DSB-D123.319/0002-DSB/2019 – Datenschutzbehörde Entscheidung

GZ: DSB-D123.319/0002-DSB/2019 vom 20.2.2019

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Dieter A*** (Beschwerdeführer), vertreten durch Rechtsanwalt Mag. Dr. Ingomar D***, vom 14. August 2018 gegen die N*** Information GmbH (Beschwerdegegnerin), vertreten durch C*** Rechtsanwälte, C*** H*** U*** GmbH, wegen Verletzung im Recht auf Löschung wie folgt:

- Die Beschwerde wird abgewiesen .

Rechtsgrundlagen : §§ 24 Abs. 1 und 5 des Datenschutzgesetzes – DSG, BGBl. I Nr. 165/1999 idgF; Art. 5 Abs. 1 lit. b, 6 Abs. 1 lit. f, 17 Abs. 1 lit. a und lit. d der Datenschutz- Grundverordnung – DSGVO, ABl. Nr. L 119 vom 04.05.2016, S. 1.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit verfahrenseinleitender Eingabe vom 14. August 2018 führte der Beschwerdeführer zusammengefasst im Wesentlichen aus, er habe im Jahr 2011 am Bezirksgericht V*** ein Schuldenregulierungsverfahren durchgeführt, welches nach Annahme eines Zahlungsplanes aufgehoben worden sei. Der Zahlungsplan sei am 3. Februar 2017 vollständig erfüllt worden, wodurch Restschuldbefreiung eingetreten sei. Im Register von Verbraucherkrediten, der Warenkredit-Datenbank und in der Warndatei des N*** würden bis zum heutigen Tag persönliche Daten des Beschwerdeführers, wie etwa sein Geburtsdatum, seine Wohnanschrift und Angaben über seine vormaligen Schuldenbestände aufscheinen. Mit Schreiben vom 11. Juni 2018 sei die Beschwerdegegnerin aufgefordert worden, die Daten zu löschen, weil der Zweck für den diese Daten erhoben worden seien, nicht mehr vorliege. Die Beschwerdegegnerin habe die Löschung jedoch mit der Begründung verweigert, dass kein Löschungsgrund vorliege.

2. Ergänzend führte der Beschwerdeführer mit Schreiben vom 20. September 2018 aus, er komme seit 2012 allen finanziellen Verpflichtungen nach und habe somit über Jahre hinweg gezeigt, dass er in der Lage sei, durch sein Einkommen alle seine Verbindlichkeiten fristgerecht zu begleichen. Das Behalten der Daten in den Datenbanken der Beschwerdegegnerin lasse sich nicht über Gläubigerschutz bzw. Risikominimierung rechtfertigen, da keine Risikoerhöhung für Kreditgeber bestehe. Der Zweck der ursprünglichen Datenerhebung falle somit weg, weshalb ein Löschungsgrund gemäß Art. 17 Abs. 1 lit. a DSGVO vorliege.

3. Mit Stellungnahme vom 11. Oktober 2018 führte die Beschwerdegegnerin zusammengefasst aus, die Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten des Beschwerdeführers sei Art. 6 Abs. 1 lit. f DSGVO. Die Verarbeitung der Daten sei zur Wahrung der Interessen der Gewerbeberechtigten aus dem Gewerbe der Kreditauskunftei sowie im Interesse Dritter (Gläubigerschutz) erforderlich und geeignet. Informationen über eine vergangene Zahlungsunfähigkeit seien naturgemäß für die Beurteilung der Kreditwürdigkeit relevant und stellten eine wesentliche und notwendige Entscheidungsgrundlage dar. Eine in der Vergangenheit erfolgte Zahlungsunfähigkeit stelle bei der Kreditvergabe in der Regel eine Risikoerhöhung dar und sei der Zweck der Verarbeitung personenbezogener Daten des Beschwerdeführers somit weiterhin aufrecht. Für die von der Beschwerdegegnerin verwalteten Dateisysteme bestünden Löschfristen. Diese seien anhand von Bescheiden der Datenschutzbehörde festgelegt worden. Die Fristen würden erst nach Tilgung der Schuld oder Eintritt eines sonstigen schuldbefreienden Ereignisses zu laufen beginnen. Die Löschung der Daten würde nach deren Ablauf automatisch vorgenommen werden.

4. Von der Möglichkeit zu den Ergebnissen des Ermittlungsverfahrens im Rahmen des Parteiengehörs gemäß § 45 Abs. 3 AVG Stellung zu nehmen, hat der Beschwerdeführer keinen Gebrauch gemacht.

