HvJ EU, 07-12-2023, nr. C-634/21

Documentgegevens:

ECLI:EU:C:2023:957

Instantie: Hof van Justitie van de Europese Unie
Datum: 07-12-2023
Magistraten: A. Arabadjiev, T. von Danwitz, P.G. Xuereb, A. Kumin, I. Ziemele
Zaaknummer: C-634/21
Conclusie: P. pikamäe
Roepnaam: SCHUFA Holding (Scoring)
Vakgebied(en): EU-recht (V)
Brondocumenten en formele relaties: ECLI:EU:C:2023:957, Uitspraak, Hof van Justitie van de Europese Unie, 07‑12‑2023
ECLI:EU:C:2023:220, Conclusie, Hof van Justitie van de Europese Unie, 16‑03‑2023

Uitspraak 07‑12‑2023

Inhoudsindicatie

Prejudiciële verwijzing — Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens — Verordening (EU) 2016/679 — Artikel 22 — Geautomatiseerde individuele besluitvorming — Kredietinformatiebureaus — Geautomatiseerde vaststelling van een waarschijnlijkheidswaarde voor het vermogen van een persoon om in de toekomst aan zijn betalingsverplichtingen te voldoen (‘scoring’) — Gebruik door derden van deze waarschijnlijkheidswaarde

A. Arabadjiev, T. von Danwitz, P.G. Xuereb, A. Kumin, I. Ziemele

Partij(en)

In zaak C-634/21,*

betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) bij beslissing van 1 oktober 2021, ingekomen bij het Hof op 15 oktober 2021, in de procedure

tegen

Land Hessen,

in tegenwoordigheid van:

SCHUFA Holding AG,

wijst

HET HOF (Eerste kamer),

samengesteld als volgt: A. Arabadjiev, kamerpresident, T. von Danwitz, P. G. Xuereb, A. Kumin (rapporteur) en I. Ziemele, rechters,

advocaat-generaal: P. Pikamäe,

griffier: C. Di Bella, administrateur,

gezien de stukken en na de terechtzitting op 26 januari 2023,

gelet op de opmerkingen van:

—: OQ, vertegenwoordigd door U. Schmidt, Rechtsanwalt,
—: het Land Hessen, vertegenwoordigd door M. Kottmann en G. Ziegenhorn, Rechtsanwälte,
—: SCHUFA Holding AG, vertegenwoordigd door G. Thüsing en U. Wuermeling, Rechtsanwalt,
—: de Duitse regering, vertegenwoordigd door P.-L. Krüger als gemachtigde,
—: de Deense regering, vertegenwoordigd door V. Pasternak Jørgensen, M. Søndahl Wolff en Y. Thyregod Kollberg als gemachtigden,
—: de Portugese regering, vertegenwoordigd door P. Barros da Costa, I. Oliveira, M. J. Ramos en C. Vieira Guerra als gemachtigden,
—: de Finse regering, vertegenwoordigd door M. Pere als gemachtigde,
—: de Europese Commissie, vertegenwoordigd door A. Bouchagiar, F. Erlbacher en H. Kranenborg als gemachtigden,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 16 maart 2023,

het navolgende

Arrest

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 6, lid 1, en artikel 22 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: ‘AVG’).

2

Dit verzoek is ingediend in het kader van een geding tussen OQ en het Land Hessen (deelstaat Hessen, Duitsland) betreffende de weigering van de Hessische Beauftragte für Datenschutz und Informationsfreiheit (toezichthouder voor gegevensbescherming en vrijheid van informatie, deelstaat Hessen, Duitsland; hierna: ‘HBDI’) om SCHUFA Holding AG (hierna: ‘SCHUFA’) te gelasten in te gaan op een verzoek van OQ om inzage en wissing van de haar betreffende persoonsgegevens.

Toepasselijke bepalingen

Unierecht

3

Overweging 71 AVG luidt als volgt:

‘De betrokkene dient het recht te hebben niet te worden onderworpen aan een louter op geautomatiseerde verwerking gebaseerd besluit, dat een maatregel kan behelzen […] over persoonlijke hem betreffende aspecten, waaraan voor hem rechtsgevolgen zijn verbonden of dat hem op vergelijkbare wijze aanmerkelijk treft, zoals de automatische weigering van een online ingediende kredietaanvraag of [de] verwerking van sollicitaties via internet zonder menselijke tussenkomst. Een verwerking van die aard omvat ‘profilering’, wat bestaat in de geautomatiseerde verwerking van persoonsgegevens ter beoordeling van persoonlijke aspecten van een natuurlijke persoon, met name om kenmerken betreffende beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene te analyseren of te voorspellen, wanneer daaraan voor hem rechtsgevolgen zijn verbonden of dat hem op vergelijkbare wijze aanmerkelijk treft. Besluitvorming op basis van een dergelijke verwerking, met inbegrip van profilering, dient echter wel mogelijk te zijn wanneer deze uitdrukkelijk is toegestaan bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is, onder meer ten behoeve van de controle en voorkoming van belastingfraude en -ontduiking overeenkomstig de regelgeving, normen en aanbevelingen van de instellingen van de [Europese] Unie of de nationale met toezicht belaste instanties, en om te zorgen voor de veiligheid en betrouwbaarheid van een dienst die door de verwerkingsverantwoordelijke wordt verleend, of noodzakelijk voor de sluiting of uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke, of wanneer de betrokkene zijn uitdrukkelijke toestemming heeft gegeven. In ieder geval moeten voor dergelijke verwerking passende waarborgen worden geboden, waaronder specifieke informatie aan de betrokkene en het recht op menselijke tussenkomst, om zijn standpunt kenbaar te maken, om uitleg over de na een dergelijke beoordeling genomen besluit te krijgen en om het besluit aan te vechten. Een dergelijke maatregel mag geen betrekking hebben op een kind.

Teneinde een voor de betrokkene behoorlijke en transparante verwerking te garanderen, met inachtneming van de concrete omstandigheden en context waarin de persoonsgegevens worden verwerkt, dient de verwerkingsverantwoordelijke voor de profilering passende wiskundige en statistische procedures te hanteren en technische en organisatorische maatregelen te treffen waarmee factoren die aanleiding geven tot onjuistheden van persoonsgegevens worden gecorrigeerd en het risico op fouten wordt geminimaliseerd, en de persoonsgegevens zodanig te bewaren dat rekening wordt gehouden met de potentiële risico's voor de belangen en rechten van de betrokkene en dient hij onder meer te voorkomen dat zulks voor natuurlijke personen discriminerende gevolgen zou hebben op grond van ras of etnische afkomst, politieke overtuiging, godsdienst of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische of gezondheidsstatus, of seksuele gerichtheid, of dat de verwerking zou leiden tot maatregelen met een vergelijkbaar effect. […]’

4

Artikel 4 (‘Definities’) van die verordening bepaalt:

‘Voor de toepassing van deze verordening wordt verstaan onder:

: […]
4): ‘profilering’: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen;
: […]’

5

Artikel 5 (‘Beginselen inzake verwerking van persoonsgegevens’) van deze verordening bepaalt:

‘1.

Persoonsgegevens moeten:

a): worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‘rechtmatigheid, behoorlijkheid en transparantie’);
b): voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; […] (‘doelbinding’);
c): toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‘minimale gegevensverwerking’);
d): juist zijn en zo nodig worden geactualiseerd; […] (‘juistheid’);
e): worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; […] (‘opslagbeperking’);
f): […] op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is […] (‘integriteit en vertrouwelijkheid’).

2.

De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‘verantwoordingsplicht’).’

6

Artikel 6 (‘Rechtmatigheid van de verwerking’) AVG, bepaalt in de leden 1 en 3:

‘1.

De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

a): de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b): de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c): de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d): de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e): de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f): de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

[…]

3.

De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

a): Unierecht; of
b): lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. […]’

7

In artikel 9 (‘Verwerking van bijzondere categorieën van persoonsgegevens’) van deze verordening is het volgende bepaald:

‘1.

Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.

2.

Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:

a): de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;
: […]
g): de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene;
: […]’

8

De verordening bepaalt in lid 2 van artikel 13 (‘Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld’) het volgende:

‘Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:

: […]
f): het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.’

9

De AVG bepaalt in lid 2 van artikel 14 (‘Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen’) het volgende:

‘Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen:

: […]
g): het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.’

10

Artikel 15 (‘Recht van inzage van de betrokkene’) van deze verordening, bepaalt in lid 1:

‘De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

: […]
h): het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.’

11

Artikel 22 (‘Geautomatiseerde individuele besluitvorming, waaronder profilering’) van diezelfde verordening bepaalt:

‘1.

De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

2.

Lid 1 geldt niet indien het besluit:

a): noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;
b): is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of
c): berust op de uitdrukkelijke toestemming van de betrokkene.

3.

In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

4.

De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.’

12

De AVG bepaalt in lid 1 van artikel 78 (‘Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit’) het volgende:

‘Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.’

Duits recht

13

§ 31 (‘Bescherming van het economisch verkeer in het kader van scoring en informatieverstrekking over kredietwaardigheid’) van het Bundesdatenschutzgesetz (wet betreffende de gegevensbescherming) van 30 juni 2017, (hierna: ‘BDSG’), bepaalt het volgende:

‘(1)

Het gebruik van een waarschijnlijkheidswaarde over een bepaalde toekomstige gedraging van een natuurlijke persoon met het oog op een besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met die persoon (‘scoring’) is alleen toegestaan indien:

1.: de bepalingen van de wetgeving inzake gegevensbescherming in acht zijn genomen,
2.: de voor de berekening van de waarschijnlijkheidswaarde gebruikte gegevens aantoonbaar relevant zijn voor de berekening van de waarschijnlijkheid van de specifieke gedraging, met gebruikmaking van een wetenschappelijk erkende wiskundig-statistische methode,
3.: voor de berekening van de waarschijnlijkheidswaarde niet uitsluitend adresgegevens zijn gebruikt, en
4.: in het geval van gebruik van adresgegevens, de betrokkene vóór de berekening van de waarschijnlijkheidswaarde in kennis is gesteld van het voorgenomen gebruik van deze gegevens; de kennisgeving moet worden gedocumenteerd.

(2)

Het gebruik van een door kredietinformatiebureaus vastgestelde waarschijnlijkheidswaarde voor de solvabiliteit en de betalingsbereidheid van een natuurlijke persoon is, in het geval dat hierbij rekening wordt gehouden met informatie over schuldvorderingen, alleen toegestaan voor zover aan de voorwaarden van lid 1 is voldaan en enkel schuldvorderingen in aanmerking worden genomen die betrekking hebben op een verschuldigde prestatie die nog niet is verricht, ondanks het feit dat deze opeisbaar is geworden, en

l.

die zijn vastgesteld bij een in kracht van gewijsde gegaan of bij voorraad uitvoerbaar verklaard vonnis of waarvoor een schuldakte bestaat overeenkomstig § 794 van de Zivilprozessordnung [(wetboek van burgerlijke rechtsvordering)],

2.

die zijn vastgesteld overeenkomstig § 178 van de Insolvenzordnung [(insolventiewet)] en tijdens de verificatievergadering niet door de schuldenaar zijn betwist,

3.

die de schuldenaar uitdrukkelijk heeft erkend,

4.

waarbij

a): de schuldenaar na het opeisbaar worden van de schuldvordering ten minste tweemaal schriftelijk is gesommeerd,
b): de eerste sommatie ten minste vier weken geleden is geschied,
c): de schuldenaar vooraf, maar op zijn vroegst bij de eerste sommatie, ervan in kennis is gesteld dat een kredietinformatiebureau met de schuldvordering rekening zou kunnen houden, en
d): de schuldenaar de schuldvordering niet heeft betwist, of

5.

waarvan de onderliggende contractuele relatie zonder opzegtermijn kan worden beëindigd wegens achterstallige betaling en waarbij de schuldenaar vooraf ervan op de hoogte is gebracht dat een kredietinformatiebureau met de schuldvordering rekening zou kunnen houden.

De toelaatbaarheid van de verwerking, met inbegrip van de vaststelling van waarschijnlijkheidswaarden, van andere gegevens die relevant zijn voor de kredietwaardigheid op grond van de algemene wetgeving inzake gegevensbescherming, blijft onverlet.’

Hoofdgeding en prejudiciële vragen

14

SCHUFA is een privaatrechtelijke vennootschap naar Duits recht die aan haar contractuele partners informatie verstrekt over de kredietwaardigheid van derden, met name consumenten. Daartoe doet zij op basis van bepaalde kenmerken van een persoon en aan de hand van een wiskundig-statistische methode een voorspelling over de waarschijnlijkheid van diens toekomstig gedrag (‘score’), zoals de terugbetaling van een lening. Het vaststellen van scores is gebaseerd op de veronderstelling dat een soortgelijk gedrag kan worden voorspeld door een persoon in te delen bij een groep van andere personen met vergelijkbare kenmerken die zich op een bepaalde manier hebben gedragen.

15

Uit het verzoek om een prejudiciële beslissing blijkt dat OQ een lening is geweigerd door een derde nadat deze negatieve informatie had ontvangen die door SCHUFA was opgesteld en aan die derde doorgegeven. OQ heeft SCHUFA verzocht om haar informatie te verstrekken over de opgeslagen persoonsgegevens en om de beweerdelijk onjuiste persoonsgegevens te wissen.

16

In antwoord op dit verzoek heeft SCHUFA OQ op de hoogte gebracht van haar scoreniveau en in grote lijnen uiteengezet hoe de scores worden berekend. SCHUFA heeft echter op grond van het zakengeheim geweigerd om mee te delen welke verschillende soorten informatie in de berekening worden opgenomen en hoe deze worden gewogen. Ten slotte heeft SCHUFA aangegeven dat zij zich beperkte tot het verstrekken van informatie aan haar contractuele partners en dat het die partners waren die de eigenlijke contractuele besluiten namen.

17

Bij een op 18 oktober 2018 ingediende klacht heeft OQ de HBDI, de bevoegde toezichthoudende autoriteit, verzocht SCHUFA te gelasten haar verzoek om inzage en wissing van informatie in te willigen.

18

Bij besluit van 3 juni 2020 heeft de HBDI dit verzoek om een bevel afgewezen met de motivering dat niet was bewezen dat SCHUFA niet voldeed aan de vereisten die krachtens § 31 BDSG in het kader van haar activiteiten op haar rusten.

19

OQ heeft krachtens artikel 78, lid 1, AVG tegen dit besluit beroep ingesteld bij het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland), de verwijzende rechter.

20

Volgens die rechter is het voor de beslechting van het bij hem aanhangige geding van belang om te bepalen of de vaststelling van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is, onder geautomatiseerde individuele besluitvorming valt in de zin van artikel 22, lid 1, AVG. Zo dit het geval is, is deze activiteit overeenkomstig artikel 22, lid 2, onder b), van die verordening namelijk slechts rechtmatig indien dit besluit is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is.

21

In dit verband heeft de verwijzende rechter twijfels over het standpunt dat artikel 22, lid 1, AVG niet van toepassing is op activiteiten van ondernemingen zoals SCHUFA. Hij steunt zijn twijfels, vanuit feitelijk oogpunt, op het belang van een waarschijnlijkheidswaarde als deze in het hoofdgeding voor de besluitvormingspraktijk van derden aan wie die waarschijnlijkheidswaarde wordt doorgegeven, en, vanuit juridisch oogpunt, voornamelijk op de door artikel 22, lid 1, AVG nagestreefde doeleinden en de door de AVG gewaarborgde rechtsbescherming.

22

Meer in het bijzonder benadrukt de verwijzende rechter dat de waarschijnlijkheidswaarde normaal gesproken bepaalt of en hoe de derde een overeenkomst met de betrokkene sluit. Artikel 22 AVG heeft juist tot doel personen te beschermen tegen de risico's van puur automatisch genomen besluiten.

23

Zou artikel 22, lid 1, AVG daarentegen aldus worden uitgelegd dat in een geval als in het hoofdgeding alleen het besluit dat door de derde jegens de betrokkene is genomen als ‘geautomatiseerde individuele besluitvorming’ kan worden aangemerkt, dan zou dit leiden tot een lacune in de rechtsbescherming. In de eerste plaats zou een onderneming zoals SCHUFA namelijk niet verplicht zijn om inzage te verlenen van de aanvullende informatie waarop de betrokkene krachtens artikel 15, lid 1, onder h), van die verordening recht heeft, aangezien het niet deze onderneming is die een ‘geautomatiseerd besluit’ neemt in de zin van deze bepaling en dus in de zin van artikel 22, lid 1, van die verordening. In de tweede plaats zou de derde aan wie de waarschijnlijkheidswaarde wordt doorgegeven deze aanvullende informatie niet kunnen verstrekken, aangezien hij daar niet over beschikt.

24

Om een dergelijke leemte in de rechtsbescherming te voorkomen, is het volgens de verwijzende rechter dus noodzakelijk dat de vaststelling van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is, binnen de werkingssfeer van artikel 22, lid 1, AVG valt.

