Entscheidungsdatum
22.07.2024Norm
AVG §38Spruch
W211 2171666-1/46E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Barbara SIMMA, LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde des XXXX , vertreten durch XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX 2017, Zl. XXXX , Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Barbara SIMMA, LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde des römisch 40 , vertreten durch römisch 40 , gegen den Bescheid der Datenschutzbehörde vom römisch 40 2017, Zl. römisch 40 ,
A)
A1) beschlossen: Das Verfahren wird, soweit es das Recht auf Auskunft nach Art. 15 Abs. 1 lit h DSGVO betrifft, gemäß § 17 VwGVG iVm § 38 AVG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11.02.2022, VWG-101/042/791/2020, berichtigt mit Schreiben vom 23.03.2022, ausgesetzt.A1) beschlossen: Das Verfahren wird, soweit es das Recht auf Auskunft nach Artikel 15, Absatz eins, Litera h, DSGVO betrifft, gemäß Paragraph 17, VwGVG in Verbindung mit Paragraph 38, AVG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-203/22 über das Ersuchen des Verwaltungsgerichts Wien vom 11.02.2022, VWG-101/042/791/2020, berichtigt mit Schreiben vom 23.03.2022, ausgesetzt.
A2) mit Teilerkenntnis zu Recht erkannt: Die mitbeteiligte Partei hat unter Zugrundelegung des der Beschwerde stattgebenden und bereits in Rechtskraft erwachsenen Teils des Spruchs des Erkenntnisses vom 27.11.2020, W211 2171666-1/21E, dem Beschwerdeführer binnen vier Wochen bei sonstiger Exekution in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache die Auskunft betreffend die Herkunft der Daten betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ vollständig zu erteilen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG unzulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG unzulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. Eingangs wird zum Verfahrensgang auf das Erkenntnis des Bundesverwaltungsgerichts vom 27.11.2020, W211 2171666-1/21E verwiesen:
Diesem Verfahren lag ein Auskunftsbegehren des Beschwerdeführers an die mitbeteiligte Partei (idF mP), die damalige XXXX , vom XXXX 2016 nach § 26 iVm 49 Abs. 3 DSG 2000 zugrunde. Der Beschwerdeführer rügte gegenüber der Datenschutzbehörde, dass die erteilte Auskunft nicht vollständig sei. Diesem Verfahren lag ein Auskunftsbegehren des Beschwerdeführers an die mitbeteiligte Partei in der Fassung mP), die damalige römisch 40 , vom römisch 40 2016 nach Paragraph 26, in Verbindung mit 49 Absatz 3, DSG 2000 zugrunde. Der Beschwerdeführer rügte gegenüber der Datenschutzbehörde, dass die erteilte Auskunft nicht vollständig sei.
Mit Bescheid vom XXXX 2017 gab die Datenschutzbehörde der Beschwerde des Beschwerdeführers teilweise statt und stellte fest, dass die mP diesen dadurch in seinem Recht auf Auskunft verletzt habe, indem sie Negativauskünfte über den Beschwerdeführer gelöscht habe (Spruchpunkt I.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt II.). Mit Bescheid vom römisch 40 2017 gab die Datenschutzbehörde der Beschwerde des Beschwerdeführers teilweise statt und stellte fest, dass die mP diesen dadurch in seinem Recht auf Auskunft verletzt habe, indem sie Negativauskünfte über den Beschwerdeführer gelöscht habe (Spruchpunkt römisch eins.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt römisch II.).
Gegen Spruchpunkt II. dieses Bescheids erhob der Beschwerdeführer Beschwerde an das Bundesverwaltungsgericht. Gegen Spruchpunkt römisch II. dieses Bescheids erhob der Beschwerdeführer Beschwerde an das Bundesverwaltungsgericht.
2. Im Erkenntnis vom 27.11.2020, W211 2171666-1/21E, gab das Bundesverwaltungsgericht der Beschwerde gegen Spruchpunkt II. des Bescheids vom XXXX 2017 mit der Maßgabe statt, dass der Spruchpunkt II. des Bescheids vom XXXX 2017 zu lauten habe: „Der Beschwerde wird dahingehend stattgegeben, dass die Auskunft über „Dienstleister:innen“ bzw. nunmehr „Auftraggeber:innen“ iSd Art. 15 Abs. 1 lit c DSGVO sowie über die Herkunft der Daten (vgl. Art. 15 Abs. 1 lit g DSGVO) betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ nicht vollständig erteilt wurde.“ Im Übrigen wurde die Beschwerde abgewiesen. 2. Im Erkenntnis vom 27.11.2020, W211 2171666-1/21E, gab das Bundesverwaltungsgericht der Beschwerde gegen Spruchpunkt römisch II. des Bescheids vom römisch 40 2017 mit der Maßgabe statt, dass der Spruchpunkt römisch II. des Bescheids vom römisch 40 2017 zu lauten habe: „Der Beschwerde wird dahingehend stattgegeben, dass die Auskunft über „Dienstleister:innen“ bzw. nunmehr „Auftraggeber:innen“ iSd Artikel 15, Absatz eins, Litera c, DSGVO sowie über die Herkunft der Daten vergleiche Artikel 15, Absatz eins, Litera g, DSGVO) betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ nicht vollständig erteilt wurde.“ Im Übrigen wurde die Beschwerde abgewiesen.
Der Beschwerdeführer und die Datenschutzbehörde erhoben jeweils eine (Amts-) Revision.
3. Mit Erkenntnis vom 02.04.2024, Ro 2021/04/0008-5, hob der Verwaltungsgerichtshof unter Berücksichtigung der Ausführungen des EuGH im Urteil vom 07.12.2023, C-634/21, SCHUFA HOLDING [Scoring], das Erkenntnis vom 27.11.2020, W211 2171666-1/21E, im Umfang der Abweisung der Beschwerde wegen Rechtswidrigkeit des Inhalts auf. Der mit Erkenntnis vom 27.11.2020, W211 2171666-1/21E, der Beschwerde stattgebende Spruchteil erwuchs in Rechtskraft.
