Kredi Değerlendirmesinde Ödeme Geçmişinin Silinmesi

Postadresse:
Erdbergstraße 192 – 196
1030 Wien
Tel: +43 1 601 49 – 0
Fax: + 43 1 711 23-889 15 41
E-Mail: [email protected]
www.bvwg.gv.at

Entscheidungsdatum
06.10.2023

Geschäftszahl

W176 2265088-1/10E

I M N A M E N D E R R E P U B L I K !

Das Bundesverwaltungsgericht hat durch den Richter Mag. NEWALD als Vorsitzenden sowie
die fachkundigen Laienrichter Mag. BOGENDORFER und RAUB über die Beschwerde der XXXX
, vertreten durch BAKER McKENZIE Rechtsanwälte LLP & Co KG, gegen den Bescheid der
Datenschutzbehörde vom 08.11.2022, Zl. D124.1070/22, 2022-0.664.422 (Mitbeteiligte
Partei: XXXX ), betreffend Verletzung im Recht auf Löschung, in nichtöffentlicher Sitzung zu
Recht erkannt:

Der Beschwerde wird Folge gegeben und der Spruch des angefochtenen Bescheids
dahingehend abgeändert, dass die Datenschutzbeschwerde der mitbeteiligten Partei als
unbegründet abgewiesen wird.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

-2-

Entscheidungsgründe :

I. Verfahrensgang

1. Mit Eingabe vom 05.08.2022 erhob die mitbeteiligte Partei (MP) bei der
Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) eine
Datenschutzbeschwerde gegen die nunmehrige Beschwerdeführerin (BF) wegen Verletzung
im Recht auf Löschung und brachte begründend zusammengefasst vor, die BF speichere vier
Datensätze zu ihr, wobei einer davon ihr ehemaliges Einzelunternehmen betreffe und die
anderen drei Datensätze positiv erledigt worden seien. Die BF habe der MP mitgeteilt, dass
sie ihrem Antrag auf Löschung nicht nachkommen werde.

2. Mit Erledigung vom 11.08.2022 übermittelte die belangte Behörde der BF die
Datenschutzbeschwerde und forderte sie zur Beantwortung folgender Fragen auf:

„1. Wer ist aus Ihrer Sicht als datenschutzrechtlicher Verantwortlicher gemäß Art. 4 Z 7
DSGVO für die beschwerdegegenständliche Bonitätsdatenbank / Warnliste zu
qualifizieren? Bitte begründen Sie ihre Ausführungen.

2. Wann erfolgte die Eintragung der Bonitätsdaten / des Insolvenzvermerks der
beschwerdeführenden Partei in die beschwerdegegenständliche Bonitätsdatenbank /
Warnliste (Angabe des Datums)?

3. Wurde die beschwerdeführende Partei als betroffene Person gemäß Art. 13 DSGVO
(direkte Datenerhebung) oder gemäß Art. 14 DSGVO (indirekte Datenerhebung) über
den beschwerdegegenständlichen Eintrag in die Bonitätsdatenbank / Warnliste
informiert und falls ja, zu welchem konkreten Zeitpunkt (Angabe des Datums) und von
wem (Angabe jener Stelle, die die Informationspflicht erfüllt hat)?

4. Falls Frage 3 bejaht wird, werden Sie im Rahmen Ihrer Rechenschaftspflicht gemäß
Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO zusätzlich aufgefordert, der Datenschutzbehörde
einen Nachweis für die Erfüllung Ihrer Informationspflicht zu übermitteln.“

-3-

3. In ihrer Stellungnahme vom 23.08.2022 führte die BF im Wesentlichen aus, es treffe zu,
dass sie drei Zahlungserfahrungsdaten zur MP verarbeite. Eine weitere Zahlungserfahrung
betreffend das Unternehmen der MP sei kulanzhalber gelöscht und die MP darüber am
08.08.2022 informiert worden.

Zum Recht auf Löschung wurde ausgeführt, dass datenschutzrechtliche Rechtsgrundlage der
Verarbeitung bonitätsrelevanter personenbezogener Daten in der Datenbank der BF
berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO seien. Die berechtigten Interessen lägen
auch auf Seiten Dritter vor, da der Zweck der Datenverarbeitung durch die BF darin bestehe,
jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die im Rahmen ihrer
wirtschaftlichen Tätigkeit ein Kreditrisiko – etwa bei der Lieferung ihrer Waren oder
Dienstleistungen – eingehen (z.B. Lieferung auf offene Rechnung). Insbesondere für diese
Unternehmen, die gegenüber ihren Vertragspartnern in Vorleistung treten, sei es essentiell
die Zahlungsmoral ihrer potentiellen Vertragspartner einschätzen zu können. Abfragen in der
Datenbank der BF seien dabei ein wesentliches Mittel zur Erlangung dieser Informationen. Die
Rechtmäßigkeit der Verarbeitung dieser Daten hänge folglich nicht von der Einwilligung eines
Betroffenen ab. Die MP habe die grundsätzliche Richtigkeit der drei weiterhin vorliegenden
Zahlungserfahrungen nicht bestritten. Die MP stütze ihr Löschbegehren lediglich darauf, dass
die weiterhin gespeicherten Zahlungserfahrungen bereits positiv geklärt worden seien. Die
„Eröffnung“ einer Forderung und die Meldung derselben an die BF durch ein Inkassobüro
erfolge erst, nachdem die betroffene Person dreimal erfolglos gemahnt worden und daher ein
fortgesetzter, qualifizierter Zahlungsverzug eingetreten sei. Das Datum der Eröffnung der
Forderung liege daher für gewöhnlich Monate nach dem Datum des Eintritts der Fälligkeit der
Forderung. Wenn die MP die Zahlungserfahrungsdaten sohin von Inkassounternehmen
erhalte, befinde sie sich bereits in fortbestehendem, qualifizierten Zahlungsverzug. Um ein
sachlich richtiges und vollständiges Bild der zu einer Person gespeicherten, bonitätsrelevanten
Daten zu ermitteln und damit dem Grundsatz der Datenrichtigkeit nach Art. 5 Abs. 1 lit. d
DSGVO Genüge zu tun, sei es daher wichtig, dass auch bereits bezahlte Forderungen in der
Datenbank der BF verblieben. Die Wahrscheinlichkeit künftiger Zahlungsausfälle sei statistisch
signifikant erhöht, sobald es in der Vergangenheit zu einem oder mehreren Zahlungsausfällen
gekommen sei. Art. 5 Abs. 1 lit. d DSGVO erkenne die Datenrichtigkeit als einen elementaren
Grundsatz des Datenschutzes an. Datenrichtigkeit könne jedoch nur dann vorliegen, wenn
sämtliche richtige verfügbare Daten, die für die Bonitätsbeurteilung relevant seien,
verarbeitet werden. Würde die BF dem Ansuchen der MP vollumfänglich nachkommen und
sämtliche verfahrensgegenständliche Forderungen löschen, hätte dies ein verzerrtes und
unrichtiges Bild über die Bonität der MP zur Folge: Kunden der BF würden im Rahmen von

