Hintergrund: Das EuGH-Urteil zu automatisierten Entscheidungen
Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 27. Februar 2025 (C-203/22) klargestellt, welche Informationspflichten Unternehmen bei der automatisierten Entscheidungsfindung – insbesondere beim Scoring – haben. Geklagt hatte eine Person, die von einer Wirtschaftsauskunftei keinen ausreichenden Einblick in die Berechnungsweise ihres Bonitätsscores erhielt. Das Urteil stellt klar: Unternehmen müssen detailliertere und verständlichere Informationen bereitstellen, um den Betroffenen eine effektive Überprüfung der Entscheidung zu ermöglichen.
Für Unternehmen, die auf automatisierte Entscheidungsprozesse setzen, bringt das Urteil erhebliche Änderungen mit sich.
Die wichtigsten Folgen für Unternehmen
1. Mehr Transparenz bei Scoring-Verfahren
Bislang konnten Unternehmen sich oft auf Geschäftsgeheimnisse berufen, um die genaue Berechnungsweise von Scores nicht offenzulegen. Das EuGH-Urteil zieht hier eine klare Grenze:
- Unternehmen müssen detaillierte Informationen zur „involvierten Logik“ der Entscheidungsfindung bereitstellen.
- Die bloße Angabe einer mathematischen Formel reicht nicht aus.
- Betroffene müssen nachvollziehen können, wie ihre Daten verarbeitet wurden und welche Faktoren für das Scoring ausschlaggebend waren.
Das bedeutet: Unternehmen müssen ihre Algorithmen transparenter machen, ohne dabei Geschäftsgeheimnisse zu gefährden. Eine pauschale Weigerung, Auskunft zu erteilen, ist nicht mehr zulässig.
2. Offenlegung relevanter Parameter – ohne Geschäftsgeheimnisse zu verletzen
Ein zentraler Punkt des Urteils ist die Abwägung zwischen dem Schutz von Geschäftsgeheimnissen und dem Auskunftsrecht betroffener Personen. Unternehmen dürfen weiterhin Geschäftsgeheimnisse schützen, müssen aber zumindest grundlegende Informationen offenlegen. Dazu gehören:
- Welche Kategorien von Daten einfließen (z. B. Wohnort, Alter, bisherige Zahlungshistorie).
- Wie stark einzelne Faktoren das Ergebnis beeinflussen.
- Warum eine bestimmte Entscheidung getroffen wurde.
Falls die vollständige Offenlegung sensible Geschäftsgeheimnisse betrifft, können Unternehmen die Informationen an eine Aufsichtsbehörde oder ein Gericht übermitteln, die dann die Abwägung zwischen Datenschutz und Geheimnisschutz vornehmen.
3. Neue Anforderungen an die interne Dokumentation
Unternehmen müssen ihre Scoring- und Profiling-Verfahren jetzt noch genauer dokumentieren. Besonders wichtig ist:
- Eine nachvollziehbare Beschreibung der Berechnungsmethode.
- Festhalten, welche Datenquellen genutzt werden.
- Sicherstellen, dass die Ergebnisse der Entscheidung überprüfbar sind.
Diese Dokumentation muss so aufgebaut sein, dass sie bei einer Anfrage durch betroffene Personen oder Datenschutzbehörden eine transparente Erklärung ermöglicht.
4. Höheres Risiko für Datenschutzbeschwerden und Bußgelder
Das Urteil stärkt die Position von Verbrauchern und macht es wahrscheinlicher, dass Betroffene ihre Rechte einfordern. Unternehmen, die nicht transparent genug sind, riskieren Beschwerden bei Datenschutzbehörden und mögliche Bußgelder. Die DSGVO sieht für Verstöße gegen die Informationspflichten Geldstrafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor.
5. Praktische Umsetzung: Was Unternehmen jetzt tun sollten
a) Bestehende Scoring-Modelle überprüfen
Unternehmen sollten ihre aktuellen Scoring-Modelle daraufhin überprüfen, ob sie den neuen Transparenzanforderungen entsprechen. Falls nicht, sind Anpassungen erforderlich.
b) Informationsmaterial überarbeiten
Betroffene müssen verständliche und präzise Informationen erhalten. Unternehmen sollten ihre bisherigen Auskunftsformulare und Datenschutzhinweise entsprechend überarbeiten.
c) Prozesse für Auskunftsanfragen optimieren
Ein klar strukturierter Prozess für Auskunftsanfragen hilft, schnell und DSGVO-konform zu reagieren. Dazu gehören:
- Einheitliche Vorlagen für Antwortschreiben.
- Schulungen für Mitarbeiter im Kundenservice.
- Mechanismen, um Informationen verständlich und zeitnah bereitzustellen.
d) Zusammenarbeit mit Datenschutzbehörden vorbereiten
Falls ein Unternehmen Informationen aufgrund von Geschäftsgeheimnissen nicht offenlegen möchte, sollte es frühzeitig prüfen, wie eine Zusammenarbeit mit Datenschutzbehörden oder Gerichten ablaufen kann.
Fazit: Unternehmen müssen handeln
Das EuGH-Urteil schafft mehr Klarheit darüber, welche Informationen Unternehmen bei automatisierten Entscheidungen bereitstellen müssen. Während der Schutz von Geschäftsgeheimnissen weiterhin möglich ist, dürfen Unternehmen sich nicht mehr pauschal auf diesen berufen. Die Informationspflichten sind gestiegen – und damit auch das Risiko für Datenschutzverstöße.
Unternehmen sollten jetzt handeln, um ihre Prozesse rechtskonform zu gestalten und Transparenzpflichten effizient zu erfüllen.
