ECLI:EU:C:2026:871

Texto completo

SCHLUSSANTRÄGE DER GENERALANWÄLTIN

LAILA MEDINA

vom 15. Oktober 2026(1)

Rechtssache C‑568/25

Verein für Konsumenteninformation

gegen

Universal Versand GmbH

(Vorabentscheidungsersuchen des Obersten Gerichtshofs, Österreich)

„ Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Fernabsatzgeschäft mit Verbrauchern – Raten- oder Rechnungskauf (,unsichere Zahlung‘) – Beurteilung der Zahlungsausfallswahrscheinlichkeit – Profiling – Automatisierter Entscheidungsprozess – Menschliches Eingreifen “

Einleitung

1. Die vorliegenden Schlussanträge betreffen ein Vorabentscheidungsersuchen des Obersten Gerichtshofs (Österreich) zur Auslegung von Art. 22 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO). Das Ersuchen ist im Rahmen eines Verfahrens ergangen, in dem der Verein für Konsumenteninformation, ein österreichischer Verein, der Verbandsklagen führt (im Folgenden: Verein), gegen die Universal Versand GmbH (im Folgenden: Universal Versand), ein Versandhandelsunternehmen, klagt. Konkret geht es in dem Rechtsstreit um eine Geschäftspraxis von Universal Versand, bei der Kunden die Möglichkeit verwehrt wird, bestimmte sogenannte „unsichere“ Zahlungsarten zu wählen, nämlich „Teilzahlung“ und „auf offene Rechnung“, und zwar auf der Grundlage einer ausschließlich automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit dieser Kunden.

2. In Zeiten der Digitalisierung von Wirtschaft und Gesellschaft verdeutlicht dieser Fall im weiteren Sinne die Probleme, die der zunehmende Einsatz automatisierter Entscheidungsprozesse im Binnenmarkt mit sich bringt. Die Gefahren einer solchen Automatisierung sind seit Langem bekannt. Stanley Kubrick wählte zum Beispiel die Allegorie der Apokalypse-Maschine, um sie anzuprangern (Dr. Seltsam oder: Wie ich lernte, die Bombe zu lieben, 1964). Es war ein pragmatischerer Ansatz, der den Unionsgesetzgeber leitete, als er sich diesem grundlegenden Thema widmete. So verfolgt die DSGVO im Bereich des Schutzes personenbezogener Daten das Ziel, die betroffenen Personen vor den Risiken zu schützen, die mit einer ausschließlich automatisierten Verarbeitung verbunden sind und die u. a. auf der möglichen Unzuverlässigkeit der verarbeiteten Daten und der mangelnden Transparenz dieser Verarbeitung beruhen. Sie können sich u. a. in Form von Diskriminierungen oder in Entscheidungen niederschlagen, die mitunter schwer zu verstehen und anzufechten sind(2).

3. Im vorliegenden Fall wird der Gerichtshof in dem im Ausgangsrechtsstreit in Rede stehenden Kontext des geschäftlichen Verkehrs die Voraussetzungen zu konkretisieren haben, unter denen das in Art. 22 Abs. 1 DSGVO festgelegte Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, geltend gemacht werden kann, sowie den Umfang dieses Schutzes im Hinblick auf eine der in Art. 22 Abs. 2 DSGVO vorgesehenen Ausnahmen von diesem Recht, nämlich den Fall, dass die Entscheidung für den Abschluss oder die Erfüllung des Vertrags erforderlich ist.

Rechtlicher Rahmen

Unionsrecht

4. Im 71. Erwägungsgrund der DSGVO heißt es:

„Die betroffene Person sollte das Recht haben, keiner Entscheidung –was eine Maßnahme einschließen kann – zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrags … ohne jegliches menschliche Eingreifen. Zu einer derartigen Verarbeitung zählt auch das ‚Profiling‘, das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten bezüglich … wirtschaftliche Lage, … Zuverlässigkeit oder Verhalten … der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine auf einer derartigen Verarbeitung, einschließlich des Profilings, beruhende Entscheidungsfindung sollte allerdings erlaubt sein, wenn dies … für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und einem Verantwortlichen erforderlich ist oder wenn die betroffene Person ihre ausdrückliche Einwilligung hierzu erteilt hat. In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Anspruchs auf direktes Eingreifen einer Person, auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung sowie des Rechts auf Anfechtung der Entscheidung. …“

5. Art. 4 („Begriffsbestimmungen“) DSGVO bestimmt:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

…

4. ,Profiling‘ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich … wirtschaftliche Lage, … Zuverlässigkeit, Verhalten … dieser natürlichen Person zu analysieren oder vorherzusagen;

…“

6. In Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) DSGVO heißt es:

„(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (,Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);

…

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (,Datenminimierung‘);

…

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (,Rechenschaftspflicht‘).“

7. Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 DSGVO bestimmt:

„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

…“

8. Art. 22 („Automatisierte Entscheidungen im Einzelfall einschließlich Profiling“) DSGVO sieht vor:

„(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

(2) Absatz 1 gilt nicht, wenn die Entscheidung

a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,

…

c) mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.

(3) In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.

…“

Österreichisches Recht

9. § 28a des Konsumentenschutzgesetzes vom 30. März 1979 (BGBl., 140/1979) in seiner anwendbaren Fassung (BGBl. I, 50/2017), bestimmt:

„Wer im geschäftlichen Verkehr mit Verbrauchern im Zusammenhang mit … Verbraucherkreditverhältnissen … gegen ein gesetzliches Gebot oder Verbot verstößt, … und dadurch jeweils die allgemeinen Interessen der Verbraucher beeinträchtigt, kann … auf Unterlassung geklagt werden.“

Dem Rechtsstreit zugrunde liegender Sachverhalt, Ausgangsverfahren und Vorlagefragen

10. Universal Versand betreibt seinen Versandhandel auf dem österreichischen Markt, wo das Unternehmen monatlich mehrere Zehntausend Bestellungen erhält, von denen etwa 90 % mit einer „unsicheren“ Zahlung abgewickelt werden. Bevor Universal Versand einem Kunden die Möglichkeit einräumt, eine solche Zahlungsart zu nutzen, führt das Unternehmen mittels eines automatisierten Verfahrens eine Prüfung seiner Bonität durch. So kann diese Zahlungsart auf der Grundlage eines internen Verfahrens zur Beurteilung der Zahlungsausfallswahrscheinlichkeit abgelehnt werden, und bei Neukunden wird eine Bonitätsprüfungsanfrage an ein Drittunternehmen weitergeleitet. Ist der fragliche Kunde dort nicht bekannt, wird die Nutzung der „unsicheren“ Zahlungsart abgelehnt. Ist der Kunde dort bekannt, sind drei Szenarien möglich, die jeweils durch eine andere Farbe gekennzeichnet sind. Bei der Farbe Rot wird die „unsichere“ Zahlung automatisch abgelehnt, bei der Farbe Gelb führt ein Mitarbeiter von Universal Versand eine Überprüfung in einer Datenbank durch. Im Fall einer automatischen Ablehnung kann der Kunde eine manuelle Überprüfung der automatisierten Entscheidung verlangen oder diese Entscheidung anfechten.

11. Gegenstand des Ausgangsrechtsstreits ist eine vom Verein eingereichte Verbandsklage, nach dessen Ansicht die in der vorstehenden Nummer der vorliegenden Schlussanträge beschriebene Praxis systematisch gegen Art. 22 DSGVO verstößt. Universal Versand hält dem entgegen, dass Art. 22 DSGVO nicht anwendbar sei, da eine Entscheidung, den betroffenen Kunden die Nutzung einer unsicheren Zahlung nicht zu gestatten, ihnen gegenüber keine rechtliche Wirkung entfalte und sie auch nicht in ähnlicher Weise erheblich beeinträchtige. In jedem Fall sei eine solche Entscheidung für den Abschluss oder die Erfüllung des Vertrags erforderlich, wie in Art. 22 Abs. 2 Buchst. a DSGVO vorgesehen.

12. Das Landesgericht Salzburg (Österreich) wies die Klage des Vereins ab. Die vom Verein beim Oberlandesgericht Linz (Österreich) eingelegte Revision hatte ebenfalls keinen Erfolg. Im Rahmen des vom Verein eingeleiteten Revisionsverfahrens wirft der Oberste Gerichtshof, das vorlegende Gericht, die Frage nach der Auslegung von Art. 22 DSGVO auf.

