Ro 2020/04/0031-9
1. Februar 2024
IM NAMEN DER REPUBLIK!
Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident
Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz-Sator und die Hofräte
Dr. Pürgy sowie Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin
Löffler, LL.M., über die Revision des A G in W, vertreten durch die
Brand Rechtsanwälte GmbH in 1020 Wien, Schüttelstraße 55, Carré Rotunde,
gegen das Erkenntnis des Bundesverwaltungsgerichts vom 28. Juli 2020,
Zl. W211 2225136-1/6E, betreffend eine datenschutzrechtliche Angelegenheit
(belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde;
mitbeteiligte Partei: K GmbH, vertreten durch die BLS Rechtsanwälte GmbH
in 1010 Wien, Kärntner Straße 10; weitere Partei: Bundesministerin für Justiz),
zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit des Inhalts
aufgehoben.
Der Bund hat dem Revisionswerber Aufwendungen in der Höhe von € 1.346,40
binnen zwei Wochen bei sonstiger Exekution zu ersetzen. Das Mehrbegehren
wird abgewiesen.
Entscheidungsgründe:
1 Über das Vermögen des Revisionswerbers wurde im Jahr 2010 ein
Schuldenregulierungsverfahren vor dem Bezirksgericht D (Insolvenzgericht)
eröffnet und die im Jahr 2012 festgelegte Rückzahlungsquote Mitte März 2018
erfüllt. Betreffend dieses Verfahren bewilligte das Insolvenzgericht mit
Beschluss vom 4. Mai 2018 die vom Revisionswerber beantragte „Löschung
der Eintragungen aus der Insolvenzdatei“ gemäß § 256 Abs. 3 IO aufgrund des
Nachweises der Erfüllung des Zahlungsplans durch den Revisionswerber.
2 Die mitbeteiligte Partei betreibt unter anderem das Gewerbe der
Kreditauskunftei gemäß § 152 Gewerbeordnung 1994 (GewO 1994) und
speicherte unter anderem folgende auszugsweise wiedergegebene Daten des
Revisionswerbers in Bezug auf dessen Schuldenregulierungsverfahren sowohl
im persönlichen Bonitätsprofil des Revisionswerbers, als auch im
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
2 von 26
Bonitätsprofil der XY GmbH, deren alleiniger Gesellschafter der
Revisionswerber ist, unter der Überschrift „Insolvenz“:
„Aktueller Verfahrensstand seit 2018-04-01“; „Verfahrensstand: Zahlungsplan
wurde vom Schuldner direkt abgewickelt“, „Passiva laut Insolvenzantrag
[EUR] 167.596,54“.
3 Am 24. Oktober 2018 erhob der Revisionswerber eine gegen die mitbeteiligte
Partei als Beschwerdegegnerin gerichtete Datenschutzbeschwerde wegen
Verletzung im Recht auf Löschung gemäß
Art. 17 Datenschutz-Grundverordnung (DSGVO), nachdem er mit Schreiben
vom 23. Mai 2018 die Löschung des ihn betreffenden Eintrags über seine
Insolvenz sowohl in seinem „persönlichen Profil“ als auch im Profil der
XY GmbH der Datenbank der mitbeteiligten Partei begehrt und die
mitbeteiligte Partei mit Schreiben vom gleichen Tag mitgeteilt hatte, diesem
Begehren nicht zu entsprechen.
4 Mit Bescheid vom 20. September 2019 wies die Datenschutzbehörde (belangte
Behörde) die Datenschutzbeschwerde als unbegründet ab.
5 Die dagegen vom Revisionswerber erhobene Beschwerde wies das
Bundesverwaltungsgericht (Verwaltungsgericht) mit dem angefochtenen
Erkenntnis vom 28. Juli 2020 als unbegründet ab und sprach aus, dass die
Revision zulässig sei.
6 Begründend führte das Verwaltungsgericht zusammengefasst aus, die
mitbeteiligte Partei verarbeite im Zuge des Betriebs des Gewerbes der
Kreditauskunftei gemäß § 152 GewO 1994 historische Informationen über
Zahlungsausfälle und Insolvenzverfahren des Revisionswerbers, um sie
(potentiellen) Gläubigern zwecks Bestimmung des Risikos etwaiger
Zahlungsausfälle bereitzustellen.
Dabei handle es sich um einen durch die Rechtsordnung anerkannten Zweck.
Die Daten zum Insolvenzverfahren seien korrekt, vollständig und grundsätzlich
erforderlich und geeignet, um eine Prognose über das zukünftige
Zahlungsverhalten des Revisionswerbers abzugeben.
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
3 von 26
Weder die DSGVO noch die Regelungen zum Gewerbe der Kreditauskunftei
(§ 152 GewO 1994) enthielten konkrete Fristen „zur zulässigen Speicherdauer
von historischen Insolvenzverfahren und Zahlungsausfällen“. Die zulässige
Speicherdauer hänge vom Einzelfall ab.
Historische Zahlungsinformationen seien zwar wesentlich, um das zukünftige
Zahlungsverhalten von (potentiellen) Schuldnerinnen und Schuldnern
vorhersagen zu können. Sie hätten jedoch umso weniger Aussagekraft, je
länger sie zurücklägen und je länger es zu keinen weiteren Zahlungsstockungen
und Zahlungsausfällen gekommen sei. Dem Alter der Forderung bzw. dem
Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung, dem
Zeitpunkt etwaiger Tilgungen und dem seitherigen „Wohlverhalten“ kämen bei
der Abwägung entscheidende Bedeutung zu.
Als Richtlinie, wie lange Zahlungserfahrungsdaten zur Bonitätsbeurteilung
(potentieller) Schuldner geeignet seien, könnten Beobachtungs- oder
Löschungsfristen in dem Gläubigerschutz dienenden Bestimmungen
herangezogen werden, die die Erfordernisse an eine geeignete
Bonitätsbeurteilung näher festlegen, wie etwa Bestimmungen der
Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates
vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und
Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012
(Kapitaladäquanzverordnung). Diese verpflichteten Kreditinstitute unter
anderem zur Kundenbewertung und Risikoabschätzung ihrer Forderungen. Für
Kredit- bzw. Retailforderungen gegenüber natürlichen Personen hätten
Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf
internen Beurteilungen basierenden Ansatzes berechnen dürften
(Art. 143 Abs. 1), gemäß Art. 151 Abs. 6 iVm Art. 180 Abs. 2 lit. a
und e Kapitaladäquanzverordnung die Ausfallswahrscheinlichkeit der
Forderung unter anderem anhand der langfristigen Durchschnitte der jährlichen
Ausfallsquote zu schätzen. Dabei sei ein historischer Beobachtungszeitraum für
zumindest eine Datenquelle, die auch extern sein könne, von mindestens
fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der
Verlustquote bei einem Ausfall habe sich gemäß Art. 151 Abs. 7
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
4 von 26
iVm Art. 181 Abs. 2 lit. c Kapitaladäquanzverordnung grundsätzlich auf einen
mindestens fünfjährigen Zeitraum zu beziehen.
Der EU-Verordnungsgeber gehe daher davon aus, dass für die Beurteilung der
Bonität von (potentiellen) Schuldnern und Schuldnerinnen bzw. des Risikos
einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von
zumindest fünf Jahren relevant seien.
Wenn Kreditinstitute als potentielle Geschäftspartner der mitbeteiligten Partei
rechtlich verpflichtet seien, ihre Forderungen anhand der Ausfallsquoten
zumindest der letzten fünf Jahre zu bewerten, und die Bonitätsdatenbank der
mitbeteiligten Partei auch dazu dienen solle, Kreditinstituten Daten zu liefern,
die sie für ihre verpflichtende Bewertung benötigen würden, verstoße die
Verarbeitung der Insolvenzdaten des Revisionswerbers nicht gegen das Prinzip
der Datenminimierung bzw. Speicherbegrenzung, wenn der Zahlungsplan zum
Zeitpunkt des Löschungsbegehrens am 23. Mai 2018 erst vor weniger als
drei Monaten, bzw. zum Entscheidungszeitpunkt des Verwaltungsgerichts erst
vor etwas mehr als zwei Jahren erfüllt worden sei. Dies gelte auch für
Forderungen, die zwar bereits vor mehr als fünf Jahren ausgefallen seien, aber
erst, wie vorliegend, vor etwas mehr als zwei Jahren durch die Erfüllung des
Zahlungsplans endgültig getilgt worden seien, weil erst mit der erfolgreichen
Erfüllung des Zahlungsplans die konkrete Höhe des Ausfalls bestimmt werden
könne.
