2 AEUV hat die Datenschutzgrundverordnung allgemeine Geltung, ist in all ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Trotz dieser Grundsätze enthält die Datenschutzgrundverordnung verschiedentlich sog. Öffnungsklauseln, die den Mitgliedstaaten in gewissem Umfang Spielräume für nationale Regelungen eröffnen. In Ansehung dieser überlassenen Normsetzungsbefugnisse trat am
1 DS-GVO die automatische Ablehnung eines Online-Kreditantrags. Insoweit ist Art. 22 Abs. 1 DS-GVO auf Fälle wie den hiesigen jedenfalls im Hinblick darauf grundsätzlich anwendbar, dass nach dem Willen des Verordnungsgebers die Erstellung eines Score-Wertes einen Unterfall des Profilings im Sinne von Art. 4 Nr. 4 DS-GVO darstellt. Das vorlegende Gericht hält es im Kern für naheliegend, dass in Fällen wie dem streitgegenständlichen darüber hinaus auch das von Art. 22 Abs. 1 DS-GVO vorausgesetzte Tatbestandsmerkmal einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung erfüllt ist. Dem steht nicht entgegen, dass nach o. G. die Haupttätigkeit von Wirtschaftsauskunfteien – wie die Beigeladene es ist –,die Ermittlung von Score-Werten, nach den Erwägungsgründen ein Unterfall des Profilings sein soll. Zwar hat der Verordnungsgeber offenbar beabsichtigt, die datenschutzrechtliche Zulässigkeit des Profilings gerade nicht durch Art. 22 Abs. 1 DS-GVO eigenständig zu regeln, sondern insoweit nur das Profiling gleichsam mit zu adressieren, soweit es Bestandteil einer auf einer automatisierten Entscheidung gestützten Entscheidung ist. Das ergibt sich schon aus dem Wortlaut der Vorschrift, die für ihr Verbot maßgeblich auf die auf Profiling – oder einer sonstigen automatisierten Datenverarbeitung – beruhende Entscheidung abstellt, nicht jedoch auf das Profiling selbst. Das Gericht geht jedoch davon aus, dass die Erstellung eines Score-Wertes durch eine Auskunftei nicht lediglich ein die Entscheidung des dritten Verantwortlichen vorbereitendes Profiling ist, sondern gerade eine selbstständige „Entscheidung“
1 DS-GVO. Dabei ist sich das Gericht in Ansehung des Wortlautes des Art. 22 Abs. 1 DS-GVO bewusst, dass sich die Vorschrift bei restriktiver Auslegung so verstehen lässt und verbreitet auch so verstanden wird, dass sie auf die Tätigkeit von Wirtschaftsauskunfteien wie der Beigeladenen keine unmittelbare Anwendung findet. Einer entsprechenden Annahme liegt nach Auffassung des Gerichts jedoch ein fehlerhaftes Verständnis der Tätigkeit von Wirtschaftsauskunfteien und dem Einfluss der von ihnen erstellten Score-Werte zugrunde. Denn die Annahme gründet auf dem Gedanken, dass Wirtschaftsauskunfteien nicht die für Art. 22 Abs. 1 DS-GVO maßgebliche Entscheidung selbst treffen, weil sie durch Ermittlung und Zusammenstellung von personenbezogenen Daten zwecks einer Profilbildung und der daraus folgenden Ermittlung eines finalen Score-Wertes die letztendliche Entscheidung des Verantwortlichen gleichsam nur vorbereiten, geben sie bei der Übermittlung des Score-Wertes typischerweise doch nicht zugleich auch dem dritten Verantwortlichen gegenüber eine Empfehlung für oder gegen eine vertragliche Kontrahierung mit der betroffenen Person ab. Die DS-GVO nimmt in ihren Bestimmungen und Erwägungsgründen eine begriffliche Differenzierung zwischen Verarbeitung einerseits und auf der Verarbeitung beruhender Entscheidung andererseits vor und will gerade keine eigenständigen materiellen