EuGH: Beschränkung der Speicherdauer der Information über das Vorliegen einer Restschuldbefreiung bei Kreditauskunfteien

1. Einleitung

Entscheidungsgegenständlich ist die Verarbeitung von aus öffentlichen Registern erhobenen Informationen über natürliche Per-

---

sonen, wie zB aus dem Insolvenzregister, durch die SCHUFA auf Grundlage ihrer berechtigten Interessen gem Art 6 Abs 1 lit f DSGVO in ihrer eigenen Datenbank und deren Zurverfügungstellung an ihre Kunden als (potenzielle) Gläubiger dieser Personen zu Bonitätsbeurteilungszwecken. Davon erfasst sind auch Informationen über die Erteilung einer Restschuldbefreiung, die die SCHUFA in Anlehnung an die datenschutzrechtlichen Verhaltensregeln gem Art 40 DSGVO, die in Deutschland vom Verband der Wirtschaftsauskunfteien ausgearbeitet und von der zuständigen Aufsichtsbehörde genehmigt wurden, für einen Zeitraum von drei Jahren nach der Eintragung aufbewahrt und anschließend löscht. Dazu vorweg: Auch von einer zuständigen Aufsichtsbehörde genehmigte Verhaltensregeln können laut EuGH zwar zur ordnungsgemäßen Anwendung der DSGVO beitragen und diese präzisieren, jedoch - und dies ist nicht weiter überraschend - nicht zu einer anderen Beurteilung der Rechtmäßigkeit führen, als dies nach der hier verpflichtend vorzunehmenden Interessenabwägung gem Art 6 Abs 1 lit f DSGVO der Fall ist.² Die Rechtmäßigkeit der Datenaufbewahrung und somit die Berechtigung zweier diesbezüglich rechtsstreitauslösender Löschbegehren ist davon unabhängig zu beurteilen. Fraglich ist dabei, ob die SCHUFA als private Kreditauskunftei die dem Insolvenzregister entnommene Information über die Erteilung einer Restschuldbefreiung in einer eigenen Datenbank anlasslos zu speichern befugt ist, und wenn dies der Fall ist, ob sie diese für einen längeren Zeitraum speichern darf, als sie in diesem öffentlichen Register zugänglich ist.

2. Zulässige Speicherdauer von Informationen über die Restschuldbefreiung

Der EuGH bestätigt zunächst zwar die bisher vertretene Auffassung der Erforderlichkeit einer Einzelfallbetrachtung zur Festlegung der konkreten Speicherdauer von Zahlungserfahrungsdaten für Bonitätsauskünfte, wozu auch Informationen über die Erteilung einer Restschuldbefreiung gehören.³ In Fortführung seiner bisherigen Rsp gibt er den nationalen Gerichten jedoch "sachdienliche Hinweise" für diese einzelfallbezogene Beurteilung.⁴ Er erkennt die Interessen an einer objektiven und zuverlässigen Bewertung der Kreditwürdigkeit der potenziellen Vertragspartner von Kunden der Kreditauskunftei und die wirtschaftlichen Interessen der Kreditauskunftei an, weil dadurch Informationsunterschiede zwischen potenziellen Vertragspartnern (also den Kunden der Kreditauskunftei und den betroffenen Personen) ausgeglichen werden und folglich Betrugsrisiken und andere Unsicherheiten verringert werden können.

