Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator und die Hofräte Dr. Pürgy sowie Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Löffler, LL.M., über die Revision des A G in W, vertreten durch die Brand Rechtsanwälte GmbH in 1020 Wien, Schüttelstraße 55, Carré Rotunde, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 28. Juli 2020, Zl. W211 2225136-1/6E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: K GmbH, vertreten durch die BLS Rechtsanwälte GmbH in 1010 Wien, Kärntner Straße 10; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit des Inhalts aufgehoben.
Der Bund hat dem Revisionswerber Aufwendungen in der Höhe von € 1.346,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen. Das Mehrbegehren wird abgewiesen.
1 Über das Vermögen des Revisionswerbers wurde im Jahr 2010 ein Schuldenregulierungsverfahren vor dem Bezirksgericht D (Insolvenzgericht) eröffnet und die im Jahr 2012 festgelegte Rückzahlungsquote Mitte März 2018 erfüllt. Betreffend dieses Verfahren bewilligte das Insolvenzgericht mit Beschluss vom 4. Mai 2018 die vom Revisionswerber beantragte „Löschung der Eintragungen aus der Insolvenzdatei“ gemäß § 256 Abs. 3 IO aufgrund des Nachweises der Erfüllung des Zahlungsplans durch den Revisionswerber.
2 Die mitbeteiligte Partei betreibt unter anderem das Gewerbe der Kreditauskunftei gemäß § 152 Gewerbeordnung 1994 (GewO 1994) und speicherte unter anderem folgende auszugsweise wiedergegebene Daten des Revisionswerbers in Bezug auf dessen Schuldenregulierungsverfahren sowohl im persönlichen Bonitätsprofil des Revisionswerbers, als auch im Bonitätsprofil der XY GmbH, deren alleiniger Gesellschafter der Revisionswerber ist, unter der Überschrift „Insolvenz“: „Aktueller Verfahrensstand seit 2018 04 01“; „Verfahrensstand: Zahlungsplan wurde vom Schuldner direkt abgewickelt“, „Passiva laut Insolvenzantrag [EUR] 167.596,54“.
3 Am 24. Oktober 2018 erhob der Revisionswerber eine gegen die mitbeteiligte Partei als Beschwerdegegnerin gerichtete Datenschutzbeschwerde wegen Verletzung im Recht auf Löschung gemäß Art. 17 Datenschutz Grundverordnung (DSGVO), nachdem er mit Schreiben vom 23. Mai 2018 die Löschung des ihn betreffenden Eintrags über seine Insolvenz sowohl in seinem „persönlichen Profil“ als auch im Profil der XY GmbH der Datenbank der mitbeteiligten Partei begehrt und die mitbeteiligte Partei mit Schreiben vom gleichen Tag mitgeteilt hatte, diesem Begehren nicht zu entsprechen.
4 Mit Bescheid vom 20. September 2019 wies die Datenschutzbehörde (belangte Behörde) die Datenschutzbeschwerde als unbegründet ab.
5 Die dagegen vom Revisionswerber erhobene Beschwerde wies das Bundesverwaltungsgericht (Verwaltungsgericht) mit dem angefochtenen Erkenntnis vom 28. Juli 2020 als unbegründet ab und sprach aus, dass die Revision zulässig sei.
6 Begründend führte das Verwaltungsgericht zusammengefasst aus, die mitbeteiligte Partei verarbeite im Zuge des Betriebs des Gewerbes der Kreditauskunftei gemäß § 152 GewO 1994 historische Informationen über Zahlungsausfälle und Insolvenzverfahren des Revisionswerbers, um sie (potentiellen) Gläubigern zwecks Bestimmung des Risikos etwaiger Zahlungsausfälle bereitzustellen.
Dabei handle es sich um einen durch die Rechtsordnung anerkannten Zweck. Die Daten zum Insolvenzverfahren seien korrekt, vollständig und grundsätzlich erforderlich und geeignet, um eine Prognose über das zukünftige Zahlungsverhalten des Revisionswerbers abzugeben.
Weder die DSGVO noch die Regelungen zum Gewerbe der Kreditauskunftei (§ 152 GewO 1994) enthielten konkrete Fristen „zur zulässigen Speicherdauer von historischen Insolvenzverfahren und Zahlungsausfällen“. Die zulässige Speicherdauer hänge vom Einzelfall ab.
Historische Zahlungsinformationen seien zwar wesentlich, um das zukünftige Zahlungsverhalten von (potentiellen) Schuldnerinnen und Schuldnern vorhersagen zu können. Sie hätten jedoch umso weniger Aussagekraft, je länger sie zurücklägen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen sei. Dem Alter der Forderung bzw. dem Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung, dem Zeitpunkt etwaiger Tilgungen und dem seitherigen „Wohlverhalten“ kämen bei der Abwägung entscheidende Bedeutung zu.
Als Richtlinie, wie lange Zahlungserfahrungsdaten zur Bonitätsbeurteilung (potentieller) Schuldner geeignet seien, könnten Beobachtungs- oder Löschungsfristen in dem Gläubigerschutz dienenden Bestimmungen herangezogen werden, die die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen, wie etwa Bestimmungen der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 (Kapitaladäquanzverordnung). Diese verpflichteten Kreditinstitute unter anderem zur Kundenbewertung und Risikoabschätzung ihrer Forderungen. Für Kredit bzw. Retailforderungen gegenüber natürlichen Personen hätten Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürften (Art. 143 Abs. 1), gemäß Art. 151 Abs. 6 iVm Art. 180 Abs. 2 lit. a und e Kapitaladäquanzverordnung die Ausfallswahrscheinlichkeit der Forderung unter anderem anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen. Dabei sei ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein könne, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall habe sich gemäß Art. 151 Abs. 7 iVm Art. 181 Abs. 2 lit. c Kapitaladäquanzverordnung grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen.
Der EU-Verordnungsgeber gehe daher davon aus, dass für die Beurteilung der Bonität von (potentiellen) Schuldnern und Schuldnerinnen bzw. des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant seien.
Wenn Kreditinstitute als potentielle Geschäftspartner der mitbeteiligten Partei rechtlich verpflichtet seien, ihre Forderungen anhand der Ausfallsquoten zumindest der letzten fünf Jahre zu bewerten, und die Bonitätsdatenbank der mitbeteiligten Partei auch dazu dienen solle, Kreditinstituten Daten zu liefern, die sie für ihre verpflichtende Bewertung benötigen würden, verstoße die Verarbeitung der Insolvenzdaten des Revisionswerbers nicht gegen das Prinzip der Datenminimierung bzw. Speicherbegrenzung, wenn der Zahlungsplan zum Zeitpunkt des Löschungsbegehrens am 23. Mai 2018 erst vor weniger als drei Monaten, bzw. zum Entscheidungszeitpunkt des Verwaltungsgerichts erst vor etwas mehr als zwei Jahren erfüllt worden sei. Dies gelte auch für Forderungen, die zwar bereits vor mehr als fünf Jahren ausgefallen seien, aber erst, wie vorliegend, vor etwas mehr als zwei Jahren durch die Erfüllung des Zahlungsplans endgültig getilgt worden seien, weil erst mit der erfolgreichen Erfüllung des Zahlungsplans die konkrete Höhe des Ausfalls bestimmt werden könne.
