nicht** von dieser Pflicht.

Für die konkrete Ausgestaltung nennt der EuGH ein Beispiel: Es kann genügen, der betroffenen Person mitzuteilen, **ob und inwiefern eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte** (kontrafaktische Erläuterung). Die weitere Ausgestaltung überlässt der Gerichtshof den Verantwortlichen und den nationalen Gerichten.

**Zur zweiten Vorlagefrage (Geschäftsgeheimnisse).** Der EuGH erkennt an, dass das Datenschutzgrundrecht nicht absolut gilt und mit dem Schutz von Geschäftsgeheimnissen im Sinne von Art. 2 Nr. 1 der Richtlinie (EU) 2016/943 sowie mit Rechten Dritter in Ausgleich zu bringen ist (Art. 15 Abs. 4 DSGVO, Erwägungsgrund 63). Dieser Ausgleich rechtfertigt aber **keine vollständige Verweigerung**. Wo immer möglich, sind Übermittlungsformen zu wählen, die Rechte Dritter nicht verletzen. Bleibt ein Konflikt, ist die angeblich geschützte Information der **Aufsichtsbehörde oder dem Gericht** vorzulegen; diese übernehmen eine **Filterfunktion** und bestimmen den Umfang der Auskunft.

**Zur nationalen Ausschlussnorm.** § 4 Abs. 6 des österreichischen Datenschutzgesetzes schloss das Auskunftsrecht in der Regel aus, wenn dadurch ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen oder eines Dritten gefährdet würde. Der EuGH hält dies für unionsrechtswidrig: Ein Mitgliedstaat darf das Ergebnis einer unionsrechtlich gebotenen Einzelfallabwägung nicht generell vorwegnehmen.

## Was das für Betroffene in Deutschland bedeutet

- **Der Auskunftsanspruch ist konkret geworden.** Wer wegen eines Scores abgelehnt wurde, kann nach Art. 15 Abs. 1 lit. h DSGVO eine **verständliche Erklärung** verlangen – nicht nur den Score-Wert und eine Liste abstrakter Merkmalskategorien.
- **Zwei Anspruchsgegner.** Die Auskunft kann sowohl beim Vertragspartner (Bank, Händler, Mobilfunkanbieter, Vermieter) als auch bei der Auskunftei geltend gemacht werden.
- **„Betriebsgeheimnis" ist keine ausreichende Begründung.** Wird die Auskunft mit diesem Hinweis pauschal verweigert, ist das nach C-203/22 rechtswidrig. Der richtige Weg für Betroffene: **Beschwerde bei der zuständigen Aufsichtsbehörde** nach Art. 77 DSGVO – die Behörde kann die zurückgehaltenen Informationen anfordern und die Abwägung selbst vornehmen.
- **Fristen.** Der Verantwortliche muss **unverzüglich, spätestens innerhalb eines Monats** antworten; die Frist kann bei Komplexität um **zwei weitere Monate** verlängert werden, worüber innerhalb des ersten Monats zu informieren ist (Art. 12 Abs. 3 DSGVO).
- **Kosten.** Die erste Auskunft ist **unentgeltlich** (Art. 12 Abs. 5 DSGVO). Nur bei offenkundig unbegründeten oder exzessiven, insbesondere häufig wiederholten Anträgen darf ein angemessenes Entgelt verlangt werden.
- **Nachgelagerte Rechte.** Ergibt die Auskunft, dass unrichtige Daten eingeflossen sind, greifen Art. 16 DSGVO (Berichtigung) und – bei erneutem Scoring – Art. 22 Abs. 3 DSGVO (Recht auf menschliches Eingreifen).

