Der Oberste Gerichtshof hat als Revisionsgericht durch den Senatspräsidenten Hon. Prof. Dr. Gitschthaler als Vorsitzenden, die Hofräte Univ. Prof. Dr. Kodek und Dr. Nowotny, die Hofrätin Dr. Faber und den Hofrat Mag. Pertmayr als weitere Richter in der Rechtssache der klagenden Partei M*, vertreten durch Mag. Bernhard Hofer, Rechtsanwalt in Wien, gegen die beklagte Partei C* GmbH, *, vertreten durch Pitzal/Cerny/Partner Rechtsanwälte OG in Wien, wegen Datenlöschung, über die Revision der klagenden Partei gegen das Urteil des Oberlandesgerichts Wien als Berufungsgericht vom 15. Februar 2021, GZ 12 R 89/20a 28, womit das Urteil des Landesgerichts für Zivilrechtssachen Wien vom 20. August 2020, GZ 6 Cg 2/20p 22, bestätigt wurde, in nichtöffentlicher Sitzung zu Recht erkannt:
Der Revision wird nicht Folge gegeben.
Die klagende Partei ist schuldig, der beklagten Partei binnen 14 Tagen die mit 833,88 EUR (darin 138,98 EUR USt) bestimmten Kosten des Revisionsverfahrens zu ersetzen.
Entscheidungsgründe:
[1] Die Beklagte betreibt eine Auskunftei über Kreditverhältnisse iSd § 152 GewO 1994. Sie sammelt und verarbeitet Zahlungserfahrungsdaten, die ihr von Inkassounternehmen und anderen Unternehmen automationsunterstützt als Datensatz übermittelt werden. In einer Rahmenvereinbarung haben sich diese Unternehmen gegenüber der Beklagten verpflichtet, Zahlungserfahrungsdaten erst dann zu übermitteln, wenn der Gläubiger nach Fälligkeit der Forderung den Schuldner zumindest dreimal vergeblich gemahnt und danach ein Inkassounternehmen eingeschaltet hat, durch das eine weitere vergebliche Mahnung erfolgte. Werden die Forderungen von den Schuldnern bestritten, speichert die Beklagte diese Datensätze nicht. Erfolgt eine Zahlung der Forderungen zu einem späteren Zeitpunkt, bleiben die Zahlungserfahrungsdaten zwar gespeichert; allerdings wird vermerkt, dass der Zahlungsstatus „positiv erledigt“ ist. Aus den gespeicherten Daten wird aufgrund eines von der Beklagten angewendeten Algorithmus ein Zahlenwert („score“) errechnet, der die Kreditwürdigkeit bzw Zahlungsausfallswahrscheinlichkeit einer Person oder eines Unternehmens widerspiegeln soll. Die Anzahl der negativen Zahlungserfahrungsdaten, die Höhe der aushaftenden Beträge, der Zeitraum seit der Erfassung der Forderung und das Zahlungsverhalten der betroffenen Person/des Unternehmens haben nach dem von der Beklagten festgelegten Algorithmus Einfluss auf den score, der insofern variabel ist, als er sich abhängig vom Zahlungsverhalten im Laufe der Zeit verbessert oder verschlechtert. Nach dem Löschungskonzept der Beklagten werden Zahlungserfahrungsdaten unabhängig von der Höhe der Forderung grundsätzlich nach zehn Jahren, Daten aus Forderungen von Telekommunikationsanbietern nach fünf Jahren gelöscht.
[2] Die Klägerin schloss 2014 und 2015 bei zwei Mobilfunkbetreibern Mobilfunkverträge ab, bezahlte jedoch die Rechnungsbeträge von 364,13 und 1.452,19 EUR nicht. Einer gerichtlichen Geltendmachung gingen außergerichtliche Betreibungsversuche voraus. Gegen die Klägerin wurden Zahlungsbefehle vom 28. 1. und 18. 2. 2015 sowie zwei Exekutionsbewilligungen erlassen. Die Exekutionsverfahren wurden aufgrund geleisteter Zahlungen am 28. 5. und 10. 6. 2015 eingestellt. Aufgrund der nicht beglichenen Forderungen wurden der Beklagten von den Mobilfunkanbietern negative Zahlungserfahrungsdaten betreffend die Klägerin übermittelt, die sie in ihrer Datenbank erfasste und in der Zwischenzeit wieder löschte. In den Jahren 2017 und 2018 bestellte die Klägerin bei verschiedenen Unternehmen Waren über Web-Shops. Sie bezahlte zumindest fünf Rechnungen nicht, obwohl sie zwischen April 2017 und Juli 2018 über ausreichende finanzielle Mittel verfügte, um diese Forderungen vereinbarungsgemäß zu begleichen. Sie wurde daraufhin von einem Inkassounternehmen zur Zahlung aufgefordert. Nachdem diese Aufforderungen erfolglos geblieben waren, wurde die Klägerin abermals schriftlich mit fünf Mahnungen zur Begleichung der offenen Forderungen aufgefordert. In diesen Mahnungen fand sich jeweils der Hinweis, dass die Zahlungserfahrungsdaten über unbestrittene und nach Eintritt der Fälligkeit unbezahlte Forderungen sowie Adressdaten an die Beklagte zur Verwendung im Rahmen ihrer Gewerbeberechtigung gemäß § 152 GewO 1994 (Auskunftei über Kreditverhältnisse) übermittelt würden. Dies war der Klägerin bewusst. Sie wendete sich nicht an die Beklagte, um die Richtigkeit der Forderung zu bestreiten.
