Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger und die Hofräte Dr. Mayr sowie Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Amesberger, über die Revision des A G, vertreten durch Brand Rechtsanwälte GmbH in 1020 Wien, Schüttelstraße 55, Carré Rotunde, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 28. Juli 2020, Zl. W211 2225136 1/6E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: K GmbH, vertreten durch die BLS Rechtsanwälte GmbH in 1010 Wien, Kärntner Straße 10; weitere Partei: Bundesministerin für Justiz), den Beschluss gefasst:
Das Revisionsverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) in den beiden mit Beschluss des EuGH vom 11. Februar 2022 verbundenen Rechtssachen a) C 26/22 über das Ersuchen des Verwaltungsgerichts Wiesbaden vom 23. Dezember 2021, 6 K 441/21.WI, und b) C 64/22 über das Ersuchen des Verwaltungsgerichts Wiesbaden vom 31. Jänner 2022, 6 K 1052/21.WI, ausgesetzt.
1 Über das Vermögen des Revisionswerbers wurde im Jahr 2010 das Schuldenregulierungsverfahren vor dem Bezirksgericht D eröffnet und die im Jahr 2012 festgelegte Rückzahlungsquote Mitte März 2018 erfüllt. Mit Beschluss vom 4. Mai 2018 bewilligte das Bezirksgericht D die Löschung der Eintragungen des Revisionswerbers aus der Insolvenzdatei.
2 Die mitbeteiligte Partei betreibt unter anderem das Gewerbe der Kreditauskunftei gemäß § 152 Gewerbeordnung 1994 (GewO 1994) und speicherte unter anderem folgende auszugsweise wiedergegebene Daten des Revisionswerbers in Bezug auf dessen Schuldenregulierungsverfahren sowohl im persönlichen Bonitätsprofil des Revisionswerbers, als auch im Bonitätsprofil der XY GmbH, deren alleiniger Gesellschafter der Revisionswerber ist, unter der Überschrift „Insolvenz“: „Aktueller Verfahrensstand seit 2018 04 01“; „Verfahrensstand: Zahlungsplan wurde vom Schuldner direkt abgewickelt“, „Passiva laut Insolvenzantrag [EUR] 167.596,54“.
3 Am 24. Oktober 2018 erhob der Revisionswerber eine gegen die mitbeteiligte Partei als Beschwerdegegnerin gerichtete Datenschutzbeschwerde wegen Verletzung im Recht auf Löschung gemäß Art. 17 Datenschutzgrundverordnung (DSGVO), nachdem er mit Schreiben vom 23. Mai 2018 die Löschung des ihn betreffenden Eintrags über seine Insolvenz sowohl in seinem „persönlichen Profil“ als auch im Profil der XY GmbH der Datenbank der mitbeteiligten Partei begehrt und die mitbeteiligte Partei mit Schreiben vom gleichen Tag mitgeteilt hatte, diesem Begehren nicht zu entsprechen.
4 Mit Bescheid vom 20. September 2019 wies die Datenschutzbehörde (belangte Behörde) die Datenschutzbeschwerde als unbegründet ab.
5 Die dagegen vom Revisionswerber erhobene Beschwerde wies das Bundesverwaltungsgericht (Verwaltungsgericht) mit dem angefochtenen Erkenntnis vom 28. Juli 2020 als unbegründet ab und sprach aus, dass die Revision zulässig sei.
6 Begründend führte das Verwaltungsgericht zusammengefasst aus, die mitbeteiligte Partei verarbeite im Zuge des Betriebs des Gewerbes der Kreditauskunftei gemäß § 152 GewO 1994 historische Informationen über Zahlungsausfälle und Insolvenzverfahren des Revisionswerbers, um sie (potentiellen) Gläubigern zwecks Bestimmung des Risikos etwaiger Zahlungsausfälle bereitzustellen.
Dabei handle es sich um einen durch die Rechtsordnung anerkannten Zweck. Die Daten zum Insolvenzverfahren seien korrekt, vollständig und grundsätzlich erforderlich und geeignet, um eine Prognose über das zukünftige Zahlungsverhalten des Revisionswerbers abzugeben.
