Urteil : Anspruch auf Erläuterung der automatisierten Entscheidung : aus der RDV 4/2025, Seite 194 bis 198

Mit der ersten und der zweiten Vorlagefrage sowie mit der Vorlagefrage 3.a), die gemeinsam zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 1 lit. h) DS‑GVO dahin auszulegen ist, dass bei automatisierten Entscheidungsfindungen (einschließlich Profilings) im Sinne von Art.  22 Abs.  1 DS‑GVO die betroffene Person vom Verantwortlichen im Rahmen des Anspruchs auf Erteilung „aussagekräftiger Informationen über die involvierte Logik“ verlangen kann, umfassend die Verfahren und die Grundsätze zu erläutern, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses – beispielsweise eines Bonitätsprofils – konkret angewandt wurden.

Nach ständiger Rechtsprechung des Gerichtshofs sind bei der Auslegung einer Bestimmung des Unionsrechts nicht nur ihr Wortlaut, sondern auch ihr Kontext und die Ziele, die mit der Regelung, zu der sie gehört, verfolgt werden, zu berück‑ sichtigen (Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C 487/21, EU:C:2023:369, Rn. 19 sowie die dort angeführte Rechtsprechung).

Was zunächst den Wortlaut von Art. 15 Abs. 1 lit. h) DS‑GVO betrifft, ist darauf hinzuweisen, dass zum einen die Bedeutungen des Ausdrucks „aussagekräftige Informationen“ im Sinne dieser Bestimmung in ihren verschiedenen Sprachfassungen auseinandergehen – in einigen Fassungen wird, wie in der französischen, auf die Funktionalität („nuttige“ in der niederländischen, „úteis“ in der portugiesischen) oder die Relevanz („pertinente“ in der rumänischen) der zu übermittelnden Informationen abgestellt, während das Augenmerk in anderen Fassungen eher auf der Bedeutung dieser Informationen liegt („significativa“ in der spanischen und „istotne“ in der polnischen Fassung). Schließlich können die in der deutschen und in der englischen Fassung dieser Bestimmung verwendeten Begriffe („aussagekräftig“ bzw. „meaningful“) jeweils sowohl dahin verstanden werden, dass auf die gute Verständlichkeit der Informationen abgestellt wird, als auch dahin, dass es um eine gewisse Qualität der Informationen geht.

Die Vielfalt der Bedeutungen in den verschiedenen Sprachfassungen ist im Sinne einer Komplementarität der in der vorstehenden Randnummer wiedergegebenen Bedeutungen zu verstehen, was bei der Auslegung des Ausdrucks „aussagekräftige Informationen über die involvierte Logik“ im Sinne von Art. 15 Abs. 1 lit. h) DS‑GVO zu berücksichtigen ist, wie im Wesentlichen vom Generalanwalt in Nr.  65 der Schlussanträge ausgeführt

Zum anderen kann, angesichts der allgemein gehaltenen Formulierung, der Verweis auf diese Bestimmung bzw. auf die „involvierte Logik“ einer automatisierten Entscheidungsfindung, die Gegenstand der „aussagekräftigen Informationen“ ist, ein breites Spektrum an „Logiken“ umfassen, die zur Anwendung kommen, wenn personenbezogene Daten oder andere Daten verarbeitet werden, um automationsunterstützt zu einem bestimmten Ergebnis zu gelangen. Diese Auslegung wird durch bestimmte Sprachfassungen der Bestimmung gestützt, in denen Begriffe verwendet werden, die verschiedene Aspekte der gewöhnlichen Bedeutung des Begriffs „Logik“ in sich vereinen. Dies gilt zum Beispiel für die tschechische und die polnische Sprachfassung mit den Begriffen „postupu“ bzw. „zasady“, die mit „Verfahren“ und „Grundsätze“ übersetzt werden können.

Unter den Wortlaut von Art. 15 Abs. 1 lit. h) DS‑GVO sind daher alle Informationen zu subsumieren, die für das Verfahren und die Grundsätze der automatisierten Verarbeitung personenbezogener Daten zum Erreichen eines bestimmten Ergebnisses auf der Grundlage dieser Daten maßgeblich sind.