13. Erstens stellt das vorlegende Gericht die Frage nach der Anwendbarkeit von Art. 22 Abs. 1 DSGVO und insbesondere nach der Auslegung der in dieser Bestimmung vorgesehenen dritten Voraussetzung, die auf die Entfaltung einer rechtlichen Wirkung oder eine in ähnlicher Weise erhebliche Beeinträchtigung der Person abstellt, die von einer auf einer automatisierten Verarbeitung beruhenden Entscheidung betroffen ist. Nach den Ausführungen des vorlegenden Gerichts könnte unter Umständen wie denen des Ausgangsverfahrens angenommen werden, dass eine solche Entscheidung keine Auswirkungen auf die Rechtsstellung des betroffenen Kunden habe und für die Begründung eines Rechtsverhältnisses mit diesem nicht ausschlaggebend sei. Es könnte jedoch auch zum einen argumentiert werden, dass eben diese Entscheidung dafür ausschlaggebend sei, ob und wie ein Vertrag geschlossen oder geändert werden könne, und zum anderen, dass die Wahl bestimmter Zahlungsarten die wirtschaftlichen oder persönlichen Interessen dieses Kunden im Sinne des Urteils SCHUFA Holding u. a. (Scoring) beeinträchtigen könne.

14. Zweitens stellt das vorlegende Gericht fest, dass in dem Fall, dass Art. 22 Abs. 1 DSGVO anwendbar sei, zu prüfen sei, ob die in Art. 22 Abs. 2 Buchst. a vorgesehene Ausnahme zur Anwendung kommen könne. Es wirft die Frage auf, ob es für die Feststellung der Erforderlichkeit von Entscheidungen wie den im Ausgangsverfahren in Rede stehenden auf das Bestehen eines sachlichen Zusammenhangs zwischen der automatisierten Bonitätsprüfung des betroffenen Kunden und dem konkreten Zweck des Kaufvertrags ankommt.

15. Drittens ist das vorlegende Gericht der Ansicht, dass der Wortlaut von Art. 22 Abs. 2 Buchst. a DSGVO nicht eindeutig sei, und es möchte wissen, ob er so auszulegen ist, dass es für die Erfüllung des betreffenden Vertrags auf den Erlass einer „automatisierten Entscheidung“ ankommt, oder auf den Erlass einer Entscheidung als solcher, um zu begründen, dass Art. 22 Abs. 1 keine Anwendung findet.

16. Vor diesem Hintergrund hat der Oberste Gerichtshof beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

1. Ist Art. 22 Abs. 1 DSGVO dahin auszulegen, dass die Entscheidung eines Versandhändlers, die vom Kunden bei seiner Bestellanfrage gewünschte Zahlungsart „Teilzahlung“ oder „auf offene Rechnung“ abzulehnen, sich dem Kunden gegenüber aber bereit zu erklären, die Geschäftsbeziehung entweder mit der Zahlungsart „Kreditkarte“ oder mit der Zahlungsart „PayPal“ einzugehen, die ausschließlich auf einer automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit eines Kunden beruht, die sich daraus ergibt, dass entweder nach einer automatischen Anfrage bei einer Auskunftei von dieser die Rückmeldung erstattet wird, dass der Kunde dort unbekannt ist, oder dass – bei einem bekannten Kunden – ein internes Bonitäts-Scoring zum Ergebnis gelangt, dass der Kunde über keine ausreichende Bonität verfügt, gegenüber dem Kunden „rechtliche Wirkung“ entfaltet oder ihn „in ähnlicher Weise erheblich beeinträchtigt“, sofern durch diese Entscheidung nicht der Auftrag an sich abgelehnt wird, sondern der Kunde nur auf die vom Versandhändler vorgegebenen Zahlungsarten eingeschränkt wird?

Falls die Frage 1. bejaht wird:

2. a) Ist Art. 22 Abs. 2 Buchst. a DSGVO dahin auszulegen, dass es für die Frage, ob eine auf einer automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit des potenziellen Kunden beruhende Entscheidung eines Versandhändlers, wie in Frage 1. beschrieben, für den Abschluss eines Vertrags zwischen dem Kunden und dem Versandhändler „erforderlich“ ist, darauf ankommt, dass zwischen dem Vertragszweck des mit dem Kunden abzuschließenden Vertrags und der Einschätzung der Zahlungsausfallswahrscheinlichkeit des Kunden ein unmittelbarer sachlicher Zusammenhang bestehen muss?

b) Müssen zur Bejahung der Erforderlichkeit nach Art. 22 Abs. 2 Buchst. a DSGVO die erhobenen Datenkategorien entweder für sich oder in ihrer Kombination objektiv dazu geeignet sein, die Zahlungsausfallswahrscheinlichkeit einzuschätzen?

Hat der Versandhändler oder der Kunde zu behaupten und zu beweisen, welche Datenkategorien zum Zweck der Einschätzung der Zahlungsausfallswahrscheinlichkeit konkret erhoben wurden, und dass diese Datenkategorien entweder für sich oder in ihrer Kombination objektiv dazu geeignet sind, die Zahlungsausfallswahrscheinlichkeit einzuschätzen?

Falls die Frage 1. bejaht wird:

3. Ist Art. 22 Abs. 2 Buchst. a DSGVO dahin auszulegen, dass gerade eine Entscheidungsfindung in automatisierter Form des Verantwortlichen für den Abschluss oder die Erfüllung des Vertrags erforderlich ist?

Falls diese Frage bejaht wird:

a) Ist Art. 22 Abs. 2 Buchst. a DSGVO dahin auszulegen, dass es für die Frage, ob eine Entscheidung eines Versandhändlers, wie unter Frage 1. beschrieben, für den Abschluss des Vertrags erforderlich ist, darauf ankommt, ob die automatisierte Entscheidungsfindung betreffend die Gewährung oder Ablehnung der gewünschten Zahlungsart mit vertretbarem Aufwand auch durch Menschen erfolgen kann? Welche Bedeutung haben dafür die Anzahl der beim Versandhändler einlangenden Bestellungen und die typische Erwartung der Kunden im Online-Bestellverfahren, umgehend darüber informiert zu werden, ob die von ihnen gewünschte Zahlungsart vom Versandhändler akzeptiert wird oder nicht?

Würdigung

17. Art. 22 Abs. 1 DSGVO legt ein grundsätzliches Verbot fest, wonach eine betroffene Person das Recht hat, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Von diesem Verbot gibt es Ausnahmen, die in Art. 22 Abs. 2 genannt sind und die vorbehaltlich der Einhaltung der in Art. 22 Abs. 3 und 4 festgelegten Grenzen Anwendung finden. Während die mit dieser Bestimmung verfolgten Hauptziele leicht nachvollziehbar sind, sind die Modalitäten ihrer konkreten Umsetzung hingegen weniger offensichtlich, da einige der in ihr verwendeten Begriffe unbestimmt sind(3).

18. Die Fragen des vorlegenden Gerichts betreffen sowohl die Anwendungsvoraussetzungen des in Art. 22 Abs. 1 DSGVO festgelegten Verbots (erste Frage) als auch eine der Ausnahmen von diesem Verbot, nämlich diejenige in Art. 22 Abs. 2 Buchst. a dieser Verordnung, die auf die Erforderlichkeit einer Entscheidung für den Abschluss oder die Erfüllung eines Vertrags abstellt (zweite und dritte Frage).

Zur Anwendung des in Art. 22 Abs. 1 DSGVO festgelegten Verbots (erste Frage)

19. Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 22 Abs. 1 DSGVO dahin auszulegen ist, dass im Kontext des Versandhandels die Entscheidung, für den Kunden die Möglichkeit auszuschließen, bestimmte Zahlungsarten zu wählen, die ausschließlich auf einer automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit dieses Kunden beruht, diesem Kunden gegenüber rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt.

20. Wie ich bereits in Nr. 17 der vorliegenden Schlussanträge ausgeführt habe, ergibt sich aus dem Wortlaut von Art. 22 Abs. 1 DSGVO, dass die betroffene Person das Recht hat, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Somit müssen drei kumulativ zu erfüllende Voraussetzungen gegeben sein, um die Anwendung des in dieser Bestimmung festgelegten Verbots zu rechtfertigen. Erstens muss die betroffene Person einer „Entscheidung“ unterworfen werden. Zweitens muss diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – [beruhen]“, und drittens muss sie „[der betroffenen Person] gegenüber rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise erheblich“ beeinträchtigen.