25

Zou een dergelijke uitlegging worden aanvaard, dan zou de rechtmatigheid van deze activiteit afhankelijk zijn van het bestaan van een rechtsgrond in de betrokken lidstaat, overeenkomstig artikel 22, lid 2, onder b), van die verordening. Hoewel in casu § 31 BDSG een dergelijke rechtsgrond kan vormen in Duitsland, bestaan er ernstige twijfels over de verenigbaarheid van die bepaling met artikel 22 AVG daar de Duitse wetgever slechts het ‘gebruik’ van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is, regelt, en niet de vaststelling van die waarde als zodanig.

26

Zou daarentegen de vaststelling van een dergelijke waarschijnlijkheidswaarde geen geautomatiseerd individueel besluit in de zin van artikel 22 AVG vormen, dan zou de openingsclausule van lid 2, onder b), van dit artikel evenmin van toepassing zijn op nationale regelingen betreffende deze activiteit. Gelet op het in beginsel uitputtende karakter van de AVG en bij gebreke van een andere regelgevende bevoegdheid voor dergelijke nationale regelingen, lijkt het erop dat, door aan de vaststelling van waarschijnlijkheidswaarden verdergaande inhoudelijke toelaatbaarheidsvereisten te verbinden, de Duitse wetgever deze materie verder regelt dan op grond van de artikelen 6 en 22 AVG vereist is, zonder daartoe over regelgevende bevoegdheid te beschikken. Zou dit standpunt juist zijn, dan zou dit de toetsingsmogelijkheden van de nationale toezichthoudende autoriteit veranderen, die dan zou moeten beoordelen of de activiteit van kredietinformatiebureaus verenigbaar is met artikel 6 van die verordening.

27

Daarop heeft het Verwaltungsgericht Wiesbaden de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

‘1): Moet artikel 22, lid 1, [AVG] aldus worden uitgelegd dat de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde voor het vermogen van een persoon om in de toekomst een lening af te lossen, reeds een besluit vormt dat uitsluitend op geautomatiseerde verwerking, waaronder profilering, is gebaseerd en waaraan voor de betrokkene rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft, wanneer die waarde, die met behulp van persoonsgegevens van de betrokkene is vastgesteld, door de verwerkingsverantwoordelijke aan een verwerkingsverantwoordelijke derde wordt doorgegeven en die derde zijn besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met de betrokkene hoofdzakelijk op die waarde baseert?
2): Indien de eerste prejudiciële vraag ontkennend moet worden beantwoord:
Moeten artikel 6, lid 1, en artikel 22 [AVG] aldus worden uitgelegd dat zij zich verzetten tegen een nationale regeling op grond waarvan een waarschijnlijkheidswaarde — in casu betreffende de solvabiliteit en betalingsbereidheid van een natuurlijke persoon, met inaanmerkingneming van informatie over vorderingen — voor een bepaalde toekomstige gedraging van een natuurlijke persoon slechts met het oog op het besluit over de totstandbrenging, uitvoering of beëindiging van een contractuele relatie met die persoon (‘scoring’) mag worden gebruikt, indien is voldaan aan bepaalde nadere voorwaarden die in de motivering van de verwijzingsbeslissing nader zijn uiteengezet?’

Ontvankelijkheid van het verzoek om een prejudiciële beslissing

28

SCHUFA betwist de ontvankelijkheid van het verzoek om een prejudiciële beslissing en voert daartoe in de eerste plaats aan dat de verwijzende rechter een besluit van een toezichthoudende autoriteit — zoals de HBDI — op een klacht niet inhoudelijk mag toetsen, aangezien de in artikel 78, lid 1, AVG bedoelde voorziening in rechte tegen een dergelijk besluit er slechts toe strekt te controleren of die autoriteit de krachtens deze verordening op haar rustende verplichtingen — met name die om klachten te behandelen — is nagekomen, met dien verstande dat die toezichthoudende autoriteit over een discretionaire bevoegdheid beschikt om te beslissen of en hoe zij moet handelen.

29

In de tweede plaats stelt SCHUFA dat de verwijzende rechter niet duidelijk aangeeft waarom de gestelde vragen doorslaggevend zijn om het hoofdgeding te beslechten. Het hoofdgeding betreft een verzoek om informatie over een specifieke score en de wissing ervan. In casu is SCHUFA echter haar informatieplicht voldoende nagekomen en heeft zij de score waarop de procedure betrekking had, reeds gewist.

30

In dit verband zij eraan herinnerd dat het volgens vaste rechtspraak van het Hof uitsluitend een zaak is van de nationale rechter aan wie het geschil is voorgelegd en die de verantwoordelijkheid draagt voor de te geven rechterlijke beslissing om, gelet op de bijzonderheden van het geval, zowel de noodzaak van een prejudiciële beslissing voor het wijzen van zijn vonnis als de relevantie van de door hem aan het Hof gestelde vragen te beoordelen. Wanneer de gestelde vragen betrekking hebben op de uitlegging van een Unierechtelijke regel, is het Hof derhalve in beginsel verplicht daarop te antwoorden (arrest van 12 januari 2023, DOBELES HES, C-702/20 en C-17/21, EU:C:2023:1, punt 46 en aldaar aangehaalde rechtspraak).

31

Bijgevolg geldt voor vragen over het Unierecht een vermoeden van relevantie. Het Hof kan slechts weigeren uitspraak te doen op een prejudiciële vraag van een nationale rechterlijke instantie wanneer duidelijk blijkt dat de gevraagde uitlegging van een Unierechtelijke regel geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, of wanneer het vraagstuk van hypothetische aard is of het Hof niet beschikt over de feitelijke en juridische gegevens die noodzakelijk zijn om een nuttig antwoord te geven op de gestelde vragen (arrest van 12 januari 2023, DOBELES HES, C-702/20 en C-17/21, EU:C:2023:1, punt 47 en aldaar aangehaalde rechtspraak).

32

Wat in de eerste plaats de niet-ontvankelijkheidsgrond betreft waarmee wordt aangevoerd dat de door een toezichthoudende autoriteit vastgestelde besluiten op een klacht slechts beperkt mogen worden getoetst, zij eraan herinnerd dat volgens artikel 78, lid 1, AVG iedere natuurlijke persoon of rechtspersoon, onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, het recht heeft om een doeltreffende voorziening in rechte in te stellen tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit.

33

In casu vormt het door de HBDI in zijn hoedanigheid van toezichthoudende autoriteit vastgestelde besluit, een juridisch bindend besluit in de zin van artikel 78, lid 1. Na de gegrondheid van de ingediende klacht te hebben onderzocht, heeft de HBDI daarover uitspraak gedaan en vastgesteld dat de door verzoekster in het hoofdgeding betwiste verwerking van persoonsgegevens rechtmatig was.

34

Wat de omvang betreft van de rechterlijke toetsing van een dergelijk besluit in het kader van een krachtens artikel 78, lid 1, ingesteld beroep, hoeft slechts te worden opgemerkt dat een besluit van een toezichthoudende autoriteit op een klacht onderworpen is aan een volledige rechterlijke toetsing [arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden), C-26/22 en C-64/22, EU:C:2023:XXX, punt 1 van het dictum].

35

De eerste door SCHUFA aangevoerde niet-ontvankelijkheidsgrond moet dus worden afgewezen.

36

In de tweede plaats blijkt uit het verzoek om een prejudiciële beslissing duidelijk dat de verwijzende rechter zich afvraagt welk criterium moet worden toegepast bij de toetsing aan de AVG van de in het hoofdgeding aan de orde zijnde verwerking van persoonsgegevens, waarbij dit criterium afhangt van de vraag of artikel 22, lid 1, van die verordening al dan niet van toepassing is.

37

Bijgevolg blijkt niet duidelijk dat de door de verwijzende rechter gevraagde uitlegging van de AVG geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, noch dat het vraagstuk van hypothetische aard is. Bovendien beschikt het Hof over de feitelijke en juridische gegevens die het nodig heeft om een nuttig antwoord te geven op de gestelde vragen.

38

Bijgevolg moet ook de tweede door SCHUFA aangevoerde niet-ontvankelijkheidsgrond worden afgewezen.

39

Derhalve is het verzoek om een prejudiciële beslissing ontvankelijk.

Beantwoording van de prejudiciële vragen

Eerste vraag

40

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 22, lid 1, AVG aldus moet worden uitgelegd dat er sprake is van ‘geautomatiseerde individuele besluitvorming’ in de zin van deze bepaling wanneer een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, geautomatiseerd wordt vastgesteld door een kredietinformatiebureau en wanneer hoofdzakelijk van die waarschijnlijkheidswaarde afhangt of een derde, aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, met die persoon een contractuele relatie tot stand brengt, uitvoert of beëindigt.

41

Om deze vraag te beantwoorden dient vooraf in herinnering te worden gebracht dat bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met de bewoordingen ervan, maar ook met de context ervan en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt (arrest van 22 juni 2023, Pankki S, C-579/21, EU:C:2023:501, punt 38 en aldaar aangehaalde rechtspraak).

42

Volgens de bewoordingen van artikel 22, lid 1, AVG, heeft de betrokkene het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

43

Deze bepaling is dus slechts van toepassing indien is voldaan aan drie cumulatieve voorwaarden, te weten, ten eerste, dat er een ‘besluit’ bestaat, ten tweede, dat dit besluit ‘uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd’ is, en, ten derde, dat aan dat besluit ‘voor [de betrokkene] rechtsgevolgen’ zijn verbonden of dat het hem ‘anderszins in aanmerkelijke mate treft’.

44

Wat ten eerste de voorwaarde betreft inzake het bestaan van een besluit, zij opgemerkt dat het begrip ‘besluit’ in de zin van artikel 22, lid 1, AVG in deze verordening niet wordt gedefinieerd. Uit de bewoordingen van die bepaling blijkt echter reeds dat dit begrip niet alleen verwijst naar handelingen waaraan rechtsgevolgen zijn verbonden voor de betrokken persoon, maar ook naar handelingen die hem anderszins in aanmerkelijke mate treffen.

45

De ruime strekking van het begrip ‘besluit’ wordt bevestigd door overweging 71 AVG, volgens welke een besluit over persoonlijke aspecten betreffende een persoon, die het recht dient te hebben daar niet aan te worden onderworpen, ‘een maatregel kan behelzen […] waaraan voor hem rechtsgevolgen zijn verbonden’ of ‘hem op vergelijkbare wijze aanmerkelijk [kan treffen]’. Volgens die overweging worden onder de term ‘besluit’ als voorbeelden vermeld, de automatische weigering van een online ingediende kredietaanvraag of de verwerking van sollicitaties via internet zonder menselijke tussenkomst.

46

Daar het begrip ‘besluit’ in de zin van artikel 22, lid 1, AVG aldus — zoals de advocaat-generaal in punt 38 van zijn conclusie heeft opgemerkt — verschillende handelingen kan omvatten die de betrokkene op verschillende manieren kunnen treffen, is dit begrip voldoende ruim om ook te zien op het resultaat van de solvabiliteitsberekening van een persoon in de vorm van een waarschijnlijkheidswaarde die gebaseerd is op het vermogen van die persoon om in de toekomst betalingsverplichtingen na te komen.

47

Wat ten tweede de voorwaarde betreft dat het besluit in de zin van artikel 22, lid 1, ‘uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd’ is, staat het vast, zoals de advocaat-generaal in punt 33 van zijn conclusie heeft opgemerkt, dat een activiteit als die van SCHUFA beantwoordt aan de definitie van het begrip ‘profilering’ in artikel 4, punt 4, AVG en dat in het onderhavige geval dus aan deze voorwaarde is voldaan. De bewoordingen van de eerste prejudiciële vraag verwijzen overigens uitdrukkelijk naar de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde die is gebaseerd op persoonsgegevens van de betrokkene en die betrekking heeft op het vermogen van een persoon om in de toekomst een lening af te lossen.

48

Wat ten derde de voorwaarde betreft dat aan het besluit ‘rechtsgevolgen’ moeten verbonden zijn voor de betrokkene of dat het hem ‘anderszins in aanmerkelijke mate’ moet treffen, blijkt reeds uit de formulering van de eerste prejudiciële vraag dat de handelwijze van de derde aan wie de waarschijnlijkheidswaarde wordt doorgegeven, ‘hoofdzakelijk’ door die waarde wordt bepaald. Volgens de feitelijke vaststellingen van de verwijzende rechter leidt een ontoereikende waarschijnlijkheidswaarde, in geval van een kredietaanvraag van een consument bij een bank, er in bijna alle gevallen toe dat die laatste weigert het gevraagde krediet te verlenen.

49

In die omstandigheden moet worden aangenomen dat ook is voldaan aan de derde toepassingsvoorwaarde van artikel 22, lid 1, AVG, aangezien een waarschijnlijkheidswaarde als die in het hoofdgeding op zijn minst in aanmerkelijke mate gevolgen heeft voor de betrokkene.

50

Hieruit volgt dat in omstandigheden als deze van het hoofdgeding — waarin de door een kredietinformatiebureau vastgestelde waarschijnlijkheidswaarde die aan een bank is doorgegeven een beslissende rol speelt bij het verlenen van een krediet — de vaststelling van die waarde derhalve als zodanig moet worden aangemerkt als een besluit ‘waaraan voor [de betrokkene] rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft’, in de zin van artikel 22, lid 1, AVG.

51

Deze uitlegging wordt bevestigd door de context van artikel 22, lid 1, AVG en door de doelen die met deze verordening worden nagestreefd.

52

In dit verband moet worden opgemerkt dat, zoals de advocaat-generaal in punt 31 van zijn conclusie heeft vastgesteld, artikel 22, lid 1, AVG de betrokkene het ‘recht’ verleent niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit. Die bepaling stelt een fundamenteel verbod in, waarvan de schending niet individueel door een dergelijke betrokkene hoeft te worden aangevoerd.

53

Zoals volgt uit artikel 22, lid 2, AVG, gelezen in samenhang met overweging 71 ervan, is de vaststelling van een besluit dat uitsluitend op geautomatiseerde verwerking is gebaseerd, alleen toegestaan in de gevallen bedoeld in die bepaling, namelijk indien dat besluit noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke [punt a)], indien het is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is [punt b)], of indien het besluit berust op de uitdrukkelijke toestemming van de betrokkene [punt c)].

54

Bovendien bepaalt artikel 22, lid 2, onder b) en lid 3, AVG dat er moet worden voorzien in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene. In de in artikel 22, lid 2, onder a) en c), van deze verordening bedoelde gevallen voorziet de verwerkingsverantwoordelijke ten minste in het recht van de betrokkene op menselijke tussenkomst, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

55

Daarnaast mag overeenkomstig artikel 22, lid 4, AVG geautomatiseerde individuele besluitvorming in de zin van dat artikel 22 slechts in bepaalde specifieke gevallen worden gebaseerd op de in artikel 9, lid 1, van die verordening bedoelde bijzondere categorieën persoonsgegevens.

56

In het geval van geautomatiseerde besluitvorming zoals bedoeld in artikel 22, lid 1, AVG, rusten op de verwerkingsverantwoordelijke bovendien op grond van artikel 13, lid 2, onder f), en artikel 14, lid 2, onder g) van deze verordening aanvullende verplichtingen inzake informatieverstrekking. Voorts heeft de betrokkene krachtens artikel 15, lid 1, onder h), van die verordening het recht om van de verwerkingsverantwoordelijke met name ‘nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene’ te verkrijgen.

57

Deze hogere eisen voor de rechtmatigheid van geautomatiseerde besluitvorming alsmede de aanvullende verplichtingen van de verwerkingsverantwoordelijke inzake informatieverstrekking en het daarmee verband houdende aanvullende recht van inzage van de betrokkene worden verklaard door het doel van artikel 22 AVG, dat erin bestaat personen te beschermen tegen de bijzondere risico's voor hun rechten en vrijheden die met de geautomatiseerde verwerking van persoonsgegevens, met inbegrip van profilering, gepaard gaan.

58

Die verwerking vereist immers, zoals volgt uit overweging 71 AVG, de beoordeling van persoonlijke aspecten van de natuurlijke persoon op wie deze verwerking betrekking heeft, met name om kenmerken betreffende beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene te analyseren of te voorspellen.

59

Volgens die overweging zijn die bijzondere risico's potentiële bedreigingen voor de gerechtvaardigde belangen en de rechten van de betrokkene, met name met betrekking tot de mogelijk discriminerende gevolgen voor natuurlijke personen op grond van ras of etnische afstamming, politieke overtuiging, godsdienst of overtuiging, lidmaatschap van een vakvereniging, genetische status of gezondheidstoestand, of seksuele geaardheid. Daarom moeten, nog steeds volgens diezelfde overweging, passende waarborgen worden geboden en moet aan de betrokkene een behoorlijke en transparante verwerking worden gegarandeerd, in het bijzonder door passende wiskundig-statistische procedures te hanteren voor de profilering en door technische en organisatorische maatregelen te treffen waarmee het risico op fouten wordt geminimaliseerd.

60

De in de punten 42 tot en met 50 van het onderhavige arrest uiteengezette uitlegging, en in het bijzonder de ruime strekking van het begrip ‘besluit’ in de zin van artikel 22, lid 1, AVG, versterkt de in deze bepaling bedoelde effectieve bescherming.

