1
1. Mit Bescheid vom 11. März 2021 gab die Revisionswerberin der Datenschutzbeschwerde des Zweitmitbeteiligten teilweise statt und stellte eine Verletzung im Recht auf Auskunft fest, da die Erstmitbeteiligte dem Zweitmitbeteiligten bis zum Abschluss des verwaltungsbehördlichen Verfahrens keine aussagekräftige Information über die involvierte Logik der von ihr durchgeführten Berechnung von Bonitätsscores gegeben habe (Spruchpunkt 1.), und trug der Erstmitbeteiligten auf, dem Zweitmitbeteiligten innerhalb von vier Wochen in klarer sowie einfacher Sprache Informationen über die involvierte Logik der von ihr durchgeführten Berechnung von Bonitätsscores zu geben (Spruchpunkt 2.). Im Übrigen wurde die vom Zweitmitbeteiligten erhobene datenschutzrechtliche Beschwerde abgewiesen (Spruchpunkt 3.).
2
Begründend zu den Spruchpunkten 1. und 2. führte die Revisionswerberin aus, dass dem Zweitmitbeteiligten gemäß Art. 15 Abs. 1 lit. h iVm Art. 5 Abs. 1 lit. a DSGVO das Recht auf Auskunft „über die involvierte Logik“ des von ihr durchgeführten Profilings zukomme. Dem entsprechenden Auskunftsersuchen des Zweitmitbeteiligten sei die Erstmitbeteiligte jedoch nicht nachgekommen. Die Erstmitbeteiligte hätte, ohne ihre Geschäftsgeheimnisse oder Urheberrechte an der verwendeten Software zu verletzen, in leicht zugänglicher Form und klarer sowie einfacher Sprache Auskunft über die involvierte Logik geben müssen.Begründend zu den Spruchpunkten 1. und 2. führte die Revisionswerberin aus, dass dem Zweitmitbeteiligten gemäß Artikel 15, Absatz eins, Litera h, in Verbindung mit Artikel 5, Absatz eins, Litera a, DSGVO das Recht auf Auskunft „über die involvierte Logik“ des von ihr durchgeführten Profilings zukomme. Dem entsprechenden Auskunftsersuchen des Zweitmitbeteiligten sei die Erstmitbeteiligte jedoch nicht nachgekommen. Die Erstmitbeteiligte hätte, ohne ihre Geschäftsgeheimnisse oder Urheberrechte an der verwendeten Software zu verletzen, in leicht zugänglicher Form und klarer sowie einfacher Sprache Auskunft über die involvierte Logik geben müssen.
3
2. Mit dem angefochtenen Erkenntnis gab das Verwaltungsgericht der Beschwerde der Erstmitbeteiligten Folge und änderte den angefochtenen Bescheid dahingehend ab, dass die Datenschutzbeschwerde des Zweitmitbeteiligten (zur Gänze) als unbegründet abgewiesen werde. Die Revision erklärte es für nicht zulässig.
4
Nach Wiedergabe des Verfahrensverlaufs traf das Verwaltungsgericht in seiner Begründung die Feststellungen, der Zweitmitbeteiligte habe mit Schreiben vom 12. Jänner 2019 von der Erstmitbeteiligten eine Auskunft iSd Art. 15 DSGVO über die ihn betreffenden, bei der Erstmitbeteiligten gespeicherten Daten begehrt. Die am 12. Juli 2013 und 13. Februar 2019 von der T*GmbH bei der Erstmitbeteiligten über den Zweitmitbeteiligten gezogenen Scores seien nicht aufgrund einer Vertragsbeziehung zwischen der T*GmbH und dem Zweitmitbeteiligten abgerufen worden. Dem Zweitmitbeteiligten gegenüber sei aufgrund dieser Scorewerte weder ein Vertragsverhältnis abgelehnt worden, noch sei der Zweitmitbeteiligte durch diese Scorewerte erheblich beeinträchtigt worden.Nach Wiedergabe des Verfahrensverlaufs traf das Verwaltungsgericht in seiner Begründung die Feststellungen, der Zweitmitbeteiligte habe mit Schreiben vom 12. Jänner 2019 von der Erstmitbeteiligten eine Auskunft iSd Artikel 15, DSGVO über die ihn betreffenden, bei der Erstmitbeteiligten gespeicherten Daten begehrt. Die am 12. Juli 2013 und 13. Februar 2019 von der T*GmbH bei der Erstmitbeteiligten über den Zweitmitbeteiligten gezogenen Scores seien nicht aufgrund einer Vertragsbeziehung zwischen der T*GmbH und dem Zweitmitbeteiligten abgerufen worden. Dem Zweitmitbeteiligten gegenüber sei aufgrund dieser Scorewerte weder ein Vertragsverhältnis abgelehnt worden, noch sei der Zweitmitbeteiligte durch diese Scorewerte erheblich beeinträchtigt worden.