In diesem Zusammenhang bezieht er auch die Verpflichtung von Kreditgebern, die in Ausübung ihrer gewerblichen oder beruflichen Tätigkeit einen Kredit gewähren, zur Bewertung der Kreditwürdigkeit von Verbrauchern gem der VerbraucherkreditRL⁵ und der WohnimmobilienkreditRL⁶ ein, die das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten sollen.⁷ Im Zuge der Abwägung mit den Interessen der betroffenen Personen zieht der EuGH allerdings eine auf die mitgliedstaatliche Frist für die Zugänglichkeit von Informationen über die Restschuldbefreiung im öffentlichen Insolvenzregister abstellende zeitliche Grenze für deren Aufbewahrung. Die verfahrensgegenständliche deutsche InsoBekV sieht diesbezüglich eine Befristung der Zugänglichkeit mit spätestens sechs Monaten nach Rechtskraft der Entscheidung über die Restschuldbefreiung vor.⁸ Laut EuGH hat der nationale Gesetzgeber bei der Erlassung der nationalen Vorschrift über die Zugänglichkeit der Information im Insolvenzregister bereits eine Interessenabwägung durchgeführt, wonach die Interessen der betroffenen Person (zu ergänzen: an der Geheimhaltung dieser Informationen) diejenigen der "Öffentlichkeit", über die Information zur Restschuldbefreiung zu verfügen, nach Ablauf einer Frist von (hier) sechs Monaten überwiegen.⁹

Begründend führt der EuGH aus, dass die Restschuldbefreiung dem Begünstigten ermöglichen solle, sich erneut am Wirtschaftsleben zu beteiligen, und sie daher für diese Person im Allgemeinen existenzielle Bedeutung habe. Die Verwirklichung dieses Ziels wäre jedoch gefährdet, wenn Kreditauskunfteien zur Beurteilung der wirtschaftlichen Situation einer Person Informationen über eine Restschuldbefreiung speichern und solche Daten verwenden könnten, nachdem sie aus dem öffentlichen Insolvenzregister gelöscht worden sind, da diese Daten bei der Bewertung der Kreditwürdigkeit einer solchen Person stets als negativer Faktor verwendet werden. ¹⁰

Auch die Beurteilung der Zulässigkeit einer parallelen (zusätzlichen) Speicherung der Informationen aus dem Insolvenzregister durch Kreditauskunfteien und die Berücksichtigung des - vom EuGH betonten - dadurch verstärkten Eingriffs in das Recht der Person auf Achtung des Privatlebens überlässt der EuGH der Interessenabwägung durch das vorlegende Verwaltungsgericht Wiesbaden.¹¹

Eine Unzulässigkeit dieser fraglichen parallelen Speicherung scheint uE allerdings im Ergebnis ausgeschlossen zu sein: Der EuGH hat bereits in einer anderen E anerkannt, dass Bonitätsdatenbanken grds geeignet sind, die Ungleichheit des Informationsstands von Gläubiger und Schuldner sowie die Ausfallsquote von Kreditnehmern zu verringern und dadurch den Wirkungsgrad

---

des Kreditangebots zu erhöhen.¹² Die Führung einer Bonitätsdatenbank wäre ohne eine parallele Speicherung von Zahlungserfahrungsdaten, zu denen auch Informationen über die Erteilung einer Restschuldbefreiung gehören, nicht möglich. Zudem legen sowohl die VerbraucherkreditRL als auch die WohnimmobilienkreditRL, deren diesbezüglich relevante Bestimmungen der EuGH in seiner E selbst widergibt,¹³ fest, dass Kreditgebern Zugang zu Datenbanken sowohl privater Kreditbüros und Kreditauskunfteien als auch öffentlicher Register, die zur Bewertung der Kreditwürdigkeit verwendet werden, zu gewähren ist.¹⁴ Damit wird gerade auf Datenbanken wie jene der SCHUFA verwiesen, von deren (auch datenschutzrechtlicher) Zulässigkeit der europäische Gesetzgeber folglich auch dann ausgehen muss, wenn darin personenbezogene Daten verarbeitet werden, die öffentlichen Registern entnommen sind oder diesen entnommen werden können.¹⁵