Im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO seien einerseits die Interessen des Verantwortlichen und von Dritten (möglichen Geschäftspartnern der mitbeteiligten Partei) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen.
Die mitbeteiligte Partei und deren Kunden hätten ein nachvollziehbares Interesse an der Abschätzung des Kreditrisikos. Die Verarbeitung von Daten über Insolvenzen und Zahlungsausfälle erfolge zum Schutz potentieller Vertragspartner der betroffenen Person, die Dritte iSv Art. 6 Abs. 1 lit. f DSGVO seien. Diese Datenverarbeitung diene auch der Unterstützung von Kreditinstituten, die Vorschriften der Kapitaladäquanzverordnung zu erfüllen. Für die Abschätzung des Kreditrisikos durch die mitbeteiligte Partei sei die Beobachtung des historischen Zahlungsverhaltens von potentiellen Schuldnern wesentlich und die Verarbeitung von Daten über ein vor etwas mehr als zwei Jahren durch Erfüllung eines Zahlungsplans endgültig abgeschlossenes Insolvenzverfahren erforderlich.
Dieses Interesse der mitbeteiligten Partei und ihrer Geschäftspartner überwiege das Interesse des Revisionswerbers, nicht von wirtschaftlichen Nachteilen der Datenverarbeitung betroffen zu sein, weil die Höhe der Passiva des Insolvenzverfahrens ca. € 215.000, betrage. Überdies stelle die mitbeteiligte Partei diese Zahlungserfahrungsdaten des Revisionswerbers nur einer begrenzten Öffentlichkeit, der ein zu beachtendes Interesse an einer Bonitätsprüfung zukomme, zur Verfügung.
Im Gegensatz zur Bonitätsdatenbank der mitbeteiligten Partei gründe sich die datenschutzrechtliche Zulässigkeit der Führung der Insolvenzdatei auf § 256 Insolvenzordnung (IO), einer rechtlichen Verpflichtung iSd Art. 6 Abs. 1 lit. c DSGVO. Aus § 256 IO lasse sich nicht ableiten, dass Insolvenzdaten (überhaupt) auch auf Grund anderer Erlaubnistatbestände des Art. 6 DSGVO nicht mehr verarbeitet werden dürften, wenn sie aus der Insolvenzdatei gelöscht worden seien. Eine derartige Einschränkung würde jedenfalls in Bezug auf den vorliegend einschlägigen Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO EU Sekundärrecht widersprechen.
Soweit der Revisionswerber in seinem Aufforderungsschreiben vom 29. Mai 2018 gegen die Verwendung seiner Daten Widerspruch nach Art. 21 DSGVO erhoben habe, habe er darin nicht dargelegt, inwiefern die Datenverarbeitung, die sich auf Art. 6 Abs. 1 lit. f DSGVO stütze, aufgrund einer besonderen Situation dennoch nicht zulässig sei. Der Widerspruch sei bereits deshalb unzulässig.
Mit dem Vorbringen, die gespeicherten Daten seien alt und unvollständig, weil der Revisionswerber seit 2016 wieder erfolgreich unternehmerisch tätig sei und diese Daten nur geeignet seien, ihn in seinem wirtschaftlichen Fortkommen zu hindern und Schaden zu verursachen, mache der Revisionswerber einen Verstoß gegen die allgemeinen Verarbeitungsgrundsätze der Datenminimierung und Datensparsamkeit nach Art. 5 DSGVO und eine mangelhafte Interessenabwägung im Rahmen des Art. 6 DSGVO, aber keine Gründe geltend, die sich aus einer ihn betreffenden besonderen Situation ergeben würden.
Die „Verarbeitung von Daten über historische Insolvenzen und Zahlungsausfälle“ des Revisionswerbers durch die mitbeteiligte Partei sei daher notwendig und rechtmäßig. Der vom Revisionswerber erhobene Widerspruch könne sein Löschungsbegehren nicht rechtfertigen.
7 Den Zulässigkeitsausspruch begründete das Verwaltungsgericht mit fehlender Rechtsprechung des Verwaltungsgerichtshofes zur Frage, welchen Grundsätzen eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO genügen müsse; insbesondere, ob und unter welchen Voraussetzungen die Vorschriften der Kapitaladäquanzverordnung als Richtschnur für die Bestimmung der zulässigen Speicherdauer von Bonitätsdaten herangezogen werden können.
8 Dagegen richtet sich die vorliegende ordentliche Revision mit dem Antrag auf Aufhebung des angefochtenen Erkenntnisses gegen Aufwandersatz.
9 Die belangte Behörde beantragte in ihrer Revisionsbeantwortung die Abweisung der Revision gegen Aufwandersatz. Die mitbeteiligte Partei erstattete keine Revisionsbeantwortung.
10 Mit Beschluss vom 23. Dezember 2021, 6 K 441/21.WI, und Beschluss vom 31. Jänner 2022, 6 K 1052/21.WI, richtete das Verwaltungsgericht Wiesbaden (Deutschland) jeweils unter anderem folgende Fragen an den EuGH (dort anhängig zu C 26/22 und C 64/22) zur Vorabentscheidung:
„...
2. Ist eine Datenspeicherung bei einer privaten Wirtschaftsauskunftei, bei der personenbezogene Daten aus einem öffentlichen Register, wie den ‚nationalen Datenbanken‘ im Sinne des Art. 79 Abs. 4 und 5 der Verordnung (EU) 2015/848 [Verordnung des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren], ohne konkreten Anlass gespeichert werden, um im Falle einer Anfrage eine Auskunft erteilen zu können, mit Art. 7 und 8 der Charta der Grundrechte der Europäischen Union vereinbar?
3. a) Sind private Paralleldatenbanken (insbesondere Datenbanken einer Auskunftei), die neben den staatlichen Datenbanken errichtet werden und in denen die Daten aus den staatlichen Datenbanken (hier Insolvenzbekanntmachungen) länger gespeichert werden, als in dem engen Rahmen der Verordnung 2015/848 in Verbindung mit dem nationalen Recht geregelt, grundsätzlich zulässig?
b) Falls Frage 3 a) zu bejahen ist, ergibt sich aus dem Recht auf Vergessen nach Art. 17 Abs. 1 Buchst. d) DSGVO, dass diese Daten zu löschen sind, wenn die für das öffentliche Register vorgesehene Verarbeitungsdauer abgelaufen ist?