Vorgaben zum Profiling treffen. So bestimmt Art. 4 Nr. 4 DS-GVO, dass Profiling im Sinne der DS-GVO „jede Art der automatisierten Verarbeitung personenbezogener Daten“ ist, „ um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten “. Der Wortlaut der Legaldefinition lässt sich folglich dahingehend verstehen, Profiling sei nicht nur die Ermittlung der Parameter für das Bewertungsergebnis, sondern umfasse auch das Bewertungsergebnis. Darunter könnte man im Hinblick auf den hiesigen Fall auch die automatisierte Zusammenstellung der einzelnen Merkmale mit dem Ziel des Subtrahierens eines Gesamt-Score-Wertes durch eine Wirtschaftsauskunftei und dessen tatsächlicher Ermittlung fassen. In Richtung eines solchen Begriffsverständnisses ließe sich auch Art. 21 Abs. 1 S. 1 DS-GVO deuten, wonach sich das Widerspruchsrecht der betroffenen Person auf jegliche Verarbeitung bezieht und nach Hs. 2 insbesondere auch für ein auf die Vorschriften der DS-GVO gestütztes Profiling . Letztlich tritt die Differenzierung zwischen automatisierter Verarbeitung durch Profiling einerseits sowie Entscheidung andererseits vor allem aus Art. 22 Abs. 1 DS-GVO hervor. Indem Art. 22 Abs. 1 DS-GVO bestimmt, dass eine betroffene Person das Recht hat, „nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden“, trifft die Vorschrift explizit eine kausale Verknüpfung und zeitlich zwingende Reihenfolge von automatisierter Verarbeitung (einschließlich Profiling) und darauf beruhender Entscheidung. Die Intention des Verordnungsgebers, zwischen beiden Begrifflichkeiten zu unterscheiden, wird ferner durch Erwägungsgrund 71 S. 1, 2 gestützt. Während Erwägungsgrund 71 S. 1 erläutert, die betroffene Person solle das Recht haben, keiner Entscheidung zur Bewertung sie betreffender persönlicher Angaben unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht, ergänzt Erwägungsgrund 71 S. 2 diese Annahme, zu „derartigen Verarbeitungen “ – folglich nicht zu den „ Entscheidungen “ – zähle auch das Profiling. Als Beispielsfall für eine „Entscheidung“ benennt Erwägungsgrund 71 S. 1 vielmehr exemplarisch die automatische Ablehnung eines Kreditantrages, adressiert also in Grobzügen die hiesige Fallkonstellation insoweit, als die ablehnende Entscheidung des Kreditinstituts gegenüber der Klägerin die maßgebliche „Entscheidung“ ist, nicht jedoch die Erstellung des Score-Wertes durch die Beigeladene. Letztlich lassen sich damit jedenfalls der Wortlaut der Art. 21 Abs. 1 S. 1, 22 Abs. 1 und 4 Nr. 4 DS-GVO sowie die Erwägungsgründe 71 S. 1, 2 und 72 dahingehend verstehen, Fallkonstellationen wie die dem Ausgangsverfahren zugrunde liegende, in der eine Auskunftei einen Score-Wert ermittelt, stellten eine „Verarbeitung“, nicht jedoch eine „Entscheidung“
1 DS-GVO dar. Das vorlegende Gericht hat allerdings erhebliche Zweifel an einer solch restriktiven Auslegung des Art. 22 Abs. 1 DS-GVO. Es sieht gewichtige Anhaltspunkte dafür, dass die durch Wirtschaftsauskunfteien vorgenommene automatisierte Erstellung eines Score-Wertes zur prognostischen Bewertung der wirtschaftlichen Leistungsfähigkeit einer betroffenen Person eine eigenständige , auf einer automatisierten Verarbeitung beruhende Entscheidung