4. Mit Schreiben vom XXXX 2024 wurden die Parteien aufgefordert, dem Bundesverwaltungsgericht bekanntzugeben, inwieweit zwischenzeitlich eine Auskunft über „Dienstleister:innen“ bzw. nunmehr „Auftraggeber:innen“ iSd Art. 15 Abs. 1 lit c DSGVO sowie über die Herkunft der Daten (vgl. Art. 15 Abs. 1 lit g DSGVO) betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ erteilt wurde. Die mP wurde weiters aufgefordert, bekanntzugeben, ob, und wenn ja, wie sie eine automatisierte Datenverarbeitung der Daten des Beschwerdeführers vorgenommen hat und/oder vornimmt, die auf eine Bewertung bzw. Analyse oder Vorhersage im Sinne des Art. 4 Z 4 DSGVO und der Ausführungen im Erkenntnis des VwGH (02.04.2024, Ro 2021/04/0008-5) abzielt. Auch wurden die Parteien aufgefordert, bekanntzugeben, ob gegebenenfalls bereits eine Auskunft zu Art. 15 Abs. 1 lit. h DSGVO erfolgt ist.4. Mit Schreiben vom römisch 40 2024 wurden die Parteien aufgefordert, dem Bundesverwaltungsgericht bekanntzugeben, inwieweit zwischenzeitlich eine Auskunft über „Dienstleister:innen“ bzw. nunmehr „Auftraggeber:innen“ iSd Artikel 15, Absatz eins, Litera c, DSGVO sowie über die Herkunft der Daten vergleiche Artikel 15, Absatz eins, Litera g, DSGVO) betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ erteilt wurde. Die mP wurde weiters aufgefordert, bekanntzugeben, ob, und wenn ja, wie sie eine automatisierte Datenverarbeitung der Daten des Beschwerdeführers vorgenommen hat und/oder vornimmt, die auf eine Bewertung bzw. Analyse oder Vorhersage im Sinne des Artikel 4, Ziffer 4, DSGVO und der Ausführungen im Erkenntnis des VwGH (02.04.2024, Ro 2021/04/0008-5) abzielt. Auch wurden die Parteien aufgefordert, bekanntzugeben, ob gegebenenfalls bereits eine Auskunft zu Artikel 15, Absatz eins, Litera h, DSGVO erfolgt ist.
5. Mit Schriftsatz vom XXXX 2024 teilte der Beschwerdeführer mit, dass ihm seit dem Erkenntnis des Bundesverwaltungsgerichts vom 27.11.2020 bzw. seit der mündlichen Verhandlung vom XXXX 2020 keine weiteren Auskünfte erteilt worden seien. Insbesondere sei keine Auskunft über „Dienstleister:innen“ oder „Auftraggeber:innen“ oder über die Herkunft der Daten betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ erteilt worden. Im Übrigen sei auch keine Auskunftserteilung im Sinne von Art. 15 Abs. 1 lit h DSGVO durch die mP erfolgt.5. Mit Schriftsatz vom römisch 40 2024 teilte der Beschwerdeführer mit, dass ihm seit dem Erkenntnis des Bundesverwaltungsgerichts vom 27.11.2020 bzw. seit der mündlichen Verhandlung vom römisch 40 2020 keine weiteren Auskünfte erteilt worden seien. Insbesondere sei keine Auskunft über „Dienstleister:innen“ oder „Auftraggeber:innen“ oder über die Herkunft der Daten betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ erteilt worden. Im Übrigen sei auch keine Auskunftserteilung im Sinne von Artikel 15, Absatz eins, Litera h, DSGVO durch die mP erfolgt.
6. Mit Schriftsatz vom XXXX 2024 legte die mP dem Bundesverwaltungsgericht ein an den Beschwerdeführer gerichtetes Schreiben vom XXXX 2024 vor. Darin teilt die mP dem Beschwerdeführer mit, dass ein Einsatz von Dienstleister:innen bzw. Auftragsverarbeiter:innen bei der Verarbeitung seiner Daten nicht erfolgt sei. Informationen zum „Brutto-Mindesteinkommen Haushalt“ fänden sich in der Auskunft (gemeint wohl: Selbstauskunft vom XXXX 2016). Diese Informationen habe die mP von der XXXX bezogen. Es finden sich im Schriftsatz keine Ausführungen zur vom Bundesverwaltungsgericht gestellten Frage, ob die mP eine automatisierte Datenverarbeitung der Daten des Beschwerdeführers vorgenommen hat und/oder vornimmt, die auf eine Bewertung bzw. Analyse oder Vorhersage im Sinne des Art. 4 Z 4 DSGVO und der Ausführungen im Erkenntnis des VwGH (02.04.2024, Ro 2021/04/0008-5) abzielt, jedoch geht die mP kursorisch auf das Zustandekommen der Beurteilung der Bonität des Beschwerdeführers ein, indem sie anführt, dass insbesondere Informationen zu Zahlungserfahrungen sowie die soziodemografischen Daten zur Person des Beschwerdeführers zur Berechnung des Bonitätswerts herangezogen worden seien. Informationen zur Zahlungsweise sowie Informationen zu unternehmerischen Umfelddaten seien für die Bestimmung eines Bonitätswertes von Bedeutung, wobei sich keine bzw. weniger bzw. länger zurückliegende Zahlungsanstände positiv auf den Ratingwert/Score auswirkten. Auch die statistischen Daten zum geografischen Wohnumfeld hätten sich positiv auf den Score ausgewirkt. Im Übrigen verweist die mP auf die in der Auskunft (gemeint wohl: Selbstauskunft vom XXXX 2016) enthaltene Erläuterung zu den Ratingwerten und Ausfallwahrscheinlichkeiten. 