Beurteilung der Kreditwürdigkeit durch künstliche Intelligenz – Aufklärungspflicht

In dem Urteil vom 27. Februar 2025 in der Sache C-203/22 befasste sich der Gerichtshof der EU mit der Frage der automatisierten Bewertung der Kreditwürdigkeit unter Einsatz von künstlicher Intelligenz (KI).

In dem Sachverhalt, der zugrunde dieser Rechtssache lag, weigerte sich ein österreichischer Mobilfunkbetreiber, mit einer Kundin einen Mobilfunkvertrag abzuschließen, der eine monatliche Zahlung vorsah, weil sie nicht über eine ausreichende Kreditwürdigkeit verfügte. Diese Einschätzung wurde im Auftrag des Betreibers durch ein externes Unternehmen mit Hilfe von KI-Technologie durchgeführt.

Die Kundin forderte das Unternehmen auf, die Grundlage der Entscheidung zu erläutern, was jedoch unter Berufung auf Geschäftsgeheimnisse verweigert wurde. Das Verfahren, das sich auf den Datenschutzbestimmungen konzentrierte, wurde vor dem österreichischen Gericht anhängig und dieses Gericht legte dem EuGH eine Vorabentscheidungsfrage betreffend die Auslegung des EU-Rechts (Datenschutz-Grundverordnung) vor.

Der Gerichtshof entschied, dass die betroffene Person ein Recht darauf hat, von dem für die Verarbeitung Verantwortlichen „aussagekräftige Informationen über […] die involvierte Logik“ zu erhalten. Die Stelle, die eine automatisierte Kreditwürdigkeitsprüfung durchführt, sollte in präziser, transparenter, verständlicher und leicht zugänglicher Form die Verfahren und Grundsätze zu erläutern, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses – beispielsweise eines Bonitätsprofils – konkret angewandt wurden.

Nach Ansicht des EuGH sollte der für die Verarbeitung Verantwortliche das angewandte Verfahren und die Grundsätze so beschreiben, dass die betroffene Person nachvollziehen kann, welche ihrer personenbezogenen Daten auf welche Weise in der automatisierten Entscheidungsfindung verwendet wurden.

Es wäre in diesem Zusammenhang unzureichend, nur den verwendeten Algorithmus anzugeben, da dieser für einen durchschnittlichen Empfänger nicht verständlich ist. Aus den Informationen sollte auch hervorgehen, inwieweit eine Änderung der berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis führen würde.

Die Stellungnahme des EuGH zeigt, in welche Richtung sich die Rechtsprechung zum Einsatz von künstlicher Intelligenz entwickeln kann und dass es notwendig ist, die Rechte der Personen, deren Daten automatisiert verarbeitet werden, zu gewähren.

• Urteil des EuGH vom 27. Februar 2025 r., C-203/22