Zulässige Speicherdauer von Zahlungserfahrungsdaten bei Kreditauskunfteien

1. Anlehnung an die Speicherdauer der KapitaladäquanzVO

Das BVwG hatte sich in letzter Zeit bereits mehrmals mit der Frage der zulässigen Speicherdauer von Zahlungserfahrungsdaten bei Kreditauskunfteien auseinanderzusetzen.² Der OGH schließt sich der Rsp des BVwG an, nach der historische Zahlungsinformationen umso weniger Aussagekraft haben, je länger sie zurückliegen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen ist. Aus diesem Grund sind laut BVwG das Alter der Forderungen bzw der Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderungen, der Zeitpunkt etwaiger Tilgungen und das seitherige "Wohlverhalten" des Schuldners bei Abwägung der Speicherdauer relevant. Als Richtlinie dafür, wie lange Zahlungserfahrungsdaten zur Beurteilung der Bonität geeignet sind, können laut BVwG Beobachtungs- oder Löschfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonität näher festlegen, und nennt dabei die CRR.³ Diese VO richtet sich an Kreditinstitute und verpflichtet sie, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen gegen diese abzuschätzen. Nach der CRR sind für die Beurteilung der Ausfallswahrscheinlichkeit der Forderung und der Schätzung der Verlustquote Daten über einen Zeitraum von zumindest fünf Jahren relevant. Das BVwG zieht diese Speicherdauer als Richtschnur für die Bemessung der zulässigen Speicherdauer von Zahlungserfahrungsdaten für Bonitätsauskünfte heran, weil auch in diesem Fall eine Schätzung von etwaigen Zahlungsausfällen erfolgen soll und daher eine Anwendung auch auf andere Gläubiger als Kreditinstitute möglich ist. Im vorliegenden Fall wird zwar von der Kreditauskunftei eine Speicherdauer von zehn Jahren angegeben, die betreffenden Daten wurden aber erst seit drei Jahren gespeichert. Der OGH beurteilte daher nur eine Speicherdauer von drei Jahren, die er auch, da er sich der Rsp des BVwG anschließt, für gerechtfertigt hält.

2. Längere Speicherdauer immer besser?

Obwohl die Zulässigkeit der zehnjährigen Speicherdauer von Zahlungserfahrungsdaten im konkreten Fall nicht zu beurteilen war, weil diese nur beabsichtigt war, nutzt der OGH die Gelegenheit, um zu den Grundsätzen für die Bemessung der Speicherdauer entsprechender Daten wie auch ihrer zehnjährigen Speicherdauer Stellung zu nehmen. Demnach ist laut OGH auch eine Speicherdauer von zehn Jahren zulässig, weil eine lange Erfassung von Zahlungserfahrungsdaten notwendig ist, um Momentaufnahmen zu vermeiden und eine objektive, transparente und wahrheitsgemäße Information über die Bonität eines Schuldners zu bieten. Das wäre nur möglich, wenn die Daten über einen gewissen längeren Zeitraum gespeichert werden. Die E des OGH könnte sogar so interpretiert werden, dass eine längere Speicherdauer der Zahlungserfahrungsdaten als fünf Jahre im Grunde immer vorzuziehen ist und auch eine längere Speicherdauer als zehn Jahre zulässig wäre, weil (nur) dann ein Schuldner, der sämtliche Rechnungen pünktlich bezahlt, bessergestellt wäre und ein verständiger Empfänger der Daten (= die Kreditauskunftei) die Lage (also die erhaltenen Zahlungserfahrungsdaten) richtig einschätzen (und somit entsprechend gewichten) kann.

Eine kürzere Speicherdauer wäre laut OGH hingegen geeignet, ein verzerrtes Bild zu vermitteln. Diese Auslegung würde jedoch Tür und Tor für eine "ewige" Speicherdauer öffnen, weil sie so verstanden werden könnte, dass es umso besser ist, je länger die Zahlungserfahrungsdaten gespeichert werden. Eine entsprechende Interpretation ist also mit Vorsicht zu genießen, weil sie mit den Grundsätzen der Datenminimierung und Speicherbegrenzung (Art 5 Abs 1 lit c und lit f DSGVO)⁴ in Konflikt geraten kann; daher muss wohl auch diese Auslegung zu dem Ergebnis kommen, dass nach Ablauf einer bestimmten Zeit keine Grundlage für die weitere Speicherung von Zahlungserfahrungsdaten (mehr) besteht. Jedenfalls gibt es aber laut OGH keine starre maximale Speicherdauer für Zahlungserfahrungsdaten.

