Verwaltungsgericht Wiesbaden Beschluss, 1. Okt. 2021 - 6 K 788/20.WI

VERWALTUNGSGERICHT WIESBADEN

IM NAMEN DES VOLKES

Tenor

I. Das Verfahren wird ausgesetzt.

II. Das Verfahren wird gemäß Art. 267 AEUV zur Vorabentscheidung dem Gerichtshof der Europäischen Union hinsichtlich folgender Fragen vorgelegt:

1. Ist Art. 22 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (- DS-GVO -, ABl. EU L Nr. 119 vom 4.5.2016, S. 1) dahingehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswertes über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?

2. Falls die 1. Vorlagefrage zu verneinen ist: Sind Art. 6 Abs. 1 und Art. 22 der Verordnung (EU) 2016/679 – DS-GVO – dahingehend auszulegen, dass sie einer innerstaatlichen Regelung entgegenstehen, nach der die Verwendung eines Wahrscheinlichkeitswerts – vorliegend über die Zahlungsfähigkeit und Zahlungswilligkeit einer natürlichen Person bei der Einbeziehung von Informationen über Forderungen – über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) nur zulässig ist, wenn bestimmte weitere Voraussetzungen, die in der Vorlagebegründung näher ausgeführt sind, erfüllt sind?

Gründe
I.

Gegenstand des Verfahrens ist eine Klage gegen den durch die Beigeladene SCHUFA Holding AG bezüglich der Klägerin gebildeten Score-Wert. Die Beigeladene ist eine privatwirtschaftliche deutsche Wirtschaftsauskunftei, die ihre Vertragspartner mit Informationen zur Kreditwürdigkeit Dritter, insbesondere auch Verbraucher, versorgt. Die Beigeladene erstellt zu diesem Zweck sog. Score-Werte. Dazu wird aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens, wie beispielsweise die Rückzahlung eines Kredits, prognostiziert, wobei sowohl die im Einzelnen zugrunde gelegten Merkmale als auch das mathematisch-statistische Verfahren nicht offen gelegt werden. Die Erstellung von Score-Werten basiert danach auf der Annahme, dass durch die Zuordnung einer Person zu einer Gruppe anderer Personen mit bestimmten vergleichbaren Merkmalen, die sich in einer bestimmten Weise verhalten haben, ein ähnliches Verhalten vorausgesagt werden kann. Weist die Person ein bestimmtes Profil auf, wird ihr der ermittelte Score-Wert von der Beigeladenen zugerechnet und im Entscheidungsverfahren desjenigen, der letztlich mit der betroffenen Person kontrahiert, zum Beispiel ein Kreditinstitut, bei der Vergabe eines Kredites mit entsprechenden Konsequenzen berücksichtigt.

Der Klägerin wurde nach negativer Beauskunftung durch die Beigeladene die Kreditierung durch einen Dritten verweigert. In der Folge verlangte die Klägerin neben der Löschung ihrer Auffassung nach falscher Eintragungen von der Beigeladenen Auskunft über gespeicherte Daten. Am 10. Juli 2018 erteilte die Beigeladene der Klägerin Auskunft mit dem Inhalt, dass die Klägerin bei der Beigeladenen mit einem Score-Wert von 85,96% eingestuft sei. Die Beigeladene teilte der Klägerin ferner mit Schreiben vom 8. August 2018 und 23. August 2018 in groben Zügen die grundsätzliche Funktionsweise ihrer Score-Wert-Berechnung mit, nicht jedoch, welche Einzelinformationen mit welcher Gewichtung in die Berechnung einfließen. Die Beigeladene sei nicht zur Offenlegung der Berechnungsmethoden verpflichtet, da jene unter das Betriebs- und Geschäftsgeheimnis fielen. Die Beigeladene verwies die Klägerin ferner darauf, dass sie ihren Vertragspartnern lediglich Informationen zukommen lasse, letztere jedoch die eigentlichen Vertragsentscheidungen träfen; eine Empfehlung für oder gegen einen Vertragsschluss mit einem Beauskunfteten gebe die Beigeladene diesbezüglich nicht ab. Gegen die Auskunft erhob die Klägerin am 18. Oktober 2018 Beschwerde beim Beklagten mit dem Begehren, der Beklagte solle gegenüber der Beigeladenen verfügen, dass sie dem klägerischen Begehren nach Auskunft und Löschung nachzukommen habe. Die Beigeladene sei verpflichtet, über die involvierte Logik und die Tragweite sowie die Auswirkungen der Verarbeitung zu informieren.

Mit Bescheid an die Klägerin vom 3. Juni 2020 lehnte der Beklagte ein weiteres Tätigwerden gegenüber der Beigeladenen ab. Zur Begründung führte er unter anderem aus, die Berechnung des Bonitätswertes durch die Beigeladene müsse zwar den in § 31 Bundesdatenschutzgesetz (Art. 1 des Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) vom 30. Juni 2018, BGBl. I S. 2097 = BDSG) detailliert geregelten Anforderungen genügen. Diese Anforderungen würden von der Beigeladenen jedoch in aller Regel erfüllt und im hiesigen Fall sei nichts dafür ersichtlich, dass dem nicht so sei.