5
In rechtlicher Hinsicht führte das Verwaltungsgericht aus, das Auskunftsrecht des Art. 15 Abs. 1 lit. h DSGVO setze das Bestehen einer automatisierten Entscheidungsfindung im Sinne des Art. 22 DSGVO voraus. Die Anwendbarkeit von Art. 22 DSGVO hänge von drei kumulativen Voraussetzungen ab: Erstens müsse eine „Entscheidung“ vorliegen, zweitens müsse diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung - einschließlich Profiling“ beruhen, und drittens müsse die Entscheidung „gegenüber der [betroffenen Person] rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise erheblich“ beeinträchtigen.In rechtlicher Hinsicht führte das Verwaltungsgericht aus, das Auskunftsrecht des Artikel 15, Absatz eins, Litera h, DSGVO setze das Bestehen einer automatisierten Entscheidungsfindung im Sinne des Artikel 22, DSGVO voraus. Die Anwendbarkeit von Artikel 22, DSGVO hänge von drei kumulativen Voraussetzungen ab: Erstens müsse eine „Entscheidung“ vorliegen, zweitens müsse diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung - einschließlich Profiling“ beruhen, und drittens müsse die Entscheidung „gegenüber der [betroffenen Person] rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise erheblich“ beeinträchtigen.
6
Eine rechtliche Wirkung im Sinne der dritten Voraussetzung sei immer dann anzunehmen, wenn sich die Rechtsposition der betroffenen Person in irgendeiner Weise verändere, ein Recht oder Rechtsverhältnis begründet oder aufgehoben werde oder ein Rechtseingriff erfolge. Von einer erheblichen Beeinträchtigung sei immer dann auszugehen, wenn der Betroffene durch die Entscheidung in seiner wirtschaftlichen oder persönlichen Entfaltung nachhaltig gestört werde. Dem Zweitmitbeteiligten gegenüber sei weder ein Vertragsverhältnis aufgrund der Scorewerte abgelehnt worden, noch werde er durch diese Scorewerte erheblich beeinträchtigt. Die dritte Voraussetzung des Art. 22 DSGVO liege daher nicht vor. Der Tatbestand des Art. 22 Abs. 1 DSGVO sei daher nicht erfüllt. Die Erstmitbeteiligte treffe im vorliegenden Fall keine Auskunftspflicht gemäß Art. 15 Abs. 1 lit. h DSGVO.Eine rechtliche Wirkung im Sinne der dritten Voraussetzung sei immer dann anzunehmen, wenn sich die Rechtsposition der betroffenen Person in irgendeiner Weise verändere, ein Recht oder Rechtsverhältnis begründet oder aufgehoben werde oder ein Rechtseingriff erfolge. Von einer erheblichen Beeinträchtigung sei immer dann auszugehen, wenn der Betroffene durch die Entscheidung in seiner wirtschaftlichen oder persönlichen Entfaltung nachhaltig gestört werde. Dem Zweitmitbeteiligten gegenüber sei weder ein Vertragsverhältnis aufgrund der Scorewerte abgelehnt worden, noch werde er durch diese Scorewerte erheblich beeinträchtigt. Die dritte Voraussetzung des Artikel 22, DSGVO liege daher nicht vor. Der Tatbestand des Artikel 22, Absatz eins, DSGVO sei daher nicht erfüllt. Die Erstmitbeteiligte treffe im vorliegenden Fall keine Auskunftspflicht gemäß Artikel 15, Absatz eins, Litera h, DSGVO.