[3] Die Klägerin beglich die Forderung von 101,37 EUR am 11. 12. 2018, die Forderung von 173,63 EUR am 19. 10. 2018, die Forderung von 105,70 EUR am 18. 5. 2018, die Forderung von 82,89 EUR am 22. 1. 2018 und die Forderung von 45,40 EUR am 21. 12. 2017. Aufgrund der in den Jahren 2017 und 2018 erfolgten Bestellungen der Klägerin und der nicht beglichenen Forderungen wurden der Beklagten folgende negative Zahlungserfahrungsdaten betreffend die Klägerin übermittelt und in der Datenbank der Beklagten wie folgt erfasst:
[4] Zum früheren Familiennamen der Klägerin („H*“) hatte die Beklagte fünf historische Meldedaten gespeichert, deren Löschung das Erstgericht (rechtskräftig) anordnete.
[5] Die Teilnahme der Klägerin am Wirtschaftsleben wird durch die Eintragungen in der Datenbank der Beklagten insofern eingeschränkt, als ihr in vielen Bereichen (etwa im Internet) keine Bestellung auf Rechnung ermöglicht, Finanzierungsansuchen nicht gewährt und Mobilfunkverträge verweigert werden. Der Klägerin ist es aber möglich, Bestellungen gegen vorherige Bezahlung zu tätigen und „prepaid“ Mobiltelefone zu nutzen. Gemeinsam mit ihrem Ehemann werden der Klägerin auch Bankkredite gewährt.
[6] Die Klägerin begehrt von der Beklagten die Löschung aller – soweit im Revisionsverfahren noch von Bedeutung – Zahlungserfahrungsdaten, die diese über sie gespeichert habe. Es bestehe keine Notwendigkeit mehr für die Eintragung, weil alle Fälle positiv erledigt und keine Forderungen mehr offen seien; im Übrigen handle es sich um Bagatellbeträge. Die finanzielle Situation der Klägerin habe sich mittlerweile erheblich verbessert, weshalb die veralteten Daten unvollständig seien und den Eindruck vermittelten, dass die Klägerin eine mangelnde Zahlungsmoral bzw Zahlungsschwierigkeiten habe. Die Verbreitung der Daten verteuerte bzw verunmögliche der Klägerin den Zugang zum wirtschaftlichen Leben. Die Beeinträchtigung und damit das Interesse der Klägerin an der Löschung der Daten sei weit höher als das Interesse möglicher Vertragspartner, die ohnehin nur Bagatellausfälle zu befürchten hätten.
[7] Die Beklagte wandte ein , die datenschutzrechtliche Grundlage für die Verarbeitung der Daten seien berechtigte Interessen Dritter nach Art 6 Abs 1 lit f DSGVO, bezwecke doch die Datenverarbeitung durch die Beklagte, jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die bei Lieferung ihrer Waren bzw Dienstleistungen in Vorleistung treten und damit ein Kreditrisiko eingehen. Für sie sei es essentiell, die Zahlungsmoral ihrer potentiellen Vertragspartner einschätzen zu können. Würde die Beklagte sämtliche Forderungen löschen, entstünde bei den die Datenbank der Beklagten einsehenden Kunden ein verzerrtes und unrichtiges Bild über die Bonität der Klägerin. Die Daten seien für einen legitimen Zweck gemäß Art 5 Abs 1 lit d DSGVO und rechtmäßig gemäß Art 6 Abs 1 lit f DSGVO verarbeitet worden und hätten in dieser Form in der Datenbank der Beklagten zu verbleiben; die Interessen der Beklagten sowie ihrer Kunden würden jedenfalls das Interesse der Klägerin an der Löschung überwiegen.