1 DS-GVO ist. Das vorlegende Gericht stützt seine Zweifel in tatsächlicher Hinsicht auf die Bedeutung des von Wirtschaftsauskunfteien erstellten Score-Wertes für die Entscheidungspraxis dritter Verantwortlicher sowie rechtlich maßgeblich auf die mit Art. 22 Abs. 1 DS-GVO verfolgten Zwecke sowie den in Art. 87 ff. DS-GVO verbürgten Rechtsschutzgewährleistungen: In tatsächlicher Hinsicht hat das Gericht durchgreifende Bedenken gegenüber der Annahme, dritte Verantwortliche träfen bei Vorliegen eines Score-Wertes über eine betroffene Person die von Art. 22 Abs. 1 DS-GVO geforderte, nicht ausschließlich auf Automatisierung beruhende Einzelfallentscheidung. Wenngleich jedenfalls rein hypothetisch die dritten Verantwortlichen eine eigene Entscheidung über das Ob und Wie des Eingehens einer vertraglichen Beziehung mit der betroffenen Person treffen können , weil zu diesem Stadium des Entscheidungsprozesses eine humangesteuerte Einzelfallentscheidung grundsätzlich noch möglich ist, wird diese Entscheidung praktisch in so erheblichem Maße durch den von Wirtschaftsauskunfteien übermittelten Score-Wert determiniert, dass jener gleichsam durch die Entscheidung des dritten Verantwortlichen durchschlägt. Anders gewendet: Eigentlich entscheidet über das Ob und Wie der Vertragseingehung des dritten Verantwortlichen mit der betroffenen Person letztlich doch der aufgrund automatisierter Verarbeitung von der Wirtschaftsauskunftei erstellte Score-Wert. Der dritte Verantwortliche muss seine Entscheidung zwar nicht allein vom Score-Wert abhängig machen, tut es in aller Regel jedoch maßgeblich. Eine Kreditvergabe mag zwar trotz eines grundsätzlich ausreichenden Score-Werts (aus anderen Gründen, wie etwa des Fehlens von Sicherheiten oder Zweifeln am Erfolg einer zu finanzierenden Investition) versagt werden, ein nicht ausreichender Score-Wert hingegen wird jedenfalls im Bereich der Verbraucherdarlehen in fast jedem Fall und auch dann zur Versagung eines Kredits führen, wenn etwa eine Investition im Übrigen als lohnend erscheint. Dass Score-Werten bei der Kreditvergabe und der Gestaltung ihrer Bedingungen die entscheidende Rolle zukommt, zeigen Erfahrungen aus der behördlichen Datenschutzaufsicht (Siehe LfDI BW, Neue Broschüre: Scoring – solide Prognose oder miese Nummer?, https://www.baden-wuerttemberg.datenschutz.de/neue-broschuere-scoring-solide-prognose-oder-miese-nummer/ (Stand 30.09.2021)). Vor den Gefahren dieser rein auf Automation gründenden Entscheidungsform soll Art. 22 Abs. 1 DS-GVO – vorbehaltlich der Ausnahmen in Art. 22 Abs. 2 DS-GVO – die betroffene Person aber gerade schützen. Anliegen des Verordnungsgebers ist es, zu verhindern, dass die Entscheidungsfindung ohne individuelle Einschätzung und Bewertung durch einen Menschen stattfindet. Die betroffene Person soll keinem ausschließlich technischen und undurchschaubaren Vorgang ausgeliefert sein, ohne die zugrunde liegenden Annahmen und Bewertungsmaßstäbe nachvollziehen und durch Ausübung ihrer Rechte gegebenenfalls intervenieren zu können. Regelungsanliegen ist damit neben dem Schutz vor diskriminierenden Entscheidungen auf Grundlage vermeintlich objektiver Datenverarbeitungsprogramme auch die Schaffung von Transparenz und Fairness bei der Entscheidungsfindung. Entscheidungen über die Ausübung individueller Freiheiten sollen nicht ungeprüft der Logik von Algorithmen überlassen werden. Denn Algorithmen arbeiten mit Korrelationen und Wahrscheinlichkeiten, die nicht zwingend einer Kausalität folgen und auch nicht zwangsläufig zu nach menschlicher Einsicht „richtigen“ Ergebnissen führen. Aus