Zum Kontext, in den sich der in Art. 15 Abs. 1 lit. h) DS‑GVO enthaltene Ausdruck „aussagekräftige Informationen über die involvierte Logik“ einfügt, ist erstens darauf hinzuweisen, dass diese Informationen nur einen Teil der Informationen darstellen, die unter das in dieser Bestimmung vorgesehene Auskunftsrecht fallen, da dieses auch die Informationen zur Tragweite und zu den angestrebten Auswirkungen der in Rede stehenden Verarbeitung für die betroffene Person umfasst.

Zwar sind diese Informationen, für die gem. den Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, angenommen am 3. Oktober 2017 von der durch Art.  29 der Richtlinie 95/46 eingesetzten Datenschutzgruppe, in der überarbeiteten und am 6. Februar 2018 angenommenen Fassung, „echte, greifbare Beispiele“ anzuführen sind, um sie aussagekräftig und verständlich zu machen, nicht Gegenstand der Fragen des vorlegenden Gerichts, jedoch sind sie als Teil des Kontexts zu berücksichtigen, zu dem der Ausdruck „aussagekräftige Informationen über die involvierte Logik“ gehört.

Zweitens hat der Gerichtshof zum Umstand, dass der Ausdruck „aussagekräftige Informationen über die involvierte Logik“ auch in Art. 13 Abs. 2 lit. f) und in Art. 14 Abs. 2 lit.  g) DS‑GVO vorkommt, bereits festgestellt, dass im Fall einer automatisierten Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DS‑GVO das in Art. 15 Abs. 1 lit. h) DS‑GVO verankerte, diese Informationen betreffende Auskunftsrecht und die zusätzlichen Informationspflichten des Verantwortlichen gem. Art. 13 Abs. 2 lit. f) und Art. 14 Abs. 2 lit. g) DS‑GVO eine Einheit bilden (vgl. in diesem Sinne Urt. v. 07.12.2023, SCHUFA Holding u.a. [Scoring], C 634/21, EU:C:2023:957, Rn. 56).

Drittens ist, wie im Wesentlichen vom Generalanwalt in den Nr. 58 bis 60 der Schlussanträge ausgeführt, im Rahmen der kontextuellen Auslegung der für den Fall einer automatisierten Entscheidungsfindung vorgesehenen Auskunftsrechte die Rechtsprechung des Gerichtshofs zu den Anforderungen zu berücksichtigen, die der Verantwortliche gem. Art. 15 Abs. 3 DS‑GVO erfüllen muss.

So ist insbesondere dem Umstand Rechnung zu tragen, dass das in Art. 12 Abs. 1 DS‑GVO vorgesehene Erfordernis der Transparenz der übermittelten Informationen für sämtliche Daten und Informationen gem. Art. 15 gilt, einschließlich derjenigen, die automatisierte Entscheidungsfindungen betreffen.

Um zu gewährleisten, dass die betroffene Person in die Lage versetzt wird, die ihr vom Verantwortlichen übermittelten Informationen in vollem Umfang zu verstehen, verpflichtet Art.  12 Abs.  1 DS‑GVO den Verantwortlichen, geeignete Maßnahmen zu treffen, um insbesondere der betroffenen Person diese Daten und Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln (vgl. i.S.d. Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C 487/21, EU:C:2023:369, Rn. 38).

Die Prüfung des Kontexts von Art. 15 Abs. 1 lit. h) DS‑GVO bestätigt somit die Auslegung, die sich aus der Analyse der in dieser Bestimmung verwendeten Ausdrücke ergibt, wonach „aussagekräftige Informationen über die involvierte Logik“ einer automatisierten Entscheidungsfindung im Sinne dieser Bestimmung alle maßgeblichen Informationen zum Verfahren und zu den Grundsätzen der automatisierten Verarbeitung personenbezogener Daten zwecks Erreichen eines bestimmten Ergebnisses umfassen und diese Informationen aufgrund des Transparenzerfordernisses außerdem in präziser, transparenter, verständlicher und leicht zugänglicher Form zu übermitteln sind.