[8] Die Vorinstanzen wiesen das Löschungsbegehren hinsichtlich der Zahlungserfassungsdaten ab. Am Betrieb einer Bonitätsdatenbank bestünden Interessen in Bezug auf den Gläubigerschutz und die Risikominimierung dritter Kreditgeber, die von der Rechtsordnung geschützt seien, was sich schon aus § 152 GewO 1994, aber auch aus § 7 VKrG und § 25a KSchG ergebe, die an das Bestehen derartiger Register anknüpften. Auch der Gerichtshof der Europäischen Union (EuGH) habe anerkannt, dass Bonitätsdatenbanken grundsätzlich geeignet seien, die Ungleichheit des Informationsstands von Gläubiger und Schuldner sowie die Ausfallsquote von Kreditnehmern zu verringern und dadurch den Wirkungsgrad des Kreditangebots zu erhöhen (vgl Rs C 238/05, Asnef Equifax ). Die Verarbeitung bonitätsrelevanter Daten sei daher grundsätzlich zur Wahrung der berechtigten Interessen der Beklagten und ihrer Kunden, aber auch zum Schutz der Schuldner selbst erforderlich. Bei der nach Art 6 Abs 1 lit f DSGVO für die Verarbeitung von Identitäts- und Bonitätsdaten gebotenen Abwägung der Interessen der Streitteile sowie der Kunden der Beklagten komme es auf die Höhe der einzelnen Forderungen, das Datum der Eintragung der Forderungen in die Datenbank, die Anzahl der Forderungen und die Zeit an, die seit Begleichung einer Forderung verstrichen sei und in der sich der Schuldner seither „wohl verhalten“ habe. Zwar seien hier die Forderungen allesamt gering, sie zeugten aber insgesamt von einem wiederholten Zahlungsverzug der Klägerin innerhalb eines Jahres. Die fünf gespeicherten Zahlungserfahrungsdatensätze hätten im Rahmen einer Risikoabwägung eine nicht unbeachtliche Aussagekraft, weshalb potentiellen Gläubigern der Klägerin ein hohes Interesse an der Verfügbarkeit dieser Daten zuzugestehen sei. Die Verbesserung der Einkommensverhältnisse der Klägerin lasse nicht den Schluss zu, dass es zu keinem neuerlichen Zahlungsverzug kommen werde. Der durch die Eintragung in die Bonitätsdatenbank bewirkte Eingriff in die Lebensführung der Klägerin sei nicht gravierend und zudem durch das Bestehen der Wirtschaftsgemeinschaft mit ihrem Ehegatten abgefedert. Die nach dem Löschungskonzept der Beklagten vorgesehene (generelle) Dauer von zehn Jahren bis zur Löschung von Zahlungserfahrungsdaten stehe zwar zum verfolgten Zweck außer Verhältnis; in concreto gehe es aber nur um die Frage, ob Zahlungserfahrungsdaten zu löschen seien, die vor längstens drei Jahren in die Datenbank der Beklagten aufgenommen wurden . Angesichts der Mehrzahl der Forderungen sei diese Speicherdauer nicht unangemessen lang.
[9] Das Berufungsgericht ließ die Revision zu, weil Rechtsprechung des Obersten Gerichtshofs zur nach Art 5 Abs 1 lit e DSGVO zulässigen Speicherdauer von – von Auskunfteien iSd § 152 GewO gesammelten – Bonitätsdaten fehle und diese Frage über den vorliegenden Einzelfall hinaus für viele Personen, deren Daten in einer Bonitätsdatenbank verarbeitet werden, von Bedeutung sei; der Entscheidungsgegenstand übersteige 5.000 EUR.
[10] Hierzu hat der Oberste Gerichtshof erwogen:
[11] Zwar kann eine Interessenabwägung, ob die Speicherdauer von Daten verhältnismäßig ist oder nicht, regelmäßig nur bezogen auf den jeweiligen Einzelfall erfolgen. Dies begründet – von krassen Fehlbeurteilungen abgesehen – in der Regel keine erhebliche Rechtsfrage (RS0044088 [T8, T9]). Der vorliegende Fall bietet jedoch Gelegenheit zur Klarstellung der hier geltenden Grundsätze. Die Revision ist daher zulässig; sie ist aber nicht berechtigt.
[12] A. Löschungsbegehren und Speicherdauer (Art 5 Abs 1 lit c und lit e DSGVO)
[13] 1.1. Nach den Feststellungen erfasst die Beklagte im Rahmen des Gewerbes der Kreditauskunftei gemäß § 152 GewO in der von ihr geführten Datenbank personenbezogene Daten iSd Art 4 Z 1 DSGVO, die ihr von anderen Unternehmen zur Verfügung gestellt werden. Derart in der Datenbank gespeicherte Daten werden wiederum Dritten zur Abfrage bereitgestellt.
[14] Das Löschungskonzept der Beklagten sieht bei Zahlungserfahrungsdaten eine Löschung nach zehn Jahren vor (unabhängig von weiteren Kriterien); Mobilfunkdaten werden nach fünf Jahren gelöscht. Eine Differenzierung hinsichtlich der Höhe der Forderung oder des Forderungsstatus erfolgt in Bezug auf die Dauer der Speicherung der Zahlungserfahrungsdaten nicht. Der Zeitablauf findet lediglich hinsichtlich der Bemessung des sogenannten „Score“ – also der Bewertung der Bonität der betroffenen Person – Berücksichtigung. Dies betrifft aber lediglich die Risikobewertung, die aufgrund der verarbeiteten Daten erstellt wird. Der Umstand, dass aufgrund von Zeitablauf andere Schlüsse aus den verarbeiteten Daten gezogen werden, hat allerdings keinen Einfluss auf die Frage der Rechtmäßigkeit der Speicherdauer der Daten selbst.