-4-

Datenabfragen aus der Datenbank der BF die Information erhalten, dass zur MP keine
Zahlungserfahrungsdaten gespeichert seien. Die MP würde daher dieselbe
Bonitätsbeurteilung erhalten wie eine Person, die ihre Schulden stets fristgerecht beglichen
habe. Die BF würde ihren Kunden daher jene Zahlungserfahrungen, auf die es schließlich in
der Bonitätsbeurteilung ankommen, verschweigen. Dadurch würde im wirtschaftlichen
Verkehr mit Unternehmen, die gegenüber der BF in Vorleistung träten, der Eindruck einer
besseren Bonität entstehen, was nicht den Tatsachen entspreche. Wie bereits aus der
Datenschutzbeschwerde hervorgehe, seien mehrere Forderungen der MP erst nach
mehrmaliger Mahnung und Betreibung durch Inkassoinstitute beglichen worden. In einem Fall
seien Betreibungsmaßnahmen durch einen Rechtsanwalt notwendig gewesen. Den hinter
diesen Forderungen stehenden Gläubigern sei dadurch – zumindest temporär – ein enormer
finanzieller Schaden entstanden. Durch dieses säumige Zahlungsverhalten seien die Gläubiger
der MP weiters gezwungen gewesen, aufwendige Betreibungsmaßnahmen zu setzen. Würde
die BF die verfahrensgegenständlichen Zahlungserfahrungen löschen und diesen Umstand
somit bei der Darstellung der Bonität der MP verschweigen, bestehe in letzter Konsequenz die
Gefahr, dass den in Vorleistung tretenden Unternehmen, die mit der MP kontrahieren und
denen das Vorliegen der verfahrensgegenständlichen Zahlungserfahrungen vorenthalten
werde, ebenfalls ein enormer Schaden aus potenziell eintretenden Zahlungsausfällen
zugefügt werde oder sie zumindest einem aufwendigen Betreibungsprozess ausgesetzt
werden würden. Deren Interessen würden dadurch unzumutbar beeinträchtigt werden. Die
drei weiterhin gespeicherten Zahlungserfahrungen hätten aufgrund ihrer Relevanz für die
gegenständlichen Zwecke in der Datenbank der BF zu verbleiben. Die Forderungen seien erst
2019 bzw. 2020 positiv erledigt (d.h. bezahlt) worden, nachdem dies mehrere Monate bis zu
über drei Jahren unberechtigt ausgehaftet hätten. Im Hinblick auf die Speicherdauer stützt
sich die BF auf bestätigte Rechtsprechung des Bundesverwaltungsgerichts, wonach unter
Berücksichtigung der EU-Kapitaladäquanzverordnung eine Speicherdauer von mindestens
fünf Jahren zulässig sei. Die drei zur MP weiterhin vorliegenden Zahlungserfahrungen hätten
erst am 29.04.2019, am 27.11.2019 und am 31.07.2020 positiv erledigt werden können,
nachdem diese über mehrere Monate bis zu über drei Jahren unberichtigt ausgehaftet hätten.
Der Oberste Gerichtshof (OGH) habe weiters ausgesprochen, dass sogar eine zehnjährige
Speicherung von Zahlungserfahrungsdateien zulässig sei. Im Ergebnis sei damit nach nunmehr
ständiger Rechtsprechung von einer zulässigen Speicherdauer von mindestens fünf Jahren ab
Erledigung der Forderung auszugehen. Auch sei die Zusammenschau mehrerer
Forderungseinträge bedeutsam, als sie Rückschlüsse auf das vergangene Zahlungsverhalten
der MP zulasse. Zudem handle es sich um Forderungen, die über eine enorme Dauer –
(betreffend eine Forderung) bis zu über drei Jahren bis zur Begleichung – ausgehaftet hätten.

-5-

Da die Speicherung und Verarbeitung der Daten zur MP zweckkonform auf einer
Rechtsgrundlage erfolgt sei und die Verarbeitung der verbleibenden Zahlungserfahrungen
innerhalb eines als für die Verarbeitungstätigkeit als erforderlich und sinnvoll zu erachtenden
fünfjährigen Mindest-Speicherzeitraums ab Erledigung der Forderung liege, sei eine Löschung
der verbleibenden Zahlungserfahrungsdaten bis dato nicht erfolgt. Ferner hätte selbst eine –
hier jedenfalls nicht vorliegende und nicht vorgebrachte – Verletzung der Informationspflicht
keine Rechtswidrigkeit der Verarbeitung bzw. Pflicht zur Löschung zur Folge.

Überdies ging die BF auf die Frage einer Verletzung im Recht auf Information ein.
4. Mit Eingabe vom 15.09.2022 replizierte die MP im Wesentlichen, sie finde es dubios, dass
Daten fünf Jahre lang gespeichert würden. Bis zum Zeitpunkt einer Kreditanfrage bei ihrer
Bank habe die MP von der BF nicht gewusst. Es könne nicht sein, dass Daten so lange
gespeichert werden; bei Personen, die in Privatkonkurs gingen, werde nach sieben Jahren alles
gelöscht. Nach der DSGVO sei die Speicherung von allgemeinen Daten von Personen ohne
deren Wissen rechtswidrig. Die MP wolle, dass ihre Daten gelöscht werden. Sie kenne kein
Unternehmen, das nicht in Zahlungsverzug sei; Derartiges passiere leider. Außerdem sei sie in
den letzten Jahren öfters umgezogen und habe ihre Post somit oft nicht erhalten. Sie habe
aber alles beglichen und wolle, dass die BF ihre Daten lösche, damit sie ihre Firma weiter
aufbauen könne. Dies sei nur mit einem Kredit möglich, den die MP als Jungunternehmerin
brauche. Die Daten seien ohne ihr Wissen und Wollen gespeichert worden.

5. Mit dem bekämpften Bescheid vom 08.11.2022 gab die belangte Behörde der
Datenschutzbeschwerde der MP statt und stellte fest, dass die BF die MP in ihrem Recht auf
Löschung verletzt habe, indem sie dem Antrag der MP auf Löschung ihrer negativen
Zahlungserfahrungen über EUR 23,98, EUR 1.036,73 sowie EUR 35,95 nicht entsprochen habe
(Spruchpunkt 1.). Ferner wurde der BF aufgetragen, binnen zwei Wochen bei sonstiger
Exekution die genannten Einträge der MP über negative Zahlungserfahrungen von EUR 23,98,
EUR 1.036,73 sowie EUR 35,95 zu löschen (Spruchpunkt 2.).

Begründend wurde im Wesentlichen ausgeführt, dass die BF den Nachweis für die Einhaltung
der Grundsätze und damit der Rechtmäßigkeit der Verarbeitung nicht erbracht habe. Denn es
könne nicht festgestellt werden, ob betreffend der verbleibenden
beschwerdegegenständlichen Zahlungserfahrungen (die Daten bezüglich der Forderung iHv
EUR 1.865,99, eröffnet am 31.10.2018, beglichen am 02.10.2019, sei inzwischen gelöscht
worden) hinreichende Informationsschreiben ergangen seien. Die BF habe nämlich trotz
Aufforderung weder die konkreten an die MP ergangenen Informationsschreiben betreffend
der Einmeldung der gegenständlichen Zahlungserfahrungen noch sonstige Unterlagen

-6-

vorgelegt, aus denen die tatsächliche Zustellung der Schreiben an die MP hervorgehe, obwohl
die BF gemäß Art. 5 Abs. 2 DSGVO dazu verpflichtet wäre. In Ermangelung einer
nachweislichen tatsächlichen Vorab-Information der MP über die gegenständliche
Verarbeitung der Zahlungserfahrungen könne der informationelle Gehalt der Mahnschreiben
somit dahingestellt bleiben und erübrige sich in dieser Konstellation eine nähere Prüfung, ob
die Informationsschreiben den vom OGH aufgestellten Anforderungen genügten. Soweit die
BF vorbringe, dass sie zum bzw. vor dem Zeitpunkt der Eintragung eine entsprechende
(allgemeine) Information in der Datenschutzerklärung auf ihre Website gestellt gehabe habe,
sei daraus mit Blick auf Art. 12 DSGVO nichts für die MP zu gewinnen.

6. Gegen diesen Bescheid erhob die BF die gegenständlich vorliegende Beschwerde, in der sie
im Wesentlichen Folgendes vorbringt:

§ 24 Abs. 4 DSG normiere eine absolute Präklusionsfrist von drei Jahren „nachdem das Ereignis
behaupteter Maßen stattgefunden hat“. Das behauptete Ereignis bestehe darin, dass die MP
vor den Übermittlungen der streitgegenständlichen Zahlungserfahrungsdaten an die BF am
15.03.2016, 20.07.2018 und am 03.02.2020 (die sog. „Einmeldungen“) nicht hinreichend
informiert bzw. gar „gewarnt“ worden wäre. Die dreijährige Präklusionsfrist des § 24 Abs. 4
DSG sei daher hinsichtlich der Übermittlung vom 15.03.2016 spätestens am 15.03.2019 und
hinsichtlich der Übermittlung vom 20.07.2018 spätestens am 20.07.2021 abgelaufen. Die
datenschutzrechtliche Beschwerde der MP sei daher gemäß § 24 Abs. 4 Satz 2 DSG in diesem
Umfang als verfristet zurückzuweisen.