Weder die DSGVO noch die Regelungen zum Gewerbe der Kreditauskunftei (§ 152 GewO 1994) enthielten konkrete Fristen „zur zulässigen Speicherdauer von historischen Insolvenzverfahren und Zahlungsausfällen“. Die zulässige Speicherdauer hänge vom Einzelfall ab.
Historische Zahlungsinformationen seien zwar wesentlich, um das zukünftige Zahlungsverhalten von (potentiellen) Schuldnerinnen und Schuldnern vorhersagen zu können. Sie hätten jedoch umso weniger Aussagekraft, je länger sie zurücklägen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen sei. Dem Alter der Forderung bzw. dem Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung, dem Zeitpunkt etwaiger Tilgungen und dem seitherigen „Wohlverhalten“ kämen bei der Abwägung entscheidende Bedeutung zu.
Als Richtlinie, wie lange Zahlungserfahrungsdaten zur Bonitätsbeurteilung (potentieller) Schuldner geeignet seien, könnten Beobachtungs- oder Löschungsfristen in rechtlichen, dem Gläubigerschutz dienende Bestimmungen herangezogen werden, die die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen, wie etwa Bestimmungen der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 (Kapitaladäquanzverordnung). Diese verpflichteten Kreditinstitute unter anderem zur Kundenbewertung und Risikoabschätzung ihrer Forderungen. Für Kredit bzw. Retailforderungen gegenüber natürlichen Personen hätten Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürften (Art. 143 Abs. 1), gemäß Art. 151 Abs. 6 iVm Art 180 Abs. 2 lit. a und e Kapitaladäquanzverordnung die Ausfallswahrscheinlichkeit der Forderung unter anderem anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen. Dabei sei ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein könne, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall habe sich gemäß Art. 151 Abs. 7 iVm Art. 181 Abs. 2 lit. c Kapitaladäquanzverordnung grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen.
Der EU-Verordnungsgeber gehe daher davon aus, dass für die Beurteilung der Bonität von (potentiellen) Schuldnern und Schuldnerinnen bzw. des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant seien.
Wenn Kreditinstitute als potentielle Geschäftspartner der mitbeteiligten Partei rechtlich verpflichtet seien, ihre Forderungen anhand der Ausfallsquoten zumindest der letzten fünf Jahre zu bewerten, und die Bonitätsdatenbank der mitbeteiligten Partei auch dazu dienen solle, Kreditinstituten Daten zu liefern, die sie für ihre verpflichtende Bewertung benötigen würden, verstoße die Verarbeitung der Insolvenzdaten des Revisionswerbers nicht gegen das Prinzip der Datenminimierung bzw. Speicherbegrenzung, wenn der Zahlungsplan zum Zeitpunkt des Löschungsbegehrens am 23. Mai 2018 erst vor weniger als drei Monaten, bzw. zum Entscheidungszeitpunkt des Verwaltungsgerichts erst vor etwas mehr als zwei Jahren erfüllt worden sei. Dies gelte auch für Forderungen, die zwar bereits vor mehr als fünf Jahren ausgefallen seien, aber erst, wie vorliegend, vor etwas mehr als zwei Jahren durch die Erfüllung des Zahlungsplans endgültig getilgt worden seien, weil erst mit der erfolgreichen Erfüllung des Zahlungsplans die konkrete Höhe des Ausfalls bestimmt werden könne.
Im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO seien einerseits die Interessen des Verantwortlichen und von Dritten (möglichen Geschäftspartnern der mitbeteiligten Partei) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen.
Die mitbeteiligte Partei und deren Kunden hätten ein nachvollziehbares Interesse an der Abschätzung des Kreditrisikos. Die Verarbeitung von Daten über Insolvenzen und Zahlungsausfälle erfolge zum Schutz potentieller Vertragspartner der betroffenen Person, die Dritte iSv Art. 6 Abs. 1 lit. f DSGVO seien. Diese Datenverarbeitung diene auch der Unterstützung von Kreditinstituten, die Vorschriften der Kapitaladäquanzverordnung zu erfüllen. Für die Abschätzung des Kreditrisikos durch die mitbeteiligte Partei sei die Beobachtung des historischen Zahlungsverhaltens von potentiellen Schuldnern wesentlich und die Verarbeitung von Daten über ein vor etwas mehr als zwei Jahren durch Erfüllung eines Zahlungsplans endgültig abgeschlossenes Insolvenzverfahren erforderlich.