Im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO seien
einerseits die Interessen des Verantwortlichen und von Dritten (möglichen
Geschäftspartnern der mitbeteiligten Partei) sowie andererseits die Interessen,
Rechte und Erwartungen der betroffenen Person zu berücksichtigen.
Die mitbeteiligte Partei und deren Kunden hätten ein nachvollziehbares
Interesse an der Abschätzung des Kreditrisikos. Die Verarbeitung von Daten
über Insolvenzen und Zahlungsausfälle erfolge zum Schutz potentieller
Vertragspartner der betroffenen Person, die Dritte iSv Art. 6
Abs. 1 lit. f DSGVO seien. Diese Datenverarbeitung diene auch der
Unterstützung von Kreditinstituten, die Vorschriften der
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
5 von 26
Kapitaladäquanzverordnung zu erfüllen. Für die Abschätzung des Kreditrisikos
durch die mitbeteiligte Partei sei die Beobachtung des historischen
Zahlungsverhaltens von potentiellen Schuldnern wesentlich und die
Verarbeitung von Daten über ein vor etwas mehr als zwei Jahren durch
Erfüllung eines Zahlungsplans endgültig abgeschlossenes Insolvenzverfahren
erforderlich.
Dieses Interesse der mitbeteiligten Partei und ihrer Geschäftspartner überwiege
das Interesse des Revisionswerbers, nicht von wirtschaftlichen Nachteilen der
Datenverarbeitung betroffen zu sein, weil die Höhe der Passiva des
Insolvenzverfahrens ca. € 215.000,-- betrage. Überdies stelle die mitbeteiligte
Partei diese Zahlungserfahrungsdaten des Revisionswerbers nur einer
begrenzten Öffentlichkeit, der ein zu beachtendes Interesse an einer
Bonitätsprüfung zukomme, zur Verfügung.
Im Gegensatz zur Bonitätsdatenbank der mitbeteiligten Partei gründe sich die
datenschutzrechtliche Zulässigkeit der Führung der Insolvenzdatei auf
§ 256 Insolvenzordnung (IO), einer rechtlichen Verpflichtung iSd Art. 6
Abs. 1 lit. c DSGVO. Aus § 256 IO lasse sich nicht ableiten, dass
Insolvenzdaten (überhaupt) auch auf Grund anderer Erlaubnistatbestände des
Art. 6 DSGVO nicht mehr verarbeitet werden dürften, wenn sie aus der
Insolvenzdatei gelöscht worden seien. Eine derartige Einschränkung würde
jedenfalls in Bezug auf den vorliegend einschlägigen Erlaubnistatbestand des
Art. 6 Abs. 1 lit. f DSGVO EU-Sekundärrecht widersprechen.
Soweit der Revisionswerber in seinem Aufforderungsschreiben vom
29. Mai 2018 gegen die Verwendung seiner Daten Widerspruch nach
Art. 21 DSGVO erhoben habe, habe er darin nicht dargelegt, inwiefern die
Datenverarbeitung, die sich auf Art. 6 Abs. 1 lit. f DSGVO stütze, aufgrund
einer besonderen Situation dennoch nicht zulässig sei. Der Widerspruch sei
bereits deshalb unzulässig.
Mit dem Vorbringen, die gespeicherten Daten seien alt und unvollständig, weil
der Revisionswerber seit 2016 wieder erfolgreich unternehmerisch tätig sei und
diese Daten nur geeignet seien, ihn in seinem wirtschaftlichen Fortkommen zu
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
6 von 26
hindern und Schaden zu verursachen, mache der Revisionswerber einen
Verstoß gegen die allgemeinen Verarbeitungsgrundsätze der
Datenminimierung und Datensparsamkeit nach Art. 5 DSGVO und eine
mangelhafte Interessenabwägung im Rahmen des Art. 6 DSGVO, aber keine
Gründe geltend, die sich aus einer ihn betreffenden besonderen Situation
ergeben würden.
Die „Verarbeitung von Daten über historische Insolvenzen und
Zahlungsausfälle“ des Revisionswerbers durch die mitbeteiligte Partei sei daher
notwendig und rechtmäßig. Der vom Revisionswerber erhobene Widerspruch
könne sein Löschungsbegehren nicht rechtfertigen.
7 Den Zulässigkeitsausspruch begründete das Verwaltungsgericht mit fehlender
Rechtsprechung des Verwaltungsgerichtshofes zur Frage, welchen Grundsätzen
eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO genügen müsse;
insbesondere, ob und unter welchen Voraussetzungen die Vorschriften der
Kapitaladäquanzverordnung als Richtschnur für die Bestimmung der zulässigen
Speicherdauer von Bonitätsdaten herangezogen werden können.
8 Dagegen richtet sich die vorliegende ordentliche Revision mit dem Antrag auf
Aufhebung des angefochtenen Erkenntnisses gegen Aufwandersatz.
9 Die belangte Behörde beantragte in ihrer Revisionsbeantwortung die
Abweisung der Revision gegen Aufwandersatz. Die mitbeteiligte Partei
erstattete keine Revisionsbeantwortung.
10 Mit Beschluss vom 23. Dezember 2021, 6 K 441/21.WI, und Beschluss vom
31. Jänner 2022, 6 K 1052/21.WI, richtete das Verwaltungsgericht Wiesbaden
(Deutschland) jeweils unter anderem folgende Fragen an den EuGH (dort
anhängig zu C-26/22 und C-64/22) zur Vorabentscheidung:
„...
2. Ist eine Datenspeicherung bei einer privaten Wirtschaftsauskunftei, bei der
personenbezogene Daten aus einem öffentlichen Register, wie den ‚nationalen
Datenbanken‘ im Sinne des Art. 79 Abs. 4 und 5 der
Verordnung (EU) 2015/848 [Verordnung des Europäischen Parlaments und des
Rates vom 20. Mai 2015 über Insolvenzverfahren], ohne konkreten Anlass
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
7 von 26
gespeichert werden, um im Falle einer Anfrage eine Auskunft erteilen zu
können, mit Art. 7 und 8 der Charta der Grundrechte der Europäischen Union
vereinbar?
3. a) Sind private Paralleldatenbanken (insbesondere Datenbanken einer
Auskunftei), die neben den staatlichen Datenbanken errichtet werden und
in denen die Daten aus den staatlichen Datenbanken (hier
Insolvenzbekanntmachungen) länger gespeichert werden, als in dem engen
Rahmen der Verordnung 2015/848 in Verbindung mit dem nationalen
Recht geregelt, grundsätzlich zulässig?
b) Falls Frage 3 a) zu bejahen ist, ergibt sich aus dem Recht auf Vergessen
nach Art. 17 Abs. 1 Buchst. d) DSGVO, dass diese Daten zu löschen sind,
wenn die für das öffentliche Register vorgesehene Verarbeitungsdauer
abgelaufen ist?
4. Soweit Art. 6 Abs. 1 Unterabs. 1 Buchst. f) DSGVO als alleinige
Rechtsgrundlage für eine Datenspeicherung bei privaten
Wirtschaftsauskunfteien hinsichtlich der auch in öffentlichen Registern
gespeicherten Daten in Betracht kommt, ist ein berechtigtes Interesse einer
Wirtschaftsauskunftei schon dann zu bejahen, wenn diese Auskunftei die Daten
aus dem öffentlichen Verzeichnis ohne konkreten Anlass übernimmt, damit
diese Daten dann bei einer Anfrage zur Verfügung stehen?
