EuGH Dun & Bradstreet: Auskunft über automatisierte Entscheidungen trotz Geschäftsgeheimnis
Geheimnisschutz · Datenschutzrecht · EuGH, C-203/22 (Dun & Bradstreet Austria) · 27. Februar 2025
Der Europäische Gerichtshof hat das Spannungsverhältnis zwischen dem datenschutzrechtlichen Auskunftsanspruch und dem Schutz von Geschäftsgeheimnissen bei automatisierten Entscheidungen geklärt. Unternehmen müssen nachvollziehbar erklären, wie eine automatisierte Bewertung zustande kam. Ein pauschaler Verweis auf Geschäftsgeheimnisse genügt nicht.
- Betroffene haben Anspruch auf eine verständliche Erläuterung des tatsächlich angewandten Verfahrens und seiner Grundsätze.
- Die bloße Übermittlung eines Algorithmus ist keine ausreichende Erklärung.
- Berufen sich Verantwortliche auf Geschäftsgeheimnisse, entscheidet die Aufsichtsbehörde oder das Gericht nach Abwägung über den Umfang der Auskunft.
Der Fall
Ein Mobilfunkanbieter in Österreich verweigerte einer Kundin einen Vertrag über monatlich 10 Euro, weil ihre Bonität nach einer automatisierten Bewertung der Auskunftei Dun & Bradstreet Austria nicht ausreichte. Die Kundin verlangte Auskunft über die Logik der Bewertung. Eine österreichische Behörde stellte bestandskräftig einen Verstoß gegen die DSGVO fest. Im anschließenden Vollstreckungsverfahren wollte das Gericht wissen, welche Angaben das Unternehmen konkret schuldet und wie Geschäftsgeheimnisse nach der Richtlinie (EU) 2016/943 zu berücksichtigen sind.
Die Entscheidung
Nach Art. 15 Abs. 1 lit. h DSGVO sind aussagekräftige Informationen über die involvierte Logik zu erteilen. Der EuGH konkretisiert: Der Verantwortliche muss das Verfahren und die Grundsätze, die tatsächlich angewandt wurden, so beschreiben, dass die betroffene Person versteht, welche ihrer Daten wie in die Entscheidung eingeflossen sind. Hilfreich kann es sein darzulegen, wie sich ein anderes Datenprofil auf das Ergebnis ausgewirkt hätte. Eine komplexe mathematische Formel oder die Offenlegung des Algorithmus erfüllt diese Anforderungen dagegen nicht.
Enthält die geschuldete Information Geschäftsgeheimnisse oder geschützte Daten Dritter, darf der Verantwortliche sie nicht einfach zurückhalten. Er muss sie der zuständigen Aufsichtsbehörde oder dem Gericht vorlegen, die die widerstreitenden Interessen abwägen und den Umfang der Auskunft festlegen. Eine nationale Regelung, die das Auskunftsrecht bei Gefährdung von Geschäftsgeheimnissen generell ausschließt, ist mit der DSGVO unvereinbar.
Geschäftsgeheimnisse begrenzen die Auskunft – sie ersetzen sie nicht.
Bedeutung für Unternehmen
Die Entscheidung betrifft alle, die Scoring, automatisierte Kreditentscheidungen oder vergleichbare Modelle einsetzen, auch KI-gestützte Systeme. Unternehmen sollten ihre Bewertungslogik so dokumentieren, dass sie in allgemein verständlicher Form erklärt werden kann, ohne zwangsläufig den Quellcode offenzulegen. Für den Geheimnisschutz gewinnt die saubere Abgrenzung schützenswerter Informationen an Bedeutung.
- Verständliche Erläuterungen zu automatisierten Bewertungen für Auskunftsersuchen vorbereiten.
- Geschäftsgeheimnisse im Scoring-Modell identifizieren und Schutzmaßnahmen dokumentieren.
- Prozesse für die Vorlage geheimhaltungsbedürftiger Informationen an Behörde oder Gericht festlegen.
Quelle: EuGH, Pressemitteilung Nr. 22/25 zu C-203/22 ↗
Fragen zu diesem Thema?
Wir beraten zur DSGVO-konformen Gestaltung automatisierter Entscheidungsprozesse und zum Schutz von Geschäftsgeheimnissen bei Auskunftsersuchen.
Beratung anfragen ↗Redaktionsstand: 9. November 2026. Der Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.
Mehr zum Rechtsgebiet