Postadresse:
Erdbergstraße 192 – 196
1030 Wien
Tel: +43 1 601 49 – 0
Fax: + 43 1 711 23-889 15 41
E-Mail: [email protected]
www.bvwg.gv.at
E N T S C H E I D U N G S D AT U M
0 5 . 1 1 . 2 0 2 4
G E S C H Ä F T S Z A H L
W 2 9 2 2 2 4 7 0 6 3 - 1 / 1 8 E
I M N A M E N D E R R E P U B L I K !
Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden
und die fachkundigen Laienrichter Mag. Mathias SCHACHNER und Mag. René BOGENDORFER
als Beisitzer, über die Beschwerde des XXXX gegen den Bescheid der Datenschutzbehörde
vom 16.08.2021, GZ. XXXX (mitbeteiligte Partei XXXX , vormals XXXX ), in nicht öffentlicher
Sitzung zu Recht erkannt:
A)
Der Beschwerde wird teilweise Folge gegeben und der angefochtene Bescheid mit der
Maßgabe abgeändert, dass der Spruch insgesamt zu lauten hat wie folgt:
„Der Datenschutzbeschwerde des XXXX (als „betroffene Person“ gemäß Art. 4 Z 1 DSGVO)
vom XXXX , gegen die XXXX , vormals XXXX (als Verantwortlicher gemäß Art. 4 Z 7 DSGVO),
wegen Verletzung im Recht auf Geheimhaltung, im Recht auf Löschung, im Recht auf
Widerspruch, im Recht auf Berichtigung und im Recht auf Einschränkung der Verarbeitung
wird teilweise stattgegeben und es wird festgestellt wie folgt:
1. Die Verantwortliche hat den Betroffenen dadurch in dessen Grundrecht auf
Datenschutz nach § 1 Abs. 1 DSG verletzt, indem diese personenbezogene Daten zum
Betroffenen hinsichtlich ein ihn betreffendes Schuldenregulierungsverfahren für den
Zeitraum ab dem XXXX , in einer von der Verantwortlichen im Rahmen deren
gewerblichen Tätigkeit als Kreditauskunftei betriebenen privaten Datenbank,
gespeichert und Dritten gegenüber auf deren Anfrage hin zur Verfügung gestellt hat,
da eine Verarbeitung personenbezogener Daten ab dem Zeitpunkt, ab dem eine
-2-
Einsicht hinsichtlich der betreffenden Informationen in die Insolvenzdatei nicht mehr
gewährt wurde, nicht auf Art. 6 Unterabsatz 1 lit. f DSGVO gestützt werden kann.
2. Im Übrigen wird die Beschwerde als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe :
I. Verfahrensgang:
1. Mit E-Mail vom 16.12.2019 wandte sich XXXX (im Folgenden: Beschwerdeführer) an die
Datenschutzbehörde (im Folgenden: belangte Behörde) und erhob unter Verwendung eines
Formularvordruckes der belangten Behörde Beschwerde zunächst gegen XXXX , gemeint
XXXX , nunmehr XXXX (im Folgenden: mitbeteiligte Partei) und brachte zusammengefasst wie
folgt vor: Die mitbeteiligte Partei speichere die Daten „nach rechtskräftiger Beendigung“ der
Insolvenz beziehungsweise Sanierungsverfahren viel zu lange. Durch die ungerechtfertigte
Einsichtsgewährung in historische, für die Bonitätsbeurteilung nicht mehr relevante Daten
entstehe dem Beschwerdeführer ein erheblicher Schaden dadurch, dass ihm der Zugang zu
Bankkrediten unmöglich gemacht werde. Der Gläubigerschutzverband müsse nach einem
angemessenen Zeitraum von längstens drei beanstandungsfreien Jahren den Negativeintrag
automatisch löschen, insbesondere aber einem individuellen Löschantrag entsprechen. Im
konkreten Fall habe der Beschwerdeführer zwar auch persönliche Schulden gehabt, das
Sanierungsverfahren sei allerdings ausschließlich wegen Bürgschaftsverpflichtungen eröffnet
worden. Sämtliche Schulden und Bürgschaften seien durch die Annahme des Sanierungsplans
abschließend geregelt worden, weitere Bürgschaften bestünden nicht. Der Beschwerdeführer
habe weder vor noch nach dem Sanierungsverfahren Anlass zu einem Negativeintrag
gegeben. Das Sanierungsverfahren sei am XXXX durch Annahme des Sanierungsplans
-3-
rechtskräftig abgeschlossen worden und die Zahlungen innerhalb eines Monats danach
erfolgt. Mit E-Mail vom XXXX brachte der Beschwerdeführer ergänzend vor, die mitbeteiligte
Partei habe sein Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG dadurch verletzt, dass
zwischenzeitlich keine der im Art. 6 Abs. 1 DSGVO aufgezählten Bedingungen für eine
bonitätseinschränkende Öffentlichmachung erfüllt seien.
Mit Eingabe vom XXXX verbesserte der Beschwerdeführer seine Datenschutzbeschwerde
und führte darin aus, die Beschwerde richte sich gegen die Verletzung des Grundrechts auf
Datenschutz gemäß § 1 DSG, die Verletzung im Recht auf Berichtigung gemäß Art. 16 DSGVO,
auf Löschung gemäß Art. 17 DSGVO und auf Einschränkung der Verarbeitung gemäß Art. 18
DSGVO und der Beschwerdeführer erhebe Widerspruch gemäß Artikel 21 DSGVO wegen
Verstoßes gegen Art. 6 Abs. 1 lit. e und f DSGVO. Der Beschwerdeführer sei in seinen Rechten
verletzt, weil die mitbeteiligte Partei in der Warnliste, WKE, Wirtschaftsdatenbank und
allfälligen sonstigen Dateien Negativeinträge betreffend die Bonität im Falle sonstiger
schuldbefreiender Zahlungen über sieben Jahre speichere und öffentlich zugänglich mache.
