Eine Kreditauskunftei war mit einem Löschungsantrag einer betroffenen Person konfrontiert.

 

Eine betroffene Person beantragte die Löschung von Daten gem. Art 17 DSGVO, die in der Bonitätsdatenbank gespeichert sind, und die sich ausschließlich auf öffentlich verfügbare Daten (Ediktsdatei) stützen.

 

 

 

Tätigkeit einer Wirtschaftsauskunftei.

 

Die DSB hat am 11.12.2018 (DSB-D123.194/0003-DSB/2018, nicht veröffentlicht) entschieden, dass die Wirtschaftsauskunftei aufgrund § 152 GewO als gewerblich tätiges Unternehmen eine gesetzliche Grundlage für die eigene gewerbliche Tätigkeit und das Verarbeiten von bonitätsrelevanten Daten sowie das Vorhalten dieser Daten für eigene Kunden hat.

 

 

 

Aus dem Bescheid der DSB:

 

Eingangs ist festzuhalten, dass die Verarbeitung bonitätsrelevanter Daten durch eine Kreditauskunftei iSd § 152 Gewerbeordnung Deckung in eben dieser Bestimmung findet und die Rechtmäßigkeit der Verarbeitung dieser Daten folglich nicht von der vorherigen Einwilligung eines Betroffenen abhängt. Auch ist davon auszugehen, dass durch die gesetzliche Verankerung dieser Tätigkeit der Gesetzgeber von der grundsätzlichen Zulässigkeit dieser gewerblichen Tätigkeit ausgeht, sodass es zur Verarbeitung dieser Daten eine rechtliche Befugnis geben kann. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar ist, muss auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über „Kreditverhältnisse“ als gegeben erachtete (vgl. dazu die Empfehlung der Datenschutzkommission vom 7. Mai 2007, GZ K211.773/0009-DSK/2007; vgl. auch OGH vom 21. Jänner 2015, GZ 17 Os43/14y).

 

 

 

Daraus ist abzuleiten, dass eine Gewerbeberechtigung eine rechtliche Befugnis zur Verarbeitung der Daten, die notwendigerweise mit der Gewerbeausübung verbunden sind, darstellt. Wenn daher die Ausübung des Gewerbes der Kreditauskunftei notwendigerweise mit der Verarbeitung von personenbezogenen Daten einhergeht, dann erachtet der Gesetzgeber ein berechtigtes Interesse der Kreditauskunftei als gegeben.

 

 

 

Die veröffentlichten Daten der betroffenen Person.

 

Die betroffene Person war in Insolvenz. Die Insolvenz wurde im Jahr 2013 durch einen Zahlungsplan mit einer Quote von 100% beendet. Der Zahlungsplan endete im April 2018.

 

Diese Daten sind in der öffentlich zugänglichen Datenbank der Republik Österreich, nämlich der Ediktsdatei noch ein Jahr nach Beendigung des Zahlungsplanes zugänglich.

 

 

 

Die Löschfristen in der Ediktsdatei.

 

Nach § 256 Abs 2 IO sind die Daten in der Ediktsdatei nach einem Jahr zu löschen, wobei das fristauslösende Ereignis jeweils definiert ist:

 

Aufhebung des Insolvenzverfahrens nach §§ 123a, 123b und 139 IO,

 

Ablauf der im Sanierungsplan vorgesehenen Zahlungsfrist, wenn dessen Erfüllung nicht überwacht wird,

 

Beendigung oder Einstellung der Überwachung des Sanierungsplans,

 

Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist oder

 

vorzeitige Einstellung oder Beendigung des Abschöpfungsverfahrens.

 

Die betroffene Person kann einen Antrag stellen, dass die Einsicht nicht mehr möglich ist, wenn der rechtskräftig bestätigte Sanierungsplan oder Zahlungsplan erfüllt worden ist (§ 256 (3) IO).

 

Nach drei Jahren werden Daten gelöscht, wenn es das Insolvenzverfahren mangels kostendeckenden Vermögens oder Vermögenslosigkeit nicht eröffnet wurde.

 

 

 

Der Löschungsantrag.

 

Die betroffene Person wendete sich an die Auskunftei, und verlangte, dass die Daten gelöscht werden.

 

Die Argumente waren: 100%ige Schuldentilgung und ein positiver Abschluss des Zahlungsplanes im April 2018. Es gebe keinen Grund diese Daten noch in einer Datenbank gespeichert zu halten. Als theoretisch komplett schuldenfreier Mensch verwehre man ihr das Recht auf finanzielle Freiheit und mache sie kreditunwürdig.

 

Die Kreditauskunftei kam dem Löschungsantrag nicht nach,  und die betroffene Person beschwerte sich bei der DSB.

 

 

 

Die Löschfrist bei Bonitätsauskünften & die Rechtsgrundlage.

 

Der Verantwortliche hat eine Löschfrist von 3 (drei) Jahren für die Löschung derartiger Informationen aus der Ediktsdatei.