Zum Zweck der DS‑GVO ist schließlich darauf hinzu‑ weisen, dass ihr Ziel insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen zu gewährleisten, und zwar insbesondere ihres in Art. 16 AEUV gewährleisteten Rechts auf Schutz der personenbezogenen Daten, das in Art.  8 der Charta als Grundrecht verankert ist und das in Art.  7 der Charta verankerte Recht auf ein Privatleben ergänzt (vgl. i.S.d. Urt. v. 04.10.2024, Schrems [Mitteilung von Daten an die breite Öffentlichkeit], C 446/21, EU:C:2024:834, Rn. 45 und die dort angeführte Rechtsprechung).

Die DS‑GVO hat also, wie sich aus ihrem elften Erwägungsgrund ergibt, den Zweck, die Rechte der betroffenen Personen zu stärken und präzise festzulegen (Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C 487/21, EU:C:2023:369, Rn. 33 und die dort angeführte Rechtsprechung).

Was konkret das in Art.  15 DS‑GVO vorgesehene Auskunftsrecht betrifft, muss es der betroffenen Person nach der Rechtsprechung des Gerichtshofs ermöglichen, zu überprüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden (Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C 487/21, EU:C:2023:369, Rn. 34, und v. 26.10.2023, FT [Kopien der Patientenakte], C 307/22, EU:C:2023:811, Rn. 73).

Dieses Auskunftsrecht ist erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessen‑ werden“) und ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art.  16, 17 bzw. 18 DS‑GVO zukommen, sowie ihr in Art.  21 DS‑GVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder ihre in den Art. 79 und 82 DS‑GVO vorgesehenen Rechte auf Einlegung eines gerichtlichen Rechtsbehelfs bzw. auf Schadenersatz auszuüben (vgl. i.S.d. Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C 487/21, EU:C:2023:369, Rn. 35).

Insbesondere im speziellen Kontext des Erlasses einer Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung beruht, bezweckt das Recht der betroffenen Person, die in Art.  15 Abs.  1 lit.  h) DS‑GVO genannten Informationen zu erhalten, hauptsächlich, ihr die wirksame Ausübung der ihr nach Art. 22 Abs. 3 DS‑GVO zustehenden Rechte zu ermöglichen, nämlich des Rechts auf Darlegung ihres eigenen Standpunkts und des Rechts auf Anfechtung der Entscheidung.

Wenn von einer automatisierten Entscheidung – einschließlich Profiling – betroffene Personen nicht in der Lage wären, vor der Darlegung ihres Standpunkts oder der Anfechtung der Entscheidung die Gründe für diese Entscheidung nachzuvollziehen, würden diese Rechte ihren Zweck, diese Personen gegen die besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten verbunden sind, nicht in vollem Umfang erfüllen (vgl. i.S.d. Urt. v. 07.12.2023, SCHUFA Holding u.a. [Scoring], C 634/21, EU:C:2023:957, Rn. 57).

Gemäß dem 71. ErwG der DS‑GVO muss die betroffene Person, wenn sie einer Entscheidung unterworfen wird, die ausschließlich auf einer automatisierten Verarbeitung beruht und die sie erheblich beeinträchtigt, das Recht auf Erläuterung dieser Entscheidung haben. Wie vom Generalanwalt in Nr. 67 seiner Schlussanträge ausgeführt, bietet Art. 15 Abs. 1 lit. h) DS‑GVO der betroffenen Person also ein echtes Recht auf Erläuterung der Funktionsweise des Mechanismus der automatisierten Entscheidungsfindung, der diese Person unterworfen worden ist, und des Ergebnisses, zu dem diese Entscheidung geführt hat.

Aus der Prüfung der Ziele der DS‑GVO und insbesondere von Art. 15 Abs. 1 lit. h) DS‑GVO ergibt sich, dass das Recht auf „aussagekräftige Informationen über die involvierte Logik“ bei einer automatisierten Entscheidungsfindung im Sinne dieser Bestimmung als ein Recht auf Erläuterung des Verfahrens und der Grundsätze zu verstehen ist, die bei der automatisierten Verarbeitung der personenbezogenen Daten der betroffenen Person zur Anwendung kamen, um auf der Grundlage dieser Daten zu einem bestimmten Ergebnis – etwa einem Bonitätsprofil – zu gelangen. Damit die betroffene Person die ihr durch die DS‑GVO und insbesondere deren Art. 22 Abs. 3 gewährten Rechte wirksam ausüben kann, müssen im Rahmen dieser Erläuterung die relevanten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form übermittelt werden.