B. Beschwerdegegenstand

Aufgrund des oben geschilderten Verfahrensganges ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin durch die Abweisung des Antrages auf Löschung der personenbezogenen Daten des Beschwerdeführers diesen in seinem Recht auf Löschung verletzt hat.

C. Sachverhaltsfeststellungen

Die Beschwerdegegnerin betreibt das Gewerbe der Kreditauskunftei.

Ein Schuldenregulierungsverfahren des Beschwerdeführers wurde im Jahr 2011 am Bezirksgericht V*** eröffnet. Der Zahlungsplan wurde angenommen und rechtskräftig bestätigt. Das Schuldenregulierungsverfahren wurde aufgehoben und das Ende der Zahlungsfrist mit 2. März 2017 bestimmt.

Folgende Daten des Beschwerdeführers sind – auszugsweise - in den Datenbanken der Beschwerdegegnerin gespeichert:

[Anmerkung Bearbeiter: Die hier im Original als Faksimile wiedergegebenen Ausdrucke aus Datenverarbeitungen der Beschwerdegegnerin können mit vertretbarem Aufwand nicht pseudonymsiert werden. Sie enthalten die Personendaten (Name, Geburtsdatum, aktuelle Adresse) des Beschwerdeführers, weitere bekannte (frühere) Adressdaten, einen „RiskIndicator“ (Wert: 602) sowie eine Einschätzung der Wahrscheinlichkeit einer Zahlungsauffälligkeit (Wert: 50,39 %), Daten zum durchgeführten Insolvenzverfahren, den Beschwerdeführer betreffende Eintragungen in einem von der Beschwerdegegnerin geführten Register von Verbraucherkrediten (V***-Evidenz) sowie in einer Warenkredit-Datenbank und einer Warndatei für Kreditgeber sowie die Eintragung in einer Unternehmerdatei der Beschwerdegegnerin (in letzterer nur Personendaten)].

Mit Schreiben vom 18. Juni 2018 beantragte der Beschwerdeführer die Löschung seiner personenbezogenen Daten in der Warndatei für Kreditgeber und im Register von Verbraucherkrediten. Als Löschungsgrund machte er Art. 17 Abs. 1 lit. a DSGVO geltend.

Mit Schreiben vom 25. Juli 2018 verweigerte die Beschwerdegegnerin die Löschung der personenbezogenen Daten des Beschwerdeführers.

Beweiswürdigung : Die getroffenen Feststellungen stützen sich auf das insofern übereinstimmende Vorbringen der Parteien sowie die im Verfahren vorgelegten Urkunden.

D. In rechtlicher Hinsicht folgt daraus:

1. Im vorliegenden Fall verlangte der Beschwerdeführer entsprechend Art. 17 Abs. 1 a DSGVO die unverzügliche Löschung der auf ihn bezugnehmenden Daten. Der Zweck, für den diese Daten erhoben worden seien, habe sich erledig, da er nunmehr schuldenfrei sei, über ein geregeltes Einkommen verfüge und durch die Erfüllung des Zahlungsplanes bewiesen habe, seine finanziellen Verpflichtungen einhalten zu können.

2. Eingangs ist festzuhalten, dass die Verarbeitung bonitätsrelevanter Daten durch eine Kreditauskunftei iSd § 152 Gewerbeordnung Deckung in eben dieser Bestimmung findet und die Rechtmäßigkeit der Verarbeitung dieser Daten folglich nicht von der vorherigen Einwilligung eines Betroffenen abhängt. Auch ist davon auszugehen, dass durch die gesetzliche Verankerung dieser Tätigkeit der Gesetzgeber von der grundsätzlichen Zulässigkeit dieser gewerblichen Tätigkeit ausgeht, sodass es zur Verarbeitung dieser Daten eine rechtliche Befugnis geben kann. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar ist, muss auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über „Kreditverhältnisse“ als gegeben erachtete (vgl. dazu die Empfehlung der Datenschutzkommission vom 7. Mai 2007, GZ K211.773/0009-DSK/2007; vgl. auch OGH vom 21. Jänner 2015, GZ 17 Os 43/14y).

3. Mangels Spezialregeln für Kreditauskunfteien sind die allgemeinen Grundsätze der DSGVO anzuwenden, wonach u.a. personenbezogenen Daten nur für festgelegte, eindeutige und legitime Zwecke erhobene werden dürfen (Art. 5 Abs. 1 lit. b DSGVO). Demnach ist im vorliegenden Verfahren zunächst festzuhalten, dass die Zwecke der Datenverarbeitung in der Datenbank der Beschwerdegegnerin darin bestehen, jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die im Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko etwa bei der Lieferung ihrer Waren oder Dienstleistungen eingehen (z.B. Lieferung auf offene Rechnung). Unter bestimmten Voraussetzungen ist damit die Rechtmäßigkeit der Verarbeitung gemäß Art. 6 Abs. 1 lit. f DSGVO zu bejahen.