61

Daarentegen zou in omstandigheden als die van het hoofdgeding, waarin drie actoren betrokken zijn, het gevaar bestaan dat artikel 22 AVG wordt omzeild en dat er bijgevolg een leemte ontstaat in de rechtsbescherming indien zou worden gekozen voor een restrictieve uitlegging van deze bepaling, volgens welke de vaststelling van de waarschijnlijkheidswaarde slechts als een voorbereidende handeling moet worden beschouwd en alleen de door de derde partij vastgestelde handeling, in voorkomend geval, als een ‘besluit’ in de zin van artikel 22, lid 1, van deze verordening kan worden aangemerkt.

62

In dat geval zou de vaststelling van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is namelijk ontsnappen aan de specifieke voorschriften van artikel 22, leden 2 tot en met 4, AVG, ook al berust deze procedure op een geautomatiseerde verwerking en heeft zij gevolgen die de betrokkene in aanmerkelijke mate treffen, aangezien de handelwijze van de derde aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, hoofdzakelijk door deze waarde wordt bepaald.

63

Bovendien zou, zoals de advocaat-generaal in punt 48 van zijn conclusie heeft opgemerkt, enerzijds de betrokkene zijn recht van inzage van de in artikel 15, lid 1, onder h), AVG bedoelde specifieke informatie niet kunnen doen gelden bij het kredietinformatiebureau dat de hem betreffende waarschijnlijkheidswaarde vaststelt, wanneer dat bureau geen geautomatiseerde besluitvorming heeft verricht. Anderzijds, gesteld al dat de door de derde vastgestelde handeling onder artikel 22, lid 1, van die verordening zou vallen omdat deze aan de toepassingsvoorwaarden van deze bepaling voldoet, dan nog kan deze derde die specifieke informatie niet verstrekken omdat hij er meestal niet over beschikt.

64

Dat de vaststelling van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is, onder artikel 22, lid 1, AVG valt, heeft — zoals in de punten 53 tot en met 55 van het onderhavige arrest is uiteengezet — tot gevolg dat deze vaststelling verboden is, tenzij een van de in artikel 22, lid 2, van deze verordening bedoelde uitzonderingen van toepassing is en aan de specifieke voorschriften van artikel 22, leden 3 en 4, van die verordening is voldaan.

65

Wat meer in het bijzonder artikel 22, lid 2, onder b), AVG betreft, waarnaar de verwijzende rechter verwijst, blijkt reeds uit de bewoordingen van deze bepaling dat het nationale recht dat de vaststelling van een geautomatiseerd individueel besluit toestaat, moet voorzien in passende maatregelen ter bescherming van de rechten en de vrijheden en van de gerechtvaardigde belangen van de betrokkene.

66

In het licht van overweging 71 AVG moeten dergelijke maatregelen met name de verplichting voor de verwerkingsverantwoordelijke omvatten om passende wiskundige en statistische procedures te hanteren en technische en organisatorische maatregelen te treffen waarmee het risico op fouten wordt geminimaliseerd en onjuistheden worden gecorrigeerd, en de persoonsgegevens zodanig te bewaren dat rekening wordt gehouden met de potentiële risico's voor de belangen en rechten van de betrokkene, en onder meer de discriminerende gevolgen voor deze laatste te voorkomen. Deze maatregelen omvatten bovendien ten minste het recht van de betrokkene op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het jegens hem genomen besluit aan te vechten.

67

Voorts moet nog worden opgemerkt dat volgens vaste rechtspraak van het Hof, elke verwerking van persoonsgegevens in overeenstemming moet zijn met de in artikel 5 AVG verankerde beginselen inzake gegevensverwerking en, in het bijzonder gelet op het in lid 1, onder a), van dat artikel neergelegde beginsel dat de verwerking rechtmatig is, moet beantwoorden aan een van de in artikel 6 van die verordening genoemde voorwaarden inzake de rechtmatigheid van de verwerking (arrest van 20 oktober 2022, Digi, C-77/21, EU:C:2022:805, punt 49 en aldaar aangehaalde rechtspraak). De verwerkingsverantwoordelijke moet de naleving van die beginselen kunnen aantonen overeenkomstig het in artikel 5, lid 2, van de verordening bedoelde verantwoordingsbeginsel (zie in die zin arrest van 20 oktober 2022, Digi, C-77/21, EU:C:2022:805, punt 24).

68

Indien een lidstaatrechtelijke bepaling de vaststelling van een uitsluitend op geautomatiseerde verwerking gebaseerd besluit overeenkomstig artikel 22, lid 2, onder b), AVG toestaat, moet deze verwerking derhalve niet alleen voldoen aan de in laatstgenoemde bepaling en de in artikel 22, lid 4, AVG gestelde voorwaarden, maar ook aan de in de artikelen 5 en 6 AVG gestelde eisen. Bijgevolg kunnen de lidstaten geen regeling op grond van artikel 22, lid 2, onder b), AVG vaststellen die profilering toestaat, zonder dat is voldaan aan de vereisten van die artikelen 5 en 6, zoals uitgelegd in de rechtspraak van het Hof.

69

Wat in het bijzonder de in artikel 6, lid 1, onder a), b) en f), AVG gestelde voorwaarden voor de rechtmatigheid van de verwerking betreft, die van toepassing kunnen zijn in een geval als dat in het hoofdgeding, zijn de lidstaten niet bevoegd om aanvullende voorschriften vast te stellen voor de toepassing van die voorwaarden, aangezien een dergelijke bevoegdheid volgens artikel 6, lid 3, van die verordening beperkt is tot de in artikel 6, lid 1, onder c) en e), genoemde gronden.

70

Wat meer bepaald artikel 6, lid 1, onder f), AVG betreft, mogen de lidstaten bovendien niet op grond van artikel 22, lid 2, onder b), van die verordening afwijken van de vereisten die voortvloeien uit de rechtspraak van het Hof in het arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden) (C-26/22 en C-64/22, EU:C:2023:XXX), met name door de uitkomst van de afweging van de betrokken rechten en belangen definitief vast te stellen (zie in die zin arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 62).

71

In casu wijst de verwijzende rechter erop dat alleen § 31 BDSG een nationale rechtsgrond in de zin van artikel 22, lid 2, onder b), AVG kan vormen. Die rechter koestert echter ernstige twijfels over de verenigbaarheid van dit § 31 BDSG met het Unierecht. Mocht deze bepaling onverenigbaar met het Unierecht worden geacht, dan handelt SCHUFA niet alleen zonder rechtsgrond, maar schendt zij ipso iure het verbod van artikel 22, lid 1, AVG.

72

In dit opzicht staat het aan de verwijzende rechter om te verifiëren of § 31 BDSG kan worden aangemerkt als een rechtsgrond op grond waarvan — krachtens artikel 22, lid 2, onder b), AVG — een uitsluitend op geautomatiseerde verwerking gebaseerd besluit mag worden vastgesteld. Mocht de verwijzende rechter tot de conclusie komen dat § 31 BDSG een dergelijke rechtsgrond vormt, moet hij nog nagaan of in casu is voldaan aan de voorwaarden van artikel 22, lid 2, onder b), en lid 4, AVG en die van de artikelen 5 en 6 AVG.

73

Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 22, lid 1, AVG aldus moet worden uitgelegd dat er sprake is van ‘geautomatiseerde individuele besluitvorming’ in de zin van deze bepaling wanneer een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, geautomatiseerd wordt vastgesteld door een kredietinformatiebureau en wanneer hoofdzakelijk van die waarschijnlijkheidswaarde afhangt of een derde, aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, met die persoon een contractuele relatie tot stand brengt, uitvoert of beëindigt.

Tweede vraag

74

Gelet op het antwoord op de eerste vraag, hoeft de tweede vraag niet te worden beantwoord.

Kosten

75

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Eerste kamer) verklaart voor recht:

Artikel 22, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moet aldus worden uitgelegd dat

er sprake is van ‘geautomatiseerde individuele besluitvorming’ in de zin van deze bepaling wanneer een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, geautomatiseerd wordt vastgesteld door een kredietinformatiebureau en wanneer hoofdzakelijk van die waarschijnlijkheidswaarde afhangt of een derde, aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, met die persoon een contractuele relatie tot stand brengt, uitvoert of beëindigt.

ondertekeningen

Toon alle voetnoten

Voetnoten

Voetnoten Uitspraak 07‑12‑2023

Procestaal: Duits.

Conclusie 16‑03‑2023

Inhoudsindicatie

Prejudiciële verwijzing — Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens — Verordening (EU) 2016/679 — Artikel 6, lid 1 — Rechtmatigheid van de verwerking — Artikel 22 — Geautomatiseerde individuele besluitvorming — Profilering — Particuliere kredietinformatiebureaus — Vaststelling van een waarschijnlijkheidswaarde voor de solvabiliteit van een natuurlijke persoon (scoring) — Doorgifte aan derden die op basis van die waarde besluiten vaststellen over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met die persoon

P. pikamäe

Partij(en)

Zaak C-634/211.

tegen

Land Hessen,

in tegenwoordigheid van:

SCHUFA Holding AG

[verzoek van het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) om een prejudiciële beslissing]

I. Inleiding

1.

Het onderhavige verzoek om een prejudiciële beslissing van het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) op grond van artikel 267 VWEU betreft de uitlegging van artikel 6, lid 1, en artikel 22, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)2. (hierna: ‘AVG’).

2.

Dit verzoek is ingediend in het kader van een geding tussen verzoekster OQ, een natuurlijke persoon, en het Land Hessen (deelstaat Hessen, Duitsland), vertegenwoordigd door de Hessische Beauftragte für Datenschutz und Informationsfreiheit (toezichthouder voor gegevensbescherming en vrijheid van informatie, Hessen; hierna: ‘HBDI’) over de bescherming van persoonsgegevens. SCHUFA Holding AG (hierna: ‘SCHUFA’), een privaatrechtelijke instantie, steunt de HBDI als interveniënte. In het kader van haar economische activiteit, die erin bestaat haar klanten informatie te verstrekken over de kredietwaardigheid van derden, heeft SCHUFA aan een kredietinstelling een score over verzoekster verstrekt op grond waarvan het voor haar aangevraagde krediet werd geweigerd. Verzoekster heeft SCHUFA verzocht het betrokken dossier te wissen en haar inzage in de desbetreffende gegevens te verlenen. SCHUFA heeft haar echter alleen de relevante score meegedeeld, alsmede, in het algemeen, de beginselen die ten grondslag liggen aan de berekeningsmethode daarvan, en haar — met het betoog dat de berekeningsmethode onder het zakengeheim valt — niet in kennis gesteld van de specifieke gegevens voor deze berekening en van de relevantie die daaraan in dit verband wordt toegekend.

3.

Aangezien verzoekster aanvoert dat de afwijzing van haar verzoek door SCHUFA in strijd is met de regeling van gegevensbescherming, zal het Hof zich moeten uitspreken over de beperkingen die de AVG oplegt aan de economische activiteit van inlichtingenbureaus in de financiële sector, met name bij het beheer van gegevens, en over de weerslag die dit kan hebben op het zakengeheim. Evenzo dient het Hof te verduidelijken wat de omvang is van de regelgevende bevoegdheden die krachtens sommige bepalingen aan de nationale wetgever zijn verleend in afwijking van de algemene harmonisatiedoelstelling die met die rechtshandeling wordt nagestreefd.

II. Toepasselijke bepalingen

A. Unierecht

4.

Artikel 4, punt 4, AVG bepaalt het volgende:

‘Voor de toepassing van deze verordening wordt verstaan onder:

: […]
4): ‘profilering’: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen’.

5.

Artikel 6 AVG, met het opschrift ‘Rechtmatigheid van de verwerking’, luidt als volgt:

‘1.

De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

a): de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b): de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c): de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d): de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e): de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f): de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

2.

De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.

3.

De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

a): Unierecht; of
b): lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.

Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.

4.

Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

a): ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;
b): het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;
c): de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;
d): de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
e): het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.’

6.

Artikel 15 AVG, met het opschrift ‘Recht van inzage van de betrokkene’, bepaalt:

‘1.

De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

: […]
h): het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
: […]’

7.

Artikel 21 AVG, met het opschrift ‘Recht van bezwaar’, is als volgt verwoord:

‘1.: De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.
: […]’

8.

Artikel 22 AVG, met het opschrift ‘Geautomatiseerde individuele besluitvorming, waaronder profilering’, luidt als volgt:

‘1.

2.

Lid 1 geldt niet indien het besluit:

a): noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;
b): is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of
c): berust op de uitdrukkelijke toestemming van de betrokkene.

3.

4.

B. Duits recht

9.

In § 31 van het Bundesdatenschutzgesetz (wet betreffende de gegevensbescherming) van 30 juni 20173., zoals gewijzigd bij wet van 20 november 20194. (hierna: ‘BDSG’), met het opschrift ‘Bescherming van het economisch verkeer in het kader van scoring en informatieverstrekking over kredietwaardigheid’, is het volgende opgenomen:

‘(1)

1.: de bepalingen van de wetgeving inzake gegevensbescherming in acht zijn genomen;
2.: de voor de berekening van de waarschijnlijkheidswaarde gebruikte gegevens aantoonbaar relevant zijn voor de berekening van de waarschijnlijkheid van de specifieke gedraging, met gebruikmaking van een wetenschappelijk erkende wiskundig-statistische methode;
3.: voor de berekening van de waarschijnlijkheidswaarde niet uitsluitend adresgegevens zijn gebruikt; en
4.: in het geval van gebruik van adresgegevens, de betrokkene vóór de berekening van de waarschijnlijkheidswaarde in kennis is gesteld van het voorgenomen gebruik van deze gegevens; de kennisgeving moet worden gedocumenteerd.

(2)

Het gebruik van een door kredietinformatiebureaus vastgestelde waarschijnlijkheidswaarde voor de solvabiliteit en de betalingsbereidheid van een natuurlijke persoon is, in het geval dat hierbij rekening wordt gehouden met informatie over schuldvorderingen, alleen toegestaan voor zover aan de voorwaarden van lid 1 is voldaan en enkel schuldvorderingen in aanmerking worden genomen die betrekking hebben op een verschuldigde prestatie die nog niet is verricht ondanks het feit dat deze opeisbaar is geworden, en

1.

2.

die zijn vastgesteld overeenkomstig § 178 van de Insolvenzordnung (insolventiewet) en tijdens de verificatievergadering niet door de schuldenaar zijn betwist;

3.

die de schuldenaar uitdrukkelijk heeft erkend;

4.

waarbij

a): de schuldenaar na het opeisbaar worden van de schuldvordering ten minste tweemaal schriftelijk is gesommeerd;
b): de eerste sommatie ten minste vier weken geleden is geschied;
c): de schuldenaar vooraf, maar op zijn vroegst bij de eerste sommatie, ervan in kennis is gesteld dat een kredietinformatiebureau met de schuldvordering rekening zou kunnen houden; en
d): de schuldenaar de schuldvordering niet heeft betwist; of

5.

III. Feiten van het hoofdgeding, procedure en prejudiciële vragen

10.

Uit de verwijzingsbeslissing blijkt dat verzoekster in het hoofdgeding geen lening heeft gekregen wegens een solvabiliteitsbeoordeling die is verricht door SCHUFA, een privaatrechtelijke vennootschap die een kredietinformatiedienst exploiteert die erin bestaat haar klanten informatie te verstrekken over de kredietwaardigheid van consumenten. Daartoe voert SCHUFA solvabiliteitsbeoordelingen uit, waarbij zij op basis van bepaalde kenmerken van een persoon aan de hand van een wiskundig-statistische methode een voorspelling doet over de waarschijnlijkheid van toekomstig gedrag, zoals de terugbetaling van een lening.

11.

Verzoekster heeft SCHUFA gevraagd om de haar betreffende onjuiste gegevens te wissen en haar inzage te verlenen in de haar betreffende opgeslagen gegevens. SCHUFA heeft verzoekster onder meer haar score en het basisprincipe voor de berekening ervan uitgelegd, maar niet hoe de verschillende gegevens in de berekening werden meegewogen. Zij meent dat zij niet verplicht is haar berekeningsmethoden bekend te maken omdat deze onder het beroeps- en het zakengeheim vallen. Bovendien stelt zij dat zij alleen informatie verstrekt aan haar klanten, die de eigenlijke besluiten over kredietovereenkomsten nemen.

12.

Verzoekster heeft bij verweerder, een toezichthouder voor gegevensbescherming, een klacht ingediend over het rapport van SCHUFA, waarin zij verweerder verzoekt de onderneming te gelasten om overeenkomstig haar verzoek informatie te verstrekken en te wissen. In zijn besluit over de klacht oordeelde de HBDI dat er geen reden was voor verdere stappen tegen de vennootschap, aangezien deze voldeed aan de vereisten van de Duitse federale wet inzake gegevensbescherming.

13.