 

Die Tätigkeit des Verantwortlichen ist von § 152 GewO gedeckt, und der Verantwortliche übt dieses Gewerbe aus. Diese Tätigkeit kann ohne das Sammeln und Verarbeiten von bonitätsrelevanten Daten von betroffenen Personen nicht durchgeführt werden. Die Rechtmäßigkeit der Verarbeitung der Daten der betroffenen Person kann daher auf Art 6 Abs 1 lit f DSGVO gestützt werden, sofern die Rechte und Interessen der betroffenen Person nicht überwiegen.

 

 

 

Die Rechtmäßigkeit der Verarbeitung.

 

Die bonitätsrelevanten Daten (Negativmerkmale) der betroffenen Person sind aus der öffentlich verfügbaren Datenbank der Republik Österreich entnommen, und dort – zum Zeitpunkt der Entscheidung durch die DSB – noch immer öffentlich zugänglich (ein Jahr nach Beendigung des Zahlungsplanes, dh bis April 2019).

 

Es wird vom Verantwortlichen nicht mehr an Daten verarbeitet, als in der Ediktsdatei öffentlich einsehbar sind.  Die DSB wörtlich:

 

„Es muss angenommen werden, dass ein die Betroffeneninteressen überwiegendes berechtigtes Interesse Dritter zum Zweck des Gläubigerschutzes und der Risikominimierung weiterhin besteht.“

 

 

 

Verarbeitung der Daten nach Ablauf der „Jahresfrist“ des § 256 Abs 2 IO?

 

Die DSB hat auch erwähnt, dass selbst nach Ablauf der Frist von einem Jahr nach § 256 Abs 2 IO und damit einem Zeitpunkt, in dem die Daten in der Ediktsdatei nicht mehr öffentlich einsehbar sind, die Verarbeitung von bonitätsrelevanten Daten im Interesse des Gläubigerschutzes rechtmäßig sein kann.

 

Auch nach Ende der Veröffentlichung des Schuldenregulierungsverfahrens in der Insolvenzdatei, können daher derartige Informationen im Hinblick auf den Gläubigerschutz relevant sein. Darauf hat die DSB auf einen (nicht veröffentlichten) Bescheid hingewiesen.

 

 

 

Löschfristen für bonitätsrelevante Daten?

 

Eine konkrete Festlegung, nach welchen Zeiträumen die bonitätsrelevanten Daten zu löschen sind, hat die DSB nicht getroffen.

 

Unter Umständen kann in Bezug auf Löschfristen auf den Bescheid der DSB zur Registrierung Kleinkreditnehmerevidenz (K600.033-018/0002-DVR/2007) abgestellt werden, und in dem Löschfristen definiert wurden, und eine „generelle Löschfrist“ von sieben Jahren nach Tilgung der Schuld für Zahlungen mit Zahlungsanstand definiert wurde:

 

a) wenn eine Kredit- oder Leasingschuld ohne Zahlungsanstand vollständig abbezahlt und das Kredit- oder Leasingverhältnis somit beendet ist: spätestens 90 Tage nach Abbezahlung;

 

b) wenn eine Kredit- oder Leasingschuld nach Zahlungsanstand vollständig abbezahlt wurde: spätestens fünf Jahre nach vollständiger Abzahlung der Schuld;

 

c) falls jedoch das Nichtbestehen des behaupteten Zahlungsanstandes rechtskräftig festgestellt wird: spätestens 90 Tage nach vollständiger Abbezahlung der Schuld bzw. wenn die Feststellung erst nach dieser Frist erfolgte: unverzüglich nach rechtskräftiger Feststellung;

 

d) in allen anderen Fällen: sieben Jahre nach Tilgung der Schuld oder Eintritt eines sonstigen schuldbefreienden Ereignisses.

 

 

 

Allenfalls kann auch auf einen Bescheid der DSB zur „Warnliste der Banken“ (K095.014/021-DSK/2001) abgestellt werden:

 

Dass die Daten in der 'Warnliste' für eine gewisse Zeit auch nach Tilgung der Schuld gespeichert bleiben sollen - und zwar 7 Jahre bzw. 3 Jahre - ist in dem Umstand der Warnfunktion der Liste begründet: Sie soll helfen, das Risiko einer neuerlichen Krediteinräumung zu beurteilen, wozu die Kenntnis des Vertragserfüllungsverhaltens des Betroffenen während eines angemessenen Zeitraums notwendig ist.

 

 

 

Der Registrierungsbescheid der „Warnliste der Banken“ der DSB aus dem Jahr 2001 sieht folgende Löschfristen vor:

 

Wenn das Nichtbestehen der Forderung dem Grunde nach rechtskräftig festgestellt wurde, hat der Auftraggeber zu veranlassen, dass die Daten des Betroffenen aus der 'Warnliste' unverzüglich gelöscht werden.

Ansonsten ist dafür zu sorgen, dass die Daten des Betroffenen,

drei Jahre nach vollständiger Bezahlung der Schuld bzw.
in allen anderen Fällen sieben Jahre nach Tilgung der Schuld

aus der 'Warnliste' gelöscht werden.

 

31.03.2019, Autor
Michael Schweiger