21. Die Fragen des vorlegenden Gerichts beziehen sich ausschließlich auf die dritte dieser Voraussetzungen, und es ist daher zu klären, unter welchen Umständen eine Entscheidung wie die im Ausgangsverfahren in Rede stehende der betroffenen Person gegenüber rechtliche Wirkung entfalten oder diese in ähnlicher Weise erheblich beeinträchtigen kann. In Ermangelung eines Verweises auf das nationale Recht der Mitgliedstaaten ist dieser Begriff meines Erachtens ein autonomer Begriff des Unionsrechts, der im gesamten Gebiet der Union entsprechend seinem gewöhnlichen Sinn nach dem gewöhnlichen Sprachgebrauch und unter Berücksichtigung des Zusammenhangs, in dem dieser Begriff verwendet wird, und der mit dieser Bestimmung verfolgten Ziele einheitlich auszulegen ist(4).

22. Was erstens den gewöhnlichen Sinn der verwendeten Begriffe betrifft, weise ich darauf hin, dass die in Art. 22 Abs. 1 DSGVO genannte dritte Voraussetzung auf zwei eigenständige Fälle abstellt, die durch die Konjunktion „oder“ voneinander abgegrenzt sind. Gemeint sind also Entscheidungen, die gegenüber einer Person „rechtliche Wirkung“ entfalten können oder alternativ diese Person „in ähnlicher Weise erheblich“ beeinträchtigen können. Es reicht aus, dass einer dieser beiden Fälle vorliegt, damit das Verbot Anwendung findet.

23. Was den ersten Fall angeht, nämlich den, dass eine Entscheidung „rechtliche Wirkung“ entfaltet, so ist meiner Ansicht nach damit gemeint, dass diese Entscheidung geeignet sein muss, die Rechte oder Pflichten einer Person in ihrem Inhalt oder ihrer Ausübung zu ändern.

24. Was den zweiten Fall anbelangt, so kommt es in erster Linie auf die Beeinträchtigung der betroffenen Person an, was bedeutet, dass die fragliche Entscheidung konkrete und nicht nur abstrakte Auswirkungen auf die Situation dieser Person haben muss. Darüber hinaus muss der „erheblich[e]“ Charakter dieser Auswirkungen über die Rechtssphäre hinaus berücksichtigt werden. Während der Sinn dieses Wortes in der französischen Sprache („significatif“) mehrdeutig ist, ist er in den anderen Sprachfassungen der DSGVO eindeutig, beispielsweise im Englischen („significantly“), im Spanischen („significativamente“) oder im Lettischen („ievērojami“), wo er auf die Bedeutung des Begriffs hinweist, den er näher bestimmt(5). Die Auswirkungen der fraglichen Entscheidung müssen daher eine bestimmte Schwelle erreichen, um den durch Art. 22 Abs. 1 DSGVO gewährten Schutz auszulösen, was lediglich nebensächliche oder marginale Auswirkungen ausschließt. Schließlich präzisiert der gewählte Wortlaut neben diesem quantitativen Aspekt, dass die betroffene Person „in ähnlicher Weise“ beeinträchtigt sein muss, wodurch hinsichtlich der Auswirkungen einer solchen Entscheidung auf die Situation der betroffenen Person ein Vergleichsmaßstab zum Kriterium der „rechtliche[n] Wirkung“ eingeführt wird. Die Auswirkungen der Entscheidung müssen somit zumindest denen ähnlich sein, die sich aus der Änderung oder Aufhebung eines Rechts oder einer Pflicht ergeben würden(6).

25. Was zweitens den Zusammenhang betrifft, so nennt der 71. Erwägungsgrund der DSGVO konkrete Beispiele für Situationen, in denen davon auszugehen ist, dass eine Entscheidung rechtliche Wirkung für eine Person entfaltet oder sie erheblich beeinträchtigt, ohne dabei zwischen diesen beiden Arten von Auswirkungen zu unterscheiden. Die beiden genannten Situationen sind die automatische Ablehnung eines Online-Kreditantrags und Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen.

26. Was schließlich drittens die Zwecke der DSGVO betrifft, so besteht ihr Ziel insbesondere darin, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen zu gewährleisten, und zwar insbesondere ihres in Art. 16 AEUV gewährleisteten Rechts auf Schutz der personenbezogenen Daten, das in Art. 8 der Charta der Grundrechte der Europäischen Union als Grundrecht verankert ist(7). Diese Aspekte werden im ersten Erwägungsgrund der DSGVO erwähnt.

27. Vor dem Hintergrund der vorstehenden Ausführungen ist zu prüfen, ob Umstände wie die vom vorlegenden Gericht beschriebenen, nämlich die Verweigerung der Nutzung bestimmter Zahlungsarten gegenüber einem Kunden infolge einer automatisierten Prüfung seiner Bonität, geeignet sind, entweder die Rechte oder Pflichten dieses Kunden unmittelbar zu ändern oder sich so konkret und wesentlich auf seine Situation auszuwirken, dass diese Auswirkungen einer solchen Änderung vergleichbar sind. Insoweit hat der Gerichtshof bereits in seinem Urteil SCHUFA Holding u. a. (Scoring) festgestellt, dass eine natürliche Person zumindest in ähnlicher Weise wie bei der Entfaltung einer rechtlichen Wirkung erheblich beeinträchtigt ist, wenn die automatisierte Erstellung eines auf der Analyse ihrer personenbezogenen Daten gestützten Wahrscheinlichkeitswerts fast systematisch dazu führt, dass eine Bank ihr die Gewährung eines Kredits verweigert(8).

28. In diesem Zusammenhang stellt sich die Frage, ob im vorliegenden Fall die Verweigerung der Nutzung bestimmter Zahlungsarten gegenüber einem Verbraucher für diesen ähnliche oder vergleichbare Auswirkungen hat wie die Verweigerung der Gewährung eines Kredits. Zwar ist es Aufgabe des vorlegenden Gerichts, die konkreten Auswirkungen einer solchen Verweigerung im rechtlichen und tatsächlichen Kontext des vor ihm anhängigen Rechtsstreits zu beurteilen, doch hat der Gerichtshof dem vorlegenden Gericht alle erforderlichen Hinweise zu geben, um es bei dieser Beurteilung zu leiten(9).

29. Daher stellt sich insbesondere die Frage, ob die rechtlichen Umstände des vorliegenden Falles mit denen vergleichbar sind, die dem Urteil SCHUFA Holding u. a. (Scoring) zugrunde lagen, was die Anwendung der daraus gewonnenen Erkenntnisse auf Verträge wie die im Ausgangsverfahren in Rede stehenden rechtfertigen würde. Insoweit regelt auf Unionsebene die Richtlinie 2008/48/EG(10) gerade Verbraucherkreditverträge. Nach Art. 2 Abs. 2 Buchst. f dieser Richtlinie(11) und unter Berücksichtigung der dem Gerichtshof vorliegenden Angaben in der Akte könnte diese Richtlinie Verträge wie die im Ausgangsverfahren in Rede stehenden von ihrem Anwendungsbereich ausschließen, so dass keine direkte Analogie zwischen den in Rede stehenden Verträgen und Verbraucherkreditverträgen, die denjenigen vergleichbar sind, um die es im Urteil SCHUFA Holding u. a. (Scoring) ging, hergestellt werden könnte.

30. Es ist jedoch noch einmal zu betonen, dass die Richtlinie (EU) 2023/2225(12), die rationae temporis auf den Ausgangsrechtsstreit keine Anwendung findet(13), in ihrem 15. Erwägungsgrund klarstellt, dass sich unter der Geltung der Richtlinie 2008/48 eine Reihe von Mitgliedstaaten entschieden haben, diese letztgenannte Richtlinie auf Bereiche außerhalb ihres Anwendungsbereichs anzuwenden, um das Verbraucherschutzniveau zu erhöhen. Daher stand es der Republik Österreich frei, im maßgeblichen Zeitraum davon auszugehen, dass Verträge wie die im Ausgangsverfahren in Rede stehenden in den Anwendungsbereich der Richtlinie 2008/48 fielen und mit den Kreditverträgen vergleichbar seien, um die es im Urteil SCHUFA Holding u. a. (Scoring) ging. Jedenfalls war die Republik Österreich durch nichts daran gehindert, Verträge mit unsicheren Zahlungen als Kreditverträge einzustufen. Die Erkenntnisse aus dem Urteil SCHUFA Holding u. a. (Scoring) sind damit entsprechend anwendbar.

