W292 2301229-1 – Bvwg Entscheidung

W292 2301229-1/29E

IM NAMEN DER REPUBLIK

Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter Mag.a Huberta MAITZ-STRASSNIG und Mag. Matthias SCHACHNER als Beisitzerin und Beisitzer, über die Beschwerde XXXX , vertreten durch die BLS Rechtsanwälte GmbH, gegen den Bescheid der Datenschutzbehörde vom XXXX 2024, GZ. XXXX (mitbeteiligte Partei XXXX ), nach Durchführung einer mündlichen Verhandlung am 24.01.2025 zu Recht erkannt:

A)

Der Beschwerde wird teilweise Folge gegeben und der angefochtene Bescheid dahingehend abgeändert, dass der Spruch insgesamt zu lauten hat wie folgt:

„Die Datenschutzbeschwerde von XXXX (als betroffene Person) vom XXXX 2024, verbessert mit Eingabe vom XXXX 2024, gegen XXXX (Verantwortlicher), wegen Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO, indem der Verantwortliche fortlaufend personenbezogene Zahlungserfahrungsdaten hinsichtlich der betroffenen Person zu gewerblichen Zwecken in dessen Datenbank XXXX verarbeitet und Dritten bereitstellt, wird

a) Hinsichtlich der Information „Erledigung außergerichtlicher Ausgleich XXXX " als unbegründet abgewiesen, da die weitere Verarbeitung dieser Information zum Zweck der Bonitätsbewertung durch den beschränkten Kreis an Zugriffsberechtigten auf die XXXX von Art. 6 Abs. 1 lit. f DSGVO für den Zeitraum bis zu fünf Jahren nach Erfüllung des außergerichtlichen Vergleiches gedeckt ist,

b) hinsichtlich der Verarbeitung der Information „ XXXX -Scorewert Scorewert 0: Keine Berechnung möglich" Folge gegeben und festgestellt, dass die Verarbeitung dieser Information innerhalb der XXXX zum Zweck der Bereitstellung an Dritte gegen Art. 22 Abs. 1 DSGVO verstößt und daher in der vorliegenden Form gemäß Art. 17 Abs. 1 lit. d DSGVO zu löschen ist.“

B)Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit E-Mail vom XXXX 2024 wandte sich XXXX (im Folgenden: mitbeteiligte Partei) an die Datenschutzbehörde (im Folgenden: belangte Behörde), erhob eine Datenschutzbeschwerde gegen den XXXX (im Folgenden: Beschwerdeführer) und brachte im Wesentlichen vor, der Beschwerdeführer verletze ihn im Recht auf Löschung gemäß Art. 17 DSGVO, indem dieser im Rahmen dessen Gewerbeausübung in einer von ihm betriebenen Datenbank, der XXXX zur mitbeteiligten Partei Zahlungserfahrungsdaten speichere. So habe die mitbeteiligte Partei im Jahr 2019 mit der XXXX einen außergerichtlichen Ausgleich für die Dauer von 36 Monaten abgeschlossen und die diesbezüglichen Raten pünktlich abbezahlt, woraus folge, dass der Beschwerdeführer den Bonitätseintrag der mitbeteiligten Partei zu ändern habe. Dies sei jedoch selbst nach mehrmaliger Korrespondenz mit dem Beschwerdeführer (zuletzt am XXXX 2024) nicht erfolgt. Durch diesen Bonitätseintrag und der daraus resultierenden Verweigerung des Beschwerdeführers, den XXXX -Score (prognostizierte Zahlungsausfallwahrscheinlichkeit in 12 Monaten) zu berechnen, werde die mitbeteiligte Partei bei Banken als Risiko angesehen und hinsichtlich neuer Kreditaufnahmen abgelehnt.

Mit Eingabe vom XXXX 2024 verbesserte die mitbeteiligte Partei unter Verwendung eines Formularvordruckes der belangten Behörde ihre Datenschutzbeschwerde und führte darin aus, die Beschwerde richte sich auf das Recht auf Löschung. So sei der Eintrag zur mitbeteiligten Partei in der Bonitätsdatenbank des Beschwerdeführers unzulässig und zu löschen. Vor Oktober 2023 habe ihr XXXX -Score eine Zahlungsausfallwahrscheinlichkeit von 0,60 % (Wert 554) ausgewiesen, durch den unberechtigten Eintrag sei nun keine Berechnung mehr möglich (Wert 0), was der mitbeteiligten Partei zum Nachteil gereiche. Mehrmals habe die mitbeteiligte Partei beim Beschwerdeführer telefonisch und per E-Mail die Löschung des Eintrages beantragt, sie sei jedoch auf das kreditgebende Institut verwiesen worden, da dieses den Eintrag umändern oder löschen könne.

2. Der Beschwerdeführer erstattete in der Folge mit Schriftsatz vom 21.03.2024 im Wege seiner Rechtsvertretung eine Stellungnahme, in der er vorweg ausführte, Verantwortlicher für die Datenverarbeitungen im Zusammenhang mit dem Betrieb der Bonitätsdatenbank XXXX und der damit verbundenen Dienstleistungen zu sein. Verfahrensgegenständlich werde festgehalten, dass der Eintrag hinsichtlich des Abstattungskredites der mitbeteiligten Partei mit Endfälligkeit am XXXX und Erledigung der offenen Kreditforderungen mittels außergerichtlichen Ausgleiches am XXXX korrekt sei. Es bestehe keine Veranlassung zur Löschung des Eintrages, insbesondere da der Beschwerdeführer das Gewerbe der Kreditauskunftei betreibe und ein berechtigtes Interesse an der Erteilung von Bonitätsauskünften habe. Zudem bestehe für Dritte, insbesondere die gesetzlich zur Kreditprüfung verpflichtete kreditgebende Wirtschaft, ein berechtigtes Interesse am Gläubigerschutz, da Informationen betreffend vergangener Zahlungsstörungen für die Beurteilung der Kreditwürdigkeit des Betroffenen nach wie vor relevant seien.

Der gegenständliche Eintrag stelle keine Information aus der Insolvenzdatenbank dar und falle daher nicht in den Anwendungsbereich der von der belangten Behörde herangezogenen EuGH-Judikatur vom 07.12.2023. Folglich sei ein aus der Kapitaladäquanzverordnung ableitbarer, zumindest fünfjähriger Beobachtungszeitraum für Zahlungsausfälle als Richtlinie für die Speicherdauer relevanter Informationen herangezogen, wobei unter Bezugnahme auf näher bezeichnete Judikatur des OGH und VwGH zur Verarbeitung von historischen Zahlungserfahrungsdaten aus nicht-öffentlichen Dateien eine Einzelfallbeurteilung und Interessenabwägung stattgefunden habe. Da seit der Erledigung des dem Eintrag zugrundeliegenden außergerichtlichen Ausgleiches (als maßgeblichen Zeitpunkt) weniger als zwei Jahre vergangen und keine Gründe im Einzelfall geltend gemacht worden seien, weshalb aufgrund einer Einzelfallprüfung eine vorzeitige Löschung vorzunehmen wäre, sei dem Gläubigerschutz und somit den berechtigten Interessen Dritter ein höherer Stellenwert einzuräumen, als dem Interesse des Betroffenen auf Löschung der in Rede stehenden Zahlungserfahrungsdaten.

Soweit die mitbeteiligte Partei ausführe, dass ein nicht vorhandener XXXX -Score als Insolvenz angesehen werden könnte, treffe dies nicht zu und lägen lediglich nicht ausreichend Informationen für dessen Berechnung vor. Darüber hinaus würden auf Basis dieses Wertes keine Entscheidungen vom Beschwerdeführer getroffen, die berechtigte Interessen der mitbeteiligten Partei berühren könnten. Die Einhaltung des Art. 22 DSGVO werde im Falle der Übermittlung des Wertes an Kunden vom Beschwerdeführer (vertraglich) sichergestellt.

3. Am 22.03.2024 und 27.03.2024 langten zwei ergänzende Stellungnahmen seitens der mitbeteiligten Partei bei der belangten Behörde ein, demnach diene der Eintrag in die Bonitätsdatenbank des Beschwerdeführers keinen berechtigten Interessen Dritter und sei eine weitere Speicherung daher unzulässig.

4. Der Beschwerdeführer erstattete hierzu am 18.04.2024 vor der belangten Behörde eine Stellungnahme und brachte darin vor, die mitbeteiligte Partei sei über die Einmeldung des Abstattungskredites in die Bonitätsdatenbank bei Unterfertigung des Kreditvertrages mit der XXXX im XXXX 2015 informiert worden. Zudem sei keine Berechnung des XXXX -Scores erfolgt, weshalb aus Sicht der Beschwerdeführerin auch keine auf diesem Wert maßgeblich basierenden Entscheidungen Dritter getroffen worden seien. Darüber hinaus sei eine fünfjährige Speicherdauer des Eintrages zur Erfüllung des außergerichtlichen Ausgleiches vom XXXX durch die berechtigten (Gläubigerschutz-)Interessen Dritter gerechtfertigt.

5. Die mitbeteiligte Partei erstattete in der Folge am 13.05.2024 eine Stellungnahme, in der sie vorbrachte, dass sich die Datenschutzbeschwerde gegen die Eintragung der Erledigung des Abstattungskredites und die fehlende Berechnung des XXXX -Scores richte und die vom Beschwerdeführer angewandte Speicherdauer von fünf Jahren weiterhin als unzulässig angesehen werde, zumal in vergleichbaren Bonitätsdatenbanken kein derartiger Eintrag zur mitbeteiligten Partei aufscheine.

6. Die mitbeteiligte Partei erstattete in der Folge am 01.08.2024 eine weitere Stellungnahme.

7. Mit Bescheid der belangten Behörde vom XXXX 2024, GZ. XXXX , gab diese der Datenschutzbeschwerde der mitbeteiligten Partei wegen Verletzung im Recht auf Löschung statt und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in deren Recht auf Löschung verletzt habe, indem er Zahlungserfahrungsdaten (konkret „Erledigung außergerichtlicher Ausgleich XXXX “) sowie den XXXX -Scorewert „Scorewert 0: Keine Berechnung möglich“ anhaltend verarbeitet und nicht aus seiner Datenbank gelöscht habe (Spruchpunkt 1.). Zudem werde dem Beschwerdeführer aufgetragen, die unter Spruchpunkt 1. genannten Einträge innerhalb einer Frist von zwei Wochen vollständig zu löschen (Spruchpunkt 2.).

Begründend hielt die belangte Behörde zu Spruchpunkt 1. im Wesentlichen fest, dass der Beschwerdeführer Daten der mitbeteiligten Partei (konkret die im Spruch genannten Einträge in der Bonitätsdatenbank) verarbeitet habe und eine Interessenabwägung hierzu durchzuführen sei. Dem wirtschaftlichen Interesse des Beschwerdeführers, das Gewerbe der Kreditauskunftei ausüben zu können, sowie dem Interesse Dritter, Informationen zur Beurteilung der Kreditwürdigkeit der mitbeteiligten Partei zu erhalten, stünden die Interessen und Rechte der mitbeteiligten Partei, die durch eine solche Verarbeitung in ihrem wirtschaftlichen Fortkommen beeinträchtigt werde, gegenüber. Die vom EuGH im Urteil vom 07.12.2023 zu den Rs. C-26/22 und C-64/22 ausgesprochene Bewertung, wonach die Datenverarbeitung über Insolvenzen durch eine Wirtschaftsauskunftei einen schwerwiegenden Grundrechtseingriff darstelle, müsse auch für die Verarbeitung anderer historischer Zahlungserfahrungsdaten gelten. Darüber hinaus seien die gesetzlichen Speicherfristen für öffentliche Insolvenzregister (im Regelfall bis zu einem Jahr nach Aufhebung eines Insolvenzverfahrens) mangels eigenständiger gesetzlicher Fristenregelungen auch für sonstige, von Auskunfteien verarbeitete historische Zahlungserfahrungsdaten beachtlich. Im Hinblick auf die vorliegende Erledigung des außergerichtlichen Ausgleiches am XXXX und mangels Anhaltspunkte, die eine weitere Verarbeitung rechtfertigen würden, sei eine weitere Datenverarbeitung nicht erforderlich. Hinsichtlich des vom Beschwerdeführer errechneten XXXX -Scores „Scorewert 0: Keine Berechnung möglich“ sei jedenfalls von einem personenbezogenen Datum der mitbeteiligten Partei auszugehen und nicht ersichtlich, inwieweit dieses dem Interesse der Abgabe von Bonitätsauskünften oder Gläubigerschutz diene.

8. Dagegen erhob der Beschwerdeführer rechtsfreundlich vertreten am XXXX 2024 Bescheidbeschwerde und führte zusammengefasst aus, dass die seitens der belangten Behörde herangezogene Rechtsprechung des EuGH in den verbundenen Rechtssachen C-26/22 und C-64/22 vom 07.12.2023 fallbezogen nicht einschlägig sei, da sich die darin enthaltenen rechtlichen Wertungen auf Daten aus öffentlichen Insolvenzdatenbanken bzw. auf öffentlich zugängliche Daten beziehe, die belangte Behörde dabei rechtsirrig nicht zwischen der Herkunft der Daten differenziere. Darüber hinaus stelle die vorliegende Datenverarbeitung keinen schweren Grundrechtseingriff dar, da im Falle eines außergerichtlichen Ausgleiches die Kreditwürdigkeit einer betroffenen Person – im Gegensatz zur öffentlich bekanntzumachenden Restschuldbefreiung – weitgehend unbeeinträchtigt bliebe. Auch könnten die insolvenzrechtlichen Löschfristen nicht zur verpflichtenden Löschung anderer historischer Zahlungserfahrungsdaten privater Datenbanken herangezogen werden, da diese einem gänzlich anderem Zweck – der allgemeinen Bonitätsbewertung, losgelöst von einem allfälligen Insolvenzverfahren – dienten.