4. Verfahrensgegenständlich stellt sich jedoch die Frage, wie lange Zahlungserfahrungsdaten nach Begleichung der Forderung noch bei der Beschwerdegegnerin gespeichert werden können, ehe sie für die Zwecke der Verarbeitung (Gläubigerschutz) nicht mehr notwendig sind; nur wenn die personenbezogenen Daten noch bonitätsrelevant sind, besteht ein Verarbeitungszweck gemäß Art. 5 Abs. 1 lit. b DSGVO. Besteht ein Verarbeitungszweck an den bonitätsrelevanten Daten kann daraus geschlossen werden, dass auch personenbezogene Daten, die eine Zuordnung der bonitätsrelevanten Daten zu einer betroffenen Person ermöglichen (bspw. Name, Geburtsdatum und Anschrift) grundsätzlich verarbeitet werden dürfen.

5. Eine gesetzlich normierte Frist, wie lange Einträge in Datenbanken von Kreditauskunfteien gespeichert werden dürfen, besteht nicht.

6. Die Datenschutzkommission hat etwa im Bescheid GZ K600.033-018/0002-DVR/2007 zur „Kleinkreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung“ zur Rechtslage vor Inkrafttreten der DSGVO bezüglich der Löschung aller Eintragungen im Zusammenhang mit einem konkreten Kreditschuldverhältnis verschiedene Löschfristen definiert.

Auch in diesen Auflagen wurde jedoch bezüglich der Löschung von Eintragungen betreffend ein konkretes Kreditschuldverhältnis differenziert, u.a. etwa nach vollständiger Abzahlung der Schuld nach Zahlungsanstand (Löschung spätestens nach fünf Jahren ), bei rechtskräftiger Feststellung des Nichtbestehens des behaupteten Zahlungsanstandes (Löschung spätestens 90 Tage nach vollständiger Abbezahlung der Schuld bzw. wenn die Feststellung erst nach dieser Frist erfolgte: unverzüglich nach rechtskräftiger Feststellung) und lediglich in allen übrigen Fälle, sieben Jahre nach Tilgung der Schuld oder Eintritt eines sonstigen schuldbefreienden Ereignisses.

7. Darüber hinaus ergeben sich Löschungsfristen auch aus der Insolvenzordnung (IO). Die Rechtswirksamkeit der Eröffnung des Insolvenzverfahrens ist von der Veröffentlichung in der Insolvenzdatei abhängig. Die Daten – wie gegenständlich etwa im Rahmen eines Schuldenregulierungsverfahrens – sind grundsätzlich bis ein Jahr nach Abschluss des Insolvenzverfahrens abrufbar (vgl. § 256 IO).

8. Die aus historischen „Zahlungserfahrungsdaten“ (Negativeintragungen) herrührende vermeintlich schlechte Bonität der Betroffenen soll durch die Möglichkeit einer zeitnahen Löschung nach Begleichung aller Forderungen hintangehalten werden. Insbesondere soll vermieden werden, dass Betroffene, die nach Aufhebung eines Schuldenregulierungsverfahrens oder nach Zahlung ihrer Schulden außerhalb des Insolvenzverfahrens wieder eine solide finanzielle Basis erlangt haben, im geschäftlichen Verkehr neuerlich mit Schwierigkeiten zu kämpfen haben, weil ihre Kreditwürdigkeit durch diese Negativeintragungen vermindert wird. Eine generelle Löschung der bonitätsrelevanten Daten erst sieben Jahre nach Tilgung der Schuld wird im Hinblick auf Art. 6 Abs. 1 lit. f DSGVO , vor allem aber im Hinblick auf die seit dem Zeitpunkt der Erlassung des oben zitierten Bescheides der Datenschutzkommission geänderte Rechtslage (vgl. dazu die zitierten Bestimmungen der IO) jedenfalls nicht verhältnismäßig sein.

9. Der von der Beschwerdegegnerin vertretenen Rechtsansicht, wonach die Eintragung im Register von Verbraucherkrediten sowie der Warndatei aufgrund von Bescheiden der Datenschutzbehörde erst nach sieben Jahren und die Insolvenz nach fünf Jahren gelöscht werden müssen, ist nicht zu folgen. Diese Bescheide sowie alle anderen, die im Zuge eines Registrierungsverfahrens nach §§ 17 ff DSG 2000 ergangenen sind, sind ex lege mit 25. Mai 2018 außer Kraft getreten (§ 69 Abs. 2 DSG).

