Die DSB hat in einer nicht rechtskräftigen Entscheidung entschieden, dass jede betroffene Person bei der Aufnahme in eine Bonitätsdatenbank zu verständigen ist.
Mangels Verständigung ist die Verarbeitung rechtswidrig.
(30.11.2018, DSB-D122.954/0010-DSB/2018)
Löschung aufgrund fehlender Information nach Art 14 DSGVO
Eine betroffene Person beantragte die
Löschung der Einträge über
ein nicht eröffnetes bzw. erledigtes Insolvenzverfahren in der Konsumenten- und Warenkreditevidenz.
Diese „Warnlisten“ werden vom KSV 1870 betrieben und stellen sog. Informationsverbundsysteme (nach DSG 2000) bzw. mE eine gemeinsame Verantwortlichkeit gem. Art 26 DSGVO dar. Im Datenverarbeitungsregister können diese noch abgerufen werden. Auf der Website des KSV kann man sich auch darüber informieren.
Die Aufnahme in die Datenbank beruht auf berechtigtem Interesse, sodass eine Interessensabwägung iSd Art 6 Abs 1 lit f DSGVO zu erfolgen hat. Die Daten, um die es bei der Löschung geht, sind an sich öffentlich verfügbare Daten, nämlich die Daten über ein nicht eröffnetes bzw. erledigtes Insolvenzverfahren (ein Insolvenzverfahren wurde mangels kostendeckenden Vermögens gar nicht eröffnet). Dieser Dateninhalt ist an sich bonitätsrelevant, denn bei der betroffenen Person war nicht genug Vermögen vorhanden, um die Kosten des Insolvenzverfahrens zu bezahlen. Aus Gläubigerschutzinteressen kann daher an sich davon ausgegangen werden, dass insbes. öffentlich in der Ediktsdatei zugängliche Daten verarbeitet werden können, und auch Gläubigern, die an der Bonität der betroffenen Person ein berechtigtes Interesse haben können (zB weil es um eine Vertragsanbahnung erfolgt) zugänglich gemacht werden können.
Nach dem Grundsatz von Treu und Glauben (Art 5 Abs 1 lit a DSGVO) hat der Verantwortliche die betroffenen Personen über den Eintrag in die Datenbank zu informieren. Auch der OGH geht in der Entscheidung 6 Ob 275/05t vom 15.12.2005 von einer Verständigungspflicht aus, damit die Verarbeitung den Grundsatz von Treu und Glauben erfüllt. Der in Art 5 Abs 1 lit a DSGVO „verankerte Grundsatz, wonach Daten nur nach Treu und Glauben verwendet werden dürfen, erfordert eine entsprechende Benachrichtigung des Betroffenen, um ihm die Möglichkeit zu geben, sich gegen eine seiner Meinung nach nicht gerechtfertigte, seine Kreditwürdigkeit aber massiv beeinträchtigende Datenverwendung zur Wehr zu setzen.“ (Auszug aus der OGH-Entscheidung).
In dieser Entscheidung bestätigte der OGH auch einen immateriellen Schadenersatzanspruch (nach § 33 DSG, der Vorgängerbestimmung zu § 29 DSG bzw. Art 82 DSGVO) bei der rechtswidrigen Aufnahme einer betroffenen Person in eine Bonitätsdatenbank.
Der Verantwortliche hatte die betroffene Person nicht über den Eintrag in Kenntnis gesetzt. Die DSB verwies auf den Grundsatz von Treu und Glauben in Art 5 Abs 1 lit a DSGVO und führte aus, dass eine derartige Benachrichtigung bei Aufnahme in die Datenbank erfolgen müsse. Ohne die Benachrichtigung der betroffenen Person gemäß Art. 14 DSGVO stellen die Gläubigerschutzinteressen kein ausreichend berechtigtes Interesse dar.
Der Eintrag ist daher rechtswidrig, und die Daten sind zu löschen. Es bleibt abzuwarten, wie das Bundesverwaltungsgericht in dieser Angelegenheit entscheidet, da Art 14 DSGVO auch eine Ausnahme von der Informationspflicht normiert, insbes. die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde (Art 14 Abs 5 lit b DSGVO).
Wäre die Verständigung der betroffenen Person erfolgt, dann wäre dieser ein Widerspruchsrecht zugekommen, und hätte diese die Möglichkeit gehabt, gegen einen unrichtigen Eintrag vorzugehen.
14.01.2019, Autor:
Michael Schweiger, zert. DSBA