4. Soweit Art. 6 Abs. 1 Unterabs. 1 Buchst. f) DSGVO als alleinige Rechtsgrundlage für eine Datenspeicherung bei privaten Wirtschaftsauskunfteien hinsichtlich der auch in öffentlichen Registern gespeicherten Daten in Betracht kommt, ist ein berechtigtes Interesse einer Wirtschaftsauskunftei schon dann zu bejahen, wenn diese Auskunftei die Daten aus dem öffentlichen Verzeichnis ohne konkreten Anlass übernimmt, damit diese Daten dann bei einer Anfrage zur Verfügung stehen?
...“
11 Mit Beschluss vom 10. Juni 2023, Ro 2020/04/0031, hat der Verwaltungsgerichtshof das Revisionsverfahren bis zum Vorliegen der Entscheidung des EuGH in den über diese beiden obigen Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden anhängigen Verfahren ausgesetzt, weil der Beantwortung dieser Fragen auch für die Behandlung der vorliegenden Revision Bedeutung zukommt.
12 Mit Urteil vom 7. Dezember 2023, C-26/22 und C-64/22, SCHUFA Holding (Restschuldbefreiung) , hat der EuGH über die Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden entschieden.
Der Verwaltungsgerichtshof hat erwogen:
Zulässigkeit
13 Die Revision erweist sich zu der im gesonderten Zulässigkeitsvorbringen der Revision präzisierten Rechtsfrage, ob EU-Verordnungen, wie vorliegend die Kapitaladäquanzverordnung, die an Kreditinstitute und Wertpapierfirmen adressiert sind und Vorschriften zu internen Bonitätsprüfungen enthalten, als Richtschnur für die Bestimmung der zulässigen Speicherdauer von nicht zur internen Verwendung bestimmten Bonitätsdaten durch Kreditauskunfteien herangezogen werden können, als zulässig. Sie ist auch berechtigt.
Maßgebliche Rechtslage
Unionsrecht
14 Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO), ABl. L 119 vom 4.5.2016, lauten auszugsweise:
„ Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
...
f) die Verarbeitung ist zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
...
Artikel 17
Recht auf Löschung (‚Recht auf Vergessenwerden‘)
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
...
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
...“
15 Die maßgeblichen Erwägungsgründe und Bestimmungen der Richtlinie 2008/48/EG des Europäischen Parlaments und des Rates vom 23. April 2008 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 87/102/EWG des Rates, ABl. L 133 vom 22.5.2008, lauten auszugsweise:
„(26) ... Insbesondere auf dem expandierenden Kreditmarkt ist es wichtig, dass Kreditgeber nicht verantwortungslos in der Kreditvergabe tätig werden oder Kredite ohne vorherige Beurteilung der Kreditwürdigkeit vergeben, und die Mitgliedstaaten sollten die erforderlichen Kontrollen durchführen, um derartige Verhaltensweisen zu unterbinden und sie sollten die erforderlichen Sanktionsmittel für jene Kreditgeber bestimmen, die sich so verhalten. Unbeschadet der Bestimmungen der Richtlinie 2006/48/EG des Europäischen Parlaments und des Rates vom 14. Juni 2006 über die Aufnahme und Ausübung der Tätigkeit der Kreditinstitute über das Kreditrisiko sollten Kreditgeber dafür verantwortlich sein, in jedem Einzelfall die Bewertung der Kreditwürdigkeit des Verbrauchers zu prüfen. ...
...
(28) Zur Bewertung der Kreditsituation des Verbrauchers sollte der Kreditgeber auch die einschlägigen Datenbanken konsultieren; aufgrund der rechtlichen und sachlichen Umstände kann es erforderlich sein, dass sich derartige Konsultationen im Umfang unterscheiden. Damit der Wettbewerb zwischen Kreditgebern nicht verzerrt wird, sollte Kreditgebern aus anderen Mitgliedstaaten der Zugang zu privaten oder öffentlichen Datenbanken betreffend Verbraucher in einem Mitgliedstaat, in dem sie nicht niedergelassen sind, unter Bedingungen gewährt werden, die keine Diskriminierung gegenüber den Kreditgebern dieses Mitgliedstaats darstellen.
...
Artikel 8
Verpflichtung zur Bewertung der Kreditwürdigkeit des Verbrauchers
(1) Die Mitgliedstaaten stellen sicher, dass vor Abschluss des Kreditvertrages der Kreditgeber die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen bewertet, die er gegebenenfalls beim Verbraucher einholt und erforderlichenfalls anhand von Auskünften aus der in Frage kommenden Datenbank. Diejenigen Mitgliedstaaten, die die Kreditgeber gesetzlich dazu verpflichten, die Kreditwürdigkeit aufgrund der Abfrage einer entsprechenden Datenbank zu beurteilen, können diese Anforderung beibehalten.“
16 Die maßgeblichen Erwägungsgründe und Bestimmungen der Richtlinie 2014/17/EU des Europäischen Parlaments und des Rates vom 4. Februar 2014 über Wohnimmobilienkreditverträge für Verbraucher und zur Änderung der Richtlinien 2008/48/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010, ABl. L 60 vom 28.2.2014, lauten auszugsweise:
„(55) Vor Abschluss eines Kreditvertrags ist es unerlässlich, die Fähigkeit und Neigung des Verbrauchers zur Rückzahlung des Kredits zu bewerten und zu überprüfen. Bei dieser Kreditwürdigkeitsprüfung sollten sämtliche erforderlichen und relevanten Faktoren berücksichtigt werden, die die Fähigkeit eines Verbrauchers, über die Laufzeit des Kredits fällige Rückzahlungen zu leisten, beeinflussen könnten. ...
...
(59) Die Abfrage einer Kreditdatenbank ist ein nützliches Element bei der Kreditwürdigkeitsprüfung. ...
...
Artikel 18
Verpflichtung zur Prüfung der Kreditwürdigkeit des Verbrauchers
(1) Die Mitgliedstaaten stellen sicher, dass der Kreditgeber vor Abschluss eines Kreditvertrags eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vornimmt. Bei der Kreditwürdigkeitsprüfung werden die Faktoren, die für die Prüfung der Aussichten relevant sind, dass der Verbraucher seinen Verpflichtungen aus dem Kreditvertrag nachkommt, in angemessener Form berücksichtigt.
...
Artikel 21
Zugang zu Datenbanken
(1) Jeder Mitgliedstaat stellt sicher, dass alle Kreditgeber aus allen Mitgliedstaaten Zugang zu den in seinem Hoheitsgebiet zur Bewertung der Kreditwürdigkeit des Verbrauchers verwendeten Datenbanken haben, mit deren Verwendung ausschließlich überwacht werden soll, inwieweit Verbraucher während der Laufzeit eines Kreditvertrags ihre Kreditverpflichtungen erfüllen. Der Zugang ist ohne Diskriminierung zu gewähren.
(2) Absatz 1 gilt sowohl für von privaten Kreditbüros und Kreditauskunfteien betriebene Datenbanken als auch für öffentliche Register.