Die E könnte aber auch so interpretiert werden, dass eine gewisse "sichere Zone" von fünf Jahren besteht, innerhalb der jedenfalls von einer Zulässigkeit der Speicherung der Daten ausgegangen werden kann, darüber hinaus jedoch eine Abwägung der widerstreitenden Interessen der Kreditauskunftei und ihrer Kunden mit jenen der betroffenen Personen erfolgen müsse. Dies könnte bedeuten, dass eine Speicherdauer von Zahlungserfahrungsdaten sowohl nach dem OGH als auch nach dem BVwG bis zu einem Zeitraum von fünf Jahren grds rechtmäßig ist und nicht gegen die Grundsätze der Speicherbegrenzung und Datenminimierung (Art 5 Abs 1 lit c und lit f DSGVO) verstößt, weil eine Interessenabwägung immer zugunsten der Kreditauskunftei und ihrer Kunden ausfällt. Dies obgleich der OGH selbst ausführt, dass es wegen der Grundsätze der Speicherbegrenzung und Datenminimierung gem Art 5 Abs 1 lit c und lit f DSGVO grds einer Einzelfallbetrachtung über die zulässige Speicherdauer bedarf. Dieser Einzelfallbetrachtung greift er dann in der E jedoch vor, indem er nur beiläufig auf den konkreten Sachverhalt eingeht, im Grunde jedoch sehr allgemein über die zulässige Speicherdauer von Zahlungserfahrungsdaten spricht. Im Rahmen der Einzelfallbetrachtung müsse laut OGH und BVwG jedoch grds die Erforderlichkeit der Aufbewahrung von Daten anhand der Verarbeitungszwecke beurteilt werden und sind die genannten Kriterien (Alter der Forderung, Zeitpunkt des Ausfalls/Tilgung, Wohlverhaltensperiode) zu beachten. Diese einheitliche Rsp von BVwG und OGH wäre insoweit begrüßenswert, als einer betroffenen Person aufgrund des dualen Rechtswegs bei Datenschutzverstößen sowohl der Weg zur Datenschutzbehörde (DSB) - und in weiterer Folge zu BVwG, VfGH und VwGH - als auch der zu den Zivilgerichten offensteht (Art 77 und Art 79 DSGVO).

Nicht bedacht wird von den Gerichten in all diesen E aber, dass auch andere Kriterien - wie bspw eine vergangene Krankheit, aufgrund der es zu den Zahlungsausfällen kam - eine wichtige Rolle spielen könnten. Im Rahmen der Behandlung eines Widerspruchs gegen die Verarbeitung durch die betroffene Person (Art 21 DSGVO) müssten solche Kriterien jedenfalls berücksichtigt werden. In solchen Ausnahmefällen muss daher regelmäßig eine Interessenabwägung aufgrund einer Einzelfallbetrachtung stattfinden; daher kann die fünfjährige Speicherdauer, die sich aus der CRR ergibt und laut BVwG und OGH wohl grds gerechtfertigt ist, unzulässig sein, weil die Interessen der betroffenen Person überwiegen.

Die Höhe der Forderungen wurde bei der Abwägung vom BVwG und vom OGH nicht als Kriterium genannt. Das BVwG hat bereits ausgeführt, dass sich eine Neigung zu vertragswidrigem Verhalten - etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck - va aus dem Finanzgebaren in der Vergangenheit prognostizieren lässt. Für diese Beurteilung der Verhaltensweise kann es grds nicht darauf ankommen, wie hoch die unbeglichenen Forderungen sind. Vielmehr zeigt gerade die mehrfach unterbliebene Begleichung von Kleinbeträgen über Jahre hinweg und trotz wiederholter Mahnungen, dass der Schuldner weitere Verbindlichkeiten eingeht, ohne zuvor seine bestehenden Schulden zu begleichen, und lässt somit Rückschlüsse auf eine schwache Zahlungsmoral oder mangelnde Zahlungsfähigkeit zu. Jedoch müsste überlegt werden, ob es nicht sachgemäß wäre, die Höhe der Forderungen und die Häufigkeit von Zahlungsausfällen - die laut BVwG und OGH relevant ist - in Kombination für die Beurteilung der zulässigen Speicherdauer von Zahlungserfahrungsdaten zu berücksichtigen. Hat ein Schuldner zum gleichen vergangenen Zeitpunkt eine einzige hohe schuldhaft unbeglichene Verbindlichkeit, wiegt dies wohl mehr als eine einzige geringe Verbindlichkeit, mit der er sich in Zahlungsverzug befindet. Handelt es sich jedoch um eine Anhäufung von Kleinbeträgen, die über Jahre hinweg unbeglichen geblieben sind, kann dies sogar eine höhere Aussagekraft haben als die eine hohe Verbindlichkeit, mit der sich der Schuldner in Zahlungsverzug befindet. Es wäre daher wohl folgerichtig, den einzelnen nicht beglichenen Kleinbetrag im Vergleich zum aushaftenden hohen Betrag früher löschen zu müssen, die Anhäufung von Kleinbeträgen jedoch wiederum für einen vergleichsweise längeren Zeitraum aufzubewahren.

