Urteil: Speicherdauer bei Bonitätsdatenbanken

Ein Konsument hatte von 2011 bis 2017 ein Schuldenregulierungsverfahren ("Privatkonkurs") laufen. Er begehrte 2018 bei einer Kreditauskunftei die Löschung seiner Daten nach Art 17 Abs 1 lit a DSGVO. Der Zweck, für den diese Daten erhoben worden seien, habe sich erledig, da er nunmehr schuldenfrei sei.

Die Kreditauskunftei verweigerte die Löschung. Sie berief sich darauf, dass die Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten Art 6 Abs 1 lit f DSGVO sei. Die Datenverarbeitung sei zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten, hier aus Gläubigerschutzgründen, erforderlich. Eine in der Vergangenheit erfolgte Zahlungsunfähigkeit stelle bei der Kreditvergabe idR eine Risikoerhöhung dar und der Zweck der Verarbeitung personenbezogener Daten sei somit weiterhin aufrecht.

Die Datenschutzbehörde sah den Beschwerdeführer nicht in seinem Löschungsrecht verletzt und führte aus:

Datenverarbeitung durch Kreditauskunftei
Die Verarbeitung bonitätsrelevanter Daten durch eine Kreditauskunftei iSd § 152 GewO findet in eben dieser Bestimmung Deckung; die Rechtmäßigkeit der Verarbeitung dieser Daten hängt folglich nicht von der vorherigen Einwilligung eines Betroffenen ab. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar ist, muss angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über "Kreditverhältnisse" als gegeben erachtete.

Mangels Spezialregeln für Kreditauskunfteien sind die allgemeinen Grundsätze der DSGVO anzuwenden, wonach ua personenbezogenen Daten nur für festgelegte, eindeutige und legitime Zwecke erhobene werden dürfen (Art 5 Abs 1 lit b DSGVO). Die Zwecke der Datenverarbeitung der Kreditauskunftei besteht darin, jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die im Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko etwa bei der Lieferung ihrer Waren oder Dienstleistungen eingehen. Unter bestimmten Voraussetzungen ist damit die Rechtmäßigkeit der Verarbeitung gem Art 6 Abs 1 lit f DSGVO zu bejahen.

Speicherdauer
Nur wenn die personenbezogenen Daten noch bonitätsrelevant sind, besteht ein Verarbeitungszweck gem Art 5 Abs 1 lit b DSGVO. Besteht ein Verarbeitungszweck an den bonitätsrelevanten Daten kann daraus geschlossen werden, dass auch personenbezogene Daten, die eine Zuordnung der bonitätsrelevanten Daten zu einer betroffenen Person ermöglichen (bspw Name, Geburtsdatum und Anschrift) grundsätzlich verarbeitet werden dürfen.

Eine gesetzlich normierte Frist, wie lange Einträge in Datenbanken von Kreditauskunfteien gespeichert werden dürfen, besteht nicht. Die Datenschutzkommission hatte etwa im Bescheid GZ K600.033-018/0002-DVR/2007 zur KKE zur Rechtslage vor Inkrafttreten der DSGVO bezüglich der Löschung aller Eintragungen im Zusammenhang mit einem konkreten Kreditschuldverhältnis verschiedene bestimmte Löschfristen definiert. Demnach variierte die Länge je nachdem, ob die zugrundeliegende Schuld gezahlt wurde (max 5 Jahre), oder ihr Nichtbestehen festgestellt (max 90 Tage) oder die Schuld getilgt wurde oder ein sonstiges schuldbefreiendes Ereignis eintrat (7 Jahre). Die Insolvenzordnung (IO) sieht in § 256 vor, dass Daten etwa im Rahmen eines Schuldenregulierungsverfahrens  grundsätzlich bis ein Jahr nach Abschluss des Insolvenzverfahrens abrufbar sind.

Die durch Negativeintragungen herrührende vermeintlich schlechte Bonität der Betroffenen soll durch die Möglichkeit einer zeitnahen Löschung nach Begleichung aller Forderungen hintangehalten werden. Eine generelle Löschung der bonitätsrelevanten Daten erst sieben Jahre nach Tilgung der Schuld wird im Hinblick auf Art 6 Abs 1 lit f DSGVO, vor allem aber im Hinblick auf die seit dem Zeitpunkt der Erlassung des oben zitierten Bescheides der Datenschutzkommission geänderte Rechtslage (§ 256 IO) jedenfalls nicht verhältnismäßig sein.

Die DSB geht aufgrund der geänderten Rechtslage bei Kreditauskunfteien von ihrer früheren Ansicht zur fixen Aufbewahrungsdauer ab. Vielmehr scheint eine Einzelfallbeurteilung unter Berücksichtigung aller maßgeblichen Umstände erforderlich zu sein. Hierbei sind ua zu berücksichtigen:  die Höhe der einzelnen Forderungen,  das "Alter" der Forderungen (sohin das Datum der Eintragung in die Datenbank), die Anzahl der im Wege eines Inkassounternehmens eingetriebenen Forderungen, die Zeit, die seit Begleichung einer Forderung verstrichen ist, die Herkunft der Daten.

Im konkreten Fall erkannte die DSB keine Verletzung des Löschungsrechts, da es sich um Kredite in nicht unbeträchtlichem Ausmaß handelte. Die Kredite entstanden zwar schon vor mehr als 10 Jahren, wurden aber erst 2017 zumindest tw erledigt. Vor allem aufgrund der Höhe der einzelnen Forderungen sowie der erst kurzen Zeit, die zwischen dem Löschungsbegehren sowie der Erfüllung des Zahlungsplanes vergangen ist (unter zwei Jahre), kann davon ausgegangen werden, dass das berechtigte Interesse der Kreditauskunftei an der Verwendung der Daten über "Kreditverhältnisse" des Beschwerdeführers gegenüber dem Interesse des Beschwerdeführers an der Löschung der Daten überwiegt.  

Der Bescheid ist rechtskräftig.
Datenschutzbehörde 20.2.2019, DSB-D123.319/0002-DSB/2019

Anmerkung:
Siehe zur gleichen inhaltlichen Thematik schon den derzeit (21.11.2019) nicht rechtskräftigen Bescheid der DSB vom 7.12.2018, DSB-D123.193/0003-DSB/2018.