Wirtschaftsauskunftei – Abgehen von der Judikatur zur generellen Aufbewahrungsdauer von Negativdaten.

Einzelfallbetrachtung ist vorzunehmen. Verhaltensregeln iSd Art 40 DSGVO könnten Abhilfe schaffen.

Mit Bescheid der DSB vom 20.02.2019 (rk, DSB-D123.319/0002-DSB/2019) hat die DSB bestätigt (u.a. auch Bescheid vom 7.12.2018, D123.193/0003-DSB/2018), sich von der bisher vertretenen Ansicht zur Aufbewahrungsdauer von Negativdaten (siehe u.a. Bescheid zur Kleinkreditnehmerevidenz: K600.033-018/0002-DVR/2007) zu verabschieden. Es ist auf eine Einzelfallbetrachtung abzustellen.

Der Sachverhalt

Die betroffene Person hat im Jahr 2011  am Bezirksgericht V*** ein Schuldenregulierungsverfahren durchgeführt, welches nach Annahme eines Zahlungsplanes aufgehoben worden sei. Der Zahlungsplan ist am 3. Februar 2017 vollständig erfüllt worden, wodurch Restschuldbefreiung eingetreten sei.

Auch im Jahr 2018 (die Beschwerde wurde am 14.08.2018 eingereicht) war die betroffene Person im Register von Verbraucherkrediten, der Warenkredit-Datenbank und in der Warndatei des N*** eingetragen. Die Daten betreffen das Geburtsdatum, die Wohnanschrift sowie Angaben über seine vormaligen Schuldenstände.

Mit Schreiben vom 11. Juni 2018 hat die betroffene Person die Wirtschaftsauskunftei zur Löschung aufgefordert, weil der Zweck, für den diese Daten erhoben worden sind, nicht mehr vorliege.

Die Wirtschaftsauskunftei hat die Löschung jedoch mit der Begründung verweigert, dass kein Löschungsgrund vorliege.

Daraufhin hat die betroffene Person sich am 14.8.2018 an die DSB gewandt.

Die Argumente der Wirtschaftsauskunftei

Die Beschwerdegegnerin hat sich auf ihre Tätigkeit als Wirtschaftsauskunftei berufen und erklärt, dass die Daten auf Basis des berechtigten Interesses (Art 6 Abs 1 lit f DSGVO) verarbeitet werden. Die Daten werden zur Wahrung der Interessen des Verantwortlichen selbst im Rahmen der Gewerbeberechtigung der Kreditauskunftei sowie im Interesse Dritter (Gläubigerschutz) verarbeitet, die Daten seien erforderlich und auch geeignet, den Zweck zu erfüllen.

Informationen über eine vergangene Zahlungsunfähigkeit sind für die Beurteilung der Kreditwürdigkeit relevant und stellen eine wesentliche und notwendige Entscheidungsgrundlage für die kreditgebende Wirtschaft (zB Lieferungen gegen Gewährung eines Zahlungszieles) dar.

Eine in der Vergangenheit erfolgte Zahlungsunfähigkeit stellt bei der Kreditvergabe in der Regel eine Risikoerhöhung dar.

Der Zweck der erhobenen Daten, nämlich die Beurteilung der Bonität, ist weiterhin gegeben.

Für die von der Beschwerdegegnerin verwalteten Dateisysteme bestehen Löschfristen, die sich an der bisherigen Judikatur der DSB orientieren. Die Fristen beginnen erst nach Tilgung der Schuld oder Eintritt eines sonstigen schuldbefreienden Ereignisses zu laufen. Die Löschung der Daten wird nach deren Ablauf automatisch vorgenommen.

Die Entscheidung

Die Verarbeitung bonitätsrelevanter Daten durch eine Kreditauskunftei findet in § 152 GewO Deckung. Die Rechtmäßigkeit der Verarbeitung von bonitätsrelevanten Daten ist nicht von der vorherigen Einwilligung eines Betroffenen abhängig. Wenn der Gesetzgeber ein Gewerbe als zulässig ansieht, dann ist damit auch eine Befugnis der Verarbeitung von personenbezogenen Daten verbunden. „Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar ist, muss auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über „Kreditverhältnisse“ als gegeben erachtete (vgl. dazu die Empfehlung der Datenschutzkommission vom 7. Mai 2007, GZ K211.7723/0009-DSK/2007; vgl. auch OGH vom 21. Jänner 2015, GZ 17 Os 43/14y)“.

Für Kreditauskunfteien gibt es keine Spezialregeln zum Datenschutz; es sind die allgemeinen Grundsätze der DSGVO anzuwenden, wonach u.a. personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden dürfen (Art. 5 Abs. 1 lit. b DSGVO).

Der Zweck der Verarbeitung der Daten liegt im konkreten Fall darin, Unternehmen Zugriff auf bonitätsrelevante Daten zu ermöglichen, da diese m Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko etwa bei der Lieferung ihrer Waren oder Dienstleistungen eingehen (z.B. Lieferung auf offene Rechnung) übernehmen.