Dieses Interesse der mitbeteiligten Partei und ihrer Geschäftspartner überwiege das Interesse des Revisionswerbers, nicht von wirtschaftlichen Nachteilen der Datenverarbeitung betroffen zu sein, weil die Höhe der Passiva des Insolvenzverfahren ca. € 215.000, betrage. Überdies stelle die mitbeteiligte Partei diese Zahlungserfahrungsdaten des Revisionswerbers nur einer begrenzten Öffentlichkeit, der ein zu beachtendes Interesse an einer Bonitätsprüfung zukomme, zur Verfügung.
Im Gegensatz zur Bonitätsdatenbank der mitbeteiligten Partei gründe sich die datenschutzrechtliche Zulässigkeit der Führung der Insolvenzdatei auf § 256 Insolvenzordnung (IO), einer rechtlichen Verpflichtung iSd Art. 6 Abs. 1 lit. c DSGVO. Aus § 256 IO lasse sich nicht ableiten, dass Insolvenzdaten (überhaupt) auch auf Grund anderer Erlaubnistatbestände des Art. 6 DSGVO nicht mehr verarbeitet werden dürften, wenn sie aus der Insolvenzdatei gelöscht worden seien. Eine derartige Einschränkung würde jedenfalls in Bezug auf den vorliegend einschlägigen Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO EU Sekundärrecht widersprechen.
Soweit der Revisionswerber in seinem Aufforderungsschreiben vom 29. Mai 2018 gegen die Verwendung seiner Daten Widerspruch nach Art. 21 DSGVO erhoben habe, habe er darin nicht dargelegt, inwiefern die Datenverarbeitung, die sich auf Art. 6 Abs. 1 lit. f DSGVO stütze, aufgrund einer besonderen Situation dennoch nicht zulässig sei. Der Widerspruch sei bereits deshalb unzulässig.
Mit dem Vorbringen, die gespeicherten Daten seien alt und unvollständig, weil der Revisionswerber seit 2016 wieder erfolgreich unternehmerisch tätig sei und diese Daten nur geeignet seien, ihn in seinem wirtschaftlichen Fortkommen zu hindern und Schaden zu verursachen, mache der Revisionswerber einen Verstoß gegen die allgemeinen Verarbeitungsgrundsätze der Datenminimierung und Datensparsamkeit nach Art. 5 DSGVO und eine mangelhafte Interessenabwägung im Rahmen des Art. 6 DSGVO aber keine Gründe geltend, die sich aus einer ihn betreffenden besonderen Situation ergeben würden.
Die „Verarbeitung von Daten über historische Insolvenzen und Zahlungsausfälle“ des Revisionswerbers durch die mitbeteiligte Partei sei daher notwendig und rechtmäßig. Der vom Revisionswerber erhobene Widerspruch könne sein Löschungsbegehren nicht rechtfertigen.
7 Den Zulässigkeitsausspruch begründete das Verwaltungsgericht mit fehlender Rechtsprechung des Verwaltungsgerichtshofes zur Frage, welchen Grundsätzen eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO genügen müsse; insbesondere, ob und unter welchen Voraussetzungen die Vorschriften der Kapitaladäquanzverordnung als Richtschnur für die Bestimmung der zulässigen Speicherdauer von Bonitätsdaten herangezogen werden können.
8 Dagegen richtet sich die vorliegende ordentliche Revision mit dem Antrag auf Aufhebung des angefochtenen Erkenntnisses gegen Aufwandersatz.
9 Die belangte Behörde beantragte in ihrer Revisionsbeantwortung die Abweisung der Revision gegen Aufwandersatz. Die mitbeteiligte Partei erstattete keine Revisionsbeantwortung.