Am 25. Mai 2018 trat die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (ABl. EU L Nr. 119 vom 4.5.2016, S. 1 = DSGVO) in Kraft. Die Datenschutzgrundverordnung sieht ein grundsätzliches Datenverarbeitungsverbot mit Erlaubnisvorbehalt vor; wesentliche Verarbeitungserlaubnistatbestände finden sich in Art. 6 DS-GVO. Darüber hinaus enthält die Datenschutzgrundverordnung ein multiinstrumentelles Schutzkonzept, das Vorschriften insbesondere zu Betroffenenrechten auf Information, Auskunft, Löschung und Beschwerde bei der zuständigen Aufsichtsbehörde auf Einschreiten sowie Klage gegen behördliche Entscheidungen vor nationalen Gerichten enthält. Unter anderem adressiert die Datenschutzgrundverordnung spezifisch auch das sog. Profiling, das in Art. 4 Nr. 4 DS-GVO legaldefiniert wird und dem das streitgegenständliche Handeln der Beigeladenen als sog. "Scoring" unterfällt. Das Profiling findet sich als Regelungsgegenstand in verschiedenen Vorschriften, so u. a. im Zusammenhang mit dem Auskunftsanspruch Betroffener nach Art. 15 Abs. 1 lit. h DS-GVO, dem Widerspruchsrecht Betroffener in Art. 21 Abs. 1 S. 1 Hs. 2 DS-GVO und – im Kern – in Art. 22 DS-GVO als grundsätzliches Verbot (Art. 22 Abs. 1 DS-GVO) mit Ausnahmevorbehalten (Art. 22 Abs. 2 DS-GVO), soweit Entscheidungen ausschließlich auf Profiling beruhen.

Als unionsrechtliche Verordnung im Sinne des Art. 288 Abs. 2 AEUV hat die Datenschutzgrundverordnung allgemeine Geltung, ist in all ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Trotz dieser Grundsätze enthält die Datenschutzgrundverordnung verschiedentlich sog. Öffnungsklauseln, die den Mitgliedstaaten in gewissem Umfang Spielräume für nationale Regelungen eröffnen. In Ansehung dieser überlassenen Normsetzungsbefugnisse trat am 25. Mai 2018 das neue Bundesdatenschutzgesetz in Kraft. § 31 BDSG enthält detaillierte Regelungen zum Scoring und zu Bonitätsauskünften.

II.

1. Die Charta der Grundrechte der Europäischen Union - GrCh - (ABl. 2016 Nr. C 202 vom 7. Juni 2016, S. 389) regelt:

Art. 7 GrCh - Achtung des Privat- und Familienlebens

Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.

Art. 8 GrCh - Schutz personenbezogener Daten

(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

(2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.

(3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.

Art. 52 GrCh - Tragweite und Auslegung der Rechte und Grundsätze

(1) Jede Einschränkung der Ausübung der in dieser Charta anerkannten Rechte und Freiheiten muss gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

[...]

2. Der Vertrag über die Arbeitsweise der Europäischen Union – AEUV – (in der bereinigten Fassung vom 7. Juni 2016, ABl. Nr. C 202 S. 1, 47) regelt:

Art. 288 AEUV

[...]

(2) Die Verordnung hat allgemeine Geltung. Sie ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

3. Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung = DS-GVO; ABl. EU L Nr. 119 vom 4.5.2016, S. 1) regelt:

Art. 4 DS-GVO – Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

[...]

4. "Profiling" jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;

Art. 6 DS-GVO – Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Art. 15 DS-GVO – Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

[...]

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Art. 21 DS-GVO – Widerspruchsrecht

(1) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling.

[...]

Art. 22 DS-GVO – Automatisierte Entscheidung im Einzelfall einschließlich Profiling

(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

(2) Absatz 1 gilt nicht, wenn die Entscheidung

a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,

b) aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten oder

c) mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.

(3) In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.

(4) Entscheidungen nach Absatz 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.

4. Das Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I. S. 2097, geändert durch Art. 12 des Gesetzes vom 20. November 2019, BGBl. I. 1626) regelt:

§ 31 BDSG – Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften

1) Die Verwendung eines Wahrscheinlichkeitswerts über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) ist nur zulässig, wenn

1. die Vorschriften des Datenschutzrechts eingehalten wurden,

2. die zur Berechnung des Wahrscheinlichkeitswerts genutzten Daten unter Zugrundelegung eines wissenschaftlich anerkannten mathematischstatistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sind,

3. für die Berechnung des Wahrscheinlichkeitswerts nicht ausschließlich Anschriftendaten genutzt wurden und

4. im Fall der Nutzung von Anschriftendaten die betroffene Person vor Berechnung des Wahrscheinlichkeitswerts über die vorgesehene Nutzung dieser Daten unterrichtet worden ist; die Unterrichtung ist zu dokumentieren.

(2) Die Verwendung eines von Auskunfteien ermittelten Wahrscheinlichkeitswerts über die Zahlungsfähig- und Zahlungswilligkeit einer natürlichen Person ist im Fall der Einbeziehung von Informationen über Forderungen nur zulässig, soweit die Voraussetzungen nach Absatz 1 vorliegen und nur solche Forderungen über eine geschuldete Leistung, die trotz Fälligkeit nicht erbracht worden ist, berücksichtigt werden,

1. die durch ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil festgestellt worden sind oder für die ein Schuldtitel nach § 794 der Zivilprozessordnung vorliegt,

2. die nach § 178 der Insolvenzordnung festgestellt und nicht vom Schuldner im Prüfungstermin bestritten worden sind,

3. die der Schuldner ausdrücklich anerkannt hat,

4. bei denen

a) der Schuldner nach Eintritt der Fälligkeit der Forderung mindestens zweimal schriftlich gemahnt worden ist,

b) die erste Mahnung mindestens vier Wochen zurückliegt,

c) der Schuldner zuvor, jedoch frühestens bei der ersten Mahnung, über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden ist und

d) der Schuldner die Forderung nicht bestritten hat oder

5. deren zugrunde liegendes Vertragsverhältnis aufgrund von Zahlungsrückständen fristlos gekündigt werden kann und bei denen der Schuldner zuvor über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden ist.