## Was das für Verantwortliche und Scoring-Anbieter bedeutet

- **Erklärbarkeit muss organisatorisch vorbereitet sein.** Ein Auskunftsprozess, der nur Rohdaten und Score-Werte ausgibt, erfüllt Art. 15 Abs. 1 lit. h nicht. Erforderlich sind vorbereitete, verständliche Erläuterungstexte zu den tatsächlich verwendeten Merkmalen und ihrer Wirkungsrichtung.
- **Vorlagepflicht statt Verweigerungsrecht.** Wer Geschäftsgeheimnisse geltend macht, muss die betreffenden Informationen der Aufsichtsbehörde oder dem Gericht **vorlegen**. Ein Schweigerecht besteht nicht.
- **Sanktionsrisiko.** Verstöße gegen die Betroffenenrechte der Art. 12 bis 22 DSGVO fallen unter den **oberen Bußgeldrahmen**: bis 20 Mio. EUR oder 4 % des weltweiten Vorjahres-Konzernumsatzes (Art. 83 Abs. 5 lit. b DSGVO). Nach EuGH C-383/23 (ILVA) bemisst sich die Obergrenze am **Konzernumsatz**, nicht am Umsatz der verstoßenden Einheit.
- **Zusätzlich Art. 82 DSGVO.** Eine verweigerte oder inhaltsleere Auskunft kann immateriellen Schadensersatz auslösen; der Kontrollverlust selbst kann nach der EuGH-Rechtsprechung ein ersatzfähiger Schaden sein.
- **Dokumentation.** Die Erläuterung sollte revisionsfest festgehalten werden – sie ist zugleich Nachweismaterial für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

## Verhältnis zur KI-Verordnung (VO 2024/1689)

**Art. 86 der KI-Verordnung** gibt Personen, die von einer Entscheidung auf Grundlage eines Hochrisiko-KI-Systems nach Anhang III betroffen sind, ein **Recht auf klare und aussagekräftige Erläuterung** der Rolle des KI-Systems und der wesentlichen Elemente der Entscheidung. Die Formulierung liegt sehr nahe an Art. 15 Abs. 1 lit. h DSGVO, sodass C-203/22 als **Auslegungsmaßstab** für Art. 86 KI-VO herangezogen werden dürfte.

**Hinweis zum Geltungsbeginn:** Die ursprünglich für den 02.08.2026 vorgesehene Anwendbarkeit der Anhang-III-Hochrisikopflichten – und damit auch des Art. 86 KI-VO – wurde im Rahmen des sogenannten Digital-Omnibus-Pakets verschoben. Der maßgebliche Geltungstermin ist **nicht gegen den amtlichen Amtsblatt-Text gegengeprüft** und daher hier bewusst nicht als feststehendes Datum ausgewiesen. Der Auskunftsanspruch aus Art. 15 Abs. 1 lit. h DSGVO gilt davon **unabhängig bereits heute**.

## Häufige Fehler

- **„Wir haben den Score genannt, damit ist die Auskunft erteilt."** Falsch. Art. 15 Abs. 1 lit. h verlangt Informationen über die **Logik**, nicht nur über das Ergebnis.
- **„Wir schicken die Formel, das ist die Logik."** Falsch – der EuGH stellt ausdrücklich fest, dass die Übermittlung einer komplexen mathematischen Formel keine hinreichend prägnante und verständliche Erläuterung ist.
- **„Alle Verarbeitungsschritte auflisten reicht."** Ebenfalls nicht ausreichend; eine erschöpfende Schrittliste ist nach dem Urteil gerade kein verständliches Erklärungsformat.
- **„Der Algorithmus muss offengelegt werden."** Auch das ist falsch. Der EuGH verlangt Verständlichkeit, nicht Quelloffenheit.
- **„Wegen Geschäftsgeheimnis dürfen wir schweigen."** Nach C-203/22 gerade nicht – es besteht eine Vorlagepflicht gegenüber Aufsichtsbehörde oder Gericht.
- **„Wir sind nur Dienstleister, nicht Verantwortlicher."** Der EuGH behandelt den Scoring-Anbieter im Ausgangsfall als Verantwortlichen; die Rolle ist eigenständig zu prüfen und nicht automatisch die eines Auftragsverarbeiters.
- **„Die Auskunft ist zu aufwendig."** Die Komplexität der automatisierten Verarbeitung entbindet nach dem Urteil ausdrücklich nicht von der Erläuterungspflicht.
- **Verwechslung mit C-634/21.** Das SCHUFA-Urteil betrifft die Frage, **ob** die Score-Erstellung eine automatisierte Entscheidung nach Art. 22 ist. C-203/22 betrifft, **was** dann konkret zu erklären ist.