Diese siebenjährige Dauer sei zu lange und spätestens seit Inkrafttreten der DSGVO nicht mehr
zu rechtfertigen.
2. Mit Bescheid vom 16.08.2021 wies die belangte Behörde die Datenschutzbeschwerde des
Beschwerdeführers ab. Begründend führte die belangte Behörde aus, dass der von der
mitbeteiligten Partei geführte Eintrag über die gegenständliche Insolvenz auf einem beim
Landesgericht für Zivilrechtssachen XXXX am XXXX über den Revisionswerber eröffneten
Sanierungsverfahren beruhe. Dieses sei am XXXX mit Rechtskraft des angenommenen
Sanierungsplans aufgehoben worden. Das Ende der Zahlungsfrist sei mit XXXX festgelegt
worden. Die Zwecke der Datenverarbeitung und der Datenbank der mitbeteiligten Partei
bestünden darin, jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die im
Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko etwa bei der Lieferung ihrer Waren
oder Dienstleistungen eingingen. Die Berücksichtigung von Zahlungsausfällen in der jüngeren
Vergangenheit sei erforderlich, um eine vollständige Auskunft über die Bonität einer
bestimmten Person erteilen zu können. Die Löschung aus der Insolvenzdatei bedeute - so die
belangte Behörde - nicht automatisch, dass diese Daten jedenfalls auch aus der
Bonitätsdatenbank zu löschen seien. Aus § 256 Insolvenzordnung lasse sich nicht ableiten,
-4-
dass Daten über Insolvenzen nicht mehr auf Grund anderer Erlaubnistatbestände nach Art. 6
DSGVO verarbeitet werden dürften, wenn sie aus der Insolvenzdatei gelöscht worden seien.
3. Der Beschwerdeführer erhob gegen den im Spruch genannten Bescheid der belangten
Behörde vom 16.08.2021 fristgerecht das Rechtsmittel der Bescheidbeschwerde.
4. Der gegen den Bescheid vom 16.08.2021 erhobenen Beschwerde des Beschwerdeführers
wurde mit Erkenntnis des Bundesverwaltungsgerichts vom 28.09.2022 zu W274 2247063-1
nicht Folge gegeben.
5. Gegen dieses Erkenntnis erhob der Beschwerdeführer das Rechtsmittel der ordentlichen
Revision.
6. Der Verwaltungsgerichtshof hob das Erkenntnis des Bundesverwaltungsgerichts mit
Entscheidung vom 22.04.2024 zur Zl. Ro 2022/04/0038-9 wegen Rechtswidrigkeit des Inhalts
unter Verweis auf das Urteil des EuGH vom 07.12.2023 zu C-26/22 und C-64/22, auf.
7. Die gegenständliche Rechtssache wurde in Entsprechung der Geschäftsverteilung 2024 im
Wege einer Neuzuweisung am 08.05.2024 der Gerichtsabteilung W274 abgenommen, und der
Gerichtsabteilung W292 wie neu anfallende Rechtssachen zugewiesen.
II. Das Bundesverwaltungsgericht hat erwogen:
II.1. Feststellungen:
II.1.1. Zur mitbeteiligten Partei:
Die mitbeteiligte Partei betreibt das Gewerbe nach § 152 GewO 1994 als Kreditauskunftei. Die
XXXX , gegen die sich die Beschwerde im Antragsverfahren vor der belangten Behörde richtete
wurde mit Verschmelzungsvertrag vom XXXX in das Unternehmen der XXXX verschmolzen
worden. Die XXXX wurde am XXXX gelöscht. Aufgrund der erfolgten Gesamtrechtsnachfolge
auf Seiten der mitbeteiligten Partei wird nunmehr im Erkenntnis die XXXX als mitbeteiligte
Partei geführt.
II.1.2. Zur Eintragung in der privaten Bonitätsdatenbank der mitbeteiligten Partei:
In Zusammenhang mit ihrem Gewerbe speichert die mitbeteiligte Partei unter anderem
folgenden Eintrag zum Beschwerdeführer in ihrer Bonitätsdatenbank:
-5-
„ XXXX
LandesgerichtZ XXXX
Beschluss vom: XXXX
Eröffnung des Sanierungsverfahrens: XXXX , Anmeldungsfrist: XXXX
Masseverwalter: XXXX und XXXX von Rechtsanwälten GmbH, vertreten durch; XXXX
Beschluss vom: XXXX - Eröffnung des Sanierungsverfahrens: XXXX , Anmeldungsfrist:
XXXX
Beschluss vom: XXXX - Das Unternehmen wird auf einstweilen unbestimmte Zeit fortgeführt.
Beschluss vom XXXX – Der am XXXX angenommene Sanierungsplan wird bestätigt. Sein
wesentlicher Inhalt lautet: Die Insolvenzgläubiger erhaltenen eine Gesamtquote von XXXX
und war ist eine Barquote von XXXX % auszuschütten durch den Insolvenzverwalter binnen
XXXX Tagen nach Rechtskraft der Bestätigung sowie weitere XXXX binnen zwei Jahren ab
Annahme zu bezahlen. Das Insolvenzverfahren (Konkursverfahren bzw. Sanierungsverfahren)
ist mit dem Eintritt der Rechtskraft diese Bestätigung aufgehoben. Beschluss vom: XXXX – der
Sanierungsplan ist rechtskräftig bestätigt. Das Sanierungsverfahren ist a u f g e h o b e n.
Beschluss vom: XXXX – Der Sanierungsplan ist rechtskräftig bestätigt. Das
Sanierungsverfahren ist aufgehoben. Ende Zahlungsfrist: XXXX “.