3. Anlehnung an die Speicherdauer des § 256 Abs 1 IO?

Der OGH verweist in seiner E zur zulässigen Speicherdauer von Zahlungserfahrungsdaten auf einen Bescheid der DSB, die eine andere Rechtsansicht vertritt, beschäftigt sich jedoch nicht näher mit den darin genannten Argumenten.⁵ In diesem Bescheid geht die DSB von der bisherigen Rsp der Datenschutzkommission (DSK) zur Aufbewahrungsdauer von bonitätsrelevanten Daten ab, die in Anlehnung an die IO eine Speicherdauer von sieben Jahren nach Tilgung einer Schuld oder Eintritt eines sonstigen schuldbefreienden Ereignisses vorsah. Konkret stützt

sich die DSB auf die geänderte Löschfrist des § 256 Abs 1 IO, der die Veröffentlichung von Informationen zum Insolvenzverfahren in der Insolvenzdatei regelt, und spricht sich für eine mögliche Anwendbarkeit dieser Löschfrist aus, zumindest wenn die Informationen für die Bonitätsbeurteilung aus der Insolvenzdatei stammen. Es soll vermieden werden, dass ein Schuldner auch nach Zahlung der Schulden im geschäftlichen Verkehr mit Schwierigkeiten zu kämpfen hat. Die DSB will sich jedoch nicht auf eine generelle Anwendbarkeit dieser Löschfrist festlegen, sondern nennt diese nur als Richtschnur und ist offen für eine genauere Beurteilung und Abwägung einer länger andauernden Bonitätsrelevanz. Gegen den Bescheid wurde eine Bescheidbeschwerde erhoben - eine E des BVwG steht jedoch noch aus.

Auch das OLG Schleswig zieht für die Festlegung der zulässigen Speicherdauer von Informationen über eine Restschuldbefreiung bei Kreditauskunfteien die insolvenzrechtlichen Löschfristen nach § 3 Abs 2 InsoBekV⁶ heran und verneint ein berechtigtes Interesse der Kreditauskunfteien oder eines Dritten nach Ablauf der Löschfrist der Insolvenzdatei. Es handle sich zwar um ein bonitätsrelevantes Datum, jedoch sind die Interessen der Auskunftei nach Ablauf dieser Frist nicht mehr berechtigt, weil eine weitere Verarbeitung die normativen Vorgaben aus der InsoBekV unterlaufen würde, die dem Schuldner nach einer Wohlverhaltensperiode einen Neustart ermöglichen, der durch eine Publizität der vergangenen Insolvenz erschwert wäre.

Dem ist jedoch entgegenzuhalten, dass die Veröffentlichung von Daten bezüglich Insolvenzverfahren in der Insolvenzdatei einen anderen Hauptzweck hat als die Bereitstellung von Bonitätsdaten einer Kreditauskunftei. Die Bekanntmachung in der Insolvenzdatei soll va bereits bestehende Gläubiger absichern, weil eine Zahlung an einen insolventen Schuldner nach Insolvenzeröffnung - außer bei Eigenverwaltung - grds nicht von der Schuld befreit, und soll dem Gläubiger außerdem die Möglichkeit zur Prüfung einräumen, ob er eine offene Forderung anmelden muss, um seinen Anspruch gegenüber der Insolvenzmasse nicht zu verlieren. Die Publizität ist daher für diese Zwecke nach Abschluss des Insolvenzverfahrens nicht mehr relevant und eine zeitnahe Löschung der Daten erforderlich.