Die BF bringt ferner vor, es sei ständige Rechtsprechung des Bundesverwaltungsgerichts, dass
die Einhaltung der Art. 12 ff DSGVO die Frage der Rechtmäßigkeit der Datenverarbeitung nicht
berühre. Art. 5 DSGVO regle das „Wie“, die Art und Weise der Verarbeitung, während Art. 6
DSGVO das „Ob“, die Rechtmäßigkeit der Verarbeitung, betreffe. Diese beiden Fragen seien
strikt voneinander zu trennen. Die Rechtsansicht der belangten Behörde hätte
konsequenterweise zur Folge, dass jeder Verstoß gegen die Art und Weise der Verarbeitung
(das „Wie“) auch eine unrechtmäßige Datenverarbeitung bedeuten würde. Dann müsste es
aber in jedem Fall der berechtigten oder allenfalls sogar verpflichtenden Datenverarbeitung
ausnahmslos zu einer Löschung kommen. Eine solche ausnahmslose Löschverpflichtung wäre
aber systemwidrig, da Art. 17 Abs. 1 lit. d DSGVO explizit vorsehe, dass selbst bei Widerruf
einer Einwilligung Daten nur dann zu löschen seien, wenn es an einer anderweitigen
Rechtsgrundlage fehle (Hinweis auf BVwG 11.10.2022, W292 2257585-1; 31.05.2021, W256
2227693-1). Eine Verletzung von Informationspflichten führe nicht per se zu einer
Unrechtmäßigkeit einer Datenverarbeitung. Das gelte jedenfalls auch für

-7-

Informationspflichten, die die belangte Behörde offenbar aus dem Grundsatz der
Verarbeitung nach Treu und Glauben ableite. Wenn aber die Verletzung ausdrücklich
normierter Informationspflichten nach Art. 12 ff DSGVO schon nicht zu einer
Unrechtmäßigkeit der Verarbeitung führe, so müsse dies umso mehr für Informationspflichten
gelten, die nicht ausdrücklich in der DSGVO normiert seien, sondern aus dem Grundsatz der
Verarbeitung nach Treu und Glauben abgeleitet werden. Eine wie von der belangten Behörde
insinuierte Warn- bzw. Vorabinformationspflicht habe das Bundesverwaltungsgericht
(Hinweis auf BVwG 11.10.2022, W292 2257585) explizit ausgeschlossen. Etwas Anderes
ergebe sich auch nicht aus der von der belangten Behörde angeführten Entscheidung des
EuGH in der Rs C-439/19, da – wie die belangte Behörde selbst festhalte – sich aus dieser
Entscheidung lediglich ergebe, dass eine Verarbeitung nicht nur eine Rechtsgrundlage
erfordere, sondern auch den Grundsätzen der Datenverarbeitung nach Art. 5 DSGVO
entsprechen müsse. Aus dieser vom EuGH vorgenommenen Aufzählung der Erfordernisse der
(i) Rechtsgrundlage und (ii) Einhaltung der Grundsätze der Datenverarbeitung folge, dass eine
Missachtung eines Grundsatzes nach Art. 5 DSGVO gerade nicht die Rechtsgrundlage
beseitige, widrigenfalls die vom EuGH vorgenommene Aufzählung beider Erfordernisse gar
nicht erforderlich gewesen wäre. Dass eine Verletzung eines Grundsatzes der
Datenverarbeitung nach Art. 5 DSGVO zum Entfall der Rechtsgrundlage nach Art. 6 DSGVO
führe, sage der EuGH dort gerade nicht. Ganz unabhängig davon, ob die BF daher ihren
Informations- oder Warnpflichten nachgekommen sei, sei die gegenständliche
Datenverarbeitung daher rechtmäßig gewesen. Für den Fall, dass die personenbezogenen
Daten nicht bei der betroffenen Person erhoben worden seien, seien die gegenüber der
betroffenen Person zu erfüllenden Informationspflichten in Art. 14 DSGVO abschließend
geregelt. Dies gelte ausschließlich vorbehaltlich darüber hinausgehender ausdrücklich in der
DSGVO normierter Informationspflichten. Eine Warnpflicht sei ihrem Wesen nach ein Recht
eines Betroffenen auf Information. Allerdings regle die DSGVO die Betroffenenrechte in
Kapitel III (Art. 12ff) abschließend, sodass es systemwidrig wäre, aus einem Grundsatz der
Datenverarbeitung (Kapitel II) ein neues Betroffenenrecht abzuleiten. Ferner ergebe sich aus
einem Umkehrschluss aus Art. 14 Abs. 2 DSGVO, dass es die von der belangten Behörde
offenbar angenommene Warnpflicht nicht gebe. Nach der Rechtsprechung bestünden die
Informationspflichten nach Abs. 2 leg.cit. „nur dann […], wenn dies notwendig ist, um eine
faire oder transparente Verarbeitung zu gewährleisten“. Dies bedeute, dass die sich allenfalls
aus den Grundsätzen der Fairness und Transparenz ergebenden Informationspflichten in Abs.
2 leg.cit. geregelt seien. Die von der belangten Behörde noch zum DSG 2000 ergangene
Rechtsprechung sei bereits deshalb nicht einschlägig, weil das DSG 2000 eine Regelung,
welche mit Art. 14 Abs. 2 DSGVO vergleichbar wäre, nicht enthalten habe. Entgegen der

-8-

unzutreffenden Rechtsansicht der belangten Behörde ergebe sich aus dem Grundsatz der
Verarbeitung nach Treu und Glauben auch keine Warnpflicht bei Einmeldung von
Zahlungserfahrungsdaten durch ein Inkassobüro an eine Kreditauskunftei. Auch sei aus der
Entscheidung des OGH vom 15.12.2005, Zl. 6 Ob 275/05t, keine Warnpflicht bei Einmeldung
von Zahlungserfahrungsdaten durch ein Inkassobüro an eine Kreditauskunftei abzuleiten; der
dieser Entscheidung zugrundeliegende Sachverhalt habe die Warnliste der Banken betroffen
und unterscheide sich grundlegend vom verfahrensgegenständlichen Sachverhalt, weshalb
die zitierte Entscheidung nicht einschlägig sei. Dies entspreche auch der Auffassung des
Bundesverwaltungsgerichts in seiner Entscheidung vom 11.10.2022, Zl. W292 2257585-1.

7. Die belangte Behörde legte die Beschwerde samt den bezughabenden
Verwaltungsunterlagen dem Bundesverwaltungsgericht vor, stellte den Antrag, die
Beschwerde abzuweisen und erstattete zum Beschwerdevorbringen der BF folgende
Stellungnahme:

Der maßgebliche Zeitpunkt für den Beginn der Präklusionsfrist sei die Ablehnung des
Löschantrages durch die BF und somit der 27.07.2022. Die Beschwerde wegen Verletzung im
Recht auf Löschung vom 05.08.2022 sei somit innerhalb der Frist des § 24 Abs. 4 DSG
eingebracht worden. Seit wann die Datenverarbeitung über die MP bestehe bzw. die – nach
Ansicht der Behörde unzureichende – Information des Inkassobüros erfolgt sei, sei für die
Präklusionsfrist hingegen nicht ausschlaggebend.