Der von der mitbeteiligten Partei in ihrer Bonitätsdatenbank geführte Eintrag über die
gegenständliche Insolvenz fußt auf dem beim LGZ XXXX zu AZ XXXX am XXXX über den
Bschwerdeführer eröffneten Sanierungsverfahren. Das genannte Sanierungsverfahren wurde
am XXXX mit Rechtskraft des angenommenen Sanierungsplans aufgehoben, das Ende der
Zahlungsfrist wurde mit XXXX festgelegt.
Die vorgenannten Informationen zum Beschwerdeführer wurden durch die mitbeteiligte
Partei im Rahmen der Ausübung des Gewerbes als Kreditauskunftei Dritten zum Zweck der
Bonitätseinschätzung potenzieller Kundenbeziehungen gegenüber zur Einsicht und weiteren
Verarbeitung bereitgestellt.
II.1.3. Zum Sanierungsverfahren des Beschwerdeführers:
Im beim Landesgericht für Zivilrechtssachen XXXX zur AZ XXXX am XXXX über den
Beschwerdeführer eröffneten Sanierungsverfahren wurde der Sanierungsplan am XXXX
angenommen und bestätigt. Das Sanierungsverfahren wurde am XXXX mit Rechtskraft des
Sanierungsplans aufgehoben und wurde das Ende der Zahlungsfrist mit XXXX festgelegt. Die
Gesamtquote wurde im Sanierungsplan mit XXXX Prozent festgelegt.
II.1.4. Zum Beschluss des Landesgerichtes für Zivilrechtssachen XXXX vom XXXX sowie
vom XXXX :
-6-
Am XXXX stellte der Beschwerdeführer einen Antrag nach § 256 Abs. 3 IO und bescheinigte
die Bezahlung der Sanierungsplanquoten.
Mit Beschluss des Landesgerichtes für Zivilrechtssachen XXXX vom XXXX wurde über Antrag
des Beschwerdeführers die Einsicht in die Insolvenzdatei gemäß § 256 Abs. 3 IO nicht mehr
gewährt.
Mit Beschluss des Landesgerichtes für Zivilrechtssachen XXXX vom XXXX wurde gemäß § 77a
Abs. 1 IO die Löschung sämtlicher auf das Insolvenzverfahren des Beschwerdeführers zu XXXX
Bezug habenden Eintragungen bei im Beschluss näher genannten Firmen angeordnet.
Begründend wurde im Wesentlichen festgehalten, dass der Sanierungsplan mittlerweile zur
Gänze erfüllt wurde, ein Beschluss nach § 256 Abs. 3 IO ergehen konnte und nunmehr auch
die Voraussetzungen für die Eintragung der Löschungen im Firmenbuch vorlägen.
II.1.5. Zu den Löschungsbegehren des Beschwerdeführers gegenüber der mitbeteiligten
Partei:
Der Beschwerdeführer begehrte am XXXX von der mitbeteiligten Partei die Löschung des zu
seiner Person gespeicherten Sanierungsverfahrens aus der Bonitätsdatenbank der
mitbeteiligten Partei. Die mitbeteiligte Partei kam dem Löschungsbegehren nicht nach.
II.2. Beweiswürdigung:
II.2.1. Zu II.1.1. (Zur mitbeteiligten Partei):
Die diesbezügliche Feststellung ergibt sich aus dem unbedenklichen Akteninhalt und ist die
gewerbliche Tätigkeit der mitbeteiligten Partei öffentlich bekannt. Dass die mitbeteiligte
Partei die in Rede stehenden Informationen zum Beschwerdeführer Dritten gegenüber zur
Verfügung gestellt hat, ergibt sich aus dem Unternehmenszweck der mitbeteiligten Partei, den
damit übereinstimmenden Aussagen der Parteien sowie dem diesbezüglich bestehenden
Amtswissen des Bundesverwaltungsgerichts.
Die mitbeteiligte Partei nahm am XXXX anwaltlich Stellung und führte zunächst aus, die XXXX
, gegen die sich die Beschwerde im Antragsverfahren vor der belangten Behörde richte, sei
mit Verschmelzungsvertrag vom XXXX in das Unternehmen der XXXX verschmolzen worden.
Die XXXX sei am XXXX gelöscht worden. Es werde um Berichtigung der Parteienbezeichnung
ersucht, der Unternehmenszweck werde nunmehr in der XXXX fortgeführt. Die
diesbezüglichen Angaben seitens der mitbeteiligten Partei sind unbedenklich.
II.2.2. Zu II.1.2. (Zur Speicherung in der Bonitätsdatenbank der mitbeteiligten Partei):
Die Feststellung konnte aufgrund des Vorbringens der mitbeteiligten Partei und des
Beschwerdeführers getroffen werden.
-7-
II.2.3. Zu II.1.3. (Zum Sanierungsverfahren des Beschwerdeführers):
Die Feststellungen ergeben sich aus dem insofern unstrittigen Vorbringen des
Beschwerdeführers und der mitbeteiligten Partei und decken sich diese auch mit den
Ausführungen des Landesgerichtes für Zivilrechtssachen XXXX im Beschluss
(Sanierungsplanbestätigung) vom XXXX .
II.2.4. Zu II.1.4. (Zum Beschluss des Landesgerichtes für Zivilrechtssachen XXXX vom XXXX
sowie vom 21.05.2019):
Die diesbezüglichen Feststellungen beruhen auf dem Beschluss des Landesgerichtes für
Zivilrechtssachen XXXX vom XXXX zur Zahl XXXX sowie vom XXXX zur Zahl XXXX .
II.2.5. Zu II.1.5. (Zu den Löschungsbegehren des Beschwerdeführers):
Die Feststellungen gründen auf den insofern unstrittigen und im Akt einliegenden Schreiben
des Beschwerdeführers vom XXXX .
II.3. Rechtliche Beurteilung:
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern
nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt,
liegt gemäß § 27 DSG Senatszuständigkeit vor.
