I.römisch eins.
1
1. Mit Eingabe vom 12. April 2019 erhob die Erstmitbeteiligte bei der belangten Behörde (Datenschutzbehörde, DSB, Amtsrevisionswerberin) eine gegen die Zweitmitbeteiligte als Beschwerdegegnerin gerichtete Datenschutzbeschwerde, in der sie eine Verletzung im Recht auf Auskunft nach Art. 15 Datenschutz-Grundverordnung (DSGVO) behauptete, weil die Zweitmitbeteiligte ihrem Auskunftsersuchen unvollständig entsprochen habe.1. Mit Eingabe vom 12. April 2019 erhob die Erstmitbeteiligte bei der belangten Behörde (Datenschutzbehörde, DSB, Amtsrevisionswerberin) eine gegen die Zweitmitbeteiligte als Beschwerdegegnerin gerichtete Datenschutzbeschwerde, in der sie eine Verletzung im Recht auf Auskunft nach Artikel 15, Datenschutz-Grundverordnung (DSGVO) behauptete, weil die Zweitmitbeteiligte ihrem Auskunftsersuchen unvollständig entsprochen habe.
2
Mit Bescheid vom 7. Oktober 2020 gab die belangte Behörde dieser Datenschutzbeschwerde teilweise statt und stellte fest, dass die Zweitmitbeteiligte die Erstmitbeteiligte dadurch im Recht auf Auskunft verletzt habe, indem sie dieser eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.). Der Zweitmitbeteiligten wurde aufgetragen, die genaue Herkunft der im Rahmen des Adressverlags erhobenen bzw. zugekauften Daten zu bezeichnen und eine dem Art. 12 Abs. 1 in Verbindung mit Art. 15 Abs. 1 lit. h DSGVO entsprechende Auskunft zum Zustandekommen der „statistisch hochgerechneten“ Affinitäten zu erteilen (Spruchpunkt 2.). Der Antrag auf Aussetzung des Verfahrens wurde zurückgewiesen und die Datenschutzbeschwerde im Übrigen als unbegründet abgewiesen (Spruchpunkte 3. und 4.).Mit Bescheid vom 7. Oktober 2020 gab die belangte Behörde dieser Datenschutzbeschwerde teilweise statt und stellte fest, dass die Zweitmitbeteiligte die Erstmitbeteiligte dadurch im Recht auf Auskunft verletzt habe, indem sie dieser eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.). Der Zweitmitbeteiligten wurde aufgetragen, die genaue Herkunft der im Rahmen des Adressverlags erhobenen bzw. zugekauften Daten zu bezeichnen und eine dem Artikel 12, Absatz eins, in Verbindung mit Artikel 15, Absatz eins, Litera h, DSGVO entsprechende Auskunft zum Zustandekommen der „statistisch hochgerechneten“ Affinitäten zu erteilen (Spruchpunkt 2.). Der Antrag auf Aussetzung des Verfahrens wurde zurückgewiesen und die Datenschutzbeschwerde im Übrigen als unbegründet abgewiesen (Spruchpunkte 3. und 4.).
3
Die DSB legte - nach Wiedergabe des Inhalts der zwei Auskunftsschreiben der Zweitmitbeteiligten (vom April bzw. Juni 2019) - Folgendes dar: Hinsichtlich der gemäß Art. 15 Abs. 1 lit. g DSGVO bestehenden Verpflichtung, die konkrete Herkunft der Daten zu bezeichnen, sei der Verweis der Zweitmitbeteiligten auf die sogenannte „Robinsonliste“ unzureichend, weil diese „Liste nicht die Herkunft für die [(erhobenen bzw. zugekauften)] Daten sein“ könne. Zum anderen sei die (von der Zweitmitbeteiligten vorgenommene) Errechnung und Zuordnung von Affinitäten bzw. Wahrscheinlichkeiten für eine bestimmte Person als Profiling im Sinn des Art. 4 Z 4 DSGVO anzusehen. Die Zweitmitbeteiligte wäre daher verpflichtet gewesen, gemäß Art. 15 Abs. 1 lit. h DSGVO die Parameter bzw. Eingangsvariablen der errechneten Zuordnung, die Gewichtung der Parameter, Informationen zu deren Zustandekommen sowie eine Aufzählung der Profilkategorien zu beauskunften.Die DSB legte - nach Wiedergabe des Inhalts der zwei Auskunftsschreiben der Zweitmitbeteiligten (vom April bzw. Juni 2019) - Folgendes dar: Hinsichtlich der gemäß Artikel 15, Absatz eins, Litera g, DSGVO bestehenden Verpflichtung, die konkrete Herkunft der Daten zu bezeichnen, sei der Verweis der Zweitmitbeteiligten auf die sogenannte „Robinsonliste“ unzureichend, weil diese „Liste nicht die Herkunft für die [(erhobenen bzw. zugekauften)] Daten sein“ könne. Zum anderen sei die (von der Zweitmitbeteiligten vorgenommene) Errechnung und Zuordnung von Affinitäten bzw. Wahrscheinlichkeiten für eine bestimmte Person als Profiling im Sinn des Artikel 4, Ziffer 4, DSGVO anzusehen. Die Zweitmitbeteiligte wäre daher verpflichtet gewesen, gemäß Artikel 15, Absatz eins, Litera h, DSGVO die Parameter bzw. Eingangsvariablen der errechneten Zuordnung, die Gewichtung der Parameter, Informationen zu deren Zustandekommen sowie eine Aufzählung der Profilkategorien zu beauskunften.