...“
11 Mit Beschluss vom 10. Juni 2023, Ro 2020/04/0031, hat der
Verwaltungsgerichtshof das Revisionsverfahren bis zum Vorliegen der
Entscheidung des EuGH in den über diese beiden obigen
Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden anhängigen
Verfahren ausgesetzt, weil der Beantwortung dieser Fragen auch für die
Behandlung der vorliegenden Revision Bedeutung zukommt.
12 Mit Urteil vom 7. Dezember 2023, C-26/22 und C-64/22, SCHUFA Holding
(Restschuldbefreiung), hat der EuGH über die Vorabentscheidungsersuchen des
Verwaltungsgerichts Wiesbaden entschieden.
Der Verwaltungsgerichtshof hat erwogen:
Zulässigkeit
13 Die Revision erweist sich zu der im gesonderten Zulässigkeitsvorbringen der
Revision präzisierten Rechtsfrage, ob EU-Verordnungen, wie vorliegend die
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
8 von 26
Kapitaladäquanzverordnung, die an Kreditinstitute und Wertpapierfirmen
adressiert sind und Vorschriften zu internen Bonitätsprüfungen enthalten, als
Richtschnur für die Bestimmung der zulässigen Speicherdauer von nicht zur
internen Verwendung bestimmten Bonitätsdaten durch Kreditauskunfteien
herangezogen werden können, als zulässig. Sie ist auch berechtigt.
Maßgebliche Rechtslage
Unionsrecht
14 Die maßgeblichen Erwägungsgründe und Bestimmungen der
Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom
27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung
personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der
Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO), ABl. L 119
vom 4.5.2016, lauten auszugsweise:
„Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der
nachstehenden Bedingungen erfüllt ist:
...
f) die Verarbeitung ist zur Wahrung berechtigter Interessen des
Verantwortlichen oder eines Dritten erforderlich, sofern nicht die
Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person,
die den Schutz personenbezogener Daten erfordern, überwiegen,
insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind
handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung
ihrer Aufgaben vorgenommene Verarbeitung.
...
Artikel 17
Recht auf Löschung (‚Recht auf Vergessenwerden‘)
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu
verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht
werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten
unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
9 von 26
a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben
oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
...
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen
die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe
für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21
Absatz 2 Widerspruch gegen die Verarbeitung ein.
d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
...“
15 Die maßgeblichen Erwägungsgründe und Bestimmungen der
Richtlinie 2008/48/EG des Europäischen Parlaments und des Rates vom
23. April 2008 über Verbraucherkreditverträge und zur Aufhebung der
Richtlinie 87/102/EWG des Rates, ABl. L 133 vom 22.5.2008, lauten
auszugsweise:
„(26) ... Insbesondere auf dem expandierenden Kreditmarkt ist es wichtig, dass
Kreditgeber nicht verantwortungslos in der Kreditvergabe tätig werden oder
Kredite ohne vorherige Beurteilung der Kreditwürdigkeit vergeben, und die
Mitgliedstaaten sollten die erforderlichen Kontrollen durchführen, um derartige
Verhaltensweisen zu unterbinden und sie sollten die erforderlichen
Sanktionsmittel für jene Kreditgeber bestimmen, die sich so verhalten.
Unbeschadet der Bestimmungen der Richtlinie 2006/48/EG des Europäischen
Parlaments und des Rates vom 14. Juni 2006 über die Aufnahme und
Ausübung der Tätigkeit der Kreditinstitute über das Kreditrisiko sollten
Kreditgeber dafür verantwortlich sein, in jedem Einzelfall die Bewertung der
Kreditwürdigkeit des Verbrauchers zu prüfen. ...
...
(28) Zur Bewertung der Kreditsituation des Verbrauchers sollte der Kreditgeber
auch die einschlägigen Datenbanken konsultieren; aufgrund der rechtlichen und
sachlichen Umstände kann es erforderlich sein, dass sich derartige
Konsultationen im Umfang unterscheiden. Damit der Wettbewerb zwischen
Kreditgebern nicht verzerrt wird, sollte Kreditgebern aus anderen
Mitgliedstaaten der Zugang zu privaten oder öffentlichen Datenbanken
betreffend Verbraucher in einem Mitgliedstaat, in dem sie nicht niedergelassen
sind, unter Bedingungen gewährt werden, die keine Diskriminierung gegenüber
den Kreditgebern dieses Mitgliedstaats darstellen.
...
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
10 von 26
Artikel 8
Verpflichtung zur Bewertung der Kreditwürdigkeit des Verbrauchers
(1) Die Mitgliedstaaten stellen sicher, dass vor Abschluss des Kreditvertrages
der Kreditgeber die Kreditwürdigkeit des Verbrauchers anhand ausreichender
Informationen bewertet, die er gegebenenfalls beim Verbraucher einholt und
erforderlichenfalls anhand von Auskünften aus der in Frage kommenden
Datenbank. Diejenigen Mitgliedstaaten, die die Kreditgeber gesetzlich dazu
verpflichten, die Kreditwürdigkeit aufgrund der Abfrage einer entsprechenden
Datenbank zu beurteilen, können diese Anforderung beibehalten.“
16 Die maßgeblichen Erwägungsgründe und Bestimmungen der
Richtlinie 2014/17/EU des Europäischen Parlaments und des Rates vom
4. Februar 2014 über Wohnimmobilienkreditverträge für Verbraucher und zur
Änderung der Richtlinien 2008/48/EG und 2013/36/EU und der
Verordnung (EU) Nr. 1093/2010, ABl. L 60 vom 28.2.2014, lauten
auszugsweise:
„(55) Vor Abschluss eines Kreditvertrags ist es unerlässlich, die Fähigkeit und
Neigung des Verbrauchers zur Rückzahlung des Kredits zu bewerten und zu
überprüfen. Bei dieser Kreditwürdigkeitsprüfung sollten sämtliche
erforderlichen und relevanten Faktoren berücksichtigt werden, die die Fähigkeit
eines Verbrauchers, über die Laufzeit des Kredits fällige Rückzahlungen zu
leisten, beeinflussen könnten. ...
...
(59) Die Abfrage einer Kreditdatenbank ist ein nützliches Element bei der
Kreditwürdigkeitsprüfung. ...
...
Artikel 18
Verpflichtung zur Prüfung der Kreditwürdigkeit des Verbrauchers
(1) Die Mitgliedstaaten stellen sicher, dass der Kreditgeber vor Abschluss eines
Kreditvertrags eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers
vornimmt. Bei der Kreditwürdigkeitsprüfung werden die Faktoren, die für die
Prüfung der Aussichten relevant sind, dass der Verbraucher seinen
Verpflichtungen aus dem Kreditvertrag nachkommt, in angemessener Form
berücksichtigt.
...
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
11 von 26
Artikel 21
Zugang zu Datenbanken
(1) Jeder Mitgliedstaat stellt sicher, dass alle Kreditgeber aus allen
Mitgliedstaaten Zugang zu den in seinem Hoheitsgebiet zur Bewertung der
Kreditwürdigkeit des Verbrauchers verwendeten Datenbanken haben, mit deren
Verwendung ausschließlich überwacht werden soll, inwieweit Verbraucher
während der Laufzeit eines Kreditvertrags ihre Kreditverpflichtungen erfüllen.
Der Zugang ist ohne Diskriminierung zu gewähren.
(2) Absatz 1 gilt sowohl für von privaten Kreditbüros und Kreditauskunfteien
betriebene Datenbanken als auch für öffentliche Register.