6. Mit Schriftsatz vom römisch 40 2024 legte die mP dem Bundesverwaltungsgericht ein an den Beschwerdeführer gerichtetes Schreiben vom römisch 40 2024 vor. Darin teilt die mP dem Beschwerdeführer mit, dass ein Einsatz von Dienstleister:innen bzw. Auftragsverarbeiter:innen bei der Verarbeitung seiner Daten nicht erfolgt sei. Informationen zum „Brutto-Mindesteinkommen Haushalt“ fänden sich in der Auskunft (gemeint wohl: Selbstauskunft vom römisch 40 2016). Diese Informationen habe die mP von der römisch 40 bezogen. Es finden sich im Schriftsatz keine Ausführungen zur vom Bundesverwaltungsgericht gestellten Frage, ob die mP eine automatisierte Datenverarbeitung der Daten des Beschwerdeführers vorgenommen hat und/oder vornimmt, die auf eine Bewertung bzw. Analyse oder Vorhersage im Sinne des Artikel 4, Ziffer 4, DSGVO und der Ausführungen im Erkenntnis des VwGH (02.04.2024, Ro 2021/04/0008-5) abzielt, jedoch geht die mP kursorisch auf das Zustandekommen der Beurteilung der Bonität des Beschwerdeführers ein, indem sie anführt, dass insbesondere Informationen zu Zahlungserfahrungen sowie die soziodemografischen Daten zur Person des Beschwerdeführers zur Berechnung des Bonitätswerts herangezogen worden seien. Informationen zur Zahlungsweise sowie Informationen zu unternehmerischen Umfelddaten seien für die Bestimmung eines Bonitätswertes von Bedeutung, wobei sich keine bzw. weniger bzw. länger zurückliegende Zahlungsanstände positiv auf den Ratingwert/Score auswirkten. Auch die statistischen Daten zum geografischen Wohnumfeld hätten sich positiv auf den Score ausgewirkt. Im Übrigen verweist die mP auf die in der Auskunft (gemeint wohl: Selbstauskunft vom römisch 40 2016) enthaltene Erläuterung zu den Ratingwerten und Ausfallwahrscheinlichkeiten.
7. Mit Schriftsatz vom XXXX 2024 replizierte der Beschwerdeführer zusammengefasst und soweit wesentlich dahingehend, dass der stattgebende Teil des Erkenntnisses vom 27.11.2020 rechtskräftig geworden sei, weshalb diese Punkte nicht mehr verfahrensgegenständlich seien und ein Vorgehen gemäß § 24 DSG oder eine Einstellung des Verfahrens betreffend einen Leistungsauftrag ausscheiden würde. Die Auskunft zu den Auftragsverarbeiter:innen und Dienstleister:innen stelle sich immer noch als mangelhaft dar. Dies könne aber dahingestellt bleiben, weil bereits rechtskräftig festgestellt worden sei, dass die diesbezüglich erteilte Auskunft unvollständig sei und eine nachträgliche Auskunftserteilung sich nur mehr in einem allfälligen Vollstreckungsverfahren auswirken könnte. Das Schreiben der mP vom XXXX 2024 habe der Beschwerdeführer nach wie vor nicht erhalten. 7. Mit Schriftsatz vom römisch 40 2024 replizierte der Beschwerdeführer zusammengefasst und soweit wesentlich dahingehend, dass der stattgebende Teil des Erkenntnisses vom 27.11.2020 rechtskräftig geworden sei, weshalb diese Punkte nicht mehr verfahrensgegenständlich seien und ein Vorgehen gemäß Paragraph 24, DSG oder eine Einstellung des Verfahrens betreffend einen Leistungsauftrag ausscheiden würde. Die Auskunft zu den Auftragsverarbeiter:innen und Dienstleister:innen stelle sich immer noch als mangelhaft dar. Dies könne aber dahingestellt bleiben, weil bereits rechtskräftig festgestellt worden sei, dass die diesbezüglich erteilte Auskunft unvollständig sei und eine nachträgliche Auskunftserteilung sich nur mehr in einem allfälligen Vollstreckungsverfahren auswirken könnte. Das Schreiben der mP vom römisch 40 2024 habe der Beschwerdeführer nach wie vor nicht erhalten.
II. Das Bundesverwaltungsgericht hat erwogen:römisch II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Zu A) 1:
1.1. Die nunmehrige mP ist die Rechtsnachfolgerin der vormaligen mP.
1.2. Der Beschwerdeführer stellte am XXXX 2016 ein Auskunftsbegehren an die Vorgängerin der mP und fragte an, welche Art von Daten die mP über ihn speichert, welchen Inhalt die Daten haben, woher sie stammen, wozu sie verwendet werden und an wen sie übermittelt wurden, zu welchem Zweck Datenverarbeitungen betrieben werden und auf Grund welcher Vertrags- und Rechtsgrundlage die Daten verwendet werden. Im Zusammenhang mit § 10 DSG 2000 wurde um Auskunft über Dienstleister:innen ersucht. Soweit Daten in automatisierter Form ermittelt würden, wurde gemäß § 49 Abs. 3 DSG 2000 beantragt, das Zustandekommen zu beauskunften.1.2. Der Beschwerdeführer stellte am römisch 40 2016 ein Auskunftsbegehren an die Vorgängerin der mP und fragte an, welche Art von Daten die mP über ihn speichert, welchen Inhalt die Daten haben, woher sie stammen, wozu sie verwendet werden und an wen sie übermittelt wurden, zu welchem Zweck Datenverarbeitungen betrieben werden und auf Grund welcher Vertrags- und Rechtsgrundlage die Daten verwendet werden. Im Zusammenhang mit Paragraph 10, DSG 2000 wurde um Auskunft über Dienstleister:innen ersucht. Soweit Daten in automatisierter Form ermittelt würden, wurde gemäß Paragraph 49, Absatz 3, DSG 2000 beantragt, das Zustandekommen zu beauskunften.
