Automatische Bonitätsprüfung: Recht auf verständliche Erklärung

Vertrag für zehn Euro abgelehnt

Ein Mobilfunkvertrag für zehn Euro im Monat, und der Anbieter sagt nein, die Bonität reiche nicht. So erging es einer Frau in Österreich. Grundlage war eine automatisierte Bonitätsprüfung der Auskunftei Dun & Bradstreet Austria. Der Europäische Gerichtshof hat dazu am 27. Februar 2025 entschieden (Aktenzeichen C-203/22): Wer von einer solchen Entscheidung betroffen ist, hat Anspruch auf eine Erklärung, die er auch versteht. Eine mathematische Formel reicht dafür nicht, und ein Geschäftsgeheimnis ist kein Grund, jede Auskunft zu verweigern.

Die Frau hatte von der Auskunftei wissen wollen, wie das Ergebnis zustande gekommen war. Die Antwort war ein Score, also einen Punktwert, der die Wahrscheinlichkeit ihres künftigen Zahlungsverhaltens ausdrücken soll. Dazu den Hinweis, bestimmte soziodemografische Daten seien „untereinander gleichwertig gewichtet“ worden. Mehr erfuhr sie nicht. Weitere Angaben verweigerte das Unternehmen unter Berufung auf ein Geschäftsgeheimnis, also auf Wissen, das ein Unternehmen vor der Konkurrenz schützen darf.

Von Wien nach Luxemburg

Die österreichische Datenschutzbehörde verpflichtete die Auskunftei, aussagekräftige Informationen über die Logik der Entscheidung herauszugeben. Das Bundesverwaltungsgericht bestätigte das im Oktober 2019. Die Erläuterungen reichten nicht aus, um nachzuvollziehen, wie der Score ermittelt worden war. Die Auskunftei lieferte trotzdem nichts nach. Als die Frau die Entscheidung vollstrecken lassen wollte, lehnte der Magistrat der Stadt Wien ab: Das Unternehmen sei seiner Pflicht bereits ausreichend nachgekommen.

Das Unternehmen hatte seit dem Urteil keine einzige weitere Auskunft erteilt. Wie es seiner Pflicht damit nachgekommen sein soll, blieb offen. Das Verwaltungsgericht Wien, das über die Sache zu entscheiden hatte, legte sie dem EuGH vor. Es ging um zwei Fragen: was genau eine Auskunftei über eine automatisierte Entscheidung mitteilen muss, und ob ein Geschäftsgeheimnis diese Pflicht aushebeln darf.

Was das Auskunftsrecht verlangt

Die DSGVO gibt jedem das Recht, von einem Unternehmen Auskunft über die eigenen Daten zu verlangen. Das steht in Artikel 15. Bei einer automatisierten Entscheidung, bei der also ein Computer ohne menschliche Prüfung über einen Vertrag oder einen Kredit entscheidet, gehört dazu mehr: aussagekräftige Informationen über die „involvierte Logik“. Um diesen Begriff ging es. Der Gerichtshof versteht ihn als Recht auf Erläuterung. Das Unternehmen muss das Verfahren und die Grundsätze erklären, mit denen es aus den Daten der Person ein Ergebnis wie ein Bonitätsprofil gemacht hat.

Der Zweck ist praktisch. Wer die Gründe einer Entscheidung nicht kennt, kann weder seinen Standpunkt darlegen noch die Entscheidung anfechten. Beides sind Rechte, die die DSGVO Betroffenen bei automatisierten Entscheidungen einräumt. Ohne verständliche Erklärung laufen sie leer.

Formel allein reicht nicht

Wie muss die Erklärung aussehen? Der EuGH setzt bei der Verständlichkeit an. Die Informationen müssen präzise, transparent, verständlich und leicht zugänglich sein. Eine komplexe mathematische Formel, etwa der Algorithmus selbst, erfüllt das nicht. Eine detaillierte Beschreibung jedes einzelnen Rechenschritts ebenso wenig. Beides überfordert Betroffene, statt sie zu informieren. Umgekehrt muss die Auskunftei den Algorithmus auch nicht komplett offenlegen.

Verlangt ist eine Beschreibung, aus der die Person erkennt, welche ihrer Daten auf welche Art verwendet wurden. Der Gerichtshof nennt ein Beispiel, das für Bonitätsprüfungen passt: Es könnte ausreichen, der Person mitzuteilen, in welchem Maße eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte. Also etwa die Angabe, ob ein anderer Wert bei einem bestimmten Merkmal den Score verändert hätte, und wie stark. Mit so einer Information lässt sich etwas anfangen.

Das macht das Urteil auch für KI-Systeme interessant. Ob hinter einer Entscheidung eine einfache Punktetabelle oder ein lernendes Modell steckt, ändert am Anspruch nichts. Der Gerichtshof sagt ausdrücklich, dass die Komplexität der Arbeitsschritte den Verantwortlichen nicht von seiner Erläuterungspflicht befreit. Wer ein System einsetzt, dessen Ergebnisse er nicht erklären kann, hat damit ein eigenes Problem.

Geschäftsgeheimnis als Ausrede

Bleibt das Geschäftsgeheimnis. Der Gerichtshof räumt ein, dass der Datenschutz kein uneingeschränktes Recht ist. Geschäftsgeheimnisse und Rechte Dritter verdienen Schutz. Nur darf das nicht dazu führen, dass die betroffene Person gar keine Auskunft erhält. Im Konfliktfall sind die Interessen gegeneinander abzuwägen, und zwar im Einzelfall.

Diese Abwägung nimmt das Unternehmen nicht selbst vor. Hält es Informationen für geheim, muss es sie der zuständigen Aufsichtsbehörde oder dem Gericht übermitteln. Dort wird entschieden, was die Person erfährt und was nicht. Eine Vorschrift wie die österreichische, die das Auskunftsrecht grundsätzlich ausschloss, sobald ein Geschäftsgeheimnis gefährdet wäre, ist damit nicht anwendbar. Ein Mitgliedstaat darf das Ergebnis dieser Abwägung nicht pauschal vorwegnehmen.

Auskunft nach der Bonitätsprüfung

Für Verbraucher in Deutschland gilt das Urteil genauso, weil die DSGVO in der gesamten EU einheitlich gilt. Wer einen Vertrag, einen Kredit oder eine Ratenzahlung wegen einer automatischen Bonitätsprüfung nicht bekommt, kann von der Auskunftei mehr verlangen als einen Zahlenwert mit Fußnote. Der erste Schritt ist ein Auskunftsersuchen, das ausdrücklich eine Erläuterung verlangt: welche Daten verwendet wurden, auf welche Art, und welche Änderung bei diesen Daten zu einem anderen Ergebnis geführt hätte.

Sinnvoll ist außerdem, nach genau dem Profil zu fragen, das an den ablehnenden Anbieter übermittelt wurde. Im österreichischen Fall hatte die Auskunftei der Frau nämlich eine sehr gute Bonität bescheinigt. Das Profil für den Mobilfunkanbieter vermittelte dagegen den Eindruck, ihr fehle jede Bonität. Der Gerichtshof stellt klar, dass auch dieses Profil erläutert werden muss.

Antwortet das Unternehmen mit einer Formel, mit Fachchinesisch oder mit dem Hinweis auf Geschäftsgeheimnisse, ist das nach dem Urteil keine ausreichende Auskunft. Dann bleibt die Beschwerde bei der Datenschutzaufsicht oder der Weg zum Gericht. Beide müssen die Abwägung vornehmen, wenn die Auskunftei sich auf Geheimhaltung beruft.