...“
17 Die maßgeblichen Erwägungsgründe und Bestimmungen der
Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates
vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und
Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012
(Kapitaladäquanzverordnung), ABl. L 176 vom 27.6.2013, lauten
auszugsweise:
„(42) Da der Vielfalt der Institute in der Union unbedingt Rechnung zu tragen
ist, sollten bei der Berechnung der Eigenmittelanforderungen für das
Kreditrisiko verschiedene Ansätze mit unterschiedlich hohem Grad an
Risikosensitivität und Differenziertheit vorgesehen werden. Durch die
Verwendung externer Bonitätsbeurteilungen und der von den Instituten selbst
vorgenommenen Schätzungen einzelner Kreditrisikoparameter gewinnen die
Bestimmungen zum Kreditrisiko erheblich an Risikosensitivität und
aufsichtsrechtlicher Solidität. Institute sollten zu einer Umstellung auf Ansätze
mit höherer Risikosensitivität angehalten werden. Wenn Institute die zur
Anwendung der in dieser Verordnung vorgesehenen Ansätze zur Ermittlung
des Kreditrisikos benötigten Schätzungen vorlegen, sollten sie ihre Verfahren
für Kreditrisikomessung und Kreditrisikomanagement verbessern, damit für die
Festlegung der aufsichtsrechtlichen Eigenmittelanforderungen Methoden zur
Verfügung stehen, die der Art, dem Umfang und der Komplexität der
Verfahren der einzelnen Institute Rechnung tragen. In dieser Hinsicht sollte zur
Datenverarbeitung im Zusammenhang mit der Vergabe und der Verwaltung
von Krediten an Kunden auch die Entwicklung und Validierung von Systemen
für das Kreditrisikomanagement und die Kreditrisikomessung gehören. Dies
dient nicht nur den legitimen Interessen von Instituten, sondern auch dem Ziel
dieser Verordnung, bessere Methoden für Risikomessung und -management
anzuwenden und diese Methoden auch im Hinblick auf die vorgeschriebenen
Eigenmittel zu nutzen. Ungeachtet dessen erfordern Ansätze mit höherer
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
12 von 26
Risikosensitivität erhebliche Sachkenntnisse und Ressourcen sowie qualitativ
hochwertige und ausreichende Daten. ...
...
Artikel 135
Verwendung der Bonitätsbeurteilungen von ECAI
(1) Eine externe Bonitätsbeurteilung darf nur dann für die Bestimmung des
Risikogewichts einer Forderung nach diesem Kapitel herangezogen werden,
wenn sie von einer ECAI stammt oder von einer ECAI in Einklang mit der
Verordnung (EG) Nr. 1060/2009 bestätigt wurde.
...
Artikel 171
Zuordnung zu Ratingstufen oder Risikopools
...
(2) Bei der Zuordnung von Schuldnern und Fazilitäten zu einer Ratingstufe
oder einem Risikopool trägt ein Institut allen relevanten Informationen
Rechnung. Die Informationen sind aktuell und ermöglichen dem Institut eine
Prognose der künftigen Entwicklung der Risikoposition. Je weniger
Informationen einem Institut zur Verfügung stehen, desto konservativer
verfährt es bei der Zuordnung von Risikopositionen zu Schuldner-
bzw. Fazilitäts-Ratingsstufen oder Risikopools. Stützt sich ein Institut bei der
Festlegung einer internen Beurteilung hauptsächlich auf eine externe
Bonitätsbeurteilung, so stellt es sicher, dass auch andere relevante
Informationen berücksichtigt werden.
...
Artikel 180
Besondere Anforderungen an PD-Schätzungen
(1) Bei der Quantifizierung der Risikoparameter für bestimmte Bonitätsstufen
oder -pools wenden die Institute bei PD-Schätzungen für Forderungen an
Unternehmen, Institute, Zentralstaaten und Zentralbanken sowie für
Beteiligungspositionen, für die sie den PD-/LGD-Ansatz nach Artikel 155
Absatz 3 anwenden, die folgenden besonderen Anforderungen an:
...
f) soweit ein Institut seine internen Bonitätsstufen mit der Bonitätsskala einer
ECAI oder vergleichbarer Einrichtungen verknüpft oder einer solchen
Skala zuordnet und anschließend die bei den Bonitätsstufen der externen
Organisation verzeichneten Ausfallquoten seinen internen Stufen zuordnet,
erfolgt diese Zuordnung anhand eines Vergleichs zwischen den internen
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
13 von 26
Beurteilungskriterien und den Kriterien der externen Organisation und
eines Vergleichs zwischen internen und externen Beurteilungen etwaiger
gemeinsamer Schuldner. Verzerrungen oder Inkonsistenzen im
Zuordnungsverfahren oder bei den zugrunde liegenden Daten werden dabei
vermieden. Die Kriterien der externen Organisation, die den für die
Quantifizierung herangezogenen Daten zugrunde liegen, sind
ausschließlich auf das Ausfallrisiko ausgerichtet und spiegeln keine
Transaktionsmerkmale wider. ...“
Nationales Recht
18 § 7 Abs. 1 Verbraucherkreditgesetz (VKrG), BGBl. I Nr. 28/2010 idF
BGBl. I Nr. 135/2015, lautet:
„Prüfung der Kreditwürdigkeit des Verbrauchers
§ 7. (1) Vor Abschluss des Kreditvertrags hat der Kreditgeber die
Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen zu
prüfen, die er - soweit erforderlich - vom Verbraucher verlangt;
erforderlichenfalls hat er auch Auskünfte aus einer zur Verfügung stehenden
Datenbank einzuholen.“
19 § 9 Hypothekar- und Immobilienkreditgesetz - HIKrG, BGBl. I Nr. 135/2015,
lautet auszugsweise:
„Prüfung der Kreditwürdigkeit des Verbrauchers
§ 9. (1) Vor Abschluss eines Kreditvertrags hat der Kreditgeber eine
eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vorzunehmen. Bei
der Kreditwürdigkeitsprüfung sind die Faktoren, die für die Prüfung der
Aussichten relevant sind, dass der Verbraucher seinen Verpflichtungen aus
dem Kreditvertrag nachkommt, in angemessener Form zu berücksichtigen.
(2) Die Kreditwürdigkeitsprüfung ist auf der Grundlage notwendiger,
ausreichender und angemessener Informationen zu Einkommen, Ausgaben
sowie anderen finanziellen und wirtschaftlichen Umständen des Verbrauchers
vorzunehmen. Der Kreditgeber hat die Informationen aus einschlägigen
internen oder externen Quellen zu ermitteln, einschließlich des Verbrauchers.
...“
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
14 von 26
20 § 256 Insolvenzordnung (IO), BGBl. Nr. 337/1914 idF BGBl. I Nr. 122/2017,
lautet auszugsweise:
„Insolvenzdatei
§ 256. (1) In die Ediktsdatei sind Daten aufzunehmen, die nach diesem
Bundesgesetz öffentlich bekanntzumachen sind (Insolvenzdatei).
(2) Die Einsicht in die Insolvenzdatei ist nicht mehr zu gewähren, wenn ein
Jahr vergangen ist seit
...
4. Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist oder
...
(3) Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits
dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Sanierungsplan
oder Zahlungsplan erfüllt worden ist. Der Schuldner hat die Erfüllung
urkundlich nachzuweisen. Mit der Prüfung der Erfüllung kann das Gericht
einen Sachverständigen beauftragen, dessen Kosten vom Schuldner zu tragen
sind. Über die Einsicht entscheidet das Gericht mit unaufschiebbarem
Beschluss.
...“
Rechtmäßigkeit der Speicherung von Daten aus der Insolvenzdatei durch
Kreditauskunfteien
21 Vorliegend begehrt der Revisionswerber die Löschung eines Eintrags im
Hinblick auf sein Insolvenzverfahren in der Datenbank der mitbeteiligten
Kreditauskunftei, nachdem das Insolvenzgericht in dessen
Schuldenregulierungsverfahren die „Löschung der Eintragungen aus der
Insolvenzdatei“ gemäß § 256 Abs. 3 IO bewilligt hat. Zu prüfen ist daher die
Zulässigkeit der Speicherung dieser Daten durch die mitbeteiligte Partei auch
noch im Zeitraum nach der mit Beschluss des Insolvenzgerichts bewilligten
Nichtgewährung der Einsicht in die Insolvenzdatei gemäß § 256 Abs. 3 IO.