1.3. Das Geschäftsmodell der mP besteht ua darin, Daten aufzubereiten. Die mP prognostiziert aus bestimmten Merkmalen einer natürlichen Person auf der Grundlage mathematisch-statistischer Verfahren die Wahrscheinlichkeit eines zukünftigen Verhaltens dieser Person. Die Erstellung dieser sogenannten Score Werte über eine Person beruht auf der Annahme, dass durch die Zuordnung einer Person zu einer Gruppe anderer Personen mit vergleichbaren Merkmalen, die sich in einer bestimmten Weise verhalten haben, ein ähnliches Verhalten vorausgesagt werden kann. Die Erstellung der Score Werte beinhaltet eine Bewertung von natürlichen Personen ua über Aspekte ihrer wirtschaftlichen Lage und erfolgt automatisiert. Diese Daten, die auch Bonitätsbeurteilungen beinhalten, leitet die mP an ihre Kund:innen weiter, die ihrerseits diese Daten für ihre Geschäftsentscheidungen, darunter, ob ein Vertrag mit einer Person geschlossen wird oder nicht, heranziehen. Die mP bereitet die Score Werte einer Person ihren Kund:innen zur graphischen Darstellung in einem Ampelsystem auf. Anhand von mit einer Straßenverkehrsampel vergleichbar bedeutungskodierten Farben (grün, gelb, rot) erhalten die Kund:innen der mP Informationen über die Bonität natürlicher Personen.
Die mP ermittelte durch dieses auf der Grundlage mathematisch-statistischer Verfahren basierende System automatisiert einen Score Wert des Beschwerdeführers. Die mP leitete diesen auch graphisch als Ampel dargestellten und von ihr ermittelten Score Wert an ihren Kunden, ein Telekommunikationsunternehmen, weiter. Dieses Unternehmen fragte den durch die mP ihr zur Verfügung gestellten Score Wert des Beschwerdeführers ab.
1.4. Die mP hat dem Beschwerdeführer keine Auskunft hinsichtlich dieses auf automatisierter Datenverarbeitung beruhenden Scoring Systems erteilt.
1.5. Das Verwaltungsgericht Wien richtete mit Vorabentscheidungsersuchen vom 11.02.2022, VWG-101/042/791/2020, berichtigt mit Schreiben vom 23.03.2022, folgende Fragen an den EuGH zur Vorabentscheidung (anhängig beim EuGH zu C-203/22):
„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend ‚aussagekräftig‘ im Sinne des Art. 15 Abs. 1 Buchst. h der Datenschutz-Grundverordnung (DS-GVO) eingestuft zu werden?„1. Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend ‚aussagekräftig‘ im Sinne des Artikel 15, Absatz eins, Buchst. h der Datenschutz-Grundverordnung (DS-GVO) eingestuft zu werden?
Sind – allenfalls unter Wahrung eines bestehenden Betriebsgeheimnisses – im Falle eines Profilings vom Verantwortlichen im Rahmen der Beauskunftung der ‚involvierten Logik‘ grundsätzlich auch die für die Ermöglichung der Nachvollziehbarkeit des Ergebnisses der automatisierten Entscheidung im Einzelfall wesentlichen Informationen, worunter insbesondere 1) die Bekanntgabe der verarbeiteten Daten des Betroffenen, 2) die Bekanntgabe der für die Ermöglichung der Nachvollziehbarkeit erforderlichen Teile des dem Profiling zugrunde gelegenen Algorithmus und 3) die maßgeblichen Informationen zur Erschließung des Zusammenhangs zwischen verarbeiteter Information und erfolgter Valuierung zählen, bekannt zu geben?
Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 DS-GVO zu ermöglichen:Sind in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO auch im Falle des Einwands eines Betriebsgeheimnisses jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Artikel 22, Absatz 3, DS-GVO zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der Datenschutz-Grundverordnung (DS-GVO) erlauben,
b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten,
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde, f) Erklärung, weshalb der Auskunftsberechtigte i.S.d. Artikel 15, Absatz eins, Litera h, Datenschutz-Grundverordnung (DS-GVO) einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist
2) Steht das durch Art. 15 Abs. 1 Buchst. h DS-GVO gewährte Auskunftsrecht mit den durch Art. 22 Abs. 3 DS-GVO garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung im Sinne des Art. 22 DS-GVO insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO zu erteilenden Informationen nur dann ausreichend ‚aussagekräftig‘ ist, wenn der Auskunftsbegehrende und Betroffene im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 DS-GVO garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung im Sinne des Art. 22 DS-GVO tatsächlich, profund und erfolgversprechend wahrzunehmen?2) Steht das durch Artikel 15, Absatz eins, Buchst. h DS-GVO gewährte Auskunftsrecht mit den durch Artikel 22, Absatz 3, DS-GVO garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung im Sinne des Artikel 22, DS-GVO insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO zu erteilenden Informationen nur dann ausreichend ‚aussagekräftig‘ ist, wenn der Auskunftsbegehrende und Betroffene im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO in die Lage versetzt wird, die ihm durch Artikel 22, Absatz 3, DS-GVO garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung im Sinne des Artikel 22, DS-GVO tatsächlich, profund und erfolgversprechend wahrzunehmen?