4
2. Gegen die Spruchpunkte 1. und 2. dieses Bescheides erhob die Zweitmitbeteiligte Beschwerde. Darin brachte sie zum einen vor, dass eine Auskunft über die Herkunft der Daten hinreichend erteilt worden sei. Zum anderen vertrat sie die Auffassung, bei den gegenständlichen Affinitäten handle es sich nur um statistisch errechnete Marketingklassifikationen. Diese seien keine personenbezogenen Daten bzw. - selbst wenn - läge keine automatisierte Entscheidung bzw. kein Profiling vor.
5
Mit dem angefochtenen Erkenntnis vom 12. Juni 2023 gab das Bundesverwaltungsgericht (BVwG) dieser Beschwerde statt und änderte den Spruch des bekämpften Bescheides dahingehend ab, dass Spruchpunkt 2. zur Gänze entfalle und mit Spruchpunkt 1. die (Datenschutz-)Beschwerde (der Erstmitbeteiligten) als unbegründet abgewiesen werde. Die Revision erklärte das BVwG für zulässig.
6
Nach den Feststellungen des BVwG habe die Zweitmitbeteiligte (die ua. die Tätigkeit eines Adressverlags ausübe) statistisch hochgerechnete Daten der Erstmitbeteiligten zu möglichen Zielgruppen für Werbung verarbeitet.
7
Zur Herkunft der Daten der „Robinsonliste“ hielt das BVwG fest, diese sei eindeutig und verständlich, weil in den jeweiligen Tabellen die WKO als Datenquelle ausgewiesen sei. Durch einen Abgleich mit den weiteren Tabellen bzw. einer Zusammenschau mit der ergänzenden Auskunft (vom Juni 2019) sei ersichtlich, woher die (zugekauften) Daten stammten. Zudem sei ein Teil der Daten bei der Erstmitbeteiligten selbst erhoben worden und diesbezüglich müsse die Herkunft nicht beauskunftet werden.
8
Zur Auskunftsverpflichtung nach Art. 15 Abs. 1 lit. h DSGVO (involvierte Logik bei einer automatisierten Entscheidungsfindung gemäß Art. 22 DSGVO) hielt das BVwG fest, es sei lediglich das Prinzip darzustellen, auf dem die Berechnung basiere, nicht jedoch die konkrete Berechnungsformel. Unabhängig davon, ob es sich bei den gegenständlichen Marketinggruppen um personenbezogene Daten handle oder ob ein Fall von Profiling vorliege bzw. die Informationen gemäß Art. 15 Abs. 1 lit. h DSGVO geschuldet seien, seien die von der Zweitmitbeteiligten erteilten Auskünfte zu den Eingangsvariablen (Daten der Erstmitbeteiligten wie Wohnort, Geschlecht, Geburtsdatum), zur Berechnungsmethode (statistische Hochrechnung), zum Ergebnis (hoch/niedrig) sowie zu den Auswirkungen (Zusendung oder Nicht-Zusendung von Werbematerial) vollständig, transparent und verständlich gewesen.Zur Auskunftsverpflichtung nach Artikel 15, Absatz eins, Litera h, DSGVO (involvierte Logik bei einer automatisierten Entscheidungsfindung gemäß Artikel 22, DSGVO) hielt das BVwG fest, es sei lediglich das Prinzip darzustellen, auf dem die Berechnung basiere, nicht jedoch die konkrete Berechnungsformel. Unabhängig davon, ob es sich bei den gegenständlichen Marketinggruppen um personenbezogene Daten handle oder ob ein Fall von Profiling vorliege bzw. die Informationen gemäß Artikel 15, Absatz eins, Litera h, DSGVO geschuldet seien, seien die von der Zweitmitbeteiligten erteilten Auskünfte zu den Eingangsvariablen (Daten der Erstmitbeteiligten wie Wohnort, Geschlecht, Geburtsdatum), zur Berechnungsmethode (statistische Hochrechnung), zum Ergebnis (hoch/niedrig) sowie zu den Auswirkungen (Zusendung oder Nicht-Zusendung von Werbematerial) vollständig, transparent und verständlich gewesen.
9
Ausgehend davon liege keine Verletzung im Recht auf Auskunft vor.
10
Die Zulassung der Revision begründete das BVwG mit fehlender Rechtsprechung des Verwaltungsgerichtshofes dazu, anhand welcher Kriterien eine präzise, transparente und verständliche Auskunft zu beurteilen sei.
11
3. Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Amtsrevision.
12
Die Zweitmitbeteiligte erstattete eine Revisionsbeantwortung, in der sie die Zurückweisung, in eventu Abweisung der Revision gegen Aufwandersatz beantragt.
II.römisch zwei.
