Kreditauskunftei - Scoring - Art 22 DSGVO - BVwG: Bonitätsbewertung ohne Auswirkung ist keine automatisierte Entscheidung iSd Art 22

Behörde/Gericht: BVwG
Datum: 19.03.2026
Geschäftszahl: W256 2233303-1

(VwGH-Beschluss: Ra 2026/04/0068-5 vom 13.05.2026 Die Revision wird zurückgewiesen.)

Rechtssatz

Eine automatisierte Bonitätsbewertung durch eine Wirtschaftsauskunftei fällt nicht unter Art. 22 DSGVO und löst kein besonderes Auskunftsrecht nach Art. 15 Abs. 1 lit. h DSGVO aus, wenn sie weder an Dritte weitergegeben wurde noch sonstige Auswirkungen für die betroffene Person hatte.

Sachverhalt

Eine Betroffene forderte von einer Wirtschaftsauskunftei Auskunft nach Art. 15 DSGVO und beschwerte sich, dass die erhaltene Auskunft zur automatisierten Bonitätsbewertung mangelhaft sei.

Die Auskunftei hatte der Betroffenen drei Bonitätswerte (RiskIndicator, Wirtschaftlichkeitsindex, KKE-Score) mittels automatisierter Verarbeitung berechnet, diese aber weder an Dritte weitergegeben noch ansonsten für die Betroffene ausgewirkt.

Die Datenschutzbehörde (DSB) gab der Beschwerde teilweise statt und verpflichtete die Auskunftei, aussagekräftige Informationen über die Logik der Bonitätsbewertung bereitzustellen.

Gegen diese Entscheidung beschwerte sich die Auskunftei beim BVwG und hatte Erfolg.

Rechtliche Begründung

Das BVwG führt aus, dass Art. 15 Abs. 1 lit. h DSGVO ein besonderes Auskunftsrecht über die Logik einer automatisierten Entscheidung nur bei Vorliegen einer Entscheidung nach Art. 22 DSGVO gewährt.

Art. 22 DSGVO setzt voraus, dass eine Entscheidung vorliegt, die ausschließlich auf automatisierter Verarbeitung beruht und die gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt.

Unter Bezug auf die EuGH-Urteile C-634/21 und C-203/22 stellt das Gericht fest, dass eine automatisierte Bonitätsbewertung zwar eine Entscheidung darstellt und automatisiert erfolgt.

Entscheidend ist aber die dritte Voraussetzung:

Eine solche Bewertung muss rechtliche oder erhebliche Beeinträchtigungen für die betroffene Person zur Folge haben.

Im vorliegenden Fall stand fest, dass die Bonitätswerte weder weitergegeben noch sonst wirksam geworden sind. Daher fehlt es an der dritten Voraussetzung des Art. 22 DSGVO und somit auch am Anwendungsbereich des Art. 15 Abs. 1 lit. h DSGVO.

 

Fazit

Das BVwG folgt der EuGH-Rechtsprechung und nimmt eine restriktive Auslegung von Art. 22 DSGVO vor:

Nicht jede automatisierte Bewertung löst die Schutzbestimmungen aus, sondern nur solche, die tatsächlich wirksam werden.

Eine intern errechnete, nicht weitergeleitete und nicht ausgewirkte Bonitätsbewertung fällt deshalb nicht unter Art. 22 DSGVO.

Dies schränkt die Informationspflichten zur Logik solcher Bewertungen erheblich ein und gibt Wirtschaftsauskunfteien mehr Spielraum, interne Bewertungsmethoden bei Personen nicht offenlegen zu müssen, bei denen es zu keinen Weitergaben der Daten gekommen ist

 

Was bedeutet das für Verantwortliche?

Wirtschaftsauskunfteien und andere Datenverantwortliche sollten dokumentieren, ob und inwieweit automatisierte Bewertungen (Scores, Ratings) an Dritte übermittelt wurden oder sonstige Auswirkungen auf betroffene Personen hatten.

Nur wenn eine solche Auswirkung konkret vorliegt, gilt Art. 15 Abs. 1 lit. h DSGVO.

Bei bloß internen Bewertungen, die nicht wirksam werden, kann auf detaillierte Offenlegung der Logik verwiesen werden.

Allerdings sollten Verantwortliche vorsichtig prüfen, ob tatsächlich keine Auswirkung vorliegt – eine nachträgliche Änderung oder Weitergabe könnte zu Haftungsrisiken führen. Im Zweifelsfall ist die transparente Offenlegung der Bewertungslogik der risikoärmere Weg.

 

 

 

Originalentscheidung: https://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Bvwg&Dokumentnummer=BVWGT_20260319_W256_2233303_1_00