Zu Spruchpunkt A) – Teilweise Stattgabe der Beschwerde:
II.3.1.1. Anzuwendendes Recht
Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei
der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr.
24/2018, lauten auszugsweise samt Überschrift wie folgt:
„Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und
Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen
Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen
Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder
wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem
Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse
des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf
Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen
-8-
zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die
aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und
Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige
Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind,
nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig
angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen
festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils
nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
[…]“
„Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde,
wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen
Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die
behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig
eingebracht ist.
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige
Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer
Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
[…]“
Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen
Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der
Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der
-9-
Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im
Folgenden: DSGVO, lauten auszugsweise samt Überschrift:
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
(1) „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder
identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als
identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere
mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu
Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen
Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen,
wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind,
identifiziert werden kann;
(2) „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten
Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten
wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung
oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch
Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die
Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
…
(7) „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder
andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der
Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser
Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann
der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung
nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
…
(10) „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere
Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und
- 10 -
den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des
Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;
…
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person
nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und
Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer
mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine
Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für
wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß
Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung
notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle
angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf
die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden
(„Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so
lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist;
personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen
Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer
Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der
betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende
Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für
statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der
personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder
- 11 -
unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung
oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische
Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen
Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden
Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden
personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene
Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage
der betroffenen Person erfolgen;
[…]
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder
eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten
der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen,
insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben
vorgenommene Verarbeitung.
[ … ]“
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung
der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1
Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die
Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach
Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere
besondere Verarbeitungssituationen gemäß Kapitel IX.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird
festgelegt durch
- 12 -
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der
Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein,
die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem
Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen
zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem
Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der
Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten
verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche
Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie
unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und
-verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer
rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige
besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der
Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem
angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die
personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen
Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer
demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz
der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche —
um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die
personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben
wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere
hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien
personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene
Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet
werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
- 13 -
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung
gehören kann.
[…]“
Im 47. Erwägungsgrund zur DSGVO heißt es in Bezug auf den Erlaubnistatbestand des Art. 6
Abs. 1 lit. f:
„(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines
Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten
offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die
Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die
vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem
Verantwortlichen beruhen, zu berücksichtigen. Ein berechtigtes Interesse könnte
beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der
betroffenen Person und dem Verantwortlichen besteht, z.B. wenn die betroffene Person ein
Kunde des Verantwortlichen ist oder in seinen Diensten steht. Auf jeden Fall wäre das
Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu
prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen
Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen
kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere
dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine
betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss,
könnten die Interessen und Grundrechte der betroffenen Person das Interesse des
Verantwortlichen überwiegen. Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die
Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu
schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die
diese in Erfüllung ihrer Aufgaben vornehmen. Die Verarbeitung personenbezogener Daten im
für die Verhinderung von Betrug unbedingt erforderlichen Umfang stellt ebenfalls ein
berechtigtes Interesse des jeweiligen Verantwortlichen dar. Die Verarbeitung
personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten
Interesse dienende Verarbeitung betrachtet werden.“
Artikel 16
Recht auf Berichtigung
- 14 -
Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung
sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung
der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung
unvollständiger personenbezogener Daten — auch mittels einer ergänzenden Erklärung — zu
verlangen.“
Artikel 17
Recht auf Löschung („Recht auf Vergessenwerden“)
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie
betreffende personenbezogene Daten unverzüglich gelöscht werden, und der
Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern
einer der folgenden Gründe zutrifft:
a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige
Weise verarbeitet wurden, nicht mehr notwendig.
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß
Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an
einer anderweitigen Rechtsgrundlage für die Verarbeitung.
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung
ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die
betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen
Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem
der Verantwortliche unterliegt.
f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der
Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.
(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er
gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der
verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch
technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen
Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die
Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen
dieser personenbezogenen Daten verlangt hat.
(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist
- 15 -
a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der
Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur
Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung
öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß
Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;
d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische
Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in
Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung
unmöglich macht oder ernsthaft beeinträchtigt, oder
e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Artikel 18
Recht auf Einschränkung der Verarbeitung
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der
Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:
a) die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird,
und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der
personenbezogenen Daten zu überprüfen,
b) die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der
personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der
personenbezogenen Daten verlangt;
c) der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht
länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder
Verteidigung von Rechtsansprüchen benötigt, oder
d) die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1
eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen
gegenüber denen der betroffenen Person überwiegen.
(2) Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese
personenbezogenen Daten — von ihrer Speicherung abgesehen — nur mit Einwilligung der
betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von
Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen
- 16 -
Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines
Mitgliedstaats verarbeitet werden.
(3) Eine betroffene Person, die eine Einschränkung der Verarbeitung gemäß Absatz 1 erwirkt
hat, wird von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.
Artikel 21
Widerspruchsrecht
(1) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation
ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die
aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt
auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die
personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe
für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen
Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder
Verteidigung von Rechtsansprüchen.
(2) Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so hat die
betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender
personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das
Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.
(3) Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so
werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.
(4) Die betroffene Person muss spätestens zum Zeitpunkt der ersten Kommunikation mit ihr
ausdrücklich auf das in den Absätzen 1 und 2 genannte Recht hingewiesen werden; dieser
Hinweis hat in einer verständlichen und von anderen Informationen getrennten Form zu
erfolgen.
(5) Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die
betroffene Person ungeachtet der Richtlinie 2002/58/EG ihr Widerspruchsrecht mittels
automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.
(6) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation
ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten,
die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken
gemäß Artikel 89 Absatz 1 erfolgt, Widerspruch einzulegen, es sei denn, die Verarbeitung ist
zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.
§ 152 der Gewerbeordnung 1994 (GewO 1994), BGBl. I Nr. 111/2002, lautet samt Überschrift:
- 17 -
Auskunfteien über Kreditverhältnisse – lautet:
(1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über
Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private
Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.