Die Grundsätze der Datenverarbeitung fänden sich in Art. 5 DSGVO, der Nachfolgeregelung
von Art. 6 der RL 95/46, wobei der europäische Gesetzgeber in Art. 5 Abs. 1 lit. a DSGVO durch
den Zusatz „Personenbezogene Daten müssen auf rechtmäßige Weise nach Treu und Glauben
und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden
(‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘)“, die Notwendigkeit
der Transparenz als eigenständigen Grundsatz noch einmal eigens hervorgehoben habe.
Jedenfalls könne, da Art. 5 DSGVO nur unwesentlich von Art. 6 der RL 95/46/EG abweiche, auf
die dazu ergangene Rechtsprechung des EuGH – aber auch auf jene des
Verwaltungsgerichtshofs und des OGH zu § 6 DSG 2000 – verwiesen werden. Nach der
gefestigten Rechtsprechung des EuGH sei es erforderlich, dass sich eine Datenverarbeitung
nicht nur auf einen der Gründen nach Art. 7 der RL 95/46/EG (umgesetzt durch § 8 DSG 2000)
– nunmehr Art. 6 DSGVO – stützen können müsse; es müssten vielmehr grundsätzlich alle
Grundsätze nach Art. 6 der RL 95/46/EG – nunmehr Art. 5 DSGVO eingehalten werden. Dabei
führt die belangte Behörde als Beispiel das Urteil des EuGH vom 11.12.2019, Zl. C-708/18, Rz
36 an. Ferner stünden Art. 5 Abs. 1 lit. a und die Art. 13 und 14 DSGVO in einem trennbaren

-9-

Zusammenhang zueinander. Der EuGH messe in seiner noch zur RL 95/46/EG ergangenen
Rechtsprechung den Informationspflichten große Bedeutung bei, indem er ausführe, dass
„dieses Erfordernis einer Unterrichtung der von der Verarbeitung ihrer personenbezogenen
Daten betroffenen Personen umso wichtiger ist, als es die Voraussetzung dafür schafft, dass
sie ihr in Art. 12 der Richtlinie 95/46 festgelegtes Auskunftsrecht und Berichtigungsrecht in
Bezug auf die verarbeiteten Daten und ihr in Art. 14 der Richtlinie geregeltes Recht, der
Verarbeitung der Daten zu widersprechen, ausüben können“ (Hinweis auf EuGH 01.10.2015,
C-201/14, Rz 33). Demzufolge sei es, um dem Grundsatz der Datenverarbeitung nach Treu und
Glauben zu entsprechen, erforderlich, eine betroffenen Person über Übermittlungen an
andere zu unterrichten (Rz 34). Das bedeute, dass auch der EuGH einen untrennbaren
Zusammenhang zwischen (nunmehr) Art. 5 Abs. 1 lit. a und Art. 13 und Art. 14 DSGVO sehe.
Dies gehe auch eindeutig aus den Leitlinien des Europäischen Datenschutzes für Transparenz
gemäß der Verordnung 2016/679, WP 260 rev. 01, hervor. Es sei gemäß Art. 5 Abs. 2 DSGVO
Sache des Verantwortlichen, nachzuweisen, die betroffenen Person ausreichend informiert zu
haben. Diesen Nachweis der ausreichenden Information habe die BF nicht erbringen können.
Im vorliegenden Fall stelle sich die Frage, ob die MP von der BF ausreichend darüber informiert
worden sei, dass ihre personenbezogenen Daten für Zwecke der Bonitätsbewertung in eine
von der BF betriebenen Datenverarbeitung aufgenommen werden, was nach Ansicht der
belangten Behörde aufgrund folgender Erwägungen zu verneinen sei: Soweit die BF auf die
Entscheidung des Bundesverwaltungsgerichts vom 11.10.2022, W292 2257585-1 (wonach die
Rechtsprechung des OGH im Anwendungsbereich der DSGVO nicht heranzuziehen sei, weil
die Begriffe der DSGVO „autonom“ auszulegen sei) verweise, übersehe das
Bundesverwaltungsgericht, dass die zitierte Rechtsprechung des OGH im Grunde auf
Bestimmungen der RL 95/46/EG fuße, nämlich deren Art. 6 und 7, welche sich nur
unwesentlich von Art. 5 und Art. 6 DSGVO unterschieden. In diesem Erkenntnis werde nicht
schlüssig dargelegt, weshalb die Rechtsprechung des OGH zu RL 95/46/EG im
Anwendungsbereich der DSGVO nicht herangezogen werden könne. Die zitierte
Rechtsprechung des OGH könne sehr wohl nach wie vor als Richtschnur für eine Beurteilung
der Frage, ob die Aufnahme personenbezogener Daten in eine Datenbank, welche dazu diene,
die Bonität einer betroffenen Person zu beurteilen, herangezogen werden.

8. In der Folge übermittelte das Bundesverwaltungsgericht die Beschwerde sowie die
Stellungnahme der belangten Behörde den Verfahrensparteien und gab Gelegenheit zur
Stellungnahme.

9. Mit Schriftsatz von 14.07.2023 replizierte die BF, wobei sie zusammengefasst Folgendes
ausführte: Die MP habe nie behauptet, die Schreiben der Inkassoinstitute nicht erhalten zu

- 10 -

haben, und habe auch nicht vorgebracht, dass sie nicht ausreichend informiert worden sei. Sie
stehe lediglich auf den Standpunkt, dass die BF keine Zahlungserfahrungsdaten mehr
verarbeiten dürfe, weil sie die durch die Inkassoinstitute betriebenen Forderungen bereits
beglichen habe. Überdies legte die MP vom 31.03.2016, vom 20.07.2018 und vom 26.02.2020
datierende Informationsschreiben vor, die seitens der Inkassounternehmen an die MP
ergangen seien. Schließlich wiederholte die BF ihr Vorbringen, dass die Eintragungen in die
Datenbank das beschwerende Ereignis iSd § 24 Abs. 4 DSG sei, weshalb die Präklusionsfrist
bereits abgelaufen sei.

10. Diese Replik übermittelte das Bundesverwaltungsgericht in der Folge der belangten
Behörde sowie der MP und gab zugleich Gelegenheit zur Stellungnahme.

11. Mit Schriftsatz vom 20.09.2023 nahm die belangte Behörde zur Replik dahingehend
Stellung, dass sie auf das Urteil des EuGH vom 04.01.2023, Zl. C‑252/21, verwies wonach
gemäß Art. 5 DSGVO der Verantwortliche die Beweislast dafür trägt, dass die Daten u. a. für
festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise, nach Treu
und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet
werden. Zum Vorbringen der Verfristung hielt sie fest, dass das beschwerende Ereignis iSd §
24 Abs. 4 DSG nicht auf das Datum der Eintragung begrenzt zu sehen sei, sondern durch die
fortdauernde Verarbeitung in Folge verweigerter Löschung der gegenständlichen Einträge
durch die BF konstituiert werde.

12. Die BF machte von der Möglichkeit zur Stellungnahme jeweils keinen Gebrauch.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen

1.1. Die BF ist ein seit 26.10.2000 im Firmenbuch firmierendes Unternehmen und betreibt
unter anderem das Gewerbe der „Auskunftei über Kreditverhältnisse“.

1.2. Die BF verpflichtet ihre Vertragspartner (bspw. Inkassobüros) vertraglich zur Information
der betreffenden Person über die Datenübermittlung an die BF. Diese Information befindet
sich auf den Mahnschreiben, welche der jeweiligen Person im Zuge der Forderungsbetreibung
zugestellt werden. Die BF überprüft im Rahmen eines Kontrollverfahrens, ob ihre
Vertragspartner die vertragliche Verpflichtung zur Informationserteilung einhalten, indem sie
bei ihren Vertragspartnern Muster-Mahnschreiben abfragt.