...“
17 Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 (Kapitaladäquanzverordnung), ABl. L 176 vom 27.6.2013, lauten auszugsweise:
„(42) Da der Vielfalt der Institute in der Union unbedingt Rechnung zu tragen ist, sollten bei der Berechnung der Eigenmittelanforderungen für das Kreditrisiko verschiedene Ansätze mit unterschiedlich hohem Grad an Risikosensitivität und Differenziertheit vorgesehen werden. Durch die Verwendung externer Bonitätsbeurteilungen und der von den Instituten selbst vorgenommenen Schätzungen einzelner Kreditrisikoparameter gewinnen die Bestimmungen zum Kreditrisiko erheblich an Risikosensitivität und aufsichtsrechtlicher Solidität. Institute sollten zu einer Umstellung auf Ansätze mit höherer Risikosensitivität angehalten werden. Wenn Institute die zur Anwendung der in dieser Verordnung vorgesehenen Ansätze zur Ermittlung des Kreditrisikos benötigten Schätzungen vorlegen, sollten sie ihre Verfahren für Kreditrisikomessung und Kreditrisikomanagement verbessern, damit für die Festlegung der aufsichtsrechtlichen Eigenmittelanforderungen Methoden zur Verfügung stehen, die der Art, dem Umfang und der Komplexität der Verfahren der einzelnen Institute Rechnung tragen. In dieser Hinsicht sollte zur Datenverarbeitung im Zusammenhang mit der Vergabe und der Verwaltung von Krediten an Kunden auch die Entwicklung und Validierung von Systemen für das Kreditrisikomanagement und die Kreditrisikomessung gehören. Dies dient nicht nur den legitimen Interessen von Instituten, sondern auch dem Ziel dieser Verordnung, bessere Methoden für Risikomessung und -management anzuwenden und diese Methoden auch im Hinblick auf die vorgeschriebenen Eigenmittel zu nutzen. Ungeachtet dessen erfordern Ansätze mit höherer Risikosensitivität erhebliche Sachkenntnisse und Ressourcen sowie qualitativ hochwertige und ausreichende Daten. ...
...
Artikel 135
Verwendung der Bonitätsbeurteilungen von ECAI
(1) Eine externe Bonitätsbeurteilung darf nur dann für die Bestimmung des Risikogewichts einer Forderung nach diesem Kapitel herangezogen werden, wenn sie von einer ECAI stammt oder von einer ECAI in Einklang mit der Verordnung (EG) Nr. 1060/2009 bestätigt wurde.
...
Artikel 171
Zuordnung zu Ratingstufen oder Risikopools
...
(2) Bei der Zuordnung von Schuldnern und Fazilitäten zu einer Ratingstufe oder einem Risikopool trägt ein Institut allen relevanten Informationen Rechnung. Die Informationen sind aktuell und ermöglichen dem Institut eine Prognose der künftigen Entwicklung der Risikoposition. Je weniger Informationen einem Institut zur Verfügung stehen, desto konservativer verfährt es bei der Zuordnung von Risikopositionen zu Schuldner- bzw. Fazilitäts-Ratingsstufen oder Risikopools. Stützt sich ein Institut bei der Festlegung einer internen Beurteilung hauptsächlich auf eine externe Bonitätsbeurteilung, so stellt es sicher, dass auch andere relevante Informationen berücksichtigt werden.
...
Artikel 180
Besondere Anforderungen an PD-Schätzungen
(1) Bei der Quantifizierung der Risikoparameter für bestimmte Bonitätsstufen oder -pools wenden die Institute bei PD-Schätzungen für Forderungen an Unternehmen, Institute, Zentralstaaten und Zentralbanken sowie für Beteiligungspositionen, für die sie den PD-/LGD-Ansatz nach Artikel 155 Absatz 3 anwenden, die folgenden besonderen Anforderungen an:
...
f) soweit ein Institut seine internen Bonitätsstufen mit der Bonitätsskala einer ECAI oder vergleichbarer Einrichtungen verknüpft oder einer solchen Skala zuordnet und anschließend die bei den Bonitätsstufen der externen Organisation verzeichneten Ausfallquoten seinen internen Stufen zuordnet, erfolgt diese Zuordnung anhand eines Vergleichs zwischen den internen Beurteilungskriterien und den Kriterien der externen Organisation und eines Vergleichs zwischen internen und externen Beurteilungen etwaiger gemeinsamer Schuldner. Verzerrungen oder Inkonsistenzen im Zuordnungsverfahren oder bei den zugrunde liegenden Daten werden dabei vermieden. Die Kriterien der externen Organisation, die den für die Quantifizierung herangezogenen Daten zugrunde liegen, sind ausschließlich auf das Ausfallrisiko ausgerichtet und spiegeln keine Transaktionsmerkmale wider. ...“
Nationales Recht
18 § 7 Abs. 1 Verbraucherkreditgesetz (VKrG), BGBl. I Nr. 28/2010 idF BGBl. I Nr. 135/2015, lautet:
„ Prüfung der Kreditwürdigkeit des Verbrauchers
§ 7. (1) Vor Abschluss des Kreditvertrags hat der Kreditgeber die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen zu prüfen, die er soweit erforderlich vom Verbraucher verlangt; erforderlichenfalls hat er auch Auskünfte aus einer zur Verfügung stehenden Datenbank einzuholen.“
19 § 9 Hypothekar- und Immobilienkreditgesetz - HIKrG, BGBl. I Nr. 135/2015, lautet auszugsweise:
„ Prüfung der Kreditwürdigkeit des Verbrauchers
§ 9. (1) Vor Abschluss eines Kreditvertrags hat der Kreditgeber eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vorzunehmen. Bei der Kreditwürdigkeitsprüfung sind die Faktoren, die für die Prüfung der Aussichten relevant sind, dass der Verbraucher seinen Verpflichtungen aus dem Kreditvertrag nachkommt, in angemessener Form zu berücksichtigen.
(2) Die Kreditwürdigkeitsprüfung ist auf der Grundlage notwendiger, ausreichender und angemessener Informationen zu Einkommen, Ausgaben sowie anderen finanziellen und wirtschaftlichen Umständen des Verbrauchers vorzunehmen. Der Kreditgeber hat die Informationen aus einschlägigen internen oder externen Quellen zu ermitteln, einschließlich des Verbrauchers. ...“
20 § 256 Insolvenzordnung (IO), BGBl. Nr. 337/1914 idF BGBl. I Nr. 122/2017, lautet auszugsweise:
„ Insolvenzdatei
§ 256. (1) In die Ediktsdatei sind Daten aufzunehmen, die nach diesem Bundesgesetz öffentlich bekanntzumachen sind (Insolvenzdatei).
(2) Die Einsicht in die Insolvenzdatei ist nicht mehr zu gewähren, wenn ein Jahr vergangen ist seit
...
4. Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist oder
...