Im Verfahren ging es nicht um die grundsätzliche Zulässigkeit der Verarbeitung der Daten, sondern um die Frage, wie lange die Daten über betroffene Personen, die ihre Verbindlichkeiten bereits ordnungsgemäß bezahlt hat, von einer Wirtschaftsauskunftei gespeichert und damit auch den anfragenden Unternehmen zur Verfügung gestellt werden dürfen.  

Wann sind die Daten für die Bonitätsbeurteilung im Rahmen des Gläubigerschutzes nicht mehr relevant und der Zweck der Verarbeitung ist daher weggefallen?

Eine gesetzliche Löschfrist für bonitätsrelevante Daten besteht nicht. Die DSB hat jedoch Informationsverbundsysteme auf Basis des DSG 2000 registriert, und darin auch die sog. „Kleinkreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung“. Im Registrierungsbescheid sind die Löschfristen auch definiert bzw. im Rahmen von Auflagen für die Verantwortlichen determiniert.  

·     Bei vollständiger Abzahlung der Schuld nach Zahlungsanstand, dh Tilgung nach einem Zahlungsverzug: Löschung spätestens nach 5 (fünf) Jahren

·     Bei rechtskräftiger Feststellung des Nichtbestehens des behaupteten Zahlungsanstandes: Löschung spätestens 90 Tage nach vollständiger Abbezahlung der Schuld bzw. wenn die Feststellung erst nach dieser Frist erfolgte: unverzüglich nach rechtskräftiger Feststellung

·     In allen übrigen Fällen: 7 (sieben) Jahre nach Tilgung der Schuld oder Eintritt eines sonstigen schuldbefreienden Ereignisses.

Weitere Löschungsfristen finden sich zB in der Insolvenzordnung (IO). Die Daten in der Ediktsdatei sind grundsätzlich bis ein Jahr nach Abschluss des Insolvenzverfahrens abrufbar (vgl. § 256 IO).

„Die aus historischen „Zahlungserfahrungsdaten“ (Negativeintragungen) herrührende vermeintlich schlechte Bonität der Betroffenen soll durch die Möglichkeit einer zeitnahen Löschung nach Begleichung aller Forderungen hintangehalten werden. Insbesondere soll vermieden werden, dass Betroffene, die nach Aufhebung eines Schuldenregulierungsverfahrens oder nach Zahlung ihrer Schulden außerhalb des Insolvenzverfahrens wieder eine solide finanzielle Basis erlangt haben, im geschäftlichen Verkehr neuerlich mit Schwierigkeiten zu kämpfen haben, weil ihre Kreditwürdigkeit durch diese Negativeintragungen vermindert wird.“

Die DSB hat daher festgehalten, dass eine generelle Löschung der bonitätsrelevanten Daten erst sieben Jahre nach Tilgung der Schuld im Hinblick auf Art. 6 Abs. 1 lit. f DSGVO, vor allem aber im Hinblick auf die seit dem Zeitpunkt der Erlassung des oben zitierten Bescheides der Datenschutzkommission geänderte Rechtslage (vgl. dazu die zitierten Bestimmungen der IO), jedenfalls nicht verhältnismäßig ist.

Die DSB erteilt den generellen Löschfristen der KKE eine Absage:

Die Bescheide zur KKE sind mit 25.05.2018 außer Kraft getreten. Die bisherigen (generellen) Löschfristen des Informationsverbundsystems KKE „Kleinkreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung“ sind daher nicht mehr anzuwenden.

„Der von der Beschwerdegegnerin vertretenen Rechtsansicht, wonach die Eintragung im Register von Verbraucherkrediten sowie der Warndatei aufgrund von Bescheiden der Datenschutzbehörde erst nach sieben Jahren und die Insolvenz nach fünf Jahren gelöscht werden müssen, ist nicht zu folgen.“

Die DSB geht von der bisherigen Judikatur zur generellen Löschfrist ab:

Die DSB geht davon aus, dass im Rahmen der Interessensabwägung eine Einzelfallbeurteilung vorzunehmen ist, und die generellen Löschfristen nicht mehr maßgeblich (weil unverhältnismäßig) sind.

„Wie die Datenschutzbehörde in einem kürzlich ergangenen Bescheid bereits ausgesprochen hat (vgl. DSB vom 7. Dezember 2018, DSB-D123.193/0003-DSB/2018) sieht sie sich veranlasst, von ihrer u.a. im Bescheid GZ K600.033-018/0002-DVR/2007 zur „Kleinkreditevidenz (Register von Verbraucherkrediten) zum Zweck des Gläubigerschutzes und der Risikominimierung“ geäußerten Rechtsansicht zur Aufbewahrungsdauer abzugehen.“

Kriterien für die Einzelfallbetrachtung, die vom Verantwortlichen vorzunehmen ist:

-         die Höhe der einzelnen Forderungen,

-         das „Alter“ der Forderungen (sohin das Datum der Eintragung in die Datenbank),

-         Anzahl der im Wege eines Inkassounternehmens eingetriebenen Forderungen,

-         die Zeit, die seit Begleichung einer Forderung verstrichen ist,

-         die Herkunft der Daten.