(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen
Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von
sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder
die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der
Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch
wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.“
§ 256 der Insolvenzordnung - IO, BGBl. I Nr. 122/2017, lautet samt Überschrift:
Insolvenzdatei
(1) In die Ediktsdatei sind die Daten aufzunehmen, die nach diesem Bundesgesetz öffentlich
bekanntzumachen sind (Insolvenzdatei).
(2) Die Einsicht in die Insolvenzdatei ist nicht mehr zu gewähren, wenn ein Jahr vergangen ist
seit
1. der Aufhebung des Insolvenzverfahrens nach §§ 123a, 123b und 139,
2. Ablauf der im Sanierungsplan vorgesehenen Zahlungsfrist, wenn dessen Erfüllung nicht
überwacht wird,
3. Beendigung oder Einstellung der Überwachung des Sanierungsplans,
4. Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist oder
5. der vorzeitigen Einstellung oder Beendigung des Abschöpfungsverfahrens.
(3) Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu
gewähren, wenn der rechtskräftig bestätigte Sanierungsplan oder Zahlungsplan erfüllt
worden ist. Der Schuldner hat die Erfüllung urkundlich nachzuweisen. Mit der Prüfung der
Erfüllung kann das Gericht einen Sachverständigen beauftragen, dessen Kosten vom
Schuldner zu tragen sind. Über die Einsicht entscheidet das Gericht mit unanfechtbarem
Beschluss.
(4) Die Einsicht in die Eintragung der mangels kostendeckenden Vermögens oder wegen
Vermögenslosigkeit nach § 68 nicht eröffneten Insolvenzverfahren ist nach drei Jahren nach
der Eintragung nicht mehr zu gewähren.“
- 18 -
II.3.1.2. Im vorliegenden Fall war zu prüfen, ob die Verarbeitung von Informationen
personenbezogene Daten zum Betroffenen hinsichtlich ein ihn betreffendes
Schuldenregulierungsverfahren, in einer von der Verantwortlichen im Rahmen deren
gewerblichen Tätigkeit als Kreditauskunftei betriebenen privaten Datenbank, zum Zweck der
Einsicht und Weitergabe an Dritte (Kunden der Verantwortlichen) rechtmäßig war.
Gegenständlich ist die Rechtmäßigkeitsprüfung auf Zwei getrennt voneinander zu
beurteilende Zeiträume zu beziehen. In einem ersten Schritt erfolgt eine Prüfung der
Verarbeitung der in Rede stehenden Daten bezogen auf denjenigen Zeitraum, während
dessen die Informationen hinsichtlich des Sanierungsverfahrens nicht mehr öffentlich in der
Insolvenzdatenbank nach § 256 IO publiziert waren. Unter II.3.1.2.6. erfolgt sodann die
Prüfung der Rechtmäßigkeit bezogen auf den Zeitraum, während dessen die Informationen
zum Sanierungsverfahren des Betroffenen noch in der Insolvenzdatei öffentlich einsehbar
waren.
II.3.1.2.1. Nach Art. 5 Abs. 1 Buchst. a DSGVO sind personenbezogene Daten auf rechtmäßige
Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise
zu verarbeiten. In diesem Zusammenhang enthält Art. 6 Abs. 1 Unterabs. 1 dieser Verordnung
eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung
personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine
Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein,
um als rechtmäßig angesehen werden zu können (vgl. EuGH, Urteil vom 04.07.2023, C‑252/21,
Rn. 90 und die dort angeführte Rechtsprechung).
II.3.1.2.2. Festzuhalten ist zunächst, dass die Verarbeitung (bonitätsrelevanter)
personenbezogener Daten im Rahmen der Ausübung des Gewerbes nach § 152 der
Gewerbeordnung 1994 („Kreditauskunfteien“), wie im Fall der mitbeteiligten Partei, in
datenschutzrechtlicher Hinsicht ausschließlich auf den Erlaubnistatbestand des Art. 6
Unterabsatz 1 lit. f DSGVO gestützt werden kann. Nach dieser Bestimmung ist die
Verarbeitung personenbezogener Daten nur rechtmäßig, wenn die Verarbeitung zur Wahrung
der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern
nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den
Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich
bei der betroffenen Person um ein Kind handelt (vgl. EuGH, Urteil vom 07.12.2023, C-26/22,
Rn. 74).
Somit ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei
kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung
Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden,
- 19 -
zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des
berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder
Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht
überwiegen (vgl. EuGH, Urteil vom 04.07.2023, C‑252/21, Rn. 106 und die dort angeführte
Rechtsprechung).
In Art. 5 Abs. 1 lit. c DSGVO ist der Grundsatz der „Datenminimierung“ verankert, welcher
verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf
das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind.
Art. 6 Abs. 1 lit. f DSGVO verlangt drei kumulative Voraussetzungen zur Zulässigkeit der
fallgegenständlichen Verarbeitung der bonitätsrelevanten Informationen zum
Beschwerdeführer in der Bonitätsdatenbank der mitbeteiligten Partei als Kreditauskunftei:
Zum einen muss die Verarbeitung zur Wahrung der berechtigten Interessen der
Verantwortlichen oder eines Dritten, im gegebenen Zusammenhang sind das wirtschaftliche
Interessen am Gewerbebetrieb der mitbeteiligten Partei selbst bzw. an der Erlangung von
Informationen zur Einschätzung der Bonität von potenziellen Kreditnehmern, unbedingt
erforderlich sein, zum anderen dürfen die Grundrechte und Grundfreiheiten des Betroffenen
nicht überwiegen.