22 Der EuGH hat in seinem Urteil vom 7. Dezember 2023, C-26/22 und C-64/22,
SCHUFA Holding (Restschuldbefreiung), die vorliegend wesentlichen Fragen
der Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden dahin
beantwortet, dass Art. 5 Abs. 1 lit. a DSGVO iVm Art. 6 Abs. 1 lit. f DSGVO
dahin auszulegen ist, dass er einer Praxis „privater Wirtschaftsauskunfteien“
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
15 von 26
entgegensteht, die darin besteht, in ihren eigenen Datenbanken aus einem
öffentlichen Register stammende Informationen über die Erteilung einer
Restschuldbefreiung zugunsten natürlicher Personen zum Zweck der Lieferung
von Auskünften über die Kreditwürdigkeit dieser Personen für einen Zeitraum
zu speichern, der über die Speicherdauer der Daten im öffentlichen Register
hinausgeht. Er hat dies im Wesentlichen wie folgt begründet:
„...
74 Im vorliegenden Fall steht fest, dass die Rechtmäßigkeit der Verarbeitung
personenbezogener Daten, um die es in den Ausgangsverfahren geht, allein im
Licht von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zu beurteilen ist. Nach
dieser Bestimmung ist die Verarbeitung personenbezogener Daten nur
rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen
des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die
Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die
den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere
dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
75 Somit ist die Verarbeitung personenbezogener Daten nach dieser
Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens
muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten
ein berechtigtes Interesse wahrgenommen werden, zweitens muss die
Verarbeitung der personenbezogenen Daten zur Verwirklichung des
berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder
Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden
sollen, nicht überwiegen (Urteil vom 4. Juli 2023, Meta Platforms u. a.
[Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21,
EU:C:2023:537, Rn. 106 und die dort angeführte Rechtsprechung).
76 Was erstens die Voraussetzung der Wahrung eines ‚berechtigten Interesses‘
betrifft, ist in Ermangelung einer Definition dieses Begriffs durch die DSGVO
hervorzuheben, wie der Generalanwalt in Nr. 61 seiner Schlussanträge
ausgeführt hat, dass ein breites Spektrum von Interessen grundsätzlich als
berechtigt gelten kann.
77 Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung
personenbezogener Daten zur Verwirklichung des wahrgenommenen
berechtigten Interesses angeht, so verlangt diese vom vorlegenden Gericht, zu
prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in
zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann,
die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen
Personen, insbesondere die durch die Art. 7 und 8 der Charta garantierten
Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten,
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
16 von 26
eingreifen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine
Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537,
Rn. 108 und die dort angeführte Rechtsprechung).
78 In diesem Zusammenhang ist auch darauf hinzuweisen, dass die
Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem
sogenannten Grundsatz der ‚Datenminimierung‘ zu prüfen ist, der in Art. 5
Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene
Daten ‚dem Zweck angemessen und erheblich sowie auf das für die Zwecke
der Verarbeitung notwendige Maß beschränkt‘ sind (Urteil vom 4. Juli 2023,
Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen
Netzwerks], C-252/21, EU:C:2023:537, Rn. 109 und die dort angeführte
Rechtsprechung).
79 Was drittens die Voraussetzung betrifft, dass die Interessen oder
Grundfreiheiten und Grundrechte der Person, deren Daten geschützt werden
sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines
Dritten nicht überwiegen, so hat der Gerichtshof bereits entschieden, dass diese
Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden
Rechte und Interessen gebietet, die grundsätzlich von den konkreten
Umständen des Einzelfalls abhängt, und dass es daher Sache des vorlegenden
Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen
Umstände vorzunehmen (Urteil vom 4. Juli 2023, Meta Platforms u. a.
[Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21,
EU:C:2023:537, Rn. 110 und die dort angeführte Rechtsprechung).
80 Außerdem können, wie sich aus dem 47. Erwägungsgrund der DSGVO
ergibt, die Interessen und Grundrechte der betroffenen Person das Interesse des
Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene
Daten in Situationen verarbeitet werden, in denen eine betroffene Person
vernünftigerweise nicht mit einer solchen Verarbeitung rechnet (Urteil vom
4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines
sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 112).
81 Letztlich ist es damit Sache des vorlegenden Gerichts, zu beurteilen, ob im
Hinblick auf die Verarbeitung personenbezogener Daten, um die es in den
Ausgangsverfahren geht, die drei in Rn. 75 des vorliegenden Urteils genannten
Voraussetzungen erfüllt sind; der Gerichtshof kann dem nationalen Gericht auf
dessen Vorabentscheidungsersuchen hin jedoch sachdienliche Hinweise für
diese Prüfung geben (vgl. in diesem Sinne Urteil vom 20. Oktober 2022, Digi,
C-77/21, EU:C:2022:805, Rn. 39 und die dort angeführte Rechtsprechung).
82 Im vorliegenden Fall macht die SCHUFA hinsichtlich der Verfolgung eines
berechtigten Interesses geltend, dass die Kreditauskunfteien Daten
verarbeiteten, die zur Beurteilung der Bonität von Personen oder Unternehmen
erforderlich seien, um diese Informationen ihren Vertragspartnern zur
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
17 von 26
Verfügung stellen zu können. Diese Tätigkeit schütze nicht nur die
wirtschaftlichen Interessen der Unternehmen, die kreditrelevante Verträge
eingehen wollten, die Ermittlung der Kreditwürdigkeit und die Erteilung von
Bonitätsauskünften bilde zudem ein Fundament des Kreditwesens und der
Funktionsfähigkeit der Wirtschaft. Die Tätigkeit von Kreditauskunfteien helfe
auch, Geschäftswünsche der Interessenten an kreditrelevanten Geschäften zu
realisieren, da die Auskünfte eine schnelle und unbürokratische Prüfung dieser
Geschäfte ermöglichten.
83 Insoweit dient die Verarbeitung personenbezogener Daten wie die in den
Ausgangsverfahren in Rede stehende zwar den wirtschaftlichen Interessen der
SCHUFA, doch dient diese Verarbeitung auch der Wahrung des berechtigten
Interesses der Vertragspartner der SCHUFA, die kreditrelevante Verträge mit
Personen abschließen wollen, an der Bewertung der Kreditwürdigkeit dieser
Personen und damit den sozioökonomischen Interessen des Kreditsektors.
84 In Bezug auf Verbraucherkreditverträge geht nämlich aus Art. 8 der
Richtlinie 2008/48 im Licht ihres 28. Erwägungsgrundes hervor, dass der
Kreditgeber vor Abschluss des Kreditvertrags verpflichtet ist, die
Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen,
erforderlichenfalls auch anhand von Auskünften aus öffentlichen und privaten
Datenbanken, zu bewerten.
85 Außerdem ist in Bezug auf Wohnimmobilienkreditverträge für Verbraucher
Art. 18 Abs. 1 und Art. 21 Abs. 1 der Richtlinie 2014/17 in Verbindung mit
Erwägungsgründen 55 und 59 dieser Richtlinie zu entnehmen, dass der
Kreditgeber eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers
vornehmen muss und Zugang zu Kreditdatenbanken hat, wobei die Abfrage
solcher Datenbanken ein nützliches Element bei dieser Prüfung ist.
86 Hinzuzufügen ist, dass die Verpflichtung zur Bewertung der
Kreditwürdigkeit der Verbraucher, wie sie in den Richtlinien 2008/48 und
2014/17 vorgesehen ist, nicht nur den Kreditantragsteller schützen soll, sondern
auch, wie im 26. Erwägungsgrund der Richtlinie 2008/48 hervorgehoben wird,
das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten soll.