Der Verwaltungsgerichtshof hat erwogen:
13
1. Vorauszuschicken ist zunächst Folgendes:
14
Die Zweitmitbeteiligte erstattete im Nachhang zu ihrer Revisionsbeantwortung zwei Stellungnahmen, in denen sie vorbringt, sie habe dem zugrundeliegenden Ersuchen der Erstmitbeteiligten angesichts der mit 26. März 2025 erfolgten Ergänzung ihrer Datenschutzauskunft mittlerweile vollständig entsprochen. Das Rechtsschutzinteresse der Erstmitbeteiligten sei daher weggefallen und das Verfahren sei als gegenstandslos geworden einzustellen.
15
Der Zweitmitbeteiligten ist zwar dem Grunde nach einzuräumen, dass eine nachträgliche Auskunftserteilung durch den datenschutzrechtlich Verantwortlichen die Gegenstandsloserklärung (auch) einer Amtsrevision nach sich ziehen kann (vgl. zu einer solchen Konstellation VwGH 2.8.2024, Ra 2022/04/0161).Der Zweitmitbeteiligten ist zwar dem Grunde nach einzuräumen, dass eine nachträgliche Auskunftserteilung durch den datenschutzrechtlich Verantwortlichen die Gegenstandsloserklärung (auch) einer Amtsrevision nach sich ziehen kann vergleiche , zu einer solchen Konstellation VwGH 2.8.2024, Ra 2022/04/0161). 16
Allerdings ist die Amtsrevisionswerberin im vorliegenden Fall der Sichtweise der Zweitmitbeteiligten in einer Äußerung entgegengetreten und hat mit näherer Begründung festgehalten, dass den Anforderungen des Art. 15 Abs. 1 lit. h DSGVO ihrer Ansicht nach auch durch die ergänzte Auskunft nicht vollständig entsprochen worden sei.Allerdings ist die Amtsrevisionswerberin im vorliegenden Fall der Sichtweise der Zweitmitbeteiligten in einer Äußerung entgegengetreten und hat mit näherer Begründung festgehalten, dass den Anforderungen des Artikel 15, Absatz eins, Litera h, DSGVO ihrer Ansicht nach auch durch die ergänzte Auskunft nicht vollständig entsprochen worden sei.
17
Vor diesem Hintergrund würde die Verneinung des Rechtsschutzinteresses der Amtsrevisionswerberin in der gegenständlichen Konstellation eine abschließende Beurteilung der in der Hauptsache in Rede stehenden Reichweite des Auskunftsrechts nach Art. 15 Abs. 1 lit. h DSGVO erfordern. Ausgehend davon lässt sich vorliegend der (von der Zweitmitbeteiligten behauptete) Wegfall des Rechtsschutzinteresses der Amtsrevisionswerberin vor einem Eingehen in die Sache (bzw. - diesem vorgelagert - vor einer Prüfung der Zulässigkeit der Revision am Maßstab des Art. 133 Abs. 4 B-VG) nicht beurteilen.Vor diesem Hintergrund würde die Verneinung des Rechtsschutzinteresses der Amtsrevisionswerberin in der gegenständlichen Konstellation eine abschließende Beurteilung der in der Hauptsache in Rede stehenden Reichweite des Auskunftsrechts nach Artikel 15, Absatz eins, Litera h, DSGVO erfordern. Ausgehend davon lässt sich vorliegend der (von der Zweitmitbeteiligten behauptete) Wegfall des Rechtsschutzinteresses der Amtsrevisionswerberin vor einem Eingehen in die Sache (bzw. - diesem vorgelagert - vor einer Prüfung der Zulässigkeit der Revision am Maßstab des Artikel 133, Absatz 4, B-VG) nicht beurteilen.
18
2. Die Amtsrevisionswerberin bringt zur Zulässigkeit der Revision - neben einem Verweis auf die Begründung durch das BVwG - vor, es fehle an Rechtsprechung des Verwaltungsgerichtshofes zur Frage, wie eine aussagekräftige Information über die involvierte Logik nach Art. 15 Abs. 1 lit. h DSGVO auszusehen habe und anhand welcher Kriterien dies zu messen sei. Durch die vorliegend erteilte Information sei die Erstmitbeteiligte nicht in die Lage versetzt worden, die Rechtmäßigkeit der Datenverarbeitung nachzuvollziehen; eine aussagekräftige Information über die involvierte Logik liege nicht vor.2. Die Amtsrevisionswerberin bringt zur Zulässigkeit der Revision - neben einem Verweis auf die Begründung durch das BVwG - vor, es fehle an Rechtsprechung des Verwaltungsgerichtshofes zur Frage, wie eine aussagekräftige Information über die involvierte Logik nach Artikel 15, Absatz eins, Litera h, DSGVO auszusehen habe und anhand welcher Kriterien dies zu messen sei. Durch die vorliegend erteilte Information sei die Erstmitbeteiligte nicht in die Lage versetzt worden, die Rechtmäßigkeit der Datenverarbeitung nachzuvollziehen; eine aussagekräftige Information über die involvierte Logik liege nicht vor.