Wie die Datenschutzbehörde in einem kürzlich ergangenen Bescheid bereits ausgesprochen hat, (vgl. DSB vom 7. Dezember 2018, DSB-D123.193/0003-DSB/2018) sieht sie sich veranlasst, von ihrer u.a. im Bescheid GZ K600.033-018/0002-DVR/2007 zur „Kleinkreditevidenz (Register von Verbraucherkrediten) zum Zweck des Gläubigerschutzes und der Risikominimierung“ geäußerten Rechtsansicht zur Aufbewahrungsdauer abzugehen. Vielmehr scheint eine Einzelfallbeurteilung unter Berücksichtigung aller maßgeblichen Umstände erforderlich zu sein.

Für die Beurteilung maßgeblich können dabei u.a. folgende Umstände sein:

- die Höhe der einzelnen Forderungen,

- das „Alter“ der Forderungen (sohin das Datum der Eintragung in die Datenbank),

- Anzahl der im Wege eines Inkassounternehmens eingetriebenen Forderungen,

- die Zeit, die seit Begleichung einer Forderung verstrichen ist,

- die Herkunft der Daten.

10. Für das vorliegende Verfahren bedeutet dies Folgendes:

In der Datenbank der Beschwerdeführerin scheinen neben dem Namen, der Adresse sowie dem Geburtsdatum des Beschwerdeführers – wie aus den Feststellungen ersichtlich – die Informationen zum Insolvenzverfahren auf. Die Passiva laut Insolvenzantrag berufen sich dabei auf 27.400 Euro. In der V***-Evidenz scheint bonitätsrelevant ein erledigter Kredit (vom Dezember 2001) in der Höhe von 6.900 Euro auf, der im Rahmen des Insolvenzverfahrens mit Zahlungsplan vom 2. März 2017 erledigt wurde. In der Warndatei scheinen darüber hinaus ein Kredit mit dem Betrag von 5.001 bis 6.000 Euro und die teilweise Tilgung mit 2. März 2017 (Anm.: Erfüllung des Zahlungsplanes) auf.

Das Schuldenregulierungsverfahren des Beschwerdeführers ist nicht mehr in der Insolvenzdatei veröffentlicht, da dieses gemäß § 256 Abs. 2 Z 4 IO bereits zu löschen war. Auch nach Ende der Veröffentlichung des Schuldenregulierungsverfahrens in der Insolvenzdatei können Informationen über dieses im Hinblick auf den Gläubigerschutz jedoch noch bonitätsrelevant sein.

Gegenständlich handelt es sich bei den Zahlungserfahrungsdaten jeweils um Kreditdaten in einem nicht unbeträchtlichen Ausmaß. Die Forderungen sind zwar bereits in einem Fall zumindest vor mehr als zehn Jahren entstanden, aus den Eintragungen der Beschwerdegegnerin geht jedoch klar hervor, dass die Kredite erst seit März 2017 im Rahmen des Insolvenzverfahrens (Erfüllung des Zahlungsplanes) – zumindest teilweise – erledigt worden sind. Vor allem aufgrund der Höhe der einzelnen Forderungen sowie der erst kurzen Zeit, die zwischen dem Löschungsbegehren des Beschwerdeführers sowie der Erfüllung des Zahlungsplanes vergangen ist (unter zwei Jahre), kann davon ausgegangen werden, dass das berechtigte Interesse der Beschwerdegegnerin an der Verwendung der Daten über „Kreditverhältnisse“ des Beschwerdeführers gegenüber dem Interesse des Beschwerdeführers an der Löschung der Daten überwiegt. Derzeit sind die vom Löschantrag des Beschwerdeführers umfassten Daten somit im Hinblick auf den Gläubigerschutz noch bonitätsrelevant, weshalb die personenbezogenen Daten des Beschwerdeführers für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nach wie vor notwendig sind.

Davon umfasst sind auch die sonstigen personenbezogenen Daten des Beschwerdeführers, wie insbesondere Name, Geburtsdatum und Wohnadresse, die eine eindeutige Zuordnung der bonitätsrelevanten Daten zum Beschwerdeführer erlauben. Dass diese personenbezogenen Daten unabhängig davon, dass der Beschwerdeführer seinen Zahlungsplan erfüllt hat und somit der Löschungsgrund des Art. 17 Abs. 1 lit. a DSGVO verwirklich worden sei, zu löschen gewesen wären, wurde vom Beschwerdeführer nicht vorgebracht.

Vor diesem Hintergrund war spruchgemäß zu entscheiden.