(3) Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Sanierungsplan oder Zahlungsplan erfüllt worden ist. Der Schuldner hat die Erfüllung urkundlich nachzuweisen. Mit der Prüfung der Erfüllung kann das Gericht einen Sachverständigen beauftragen, dessen Kosten vom Schuldner zu tragen sind. Über die Einsicht entscheidet das Gericht mit unaufschiebbarem Beschluss.
...“
Rechtmäßigkeit der Speicherung von Daten aus der Insolvenzdatei durch Kreditauskunfteien
21 Vorliegend begehrt der Revisionswerber die Löschung eines Eintrags im Hinblick auf sein Insolvenzverfahren in der Datenbank der mitbeteiligten Kreditauskunftei, nachdem das Insolvenzgericht in dessen Schuldenregulierungsverfahren die „Löschung der Eintragungen aus der Insolvenzdatei“ gemäß § 256 Abs. 3 IO bewilligt hat. Zu prüfen ist daher die Zulässigkeit der Speicherung dieser Daten durch die mitbeteiligte Partei auch noch im Zeitraum nach der mit Beschluss des Insolvenzgerichts bewilligten Nichtgewährung der Einsicht in die Insolvenzdatei gemäß § 256 Abs. 3 IO.
22 Der EuGH hat in seinem Urteil vom 7. Dezember 2023, C-26/22 und C-64/22, SCHUFA Holding (Restschuldbefreiung) , die vorliegend wesentlichen Fragen der Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden dahin beantwortet, dass Art. 5 Abs. 1 lit. a DSGVO iVm Art. 6 Abs. 1 lit. f DSGVO dahin auszulegen ist, dass er einer Praxis „privater Wirtschaftsauskunfteien“ entgegensteht, die darin besteht, in ihren eigenen Datenbanken aus einem öffentlichen Register stammende Informationen über die Erteilung einer Restschuldbefreiung zugunsten natürlicher Personen zum Zweck der Lieferung von Auskünften über die Kreditwürdigkeit dieser Personen für einen Zeitraum zu speichern, der über die Speicherdauer der Daten im öffentlichen Register hinausgeht. Er hat dies im Wesentlichen wie folgt begründet:
„...
74 Im vorliegenden Fall steht fest, dass die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, um die es in den Ausgangsverfahren geht, allein im Licht von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zu beurteilen ist. Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
75 Somit ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 106 und die dort angeführte Rechtsprechung).
76 Was erstens die Voraussetzung der Wahrung eines ‚berechtigten Interesses‘ betrifft, ist in Ermangelung einer Definition dieses Begriffs durch die DSGVO hervorzuheben, wie der Generalanwalt in Nr. 61 seiner Schlussanträge ausgeführt hat, dass ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten kann.
77 Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses angeht, so verlangt diese vom vorlegenden Gericht, zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 108 und die dort angeführte Rechtsprechung).
78 In diesem Zusammenhang ist auch darauf hinzuweisen, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten Grundsatz der ‚Datenminimierung‘ zu prüfen ist, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene Daten ‚dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt‘ sind (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 109 und die dort angeführte Rechtsprechung).
79 Was drittens die Voraussetzung betrifft, dass die Interessen oder Grundfreiheiten und Grundrechte der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, so hat der Gerichtshof bereits entschieden, dass diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des vorlegenden Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 110 und die dort angeführte Rechtsprechung).
80 Außerdem können, wie sich aus dem 47. Erwägungsgrund der DSGVO ergibt, die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 112).
81 Letztlich ist es damit Sache des vorlegenden Gerichts, zu beurteilen, ob im Hinblick auf die Verarbeitung personenbezogener Daten, um die es in den Ausgangsverfahren geht, die drei in Rn. 75 des vorliegenden Urteils genannten Voraussetzungen erfüllt sind; der Gerichtshof kann dem nationalen Gericht auf dessen Vorabentscheidungsersuchen hin jedoch sachdienliche Hinweise für diese Prüfung geben (vgl. in diesem Sinne Urteil vom 20. Oktober 2022, Digi, C-77/21, EU:C:2022:805, Rn. 39 und die dort angeführte Rechtsprechung).
82 Im vorliegenden Fall macht die SCHUFA hinsichtlich der Verfolgung eines berechtigten Interesses geltend, dass die Kreditauskunfteien Daten verarbeiteten, die zur Beurteilung der Bonität von Personen oder Unternehmen erforderlich seien, um diese Informationen ihren Vertragspartnern zur Verfügung stellen zu können. Diese Tätigkeit schütze nicht nur die wirtschaftlichen Interessen der Unternehmen, die kreditrelevante Verträge eingehen wollten, die Ermittlung der Kreditwürdigkeit und die Erteilung von Bonitätsauskünften bilde zudem ein Fundament des Kreditwesens und der Funktionsfähigkeit der Wirtschaft. Die Tätigkeit von Kreditauskunfteien helfe auch, Geschäftswünsche der Interessenten an kreditrelevanten Geschäften zu realisieren, da die Auskünfte eine schnelle und unbürokratische Prüfung dieser Geschäfte ermöglichten.
83 Insoweit dient die Verarbeitung personenbezogener Daten wie die in den Ausgangsverfahren in Rede stehende zwar den wirtschaftlichen Interessen der SCHUFA, doch dient diese Verarbeitung auch der Wahrung des berechtigten Interesses der Vertragspartner der SCHUFA, die kreditrelevante Verträge mit Personen abschließen wollen, an der Bewertung der Kreditwürdigkeit dieser Personen und damit den sozioökonomischen Interessen des Kreditsektors.
84 In Bezug auf Verbraucherkreditverträge geht nämlich aus Art. 8 der Richtlinie 2008/48 im Licht ihres 28. Erwägungsgrundes hervor, dass der Kreditgeber vor Abschluss des Kreditvertrags verpflichtet ist, die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen, erforderlichenfalls auch anhand von Auskünften aus öffentlichen und privaten Datenbanken, zu bewerten.
85 Außerdem ist in Bezug auf Wohnimmobilienkreditverträge für Verbraucher Art. 18 Abs. 1 und Art. 21 Abs. 1 der Richtlinie 2014/17 in Verbindung mit Erwägungsgründen 55 und 59 dieser Richtlinie zu entnehmen, dass der Kreditgeber eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vornehmen muss und Zugang zu Kreditdatenbanken hat, wobei die Abfrage solcher Datenbanken ein nützliches Element bei dieser Prüfung ist.
86 Hinzuzufügen ist, dass die Verpflichtung zur Bewertung der Kreditwürdigkeit der Verbraucher, wie sie in den Richtlinien 2008/48 und 2014/17 vorgesehen ist, nicht nur den Kreditantragsteller schützen soll, sondern auch, wie im 26. Erwägungsgrund der Richtlinie 2008/48 hervorgehoben wird, das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten soll.
87 Jedoch muss die Datenverarbeitung aber auch zur Verwirklichung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein, und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dürfen gegenüber diesem Interesse nicht überwiegen. Bei der entsprechenden Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, d. h. derjenigen des Verantwortlichen und der beteiligten Dritten einerseits und der betroffenen Person andererseits, sind, wie in Rn. 80 des vorliegenden Urteils dargelegt, insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen (vgl. Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 116).