Die Bereitstellung von Bonitätsauskünften durch eine Kreditauskunftei hat hingegen den Zweck, einem Kunden der Auskunftei Informationen über die Bonität seines potenziellen Vertragspartners vor Vertragsabschluss bereitzustellen, um eine angemessene Entscheidung darüber zu ermöglichen, ob überhaupt ein Obligo eingegangen wird und/oder welche (Zahlungs-)Konditionen angeboten werden. Insb für Unternehmen, die gegenüber ihren Geschäftspartnern in Vorleistung treten, ist es essenziell, die Zahlungsmoral ihrer potenziellen Vertragspartner einschätzen zu können.

Eine unterschiedliche Betrachtungsweise je nachdem, ob die Zahlungserfahrungsdaten aus der Insolvenzdatei stammen oder anderweitig beschafft wurden, erscheint nicht geboten. Sowohl der Umstand eines bereits abgeschlossenen Insolvenzverfahrens als auch der Umstand von in der Vergangenheit unbeglichenen Verbindlichkeiten, die mittlerweile beglichen wurden, erscheinen als gleichwertig relevant für die Beurteilung der Bonität. Allfällige "Wohlverhaltensperioden" werden in beiden Fällen berücksichtigt, weil kein Argument vorliegt, eine zurückliegende Insolvenz anders zu beurteilen als vergangene Zahlungsstockungen.

Außerdem sind die Informationen in der Insolvenzdatei für jeden öffentlich zugänglich. Eine Bonitätsauskunft darf jedoch nur erteilt werden, wenn eine Einwilligung gem Art 6 Abs 1 lit a DSGVO, eine rechtliche Verpflichtung gem Art 6 Abs 1 lit c DSGVO oder ein überwiegendes berechtigtes Interesse gem Art 6 Abs 1 lit f DSGVO vorliegt. Auch dieser Umstand macht einen erheblichen Unterschied für die Intensität des Eingriffs in die Rechte der betroffenen Schuldner und rechtfertigt daher eine unterschiedliche Behandlung der Sachverhalte.

Das BVwG hat eine Relevanz von Löschfristen der Insolvenzdatei verneint, weil sich die datenschutzrechtliche Zulässigkeit der Führung der Insolvenzdatei auf § 256 IO - eine rechtliche Verpflichtung iSd Art 6 Abs 1 lit c DSGVO - stützt, die einer Bonitätsdatenbank über private (potenzielle) Schuldner zugunsten von privaten (potenziellen) Gläubigern hingegen auf überwiegende berechtigte Interessen gem Art 6 Abs 1 lit f DSGVO. Die Löschfrist nach der IO schlägt daher nicht auf eine Datenverarbeitung aufgrund einer anderen Rechtsgrundlage durch. Eine derartige Einschränkung würde EU-Sekundärrecht widersprechen, weil nationale Bestimmungen für die Verarbeitung personenbezogener Daten zusätzlich zu der vorgesehenen Interessenabwägung verlangen würden, dass diese Daten in öffentlich zugänglichen Quellen enthalten sind.⁷

Es sprechen daher die besseren Argumente für die Rsp des BVwG und des OGH, weil zum einen die Zwecke der Bonitätsauskunft mit jenen der Veröffentlichung von Informationen in der Insolvenzdatei nicht vergleichbar sind. Der Zweck des Beobachtungszeitraums der CRR zur Bewertung der Ausfallswahrscheinlichkeit von Forderungen bei einem Kreditinstitut kommt dem Zweck der Bonitätsauskunftserteilung deutlich näher als der Zweck der Veröffentlichung von Insolvenzverfahren in der Insolvenzdatei, deren Informationen sich va an bereits bestehende Gläubiger richten. Zum anderen sind die Informationen in der Insolvenzdatei für jedermann zugänglich, eine Speicherung von Zahlungserfahrungsdaten und eine Bonitätsauskunft bedürfen hingegen einer weiteren Rechtsgrundlage nach Art 6 DSGVO, wodurch eine Kenntnisnahme deutlich erschwert wird und das Recht auf Privatsphäre der betroffenen Personen daher umfangreicher geschützt wird.

4. Interessen von Dritten gemäß Art 6 Abs 1 lit f DSGVO zulässig?

Das OLG Schleswig⁸ und das VG Wiesbaden⁹ lassen bei der Verarbeitung von Bonitätsdaten die berechtigten Interessen eines Dritten gem Art 6 Abs 1 lit f DSGVO in Gestalt von zukünftigen Gläubigern nicht zu, weil der Dritte zum Zeitpunkt der Sammlung von Informationen noch nicht bekannt ist. Ein bloßes Allgemeininteresse von möglichen zukünftigen Gläubigern würde nicht ausreichen, weil ansonsten eine unzulässige Vorratsdatenspeicherung vorliegen würde.