[15] 1.2. In weiten Teilen ihrer Rechtsmittelausführungen nimmt die Klägerin zu der nach dem grundsätzlichen Löschungskonzept der Beklagten vorgesehenen Löschung von Bonitätsdaten erst nach zehn Jahren Stellung. Mit ihren Überlegungen zur Unzulässigkeit einer derart langen Speicherdauer vermag sie aber schon deshalb keinen Rechtsfehler des Berufungsgerichts aufzuzeigen, weil die damit relevierte Frage – wie schon von den Vorinstanzen zutreffend erkannt – zur abschließenden rechtlichen Beurteilung des vorliegenden Falles gar nicht maßgeblich ist. Hier ist lediglich zu prüfen, ob die Datenverarbeitung durch Zeitablauf seit der ersten Eintragung eines die Klägerin betreffenden Datensatzes in die Datenbank der Beklagten im Frühjahr 2017 bereits zum Schluss der Verhandlung erster Instanz unzulässig geworden ist, weil die verarbeiteten personenbezogenen Daten der Klägerin für die Erfüllung der Zwecke, für die sie ursprünglich erhoben wurden, nicht mehr notwendig sind. Ein Löschungsanspruch der Klägerin nach Art 17 Abs 1 DSGVO lässt sich demgegenüber nicht darauf stützen, dass eine von der Beklagten bloß
[16] 2. Aber auch insoweit als die Klägerin erkennbar die seit der ersten Eintragung in die Datenbank der Beklagten bis zum Schluss der Verhandlung erster Instanz verstrichene Speicherdauer von rund drei Jahren als unzulässig lang kritisiert, verabsäumt sie es, der sowohl in der methodischen Herleitung als auch im Ergebnis überzeugenden Rechtsauffassung der Vorinstanzen stichhaltige rechtliche Erwägungen entgegenzusetzen:
[17] 2.1. Der Grundsatz der Speicherbegrenzung in Art 5 Abs 1 lit f) konkretisiert den Grundsatz der Datenminimierung (lit c leg cit) in Bezug auf die Speicherdauer. Bei der Speicherung personenbezogener Daten darf die Identifizierung der betroffenen Personen nur so lange möglich sein, wie es für die Verarbeitungszwecke erforderlich ist. Mit diesem Grundsatz der Speicherbegrenzung wird eine zeitliche Grenze der Verarbeitung personenbezogener Daten normiert ( Herbst in Kühling/Buchner , DS GVO BDSG 3 [2020] Art 5 Rz 64). Es handelt sich daher um eine Ausprägung des Grundsatzes der Verhältnismäßigkeit ( Schantz in BeckOK Datenschutzrecht Art 5 Rz 32).
[18] 2.2. Die Frist bzw die Kriterien, nach denen sich der Zeitpunkt der Löschung bestimmt, müssen auf das für die Verarbeitungszwecke unbedingt erforderliche Mindestmaß beschränkt sein. Die Festlegung der Fristen bzw Kriterien bedarf daher meist einer Einzelfallbetrachtung, in der die Erforderlichkeit der Aufbewahrung von Daten anhand der Verarbeitungszwecke beurteilt wird ( Hötzendorfer/Tschohl/Kastelitz in Knyrim , DatKomm Art 5 DSGVO Rz 49 f; siehe auch Herbst in Kühling/Buchner , DS GVO BDSG 3 [2020] Art 17 Rz 17). Wie lange die Aufbewahrung zulässig ist, hängt vom Zweck ab und wird erheblich variieren ( Reimer in Sydow , Europäische Datenschutzgrundverordnung 2 [2018] Art 5 Rz 39). Nach Frenzel erzeugt die Formulierung für den Verantwortlichen einen Rechtfertigungsdruck ( Frenzel in Paal/Pauly , DS GVO BDSG 3 [2021] Art 5 Rz 43; zust Schantz in BeckOK Datenschutzrecht Art 5 Rz 32).
[19] 2.3. Im Rahmen dieser Einzelfallentscheidung muss auf die konkreten Gegebenheiten und Zwecke des zugrundeliegenden Verhältnisses abgestellt werden. Nach ständiger Rechtsprechung des Bundesverwaltungsgerichts haben historische Zahlungsinformationen umso weniger Aussagekraft, je länger sie zurückliegen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen ist (BVwG W258 2216873 1 zu einem ähnlich gelagerten Fall; bestätigt durch BVwG W274 2232028 1). Dem Alter der Forderung bzw dem Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung, dem Zeitpunkt etwaiger Tilgungen und dem seitherigen „Wohlverhalten“ des Schuldners kommen bei der Abwägung entscheidende Bedeutung zu. Als Richtlinie, wie lange Bonitätsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet sind, können nach dem Bundesverwaltungsgericht Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen.
[20] 2.4. Solche Bestimmungen finden sich beispielsweise in der Kapitaladäquanzverordnung (Verordnung [EU] Nr 575/2013), in der Kreditinstitute unter anderem verpflichtet werden, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Hier geht der (EU )Verordnungsgeber davon aus, dass für die Beurteilung der Bonität eines (potentiellen) Schuldners bzw des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant sind.