Die Zulässigkeit der Verarbeitung, einschließlich der Ermittlung von Wahrscheinlichkeitswerten, von anderen bonitätsrelevanten Daten nach allgemeinem Datenschutzrecht bleibt unberührt.

III.

Vorliegend kommt es zur Entscheidung darauf an, ob die Tätigkeit von Auskunfteien, wie es die Beigeladene ist, Score-Werte über betroffene Personen zu erstellen und diese ohne weitergehende Empfehlung oder Bemerkung an Dritte, die unter maßgeblicher Einbeziehung dieses Score-Wertes mit der betroffenen Person vertraglich kontrahieren oder davon absehen, dem Anwendungsbereich des Art. 22 Abs. 1 DS-GVO unterfällt. Denn in diesem Fall kann sich die Zulässigkeit der Erstellung eines abschließenden Score-Wertes zur Übermittlung durch eine Auskunftei, wie der Beigeladenen, nur nach Art. 22 Abs. 2 lit. b DS-GVO in Verbindung mit § 31 BDSG richten, wobei die Normen dann zugleich – wenn die betroffene Person, wie im streitgegenständlichen Verfahren, Beschwerde bei der zuständigen Aufsichtsbehörde einlegt – der Maßstab für die aufsichtsbehördliche Überprüfung der Tätigkeit der Auskunftei ist. Dafür wiederum kommt es darauf an, ob eine Vorschrift mit dem Inhalt des § 31 BDSG mit Art. 22 Abs. 2 lit. b DS-GVO vereinbar ist. Denn ist sie dies nicht, fehlt es an eben jenem gesetzlichen Prüfungsmaßstab, den in dem hiesigen Fall der Beklagte für sich im Hinblick auf die Beigeladene zugrunde legt.

Zu Frage 1:

Anwendbarkeit des Art. 22 Abs. 1 DS-GVO auf Wirtschaftsauskunfteien

Eine betroffene Person hat nach Art. 22 Abs. 1 DS-GVO das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Die Vorschrift ist an die Vorgängerregelung Art. 15 der Richtlinie 95/46/EG angelehnt. Ihrem Wortlaut nach scheint sie ein der Ausübung bedürfendes Recht der betroffenen Person zu sein. Das vorlegende Gericht ist demgegenüber der Überzeugung, dass die Vorschrift ein grundsätzliches Verbot statuiert, dessen Verstoß keiner individuellen Geltendmachung bedarf.

Tätigkeiten wie die streitgegenständliche – durch die Beigeladene vorgenommene – automatisierte Zusammenstellung personenbezogener Daten zur Ermittlung eines Wahrscheinlichkeitswertes über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Übermittlung an Dritte für deren Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser betroffenen Person fallen jedenfalls dem Inhalt der Tätigkeit nach unter das Regelungsregime des Art. 22 Abs. 1 DS-GVO. Die Vorschrift erfasst ausweislich ihres eindeutigen Wortlautes nicht nur, aber auch, Entscheidungen, die aufgrund eines Profilings getroffen werden, vgl. auch Erwägungsgrund 71 S. 2. Letzteres wird in Art. 4 Nr. 4 DS-GVO legaldefiniert als jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

Die Erstellung von Score-Werten erfüllt diese Definitionsmerkmale. Dafür spricht auch EG 71 S. 2, wonach unter Profiling unter anderem gerade auch die Analyse oder Prognose von Aspekten bezüglich der wirtschaftlichen Lage, der Zuverlässigkeit oder des Verhaltens einer Person zu verstehen seien. EG 71 S. 1 nennt überdies als ein Beispiel für Entscheidungen im Sinne des Art. 22 Abs. 1 DS-GVO die automatische Ablehnung eines Online-Kreditantrags. Insoweit ist Art. 22 Abs. 1 DS-GVO auf Fälle wie den hiesigen jedenfalls im Hinblick darauf grundsätzlich anwendbar, dass nach dem Willen des Verordnungsgebers die Erstellung eines Score-Wertes einen Unterfall des Profilings im Sinne von Art. 4 Nr. 4 DS-GVO darstellt.

Das vorlegende Gericht hält es im Kern für naheliegend, dass in Fällen wie dem streitgegenständlichen darüber hinaus auch das von Art. 22 Abs. 1 DS-GVO vorausgesetzte Tatbestandsmerkmal einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung erfüllt ist. Dem steht nicht entgegen, dass nach o. G. die Haupttätigkeit von Wirtschaftsauskunfteien – wie die Beigeladene es ist –,die Ermittlung von Score-Werten, nach den Erwägungsgründen ein Unterfall des Profilings sein soll. Zwar hat der Verordnungsgeber offenbar beabsichtigt, die datenschutzrechtliche Zulässigkeit des Profilings gerade nicht durch Art. 22 Abs. 1 DS-GVO eigenständig zu regeln, sondern insoweit nur das Profiling gleichsam mit zu adressieren, soweit es Bestandteil einer auf einer automatisierten Entscheidung gestützten Entscheidung ist. Das ergibt sich schon aus dem Wortlaut der Vorschrift, die für ihr Verbot maßgeblich auf die auf Profiling – oder einer sonstigen automatisierten Datenverarbeitung – beruhende Entscheidung abstellt, nicht jedoch auf das Profiling selbst.