3. Unterschiedliche Verarbeitungszwecke des Insolvenzregisters und der Datenbank einer Kreditauskunftei

Die Ansicht des EuGH, wonach der deutsche Gesetzgeber bei der Festlegung der sechsmonatigen Höchstspeicherdauer der Informationen über die Erteilung einer Restschuldbefreiung im Insolvenzregister bereits eine Interessenabwägung getroffen hätte, die auch die zulässige Speicherdauer der Informationen in einer Datenbank einer Kreditauskunftei begrenze,¹⁶ wird von ihm weder begründet noch ist ihr zu folgen. Der EuGH übersieht dabei wie schon der GA, dessen Ausführungen¹⁷ sich der EuGH anschließt und der in der von der SCHUFA angebotenen Dienstleistung sogar ausdrücklich keinen anderen Verarbeitungszweck als jenen des Insolvenzregisters erblickt,¹⁸ dass sich die Verarbeitungszwecke dieser beiden Datenbanken grundlegend voneinander unterscheiden: So liegt das Ziel des Insolvenzregisters darin, eine bessere Information der betroffenen Gläubiger und Gerichte zu gewährleisten und die Eröffnung von Parallelverfahren in grenzüberschreitenden Insolvenzfällen durch deren Vernetzung über das Europäische Justizportal zu verhindern¹⁹ und den betroffenen Gläubigern Fristen für die Anmeldung von Forderungen in diesen Insolvenzverfahren bekannt zu machen.²⁰ Dieser Zweck ist nach Abschluss des Insolvenzverfahrens erreicht, weshalb eine datenschutzrechtlich gehaltene, zeitnahe Löschung der Daten gesetzlich geregelt ist und auch vom Schuldner sogar vorzeitig - vor Ablauf der gesetzlich geregelten Fristen - beantragt werden kann.²¹ Ein Interesse daran oder ein Ziel, die allgemeine "Öffentlichkeit" (und nicht nur die von der Insolvenz betroffenen Gläubiger) über das Insolvenzverfahren und die weiteren in das Insolvenzregister einzutragenden Fakten zu informieren, besteht nicht; auch soll keine Aussage über ein zeitliches Ausmaß eines Informationsinteresses der Öffentlichkeit an den im Register enthaltenen Informationen für andere Zwecke als jene erfolgen, die das Insolvenzregister verfolgt.

Demgegenüber dient die Speicherung von Informationen in der eigenen Datenbank der Kreditauskunftei dem Zweck, (potenziellen) Gläubigern als Kunden der Kreditauskunftei Informationen über die Bonität seiner potenziellen Vertragspartner vor Vertragsabschluss bereitzustellen. Der Kunde soll durch die verbesserte Vorhersehbarkeit der Rückzahlungswahrscheinlichkeit eine angemessene Entscheidung darüber treffen können, ob er ein Obligo eingeht und/oder welche (Zahlungs-)Konditionen er anbietet.²² Eine Neigung zu vertragswidrigem Verhalten - etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck - lässt sich laut BVwG vor allem aufgrund des Finanzgebarens in der Vergangenheit prognostizieren, wofür insb auch der Umstand einer vergangenen Insolvenzeröffnung (und damit auch jener des Vorliegens einer Restschuldbefreiung) relevant ist.²³ Auf nachträgliche Veränderungen der Wirklichkeit, wie zB zwischenzeitige Änderungen der wirtschaftlichen Verhältnisse der betroffenen Person (wozu ebenso die Erteilung einer Restschuldbefreiung zählt), kommt es nicht an, weil die historischen Daten gemessen an dem bestimmten Entwicklungsstand richtig sind.²⁴

Wie bereits der OGH zutreffend ausgeführt hat, ist zudem eine lange Erfassung von Zahlungserfahrungsdaten notwendig, um Tendenzen feststellen und Momentaufnahmen vermeiden zu können und dadurch eine objektive, transparente und wahrheitsgemäße Information über die Bonität eines (künftigen) Schuldners bieten zu können. Eine zu kurze Speicherdauer wäre hingegen geeignet, ein verzerrtes Bild zu vermitteln.²⁵ Allfällige "Wohlverhaltensperioden" werden zudem ohnehin bei der Bonitätsbewertung berücksichtigt. Durch die richtige Einschätzung der Informationen

