Bankenwarnliste: Speicherung von Zahlungserfahrungsdaten

BWG: § 39

DSGVO: Art 5, Art 6, Art 13, Art 17

Die „Warnliste der österreichischen Banken“ (Bankenwarnliste) unterlag vor Inkrafttreten der DSGVO und des DSG der Vorabkontrolle durch die Datenschutzbehörde. Mit dem Datenschutz-Anpassungsgesetz, BGBl I 2017/120, wurde mit Ablauf des 24. 5. 2018 auch das Meldewesen im (ehemaligen) Datenverarbeitungsregister abgeschafft. Die Beurteilung der Rechtmäßigkeit einer Datenverarbeitung im Rahmen der Bankenwarnliste zum Zwecke der Bonitätsbeurteilung richtet sich seitdem nach dem DSG und der DSGVO.

Entsprechend den Grundsätzen der Zweckbindung, Datenminimierung und Speicherbegrenzung (Art 5 Abs 1 lit b, c und e DSGVO) unterliegen Daten einem Löschungsanspruch, wenn sie für die Erfüllung der Zwecke, für die sie ursprünglich erhoben oder in sonstiger Weise verarbeitet wurden, nicht mehr notwendig sind. Mit diesem Grundsatz der Speicherbegrenzung wird eine zeitliche Grenze der Verarbeitung personenbezogener Daten normiert. Die Frist bzw die Kriterien, nach denen sich der Zeitpunkt der Löschung bestimmt, müssen auf das Mindestmaß beschränkt sein, das für die Verarbeitungszwecke unbedingt erforderlich ist. Anders als bei einer Datenverarbeitung in Erfüllung einer rechtlichen Verpflichtung gem Art 6 Abs 1 lit c DSGVO (mit gesetzlich vorgegebenen Aufbewahrungsfristen bzw Löschpflichten) bedarf die Festlegung der Fristen bzw Kriterien idR einer fallbezogenen Betrachtung, in der die Erforderlichkeit der Aufbewahrung von Daten anhand der Verarbeitungszwecke beurteilt wird.

Die Bankenwarnliste dient dem Gläubigerschutz und der Risikominimierung. Im Rahmen der fallbezogenen Betrachtung ist auf die konkreten Gegebenheiten abzustellen. Bei der Abwägung kommen etwa der Höhe der einzelnen Forderungen, dem Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung und dem Datum der Eintragung in die Datenbank Bedeutung zu. Historische Zahlungsinformationen haben umso weniger Aussagekraft, je länger sie zurückliegen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen ist. Als Richtlinie, wie lange Zahlungserfahrungsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet sind, können ua Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen. Aus den einschlägigen Bestimmungen der VO (EU) 575/2013 (Kapitaladäquanzverordnung) ergibt sich, dass zumindest fünf Jahre zurückliegende sowohl interne wie auch externe Zahlungserfahrungsdaten von potentiellen Kreditnehmern für Kreditinstitute zum Zweck der Beurteilung der Ausfallswahrscheinlichkeit und der Verlustquote ua zur Berechnung des Eigenmittelerfordernisses relevant sind. Eintragungen in der Bankenwarnliste von Zahlungserfahrungsdaten, die zumindest fünf Jahre zurückliegen, können daher nach wie vor den Zwecken dienen, weswegen sie verarbeitet wurden (Gläubigerschutz und der Risikominimierung durch Beurteilung des Ausfallsrisikos potenzieller Kunden). Im Übrigen ist es aus Sicht der Kreditwirtschaft unabdingbar, eine objektive, transparente und va wahrheitsgemäße Auskunft über die Zahlungsfähigkeit und -schwierigkeiten von Schuldnern zu gewährleisten. Dies ist nur möglich, wenn die Daten über einen gewissen (längeren) Zeitraum gespeichert bleiben. Eine kürzere Speicherdauer wäre demgegenüber geeignet, ein verzerrtes Bild zu vermitteln.

Im vorliegenden Fall begehrt der Revisionswerber die Löschung eines Eintrags in der Bankenwarnliste („Teilweise Tilgung – 2018-03-16“), der sich darauf bezieht, dass der Revisionswerber seine Verbindlichkeiten gegenüber der mitbeteiligten Partei (einem Kreditinsitut) im Ausmaß der Rückzahlungsquote eines Schuldenregulierungsverfahrens erfüllt hat. Entgegen der Rechtsansicht des Revisionswerbers ist in diesem Zusammenhang nicht auf den Zeitpunkt der gerichtlichen Bestätigung des Zahlungsplans im Jahre 2012 abzustellen, sondern auf den Zeitpunkt dessen vollständiger Erfüllung im Jahr 2018, weil erst zu diesem Zeitpunkt die tatsächliche Ausfallsquote klar ist.

Die in der Bankenwarnliste gespeicherten Zahlungserfahrungsdaten dienen der Beurteilung des Kreditrisikos potenzieller Kunden von Kreditinstituten. Sie stellen für sich jedoch keine solche Beurteilung dar, sondern bilden eine Datenquelle für die Beurteilung der Kreditwürdigkeit. Insofern kommt es für die Beurteilung der Richtigkeit des gegenständlichen Zahlungserfahrungsdatums nicht auf zwischenzeitige Änderungen der wirtschaftlichen Verhältnisse des Betroffene an. Ein Verstoß gegen den Grundsatz der Richtigkeit iSd Art 5 Abs 1 lit d DSGVO und damit eine unrechtmäßige Datenverarbeitung iSd Art 17 Abs 1 lit d DSGVO liegt somit nicht vor.