19
Zudem - so die DSB - habe das BVwG keine Feststellungen zu den näheren Umständen der Datenverarbeitung getroffen, weshalb unklar bleibe, ob es sich bei der gegenständlichen Datenverarbeitung um Profiling im Sinn des Art. 4 Z 4 DSGVO bzw. um eine automatisierte Entscheidungsfindung im Einzelfall nach Art. 22 Abs. 1 DSGVO handle. So sei durch die mangelhafte Auskunft zur Berechnung der zugeordneten Affinitäten nicht überprüfbar, ob es sich um einen Anwendungsfall einer automatisierten Entscheidungsfindung handle.Zudem - so die DSB - habe das BVwG keine Feststellungen zu den näheren Umständen der Datenverarbeitung getroffen, weshalb unklar bleibe, ob es sich bei der gegenständlichen Datenverarbeitung um Profiling im Sinn des Artikel 4, Ziffer 4, DSGVO bzw. um eine automatisierte Entscheidungsfindung im Einzelfall nach Artikel 22, Absatz eins, DSGVO handle. So sei durch die mangelhafte Auskunft zur Berechnung der zugeordneten Affinitäten nicht überprüfbar, ob es sich um einen Anwendungsfall einer automatisierten Entscheidungsfindung handle.
20
Den Ausführungen der Amtsrevisionswerberin ist zwar - worauf die Zweitmitbeteiligte in ihrer Revisionsbeantwortung dem Grunde nach zu Recht hinweist - entgegenzuhalten, dass sie in sich inkonsistent sind. So moniert die Amtsrevisionswerberin zum einen, dass Feststellungen für die Beurteilung fehlten, ob es sich bei der gegenständlichen Datenverarbeitung um eine automatisierte Entscheidungsfindung nach Art. 22 Abs. 1 DSGVO handle. Zum anderen geht die Amtsrevisionswerberin aber davon aus, dass die Datenverarbeitung unter Art. 22 DSGVO falle und den (daran anknüpfenden) Anforderungen des Art. 15 Abs. 1 lit. h DSGVO nicht entsprochen worden sei.Den Ausführungen der Amtsrevisionswerberin ist zwar - worauf die Zweitmitbeteiligte in ihrer Revisionsbeantwortung dem Grunde nach zu Recht hinweist - entgegenzuhalten, dass sie in sich inkonsistent sind. So moniert die Amtsrevisionswerberin zum einen, dass Feststellungen für die Beurteilung fehlten, ob es sich bei der gegenständlichen Datenverarbeitung um eine automatisierte Entscheidungsfindung nach Artikel 22, Absatz eins, DSGVO handle. Zum anderen geht die Amtsrevisionswerberin aber davon aus, dass die Datenverarbeitung unter Artikel 22, DSGVO falle und den (daran anknüpfenden) Anforderungen des Artikel 15, Absatz eins, Litera h, DSGVO nicht entsprochen worden sei.
21
Dessen ungeachtet erweist sich die Amtsrevision schon im Hinblick auf das darin enthaltene Vorbringen zur (vorgelagerten) Frage der fehlenden Feststellungen (zur Beurteilung des Bestehens einer automatisierten Entscheidungsfindung) als zulässig und auch berechtigt.
22
3. Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO) lauten auszugsweise:
„[Erwägungsgründe] (63) Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. [...] Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. [...]
[...]
(71) Die betroffene Person sollte das Recht haben, keiner Entscheidung - was eine Maßnahme einschließen kann - zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen. Zu einer derartigen Verarbeitung zählt auch das ‚Profiling‘, das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. [...] In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Anspruchs auf direktes Eingreifen einer Person, auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung sowie des Rechts auf Anfechtung der Entscheidung.
[...]
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
[...]
4.
‚Profiling‘ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
[...]
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; [...]
[...]
Artikel 15
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
[...]
g)
wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h)
das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
[...]
Artikel 22
Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung - einschließlich Profiling - beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
[...]“
23
4.1. Der Gerichtshof der Europäischen Union (EuGH) hat - soweit für den vorliegenden Fall relevant - zum Bestehen einer automatisierten Entscheidungsfindung im Einzelfall ausgesprochen, dass die Anwendbarkeit des Art. 22 Abs. 1 DSGVO von drei kumulativen Voraussetzungen abhängt, „nämlich davon, dass erstens eine ‚Entscheidung‘ vorliegen muss, zweitens diese Entscheidung ‚ausschließlich auf einer automatisierten Verarbeitung, - einschließlich Profiling - [beruhen]‘ muss und drittens sie ‚gegenüber [der betroffenen Person] rechtliche Wirkung‘ entfalten oder sie ‚in ähnlicher Weise erheblich‘ beeinträchtigen muss“ (vgl. EuGH 7.12.2023, C-634/21, SCHUFA Holding, Rn. 43). Die dritte Voraussetzung erachtete der EuGH im dort gegenständlichen Fall als erfüllt, weil der automatisiert erstellte Wahrscheinlichkeitswert eine maßgebliche Rolle für das Handeln eines Dritten spiele (EuGH C-634/21, Rn. 48 ff).4.1. Der Gerichtshof der Europäischen Union (EuGH) hat - soweit für den vorliegenden Fall relevant - zum Bestehen einer automatisierten Entscheidungsfindung im Einzelfall ausgesprochen, dass die Anwendbarkeit des Artikel 22, Absatz eins, DSGVO von drei kumulativen Voraussetzungen abhängt, „nämlich davon, dass erstens eine ‚Entscheidung‘ vorliegen muss, zweitens diese Entscheidung ‚ausschließlich auf einer automatisierten Verarbeitung, - einschließlich Profiling - [beruhen]‘ muss und drittens sie ‚gegenüber [der betroffenen Person] rechtliche Wirkung‘ entfalten oder sie ‚in ähnlicher Weise erheblich‘ beeinträchtigen muss“ vergleiche , EuGH 7.12.2023, C-634/21, SCHUFA Holding, Rn. 43). Die dritte Voraussetzung erachtete der EuGH im dort gegenständlichen Fall als erfüllt, weil der automatisiert erstellte Wahrscheinlichkeitswert eine maßgebliche Rolle für das Handeln eines Dritten spiele (EuGH C-634/21, Rn. 48 ff).