## Beispiel

Herr S. bestellt im Onlineshop auf Rechnung. Der Shop lehnt den Rechnungskauf binnen Sekunden ab und verweist auf eine Bonitätsprüfung durch eine Auskunftei. Herr S. verlangt nach Art. 15 Abs. 1 lit. h DSGVO Auskunft – zunächst beim Shop, parallel bei der Auskunftei.

- **Unzureichend wäre:** „Ihr Score beträgt 87 von 100. Er wird aus soziodemografischen und Zahlungserfahrungsdaten mit einem statistischen Verfahren berechnet."
- **Ausreichend im Sinne des EuGH wäre:** Die Angabe, welche konkreten Daten zu Herrn S. verwendet wurden (z. B. Anzahl laufender Verträge, Alter der ältesten Kontoverbindung, eine gemeldete Zahlungsstörung aus 2024), in welche Richtung diese Merkmale gewirkt haben, und die kontrafaktische Aussage, dass ohne die gemeldete Zahlungsstörung ein Score oberhalb der Annahmeschwelle des Shops erreicht worden wäre.
- **Verweigert die Auskunftei** mit Verweis auf ihr Bewertungsmodell als Geschäftsgeheimnis, legt Herr S. Beschwerde nach Art. 77 DSGVO bei der zuständigen Landesdatenschutzbehörde ein. Die Behörde kann die zurückgehaltenen Informationen anfordern und entscheidet nach Abwägung, welche Teile Herrn S. mitzuteilen sind.
- **Stellt sich die gemeldete Zahlungsstörung als unrichtig heraus**, folgen Berichtigung nach Art. 16 DSGVO und ein Anspruch auf erneute, dann nicht mehr auf unrichtige Daten gestützte Bewertung; ein Anspruch auf menschliches Eingreifen ergibt sich aus Art. 22 Abs. 3 DSGVO.

## Quellen

- EUR-Lex – Urteil EuGH vom 27.02.2025, C-203/22 (Dun & Bradstreet Austria u. a.), CELEX 62022CJ0203: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62022CJ0203
- EUR-Lex – Urteilstext C-203/22 als PDF (deutsche Fassung): https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX%3A62022CJ0203
- CURIA – Volltext des Urteils C-203/22 (Permalink, docid 295841): https://curia.europa.eu/juris/document/document.jsf?docid=295841
- CURIA – Verfahrensdokumentation und Ergebnisliste zur Rechtssache C-203/22: https://curia.europa.eu/juris/liste.jsf?language=de&num=C-203/22
- CURIA – Pressemitteilung Nr. 22/25 vom 27.02.2025 zur Rechtssache C-203/22 (PDF): https://curia.europa.eu/site/upload/docs/application/pdf/2025-02/cp250022en.pdf
- dejure.org – EuGH, 27.02.2025, C-203/22 (Permalink): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=27.02.2025&Aktenzeichen=C-203%2F22
- dejure.org – Schlussanträge des Generalanwalts vom 12.09.2024, C-203/22 (Permalink): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=Generalanwalt+beim+EuGH&Datum=12.09.2024&Aktenzeichen=C-203%2F22
- EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), konsolidierte Fassung (Art. 12, 15, 22, 82, 83): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679
- EUR-Lex – Richtlinie (EU) 2016/943 über den Schutz von Geschäftsgeheimnissen (Art. 2 Nr. 1): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016L0943
- EUR-Lex – Urteil EuGH vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)", CELEX 62021CJ0634: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0634
- EUR-Lex – Urteil EuGH vom 13.02.2025, C-383/23 (ILVA), CELEX 62023CJ0383: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62023CJ0383
- EUR-Lex – Verordnung (EU) 2024/1689 (KI-Verordnung / AI Act), Art. 86: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R1689
- EDSA/EDPB – Leitlinien zu automatisierten Entscheidungen im Einzelfall und Profiling (WP251 rev.01, vom EDSA gebilligt): https://www.edpb.europa.eu/our-work-tools/general-guidance/gdpr-guidelines-recommendations-best-practices_de
- EDSA/EDPB – Leitlinien 01/2022 zu den Rechten betroffener Personen – Recht auf Auskunft: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_de
- gesetze-im-internet.de – § 34 BDSG (Auskunftsrecht der betroffenen Person, nationale Einschränkungen): https://www.gesetze-im-internet.de/bdsg_2018/__34.html
- gesetze-im-internet.de – § 37a BDSG (Scoring; eingeführt durch Art. 3 des Gesetzes vom 12.05.2026, BGBl. 2026 I Nr. 139, zur Umsetzung der Richtlinie (EU) 2023/2225): https://www.gesetze-im-internet.de/bdsg_2018/__37a.html
- gesetze-im-internet.de – § 43 BDSG (Bußgeldvorschriften): https://www.gesetze-im-internet.de/bdsg_2018/__43.html

