GZ: 2024-0.743.880 vom 16. Oktober 2024 (Verfahrenszahl: DSB-D124.1910/24)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Petra A*** (Beschwerdeführerin) vom 16. August 2024 gegen die N*** Kreditinformation GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung wie folgt:
1. Der Beschwerde wird stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin die Beschwerdeführerin durch die nicht erfolgte Löschung des Eintrags über ein mangels Kostendeckung abgelehntes Insolvenzverfahren der Beschwerdeführerin in ihrem Recht auf Löschung verletzt hat.
2. Der Beschwerdegegnerin wird aufgetragen , innerhalb einer Frist von 2 Wochen bei sonstiger Exekution den unter Spruchpunkt 1 genannten Eintrag zu löschen .
Rechtsgrundlagen: Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF, § 256 Abs. 4 Insolvenzordnung (IO), RGBl. Nr. 337/1914 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
A.1. Die Beschwerdeführerin (im Folgenden: BF) erhob am 16. August 2024 Beschwerde an die Datenschutzbehörde und behauptete eine Verletzung im Recht auf Löschung durch die Beschwerdegegnerin (im Folgenden: BG). Die Beschwerde diene laut der BF dem Ziel, die „Löschung nicht noch weiter zu verzögern“.
Der Beschwerde beigelegt war ein Schriftverkehr mit der BG vom selben Tag, in dem die BF einen Antrag auf Löschung an die BG stellte. Der Antrag war auf die folgenden Einträge beschränkt:
- Eintrag über ein mangels Kostendeckung abgewiesenes Insolvenzverfahren in der M***datenbank der BG
- O***risk Indicator
Betreffend den Eintrag über das mangels Kostendeckung abgelehnte Insolvenzverfahren führte die BF an, dass der diesbezügliche Beschluss bereits vor mehr als 3 Jahren getroffen wurde. In Anbetracht des Urteils des EuGH vom 7. Dezember 2023 (Anm. DSB: gemeint waren die Rechtssachen C-634/21C-26/22 sowie C-64/22 „Schufa“) und des Wortlauts des § 256 Abs. 4 Insolvenzordnung (IO), wonach die Einsicht in die Eintragung eines mangels kostendeckenden Vermögens nicht eröffneten Insolvenzverfahrens drei Jahre nach der Eintragung nicht mehr zu gewähren sei, wäre der diesbezügliche Eintrag nach Ansicht der BF daher zu löschen.
Bezüglich des O***risk Indicators brachte die BF vor, dass dieser ihrer Vermutung nach auf einer automatisierten Entscheidungsfindung und auf automatisiertem Profiling beruhe und durch den Eintrag des abgewiesenen Insolvenzverfahrens verschlechtert würde. Die BF nannte auch Gründe, warum sich ihre wirtschaftliche Situation verbessert hätte (zB Wegfall von durch Krankheit eines Familienmitglieds verursachten Kosten und höheres Einkommen im Vergleich zum Jahr 2020).
A.2. Die Datenschutzbehördeforderte die BG mit Schreiben vom 26. August 2024 zur Stellungnahme auf und verwies dabei auf die Möglichkeit, gem. § 24 Abs. 6 Datenschutzgesetz (DSG) den Anträgen der Beschwerdeführerin zu entsprechen, woraufhin die Datenschutzbehörde (DSB) das Verfahren einzustellen hätte.
A.3. Mit Schreiben vom 9. September 2024 nahm die BG wie aufgefordert Stellung und brachte zusammengefasst wie folgt vor: die BF habe ihre Beschwerde an die DSB am gleichen Tag wie das Schreiben an die BG abgeschickt, wodurch die BG keine Zeit gehabt hätte, den Antrag entsprechend zu bearbeiten, da sie mit einer Vielzahl von Anbringen konfrontiert sei.
Zum Antrag auf Löschung des Eintrags des mangels Kostendeckung abgewiesenen Insolvenzerfahrens räumte die BG zunächst ein, dass sie dafür die datenschutzrechtlich Verantwortliche sei und die Verarbeitung auf eine aufrechte Gewerbeberechtigung gem. § 152 Gewerbeordnung (GewO) stütze. Die BG habe daher ein legitimes Interesse, Bonitätsdaten zu verarbeiten um anderen Marktteilnehmern die Abschätzung und die Minimierung des Risikos von Zahlungsausfällen zu ermöglichen. Darüber hinaus sei die von der BF zitierte Rechtsprechung des EuGH auf ihren Fall gar nicht anwendbar, da es in diesem Urteil lediglich um die Verarbeitung eines Eintrags über ein Insolvenzverfahren mit erteilter Restschuldbefreiung ging, was auf den Fall der BF gerade nicht zutreffe, da es bei ihr mangels eines Insolvenzverfahrens überhaupt keine Restschuldbefreiung gegeben habe. Diese Rechtsprechung könne nach Ansicht der BG auch nicht ohne weiteres auf andere Sachverhalte übertragen werden.
