Eine neue Vorlage des LVwG Wien (in einem Exekutionsverfahren; VWG-101/042/791/2020-44, 11.02.2022) an den EuGH (C-203/22) beschäftigt sich mit der Frage, ob Betriebs- und Geschäftsgeheimnisse eine Verweigerung einer Auskunft ermöglichen können.
Die DSGVO, die Know-How-RL der EU sowie auch § 4 DSG (Österreich) beschäftigen den EuGH in einem Verfahren, das eine Wirtschaftsauskunftei betrifft.
In einem (Vor-)Verfahren bei der DSB sowie des BVwG (23.10.2019, Zl. W256 2217011-1/11E) wurde festgestellt, dass eine betroffen Person im Recht auf Auskunft verletzt wurde, da dieser von einer Wirtschaftsauskunftei keine aussagekräftigen Informationen über die involvierte Logik einer die Daten der betroffenen Person betreffenden automatisierten Entscheidungsfindung zur Verfügung gestellt wurden.
Zudem wurde der Wirtschaftsauskunftei aufgetragen, binnen zweier Wochen bei sonstiger Exekution
der betroffenen Person aussagekräftige Informationen über die involvierte Logik der die Daten der Betroffenen betreffenden automatisierten Entscheidungsfindung zur Verfügung zu stellen,
oder ausreichend zu begründen, weshalb diese Auskunft nicht erteilt werden kann.
Es wurden u.a. folgende Fragen dem EuGH zur Vorabentscheidung vorgelegt:
1) Welche inhaltlichen Erfordernisse muss eine erteilte Auskunft erfüllen, um als ausreichend „aussagekräftig“ i.S.d. Art. 15 Abs. 1 lit. h der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DS-GVO) eingestuft zu werden?
2) Steht das durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) mit den durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechten auf Darlegung des eigenen Standpunkts und auf Bekämpfung einer erfolgten automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) insofern in einem Zusammenhang, als der Umfang der aufgrund eines Auskunftsbegehrens i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zu erteilenden Informationen nur dann ausreichend „aussagekräftig“ ist, wenn der Auskunftsbegehrende und Betroffene i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) in die Lage versetzt wird, die ihm durch Art. 22 Abs. 3 Datenschutz-Grundverordnung (DS-GVO) garantierten Rechte auf Darlegung seines eigenen Standpunkts und auf Bekämpfung der ihn betreffenden automatisierten Entscheidung i.S.d. Art. 22 Datenschutz-Grundverordnung (DS-GVO) tatsächlich, profund und erfolgversprechend wahrzunehmen?
3a) Ist Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) dahingehend auszulegen, dass nur dann von einer „aussagekräftigen Information“ im Sinne dieser Bestimmung auszugehen ist, wenn diese Information so weitgehend ist, dass es dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) möglich ist festzustellen, ob diese erteilte Information auch den Tatsachen entspricht, daher ob der konkret angefragten automatisierten Entscheidung auch tatsächlich die bekannt gegebenen Informationen zugrunde gelegen sind?
3b) Bejahendenfalls: Wie ist vorzugehen, wenn die Richtigkeit der von einem Verantwortlichen erteilten Information nur dadurch überprüft zu werden vermag, wenn auch von der Datenschutz-Grundverordnung (DS-GVO) geschützte Daten Dritter dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) zur Kenntnis gebracht werden müssen (Black-Box)?
Kann dieses Spannungsverhältnis zwischen dem Auskunftsrecht i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) und dem Datenschutzrecht Dritter auch dadurch aufgelöst werden, indem die für die Richtigkeitsüberprüfung erforderlichen Daten Dritter, welche ebenfalls demselben Profiling unterzogen wurden, ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen hat, ob die bekannt gegebenen Daten dieser dritten Personen den Tatsachen entsprechen ?
3c) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte i.S.d. Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) durch die Schaffung der unter Punkt 3b) angesprochenen Black-Box jedenfalls eingeräumt zu werden?
Sind dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) in diesem Fall jedenfalls die für die Ermöglichung der Überprüfbarkeit der Richtigkeit der Entscheidungsfindung vom Verantwortlichen i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) bekannt zu gebenden Daten anderer Personen in pseudoanonymisierter Form bekannt zu geben?
4a) Wie ist vorzugehen, wenn die zu erteilende Information i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) auch die Vorgaben eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, L 157/1 (Know-How-Richtlinie) erfüllt?
Kann das Spannungsverhältnis zwischen dem durch Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) garantierten Auskunftsrecht und dem durch die Know-How-Richtlinie geschützten Recht auf Nichtoffenlegung eines Geschäftsgeheimnisses dadurch aufgelöst werden, indem die als Geschäftsgeheimnis i.S.d. Art. 2 Z 1 der Know-How-Richtlinie einzustufenden Informationen ausschließlich der Behörde oder dem Gericht offen gelegt werden, sodass die Behörde oder das Gericht eigenständig zu überprüfen haben, ob vom Vorliegen eines Geschäftsgeheimnisses i.S.d. Art. 2 Z 1 der Know-How-Richtlinie auszugehen ist, und ob die vom Verantwortlichen i.S.d. Art. 15 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) erteilte Information den Tatsachen entspricht.
4b) Bejahendenfalls: Welche Rechte haben dem Auskunftsberechtigten i.S.d. Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung (DS-GVO) im Falle der Gebotenheit der Gewährleistung des Schutzes fremder Rechte i.S.d. Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) durch die Schaffung der unter Punkt 4a) angesprochenen Black-Box jedenfalls eingeräumt zu werden?
5) Wird durch die Bestimmung des Art. 15 Abs. 4 Datenschutz-Grundverordnung (DS-GVO) in irgendeiner Weise der Umfang der gemäß Art. 15 Abs. 1 lit. h Datenschutz-Grundverordnung zu erteilenden Auskunft beschränkt.
Kommentar schreiben