88 Zu Art. 6 Abs. 1 Unterabs. 1 Buchst. f der DSGVO hat der Gerichtshof entschieden, dass diese Bestimmung dahin auszulegen ist, dass eine Verarbeitung nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten der von der Verarbeitung betroffenen Personen gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. in diesem Sinne Urteile vom 4. Mai 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, Rn. 30, und vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 126).
89 In diesem Zusammenhang verweist das vorlegende Gericht auf zwei Aspekte der in den Ausgangsverfahren in Rede stehenden Verarbeitung personenbezogener Daten. Erstens impliziere diese Verarbeitung eine vielfältige Speicherung der Daten, d. h. nicht nur in einem öffentlichen Register, sondern auch in den Datenbanken der Wirtschaftsauskunfteien, wobei diese Unternehmen diese Speicherung nicht aus konkretem Anlass vornähmen, sondern für den Fall, dass ihre Vertragspartner bei ihnen Auskünfte anfragten. Zweitens speicherten diese Unternehmen diese Daten drei Jahre lang auf der Grundlage von Verhaltensregeln im Sinne von Art. 40 DSGVO, während die nationalen Rechtsvorschriften für das öffentliche Register eine Speicherdauer von nur sechs Monaten vorsähen.
...
92 Hinsichtlich der Dauer der Datenspeicherung ist davon auszugehen, dass sich die Prüfung der zweiten und der dritten in Rn. 75 des vorliegenden Urteils genannten Voraussetzung insofern überschneidet, als die Beurteilung der Frage, ob im vorliegenden Fall die berechtigten Interessen, die mit der in den Ausgangsverfahren fraglichen Verarbeitung personenbezogener Daten wahrgenommen werden, vernünftigerweise nicht durch eine kürzere Dauer der Speicherung der Daten erreicht werden können, eine Abwägung der einander gegenüberstehenden Rechte und Interessen erfordert.
93 Zur Abwägung der verfolgten berechtigten Interessen ist festzustellen, dass die Analyse einer Wirtschaftsauskunftei insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern kann.
94 Was hingegen die Rechte und die Interessen der betroffenen Person betrifft, stellt die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte der betroffenen Person dar. Solche Daten dienen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person und stellen daher sensible Informationen über ihr Privatleben dar (vgl. in diesem Sinne Urteil vom 13. Mai 2014, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 98). Ihre Verarbeitung kann den Interessen der betroffenen Person beträchtlich schaden, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken.
95 Zudem sind, wie die Kommission ausgeführt hat, die Folgen für die Interessen und das Privatleben der betroffenen Person umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen umso höher, je länger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden.
96 Außerdem ist darauf hinzuweisen, dass das Ziel eines öffentlichen Insolvenzregisters, wie sich aus dem 76. Erwägungsgrund der Verordnung 2015/848 ergibt, darin besteht, eine bessere Information der betroffenen Gläubiger und Gerichte zu gewährleisten. In diesem Zusammenhang sieht Art. 79 Abs. 5 dieser Verordnung lediglich vor, dass die Mitgliedstaaten den betroffenen Personen mitteilen, für welchen Zeitraum ihre in Insolvenzregistern gespeicherten personenbezogenen Daten zugänglich sind, ohne eine Speicherfrist für diese Daten festzulegen. Dagegen ergibt sich aus Art. 79 Abs. 4 dieser Verordnung, dass es den Mitgliedstaaten gemäß diesem Artikel obliegt, Daten zu erheben und in nationalen Datenbanken zu speichern. Die Frist für die Speicherung dieser Daten muss daher unter Beachtung dieser Verordnung festgelegt werden.
97 Im vorliegenden Fall sieht der deutsche Gesetzgeber vor, dass die Information über die Erteilung einer Restschuldbefreiung im Insolvenzregister nur sechs Monate lang gespeichert wird. Er geht daher davon aus, dass nach Ablauf einer Frist von sechs Monaten die Rechte und Interessen der betroffenen Person diejenigen der Öffentlichkeit, über diese Information zu verfügen, überwiegen.
98 Außerdem soll, wie der Generalanwalt in Nr. 75 seiner Schlussanträge ausgeführt hat, die erteilte Restschuldbefreiung dem Begünstigten ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für diese Person im Allgemeinen existenzielle Bedeutung. Die Verwirklichung dieses Ziels wäre jedoch gefährdet, wenn Wirtschaftsauskunfteien zur Beurteilung der wirtschaftlichen Situation einer Person Daten über eine Restschuldbefreiung speichern und solche Daten verwenden könnten, nachdem sie aus dem öffentlichen Insolvenzregister gelöscht worden sind, da diese Daten bei der Bewertung der Kreditwürdigkeit einer solchen Person stets als negativer Faktor verwendet werden.
99 Unter diesen Umständen können die Interessen des Kreditsektors, über Informationen hinsichtlich einer Restschuldbefreiung zu verfügen, keine Verarbeitung personenbezogener Daten wie der in den Rechtsstreitigkeiten der Ausgangsverfahren fraglichen nach Ablauf der Frist für die Speicherung der Daten im öffentlichen Insolvenzregister rechtfertigen, so dass die Speicherung dieser Daten durch eine Wirtschaftsauskunftei in Bezug auf den Zeitraum nach der Löschung dieser Daten aus einem öffentlichen Insolvenzregister nicht auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden kann.
...
106 Schließlich fragt sich das vorlegende Gericht im Wesentlichen, welche Verpflichtungen eine Wirtschaftsauskunftei nach Art. 17 DSGVO treffen.
...
108 Sollte das vorlegende Gericht nach seiner Beurteilung der Rechtmäßigkeit der in den Ausgangsverfahren in Rede stehenden Verarbeitung personenbezogener Daten zu dem Ergebnis gelangen, dass diese Verarbeitung nicht rechtmäßig ist, wäre daher nach dem klaren Wortlaut dieser Bestimmung der Verantwortliche, im vorliegenden Fall die SCHUFA, verpflichtet, die betreffenden Daten unverzüglich zu löschen. Dies wäre, wie in Rn. 99 des vorliegenden Urteils festgestellt, bei einer Verarbeitung der in Rede stehenden personenbezogenen Daten, die nach Ablauf der Frist von sechs Monaten für die Speicherung der Daten im öffentlichen Insolvenzregister erfolgt, der Fall.
...“
23 Ausgehend von dieser Rechtsprechung des EuGH ist die Rechtmäßigkeit der Verarbeitung personenbezogener Daten aus der Insolvenzdatei durch die mitbeteiligte Partei allein im Licht von Art. 6 Abs. 1 lit. f DSGVO zu beurteilen. Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen rechtmäßig: erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung personenbezogener Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen und Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (EuGH 7.12.2023, C 26/22 und C-64/22, SCHUFA Holding [Restschuldbefreiung] , Rn. 74 und 75, mwN; vgl. auch VwGH 31.10.2023, Ro 2020/04/0024, 0025, Rn. 22, mwN).