VwGH 9. 5. 2023, Ro 2020/04/0037

Entscheidung

Verletzung der Informationspflichten der Bank

Gemäß Art 13 Abs 1 und 2 DSGVO trifft die mitbeteiligte Partei als Verantwortliche gegenüber dem Revisionswerber im Zeitpunkt der Erhebung des vorliegenden Zahlungserfahrungsdatums der bloß teilweisen Tilgung die Informationspflicht nach Abs 1 (ua betr den Zweck der Verarbeitung etc). Der Revisionswerber bemängelt diesbezüglich va eine Verletzung der Informationspflicht nach Art 13 Abs 2 lit a DSGVO über die Speicherdauer bzw die Kriterien der Festlegung dieser Dauer. Den Feststellungen ist nicht zu entnehmen, dass die Mitbeteiligte ihrer Informationspflicht im Zeitpunkt der Erhebung des Datums der bloß teilweisen Tilgung nachkam.

Im Gegensatz zur Missachtung der Bestimmungen des Kapitels II der DSGVO hat aber nicht jede Verletzung der Informationspflicht nach Art 13 Abs 1 und 2 DSGVO zur Folge, dass die Verarbeitung von personenbezogenen Daten den Grundsätzen des Art 5 Abs 1 DSGVO in Bezug auf die Verarbeitung der Daten widerspräche.

Weil eine unterlassene Information die Willensbildung der betroffenen Person beeinträchtigen kann, sind sowohl die Datenerhebung als auch die anschließende Datenverarbeitung ohne Information als unrechtmäßig anzusehen, wenn die Datenerhebung vom Willen der betroffenen Person abhängt, etwa wenn die betroffene Person berechtigt ist, sich faktisch der Datenerhebung zu entziehen. Im vorliegenden Fall stützt sich die Datenerhebung und der Eintrag in die Bankenwarnliste jedoch nicht auf eine Einwilligung des Revisionswerbers, sondern auf Art 6 Abs 1 lit f DSGVO.

Darüber hinaus stellt zumindest eine Verletzung der Informationspflicht nach Art 13 Abs 2 lit a DSGVO über die Speicherdauer bzw die Kriterien der Festlegung dieser Dauer (wie vom Revisionswerber geltend gemacht), keine „unrechtmäßige Verarbeitung“ iSd Art 17 Abs 1 lit d iVm Art 5 Abs 1 lit a und Art 6 Abs 1 DSGVO dar und gewährt daher kein Recht auf Löschung. Im Übrigen kann eine Verletzung der Informationspflicht über die Speicherdauer unabhängig davon gem Art 83 Abs 5 lit b DSGVO mit einer Geldbuße geahndet werden.

Interessenabwägung

Da das gespeicherte Zahlungserfahrungsdatum des Revisionswerbers weder im Hinblick auf die Richtigkeit noch betreffend die Speicherdauer gegen Art 5 DSGVO verstößt (siehe Leitsatz), ermöglicht Art 6 Abs 1 lit f DSGVO die Datenverarbeitung im Anschluss an eine Abwägung der berührten Interessen, soweit diese zu Gunsten des Verantwortlichen ausgeht.

Im Rahmen dieser Interessenabwägung ist dem Revisionswerber zuzugestehen, dass sich die Verarbeitung des betreffenden Bonitätsdatums negativ für ihn auswirkt und sein wirtschaftliches Fortkommen insofern beeinträchtigt, als dieses Datum allen an der Bankenwarnliste beteiligten Bankinstituten zugänglich ist und zur Beurteilung seiner Bonität herangezogen wird. Dies führt jedoch in der Gesamtauswirkung nicht zu einer unzumutbaren Belastung des Revisionswerbers bei der Teilnahme am Wirtschaftsleben – nicht zuletzt aufgrund des Umstandes, dass das konkrete negative Zahlungserfahrungsdatum selbst keine Bonitätsbeurteilung darstellt, die Bankinstitute diesen Datenbankeintrag jedoch für ihre Risikobewertung zu berücksichtigen haben.

Nach Erwägungsgrund 47 zur DSGVO sind auch die vernünftigen Erwartungen in die Interessenabwägung miteinzubeziehen. Daraus, dass nach Erfüllung des Zahlungsplans die Einsicht in die Insolvenzdatei nicht mehr zu gewähren ist (vgl § 256 Abs 3 Satz 1 IO), konnte der Revisionswerber jedoch vernünftigerweise nicht mit der Löschung des Eintrags in die Bankenwarnliste rechnen, zumal die Insolvenzdatei einem anderen Verarbeitungszweck dient (öffentlichen Bekanntmachung zur besseren Information der betroffenen Gläubiger und Gerichte und Verhinder der Eröffnung von Parallelverfahren). Im Übrigen liegt dem gegenständlichen Eintrag von Zahlungserfahrungsdaten des Revisionswerbers keine Verarbeitung von personenbezogenen Daten aus der Insolvenzdatei zugrunde, sondern die Erhebung dieser Daten durch die mitbeteiligte Partei iZm der Girokontoverbindung, die zwischen ihr und dem Revisionswerber bestand.

Vorliegend überwiegen somit in einer Gesamtbetrachtung die berechtigten Informationsinteressen der Bankinstitute die schutzwürdigen Geheimhaltungsinteressen des Revisionswerbers. Die Verarbeitung personenbezogener Daten des Revisionswerbers durch Speicherung des betreffenden Zahlungserfahrungsdatums in die Bankenwarnliste erweist sich als rechtmäßig.