7
3. Gegen dieses Erkenntnis richtet sich die außerordentliche Revision der belangten Behörde vor dem Verwaltungsgericht.
8
4. Nach Art. 133 Abs. 4 B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.4. Nach Artikel 133, Absatz 4, B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
9
Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegens der Voraussetzungen des Art. 133 Abs. 4 B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.Nach Paragraph 34, Absatz eins, VwGG sind Revisionen, die sich wegen Nichtvorliegens der Voraussetzungen des Artikel 133, Absatz 4, B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
10
Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 B-VG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 B-VG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision gesondert vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.Nach Paragraph 34, Absatz eins a, VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Artikel 133, Absatz 4, B-VG an den Ausspruch des Verwaltungsgerichtes gemäß Paragraph 25 a, Absatz eins, VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Artikel 133, Absatz 4, B-VG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision gesondert vorgebrachten Gründe (Paragraph 28, Absatz 3, VwGG) zu überprüfen.
11
4.1. Die Revisionswerberin moniert in ihrem Zulässigkeitsvorbringen unter Hinweis auf das Urteil des EuGH vom 7. Dezember 2023, C-634/21, SCHUFA Holding [Scoring], zusammengefasst ein Abweichen von näher zitierter Rechtsprechung des Verwaltungsgerichtshofes. Nach dieser Rechtsprechung knüpfe die Auslegung von Art. 15 Abs. 1 lit. h DSGVO nicht daran an, dass als Folge des Scorings tatsächlich bereits etwa ein Vertragsabschluss abgelehnt worden sei, oder sich die Bedingungen einer Kreditgewährung für die betroffene Person verschlechtert hätten. Vielmehr werde die betroffene Person bereits „in ähnlicher Weise erheblich beeinträchtigt“, wenn durch das erstellte Scoring das Risiko eröffnet werde, dass eine betroffene Person zukünftig einer solchen Entscheidung ausgesetzt werden könnte.4.1. Die Revisionswerberin moniert in ihrem Zulässigkeitsvorbringen unter Hinweis auf das Urteil des EuGH vom 7. Dezember 2023, C-634/21, SCHUFA Holding [Scoring], zusammengefasst ein Abweichen von näher zitierter Rechtsprechung des Verwaltungsgerichtshofes. Nach dieser Rechtsprechung knüpfe die Auslegung von Artikel 15, Absatz eins, Litera h, DSGVO nicht daran an, dass als Folge des Scorings tatsächlich bereits etwa ein Vertragsabschluss abgelehnt worden sei, oder sich die Bedingungen einer Kreditgewährung für die betroffene Person verschlechtert hätten. Vielmehr werde die betroffene Person bereits „in ähnlicher Weise erheblich beeinträchtigt“, wenn durch das erstellte Scoring das Risiko eröffnet werde, dass eine betroffene Person zukünftig einer solchen Entscheidung ausgesetzt werden könnte.
12
4.2. Der Verwaltungsgerichtshof hat - unter Bezugnahme auf die Ausführungen des EuGH vom 7. Dezember 2023, C-634/21, SCHUFA Holding [Scoring], - festgehalten, dass eine automatisierte Datenverarbeitung wie Profiling selbst eine automatisierte Entscheidung im Einzelfall im Sinn des Art. 22 Abs. 1 DSGVO darstellt, wenn das Ergebnis dieser automatisierten Verarbeitung für eine bestimmte - weitere - Entscheidung insofern maßgeblich ist, als das Handeln des Dritten von dem betreffenden Profiling „maßgeblich geleitet“ wird und so den Betroffenen erheblich beeinträchtigt (VwGH 21.12.2023, Ro 2021/04/0010, Rn. 76; vgl. auch VwGH 2.4.2024, Ro 2021/04/0008 bis 0009, Rn. 19).4.2. Der Verwaltungsgerichtshof hat - unter Bezugnahme auf die Ausführungen des EuGH vom 7. Dezember 2023, C-634/21, SCHUFA Holding [Scoring], - festgehalten, dass eine automatisierte Datenverarbeitung wie Profiling selbst eine automatisierte Entscheidung im Einzelfall im Sinn des Artikel 22, Absatz eins, DSGVO darstellt, wenn das Ergebnis dieser automatisierten Verarbeitung für eine bestimmte - weitere - Entscheidung insofern maßgeblich ist, als das Handeln des Dritten von dem betreffenden Profiling „maßgeblich geleitet“ wird und so den Betroffenen erheblich beeinträchtigt (VwGH 21.12.2023, Ro 2021/04/0010, Rn. 76; vergleiche , auch VwGH 2.4.2024, Ro 2021/04/0008 bis 0009, Rn. 19). 13