Das Gericht geht jedoch davon aus, dass die Erstellung eines Score-Wertes durch eine Auskunftei nicht lediglich ein die Entscheidung des dritten Verantwortlichen vorbereitendes Profiling ist, sondern gerade eine selbstständige "Entscheidung" im Sinne des Art. 22 Abs. 1 DS-GVO.

Dabei ist sich das Gericht in Ansehung des Wortlautes des Art. 22 Abs. 1 DS-GVO bewusst, dass sich die Vorschrift bei restriktiver Auslegung so verstehen lässt und verbreitet auch so verstanden wird, dass sie auf die Tätigkeit von Wirtschaftsauskunfteien wie der Beigeladenen keine unmittelbare Anwendung findet. Einer entsprechenden Annahme liegt nach Auffassung des Gerichts jedoch ein fehlerhaftes Verständnis der Tätigkeit von Wirtschaftsauskunfteien und dem Einfluss der von ihnen erstellten Score-Werte zugrunde. Denn die Annahme gründet auf dem Gedanken, dass Wirtschaftsauskunfteien nicht die für Art. 22 Abs. 1 DS-GVO maßgebliche Entscheidung selbst treffen, weil sie durch Ermittlung und Zusammenstellung von personenbezogenen Daten zwecks einer Profilbildung und der daraus folgenden Ermittlung eines finalen Score-Wertes die letztendliche Entscheidung des Verantwortlichen gleichsam nur vorbereiten, geben sie bei der Übermittlung des Score-Wertes typischerweise doch nicht zugleich auch dem dritten Verantwortlichen gegenüber eine Empfehlung für oder gegen eine vertragliche Kontrahierung mit der betroffenen Person ab.

Die DS-GVO nimmt in ihren Bestimmungen und Erwägungsgründen eine begriffliche Differenzierung zwischen Verarbeitung einerseits und auf der Verarbeitung beruhender Entscheidung andererseits vor und will gerade keine eigenständigen materiellen Vorgaben zum Profiling treffen. So bestimmt Art. 4 Nr. 4 DS-GVO, dass Profiling im Sinne der DS-GVO "jede Art der automatisierten Verarbeitung personenbezogener Daten" ist, "um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten". Der Wortlaut der Legaldefinition lässt sich folglich dahingehend verstehen, Profiling sei nicht nur die Ermittlung der Parameter für das Bewertungsergebnis, sondern umfasse auch das Bewertungsergebnis. Darunter könnte man im Hinblick auf den hiesigen Fall auch die automatisierte Zusammenstellung der einzelnen Merkmale mit dem Ziel des Subtrahierens eines Gesamt-Score-Wertes durch eine Wirtschaftsauskunftei und dessen tatsächlicher Ermittlung fassen. In Richtung eines solchen Begriffsverständnisses ließe sich auch Art. 21 Abs. 1 S. 1 DS-GVO deuten, wonach sich das Widerspruchsrecht der betroffenen Person auf jegliche Verarbeitung bezieht und nach Hs. 2 insbesondere auch für ein auf die Vorschriften der DS-GVO gestütztes Profiling. Letztlich tritt die Differenzierung zwischen automatisierter Verarbeitung durch Profiling einerseits sowie Entscheidung andererseits vor allem aus Art. 22 Abs. 1 DS-GVO hervor. Indem Art. 22 Abs. 1 DS-GVO bestimmt, dass eine betroffene Person das Recht hat, "nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden", trifft die Vorschrift explizit eine kausale Verknüpfung und zeitlich zwingende Reihenfolge von automatisierter Verarbeitung (einschließlich Profiling) und darauf beruhender Entscheidung. Die Intention des Verordnungsgebers, zwischen beiden Begrifflichkeiten zu unterscheiden, wird ferner durch Erwägungsgrund 71 S. 1, 2 gestützt. Während Erwägungsgrund 71 S. 1 erläutert, die betroffene Person solle das Recht haben, keiner Entscheidung zur Bewertung sie betreffender persönlicher Angaben unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht, ergänzt Erwägungsgrund 71 S. 2 diese Annahme, zu "derartigen Verarbeitungen" – folglich nicht zu den "Entscheidungen" – zähle auch das Profiling. Als Beispielsfall für eine "Entscheidung" benennt Erwägungsgrund 71 S. 1 vielmehr exemplarisch die automatische Ablehnung eines Kreditantrages, adressiert also in Grobzügen die hiesige Fallkonstellation insoweit, als die ablehnende Entscheidung des Kreditinstituts gegenüber der Klägerin die maßgebliche "Entscheidung" ist, nicht jedoch die Erstellung des Score-Wertes durch die Beigeladene. Letztlich lassen sich damit jedenfalls der Wortlaut der Art. 21 Abs. 1 S. 1, 22 Abs. 1 und 4 Nr. 4 DS-GVO sowie die Erwägungsgründe 71 S. 1, 2 und 72 dahingehend verstehen, Fallkonstellationen wie die dem Ausgangsverfahren zugrunde liegende, in der eine Auskunftei einen Score-Wert ermittelt, stellten eine "Verarbeitung", nicht jedoch eine "Entscheidung" im Sinne des Art. 22 Abs. 1 DS-GVO dar.