Verzoekster heeft tegen de uitspraak van verweerder beroep ingesteld bij de verwijzende rechter. Hij is van oordeel dat het voor de uitspraak in het hoofdgeding van wezenlijk belang is om vast te stellen of de activiteit van verrichters van diensten op het gebied van kredietinformatie, waarbij zij scores toekennen aan personen en deze zonder verdere aanbeveling of commentaar aan derden doorgeven, binnen de werkingssfeer van artikel 22, lid 1, AVG valt.

14.

Het Verwaltungsgericht Wiesbaden heeft de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

‘1): Moet artikel 22, lid 1, [AVG] aldus worden uitgelegd dat de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde voor het vermogen van een persoon om in de toekomst een lening af te lossen, reeds een besluit vormt dat uitsluitend op geautomatiseerde verwerking, waaronder profilering, is gebaseerd en waaraan voor de betrokkene rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft, wanneer die waarde, die met behulp van persoonsgegevens van de betrokkene is vastgesteld, door de verwerkingsverantwoordelijke aan een verwerkingsverantwoordelijke derde wordt doorgegeven en die derde zijn besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met de betrokkene hoofdzakelijk op die waarde baseert?
2): Indien de eerste vraag ontkennend moet worden beantwoord: Moeten artikel 6, lid 1, en artikel 22 [AVG] aldus worden uitgelegd dat zij zich verzetten tegen een nationale regeling op grond waarvan een waarschijnlijkheidswaarde — in casu betreffende de solvabiliteit en betalingsbereidheid van een natuurlijke persoon, met inaanmerkingneming van informatie over vorderingen — voor een bepaalde toekomstige gedraging van een natuurlijke persoon slechts met het oog op het besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met die persoon (scoring) mag worden gebruikt indien is voldaan aan bepaalde nadere voorwaarden die in de motivering van de verwijzingsbeslissing nader zijn uiteengezet?’

IV. Procedure bij het Hof

15.

Op 15 oktober 2021 is de verwijzingsbeslissing van 1 oktober 2021 ingekomen bij de griffie van het Hof.

16.

Partijen in het hoofdgeding, SCHUFA, de Deense, de Portugese en de Finse regering alsmede de Europese Commissie hebben schriftelijke opmerkingen ingediend binnen de in artikel 23 van het Statuut van het Hof van Justitie van de Europese Unie bepaalde termijn.

17.

Ter terechtzitting van 26 januari 2023 hebben de vertegenwoordigers van partijen in het hoofdgeding, SCHUFA, en de gemachtigden van de Duitse en de Finse regering, alsmede van de Commissie, mondelinge opmerkingen gemaakt.

V. Juridische analyse

A. Voorafgaande opmerkingen

18.

Aangezien wederzijds vertrouwen de basis vormt van elke contractuele verbintenis in een markteconomie, is het vanuit ondernemingsperspectief in beginsel begrijpelijk dat de aanbieders van diensten en goederen willen weten wie hun klanten zijn en welke risico's inherent zijn aan een dergelijke contractuele verbintenis. Kredietinformatiebureaus kunnen dit wederzijds vertrouwen helpen op te bouwen met statistische methoden aan de hand waarvan de ondernemingen kunnen vaststellen of in een concreet geval aan bepaalde relevante criteria, waaronder de kredietwaardigheid van hun klanten, is voldaan. Op die wijze helpen zij de ondernemingen bij de eerbiediging van diverse bepalingen van het Unierecht, waarbij hun nu juist een dergelijke verplichting wordt opgelegd voor bepaalde categorieën overeenkomsten, met name kredietovereenkomsten.5. Sommige van de aangewende methoden kunnen gebruikmaken van persoonsgegevens van klanten, die dankzij informatietechnologie op geautomatiseerde wijze worden verzameld en verwerkt. Tegenover dit belang staat dat van de betrokkenen om te weten hoe deze gegevens worden beheerd en opgeslagen en welke methoden ondernemingen gebruiken om besluiten over hun klanten te nemen.

19.

Met de AVG, die sinds 25 mei 2018 van toepassing is, is een rechtskader gecreëerd dat ertoe strekt in de gehele Unie met bovengenoemde belangen rekening te houden, door met name bepaalde beperkingen op te leggen aan de verwerking van persoonsgegevens. Zo gelden specifieke beperkingen voor geautomatiseerde verwerking waaraan voor een natuurlijke persoon rechtsgevolgen verbonden kunnen worden of die hem in aanmerkelijke mate kan treffen. Deze beperkingen zijn gerechtvaardigd in het kader van profilering, dat wil zeggen een beoordeling van persoonlijke aspecten die erop gericht is de economische situatie, de betrouwbaarheid of het gedrag van een natuurlijke persoon te analyseren of te voorspellen. In dit verband zij gewezen op de in artikel 22 AVG bedoelde beperkingen, die in de onderhavige zaak relevant zijn en ertoe strekken de menselijke waardigheid te beschermen door te voorkomen dat de betrokkene wordt onderworpen aan een louter op geautomatiseerde verwerking gebaseerd besluit, zonder enige menselijke tussenkomst waardoor zo nodig kan worden nagaan of het besluit op correcte, billijke en niet-discriminerende wijze is genomen.6. Door de verplichting om in het kader van dit type geautomatiseerde gegevensverwerking in menselijke tussenkomst te voorzien, wordt gewaarborgd dat de betrokkene de mogelijkheid heeft om zijn standpunt kenbaar te maken, een toelichting te krijgen over het na dit soort beoordeling genomen besluit en het eventueel te betwisten als hij het er niet mee eens is. De eerste prejudiciële vraag heeft nu juist betrekking op de omvang van de in artikel 22 AVG bedoelde beperkingen.

20.

Hoewel met de AVG een in beginsel volledig algemeen regelgevingskader voor de bescherming van persoonsgegevens is gecreëerd, moet toch worden opgemerkt dat sommige bepalingen de lidstaten de mogelijkheid bieden om aanvullende, strengere of afwijkende nationale bepalingen vast te stellen die hun een beoordelingsruimte laten met betrekking tot de wijze waarop deze regels kunnen worden toegepast (‘openingsclausules’), voor zover die regels geen afbreuk doen aan de inhoud en de doelstellingen van de AVG.7. De omvang van deze resterende regelgevende bevoegdheid van de lidstaten staat centraal in de tweede prejudiciële vraag die in deze conclusie moet worden onderzocht.

B. Ontvankelijkheid

21.

De HBDI en SCHUFA betwisten de ontvankelijkheid van het verzoek om een prejudiciële beslissing. SCHUFA betoogt dienaangaande dat de verwijzing niet noodzakelijk is voor de beslechting van het geding en onvoldoende gemotiveerd is: de verwijzing zou een tweede beroepsmogelijkheid doen ontstaan en strijdig zijn met andere verzoeken om een prejudiciële beslissing die door dezelfde verwijzende rechter zijn ingediend en vervolgens weer zijn ingetrokken.

1. Doorslaggevende aard van de prejudiciële vragen voor de beslechting van het geding

22.

Om te beginnen zij eraan herinnerd dat het, volgens vaste rechtspraak van het Hof, in het kader van de in artikel 267 VWEU ingestelde samenwerking tussen het Hof en de nationale rechterlijke instanties uitsluitend een zaak is van de nationale rechter aan wie het geschil is voorgelegd en die de verantwoordelijkheid voor de te geven rechterlijke beslissing draagt om, rekening houdend met de bijzonderheden van de zaak, zowel de noodzaak van een prejudiciële beslissing voor het wijzen van zijn vonnis als de relevantie van de vragen die hij aan het Hof voorlegt, te beoordelen. Wanneer de gestelde vragen betrekking hebben op de uitlegging of de geldigheid van een Unierechtelijke regel, is het Hof derhalve in beginsel verplicht daarop te antwoorden. Bijgevolg worden vragen die het Unierecht betreffen, vermoed relevant te zijn. Het Hof kan slechts weigeren op een door een nationale rechterlijke instantie gestelde prejudiciële vraag te antwoorden wanneer duidelijk blijkt dat de gevraagde uitlegging of toetsing van de geldigheid van een regel van het Unierecht geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het vraagstuk van hypothetische aard is of wanneer het Hof niet beschikt over de gegevens, feitelijk en rechtens, die noodzakelijk zijn om een zinvol antwoord te geven op de gestelde vragen.8.

23.

Aan deze voorwaarden is in casu niet voldaan, aangezien uit punt 40 van de verwijzingsbeslissing duidelijk blijkt dat de uitkomst van de procedure afhangt van de eerste prejudiciële vraag. De verwijzende rechter licht toe dat moest artikel 22, lid 1, AVG aldus worden uitgelegd dat de vaststelling van een score door een kredietinformatiebureau een zelfstandig besluit is in de zin van artikel 22, lid 1, AVG, dat bureau — en meer bepaald zijn relevante activiteit — onder het verbod van geautomatiseerde individuele besluitvorming zou vallen. Bijgevolg zou een rechtsgrond op het niveau van de lidstaat in de zin van artikel 22, lid 2, onder b), AVG vereist zijn, waarvoor alleen § 31 BDSG in aanmerking kan komen. De verwijzende rechter heeft ernstige twijfels over de verenigbaarheid van deze nationale bepaling met artikel 22, lid 1, AVG. Volgens hem zou SCHUFA dan niet alleen zonder rechtsgrond handelen, maar ook het verbod uit die laatste bepaling schenden. Verzoekster zou dan kunnen vorderen dat de HBDI als toezichthoudende autoriteit haar zaak (verder) behandelt. Het is dan ook duidelijk dat het antwoord op de vragen van de verwijzende rechter doorslaggevend blijkt te zijn voor de beslechting van het geding.

24.

SCHUFA voert ook aan dat het verzoek om een prejudiciële beslissing niet-ontvankelijk is omdat verzoekster reeds op de hoogte is gebracht van de logica van de score. Uit de verwijzingsbeslissing blijkt echter dat verzoekster zo gedetailleerd mogelijk wenste te worden geïnformeerd over alle verzamelde gegevens en over de voor de vaststelling van de score gebruikte methode. Aangezien SCHUFA verzoekster in grote lijnen heeft meegedeeld hoe haar scoreberekening werkt, maar niet heeft meegedeeld welke verschillende soorten informatie in de berekening worden opgenomen en hoe deze worden gewogen, is het duidelijk dat SCHUFA niet aan dat verzoek om informatie heeft voldaan. Bijgevolg heeft verzoekster een gerechtvaardigd belang om middels een prejudiciële beslissing te laten vaststellen welke rechten de betrokkene heeft ten aanzien van een kredietinformatiebureau zoals SCHUFA.

2. Bestaan van twee parallelle beroepsmogelijkheden

25.

Wat betreft het vermeende risico dat voor betrokkene een tweede beroepsmogelijkheid ontstaat, zij erop gewezen dat, anders dan SCHUFA in haar opmerkingen betoogt, het feit dat verzoekster zich eerst tot de gewone rechter en vervolgens tot de verwijzende bestuursrechter heeft gewend, niet in de weg staat aan de ontvankelijkheid van het verzoek om een prejudiciële beslissing. Met haar twee beroepen heeft verzoekster de beroepsmogelijkheden van de artikelen 78 en 79 AVG uitgeoefend, die het recht waarborgen om een doeltreffende voorziening in rechte in te stellen tegen respectievelijk de toezichthoudende autoriteit en de verwerkingsverantwoordelijke. Aangezien deze beroepsmogelijkheden autonoom naast elkaar bestaan, zonder dat de ene ondergeschikt is aan de andere, kunnen zij parallel worden uitgeoefend.9. Verzoekster kan dus geen onregelmatigheid worden verweten bij de verdediging van haar door de AVG beschermde rechten.

26.

Bovendien moet in herinnering worden gebracht dat volgens vaste rechtspraak van het Hof, bij ontstentenis van een Unieregeling ter zake, het een aangelegenheid van de interne rechtsorde van elke lidstaat is om de bevoegde rechter aan te wijzen en de procesregels vast te stellen voor beroepen in rechte die ertoe strekken de door de justitiabelen aan het Unierecht ontleende rechten te beschermen.10. Derhalve is er geen enkele objectieve reden om het stelsel van beroepsmogelijkheden van een lidstaat ter discussie te stellen, behalve in gevallen waarin de doelmatigheid van het Unierecht gevaar zou lopen, bijvoorbeeld indien de nationale rechter de in artikel 267 VWEU bedoelde bevoegdheid zou worden ontnomen om het Hof vragen te stellen over de uitlegging of de geldigheid van het Unierecht , of indien hij van de in dat artikel bedoelde verplichting zou worden ontslagen.

27.

In casu is er geen enkele aanwijzing dat het bestaan van twee beroepsmogelijkheden die een doelmatige voorziening in rechte mogelijk maken tegen respectievelijk de toezichthoudende autoriteit en de verwerkingsverantwoordelijke, de doelmatigheid van het Unierecht bedreigt of de nationale rechter de mogelijkheid ontneemt om gebruik te maken van de procedure van artikel 267 VWEU. Integendeel, zoals ik reeds heb uiteengezet, is het in het licht van de artikelen 78 en 79 AVG duidelijk dat die verordening zich niet verzet tegen een dergelijk beroepsstelsel, waarbij het eerder aan de lidstaat wordt overgelaten om de bevoegde rechter aan te wijzen en de nadere procedurele regels van het beroep in rechte vast te stellen, met volledige inachtneming van het beginsel van procedurele autonomie. Dit is in recente rechtspraak door het Hof erkend.11.

28.

Ten slotte zij opgemerkt dat SCHUFA slechts kritiek heeft op de beroepsmogelijkheden die naar Duits recht beschikbaar zijn, zonder evenwel precies uit te leggen waarom een arrest van het Hof in de onderhavige prejudiciële procedure niet van nut zou zijn voor de beslechting van het geding. Zoals de verwijzende rechter opmerkt, zou een uitlegging door het Hof van artikel 22, lid 1, AVG verweerder immers in staat stellen zijn toezichtsbevoegdheden ten aanzien van SCHUFA op Unierechtconforme wijze uit te oefenen. Het lijkt mij dan ook dat het argument waarmee SCHUFA de ontvankelijkheid van het verzoek om een prejudiciële beslissing betwist, ongegrond is.

3. Vermeend ontbreken van motivering van het verzoek om een prejudiciële beslissing

29.

In beginsel volstaan bovenstaande overwegingen om het betoog van SCHUFA af te wijzen. Toch acht ik het voor een beter begrip van de onderhavige zaak noodzakelijk in te gaan op het argument dat het verzoek om een prejudiciële beslissing niet gemotiveerd zou zijn. Anders dan SCHUFA beweert, wordt in de verwijzingsbeslissing het belang in casu voldoende nauwkeurig onderbouwd om te voldoen aan de vereisten van artikel 94, onder c), van het Reglement voor de procesvoering van het Hof. De verwijzende rechter legt meer bepaald uit dat verzoekster voornemens is haar rechten tegenover SCHUFA te doen gelden. Volgens de verwijzende rechter kan artikel 22, lid 1, AVG haar in beginsel bescherming bieden tegen een geautomatiseerde verwerking van haar persoonsgegevens, tenzij deze bepaling restrictief wordt uitgelegd.

30.

De verwijzende rechter is van oordeel dat, gelet op het belang dat sommige ondernemingen voor de voorspelling van de economische draagkracht van een natuurlijke persoon hechten aan de score die wordt vastgesteld door kredietinformatiebureaus voor de voorspelling van de economische draagkracht van een natuurlijke persoon, die score kan worden beschouwd als een autonoom ‘besluit’ in de zin van deze bepaling. Een uitlegging in die zin is noodzakelijk om een juridische leemte op te vullen die voortvloeit uit het feit dat de betrokkene anders niet in staat zou zijn de krachtens artikel 15, lid 1, onder h), AVG vereiste informatie te verkrijgen. Gelet op deze grondige motivering ben ik van mening dat het betoog van SCHUFA moet worden afgewezen en dat het verzoek om een prejudiciële beslissing ontvankelijk is.

C. Ten gronde

1. Eerste prejudiciële vraag

a) Algemeen verbod van artikel 22, lid 1, AVG

31.

Artikel 22, lid 1, AVG verschilt van de andere beperkingen inzake gegevensverwerking van de verordening in die zin dat daarin een ‘recht’ van de betrokkene is neergelegd om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit. De gebruikte terminologie laat weliswaar anders vermoeden, maar voor de toepassing van artikel 22, lid 1, AVG is niet vereist dat de betrokkene het recht actief aanvoert. Een uitlegging in het licht van overweging 71 van deze verordening waarbij rekening wordt gehouden met de opzet van deze bepaling, met name lid 2 ervan, waarin de gevallen worden genoemd waarin een dergelijke geautomatiseerde verwerking bij wijze van uitzondering is toegestaan, leidt namelijk eerder tot de conclusie dat deze bepaling een algemeen verbod op besluiten van het hierboven beschreven type instelt. Niettemin moet worden benadrukt dat dit verbod slechts geldt in zeer specifieke omstandigheden, namelijk voor besluiten ‘waaraan voor hem rechtsgevolgen zijn verbonden of [die] hem anderszins in aanmerkelijke mate [treffen]’.