[21] 3.1. Im vorliegenden Fall kann – wie bereits ausgeführt – die Frage der höchstzulässigen Speicherdauer dahingestellt bleiben, weil die Daten der Klägerin erst drei Jahre gespeichert wurden und dies unter Zugrundelegung der Rechtsprechung des Bundesverwaltungsgerichts jedenfalls zulässig wäre. Lediglich der Vollständigkeit halber ist auf Folgendes hinzuweisen:
[22] Bei der im Rahmen der Beurteilung der Speicherdauer vorzunehmenden Interessenabwägung sind die sich widerstreitenden Interessen gegenüberzustellen und abzuwägen. Dabei muss abgewogen werden, wie schwer die Speicherdauer in die Sphäre des Betroffenen eingreift und wie essentiell die Daten für den Verantwortlichen sind.
[23] Die Beklagte betreibt eine Wirtschaftsauskunftei iSd § 152 GewO. Dieses Geschäftsfeld ist denklogisch auf die Verarbeitung von Zahlungserfahrungsdaten angewiesen. Zu den Aufgaben dieser Gewerbetreibenden gehört nämlich die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen wie von Privatpersonen an Dritte. Dies dient einerseits dem wirtschaftlichen Interesse der Wirtschaftsauskunftei, andererseits auch den Interessen in Bezug auf den Gläubigerschutz und die Risikominimierung Dritter.
[24] 3.2. Unter Zugrundelegung der Rechtsprechung des Bundesverwaltungsgerichts sind solche Daten zumindest fünf Jahre zu speichern, um ein möglichst aussagekräftiges Bild über die Bonität eines möglichen Schuldners zu geben. Hinzuweisen ist dabei auf einen Bescheid der Datenschutzbehörde, wonach eine generelle Löschung der bonitätsrelevanten Daten in Bonitätsdatenbanken erst sieben Jahre nach Tilgung der Schuld im Hinblick auf Art 6 Abs 1 lit f DSGVO und der geänderten Rechtslage (gegenständlich § 256 IO) jedenfalls nicht verhältnismäßig sei (DSB D123.193/0003 DSB/2018; Revision S 7). Gegen diesen Bescheid wurde am 4. 1. 2019 eine Bescheidbeschwerde erhoben, weshalb dieser nicht rechtskräftig ist. Eine Entscheidung des Bundesverwaltungsgerichts steht – soweit überblickbar – noch aus.
[25] 3.3. Nach Ansicht der Klägerin spricht gegen die zehnjährige Speicherdauer, dass sich eine valide Auskunft nicht auf Daten stützen könne, die ein Jahrzehnt alt sind. In einer modernen, digitalisierten und von volatilerem Arbeitsmarkt geprägten Zeit können derart veraltete Daten nicht nur zu Schäden für die betroffenen Personen, sondern auch für potenzielle Gläubiger, die um einen wirtschaftlich leistungsfähigen Geschäftspartner gebracht würden, führen.
[26] Diese Argumente gegen eine absolute Speicherdauer von zehn Jahren können allerdings die Argumente für eine derartige Speicherdauer nicht überwiegen. Vielmehr ist es gerade notwendig, Zahlungserfahrungsdaten über einen langen Zeitraum zu erfassen, um auch Tendenzen feststellen und Momentaufnahmen vermeiden zu können. Es mag stimmen, dass der (bis zu) zehnjährige Zeitraum aus Sicht der Klägerin (subjektiv) nachteilig erscheint, auch wenn Daten im gegenständlichen Fall nicht so lange gespeichert wurden. Aus der Sicht eines Schuldners, der sämtliche Rechnungen pünktlich bezahlt, stellt ein zehnjähriger Zeitraum wiederum einen Vorteil dar. Ein verständiger Empfänger dieser Daten wird auch in der Lage sein, diese Daten einschätzen zu können. So hat das Erstgericht zutreffend festgestellt, dass auch dem „ Wohlverhalten“ eines Schuldners seit der Begleichung bei der Abwägung Bedeutung zukommt.
[27] Aus Sicht der gesamten Branche ist es demnach unabdingbar, eine objektive, transparente und vor allem wahrheitsgemäße Auskunft über die Zahlungsfähigkeit und schwierigkeit von Schuldnern zu gewährleisten. Dies ist nur möglich, wenn die Daten über einen gewissen ( längeren ) Zeitraum gespeichert bleiben. Nicht zuletzt dient die Speicherung neben den Interessen der Beklagten vor allem den Interessen Dritter ( etwa Unternehmen, die bei der Lieferung ihrer Waren oder Dienstleistungen ein Kreditrisiko eingehen). Eine kürzere Speicherdauer wäre demgegenüber geeignet, ein verzerrtes Bild zu vermitteln.
[28] 3.4. Welche für sie günstigen rechtlichen Konsequenzen die Klägerin aus ihrem Verweis auf die Entscheidung der Datenschutzbehörde vom 28. 5. 2018, DSB D216.580/0002 DSB/2018, ziehen will, bleibt offen. In diesem Bescheid wurde lediglich ausgesprochen, dass die zeitlich unbegrenzte Speicherung von personenbezogenen Daten den Grundsatz der Speicherbegrenzung verletzt (DSB D216.580/0002 DSB/2018). Eine solche liegt hier aber ohnehin nicht vor.