Als Richtlinie, wie lange Zahlungserfahrungsdaten zur Bonitätsbeurteilung von Schuldnern geeignet sind, könne nach Ansicht der BG die Kapitaladäquanzverordnung herangezogen werden, in der ein Zeitraum von zumindest 5 Jahren für die Speicherung festgeschrieben sei.
Eine Abwägung der Interessen zwischen jenen der BF und den Interessen der BG bzw. anderer Wirtschaftsteilnehmer an einer korrekten Beurteilung der Zahlungsfähigkeit der BF würde in diesem Fall eindeutig zu Lasten der BF ausgehen. Nicht nur hätte die BF mangels erteilter Restschuldbefreiung immer noch Verbindlichkeiten bei diversen Gläubigern, sondern beabsichtige diese auch in Zukunft weitere Verbindlichkeiten einzugehen. Eine Speicherung des Eintrags betreffend das abgelehnte Insolvenzverfahren sei daher unabdingbar, um ein verzerrungsfreies Bild der wirtschaftlichen Lage der BF darstellen zu können. Sowohl die Kapitaladäquanzverordnung, die Kreditinstitute dazu verpflichtet, zum Zweck der Kundenbewertung Zahlungserfahrungsdaten zumindest 5 Jahre aufzubewahren als auch die Rechtsprechung des OGH (6 Ob 87/21v vom 23. Juni 2021), wonach Zahlungserfahrungsdaten über einen längeren Zeitraum gespeichert werden müssten, um eine objektive Auskunft geben zu können, würden laut der BG dafür sprechen, dass der betreffende Eintrag über das abgelehnte Insolvenzverfahren weiterhin verarbeitet werden dürfe.
Zusammengefasst sähe die BG daher keine Notwendigkeit, den betreffenden Eintrag zu löschen, da die Verarbeitung rechtmäßig erfolge.
Betreffend den O***risk Indicator führte die BG aus, dass sie die Verarbeitung grundsätzlich als zulässig erachte. Art. 22 DSGVO sei hier nicht einschlägig, da dieser Wert von den Kunden der BG nur dann berücksichtigt werden dürfe, wenn die betroffene Person dem zugestimmt hätte.
Die BG hätte den O***risk Indicator im Falle der BF jedoch unpräjudiziell gelöscht und damit dem Antrag entsprochen. Weitere Indikatoren zur BF würden darüber hinaus nicht verarbeitet.
A.4. Die DSB erteilte der BF mit Schreiben vom 16. September 2024 Parteiengehör und hielt fest, dass man die Beschwerde hinsichtlich des O***risk Indicators als erledigt betrachte und das Verfahren diesbezüglich einstellen würde, wenn die BF nicht innerhalb einer Frist von 2 Wochen darlegt, warum die betreffende Rechtsverletzung ihrer Meinung nach noch immer nicht beseitigt sei.
A.5. Die BF hat sich innerhalb der Frist nicht mehr geäußert. Ein Weiterleitungsbericht des Schreibens vom 16. September 2024 liegt dem Akt bei und es liegt auch keine Fehlermeldung eines E-Mail Servers vor.
B. Beschwerdegegenstand
Beschwerdegegenstand ist daher die Frage, ob die BG die BF durch die Verarbeitung des Eintrags über das mangels Kostendeckung abgelehnte Insolvenzverfahren der BF in ihrem Recht auf Löschung verletzt hat.
C. Sachverhaltsfeststellungen
C.1. Die BG ist Verantwortliche für die Datenanwendung namens „M***datenbank“, in welcher unter anderem auch der Eintrag über das mangels Kostendeckung abgelehnte Insolvenzverfahren der BF verarbeitet wird.
Auszug aus dem Akt: Screenshot aus der Auskunft nach Art. 15 DSGVO an die BF (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter/in: Der im Original an dieser Stelle als Screenshot im grafischen Format PNG dargestellte Screenshot wurde in ein Textdokument umgewandelt und wird hier pseudonymisiert wiedergegeben.]
„ Insolvenz/Offenkundige Zahlungsunfähigkeit/Restrukturierungsverfahren
Verfahrensnummer: P*4*9*15
Ediktswortlaut: Petra A*** geb. **.**.198*
Verfahrenscode: *r*5*
Aktueller Verfahrensstand seit: 2020-01-03
Verfahrensstand: Abweisung eines Gläubigerantrages auf Insolvenzeröffnung mangels Kostendeckung
Gericht: Bezirksgericht L***
Geschäftszahl: *4 Se *6*/19t“
Beweiswürdigung : die Feststellung ergibt sich aus den übereinstimmenden Eingaben der Verfahrensparteien und der somit unstrittigen Aktenlage.