31. Selbst wenn dies nicht der Fall wäre, kann die Unmöglichkeit, bestimmte Zahlungsarten zu nutzen, die auf eine Entscheidung zurückzuführen ist, die auf einer vollständig automatisierten Bonitätsprüfung potenzieller Kunden beruht, diesen Kunden die Möglichkeit nehmen, einen Kaufvertrag abzuschließen, wenn sie nicht in der Lage sind, den Kaufpreis unmittelbar bei Vertragsschluss unter Verwendung der ihnen faktisch auferlegten Zahlungsarten zu begleichen. In einem solchen Fall befänden sich diese Kunden in einer Situation, die derjenigen in der Rechtssache vergleichbar wäre, die dem Urteil SCHUFA Holding u. a. (Scoring) zugrunde lag, da sie der Ablehnung eines Kreditantrags vergleichbar ist und potenziell die Unmöglichkeit des Vertragsschlusses zur Folge hat.

32. Angesichts der vorstehenden Ausführungen schlage ich vor, auf die erste Vorlagefrage zu antworten, dass Art. 22 Abs. 1 DSGVO dahin auszulegen ist, dass im Kontext des Versandhandels die Entscheidung, für den Kunden die Möglichkeit auszuschließen, bestimmte Zahlungsarten zu wählen, die ausschließlich auf einer automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit dieses Kunden beruht, diesem Kunden gegenüber rechtliche Wirkung entfaltet oder ihn zumindest in ähnlicher Weise erheblich beeinträchtigt, wenn sie geeignet ist, den Abschluss des betreffenden Kaufvertrags zu verhindern.

Zur Anwendung der in Art. 22 Abs. 2 Buchst. a DSGVO vorgesehenen Ausnahme (zweite und dritte Frage)

33. Die zweite und die dritte Frage betreffen die Voraussetzungen, unter denen eine ausschließlich auf einer automatisierten Verarbeitung beruhende Einzelfallentscheidung auf der Grundlage der in Art. 22 Abs. 2 Buchst. a DSGVO vorgesehenen Ausnahme, die auf die Erforderlichkeit für den Abschluss oder die Erfüllung eines Vertrags abstellt, getroffen werden kann. Genauer gesagt bezieht sich die zweite Frage auf die Beurteilung des „erforderlich[en]“ Charakters einer solchen Entscheidung, und mit der dritten Frage soll geklärt werden, ob es für die Feststellung dieses „erforderlich[en]“ Charakters lediglich auf den Erlass einer Entscheidung als solcher oder nur auf den Erlass einer auf einer automatisierten Verarbeitung personenbezogener Daten beruhenden Entscheidung ankommt.

34. Vorab erscheint es sinnvoll, zuerst den Kontext zu erläutern, in dem sich diese Fragen stellen. Das in Art. 22 Abs. 1 DSGVO festgelegte Verbot trägt zur Verwirklichung des allgemeinen Ziels des Schutzes personenbezogener Daten von natürlichen Personen bei, das mit der DSGVO verfolgt wird und auf das ich bereits in Nr. 26 der vorliegenden Schlussanträge eingegangen bin. Die sich aus Art. 22 Abs. 2 DSGVO ergebende Möglichkeit, gegebenenfalls eine Entscheidung wie die hier in Rede stehende zu treffen, stellt im Wesentlichen eine Ausnahme von diesem Verbot dar und ist daher, wie jede Ausnahme, eng auszulegen(14).

35. Zweitens macht Universal Versand geltend, dass der Einsatz automatisierter Entscheidungen im vorliegenden Fall in erster Linie den Verbrauchern zugutekomme, da diese so eine nahezu umgehende Antwort dazu erhalten könnten, welche Zahlungsarten ihnen zur Verfügung stünden, wozu gegebenenfalls auch unsichere Zahlungsarten gehören könnten. Zwar erkenne ich den Vorteil einer positiven Entscheidung, doch ist dieser weniger offensichtlich, wenn die Entscheidung negativ ausfällt. Der vorliegende Fall wirft somit die Frage auf, wie die wirtschaftlichen Interessen der Unternehmen – und auch die bestimmter Verbraucher – mit dem Schutz personenbezogener Daten in Einklang gebracht werden können.

Zur zweiten Frage

36. Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 22 Abs. 2 Buchst. a DSGVO dahin auszulegen ist, dass beim Abschluss eines Vertrags zwischen einem Versandhandelsunternehmen und einem Kunden zum einen ein sachlicher Zusammenhang zwischen dem Gegenstand dieses Vertrags und der automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit des Kunden festgestellt werden muss, um bejahen zu können, dass eine solche automatisierte Einschätzung für die Erfüllung des genannten Vertrags erforderlich ist, und zum anderen die erhobenen Daten objektiv geeignet sein müssen, um diese Einschätzung durchzuführen, sowie konkret angegeben werden muss, um welche Daten es sich handelte und warum sie erhoben wurden. Insoweit wirft das vorlegende Gericht die Frage auf, ob die Beweislast beim Versandhandelsunternehmen oder beim Kunden liegt.

– Zur Frage, ob eine automatisierte Verarbeitung von Daten „für die Erfüllung eines Vertrags erforderlich“ sein muss

37. Art. 22 Abs. 2 Buchst. a DSGVO sieht eine der Ausnahmen von der Anwendung von Art. 22 Abs. 1 vor, aus der sich die Möglichkeit ergeben kann, eine ausschließlich auf einer automatisierten Verarbeitung von personenbezogenen Daten beruhende Entscheidung im Einzelfall zu treffen. Die Erforderlichkeit der Entscheidung für den Abschluss oder die Erfüllung eines Vertrags rechtfertigt diese Ausnahme, und das vorlegende Gericht wirft die Frage auf, ob es für die Beurteilung einer solchen Erforderlichkeit auf das Bestehen eines sachlichen Zusammenhangs zwischen dieser Entscheidung und dem Gegenstand des betreffenden Vertrags ankommt.

38. Hinsichtlich der Formulierung, dass eine automatisierte Entscheidung „für den Abschluss oder die Erfüllung eines Vertrags erforderlich“ ist, wird in der DSGVO nicht auf das nationale Recht der Mitgliedstaaten verwiesen, um ihre Bedeutung festzulegen. Folglich ist in Anwendung der in Nr. 21 der vorliegenden Schlussanträge angeführten Rechtsprechung zum einen davon auszugehen, dass es sich hierbei um einen autonomen Begriff des Unionsrechts handelt, und zum anderen, dass seine Bedeutung unter Anwendung eben dieser Methode zu bestimmen ist.

39. Erstens hat der Gerichtshof hinsichtlich des gewöhnlichen Wortsinns dieses Begriffs bereits festgestellt, dass sich das Adjektiv „erforderlich“ auf das bezieht, was verlangt wird oder unerlässlich ist, um ein bestimmtes Ziel zu erreichen(15).

40. Was zweitens den Zusammenhang betrifft, legt Kapitel II („Grundsätze“) der DSGVO Pflichten fest, die alle Adressaten der DSGVO einhalten müssen. Der in diesem Kapitel enthaltene Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 Buchst. b bestimmt, dass die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, … erforderlich“ ist. Der Gerichtshof hat festgestellt, dass, damit diese Voraussetzung erfüllt ist, die betreffende Datenverarbeitung objektiv unerlässlich sein muss, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist, was bedeutet, dass der Verantwortliche nachweisen können muss, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte. Er hat klargestellt, dass die Verarbeitung personenbezogener Daten für die ordnungsgemäße Erfüllung des Vertrags wesentlich sein muss und daher keine praktikablen und weniger einschneidenden Alternativen bestehen(16).

41. Die rechtliche Prüfung zur Feststellung, ob eine Datenverarbeitung für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, besteht somit darin, zu untersuchen, ob diese Datenverarbeitung unerlässlich ist, um den Hauptgegenstand der Vertragsleistung zu verwirklichen, und zwar in dem Sinne, dass die vorgesehenen Verpflichtungen ohne sie nicht erfüllt werden könnten. Das bedeutet, dass sichergestellt werden muss, dass keine anderen praktikablen und weniger einschneidenden Alternativen bestehen, um die Daten zu schützen, die diese Verwirklichung ebenfalls ermöglichen könnten.