[29] B. Verarbeitung von Daten (Art 6 Abs 1 lit f DSGVO)
[30] 4.1. Da die Speicherdauer nicht gegen Art 5 DSGVO verstößt, ermöglicht davon ausgehend Art 6 Abs 1 lit f die Datenverarbeitung im Anschluss an eine Abwägung der berührten Interessen, soweit diese zu Gunsten des Verantwortlichen entschieden wird ( Frenzel in Paal/Pauly , DS GVO BDSG 3 [2021] Art 6 Rz 26). Vorweg ist anzumerken, dass diese Bestimmung nach herrschender Ansicht sehr vage formuliert ist und mitunter zu Rechtsunsicherheit führen könnte ( Buchner/Petri in Kühling/Buchner , DS GVO BDSG 3 [2020] Art 6 Rz 142 ff; Reimer in Sydow , Europäische Datenschutzgrundverordnung 2 [2018] Art 6 Rz 59; Kastelitz/Hötzendorfer/Tschohl in Knyrim , DatKomm Art 6 DSGVO Rz 50).
[31] 4.2. Art 6 Abs 1 lit f DSGVO ermöglicht die Verarbeitung personenbezogener Daten in Gleichordnungsverhältnissen unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten erforderlich ist. Diese berechtigten Interessen stellen zwar keine ausreichende Begründung für die Rechtmäßigkeit der Verarbeitung dar, wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen ( Kastelitz/Hötzendorfer/Tschohl in Knyrim , DatKomm Art 6 DSGVO Rz 49; vgl zur Bestimmung berechtigter Interessen auch die Stellungnahme 06/2014 der Artikel-29-Datenschutzgruppe, 30 ff); ein bloßes Tangieren der Rechte der betroffenen Person macht die Datenverarbeitung aber nicht unzulässig ( Schulz in Gola , DS GVO 2 [2018] Art 6 Rz 58). Es verbietet sich auch, generell die Abwägung im Zweifel gegen die Verarbeitung ausgehen zu lassen ( Reimer in Sydow , Europäische Datenschutzgrundverordnung 2 [2018] Art 6 Rz 63).
[32] 4.3. Die Interessenabwägung folgt einem dreigliedrigen Schema: 1. Vorliegen eines berechtigten Interesses, 2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und 3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person (siehe nur Kastelitz/Hötzendorfer/Tschohl in Knyrim , DatKomm Art 6 DSGVO Rz 51). Zu bestimmen ist zunächst das Interesse des Verantwortlichen auf Grundlage der Zweckbestimmung. In Betracht kommen rechtliche, wirtschaftliche oder ideelle Interessen. Dieses Interesse ist weit zu verstehen, was insbesondere in ErwGr 47 S 2, 6, 7 angedeutet wird ( Frenzel in Paal/Pauly , DS GVO BDSG 3 [2021] Art 6 Rz 26). Ist das Interesse ermittelt, ist sodann normativ zu bestimmen, ob dieses Interesse gegen die Rechtsordnung der Union, des jeweiligen Mitgliedstaats oder gegen datenschutzrechtliche Grundsätze, einschließlich des Erforderlichkeitsgrundsatzes und des Gebots von Treu und Glauben, verstößt ( Schulz in Gola , DS GVO 2 [2018] Art 6 Rz 57). In einem letzten Schritt ist zu prüfen, ob die Schutzwürdigkeit der betroffenen Person überwiegt. Ein Indiz für das Überwiegen der Interessen, Grundrechte und Grundfreiheiten des Betroffenen gegenüber dem Verarbeitungsinteresse des Verantwortlichen kann insbesondere darin zu erkennen sein, dass die Datenverarbeitung in einem Kontext erfolgt, in dem ein Betroffener vernünftigerweise nicht mit einer Verarbeitung rechnen muss ( Spindler/Dalby in Spindler/Schuster , Art 6 DSGVO Rz 19).
[33] 4.4. Für die Beurteilung der Rechtmäßigkeit der Datenverarbeitung ist demnach im Ergebnis eine Abwägung der berührten Interessen im Einzelfall aus objektiver Sicht vorzunehmen (so bereits das Berufungsgericht ; siehe auch Schulz in Gola , DS GVO 2 [2018] Art 6 Rz 67). Somit handelt es sich auch bei der Frage der Verarbeitung von Daten iSd Art 6 Abs 1 lit f DSGVO um eine Frage, die – von krassen Fehlbeurteilungen abgesehen – in der Regel keine erhebliche Rechtsfrage darstellt (RS0044088 [T8, T9]). Vielmehr hängt die Entscheidung ausschließlich vom Ausgang der Abwägung der jeweiligen einander gegenüberstehenden Interessen im konkreten Fall ab.