3a) Ist Art. 15 Abs. 1 Buchst. h DS-GVO dahingehend auszulegen, dass nur dann von einer ‚aussagekräftigen Information‘ im Sinne dieser Bestimmung auszugehen ist, wenn diese Information so weitgehend ist, dass es dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO möglich ist festzustellen, ob diese erteilte Information auch den Tatsachen entspricht, daher ob der konkret angefragten automatisierten Entscheidung auch tatsächlich die bekannt gegebenen Informationen zugrunde gelegen sind? 3a) Ist Artikel 15, Absatz eins, Buchst. h DS-GVO dahingehend auszulegen, dass nur dann von einer ‚aussagekräftigen Information‘ im Sinne dieser Bestimmung auszugehen ist, wenn diese Information so weitgehend ist, dass es dem Auskunftsberechtigten im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO möglich ist festzustellen, ob diese erteilte Information auch den Tatsachen entspricht, daher ob der konkret angefragten automatisierten Entscheidung auch tatsächlich die bekannt gegebenen Informationen zugrunde gelegen sind?
3b) Bejahendenfalls: Wie ist vorzugehen, wenn die Richtigkeit der von einem Verantwortlichen erteilten Information nur dadurch überprüft zu werden vermag, wenn auch von der DS-GVO geschützte Daten Dritter dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO zur Kenntnis gebracht werden müssen (Black-Box)?3b) Bejahendenfalls: Wie ist vorzugehen, wenn die Richtigkeit der von einem Verantwortlichen erteilten Information nur dadurch überprüft zu werden vermag, wenn auch von der DS-GVO geschützte Daten Dritter dem Auskunftsberechtigten im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO zur Kenntnis gebracht werden müssen (Black-Box)?
Kann dieses Spannungsverhältnis zwischen dem Auskunftsrecht im Sinne des Art. 15 Abs. 1 DS-GVO und dem Datenschutzrecht Dritter auch dadurch aufgelöst werden, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter, welche ebenfalls demselben Profiling unterzogen wurden, ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen hat, ob die bekannt gegebenen Daten dieser dritten Personen den Tatsachen entsprechen?Kann dieses Spannungsverhältnis zwischen dem Auskunftsrecht im Sinne des Artikel 15, Absatz eins, DS-GVO und dem Datenschutzrecht Dritter auch dadurch aufgelöst werden, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter, welche ebenfalls demselben Profiling unterzogen wurden, ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen hat, ob die bekannt gegebenen Daten dieser dritten Personen den Tatsachen entsprechen?
3c) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte im Sinne des Art. 15 Abs. 4 DS-GVO durch die Schaffung der unter Punkt 3b) angesprochenen Black-Box jedenfalls eingeräumt zu werden?3c) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte im Sinne des Artikel 15, Absatz 4, DS-GVO durch die Schaffung der unter Punkt 3b) angesprochenen Black-Box jedenfalls eingeräumt zu werden?
Sind dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO in diesem Fall jedenfalls die für die Ermöglichung der Überprüfbarkeit der Richtigkeit der Entscheidungsfindung vom Verantwortlichen im Sinne des Art. 15 Abs. 1 DS-GVO bekannt zu gebenden Daten anderer Personen in pseudoanonymisierter Form bekannt zu geben?Sind dem Auskunftsberechtigten im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO in diesem Fall jedenfalls die für die Ermöglichung der Überprüfbarkeit der Richtigkeit der Entscheidungsfindung vom Verantwortlichen im Sinne des Artikel 15, Absatz eins, DS-GVO bekannt zu gebenden Daten anderer Personen in pseudoanonymisierter Form bekannt zu geben?
4a) Wie ist vorzugehen, wenn die zu erteilende Information im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO auch die Vorgaben eines Geschäftsgeheimnisses im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie erfüllt?4a) Wie ist vorzugehen, wenn die zu erteilende Information im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO auch die Vorgaben eines Geschäftsgeheimnisses im Sinne des Artikel 2, Nr. 1 der Know-how-Richtlinie erfüllt?
Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 Buchst. h DS-GVO garantierten Auskunftsrecht und dem durch die Know-how-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses im Sinne des Art. 2 Nr. 1 der Know-how-Richtlinie auszugehen ist, und ob die vom Verantwortlichen im Sinne des Art. 15 Abs. 1 DS-GVO erteilte Information den Tatsachen entspricht?Kann das Spannungsverhältnis zwischen dem durch Artikel 15, Absatz eins, Buchst. h DS-GVO garantierten Auskunftsrecht und dem durch die Know-how-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis im Sinne des Artikel 2, Nr. 1 der Know-how-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses im Sinne des Artikel 2, Nr. 1 der Know-how-Richtlinie auszugehen ist, und ob die vom Verantwortlichen im Sinne des Artikel 15, Absatz eins, DS-GVO erteilte Information den Tatsachen entspricht?
4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte im Sinne des Art. 15 Abs. 4 DS-GVO durch die Schaffung der unter Punkt 4a) angesprochenen Black-Box jedenfalls eingeräumt zu werden?4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte im Sinne des Artikel 15, Absatz 4, DS-GVO durch die Schaffung der unter Punkt 4a) angesprochenen Black-Box jedenfalls eingeräumt zu werden?
Sind (auch) in diesem Fall eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 Buchst. h DS-GVO bekannt zu gebenden Informationen in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Art. 22 Abs. 3 DS-GVO völlig zu ermöglichen: Sind (auch) in diesem Fall eines Auseinanderfallens der der Behörde bzw. dem Gericht bekannt zu gebenden Informationen und der dem Auskunftsberechtigten i.S.d. Artikel 15, Absatz eins, Buchst. h DS-GVO bekannt zu gebenden Informationen in Fällen, welche ein Profiling zum Gegenstand haben, dem Auskunftsberechtigten im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO jedenfalls nachfolgende Informationen zur konkreten ihn betreffenden Verarbeitung bekannt zu geben, um ihm die Wahrung seiner Rechte aus Artikel 22, Absatz 3, DS-GVO völlig zu ermöglichen:
a) Übermittlung aller allenfalls pseudoanonymisierter Informationen, insbesondere zur Weise der Verarbeitung der Daten des Betroffenen, die die Überprüfung der Einhaltung der DS-GVO erlauben,
b) Zur-Verfügung-Stellung der zur Profilerstellung verwendeten Eingabedaten,
c) die Parameter und Eingangsvariablen, welche bei der Bewertungsermittlung herangezogen wurden,
d) der Einfluss dieser Parameter und Eingangsvariablen auf die errechnete Bewertung,
e) Informationen zum Zustandekommen der Parameter bzw. Eingangsvariablen,
f) Erklärung, weshalb der Auskunftsberechtigte im Sinne des Art. 15 Abs. 1 Buchst. h DS-GVO einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde, f) Erklärung, weshalb der Auskunftsberechtigte im Sinne des Artikel 15, Absatz eins, Buchst. h DS-GVO einem bestimmten Bewertungsergebnis zugeordnet wurde, und Darstellung, welche Aussage mit dieser Bewertung verbunden wurde,
g) Aufzählung der Profilkategorien und Erklärung, welche Bewertungsaussage mit jeder der Profilkategorien verbunden ist?