Das vorlegende Gericht hat allerdings erhebliche Zweifel an einer solch restriktiven Auslegung des Art. 22 Abs. 1 DS-GVO. Es sieht gewichtige Anhaltspunkte dafür, dass die durch Wirtschaftsauskunfteien vorgenommene automatisierte Erstellung eines Score-Wertes zur prognostischen Bewertung der wirtschaftlichen Leistungsfähigkeit einer betroffenen Person eine eigenständige, auf einer automatisierten Verarbeitung beruhende Entscheidung im Sinne des Art. 22 Abs. 1 DS-GVO ist. Das vorlegende Gericht stützt seine Zweifel in tatsächlicher Hinsicht auf die Bedeutung des von Wirtschaftsauskunfteien erstellten Score-Wertes für die Entscheidungspraxis dritter Verantwortlicher sowie rechtlich maßgeblich auf die mit Art. 22 Abs. 1 DS-GVO verfolgten Zwecke sowie den in Art. 87 ff. DS-GVO verbürgten Rechtsschutzgewährleistungen:

In tatsächlicher Hinsicht hat das Gericht durchgreifende Bedenken gegenüber der Annahme, dritte Verantwortliche träfen bei Vorliegen eines Score-Wertes über eine betroffene Person die von Art. 22 Abs. 1 DS-GVO geforderte, nicht ausschließlich auf Automatisierung beruhende Einzelfallentscheidung. Wenngleich jedenfalls rein hypothetisch die dritten Verantwortlichen eine eigene Entscheidung über das Ob und Wie des Eingehens einer vertraglichen Beziehung mit der betroffenen Person treffen können, weil zu diesem Stadium des Entscheidungsprozesses eine humangesteuerte Einzelfallentscheidung grundsätzlich noch möglich ist, wird diese Entscheidung praktisch in so erheblichem Maße durch den von Wirtschaftsauskunfteien übermittelten Score-Wert determiniert, dass jener gleichsam durch die Entscheidung des dritten Verantwortlichen durchschlägt. Anders gewendet: Eigentlich entscheidet über das Ob und Wie der Vertragseingehung des dritten Verantwortlichen mit der betroffenen Person letztlich doch der aufgrund automatisierter Verarbeitung von der Wirtschaftsauskunftei erstellte Score-Wert. Der dritte Verantwortliche muss seine Entscheidung zwar nicht allein vom Score-Wert abhängig machen, tut es in aller Regel jedoch maßgeblich. Eine Kreditvergabe mag zwar trotz eines grundsätzlich ausreichenden Score-Werts (aus anderen Gründen, wie etwa des Fehlens von Sicherheiten oder Zweifeln am Erfolg einer zu finanzierenden Investition) versagt werden, ein nicht ausreichender Score-Wert hingegen wird jedenfalls im Bereich der Verbraucherdarlehen in fast jedem Fall und auch dann zur Versagung eines Kredits führen, wenn etwa eine Investition im Übrigen als lohnend erscheint. Dass Score-Werten bei der Kreditvergabe und der Gestaltung ihrer Bedingungen die entscheidende Rolle zukommt, zeigen Erfahrungen aus der behördlichen Datenschutzaufsicht (Siehe LfDI BW, Neue Broschüre: Scoring – solide Prognose oder miese Nummer?, https://www.baden-wuerttemberg.datenschutz.de/neue-broschuere-scoring-solide-prognose-odermiese-nummer/ (Stand 30.09.2021)).

Vor den Gefahren dieser rein auf Automation gründenden Entscheidungsform soll Art. 22 Abs. 1 DS-GVO – vorbehaltlich der Ausnahmen in Art. 22 Abs. 2 DS-GVO – die betroffene Person aber gerade schützen. Anliegen des Verordnungsgebers ist es, zu verhindern, dass die Entscheidungsfindung ohne individuelle Einschätzung und Bewertung durch einen Menschen stattfindet. Die betroffene Person soll keinem ausschließlich technischen und undurchschaubaren Vorgang ausgeliefert sein, ohne die zugrunde liegenden Annahmen und Bewertungsmaßstäbe nachvollziehen und durch Ausübung ihrer Rechte gegebenenfalls intervenieren zu können. Regelungsanliegen ist damit neben dem Schutz vor diskriminierenden Entscheidungen auf Grundlage vermeintlich objektiver Datenverarbeitungsprogramme auch die Schaffung von Transparenz und Fairness bei der Entscheidungsfindung. Entscheidungen über die Ausübung individueller Freiheiten sollen nicht ungeprüft der Logik von Algorithmen überlassen werden. Denn Algorithmen arbeiten mit Korrelationen und Wahrscheinlichkeiten, die nicht zwingend einer Kausalität folgen und auch nicht zwangsläufig zu nach menschlicher Einsicht "richtigen" Ergebnissen führen. Aus der Systematisierung zutreffender Einzeldaten können vielmehr fehlerhafte, unfaire oder diskriminierende Schlussfolgerungen gezogen werden, die – werden sie zur Grundlage einer Entscheidungsfindung – die Freiheitsrechte der betroffenen Person erheblich tangieren, und ihn vom Subjekt zum Objekt einer entpersonalisierten Entscheidung degradieren. Das trifft in besonderem Maße dann zu, wenn die betroffene Person nicht um den Einsatz von Algorithmen weiß oder sie – falls doch – nicht übersehen kann, welche Daten mit welchem Gewicht und durch welche Analysemethoden in die Entscheidung einfließen. Gerade dieses Anliegen des Verordnungsgebers, ein menschliches Korrektiv für automatisierte Datenverarbeitungen im Grundsatz verbindlich vorzuschreiben und nur in begrenzten Ausnahmefällen Durchbrechungen zuzulassen (Art. 22 Abs. 2 DS-GVO), wird jedoch konterkariert, weil der automatisiert erstellte Score-Wert grundsätzlich eine überragende Stellung in der Entscheidungsfindung des dritten Verantwortlichen einnimmt.