87 Jedoch muss die Datenverarbeitung aber auch zur Verwirklichung der
berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich
sein, und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen
Person dürfen gegenüber diesem Interesse nicht überwiegen. Bei der
entsprechenden Abwägung der jeweiligen einander gegenüberstehenden Rechte
und Interessen, d. h. derjenigen des Verantwortlichen und der beteiligten
Dritten einerseits und der betroffenen Person andererseits, sind, wie in Rn. 80
des vorliegenden Urteils dargelegt, insbesondere die vernünftigen Erwartungen
der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und
deren Auswirkungen auf diese Person zu berücksichtigen (vgl. Urteil vom
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
18 von 26
4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines
sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 116).
88 Zu Art. 6 Abs. 1 Unterabs. 1 Buchst. f der DSGVO hat der Gerichtshof
entschieden, dass diese Bestimmung dahin auszulegen ist, dass eine
Verarbeitung nur dann als zur Wahrung der berechtigten Interessen des
Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift
angesehen werden kann, wenn diese Verarbeitung innerhalb der Grenzen
dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses
unbedingt notwendig ist und wenn sich aus einer Abwägung der einander
gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände
ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten der von der
Verarbeitung betroffenen Personen gegenüber dem berechtigten Interesse des
Verantwortlichen oder eines Dritten nicht überwiegen (vgl. in diesem Sinne
Urteile vom 4. Mai 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, Rn. 30,
und vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen
eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 126).
89 In diesem Zusammenhang verweist das vorlegende Gericht auf
zwei Aspekte der in den Ausgangsverfahren in Rede stehenden Verarbeitung
personenbezogener Daten. Erstens impliziere diese Verarbeitung eine
vielfältige Speicherung der Daten, d. h. nicht nur in einem öffentlichen
Register, sondern auch in den Datenbanken der Wirtschaftsauskunfteien, wobei
diese Unternehmen diese Speicherung nicht aus konkretem Anlass vornähmen,
sondern für den Fall, dass ihre Vertragspartner bei ihnen Auskünfte anfragten.
Zweitens speicherten diese Unternehmen diese Daten drei Jahre lang auf der
Grundlage von Verhaltensregeln im Sinne von Art. 40 DSGVO, während die
nationalen Rechtsvorschriften für das öffentliche Register eine Speicherdauer
von nur sechs Monaten vorsähen.
...
92 Hinsichtlich der Dauer der Datenspeicherung ist davon auszugehen, dass
sich die Prüfung der zweiten und der dritten in Rn. 75 des vorliegenden Urteils
genannten Voraussetzung insofern überschneidet, als die Beurteilung der
Frage, ob im vorliegenden Fall die berechtigten Interessen, die mit der in den
Ausgangsverfahren fraglichen Verarbeitung personenbezogener Daten
wahrgenommen werden, vernünftigerweise nicht durch eine kürzere Dauer der
Speicherung der Daten erreicht werden können, eine Abwägung der einander
gegenüberstehenden Rechte und Interessen erfordert.
93 Zur Abwägung der verfolgten berechtigten Interessen ist festzustellen, dass
die Analyse einer Wirtschaftsauskunftei insoweit, als sie eine objektive und
zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der
Vertragspartner der Wirtschaftsauskunftei ermöglicht,
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
19 von 26
Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere
Unsicherheiten verringern kann.
94 Was hingegen die Rechte und die Interessen der betroffenen Person betrifft,
stellt die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung,
wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen
Dritten, durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den
Art. 7 und 8 der Charta verankerten Grundrechte der betroffenen Person dar.
Solche Daten dienen nämlich als negativer Faktor bei der Beurteilung der
Kreditwürdigkeit der betroffenen Person und stellen daher sensible
Informationen über ihr Privatleben dar (vgl. in diesem Sinne Urteil vom
13. Mai 2014, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 98).
Ihre Verarbeitung kann den Interessen der betroffenen Person beträchtlich
schaden, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten
erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse
zu decken.
95 Zudem sind, wie die Kommission ausgeführt hat, die Folgen für die
Interessen und das Privatleben der betroffenen Person umso größer und die
Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen
umso höher, je länger die fraglichen Daten durch Wirtschaftsauskunfteien
gespeichert werden.
96 Außerdem ist darauf hinzuweisen, dass das Ziel eines öffentlichen
Insolvenzregisters, wie sich aus dem 76. Erwägungsgrund der
Verordnung 2015/848 ergibt, darin besteht, eine bessere Information der
betroffenen Gläubiger und Gerichte zu gewährleisten. In diesem
Zusammenhang sieht Art. 79 Abs. 5 dieser Verordnung lediglich vor, dass die
Mitgliedstaaten den betroffenen Personen mitteilen, für welchen Zeitraum ihre
in Insolvenzregistern gespeicherten personenbezogenen Daten zugänglich sind,
ohne eine Speicherfrist für diese Daten festzulegen. Dagegen ergibt sich aus
Art. 79 Abs. 4 dieser Verordnung, dass es den Mitgliedstaaten gemäß diesem
Artikel obliegt, Daten zu erheben und in nationalen Datenbanken zu speichern.
Die Frist für die Speicherung dieser Daten muss daher unter Beachtung dieser
Verordnung festgelegt werden.
97 Im vorliegenden Fall sieht der deutsche Gesetzgeber vor, dass die
Information über die Erteilung einer Restschuldbefreiung im Insolvenzregister
nur sechs Monate lang gespeichert wird. Er geht daher davon aus, dass nach
Ablauf einer Frist von sechs Monaten die Rechte und Interessen der
betroffenen Person diejenigen der Öffentlichkeit, über diese Information zu
verfügen, überwiegen.
98 Außerdem soll, wie der Generalanwalt in Nr. 75 seiner Schlussanträge
ausgeführt hat, die erteilte Restschuldbefreiung dem Begünstigten ermöglichen,
sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für diese Person
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
20 von 26
im Allgemeinen existenzielle Bedeutung. Die Verwirklichung dieses Ziels wäre
jedoch gefährdet, wenn Wirtschaftsauskunfteien zur Beurteilung der
wirtschaftlichen Situation einer Person Daten über eine Restschuldbefreiung
speichern und solche Daten verwenden könnten, nachdem sie aus dem
öffentlichen Insolvenzregister gelöscht worden sind, da diese Daten bei der
Bewertung der Kreditwürdigkeit einer solchen Person stets als negativer Faktor
verwendet werden.
99 Unter diesen Umständen können die Interessen des Kreditsektors, über
Informationen hinsichtlich einer Restschuldbefreiung zu verfügen, keine
Verarbeitung personenbezogener Daten wie der in den Rechtsstreitigkeiten der
Ausgangsverfahren fraglichen nach Ablauf der Frist für die Speicherung der
Daten im öffentlichen Insolvenzregister rechtfertigen, so dass die Speicherung
dieser Daten durch eine Wirtschaftsauskunftei in Bezug auf den Zeitraum nach
der Löschung dieser Daten aus einem öffentlichen Insolvenzregister nicht auf
Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden kann.
...
106 Schließlich fragt sich das vorlegende Gericht im Wesentlichen, welche
Verpflichtungen eine Wirtschaftsauskunftei nach Art. 17 DSGVO treffen.
...
108 Sollte das vorlegende Gericht nach seiner Beurteilung der Rechtmäßigkeit
der in den Ausgangsverfahren in Rede stehenden Verarbeitung
personenbezogener Daten zu dem Ergebnis gelangen, dass diese Verarbeitung
nicht rechtmäßig ist, wäre daher nach dem klaren Wortlaut dieser Bestimmung
der Verantwortliche, im vorliegenden Fall die SCHUFA, verpflichtet, die
betreffenden Daten unverzüglich zu löschen. Dies wäre, wie in Rn. 99 des
vorliegenden Urteils festgestellt, bei einer Verarbeitung der in Rede stehenden
personenbezogenen Daten, die nach Ablauf der Frist von sechs Monaten für die
Speicherung der Daten im öffentlichen Insolvenzregister erfolgt, der Fall.
