Das Landesverwaltungsgericht Wien hat mit Beschluss vom 11.02.2022 VGW-101/042/791/2020-44 umfangreiche und detaillierte Vorlagefragen an den EuGH formuliert.

Wie kam es zur Vorlage durch ein Landesverwaltungsgericht?

In einem Verfahren, das bis zum BVwG ging, bemühte sich eine betroffene Person um Auskunft gegenüber einer GmbH, die Bonitätsbeurteilungen mittels Scorewert zur Verfügung stellt. In der Entscheidung des BVwG vom 23.10.2019 W256 2217011-1/11E wurde festgestellt, dass der Verantwortliche der betroffenen Person keine ausreichende Auskunft iSd Art 15 Abs 1 lit h DSGVO erteilt hat, nämlich ihr keine aussagekräftigen Informationen über die involvierte Logik einer automatisierten Entscheidungsfindung zur Verfügung gestellt hat oder zumindest ausreichend begründet hat, weshalb die diese Auskunft nicht erteilt werden kann. Das BVwG hat daher auch angeordnet die Auskunft in diesem Punkt nachzuholen.

Dies trotz des Vorbringens des Verantwortlichen, dass durch die Offenlegung der involvierten Logik ein Betriebsgeheimnis offenbart wird. Eine konkretere Darlegung wie und in welcher Art ein Betriebsgeheimnis verletzt werde, wenn weitere Informationen in Zusammenhang mit der involvierten Logik, erfolgte vom Verantwortlichen im Verfahren jedoch nicht.

„Der bloß allgemein gehaltene Verweis der Beschwerdeführerin auf ihr Betriebsgeheimnis kann aber für sich allein keine ausreichende Begründung für eine ablehnende Auskunft darstellen. Dazu hätte die Beschwerdeführerin vielmehr konkret darzulegen gehabt, weshalb die Bereitstellung aussagekräftiger Informationen über die involvierte Logik einer automatisierten Entscheidungsfindung im konkreten Fall überhaupt ein Betriebsgeheimnis darstellen soll (vgl. dazu insbesondere die Erläuterungen zu §26 b UWG-Novelle 2018 (RV 375 BlgNR 26. GP), wonach unter Verweis auf ErwG 14 zur Richtlinie (EU) 2016/943, ein "legitimes Interesse an ihrer Geheimhaltung" Voraussetzung für das Vorliegen eines Geschäftsgeheimnisses und damit auch eines Betriebsgeheimnisses ist).“

Gegen diese Entscheidung des BVwG hat der Verantwortliche Revision an den VwGH erhoben und dies auch mit einem Antrag auf Zuerkennung der aufschiebenden Wirkung verbunden, da die Entscheidung des BVwG vollstreckbar (aber noch nicht endgültig rechtskräftig) ist. Die Revision an den VwGH ist ein sog. außerordentliches Rechtsmittel.

Der Revision wurde vom BVwG in einer Entscheidung vom 5.12.2019 die aufschiebende Wirkung gem. § 30 Abs 3 VwGG nicht zuerkannt, sodass die Vollstreckung möglich ist.

Die betroffene Person hat einen Antrag auf Vollstreckung (Exekution) beim Magistrat der Stadt Wien gestellt. Gem. § 1 Abs 1 Z 2 a) Verwaltungsvollstreckungsgesetz ist die Bezirksverwaltungsbehörde für die Vollstreckung von Bescheiden, die von Bundesbehörden erlassen werden, zuständig (sofern keine anderslautende gesetzliche Regelung besteht).  Strafbescheide der DSB werden hingegen gem. § 30 Abs 4 DSG auf Antrag der DSB beim zuständigen Bezirksgericht vollstreckt.

Das Magistrat Wien hat den Exekutionsantrag abgewiesen, und zwar mit der Begründung, dass die Auskunft iSd Art 15 Abs 1 lit h DSGVO bereits erteilt worden sei.

Gegen diese den Exekutionsantrag abweisende Entscheidung richtet sich das Rechtsmittel der betroffenen Person an das Landesverwaltungsgericht (LVwG) Wien.

Die Vorlagefragen

Das LVwG hat nun die umfangreichen Fragen dem EuGH zur Vorabentscheidung vorgelegt, und zwar zum Thema „involvierte Logik“ und „Betriebsgeheimnis“ und auch zur Frage, ob § 4 Abs 6 DSG, der es erlaubt, dass sich ein Verantwortlicher bei einer Auskunft (und nicht nur bei Bekanntgabe der Kopie der Daten iSd Art 15 Abs 4 DSGVO) auf Betriebs- und Geschäftsgeheimnisse berufen kann und die Auskunft verweigern kann.