Der Beschwerdeführer bemängelte zudem eine unzureichende Einzelfallprüfung durch die belangte Behörde, zumal im Rahmen der Ausübung des Gewerbes der Kreditauskunftei die Rechtsgrundlage und das berechtigte Interesse des Beschwerdeführers an der gegenständlichen Datenverarbeitung bestehe. Auch das berechtigte Interesse Dritter am Gläubigerschutz und an der Risikominimierung werde nicht ausreichend berücksichtig, zumal es bei der mitbeteiligten Partei in der Vergangenheit zu Zahlungsauffälligkeiten gekommen sei, und würde eine kürzere Speicherdauer den unabdingbaren Anforderungen der gesamten Kreditbranche zuwiderlaufen. So ergebe sich aus der Kapitaladäquanzverordnung ein für Kreditinstitute verpflichtender Bewertungszeitraum von Zahlungsausfällen von zumindest fünf Jahren zur Kundenbewertung und Risikoabschätzung und stehe dies im Einklang zu aktueller, zitierter OGH- und VwGH-Judikatur.

Hinsichtlich des XXXX -Scores „Scorewert 0: Keine Berechnung möglich“ vertritt der Beschwerdeführer die Rechtsansicht, dass dieser grundsätzlich aus mehreren personenbezogenen Daten berechnet werde, dies jedoch mangels ausreichender Informationen zur mitbeteiligten Partei nicht erfolgt sei. Somit seien diesbezüglich auch keine personenbezogenen Daten der mitbeteiligten Partei verarbeitet worden. Eine Entfernung dieses Eintrages könnte als erhöhtes Ausfallsrisiko interpretiert werden und entspräche somit nicht den Interessen der mitbeteiligten Partei, zumal diese eine konkrete Berechnung beim Beschwerdeführer angeregt habe.

9. Am 03.10.2024 legte die belangte Behörde dem Bundesverwaltungsgericht die Bescheidbeschwerde samt der Bezug habenden Verwaltungsakten vor.

10. Am 13.11.2024 langte auf gerichtlichen Auftrag eine Stellungnahme seitens der mitbeteiligten Partei ein. Danach habe der Beschwerdeführer, entgegen dessen Beschwerdevorbringen, sehr wohl eine Berechnung des XXXX -Scores durchgeführt und verfüge somit über ausreichende Informationen zur mitbeteiligten Partei.

11. Der Beschwerdeführer erstattete im Wege seiner Rechtsvertretung mit Schriftsätzen vom 26.11.2024 und 28.11.2024 jeweils eine Stellungnahme und gab auf gerichtliche Aufforderung an, dass der verfahrensgegenständliche Eintrag in der Bonitätsdatenbank nach wie vor verarbeitet werde. Darüber hinaus sei eine Berechnung des XXXX -Scores mit Eintragung des außergerichtlichen Ausgleiches technisch nicht mehr möglich gewesen, zudem beinhalte gegenständlicher Score keine Informationen zur mitbeteiligten Partei und stelle somit kein personenbezogenes Datum dar.

12. Am 24.01.2025 fand vor dem Bundesverwaltungsgericht eine mündliche Verhandlung in der gegenständlichen Rechtssache statt, im Rahmen derer der erkennende Senat mit den Parteien ausführlich die Sach- und Rechtslage erörterte.

13. Auf gerichtlichen Auftrag legten die Verfahrensparteien im Nachgang zur mündlichen Verhandlung weitere Beweisurkunden vor und wiederholten im Wesentlichen deren jeweils zuvor vertretenen Rechtsstandpunkte.

II. Das Bundesverwaltungsgericht hat erwogen:

II.1. Feststellungen:

II.1.1. Zum Beschwerdeführer:

Der Beschwerdeführer, XXXX , betreibt das Gewerbe nach § 152 GewO 1994 „Auskunftei über Kreditverhältnisse“.

Im Rahmen der Gewerbeausübung betreibt der Beschwerdeführer eine Datenbank mit der Bezeichnung XXXX .

Die XXXX enthält Kreditverbindungen von Konsumenten und wird von der Beschwerdeführerin auf deren Internetauftritt als „das entscheidende Instrument für eine verantwortungsvolle und rasche Kreditvergabe“ bezeichnet. Ausschließlich Banken, Kredit gebende Versicherungen und Leasinggesellschaften mit Sitz im europäischen Binnenmarkt können demnach Informationen einmelden und abfragen. Ziel ist es, die kreditgebende Wirtschaft vor finanziellem Schaden zu bewahren und sicherzustellen, dass Privatpersonen nicht bei unterschiedlichen Instituten Kredite aufnehmen, die sie in Summe nicht zurückzahlen können.

Unter dem Abschnitt „Datenschutz finden sich auf dem Internetauftritt der Beschwerdeführerin zur XXXX die folgenden Informationen [https://www. XXXX , zuletzt abgefragt am 11.03.2025]

„2. Verarbeitung von Schuldnerdaten im Rahmen der XXXX

Die XXXX ist eine Datenbank, in der Informationen über bestimmte Finanzierungen, die natürlichen Personen gewährt werden, über bestimmte Mithaftungen, die von solchen Personen übernommen werden und gegebenenfalls über registrierte Zahlungsanstände gespeichert werden.

Wir sind Betreiber, Zugangsberechtigter und auch datenschutzrechtlicher Verantwortlicher im Sinne des Artikel 4 Z 7 DSGVO der XXXX . Darüber hinaus sind wir auch die zentrale Auskunftsstelle für betroffene Schuldner.

2.1. Wer hat Zugang zur XXXX ?

Zugang zur XXXX können nur Banken, Kredit gebende Versicherungsunternehmen und Leasingunternehmen mit Sitz im europäischen Binnenmarkt erlangen (Zugangsberechtigte).

2.2. Wann werden personenbezogene Daten in der XXXX verarbeitet?

Personenbezogene Daten werden im Zusammenhang mit Kredit,- und Leasingverhältnissen betreffend einen EUR 300,00 übersteigenden Betrag sowie der Ablehnung von Kredit,- bzw. Leasinganträgen betreffend jedenfalls einen EUR 7.000,00 übersteigenden Betrag, an die XXXX weitergegeben und von uns in dieser verarbeitet.

Wird einem Schuldner beispielsweise ein Kredit über eine Summe von EUR 1.000,00 gewährt, werden personenbezogene Daten von diesem an die XXXX weitergegeben. Dies gilt etwa auch, wenn dessen Kreditantrag über beispielsweise EUR 8.000,00 abgelehnt wird.

2.3. Welche personenbezogenen Daten werden in der XXXX verarbeitet?

Personenbezogenen Daten werden nur bei Vorliegen der oben genannten Umstände in der XXXX verarbeitet.

An personenbezogenen Daten werden verarbeitet:

die vollständigen Namen,

das Geburtsdatum,

die vollständige Adresse (Straße, Nummer, Postleitzahl, Wohnort),

die Kontonummer,

die früheren Namen,

die frühere Anschrift,

eine allenfalls bereits bestehende XXXX -Nummer.

Darüber hinaus werden folgende Informationen in der XXXX verarbeitet:

Kredit- oder Leasingdetails: Kreditgeber/Leasinggeber, Bürge, Kreditart/Leasingart, Kreditbetrag/Leasingbetrag, Währung, Laufzeit, Kreditaufstockung, Ratenbeginn, Ratenhöhe, Kredit/Leasinggewährungsdatum;

Ablehnung von Kredit,- bzw. Leasinganträgen; gegebenenfalls Zahlungsanstände: 3. Mahnung, Fälligstellung, Klage, Exekution, Vermögensverzeichnis, Ausbuchung/Uneinbringlichkeit;

Grund der Erledigung des Kredit-/Leasingverhältnisses: Vollzahlung, Abschlagszahlung, außergerichtlicher und gerichtlicher Vergleich, Forderungsübertrag, außergerichtlicher Ausgleich, Zahlungsplan, Restschuldbefreiung, Sanierungsplan, Restrukturierung).

Sperrvermerke: Datensperren zur Aufklärung der Identität und der Auffindbarkeit von Betroffenen (Duplikat Sperre, Personensperre, Mangelnde Auffindbarkeit Sperre), Sondersperre (zB.: sofern eine Bestreitung eines Eintrages durch den Betroffenen erfolgt), Allgemeine Sperre (zB.: sofern für einen Betroffenen eine Erwachsenenvertretung bestellt bzw. übernommen wurde), Info Sperre (Personen mit Insolvenzinformationen), Klärsperre (Überprüfung der Richtigkeit eines bestehenden Eintrages).

2.4. Was passiert mit den in der XXXX verarbeiteten personenbezogenen Daten?

Die in der XXXX enthaltenen Daten sind nicht öffentlich zugänglich. Sie können ausschließlich von Zugangsberechtigten im Fall eines berechtigten rechtlichen Interesses abgefragt werden (z.B.: Vorliegen einer Geschäftsanbahnung oder eines bestehenden Vertragsverhältnisses mit einem betroffenen Schuldner). Die abgefragten Daten werden vom jeweiligen Zugangsberechtigten auch nur für den konkreten Zweck der XXXX verwendet.

2.5. Mögliche Empfänger von in der XXXX verarbeiteten personenbezogenen Daten

Wie beschrieben, können in die XXXX eingetragene Daten nur von Zugangsberechtigten abgefragt werden. Sofern Daten von betroffenen Schuldnern in der XXXX verarbeitet werden, könnten diese daher bei Vorliegen eines rechtlichen Interesses von weiteren Zugangsberechtigten empfangen werden. Die Kategorien solcher möglichen Empfänger sind Banken, Kredit gebende Versicherungsunternehmen und Leasingunternehmen mit Sitz im europäischen Binnenmarkt.

Zudem setzen wir für die Datenverarbeitungen im Rahmen der XXXX Auftragsverarbeiter ein.

Es handelt sich dabei um folgende Auftragsverarbeiter:

XXXX

XXXX

Zweck der Datenverarbeitung in der XXXX

Der Datenverarbeitungszweck ist, das Risiko von Kreditausfällen bestmöglich zu minimieren. Es soll sichergestellt werden, dass nicht bei unterschiedlichen Bankinstituten Kredite aufgenommen werden, die in Summe über den Rückzahlungsmöglichkeiten des Kreditwerbers liegen. Zudem verfolgt die Datenverarbeitung auch den Zweck sicherzustellen, dass (potenzielle) Kreditnehmer keine über ihren Verhältnissen liegenden Kreditverbindlichkeiten eingehen. Durch die Datenverarbeitung können solche Fälle nicht ausreichender Bonität insbesondere von Bankinstituten gezielt erkannt und die Kreditgewährung notwendigenfalls abgelehnt werden. Dadurch können mögliche Überschuldungen von Kreditinteressenten vermieden werden.

Dauer der Aufbewahrung von Schuldnerdaten in der XXXX

Bei Ablehnung eines Antrags auf Einräumung eines Kredits wegen mangelnder Bonität werden die personenbezogenen Daten eines betroffenen Schuldners spätestens sechs Monate nach der Ablehnung gelöscht.

Bei rechtskräftiger Feststellung des Nicht-Bestehens einer Schuld werden unverzüglich alle diesbezüglichen Eintragungen in der XXXX gelöscht.

Wenn eine Kredit- oder Leasingschuld ohne Zahlungsanstand vollständig abbezahlt und das Kredit- oder Leasingverhältnis somit beendet ist, erfolgt die Löschung der Daten spätestens 90 Tage nach Abbezahlung

Wenn eine Kredit- oder Leasingschuld nach Zahlungsanstand vollständig abbezahlt wurde, erfolgt die Löschung der Daten spätestens fünf Jahre nach vollständiger Abzahlung der Schuld, es sei denn, dass das Nichtbestehen eines Zahlungsanstandes rechtskräftig festgestellt wird. Dann erfolgt die Löschung der Daten spätestens 90 Tage nach vollständiger Abbezahlung der Schuld bzw. wenn die Feststellung erst nach dieser Frist erfolgte, unverzüglich nach der rechtskräftigen Feststellung.In allen anderen Fällen erfolgt die Löschung spätestens sieben Jahre nach Tilgung der Schuld oder Eintritt eines sonstigen schuldbefreienden Ereignisses.

Stammdaten (Personendaten) werden gelöscht, wenn in der XXXX zu einer Person innerhalb von 7 Jahren keine Änderung vorgenommen wird. Zum Recht des Betroffenen (auf Antrag) auf Löschung (Art 17 DSGVO) und auf Widerspruch (Art 21 DSGVO) siehe Punkt 3.3..

Informationen zur Datenverarbeitung im Rahmen der Scoreberechnung

Bei der Erstellung von Scoremodellen führen wir Profiling durch. Dabei wird anhand von gesammelten Informationen und Erfahrungen aus der Vergangenheit eine Prognose über zukünftige Ereignisse (Wahrscheinlichkeit einer Zahlungsstörung) erstellt. Das im Rahmen dieser Datenverarbeitung errechnete Ergebnis ist ein Scorewert.

