EuGH Dun & Bradstreet: Recht auf Erklärung beim Bonitäts-Scoring

Ein Mobilfunkvertrag wird abgelehnt, Begründung: „mangelnde Bonität“. Wie dieses Ergebnis zustande kam, bleibt für Betroffene meist im Dunkeln. Der Gerichtshof der Europäischen Union hat mit Urteil vom 27. Februar 2025 (Rs. C-203/22, Dun & Bradstreet Austria) klargestellt, welche Erklärung Betroffene bei automatisierten Entscheidungen verlangen können und wie sich dieses Recht zu Geschäftsgeheimnissen verhält.

Der Fall

Einer Kundin wurde in Österreich ein Mobilfunkvertrag verweigert. Grundlage war eine automatisierte Bonitätsbeurteilung der Wirtschaftsauskunftei Dun & Bradstreet Austria. Die Kundin verlangte Auskunft über die Logik der Entscheidung. Die Auskunftei verweigerte nähere Angaben unter Berufung auf Geschäftsgeheimnisse und eine österreichische Vorschrift, die das Auskunftsrecht in solchen Fällen generell ausschloss. Das Verwaltungsgericht Wien legte dem EuGH Fragen vor.

Die Kernaussagen

• Nach Art. 15 Abs. 1 lit. h DSGVO hat die betroffene Person Anspruch auf aussagekräftige Informationen über die involvierte Logik. Der Verantwortliche muss das Verfahren und die Grundsätze, die konkret angewandt wurden, in präziser, transparenter, verständlicher und leicht zugänglicher Form erläutern.
• Die Erklärung muss zeigen, welche personenbezogenen Daten wie verwendet wurden. Beim Profiling kann es genügen darzulegen, inwieweit eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte. Die bloße Übermittlung einer komplexen mathematischen Formel oder einer detaillierten Beschreibung aller Rechenschritte genügt nicht. Der Algorithmus selbst muss nicht offengelegt werden.
• Beruft sich der Verantwortliche auf Geschäftsgeheimnisse, darf er die Auskunft nicht einfach verweigern. Die betreffenden Informationen sind der zuständigen Aufsichtsbehörde oder dem Gericht vorzulegen, die die widerstreitenden Interessen im Einzelfall abwägen.
• Nationale Regelungen, die das Auskunftsrecht bei Geschäftsgeheimnissen generell ausschließen, sind mit der DSGVO unvereinbar.

Einordnung

Das Urteil knüpft an das SCHUFA-Urteil vom Dezember 2023 an, in dem der EuGH Scoring als automatisierte Entscheidung eingeordnet hatte. Nun ist auch klar, was Betroffene in solchen Fällen erfahren dürfen. Die Grundsätze dürften über Auskunfteien hinaus für jede automatisierte Entscheidung im Sinne von Art. 22 DSGVO Bedeutung haben, etwa bei Online-Kreditvergaben, Versicherungen oder KI-gestützter Bewerberauswahl.

Was bedeutet das für Unternehmen?

• Wer automatisierte Entscheidungen trifft oder Scores nutzt, muss in der Lage sein, das Zustandekommen des Ergebnisses verständlich zu erklären.
• Erklärungsmodelle sollten vorab entwickelt und dokumentiert werden, auch bei KI-gestützten Systemen.
• Geschäftsgeheimnisse sind zu identifizieren; im Streitfall muss man bereit sein, sie Behörden oder Gerichten offenzulegen.
• Die Auskunftsprozesse sollten entsprechend angepasst werden; siehe unseren Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

Was bedeutet das für Betroffene?

Wer aufgrund eines Scores abgelehnt wird, kann eine nachvollziehbare Erklärung verlangen, welche Daten maßgeblich waren und wie sie das Ergebnis beeinflusst haben. Eine Anleitung für das Auskunftsersuchen finden Sie in unserem Beitrag „Datenauskunft verlangen“.

Geschäftsgeheimnisse schützen den Algorithmus, aber nicht vor jeder Transparenz. Wurden Sie aufgrund eines Scores abgelehnt, oder setzen Sie selbst automatisierte Entscheidungen ein, beraten wir Sie zu Auskunft und Erklärungspflichten. Kontaktformular oder Online-Termin.