- 11 -

1.3.1. Mit – die Aufforderung „Vermeiden Sie weitere rechtliche Schritte!“ enthaltendem –
Schreiben vom 31.03.2016 forderte die XXXX (nunmehr XXXX ) die MP – „nochmals“ – auf,
einen von ihr geschuldeten dass sie einen Betrag von EUR 83,51, darunter die Position „Offene
Forderung laut letztem Schreiben iHv € 35,98“ (= Forderung iHv € 23,98 zzgl. Mahnspesen iHv
€ 12,00), bis spätestens 08.04.2016 auf ein angeführtes Konto einzuzahlen. Mit rechtzeitiger
Zahlung bis zu diesem Termin stelle sie sicher, dass keine Meldung an Dritte erfolge. Weiters
enthält das Schreiben folgenden Hinweis:

1.3.2. Mit Schreiben vom 20.07.2018 teilte die XXXX der MP mit, dass sie von der XXXX
beauftragt sei, bei der MP eine seit 19.06.2018 fällige Forderung iHv € 1.036,73 zuzüglich
Zinsen iHv € 8,92 sowie Kosten iHv 203,89, insgesamt daher den Betrag von € 1.249,54 („fällig
bis 30.07.2018“) einzufordern. Überdies enthält das Schreiben folgenden Hinweis:

„Wir weisen Sie darauf hin, dass Zahlungserfahrungsdaten insbesondere über unbestrittene
und nach Eintritt der Fälligkeit unbezahlte Forderungen sowie Adressdaten an XXXX , [Adresse
in Wien], zur rechtmäßigen Verwendung im Rahmen ihrer Gewerbeberechtigungen gemäß §
151 (Adressverlage), § 152 (Auskunfteien über Kreditverhältnisse) und § 153(Dienstleistungen
in der autom Datenerhebung und Informationstechnik) der Gewerbeordnung 1994
übermittelt werden. Darüber hinaus werden von der XXXX erhaltene Informationen zur
Prüfung Ihrer Identität und Bonität herangezogen Nähere Informationen finden Sie unter
htttp://www. XXXX .at/datenschutz, www. XXXX .at.datenschutz.“

Auf den gegenständlich vorgelegten, von der X GmbH verwendeten Mahnschreiben finden
sich auszugsweise folgende Informationen:

1.3.3. Mit Schreiben vom 26.02.2020 teilte die XXXX der MP mit, dass sie von ihrer
Auftraggeberin beauftragt sei, eine – den seit 17.12.2019 fälligen Rechnungsbetrag iHv € 35,95
enthaltende – Forderung zu betreiben. Weiters enthält das Schreiben folgenden Hinweis:

„Zahlungserfahrungsdaten über unbestrittene und nach Eintritt der Fälligkeit unbezahlte
Forderungen sowie Adressdaten werden der XXXX , [Adresse in Wien], zur rechtmäßigen
Verwendung im Rahmen ihrer Gewerbeberechtigung gemäß §§ 151 (Adressverlag), 152
(Auskunftei über Kreditverhältnisse) und 153 (Dienstleistungen in der automatischen
Datenverarbeitung und EDV Technik) der Gewerbeordnung 1994 übermittelt. Detaillierte
Informationen zur Datenverarbeitung durch angegebene Auskunftei i.S.d. Art 14 DSGVO
finden Sie auf deren Webseite unter www. XXXX .at/konsumenten_informationen-zur-dsgvo“

- 12 -

1.4. Mit 29.07.2022 waren folgende Zahlungserfahrungsdaten der MP in der Datenbank der
MP erfasst:

Kapital- Zahlungs- Herkunft
Eröffnet Geschlossen Offen Forderungssatus
forderung status der Information

XXXX
03.02.2020 31.07.2020 35,95 € 0.00 € außergericht. Betreibung positiv erledigt

XXXX
20.07.2018 27.11.2019 1.036,73 € 0.00 € außergericht. Betreibung positiv erledigt

XXXX
31.10.2018 02.10.2019 1.865,99 € 0.00 € Betreibung durch positiv erledigt
Rechtsanwalt

XXXX
15.03.2016 29.04.2019 23,98 € 0.00 € Betreibung durch positiv erledigt
Rechtsanwalt

1.5. Die BF löschte die Zahlungserfahrungsdaten über die Forderung iHv EUR 1.865,99,
eröffnet am 31.10.2018, beglichen am 02.10.2019, worüber sie die MP mit Schreiben vom
08.08.2022 informierte.

1.6. Folgende Zahlungserfahrungen sind bis dato in der Datenbank der BF zur MP erfasst:

Kapital- Zahlungs- Herkunft
Eröffnet Geschlossen Offen Forderungssatus
forderung status der Information

XXXX
03.02.2020 31.07.2020 35,95 € 0.00 € außergericht. Betreibung positiv erledigt

XXXX
20.07.2018 27.11.2019 1.036,73 € 0.00 € außergericht. Betreibung positiv erledigt

XXXX
15.03.2016 29.04.2019 23,98 € 0.00 € Betreibung durch positiv erledigt
Rechtsanwalt

2. Beweiswürdigung

Die Feststellungen ergeben sich aus den von der belangten Behörde vorgelegten
Verwaltungsunterlagen und dem Gerichtsakt.

Die zu Punkt 3. getroffenen Feststellungen getroffenen Feststellungen stützen sich auf das
unwidersprochen gebliebene Vorbringen der BF in dem unter Punkt I.9. dargestellten
Schriftsatz in Verbindung mit den zugleich vorlegten Schreiben der XXXX , der XXXX sowie der
XXXX .

- 13 -

3. Rechtliche Beurteilung

Zu Spruchpunkt A):

3.1. Anzuwendendes Recht:

3.1.1. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen
bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr.
24/2018, lauten auszugsweise wie folgt:

„Beschwerde an die Datenschutzbehörde

§ 24 (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde,
wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen
Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) – (3) …

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht
binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat,
längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden
hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.“

3.1.2. Die hier relevanten Bestimmungen der Verordnung (EU) 2016/679 des Europäischen
Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der
Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der
Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im
Folgenden: DSGVO, lauten:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

(1) „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder
identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als
identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere
mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu

- 14 -

Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen
Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen,
wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind,
identifiziert werden kann;

(2) „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten
Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten
wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung
oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch
Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die
Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

(3) „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener
Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;

(4) „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die
darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte
persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere
um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche
Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser
natürlichen Person zu analysieren oder vorherzusagen;

(5) „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass
die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr
einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen
Informationen gesondert aufbewahrt werden und technischen und organisatorischen
Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer
identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;

(6) „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach
bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral,
dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

(7) „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder
andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der
Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser
Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann

- 15 -

der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung
nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

(8) „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder
andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

(9) „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere
Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr
um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten
Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten
möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die
Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den
geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;

(10) „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere
Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und
den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des
Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten

(11) „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in
informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer
Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene
Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden
personenbezogenen Daten einverstanden ist;

(12) - (17) …

(18) „Unternehmen“ eine natürliche und juristische Person, die eine wirtschaftliche Tätigkeit
ausübt, unabhängig von ihrer Rechtsform, einschließlich Personengesellschaften oder
Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen;

(19) „Unternehmensgruppe“ eine Gruppe, die aus einem herrschenden Unternehmen und
den von diesem abhängigen Unternehmen besteht;

(20) …

(21) „Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete
unabhängige staatliche Stelle;

(22) – (26) …

- 16 -

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person
nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und
Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer
mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine
Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für
wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß
Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung
notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle
angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf
die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden
(„Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so
lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist;
personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen
Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer
Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der
betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende
Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für
statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der
personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder
unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung
oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische
Maßnahmen („Integrität und Vertraulichkeit“);

- 17 -

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen
Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden
Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden
personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene
Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage
der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der
Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person
oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen
Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen
übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder
eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten
der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen,
insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben
vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung
der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1
Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die
Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach

- 18 -

Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere
besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird
festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der
Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein,
die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem
Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen
zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem
Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der
Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten
verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche
Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie
unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und
-verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer
rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige
besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der
Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem
angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) …

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der
betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle
Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis
22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter,
verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu
übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die
Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch

- 19 -

elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt
werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß
den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der
Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf
Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft
macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag
gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber
innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere
zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der
Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person
innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit
den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist
sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes
angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so
unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines
Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer
Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) – (8) …

Artikel 14

Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person
erhoben wurden

(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der
Verantwortliche der betroffenen Person Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines
Vertreters;

b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;

- 20 -

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die
Rechtsgrundlage für die Verarbeitung;

d) die Kategorien personenbezogener Daten, die verarbeitet werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen
Daten;

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen
Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie
das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder
im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1
Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die
Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der
betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der
betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht
möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten
Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden
personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der
Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf
Datenübertragbarkeit;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe
a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die
Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung
berührt wird;

e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus
öffentlich zugänglichen Quellen stammen;

- 21 -

g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß
Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen
über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer
derartigen Verarbeitung für die betroffene Person.