Die Berechnung der Scorewerte erfolgt grundsätzlich auf Basis bestimmter zu einer betroffenen Person gespeicherten Informationen bzw. verarbeiteten Daten (einfließende Variablen). Informationen und Daten, die besondere Kategorien personenbezogener Daten im Sinne des Art 9 Abs 1 DSGVO betreffen, werden nicht in die Berechnung einbezogen.

Die zu einer Person in der XXXX verarbeiteten Daten werden in der Auskunft nach Art 15 DSGVO durch den XXXX vollständig ausgewiesen.

Scorewerte können Vertragspartner bei einer allfälligen Entscheidungsfindung, ob ein Vertragsverhältnis begründet, fortgeführt oder beendet wird, unterstützen und in das Risikomanagement Eingang finden, wobei die Risikoeinschätzung eines möglichen Forderungsausfalles und die Beurteilung der Bonität durch den direkten (potenziellen) Geschäftspartner erfolgt. Diese Scorewerte werden nur dann an Dritte übermittelt, wenn eine ausdrückliche Zustimmung vorliegt oder wenn diese Werte keinen maßgeblichen Einfluss auf die Entscheidungsfindung haben.

Die Vertragspartner des XXXX (Zugangsberechtigte) können daher anlassbezogen Bonitätsauskünfte und Scorewerte anfordern, um das mit einer (potenziellen) Geschäftsbeziehung verbundene Ausfallrisiko besser einschätzen zu können.

Es werden folgende Scorewerte zu natürlichen Personen unter den genannten Voraussetzungen ermittelt:

Der XXXX -Score wird auf der Basis der zu einer bestimmten betroffenen Person gespeicherten und verarbeiteten Informationen berechnet.

Folgende Datenarten (Variablen) können, sofern vorhanden, in die Berechnung des Scorewertes einfließen und einen jeweiligen positiven, negativen oder neutralen Einfluss haben:

Alter Kreditnehmer – je größer (d.h., je älter) umso besser

Maximale Laufzeit der offenen Verträge – je kürzer, umso besser

Monatliche Belastung – bis zu EUR 500,- pro Monat steigt das Risiko, ab EUR 500,- sinkt es wieder

Anzahl Institutsgruppen – ab der Anzahl zwei schlechter

Bundesland, erste Stelle der PLZ – ländlich besser als urban

Maximale Laufzeit der Verträge der letzten 12 Monate – je länger die Laufzeit, umso schlechter

Alter des jüngsten offenen Hypothekarkredites – je kleiner (d. h. jünger) umso schlechter

Häufigste Kreditart – KR ist schlecht, alles andere ist gut

Monatliche Belastung einer Person als Mitverpflichteter - bis zu EUR 500,- pro Monat steigt das Risiko, ab EUR 500,- sinkt es wieder

Anzahl der Mitschuldner der offenen Anfrage – je weniger, umso besser

Anzahl offener Rahmenkredite – einer ist schlecht alles andere ist gut

Anzahl offener Verträge Kreditkarten – Kreditkarte ist gut

Anteil gezahlte Raten an Gesamtraten bei Abstattungskrediten – je höher, umso besser“

II.1.2. Zu den verfahrensgegenständlichen Informationen zur mitbeteiligten Partei in der privaten Bonitätsdatenbank XXXX des Beschwerdeführers:

In Zusammenhang mit dessen Gewerbeausübung speichert der Beschwerdeführer unter anderem folgenden Eintrag zur mitbeteiligten Partei in der XXXX :

XXXX

Gespeicherte Personendaten

XXXX -Nummer: XXXX

Nachname: XXXX

Vorname: XXXX

Geburtsdatum: XXXX

Adresse: XXXX

Frühere Adresse: XXXX

Kreditdaten

Erledigter Kredit

Kreditart/Kredithöhe: Abstattungskredit EUR 15.000,00

Kreditgeber: XXXX

Kreditkontonummer: XXXX

Lfd. Kreditnummer: 1

Laufzeit: 84 Monate

Rate: monatlich ab 2015- XXXX

Datum der Endfälligkeit/Kreditende: XXXX

Datum der Gewährung: XXXX

Erledigung mittels: Außergerichtlicher Ausgleich XXXX

Übermittlungsempfänger XXXX

[…]

Auskunft: XXXX

Datum: 2023-10-13

Bezieher: XXXX

XXXX -Score

Der XXXX -Score prognostiziert die Zahlungsausfallwahrscheinlichkeit in 12 Monaten in Prozent.

Scorewert 0: Keine Berechnung möglich

Ausfallswahrscheinlichkeit - - „

Der vom Beschwerdeführer in seiner Bonitätsdatenbank geführte Eintrag fußt auf der Erledigung eines Abstattungskredites zwischen der mitbeteiligten Partei und einem namentlich genannten Kreditinstitut mittels außergerichtlichen Ausgleiches vom XXXX . Der Umstand, wonach der Abstattungskredit bei der XXXX mit außergerichtlichem Vergleich erledigt wurde, ist von der XXXX weder im Jahr 2019, also zum Zeitpunkt der Vereinbarung der außergerichtlichen Vereinbarung, noch zum Zeitpunkt der Erfüllung des Zahlungsplanes im XXXX in die Datenbank der XXXX beim XXXX gemeldet worden. Eine Aufnahme dieser Information erfolgte erst im Oktober 2023 auf Veranlassung des XXXX selbst, nachdem die mitbeteiligte Partei im Zuge eines Antrages auf Selbstauskunft im September 2023 auf den Umstand der Erfüllung des Zahlungsplanes zum außergerichtlichen Vergleich mit der XXXX hingewiesen hat.

Die vorgenannten Informationen zur mitbeteiligten Partei wurden durch den Beschwerdeführer im Rahmen der Ausübung des Gewerbes als Auskunftei über Kreditverhältnisse Dritten zum Zweck der Bonitätseinschätzung potenzieller Kundenbeziehungen gegenüber zur Einsicht und weiteren Verarbeitung bereitgestellt.

Unter den Empfängern der in Rede stehenden Informationen befindet sich jedenfalls auch die XXXX , eine Niederlassung der XXXX .

Eine Kreditanfrage der mitbeteiligten Partei um einen Konsumkredit mit der Produktbezeichnung XXXX wurde von der XXXX abgelehnt, das Ablehnungsschreiben lautet wörtlich wie folgt [Formatierung nicht wie im Original]:

„[ … ]

Wien, XXXX 2024

Informationen zu Ihrer Credit-Produktanfrage

Vielen Dank für Ihr Interesse an dem XXXX . Unser Ziel ist es, dass Sie mit uns große Träume, kleine Wünsche und wichtige Anschaffungen entspannt und verantwortungsbewusst finanzieren können.

Leider hat unsere Analyse gezeigt, dass wir Ihnen im Moment kein Angebot machen können.

Eine Kreditentscheidung beruht auf zahlreichen Faktoren und wird bei uns anonym und automatisch nach einem vordefinierten Punktesystem mathematisch berechnet. Bitte nehmen Sie diese Entscheidung also nicht persönlich. Zum besseren Verständnis haben wir Ihnen den Grund oder die Gründe für unsere Entscheidung hier aufgeführt:

Die Gründe für unsere Entscheidung im Detail

XXXX

· Uns wurden nachfolgend aufgeführte Auskunftei-Informationen zu Ihrer Person übermittelt.

Solange das entsprechende Merkmal nicht gelöscht wurde (ein Erledigungsvermerk ist nicht ausreichend), können wir Ihnen leider kein Angebot unterbreiten. Bei Rückfragen zu den uns übermittelten Informationen, wenden Sie sich bitte, idealerweise unter Beilage einer Ausweiskopie, direkt schriftlich an die genannte Auskunftei.

· Wir können Ihnen leider kein Angebot unterbreiten, da uns der XXXX keinen Sceringwert mitteilen kann. Grund hierfür sind technische Probleme beim XXXX .

Bei Rückfragen hierzu wenden Sie sich bitte direkt an den XXXX .

Was können Sie jetzt tun?

Sollten Sie Fragen zu den dargestellten Auskunftei-Informationen haben, wenden Sie sich bitte an:

· XXXX

· Sie haben die Möglichkeit, bei Einwänden gegen das Ergebnis der Entscheidung, Ihren Standpunkt gegenüber der XXXX darzulegen und Ihre Einwände zu begründen. Sollte dies der Fall sein, prüft die XXXX die von Ihnen vorgebrachten Einwände. Sie können sich hierzu schriftlich an die XXXX wenden unter der Anschrift: XXXX oder XXXX . [ … ]“

II.1.3. Zu den Löschungsbegehren des Betroffenen gegenüber der Beschwerdeführerin:

Die mitbeteiligte Partei begehrte am XXXX 2024 vom Beschwerdeführer die Löschung des zu seiner Person gespeicherten Eintrages hinsichtlich der Erledigung des Abstattungskredites mittels außergerichtlichen Ausgleiches und des berechneten XXXX -Scores aus der Bonitätsdatenbank des Beschwerdeführers. Der Beschwerdeführer kam dem Löschungsbegehren nicht nach.

II.1.4. Zur wirtschaftlichen Situation der mitbeteiligten Partei:

Zum Hintergrund des außergerichtlichen Vergleiches mit der XXXX : Aufgrund eines Arbeitsplatzverlustes im Jahr 2016 hat die mitbeteiligte Partei im Jänner 2017 in Bezug auf den Kredit bei der XXXX eine geänderte Ratenzahlungsvereinbarung zur Verringerung der monatlichen Zahlungsbelastung geschlossen. Die mitbeteiligte Partei hat sodann bis zum Jahr 2019 die neue Ratenvereinbarung eingehalten. Aufgrund von Zinseszinseffekten ist das Saldo des Kredites dennoch angewachsen, weshalb die mitbeteiligte Partei bei der XXXX im Jahr 2019 um eine neue Ratenvereinbarung von 36 Monatsraten zu je € 200 angesucht hat, dies bei gleichzeitiger Restschuldbefreiung. Der Zahlungsplan des Vergleiches endete somit im XXXX . Der Betrag auf den die XXXX letztlich verzichtet hat, resultiert aus Zinseszinsen.

Seit der Erledigung des Abstattungskredites bei der XXXX mit außergerichtlichem Vergleich vom XXXX ist es im Fall der mitbeteiligten Partei zu keinen erkennbaren Zahlungsstörungen gekommen, die mitbeteiligte Partei geht einer gesicherten Erwerbstätigkeit als Berufskraftfahrer bei der XXXX nach und bezieht hieraus ein Einkommen von rund € 2.200 monatlich. Trotz des hier verfahrensgegenständlichen Eintrages zum Abstattungskredit bei der XXXX war es der mitbeteiligten Partei möglich, zwei aneinandergereihte Leasingverträge bei der XXXX abzuschließen.

II.2. Beweiswürdigung:

II.2.1. Zu II.1.1. (Zum Beschwerdeführer):

Die diesbezügliche Feststellung ergibt sich aus dem unbedenklichen Akteninhalt und ist die gewerbliche Tätigkeit des Beschwerdeführers öffentlich bekannt.

II.2.2. Zu II.1.2. Speicherung in der Bonitätsdatenbank des Beschwerdeführers und Weitergabe der Informationen an Dritte:

Die diesbezüglichen Feststellungen konnten aufgrund des übereinstimmenden Vorbringens der mitbeteiligten Partei und des Beschwerdeführers getroffen werden.

Dass der Beschwerdeführer die in Rede stehenden Informationen zum Beschwerdeführer Dritten gegenüber zur Verfügung gestellt hat, ergibt sich aus dem Unternehmenszweck des Beschwerdeführers, den damit übereinstimmenden Angaben der Parteien sowie dem diesbezüglich bestehenden Amtswissen des Bundesverwaltungsgerichts. Die mitbeteiligte Partei hat bei der XXXX eigenen Angaben zufolge mehrfach um einen Konsumkredit angesucht, wobei die Gewährung des begehrten Konsumkredits jeweils unter Verweis auf die vom Unternehmen der Beschwerdeführerin übermittelten Informationen zum Vergleich mit der XXXX sowie der Information „Scoring-Wert 0 – keine Berechnung möglich“ abgelehnt wurde [vgl. Ablehnungsschreiben der XXXX vom XXXX 2024 und 11.02.2025, wobei sich letzteres Schreiben auf einen probeweise von der mitbeteiligten Partei während des Verfahrens vor dem BVwG gestellten Kreditantrag bezieht].

II.2.3. Zu II.1.3. (Zum Löschungsbegehren der mitbeteiligten Partei):

Die Feststellung gründet auf dem insofern unstrittigen Vorbringen der mitbeteiligten Partei in der verbesserten Datenschutzbeschwerde vom XXXX 2024 und insbesondere den Angaben des Beschwerdeführers in der Bescheidbeschwerde vom XXXX 2024, wonach die mitbeteiligte Partei mit E-Mail vom XXXX 2024 ein Löschbegehren zum Eintrag des Abstattungskredites stellte. Dass der Beschwerdeführer diesem Löschbegehren nicht nachkam, ergibt sich aus dessen unbedenklichen Angaben in seiner Stellungnahme vom 26.11.2024 sowie den Aussagen der Vertreter des Beschwerdeführers vor dem Bundesverwaltungsgericht.