Weder die bloße Übermittlung einer komplexen mathematischen Formel (etwa eines Algorithmus), noch die detaillierte Beschreibung jedes Schritts einer automatisierten Entscheidungsfindung genügen diesen Anforderungen, da beides keine ausreichend präzise und verständliche Erläuterung darstellt.

Wie sich aus S. 28 der in Rn. 45 des vorliegenden Urteils genannten Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679 ergibt, sollte nämlich zum einen der Verantwortliche einfache Möglichkeiten finden, die betroffene Person über die der Entscheidungsfindung zugrunde liegenden Überlegungen bzw. Kriterien zu informieren. Zum anderen verpflichtet die DS‑GVO den Verantwortlichen zur Übermittlung aussagekräftiger Informationen über die involvierte Logik, „nicht unbedingt zu einer ausführlichen Erläuterung der verwendeten Algorithmen oder zur Offenlegung des gesamten Algorithmus.

Die „aussagekräftigen Informationen über die involvierte Logik“ einer automatisierten Entscheidungsfindung im Sinne von Art. 15 Abs. 1 lit. h) DS‑GVO müssen also das Verfahren und die Grundsätze, die konkret zur Anwendung kommen, so beschreiben, dass die betroffene Person nachvollziehen kann, welche ihrer personenbezogenen Daten im Rahmen der in Rede stehenden automatisierten Entscheidungsfindung auf welche Art verwendet wurden, ohne dass die Komplexität der im Rahmen einer automatisierten Entscheidungsfindung vorzunehmenden Arbeitsschritte den Verantwortlichen von seiner Erläuterungspflicht entbinden könnte.

Was konkret ein Profiling wie das im Ausgangsverfahren in Rede stehende betrifft, könnte das vorlegende Gericht es insbesondere als ausreichend transparent und nachvollziehbar erachten, die betroffene Person zu informieren, in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte.

Ferner ist zur Frage, ob die übermittelten Informationen der betroffenen Person eine Überprüfung der Richtigkeit der sie betreffenden, der automatisierten Entscheidungsfindung zugrunde liegenden personenbezogenen Daten ermöglichen müssen, darauf hinzuweisen, dass das Recht auf Auskunft über diese Daten nicht durch Art. 15 Abs. 1 lit. h) DS‑GVO begründet wird, sondern durch den einleitenden Satz von Art. 15 Abs. 1 DS‑GVO, der der betroffenen Person das Recht gewährleistet, die Richtigkeit dieser Daten zu überprüfen; dies ergibt sich aus der in Rn. 53 des vorliegenden Urteils wiedergegebenen Rechtsprechung.

Schließlich ist zur Feststellung des vorlegenden Gerichts, wonach die CK von D & B gem. Art. 15 Abs. 1 lit. h) DS‑GVO übermittelten Informationen tatsachenwidrig seien, da CK gem. dem „tatsächlichen“ Profiling als nicht zahlungskräftig anzusehen sei, obwohl die genannten Informationen das Gegenteil nahelegten, darauf hinzuweisen, dass zwar dem vorlegenden Gericht zufolge die so festgestellte Nichtübereinstimmung darauf zurückzuführen ist, dass D & B CK nicht über das ihre Person betreffende Profiling informiert habe, das für den Mobilfunkanbieter erstellt worden sei und auf dessen Grundlage CK der Abschluss bzw. die Verlängerung eines Vertrags verweigert worden sei, dies aber im Wege des Rechts auf Auskunft über das so erstellte Bonitätsprofil zu beheben wäre. Hierzu ergibt sich aus der Rechtsprechung des Gerichtshofs, dass die vom Verantwortlichen selbst erzeugten personenbezogenen Daten unter Art.  14 DS‑GVO fallen (vgl. i.S.d. Urt. v. 28.11.2024, Másdi, C 169/23, EU:C:2024:988, Rn. 48).

Eine Erläuterung der Unterschiede zwischen dem Ergebnis eines solchen „tatsächlichen“ Profilings – seine Durchführung unterstellt – und dem CK von D & B mitgeteilten Ergebnis, das D & B zufolge mittels „gleichwertiger Gewichtung“ der CK betreffenden Daten zustande kam, fällt hingegen sehr wohl unter „aussagekräftige Informationen über die involvierte Logik“ des so erstellten Profilings.  Im Einklang mit den Ausführungen in Rn. 58 des vorliegenden Urteils müsste D & B also in präziser, transparenter, verständlicher und leicht zugänglicher Form das Verfahren und die Grundsätze erläutern, anhand derer das „tatsächliche“ Profiling erstellt wurde.