32.

Met zijn eerste vraag wenst de verwijzende rechter te vernemen of de berekening van een score door een kredietinformatiebureau onder artikel 22, lid 1, AVG valt wanneer de verkregen score is doorgegeven aan een onderneming die daaraan een doorslaggevend belang hecht bij haar besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met de betrokkene. Het gaat met andere woorden om de vraag of deze bepaling van toepassing is op kredietinformatiebureaus die scores ter beschikking stellen van financiële ondernemingen. Voor het onderzoek van deze vraag moet worden vastgesteld of in casu aan de voorwaarden van artikel 22, lid 1, AVG is voldaan.

b) Toepasselijkheid van artikel 22, lid 1, AVG

1) Bestaan van ‘profilering’ in de zin van artikel 4, punt 4, AVG

33.

Deze bepaling vereist om te beginnen dat er sprake is van geautomatiseerde verwerking van persoonsgegevens, aangezien ‘profilering’ — gezien de bewoordingen ervan — als een subcategorie wordt beschouwd.12. In dit verband zij opgemerkt dat de door SCHUFA verrichte scoring onder de wettelijke definitie van artikel 4, punt 4, AVG valt, aangezien bij deze procedure persoonsgegevens worden gebruikt om bepaalde aspecten van een natuurlijke persoon te evalueren teneinde elementen betreffende hun economische situatie, betrouwbaarheid en waarschijnlijke gedrag te analyseren of te voorspellen. Uit het dossier van de zaak komt namelijk naar voren dat de door SCHUFA gebruikte methode op basis van bepaalde criteria een ‘score’ oplevert, dat wil zeggen een resultaat waarmee conclusies kunnen worden getrokken over de kredietwaardigheid van de betrokkene. Ten slotte wil ik erop wijzen dat geen van de belanghebbende partijen de kwalificatie van de betrokken procedure als ‘profilering’ betwist, zodat in casu kan worden aangenomen dat aan deze voorwaarde is voldaan.

2) Aan het besluit moeten ‘rechtsgevolgen’ verbonden zijn voor de betrokkene of het besluit moet hem ‘in aanmerkelijke mate treffen’

34.

Voor de toepassing van artikel 22, lid 1, AVG is vereist dat aan het betrokken besluit ‘rechtsgevolgen’ verbonden zijn voor de betrokkene of dat het besluit ‘hem anderszins in aanmerkelijke mate treft’. De AVG erkent dus dat geautomatiseerde besluitvorming, waaronder profilering, zware gevolgen kan hebben voor de betrokkenen. De AVG bevat weliswaar geen definitie van het begrip ‘rechtsgevolgen’, noch van de bewoordingen ‘anderszins in aanmerkelijke mate treft’, maar uit de gebruikte formulering blijkt duidelijk dat met deze bepaling alleen zware gevolgen worden bedoeld. In dit verband moet er om te beginnen op worden gewezen dat in overweging 71 AVG uitdrukkelijk ‘de automatische weigering van een online ingediende kredietaanvraag’ wordt genoemd als een typisch voorbeeld van een besluit dat de betrokkene ‘in aanmerkelijke mate’ treft.

35.

Vervolgens moet er rekening mee worden gehouden dat de verwerking van een leningsaanvraag een stap is die voorafgaat aan het sluiten van een leningsovereenkomst en dat de afwijzing van een dergelijke aanvraag ‘rechtsgevolgen’ kan hebben voor de betrokkene, aangezien deze niet langer in aanmerking komt voor een contractuele relatie met de betrokken financiële instelling. Verder zij opgemerkt dat een dergelijke weigering ook gevolgen kan hebben voor de financiële situatie van de betrokkene. Het is dan ook logisch te concluderen dat deze persoon in elk geval ‘anderszins’ in de zin van deze bepaling zal worden getroffen. De Uniewetgever lijkt zich hiervan bewust te zijn geweest bij het opstellen van overweging 71 AVG, in het licht waarvan artikel 22, lid 1, van deze verordening moet worden uitgelegd. Bijgevolg ben ik van mening dat, gelet op de situatie waarin verzoekster zich bevindt, in casu aan de voorwaarden van deze bepaling is voldaan, ongeacht of de juridische of economische gevolgen van de kredietweigering centraal staan.

3) Het ‘besluit’ moet ‘uitsluitend op geautomatiseerde verwerking […] gebaseerd [zijn]’

36.

Verder moeten twee extra voorwaarden zijn vervuld. In de eerste plaats moet ten aanzien van de betrokkene een handeling worden vastgesteld die als een ‘besluit’ kan worden aangemerkt. In de tweede plaats moet het betrokken besluit ‘uitsluitend op geautomatiseerde verwerking […] gebaseerd [zijn]’. Wat deze laatste voorwaarde betreft, blijkt uit de uiteenzetting van de feiten in de verwijzingsbeslissing niet dat SCHUFA de scores, naast de toepassing van een wiskundig-statistische methode, op enigerlei doorslaggevende wijze vaststelt aan de hand van een door een mens uitgevoerde individuele beoordeling en toetsing. Bijgevolg moet de vaststelling van de score als een door SCHUFA verrichte handeling als ‘uitsluitend op geautomatiseerde verwerking […] gebaseerd’ worden beschouwd. Hierbij moet echter voor ogen worden gehouden dat de financiële instelling waaraan SCHUFA de score meedeelt, een verondersteld autonome handeling ten aanzien van de betrokkene moet verrichten, namelijk het verlenen of weigeren van krediet. De vraag is dus aan de orde welke van deze twee handelingen kan worden aangemerkt als een ‘besluit’ in de zin van artikel 22, lid 1, AVG. Dat zal hieronder worden onderzocht.

37.

Wat de eerste voorwaarde betreft, moet eerst worden vastgesteld wat de juridische aard van een ‘besluit’ is en welke vorm dat moet aannemen. Etymologisch gezien impliceert dit begrip een ‘mening’ of een ‘standpunt’ over een bepaalde situatie. Het moet ook ‘bindend’ zijn om het te onderscheiden van louter ‘aanbevelingen’ die in beginsel geen juridische of feitelijke gevolgen hebben.13. Anders dan de HBDI stelt, lijkt een analogie met artikel 288, vierde alinea, VWEU mij in de onderhavige context echter niet relevant, temeer daar zij geen grondslag vindt in de bepalingen van de AVG.

38.

Bij gebreke van een wettelijke definitie kan worden aangenomen dat de Uniewetgever heeft gekozen voor een ruim begrip dat verschillende handelingen kan omvatten die de betrokkene op verschillende manieren kunnen treffen. Zoals ik reeds heb aangegeven, kan een ‘besluit’ in de zin van artikel 22, lid 1, AVG immers ofwel ‘rechtsgevolgen’ hebben, ofwel de betrokkene ‘anderszins’ treffen, wat inhoudt dat het ‘besluit’ gevolgen kan hebben die niet noodzakelijkerwijs juridisch, maar eerder economisch en sociaal zijn. Aangezien artikel 22, lid 1, AVG beoogt natuurlijke personen te beschermen tegen de mogelijk discriminerende en onrechtvaardige gevolgen van geautomatiseerde gegevensverwerkingen, lijkt mij bijzondere waakzaamheid geboden en moet deze ook doorschemeren in de uitlegging van deze bepaling.

39.

Ten slotte moet ik benadrukken dat ik, aangezien handelingen die aan een particuliere financiële instelling kunnen worden toegerekend ook ernstige gevolgen kunnen hebben voor de onafhankelijkheid en de handelingsvrijheid van de betrokkene in een markteconomie, met name wanneer het gaat om de bevestiging dat de kredietaanvrager kredietwaardig is14., geen enkele objectieve reden zie om het begrip ‘besluit’ te beperken tot de strikt publieke sfeer, dat wil zeggen tot de relatie tussen de staat en de burger, zoals de door de HBDI voorgestelde analogie impliciet suggereert. Mijns inziens dient per geval te worden onderzocht of een ten aanzien van de betrokkene ingenomen standpunt als een ‘besluit’ kan worden aangemerkt, en dient hierbij rekening te worden gehouden met de specifieke omstandigheden en de ernst van de gevolgen voor de juridische, economische en sociale positie van de betrokkene.15.

40.

Op basis van de in de voorgaande punten uiteengezette criteria moet vervolgens worden bepaald welk ‘besluit’ in casu relevant is. Zoals hierboven vermeld, is er enerzijds de handeling waarbij een bank aanvaardt of weigert aan de aanvrager een krediet te verstrekken, en anderzijds de score die voortvloeit uit een door SCHUFA uitgevoerde profilering. Naar mijn mening is het onmogelijk om deze vraag stellig te beantwoorden, aangezien de kwalificatie afhangt van de omstandigheden van elk afzonderlijk geval. In concreto is de wijze waarop de besluitvormingsprocedure is gestructureerd van essentieel belang. Deze procedure bestaat doorgaans uit verschillende fasen, zoals profilering, de scorebepaling en het eigenlijke besluit over het krediet.

41.

Het lijkt mij duidelijk dat een financiële instelling die deze procedure op zich kan nemen, ook bepaalde taken contractueel aan een kredietinformatiebureau kan uitbesteden, zoals profilering en scoring. Artikel 22, lid 1, AVG vereist immers geenszins dat deze taken door een of meer entiteiten worden verricht. Mijns inziens is het voor de analyse echter niet essentieel of bepaalde bevoegdheden al of niet zijn uitbesteed aan een externe dienstverlener, aangezien een dergelijke uitbesteding in het algemeen berust op economische en organisatorische overwegingen, die per geval kunnen verschillen.

42.

Het aspect dat volgens mij wel een cruciale rol speelt, houdt daarentegen verband met de vraag of de besluitvormingsprocedure zodanig is opgezet dat de scoring van het kredietinformatiebureau het besluit van de financiële instelling om het krediet al dan niet toe te kennen vooraf bepaalt. Mocht de scoring worden uitgevoerd zonder enige menselijke tussenkomst waarmee het resultaat ervan en de juistheid van het ten aanzien van de kredietaanvrager te nemen besluit in voorkomend geval kunnen worden gecontroleerd, lijkt het logisch om de scoring zelf als een ‘besluit’ in de zin van artikel 22, lid 1, AVG te beschouwen.

43.

Uitgaan van het tegendeel omdat het besluit om krediet te verlenen of te weigeren formeel onder de verantwoordelijkheid van de financiële instelling valt, zou niet alleen getuigen van buitensporig formalisme, maar bovendien nauwelijks recht doen aan de specifieke omstandigheden van een dergelijke situatie. Dit lijkt des te meer het geval daar artikel 22, lid 1, AVG voor het ‘besluit’ geen enkele bijzondere vorm oplegt. Het zijn de gevolgen van het ‘besluit’ voor de betrokkene die doorslaggevend zijn. Aangezien een negatieve score op zich voor de betrokkene nadelig kan zijn omdat deze hem met name aanzienlijk in de uitoefening van zijn vrijheden kan beperken of zelfs in de samenleving kan stigmatiseren, lijkt het gerechtvaardigd om deze score aan te merken als een ‘besluit’ in de zin van voornoemde bepaling wanneer een financiële instelling er in de besluitvormingsprocedure zeer groot belang aan hecht.16. In dergelijke omstandigheden wordt de kredietaanvrager immers al getroffen vanaf de fase waarin zijn solvabiliteit wordt beoordeeld door de verstrekker van commerciële informatie en niet pas in de eindfase van de weigering van het krediet, waarin de financiële instelling slechts het resultaat van deze beoordeling op het concrete geval toepast.17.

44.

Aangezien, ten eerste, artikel 22, lid 1, AVG vereist dat het betrokken besluit ‘uitsluitend’ op geautomatiseerde verwerking is gebaseerd18. en, ten tweede, de bewoordingen van een bepaling doorgaans iedere uitlegging ervan afbakenen, lijkt het noodzakelijk dat de geautomatiseerde verwerking het enige element blijft dat de aanpak van de financiële instelling ten aanzien van de kredietaanvrager rechtvaardigt. Dit zou het geval zijn indien sprake was van menselijke deelname in de procedure, zonder dat daardoor evenwel het oorzakelijk verband tussen de geautomatiseerde verwerking en het eindbesluit zou kunnen worden beïnvloed. Het kredietinformatiebureau zou de facto voor de financiële instelling het eindbesluit moeten nemen. Dit hangt af van de interne regels en praktijken van de betrokken financiële instelling, die haar over het algemeen geen beoordelingsruimte mogen geven bij de toepassing van de score op een kredietaanvraag.

45.

Het gaat hier in wezen om een feitelijke kwestie die mijns inziens het best door de nationale rechter kan worden beoordeeld. Ik stel derhalve voor de verwijzende rechter de taak te geven zelf vast te stellen in hoeverre de financiële instelling in het algemeen gebonden is door de scoring van een kredietinformatiebureau als SCHUFA, rekening houdend met de hierboven genoemde criteria.19. Ik zal mij baseren op de informatie in de verwijzingsbeslissing om de nationale rechter in casu een nuttig antwoord te geven.

46.

In dit verband merk ik om te beginnen op dat volgens de verwijzende rechter menselijke tussenkomst weliswaar in beginsel nog mogelijk is in deze fase van het besluitvormingsproces, maar dat het besluit om een contractuele relatie met de betrokkene aan te gaan ‘in de praktijk in een dusdanig sterke mate wordt bepaald door de door de kredietinformatiebureaus meegedeelde kredietscore dat deze als het ware doordringt in het besluit van de verwerkingsverantwoordelijke derde’. Volgens de verwijzende rechter ‘bepaalt de door het kredietinformatiebureau op basis van geautomatiseerde verwerking vastgestelde kredietscore uiteindelijk of en hoe de verwerkingsverantwoordelijke derde een overeenkomst met de betrokkene sluit’. De verwijzende rechter legt ook uit dat de verwerkingsverantwoordelijke derde zijn besluit niet uitsluitend hoeft te laten afhangen van de kredietscore, maar ‘[…] dit gewoonlijk wel in grote mate [doet]’. Hij voegt daaraan toe dat ‘[e]en lening […] geweigerd [kan worden] ondanks een kredietscore die in principe voldoende is (om andere redenen, zoals het ontbreken van zekerheden of twijfels over het succes van een te financieren investering), maar een onvoldoende score […] in bijna alle gevallen [zal] leiden tot de weigering van een lening, althans op het gebied van consumentenkredieten, en zelfs indien een investering voor het overige de moeite waard lijkt te zijn’. Ten slotte wijst deze rechter erop ‘[d]at kredietscores een doorslaggevende rol spelen bij de kredietverstrekking en de vormgeving van de kredietvoorwaarden, [hetgeen] blijkt uit de ervaringen bij het toezicht op de gegevensbescherming door overheidsinstanties’.

47.

Onder voorbehoud van de beoordeling van de feiten die de nationale rechter in elk concreet geval moet maken, lijken de hierboven uiteengezette overwegingen mij erop te wijzen dat de door een kredietinformatiebureau vastgestelde en aan een financiële instelling meegedeelde score het besluit van deze laatste over de verlening of weigering van krediet aan de betrokkene in het algemeen bij voorbaat bepaalt, zodat dit standpunt in het kader van de procedure moet worden geacht louter formeel van aard te zijn.20. Hieruit volgt dat de score zelf moet worden beschouwd als een ‘besluit’ in de zin van artikel 22, lid 1, AVG.

48.

Een dergelijke conclusie lijkt mij redelijk omdat elke andere uitlegging afbreuk zou doen aan het door de Uniewetgever met deze bepaling nagestreefde doel, namelijk de bescherming van de rechten van de betrokkenen. Zoals de verwijzende rechter terecht heeft opgemerkt, zou een strikte lezing van artikel 22, lid 1, AVG leiden tot een lacune in de rechtsbescherming: het kredietinformatiebureau waarbij de voor de betrokkene vereiste informatie zou kunnen worden verkregen, is krachtens artikel 15, lid 1, onder h), AVG niet verplicht inzage te verstrekken omdat het zogenaamd geen eigen ‘geautomatiseerde besluitvorming’ in de zin van artikel 15, lid 1, onder h), AVG verricht, en de financiële instelling die haar besluitvorming baseert op de geautomatiseerd bepaalde kredietscore en die krachtens artikel 15, lid 1, onder h), AVG wel verplicht is inzage te verstrekken, kan de vereiste informatie niet verstrekken omdat zij er niet over beschikt.

49.

Bijgevolg zou de financiële instelling niet in staat zijn de beoordeling van de kredietwaardigheid van de kredietaanvrager te controleren wanneer het besluit wordt aangevochten, zoals vereist door artikel 22, lid 3, AVG, of een behoorlijke en transparante en niet-discriminerende verwerking te garanderen door middel van passende wiskundig-statistische procedures en passende technische en organisatorische maatregelen, zoals overweging 71, zesde volzin, AVG vereist.21. Om een dergelijke situatie, die duidelijk in strijd zou zijn met de in het vorige punt genoemde wettelijke doelstelling, te vermijden, stel ik voor om artikel 22, lid 1, AVG aldus uit te leggen dat rekening wordt gehouden met de reële gevolgen van scoring op de situatie van de betrokkene.