---

über die Restschuldbefreiung in Kombination mit weiteren Zahlungserfahrungsdaten oder anderen Informationen, die für die Bonitätsbeurteilung relevant sind, kann daher bei Einbeziehung von Informationen über die Erteilung einer Restschuldbefreiung eine umso wahrheitsgerechtere Bonitätsauskunft gewährleistet werden. Der Verarbeitung der Informationen über die Restschuldbefreiung, die zeitlich über die öffentliche Zugänglichkeit der Informationen im Insolvenzregister hinausgeht, liegt daher ein gewichtiges berechtigtes Interesse der Kreditauskunftei und ihrer Kunden zugrunde. Anders als bei Einsehbarkeit im öffentlichen Insolvenzregister haben zu Informationen einer Kreditauskunftei auch nur bestimmte Dritte in Form jener Kunden der Kreditauskunftei Zugang, die ein berechtigtes Interesse an diesen Informationen haben, weil sie idR entweder in aufrechter Geschäftsbeziehung mit der betroffenen Person stehen oder erwägen, eine solche mit dieser einzugehen. Das Vorliegen eines solchen Interesses ihrer Kunden müssen diese bestätigen und die Kreditauskunftei aufgrund ihrer datenschutzrechtlichen Rechenschaftspflicht nach den Art 5 Abs 2 und Art 24 Abs 1 DSGVO auch zumindest stichprobenartig überprüfen, um missbräuchliche Verwendung zu verhindern. Der ungleich begrenztere Adressatenkreis und die daraus resultierende eingeschränktere Verfügbarkeit der Informationen aus Datenbanken der Kreditauskunfteien rechtfertigen eine unterschiedliche (längere) Aufbewahrung.

Wie der EuGH in seiner früheren Rsp auch zutreffend festgestellt hat, sind Bonitätsdatenbanken zudem geeignet, den Wirkungsgrad von Kreditangeboten zu erhöhen, weil fehlende Informationen über das potenzielle Ausfallrisiko dazu führen, dass Kreditinstitute das Ausfallrisiko tendenziell in der Berechnung der Kreditkosten aller Kreditnehmer erhöhen.²⁶ Daraus folgt, dass auch Kreditnehmer, die ein niedriges Ausfallrisiko haben, höhere Kreditkosten zu tragen haben und das Kreditangebot insg verschlechtert wird.

4. Keine Berücksichtigung der CRR durch den EuGH

Die bisherige österr Rsp zieht als Richtschnur dafür, wie lange Zahlungserfahrungsdaten zur Beurteilung der Bonität eines potenziellen Kunden geeignet sind und daher für eine Bonitätsbeurteilung verarbeitet werden dürfen, den fünfjährigen Beobachtungszeitraum für Datenquellen der CRR heran.²⁷ Die CRR legt ua Aufsichtsanforderungen für Kreditinstitute und Wertpapierfirmen fest, um die Finanzstabilität zu sichern und einen hohen Grad an Anleger- und Einlegerschutz zu gewährleisten.²⁸ Umfasst sind auch Retailforderungen, also Forderungen gegen Privatkunden sowie kleine und mittlere Unternehmen. Für die dafür zu errechnende Ausfallswahrscheinlichkeit und die drohende Verlustquote sollen Datenquellen eines historischen Beobachtungszeitraums von mindestens fünf Jahren herangezogen werden. Wurde eine Datenquelle über einen längeren Zeitraum beobachtet und sind die entsprechenden Daten relevant, ist sogar dieser längere Beobachtungszeitraum heranzuziehen.²⁹ Der Zweck des Beobachtungszeitraums gem Art 180 ff CRR und die diesbezüglich - sogar durch den Unionsgesetzgeber selbst und hier auch tatsächlich - getroffene Interessenabwägung entsprechen daher vielmehr dem Zweck der Datenverarbeitung im Rahmen der Bonitätsbewertung durch eine Kreditauskunftei.