Gemäß den vorstehenden Ausführungen ist auf die erste und die zweite Vorlagefrage sowie die Vorlagefrage 3.a) zu antworten, dass Art. 15 Abs. 1 lit. h) DS‑GVO dahin auszulegen ist, dass bei automatisierten Entscheidungsfindungen (einschließlich Profilings) im Sinne von Art. 22 Abs. 1 DS‑GVO die betroffene Person vom Verantwortlichen im Rahmen des Anspruchs auf Erteilung „aussagekräftiger Informationen über die involvierte Logik“ verlangen kann, ihr anhand der maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form das Verfahren und die Grundsätze zu erläutern, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses – beispielsweise eines Bonitätsprofils – konkret angewandt wurden.

Zu den Vorlagefragen 3.b), 3.c), 4.a) und 4.b) sowie zur fünften und zur sechsten Vorlagefrage

Mit den Vorlagefragen 3.b), 3.c), 4.a) und 4.b) sowie der fünften und der sechsten Vorlagefrage, die gemeinsam zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 1 lit. h) DS‑GVO dahin auszulegen ist, dass in Fällen, in denen nach Ansicht des Verantwortlichen die Informationen, die der betroffenen Person gem. dieser Bestimmung zu übermitteln sind, von der DS‑GVO geschützte Daten Dritter oder Geschäftsgeheimnisse im Sinne von Art. 2 Nr.  1 der Richtlinie 2016/943 umfassen, der Verantwortliche diese angeblich geschützten Informationen der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht zu übermitteln hat, die die einander gegenüberstehenden Rechte und Interessen abwägen müssen, um den Umfang des in Art. 15 DS‑GVO vorgesehenen Auskunftsrechts der betroffenen Person zu ermitteln.

Nach dem 4. ErwG der DS‑GVO ist das Recht auf Schutz der personenbezogenen Daten kein uneingeschränktes Recht und muss unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Somit steht die DS‑GVO im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der Charta anerkannt wurden und in den Verträgen verankert sind (Urt. v. 26.10.2023, FT [Kopien der Patientenakte], C 307/22, EU:C:2023:811, Rn. 59 und die dort angeführte Rechtsprechung).

Außerdem sollte gem. dem 63. ErwG dieser Verordnung das Auskunftsrecht der betroffenen Person hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen.

Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Art. 23 Abs. 1 lit. i) DS‑GVO sieht hierzu im Wesentlichen vor, dass eine Beschränkung des Umfangs der u.a. in Art. 15 DS‑GVO vorgesehenen Pflichten und Rechte nur möglich ist, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die den Schutz der Rechte und Freiheiten anderer Personen sicherstellt.

Zum verwandten, in Art.  15 Abs.  4 DS‑GVO verankerten Recht auf Erhalt einer Kopie hat der Gerichtshof bereits festgestellt, dass dessen Ausübung die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen sollte (vgl. i.S.d. Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C 487/21, EU:C:2023:369, Rn. 43).

In diesem Zusammenhang hat der Gerichtshof entschieden, dass im Fall eines Konflikts zwischen der Aus‑ übung des Rechts auf vollständige und umfassende Auskunft über die personenbezogenen Daten zum einen und den Rechten oder Freiheiten anderer Personen zum anderen die fraglichen Rechte gegeneinander abzuwägen sind. Nach Möglichkeit sind Modalitäten der Übermittlung der personenbezogenen Daten zu wählen, die die Rechte oder Freiheiten anderer Personen nicht verletzen, wobei diese Erwägungen „nicht dazu führen [dürfen], dass der betroffenen Person jegliche Auskunft verweigert wird“, wie sich aus dem 63. ErwG der DS‑GVO ergibt (Urt. v. 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C 487/21, EU:C:2023:369, Rn. 44).