der Systematisierung zutreffender Einzeldaten können vielmehr fehlerhafte, unfaire oder diskriminierende Schlussfolgerungen gezogen werden, die – werden sie zur Grundlage einer Entscheidungsfindung – die Freiheitsrechte der betroffenen Person erheblich tangieren, und ihn vom Subjekt zum Objekt einer entpersonalisierten Entscheidung degradieren. Das trifft in besonderem Maße dann zu, wenn die betroffene Person nicht um den Einsatz von Algorithmen weiß oder sie – falls doch – nicht übersehen kann, welche Daten mit welchem Gewicht und durch welche Analysemethoden in die Entscheidung einfließen. Gerade dieses Anliegen des Verordnungsgebers, ein menschliches Korrektiv für automatisierte Datenverarbeitungen im Grundsatz verbindlich vorzuschreiben und nur in begrenzten Ausnahmefällen Durchbrechungen zuzulassen (Art. 22 Abs. 2 DS-GVO), wird jedoch konterkariert, weil der automatisiert erstellte Score-Wert grundsätzlich eine überragende Stellung in der Entscheidungsfindung des dritten Verantwortlichen einnimmt. Der Verordnungsgeber wollte, diesen Grundkonflikt mittels des in Art. 22 Abs. 1 DS-GVO enthaltenen Verbotes gleichsam „zulasten“ der dritten Verantwortlichen lösen, indem er an der (letzten) Entscheidung gegenüber der betroffenen Person ansetzt. An das Profiling werden insoweit lediglich im für das Profiling maßgeblichen Erwägungsgrund 71 Satz 6 Verfahrensanforderungen formuliert. Im Übrigen ergibt sich die Zulässigkeit der Datenverarbeitung zwecks Profiling jedoch allenfalls aus den allgemeinen Verarbeitungstatbeständen des Art. 6 Abs. 1 DS-GVO. Das folgt sowohl aus Art. 21 Abs. 1 S. 1 Hs. 2 DS-GVO, der als mögliche Rechtsgrundlage für Profiling auf Art. 6 Abs. 1 UA 1 lit. e und f DS-GVO verweist, und aus Erwägungsgrund 72 S. 1, wonach das Profiling den Vorschriften der DS-GVO für die Verarbeitung personenbezogener Daten, also auch der Rechtsgrundlage für die Verarbeitung oder den Datenschutzgrundsätzen, unterliegt. Infolge dieser bloß rumpfartigen Vorgaben der DS-GVO zum Profiling einerseits und dem grundlegenden Postulat aus Art. 22 Abs. 1 DS-GVO andererseits stellt sich insbesondere das Problem der effektiven Rechtsdurchsetzung durch betroffene Personen. Sie ist – neben dem aufsichtsbehördlichen Kontrollmechanismus – der entscheidende Rechtsdurchsetzungsmechanismus der DS-GVO. Das zeigen nicht nur die austarierten und umfassend geregelten Beschwerde- und Klagerechte aus Art. 87 ff. DS-GVO, sondern auch die sie flankierenden Betroffenenrechte aus Art. 12 ff. DS-GVO. Anliegen der DS-GVO ist es, durch entsprechende Vorgaben insbesondere zu Auskunftsrechten und Transparenzgeboten, den mündigen Unionsbürger zur Rechtsdurchsetzung zu befähigen und zu mobilisieren. Diese Rechte werden durch das Zusammenspiel von Tätigkeit und (fehlender) Verpflichtungen der Wirtschaftsauskunfteien sowie Entscheidungspraxis der dritten Verantwortlichen ausgehöhlt. Gegenüber den Auskunfteien hat die betroffene Person zwar ein generelles Auskunftsrecht nach Art. 15 DS-GVO; dieses wird den Besonderheiten des Profilings, das die DS-GVO ja gerade durch die Art. 15 Abs. 1 lit. h, 21 Abs. 1 S. 1 Hs. 2, 22 DS-GVO zu adressieren sucht, jedoch nicht gerecht. Denn im Rahmen des allgemeinen Auskunftsanspruchs sind die Wirtschaftsauskunfteien nicht verpflichtet, die Logik und Zusammensetzung der für die Erstellung des Score-Wertes entscheidenden Parameter