Das Auskunftsrecht des Art. 15 Abs. 1 lit. h DSGVO setzt damit - der mittlerweile gefestigten Rechtsprechung des Verwaltungsgerichtshofes zufolge - das Bestehen einer automatisierten Entscheidungsfindung im Sinn des Art. 22 DSGVO voraus. Für die Annahme des Vorliegens einer solchen bedarf es (als einer von mehreren Voraussetzungen) einer rechtlichen Wirkung der jeweiligen Entscheidung gegenüber der betroffenen Person oder einer erheblichen Beeinträchtigung in ähnlicher Weise. Dies ist auch dann gegeben, wenn das Ergebnis der automatisierten Entscheidungsfindung eine maßgebliche Rolle für eine gegenüber der betroffenen Person getroffene Entscheidung - etwa die Entscheidung eines Dritten, an den die erstellte Bonitätsauskunft weitergegeben wurde - spielt (vgl. VwGH 17.12.2025, Ro 2023/04/0029, Pkt. II. 4.3.; vgl. auch VwGH 22.1.2026, Ra 2025/04/0168, Rn. 27). Die in der vorliegenden Amtsrevision geäußerte Meinung, demzufolge für einen Auskunftsanspruch nach Art. 15 Abs. 1 lit. h DSGVO im Einzelfall nicht zwingend das Vorliegen einer automatisierten Entscheidung, die gegenüber der betroffenen Person eine rechtliche Wirkung entfaltet oder zu einer erheblichen Beeinträchtigung in ähnlicher Weise führt, gemäß Art. 22 DSGVO erforderlich sei, sondern vielmehr die bloße Möglichkeit einer Beeinträchtigung ausreiche, hat der Verwaltungsgerichtshof bereits mit näherer Begründung verworfen (vgl. VwGH 17.12.2025, Ro 2023/04/0029, Pkt. II. 5.2.).Das Auskunftsrecht des Artikel 15, Absatz eins, Litera h, DSGVO setzt damit - der mittlerweile gefestigten Rechtsprechung des Verwaltungsgerichtshofes zufolge - das Bestehen einer automatisierten Entscheidungsfindung im Sinn des Artikel 22, DSGVO voraus. Für die Annahme des Vorliegens einer solchen bedarf es (als einer von mehreren Voraussetzungen) einer rechtlichen Wirkung der jeweiligen Entscheidung gegenüber der betroffenen Person oder einer erheblichen Beeinträchtigung in ähnlicher Weise. Dies ist auch dann gegeben, wenn das Ergebnis der automatisierten Entscheidungsfindung eine maßgebliche Rolle für eine gegenüber der betroffenen Person getroffene Entscheidung - etwa die Entscheidung eines Dritten, an den die erstellte Bonitätsauskunft weitergegeben wurde - spielt vergleiche , VwGH 17.12.2025, Ro 2023/04/0029, Pkt. römisch zwei. 4.3.; vergleiche , auch VwGH 22.1.2026, Ra 2025/04/0168, Rn. 27). Die in der vorliegenden Amtsrevision geäußerte Meinung, demzufolge für einen Auskunftsanspruch nach Artikel 15, Absatz eins, Litera h, DSGVO im Einzelfall nicht zwingend das Vorliegen einer automatisierten Entscheidung, die gegenüber der betroffenen Person eine rechtliche Wirkung entfaltet oder zu einer erheblichen Beeinträchtigung in ähnlicher Weise führt, gemäß Artikel 22, DSGVO erforderlich sei, sondern vielmehr die bloße Möglichkeit einer Beeinträchtigung ausreiche, hat der Verwaltungsgerichtshof bereits mit näherer Begründung verworfen vergleiche , VwGH 17.12.2025, Ro 2023/04/0029, Pkt. römisch zwei. 5.2.). 14
Mit dieser Rechtsprechung steht das angefochtene verwaltungsgerichtliche Erkenntnis im Einklang.
15
4.3. In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinne des Art. 133 Abs. 4 B-VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.4.3. In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinne des Artikel 133, Absatz 4, B-VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.
Wien, am 21. Mai 2026