1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend „aussagekräftig“ i.S.d. Art. 15 Abs. 1 lit. h der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DatenschutzGrundverordnung, DS-GVO) eingestuft zu werden?

Sind – allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses – im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftung der „involvierten Logik“ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur  Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben ?

Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) zu ermöglichen:

a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des  Betroffenen, die die Überprüfung der Einhaltung der Datenschutz- Grundverordnung (DS-GVO) erlauben,

b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten,

c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,

d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,

e) Informationen zum Zustandekommen der Parameter bzw.  Eingangsvariablen,

f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,

g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist

2) Steht das durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) mit den durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zu erteilenden Informationen nur dann ausreichend „aussagekräftig“ ist, wenn der Auskunftsbegehrende und Betroffene i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DSGVO) garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) tatsächlich, profund und erfolgversprechend wahrzunehmen?

3a) Ist Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) dahingehend auszulegen, dass nur dann von einer „aussagekräftigen Information“ im Sinne dieser Bestimmung auszugehen ist, wenn diese Information so weitgehend ist, dass es dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h DatenschutzGrundverordnung (DS-GVO) möglich ist festzustellen, ob diese erteilte Information auch den Tatsachen entspricht, daher ob der konkret angefragten automatisierten Entscheidung auch tatsächlich die bekannt gegebenen Informationen zugrunde gelegen sind?

3b) Bejahendenfalls: Wie ist vorzugehen, wenn die Richtigkeit der von einem Verantwortlichen erteilten Information nur dadurch überprüft zu werden vermag, wenn auch von der Datenschutz-Grundverordnung (DS-GVO) geschützte Daten Dritter dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zur Kenntnis gebracht werden müssen (Black-Box)?

Kann dieses Spannungsverhältnis zwischen dem Auskunftsrecht i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) und dem Datenschutzrecht Dritter auch dadurch aufgelöst werden, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter, welche ebenfalls demselben Profiling unterzogen wurden, ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen hat, ob die bekannt gegebenen Daten dieser dritten Personen den Tatsachen entsprechen ?

3c) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte i.S.d. Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) durch die Schaffung der unter Punkt 3b) angesprochenen Black-Box jedenfalls eingeräumt zu werden?  

Sind dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) in diesem Fall jedenfalls die für die Ermöglichung der Überprüfbarkeit der Richtigkeit der Entscheidungsfindung vom Verantwortlichen i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) bekannt zu gebenden Daten anderer Personen in pseudoanonymisierter Form bekannt zu geben?

4a) Wie ist vorzugehen, wenn die zu erteilende Information i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch die Vorgaben eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, L 157/1 (Know-How-Richtlinie) erfüllt?

Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) garantierten Auskunftsrecht und dem durch die Know-How-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis i.S.d. Art. 2 Z 1 der Know-How-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Know-How-Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) erteilte Information den Tatsachen entspricht.

4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte i.S.d. Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) durch die Schaffung der unter Punkt 4a) angesprochenen Black-Box jedenfalls eingeräumt zu werden?

Sind (auch) in diesem Falle eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) bekannt zu gebenden Informationen in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h DatenschutzGrundverordnung (DS-GVO) jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) völlig zu ermöglichen:

a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS-GVO) erlauben,

b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten,

c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,

d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,

e) Informationen zum Zustandekommen der Parameter bzw.  Eingangsvariablen,

f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h  Datenschutz-Grundverordnung (DS-GVO) einem bestimmten  Bewertungsergebnis zugeordnet wurde, und Darstellung, welche  Aussage mit dieser Bewertung verbunden wurde,

g) Aufzählung der Profilkathegorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkathegorien verbunden ist

5) Wird durch die Bestimmung des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) in irgendeiner Weise der Umfang der gemäß Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung zu erteilenden Auskunft beschränkt.

Bejahendenfalls, in welcher Weise wird dieses Auskunftsrecht durch Art. 15 Abs. 4 Datenschutz-Grundverordnung beschränkt, und wie ist im jeweiligen Fall dieser Umfang der Einschränkung zu ermitteln?

6) Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonach „das Recht auf Auskunft der betroffenen Person gemäß Art. 15 Datenschutz-Grundverordnung (DS-GVO) gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde,“ mit den Vorgaben des Art. 15 Abs. 1 i.V.m. Art. 22 Abs. 3 Datenschutz-Grundverordnung vereinbar. Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“

Anmerkung: Das LVwG ist offensichtlich ein Anhänger der "-"-Fraktion