[34] 4 .5. Soweit die Klägerin kritisiert, bei der Beurteilung der (anhaltenden) Notwendigkeit der Datenverarbeitung hätten die konkreten Umstände, namentlich auch die „Schwere der Vermögensschäden“ ihrer Gläubiger, berücksichtigt werden müssen, ist dem entgegenzuhalten, dass das Bereithalten von Bonitätsdaten, wie schon von den Vorinstanzen überzeugend herausgearbeitet (§ 510 Abs 3 ZPO), neben der Vermeidung von Zahlungsausfällen gerade auch der Hintanhaltung des Risikos von bloßen Zahlungsverzögerungen dient. Ein entsprechendes Interesse potenzieller Gläubiger der Klägerin, Informationen über deren Zahlungsverhalten in der Vergangenheit zu erlangen, um daraus ein allenfalls erhöhtes (temporäres) Ausfallsrisiko ableiten zu können, erstreckt sich dabei naturgemäß nicht nur auf die nicht (rechtzeitig) erfolgte Zahlung ins Gewicht fallender Verbindlichkeiten, lässt doch jedenfalls auch die mehrfach unterbliebene Begleichung von Kleinbeträgen über Monate hinweg und trotz wiederholter Mahnungen Rückschlüsse auf etwaige finanzielle Probleme oder aber eine schwache Zahlungsmoral zu. Der von der Klägerin hervorgehobene Umstand, dass ihren früheren Gläubigern aufgrund der letztlich doch erfolgten Zahlung der Verbindlichkeiten kein Vermögensschaden entstanden sein mag, kann vor diesem Hintergrund von vornherein nicht entscheidend sein. Zugleich ist, wie das Berufungsgericht zutreffend betont, künftigen Gläubigern auch dann ein berechtigtes Informationsinteresse betreffend das frühere Zahlungsverhalten der Klägerin zuzubilligen, wenn die Information bloß der besseren Einschätzung ihres Kreditrisikos in Ansehung geringfügiger Forderungen dient.
[35] 4 .6. Ausgehend von diesen Überlegungen überzeugt auch die Rechtsansicht der Klägerin nicht, bei „Positivdaten“ einer Privatperson – gemeint sind Daten über Zahlungserfahrungen, bei denen der Schuldner letztlich vollständig bezahlt hat – könne eine Verarbeitung im Allgemeinen nicht auf Grundlage von Art 6 Abs 1 lit f DSGVO erfolgen, weil regelmäßig das schutzwürdige Interesse der betroffenen Person überwiege. Diese nicht näher begründete Auffassung basiert offenbar im Wesentlichen auf der (wie zuvor dargelegt), unzutreffenden Prämisse, dass Daten über solche Zahlungserfahrungen für potenzielle Gläubiger von vornherein keinen substanziellen Wert haben. Ein darüber hinausgehendes nachvollziehbares Argument dafür, warum die Interessenabwägung im angesprochenen Fall in der Regel zugunsten der betroffenen Person ausfallen soll, bleibt die Revision schuldig.
[36] 4 .7. Wenn die Klägerin in diesem Zusammenhang generell anzweifelt, dass die Bonitätsdatenbank der Beklagten geeignet sei , künftigen Gläubigern als Grundlage für eine sachliche Bewertung des Ausfallsrisikos zu dienen, und dazu sinngemäß vorbringt, in der Datenbank würde nicht zwischen (großen) Zahlungsausfällen und (geringfügigen) Zahlungsstockungen differenziert, entfernt sie sich von den F eststellungen, wonach den einzelnen Datensätzen einerseits die Höhe der jeweils unberichtigt gebliebenen Forderung und eine allfällige nachfolgende Zahlung im Detail zu entnehmen sind und andererseits bei der algorithmusbasierten Berechnung der künftigen Zahlungsausfallswahrscheinlichkeit die Höhe der aushaftenden Beträge und das Zahlungsverhalten des einzelnen Schuldners sehr wohl berücksichtigt wird.
[37] 4 .8. Bei ihrer in dieselbe Richtung weisenden Kritik, die in Frage stehenden Daten seien „veraltet“ und spiegelten die tatsächliche wirtschaftliche Leistungsfähigkeit der Klägerin ohnedies nicht wider, lässt die Klägerin außer Acht, dass sie in den Jahren 2017 und 2018 wirtschaftlich in der Lage gewesen wäre, die geringen Beträge rechtzeitig, jedenfalls nach Einmahnung zu bezahlen; schon deshalb kann von veralteten Daten nicht die Rede sein. Der bloße Umstand, dass die in der Datenbank der Beklagten bereitgestellten Datensätze als solche keinen verlässlichen Rückschluss auf den spezifischen Grund des (temporären) Zahlungsausfalls zulassen, macht die Information für künftige Gläubiger indes nicht wertlos: Ausgehend davon, dass unberichtigt gebliebene Forderungen von der Beklagten dann nicht in der Datenbank gespeichert werden, wenn sie der Schuldner bestritten hat, haben die mehrfachen Datenbankeintragungen betreffend die Klägerin nämlich insoweit Aussagekraft, als sie ein durchaus beachtliches Indiz für eine entweder zahlungsunfähige oder zahlungsunwillige Schuldnerin sind.