...“
23 Ausgehend von dieser Rechtsprechung des EuGH ist die Rechtmäßigkeit der
Verarbeitung personenbezogener Daten aus der Insolvenzdatei durch die
mitbeteiligte Partei allein im Licht von Art. 6 Abs. 1 lit. f DSGVO zu
beurteilen. Nach dieser Bestimmung ist die Verarbeitung personenbezogener
Daten unter drei kumulativen Voraussetzungen rechtmäßig: erstens muss von
dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein
berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung
personenbezogener Daten zur Verwirklichung des berechtigten Interesses
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
21 von 26
erforderlich sein, und drittens dürfen die Interessen und Grundrechte und
Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht
überwiegen (EuGH 7.12.2023, C-26/22 und C-64/22, SCHUFA Holding
[Restschuldbefreiung], Rn. 74 und 75, mwN; vgl. auch VwGH 31.10.2023,
Ro 2020/04/0024, 0025, Rn. 22, mwN).
24 Vorliegend macht die mitbeteiligte Partei hinsichtlich der Verfolgung eines
berechtigten Interesses geltend, dass sie aufgrund der Ausübung des Gewerbes
der Kreditauskunftei gemäß § 152 GewO 1994 ein berechtigtes Interesse an der
Verarbeitung der Bonitätsdaten des Revisionswerbers, insbesondere der
Informationen über seine vergangene Zahlungsunfähigkeit zwecks Beurteilung
seiner Kreditwürdigkeit habe. Die vorliegende Datenverarbeitung dient somit
den wirtschaftlichen Interessen der mitbeteiligten Partei. Das
Verwaltungsgericht verwies in diesem Zusammenhang jedoch überdies darauf,
dass die Verarbeitung von Daten über Insolvenzen und Zahlungsausfälle zum
Schutz potentieller Vertragspartner des Revisionswerbers erfolge. Die
Verarbeitung der Insolvenzdaten des Revisionswerbers dient daher auch der
Wahrung der berechtigten Interessen der Vertragspartner der mitbeteiligten
Partei, die mit dem Revisionswerber kreditrelevante Verträge abschließen
wollen, an der Abschätzung des damit verbundenen Kreditrisikos.
25 Der EuGH (C-26/22 und C-64/22, Rn. 83 bis 86) geht in diesem
Zusammenhang überdies vom Bestehen eines sozioökonomischen Interesses
des Kreditsektors an der Verarbeitung von Bonitätsdaten, insbesondere von
Insolvenzdaten aus. Er verweist dazu einerseits auf Art. 8 der Richtlinie
2008/48/EG, woraus im Lichte des 28. Erwägungsgrundes dieser Richtlinie in
Bezug auf Verbraucherkreditverträgen die Pflicht des Kreditgebers hervorgeht,
vor Abschluss des Kreditvertrages die Kreditwürdigkeit des Verbrauchers
anhand ausreichender Informationen, erforderlichenfalls auch anhand von
Auskünften aus öffentlichen und privaten Datenbanken zu bewerten (dem
entspricht innerstaatlich § 7 Abs. 1 Verbraucherkreditgesetz (VKrG), womit
Art. 8 der Richtlinie 2008/48/EG über Verbraucherkreditverträge umgesetzt
wurde). Andererseits hat der Kreditgeber in Bezug auf
Wohnimmobilienkreditverträge für Verbraucher nach Art. 18. Abs. 1 und
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
22 von 26
Art. 21 Abs. 1 der Richtlinie 2014/17 iVm den Erwägungsgründen 55 und 59
dieser Richtlinie eine eingehende Prüfung der Kreditwürdigkeit des
Verbrauchers vorzunehmen, wobei die Abfrage von Kreditdatenbanken, zu
denen der Kreditgeber Zugang hat, ein nützliches Element bei dieser Prüfung
ist (dem entspricht innerstaatlich § 9 Abs. 1 und 2 Hypothekar- und
Immobilienkreditgesetz - HIKrG, womit Art. 18. Abs. 1 der
Richtlinie 2014/17/EU umgesetzt wurde). Überdies soll die Verpflichtung zur
Bewertung der Kreditwürdigkeit der Verbraucher, wie sie in den Richtlinien
2008/48/EG und 2014/17/EU vorgesehen ist, nicht nur den Kreditantragsteller
schützen, sondern auch, wie im 26. Erwägungsgrund der Richtlinie
2008/48/EG hervorgehoben wird, das reibungslose Funktionieren des gesamten
Kreditsystems gewährleisten.
26 Das Verwaltungsgericht verweist (konkret zur Frage der Speicherdauer)
insbesondere auf die Verordnung (EU) Nr. 575/2013 des Europäischen
Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an
Kreditinstitute und Wertpapierfirmen und zur Änderung der
Verordnung (EU) Nr. 646/2012 (Kapitaladäquanzverordnung). Dieser
Verordnung ist aus Art. 135 Abs. 1, Art. 171 Abs. 2 und Art. 180 Abs. 1 lit. f
iVm deren 42. Erwägungsgrund die Verwendung externer
Bonitätsbeurteilungen etwa für die Zuordnung von Ratingstufen und
Risikopools, bzw. für die Schätzung der Ausfallswahrscheinlichkeit
(„PD-Schätzung“), somit für die Kreditrisikobemessung, zu entnehmen. Es
ergibt sich daher auch aus der Kapitaladäquanzverordnung, dass die
Verarbeitung von Insolvenzdaten von (potentiellen) Kreditnehmern dem
sozioökonomischen Interesse des Kreditsektors an der Bewertung der
Kreditwürdigkeit der (potentiellen) Kreditnehmer dient.
27 Schließlich kann die Analyse einer Kreditauskunftei, wie die mitbeteiligte
Partei, insoweit als sie eine objektive und zuverlässige Bewertung der
Kreditwürdigkeit der potentiellen Kunden ihrer Vertragspartner ermöglicht,
Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere
Unsicherheiten verringern (vgl. EuGH C-26/22 und C-64/22, Rn. 93).
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
23 von 26
28 Insofern besteht ein berechtigtes Interesse iSd Art. 6 Abs. 1 lit. f DSGVO an
der Verarbeitung von Daten des Revisionswerbers über dessen
Schuldenregulierungsverfahren.
29 Demgegenüber stellt die Verarbeitung dieser Daten, insbesondere in Bezug auf
die Erfüllung des rechtskräftig bestätigten Zahlungsplans, wie etwa die
Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten durch die
mitbeteiligte Partei einen schweren Eingriff in die in den Art. 7 und 8 GRC
verankerten Grundrechte des Revisionswerbers dar. Da solche Daten als
negativer Faktor bei der Beurteilung der Kreditwürdigkeit des
Revisionswerbers dienen, stellen sie sensible Informationen über dessen
Privatleben dar. Ihre Verarbeitung kann den Interessen des Revisionswerbers
beträchtlich schaden, weil die Weitergabe geeignet ist, die Ausübung seiner
Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht,
Grundbedürfnisse zu decken. Die Folgen für die Interessen und das Privatleben
des Revisionswerbers sind umso größer und die Anforderungen an die
Rechtmäßigkeit der Speicherung dieser Informationen daher umso höher, je
länger diese Daten durch die mitbeteiligte Partei gespeichert werden
(vgl. EuGH C-26/22 und C-64/22, Rn. 94, 95).
30 Ziel eines öffentlichen Insolvenzregisters, wie die Insolvenzdatei gemäß
§ 256 IO, ist die Gewährleistung einer besseren Information der betroffenen
Gläubiger und Gerichte (vgl. EuGH C-26/22 und C-64/22, Rn. 96, sowie
innerstaatlich die Erläuterungen zum Insolvenzrechtsänderungsgesetz 1997 -
IRÄG 1997 in RV 734 BlgNR 20. GP, 34, 63).
31 Gemäß § 256 Abs. 2 Z 4 IO ist die Einsicht in die Insolvenzdatei nicht mehr zu
gewähren, wenn seit dem Ablauf der im Zahlungsplan vorgesehenen
Zahlungsfrist ein Jahr vergangen ist. Auf Antrag des Schuldners ist die Einsicht
in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der
rechtskräftig bestätigte Zahlungsplan erfüllt worden ist (§ 256 Abs. 3 IO).