50.

Dit lijkt mij een logische benadering omdat het kredietinformatiebureau in het algemeen de enige entiteit is die kan ingaan op andere verzoeken van de betrokkene die zijn gebaseerd op rechten die ook door de AVG worden gewaarborgd, te weten het in artikel 16 AVG bedoelde recht op rectificatie ingeval de voor de scoring gebruikte persoonsgegevens onjuist zouden blijken te zijn en het in artikel 17 AVG bedoelde recht op gegevenswissing ingeval die gegevens onrechtmatig zouden zijn verwerkt. Aangezien de financiële instelling in het algemeen niet betrokken is bij het verzamelen van die gegevens of bij profilering wanneer deze taken aan een derde zijn uitbesteed, kan de mogelijkheid dat zij in staat is daadwerkelijk de eerbiediging van die rechten te verzekeren redelijkerwijs worden uitgesloten. Van de betrokkene mag echter niet worden verlangd dat hij de nadelige gevolgen van een dergelijke uitbesteding van taken zonder meer ondergaat.

51.

Het lijkt mij dat de meest doeltreffende manier om te zorgen voor de bescherming van de grondrechten van de betrokkene, namelijk het recht op bescherming van persoonsgegevens, bedoeld in artikel 8 van het Handvest van de grondrechten van de Europese Unie (hierna: ‘Handvest’), maar ook het in artikel 7 van het Handvest bedoelde recht op eerbiediging van zijn privéleven, is dat het kredietinformatiebureau verantwoordelijk wordt gehouden wegens de vaststelling van de score — en niet wegens het gebruik dat er later van wordt gemaakt —, aangezien deze activiteit uiteindelijk de ‘bron’ van eventuele schade is. Gelet op het risico dat de door het kredietinformatiebureau vastgestelde score door een groot aantal financiële instellingen wordt gebruikt, dient de betrokkene redelijkerwijs zijn rechten rechtstreeks tegen dit bureau te kunnen doen gelden.

52.

Om de hierboven uiteengezette redenen ben ik van mening dat aan de voorwaarden van artikel 22, lid 1, AVG is voldaan, zodat deze bepaling van toepassing is in omstandigheden als die van het hoofdgeding.

c) Omvang van het recht op informatie krachtens artikel 15, lid 1, onder h), AVG

53.

In dit verband kan niet genoeg worden benadrukt hoe belangrijk het is dat de verwerkingsverantwoordelijke zijn verplichtingen inzake informatieverstrekking jegens de betrokkene naleeft. Overeenkomstig artikel 15, lid 1, onder h), AVG heeft deze laatste niet alleen het recht om van de verwerkingsverantwoordelijke uitsluitsel over het al dan niet verwerken van de hem betreffende persoonsgegevens te verkrijgen, maar ook andere informatie, zoals het bestaan van een geautomatiseerde besluitvorming, waaronder profilering, in de zin van artikel 22 AVG, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor hem.

54.

Aangezien SCHUFA heeft geweigerd om verzoekster bepaalde informatie over de berekeningsmethode te verstrekken omdat dit een zakengeheim zou betreffen, lijkt het relevant om de omvang van het in artikel 15, lid 1, onder h), AVG bedoelde recht op informatie nader te bepalen, in het bijzonder met betrekking tot de verplichting om ‘nuttige informatie over de onderliggende logica’ te verstrekken. Naar mijn mening moet deze bepaling aldus worden uitgelegd dat zij in beginsel ook betrekking heeft op de berekeningsmethode die een kredietinformatiebureau gebruikt om een score vast te stellen, op voorwaarde dat er geen beschermingswaardige conflicterende belangen spelen. In dit verband zij verwezen naar overweging 63 AVG, waarin onder meer staat dat dat ‘recht […] geen afbreuk [mag] doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt’ (cursivering van mij).

55.

Uit een uitlegging van artikel 15, lid 1, onder h), AVG, gelezen in het licht van de overwegingen 58 en 63 van deze verordening, kan een aantal conclusies worden getrokken. In de eerste plaats is het duidelijk dat de Uniewetgever zich ten volle bewust was van conflicten die zouden kunnen ontstaan tussen het door artikel 8 van het Handvest gewaarborgde recht op bescherming van persoonsgegevens en het in artikel 17, lid 2, van het Handvest bedoelde recht op bescherming van de intellectuele eigendom. Ten tweede is het helder dat hij niet de bedoeling had om het ene grondrecht op te offeren ten gunste van het andere. Integendeel, een nadere analyse van de bepalingen van de AVG leidt juist tot de conclusie dat hij heeft gestreefd naar een juist evenwicht tussen rechten en verantwoordelijkheden.

56.

De aansporing van de Uniewetgever in overweging 63 AVG dat ‘die overwegingen [er] niet [toe mogen] leiden dat de betrokkene alle informatie wordt onthouden’22. betekent volgens mij dat in ieder geval een minimum aan informatie moet worden verstrekt om de wezenlijke inhoud van het recht op bescherming van persoonsgegevens niet in gevaar te brengen. Hieruit volgt dat de bescherming van het zakengeheim of van de intellectuele eigendom weliswaar in beginsel voor een kredietinformatiebureau een legitieme reden is om te weigeren het algoritme bekend te maken dat wordt gebruikt voor de berekening van de score van de betrokkene, maar dat zij geenszins een absolute weigering van informatie kan rechtvaardigen. Dit geldt des te meer wanneer er passende communicatiemiddelen voorhanden zijn die voor meer inzicht in de berekening zorgen en tegelijkertijd een zekere mate van vertrouwelijkheid waarborgen.

57.

Artikel 12, lid 1, AVG, dat bepaalt dat ‘[d]e verwerkingsverantwoordelijke […] passende maatregelen [neemt] opdat de betrokkene de [in artikel 15 bedoelde] communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt’23., lijkt mij in dit verband bijzonder relevant. Deze bepaling ondersteunt de hierboven uiteengezette redenering, aangezien daaruit voortvloeit dat het werkelijke doel van artikel 15, lid 1, onder h), AVG erin bestaat om de betrokkene, in overeenstemming met zijn behoeften, op begrijpelijke en toegankelijke wijze informatie te laten verkrijgen. Gelet op de complexiteit van het algoritme sluiten deze vereisten mijns inziens een eventuele verplichting tot openbaarmaking ervan al uit. Het is namelijk maar de vraag of het nut heeft een bijzonder ingewikkelde formule mee te delen zonder de nodige uitleg te verstrekken. In dit verband dient te worden gewezen op overweging 58 AVG waaruit naar voren komt dat de naleving van de hierboven genoemde vereisten van bijzonder belang is in ‘situaties, waarin het vanwege […] de technologische complexiteit van de praktijk voor een betrokkene moeilijk is te weten en te begrijpen of, door wie en met welk doel zijn persoonsgegevens worden verzameld’24..

58.

Om de uiteengezette redenen ben ik van mening dat de verplichting om ‘nuttige informatie over de onderliggende logica’ te verstrekken aldus moet worden opgevat dat deze voldoende gedetailleerde gegevens dient te bevatten over de methode die is gebruikt om de score te berekenen en de redenen die tot een bepaald resultaat hebben geleid. In het algemeen dient de verwerkingsverantwoordelijke de betrokkene algemene informatie te verstrekken — met name over factoren die in het besluitvormingsproces in aanmerking zijn genomen en hun respectieve weging op een geaggregeerd niveau — die hem ook van nut is om elk ‘besluit’ in de zin van artikel 22, lid 1, AVG aan te vechten.25.

d) Beantwoording van de eerste prejudiciële vraag

59.

In het licht van de bovenstaande overwegingen ben ik van mening dat artikel 22, lid 1, AVG aldus moet worden uitgelegd dat de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde betreffende het vermogen van een persoon om in de toekomst een lening af te lossen, reeds een besluit vormt dat uitsluitend op geautomatiseerde verwerking, waaronder profilering, is gebaseerd en waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft, wanneer die waarde, die met behulp van persoonsgegevens van de betrokkene is vastgesteld, door de verwerkingsverantwoordelijke aan een verwerkingsverantwoordelijke derde wordt doorgegeven en, volgens een vaste praktijk, voor die derde bepalend is bij zijn besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met de betrokkene.

2. Tweede prejudiciële vraag

60.

Hoewel de tweede vraag alleen maar is gesteld voor het geval dat de eerste vraag ontkennend wordt beantwoord, lijkt zij mij ook relevant indien het Hof tot de conclusie zou komen dat scoring onder het in artikel 22, lid 1, AVG neergelegde verbod op het nemen van een geautomatiseerd besluit valt. Zoals de Finse regering terecht opmerkt, zou in een dergelijk geval moeten worden onderzocht of op grond van artikel 22, lid 2, onder b), AVG een uitzondering op dit verbod kan worden gemaakt. Volgens deze bepaling is het verbod niet van toepassing ‘indien het besluit […] is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is’.

61.

Deze bepaling bevat expliciete regelgevende beoordelingsruimte wanneer de geautomatiseerde profilering waarop zij betrekking heeft, is gebaseerd op Unierechtelijke- of lidstaatrechtelijke bepalingen. Indien die profilering berust op het recht van een lidstaat, moet het nationale recht de betrokkene specifieke waarborgen bieden. Het Hof zou dan moeten bepalen of een dergelijke ‘toestemming’ kan worden afgeleid uit artikel 6 AVG zelf of uit een nationale bepaling die op een daarin voorziene rechtsgrond is vastgesteld. Dit laatste noopt mijns inziens tot een grondige analyse, aangezien de verwijzende rechter zich afvraagt of § 31 BDSG verenigbaar is met de artikelen 6 en 22 AVG, hetgeen vereist dat de artikelen 6 en 22 AVG geschikte rechtsgronden kunnen vormen.

a) Bestaan van een rechtsgrond in de AVG die de lidstaten regelgevende bevoegdheden verleent

62.

De nationale rechter uit juist op dit punt twijfels, aangezien volgens hem geen van de in de artikelen 6 en 22 AVG bedoelde bepalingen als rechtsgrond kunnen dienen voor de vaststelling van een nationale bepaling als bedoeld in § 31 BDSG, waarmee bepaalde regels inzake scoring worden vastgesteld. De vraag rijst dan ook of de nationale wetgever de bepalingen van de AVG die hem speelruimte geven om voor de verwerking van persoonsgegevens in het kader van de AGV nationale regels vast te stellen en hem zelfs toestaan om daarvan in bepaalde omstandigheden af te wijken, wel juist heeft toegepast. Het antwoord op deze vraag blijkt te worden bemoeilijkt door het feit dat de Duitse wetgever in de memorie van toelichting op de wet niet verwijst naar een clausule die enige opening biedt.26. Het antwoord is echter des te relevanter omdat in § 31, lid 1, punt 1, BDSG uitdrukkelijk wordt bepaald dat scoring ‘alleen is toegestaan indien de bepalingen inzake gegevensbescherming in acht zijn genomen’ (cursivering van mij). Zoals ik hieronder zal aangeven, moet ik deze vraag op grond van verschillende argumenten ontkennend beantwoorden.

1) Toepasselijkheid van artikel 22, lid 2, onder b), AVG

63.

Om te beginnen moet worden gewezen op artikel 22, lid 2, onder b), AVG, dat de lidstaten de bevoegdheid verleent besluiten toe te staan die uitsluitend zijn gebaseerd op geautomatiseerde verwerking, waaronder profilering, en dat derhalve als rechtsgrond zou kunnen worden aangevoerd. Opgemerkt zij echter dat dit lid 2 niet van toepassing is indien het Hof zou oordelen dat scoring niet onder het verbod van lid 1 van dit artikel 22 valt. Zoals duidelijk uit de bewoordingen en de algemene opzet van artikel 22 AVG naar voren komt, veronderstelt de toepassing van lid 2 namelijk dat aan de voorwaarden van lid 1 is voldaan. Bijgevolg is het duidelijk dat artikel 22, lid 2, onder b), AVG niet kan worden toegepast indien de eerste vraag ontkennend wordt beantwoord.

64.

Volledigheidshalve en gelet op het bevestigende antwoord dat ik op de eerste vraag in overweging geef, acht ik het noodzakelijk na te gaan of deze bepaling van toepassing kan zijn ingeval het Hof op zijn beurt van oordeel zou zijn dat een scoring door een kredietinformatiebureau een ‘besluit’ in de zin van lid 1 van dit artikel 22 is. Maar zelfs dan blijft er om een aantal redenen twijfel bestaan over de geschiktheid van artikel 22, lid 2, onder b), van deze verordening als rechtsgrond.

65.

Ten eerste moet eraan worden herinnerd dat artikel 22 AVG enkel betrekking heeft op besluiten die ‘uitsluitend’ zijn genomen na de geautomatiseerde verwerking van gegevens, terwijl § 31 BDSG volgens de verwijzende rechter zonder onderscheid regels bevat die ook van toepassing zijn op niet-geautomatiseerde besluiten en tegelijkertijd de rechtmatigheid regelt van het gebruik van gegevensverwerkingen voor scoringsdoeleinden. § 31 BDSG heeft met andere woorden een veel ruimere materiële werkingssfeer dan artikel 22 AVG.27. Bijgevolg valt te betwijfelen of artikel 22, lid 2, onder b), AVG als rechtsgrond kan dienen.

66.

Ten tweede moet worden opgemerkt dat, zoals de verwijzende rechter aangeeft, § 31 BDSG het ‘gebruik’ van een waarschijnlijkheidswaarde door marktdeelnemers regelt, maar niet de ‘vaststelling’ van deze waarde door kredietinformatiebureaus, een aspect waarop de eerste prejudiciële vraag niettemin betrekking heeft. Dit kan ook worden afgeleid uit de verklaringen die de Duitse regering ter terechtzitting heeft afgelegd. Zoals ik in het kader van de behandeling van die vraag uitvoerig heb uiteengezet, is artikel 22, lid 1, AVG ook van toepassing in de fase van de ‘vaststelling’ van de score en niet alleen in die van het ‘gebruik’ ervan door een financiële instelling, mits aan bepaalde voorwaarden is voldaan.28. Anders gezegd, artikel § 31 BDSG lijkt erop gericht een andere situatie te regelen dan die welke binnen de materiële werkingssfeer van artikel 22 AVG valt, hetgeen de verwijzende rechter dient te bevestigen. In het licht van de voorgaande overwegingen ben ik van mening dat artikel 22, lid 2, onder b), AVG moet worden uitgesloten als rechtsgrond voor de vaststelling van een nationale wettelijke maatregel als bedoeld in § 31 BDSG.

2) Toepasselijkheid van artikel 6, leden 2 en 3, AVG

i) Bepalingen waarbij de lidstaten regelgevende bevoegdheden worden toegekend

67.

Krachtens artikel 6, lid 1, AVG is de verwerking van persoonsgegevens alleen rechtmatig indien aan de voorwaarde inzake een van de daarin opgesomde gronden is voldaan. Zoals het Hof reeds heeft geoordeeld, is dit een uitputtende en limitatieve lijst van gevallen waarin de verwerking van persoonsgegevens kan worden geacht rechtmatig te zijn.29. De vaststelling van een score door een kredietinformatiebureau moet dan ook vallen onder een van de in deze bepaling bedoelde gevallen om als rechtmatig te kunnen worden beschouwd.

68.

In een geval als aan de orde in het hoofdgeding zouden de punten b), c) en f) van artikel 6, lid 1, AVG in beginsel van toepassing kunnen zijn. Overeenkomstig lid 2 van dit artikel kunnen de lidstaten specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van de AVG worden toegepast. Deze bepaling is echter alleen van toepassing met het oog op de naleving van lid 1, onder c) en e). Evenzo bepaalt lid 3 van dit artikel 6 dat de rechtsgrond voor de verwerking moet worden vastgesteld bij lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is, voor zover de verwerking betrekking heeft op de in lid 1, punten c) en e) bedoelde gevallen.

69.

Hieruit volgt dat de lidstaten specifiekere bepalingen kunnen vaststellen wanneer de verwerking ‘noodzakelijk [is] om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust’ of ‘noodzakelijk [is] voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen’. Als gevolg van deze voorwaarden wordt de regelgevende bevoegdheid van de lidstaten strikt afgebakend, waardoor wordt uitgesloten dat in de AVG opgenomen openingsclausules willekeurig worden toegepast, hetgeen de doelstelling van harmonisatie van het recht inzake de bescherming van persoonsgegevens zou kunnen doorkruisen.

70.

Bovendien moet in dit verband worden opgemerkt dat voor zover in sommige van die bepalingen de specifieke terminologie van de AVG wordt aangewend, zonder dat uitdrukkelijk naar het recht van de lidstaten wordt verwezen, de gebruikte termen autonoom en uniform moeten worden uitgelegd.30. Of de regeling van § 31 BDSG onder een van de in artikel 6, lid 1, AVG genoemde gronden valt, moet dus tegen deze achtergrond worden beoordeeld.

ii) Rechtmatigheid van de verwerking

— In artikel 6, lid 1, onder b), AVG genoemde grond

71.