Der Verordnungsgeber wollte, diesen Grundkonflikt mittels des in Art. 22 Abs. 1 DS-GVO enthaltenen Verbotes gleichsam "zulasten" der dritten Verantwortlichen lösen, indem er an der (letzten) Entscheidung gegenüber der betroffenen Person ansetzt. An das Profiling werden insoweit lediglich im für das Profiling maßgeblichen Erwägungsgrund 71 Satz 6 Verfahrensanforderungen formuliert. Im Übrigen ergibt sich die Zulässigkeit der Datenverarbeitung zwecks Profiling jedoch allenfalls aus den allgemeinen Verarbeitungstatbeständen des Art. 6 Abs. 1 DSGVO. Das folgt sowohl aus Art. 21 Abs. 1 S. 1 Hs. 2 DS-GVO, der als mögliche Rechtsgrundlage für Profiling auf Art. 6 Abs. 1 UA 1 lit. e und f DS-GVO verweist, und aus Erwägungsgrund 72 S. 1, wonach das Profiling den Vorschriften der DSGVO für die Verarbeitung personenbezogener Daten, also auch der Rechtsgrundlage für die Verarbeitung oder den Datenschutzgrundsätzen, unterliegt.

Infolge dieser bloß rumpfartigen Vorgaben der DS-GVO zum Profiling einerseits und dem grundlegenden Postulat aus Art. 22 Abs. 1 DS-GVO andererseits stellt sich insbesondere das Problem der effektiven Rechtsdurchsetzung durch betroffene Personen. Sie ist – neben dem aufsichtsbehördlichen Kontrollmechanismus – der entscheidende Rechtsdurchsetzungsmechanismus der DS-GVO. Das zeigen nicht nur die austarierten und umfassend geregelten Beschwerde- und Klagerechte aus Art. 87 ff. DS-GVO, sondern auch die sie flankierenden Betroffenenrechte aus Art. 12 ff. DS-GVO. Anliegen der DS-GVO ist es, durch entsprechende Vorgaben insbesondere zu Auskunftsrechten und Transparenzgeboten, den mündigen Unionsbürger zur Rechtsdurchsetzung zu befähigen und zu mobilisieren.

Diese Rechte werden durch das Zusammenspiel von Tätigkeit und (fehlender) Verpflichtungen der Wirtschaftsauskunfteien sowie Entscheidungspraxis der dritten Verantwortlichen ausgehöhlt. Gegenüber den Auskunfteien hat die betroffene Person zwar ein generelles Auskunftsrecht nach Art. 15 DS-GVO; dieses wird den Besonderheiten des Profilings, das die DS-GVO ja gerade durch die Art. 15 Abs. 1 lit. h, 21 Abs. 1 S. 1 Hs. 2, 22 DS-GVO zu adressieren sucht, jedoch nicht gerecht. Denn im Rahmen des allgemeinen Auskunftsanspruchs sind die Wirtschaftsauskunfteien nicht verpflichtet, die Logik und Zusammensetzung der für die Erstellung des Score-Wertes entscheidenden Parameter preiszugeben; sie tun dies aus Gründen des Wettbewerbsschutzes unter Berufung auf ihr Betriebs- und Geschäftsgeheimnis auch nicht.

Auch der dritte Verantwortliche kann Informationen über die Score-Wert-Erstellung, die seiner Entscheidung ja gerade maßgeblich zugrunde liegt, gegenüber der betroffenen Person nicht erteilen, weil er nicht um die involvierte Logik weiß; sie wird ihm von der Auskunftei nicht offenbart.

Dadurch entsteht eine Rechtsschutzlücke: Derjenige, von dem die für die betroffene Person erforderlichen Informationen zu erlangen wären, ist nach Art. 15 Abs. 1 lit. h DS-GVO nicht auskunftsverpflichtet, weil er vorgeblich keine eigene "automatisierte Entscheidungsfindung" im Sinne des Art. 15 Abs. 1 lit. h DS-GVO betreibt, und derjenige, der seiner Entscheidungsfindung den automatisiert erstellen Score-Wert zugrunde legt und nach Art. 15 Abs. 1 lit. h DS-GVO auskunftsverpflichtet ist, kann die erforderlichen Informationen nicht bereitstellen, weil er über sie nicht verfügt.

Fällt die Erstellung des Score-Wertes durch eine Auskunftei in den Anwendungsbereich des Art. 22 Abs. 1 DS-GVO, schließt sich diese Rechtsschutzlücke. Nicht nur unterfällt die Erstellung von Score-Werten so dem Verbot des Art. 22 Abs. 1 DS-GVO, sodass sie als auf ausschließlich automatisierter Verarbeitung beruhend nur nach den Ausnahmetatbeständen des Art. 22 Abs. 2 DS-GVO zulässig ist und damit der Intention des Unionsgebers nach zumindest regulatorischer Einhegung solcher Entscheidungen entspricht. Auch ermöglicht dieses Vorgehen unter Berücksichtigung der Öffnungsklausel des Art. 22 Abs. 2 lit. b DS-GVO eine detaillierte Regelung solcher Entscheidungsfindungen durch die Mitgliedstaaten, die ihnen nach den bisherigen Vorgaben der DS-GVO zu Profiling und automatisierten Entscheidungsfindungen verwehrt bleibt (siehe Vorlagefrage 2).