Letztere Möglichkeit dient der Vermeidung von Nachteilen des Schuldners im
Geschäftsverkehr (vgl. die Erläuterungen zum
Insolvenzrechtsänderungsgesetz 2010 -IRÄG 2010 RV 612 BlgNR 24. GP 3,
35).
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
24 von 26
32 Der Gesetzgeber geht somit davon aus, dass bereits mit Erfüllung des
rechtskräftig bestätigten Zahlungsplans spätestens jedoch mit Ablauf einer Frist
von einem Jahr seit Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist
die Rechte und Interessen der betroffenen Person, wie vorliegend des
Revisionswerbers, diejenigen der Öffentlichkeit, über diese Informationen zu
verfügen, überwiegen (vgl. RV 734 BlgNR 20. GP, 63). Schließlich ist das Ziel
des Zahlungsplans die wirtschaftliche Gesundung des Schuldners
(vgl. OGH 18.8.2010, 8 Ob 146/09t). In diesem Sinn soll eine „Löschung“ aus
der Insolvenzdatei infolge Erfüllung des Zahlungsplans die Beeinträchtigung
des Schuldners im Geschäftsverkehr durch öffentliche Bekanntmachung eines
früheren Insolvenzverfahrens vermeiden (vgl. Erläuterungen in
RV 612 BlgNR 24. GP, 3, 35).
33 Die Verwirklichung dieses Ziels wäre jedoch gefährdet, wenn die mitbeteiligte
Partei als Kreditauskunftei zur Beurteilung der wirtschaftlichen Situation des
Revisionswerbers Daten über sein Insolvenzverfahren speichern und solche
Daten verwenden könnte, nachdem die Einsicht in die Insolvenzdatei gemäß
§ 256 Abs. 2 und Abs. 3 IO nicht mehr zu gewähren ist, weil diese Daten bei
der Bewertung der Kreditwürdigkeit des Revisionswerbers stets als negativer
Faktor verwendet werden. Unter diesen Umständen können die berechtigten
Interessen des Kreditsektors, über Informationen hinsichtlich des mit Erfüllung
des rechtskräftig bestätigten Zahlungsplans beendeten Insolvenzverfahrens des
Revisionswerbers zu verfügen, die Verarbeitung dieser vormals in der
Insolvenzdatei öffentlich einsehbaren, personenbezogenen Daten nicht mehr
rechtfertigen. Die Speicherung dieser Daten durch die mitbeteiligte Partei in
Bezug auf den Zeitraum nach Rechtskraft des Beschlusses des
Insolvenzgerichts über die „Löschung der Eintragungen aus der
Insolvenzdatei“ gemäß § 256 Abs. 3 IO kann daher nicht auf Art. 6
Abs. 1 lit. f DSGVO gestützt werden. Die Speicherung der das
Schuldenregulierungsverfahren des Revisionswerbers betreffenden Daten aus
der Insolvenzdatei durch die mitbeteiligte Partei über den Zeitpunkt der
Rechtskraft des Beschlusses des Insolvenzgerichts nach § 256 Abs. 3 IO hinaus
erweist sich somit - entgegen der Rechtsansicht der belangten Behörde und des
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
25 von 26
Verwaltungsgerichts - als nicht rechtmäßig (vgl. wiederum EuGH C-26/22 und
C-64/22, Rn. 98 und 99).
Löschungsbegehren nach Art. 17 DSGVO
34 Mangels Rechtmäßigkeit der Verarbeitung der aus der Insolvenzdatei
gelöschten Daten des Revisionswerbers betreffend dessen Insolvenzverfahren
ist die mitbeteiligte Partei verpflichtet, die betreffenden Daten unverzüglich
gemäß Art. 17 Abs. 1 lit. d DSGVO zu löschen (vgl. wiederum EuGH C-26/22
und C-64/22, Rn. 108).
35 Soweit im Gegensatz dazu im Erkenntnis VwGH 9.5.2023, Ro 2020/04/0037,
das vom Revisionswerber gegenüber einem Kreditinstitut geltend gemachte
Recht auf Löschung gemäß Art. 17 DSGVO in Bezug auf einen ihn
betreffenden Eintrag von Zahlungserfahrungsdaten in einer gemeinsam mit
anderen Kreditinstituten betriebenen Datenbank (Bankenwarnliste) verneint
wurde, betraf dieser Eintrag keine Verarbeitung personenbezogener Daten des
Revisionswerbers aus der Insolvenzdatei. Vielmehr wurden die in der
Bankenwarnliste gespeicherten Zahlungserfahrungsdaten des Revisionswerbers
durch das Kreditinstitut im Zusammenhang mit der bei ihr bestehenden
Girokontoverbindung des Revisionswerbers erhoben
(vgl. VwGH Ro 2020/04/0037, Rn. 57 letzter Satz). Soweit in diesem
Erkenntnis unter Bedachtnahme auf die Kapitaladäquanzverordnung eine
Speicherdauer von zumindest fünf Jahren in Bezug auf die Speicherung von
Zahlungserfahrungsdaten in der Bankenwarnliste grundsätzlich als rechtmäßig
erachtet wurde, ist darauf hinweisen, dass die Kapitaladäquanzverordnung
gemäß dessen Art. 1 die allgemeinen Aufsichtsanforderungen für
Kreditinstitute betreffend näher bestimmter Bereiche regelt und somit nicht für
Kreditauskunfteien, wie vorliegend die mitbeteiligte Partei, gilt.
Ergebnis
36 Insofern das Verwaltungsgericht von der Rechtmäßigkeit der Speicherung der
den Revisionswerber betreffenden Insolvenzdaten durch die mitbeteiligte
Kreditauskunftei gemäß Art. 6 Abs. 1 lit. f DSGVO ausging und das vom
Revisionswerber geltend gemachte Recht auf Löschung verneinte, hat es das
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at
Ro 2020/04/0031-9
1. Februar 2024
26 von 26
angefochtene Erkenntnis mit Rechtswidrigkeit des Inhaltes belastet. Das
angefochtene Erkenntnis war daher gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
37 Von der Durchführung der beantragten Verhandlung vor dem
Verwaltungsgerichtshof konnte gemäß § 39 Abs. 2 Z 6 VwGG Abstand
genommen werden, weil es im vorliegenden Fall nicht um Fragen der
Beweiswürdigung oder strittige Tatsachenfeststellungen geht, sondern in der
Revision Rechtsfragen aufgeworfen wurden, die keinen komplexen Charakter
haben, zumal für die zentrale Rechtsfrage bereits auf die Judikatur des EuGH
verwiesen werden konnte (vgl. VwGH 3.8.2023, Ro 2020/04/0035,
Rn. 35, mwN), und zu deren Lösung daher im Sinn der Judikatur des EGMR
eine mündliche Verhandlung nicht geboten ist (vgl. VwGH 9.5.2023,
Ro 2020/04/0037, Rn. 81, mwN).
38 Die Entscheidung über den Aufwandersatz beruht auf den §§ 47 ff VwGG
iVm insbesondere § 1 Abs. 1 lit. a VwGH-Aufwandersatzverordnung, wonach
der Pauschalbetrag für den Schriftsatzaufwand für die Einbringung der
Revision entgegen dem verzeichneten Pauschalbetrag von € 2.180,-- lediglich
€ 1.106,40 beträgt. Umsatzsteuer ist nach § 47 Abs. 1 VwGG nicht gesondert
zuzusprechen, weil diese bereits im pauschalierten Schriftsatzaufwand
enthalten ist (vgl. zu letzterem VwGH 10.4.2020, Ra 2018/04/0154 bis 0155,
Rn. 34).
W i e n , am 1. Februar 2024
Verwaltungsgerichtshof
Judenplatz 11, 1010 Wien
www.vwgh.gv.at