24
In der zum (auch hier gegenständlichen) Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO ergangenen Entscheidung vom 27. Februar 2025, C-203/22, Magistrat der Stadt Wien, hat der EuGH (ua.) auf Erwägungsgrund 71 der DSGVO verwiesen, demzufolge „die betroffene Person, wenn sie einer Entscheidung unterworfen wird, die ausschließlich auf einer automatisierten Verarbeitung beruht und die sie erheblich beeinträchtigt, das Recht auf Erläuterung dieser Entscheidung haben“ muss (Rn. 57). Im Tenor dieses Urteils wurde festgehalten, Art. 15 Abs. 1 lit. h DSGVO sei dahin auszulegen, dass bei automatisierten Entscheidungsfindungen (einschließlich Profiling) im Sinn von Art. 22 Abs. 1 DSGVO die betroffene Person vom Verantwortlichen im Rahmen des Anspruchs auf Erteilung „aussagekräftiger Informationen über die involvierte Logik“ verlangen kann, ihr anhand der maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form das Verfahren und die Grundsätze zu erläutern, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses konkret angewandt wurden.In der zum (auch hier gegenständlichen) Auskunftsrecht nach Artikel 15, Absatz eins, Litera h, DSGVO ergangenen Entscheidung vom 27. Februar 2025, C-203/22, Magistrat der Stadt Wien, hat der EuGH (ua.) auf Erwägungsgrund 71 der DSGVO verwiesen, demzufolge „die betroffene Person, wenn sie einer Entscheidung unterworfen wird, die ausschließlich auf einer automatisierten Verarbeitung beruht und die sie erheblich beeinträchtigt, das Recht auf Erläuterung dieser Entscheidung haben“ muss (Rn. 57). Im Tenor dieses Urteils wurde festgehalten, Artikel 15, Absatz eins, Litera h, DSGVO sei dahin auszulegen, dass bei automatisierten Entscheidungsfindungen (einschließlich Profiling) im Sinn von Artikel 22, Absatz eins, DSGVO die betroffene Person vom Verantwortlichen im Rahmen des Anspruchs auf Erteilung „aussagekräftiger Informationen über die involvierte Logik“ verlangen kann, ihr anhand der maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form das Verfahren und die Grundsätze zu erläutern, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses konkret angewandt wurden.
25
4.2. Der Verwaltungsgerichtshof hat - unter Bezugnahme auf die Ausführungen des EuGH im Urteil C-634/21 - festgehalten, dass eine automatisierte Datenverarbeitung wie Profiling selbst eine automatisierte Entscheidung im Einzelfall im Sinn des Art. 22 Abs. 1 DSGVO darstellt, wenn das Ergebnis dieser automatisierten Verarbeitung für eine bestimmte - weitere - Entscheidung insofern maßgeblich ist, als das Handeln des Dritten von dem betreffenden Profiling „maßgeblich geleitet“ wird, und so den Betroffenen erheblich beeinträchtigt (VwGH 21.12.2023, Ro 2021/04/0010, Rn. 76). Der Verwaltungsgerichtshof hat die dort angefochtene Entscheidung des BVwG (betreffend die Rechtmäßigkeit des sogenannten AMS-Algorithmus) aufgehoben, weil das BVwG keine Feststellungen zur dort gegenständlichen Vorgehensweise im Zusammenhang mit der Verwertung des Ergebnisses der automatisierten Verarbeitung getroffen hat und deshalb die Frage der „Maßgeblichkeit“ rechtlich nicht erschöpfend beurteilt werden konnte.4.2. Der Verwaltungsgerichtshof hat - unter Bezugnahme auf die Ausführungen des EuGH im Urteil C-634/21 - festgehalten, dass eine automatisierte Datenverarbeitung wie Profiling selbst eine automatisierte Entscheidung im Einzelfall im Sinn des Artikel 22, Absatz eins, DSGVO darstellt, wenn das Ergebnis dieser automatisierten Verarbeitung für eine bestimmte - weitere - Entscheidung insofern maßgeblich ist, als das Handeln des Dritten von dem betreffenden Profiling „maßgeblich geleitet“ wird, und so den Betroffenen erheblich beeinträchtigt (VwGH 21.12.2023, Ro 2021/04/0010, Rn. 76). Der Verwaltungsgerichtshof hat die dort angefochtene Entscheidung des BVwG (betreffend die Rechtmäßigkeit des sogenannten AMS-Algorithmus) aufgehoben, weil das BVwG keine Feststellungen zur dort gegenständlichen Vorgehensweise im Zusammenhang mit der Verwertung des Ergebnisses der automatisierten Verarbeitung getroffen hat und deshalb die Frage der „Maßgeblichkeit“ rechtlich nicht erschöpfend beurteilt werden konnte. 26