42. Meiner Ansicht nach lassen sich diese Überlegungen auf die Auslegung von Art. 22 Abs. 2 Buchst. a DSGVO übertragen, da sein Wortlaut, der nahezu identisch mit dem von Art. 6 Abs. 1 Buchst. b dieser Verordnung ist, eine analoge Auslegung des in beiden Bestimmungen verwendeten Begriffs „Erforderlichkeit für die Erfüllung des Vertrags“ rechtfertigt. Da die DSGVO keinerlei Hinweise in dieser Richtung enthält, würde es nämlich ihrer Systematik widersprechen, Begriffe, die dort mit identischem Wortlaut verwendet werden, unterschiedlich auszulegen(17). Im Übrigen stützt die Logik der DSGVO diese Auslegung, da das Kriterium der „Erforderlichkeit für die Erfüllung eines Vertrags“ nicht nach unterschiedlichen Maßstäben geprüft werden darf, je nachdem, ob es dazu dient, entweder die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten (Art. 6 Abs. 1 Buchst. b DSGVO) oder die des Erlasses einer automatisierten Entscheidung im Einzelfall (Art. 22 Abs. 2 Buchst. a DSGVO) zu begründen, auch wenn das Problem, das der Erlass einer solchen Entscheidung im Hinblick auf die DSGVO aufwirft, gerade darin besteht, dass sie ausschließlich auf einer automatisierten Verarbeitung personenbezogener Daten beruht(18).

43. Drittens stützen die mit der DSGVO verfolgten Ziele, auf die bereits in Nr. 26 der vorliegenden Schlussanträge eingegangen wurde, diese Auslegung, die es gestattet, die Möglichkeit einer Ausnahme von dem in Art. 22 Abs. 1 DSGVO festgelegten Verbot automatisierter Entscheidungen im Einzelfall streng zu regeln.

44. Unter Berücksichtigung der in den Nrn. 38 bis 43 der vorliegenden Schlussanträge dargelegten Erwägungen kann der Erlass einer ausschließlich auf einer automatisierten Datenverarbeitung beruhenden Entscheidung im Einzelfall nur dann nach Art. 22 Abs. 2 Buchst. a DSGVO gerechtfertigt sein, wenn er einer rechtlichen Prüfung standhält, die der in Nr. 41 der vorliegenden Schlussanträge beschriebenen Prüfung entspricht. Der erste Schritt dieser Prüfung besteht darin, festzustellen, ob der Erlass einer solchen Entscheidung objektiv unerlässlich ist, um den Hauptgegenstand des Vertrags zu erfüllen. Dieser Schritt besteht somit genau darin, das Bestehen eines notwendigen Zusammenhangs zwischen dieser Entscheidung und der Erfüllung des Vertragsgegenstands zu prüfen. Folglich ist der Nachweis eines unmittelbaren sachlichen Zusammenhangs zwischen dem Gegenstand eines abzuschließenden Vertrags und dem Erlass einer automatisierten Entscheidung im Einzelfall eine unerlässliche Voraussetzung, um die Erforderlichkeit dieser Entscheidung für den Abschluss oder die Erfüllung dieses Vertrags bejahen zu können. Diese notwendige Voraussetzung ist jedoch nicht ausreichend, da auch der zweite Schritt der maßgeblichen Prüfung erfüllt sein muss, der darin besteht, festzustellen, dass keine andere, weniger einschneidende Alternative besteht, um dasselbe Ergebnis zu erzielen.

45. Im vorliegenden Fall ergibt sich aus den Ausführungen des vorlegenden Gerichts, dass Gegenstand der im Ausgangsverfahren in Rede stehenden Verträge die Übertragung des Eigentums an Konsumgütern von einem Versandhandelsunternehmen auf Kunden gegen Zahlung des Preises für die betreffenden Güter ist. Der Zweck des Rückgriffs auf eine Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung personenbezogener Daten beruht, besteht darin, die Bonität dieser Kunden zu überprüfen, um ihnen eine geeignete Zahlungsart anzubieten.

46. Angesichts der vorstehenden Ausführungen könnte man zu dem Schluss gelangen, dass der Erlass einer ausschließlich auf einer automatisierten Verarbeitung personenbezogener Daten beruhenden Entscheidung dem Ziel dient, den Gegenstand eines Vertrags wie des im Ausgangsverfahren in Rede stehenden zu erfüllen. Um dies zu überprüfen, muss jedoch festgestellt werden, dass der Zweck der Bereitstellung einer geeigneten Zahlungsart darin besteht, die ordnungsgemäße Erfüllung dieser Vertragsleistung sicherzustellen(19), und dass es für die Beurteilung dieser Geeignetheit gerade auf die automatisierte Bonitätsprüfung des betreffenden Kunden ankommt, die nicht mit einer weniger einschneidenden Alternative durchgeführt werden könnte. Daraus würde nämlich folgen, dass es für den Abschluss oder die Erfüllung eines solchen Vertrags und damit für die Erfüllung des Vertragsgegenstands gerade auf diese Prüfung ankommt. Es ist jedoch Sache des vorlegenden Gerichts, zum einen zu prüfen, ob dies tatsächlich der Fall ist, und zum anderen, ob eine solche automatisierte Verarbeitung ein geeignetes Mittel zur Erreichung dieses Ziels ist. Das vorlegende Gericht muss seine Beurteilung dabei u. a. auf die Aspekte stützen, die Gegenstand des zweiten Teils der zweiten Vorlagefrage sind.

– Zur Art der erhobenen Daten und zur Beweislastverteilung

47. Das vorlegende Gericht möchte im Wesentlichen wissen, ob beim Erlass einer ausschließlich auf einer automatisierten Verarbeitung personenbezogener Daten beruhenden Entscheidung gemäß Art. 22 Abs. 2 Buchst. a DSGVO die Verarbeitung auf Daten beschränkt sein muss, die objektiv geeignet sind, die Erfüllung des Vertragsgegenstands zu ermöglichen, und ob die Beweislast für diese Geeignetheit beim Verantwortlichen oder bei der betroffenen Person liegt.

48. Was als Erstes die Geeignetheit der Daten betrifft, die für eine automatisierte Verarbeitung im Hinblick auf den Abschluss oder die Erfüllung eines Vertrags ausgewählt wurden, so kann die vom vorlegenden Gericht aufgeworfene Frage angesichts der ihr zugrunde liegenden Erwägungen meines Erachtens offenbar auf zwei Arten ausgelegt werden. Einerseits scheint es, dass das vorlegende Gericht den quantitativen Umfang der Daten geklärt wissen möchte, die Gegenstand einer solchen Verarbeitung sein können. Andererseits könnten die Fragen des vorlegenden Gerichts – eher inhaltlich betrachtet – auch so verstanden werden, dass geklärt werden soll, ob diese Daten geeignet sind, den mit der Verarbeitung verfolgten Zweck zu erreichen.

49. Erstens ist hinsichtlich des quantitativen Umfangs der Daten, die im Rahmen des Erlasses automatisierter Entscheidungen wie derjenigen, die Gegenstand des Ausgangsverfahrens sind, berücksichtigt werden können, zu betonen, dass diese Entscheidungen die in Art. 5 DSGVO festgelegten Grundsätze für die Verarbeitung personenbezogener Daten einhalten müssen, die kumulativ gelten. Zu diesen Grundsätzen gehört der Grundsatz der sogenannten „Datenminimierung“, wonach personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sein müssen(20). Daher „[darf] der Verantwortliche … nicht allgemein und unterschiedslos personenbezogene Daten erheben …[,] und er [muss] von der Erhebung von Daten absehen …, die für die Zwecke der Verarbeitung nicht unbedingt notwendig sind“. Zudem ergibt sich aus Art. 25 DSGVO, dass der Verantwortliche geeignete Maßnahmen treffen muss, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden(21).

50. Aus der Rechtsprechung des Gerichtshofs lässt sich somit ableiten, dass der Verantwortliche nur solche Daten erheben und verwenden darf, die objektiv geeignet und für die Verwirklichung des mit der Verarbeitung personenbezogener Daten verfolgten Zwecks unbedingt erforderlich sind. Folglich obliegt es im Ausgangsverfahren dem vorlegenden Gericht, zu prüfen, ob die erhobenen und verarbeiteten Daten ausnahmslos für die Bonitätsprüfung der betreffenden Kunden unerlässlich sind.

51. Zweitens kann sich hinsichtlich der Geeignetheit der Daten, die Gegenstand einer automatisierten Verarbeitung waren, zur Verwirklichung des mit dieser Verarbeitung verfolgten Zwecks die Frage stellen, ob das Weglassen eines Datenelements oder die Verwendung eines bestimmten Datenelements anstelle eines anderen einen entscheidenden und gegebenenfalls potenziell problematischen Einfluss auf eine auf dieser Verarbeitung beruhende Prüfung haben kann. Die Antwort auf diese Frage ergibt sich ebenfalls aus der Auslegung des Grundsatzes der „Datenminimierung“, da dieser eine qualitative Dimension aufweist, die sich auf die Angemessenheit und Erheblichkeit der verarbeiteten Daten bezieht, d. h. gerade auf ihre Geeignetheit zur Verwirklichung der Zwecke, die diese Verarbeitung gerechtfertigt haben.