Zu Art. 6 Abs. 1 lit. f DSGVO hat der Europäische Gerichtshof entschieden, dass diese
Bestimmung dahin auszulegen ist, dass eine Verarbeitung nur dann als zur Wahrung der
berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser
Vorschrift angesehen werden kann, wenn diese Verarbeitung innerhalb der Grenzen dessen
erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und
wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter
Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und
Grundfreiheiten der von der Verarbeitung betroffenen Personen gegenüber dem berechtigten
Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. in diesem Sinne die
Urteile des EuGH vom 04.05.2017, C‑13/16, sowie vom 04.07.2023, C‑252/21).
II.3.1.2.3. Fallbezogen fand sich in der Bonitätsdatenbank der mitbeteiligten Partei ein
Negativeintrag hinsichtlich eines im XXXX beim Landesgericht für Zivilrechtssachen XXXX zur
Zl. XXXX über den Beschwerdeführer eröffneten Sanierungsverfahrens, welches im XXXX
durch Annahme eines Sanierungsplans aufgehoben wurde, wobei das Ende der Zahlungsfrist
mit XXXX festgelegt wurde.
- 20 -
Die Dauer der öffentlichen Publikation der in Rede stehenden Informationen zum
Sanierungsverfahren des Beschwerdeführers folgt im konkreten Fall aus der Bestimmung des
§ 256 der Insolvenzordnung (IO).
Gemäß § 256 Abs. 2 Z 4 IO ist die Einsicht in die Insolvenzdatei nicht mehr zu gewähren, wenn
ein Jahr vergangen ist seit Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist. Gemäß §
256 Abs. 3 IO ist auf Antrag des Schuldners die Einsicht in die Insolvenzdatei bereits dann nicht
mehr zu gewähren, wenn der rechtskräftig bestätigte Sanierungsplan oder Zahlungsplan
erfüllt worden ist.
Im Sanierungsplan zum Verfahren des Beschwerdeführers war, wie festgestellt, das Ende der
Zahlungsfrist mit XXXX festgelegt. Zudem beantragte der Beschwerdeführer mit Antrag vom
XXXX , gemäß § 256 Abs. 3 IO die öffentliche Einsicht in die Insolvenzdatei hierzu nicht länger
zu gewähren. Mit Beschluss des Landesgerichtes für Zivilrechtssachen XXXX vom XXXX
wurde dem Antrag Folge gegeben und die Einsicht in die Insolvenzdatei gemäß § 256 Abs. 3
IO nicht mehr gewährt, da der Sanierungsplan erfüllt worden ist.
Der Beschwerdeführer hat in der Folge am XXXX von der mitbeteiligten Partei die Löschung
des zu seiner Person gespeicherten Sanierungsverfahrens aus deren (privaten)
Bonitätsdatenbank begehrt, wobei die beantragte Löschung von der mitbeteiligten Partei wie
festgestellt wiederholt abgelehnt wurde.
Aus alldem folgt im Lichte der oben dargestellten rezenten Rechtsprechung des Europäischen
Gerichtshofes aber, dass die in Rede stehenden Informationen zum Sanierungsverfahren des
Beschwerdeführers zum Zeitpunkt, als dieser die Löschung aus der Datenbank der
mitbeteiligten Partei begehrte, in der staatlichen Insolvenzdatei nach § 256 IO nicht mehr
öffentlich zugänglich waren.
Die Löschung des verfahrensgegenständlichen Eintrags aus der Bonitätsdatenbank der
mitbeteiligten Partei erfolgte von dieser – wie festgestellt – jedoch nicht nach dem XXXX .
II.3.1.2.4. Mit Urteil des EuGH vom 07.12.2023, UF, AB / Land Hessen, C-26/22 und C-64/22,
hat der Gerichtshof in Bezug auf die Praxis privater Wirtschaftsauskunfteien, die darin besteht,
in ihren eigenen Datenbanken aus einem öffentlichen Register stammende Informationen
über die Erteilung einer Restschuldbefreiung zugunsten natürlicher Personen zum Zweck der
Lieferung von Auskünften über die Kreditwürdigkeit dieser Personen, ausgesprochen:
– Art. 5 Abs. 1 Buchst. a DSGVO in Verbindung mit Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO
ist dahin auszulegen, dass er einer Praxis privater Wirtschaftsauskunfteien entgegensteht, die
darin besteht, in ihren eigenen Datenbanken aus einem öffentlichen Register stammende
Informationen über die Erteilung einer Restschuldbefreiung zugunsten natürlicher Personen
- 21 -
zum Zweck der Lieferung von Auskünften über die Kreditwürdigkeit dieser Personen für einen
Zeitraum zu speichern, der über die Speicherdauer der Daten im öffentlichen Register
hinausgeht;
– Art. 17 Abs. 1 Buchst. c DSGVO ist dahin auszulegen, dass die betroffene Person das Recht
hat, vom Verantwortlichen die unverzügliche Löschung der sie betreffenden
personenbezogenen Daten zu verlangen, wenn sie gemäß Art. 21 Abs. 1 dieser Verordnung
Widerspruch gegen die Verarbeitung einlegt und keine zwingenden schutzwürdigen Gründe
vorliegen, die ausnahmsweise die betreffende Verarbeitung rechtfertigen;
– Art. 17 Abs. 1 Buchst. d DSGVO ist dahin auszulegen, dass der Verantwortliche verpflichtet
ist, personenbezogene Daten, die unrechtmäßig verarbeitet wurden, unverzüglich zu löschen.
Die Fragen 2 bis 5, die dem Gerichtshof der Europäischen Union mit Beschluss des
Verwaltungsgerichts Wiesbaden vom 23.12.2021 vorgelegt wurden, waren der im
gegenständlichen Verfahren zu lösenden Rechtsfrage ähnlich und waren daher auch für das
vorliegende Verfahren präjudiziell.
Wie der Gerichtshof der Europäischen Union in der zuvor dargestellten Entscheidung
ausgesprochen hat, stellt die Verarbeitung von Daten über die Erteilung einer
Restschuldbefreiung durch eine Wirtschaftsauskunftei einen schweren Eingriff in die von Art.