(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der
personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der
personenbezogenen Daten, längstens jedoch innerhalb eines Monats,

b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person
verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,

c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum
Zeitpunkt der ersten Offenlegung.

(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck
weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt
er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen
Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

a) die betroffene Person bereits über die Informationen verfügt,

b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen
unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung
für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische
Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1
genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels
genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich
macht oder ernsthaft beeinträchtigt In diesen Fällen ergreift der Verantwortliche geeignete
Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der
betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die
Öffentlichkeit,

c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der
Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum

- 22 -

Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt
ist oder

d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der
Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen
Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie
betreffende personenbezogene Daten unverzüglich gelöscht werden, und der
Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern
einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige
Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß
Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an
einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung
ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die
betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen
Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem
der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der
Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er
gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der
verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch
technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen

- 23 -

Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die
Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen
dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der
Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur
Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung
öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß
Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische
Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in
Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung
unmöglich macht oder ernsthaft beeinträchtigt, oder

e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

3.1.3. Die Bestimmung des § 152 der Gewerbeordnung 1994, BGBl. Nr. 194/1994, in der
geltenden Fassung lautet:

„§ 152. (1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über
Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private
Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.

(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen
Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von
sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder
die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der
Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch
wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.“

3.2. Zur datenschutzrechtlichen Rollenverteilung:

- 24 -

Festzuhalten ist, dass die MP als juristische Person in der Rechtsform einer Gesellschaft mit
beschränkter Haftung und Inhaberin einer Gewerbeberechtigung nach § 152 GewO 1994
(„Kreditauskunfteien“) in datenschutzrechtlicher Hinsicht als (alleinige) Verantwortliche im
Sinne von Art. 4 Z 7 DSGVO für sämtliche Verarbeitungsvorgänge im Zusammenhang mit dem
Betrieb des Gewerbes, insbesondere für sämtliche Verarbeitungsvorgänge
personenbezogener Daten im Rahmen ihrer Datenbank zur Verarbeitung von Bonitätsdaten
datenschutzrechtlich Betroffener, zu qualifizieren ist. Dies deshalb, da die MP allein über die
Mittel und Zwecke der Datenverarbeitung in Bezug auf ihre Gewerbeausübung bestimmt.
Dass die MP Verträge mit anderen Unternehmen schließt, wie insbesondere mit
Inkassounternehmen, die ihrerseits Zahlungserfahrungsdaten an die MP übermitteln, vermag
daran nichts zu ändern. Fallgegenständlich war sohin ausschließlich zu prüfen, ob die MP bei
der Verarbeitung der Zahlungserfahrungsdaten der BF Partei die datenschutzrechtlichen
Vorgaben der DSGVO – insbesondere der in Art. 5 Abs. 1 leg. cit. normierten Grundsätze –
eingehalten hat.

3.3. Zur fragliche Präklusion des Rechts zur Erhebung einer Datenschutzbeschwerde:

3.3.1. Nach § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung
seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden
personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen
eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen
Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem
Geheimhaltungsanspruch nicht zugänglich ist.

Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der
Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden
personenbezogenen Daten gegen die DSGVO oder gegen die § 1 oder Artikel 2 1. Hauptstück
verstößt.

Eine Verletzung der Informationspflicht nach Art. 14 DSGVO muss nicht unter § 1 Abs. 1
subsumiert werden, sondern kann unmittelbar auf Basis der DSGVO als subjektives Recht iSv
§ 24 geltend gemacht werden. Die betroffene Person kann sich daher antragsunabhängig auf
Art. 14 DSGVO stützen (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 24
[Stand 01.02.2022, rdb.at], Rz 117)

Gemäß § 24 Abs. 4 DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der
Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden
Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter

- 25 -

Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen. § 24 Abs.
4 DSG normiert eine relative Präklusionsfrist für die Geltendmachung des Beschwerderechts
von einem Jahr ab Kenntnis des beschwerenden Ereignisses sowie eine absolute
Präklusionsfrist von drei Jahren nach Stattfinden des Ereignisses (Schweiger in Knyrim,
DatKomm Art. 77 DSGVO [Stand 1.12.2021, rdb.at] Rz 14). Die absolute Präklusionsfrist
beginnt schon mit dem Stattfinden des Ereignisses zu laufen, unabhängig davon, ob und wann
die betroffene Person davon Kenntnis erlangt. Bei „fortgesetzter Schädigung“ bei
rechtswidrigen Dauerzuständen beginnt die subjektive einjährige als auch die objektive
dreijährige Präklusivfrist nicht vor Beendigung dieses Dauerzustandes (vgl. dazu BVwG vom
15.04.2020, W211 2219095-1/5E; OGH vom 25.09.2017, 6 Ob 217 /16d).

3.3.2. Sofern die MP nunmehr vorbringt, die Datenschutzbeschwerde der BF sei verfristet
gewesen, ist entgegenzuhalten, dass eine Verfristung des Beschwerderechts – wie die
belangte Behörde zutreffend vorgebracht hat – gegenständlich schon deshalb nicht in
Betracht kommt, da bei „fortgesetzter Schädigung“ bei (behauptetermaßen) rechtswidrigen
Dauerzuständen sowohl die subjektive einjährige als auch die objektive dreijährige
Präklusivfrist nicht vor Beendigung dieses Dauerzustands beginnt (vgl. BVwG 15.04.2020,
W211 2219095-1/5E). Da die beschwerdegegenständlichen Daten in Folge verweigerter
Löschung von der BF auch weiterhin bearbeitet werden, wurde der Lauf die genannten Fristen
noch nicht ausgelöst.

3.4. Zur Rechtmäßigkeit der verfahrensgegenständlichen Verarbeitung der
Zahlungserfahrungsdaten der MP durch die BF als Kreditauskunftei:

3.4.1. Wie sich aus den Feststellungen ergibt, speichert die BF seit fortlaufend (negative)
Zahlungserfahrungsdaten der MP, (nach Löschung der Kapitalforderung in Höhe von EUR
1.865,99) konkret noch die Forderungen in der Höhe von EUR 35,95, EUR 1.036,73 und von EUR
23,98), die der BF von Inkassounternehmen, zu denen ein entsprechendes Vertragsverhältnis
besteht, übermittelt wurden. Wie ebenfalls festgestellt, verpflichtet die MP ihre
Vertragspartner (Gläubiger und Inkassounternehmen) vertraglich dazu, vor der Übermittlung
von Zahlungserfahrungsdaten an sie die betroffene Person darüber zu informieren, dass die
jeweiligen Informationen an die MP als Kreditauskunftei übermittelt werden, sofern keine
Zahlung erfolgt oder kein Einwand gegen die Forderung erhoben wird. Soweit die belangte
Behörde davon ausging, die BF habe im Zusammenhang mit der Speicherung (und weiteren
Verarbeitung) der in Rede stehenden Zahlungserfahrungsdaten gegen den von Art. 5 Abs. 1
lit. a DSGVO normierten Grundsatz („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben,
Transparenz“) verstoßen, war dem aufgrund der nachstehenden Erwägungen nicht zu folgen:

- 26 -

3.4.2. Der in der DSGVO nicht näher bestimmte Begriff „Treu und Glauben“ findet sich bereits
in der Datenschutzkonvention des Europarats und ist auch unmittelbar in Art 8 Abs. 2 GRC
normiert. Er stammt ursprünglich aus dem anglo-amerikanischen Rechtskreis und ist im
deutschen Recht ein einigermaßen gefestigter Rechtsbegriff, der z.B. auch im (deutschen) §
242 BGB vorkommt. Im vorliegenden Zusammenhang ist jedoch eine autonome
unionsrechtliche Auslegung des Begriffs „Treu und Glauben“ geboten. Aus dem 47.
Erwägungsgrund zur DSGVO erhellt, dass die Bedeutung des Begriffs „Treu und Glauben“ in
der DSGVO nicht nur autonom, sondern auch DSGVO-spezifisch auszulegen ist, wie auch ein
Blick auf die englische Sprachfassung („fairly“) zeigt. Treu und Glauben ist demnach im Sinne
von Fairness zu interpretieren. Erwägungsgrund 47 erster Satz zur DSGVO befasst sich mit dem
Umstand, dass die „vernünftigen Erwartungen der betroffenen Person, die auf ihrer
Beziehung zu dem Verantwortlichen beruhen“, als Maßstab heranzuziehen sind. Eine
Verarbeitung nach Treu und Glauben muss somit innerhalb dessen liegen, womit der
Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie
es der Verantwortliche nach außen hin darstellt.