Die Rechtsschutzlücke wird auch nicht hinreichend durch das Widerspruchsrecht der betroffenen Person gem. Art. 21 Abs. 1 S. 1 Hs. 2 DS-GVO geschlossen. Danach hat die betroffene Person zwar das Recht, "aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Abs. UA 1 lit. e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling". Jedoch weiß die betroffene Person im Falle von Wirtschaftsauskunfteien typischerweise nicht, dass sie zum Gegenstand eines automatisierten Scoring-Verfahrens geworden ist. Sie erfährt dies typischerweise erst, wenn eine ihr gegenüber nachteilige Entscheidung eines dritten Verantwortlichen unter Hinweis auf den Score-Wert bereits ergangen ist. Zu diesem Zeitpunkt hilft ihr das Widerspruchsrecht aber jedenfalls in Bezug auf den abgeschlossenen Fall nicht mehr; sie kann insoweit ihr Widerspruchsrecht nur noch gegenüber einer künftigen Datenverarbeitung durch die Wirtschaftsauskunftei ausüben.

Zu Frage 2:

Mitgliedstaatliche Regelungen zum Scoring

Gemäß § 31 Abs. 1 BDSG ist die Zulässigkeit der Verwendung eines Wahrscheinlichkeitswerts über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) von der Erfüllung weiterer Voraussetzungen abhängig. Gemäß § 31 Abs. 2 BDSG ist die Verwendung eines von Auskunfteien ermittelten Wahrscheinlichkeitswerts über die Zahlungsfähigkeit und Zahlungswilligkeit einer natürlichen Person im Fall der Einbeziehung von Informationen über Forderungen nur zulässig, soweit die Voraussetzungen nach § 31 Abs. 1 BDSG vorliegen und nur solche Forderungen über eine geschuldete Leistung, die trotz Fälligkeit nicht erbracht worden ist, berücksichtigt werden, die weitere spezifische Voraussetzungen erfüllen, wobei die Zulässigkeit der Verarbeitung, einschließlich der Ermittlung von Wahrscheinlichkeitswerten, von anderen bonitätsrelevanten Daten nach allgemeinem Datenschutzrecht unberührt bleibt.

Damit trifft der deutsche Gesetzgeber in § 31 BDSG im Kern Regelungen über das Scoring als Unterfall des Profilings. Das vorlegende Gericht hat erhebliche Zweifel an der Vereinbarkeit dieser Regelungen mit Art. 22 DS-GVO, weil der deutsche Gesetzgeber lediglich die "Verwendung" des "Wahrscheinlichkeitswert" regelt, nicht aber die Erstellung des Wahrscheinlichkeitswerts selbst.

§ 31 BDSG ist insoweit abschließend, als er Profiling nur dahingehend zu seinem Regelungsgegenstand macht, wie es Grundlage einer darauf aufbauenden Entscheidung ist. Bezugspunkt des Verbotes ist demgemäß jedoch nur die Entscheidung, nicht das ihr vorangehende Profiling. Spezifisch inhaltliche Anforderungen an die Rechtmäßigkeit der Datenverarbeitung zwecks Profiling in Gestalt des Scorings selbst werden weder von Art. 22 DS-GVO noch von anderen Bestimmungen der DS-GVO formuliert. Im Hinblick auf Profiling finden sich im Übrigen lediglich Regelungen zu Informationspflichten in Art. 14 Abs. 2 lit. g DSGVO, dem Auskunftsrecht in Art. 15 Abs. 1 lit. h DS-GVO, jeweils jedoch nur bezogen auf das Bestehen einer automatisierten Entscheidungsfindung, nicht jedoch auf das Profiling selbst, sowie zum Widerspruchsrecht der betroffenen Person in Art. 21 Abs. 1 S. 1 Hs. 1 DS-GVO und in weiteren, für das streitgegenständliche Verfahren unerheblichen Vorschriften.

In Ermangelung spezifischer Bestimmungen richtet sich die Zulässigkeit von Profiling, soweit es in Gestalt des Scorings nicht mittels der darauf aufbauenden Entscheidung von Art. 22 DS-GVO erfasst ist, demnach im Übrigen nach den allgemeinen Verarbeitungstatbeständen des Art. 6 DS-GVO. Indem der deutsche Gesetzgeber weitergehende inhaltliche Zulässigkeitsvoraussetzungen an das Scoring knüpft, spezifiziert er die Regelungsmaterie über die Vorgaben der Art. 6 und 22 DS-GVO hinaus. Dafür fehlt ihm jedoch die Regelungsbefugnis.