II.2.4. Zu II.1.4. Feststellungen zu den wirtschaftlichen Verhältnissen der mitbeteiligten Partei:

Die diesbezüglichen Feststellungen ergeben sich zunächst anhand der im Akt inliegenden Beweisurkunden [Schriftverkehr zwischen der mitbeteiligten Partei und Kreditinstituten bzw. der Beschwerdeführerin selbst]. Seine aktuelle wirtschaftliche Situation schilderte die mitbeteiligte Partei letztaktuell im Rahmen der mündlichen Verhandlung vor dem Bundesverwaltungsgericht, wobei sich die diesbezüglichen angaben mit dem übrigen Akteninhalt decken und von der Beschwerdeführerin nicht in Abrede gestellt wurden.

II.3. Rechtliche Beurteilung:

Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor.

Zu Spruchpunkt A) – Teilweise Stattgabe und Abänderung des Spruchs:

II.3.1.1. Anzuwendendes Recht

Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise samt Überschrift wie folgt:

„Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

[…]“

„Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

[…]“

Die hier maßgebenden Bestimmungen und Erwägungsgründe der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

(1) „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

(2) „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

…

(4) "Profiling" jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;

…

(7) „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

…

(10) „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;

…

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

[ … ]

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

[ … ]“

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

[…]“

Im 47. Erwägungsgrund zur DSGVO heißt es in Bezug auf den Erlaubnistatbestand des Art. 6 Abs. 1 lit. f:

„(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z.B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht. Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen. Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die diese in Erfüllung ihrer Aufgaben vornehmen. Die Verarbeitung personenbezogener Daten im für die Verhinderung von Betrug unbedingt erforderlichen Umfang stellt ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar. Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“

Artikel 16

Recht auf Berichtigung

Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten — auch mittels einer ergänzenden Erklärung — zu verlangen.“

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Artikel 18

Recht auf Einschränkung der Verarbeitung

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:

a) die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,

b) die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt;

c) der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder

d) die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.

(2) Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese personenbezogenen Daten — von ihrer Speicherung abgesehen — nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.

(3) Eine betroffene Person, die eine Einschränkung der Verarbeitung gemäß Absatz 1 erwirkt hat, wird von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.

Artikel 21

Widerspruchsrecht

(1) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

(2) Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.

(3) Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.

(4) Die betroffene Person muss spätestens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das in den Absätzen 1 und 2 genannte Recht hingewiesen werden; dieser Hinweis hat in einer verständlichen und von anderen Informationen getrennten Form zu erfolgen.

(5) Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die betroffene Person ungeachtet der Richtlinie 2002/58/EG ihr Widerspruchsrecht mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.

(6) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß Artikel 89 Absatz 1 erfolgt, Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.

Artikel 22

Automatisierte Entscheidungen im Einzelfall einschließlich Profiling

(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

(2) Absatz 1 gilt nicht, wenn die Entscheidung

a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,

b) aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten oder

c) mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.

(3) In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.

(4) Entscheidungen nach Absatz 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.

Erwägungsgrund 71:

„Die betroffene Person sollte das Recht haben, keiner Entscheidung was eine Maßnahme einschließen kann zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrags oder Online Einstellungsverfahren ohne jegliches menschliche Eingreifen. Zu einer derartigen Verarbeitung zählt auch das ‚Profiling‘, das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine auf einer derartigen Verarbeitung, einschließlich des Profilings, beruhende Entscheidungsfindung sollte allerdings erlaubt sein, wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem der für die Verarbeitung Verantwortliche unterliegt, ausdrücklich zulässig ist, auch um im Einklang mit den Vorschriften, Standards und Empfehlungen der Institutionen der [Europäischen] Union oder der nationalen Aufsichtsgremien Betrug und Steuerhinterziehung zu überwachen und zu verhindern und die Sicherheit und Zuverlässigkeit eines von dem Verantwortlichen bereitgestellten Dienstes zu gewährleisten, oder wenn dies für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und einem Verantwortlichen erforderlich ist oder wenn die betroffene Person ihre ausdrückliche Einwilligung hierzu erteilt hat. In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Anspruchs auf direktes Eingreifen einer Person, auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung sowie des Rechts auf Anfechtung der Entscheidung. Diese Maßnahme sollte kein Kind betreffen. Um unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, sollte der für die Verarbeitung Verantwortliche geeignete mathematische oder statistische Verfahren für das Profiling verwenden, technische und organisatorische Maßnahmen treffen, mit denen in geeigneter Weise insbesondere sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird, und personenbezogene Daten in einer Weise sichern, dass den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung getragen wird, und unter anderem verhindern, dass es gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung zu diskriminierenden Wirkungen oder zu einer Verarbeitung kommt, die eine solche Wirkung hat. Automatisierte Entscheidungsfindung und Profiling auf der Grundlage besonderer Kategorien von personenbezogenen Daten sollten nur unter bestimmten Bedingungen erlaubt sein.“

§ 152 der Gewerbeordnung 1994 (GewO 1994), BGBl. I Nr. 111/2002, lautet samt Überschrift:

Auskunfteien über Kreditverhältnisse – lautet:

(1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.

(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.“

§ 256 der Insolvenzordnung - IO, BGBl. I Nr. 122/2017, lautet samt Überschrift:

Insolvenzdatei

(1) In die Ediktsdatei sind die Daten aufzunehmen, die nach diesem Bundesgesetz öffentlich bekanntzumachen sind (Insolvenzdatei).

(2) Die Einsicht in die Insolvenzdatei ist nicht mehr zu gewähren, wenn ein Jahr vergangen ist seit

1. der Aufhebung des Insolvenzverfahrens nach §§ 123a, 123b und 139,

2. Ablauf der im Sanierungsplan vorgesehenen Zahlungsfrist, wenn dessen Erfüllung nicht überwacht wird,

3. Beendigung oder Einstellung der Überwachung des Sanierungsplans,

4. Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist oder

5. der vorzeitigen Einstellung oder Beendigung des Abschöpfungsverfahrens.

(3) Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Sanierungsplan oder Zahlungsplan erfüllt worden ist. Der Schuldner hat die Erfüllung urkundlich nachzuweisen. Mit der Prüfung der Erfüllung kann das Gericht einen Sachverständigen beauftragen, dessen Kosten vom Schuldner zu tragen sind. Über die Einsicht entscheidet das Gericht mit unanfechtbarem Beschluss.

(4) Die Einsicht in die Eintragung der mangels kostendeckenden Vermögens oder wegen Vermögenslosigkeit nach § 68 nicht eröffneten Insolvenzverfahren ist nach drei Jahren nach der Eintragung nicht mehr zu gewähren.“

II.3.1.2.Fallgegenständlich war zu prüfen, ob der Beschwerdeführer im Rahmen dessen gewerblicher Tätigkeit als Kreditauskunftei (§ 152 GewO 1994) – wie von der belangten Behörde mit dem angefochtenen Bescheid festgestellt – die mitbeteiligte Partei dadurch im Recht auf Löschung gemäß Art. 17 DSGVO verletzt hat, indem er in der von ihm betriebenen Bonitätsdatenbank, der XXXX anhaltend bonitätsrelevante Informationen zur mitbeteiligten Partei, konkret die beiden Einträge

a) „Erledigung außergerichtlicher Ausgleich XXXX " sowie,

b) XXXX -Scorewert „Scorewert 0: Keine Berechnung möglich",

speichert und Dritten auf deren Anfrage hin zur Bonitätsbeurteilung der mitbeteiligten Partei bereitstellt.

Im vorliegenden Zusammenhang war insbesondere zu beurteilen, ob die rechtlichen Wertungen des Europäischen Gerichtshofes im Urteil vom 07.12.2023 in den verbundenen Rechtssachen C-26/22 und C-64/22, wie von der belangten Behörde angenommen, auf die vorliegende Fallkonstellation übertragbar ist. Das zitierte Urteil des EuGH betraf dabei die Verarbeitung von Informationen betreffend einer Restschuldbefreiung in Folge eines Insolvenzverfahrens nach Erfüllung eines Zahlungsplanes aus einer staatlich geführten Insolvenzdatei, vergleichbar mit § 256 IO, durch eine private Kreditauskunftei zu gewerblichen Zwecken über den Zeitpunkt hinaus, ab dem die entsprechenden Informationen aus insolvenzrechtlichen Gründen nicht mehr im Rahmen der staatlichen Insolvenzdatei veröffentlicht werden dürfen.

II.3.1.3. Festzuhalten ist zunächst, dass die Verarbeitung (bonitätsrelevanter) personenbezogener Daten im Rahmen der Ausübung des Gewerbes nach § 152 der Gewerbeordnung 1994 („Kreditauskunfteien“), wie im hier zu beurteilenden Fall der mitbeteiligten Partei und mangels einer Einwilligung durch die betroffene Person, in datenschutzrechtlicher Hinsicht ausschließlich auf den Erlaubnistatbestand des Art. 6 Unterabsatz 1 lit. f DSGVO gestützt werden kann. Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt (vgl. EuGH, Urteil vom 07.12.2023, C-26/22, Rn. 74).

II.3.1.4. Somit ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (vgl. EuGH, Urteil vom 04.07.2023, C‑252/21, Rn. 106 und die dort angeführte Rechtsprechung).

II.3.1.5. In Art. 5 Abs. 1 lit. c DSGVO ist der Grundsatz der „Datenminimierung“ verankert, welcher verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind.

Art. 6 Abs. 1 lit. f DSGVO verlangt drei kumulative Voraussetzungen zur Zulässigkeit der fallgegenständlichen Verarbeitung der bonitätsrelevanten Informationen zum Beschwerdeführer in der Bonitätsdatenbank der mitbeteiligten Partei als Kreditauskunftei: Zum einen muss die Verarbeitung zur Wahrung der berechtigten Interessen der Verantwortlichen oder eines Dritten, im gegebenen Zusammenhang sind das wirtschaftliche Interessen am Gewerbebetrieb der mitbeteiligten Partei selbst bzw. an der Erlangung von Informationen zur Einschätzung der Bonität von potenziellen Kreditnehmern, unbedingt erforderlich sein, zum anderen dürfen die Grundrechte und Grundfreiheiten des Betroffenen nicht überwiegen.

II.3.1.6. Zu Art. 6 Abs. 1 lit. f DSGVO hat der Europäische Gerichtshof entschieden, dass diese Bestimmung dahin auszulegen ist, dass eine Verarbeitung nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten der von der Verarbeitung betroffenen Personen gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. in diesem Sinne die Urteile des EuGH vom 04.05.2017, C‑13/16, sowie vom 04.07.2023, C‑252/21).

Im folgenden ist die Prüfung der Rechtmäßigkeit der Verarbeitung der in Rede stehenden Zahlungserfahrungsdaten im rahmen der XXXX der Beschwerdeführerin jeweils bezogen auf die Informationen

a) „Erledigung außergerichtlicher Ausgleich XXXX ", bzw.

b) XXXX -Scorewert „Scorewert 0: Keine Berechnung möglich",

getrennt vorzunehmen.

a) Zum Eintrag des außergerichtlichen Ausgleichs bezüglich eines Kredits

II.3.1.7. Betreffend der Verarbeitung der Informationen zum Eintrag „Erledigung außergerichtlicher Ausgleich XXXX " und den damit zusammenhängenden Informationen durch die Beschwerdeführerin als Kreditauskunftei vertritt die belangte Behörde – unter Bezugnahme auf das Urteil des EuGH vom 07.12.2023 in den verbundenen Rechtssachen C-26/22 und C-64/22 [SCHUFA Holding AG] – zusammengefasst folgende Rechtsansicht:

Die Bewertung des EuGH, wonach die Verarbeitung von Daten über Insolvenzen durch eine Wirtschaftsauskunftei einen schwerwiegenden Eingriff in die in den Art. 7 und 8 EU GRC verankerten Grundrechte des Betroffenen darstellt, zumal es sich um einen negativen Faktor bei der Beurteilung der Kreditwürdigkeit des Betroffenen und damit um sensible Informationen über sein Privatleben handelt und die Verarbeitung geeignet ist, die Interessen des Betroffenen erheblich zu beeinträchtigen, da sie geeignet ist, die Ausübung seiner Freiheiten, insbesondere im Hinblick auf die Befriedigung seiner Grundbedürfnisse, erheblich zu erschweren, müsse nach Ansicht der Datenschutzbehörde aufgrund der gleichen Auswirkungen auch für die Verarbeitung anderer historischer Zahlungserfahrungsdaten gelten. Der nationale Gesetzgeber habe diese gegenläufigen Interessen bereits im Hinblick auf die Dauer der öffentlichen Einsichtnahme in die Insolvenzdatei abgewogen und dementsprechend in § 256 Abs. 2 und Abs. 3 IO normiert, dass diese Daten in der Regel bis zu einem Jahr nach Aufhebung des Insolvenzverfahrens öffentlich einsehbar sind; bei Abweisung mangels kostendeckenden Vermögens oder bei Vermögenslosigkeit gemäß § 256 Abs. 4 leg. cit. drei Jahre danach. Darüber hinaus sei gemäß § 256 Abs. 3 leg. cit. auf Antrag des Schuldners die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Sanierungs- oder Zahlungsplan erfüllt wurde. Gelten – und darauf scheint es der belangten Behörde zentral anzukommen – diese Höchstfristen bereits für Daten aus der Insolvenzdatei über eine Restschuldbefreiung, wobei es sich bei einem Insolvenzverfahren in der Regel um ein Bündel offener, mitunter hoher Gläubigerforderungen handle –, so müsse dies umso mehr für sonstige von Auskunfteien verarbeitete historische Zahlungserfahrungsdaten zutreffen, da für diese keine eigenständige gesetzliche Fristenregelung bestehe; im vorliegenden Fall sei eine Erledigung bereits mit 6. September 2022 erfolgt, damit sei bereits über ein Jahr bis zu dem Zeitpunkt als der Beschwerdegegner dem Beschwerdeführer mitgeteilt habe, dass eine Löschung erst nach sieben Jahren stattfinden könne, und knapp zwei Jahre bis zum jetzigen Entscheidungszeitpunkt verstrichen. Fallbezogen seien auch keine Anhaltspunkte, die dennoch eine weitere Verarbeitung der Daten rechtfertigen würden – wie etwa ein erneuter Zahlungsverzug, der in der Zusammenschau mit den bisherigen Zahlungserfahrungsdaten zu einem anderen Bild über das Zahlungsverhalten des Beschwerdeführers führen könnte – seien letztlich nicht ersichtlich, die Informationen zum außergerichtlichen Vergleich hätten daher schon zuvor, jedenfalls aber nach Beantragung durch den Beschwerdeführer, gelöscht werden müssen.