Uit het bepaalde in punt b) volgt dat de verwerking alleen rechtmatig is indien en voor zover zij noodzakelijk is voor ‘de uitvoering van een overeenkomst waarbij de betrokkene partij is’ of ‘om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen’. In dit verband moet worden gewezen op het feit dat tijdens de uitvoeringsfase van een overeenkomst alleen in uitzonderlijke gevallen een beroep wordt gedaan op kredietinformatiebureaus. De belangrijkste fase is de precontractuele fase, waarin doorgaans informatie over de solvabiliteit wordt verkregen. Het lijkt mij dat op basis van deze bepaling ten behoeve van een kredietcontrole een verzoek om inlichtingen tot een kredietinformatiebureau mag worden gericht.31. Het moet echter worden verduidelijkt dat deze bepaling alleen betrekking heeft op de toestemming om kredietwaardigheidsonderzoeken te laten uitvoeren door potentiële contractuele partners, schuldeisers en/of juridische dienstverleners, en dus de voorwaarden schept waaronder kredietinformatiebureaus rechtmatig gegevens kunnen verzamelen. Deze bepaling lijkt mij daarentegen op zich geen toereikende rechtsgrond om de activiteiten van een kredietinformatiebureau in het algemeen te legitimeren.32.

72.

Bovendien zij eraan herinnerd dat in artikel 6, lid 1, onder b), AVG weliswaar een grondslag is vastgelegd voor de rechtmatigheid van de verwerking van persoonsgegevens, maar dat dit artikel geen betrekking heeft op een van de in de leden 2 en 3 bedoelde gevallen, volgens welke de lidstaten over regelgevende bevoegdheid beschikken. Daaruit volgt dat, voor zover artikel 6 AVG dergelijke gevallen limitatief opsomt, een nationale bepaling als die bedoeld in § 31 BDSG niet uitsluitend op basis van artikel 6, lid 1, onder b), AVG kan worden vastgesteld.

— In artikel 6, lid 1, onder c), AVG genoemde grond

73.

De in artikel 6, lid 1, onder c), AVG genoemde grond betreft de verwerking op basis van een ‘wettelijke verplichting’ waaraan de verwerkingsverantwoordelijke is onderworpen. Het gaat om eisen die de staat zelf oplegt. Deze bepaling geldt echter niet voor verplichtingen die voortvloeien uit civielrechtelijke overeenkomsten, zoals een overeenkomst tussen een financiële instelling en een kredietinformatiebureau. Financiële instellingen die zich moeten vergewissen van de kredietwaardigheid van hun cliënten op grond van de hun door het nationale recht opgelegde verplichtingen, kunnen zich voor de desbetreffende verzoeken om inlichtingen niettemin op deze rechtsgrond beroepen om vanuit het gezichtspunt van een kredietinformatiebureau de volstrekte rechtmatigheid van dergelijke verzoeken te waarborgen. De ‘vaststelling’ van een score door het kredietinformatiebureau kan daarentegen niet worden beschouwd als een maatregel die is genomen ter vervulling van een aan hem opgelegde ‘wettelijke verplichting’, aangezien een dergelijke verplichting in het nationale recht niet lijkt te bestaan. Derhalve moet worden aangenomen dat dit punt c) niet geldig kan worden ingeroepen als rechtsgrond om scoring als een rechtmatige verwerking aan te merken.

— In artikel 6, lid 1, onder e), AVG genoemde grond

74.

Vervolgens rijst de vraag of artikel 6, lid 1, onder e), AVG kan worden ingeroepen als rechtsgrond voor de vaststelling van § 31 BDSG. Dit zou het geval zijn indien de verwerking ‘noodzakelijk [zou zijn] voor de vervulling van een taak van algemeen belang of van een taak in het kader van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen’. Enerzijds kan worden gesteld, zoals blijkt uit de wetgevende doelstelling van § 31 BDSG die in het opschrift van die nationale bepaling is weergegeven (‘Bescherming van economische transacties in het kader van scoring en informatieverstrekking over kredietwaardigheid’), en uit de voorbereidende werkzaamheden33., dat kredietinformatiebureaus bijdragen tot het goed functioneren van de economie van een land.34.

75.

Aangezien deze ondernemingen informatie ter beschikking stellen over de kredietwaardigheid van bepaalde personen, helpen zij immers niet alleen om de consument te beschermen tegen het risico van een bovenmatige schuldenlast35., maar ook om de ondernemingen te beschermen die hun goederen verkopen of hun kredieten verstrekken. Deze bedrijven zorgen voor stabiliteit van het financiële stelsel door te voorkomen dat op onverantwoorde wijze krediet wordt verstrekt aan kredietnemers bij wie het risico op wanbetaling groot is.36. Zonder een betrouwbaar kredietbeoordelingssysteem zou een groot deel van de bevolking vrijwel geen leningen kunnen krijgen vanwege onberekenbare risico's, zouden economische transacties in het informatietijdperk aanzienlijk moeilijker zijn en pogingen tot fraude onopgemerkt blijven. In dat licht bezien kan worden ingestemd met de redenen op grond waarvan de Duitse wetgever § 31 BDSG blijkbaar heeft vastgesteld.

76.

Hoewel het algemeen bekend is dat privaatrechtelijke rechtspersonen in het algemeen belang kunnen handelen, lijkt het mij overigens duidelijk dat een ‘gerechtvaardigd belang’ geen toepassing van artikel 6, lid 1, onder e), AVG kan rechtvaardigen. De verhouding met de ‘uitoefening van openbaar gezag’ en de overwegingen 45, 55 en 56 AVG wijzen er eerder op dat deze bepaling in de eerste plaats gericht is op overheidsinstanties in strikte zin, alsook op rechtspersonen met een taak van openbaar gezag, en in de tweede plaats op privaatrechtelijke rechtspersonen die verwerkingen uitvoeren in het kader van de openbare dienstverlening, bijvoorbeeld op het gebied van ‘volksgezondheid’, ‘sociale bescherming’ en ‘het beheer van gezondheidszorgdiensten’, die uitdrukkelijk zijn vermeld in overweging 45. Deze bepaling heeft met andere woorden betrekking op de traditionele taken van de staat.

77.

Ook zij opgemerkt dat in de overwegingen 55 en 56 AVG wordt verwezen naar ‘officieel erkende religieuze verenigingen’ en naar ‘politieke partijen’, dat wil zeggen organisaties die volgens de criteria van de Uniewetgever activiteiten in het algemeen belang verrichten en daartoe persoonsgegevens verwerken. Het valt dan ook te betwijfelen of deze bepaling ook kan slaan op activiteiten van kredietinformatiebureaus, zoals scoring. Een dergelijke uitlegging zou de werkingssfeer van deze bepaling aanzienlijk verruimen en het bijzonder moeilijk maken om de grenzen van deze openingsclausule te bepalen.37.

78.

Naast de uiteengezette overwegingen moet in dit verband worden opgemerkt dat § 31 BDSG weliswaar beoogt economische transacties te beschermen, maar dat in deze bepaling geen concrete taken van de bedoelde ondernemingen worden genoemd.38. Zoals ik reeds in deze conclusie heb aangegeven, waarbij ik mij baseer op de verduidelijkingen van de verwijzende rechter over het nationale rechtskader, heeft deze bepaling betrekking op het ‘gebruik’ van de score door marktdeelnemers en niet op de ‘vaststelling’ ervan door kredietinformatiebureaus.39. Centraal in het hoofdgeding staat echter de rechtmatigheid van deze activiteit. Om de hierboven uiteengezette redenen ben ik van mening dat artikel 6, lid 1, onder e), AVG niet geschikt is als rechtsgrond.

— In artikel 6, lid 1, onder f), AVG genoemde grond

79.

Vervolgens moet worden onderzocht of deze activiteit binnen de werkingssfeer van artikel 6, lid 1, onder f), AVG valt. Volgens de rechtspraak van het Hof40. zijn in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan wil een verwerking van persoonsgegevens rechtmatig zijn, namelijk, in de eerste plaats de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de tweede plaats de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en in de derde plaats de voorwaarde dat de grondrechten en fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen.

80.

Wat om te beginnen de behartiging van een ‘gerechtvaardigd belang’ betreft, wil ik eraan herinneren dat de AVG en de rechtspraak een breed scala aan belangen als gerechtvaardigd erkennen41., met dien verstande dat het krachtens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om aan te geven welke gerechtvaardigde belangen worden behartigd in de zin van artikel 6, lid 1, onder f), AVG. Zoals ik in deze conclusie reeds heb aangegeven, beoogt § 31 BDSG de rechtmatigheid van de activiteiten van kredietinformatiebureaus te waarborgen, aangezien deze ondernemingen volgens de Duitse wetgever bijdragen tot het goed functioneren van de economie.42. Aangezien deze activiteiten verschillende marktdeelnemers bescherming bieden tegen de risico's die inherent zijn aan insolventie, met ernstige gevolgen voor de stabiliteit van het financiële stelsel, kan in dit stadium van de analyse worden aangenomen dat de bovengenoemde nationale bepaling een economische doelstelling nastreeft, die een ‘gerechtvaardigd belang’ in de zin van artikel 6, lid 1, onder f), AVG kan vormen.

81.

Wat vervolgens de voorwaarde betreft inzake de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang, moeten volgens de rechtspraak van het Hof de uitzonderingen en beperkingen ter zake van de bescherming van persoonsgegevens binnen de grenzen van het strikt noodzakelijke blijven.43. Derhalve moet er een nauw verband bestaan tussen de verwerking en het nagestreefde belang, bij gebreke van alternatieven die de bescherming van persoonsgegevens beter in acht nemen, aangezien het niet volstaat dat de verwerking louter nuttig is voor de verwerkingsverantwoordelijke. In dit verband moet worden opgemerkt dat de verwijzende rechter weliswaar twijfels uit over de rechtmatigheid van scoring in het licht van de bepalingen van de AVG, maar geen informatie verstrekt waaruit blijkt dat er eventueel alternatieve maatregelen voorhanden zouden zijn die de bescherming van persoonsgegevens beter in acht nemen. Bij gebreke van andersluidende informatie, ben ik geneigd te erkennen dat er bij de keuze van de juiste maatregelen om het beoogde doel te bereiken enige speelruimte bestaat.

82.

Ten slotte moet, wat betreft de afweging tussen de belangen van de verwerkingsverantwoordelijke enerzijds en de belangen of grondrechten en fundamentele vrijheden van de betrokkene anderzijds, worden vastgesteld dat deze belangenafweging in casu bij een wetgevende handeling heeft plaatsgevonden. Met de vaststelling van § 31 BDSG heeft de Duitse wetgever economische belangen zwaarder laten wegen dan het recht op bescherming van persoonsgegevens. Een dergelijke benadering is echter alleen mogelijk indien artikel 6, lid 1, onder f), AVG een clausule zou bevatten op grond waarvan de lidstaten specifiekere voorschriften zouden kunnen handhaven of invoeren ter aanpassing van de manier waarop de regels van die verordening met betrekking tot verwerking worden toegepast. Maar dat is niet het geval, zoals ik hieronder zal uitleggen.

83.

Zoals duidelijk blijkt uit de bewoordingen van artikel 6, leden 2 en 3, AVG, kunnen specifiekere bepalingen slechts worden gehandhaafd of ingevoerd in de in lid 1, onder c) en e), bedoelde gevallen. Uit de voorgaande analyse is gebleken dat § 31 BDSG geen betrekking heeft op omstandigheden die daaronder zouden kunnen vallen, waardoor het logischerwijs is uitgesloten dat artikel 6, leden 2 en 3, AVG als rechtsgrond kan worden ingeroepen. Toepassing op het onder punt f), van lid 1 beoogde geval zou niet alleen in strijd zijn met de bewoordingen van die bepalingen, maar ook indruisen tegen de bedoeling van de Uniewetgever, zoals die blijkt uit de ontstaansgeschiedenis van deze bepalingen.

84.

In dit verband wil ik eraan herinneren dat de lidstaten op grond van artikel 5 van richtlijn 95/46/EG44. — de voorloper van de AVG — verplicht waren ‘de voorwaarden [te bepalen] waaronder de verwerking van persoonsgegevens rechtmatig is’. Het Hof heeft deze bepaling aldus uitgelegd dat niets eraan in de weg staat dat de lidstaten bij de uitoefening van hun in artikel 5 van richtlijn 95/46 neergelegde beoordelingsmarge ‘richtsnoeren’ vaststellen voor de afweging die nodig is krachtens artikel 7, onder f), van die richtlijn, dat overeenkomt met artikel 6, lid 1, onder f), AVG. Het is echter belangrijk op te merken dat de AVG de lidstaten geen dergelijke bevoegdheid meer verleent. Doordat een vergelijkbare bepaling in deze verordening ontbreekt, mogen de lidstaten in hun nationale recht namelijk geen richtsnoeren meer vaststellen om het ‘gerechtvaardigde belang’ in de zin van artikel 6, lid 1, onder f), van die verordening nader te bepalen.45.

85.

De verwijzing in de leden 2 en 3 naar de ‘bepalingen in verband met specifieke situaties op het gebied van gegevensverwerking’ van hoofdstuk IX leidt niet tot een verruiming van de werkingssfeer van artikel 6 AVG. Het gaat veeleer om een verwijzing naar bepalingen op grond waarvan de lidstaten specifiekere regels kunnen vaststellen in welomschreven gebieden, namelijk wanneer de verwerking noodzakelijk is voor de naleving van een ‘wettelijke verplichting’ in de zin van punt c) van lid 1, of voor de uitvoering van een ‘taak van algemeen belang’, dan wel in het kader van de uitoefening van het ‘openbaar gezag’, als bedoeld in punt e) van dat lid.46. Zoals ik reeds eerder heb aangegeven, houden deze gebieden echter geen verband met de omstandigheden waarin § 31 BDSG van toepassing is.

86.

In dit verband zij er tevens aan herinnerd dat de Commissie in haar voorstel voor een verordening weliswaar de bevoegdheid werd toegekend om ‘gedelegeerde handelingen vast te stellen met het oog op de nadere invulling van de in [artikel 6], lid 1, onder f), bedoelde voorwaarden, voor diverse sectoren en situaties op het gebied van gegevensverwerking, onder meer ten aanzien van de verwerking van persoonsgegevens met betrekking tot kinderen’, maar dat dit voorstel niet door de Uniewetgever is overgenomen. Uit een analyse van de ontwikkeling van de tekst blijkt dat de regelgevende bevoegdheden van de lidstaten zijn beperkt in het belang van een grotere harmonisatie, om een coherente en homogene toepassing van de regels in verband met de verwerking van persoonsgegevens te verzekeren, zoals ook wordt bevestigd door de overwegingen 3, 9 en 10 AVG.47. Hiermee moet rekening worden gehouden bij de uitlegging van artikel 6 AVG.

87.

Tot slot acht ik het noodzakelijk erop te wijzen dat zelfs indien artikel 6, lid 1, onder f), AVG van toepassing zou zijn, een nationale bepaling als § 31 BDSG niet kan worden geacht in overeenstemming te zijn met het Unierecht. Ik wijs erop dat het Hof artikel 7, onder f), van richtlijn 95/46 aldus heeft uitgelegd dat ‘[e]en lidstaat […] voor [bepaalde] categorieën [persoonsgegevens] de uitkomst van de afweging van de tegengestelde rechten en belangen […] niet definitief [mag] vaststellen, zonder ruimte te bieden voor een afwijkende uitkomst wegens de bijzondere omstandigheden van een concreet geval’48.. Aangezien deze bepaling in vrijwel identieke bewoordingen is gesteld als de bepaling waardoor zij is vervangen, te weten artikel 6, lid 1, onder f), AVG, lijkt deze uitlegging mij nog steeds geldig.49. Zoals de verwijzende rechter suggereert, lijkt de nationale wetgever net dat doel voor ogen te hebben gehad, aangezien, nu § 31 BDSG het gebruik van scores in de financiële sector toestaat, de economische belangen van de financiële sector zwaarder wegen dan het recht op bescherming van persoonsgegevens, zonder dat evenwel rekening wordt gehouden met de bijzondere omstandigheden van het concrete geval. Een dergelijke aanpak zou erop neerkomen dat de werkingssfeer van artikel 6 AVG op ontoelaatbare wijze wordt verruimd.

88.

Gelet op het voorgaande ben ik van mening dat artikel 6, lid 1, onder f), AVG niet geldig kan worden ingeroepen als rechtsgrond voor de vaststelling van een nationale bepaling als § 31 BDSG.

— In artikel 6, lid 4, juncto artikel 23, lid 1, AVG genoemde grond

89.

De verwijzende rechter wijst erop dat in het kader van de wetgevingsprocedure voor de vaststelling van § 31 BDSG, artikel 6, lid 4, en artikel 23, lid 1, AVG als rechtsgronden zijn aangevoerd. In een later stadium zou die gedachtegang echter verlaten zijn. Volgens de verwijzende rechter zijn deze bepalingen in casu niet van toepassing.

90.