Zur Frage, wie das Auskunftsrecht gem. Art.  15 Abs.  1 lit. h) DS‑GVO so umgesetzt werden kann, dass die Rech‑ te und Freiheiten anderer Personen gewahrt werden, ist darauf hinzuweisen, dass ein nationales Gericht nach der Rechtsprechung der Ansicht sein kann, dass ihm personenbezogene Daten von Parteien oder Dritten übermittelt werden müssen, damit es in voller Kenntnis der Sachlage und unter Beachtung des Grundsatzes der Verhältnismäßigkeit die betroffenen Interessen abwägen kann. Diese Beurteilung kann es gegebenenfalls dazu veranlassen, die vollständige oder teilweise Offenlegung der ihm so übermittelten personenbezogenen Daten gegenüber der Gegenpartei zuzulassen, wenn es der Auffassung ist, dass eine solche Offenlegung nicht über das hinausgeht, was erforderlich ist, um die effektive Wahrnehmung der Rechte zu gewährleisten, die den Rechtsuchenden aus Art.  47 der Charta erwachsen (Urt. v. 02.03.2023, Norra Stockholm Bygg, C 268/21, EU:C:2023:145, Rn. 58)

Wie vom Generalanwalt in Nr. 94 seiner Schlussanträge ausgeführt, kann diese Rechtsprechung uneingeschränkt auf den Fall übertragen werden, dass die Informationen, die der betroffenen Person im Rahmen des durch Art.  15 Abs. 1 lit. h) DS‑GVO garantierten Auskunftsrechts zur Verfügung gestellt werden müssen, geeignet sind, zu einer Beeinträchtigung der Rechte und Freiheiten anderer Personen zu führen, insbesondere, da sie durch die DS‑GVO geschützte personenbezogene Daten Dritter oder ein Geschäftsgeheimnis im Sinne von Art.  2 Nr.  1 der Richtlinie 2016/943 enthalten. Auch in diesem Fall sind diese Informationen der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht zu übermitteln, die die einander gegenüberstehenden Rechte und Interessen abwägen müssen, um den Umfang des Rechts der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten zu ermitteln.

Hinsichtlich der Notwendigkeit, dies von Fall zu Fall zu ermitteln, steht Art. 15 Abs. 1 lit. h) DS‑GVO insbesondere der Anwendung einer Bestimmung wie § 4 Abs. 6 DSG entgegen, die das in Art. 15 DS‑GVO vorgesehene Auskunftsrecht der betroffenen Person grundsätzlich ausschließt, wenn die Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen oder eines Dritten gefährden würde. Ein Mitgliedstaat kann das Ergebnis einer durch das Unionsrecht vorgegebenen, auf Einzelfallbasis durchzuführenden Abwägung der einander gegenüberstehenden Rechte und Interessen nicht abschließend vorschreiben (vgl. i.d.S. Urt. v. 07.12.2023, SCHUFA Holding u.a. [Scoring], C 634/21, EU:C:2023:957, Rn. 70 und die dort angeführte Rechtsprechung).

Angesichts der vorstehenden Ausführungen ist auf die Vorlagefragen 3.b), 3.c), 4.a) und 4.b) sowie auf die fünfte und die sechste Vorlagefrage zu antworten, dass Art.  15 Abs. 1 lit. h) DS‑GVO dahin auszulegen ist, dass in Fällen, in denen nach Ansicht des Verantwortlichen die Informationen, die der betroffenen Person gem. dieser Bestimmung zu übermitteln sind, von der DS‑GVO geschützte Daten Dritter oder Geschäftsgeheimnisse im Sinne von Art. 2 Nr. 1 der Richtlinie 2016/943 umfassen, der Verantwortliche diese angeblich geschützten Informationen der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht zu übermitteln hat, die die einander gegenüberstehenden Rechte und Interessen abwägen müssen, um den Umfang des in Art. 15 DS‑GVO vorgesehenen Auskunftsrechts der betroffenen Person zu ermitteln. […]

Zur Vertiefung

[Urteil] Besondere datenschutzrechtliche Herausforderungen des SCHUFA-Scorings = RDV 1/2024

[Urteil] Reichweite des Rechts auf Kopie aus Art.  15 Abs.  3 S.  1 DS-GVO = RDV 4/2023

Peisker, Die Kopie nach Art. 15 Abs. 3 S. 1 DS-GVO – Gedanken zur EuGH-Entscheidung in der RS. C-487/21