Der Rechtsansicht der belangten Behörde war jedoch aus Sicht des erkennenden Senates – auf Grund der folgenden Erwägungen – nicht zu folgen:

II.3.1.8. Das von der belangten Behörde in Bezug genommene Urteil des EuGH zu C-26/22 und C-64/22 befasst sich mit der Zulässigkeit der Praxis von Wirtschaftsauskunfteien, Daten betreffend die Zahlungsfähigkeit einer Person aus öffentlichen Registern wie dem Insolvenzregister zu speichern und Dritten gewerblich bereitzustellen.

In seinem Urteil vom 7. Dezember 2023, C-26/22 und C-64/22, SCHUFA Holding (Restschuldbefreiung), hat der EuGH die vorliegend wesentlichen Fragen der Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden dahin beantwortet, dass

- Art. 5 Abs. 1 lit. a DSGVO iVm Art. 6 Abs. 1 lit. f DSGVO dahin auszulegen ist, dass er einer Praxis „privater Wirtschaftsauskunfteien“ entgegensteht, die darin besteht, in ihren eigenen Datenbanken aus einem öffentlichen Register stammende Informationen über die Erteilung einer Restschuldbefreiung zugunsten natürlicher Personen zum Zweck der Lieferung von Auskünften über die Kreditwürdigkeit dieser Personen für einen Zeitraum zu speichern, der über die Speicherdauer der Daten im öffentlichen Register hinausgeht. Damit ist das Urteil für den vorliegenden Fall jedoch nicht in allen Punkten einschlägig.

II.3.1.9.Dem vom EuGH zu beurteilenden Sachverhalt lag nämlich die Praxis von Wirtschaftsauskunfteien zu Grunde, Informationen aus staatlich geführten und öffentlich zugänglichen Insolvenzregistern zu entnehmen und für gewerbliche Zwecke auch dann noch zu verarbeiten, wenn die betreffenden Informationen auf Basis nationaler Rechtsvorschriften (vergleichbar mit § 256 IO) im Wege der staatlich geführten Insolvenzdatenbank nicht mehr öffentlich publiziert werden dürfen. Damit unterscheidet sich aber der Ausgangssachverhalt, der dem Urteil des EuGH in den Rechtssachen C-26/22 und C-64/22 zu Grunde lag, in wesentlichen Elementen von dem Sachverhalt, der im vorliegenden Fall vom erkennenden Senat zu beurteilen ist. So übersieht die belangte Behörde, dass es im vorliegenden Fall gerade nicht um Informationen geht, die von der Beschwerdeführerin in deren Eigenschaft als Kreditauskunftei aus der öffentlichen Insolvenzdatenbank gewonnen und über die von § 256 IO geregelten Zeiträume zur öffentlichen Publikation hinaus gewerbsmäßig Dritten – zur Wahrung von Gläubigerschutzinteressen – bereitgestellt werden sollen.

Vielmehr handelt es sich um Informationen zur außergerichtlichen Einigung zwischen der mitbeteiligten Partei und einem Kreditinstitut zu einem Konsumentenkreditvertrag, der vom Konsumenten nichtim Sinne des ursprünglich vereinbarten Tilgungsplanes erfüllt worden war, sondern im Wege eines außergerichtlichen Vergleiches und einer vertraglich vereinbarten Restschuldbefreiung erledigt wurde, wobei diese Information zu keinem Zeitpunkt im Rahmen einer staatlich geführten Insolvenzdatenbank im Interesse des Gläubigerschutzes öffentlich zugänglich war, sondern ausschließlich dem betreffenden Kreditinstitut bekannt und in weiterer Folge lediglich einem beschränkten Verkehrskreis, namentlich den an der privaten Bonitätsdatenbank der Beschwerdeführerin (der XXXX ) teilnehmenden Unternehmen, zugänglich gemacht wurde bzw. wird.

Im Ergebnis können die rechtlichen Wertungen des EuGH in Bezug auf Informationen, die im Wege einer öffentlichen Insolvenzdatenbank aus insolvenzrechtlichen Gründen nicht mehr öffentlich publiziert werden dürfen, nicht – im Sinne des von der belangten Behörde vertretenen Größenschlusses – auf die vorliegende Fallkonstellation übertragen werden. Dies aus den Folgenden Gründen:

II.3.1.10. Nach der vom EuGH im dg. Urteil vertretenen Ansicht dient die Verarbeitung personenbezogener Daten wie die in den Ausgangsverfahren in Rede stehende neben den wirtschaftlichen Interessen der [Kreditauskunftei] auch der Wahrung des berechtigten Interesses der Vertragspartner der [Kreditauskunftei], die kreditrelevante Verträge mit Personen abschließen wollen, an der Bewertung der Kreditwürdigkeit dieser Personen und damit den sozioökonomischen Interessen des Kreditsektors. In Bezug auf Verbraucherkreditverträge gehe nämlich aus Art. 8 der Richtlinie 2008/48 im Licht ihres 28. Erwägungsgrundes hervor, dass der Kreditgeber vor Abschluss des Kreditvertrags verpflichtet ist, die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen, erforderlichenfalls auch anhand von Auskünften aus öffentlichen und privaten Datenbanken, zu bewerten. Außerdem sei in Bezug auf Wohnimmobilienkreditverträge für Verbraucher Art. 18 Abs. 1 und Art. 21 Abs. 1 der Richtlinie 2014/17 in Verbindung mit Erwägungsgründen 55 und 59 dieser Richtlinie zu entnehmen, dass der Kreditgeber eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vornehmen muss und Zugang zu Kreditdatenbanken hat, wobei die Abfrage solcher Datenbanken ein nützliches Element bei dieser Prüfung sei. Hervorzuheben sei dabei auch, dass die Verpflichtung zur Bewertung der Kreditwürdigkeit der Verbraucher, wie sie in den Richtlinien 2008/48 und 2014/17 vorgesehen ist, nicht nur den Kreditantragsteller schützen, sondern auch, wie im 26. Erwägungsgrund der Richtlinie 2008/48 hervorgehoben wird, das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten soll (vgl. EuGH, C-26/22 und C-64/22, Rn. 83 – 86). Hieraus folgt zunächst, dass der EuGH der Verarbeitung bonitätsrelevanter Daten aus öffentlichen und privaten Datenbanken zum Zweck der wahrung wirtschaftlicher Interessen einer Kreditauskunftei sowie der kreditgebenden Wirtschaft jedenfalls ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO zur Wahrung des Gläubigerschutzes zubilligt, sofern eine solche Verarbeitung zur Erreichung der genannten wirtschaftlichen Interessen auch erforderlich ist, wobei diese Erforderlichkeit zu prüfen in die Zuständigkeit des nationalen Gerichts fällt.

II.3.1.11. Hinsichtlich der Dauer der Datenspeicherung geht der EuGH in dessen Urteil vom 07.12.2023 davon aus, dass sich die Prüfung der Voraussetzungen der Erforderlichkeit und Verhältnismäßigkeit insofern überschneidet, als die Beurteilung der Frage, ob im vorliegenden Fall die berechtigten Interessen, die mit der in den Ausgangsverfahren fraglichen Verarbeitung personenbezogener Daten wahrgenommen werden, vernünftigerweise nicht durch eine kürzere Dauer der Speicherung der Daten erreicht werden können, eine Abwägung der einander gegenüberstehenden Rechte und Interessen erfordert. Zur Abwägung der verfolgten berechtigten Interessen stellt der EuGH sodann fest, dass die Analyse einer Wirtschaftsauskunftei insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern kann. Was hingegen die Rechte und die Interessen der betroffenen Person betrifft, stellt die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei nach Ansicht des EuGH einen schweren Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte der betroffenen Person dar, dienten solche Informationen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person, weshalb ihre Verarbeitung den Interessen der betroffenen Person beträchtlich schaden kann, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken. Bei alldem erachtet der EuGH die möglichen Folgen für die Interessen und das Privatleben der betroffenen Person umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen umso höher, je länger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden. (vgl. EuGH, C-26/22 und C-64/22, Rn. 92 – 95).

II.3.1.12. Die belangte Behörde scheint zu übersehen, dass das Ziel eines öffentlichen Insolvenzregisters darin besteht, eine bessere Information der betroffenen Gläubiger und Gerichte zu gewährleisten, worauf der EuGH in der dg. Rechtsprechung explizit hinweist und zudem mit Blick auf die insolvenzrechtlichen Speicherfristen nach deutschem Insolvenzrecht sodann feststellt, dass die Information über die Erteilung einer Restschuldbefreiung im (deutschen) Insolvenzregister nur sechs Monate lang gespeichert wird, weshalb davon auszugehen sei, dass nach Ablauf einer Frist von sechs Monaten die Rechte und Interessen der betroffenen Person diejenigen der Öffentlichkeit, über diese Information zu verfügen, überwiegen (vgl. erneut EuGH, C-26/22 und C-64/22, Rn. 96, 97).

II.3.1.13. Zusammengefasst ist aus dem Urteil des EuGH aus Sicht des erkennenden Senates abzuleiten, dass in Fällen, in denen Informationen zu einem Schuldenregulierungsverfahren bereits öffentlich im Interesse des allgemeinen Gläubigerschutzes in einer staatlichen Insolvenzdatenbank einsehbar waren, ab dem Zeitpunkt, ab dem das jeweilige nationale Insolvenzrecht die öffentliche Publikation der betreffenden Informationen zur Wahrung von Gläubigerschutzinteressen nicht mehr als erforderlich erachtet, von privaten Kreditauskunfteien ebenso nicht mehr weiterverarbeitet- und verbreitet werden dürfen.

II.3.1.14. Wie bereits dargestellt, handelt es sich bei den im vorliegenden Fall zu beurteilenden Informationen betreffend eines außergerichtlichen Vergleiches zwischen der mitbeteiligten Partei und einem Kreditinstitut aber gerade nicht um Informationen zu einem Schuldenregulierungsverfahren, die – über einen gesetzlich festgelegten Zeitraum hindurch – im Interesse des Gläubigerschutzes öffentlich im Wege einer staatlichen Insolvenzdatenbank bekanntgemacht wurden.

Vielmehr handelt es sich bei dem hier zu prüfenden Eintrag um eine bonitätsrelevante Information zu einer Zahlungsstörung hinsichtlich eines einzelnen Verbraucherkreditvertrages, nicht aber um ein Schuldenregulierungsverfahren aus Folge einer Zahlungsunfähigkeit; die in Rede stehenden Informationen sind dabei ausschließlich einem beschränkten Verkehrskreis, nämlich den Zugangsberechtigten zur XXXX , es handelt sich dabei ausschließlich um Banken, Kredit gebende Versicherungsunternehmen und Leasingunternehmen mit Sitz im europäischen Binnenmarkt, im Wege einer privaten Bonitätsdatenbank auf deren Anfrage hin zugänglich. Ohne Bereitstellung der in Rede stehenden Zahlungserfahrungsdaten zur mitbeteiligten Partei im Rahmen der privaten Bonitätsdatenbank der Beschwerdeführerin, käme es auf der Seite von Unternehmen aus dem Bereich der kreditgebenden Wirtschaft zu Informationsunterschieden, wodurch es den betreffenden Instituten in der Folge oftmals nur eingeschränkt möglich wäre, eine eingehende Prüfung der Kreditwürdigkeit (§ 7 VKrG) im Sinne der Vorgaben der Richtlinie 2008/48/EG [künftig Richtlinie (EU) 2023/2225], unter Berücksichtigung historischer Zahlungserfahrungsdaten durchzuführen.

Die hier zu beurteilende Verarbeitung der Zahlungserfahrungsdaten zur mitbeteiligten Partei betreffend Erledigung eines Kreditschuldverhältnisses mittels außergerichtlichen Vergleiches und teilweisen Forderungsverzichtes vom XXXX kann daher, mit Blick auf zu wahrende Gläubigerschutzinteressen und bestehende Prüfpflichten potenzieller Kreditgeber, nicht bereits ab dem Zeitpunkt der Erfüllung dieses Vergleiches mit XXXX als unzulässig angesehen werden. Dies muss umso mehr gelten, wenn es sich bei den zugangsberechtigten zur XXXX ausschließlich um Institute handelt, die den Bestimmungen der Verordnung (EU) Nr. 575/2013 des europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 ("Kapitaladäquanzverordnung") unterliegen (vgl. VwGH, 01.02.2024, Ro 2020/04/0031, Rn. 35).