[38] 4 .9. Der Hinweis der Klägerin in ihrer Revision auf die Entscheidung 6 Ob 195/08g geht schon allein deshalb fehl, weil dieser § 28 Abs 2 DSG 2000 zugrunde lag, der vom Verfassungsgerichtshof mit Erkenntnis vom 8. 10. 2015, G 264/2015, wegen Verstoßes gegen die Meinungsäußerungs- und Informationsfreiheit des Art 10 EMRK als verfassungswidrig aufgehoben wurde.
[39] 4.10. Die Klägerin vertritt zwar zutreffend, dass im Rahmen der nach Art 6 Abs 1 lit f DSGVO gebotenen Interessenabwägung zu ihren Gunsten zu berücksichtigen sei, dass sie durch die Datenspeicherung beachtliche Einschnitte in ihrer alltäglichen Lebensführung zu erdulden hat, wobei sich diese vor allem daraus ergeben, dass ihr etwa der Abschluss von Kredit- oder Mobilfunkverträgen verwehrt wird. Die Vorinstanzen haben jedoch überzeugend dargelegt, dass dies in der Gesamtauswirkung letztlich nicht dazu führt, dass die Klägerin in einem unzumutbaren Maß von der Teilnahme am Wirtschaftsleben sowie an moderner Telekommunikation abgeschnitten wäre. Die berechtigten Informationsinteressen künftiger Gläubiger der Klägerin prävalieren deshalb im Ergebnis gegenüber dem schutzwürdigen Geheimhaltungsinteresse der Klägerin, dies auch mit Blick auf die vorangegangenen Überlegungen, wonach die mehrfachen Datenbankeinträge für künftige Gläubiger der Klägerin durchaus Aussagekraft für ihre Risikobewertung haben, auch wenn die Eintragungen zum Teil bereits auf das Jahr 2017 zurückgehen, jeweils keine hohen Forderungen betreffen und sich aus den Datensätzen ergibt, dass die Klägerin letztlich alle Verbindlichkeiten bezahlt hat.
[40] 4 .11. Tatsächlich sind nach ErwGr 47 zur DSGVO auch die vernünftigen Erwartungen einer betroffenen Person in die Interessenabwägung einzubeziehen. Mit ihrem Vorbringen, sie hätte nicht damit rechnen müssen, dass ihre Daten zum Zweck der Bonitätsbeurteilung verarbeitet werden, setzt sich die Klägerin jedoch über die gegenteiligen Sachverhaltsannahmen der Vorinstanzen hinweg.
[41] 4.12. Zusammenfassend ist somit hinsichtlich der Interessenabwägung keine Fehlbewertung durch die Vorinstanzen erkennbar, wobei ergänzend auf deren umfangreichen Ausführungen zur Interessenabwägung verwiesen werden kann.
[42] C. Automatisierte Einzelfallentscheidungen/„Profiling“ (Art 22 DSGVO)
[43] 5. Nach Ansicht der Revision erfolgte die Verarbeitung durch die Beklagte mittels Profiling gemäß Art 4 Abs 4 DSGVO und zieht dadurch auch automatisierte Einzelfallentscheidungen gemäß Art 22 DSGVO nach sich. Mit diesem erstmals im Revisionsverfahren erhobenen Vorbringen verstößt die Klägerin jedoch gegen das Neuerungsverbot.
[44] D. Keine Öffentlichkeit der Daten
[45] 6. Die Klägerin behauptet schließlich, ihre Dateien seien öffentlich zugänglich, weil diese nicht nur einem von vornherein bestimmten, nach außen hin begrenzten Personenkreis zugänglich sind, sondern jedem Unternehmer, der ein konkretes berechtigtes Interesse wegen einer von ihm zu erbringenden Vorleistung behauptet, gewährt werden.
[46] Dabei missversteht die Klägerin aber schon den Begriff der „Öffentlichkeit“. Darunter ist in der DSGVO regelmäßig die Allgemeinheit und somit ein individuell nicht bestimmbarer Personenkreis zu verstehen (vgl Kastelitz/Hötzendorfer/Tschohl in Knyrim , DatKomm Art 9 DSGVO Rz 41). Vom Erstgericht wurde festgestellt, dass aus den gespeicherten Daten ein score errechnet wird, der den Kunden der Beklagten als Grundlage für die Entscheidung zur Verfügung gestellt wird, ob mit einer Person bzw einem Unternehmen kontrahiert wird bzw zu welchen Konditionen. Damit handelt es sich um einen nach außen hin begrenzten Personenkreis, weil nur Kunden der Beklagten Zugang zu diesen Daten haben. Von „Öffentlichkeit“ iSd DSGVO kann daher keine Rede sein.
[47] 7. D as angefochtene Urteil erweist sich somit daher als frei von Rechtsirrtum, sodass der unbegründeten Revision ein Erfolg zu versagen war.
[48] Die Entscheidung über die Kosten des Revisionsverfahrens gründet auf §§ 41, 50 ZPO.
Rückverweise