Hinzu kommt, dass Kreditinstitute und Wertpapierfirmen sogar verpflichtet sind, Bonitätsdaten von potenziellen Kunden für einen mindestens fünf Jahre zurückliegenden Zeitpunkt bei ihren Bonitätsbewertungen zu berücksichtigen. Für die Erfüllung dieser gesetzlichen Verpflichtung dienen gerade die Datenbanken der Kreditauskunfteien, die daher ein berechtigtes Interesse daran haben, Zahlungserfahrungsdaten für mindestens fünf Jahre zu speichern, um die Kreditinstitute und Wertpapierfirmen bei der Erfüllung ihrer gesetzlichen Verpflichtungen zu unterstützen.³⁰ Dass der EuGH im Rahmen seiner rechtlichen Beurteilung nicht die CRR als unmittelbar anwendbarer VO, dafür aber national (unterschiedlich) geregelte Speicherfristen herangezogen hat, ist bedauerlich. Im zumindest fünfjährigen Beobachtungszeitraum betreffend mindestens eine Datenquelle könnte somit für Kreditinstitute und Wertpapierfirmen eine unionsrechtliche Verpflichtung vorliegen, die nicht erfüllt werden kann, wenn Kreditauskunfteien zur Löschung der bonitätsrelevanten Daten vor Ablauf der fünf Jahre verpflichtet werden. Das nationale Vorsehen kürzerer Einsichtsfristen in nationale Insolvenzregister könnte daher im Lichte des Effektivitätsgrundsatzes von Unionsrechtswidrigkeit bedroht sein.

Weiters führt die Begrenzung der zulässigen Speicherdauer mit der jeweils mitgliedstaatlich festgelegten Höchstzugänglichkeitsdauer der Information über eine Restschuldbefreiung im öffentlichen Insolvenzregister im unionsweiten Vergleich zu unterschiedlichen Speicherdauern, wodurch nicht nur das von der DSGVO angestrebte Ziel einer unionsweiten Harmonisierung torpediert wäre, sondern auch erneut die Ansicht des EuGH zu hinterfragen ist, wonach die Festsetzung dieser Höchstspeicherdauer das Ergebnis einer Interessenabwägung zwischen Geheimhaltungsinteressen der betroffenen Person und jenen der Öffentlichkeit wäre; eine solche Interessenabwägung sollte in jedem Mitgliedstaat auch vor dem Hintergrund der europäischen Harmonisierung des Datenschutzrechts, die weit tiefer gehend ist als jene in den Bereichen des Insolvenz- und Insolvenzverfahrensrechts, zum gleichen Ergebnis gelangen.

5. Anwendungsbereich der EuGH-Entscheidung

Gegenstand des Urteils ist nur die Speicherung von Informationen über die Erteilung einer Restschuldbefreiung von natürlichen Personen, die aus einem öffentlichen Insolvenzregister stammen.

---

Seine Anwendbarkeit erstreckt sich somit wohl auf alle Informationen, die gem § 256 Abs 2 IO aus dem Insolvenzregister gelöscht werden, sofern danach eine Restschuldbefreiung erteilt wird, die jedoch vom Schuldner beantragt werden muss. Das sind die Beendigung des Sanierungsplans und des Abschöpfungsverfahrens sowie der Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist. Seine Präjudizwirkung³¹ umfasst daher jedoch nicht die Speicherung von anderen Zahlungserfahrungsdaten, worunter jedenfalls (1) Daten über Zahlungsausfälle fallen, die nicht von einer Restschuldbefreiung umfasst sind, und (2) Daten über noch offene Forderungen.³² Der von der DSB in einer Mitteilung zur Sensibilisierung der Kreditauskunfteien gem Art 57 Abs 1 lit d DSGVO verwendete Begriff der "Insolvenzdaten" geht daher wohl zu weit.³³