Eine entsprechende Regelungsbefugnis lässt sich insbesondere nicht aus Art. 22 Abs. 2 lit. b DS-GVO ableiten. Die DS-GVO sieht eine mitgliedstaatliche Normsetzungsbefugnis in Bezug auf Profiling nur dann vor, wenn die Entscheidung ausschließlich auf einer automatisierten Verarbeitung beruht. § 31 BDSG trifft demgegenüber differenzierungsfrei Regelungen für auch nichtautomatisierte Entscheidungen, regelt darin aber die Zulässigkeit der Verwendung von Scoring-Datenverarbeitungen. Nach der Systematik von Art. 22 DS-GVO und den allgemeinen Verarbeitungstatbeständen des Art. 6 DS-GVO richtet sich die Zulässigkeit von Entscheidungen, die nicht auf einer automatisierten Verarbeitung einschließlich Profiling beruhen, jedoch nach Art. 6 DS-GVO. Dieser Regelungsgegenstand ist den nationalen Gesetzgebern – möge man dies als absichtsvollen Regelungsverzicht des Verordnungsgebers betrachten – entzogen. Spezifischere Anforderungen an das Profiling wollte der Verordnungsgeber offensichtlich auch nicht treffen. Entsprechendes kann dann nicht einfach durch den mitgliedstaatlichen Gesetzgeber getan werden – jedenfalls im Rahmen des Art. 22 Abs. 2 lit. b DS-GVO nur dann, wenn die mitgliedstaatlichen Vorschriften ausschließlich rechtliche Vorgaben zu solchen Entscheidungen treffen, die eben ausschließlich auf automatisierter Verarbeitung beruhen.

Das gilt insbesondere vor dem Hintergrund, dass die DS-GVO eine Verordnung im Sinne des Art. 288 Abs. 3 AEUV ist. Nach ständiger Rechtsprechung des EuGH ist es dem nationalen Gesetzgeber schon verwehrt, gesetzlich abschließende Wertungen – hier § 31 BDSG – in Bezug auf abstrakt formulierte Vorgaben des europäischen Gesetzgebers – hier Art. 6 und 22 DS-GVO – im Hinblick auf richtlinienrechtliche Vorgaben zu treffen (EuGH, Urteil vom 19.10.2016, Breyer/Deutschland, C-582/14, ECLI:EU:C:2016:779, Rn. 62 f.). Dies muss dann erst recht für Vorgaben – wie hier – in Verordnungen gelten.

Bezeichnenderweise gibt der deutsche Gesetzgeber in seiner Begründung zu § 31 BDSG dementsprechend auch nicht an, worauf sich seine Regelungskompetenz im Hinblick auf diese Vorschrift stützt. Die Gesetzesbegründung ergibt sich aus mehr oder minder allgemein gehaltenen Angaben dazu, die Vorschrift übernehme die Vorgängerregelungen der §§ 28a und 28b BDSG a. F. und die inhaltlichen Regelungen hätten nach wie vor Bedeutung. Demgegenüber behauptete der Referentenentwurf des Bundesministeriums des Innern vom 11.11.2016, S. 93 f., noch, die mitgliedstaatliche Regelungsbefugnis ergebe sich aus der "Zusammenschau der Artikel 6 Abs. 4 und Artikel 23 Abs. 1" der DS-GVO. Dieser – für sich schon nicht haltbare – Ansatz wurde im Verlaufe des Gesetzgebungsverfahrens jedoch offenbar aufgegeben.

IV.

Nach alledem ist eine Vorlage an den Europäischen Gerichtshof geboten. Das Ergebnis des Rechtsstreits hängt von den Vorlagefragen ab.

Das Verfahren hängt von Vorlagefrage 1 ab. Sollte Art. 22 Abs. 1 DS-GVO dahingehend auszulegen sein, dass die Erstellung eines Score-Wertes durch eine Wirtschaftsauskunftei eine eigenständige Entscheidung im Sinne des Art. 22 Abs. 1 DS-GVO ist, unterfiele diese – ihre maßgebliche Tätigkeit – dem Verbot der automatisierten Einzelfallentscheidung. Es bedürfte infolgedessen einer mitgliedstaatlichen Rechtsgrundlage im Sinne des Art. 22 Abs. 2 lit. b DS-GVO, für die einzig § 31 BDSG in Betracht kommt. Bezüglich dessen Vereinbarkeit mit Art. 22 Abs. 1 DS-GVO bestehen aber gerade durchgreifende Bedenken. Die Beigeladene würde dann nicht nur rechtsgrundlos handeln, sondern verstieße ipso iure gegen das Verbot des Art. 22 Abs. 1 DS-GVO. Infolgedessen hätte die Klägerin zugleich einen Anspruch gegen die Beklagte auf aufsichtsbehördliche (Weiter-)Befassung mit ihrem Fall.

Wenn die Vorlagefrage 1 zu verneinen ist, also das Profiling selbst keine Entscheidung im Sinne von Abs. 22 Abs. 1 und 2 DS-GVO ist, dann gilt auch die Öffnungsklausel des Art. 22 Abs. 2 lit. b DS-GVO nicht für nationale Regelungen, die das Profiling betreffen. Aufgrund des grundsätzlich abschließenden Charakters der auf Vollharmonisierung ausgelegten DS-GVO ist daher eine anderweitige Regelungsbefugnis für nationale Regelungen zu suchen. Da eine solche aber, wie dargestellt, nicht ersichtlich ist und insbesondere nicht aus den rudimentären Vorgaben des DS-GVO folgt, ist die nationale Regelung in § 31 BDSG nicht anwendbar, was den Prüfungsspielraum der nationalen Aufsichtsbehörde ändert, die dann die Vereinbarkeit der Tätigkeit von Wirtschaftsauskunfteien an Art. 6 DSGVO zu messen hätte.

V.

Dieser Beschluss ist unanfechtbar.