奧地利監管機關：KSV1870 的信用評分本身即屬自動化決定

奧地利一名消費者在網路上向 Unsere Wasserkraft | go green energy 申請電力合約。不到一分鐘內，他先收到一封歡迎新客戶的電子郵件，隨後卻因信用理由遭到拒絕。該供應商向奧地利最大的信用局 KSV1870 取得信用評分：403 分。該供應商會自動拒絕任何評分達 400 分或以上的申請，而每月經由這套流程處理的能源供應申請約有 6,000 至 10,000 件。

申訴人由隱私團體 noyb 代理，於 2024 年 8 月 29 日向奧地利資料保護機關提出申訴。在 2025 年 9 月 25 日的 D124.1994/24 號決定中，該機關適用歐盟法院（CJEU）2023 年的 SCHUFA 判決（C-634/21）：由於該評分是合約決定中的決定性——甚至可能是唯一——的標準，KSV1870 本身即依《一般資料保護規則》（GDPR）第 22 條第 1 項作出了自動化決定。該局主張自己僅提供建議，此一說法遭到駁回。該機關禁止 KSV1870 在未經同意的情況下，為自動化決策目的對本案申訴人進行評分，該禁令立即生效。

該供應商的拒絕行為被認定依第 22 條第 2 項(a)款的合約例外規定為合法，因此針對該供應商在這一點上的申訴未能成立——但該機關仍認定，該供應商違反了告知申訴人有關自動化決定並說明其邏輯的義務。值得注意的是，該評分後來經人工重新審查並調低；該機關指出，較低的評分才是較正確的評分。

奧地利資料保護機關（DSB）禁止 KSV1870 在未經同意的情況下，為自動化決策目的對本案客戶進行評分，該禁令立即生效；兩家公司均未履行透明度義務。

該決定將 SCHUFA 判決從信用領域延伸至公用事業：在電力申購中以門檻篩選的評分，即屬第 22 條所稱的決定，並附有要求說明的權利。

承擔第 22 條義務的是信用局，而不只是面對客戶的公司——「我們僅提供建議」的主張，在遇到硬性的 400 分門檻時無法成立。

雙方各自獨立地未履行透明度義務：拒絕本身合法，但對其背後的機制保持沉默則不合法。

人工重新審查產生了較好的評分，這證明自動化系統的判斷在事實層面就是錯誤的，而不僅僅是說明不足。

在歐盟法院作出 SCHUFA 判決後，決定答覆結果的評分就是一項決定，而非建議——計算該評分的信用局負有揭露義務，而不只是使用該評分的公司。

針對 KSV1870 的禁令對本案申訴人的資料立即生效，而該決定（經遮蔽後由 noyb 公布）成為奧地利將 SCHUFA 原則適用於消費者合約中自動化信用評分的案例。該供應商雖在拒絕行為本身獲判無責，但就其每月 6,000 至 10,000 名申請人的流程，仍被認定違反揭露義務。