{ "slug": "eugh-c-203-22-dun-bradstreet-auskunft-scoring-logik", "titre": "EuGH C-203/22 (Dun \u0026 Bradstreet, VO 2016/679) – Auskunft über die Logik automatisierter Scoring-Entscheidungen und Geschäftsgeheimnisse", "domaine": "datenschutz", "statut_juridique": "in_force", "niveau_autorite": "A", "description": "Mit Urteil vom 27. Februar 2025 in der Rechtssache C-203/22 (CK ./. Magistrat der Stadt Wien und Dun \u0026 Bradstreet Austria GmbH) hat der Gerichtshof der…", "resume_court": "Mit Urteil vom **27. Februar 2025** in der Rechtssache **C-203/22 (CK ./. Magistrat der Stadt Wien und Dun \u0026 Bradstreet Austria GmbH)** hat der **Gerichtshof der Europäischen Union** (Erste Kammer, ECLI:EU:C:2025:117) entschieden, wie weit der Auskunftsanspruch aus **Art. 15 Abs. 1 lit. h DSGVO** bei automatisierten Entscheidungen und Profiling reicht.\n\nZwei Kernaussagen:\n\n1. **„Aussagekräftige Informationen über die involvierte Logik\u0022** bedeutet: Der Verantwortliche muss das **tatsächlich angewandte Verfahren und die tatsächlich angewandten Grundsätze** so erläutern, dass die betroffene Person **versteht, welche ihrer personenbezogenen Daten auf welche Weise** in die automatisierte Entscheidung eingeflossen sind – und zwar in **präziser, transparenter, verständlicher und leicht zugänglicher Form** (Art. 12 Abs. 1 DSGVO). Die Übermittlung einer **komplexen mathematischen Formel oder des Algorithmus** genügt ausdrücklich **nicht**; ebenso wenig die detaillierte Aufzählung sämtlicher Verarbeitungsschritte. Umgekehrt muss der Algorithmus selbst **nicht** offengelegt werden.\n2. **Geschäftsgeheimnisse rechtfertigen keine pauschale Auskunftsverweigerung.** Meint der Verantwortliche, die Auskunft würde Geschäftsgeheimnisse oder Rechte Dritter verletzen, muss er die betreffenden Informationen der **zuständigen Aufsichtsbehörde oder dem zuständigen Gericht** vorlegen. Diese nehmen die **Abwägung im Einzelfall** vor und bestimmen, in welchem Umfang die betroffene Person Auskunft erhält.\n\nZusätzlich stellt der EuGH klar: Eine **nationale Regelung**, die das Auskunftsrecht bei Berührung von Geschäfts- oder Betriebsgeheimnissen **generell ausschließt** – wie § 4 Abs. 6 des österreichischen Datenschutzgesetzes – ist mit der DSGVO **unvereinbar**. Mitgliedstaaten dürfen das Ergebnis der unionsrechtlich gebotenen Einzelfallabwägung nicht vorwegnehmen.\n\nDas Urteil ist die praktische Fortsetzung des SCHUFA-Scoring-Urteils **C-634/21** vom 07.12.2023: Dort ging es um das **Ob** der automatisierten Entscheidung, hier um das **Wie** ihrer Erklärung.", "faits": [ { "point": "Aktenzeichen", "valeur": "C-203/22", "autorite": "A" }, { "point": "Parteien", "valeur": "CK ./. Magistrat der Stadt Wien, Beteiligte: Dun \u0026 Bradstreet Austria GmbH", "autorite": "A" }, { "point": "Entscheidungsdatum", "valeur": "27.02.2025", "autorite": "A" }, { "point": "Spruchkörper", "valeur": "EuGH, Erste Kammer", "autorite": "A" }, { "point": "ECLI", "valeur": "ECLI:EU:C:2025:117", "autorite": "A" }, { "point": "CELEX", "valeur": "62022CJ0203", "autorite": "A" }, { "point": "Verfahrensart", "valeur": "Vorabentscheidungsersuchen nach Art. 267 AEUV", "autorite": "A" }, { "point": "Vorlegendes Gericht", "valeur": "Verwaltungsgericht Wien (Österreich)", "autorite": "A" }, { "point": "Ausgangsfall", "valeur": "Ablehnung eines Mobilfunkvertrags über 10 EUR monatlich wegen automatisierter Bonitätsbeurteilung", "autorite": "A" }, { "point": "Ausgelegte Normen", "valeur": "Art. 15 Abs. 1 lit. h, Art. 15 Abs. 4, Art. 12 Abs. 1, Art. 22 DSGVO; Art. 2 Nr. 1 RL (EU) 2016/943", "autorite": "A" }, { "point": "Nicht geschuldet", "valeur": "Offenlegung des Algorithmus / der