7 und Art. 8 der Charta [der Grundrechte der Europäischen Union] verankerten Grundrechte
der betroffenen Person dar (Rz 94).
In diesem Zusammenhang sei auch auf die Ausführungen des Generalanwaltes in Nr. 75 seiner
Schlussanträge verwiesen, wonach die Verwirklichung des Ziels, dem Begünstigten zu
ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, existenzielle Bedeutung habe und
gefährdet wäre, wenn Wirtschaftsauskunfteien zur Beurteilung der wirtschaftlichen Situation
einer Person Daten über eine Restschuldbefreiung hinaus speichern und solche Daten
verwenden könnten, nachdem sie aus dem öffentlichen Insolvenzregister gelöscht worden
sind (Rz 98).
Die Interessen des Kreditsektors, über Informationen hinsichtlich einer Restschuldbefreiung
zu verfügen, können demnach keine Verarbeitung personenbezogener Daten nach Ablauf der
Frist für die Speicherung der Daten im öffentlichen Insolvenzregister rechtfertigen, sodass die
Speicherung dieser Daten durch eine Wirtschaftauskunftei in Bezug auf diesen Zeitraum nach
der Löschung dieser Daten aus einem öffentlichen Insolvenzregister nicht auf Art. 6 Abs. 1 lit.
f DSGVO gestützt werden kann (Rz 99).
Dies würde nach Ansicht des EuGH nämlich einer anlasslosen Vorratsdatenspeicherung
gleichen, welche nicht im berechtigten Interesse liegen kann. Diese Speicherung würde nicht
- 22 -
aus einem konkreten Anlass erfolgen, sondern für den Fall, dass ihre Vertragspartner solche
Auskünfte anfragen würden und würde dies, vor allem dann, wenn die betreffenden Daten im
öffentlichen Register wegen Ablaufs der Frist bereits gelöscht wurden, zu einer unzulässigen
Vorratsdatenhaltung führen.
II.3.1.2.5. Der Verwaltungsgerichtshof sprach in seiner Entscheidung vom 22.04.2024 zu Ro
2022/04/0038 unter Verweis auf das Urteil des EuGH vom 07.12.2023, C-26/22 und C-64/22,
SCHUFA Holding aus, dass die Speicherung von Daten durch eine Kreditauskunftei in Bezug
auf den Zeitraum nach Rechtskraft des Beschlusses des Insolvenzgerichts über die „Löschung
der Eintragungen aus der Insolvenzdatei“ gemäß § 256 IO nicht auf Art. 6 Abs. 1 lit. f DSGVO
gestützt werden kann. Die Speicherung der das Schuldenregulierungsverfahren betreffenden
Daten aus der Insolvenzdatei durch die Kreditauskunftei über den Zeitpunkt der Rechtskraft
des Beschlusses des Insolvenzgerichts hinaus hat sich im konkreten Fall daher als nicht
rechtmäßig erwiesen.
II.3.1.2.6. Im Lichte der vorstehend dargestellten rezenten Rechtsprechung des EuGH und des
Verwaltungsgerichtshofes war daher bezogen auf den hier zu beurteilenden Sachverhalt
festzustellen, dass der Umstand, wonach die mitbeteiligte Partei die in Rede stehenden
Bonitätsdaten zum Beschwerdeführer, die aus der staatlichen Insolvenzdatei nach § 256 IO
stammten, über einen Zeitraum verarbeitet (hier: gespeichert und zugänglich gemacht) hat,
der über Zeiträume der öffentlichen Einsichtnahme in die Insolvenzdatei hinausging. Da eine
derartige Verarbeitung im Ergebnis jedoch nicht auf Art. 6 Unterabsatz 1 lit. f DSGVO gestützt
werden kann, hat die mitbeteiligte Partei den Beschwerdeführer dadurch im Recht auf
Geheimhaltung verletzt und hätten die in Rede stehenden Daten zum Beschwerdeführer
jedenfalls nicht länger als in der öffentlichen Insolvenzdatei gespeichert werden dürfen. Den
diesbezüglichen Löschbegehren des Beschwerdeführers wäre daher von Seiten der
mitbeteiligten Partei zu entsprechen gewesen.
