Rz. 247
In den Anwendungsbereich des Art. 6 Abs. 1 lit f.) DSGVO können, wie Taeger zutreffend hervorhebt, auch Maßnahmen zur Bildung sog. Score-Werte fallen, soweit diese nicht in eine "automatisierte Entscheidung" mündet, die dem Betroffenen gegenüber rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt. Nur im letzteren Fall soll sich die Verarbeitung – neben den sonstigen, nach der Verordnung für die Verarbeitung personenbezogener Daten aufgestellten Grundsätzen, wie etwa die Rechtsgrundlage für die Verarbeitung oder die Datenschutzgrundsätze – zusätzlich auch an den weiteren Vorgaben des Art. 22 DSGVO messen lassen müssen. Die Ausführungen von Taeger überzeugen, so dass z.B. die Bildung von Score-Werten durch Auskunfteien, die selber keine "Entscheidung" über den Betroffenen treffen oder sonstige Maßnahmen gegenüber diesem "veranlassen", allein an allgemeinen Vorgaben der DSGO zu messen ist. Die Gegenauffassung von Piltz entfernt sich vom Wortlaut der Norm und findet jedenfalls in grammatikalischer Hinsicht im Verordnungstext keine Grundlage.
Rz. 248
Im Hinblick auf die erforderliche Rechtsgrundlage bildet Art. 6 Abs. 1 lit. f) DSGVO die in Betracht zu ziehende Ermächtigungsgrundlage für Scoring durch Auskunfteien. Dabei kann das Bilden eines Scores unproblematisch als "berechtigtes Interesse" eingestuft werden. Damit ist noch nichts über die Zulässigkeit seiner Bildung im Rahmen des Art. 6 Abs. 1 lit. f) DSGVO gesagt, nach dem das berechtigte Interesse mit den Interessen und Grundrechten des Betroffenen abzuwägen ist. In diesem Zusammenhang spielt nicht nur die Kategorie der im Rahmen des Scorings verwendeten Daten eine Rolle, sondern auch die Auswirkungen, die sich für einen Betroffenen über die – dann anhand der Maßgaben des Art. 22 DSGVO zu messenden – Verwendung des "anlasslos", also nicht mit dem Ziel einer konkreten Entscheidungsfindung, gebildeten Scores ergeben. Vor diesem Hintergrund kann die Bildung engmaschiger Geo-Score-Werte erhebliche Auswirkungen für den Betroffenen haben.
Rz. 249
Die Beurteilung des Scorings außerhalb eines konkreten Entscheidungsprozesses allein nach Art. 6 Abs. 1 lit. f) DSGVO hat unmittelbare Auswirkungen auf die vom Verantwortlichen für derartige Maßnahmen zu erfüllenden Informationspflichten. So ist der Verantwortliche in diesem Fall nicht verpflichtet, über die Zweckangabe hinaus, auch "Informationen über die involvierte Logik" mitzuliefern. Auch das Auskunftsrecht des Betroffenen erstreckt sich beim Scoring außerhalb eines konkreten Entscheidungsprozesses nicht auf diese Information. Mit Blick auf Art. 21 Abs. 1 und Abs. 2 DSGVO ergibt sich für den Betroffenen– in den in Art. 21 Abs. 1 DSGVO normierten Grenzen –unstreitig ein Widerspruchsrecht gegen die Verarbeitung seiner personenbezogenen Daten im Rahmen des Scorings außerhalb konkreter Entscheidungsprozesse.