Der OGH setzt sich damit nicht auseinander, sondern spricht zumeist von einem Überwiegen der berechtigten Interessen von Dritten in Gestalt von Kunden der Kreditauskunftei. Er unterscheidet dabei aber nicht zwischen der Verarbeitung, die das "Sammeln" und die (vorerst) vermeintlich "anlasslose" Erhebung und Speicherung der Daten betrifft, und der anschließenden Übermittlung der Daten nach einer Anfrage an einen konkreten Kunden der Kreditauskunftei.

Die Sammlung und Speicherung von Zahlungserfahrungsdaten vor einer konkreten Anfrage eines Kunden kann dabei auf die Interessen der verantwortlichen Kreditauskunftei gestützt werden. Diese Interessen sind jedenfalls berechtigt, weil das Gewerbe der Kreditauskunftei und damit wohl auch eine zu dessen Ausübung erforderliche Verarbeitung personenbezogener Daten national gesetzlich (§ 152 GewO) und auch vom EuGH¹⁰ anerkannt sind. Auf das Vorliegen von Interessen Dritter kommt es für die Zulässigkeit dieser Verarbeitungsvorgänge nicht an. Bei der anschließenden Übermittlung der Bonitätsdaten an einen konkreten Kunden sind sodann (auch) die Interessen der Kunden iS von "Dritten" nach Art 6 Abs 1 lit f DSGVO zu beachten. Zu diesem Zeitpunkt ist der Kunde jedoch jeweils bereits konkret bekannt.

Die deutsche Judikatur interpretiert diesbezüglich zudem den Begriff des "bloßen Allgemeininteresse" zu weit. "Bloß allgemeine Interessen" liegen nur dann vor, wenn der Zweckbindungsgrundsatz nach Art 5 Abs 1 lit b DSGVO durch eine zu ungenaue Interessenabwägung gefährdet wäre.¹¹ Es müssen nämlich "schutzwürdige und objektiv begründbare Interessen" verfolgt werden.¹² Im Falle einer Interessenabwägung zur Verarbeitung von Bonitätsdaten ist der Begriff des "Dritten" als Kunde von Kreditauskunfteien aber genau umschrieben und sind die Interessen von vornherein klar, auch wenn keine konkrete Person genannt werden kann, weil diese noch nicht feststeht. Es kann aber trotzdem eine Interessenabwägung durchgeführt werden, die schutzwürdige und objektiv begründbare Interessen betrifft und den Zweckbindungsgrundsatz nicht unterläuft. Selbst wenn schon für die Zulässigkeit der bloßen Sammlung und Speicherung von Zahlungserfahrungsdaten Interessen Dritter erforderlich wären, könnte diese auf solche Interessen gestützt werden, obgleich der konkrete Dritte noch nicht konkret bezeichnet werden kann.

5. Resümee

Resümierend ist festzuhalten, dass die E des OGH bei näherer Betrachtung durchaus Sprengkraft entfalten kann, wenn man die Aussage zur zulässigen Speicherdauer von Zahlungserfahrungsdaten so auslegt, dass die Aussagekraft der Bonitätsdaten immer besser wird, je länger die Zahlungserfahrungsdaten gespeichert werden und deshalb eine längere Speicherdauer grds immer zu bevorzugen sei. Das könnte zu einer ausufernden ewigen Speicherdauer von Zahlungserfahrungsdaten führen, die nicht mit den Grundsätzen der Datenminimierung und Speicherbegrenzung vereinbar ist. Gegen diese Auslegung spricht jedoch, dass sich der OGH im Grunde an die Rsp des BVwG anlehnt, der eine Verknüpfung zum Beobachtungszeitraum von zumindest fünf Jahren der CRR zugrunde liegt. Daraus und aus der bisherigen Rsp des BVwG, die eine Speicherdauer von weniger als fünf Jahren bisher immer als zulässig erachtet hat, könnte ein Argument für eine Zulässigkeit einer Speicherdauer von fünf Jahren gewonnen werden, solange keine speziellen Umstände aufseiten der betroffenen Personen vorliegen, die aufgrund des Überwiegens der Interessen der betroffenen Person zur Erforderlichkeit einer vorzeitigen Löschung führen.