C.2. Zum gegenwärtigen Zeitpunkt findet sich kein Eintrag der BF in der Insolvenzdatei der Republik Österreich.
Screenshot: Auszüge aus der Insolvenzdatei (Formatierung nicht 1:1 wiedergegeben, Anm. DSB: die Abfrage wurde mit beiden bekannten Familiennamen der BF durchgeführt)
[Anmerkung Bearbeiter/in: Die an dieser Stelle im Original wiedergegebenen 2 Screenshots in einem
grafischen Format wurden aus Pseudonymisierungsgründen entfernt. Sie zeigen das angegebene Abfrageergebnis.]
Beweiswürdigung: die Feststellung ergibt sich aus einer amtswegigen Recherche der Datenschutzbehörde auf der Webseite www.edikte.justiz.gv.at am 15. Oktober 2024.
C.3. Die BG hat die Kennzahl „O***risk Indicator“ betreffend die BF gelöscht und verarbeitet diese nicht mehr.
Beweiswürdigung : die Feststellung ergibt sich aus der nicht bestrittenen Eingabe der BG und der somit unstrittigen Aktenlage.
Die gesamte Dokumentation liegt dem Akt bei und wird von der DSB der Entscheidungsfindung zu Grunde gelegt.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Zum Recht auf Löschung im Allgemeinen
Gemäß Art. 17 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet , personenbezogene Daten unverzüglich zu löschen, sofern einer der in Art. 17 Abs. 1 DSGVO genannten Gründe zutrifft.
Dies normiert eine Verpflichtung für den Verantwortlichen, selbständig tätig zu werden und personenbezogene Daten auch ohne Antrag einer betroffenen Person zu löschen, wenn eine der Voraussetzungen des Art. 17 Abs. 1 DSGVO vorliegt.
Auch der EuGH hat in seinem Urteil in den Rechtssachen C-26/22 und C-64/22 festgehalten, dass ein Verantwortlicher verpflichtet ist, personenbezogene Daten unverzüglich zu löschen, wenn diese Daten unrechtmäßig verarbeitet wurden (vgl. Urteil des EuGH vom 7. Dezember 2023, verbundene Rechtssachen C-26/22 und C-64/22, Rz 107). Eine Unrechtmäßigkeit iSd Art. 17 Abs. 1 lit. d liegt insbesondere bei Verstößen gegen die Art. 5, 6 und 9 DSGVO vor. Die Unrechtmäßigkeit bzw. Rechtswidrigkeit kann sich auch iVm Materiengesetzen ergeben (vgl. Haidinger in Knyrim , DatKomm Art. 17 DSGVO Rz 56).
Konsequenterweise ist daher, um beurteilen zu können, ob eine Löschverpflichtung im genannten Sinne vorliegt, zu prüfen, ob die Datenverarbeitung zum Zeitpunkt des Antrags (noch) rechtmäßig erfolgt. In diesem Zusammenhang ist darauf hinzuweisen, dass eine Datenverarbeitung zunächst durchaus rechtmäßig sein kann, doch aufgrund diverser Umstände im Laufe der Zeit unrechtmäßig werden kann.
D.2. In der Sache
D.2.1. Zu Spruchpunkt 1
Mangels Spezialregeln für Kreditauskunfteien sind die allgemeinen Grundsätze der DSGVO anzuwenden. Nach Art. 5 Abs. 1 lit. a DSGVO sind personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise zu verarbeiten.
In diesem Zusammenhang enthält Art. 6 Abs. 1 dieser Verordnung eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (vgl. EuGH, Urteil vom 04.07.2023, C 252/21, Rz. 90 und die dort angeführte Rechtsprechung).
Die Führung einer (privaten) Bonitätsdatenbank im Rahmen des Gewerbes nach § 152 GewO 1994 kann nach stRsp. einzig auf dem Erlaubnistatbestand der berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO basieren (vgl. etwa das Erkenntnis des BVwG vom 30. Oktober 2019, GZ: W258 2216873-1).
Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist , sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Die Verarbeitung nach dieser Bestimmung ist unter drei kumulativen Voraussetzungen rechtmäßig:
- Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden,
- zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und
- drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (vgl. EuGH, Urteil vom 04. Juli 2023, C‑252/21, Rz. 106 und die dort angeführte Rechtsprechung).
Es hat daher eine Interessensabwägung zu erfolgen.