Durch die sehr generell gehaltenen Ausführungen des EuGH³⁴ in Bezug auf die zulässige Speicherdauer entsprechender Informationen in Datenbanken von Kreditauskunfteien, die nicht darauf abstellen, aus welcher Quelle die Kreditauskunftei diese Information bezieht, bleibt jedoch offen, ob Daten über das Vorliegen einer Restschuldbefreiung, die nicht - wie gegenständlich jene der SCHUFA - aus einem öffentlichen Register wie dem Insolvenzregister, sondern aus anderen Quellen stammen, von der E des EuGH erfasst sind.³⁵ Da die Quelle der Information jedoch einen Faktor bei der Interessenabwägung darstellen kann, weil die vernünftigen Erwartungen der betroffenen Person dabei berücksichtigt werden und diese je nach Quelle divergieren können, besteht ein Argumentationsspielraum dahin gehend, dass aus anderen Quellen erhobene Informationen nicht den vom EuGH festgelegten Einschränkungen unterliegen.

Derselben Ansicht könnte - wenn auch nur stillschweigend - der 5. Senat des OGH sein: Dieser hat sich bereits nach der Veröffentlichung der EuGH-E mit der Speicherdauer von Informationen über eine Restschuldbefreiung beschäftigt. Er wies eine aoRev mangels erheblicher Rechtsfrage zurück, die ein Löschbegehren betreffend eine Eintragung über ein Schuldenregulierungsverfahren mit Restschuldbefreiung in der Kleinkreditevidenz und der Bankenwarnliste³⁶ betraf.³⁷ Obwohl der Eintrag über die Restschuldbefreiung im Insolvenzregister nicht mehr zugänglich war und ungeachtet der Ausführungen des EuGH bestätigte der OGH unter Bezug auf seine Rsp zu den Geboten der Speicherbegrenzung, die - je nach Einzelfall - tolerierte Speicherdauer von bis zu zehn Jahren. Anders als im Fall des EuGH stammten die Informationen im vom OGH entschiedenen Fall von einem Kreditinstitut und nicht aus der Insolvenzdatei. Eine Auseinandersetzung mit der EuGH-E blieb der OGH jedoch schuldig; in seiner E sind auch keine Ausführungen enthalten, weshalb er von der Rsp des EuGH abweicht.

6. Resümee

Die Festlegung der Dauer einer Einsehbarkeit von Informationen über die Restschuldbefreiung im nationalen Insolvenzregister durch den deutschen Gesetzgeber besagt nichts über das Ergebnis einer Interessenabwägung zur Beurteilung der zulässigen Speicherdauer von Informationen über die Restschuldbefreiung in der eigenen Datenbank der SCHUFA als Kreditauskunftei. Aufgrund divergierender Zwecke des öffentlichen Insolvenzregisters und der Datenbank der SCHUFA hätte eine gesonderte Interessenabwägung zwischen den Interessen der Kreditauskunfteien und ihrer Kunden einerseits und den Interessen der betroffenen Personen andererseits für die Beurteilung der Frage der zulässigen Aufbewahrungsdauer von Informationen über eine Restschuldbefreiung in der Datenbank einer Kreditauskunftei erfolgen müssen. Passend erscheint hingegen vor dem Hintergrund seines Zwecks weiterhin der fünfjährige Beobachtungszeitraum der CRR, der bisher als Richtschnur für die Speicherdauer von Zahlungserfahrungsdaten (wie einer Information über die Erteilung einer Restschuldbefreiung) von den österr Behörden und Gerichten herangezogen wurde. Nicht von der Bindungswirkung des EuGH-Urteils umfasst sind jedenfalls Daten (1) über Zahlungsausfälle, die nicht von einer Restschuldbefreiung umfasst sind, und (2) über noch offene Forderungen. Ob die nationalen Gerichte eine Unterscheidung für Daten über Restschuldbefreiung, die nicht aus einem öffentlichen Register stammen, sondern selbst "gesammelt" wurden, vornehmen werden, kann aus der OGH-E 5 Ob 34/23w nicht mit ausreichender Sicherheit geschlossen werden, weil sich der OGH in seinem Beschluss nicht mit der EuGH-E befasst hat.