5) Wird durch die Bestimmung des Art. 15 Abs. 4 DS-GVO in irgendeiner Weise der Umfang der gemäß Art. 15 Abs. 1 Buchst. h DS-GVO zu erteilenden Auskunft beschränkt?5) Wird durch die Bestimmung des Artikel 15, Absatz 4, DS-GVO in irgendeiner Weise der Umfang der gemäß Artikel 15, Absatz eins, Buchst. h DS-GVO zu erteilenden Auskunft beschränkt?
Bejahendenfalls, in welcher Weise wird dieses Auskunftsrecht durch Art. 15 Abs. 4 DS-GVO beschränkt, und wie ist im jeweiligen Fall dieser Umfang der Einschränkung zu ermitteln?Bejahendenfalls, in welcher Weise wird dieses Auskunftsrecht durch Artikel 15, Absatz 4, DS-GVO beschränkt, und wie ist im jeweiligen Fall dieser Umfang der Einschränkung zu ermitteln?
6) Ist die Bestimmung des § 4 Abs. 6 Datenschutzgesetz, wonach „das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DS-GVO gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde, mit den Vorgaben des Art. 15 Abs. 1 in Verbindung mit Art. 22 Abs. 3 DS-GVO vereinbar? Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“6) Ist die Bestimmung des Paragraph 4, Absatz 6, Datenschutzgesetz, wonach „das Recht auf Auskunft der betroffenen Person gemäß Artikel 15, DS-GVO gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht (besteht), wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde, mit den Vorgaben des Artikel 15, Absatz eins, in Verbindung mit Artikel 22, Absatz 3, DS-GVO vereinbar? Bejahendenfalls, unter welchen Vorgaben liegt eine solche Vereinbarkeit vor?“
1.6. Die mP bediente sich im Hinblick auf die von der mP verarbeiteten und im Zuge der Auskunft an den Beschwerdeführer bereitgestellten Daten keiner Dienstleister:innen iSd § 10 DSG 2000 bzw. Art. 28 DSGVO. 1.6. Die mP bediente sich im Hinblick auf die von der mP verarbeiteten und im Zuge der Auskunft an den Beschwerdeführer bereitgestellten Daten keiner Dienstleister:innen iSd Paragraph 10, DSG 2000 bzw. Artikel 28, DSGVO.
Eine ergänzende Auskunft über die Herkunft der Daten betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ wurde nicht erteilt.
2. Beweiswürdigung:
2.1. Die Feststellung zur Rechtsnachfolge der vormaligen mP beruht auf der Einsicht in das Firmenbuch und dem Vorbringen der nunmehrigen mP (vgl. Stellungnahme vom XXXX 2024 (Bekanntgabe, Fristerstreckungsantrag)). Daraus ergibt sich auch, dass die vormalige mP als übertragende Gesellschaft mit der nunmehrigen mP als übernehmende Gesellschaft am XXXX 2021 verschmolzen wurde (Verschmelzungsvertrag von XXXX 2021).2.1. Die Feststellung zur Rechtsnachfolge der vormaligen mP beruht auf der Einsicht in das Firmenbuch und dem Vorbringen der nunmehrigen mP vergleiche Stellungnahme vom römisch 40 2024 (Bekanntgabe, Fristerstreckungsantrag)). Daraus ergibt sich auch, dass die vormalige mP als übertragende Gesellschaft mit der nunmehrigen mP als übernehmende Gesellschaft am römisch 40 2021 verschmolzen wurde (Verschmelzungsvertrag von römisch 40 2021).