In der DSGVO wird der Grundsatz der Transparenz durch die Art. 13 und 14 zur
Informationspflicht sowie Art 12 zu den diesbezüglichen Modalitäten konkretisiert. Diesen
Bestimmungen sowie den Erwägungsgründen 39 und 58 kann somit auch der Gehalt des
Grundsatzes der Transparenz entnommen werden. Für die Betroffenen muss erkennbar sein,
dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für
welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden und an wen sie
ggf. übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften,
Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über
die Geltendmachung dieser Rechte. Die Bedeutung der Transparenz der Verarbeitung und
somit der Informationspflicht bildet damit notwendige Voraussetzung für die Ausübung der
Betroffenenrechte. Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten
erfolgt bzw. ist ihm nicht bekannt, wer seine Daten verarbeitet, kann er seine diesbezüglichen
Rechte nach Art 15 - 21 DSGVO nicht geltend machen (vgl. zu alldem:
Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO, Rz 13ff).

Wie festgestellt, hat die MP die unter Punkt I.3. dargestellten Schreiben der
Inkassounternehmen erhalten. Zum informationellen Gehalt dieser Schreiben ist festzuhalten,
dass aus jedem dieser Schreiben hinreichend deutlich hervorgeht, dass bei Zahlungsverzug die
Daten an die BF weitergeleitet und diese für Bonitätsauskünfte verwendet werden. Schließlich
wäre es der MP aufgrund dieser Informationen auch möglich gewesen, sich auf der Website
der BF weitere Informationen im Hinblick auf das Gewerbe der MP einzuholen und

- 27 -

insbesondere deren Datenschutzerklärung „Auskunftei und Adressverlag“ abzurufen, in der
u.a. über die Zwecke der Datenverarbeitung, die Quellen personenbezogener Daten
(insbesondere auch Inkassoinstitute), die verarbeiteten Datenkategorien (insbesondere auch
Zahlungserfahrungsdaten), die Rechtsgrundlage der Datenverarbeitung nach der DSGVO, die
Kategorien von Empfängern, an die die personenbezogene Daten übermittelt werden
(insbesondere auch Kunden/Partner der BF mit berechtigtem Interesse an den jeweils
bereitgestellten Informationen, insbesondere Unternehmen der Kreditwirtschaft und des
(Internet-)Handels, die gegenüber betroffenen Personen in Vorleistung treten [z. B. Kauf auf
offene Rechnung, Kreditvergabe, Kreditkartengeschäft etc.]) sowie die Speicherdauer
informiert wird.

3.4.3. Bei Berücksichtigung sämtlicher Umstände vermag das Bundesverwaltungsgericht im
gegenständlichen Zusammenhang nicht zu erkennen, weshalb es für die MP nicht
vorhersehbar gewesen sein soll, dass die in Rede stehenden Zahlungserfahrungsdaten für den
Fall, dass sie keine Einwände gegen die Forderung erhebt oder diese nicht bis zum genannten
Zeitpunkt begleicht, an die BF als Unternehmen im Bereich Kreditauskunfteien zur
Bonitätsbewertung übermittelt würden. Das Bundesverwaltungsgericht übersieht dabei nicht,
dass die in Rede stehenden Mahnschreiben in Bezug auf die genauen Umstände der
Datenverarbeitung durch die BF eher rudimentär gehalten waren. Jedoch kann im
Gesamtkontext aller Informationen, die der MP zur Verfügung standen, im vorliegenden Fall
nicht gesagt werden, dass die BF bei der Verarbeitung (Einholung der
Zahlungserfahrungsdaten durch einen Vertragspartner und fortlaufende Speicherung
derselben ab März 2016) gegen den Grundsatz nach Art. 5 Abs. 1 lit. a DSGVO (Rechtmäßigkeit,
Treu und Glauben, Transparenz“) verstoßen hat. Nach Ansicht des erkennenden Senates
entspricht es vielmehr der allgemeinen Lebenserfahrung, dass bei Ignorieren mehrfacher
Zahlungsaufforderungen durch Gläubiger bzw. Inkassobüro eine Übermittlung an eine
Kreditauskunftei erfolgt. Dies gilt insbesondere, wenn es sich wie im gegenständlichen Fall
um unbestrittene Forderungen handelt.

Auch ist darauf hinzuweisen, dass die lückenlose Einhaltung der Informationspflicht nach Art.
14 Abs. 1 und 2 DSGVO nicht zu den in Art. 6 Abs. 1 DSGVO genannten Gründen für die
Rechtmäßigkeit der Verarbeitung zählt (vgl. VwGH 09.05.2023, Ro 2020/04/0037-8).

3.5. Zur Interessenabwägung im Sinne von Art. 6 Abs. 1 lit. f DSGVO:

3.5.1. Personenbezogene Daten sind über Antrag des Betroffenen u.a. dann zu löschen, wenn
sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr

- 28 -

notwendig sind, sie unrechtmäßig verarbeitet wurden oder die betroffene Person
Widerspruch gemäß Artikel 21 Abs 1 DSGVO gegen ihre Verarbeitung erhoben hat (Art 17 Abs
1 lit a, c 1. Fall und d DSGVO). Einem Löschungsbegehren stünde daher eine Datenverwendung
entgegen, die notwendig und rechtmäßig ist und gegen die kein wirksamer Widerspruch
erhoben worden ist. Die Rechtmäßigkeit der Speicherung der (noch
verfahrensgegenständlichen) Zahlungserfahrungsdaten der BF durch die MP ist anhand einer
Interessenabwägung im Sinne von Art. 6 Abs. 1 lit. f DSGVO zu beurteilen.

In seinem Erkenntnis vom 30.10.2019, Zl. W258 2216873, setzte sich das
Bundesverwaltungsgericht mit der Frage auseinander, wie lange eine Speicherung von Daten
über getilgte Forderungen durch eine Kreditauskunftei rechtmäßig sein kann, dies auch unter
Beachtung der Verarbeitungsgrundsätze nach Art. 5 DSGVO, „Zweckbindung“,
„Datenminimierung“, „Richtigkeit“ und „Speicherbegrenzung“. Dabei ging es zunächst davon
aus, dass die zulässige Speicherdauer in Ermangelung konkreter Fristen nach der DSGVO oder
der GewO vom Einzelfall abhänge, solche Zahlungsinformationen für das künftige
Zahlungsverhalten aber umso weniger Aussagekraft enthielten, je länger sie zurücklägen und
je länger es zu keinen weiteren Zahlungsstockungen oder Zahlungsausfällen gekommen sei
(„Alter der Forderung“ und „seitheriges Wohlverhalten“). Im Weiteren suchte das BVwG in
rechtlichen Bestimmungen, die dem Gläubigerschutz dienten, nach Beobachtungs- und
Löschfristen als Richtlinie für die zulässige Speicherdauer. Als solche Bestimmung zog das
Bundesverwaltungsgericht die Verordnung (EU) 575/2013 („Kapitaladäquanzverordnung“)
heran, die Kreditinstitute verpflichte, ihre Kunden zu bewerten und diverse Risiken ihrer
Forderungen abzuschätzen. Dabei hätten Kreditinstitute gegenüber natürlichen Personen
einen historischen Beobachtungszeitraum für zumindest eine Datenquelle von mindestens
fünf Jahren für Kredit- und Retailforderungen heranzuziehen. Wenn aber Kreditinstitute als
potentielle Geschäftspartner des Betroffenen rechtlich verpflichtet seien, ihre Forderungen
anhand der Ausfallsquoten zumindest der letzten fünf Jahre zu bewerten, so sei es – so
sinngemäß das Erkenntnis - kein Verstoß gegen das Prinzip der Datenminimierung und
Speicherbegrenzung, wenn Daten über Forderungen, die innerhalb dieser Frist temporär oder
gänzlich ausgefallen sind, durch eine Kreditauskunftei verarbeitet werden.