52. Abgesehen von diesen allgemeinen Überlegungen ist jedoch festzustellen, dass die DSGVO keine Anhaltspunkte dafür enthält, anhand welcher Kriterien die „Angemessenheit“ und „Erheblichkeit“ eines Datenelements zu beurteilen sind. Insoweit hat der Gerichtshof lediglich klargestellt, dass Daten, wenn sie diese beiden Anforderungen erfüllen, geeignet sind, die Zwecke der betreffenden Verarbeitung zu erreichen, und erst recht, das Ziel dieser Verarbeitung zu verwirklichen(22). Dies erklärt sich meiner Ansicht nach logischerweise durch die sehr große Vielfalt der erfassten Sachverhalte und durch den notwendigen Gestaltungsspielraum, über den die Mitgliedstaaten bei der Anwendung dieser Grundsätze verfügen müssen. Auch wenn die DSGVO dazu bestimmt ist, Fragen zu regeln, die unmittelbar mit der Verarbeitung von Daten zusammenhängen, hängt die Prüfung der Anforderungen der Angemessenheit und Erheblichkeit im Hinblick auf den Zweck der Verarbeitung von der Prüfung anderer sektorspezifischer Vorschriften ab, die den Zusammenhang zwischen den verarbeiteten Daten und dem verfolgten Zweck erläutern oder konkretisieren können.

53. So könnte in einem Fall wie dem des Ausgangsverfahrens die Frage der Beurteilung der Bonität eines Kunden und der Faktoren, die bei der Feststellung der Bonität zu berücksichtigen sind – oder nicht –, beispielsweise entweder unter die Unionsvorschriften über Verbraucherkreditverträge oder unter das nationale Recht fallen, während die allgemeine Beurteilung der Rechtmäßigkeit der Berufung auf diesen Zweck Gegenstand einer Verhältnismäßigkeitsprüfung nach der DSGVO unter Berücksichtigung der einschlägigen spezifischen Vorschriften wäre(23). Im vorliegenden Fall ist es Sache des vorlegenden Gerichts, unter Berücksichtigung des Sachverhalts des Ausgangsrechtsstreits zu prüfen, ob die Daten, die Gegenstand einer automatisierten Prüfung waren, tatsächlich geeignet und angemessen waren, um die Bonität der betreffenden Kunden festzustellen(24), indem es zu diesem Zweck die für die betreffenden Verträge sowie für den Verbraucherschutz geltenden nationalen Vorschriften prüft.

54. Was als Zweites die Beweislast betrifft, ergibt sich aus dem sehr klaren Wortlaut von Art. 5 Abs. 2 DSGVO, dass der Verantwortliche für die Einhaltung der Grundsätze, die in Form von Pflichten in Art. 5 Abs. 1 niedergelegt sind, verantwortlich ist und deren Einhaltung nachweisen können muss. Ferner hat der Gerichtshof im Zusammenhang mit der Anwendung von Art. 6 Abs. 1 Buchst. b DSGVO, dessen Ähnlichkeit mit Art. 22 Abs. 2 Buchst. a dieser Verordnung ich in Nr. 42 der vorliegenden Schlussanträge angesprochen habe, bereits entschieden, dass der Verantwortliche nachweisen können muss, inwiefern der Hauptgegenstand des in Rede stehenden Vertrags ohne die Verarbeitung personenbezogener Daten nicht erfüllt werden könnte(25).

55. Es obliegt daher dem Verantwortlichen, anzugeben, welche Daten erhoben und verarbeitet wurden, und nachzuweisen, dass diese für die Verwirklichung des mit der fraglichen Verarbeitung verfolgten Zwecks erforderlich waren.

56. In Anbetracht dieser Erwägungen schlage ich dem Gerichtshof vor, die zweite Vorlagefrage wie folgt zu beantworten: Art. 22 Abs. 2 Buchst. a DSGVO ist dahin auszulegen, dass beim Abschluss eines Vertrags zwischen einem Versandhandelsunternehmen und einem Kunden zum einen ein sachlicher Zusammenhang zwischen dem Gegenstand dieses Vertrags und der automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit des Kunden festgestellt werden muss, um bejahen zu können, dass eine solche automatisierte Einschätzung für die Erfüllung dieses Vertrags erforderlich ist, und zum anderen die zu diesem Zweck erhobenen Daten objektiv geeignet sein müssen, um diese Einschätzung durchzuführen, und konkret angegeben werden muss, um welche Daten es sich handelte und warum sie erhoben wurden. Die Beweislast hierfür liegt beim Versandhandelsunternehmen.

Zur dritten Frage

57. Mit seiner dritten Frage möchte das vorlegende Gericht im Wesentlichen zum einen wissen, ob für die Anwendbarkeit der in Art. 22 Abs. 2 Buchst. a DSGVO vorgesehenen Ausnahme vom Verbot, eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung zu erlassen, eine „Entscheidung“ oder eine „automatisierte Entscheidung“ für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist, und zum anderen, ob Faktoren wie Zeitersparnis für die Kunden und Kosteneinsparungen für das Unternehmen, das eine solche automatisierte Verarbeitung nutzt, für die Beurteilung der Erforderlichkeit dieser Verarbeitung relevant sind, ebenso wie die Möglichkeit, diese durch eine Verarbeitung zu ersetzen, die mit vertretbarem Aufwand durch Menschen erfolgen kann.

58. Als Erstes stellen die Fragen des vorlegenden Gerichts in erster Linie auf den Wortlaut dieser Bestimmung ab, in der lediglich von einer „Entscheidung“ die Rede ist, die für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist. Aus Gründen, die denen entsprechen, die bereits in den Nrn. 21 und 38 der vorliegenden Schlussanträge erläutert wurden, ist der gewöhnliche Sinn dieses Begriffs unter Berücksichtigung des Zusammenhangs, in dem er verwendet wird, und der mit dieser Bestimmung verfolgten Ziele zu untersuchen.

59. Erstens findet sich im Wortlaut von Art. 22 Abs. 2 Buchst. a DSGVO lediglich der Begriff „Entscheidung“, ohne dass klargestellt wird, dass diese automatisiert sein muss, was den Eindruck erwecken könnte, dass dies nicht der Fall ist. Diesem Begriff ist jedoch der bestimmte Artikel „die“ vorangestellt und nicht der unbestimmte Artikel „eine“, was impliziert, dass die in dieser Bestimmung angesprochene Entscheidung bereits definiert wurde. Folglich kann sich die Nominalgruppe „die Entscheidung“ hier nur auf die „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung“ beziehen, von der in Art. 22 Abs. 1 die Rede ist. Aus dem Wortlaut von Art. 22 Abs. 2 Buchst. a DSGVO ergibt sich somit, dass diese Bestimmung automatisierte Entscheidungen betrifft(26).

60. Zweitens stützt der Zusammenhang, in dem diese Bestimmung steht, diese Auslegung. Denn nach dem Wortlaut des 71. Erwägungsgrundes der DSGVO, der im Wesentlichen geeignet ist, die Auslegung von Art. 22 DSGVO zu erhellen(27), ist es tatsächlich die „auf einer derartigen Verarbeitung, einschließlich des Profilings, beruhende Entscheidungsfindung“, die „erlaubt sein [sollte], wenn dies … für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und einem Verantwortlichen erforderlich ist …“(28).

61. Drittens ist hinsichtlich der mit der DSGVO verfolgten Ziele, auf die ich bereits in den Nrn. 26 und 43 der vorliegenden Schlussanträge eingegangen bin, festzustellen, dass die von mir vorgeschlagene Auslegung des Begriffs „Entscheidung“ im Zusammenhang mit der Auslegung von Art. 22 Abs. 2 Buchst. a DSGVO dazu führt, den Anwendungsbereich der darin vorgesehenen Ausnahme vom Verbot automatisierter Entscheidungen im Einzelfall einzuschränken. Andernfalls würde bereits die Tatsache, dass der Erlass einer Entscheidung (ob automatisiert oder nicht) für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, ausreichen, um die Möglichkeit zu eröffnen, diese auf eine automatisierte Verarbeitung von Daten zu stützen. Die vorstehenden Erwägungen sind meiner Ansicht nach umso stichhaltiger, wenn man sie im Licht des in Nr. 34 der vorliegenden Schlussanträge dargelegten Kontexts sieht, wonach die in Art. 22 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme nur eng ausgelegt werden darf.