24 Vorliegend macht die mitbeteiligte Partei hinsichtlich der Verfolgung eines berechtigten Interesses geltend, dass sie aufgrund der Ausübung des Gewerbes der Kreditauskunftei gemäß § 152 GewO 1994 ein berechtigtes Interesse an der Verarbeitung der Bonitätsdaten des Revisionswerbers, insbesondere der Informationen über seine vergangene Zahlungsunfähigkeit zwecks Beurteilung seiner Kreditwürdigkeit habe. Die vorliegende Datenverarbeitung dient somit den wirtschaftlichen Interessen der mitbeteiligten Partei. Das Verwaltungsgericht verwies in diesem Zusammenhang jedoch überdies darauf, dass die Verarbeitung von Daten über Insolvenzen und Zahlungsausfälle zum Schutz potentieller Vertragspartner des Revisionswerbers erfolge. Die Verarbeitung der Insolvenzdaten des Revisionswerbers dient daher auch der Wahrung der berechtigten Interessen der Vertragspartner der mitbeteiligten Partei, die mit dem Revisionswerber kreditrelevante Verträge abschließen wollen, an der Abschätzung des damit verbundenen Kreditrisikos.
25 Der EuGH (C-26/22 und C-64/22, Rn. 83 bis 86) geht in diesem Zusammenhang überdies vom Bestehen eines sozioökonomischen Interesses des Kreditsektors an der Verarbeitung von Bonitätsdaten, insbesondere von Insolvenzdaten aus. Er verweist dazu einerseits auf Art. 8 der Richtlinie 2008/48/EG, woraus im Lichte des 28. Erwägungsgrundes dieser Richtlinie in Bezug auf Verbraucherkreditverträgen die Pflicht des Kreditgebers hervorgeht, vor Abschluss des Kreditvertrages die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen, erforderlichenfalls auch anhand von Auskünften aus öffentlichen und privaten Datenbanken zu bewerten (dem entspricht innerstaatlich § 7 Abs. 1 Verbraucherkreditgesetz (VKrG), womit Art. 8 der Richtlinie 2008/48/EG über Verbraucherkreditverträge umgesetzt wurde). Andererseits hat der Kreditgeber in Bezug auf Wohnimmobilienkreditverträge für Verbraucher nach Art. 18. Abs. 1 und Art. 21 Abs. 1 der Richtlinie 2014/17 iVm den Erwägungsgründen 55 und 59 dieser Richtlinie eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vorzunehmen, wobei die Abfrage von Kreditdatenbanken, zu denen der Kreditgeber Zugang hat, ein nützliches Element bei dieser Prüfung ist (dem entspricht innerstaatlich § 9 Abs. 1 und 2 Hypothekar- und Immobilienkreditgesetz - HIKrG, womit Art. 18. Abs. 1 der Richtlinie 2014/17/EU umgesetzt wurde). Überdies soll die Verpflichtung zur Bewertung der Kreditwürdigkeit der Verbraucher, wie sie in den Richtlinien 2008/48/EG und 2014/17/EU vorgesehen ist, nicht nur den Kreditantragsteller schützen, sondern auch, wie im 26. Erwägungsgrund der Richtlinie 2008/48/EG hervorgehoben wird, das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten.
26 Das Verwaltungsgericht verweist (konkret zur Frage der Speicherdauer) insbesondere auf die Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 (Kapitaladäquanzverordnung). Dieser Verordnung ist aus Art. 135 Abs. 1, Art. 171 Abs. 2 und Art. 180 Abs. 1 lit. f iVm deren 42. Erwägungsgrund die Verwendung externer Bonitätsbeurteilungen etwa für die Zuordnung von Ratingstufen und Risikopools, bzw. für die Schätzung der Ausfallswahrscheinlichkeit („PD Schätzung“), somit für die Kreditrisikobemessung, zu entnehmen. Es ergibt sich daher auch aus der Kapitaladäquanzverordnung, dass die Verarbeitung von Insolvenzdaten von (potentiellen) Kreditnehmern dem sozioökonomischen Interesse des Kreditsektors an der Bewertung der Kreditwürdigkeit der (potentiellen) Kreditnehmer dient.
27 Schließlich kann die Analyse einer Kreditauskunftei, wie die mitbeteiligte Partei, insoweit als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potentiellen Kunden ihrer Vertragspartner ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern (vgl. EuGH C 26/22 und C 64/22, Rn. 93).
28 Insofern besteht ein berechtigtes Interesse iSd Art. 6 Abs. 1 lit. f DSGVO an der Verarbeitung von Daten des Revisionswerbers über dessen Schuldenregulierungsverfahren.
29 Demgegenüber stellt die Verarbeitung dieser Daten, insbesondere in Bezug auf die Erfüllung des rechtskräftig bestätigten Zahlungsplans, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten durch die mitbeteiligte Partei einen schweren Eingriff in die in den Art. 7 und 8 GRC verankerten Grundrechte des Revisionswerbers dar. Da solche Daten als negativer Faktor bei der Beurteilung der Kreditwürdigkeit des Revisionswerbers dienen, stellen sie sensible Informationen über dessen Privatleben dar. Ihre Verarbeitung kann den Interessen des Revisionswerbers beträchtlich schaden, weil die Weitergabe geeignet ist, die Ausübung seiner Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken. Die Folgen für die Interessen und das Privatleben des Revisionswerbers sind umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen daher umso höher, je länger diese Daten durch die mitbeteiligte Partei gespeichert werden (vgl. EuGH C-26/22 und C-64/22, Rn. 94, 95).
30 Ziel eines öffentlichen Insolvenzregisters, wie die Insolvenzdatei gemäß § 256 IO, ist die Gewährleistung einer besseren Information der betroffenen Gläubiger und Gerichte (vgl. EuGH C-26/22 und C-64/22, Rn. 96, sowie innerstaatlich die Erläuterungen zum Insolvenzrechtsänderungsgesetz 1997 - IRÄG 1997 in RV 734 BlgNR 20. GP, 34, 63).
31 Gemäß § 256 Abs. 2 Z 4 IO ist die Einsicht in die Insolvenzdatei nicht mehr zu gewähren, wenn seit dem Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist ein Jahr vergangen ist. Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Zahlungsplan erfüllt worden ist (§ 256 Abs. 3 IO). Letztere Möglichkeit dient der Vermeidung von Nachteilen des Schuldners im Geschäftsverkehr (vgl. die Erläuterungen zum Insolvenzrechtsänderungsgesetz 2010 -IRÄG 2010 RV 612 BlgNR 24. GP 3, 35).