2.2. Die Feststellungen zum Auskunftsbegehren ergeben sich aus diesem und sind unstrittig.
2.3. Die Feststellung zur Tätigkeit der mP beruht auf einer Einsicht auf die Homepage der mP (insbesondere XXXX 2024), der dem Schreiben des (damaligen) Vertreters der mP vom XXXX 2016 beigelegten „Selbstauskunft“ vom XXXX 2016, in der dargelegt wird, dass es sich bei den Produkten der mP um die Ergebnisse von Scoring-Verfahren handelt, dh um Werturteile, die auf subjektiven Prognosen und mathematisch-statistischen Wahrscheinlichkeitsbeurteilungen beruhen, und den Aussagen des (vormaligen) Vertreters der mP in der mündlichen Verhandlung, wonach bei der mP die Entscheidung aufgrund der Größe ihrer Datensätze nur automatisiert sein kann (VH S. 9). Die Feststellungen zum „Ampel-System“ beruhen auf einem im Akt aufliegenden Protokoll einer Einvernahme einer Mitarbeiterin eines Telekommunikationsunternehmens und Kunden der mP, das aus einem Parallelverfahren vor der Datenschutzbehörde stammt und aus dem hervorgeht, dass die mP auf Anfrage des Kunden diesem einen Score Wert in Form einer Ampelfarbe zur Verfügung stellt. Die Mitarbeiterin des Telekommunikationsunternehmens schilderte weiter, dass im Falle eines Score Werts, der in der Ampel als „gelb“ dargestellt wird, die Angelegenheit an eine:n Teamleiter:in, der:die auch ausschließlich den Score Wert als Ampeldarstellung in Erfahrung bringen kann, weitergegeben wird. „Rot“ bedeute, dass ein Kundenansuchen abgelehnt werde, womit sich ergibt, dass das Telekommunikationsunternehmen und Kunde der mP sich zumindest maßgeblich vom Score Wert in seinen Entscheidungen über die Begründung und Durchführung von Vertragsverhältnissen leiten lässt. Dass, wie die Mitarbeiterin des Telekommunikationsunternehmens ausführte, bestimmte auf einen kleinen Führungskreis eingeschränkte Personen einen umfassenderen Zugriff auf das Score System der mP haben und nähere Informationen über die abgefragte Person bei der mP in Erfahrung bringen können, untermauert erneut, dass das Telekommunikationsunternehmen sich maßgeblich von dem von der mP ermittelten Score Wert und den von der mP in Erfahrung gebrachten näheren Informationen über die abgefragte Person leiten lässt, und es somit maßgeblich davon abhängt, ob das Telekommunikationsunternehmen ein Vertragsverhältnis mit dieser Person begründet bzw. durchführt. 2.3. Die Feststellung zur Tätigkeit der mP beruht auf einer Einsicht auf die Homepage der mP (insbesondere römisch 40 2024), der dem Schreiben des (damaligen) Vertreters der mP vom römisch 40 2016 beigelegten „Selbstauskunft“ vom römisch 40 2016, in der dargelegt wird, dass es sich bei den Produkten der mP um die Ergebnisse von Scoring-Verfahren handelt, dh um Werturteile, die auf subjektiven Prognosen und mathematisch-statistischen Wahrscheinlichkeitsbeurteilungen beruhen, und den Aussagen des (vormaligen) Vertreters der mP in der mündlichen Verhandlung, wonach bei der mP die Entscheidung aufgrund der Größe ihrer Datensätze nur automatisiert sein kann (VH Sitzung 9). Die Feststellungen zum „Ampel-System“ beruhen auf einem im Akt aufliegenden Protokoll einer Einvernahme einer Mitarbeiterin eines Telekommunikationsunternehmens und Kunden der mP, das aus einem Parallelverfahren vor der Datenschutzbehörde stammt und aus dem hervorgeht, dass die mP auf Anfrage des Kunden diesem einen Score Wert in Form einer Ampelfarbe zur Verfügung stellt. Die Mitarbeiterin des Telekommunikationsunternehmens schilderte weiter, dass im Falle eines Score Werts, der in der Ampel als „gelb“ dargestellt wird, die Angelegenheit an eine:n Teamleiter:in, der:die auch ausschließlich den Score Wert als Ampeldarstellung in Erfahrung bringen kann, weitergegeben wird. „Rot“ bedeute, dass ein Kundenansuchen abgelehnt werde, womit sich ergibt, dass das Telekommunikationsunternehmen und Kunde der mP sich zumindest maßgeblich vom Score Wert in seinen Entscheidungen über die Begründung und Durchführung von Vertragsverhältnissen leiten lässt. Dass, wie die Mitarbeiterin des Telekommunikationsunternehmens ausführte, bestimmte auf einen kleinen Führungskreis eingeschränkte Personen einen umfassenderen Zugriff auf das Score System der mP haben und nähere Informationen über die abgefragte Person bei der mP in Erfahrung bringen können, untermauert erneut, dass das Telekommunikationsunternehmen sich maßgeblich von dem von der mP ermittelten Score Wert und den von der mP in Erfahrung gebrachten näheren Informationen über die abgefragte Person leiten lässt, und es somit maßgeblich davon abhängt, ob das Telekommunikationsunternehmen ein Vertragsverhältnis mit dieser Person begründet bzw. durchführt.
2.4. Dass die mP dem Beschwerdeführer keine Auskunft hinsichtlich dieses auf automatisierter Datenverarbeitung beruhenden Scoring Systems erteilt hat, ist unstrittig. Die mP ging im Zuge des Verfahrens davon aus, dass die von ihr durchgeführte Erstellung eines Score Werts auf Grundlage mathematisch-statistischer Verfahren keine automatisierte Datenverarbeitung in Einzelfällen einschließlich Profiling ist, daher Art. 22 DSGVO nicht anwendbar und folglich auch dem Beschwerdeführer keine Auskunft iSd Art. 15 Abs. 1 lit h DSGVO zu erteilen ist.2.4. Dass die mP dem Beschwerdeführer keine Auskunft hinsichtlich dieses auf automatisierter Datenverarbeitung beruhenden Scoring Systems erteilt hat, ist unstrittig. Die mP ging im Zuge des Verfahrens davon aus, dass die von ihr durchgeführte Erstellung eines Score Werts auf Grundlage mathematisch-statistischer Verfahren keine automatisierte Datenverarbeitung in Einzelfällen einschließlich Profiling ist, daher Artikel 22, DSGVO nicht anwendbar und folglich auch dem Beschwerdeführer keine Auskunft iSd Artikel 15, Absatz eins, Litera h, DSGVO zu erteilen ist.
