Auskunftspflicht über die involvierte Logik einer automatisierten Entscheidung umfasst nicht den gesamten Algorithmus

Das Auskunftsrecht gem Art 15 DSGVO war bereits mehrfach Gegenstand von Vorabentscheidungsverfahren beim EuGH.¹¹S zB EuGH 4. 5. 2023, C-487/21 , Österreichische Datenschutzbehörde und CRIF; 22. 6. 2023, , C-579/21 , Pankki S, oder 26. 10. 2023, C-307/22 , FT (Kopie der Patientenakte). In der E C-203/22 , Dun & Bradstreet Austria,²²ZFR 2025/67, 173 (in diesem Heft). hat der EuGH nun im Rahmen der Auslegung "aussagekräftiger Informationen über die involvierte Logik" gem Art 15 Abs 1 lit h DSGVO geklärt, dass die DSGVO in diesem Zusammenhang keine Verpflichtung zur Offenlegung des gesamten Algorithmus enthält, sondern der Verantwortliche eine Möglichkeit finden muss, wie er der betroffenen Person das Verfahren und die Grundsätze bei automatisierter Entscheidungsfindung iSd Art 22 Abs 1 DSGO verständlich und präzise erläutern kann. Mangels Verständlichkeit erfüllt die bloße Beauskunftung eines komplexen Algorithmus zur Berechnung eines Bonitäts-Scores diese Anforderungen nicht.³³EuGH 27. 2. 2025, C-203/22 , Dun & Bradstreet Austria, Rn 59. Dem ersten Anschein nach kam der EuGH in dieser E weiters zu dem Schluss, dass die Ausnahmebestimmung des § 4 Abs 6 DSG unionsrechtswidrig sei, weil sie keine Interessenabwägung durch die Datenschutzbehörde (DSB) zulasse.⁴⁴S Spruchpunkt 2. der gegenständlichen E. Allerdings hat der EuGH dabei § 4 Abs 6 DSG (trotz richtiger Vorlage des VwG Wien) zunächst falsch wiedergegeben, und darüber hinaus haben sowohl das vorlegende Gericht als auch der EuGH eine weitere relevante nationale Regelung (§ 25 Abs 3 DSG) übersehen. Die praktischen Auswirkungen dieser Missverständnisse werden aber infolge des dem tatsächlichen Wortlaut des § 4 Abs 6 DSG iVm § 25 Abs 3 DSG ähnlichen Ergebnisses des EuGH beschränkt sein.