## Änderungsverlauf

- 2026-09-05: Freigabeprüfung, `factcheck_status` von review_needed auf ok. Die drei Vorbehalte der Erstveröffentlichung sind abgearbeitet: (1) Die Kernaussagen des Urteils C-203/22 vom 27.02.2025 (Dun & Bradstreet Austria, ECLI:EU:C:2025:117) wurden erneut gegen erreichbare Quellen bestätigt – dejure.org-Permalink zum Urteil, CURIA-Pressemitteilung Nr. 22/25 (cp250022) und Fachbesprechungen (datenschutz-notizen.de, taylorwessing.com) decken übereinstimmend ab: einzelfallbezogene Erläuterung des tatsächlich angewandten Verfahrens statt Formel/Algorithmus, kontrafaktisches Beispiel, Vorlagepflicht an Aufsichtsbehörde/Gericht bei Geschäftsgeheimnissen, Unionsrechtswidrigkeit des generellen Auskunftsausschlusses in § 4 Abs. 6 öDSG. (2) Der Geltungsbeginn des Art. 86 KI-VO bleibt im Text bewusst als ungeprüft gekennzeichnet – das ist als transparente Kennzeichnung kein Freigabehindernis. (3) Gleiches gilt für den offen ausgewiesenen Ausgang des Wiener Ausgangsverfahrens. | change_type=factcheck field="factcheck_status" old="review_needed" new="ok" reviewed_by="Nexvyra Faktencheck-Agent"
- 2026-09-04: Faktencheck: Kernaussagen des Urteils C-203/22 (27.02.2025, Erste Kammer, ECLI:EU:C:2025:117 – Erläuterung des tatsächlich angewandten Verfahrens statt Formel/Algorithmus; Vorlagepflicht an Aufsichtsbehörde/Gericht bei Geschäftsgeheimnissen; genereller nationaler Auskunftsausschluss unionsrechtswidrig) sowie die Bezüge zu C-634/21 (07.12.2023) und C-383/23 (13.02.2025) bestätigt; § 37a BDSG-Quellenzeile korrigiert (Norm seit 12.05.2026 in Kraft, BGBl. 2026 I Nr. 139 – kein toter Verweis mehr); die bewusst offen gehaltenen Punkte (Geltungsbeginn Art. 86 KI-VO nach Digital-Omnibus, Ausgang des Wiener Ausgangsverfahrens) bleiben als solche gekennzeichnet. | change_type=factcheck reviewed_by="Nexvyra Faktencheck-Agent" field="fact"
- 2026-09-02: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-203/22 (CK ./. Magistrat der Stadt Wien, Dun & Bradstreet Austria GmbH) vom 27.02.2025, ECLI:EU:C:2025:117, Erste Kammer, aufgenommen: Art. 15 Abs. 1 lit. h DSGVO verlangt die Erläuterung des tatsächlich angewandten Verfahrens und der Grundsätze in präziser, transparenter, verständlicher und leicht zugänglicher Form; die Übermittlung des Algorithmus oder einer mathematischen Formel genügt nicht, die Offenlegung des Algorithmus ist umgekehrt nicht geschuldet; bei behaupteten Geschäftsgeheimnissen besteht eine Vorlagepflicht gegenüber Aufsichtsbehörde oder Gericht statt eines Auskunftsverweigerungsrechts; nationale Normen, die das Auskunftsrecht bei Geschäftsgeheimnissen generell ausschließen (§ 4 Abs. 6 öDSG), sind unionsrechtswidrig. Abgrenzung zum Vorgängerurteil C-634/21 (SCHUFA Scoring) und Bezug zu C-383/23 (ILVA, Bußgeldobergrenze nach Konzernumsatz) eingearbeitet. Quellenbasis: EUR-Lex CELEX 62022CJ0203, CURIA-Verfahrensdokumentation und Pressemitteilung Nr. 22/25, dejure.org-Permalinks, DSGVO-Volltext, RL (EU) 2016/943, VO (EU) 2024/1689, EDSA-Leitlinien, §§ 34, 37a, 43 BDSG. factcheck_status=review_needed, weil (1) der amtliche Urteilsvolltext auf EUR-Lex und CURIA im Erstellungslauf nicht direkt abrufbar war und der Tenor daher aus der CURIA-Verfahrensdokumentation und Sekundärquellen rekonstruiert wurde, (2) der Geltungsbeginn des Art. 86 KI-VO nach der Verschiebung der Anhang-III-Hochrisikopflichten durch das Digital-Omnibus-Paket nicht gegen den amtlichen Amtsblatt-Text verifiziert werden konnte und deshalb kein Datum ausgewiesen ist, und (3) der Ausgang des Ausgangsverfahrens vor dem Verwaltungsgericht Wien nach der Vorabentscheidung nicht gegen eine amtliche Quelle geprüft wurde. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

