奥地利监管机构：KSV1870的信用评分本身即构成自动化决策

奥地利一名消费者在线向Unsere Wasserkraft | go green energy申请电力合同。不到一分钟，他就收到一封欢迎新客户的邮件，随后又因信用原因遭到拒绝。该供应商从奥地利最大的征信机构KSV1870处获得了信用评分：403。该供应商自动拒绝任何评分达到400或以上的申请——它每月通过这一筛选流程处理大约6,000至10,000份能源供应申请。

投诉人由隐私组织noyb代理，于2024年8月29日向奥地利数据保护局提出申诉。在2025年9月25日的D124.1994/24号决定中，该局适用了欧盟法院2023年SCHUFA案判决（C-634/21）：由于该评分是合同决定中的决定性——即使不是唯一——标准，KSV1870本身即根据《通用数据保护条例》第22条第1款作出了自动化决策。其关于自己仅提供建议的论点被驳回。该局禁止KSV1870在未经同意的情况下为自动化决策对该投诉人进行评分，该禁令立即生效。

该供应商的拒绝被认定在第22条第2款(a)项的合同例外下合法，因此针对该供应商的该项申诉未获支持——但该局仍认定该供应商违反了告知投诉人自动化决策并解释其逻辑的义务。值得注意的是，该评分后来经过人工复核并被调低；该局指出，较低的评分才是更准确的评分。

奥地利数据保护局禁止KSV1870在未经同意的情况下为自动化决策对该客户进行评分，该禁令立即生效；两家公司均未履行透明度义务。

该决定将SCHUFA案从信贷领域扩展至公用事业领域：电力签约中经阈值筛选的评分构成第22条意义上的决策，并附带获得解释的权利。

承担第22条义务的是征信机构，而不仅仅是面向客户的公司——面对硬性的400分门槛，“我们只提供建议”的说法未能成立。

双方各自独立地未能履行透明度义务：拒绝合法，但对背后机制保持沉默则不合法。

人工复核产生了更准确的评分，这证明自动化判断在事实层面就是错误的，而不仅仅是解释不足。

在欧盟法院作出SCHUFA案裁决后，决定结果的评分就是一项决策，而非建议——计算该评分的征信机构负有披露义务，而不仅仅是使用该评分的公司。

针对KSV1870的禁令对该投诉人的数据立即生效，该决定（经删节后由noyb发布）作为奥地利将SCHUFA原则适用于消费者合同中的自动化信用评分的实践而存续。该供应商虽在拒绝本身的问题上未被认定违法，但就其每月6,000至10,000名申请人的筛选流程而言，仍处于披露义务违规的认定之中。