preiszugeben; sie tun dies aus Gründen des Wettbewerbsschutzes unter Berufung auf ihr Betriebs- und Geschäftsgeheimnis auch nicht. Auch der dritte Verantwortliche kann Informationen über die Score-Wert-Erstellung, die seiner Entscheidung ja gerade maßgeblich zugrunde liegt, gegenüber der betroffenen Person nicht erteilen, weil er nicht um die involvierte Logik weiß; sie wird ihm von der Auskunftei nicht offenbart. Dadurch entsteht eine Rechtsschutzlücke: Derjenige, von dem die für die betroffene Person erforderlichen Informationen zu erlangen wären, ist nach Art. 15 Abs. 1 lit. h DS-GVO nicht auskunftsverpflichtet, weil er vorgeblich keine eigene „automatisierte Entscheidungsfindung“
1 lit. h DS-GVO betreibt, und derjenige, der seiner Entscheidungsfindung den automatisiert erstellen Score-Wert zugrunde legt und nach Art. 15 Abs. 1 lit. h DS-GVO auskunftsverpflichtet ist, kann die erforderlichen Informationen nicht bereitstellen, weil er über sie nicht verfügt. Fällt die Erstellung des Score-Wertes durch eine Auskunftei in den Anwendungsbereich des Art. 22 Abs. 1 DS-GVO, schließt sich diese Rechtsschutzlücke. Nicht nur unterfällt die Erstellung von Score-Werten so dem Verbot des Art. 22 Abs. 1 DS-GVO, sodass sie als auf ausschließlich automatisierter Verarbeitung beruhend nur nach den Ausnahmetatbeständen des Art. 22 Abs. 2 DS-GVO zulässig ist und damit der Intention des Unionsgebers nach zumindest regulatorischer Einhegung solcher Entscheidungen entspricht. Auch ermöglicht dieses Vorgehen unter Berücksichtigung der Öffnungsklausel des Art. 22 Abs. 2 lit. b DS-GVO eine detaillierte Regelung solcher Entscheidungsfindungen durch die Mitgliedstaaten, die ihnen nach den bisherigen Vorgaben der DS-GVO zu Profiling und automatisierten Entscheidungsfindungen verwehrt bleibt (siehe Vorlagefrage 2). Die Rechtsschutzlücke wird auch nicht hinreichend durch das Widerspruchsrecht der betroffenen Person gem. Art. 21 Abs. 1 S. 1 Hs. 2 DS-GVO geschlossen. Danach hat die betroffene Person zwar das Recht, „aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Abs. UA 1 lit. e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling“. Jedoch weiß die betroffene Person im Falle von Wirtschaftsauskunfteien typischerweise nicht, dass sie zum Gegenstand eines automatisierten Scoring-Verfahrens geworden ist. Sie erfährt dies typischerweise erst, wenn eine ihr gegenüber nachteilige Entscheidung eines dritten Verantwortlichen unter Hinweis auf den Score-Wert bereits ergangen ist. Zu diesem Zeitpunkt hilft ihr das Widerspruchsrecht aber jedenfalls in Bezug auf den abgeschlossenen Fall nicht mehr; sie kann insoweit ihr Widerspruchsrecht nur noch gegenüber einer künftigen Datenverarbeitung durch die Wirtschaftsauskunftei ausüben. Zu Frage 2: Mitgliedstaatliche Regelungen zum Scoring Gemäß § 31 Abs. 1 BDSG ist die Zulässigkeit der Verwendung eines Wahrscheinlichkeitswerts über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) von der Erfüllung weiterer Voraussetzungen abhängig. Gemäß § 31 Abs. 2 BDSG ist die Verwendung eines von Auskunfteien ermittelten Wahrscheinlichkeitswerts über die Zahlungsfähigkeit und Zahlungswilligkeit einer natürlichen Person im Fall der Einbeziehung von Informationen über Forderungen nur zulässig, soweit die Voraussetzungen nach § 31 Abs. 1 BDSG vorliegen und nur solche Forderungen über eine geschuldete Leistung, die trotz Fälligkeit