Gemäß den Verarbeitungsgrundsätzen nach Art. 5 DSGVO müssen personenbezogene Daten
- soweit verfahrensrelevant - für festgelegte, eindeutige und legitime Zwecke erhoben werden
(„Zweckbindung“), dem Zweck angemessen und erheblich sowie auf das für die Zwecke der
Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“), sachlich richtig und
erforderlichenfalls auf dem neuesten Stand sein („Richtigkeit“) und in einer Form gespeichert

- 29 -

werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für
die Zwecke, für die sie verarbeitet werden, erforderlich ist („Speicherbegrenzung“).

Die BF betreibt das Gewerbe der Kreditauskunftei gemäß § 152 Gewerbeordnung 1994. Zu
den Aufgaben der Gewerbetreibenden iSd § 152 GewO gehört die Erteilung von Auskünften
über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Kreditgeber sollen
dadurch aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer,
und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur
Verfügung stehen (Riesz in Ennöckl/Raschauer/Wessely, GewO § 152 Rz 2). Dadurch soll es
Kreditgebern ermöglicht werden, die Wahrscheinlichkeit, mit der der Kreditgeber am Ende
wegen seiner Forderung befriedigt wird, und allenfalls die Prognose, mit wie vielen
Schwierigkeiten das verbunden ist, zu bestimmen (Wendehorst, Was ist Bonität? Zum Begriff
der „Kreditwürdigkeit“ in § 7 VKrG, in Blaschek/Habersberger (Hrsg), Eines Kredites würdig?
(2011) 22). Eine Neigung zu vertragswidrigem Verhalten - etwa mangelnde finanzielle
Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck - lässt
sich vor allem aus dem Finanzgebaren in der Vergangenheit heraus prognostizieren. Relevant
ist dabei vergangenes vertragswidriges Verhalten, dass sich in schlichtem Zahlungsverzug,
aber auch in gerichtlichen Verfahren bis hin zu Exekutionshandlungen oder gar in einer
Insolvenzeröffnung manifestiert haben mag (aaO 23; vgl auch Heinrich, Bonitätsprüfung im
Verbraucherkreditrecht (Wien 2014) 89 f).

3.5.2. Die BF verarbeitet im Zuge des Betriebs des Gewerbes der Kreditauskunftei historische
Informationen über Zahlungsausfälle der MP, um sie (potentiellen) Gläubigern
bereitzustellen, damit diese das Risiko etwaiger Zahlungsausfälle bestimmen können. Dabei
handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten
(§ 152 GewO) Zweck. Die Daten sind auch richtig und vollständig, weil die Beschwerdeführerin
im Rahmen ihrer Datenbank und Auskünfte an Dritte auf die Tilgung der Forderung hinweist.

Fraglich ist, wie lange derartige Daten verarbeitet werden dürfen. Die MP führte hierzu im
Wesentlichen aus, dass eine Speicherung von fünf Jahren nicht gerechtfertigt sei. Sie sei von
der Datenverarbeitung insofern nachteilig betroffen gewesen, als ihr ein Kredit nicht gewährt
worden sei, den sie als Unternehmerin aber benötige.

Die Verarbeitung personenbezogener Daten ist u.a. gemäß Art. 6 Abs. 1 lit. f DSGVO zulässig,
wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten
erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der
betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist

- 30 -

eine einzelfallbezogene Interessenabwägung durchzuführen, bei der die berechtigten
Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder
Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz
personenbezogener Daten erfordern, gegenüberzustellen sind.

Die BF und ihre Kunden haben, sobald Verträge ein kreditorisches Risiko enthalten, ein
nachvollziehbares Interesse des kreditierenden Vertragspartners, dieses Risiko abzuschätzen.
Die Verarbeitung von Daten über historische Insolvenzen und Zahlungsausfälle erfolgt zum
Schutz potenzieller Vertragspartner der betroffenen Person, die Dritte iSv Art. 6 Abs. 1 lit f
DSGVO sind (vgl. auch Schantz in Simitis, Hornung, Spiecker, Datenschutzrecht, Art. 6 Abs. 1,
Rz 133 f, 137). Damit dient sie auch dazu, Kreditinstitute dabei zu unterstützen, die
Vorschriften der Kapitaladäquanzverordnung, die hinsichtlich der Schätzung der
Risikoparameter einen Beobachtungszeitraum von zumindest fünf Jahren vorsehen, zu
erfüllen. Dagegen haben betroffene Personen ein Interesse daran, auf Grund der Verarbeitung
nicht von Nachteilen im Wirtschaftsleben betroffen zu sein.

Das Bundesverwaltungsgericht verkennt nicht, dass die Höhe von zwei Forderungen, auf die
sich die weiterhin gespeicherten Zahlungserfahrungsdaten beziehen, relativ gering ist (EUR
35,95 bzw. EUR 23,98). In einer Zusammenschau ergibt sich jedoch, dass aufgrund des
Interesses der Vertragspartner der MP, Kreditrisiken abzuschätzen, wofür die Beobachtung
des historischen Zahlungsverhaltens des potentiellen Schuldners wesentlich ist – wobei auch
Forderungen von geringer Höhe relevant sind (vgl. BVwG 24.03.2021, W214 2216836-1/21E)
–, und vor dem Hintergrund, dass es der EU-Verordnungsgesetzgeber für erforderlich sieht,
das Risiko von Forderungen anhand eines zumindest fünfjährigen Beobachtungszeitraums
vergangener Zahlungsausfälle abzuschätzen, die Verarbeitung der gegenständlichen
Zahlungserfahrungsdaten, einschließlich am der 29.04.2019 – und somit vor ca. viereinhalb
Jahren – beglichenen Forderung über EUR 23,98 weiterhin erforderlich ist, zumal diese
Forderung trotz Mahnung erst nach etwa drei Jahren bezahlt wurde. Im gegenständlichen Fall
überwiegt das Interesse der MP an der Geheimhaltung der verfahrensgegenständlichen
historischen Zahlungsinformationen, um nicht im Wirtschaftsleben benachteiligt zu werden,
zum Entscheidungszeitpunkt noch nicht.

3.5.3. Die Verarbeitung der Zahlungserfahrungsdaten der BF durch die MP erweist sich somit
als rechtmäßig, weshalb der angefochtene Bescheid in Stattgabe der Beschwerde
dahingehend abzuändern war, dass die Datenschutzbeschwerde der MP als unbegründet
abgewiesen wird.

- 31 -

3.6 Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 VwGVG entfallen,
da der maßgebliche Sachverhalt nach der Aktenlage feststeht. Die Heranziehung weiterer
Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu
erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Auch nach
der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung
unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen
Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B
155/12).

Zu Spruchpunkt B) (Unzulässigkeit der Revision):

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder
Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der
Ausspruch ist kurz zu begründen.

Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der
grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des
Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der
Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung
des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine
sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es
war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.

Kredi Değerlendirmesinde Ödeme Geçmişinin Silinmesi

Türkçe özet

Hukuki mesele

Sonuç

Karar metni