## Siehe auch

- [DSGVO Art. 15 – Auskunftsrecht der betroffenen Person](/fakten/dsgvo-auskunftsrecht-art-15.html)
- [DSGVO Art. 22 – Automatisierte Entscheidungen und Scoring (EuGH SCHUFA C-634/21)](/fakten/dsgvo-art-22-automatisierte-entscheidung-schufa.html)
- [DSGVO Art. 77–79 – Beschwerde bei der Aufsichtsbehörde](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html)
- [DSGVO-Schadensersatz Art. 82 – Immaterieller Schadensersatz](/fakten/dsgvo-schadensersatz-art-82-eugh.html)
- [DSGVO-Bußgelder – Bemessungsrahmen nach Art. 83 DSGVO](/fakten/dsgvo-bussgelder.html)
- [EuGH C-383/23 (ILVA) – DSGVO-Bußgeld nach Konzernumsatz](/fakten/eugh-c-383-23-ilva-dsgvo-bussgeld-konzernumsatz.html)
- [Recht auf Berichtigung (Art. 16 DSGVO)](/fakten/dsgvo-berichtigung-art-16.html)
- [EU-KI-Verordnung (AI Act, VO 2024/1689) – Hochrisiko-Systeme](/fakten/eu-ki-verordnung-2024-1689-hochrisiko.html)

## Stand

- Stand: 2026-09-05
- Entscheidungsdatum: 2025-02-27 (EuGH, Erste Kammer, C-203/22, ECLI:EU:C:2025:117)
- Verfahrensstand: Vorabentscheidung ergangen; Endentscheidung des Verwaltungsgerichts Wien im Ausgangsverfahren nicht verifiziert
- Status: aktuell
- Quellenautorität: A (EUR-Lex CELEX 62022CJ0203, CURIA, VO 2016/679, RL 2016/943, VO 2024/1689, EDSA, BDSG)
- Lizenz: CC BY 4.0