Wie festgestellt verarbeitet die BG zum gegenwärtigen Zeitpunkt Daten über ein mangels Kostendeckung abgelehntes Insolvenzverfahren der BF. Ebenso ist den Sachverhaltsfeststellungen zu entnehmen, dass zum gegenwärtigen Zeitpunkt kein diesbezüglicher Eintrag in der Insolvenzdatei der Republik betreffend die BF mehr existiert.
In diesem Zusammenhang stehen einander also zwei widersprechende Interessenslagen gegenüber:
Zum Einendas wirtschaftliche Interesse der Kreditauskunftei, ihr grundsätzlich berechtigtes Interesse der Ausübung eines zulässigen Gewerbebetriebes (nach § 152 GewO 1994) ausüben zu dürfen, sowie das Interesse von Dritten zur Erlangung von Informationen zur Einschätzung der Bonität von potentiellen Kreditnehmern und zum Anderen die Grundrechte und Grundfreiheiten der betroffenen Personen, denen durch eine derartige Verarbeitung ihr wirtschaftliches Fortkommen, wie das Aufnehmen von Krediten oder der Kauf von Waren und Dienstleistungen sowie das Decken von Grundbedürfnissen, erschwert wird.
Die Wertung des EuGH, dass die Verarbeitung von Daten über Insolvenzen durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den Art. 7 und 8 EU GRC verankerten Grundrechte der betroffenen Person darstellt, zumal eine solche einen negativen Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person und daher sensible Informationen über ihr Privatleben darstellt und ihre Verarbeitung den Interessen der betroffenen Person beträchtlich schaden kann, da diese geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken, trifft auf Grund der selben Konsequenzen ebenso auf die Verarbeitung von Daten betreffend ein mangels Kostendeckung abgelehntes Insolvenzverfahren zu.
Der nationale Gesetzgeber hat diese gegenläufigen Interessen in Hinsicht auf die Dauer, für die in die staatliche Insolvenzdatei öffentlich Einsicht genommen werden kann, bereits abgewogenund demgemäß in § 256 Abs. 4 Insolvenzordnung (IO) normiert, dass die Einsicht in die Eintragung der mangels kostendeckenden Vermögens nicht eröffneten Insolvenzverfahren drei Jahre nach der Eintragung nicht mehr zu gewähren ist.
Im gegenständlichen Fall erfolgte bereits am 3. Jänner 2020 - d.h. vor über 4 Jahren - die Eintragung über das mangels Kostendeckung nicht eröffnete Insolvenzverfahren. In Übereinstimmung mit § 256 Abs. 4 IO weist auch die staatliche Insolvenzdatei keinen derartigen Eintrag mehr auf.
Soweit die BG argumentiert, dass durch eine etwaige Löschung des verfahrensgegenständlichen Eintrags kein objektiv richtiges Bild der Vermögenslage der BF mehr darstellbar wäre, so ist ihr entgegenzuhalten, dass die BG in ihrer eigenen Stellungnahme ausführt, dass weiterhin Informationen zu offenen Verbindlichkeiten der BF in der Bonitätsdatenbank vorhanden sind. Da diese nicht vom Antrag auf Löschung umfasst sind und somit weiterhin verarbeitet werden, kann sich auch in Hinkunft jeder Gläubiger ein Bild von der aktuellen wirtschaftlichen Lage der BF machen, ohne auf die Information betreffend ein gem. § 256 Abs. 4 IO nicht mehr in der staatlichen Insolvenzdatei aufscheinendes Insolvenzverfahren angewiesen zu sein.
Betreffend die von der BG als Rechtsgrundlage für die längere Speicherung ins Treffen geführten Vorschriften der Kapitaladäquanzverordnung wird auf die Rechtsprechung des VwGH verwiesen, wonach diese Verordnung die allgemeinen Aufsichtsanforderungen für Kreditinstituteregelt und somit nicht für Kreditauskunfteien wie die BG gilt (vgl. Erkenntnis des VwGH vom 1. Februar 2024, Ro 2020/04/0031, Rz 35).
Im Lichte der oben dargelegten Ausführungen erweist sich die Verarbeitung des verfahrensgegenständlichen Eintrags daher als unrechtmäßig .
D.2.2 Zu Spruchpunkt 2
Nach Art. 58 Abs. 2 lit. c DSGVO war der BG daher im Ergebnis aufzutragen , den Eintrag in die M***datenbank hinsichtlich des mangels Kostendeckung abgelehnten Insolvenzverfahrens der BF zu löschen .
Eine Frist von zwei Wochen erscheint angemessen, um dem Leistungsauftrag nachzukommen.
D.3. Fazit
Insgesamt war daher spruchgemäß zu entscheiden.
Rückverweise