In seinem Erkenntnis vom 2. April 2024, Ro 2021/04/0008 bis 0009, hat der Verwaltungsgerichtshof - im Zusammenhang mit der Abweisung einer auf Art. 15 Abs. 1 lit. h DSGVO gestützten Datenschutzbeschwerde zu einem Auskunftsersuchen betreffend eine Bonitätsbewertung - erneut festgehalten, dass das Profiling selbst eine automatisierte Entscheidung im Sinn des Art. 22 Abs. 1 DSGVO darstellt, sofern der sich aus dem Profiling ergebende Informationswert die (von der dritten Person vorgenommene) Entscheidung maßgeblich beeinflusst und derart dem Betroffenen gegenüber rechtliche Wirkung entfaltet oder diesen in ähnlicher Weise erheblich beeinträchtigt (Rn. 20). Auch in diesem Fall hat der Verwaltungsgerichtshof die dort angefochtene Entscheidung aufgehoben, weil das BVwG keine Feststellungen zum Vorbringen der betroffenen Person im Zusammenhang mit der (behaupteten) Bedeutung der Bonitätsbewertung für die Entscheidung eines Dritten (im Zusammenhang mit dem Abschluss von Verträgen) getroffen hatte.In seinem Erkenntnis vom 2. April 2024, Ro 2021/04/0008 bis 0009, hat der Verwaltungsgerichtshof - im Zusammenhang mit der Abweisung einer auf Artikel 15, Absatz eins, Litera h, DSGVO gestützten Datenschutzbeschwerde zu einem Auskunftsersuchen betreffend eine Bonitätsbewertung - erneut festgehalten, dass das Profiling selbst eine automatisierte Entscheidung im Sinn des Artikel 22, Absatz eins, DSGVO darstellt, sofern der sich aus dem Profiling ergebende Informationswert die (von der dritten Person vorgenommene) Entscheidung maßgeblich beeinflusst und derart dem Betroffenen gegenüber rechtliche Wirkung entfaltet oder diesen in ähnlicher Weise erheblich beeinträchtigt (Rn. 20). Auch in diesem Fall hat der Verwaltungsgerichtshof die dort angefochtene Entscheidung aufgehoben, weil das BVwG keine Feststellungen zum Vorbringen der betroffenen Person im Zusammenhang mit der (behaupteten) Bedeutung der Bonitätsbewertung für die Entscheidung eines Dritten (im Zusammenhang mit dem Abschluss von Verträgen) getroffen hatte.
27
In seinem Erkenntnis vom 20. August 2025, Ro 2020/04/0010, hat der Verwaltungsgerichtshof (wiederum im Zusammenhang mit einem Auskunftsersuchen nach Art. 15 Abs. 1 lit. h DSGVO) schließlich festgehalten, dass das Auskunftsrecht über die involvierte Logik das Bestehen einer „automatisierten Entscheidung im Einzelfall“ im Sinn des Art. 22 Abs. 1 DSGVO voraussetzt (Rn. 15). Die Revision gegen das dort angefochtene Erkenntnis, mit dem eine Verletzung im Recht auf Auskunft nach Art. 15 Abs. 1 lit. h DSGVO festgestellt worden war, wurde zwar als unbegründet abgewiesen, allerdings hielt der Verwaltungsgerichtshof dort einleitend fest, dass das Vorliegen der Tatsachengrundlagen für das Bestehen einer automatisierten Entscheidungsfindung gemäß Art. 22 Abs. 1 DSGVO gegenständlich unbestritten gewesen sei.In seinem Erkenntnis vom 20. August 2025, Ro 2020/04/0010, hat der Verwaltungsgerichtshof (wiederum im Zusammenhang mit einem Auskunftsersuchen nach Artikel 15, Absatz eins, Litera h, DSGVO) schließlich festgehalten, dass das Auskunftsrecht über die involvierte Logik das Bestehen einer „automatisierten Entscheidung im Einzelfall“ im Sinn des Artikel 22, Absatz eins, DSGVO voraussetzt (Rn. 15). Die Revision gegen das dort angefochtene Erkenntnis, mit dem eine Verletzung im Recht auf Auskunft nach Artikel 15, Absatz eins, Litera h, DSGVO festgestellt worden war, wurde zwar als unbegründet abgewiesen, allerdings hielt der Verwaltungsgerichtshof dort einleitend fest, dass das Vorliegen der Tatsachengrundlagen für das Bestehen einer automatisierten Entscheidungsfindung gemäß Artikel 22, Absatz eins, DSGVO gegenständlich unbestritten gewesen sei.
