Was geschah. Ein österreichischer Mobilfunkanbieter verweigerte einer Kundin einen Vertrag im Wert von 10 € pro Monat, weil eine automatisierte Bonitätsprüfung von Dun & Bradstreet Austria ihre Kreditwürdigkeit als unzureichend einstufte. Ein österreichisches Gericht stellte in einer rechtskräftigen Entscheidung fest, dass das Unternehmen gegen die Datenschutz-Grundverordnung verstoßen hatte, weil es ihr keine „aussagekräftigen Informationen über die involvierte Logik“ der automatisierten Entscheidung gegeben hatte. Das Gericht, das diese Entscheidung vollstreckte, fragte den Gerichtshof der Europäischen Union, was diese Verpflichtung in der Praxis erfordert. Das Urteil wurde am 27. Februar 2025 verkündet (Pressemitteilung Nr. 22/25 des EuGH).
Was der Gerichtshof sagte. Der Verantwortliche muss das tatsächlich angewandte Verfahren und die zugrunde liegenden Prinzipien beschreiben, damit die betroffene Person verstehen kann, welche ihrer personenbezogenen Daten verwendet wurden und wie. Es kann angemessen sein zu erläutern, inwieweit eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte. Die bloße Mitteilung eines Algorithmus ist keine hinreichend prägnante und verständliche Erklärung. Macht der Verantwortliche geltend, dass die Informationen Geschäftsgeheimnisse oder Daten Dritter umfassen, muss er diese Informationen der zuständigen Aufsichtsbehörde oder dem Gericht vorlegen, die beziehungsweise das die Interessen abwägt und entscheidet, in welchem Umfang die betroffene Person Einsicht erhalten darf. Eine nationale Regelung, die den Zugang generell ausschließt, sobald ein Geschäftsgeheimnis berührt ist, ist mit der DSGVO unvereinbar.
Kontext. Das Urteil baut auf SCHUFA (C-634/21, Dezember 2023) auf, in dem der Gerichtshof entschied, dass ein automatisierter Score selbst eine „automatisierte Entscheidung“ im Sinne von Artikel 22 DSGVO sein kann. Zusammengenommen verleihen die beiden Urteile dem Recht, automatisierte Entscheidungen anzufechten, konkreten Inhalt: Erstens fällt das Scoring unter die Vorschriften; zweitens hat die betroffene Person Anspruch auf eine Erklärung, die eine Anfechtung ermöglicht.
Warum dies für die öffentliche Verwaltung wichtig ist. Der Fall betraf ein privates Unternehmen, doch dieselben DSGVO-Bestimmungen gelten für öffentliche Stellen, die bei Sozialleistungen, Steuern oder der Einwanderung automatisierte Risikobewertungen einsetzen. Die dokumentierten Versäumnisse automatisierter Verwaltung, vom niederländischen Skandal um Kinderbetreuungsbeihilfen bis zu Robodebt, waren zum Teil darauf zurückzuführen, dass Betroffene nicht erfahren konnten, warum sie markiert worden waren. Ein Erklärungsmaßstab, der darauf abstellt, was das Ergebnis geändert hätte, kommt den Bedürfnissen einer beschwerdeführenden Person näher als eine Beschreibung eines Modells.
Worauf zu achten ist. Wie nationale Gerichte und Datenschutzbehörden den Maßstab „verstehen und anfechten“ anwenden; wie Behörden mit Einwänden wegen Geschäftsgeheimnissen umgehen; und wie dies mit Artikel 86 des EU-KI-Gesetzes zusammenwirkt, der von bestimmten Hochrisiko-KI-Entscheidungen betroffenen Personen ein eigenständiges Recht auf Erklärung einräumt, sobald diese Vorschriften gelten.