nicht erbracht worden ist, berücksichtigt werden, die weitere spezifische Voraussetzungen erfüllen, wobei die Zulässigkeit der Verarbeitung, einschließlich der Ermittlung von Wahrscheinlichkeitswerten, von anderen bonitätsrelevanten Daten nach allgemeinem Datenschutzrecht unberührt bleibt. Damit trifft der deutsche Gesetzgeber in § 31 BDSG im Kern Regelungen über das Scoring als Unterfall des Profilings. Das vorlegende Gericht hat erhebliche Zweifel an der Vereinbarkeit dieser Regelungen mit Art. 22 DS-GVO, weil der deutsche Gesetzgeber lediglich die „Verwendung“ des „Wahrscheinlichkeitswert“ regelt, nicht aber die Erstellung des Wahrscheinlichkeitswerts selbst. § 31 BDSG ist insoweit abschließend, als er Profiling nur dahingehend zu seinem Regelungsgegenstand macht, wie es Grundlage einer darauf aufbauenden Entscheidung ist. Bezugspunkt des Verbotes ist demgemäß jedoch nur die Entscheidung , nicht das ihr vorangehende Profiling. Spezifisch inhaltliche Anforderungen an die Rechtmäßigkeit der Datenverarbeitung zwecks Profiling in Gestalt des Scorings selbst werden weder von Art. 22 DS-GVO noch von anderen Bestimmungen der DS-GVO formuliert. Im Hinblick auf Profiling finden sich im Übrigen lediglich Regelungen zu Informationspflichten in Art. 14 Abs. 2 lit. g DS-GVO, dem Auskunftsrecht in Art. 15 Abs. 1 lit. h DS-GVO, jeweils jedoch nur bezogen auf das Bestehen einer automatisierten Entscheidungsfindung, nicht jedoch auf das Profiling selbst, sowie zum Widerspruchsrecht der betroffenen Person in Art. 21 Abs. 1 S. 1 Hs. 1 DS-GVO und in weiteren, für das streitgegenständliche Verfahren unerheblichen Vorschriften. In Ermangelung spezifischer Bestimmungen richtet sich die Zulässigkeit von Profiling, soweit es in Gestalt des Scorings nicht mittels der darauf aufbauenden Entscheidung von Art. 22 DS-GVO erfasst ist, demnach im Übrigen nach den allgemeinen Verarbeitungstatbeständen des Art. 6 DS-GVO. Indem der deutsche Gesetzgeber weitergehende inhaltliche Zulässigkeitsvoraussetzungen an das Scoring knüpft, spezifiziert er die Regelungsmaterie über die Vorgaben der Art. 6 und 22 DS-GVO hinaus. Dafür fehlt ihm jedoch die Regelungsbefugnis. Eine entsprechende Regelungsbefugnis lässt sich insbesondere nicht aus Art. 22 Abs. 2 lit. b DS-GVO ableiten. Die DS-GVO sieht eine mitgliedstaatliche Normsetzungsbefugnis in Bezug auf Profiling nur dann vor, wenn die Entscheidung ausschließlich auf einer automatisierten Verarbeitung beruht. § 31 BDSG trifft demgegenüber differenzierungsfrei Regelungen für auch nicht-automatisierte Entscheidungen, regelt darin aber die Zulässigkeit der Verwendung von Scoring-Datenverarbeitungen. Nach der Systematik von Art. 22 DS-GVO und den allgemeinen Verarbeitungstatbeständen des Art. 6 DS-GVO richtet sich die Zulässigkeit von Entscheidungen, die nicht auf einer automatisierten Verarbeitung einschließlich Profiling beruhen, jedoch nach Art. 6 DS-GVO. Dieser Regelungsgegenstand ist den nationalen Gesetzgebern – möge man dies als absichtsvollen Regelungsverzicht des Verordnungsgebers betrachten – entzogen. Spezifischere Anforderungen an das Profiling wollte der Verordnungsgeber offensichtlich auch nicht treffen. Entsprechendes kann dann nicht einfach durch den mitgliedstaatlichen Gesetzgeber getan werden – jedenfalls im Rahmen des Art. 22 Abs. 2 lit. b DS-GVO nur dann, wenn die mitgliedstaatlichen Vorschriften ausschließlich rechtliche Vorgaben zu solchen Entscheidungen treffen, die eben ausschließlich auf automatisierter Verarbeitung beruhen. Das gilt insbesondere vor dem Hintergrund, dass die DS-GVO eine Verordnung