28
4.3. Für den vorliegenden Fall lässt sich aus der dargestellten Rechtsprechung Folgendes ableiten: Das Auskunftsrecht des Art. 15 Abs. 1 lit. h DSGVO setzt das Bestehen einer automatisierten Entscheidungsfindung im Sinn des Art. 22 DSGVO voraus. Dafür bedarf es (als einer von mehreren Voraussetzungen) einer rechtlichen Wirkung der Entscheidung gegenüber der betroffenen Person oder einer erheblichen Beeinträchtigung in ähnlicher Weise. Dies ist (auch) dann gegeben, wenn das Ergebnis der automatisierten Entscheidungsfindung eine maßgebliche Rolle für eine gegenüber der betroffenen Person getroffene Entscheidung spielt. Um das Bestehen eines Auskunftsanspruchs nach Art. 15 Abs. 1 lit. h DSGVO beurteilen zu können, bedarf es entsprechender Feststellungen zu den dargelegten Voraussetzungen.4.3. Für den vorliegenden Fall lässt sich aus der dargestellten Rechtsprechung Folgendes ableiten: Das Auskunftsrecht des Artikel 15, Absatz eins, Litera h, DSGVO setzt das Bestehen einer automatisierten Entscheidungsfindung im Sinn des Artikel 22, DSGVO voraus. Dafür bedarf es (als einer von mehreren Voraussetzungen) einer rechtlichen Wirkung der Entscheidung gegenüber der betroffenen Person oder einer erheblichen Beeinträchtigung in ähnlicher Weise. Dies ist (auch) dann gegeben, wenn das Ergebnis der automatisierten Entscheidungsfindung eine maßgebliche Rolle für eine gegenüber der betroffenen Person getroffene Entscheidung spielt. Um das Bestehen eines Auskunftsanspruchs nach Artikel 15, Absatz eins, Litera h, DSGVO beurteilen zu können, bedarf es entsprechender Feststellungen zu den dargelegten Voraussetzungen.
29
5.1. Im vorliegenden Fall hat es das BVwG erkennbar offen gelassen, ob es sich bei der gegenständlichen Datenverarbeitung um eine automatisierte Entscheidungsfindung gemäß Art. 22 DSGVO handelt (siehe Seite 7 des angefochtenen Erkenntnisses: „Unabhängig davon, ob ...“). Dieser Herangehensweise ist allerdings entgegenzuhalten, dass das Bestehen einer solchen automatisierten Entscheidungsfindung nach Art. 22 DSGVO Voraussetzung dafür ist, dass der betroffenen Person ein Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO (wie es vorliegend von der Erstmitbeteiligten und der belangten Behörde als verletzt angesehen worden ist) überhaupt dem Grunde nach zusteht. Die Anwendbarkeit des Art. 15 Abs. 1 lit. h DSGVO ist aber vor der Reichweite des daraus erfließenden Auskunftsrechts zu klären.5.1. Im vorliegenden Fall hat es das BVwG erkennbar offen gelassen, ob es sich bei der gegenständlichen Datenverarbeitung um eine automatisierte Entscheidungsfindung gemäß Artikel 22, DSGVO handelt (siehe Seite 7 des angefochtenen Erkenntnisses: „Unabhängig davon, ob ...“). Dieser Herangehensweise ist allerdings entgegenzuhalten, dass das Bestehen einer solchen automatisierten Entscheidungsfindung nach Artikel 22, DSGVO Voraussetzung dafür ist, dass der betroffenen Person ein Auskunftsrecht nach Artikel 15, Absatz eins, Litera h, DSGVO (wie es vorliegend von der Erstmitbeteiligten und der belangten Behörde als verletzt angesehen worden ist) überhaupt dem Grunde nach zusteht. Die Anwendbarkeit des Artikel 15, Absatz eins, Litera h, DSGVO ist aber vor der Reichweite des daraus erfließenden Auskunftsrechts zu klären.
30
Da das BVwG die Frage der Anwendbarkeit des Art. 15 Abs. 1 lit. h DSGVO letztlich offen gelassen hat, hat es auch nicht die erforderlichen Feststellungen im Sinn der oben dargelegten Anforderungen getroffen. Insbesondere ist dem angefochtenen Erkenntnis nicht zu entnehmen, ob die von der Zweitmitbeteiligten betreffend die Erstmitbeteiligte gebildeten Marketingklassifikationen von der Zweitmitbeteiligten an einen Dritten weitergegeben worden sind. Hinzuweisen ist in diesem Zusammenhang darauf, dass die Zweitmitbeteiligte in ihrer Revisionsbeantwortung vorbringt, aus der von ihr erteilten Auskunft gehe hervor, dass die Daten der Erstmitbeteiligten an keine Geschäftskunden weitergegeben worden seien. Das BVwG hat es jedenfalls in Verkennung der Rechtslage unterlassen, die notwendigen Feststellungen für die Beurteilung der Frage zu treffen, ob eine automatisierte Entscheidungsfindung im Sinn des Art. 22 Abs. 1 DSGVO vorliegt und somit ein Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO besteht.Da das BVwG die Frage der Anwendbarkeit des Artikel 15, Absatz eins, Litera h, DSGVO letztlich offen gelassen hat, hat es auch nicht die erforderlichen Feststellungen im Sinn der oben dargelegten Anforderungen getroffen. Insbesondere ist dem angefochtenen Erkenntnis nicht zu entnehmen, ob die von der Zweitmitbeteiligten betreffend die Erstmitbeteiligte gebildeten Marketingklassifikationen von der Zweitmitbeteiligten an einen Dritten weitergegeben worden sind. Hinzuweisen ist in diesem Zusammenhang darauf, dass die Zweitmitbeteiligte in ihrer Revisionsbeantwortung vorbringt, aus der von ihr erteilten Auskunft gehe hervor, dass die Daten der Erstmitbeteiligten an keine Geschäftskunden weitergegeben worden seien. Das BVwG hat es jedenfalls in Verkennung der Rechtslage unterlassen, die notwendigen Feststellungen für die Beurteilung der Frage zu treffen, ob eine automatisierte Entscheidungsfindung im Sinn des Artikel 22, Absatz eins, DSGVO vorliegt und somit ein Auskunftsrecht nach Artikel 15, Absatz eins, Litera h, DSGVO besteht.