II.3.1.2.7. Zur Verarbeitung der in Rede stehenden Informationen zwischen XXXX und dem
Ende der öffentlichen Publikation dieser Informationen in der Insolvenzdatenbank nach § 256
IO:
Hierzu ist zunächst erneut auf die Ausführungen des Europäischen Gerichtshofes hinsichtlich
des Zeitraums der Verarbeitung in privaten Bonitätsdatenbanken, in dem die fraglichen Daten
Betroffener (auch) im öffentlichen Register verfügbar sind, hinzuweisen (vgl. in Rn. 100 des
Urteils vom 07.12.2023):
„Was den Zeitraum von sechs Monaten betrifft, in dem die fraglichen Daten auch in diesem
öffentlichen Register verfügbar sind, ist festzustellen, dass die Auswirkungen einer parallel zu
- 23 -
diesem Zeitraum erfolgenden Speicherung dieser Daten in den Datenbanken solcher
Auskunfteien zwar als weniger schwerwiegend angesehen werden können als nach Ablauf der
sechs Monate, dass diese Speicherung aber dennoch einen Eingriff in die in den Art. 7 und 8
der Charta verankerten Rechte darstellt. Insoweit hat der Gerichtshof bereits entschieden, dass
das Vorliegen derselben personenbezogenen Daten in mehreren Quellen den Eingriff in das
Recht der Person auf Achtung des Privatlebens verstärkt (vgl. Urteil vom 13. Mai 2014, Google
Spain und Google, C‑131/12, EU:C:2014:317, Rn. 86 und 87). Es ist Sache des vorlegenden
Gerichts, die in Rede stehenden Interessen und die Auswirkungen auf die betroffene Person
gegeneinander abzuwägen, um festzustellen, ob die parallele Speicherung dieser Daten durch
private Wirtschaftsauskunfteien als auf das unbedingt Notwendige beschränkt angesehen
werden kann, wie es die in Rn. 88 des vorliegenden Urteils angeführte Rechtsprechung des
Gerichtshofs verlangt.“
Fallbezogen war aus Sicht des erkennenden Senates festzustellen, dass die mitbeteiligte Partei
als Kreditauskunftei Daten verarbeitet, die zur Beurteilung der Bonität von Personen oder
Unternehmen grundsätzlich erforderlich sind, um diese Informationen ihren Vertragspartnern
zur Verfügung stellen zu können. Diese Tätigkeit schützt dabei nicht nur die wirtschaftlichen
Interessen der Unternehmen, die kreditrelevante Verträge eingehen wollen, die Ermittlung
der Kreditwürdigkeit und die Erteilung von Bonitätsauskünften bildet zudem ein Fundament
des Kreditwesens und der Funktionsfähigkeit der Wirtschaft, diese Tätigkeit ermöglicht es
auch, Geschäftswünsche der Interessenten an kreditrelevanten Geschäften zu realisieren, da
die Auskünfte eine rasche, valide und unbürokratische Prüfung der Bonität potenzieller
Kunden ermöglicht. Zwar wäre eine Prüfung der Bonität von potenziellen Kunden
kreditrelevanter Geschäfte grundsätzlich auch im Einzelnen durch das jeweilige
Unternehmen, im Wege eigener Abfragen in der öffentlichen Insolvenzdatei denkbar, jedoch
erscheint ein möglichst vollständiges Bild zum Zahlungsverhalten eines Kunden durch
Einzelabfragen im Anlassfall im Wirtschaftsleben kaum sinnvoll realisierbar, weshalb die
Dienstleistung von Kreditauskunfteien im Interesse der Funktionsfähigkeit der Wirtschaft,
kreditrelevante Geschäfte bilden dabei einen tragenden Teil wesentlicher Wirtschaftszweige,
als erforderlich im Sinne von Art. 6 Unterabsatz 1 lit. f DSGVO angesehen werden kann.
Zur Abwägung der wirtschaftlichen Interessen der Verantwortlichen und deren
Geschäftspartner an der hier zu prüfenden Verarbeitung der Informationen zum
Sanierungsverfahren des Betroffenen mit dessen Interessen, Grundrechten und
Grundfreiheiten war im Ergebnis wie folgt abzuwägen:
Insbesondere mit Blick auf die Anzahl der Gläubiger und die Höhe des Ausfalles der
Forderungen, den die Gläubiger des Beschwerdeführers im Zuge des Sanierungsverfahrens
- 24 -
hinzunehmen hatten, war davon auszugehen, dass – bezogen auf den Zeitraum der
öffentlichen Publikation der Informationen in der Insolvenzdatenbank nach § 256 IO – das
Interesse des Beschwerdeführers an seinem eigenen wirtschaftlichen Fortkommen die
wirtschaftlichen Interessen potenzieller neuer Gläubiger nicht überwogen hat. Dies auch mit
Blick auf die Erwartungshaltung des Beschwerdeführers, dieser konnte kaum davon ausgehen,
dass die in Rede stehenden Informationen, solange diese in der Insolvenzdatei veröffentlicht
waren, nicht zum Zweck der Bonitätseinschätzung durch Kreditauskunfteien verarbeitet
werden würden. Die Verarbeitung der in Rede stehenden Informationen zum
Beschwerdeführer in der privaten Bonitätsdatenbank der mitbeteiligten Partei war, bezogen
auf den Zeitraum zwischen XXXX und XXXX , von Art. 6 Unterabsatz 1 lit. f DSGVO gedeckt,
somit rechtmäßig.
II.3.1.2.8. Zum Recht auf Löschung und Widerspruch: Soweit sich die Beschwerde auf das
Recht auf Löschung nach Art 17 DSGVO und das Recht auf Widerspruch nach Art. 21 DSGVO
bezieht, war festzuhalten, dass die in Rede stehenden Informationen wie festgestellt aus der
Datenbank der mitbeteiligten Partei zum Entscheidungszeitpunkt bereits gelöscht waren, ein
diesbezügliches rechtliches Interesse daher weggefallen ist, die Beschwerde diesbezüglich
somit abzuweisen war.
II.3.1.2.9. Was die Geltendmachung einer Verletzung im Recht auf Berichtigung gemäß Art. 16
DSGVO und im Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO betrifft, so
war den diesbezüglichen Ausführungen der belangten Behörde, wonach ein entsprechender
Antrag an die Verantwortliche nicht vorlag, wodurch die Beschwerde diesbezüglich
abzuweisen war, beizupflichten.
II.3.2. Zu Spruchpunkt B) – Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder
Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der
Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der
Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende –
Bedeutung zukommt.
Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt
keine Rechtsfrage von grundsätzlicher Bedeutung iSd Art 133 Abs. 4 B-VG vor, und zwar selbst
dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen
ist (VwGH vom 11.09.2020, Ra 2018/04/0157).
- 25 -
Zur Frage, ob die Speicherung von Daten einer privaten Wirtschaftsauskunftei über einen
Zeitraum, der über die Speicherdauer der Daten im öffentlichen Register hinausgeht, zulässig
ist, konnte sich der erkennende Senat auf das kürzlich ergangene Urteil des Gerichtshofes der
Europäischen Union vom 07.12.2023, UF, AB / Land Hessen, C-26/22 und C-64/22, stützen. Im
Übrigen war eine auf den Einzelfall bezogene Interessenabwägung im Sinne von Art. 6 Abs. 1
lit. f DSGVO vorzunehmen.
Es war daher spruchgemäß zu entscheiden.