Die Auswirkung auf den Fall vor der DSB:

Es waren folgende Daten gespeichert und für die kreditgebenden Unternehmen zugänglich:

-         Namen, Adresse sowie Geburtsdatum;

-         Informationen zum Insolvenzverfahren: Passiva laut Insolvenzantrag EUR 27.400;

-         Kredit (vom Dezember 2001) in der Höhe von EUR 6.900, der im Rahmen des Insolvenzverfahrens mit Zahlungsplan vom 2. März 2017 erledigt wurde;

-         In der Warndatei scheinen darüber hinaus ein Kredit mit dem Betrag von 5.001 bis 6.000 Euro und die teilweise Tilgung mit 2. März 2017 (Anm.: Erfüllung des Zahlungsplanes) auf.

Das Schuldenregulierungsverfahren ist nicht mehr in der Insolvenzdatei abrufbar (bereits gelöscht; § 256 Abs. 2 Z 4 IO).

Die DSB geht davon aus, dass Daten aus einem Schuldenregulierungsverfahren auch nach Ablauf der Löschfrist der Insolvenzordnung noch bonitätsrelevant sind.

„Gegenständlich handelt es sich bei den Zahlungserfahrungsdaten jeweils um Kreditdaten in einem nicht unbeträchtlichen Ausmaß. Die Forderungen sind zwar bereits in einem Fall zumindest vor mehr als zehn Jahren entstanden, aus den Eintragungen der Beschwerdegegnerin geht jedoch klar hervor, dass die Kredite erst seit März 2017 im Rahmen des Insolvenzverfahrens (Erfüllung des Zahlungsplanes) – zumindest teilweise – erledigt worden sind. Vor allem aufgrund der Höhe der einzelnen Forderungen sowie der erst kurzen Zeit, die zwischen dem Löschungsbegehren des Beschwerdeführers sowie der Erfüllung des Zahlungsplanes vergangen ist (unter zwei Jahre), kann davon ausgegangen werden, dass das berechtigte Interesse der Beschwerdegegnerin an der Verwendung der Daten über „Kreditverhältnisse“ des Beschwerdeführers gegenüber dem Interesse des Beschwerdeführers an der Löschung der Daten überwiegt. Derzeit sind die vom Löschantrag des Beschwerdeführers umfassten Daten somit im Hinblick auf den Gläubigerschutz noch bonitätsrelevant, weshalb die personenbezogenen Daten des Beschwerdeführers für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nach wie vor notwendig sind.“

Die DSB stellt daher auf die (nicht unbeträchtliche) Höhe der Forderungen ab, und das Alter derselben. Seit der Tilgung sind ca. 2,5 Jahre (März 2017 bis August 2019) vergangen, wobei die DSB von einer „relativ kurzen Zeit“ spricht. Die Daten sind daher für die Beurteilung der möglichen Erteilung eines (Waren-)Kredites an die betroffene Person (noch) relevant, und daher nicht zu löschen.

Fazit:

-         Die Frage, ob Daten über das Zahlungsverhalten von betroffenen Personen von Wirtschaftsauskunfteien verarbeitet werden dürfen, ist eindeutig geklärt.

-         Aufgrund der Tatsache, dass es das Gewerbe der Kreditauskunftei gibt, und auch Unternehmen ein Interesse daran haben, etwas über die Bonität etwaiger Geschäftspartner zu erfahren, denen sie zB Waren liefern und ein Zahlungsziel (und damit Kredit) gewähren, ergibt sich ein zulässiger Zweck der Verarbeitung von Daten von betroffenen Personen.

-         Die (generellen) Löschfristen der bisherigen Informationsverbundsysteme können nicht mehr angewendet werden, und wurden von der DSB als „unverhältnismäßig“ eingestuft.

-        Es ist in jedem Fall – anhand der von der DSB vorgegebenen Kriterien – im Einzelfall zu beurteilen, ob die (rechtmäßig erhobenen) Daten (noch bonitätsrelevant) sind, oder (schon) zu löschen sind. 

-        Überlegenswert wäre, ob die Wirtschaftsauskunfteien nicht Verhaltensregeln (zB nur in Bezug auf die Löschfristen) formulieren, und diese der DSB zur Genehmigung im Rahmen des Art 40 DSGVO vorlegen. Damit gäbe es eine Möglichkeit, uU wieder auf einer generellen Ebene die Beurteilung von Löschfristen in den Griff zu bekommen.

09.08.2019, Autor

Michael Schweiger