31
5.2. An dieser Sichtweise vermag auch das von der Amtsrevisionswerberin erstattete Vorbringen nichts zu ändern, demzufolge für einen Auskunftsanspruch nach Art. 15 Abs. 1 lit. h DSGVO nicht zwingend eine automatisierte Entscheidung im Einzelfall gemäß Art. 22 DSGVO erforderlich sei. Die Amtsrevisionswerberin verweist dafür auf die in Art. 15 Abs. 1 lit. h DSGVO („das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person“) enthaltene Wortfolge „zumindest in diesen Fällen“. Einzuräumen ist zwar, dass die Bedeutung dieser Wortfolge im Kontext der Regelung unklar erscheint (vgl. diesbezüglich etwa auch Haidinger in Knyrim, DatKomm 79. Lfg, Art. 15 Rz. 44/1, mwN). Darauf muss im vorliegenden Fall aus folgenden Gründen aber nicht näher eingegangen werden.5.2. An dieser Sichtweise vermag auch das von der Amtsrevisionswerberin erstattete Vorbringen nichts zu ändern, demzufolge für einen Auskunftsanspruch nach Artikel 15, Absatz eins, Litera h, DSGVO nicht zwingend eine automatisierte Entscheidung im Einzelfall gemäß Artikel 22, DSGVO erforderlich sei. Die Amtsrevisionswerberin verweist dafür auf die in Artikel 15, Absatz eins, Litera h, DSGVO („das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person“) enthaltene Wortfolge „zumindest in diesen Fällen“. Einzuräumen ist zwar, dass die Bedeutung dieser Wortfolge im Kontext der Regelung unklar erscheint vergleiche , diesbezüglich etwa auch Haidinger in Knyrim, DatKomm 79. Lfg, Artikel 15, Rz. 44/1, mwN). Darauf muss im vorliegenden Fall aus folgenden Gründen aber nicht näher eingegangen werden.
32
Gegen die diesbezügliche Sichtweise der Amtsrevisionswerberin können zunächst die Leitlinien der Artikel-29-Datenschutzgruppe zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679 vom 3. Oktober 2017, WP251rev.01, ins Treffen geführt werden. Darin wird nämlich das Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO ausdrücklich nur bei den „Spezifische[n] Bestimmungen zu ausschließlich automatisierten Entscheidungen nach Artikel 22 [DSGVO]“ angeführt (Kap. IV), nicht hingegen bei den „Allgemeine[n] Bestimmungen zu Profiling und automatisierten Entscheidungen“ (Kap. III). Des Weiteren hat auch der EuGH in seinem zu Art. 15 Abs. 1 lit. h DSGVO ergangenen Urteil C-203/22 für das „Recht auf Erläuterung“ unter Bezugnahme auf den zu Art. 22 DSGVO ergangenen Erwägungsgrund 71 auf eine Person abgestellt, die „einer Entscheidung unterworfen wird, die ausschließlich auf einer automatisierten Verarbeitung beruht und die sie erheblich beeinträchtigt“ (siehe oben Rn. 24).Gegen die diesbezügliche Sichtweise der Amtsrevisionswerberin können zunächst die Leitlinien der Artikel-29-Datenschutzgruppe zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679 vom 3. Oktober 2017, WP251rev.01, ins Treffen geführt werden. Darin wird nämlich das Auskunftsrecht nach Artikel 15, Absatz eins, Litera h, DSGVO ausdrücklich nur bei den „Spezifische[n] Bestimmungen zu ausschließlich automatisierten Entscheidungen nach Artikel 22 [DSGVO]“ angeführt (Kap. römisch vier), nicht hingegen bei den „Allgemeine[n] Bestimmungen zu Profiling und automatisierten Entscheidungen“ (Kap. römisch drei). Des Weiteren hat auch der EuGH in seinem zu Artikel 15, Absatz eins, Litera h, DSGVO ergangenen Urteil C-203/22 für das „Recht auf Erläuterung“ unter Bezugnahme auf den zu Artikel 22, DSGVO ergangenen Erwägungsgrund 71 auf eine Person abgestellt, die „einer Entscheidung unterworfen wird, die ausschließlich auf einer automatisierten Verarbeitung beruht und die sie erheblich beeinträchtigt“ (siehe oben Rn. 24).
33
6. Das angefochtene Erkenntnis ist somit infolge Vorliegens der oben aufgezeigten sekundären Feststellungsmängel wegen Rechtswidrigkeit seines Inhaltes gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.6. Das angefochtene Erkenntnis ist somit infolge Vorliegens der oben aufgezeigten sekundären Feststellungsmängel wegen Rechtswidrigkeit seines Inhaltes gemäß Paragraph 42, Absatz 2, Ziffer eins, VwGG aufzuheben.
Wien, am 17. Dezember 2025