Vielmehr ist aus Sicht des erkennenden Senates im Rahmen einer Einzelfallbeurteilung eine Interessenabwägung vorzunehmen und zu prüfen, wie lange eine Speicherung in der XXXX , wenn diese private Bonitätsdatenbank wie festgestellt von der Beschwerdeführerin als Kreditauskunftei ausschließlich Banken, Kredit gebenden Versicherungsunternehmen und Leasingunternehmen mit Sitz im europäischen Binnenmarkt zum Zweck der Bonitätsprüfung im Zusammenhang mit Kreditgeschäften zugänglich gemacht wird, zur Wahrung von Gläubigerschutzinteressen zulässig ist.

II.3.1.15. Nach Ansicht des erkennenden Senates ist im vorliegenden Zusammenhang die (nach wie vor) einschlägige oberst- und verwaltungsgerichtliche Rechtsprechung zur Speicherdauer in Bezug auf historische Zahlungserfahrungsdaten beachtlich. Das Interesse der Teilnehmer, Zugang zur XXXX haben ausschließlich Banken, Kredit gebende Versicherungsunternehmen und Leasingunternehmen mit Sitz im europäischen Binnenmarkt) an der von der Beschwerdeführerin gewerblich bereitgestellten XXXX an Informationen zum früheren Zahlungsverhalten liegt danach in der besseren Einschätzung ihres Kreditrisikos und so in der Vermeidung von Zahlungsverzögerungen und ausfällen. Daten über historische Insolvenzen und Zahlungsausfälle sind hierzu wesentlich, um das zukünftige Zahlungsverhalten eines (potentiellen) Schuldners vorhersagen zu können, wenngleich ihnen umso weniger Aussagekraft zukommt, je länger sie zurückliegen und je länger es zu keinen weiteren Zahlungsstockungen und ausfällen gekommen ist. Im Rahmen der für die Beurteilung der zulässigen Speicherdauer vorzunehmenden Interessenabwägung kommt daher dem Alter der Forderung bzw. dem Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung und das darauf folgende „Wohlverhalten“ des Schuldners maßgebliche Bedeutung zu. Für die Beurteilung der Bonität eines (potentiellen) Schuldners und des Risikos einer Forderung wesentlich und daher bei der Interessenabwägung zu berücksichtigen ist zudem die Höhe des Zahlungsausfalls im Rahmen eines Insolvenzverfahrens (vgl OGH, 19.12.2023, Rz. 19).

Als Richtlinie, wie lange Bonitätsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet sind, können Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen.

Für den vorliegenden Zusammenhang ist insbesondere auf die Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 (Kapitaladäquanzverordnung) zu verweisen, in der Kreditinstitute ua verpflichtet werden, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Für Kredit- bzw Retailforderungen ggü natürlichen Personen haben Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürfen (Art 143 Abs 1 leg cit), gemäß Art 151 Abs 6 iVm 180 Abs 2 lit a und e leg cit die Ausfallswahrscheinlichkeit der Forderung (Probability of Default - PD) ua anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen; dabei ist ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein kann, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall (Loss Given Default - LGD), hat sich gemäß Art 151 Abs 7 iVm 181 Abs 2 lit c leg cit grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen.

II.3.1.16. Zur Interessenabwägung im Einzelnen:

Zur Abwägung der wirtschaftlichen Interessen der Verantwortlichen und deren Geschäftspartner an der hier zu prüfenden Verarbeitung der Informationen der mitbeteiligten Partei mit dessen Interessen, Grundrechten und Grundfreiheiten war wie folgt abzuwägen:

Die verfahrensgegenständlich im Rahmen der XXXX der Beschwerdeführerin gespeicherten Informationen betreffen einen mit XXXX 2015 gewährten Abstattungskredit in der Höhe von € 15.000, wobei die ursprüngliche Laufzeit vertraglich mit 84 Monaten festgelegt wurde, der gesamte Kreditbetrag somit mit XXXX an die Bank zurückgeführt hätte werden sollen. Die mitbeteiligte Partei hat im Jänner 2017 aus Folge eines Arbeitsplatzverlustes in Bezug auf den Kredit mit der Bank eine geänderte Ratenzahlungsvereinbarung zur Verringerung der monatlichen Zahlungsbelastung geschlossen und sodann bis zum Jahr 2019 die neue Ratenvereinbarung eingehalten. Aufgrund von Zinseszinseffekten ist das Saldo des Kredites dennoch angewachsen, weshalb die mitbeteiligte Partei mit der Bank im Jahr 2019 eine neue Ratenvereinbarung von 36 Monatsraten zu je € 200 bei gleichzeitiger Restschuldbefreiung vereinbart hat. Der endgültige Zahlungsplan endete somit im XXXX , weshalb die Erfüllung des Vergleiches zum Entscheidungszeitpunkt deutlich weniger als drei Jahre zurückliegt. Damit erstreckt sich ein möglicher Beobachtungszeitraum in Bezug auf das Zahlungsverhalten der mitbeteiligten Partei, wie festgestellt sind zwischenzeitlich keine weiteren Zahlungsstörungen hervorgekommen, auf deutlich weniger als fünf Jahre.

Im Ergebnis ist daher die Verarbeitung der Informationen betreffend des mit XXXX erfüllten außergerichtlichen Ausgleiches, im Rahmen der von der Beschwerdeführerin als Kreditauskunftei betriebenen Bonitätsdatenbank ( XXXX ), zum Entscheidungszeitpunkt weiterhin als erforderlich anzusehen, da die Beschwerdeführerin die betreffenden Informationen lediglich den Zugangsberechtigten zur XXXX zugänglich macht, und es sich dabei ausschließlich um Banken, Kredit gebende Versicherungsunternehmen und Leasingunternehmen mit Sitz im europäischen Binnenmarkt handelt, wobei diese Unternehmen der kreditgebenden Wirtschaft auf Grund unionsrechtlicher Bestimmungen verpflichtet sind, die Bonität potenzieller Kreditnehmer auch anhand historischer Zahlungserfahrungsdaten einzuschätzen. Da der Kreis der letztgenannten Unternehmen den Vorgaben der Verordnung (EU) Nr. 575/2013 unterliegt, können die gegenständlichen Informationen bis zu fünf Jahren ab Erfüllung des Zahlungsplanes im Rahmen der XXXX auf Basis des Erlaubnistatbestandes nach Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden. Fallbezogen stehen dem auch nicht überwiegende Interessen (am wirtschaftlichen Fortkommen) der mitbeteiligten Partei entgegen. So war es der mitbeteiligten Partei wie festgestellt auch trotz des Eintrages zum außergerichtlichen Vergleich aus dem Jahr 2019 in der XXXX zwischenzeitlich möglich, zwei Leasingverträge abzuschließen, weshalb von einer übermäßigen Beeinträchtigung im wirtschaftlichen Fortkommen der mitbeteiligten Partei nicht auszugehen war. Der Umstand, dass von einem weiteren Kreditinstitut die Gewährung eines Verbraucherkredites abgelehnt wurde, ist hiervon getrennt zu beurteilen, da diese Ablehnung nach Ansicht des erkennenden Senates maßgeblich auf die Information betreffend eines nicht errechenbaren Scoring-Wertes zurückzuführen ist, worauf im Folgenden einzugehen sein wird.

b) Zur Verarbeitung des Eintrages XXXX -Scorewert „Scorewert 0: Keine Berechnung möglich":

II.3.1.17. Zur Frage des Vorliegens einer automatisierten Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO

Der EuGH hat in seinem Urteil vom 7. Dezember 2023, C 634/21, SCHUFA Holding [Scoring] zu der mit Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Verwaltungsgericht Wiesbaden (Deutschland) mit Beschluss vom 1. Oktober 2021, vorgelegten Frage betreffend die Auslegung von Art. 22 Abs. 1 DSGVO wie folgt ausgeführt:

„40 Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 22 Abs. 1 DSGVO dahin auszulegen ist, dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.

41 Zur Beantwortung dieser Frage ist zunächst darauf hinzuweisen, dass bei der Auslegung einer Vorschrift des Unionsrechts nicht nur deren Wortlaut, sondern auch der Zusammenhang, in dem sie steht, sowie die Zwecke und Ziele, die mit dem Rechtsakt, zu dem sie gehört, verfolgt werden, zu berücksichtigen sind (Urteil vom 22. Juni 2023, Pankki S, C‑579/21, EU:C:2023:501, Rn. 38 und die dort angeführte Rechtsprechung).

42 Was den Wortlaut von Art. 22 Abs. 1 DSGVO angeht, so sieht diese Bestimmung vor, dass eine betroffene Person das Recht hat, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

43 Die Anwendbarkeit dieser Bestimmung hängt somit von drei kumulativen Voraussetzungen ab, nämlich davon, dass erstens eine ‚Entscheidung‘ vorliegen muss, zweitens diese Entscheidung ‚ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling [beruhen]‘ muss und drittens sie ‚gegenüber [der betroffenen Person] rechtliche Wirkung‘ entfalten oder sie ‚in ähnlicher Weise erheblich‘ beeinträchtigen muss.

44 Was erstens die Voraussetzung des Vorliegens einer Entscheidung betrifft, ist festzustellen, dass der Begriff ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 DSGVO in dieser Verordnung nicht definiert wird. Bereits aus dem Wortlaut dieser Bestimmung ergibt sich jedoch, dass sich dieser Begriff nicht nur auf Handlungen bezieht, die rechtliche Wirkung gegenüber der betroffenen Person entfalten, sondern auch auf Handlungen, die diese Person in ähnlicher Weise erheblich beeinträchtigen.

45 Die weite Bedeutung des Begriffs ‚Entscheidung‘ wird durch den 71. Erwägungsgrund der DSGVO bestätigt, wonach eine Entscheidung zur Bewertung persönlicher Aspekte, die eine Person betreffen, ‚eine Maßnahme einschließen [kann]‘, die entweder ‚rechtliche Wirkung für die betroffene Person‘ entfaltet oder ‚sie in ähnlicher Weise erheblich beeinträchtigt‘, wobei die betroffene Person das Recht haben sollte, einer solchen Entscheidung nicht unterworfen zu werden. Nach diesem Erwägungsgrund umfasst der Begriff ‚Entscheidung‘ beispielsweise die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen.

46 Da der Begriff ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 DSGVO somit, wie der Generalanwalt in Nr. 38 seiner Schlussanträge ausgeführt hat, mehrere Handlungen umfassen kann, die die betroffene Person in vielerlei Weise beeinträchtigen können, ist dieser Begriff weit genug, um das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts mit einzuschließen.

47 Was zweitens die Voraussetzung angeht, dass die Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO ‚ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling [beruhen]‘ muss, steht, wie der Generalanwalt in Nr. 33 seiner Schlussanträge ausgeführt hat, fest, dass eine Tätigkeit wie die der SCHUFA der Definition des ‚Profiling‘ in Art. 4 Nr. 4 DSGVO entspricht und dass diese Voraussetzung somit im vorliegenden Fall erfüllt ist; der Wortlaut der ersten Vorlagefrage bezieht sich im Übrigen ausdrücklich auf die automatisierte Erstellung eines auf personenbezogene Daten zu einer Person gestützten Wahrscheinlichkeitswerts hinsichtlich deren Fähigkeit, künftig einen Kredit zu bedienen.

48 Was drittens die Voraussetzung betrifft, dass die Entscheidung gegenüber der betroffenen Person ‚rechtliche Wirkung‘ entfalten oder sie ‚in ähnlicher Weise erheblich‘ beeinträchtigen muss, ergibt sich bereits aus dem Inhalt der ersten Vorlagefrage, dass das Handeln des Dritten, dem der Wahrscheinlichkeitswert übermittelt wird, ‚maßgeblich‘ von diesem Wert geleitet wird. So führt nach den Sachverhaltsfeststellungen des vorlegenden Gerichts im Fall eines von einem Verbraucher an eine Bank gerichteten Kreditantrags ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen dazu, dass die Bank die Gewährung des beantragten Kredits ablehnt.

49 Folglich ist davon auszugehen, dass auch die dritte Voraussetzung, von der die Anwendung von Art. 22 Abs. 1 DSGVO abhängt, erfüllt ist, da ein Wahrscheinlichkeitswert wie der im Ausgangsverfahren fragliche die betroffene Person zumindest erheblich beeinträchtigt.

50 Daher ist unter Umständen wie jenen des Ausgangsverfahrens, unter denen der von einer Wirtschaftsauskunftei ermittelte und einer Bank mitgeteilte Wahrscheinlichkeitswert eine maßgebliche Rolle bei der Gewährung eines Kredits spielt, die Ermittlung dieses Wertes als solche als Entscheidung einzustufen, die im Sinne von Art. 22 Abs. 1 DSGVO gegenüber einer betroffenen Person ‚rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt‘.

51 Diese Auslegung wird durch den Zusammenhang, in dem Art. 22 Abs. 1 DSGVO steht, sowie durch die Zwecke und Ziele, die mit dieser Verordnung verfolgt werden, gestützt.

52 Insoweit ist darauf hinzuweisen, dass, wie der Generalanwalt in Nr. 31 seiner Schlussanträge festgestellt hat, Art. 22 Abs. 1 DSGVO der betroffenen Person das ‚Recht‘ verleiht, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Entscheidung unterworfen zu werden. Diese Bestimmung stellt ein grundsätzliches Verbot auf, dessen Verletzung von einer solchen Person nicht individuell geltend gemacht zu werden braucht.