32 Der Gesetzgeber geht somit davon aus, dass bereits mit Erfüllung des rechtskräftig bestätigten Zahlungsplans spätestens jedoch mit Ablauf einer Frist von einem Jahr seit Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist die Rechte und Interessen der betroffenen Person, wie vorliegend des Revisionswerbers, diejenigen der Öffentlichkeit, über diese Informationen zu verfügen, überwiegen (vgl. RV 734 BlgNR 20. GP, 63). Schließlich ist das Ziel des Zahlungsplans die wirtschaftliche Gesundung des Schuldners (vgl. OGH 18.8.2010, 8 Ob 146/09t). In diesem Sinn soll eine „Löschung“ aus der Insolvenzdatei infolge Erfüllung des Zahlungsplans die Beeinträchtigung des Schuldners im Geschäftsverkehr durch öffentliche Bekanntmachung eines früheren Insolvenzverfahrens vermeiden (vgl. Erläuterungen in RV 612 BlgNR 24. GP, 3, 35).
33 Die Verwirklichung dieses Ziels wäre jedoch gefährdet, wenn die mitbeteiligte Partei als Kreditauskunftei zur Beurteilung der wirtschaftlichen Situation des Revisionswerbers Daten über sein Insolvenzverfahren speichern und solche Daten verwenden könnte, nachdem die Einsicht in die Insolvenzdatei gemäß § 256 Abs. 2 und Abs. 3 IO nicht mehr zu gewähren ist, weil diese Daten bei der Bewertung der Kreditwürdigkeit des Revisionswerbers stets als negativer Faktor verwendet werden. Unter diesen Umständen können die berechtigten Interessen des Kreditsektors, über Informationen hinsichtlich des mit Erfüllung des rechtskräftig bestätigten Zahlungsplans beendeten Insolvenzverfahrens des Revisionswerbers zu verfügen, die Verarbeitung dieser vormals in der Insolvenzdatei öffentlich einsehbaren, personenbezogenen Daten nicht mehr rechtfertigen. Die Speicherung dieser Daten durch die mitbeteiligte Partei in Bezug auf den Zeitraum nach Rechtskraft des Beschlusses des Insolvenzgerichts über die „Löschung der Eintragungen aus der Insolvenzdatei“ gemäß § 256 Abs. 3 IO kann daher nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Die Speicherung der das Schuldenregulierungsverfahren des Revisionswerbers betreffenden Daten aus der Insolvenzdatei durch die mitbeteiligte Partei über den Zeitpunkt der Rechtskraft des Beschlusses des Insolvenzgerichts nach § 256 Abs. 3 IO hinaus erweist sich somit entgegen der Rechtsansicht der belangten Behörde und des Verwaltungsgerichts als nicht rechtmäßig (vgl. wiederum EuGH C-26/22 und C-64/22, Rn. 98 und 99).
Löschungsbegehren nach Art. 17 DSGVO
34 Mangels Rechtmäßigkeit der Verarbeitung der aus der Insolvenzdatei gelöschten Daten des Revisionswerbers betreffend dessen Insolvenzverfahren ist die mitbeteiligte Partei verpflichtet, die betreffenden Daten unverzüglich gemäß Art. 17 Abs. 1 lit. d DSGVO zu löschen (vgl. wiederum EuGH C-26/22 und C 64/22, Rn. 108).
35 Soweit im Gegensatz dazu im Erkenntnis VwGH 9.5.2023, Ro 2020/04/0037, das vom Revisionswerber gegenüber einem Kreditinstitut geltend gemachte Recht auf Löschung gemäß Art. 17 DSGVO in Bezug auf einen ihn betreffenden Eintrag von Zahlungserfahrungsdaten in einer gemeinsam mit anderen Kreditinstituten betriebenen Datenbank (Bankenwarnliste) verneint wurde, betraf dieser Eintrag keine Verarbeitung personenbezogener Daten des Revisionswerbers aus der Insolvenzdatei. Vielmehr wurden die in der Bankenwarnliste gespeicherten Zahlungserfahrungsdaten des Revisionswerbers durch das Kreditinstitut im Zusammenhang mit der bei ihr bestehenden Girokontoverbindung des Revisionswerbers erhoben (vgl. VwGH Ro 2020/04/0037, Rn. 57 letzter Satz). Soweit in diesem Erkenntnis unter Bedachtnahme auf die Kapitaladäquanzverordnung eine Speicherdauer von zumindest fünf Jahren in Bezug auf die Speicherung von Zahlungserfahrungsdaten in der Bankenwarnliste grundsätzlich als rechtmäßig erachtet wurde, ist darauf hinweisen, dass die Kapitaladäquanzverordnung gemäß dessen Art. 1 die allgemeinen Aufsichtsanforderungen für Kreditinstitute betreffend näher bestimmter Bereiche regelt und somit nicht für Kreditauskunfteien, wie vorliegend die mitbeteiligte Partei, gilt.
Ergebnis
36 Insofern das Verwaltungsgericht von der Rechtmäßigkeit der Speicherung der den Revisionswerber betreffenden Insolvenzdaten durch die mitbeteiligte Kreditauskunftei gemäß Art. 6 Abs. 1 lit. f DSGVO ausging und das vom Revisionswerber geltend gemachte Recht auf Löschung verneinte, hat es das angefochtene Erkenntnis mit Rechtswidrigkeit des Inhaltes belastet. Das angefochtene Erkenntnis war daher gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
37 Von der Durchführung der beantragten Verhandlung vor dem Verwaltungsgerichtshof konnte gemäß § 39 Abs. 2 Z 6 VwGG Abstand genommen werden, weil es im vorliegenden Fall nicht um Fragen der Beweiswürdigung oder strittige Tatsachenfeststellungen geht, sondern in der Revision Rechtsfragen aufgeworfen wurden, die keinen komplexen Charakter haben, zumal für die zentrale Rechtsfrage bereits auf die Judikatur des EuGH verwiesen werden konnte (vgl. VwGH 3.8.2023, Ro 2020/04/0035, Rn. 35, mwN), und zu deren Lösung daher im Sinn der Judikatur des EGMR eine mündliche Verhandlung nicht geboten ist (vgl. VwGH 9.5.2023, Ro 2020/04/0037, Rn. 81, mwN).
38 Die Entscheidung über den Aufwandersatz beruht auf den §§ 47 ff VwGG iVm insbesondere § 1 Abs. 1 lit. a VwGH-Aufwandersatzverordnung, wonach der Pauschalbetrag für den Schriftsatzaufwand für die Einbringung der Revision entgegen dem verzeichneten Pauschalbetrag von € 2.180,-- lediglich € 1.106,40 beträgt. Umsatzsteuer ist nach § 47 Abs. 1 VwGG nicht gesondert zuzusprechen, weil diese bereits im pauschalierten Schriftsatzaufwand enthalten ist (vgl. zu letzterem VwGH 10.4.2020, Ra 2018/04/0154 bis 0155, Rn. 34).
Wien, am 1. Februar 2024
Rückverweise