62. Im Übrigen teilt die Europäische Kommission mit, dass sie dem Europäischen Parlament und dem Rat der Europäischen Union einen Vorschlag für eine Verordnung vorgelegt hat, der u. a. auf eine Änderung der DSGVO gerichtet ist(29) und der alle Zweifel hinsichtlich der Auslegung des Begriffs „Entscheidung“ im Sinne von Art. 22 Abs. 2 Buchst. a DSGVO ausräumen würde, da in der Verordnung danach ausdrücklich nicht verlangt würde, dass eine Entscheidung nur auf einer ausschließlich automatisierten Verarbeitung beruhen dürfe, um die in der genannten Bestimmung vorgesehene Ausnahmeregelung in Anspruch nehmen zu können. Da dieser Vorschlag jedoch noch nicht in Kraft getreten ist und vom Parlament und vom Rat in seiner jetzigen Form noch nicht einmal gebilligt wurde, kann er für die Auslegung des in Rede stehenden Begriffs keine Bedeutung haben.

63. Was als Zweites die Faktoren betrifft, die bei der Beurteilung der Erforderlichkeit einer automatisierten Entscheidung zu berücksichtigen sind – im vorliegenden Fall insbesondere die Anzahl der Bestellungen, die Unternehmen wie Universal Versand zu bearbeiten haben, sowie die Erwartungen der Kunden hinsichtlich der Schnelligkeit der Leistungserbringung –, muss das vorlegende Gericht anhand der in Nr. 41 beschriebenen rechtlichen Prüfung sowie der in den Nrn. 49 bis 55 der vorliegenden Schlussanträge dargelegten Erwägungen prüfen, ob solche tatsächlichen Umstände geeignet sind, die Erforderlichkeit einer automatisierten Entscheidung zu begründen, und zwar in dem Sinne, dass zum einen die automatisierte Bonitätsprüfung der Kunden unerlässlich ist, um die ordnungsgemäße Erfüllung der betreffenden Verträge sicherzustellen, und dass zum anderen diese Prüfung nicht durch ein menschliches Eingreifen ersetzt werden kann, das eine weniger einschneidende Alternative im Sinne des zweiten Schritts der genannten rechtlichen Prüfung und insbesondere im Sinne des 39. Erwägungsgrundes der DSGVO darstellen würde.

64. Meiner Ansicht nach heißt es in den Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung (EU) 2016/679, angenommen am 3. Oktober 2017, zu Recht, dass ein nationales Gericht beispielsweise zu einem solchen Schluss gelangen könnte, wenn es feststellt, dass ein menschliches Eingreifen aus praktischen Gründen nicht realistisch oder angesichts der Menge der verarbeiteten Daten unmöglich wäre. Dies würde bedeuten, dass der Rückgriff auf eine automatisierte Entscheidung unerlässlich ist, da der zweite Schritt der in Nr. 41 der vorliegenden Schlussanträge beschriebenen rechtlichen Prüfung erfüllt ist. Es obliegt jedoch dem betroffenen Unternehmen, dies nachzuweisen, und die Tatsache, dass eine solche Verarbeitung für die Erfüllung des betreffenden Vertrags lediglich von Nutzen ist, reicht hierfür nicht aus(30).

65. Konkret wäre erstens hinsichtlich des Volumens der zu bearbeitenden Bestellungen und der Schnelligkeit der Antwort an den Kunden bezüglich der von ihm nutzbaren Zahlungsart auf der Grundlage objektiver Faktoren nachzuweisen(31), zum einen, warum die durch das Volumen dieser Bestellungen bedingte Menge der zu verarbeitenden Daten eine automatisierte Verarbeitung als einzige Möglichkeit zulässt, soweit es um die Nutzung einer weniger einschneidenden Alternative geht, und zum anderen, dass der Erhalt einer sofortigen Antwort bezüglich der Zahlungsart ein maßgeblicher Faktor für die Entscheidung des Kunden ist, den fraglichen Vertrag mit dem betreffenden Unternehmen abzuschließen.

66. Zweitens weise ich auch darauf hin, dass für den Fall, dass das vorlegende Gericht der Auffassung sein sollte, dass die im Ausgangsverfahren in Rede stehenden Zahlungsarten nach österreichischem Recht in den Anwendungsbereich der Richtlinie 2008/48 fallen, die Kreditwürdigkeit der Kunden vor Abschluss der streitigen Verträge gemäß Art. 8 dieser Richtlinie bewertet werden müsste. Ebenso wie bei den in der vorstehenden Nummer dieser Schlussanträge angesprochenen Fragen obläge es dann dem betreffenden Unternehmen, anhand objektiver Nachweise darzulegen, warum die automatisierte Verarbeitung nicht durch eine andere praktikable und weniger einschneidende Alternative ersetzt werden kann, um dieser Verpflichtung nachzukommen.

67. In Anbetracht der vorstehenden Ausführungen bin ich der Ansicht, dass auf die dritte Vorlagefrage zu antworten ist, dass Art. 22 Abs. 2 Buchst. a DSGVO dahin auszulegen ist, dass zum einen für die Anwendbarkeit der darin vorgesehenen Ausnahme vom Verbot, eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung zu erlassen, eine automatisierte Entscheidung für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist, und zwar insbesondere in dem Sinne, dass die Nutzung einer weniger einschneidenden Alternative nicht möglich ist, und zum anderen Faktoren wie Zeitersparnis für die Kunden und Kosteneinsparungen für das Unternehmen, das eine solche automatisierte Verarbeitung nutzt, für die Beurteilung der Erforderlichkeit dieser Verarbeitung relevant sein können, wenn sie unter den konkreten Umständen des Einzelfalls diese Erforderlichkeit objektiv belegen können, und zwar insbesondere in dem Sinne, dass keine weniger einschneidende Alternative in Betracht kommt.

I. Ergebnis

68. In Anbetracht der in den vorliegenden Schlussanträgen dargelegten Prüfung schlage ich dem Gerichtshof vor, die Vorlagefragen des Obersten Gerichtshofs (Österreich) wie folgt zu beantworten:

1. Art. 22 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

ist dahin auszulegen, dass

im Kontext des Versandhandels die Entscheidung, für den Kunden die Möglichkeit auszuschließen, bestimmte Zahlungsarten zu wählen, die ausschließlich auf einer automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit dieses Kunden beruht, diesem Kunden gegenüber rechtliche Wirkung entfaltet oder ihn zumindest in ähnlicher Weise erheblich beeinträchtigt, wenn sie geeignet ist, den Abschluss des betreffenden Kaufvertrags zu verhindern.

2. Art. 22 Abs. 2 Buchst. a der Verordnung 2016/679

ist dahin auszulegen, dass

beim Abschluss eines Vertrags zwischen einem Versandhandelsunternehmen und einem Kunden zum einen ein sachlicher Zusammenhang zwischen dem Gegenstand dieses Vertrags und der automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit des Kunden festgestellt werden muss, um bejahen zu können, dass eine solche automatisierte Einschätzung für die Erfüllung dieses Vertrags erforderlich ist, und zum anderen die zu diesem Zweck erhobenen Daten objektiv geeignet sein müssen, um diese Einschätzung durchzuführen, und konkret angegeben werden muss, um welche Daten es sich handelte und warum sie erhoben wurden. Die Beweislast hierfür liegt beim Versandhandelsunternehmen.

3. Art. 22 Abs. 2 Buchst. a der Verordnung 2016/679

ist dahin auszulegen, dass

zum einen für die Anwendbarkeit der darin vorgesehenen Ausnahme vom Verbot, eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung zu erlassen, eine automatisierte Entscheidung für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist, und zwar insbesondere in dem Sinne, dass die Nutzung einer weniger einschneidenden Alternative nicht möglich ist, und zum anderen Faktoren wie Zeitersparnis für die Kunden und Kosteneinsparungen für das Unternehmen, das eine solche automatisierte Verarbeitung nutzt, für die Beurteilung der Erforderlichkeit dieser Verarbeitung relevant sein können, wenn sie unter den konkreten Umständen des Einzelfalls diese Erforderlichkeit objektiv belegen können, und zwar insbesondere in dem Sinne, dass keine weniger einschneidende Alternative in Betracht kommt.

1 Originalsprache: Französisch.

2 Vgl. in diesem Sinne Urteil vom 7. Dezember 2023, SCHUFA Holding u. a. (Scoring) (C 634/21, im Folgenden: Urteil SCHUFA Holding u. a. [Scoring], EU:C:2023:957, Rn. 57 bis 59).

