GA Pikamäe: Die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer Person, einen Kredit zu bedienen, ist ein Profiling im Sinne der DSGVO

GA Pikamäe, Schlussanträge vom 16. 3. 2023 – Rs. C-634/21; OQ gegen Land Hessen; ECLI:EU:C:2023:220;

Der GA schlägt em Gerichtshof vor, die Vorlagefragen des Verwaltungsgerichts Wiesbaden (Deutschland) wie folgt zu beantworten:

1.      Art. 22 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung darstellt, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte nach ständiger Praxis diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt.

2.      Art. 6 Abs. 1 und Art. 22 der Verordnung 2016/679 sind dahin auszulegen, dass sie nationalen Rechtsvorschriften über das Profiling nicht entgegenstehen, wenn es sich um ein anderes Profiling als das in Art. 22 Abs. 1 dieser Verordnung vorgesehene handelt. In diesem Fall müssen die nationalen Rechtsvorschriften jedoch die Anforderungen von Art. 6 dieser Verordnung erfüllen. Insbesondere müssen sie sich auf eine geeignete Rechtsgrundlage stützen, was zu prüfen Sache des vorlegenden Gerichts ist.

Der GA hat ferner in den verb. Rs. C-26/22 u. C-64/22; UF (C-26/22), AB (C-64/22) gegen Land Hessen, ECLI:EU:C:2023:222 einen Vorschlag ausgearbeitet:

Der GA schlägt dem Gerichtshof vor, die Vorlagefragen des Verwaltungsgerichts Wiesbaden (Deutschland) wie folgt zu beantworten:

1.      Art. 78 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass sich aus dieser Bestimmung ergibt, dass ein rechtsverbindlicher Beschluss einer Aufsichtsbehörde einer umfassenden gerichtlichen Kontrolle in der Sache unterliegt.

2.      Art. 6 Abs. 1 Unterabs. 1 Buchst. f der Verordnung 2016/679 ist dahin auszulegen, dass er einer Speicherung personenbezogener Daten aus einem öffentlichen Register, wie den „nationalen Datenbanken“ im Sinne von Art. 79 Abs. 4 und 5 der Verordnung (EU) 2015/848 des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren, durch eine private Wirtschaftsauskunftei über einen Zeitraum, der über denjenigen hinausgeht, in dem die Daten im öffentlichen Register gespeichert werden, entgegensteht. Es ist Sache des vorlegenden Gerichts, zu prüfen, ob die Speicherung der Daten während des für das öffentliche Register zulässigen Zeitraums die Voraussetzungen von Art. 6 Abs. 1 Unterabs. 1 Buchst. f der Verordnung 2016/679 erfüllt.

3.      Art. 17 Abs. 1 Buchst. d der Verordnung 2016/679 ist dahin auszulegen, dass die betroffene Person das Recht hat, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, wenn diese Daten gemäß Art. 6 Abs. 1 dieser Verordnung unrechtmäßig verarbeitet worden sind. Art. 17 Abs. 1 Buchst. c der Verordnung 2016/679 ist dahin auszulegen, dass die betroffene Person grundsätzlich das Recht hat, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, wenn sie gemäß Art. 21 Abs. 1 dieser Verordnung Widerspruch gegen die Verarbeitung einlegt. Es ist Sache des vorlegenden Gerichts, zu prüfen, ob es ausnahmsweise vorrangige berechtigte Gründe für die Verarbeitung gibt.

4.      Art. 40 Abs. 2 und 5 der Verordnung 2016/679 ist dahin auszulegen, dass Verhaltensregeln, die gemäß diesen Bestimmungen ausgearbeitet und gegebenenfalls von der Aufsichtsbehörde genehmigt werden, die Bedingungen für eine rechtmäßige Verarbeitung personenbezogener Daten, die von den in Art. 6 Abs. 1 dieser Verordnung festgelegten Bedingungen abweichen, nicht rechtlich verbindlich festlegen können.

(Schlussanträge)