Bij gebreke van meer gedetailleerde informatie kan ik geen standpunt innemen over de vraag of bovengenoemde bepalingen van toepassing zouden kunnen zijn. Dit lijkt mij ook niet nodig omdat die bepalingen, zoals de verwijzende rechter stelt, tijdens de wetgevingsprocedure geen enkele rol hebben gespeeld.50.

iii) Tussenconclusie

91.

In de voorgaande punten heb ik de vraag onderzocht of de artikelen 6 en 22 AVG kunnen dienen als rechtsgrond voor de vaststelling van een nationale bepaling, zoals § 31 BDSG, om de rechtmatigheid van het vaststellen van scores in het kader van activiteiten van kredietinformatiebureaus te onderbouwen. Een aantal redenen, die ik in mijn analyse uitvoerig heb uiteengezet, sterken mij in de overtuiging dat deze mogelijkheid moet worden uitgesloten. Samenvattend ben ik — bij gebreke van openingsclausules of vrijstellingen die de lidstaten toestaan nadere regels vast te stellen of van de regels van de AVG af te wijken teneinde deze activiteit te reguleren, en rekening houdend met de mate van harmonisatie die wordt nagestreefd door deze verordening, die overeenkomstig artikel 288 VWEU verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat — van mening dat een dergelijke bepaling niet in overeenstemming is met de AVG.

92.

Aangezien het Hof in een prejudiciële procedure op grond van artikel 267 VWEU niet bevoegd is om het nationale recht uit te leggen of zich uit te spreken over de verenigbaarheid daarvan met het Unierecht, dienen de in deze conclusie uiteengezette argumenten te worden opgevat als aanwijzingen voor de uitlegging van de relevante bepalingen van de AVG, zodat de verwijzende rechter deze bevoegdheid in voorkomend geval kan uitoefenen nadat hij zelf § 31 BDSG aan de AVG heeft getoetst en met name heeft onderzocht of het mogelijk is de nationale wetgeving uit te leggen overeenkomstig de vereisten van het Unierecht.

93.

Het beginsel van voorrang van het Unierecht houdt in dat dit recht voorrang heeft op het recht van de lidstaten. Dit beginsel verplicht dus alle instanties van de lidstaten om volle werking te verlenen aan de verschillende bepalingen van het Unierecht, aangezien het recht van de lidstaten niet kan afdoen aan de werking die op het grondgebied van die staten aan deze bepalingen is verleend. Dit beginsel brengt mee dat, indien nationale wetgeving niet in overeenstemming met de vereisten van het Unierecht kan worden uitgelegd, de nationale rechter die in het kader van zijn bevoegdheid is belast met de toepassing van de bepalingen van het Unierecht, verplicht is de volle werking van deze bepalingen te verzekeren en daarbij zo nodig, op eigen gezag, elke, zelfs latere, strijdige bepaling van de nationale wetgeving buiten toepassing te laten, zonder dat hij de voorafgaande opheffing hiervan via de wetgeving of enige andere constitutionele procedure hoeft te vragen of af te wachten.51.

b) Antwoord op de tweede prejudiciële vraag

94.

In antwoord op de tweede prejudiciële vraag ben ik van mening dat artikel 6, lid 1, en artikel 22 AVG aldus moeten worden uitgelegd zij niet in de weg staan aan een nationale wettelijke regeling inzake profilering wanneer het gaat om andere profilering dan die als bedoeld in artikel 22, lid 1, van die verordening. De nationale wettelijke regeling moet in dat geval echter wel voldoen aan de voorwaarden van artikel 6 van die verordening en met name een passende rechtsgrond hebben, hetgeen door de nationale rechter moet worden nagegaan.

VI. Conclusie

95.

Gelet op een en ander geef ik het Hof in overweging om de prejudiciële vragen van het Verwaltungsgericht Wiesbaden te beantwoorden als volgt:

‘1): Artikel 22, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde betreffende het vermogen van een persoon om in de toekomst een lening af te lossen, reeds een besluit vormt dat uitsluitend op geautomatiseerde verwerking, waaronder profilering, is gebaseerd en waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft, wanneer die waarde, die met behulp van persoonsgegevens van de betrokkene is vastgesteld, door de verwerkingsverantwoordelijke aan een verwerkingsverantwoordelijke derde wordt doorgegeven en, volgens een vaste praktijk, voor die derde bepalend is bij zijn besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met de betrokkene.
2): Artikel 6, lid 1, en artikel 22 van verordening 2016/679
moeten aldus worden uitgelegd dat
zij niet in de weg staan aan een nationale wettelijke regeling inzake profilering wanneer het gaat om andere profilering dan die als bedoeld in artikel 22, lid 1, van die verordening. De nationale wettelijke regeling moet in dat geval echter wel voldoen aan de voorwaarden van artikel 6 van die verordening en met name een passende rechtsgrond hebben, hetgeen door de nationale rechter moet worden nagegaan.’

Toon alle voetnoten

Voetnoten

Voetnoten Conclusie 16‑03‑2023

Oorspronkelijke taal: Frans.

PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2.

BGBl. 2017 I, blz. 2097.

BGBl. 2019 I, blz. 1626.

Concreet gaat het om de artikelen 18 en 21 van richtlijn 2014/17/EU van het Europees Parlement en de Raad van 4 februari 2014 inzake kredietovereenkomsten voor consumenten met betrekking tot voor bewoning bestemde onroerende goederen en tot wijziging van de richtlijnen 2008/48/EG en 2013/36/EU en verordening (EU) nr. 1093/2010 (PB 2014, L 60, blz. 34), en om de artikelen 8 en 9 van richtlijn 2008/48/EG van het Europees Parlement en de Raad van 23 april 2008 inzake kredietovereenkomsten voor consumenten en tot intrekking van richtlijn 87/102/EEG van de Raad (PB 2008, L 133, blz. 66).

Uit de ‘Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van [verordening 2016/679]’, die op 3 oktober 2017 door de Groep gegevensbescherming artikel 29 zijn vastgesteld, komt naar voren dat profilering en geautomatiseerde besluitvorming aanzienlijke risico's met zich mee kunnen brengen voor de rechten en vrijheden van personen. Profilering kan met name bestaande stereotypen en sociale segregatie bestendigen. Bovendien kan profilering, voor zover de keuzevrijheid van de betrokkenen met betrekking tot bepaalde producten of diensten kan worden beperkt, tot weigering van dienstverlening en goederen alsook tot ongerechtvaardigde discriminatie leiden.

Zie arrest van 28 april 2022, Meta Platforms Ireland (C-319/20, EU:C:2022:322, punten 57 en 60).

Zie arrest van 28 oktober 2020, Pegaso en Sistemi di Sicurezza (C-521/18, EU:C:2020:867, punten 26 en 27).

Zie conclusie van advocaat-generaal Richard de la Tour in de zaak Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21, EU:C:2022:661, punten 43 e.v.).

10.

Zie arrest van 22 juni 2010, Melki en Abdeli (C-188/10 en C-189/10, EU:C:2010:363, punt 45).

11.

Zie arrest van 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21, EU:C:2023:2, punt 57).

12.

Zie de Spaanse (‘tratamiento automatizado, incluida la elaboración de perfiles’), de Deense (‘automatisk behandling, herunder profilering’), de Duitse (‘einer automatisierten Verarbeitung — einschließlich Profiling’), de Estse (‘automatiseeritud töötlusel, sealhulgas profiilianalüüsil’), de Engelse (‘automated processing, including profiling’), de Franse (‘un traitement automatisé, y compris le profilage’) en de Poolse (‘zautomatyzowanym przetwarzaniu, w tym profilowaniu’) taalversie (cursivering van mij).

13.

Zie in die zin, Bygrave, L. A, ‘Article 22. Automated individual decision-making, including profiling’, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A., Docksey, C. (red.), Oxford 2020, blz. 532.

14.

Abel, R., ‘Automatisierte Entscheidungen im Einzelfall gem. Art. 22 DS-GVO — Anwendungsbereich und Grenzen im nicht-öffentlichen Bereich’, Zeitschrift für Datenschutz, 7/2018, blz. 307, waarin de auteur meent dat deze bepaling betrekking heeft op ‘besluiten’ die gevolgen hebben voor de rechtspositie van de betrokkene of zijn economische of persoonlijke ontwikkeling duurzaam verstoren.

15.

Helfrich, M., Sydow, G., DS-GVO/BDSG, 2e druk, Baden-Baden 2018, art. 22, punt 51, waarin de auteurs menen dat de vaststelling of de betrokkene zijn rechten en vrijheden nog kan uitoefenen van doorslaggevend belang is, zoals de gevolgen van observatie en evaluatie, die een aanzienlijke invloed kunnen hebben op de ontwikkeling van zijn persoonlijkheid.

16.

Bernhardt, U., Ruhrman, I., Schuler, K., Weichert, T., ‘Evaluation der Europäischen Datentschutz-Grundverordnung’, versie van 18 juli 2019, Netzwerk Datenschutzexpertise, blz. 7, waarin de auteurs van mening zijn dat de bij profilering gebruikte algoritmen gemakkelijk tot discriminatie kunnen leiden en schade veroorzaken; volgens hen moet daarom worden verduidelijkt dat alle vormen van uitgebreide en complexe profilering onder het in artikel 22, lid 1, AVG genoemde verbod vallen.

17.

Zie in die zin, Sydow, G., Marsch, N., DS-GVO/BDSG, 3e druk, Baden-Baden 2022, § 31, punt 5, BDSG waarin de auteurs van mening zijn dat scoring de betrokkenen in aanmerkelijke mate en op soortgelijke wijze als een besluit met rechtsgevolgen kan treffen.

18.

Zie de Spaanse (‘únicamente’), de Deense (‘alene’), de Duitse (‘ausschließlich’), de Estse (‘üksnesv’), de Engelse (‘solely’), de Franse (‘exclusivement’) en de Poolse (‘wyłącznie’) taalversie.

19.

Een dergelijke aanpak lijkt mij des te noodzakelijker omdat noch SCHUFA, noch de HBDI tijdens de terechtzitting een duidelijk antwoord kon geven op de vraag of de scores bedoeld zijn om de beslissingen van financiële instellingen vooraf te bepalen. De vertegenwoordiger van SCHUFA gaf echter aan dat financiële instellingen voordeel trekken van de ervaring en deskundigheid van kredietinformatiebureaus om de solvabiliteit van een natuurlijk persoon vast te stellen, hetgeen in beginsel zou kunnen worden uitgelegd als een indicatie dat zij aanzienlijke invloed hebben op het besluitvormingsproces.

20.

Blasek, K., ‘Auskunfteiwesen und Kredit-Scoring in unruhigem Fahrwasser — Ein Spagat zwischen Individualschutz und Rechtssicherheit’, Zeitschrift für Datenschutz, 8/2022, blz. 436 en 438, waarin de auteur van mening is dat een toepassing van artikel 22, lid 1, AVG niet kan worden uitgesloten in gevallen waarin werknemers van een bank de door kredietinformatiebureaus uitgevoerde geautomatiseerde beoordelingen (profilering, scoring) zonder kritische blik aanwenden. Volgens hem moeten banken niet alleen vertrouwen op deze externe informatie, maar deze juist zelf op passende wijze controleren.

21.

Zie in die zin Horstmann, J., Dalmer, S., ‘Automatisierte Kreditwürdigkeitsprüfung. Externes Kreditscoring im Lichte des Verbots automatisierter Einzelfallentscheidungen’, Zeitschrift für Datenschutz, 5/2022, blz. 263.

22.

Cursivering van mij.

23.

Cursivering van mij.

24.

Zie, Zanfir-Fortuna, G., ‘Article 15. Right of access by the data subject’, The EU General Data Protection Regulation (GDPR) Kuner, C., Bygrave, L. A., Docksey, C. (red.), Oxford 2020, blz. 463.

25.

Zie in die zin ‘Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van [verordening 2016/679]’, vastgesteld op 3 oktober 2017 door de Groep gegevensbescherming artikel 29, blz. 32 en 33.

26.

Zie ‘Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU — DSAnpUG-EU)’, Bundesrat — Drucksache 110/17 van 2.2.2017, blz. 101 en 102, alsook Abel, R., ‘Einmeldung und Auskunfteitätigkeit nach DS-GVO und § 31 BDSG — Frage der Rechtssicherheit im neuen Recht’, Zeitschrift für Datenschutz, 3/2018, blz. 105, waarin kritiek wordt gegeven op het wetsontwerp omdat het geen melding maakt van de openingsclausule waarop § 31 BDSG is gebaseerd, en waarin twijfels worden geuit over de verenigbaarheid van deze bepaling met het Unierecht.

27.

28.

Zie punt 44 van deze conclusie.

29.

Arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C-439/19, EU:C:2021:504, punt 99).

30.

Arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C-439/19, EU:C:2021:504, punt 81).

31.

Zie in die zin von Lewinski, K., Pohl, D., ‘Auskunfteien nach der europäischen Datenschutzreform — Brüche und Kontinuitäten der Rechtslage’, Zeitschrift für Datenschutz, 1/2018, blz. 19.

32.

Zie in die zin Abel, R., ‘Einmeldung und Auskunfteitätigkeit nach DS-GVO und § 31 BDSG — Frage der Rechtssicherheit im neuen Recht’, Zeitschrift für Datenschutz, 3/2018, blz. 106.

33.

34.

Zie daarvoor, Guggenberger, N., Sydow, G., Bundesdatenschutzgesetz, 1e druk, Baden-Baden 2020, § 31, punten 2 en 5, BDSG.

35.

Zie arrest van 27 maart 2014, LCL Le Crédit Lyonnais (C-565/12, EU:C:2014:190, punten 40 en 42), betreffende de verplichting van de kredietgever in artikel 8, lid 1, van richtlijn 2008/48 om de kredietwaardigheid van de consument te beoordelen alvorens een kredietovereenkomst te sluiten, in voorkomend geval door het relevante gegevensbestand te raadplegen. Volgens het Hof beoogt deze precontractuele verplichting de consument te beschermen tegen de risico's van een bovenmatige schuldenlast en insolvabiliteit, door een grondige bescherming van hun belangen te waarborgen en de totstandkoming van een goed functionerende interne markt voor consumentenkrediet te vergemakkelijken.

36.

Zie arrest van 6 juni 2019, Schyns (C-58/18, EU:C:2019:467, punten 45 en 46), waarin het Hof heeft geoordeeld dat de in artikel 18, lid 5, onder a), van richtlijn 2014/17 neergelegde verplichting van de kredietgever om de kredietwaardigheid van de consument te controleren alvorens hem een krediet te verlenen, ertoe strekt onverantwoordelijk gedrag van marktdeelnemers dat de grondslagen van het financiële stelsel kan ondermijnen, te voorkomen.

37.

Zie in die zin Sydow, G., Marsch, N., DS-GVO/BDSG, 3e druk, Baden-Baden 2022, § 31, punt 6, BDSG en Abel, R., ‘Einmeldung und Auskunfteitätigkeit nach DS-GVO und § 31 BDSG — Frage der Rechtssicherheit im neuen Recht’, Zeitschrift für Datenschutz, 3/2018, blz. 105.

38.

Zie daarvoor Guggenberger, N., Sydow, G., Bundesdatenschutzgesetz, 1e druk, Baden-Baden 2020, § 31, punt 5, BDSG.

39.

Zie punt 66 van deze conclusie.

40.

Arrest van 17 juni 2021, M.I.C.M. (C-597/19, EU:C:2021:492, punt 106).

41.

Zie dienaangaande conclusie van advocaat-generaal Rantos in de zaak Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk) (C-252/21, EU:C:2022:704, punt 60).

42.

Zie punt 74 van deze conclusie.

43.

Zie arresten van 4 mei 2017, Rīgas satiksme (C-13/16, EU:C:2017:336, punt 30), en 17 juni 2021, M.I.C.M. (C-597/19, EU:C:2021:492, punt 110).

44.

Richtlijn van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31).

45.

Zie dienaangaande Heberlein, H., DS-GVO — Kommentar, München 2017, art. 6, punten 28 en 32.

46.

Zie in die zin Heberlein, H., op. cit., punt 32, en Roßnagel, A., Datenschutzrecht, Simitis, S., Hornung, G., Spiecker, I., (red.), München 2019, art. 6, punt 23.

47.

Zie arrest van 22 juni 2022, Leistritz (C-534/20, EU:C:2022:495, punt 26).

48.

Zie arrest van 19 oktober 2016, Breyer (C-582/14, EU:C:2016:779, punt 62).

49.

Zie arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, punt 66), waarin het Hof een aantal bepalingen van richtlijn 95/46 en de AVG uniform heeft uitgelegd.

50.

Guggenberger, N., Sydow, G., Bundesdatenschutzgesetz, 1e druk, Baden-Baden 2020, § 31, punt 6, BDSG waarin de auteurs zich aansluiten bij het oordeel van de verwijzende rechter dat deze bepalingen niet relevant zijn voor de keuze van een rechtsgrondslag voor de vaststelling van § 31 BDSG.

51.

Arrest van 21 juni 2022, Ligue des droits humains (C-817/19, EU:C:2022:491, punt 293).