3 Vgl. hierzu Poullet, Y., „Cinq ans après : le RGPD et les défis du profilage à l’heure de l’intelligence artificielle“, Revue des affaires européennes, 2021/I, S. 97 und 98.

4 Vgl. Urteil vom 14. April 2026, Pelham (Begriff „Pastiche“) (C‑590/23, EU:C:2026:290, Rn. 34 und die dort angeführte Rechtsprechung).

5 Insoweit bedeuten diese Überlegungen meines Erachtens jedoch nicht zwangsläufig, dass die Auswirkungen der fraglichen Entscheidung in gewisser Weise „schwerwiegend“ sein müssen, was im Gegensatz zu den Überlegungen steht, die die Datenschutzgruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Art. 29 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) eingesetzt wurde, in den Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung (EU) 2016/679, angenommen am 3. Oktober 2017, zuletzt überarbeitet und angenommen am 6. Februar 2018, angestellt hat (vgl. S. 23). Die Auswirkungen einer Entscheidung können als erheblich angesehen werden, sofern sie für die betroffene Person eine gewisse Bedeutung haben (und zwar wirtschaftlich, sozial, beruflich usw.), ohne jedoch „schwerwiegend“ zu sein, da sich dieser letztere Begriff durch seine negative Konnotation auszeichnet und eine nachteilige Folge oder eine Form der Beeinträchtigung (Schaden, Risiko usw.) nahelegt.

6 Meines Erachtens ergibt sich aus dieser Formulierung, dass unter den in Art. 22 Abs. 1 DSGVO genannten zweiten Fall Situationen fallen könnten wie die Prüfung eines Kreditantrags, die Festsetzung der Höhe einer Versicherungsprämie oder die Übernahme – oder Nichtübernahme – der Kosten für medizinische Behandlungen usw.

7 Vgl. Urteil vom 27. Februar 2025, Dun & Bradstreet Austria u. a. (C‑203/22, EU:C:2025:117, Rn. 51).

8 Vgl. in diesem Sinne Urteil SCHUFA Holding u. a. (Scoring)(Rn. 48 und 49).

9 Vgl. in diesem Sinne Urteil vom 29. Juli 2024, Perle (C‑14/23, EU:C:2024:647, Rn. 49 und die dort angeführte Rechtsprechung).

10 Richtlinie des Europäischen Parlaments und des Rates vom 23. April 2008 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 87/102/EWG des Rates (ABl. 2008, L 133, S. 66, und Berichtigungen ABl. 2009, L 207, S. 14, ABl. 2010, L 199, S. 40, ABl. 2011, L 234, S. 46, und ABl. 2015, L 36, S. 15).

11 „Diese Richtlinie gilt nicht für: … f) zins- und gebührenfreie Kreditverträge und Kreditverträge, nach denen der Kredit binnen drei Monaten zurückzuzahlen ist und bei denen nur geringe Kosten anfallen[.]“

12 Richtlinie des Europäischen Parlaments und des Rates vom 18. Oktober 2023 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 2008/48/EG (ABl. L, 2023/2225).

13 Diese Richtlinie enthält Bestimmungen, die einen wesentlichen Einfluss auf den Einsatz automatisierter Entscheidungen haben können, die in dieser Richtlinie gerade im Zusammenhang mit der obligatorischen Prüfung der Kreditwürdigkeit von Verbrauchern in Art. 18, insbesondere in dessen Abs. 8, geregelt sind. Aus Art. 2 Abs. 2 Buchst. h dieser Richtlinie ergibt sich jedoch, dass sie möglicherweise nicht auf Verträge wie die im Ausgangsrechtsstreit in Rede stehenden anwendbar ist.

14 Vgl. in diesem Sinne und im Zusammenhang mit dem Schutz personenbezogener Daten und den Ausnahmen davon, die nur innerhalb der Grenzen dessen, was unbedingt notwendig ist, Anwendung finden dürfen, Urteile vom 6. Oktober 2020, La Quadrature du Net u. a. (C‑511/18, C‑512/18 und C‑520/18, EU:C:2020:791, Rn. 210 und die dort angeführte Rechtsprechung), und vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 93 und die dort angeführte Rechtsprechung).

15 Urteil vom 14. Dezember 2017, EBMA/Giant (China) (C‑61/16 P, EU:C:2017:968, Rn. 47). In diesem Urteil hat der Gerichtshof im Wesentlichen entschieden, dass nur Informationen, ohne die die Antidumpinguntersuchung nicht zum Abschluss gebracht werden könnte, als „erforderlich“ im Sinne von Art. 18 Abs. 1 der Verordnung (EG) Nr. 1225/2009 des Rates vom 30. November 2009 über den Schutz gegen gedumpte Einfuhren aus nicht zur Europäischen Gemeinschaft gehörenden Ländern (ABl. 2009, L 343, S. 51, und Berichtigung ABl. 2010, L 7, S. 22) angesehen werden können.

16 Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 98 und 99).

17 In Anbetracht der Erfordernisse der Einheit und Kohärenz der Unionsrechtsordnung müssen die für in demselben Bereich erlassene Rechtshandlungen verwendeten Begriffe dieselbe Bedeutung haben, wenn der Unionsgesetzgeber keinen anderen Willen zum Ausdruck gebracht hat (vgl. entsprechend Urteil vom 17. März 2021, Wellcome Trust [C‑459/19, EU:C:2021:209, Rn. 35 und die dort angeführte Rechtsprechung]).

18 So dass davon ausgegangen werden kann, dass diese Entscheidung die genannte Datenverarbeitung umfasst.

19 Im Gegensatz beispielsweise zur Argumentation in den Rn. 39 bis 42 des Urteils vom 9. Januar 2025, Mousse (C‑394/23, EU:C:2025:2), in der der Gerichtshof im Wesentlichen befunden hat, dass die Personalisierung der geschäftlichen Kommunikation anhand der Geschlechtsidentität des betreffenden Kunden nicht erforderlich ist, um gegenüber diesem Kunden eine Schienentransportleistung zu erbringen, da sich das betreffende Unternehmen für eine Kommunikation entscheiden könnte, die auf allgemeinen Höflichkeitsformeln beruht. Im vorliegenden Fall hingegen kann die Fähigkeit des Kunden, die Zahlungen zu leisten, die notwendiger Bestandteil der in Rede stehenden Vertragsleistung sind, deren ordnungsgemäße Erfüllung unmittelbar beeinträchtigen.

20 Urteil vom 4. Oktober 2024, Schrems (Mitteilung von Daten an die breite Öffentlichkeit) (C‑446/21, EU:C:2024:834, Rn. 47 bis 49 und die dort angeführte Rechtsprechung).

21 Urteil vom 4. Oktober 2024, Schrems (Mitteilung von Daten an die breite Öffentlichkeit) (C‑446/21, EU:C:2024:834, Rn. 59 und 60 sowie die dort angeführte Rechtsprechung).

22 Urteil vom 18. Juni 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, Rn. 97).

23 Vgl. entsprechend Urteil vom 7. Dezember 2023, SCHUFA Holding (Restschuldbefreiung) (C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 82 bis 86).

24 Für die Zwecke dieser Beurteilung wäre es u. a. wichtig, festzustellen, ob die betreffenden Daten in einem unmittelbaren sachlichen Zusammenhang mit der Bonitätsprüfung des betreffenden Kunden stehen und ob sie – allein oder in Kombination mit anderen Daten – für diese Prüfung unerlässlich sind, wobei auch die damit verbundenen Risiken für die betroffene Person zu berücksichtigen sind.

25 Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 98).

26 Diese Auslegung wird im Übrigen durch andere Sprachfassungen dieser Bestimmung bestätigt. So ist in der deutschen Fassung von „die Entscheidung“ die Rede, während es in der englischen Fassung „the decision“ heißt.

27 Vgl. entsprechend Urteil vom 5. März 2024, Kočner/Europol (C‑755/21 P, EU:C:2024:202, Rn. 59 und die dort angeführte Rechtsprechung).

28 Hervorhebung nur hier.

29 Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung) (COM[2025] 837 final).

30 Vgl. entsprechend Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 99).

31 Ich denke dabei insbesondere an bezifferte Kosten-Nutzen-Analysen sowie an die finanziellen Auswirkungen der verschiedenen in Betracht kommenden Maßnahmen auf das betreffende Unternehmen und beispielsweise an statistische Untersuchungen.

Schlussanträge der Generalanwältin L. Medina vom 15. Oktober 2026.###

Texto completo

Continue sua pesquisa no ChatGPT ou Claude