53 Wie sich nämlich aus Art. 22 Abs. 2 DSGVO in Verbindung mit dem 71. Erwägungsgrund dieser Verordnung ergibt, ist der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung nur in den in Art. 22 Abs. 2 genannten Fällen zulässig, d. h., wenn sie für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist (Buchst. a), wenn sie aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist (Buchst. b) oder wenn sie mit ausdrücklicher Einwilligung der betroffenen Person erfolgt (Buchst. c).

54 Außerdem sieht Art. 22 Abs. 2 Buchst. b und Abs. 3 DSGVO vor, dass angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person vorgesehen werden müssen. In den in Art. 22 Abs. 2 Buchst. a und c dieser Verordnung genannten Fällen gewährt der Verantwortliche der betroffenen Person mindestens das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

55 Ferner dürfen nach Art. 22 Abs. 4 DSGVO automatisierte Entscheidungen im Einzelfall im Sinne von diesem Art. 22 nur in bestimmten Sonderfällen auf besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 dieser Verordnung beruhen.

56 Darüber hinaus unterliegt im Fall einer automatisierten Entscheidungsfindung wie jener im Sinne von Art. 22 Abs. 1 DSGVO zum einen der Verantwortliche zusätzlichen Informationspflichten nach Art. 13 Abs. 2 Buchst. f und Art. 14 Abs. 2 Buchst. g dieser Verordnung. Zum anderen steht der betroffenen Person nach Art. 15 Abs. 1 Buchst. h DSGVO ein Auskunftsrecht gegenüber dem für die Verarbeitung Verantwortlichen zu, das insbesondere ‚aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person‘ betrifft.

57 Diese höheren Anforderungen an die Rechtmäßigkeit einer automatisierten Entscheidungsfindung sowie die zusätzlichen Informationspflichten des Verantwortlichen und die damit verbundenen zusätzlichen Auskunftsrechte der betroffenen Person erklären sich aus dem Zweck, den Art. 22 DSGVO verfolgt und der darin besteht, Personen vor den besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten einschließlich Profiling verbunden sind.

58 Diese Verarbeitung erfordert nämlich, wie sich aus dem 71. Erwägungsgrund der DSGVO ergibt, die Bewertung persönlicher Aspekte in Bezug auf die von dieser Verarbeitung betroffene natürliche Person, insbesondere zur Analyse oder Prognose von Aspekten bezüglich ihrer Arbeitsleistung, wirtschaftlichen Lage, Gesundheit, Vorlieben oder Interessen, Zuverlässigkeit oder ihres Verhaltens, ihres Aufenthaltsorts oder Ortswechsels.

59 Diese besonderen Risiken sind nach diesem Erwägungsgrund geeignet, die Interessen und Rechte der betroffenen Person zu beeinträchtigen, insbesondere im Hinblick auf etwaige diskriminierende Wirkungen gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung. Daher sollte nach diesem Erwägungsgrund der betroffenen Person gegenüber eine faire und transparente Verarbeitung gewährleistet werden, insbesondere durch die Verwendung geeigneter mathematischer oder statistischer Verfahren für das Profiling und durch technische und organisatorische Maßnahmen, mit denen in geeigneter Weise sichergestellt wird, dass das Risiko von Fehlern minimiert wird.

60 Die in den Rn. 42 bis 50 des vorliegenden Urteils dargelegte Auslegung und insbesondere die weite Bedeutung des Begriffs ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 DSGVO verstärkt den wirksamen Schutz, auf den diese Bestimmung abzielt.

61 Hingegen bestünde unter Umständen wie jenen des Ausgangsverfahrens, an denen drei Akteure beteiligt sind, die Gefahr einer Umgehung von Art. 22 DSGVO und folglich eine Rechtsschutzlücke, wenn einer engen Auslegung dieser Bestimmung der Vorzug gegeben würde, nach der die Ermittlung des Wahrscheinlichkeitswerts nur als vorbereitende Handlung anzusehen ist und nur die vom Dritten vorgenommene Handlung gegebenenfalls als ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 dieser Verordnung eingestuft werden kann.

62 In diesem Fall würde nämlich die Ermittlung eines Wahrscheinlichkeitswerts wie des im Ausgangsverfahren in Rede stehenden nicht den besonderen Anforderungen von Art. 22 Abs. 2 bis 4 DSGVO unterliegen, obwohl dieses Verfahren auf einer automatisierten Verarbeitung beruht und Wirkungen entfaltet, welche die betroffene Person erheblich beeinträchtigen, da das Handeln des Dritten, dem dieser Wahrscheinlichkeitswert übermittelt wird, von diesem maßgeblich geleitet ist.

63 Außerdem könnte die betroffene Person, wie der Generalanwalt in Nr. 48 seiner Schlussanträge ausgeführt hat, zum einen bei der Wirtschaftsauskunftei, die den sie betreffenden Wahrscheinlichkeitswert ermittelt, ihr Recht auf Auskunft über die in Art. 15 Abs. 1 Buchst. h DSGVO genannten spezifischen Informationen nicht geltend machen, wenn keine automatisierte Entscheidungsfindung durch dieses Unternehmen vorliegt. Zum anderen wäre der Dritte unter der Annahme, dass die von ihm vorgenommene Handlung unter Art. 22 Abs. 1 DSGVO fiele, da sie die Voraussetzungen für die Anwendung dieser Bestimmung erfüllte nicht in der Lage, diese spezifischen Informationen vorzulegen, weil er darüber im Allgemeinen nicht verfügt.

64 Dass die Ermittlung eines Wahrscheinlichkeitswerts wie des im Ausgangsverfahren in Rede stehenden von Art. 22 Abs. 1 DSGVO erfasst wird, hat, wie in den Rn. 53 bis 55 des vorliegenden Urteils ausgeführt, zur Folge, dass sie verboten ist, es sei denn, eine der in Art. 22 Abs. 2 DSGVO genannten Ausnahmen ist anwendbar und die besonderen Anforderungen von Art. 22 Abs. 3 und 4 DSGVO sind erfüllt.

65 Was insbesondere Art. 22 Abs. 2 Buchst. b DSGVO betrifft, auf den das vorlegende Gericht Bezug nimmt, ergibt sich bereits aus dem Wortlaut dieser Bestimmung, dass die nationalen Rechtsvorschriften, die den Erlass einer automatisierten Entscheidung im Einzelfall erlauben, angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten müssen.

66 Im Licht des 71. Erwägungsgrundes der DSGVO müssen solche Maßnahmen insbesondere die Verpflichtung des Verantwortlichen umfassen, geeignete mathematische oder statistische Verfahren zu verwenden, technische und organisatorische Maßnahmen zu treffen, mit denen in geeigneter Weise sichergestellt wird, dass das Risiko von Fehlern minimiert wird und Fehler korrigiert werden, und personenbezogene Daten in einer Weise zu sichern, dass den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung getragen wird, und insbesondere zu verhindern, dass es ihr gegenüber zu diskriminierenden Wirkungen kommt. Diese Maßnahmen umfassen außerdem mindestens das Recht der betroffenen Person auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der gegen sie erlassenen Entscheidung.

67 Ferner ist darauf hinzuweisen, dass nach ständiger Rechtsprechung des Gerichtshofs jede Verarbeitung personenbezogener Daten mit den in Art. 5 DSGVO festgelegten Grundsätzen für die Verarbeitung personenbezogener Daten im Einklang stehen und in Anbetracht des in Art. 5 Abs. 1 Buchst. a vorgesehenen Grundsatzes der Rechtmäßigkeit der Verarbeitung eine der in Art. 6 dieser Verordnung aufgeführten Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen muss (Urteil vom 20. Oktober 2022, Digi, C‑77/21, EU:C:2022:805, Rn. 49 und die dort angeführte Rechtsprechung). Der Verantwortliche muss die Einhaltung dieser Grundsätze nach dem in Art. 5 Abs. 2 DSGVO niedergelegten Grundsatz der Rechenschaftspflicht nachweisen können (vgl. in diesem Sinne Urteil vom 20. Oktober 2022, Digi, C‑77/21, EU:C:2022:805, Rn. 24).

68 Ist nach den Rechtsvorschriften eines Mitgliedstaats gemäß Art. 22 Abs. 2 Buchst. b DSGVO der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung zulässig, muss diese Verarbeitung somit nicht nur die in der letztgenannten Bestimmung und in Art. 22 Abs. 4 DSGVO aufgestellten Voraussetzungen erfüllen, sondern auch die Anforderungen in den Art. 5 und 6 dieser Verordnung. Folglich dürfen die Mitgliedstaaten keine Rechtsvorschriften nach Art. 22 Abs. 2 Buchst. b DSGVO erlassen, nach denen ein Profiling unter Missachtung der Anforderungen dieser Art. 5 und 6 in deren Auslegung durch die Rechtsprechung des Gerichtshofs zulässig ist.

69 Was insbesondere die in Art. 6 Abs. 1 Buchst. a, b und f DSGVO vorgesehenen Bedingungen für die Rechtmäßigkeit betrifft, die in einem Fall wie jenem des Ausgangsverfahrens Anwendung finden können, sind die Mitgliedstaaten nicht befugt, ergänzende Vorschriften für die Anwendung dieser Bedingungen vorzusehen, da eine solche Befugnis nach Art. 6 Abs. 3 DSGVO auf die in Art. 6 Abs. 1 Buchst. c und e dieser Verordnung genannten Gründe beschränkt ist.

70 Was außerdem im Einzelnen Art. 6 Abs. 1 Buchst. f DSGVO betrifft, dürfen die Mitgliedstaaten nach Art. 22 Abs. 2 Buchst. b DSGVO nicht von den Anforderungen abweichen, die sich aus der Rechtsprechung des Gerichtshofs nach dem Urteil vom 7. Dezember 2023, SCHUFA Holding (Restschuldbefreiung) (C‑26/22 und C‑64/22, EU:C:2023:XXX), ergeben, insbesondere nicht dadurch, dass sie das Ergebnis der Abwägung der einander gegenüberstehenden Rechte und Interessen abschließend vorschreiben (vgl. in diesem Sinne Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 62).

71 Im vorliegenden Fall weist das vorlegende Gericht darauf hin, dass nur § 31 BDSG eine nationale Rechtsgrundlage im Sinne von Art. 22 Abs. 2 Buchst. b DSGVO darstellen könnte. Bezüglich der Vereinbarkeit dieses § 31 BDSG mit dem Unionsrecht bestehen für dieses Gericht aber durchgreifende Bedenken. Sollte diese Bestimmung als mit dem Unionsrecht unvereinbar angesehen werden, würde die SCHUFA nicht nur ohne Rechtsgrundlage handeln, sondern verstieße ipso iure gegen das in Art. 22 Abs. 1 DSGVO aufgestellte Verbot.

72 Insoweit ist es Sache des vorlegenden Gerichts, zu prüfen, ob § 31 BDSG als Rechtsgrundlage im Sinne von Art. 22 Abs. 2 Buchst. b DSGVO qualifiziert werden kann, nach der es zulässig wäre, eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung zu erlassen. Sollte das vorlegende Gericht zu dem Schluss kommen, dass § 31 eine solche Rechtsgrundlage darstellt, hätte es noch zu prüfen, ob die in Art. 22 Abs. 2 Buchst. b und Abs. 4 DSGVO und in den Art. 5 und 6 DSGVO aufgestellten Anforderungen im vorliegenden Fall erfüllt sind.

73 Nach alledem ist auf die erste Frage zu antworten, dass Art. 22 Abs. 1 DSGVO dahin auszulegen ist, dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.“

Den Ausführungen im zitierten Urteil des EuGH zufolge stellt eine automatisierte Datenverarbeitung wie Profiling selbst eine „automatisierte Entscheidung im Einzelfall“ im Sinne des Art. 22 Abs. 1 DSGVO dar, wenn das Ergebnis dieser automatisierten Verarbeitung für eine bestimmte weitere Entscheidung insofern maßgeblich ist, als das Handeln des Dritten von dem betreffenden Profiling „maßgeblich geleitet“ wird, und so den Betroffenen erheblich beeinträchtigt (vgl. die Ausführungen des EuGH im Urteil vom 07.12.2023, C-634/21, Rn. 48 und 73).

Weiters hat der EuGH Iin Rz 61 der dg. Entscheidung festgehalten, dass unter Umständen, wie jenen des Ausgangsverfahrens, an denen drei Akteure beteiligt seien, die Gefahr einer Umgehung von Art. 22 DSGVO und folglich eine Rechtsschutzlücke gegeben sei, wenn einer engen Auslegung dieser Bestimmung der Vorzug gegeben würde, nach der die Ermittlung des Wahrscheinlichkeitswertes nur als vorbereitende Handlung anzusehen wäre und nur die vom Dritten vorgenommene Handlung gegebenenfalls als „Entscheidung“ im Sinne von Art. 22 Abs. 1 dieser Verordnung eingestuft werden könne.

Wie der EuGH schließlich in Rz 67 seines dg. Urteils unter Verweis auf dessen ständige Rechtsprechung festhält, muss jede Verarbeitung personenbezogener Daten mit den in Art. 5 DSGVO festgelegten Grundsätzen für die Verarbeitung personenbezogener Daten in Einklang stehen und in Anbetracht des in Art. 5 Abs. 1 lit. a vorgesehenen Grundsatzes der Rechtmäßigkeit der Verarbeitung eine der in Art. 6 dieser Verordnung anaufgeführten Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen.