2.5. Die Feststellungen zum Vorabentscheidungsersuchen des Verwaltungsgerichts Wien an den EuGH ergeben sich aus diesem.
2.6. In ihrer Stellungnahme vom XXXX 2024 gab die mP bekannt, dass sie sich in Hinblick auf die von ihr verarbeiteten und im Zuge der Auskunft an den Beschwerdeführer bereitgestellten Daten keiner Auftragsverabeiter:innen (bzw. Dienstleister:innen) iSd § 10 DSG 2000 bzw. Art. 28 DSGVO bedient hat. Der Beschwerdeführer rügt in seiner Stellungnahme vom XXXX 2024, dass es sich dabei um Schutzbehauptungen handeln würde. Dass Faktum, dass der Vertreter der mP in der mündlichen Verhandlungen vom XXXX 2020 unsicher war, wie die Begrifflichkeiten einzuordnen sind und wie der Begriff der „Dienstleister:innen“ des § 10 DSG 2000 zu sehen sein könnte, kann eine nunmehrige Aussage dazu durch die jetzige Vertretung der mP im Verfahren nicht von vornherein erschüttern. Es haben sich daher keine Hinweise darauf ergeben, dass die Angabe der mP vom XXXX 2024, dass sich diese keiner Dienstleister:innen iZm der Datenverarbeitung den Beschwerdeführer betreffend bedient hat, anzuzweifeln ist, weshalb eine entsprechende Feststellung zu treffen war. 2.6. In ihrer Stellungnahme vom römisch 40 2024 gab die mP bekannt, dass sie sich in Hinblick auf die von ihr verarbeiteten und im Zuge der Auskunft an den Beschwerdeführer bereitgestellten Daten keiner Auftragsverabeiter:innen (bzw. Dienstleister:innen) iSd Paragraph 10, DSG 2000 bzw. Artikel 28, DSGVO bedient hat. Der Beschwerdeführer rügt in seiner Stellungnahme vom römisch 40 2024, dass es sich dabei um Schutzbehauptungen handeln würde. Dass Faktum, dass der Vertreter der mP in der mündlichen Verhandlungen vom römisch 40 2020 unsicher war, wie die Begrifflichkeiten einzuordnen sind und wie der Begriff der „Dienstleister:innen“ des Paragraph 10, DSG 2000 zu sehen sein könnte, kann eine nunmehrige Aussage dazu durch die jetzige Vertretung der mP im Verfahren nicht von vornherein erschüttern. Es haben sich daher keine Hinweise darauf ergeben, dass die Angabe der mP vom römisch 40 2024, dass sich diese keiner Dienstleister:innen iZm der Datenverarbeitung den Beschwerdeführer betreffend bedient hat, anzuzweifeln ist, weshalb eine entsprechende Feststellung zu treffen war.
Hingegen geht aus den aktuellen Stellungnahmen der mP nicht hervor, dass eine ergänzende Auskunft zur Herkunft der Daten betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ zwischenzeitlich erteilt worden wäre. Die mP verweist in ihrem Schreiben an den Beschwerdeführer vom XXXX 2024, dem Bundesverwaltungsgericht vorgelegt am XXXX 2024, selbst nur auf die Auskunft aus 2016. Davon, dass die Auskunft dazu daher nunmehr erteilt worden wäre, kann nicht ausgegangen werden. Hingegen geht aus den aktuellen Stellungnahmen der mP nicht hervor, dass eine ergänzende Auskunft zur Herkunft der Daten betreffend den Wert „Brutto-Mindesteinkommen des Haushalts“ zwischenzeitlich erteilt worden wäre. Die mP verweist in ihrem Schreiben an den Beschwerdeführer vom römisch 40 2024, dem Bundesverwaltungsgericht vorgelegt am römisch 40 2024, selbst nur auf die Auskunft aus 2016. Davon, dass die Auskunft dazu daher nunmehr erteilt worden wäre, kann nicht ausgegangen werden.
3. Rechtliche Beurteilung:
Zu A1)
3.1. Rechtsgrundlagen:
Auszüge aus DSGVO:
Erwägungsgrund 60
(60) Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Darüber hinaus sollte er die betroffene Person darauf hinweisen, dass Profiling stattfindet und welche Folgen dies hat. Werden die personenbezogenen Daten bei der betroffenen Person erhoben, so sollte dieser darüber hinaus mitgeteilt werden, ob sie verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche Folgen eine Zurückhaltung der Daten nach sich ziehen würde. Die betreffenden Informationen können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, so sollten sie maschinenlesbar sein.
Erwägungsgrund 63
(63) Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.
Erwägungsgrund 71
(71) Die betroffene Person sollte das Recht haben, keiner Entscheidung - was eine Maßnahme einschließen kann - zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen. Zu einer derartigen Verarbeitung zählt auch das ‚Profiling‘, das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine auf einer derartigen Verarbeitung, einschließlich des Profilings, beruhende Entscheidungsfindung sollte allerdings erlaubt sein, wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem der für die Verarbeitung Verantwortliche unterliegt, ausdrücklich zulässig ist, auch um im Einklang mit den Vorschriften, Standards und Empfehlungen der Institutionen der [Europäischen] Union oder der nationalen Aufsichtsgremien Betrug und Steuerhinterziehung zu überwachen und zu verhindern und die Sicherheit und Zuverlässigkeit eines von dem Verantwortlichen bereitgestellten Dienstes zu gewährleisten, oder wenn dies für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und einem Verantwortlichen erforderlich ist oder wenn die betroffene Person ihre ausdrückliche Einwilligung hierzu erteilt hat. In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Anspruchs auf direktes Eingreifen einer Person, auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung sowie des Rechts auf Anfechtung der Entscheidung. Diese Maßnahme sollte kein Kind betreffen. Um unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, sollte der für die Verarbeitung Verantwortliche geeignete mathematische oder statistische Verfahren für das Profiling verwenden, technische und organisatorische Maßnahmen treffen, mit denen in geeigneter Weise insbesondere sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird, und personenbezogene Daten in einer Weise sichern, dass den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung getragen wird, und unter anderem verhindern, dass es gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung zu diskriminierenden Wirkungen oder zu einer Verarbeitung kommt, die eine solche Wirkung hat. Automatisierte Entscheidungsfindung und Profiling auf der Grundlage besonderer Kategorien von personenbezogenen Daten sollten nur unter bestimmten Bedingungen erlaubt sein. […]
Artikel 4 - Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck: […]
4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen; […]
Artikel 15 - Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die