mathematischen Formel", "autorite": "A" }, { "point": "Nicht ausreichend", "valeur": "Bloße Nennung der Formel oder Aufzählung aller Verarbeitungsschritte", "autorite": "A" }, { "point": "Geschuldet", "valeur": "Erläuterung des tatsächlich angewandten Verfahrens und der Grundsätze", "autorite": "A" }, { "point": "Beispielhaft ausreichend", "valeur": "Angabe, ob und wie ein abweichender Datenwert zu einem anderen Ergebnis geführt hätte", "autorite": "A" }, { "point": "Bei Geschäftsgeheimnis", "valeur": "Vorlage an Aufsichtsbehörde oder Gericht, dort Abwägung im Einzelfall", "autorite": "A" }, { "point": "Unionsrechtswidrig", "valeur": "Nationale Norm, die Auskunft bei Geschäftsgeheimnis generell ausschließt (§ 4 Abs. 6 öDSG)", "autorite": "A" }, { "point": "Auskunftsfrist", "valeur": "1 Monat ab Eingang, verlängerbar um 2 Monate (Art. 12 Abs. 3 DSGVO)", "autorite": "A" }, { "point": "Bußgeldrahmen bei Verstoß", "valeur": "Bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist (Art. 83 Abs. 5 lit. b DSGVO)", "autorite": "A" }, { "point": "Weitere Sanktion", "valeur": "Immaterieller Schadensersatz nach Art. 82 DSGVO", "autorite": "A" }, { "point": "Vorgängerurteil", "valeur": "EuGH, 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)\u0022", "autorite": "A" }, { "point": "Vorwirkung", "valeur": "Auslegungsmaßstab auch für Art. 86 KI-VO (VO 2024/1689) – Geltungsbeginn siehe Hinweis unten", "autorite": "A" } ], "sources": [ { "titre": "EUR-Lex – Urteil EuGH vom 27.02.2025, C-203/22 (Dun \u0026 Bradstreet Austria u. a.), CELEX 62022CJ0203", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62022CJ0203", "autorite": "A" }, { "titre": "EUR-Lex – Urteilstext C-203/22 als PDF (deutsche Fassung)", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX%3A62022CJ0203", "autorite": "A" }, { "titre": "CURIA – Volltext des Urteils C-203/22 (Permalink, docid 295841)", "url": "https://curia.europa.eu/juris/document/document.jsf?docid=295841", "autorite": "A" }, { "titre": "CURIA – Verfahrensdokumentation und Ergebnisliste zur Rechtssache C-203/22", "url": "https://curia.europa.eu/juris/liste.jsf?language=de\u0026num=C-203/22", "autorite": "A" }, { "titre": "CURIA – Pressemitteilung Nr. 22/25 vom 27.02.2025 zur Rechtssache C-203/22 (PDF)", "url": "https://curia.europa.eu/site/upload/docs/application/pdf/2025-02/cp250022en.pdf", "autorite": "A" }, { "titre": "dejure.org – EuGH, 27.02.2025, C-203/22 (Permalink)", "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=27.02.2025\u0026Aktenzeichen=C-203%2F22", "autorite": "A" }, { "titre": "dejure.org – Schlussanträge des Generalanwalts vom 12.09.2024, C-203/22 (Permalink)", "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=Generalanwalt+beim+EuGH\u0026Datum=12.09.2024\u0026Aktenzeichen=C-203%2F22", "autorite": "A" }, { "titre": "EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), konsolidierte Fassung (Art. 12, 15, 22, 82, 83)", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679", "autorite": "A" }, { "titre": "EUR-Lex – Richtlinie (EU) 2016/943 über den Schutz von Geschäftsgeheimnissen (Art. 2 Nr. 1)", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016L0943", "autorite": "A" }, { "titre": "EUR-Lex – Urteil EuGH vom 07.12.2023, C-634/21 „SCHUFA Holding (Scoring)\u0022, CELEX 62021CJ0634", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0634", "autorite": "A" }, { "titre": "EUR-Lex – Urteil EuGH vom 13.02.2025, C-383/23 (ILVA), CELEX 62023CJ0383", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62023CJ0383", "autorite": "A" }, { "titre": "EUR-Lex – Verordnung (EU) 2024/1689 (KI-Verordnung / AI Act), Art. 86", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R1689", "autorite": "A" }, { "titre": "EDSA/EDPB – Leitlinien zu automatisierten Entscheidungen im Einzelfall und Profiling (WP251 rev.01, vom EDSA gebilligt)", "url": "https://www.edpb.europa.eu/our-work-tools/general-guidance/gdpr-guidelines-recommendations-best-practices_de", "autorite": "A" }, { "titre": "EDSA/EDPB – Leitlinien 01/2022 zu den Rechten betroffener Personen – Recht auf Auskunft", "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_de", "autorite": "A" }, { "titre": "gesetze-im-internet.de – § 34 BDSG (Auskunftsrecht der betroffenen Person, nationale Einschränkungen)", "url": "https://www.gesetze-im-internet.de/bdsg_2018/__34.html", "autorite": "A" }, { "titre": "gesetze-im-internet.de – § 37a BDSG (Scoring; eingefügt durch Artikel 3 Nummer 4 i. V. m. Artikel 16 Absatz 1 des Gesetzes zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12.05.2026, BGBl. 2026 I Nr. 139 – in Kraft erst am 20.11.2026; bis dahin gilt § 31 BDSG a. F. fort): https://www.gesetze-im-internet.de/bdsg_2018/__37a.html [noch nicht abrufbar, geprüft 2026-09-09 — HTTP 404, weil die Norm am Prüftag noch nicht in Kraft getreten ist; kein toter Link. Bis 19.11.2026 einschlägig", "url": "https://www.gesetze-im-internet.de/bdsg_2018/__31.html]", "autorite": "A" }, { "titre": "gesetze-im-internet.de – § 43 BDSG (Bußgeldvorschriften)", "url": "https://www.gesetze-im-internet.de/bdsg_2018/__43.html", "autorite": "A" } ], "faq": [ { "question": "Was regelt EuGH C-203/22 (Dun \u0026 Bradstreet, VO 2016/679) – Auskunft über die Logik automatisierter Scoring-Entscheidungen und Geschäftsgeheimnisse?", "reponse": "Mit Urteil vom 27. Februar 2025 in der Rechtssache C-203/22 (CK ./. Magistrat der Stadt Wien und Dun \u0026 Bradstreet Austria GmbH) hat der Gerichtshof der Europäischen Union (Erste Kammer, ECLI:EU:C:2025:117) entschieden, wie weit der Auskunftsanspruch aus Art. 15 Abs. 1 lit. h DSGVO bei automatisierten Entscheidungen und Profiling reicht. Zwei Kernaussagen: 1." }, { "question": "Für wen gilt EuGH C-203/22 (Dun \u0026 Bradstreet, VO 2016/679)?", "reponse": "Die DSGVO ist eine unmittelbar anwendbare EU-Verordnung; ein nationales Umsetzungsgesetz ist nicht erforderlich. Ein Vorabentscheidungsurteil des EuGH legt das Unionsrecht verbindlich für alle Mitgliedstaaten aus – die Auslegung wirkt grundsätzlich ex tunc, also auf den Zeitpunkt des Inkrafttretens der ausgelegten Norm (25.05.2018) zurück. Für Deutschland gilt das Urteil daher ohne weiteren Umsetzungsakt." }, { "question": "Welche häufigen Fehler gibt es bei EuGH C-203/22 (Dun \u0026 Bradstreet, VO 2016/679)?", "reponse": "„Wir haben den Score genannt, damit ist die Auskunft erteilt.\u0022 Falsch. Art. 15 Abs. 1 lit. h verlangt Informationen über die Logik, nicht nur über das Ergebnis. „Wir schicken die Formel, das ist die Logik.\u0022 Falsch – der EuGH stellt ausdrücklich fest, dass die Übermittlung einer komplexen mathematischen Formel keine hinreichend prägnante und verständliche Erläuterung ist." }, { "question": "Wie sieht ein Praxisbeispiel für EuGH C-203/22 (Dun \u0026 Bradstreet, VO 2016/679) aus?", "reponse": "Herr S. bestellt im Onlineshop auf Rechnung. Der Shop lehnt den Rechnungskauf binnen Sekunden ab und verweist auf eine Bonitätsprüfung durch eine Auskunftei. Herr S. verlangt nach Art. 15 Abs. 1 lit. h DSGVO Auskunft – zunächst beim Shop, parallel bei der Auskunftei. Unzureichend wäre: „Ihr Score beträgt 87 von 100." } ], "wikidata": [], "valid_from": "2025-02-27", "valid_to": null, "derniere_revision": "2026-09-09", "derniere_verification": "2026-09-09", "statut_factcheck": "ok", "url": "https://nexvyra.de/fakten/eugh-c-203-22-dun-bradstreet-auskunft-scoring-logik" }