Ist nach den Rechtsvorschriften eines Mitgliedstaats gemäß Art. 22 Abs. 2 Buchst. b DSGVO der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung zulässig – so der EuGH weiter –, muss diese Verarbeitung somit nicht nur die in der letztgenannten Bestimmung und in Art. 22 Abs. 4 DSGVO aufgestellten Voraussetzungen erfüllen, sondern auch die Anforderungen in den Art. 5 und 6 dieser Verordnung. Folglich dürfen die Mitgliedstaaten keine Rechtsvorschriften nach Art. 22 Abs. 2 Buchst. b DSGVO erlassen, nach denen ein Profiling unter Missachtung der Anforderungen dieser Art. 5 und 6 in deren Auslegung durch die Rechtsprechung des Gerichtshofs zulässig ist (vgl. Rz 68 des dg. Urteils).

II.3.1.18. Aus alldem folgt fallbezogen, dass das Argument der Beschwerdeführerin, wonach sie in Bezug auf die mitbeteiligte Partei keinen Scoring-Wert berechnen konnte, da das vergangene Ereignis eines außergerichtlichen Ausgleiches samt Forderungsverzicht im Rahmen der von der Beschwerdeführerin verwendeten Berechnungsmethode zur Bestimmung des Scoring-Wertes nicht dargestellt werden könne, dieser daher lediglich mit „0 – Berechnung nicht möglich“ vermerkt und Dritten weitergegeben wurde, im Lichte der dargestellten Entscheidung des EuGH vom 07.12.2023, C 634/21, zu verwerfen war.

II.3.1.19. Vielmehr hat die Beschwerdeführerin als Wirtschaftsauskunftei einen auf personenbezogene Daten gestützten Wahrscheinlichkeitswert in Bezug auf die Fähigkeit der mitbeteiligten Partei, künftige Zahlungsverpflichtungen zu erfüllen, automatisiert erstellt, auch wenn das Ergebnis „0 – Berechnung nicht möglich“ lautet, aber in dieser Form einem Kreditinstitut im Wege des Zugriffs auf die XXXX bereitgestellt wurde. Gerade diese Information war nämlich maßgebliches Kriterium dafür, dass der mitbeteiligten Partei von der betreffenden Bank die Gewährung eines Kreditvertrages verweigert worden war. Dies folgt klar und eindeutig aus dem vorliegenden Ablehnungsschreiben der Bank, wenn es zur Begründung der Ablehnung wörtlich heißt: „Wir können Ihnen leider kein Angebot unterbreiten, da uns der XXXX keinen Scoringwert mitteilen kann. Grund hierfür sind technische Probleme beim XXXX “. Wenn das betreffende Institut die mitbeteiligte Partei in demselben Schreiben explizit für „Rückfragen hierzu“ direkt an die Beschwerdeführerin als Kreditauskunftei verweist, wird dadurch einmal mehr untermauert, dass die betreffende Bank den seitens der Beschwerdeführerin bereitgestellten Wert „0 – Berechnung nicht möglich“, selbst nicht maßgeblich hinterfragt, sondern eben nur im Falle einer Änderung dieses Eintrages auf Seiten der Beschwerdeführerin als Kreditauskunftei bereit wäre, eine andere Kreditvergabeentscheidung zu treffen. Vor diesem Hintergrund ändert auch der Hinweis der Beschwerdeführerin nichts, wonach ihrerseits in Folge der Entscheidung des EuGH vom 07.12.2023, C-634/21, gegenüber der XXXX darauf hingewiesen wurde, dass bei einer Kreditvergabeentscheidung – neben dem von der Kreditauskunftei bereitgestellten Scoring-Wert – noch weitere Kriterien heranzuziehen sind, zeigt sich doch anhand des vorliegenden Falles klar und eindeutig, dass gerade das – wenn auch im System der Beschwerdeführerin nicht zahlenmäßig darstellbare – Ergebnis maßgeblichen Einfluss auf die negative Kreditvergabeentscheidung hatte.

Auch der von der Beschwerdeführerin ins Treffen geführte Umstand, wonach in Fällen wie dem vorliegenden, in dem ein Abstattungskredit im Wege eines außergerichtlichen Vergleiches erledigt wurde, für die Dauer der Speicherung der diesbezüglichen Informationen innerhalb der XXXX ein Scoring-Wert auf Grund der logischen Ausgestaltung der Berechnungsformel nicht in Form einer nummerischen Punkteanzahl darstellbar ist, vermag an der rechtlichen Einordnung im Sinne der Rechtsprechung des EuGH zu Art. 22 Abs. 1 DSGVO nichts zu ändern. Denn es kann nicht darauf ankommen, auf welche Weise das Ergebnis eines Scoring-Verfahrens dargestellt werden kann oder eben nicht, maßgeblich ist vielmehr, ob das Ergebnis – auch wenn dieses „0 – Berechnung nicht möglich“ lautet – vom jeweiligen Empfängerhorizont als hinreichend negativ konnotiert interpretiert wird, was fallbezogen zweifellos der Fall ist. Im gegenständlichen Fall war die Ermittlung des „Bonitäts-Scores“ zum Betroffenen, der letztlich maßgeblich für die Verweigerung eines Vertragsabschlusses mit einem Kreditinstitut gewesen ist, somit als eine Entscheidung einzustufen, die im Sine von Art. 22 Abs. 1 DSGVO gegenüber einer betroffenen Person „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“ (vgl. zur weiten Bedeutung des Begriffs ‚Entscheidung‘ in EuGH, C-634/21, Rn 45ff).

Dass die Letztentscheidung über die Gewährung eines Verbraucherkredites innerhalb der jeweiligen Entscheidungsstruktur der Bank – und damit nicht innerhalb der Beschwerdeführerin als Kreditauskunftei – liegt, vermag damit die rechtliche Qualifikation der Information, wonach eine Berechnung eines Scoring-Wertes nicht möglich ist, als eine automatisierte Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO nicht zu hindern; dem Urteil des EuGH liegt schließlich gerade auch der Sachverhalt zugrunde, dass letztlich der potentielle Kreditgeber über die Frage des Zustandekommens des dort zur Rede stehenden Kreditvertrages entscheidet (vgl. zu alldem VwGH, 21.12.2023, Ro 2021/04/0010, Rn 80).

II.3.1.20. Im Weiteren war daher zu prüfen, ob im gegenständlichen Fall einer der Ausnahmetatbestände des Art. 22 Abs. 2 DSGVO in Betracht kommt:

Was die Voraussetzungen des Art. 22 Abs. 2 DSGVO betrifft, so kann im konkreten Fall nicht gesagt werden, dass die Entscheidung für den Abschluss oder die Erfüllung eines Vertrages zwischen der betroffenen Person, also der mitbeteiligten Partei, und dem Verantwortlichen, also der Beschwerdeführerin, erforderlich im Sinne von Art. 22 Abs. 1 lit. a DSGVO gewesen wäre. Auch existieren im nationalen Recht keine Rechtsgrundlagen, welche „angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person“, wie von Art. 22 Abs. 1 lit. b DSGVO gefordert, enthielten. In diesem Zusammenhang ist ausdrücklich festzuhalten, dass § 152 der Gewerbeordnung 1994 keine derartige Rechtsgrundlage darstellt. Fallgegenständlich liegt in Bezug auf die hier vorliegende automatisierte Entscheidungsfindung im Sinne des Art. 22 Abs. 1 DSGVO auch keine (ausdrückliche) Einwilligung der mitbeteiligten Partei im Sinne von Art. 22 Abs. 1 lit. c DSGVO vor.

Insgesamt war daher festzuhalten, dass im vorliegenden Fall ein auf personenbezogene Daten gestützter Wahrscheinlichkeitswert in Bezug auf die Fähigkeit der mitbeteiligten Partei zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei, nämlich der Beschwerdeführerin als datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Z 7 DSGVO, automatisiert erstellt wurde und von diesem errechneten Wahrscheinlichkeitswert maßgeblich abhing, ob Dritte (hier: ein Kreditinstitut) ein Vertragsverhältnis mit dieser Person begründen, durchführen oder beenden, die rechtlichen Voraussetzungen hierfür aber, mangels Vorliegens eines Ausnahmetatbestandes nach Art. 22 Abs. 2 DSGVO, nicht gegeben waren.

Hinzu kommt, dass sich aus der oben erwähnten Entscheidung des Gerichtshofes der Europäischen Union ergibt, dass der Verantwortliche im Falle des Profilings weitergehenden Informationspflichten nach Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g DSGVO unterliegt, diesen im vorliegenden Fall aber nicht nachgekommen ist.

Konkret geht aus den genannten Bestimmungen der DSGVO hierzu hervor, dass der Verantwortliche, zusätzlich zu den Informationen gemäß Abs. 1 leg. cit., der betroffenen Person zum Zeitpunkt der Erhebung der Daten Informationen hinsichtlich des Bestehens einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 DSGVO und Abs. 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person, zu gewährleisten hat.

Die Beschwerdeführerin hat ihre Vertragspartner, also jene Unternehmen, die die Bonität der mitbeteiligten Partei angefragt haben, jedoch – gemessen an den oben dargestellten Vorgaben – nicht hinreichend darüber in Kenntnis gesetzt, dass eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und Abs. 4 stattfindet, der „Bonitäts-Score“ der mitbeteiligten Partei aber ausschließlich auf Grund der Information betreffend des außergerichtlichen Ausgleiches vom XXXX mit „0 – Berechnung nicht möglich“ festgelegt worden ist und wurde der mitbeteiligten Partei damit keine hinreichende Gelegenheit eingeräumt, deren Standpunkt als datenschutzrechtlich Betroffener gegenüber einem die Bonität abfragenden Unternehmen darstellen zu können. Hierzu wäre es erforderlich, dass aus dem Bonitätsauszug hinreichend ersichtlich ist, dass der darin enthaltene Bonitätsscore nicht anhand verschiedener Zahlungserfahrungsdaten berechnet wurde, sondern eine zahlenmäßige Einschätzung, bedingt durch die zum Einsatz gebrachte Berechnungsformel, nicht möglich war, bzw., dass dieser Umstand nicht zwingend auf eine negative Einstufung hindeutet.

Ergebnis: Insgesamt kommt der erkennende Senat daher, abgesehen von der Tatsache, dass im vorliegenden Fall bereits kein Ausnahmetatbestand des Art. 22 Abs. 2 DSGVO vorlag, somit zu demselben Ergebnis wie die belangte Behörde. Die Beschwerdeführerin hat als datenschutzrechtlich Verantwortliche bei der Verarbeitung personenbezogener Daten zur Erstellung von Wahrscheinlichkeitsaussagen („Bonitäts-Score“) zur Bonität des Betroffenen gegen die Grundsätze der „Rechtmäßigkeit“ und der Verarbeitung nach „Treu und Glauben“ im Sinne von Art. 5 Abs. 1 lit. a DSGVO verstoßen. Der betreffende Eintrag ist folglich gemäß Art. 17 Abs. 1 lit. d iVm Art. 22 Abs. 1 DSGVO zu löschen.

Dieses fallbezogene Ergebnis bedeutet nicht, dass das Berechnen und die Bereitstellung eines Scoring-Wertes durch eine Kreditauskunftei, wenn dieser Wert anhand bonitätsrelevanter Informationen zum Zweck der Übersichtlichkeit im Wege eines nummerischen Wertes dargestellt wird, generell unzulässig ist. Vielmehr kann ein solches Verfahren im Interesse einer komprimierten Darstellung der Bonität eines potenziellen Kreditschuldners im Rahmen der Verpflichtung zur Bonitätsbeurteilung von Verbrauchern unterstützend – aber nicht maßgeblich beeinflussend im Sinne des EuGH in dessen Entscheidung zu C-634/21 (Rn. 73) – herangezogen werden. Insgesamt muss jedenfalls sichergestellt sein, dass die vom EuGH in dessen Urteil vom 07.12.2023, C-634/21 im Zusammenhang mit Art. 22 Abs. 1 DSGVO aufgestellten Kriterien berücksichtigt werden.

II.3.2. Zu Spruchpunkt B) – Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage im Sinne des Verständnisses des Art. 133 Abs. 4 B-VG abhängt.

Vielmehr konnte sich das Bundesverwaltungsgericht bei der Lösung der tragenden Rechtsfragen auf die Rechtsprechung des Europäischen Gerichtshofes sowie des Verwaltungsgerichtshofes im oben dargestellten Ausmaß stützen.

Konkret war – wie ausführlich dargestellt – das Urteil des EuGH vom 07.12.2023, C-26/22 und C-64/22 [SCHUFA Holding AG], da dieses explizit die Weiterverarbeitung von Daten aus einer staatlichen Insolvenzdatei, nicht aber einzelne Zahlungserfahrungsdaten zu außergerichtlichen Erledigungen, die noch zu keinem Zeitpunkt im Interesse des Gläubigerschutzes öffentlich publiziert wurden, für den vorliegenden Fall nicht im Sinne der von der belangten Behörde vertretenen Rechtsansicht einschlägig.

Demgegenüber war für die Frage des Vorliegens einer automatisierten Entscheidungsfindung im Sinne von Art. 22 DSGVO das Urteil des EuGH vom 07.12.2023, C-634/21, SCHUFA Holding [Scoring], bzw. die darauf aufbauende Entscheidung des VwGH vom 21.12.2023, Ro 2021/04/0010, einschlägig.

Es war daher spruchgemäß zu entscheiden.