10 Mit Beschluss vom 23. Dezember, 6 K 441/21.WI, und Beschluss vom 31. Jänner 2022, 6 K 1052/21.WI, richtete das Verwaltungsgericht Wiesbaden (Deutschland) jeweils unter anderem folgende Fragen an den EuGH (dort anhängig zu C 26/22 und C 64/22) zur Vorabentscheidung:
„...
2. Ist eine Datenspeicherung bei einer privaten Wirtschaftsauskunftei, bei der personenbezogene Daten aus einem öffentlichen Register, wie den ‚nationalen Datenbanken‘ im Sinne des Art. 79 Abs. 4 und 5 der Verordnung (EU) 2015/848 [Verordnung des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren], ohne konkreten Anlass gespeichert werden, um im Falle einer Anfrage eine Auskunft erteilen zu können, mit Art. 7 und 8 der Charta der Grundrechte der Europäischen Union vereinbar?
3. a) Sind private Paralleldatenbanken (insbesondere Datenbanken einer Auskunftei), die neben den staatlichen Datenbanken errichtet werden und in denen die Daten aus den staatlichen Datenbanken (hier Insolvenzbekanntmachungen) länger gespeichert werden, als in dem engen Rahmen der Verordnung 2015/848 in Verbindung mit dem nationalen Recht geregelt, grundsätzlich zulässig?
b) Falls Frage 3 a) zu bejahen ist, ergibt sich aus dem Recht auf Vergessen nach Art. 17 Abs. 1 Buchst. d) DSGVO, dass diese Daten zu löschen sind, wenn die für das öffentliche Register vorgesehene Verarbeitungsdauer abgelaufen ist?
4. Soweit Art. 6 Abs. 1 Unterabs. 1 Buchst. f) DSGVO als alleinige Rechtsgrundlage für eine Datenspeicherung bei privaten Wirtschaftsauskunfteien hinsichtlich der auch in öffentlichen Registern gespeicherten Daten in Betracht kommt, ist ein berechtigtes Interesse einer Wirtschaftsauskunftei schon dann zu bejahen, wenn diese Auskunftei die Daten aus dem öffentlichen Verzeichnis ohne konkreten Anlass übernimmt, damit diese Daten dann bei einer Anfrage zur Verfügung stehen?
...“
11 Nach der Rechtsprechung des EuGH (zu Art. 267 AEUV) darf ein einzelstaatliches Gericht, dessen Entscheidungen nicht mehr mit Rechtsmitteln des innerstaatlichen Rechts angefochten werden können, eine Frage nach der Auslegung des Unionsrechts in eigener Verantwortung lösen, wenn die richtige Auslegung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel bleibt (vgl. EuGH 6.10.1982, Srl C.I.L.F.I.T. ua. , C 283/81, EU:C:1982:335, und EuGH 6.10.2021, Consorzio Italian Management , C 561/19, EU:C:2021:799, Rn. 39 ff).
12 Unter diesem Gesichtspunkt ist davon auszugehen, dass der Beantwortung der oben wiedergegebenen vom Verwaltungsgericht Wiesbaden an den EuGH herangetragenen Fragen für die Behandlung der gegenständlichen ordentlichen Revision und die zu klärende wesentliche Rechtsfrage, welchen Grundsätzen eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO in Bezug auf die Speicherung von Daten aus der Insolvenzdatei in einer Datenbank einer Kreditauskunftei nach gerichtlicher Bewilligung der Löschung der Eintragungen der betroffenen Person in der Insolvenzdatei genügen müsse, Bedeutung zukommt, weshalb die Voraussetzungen des gemäß § 62 Abs. 1 VwGG auch vom Verwaltungsgerichtshof anzuwendenden § 38 AVG vorliegen (vgl. etwa VwGH 7.4.2022, Ro 2020/04/0010, Rn. 11, mwN).
13 Das vorliegende Revisionsverfahren war daher bis zur Entscheidung des EuGH über die beiden genannten Vorabentscheidungsersuchen in den verbundenen Verfahren C 26/22 und C 64/22 in einem gemäß § 12 Abs. 1 Z 2 VwGG gebildeten Senat auszusetzen.
Wien, am 10. Juni 2023
Rückverweise