GH ist es dem nationalen Gesetzgeber schon verwehrt, gesetzlich abschließende Wertungen – hier § 31 BDSG – in Bezug auf abstrakt formulierte Vorgaben des europäischen Gesetzgebers – hier Art. 6 und 22 DS-GVO – im Hinblick auf richtlinienrechtliche Vorgaben zu treffen (EuGH, Urteil vom 19.10.2016, Breyer/Deutschland, C-582/14, ECLI:EU:C:2016:779, Rn. 62 f.). Dies muss dann erst recht für Vorgaben – wie hier – in Verordnungen gelten. Bezeichnenderweise gibt der deutsche Gesetzgeber in seiner Begründung zu § 31 BDSG dementsprechend auch nicht an, worauf sich seine Regelungskompetenz im Hinblick auf diese Vorschrift stützt. Die Gesetzesbegründung ergibt sich aus mehr oder minder allgemein gehaltenen Angaben dazu, die Vorschrift übernehme die Vorgängerregelungen der §§ 28a und 28b BDSG a. F. und die inhaltlichen Regelungen hätten nach wie vor Bedeutung. Demgegenüber behauptete der Referentenentwurf des Bundesministeriums des Innern vom 11.11.2016, S. 93 f., noch, die mitgliedstaatliche Regelungsbefugnis ergebe sich aus der „Zusammenschau der Artikel 6 Abs. 4 und Artikel 23 Abs. 1“ der DS-GVO. Dieser – für sich schon nicht haltbare – Ansatz wurde im Verlaufe des Gesetzgebungsverfahrens jedoch offenbar aufgegeben. IV. Nach alledem ist eine Vorlage an den Europäischen Gerichtshof geboten. Das Ergebnis des Rechtsstreits hängt von den Vorlagefragen ab. Das Verfahren hängt von Vorlagefrage 1 ab. Sollte Art. 22 Abs. 1 DS-GVO dahingehend auszulegen sein, dass die Erstellung eines Score-Wertes durch eine Wirtschaftsauskunftei eine eigenständige Entscheidung
1 DS-GVO ist, unterfiele diese – ihre maßgebliche Tätigkeit – dem Verbot der automatisierten Einzelfallentscheidung. Es bedürfte infolgedessen einer mitgliedstaatlichen Rechtsgrundlage
2 lit. b DS-GVO, für die einzig § 31 BDSG in Betracht kommt. Bezüglich dessen Vereinbarkeit mit Art. 22 Abs. 1 DS-GVO bestehen aber gerade durchgreifende Bedenken. Die Beigeladene würde dann nicht nur rechtsgrundlos handeln, sondern verstieße ipso iure gegen das Verbot des Art. 22 Abs. 1 DS-GVO. Infolgedessen hätte die Klägerin zugleich einen Anspruch gegen die Beklagte auf aufsichtsbehördliche (Weiter-)Befassung mit ihrem Fall. Wenn die Vorlagefrage 1 zu verneinen ist, also das Profiling selbst keine Entscheidung im Sinne von Abs. 22 Abs. 1 und 2 DS-GVO ist, dann gilt auch die Öffnungsklausel des Art. 22 Abs. 2 lit. b DS-GVO nicht für nationale Regelungen, die das Profiling betreffen. Aufgrund des grundsätzlich abschließenden Charakters der auf Vollharmonisierung ausgelegten DS-GVO ist daher eine anderweitige Regelungsbefugnis für nationale Regelungen zu suchen. Da eine solche aber, wie dargestellt, nicht ersichtlich ist und insbesondere nicht aus den rudimentären Vorgaben des DS-GVO folgt, ist die nationale Regelung in § 31 BDSG nicht anwendbar, was den Prüfungsspielraum der nationalen Aufsichtsbehörde ändert, die dann die Vereinbarkeit der Tätigkeit von Wirtschaftsauskunfteien an Art. 6 DS-GVO zu messen hätte. V. Dieser Beschluss ist unanfechtbar. Permalink Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.rv.hessenrecht.hessen.de/perma?d=LARE210001754
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.