FAQs

Es gibt verschiedene Unternehmen („Kreditauskunfteien“), die in ihren Datenbanken Daten über das Zahlungsverhalten und die Bonität von Personen sammeln.

Zulässigkeit
Kreditauskunfteien und Datenverarbeitungen für den Gläubigerschutz können zulässig sein.
In diesem Zusammenhang wir auf die vorläufige neue Rechtsansicht der Datenschutzbehörde bezüglich Auskunfteien über Kreditverhältnisse gemäß § 152 GewO aufgrund der Urteile des EuGH vom 07.12.2023, C-634/21 sowie der verbundenen Rechtssachen C-26/22 und C-64/22 ("SCHUFA-Urteile") verwiesen.

Möglichkeiten
Löschung der Eintragung, Widerspruch und Berichtigung
Es ist grundsätzlich möglich, Eintragungen bei Kreditauskunfteien und Banken löschen zu lassen, gegen eine Verarbeitung einen Widerspruch einzulegen oder im Falle, dass unrichtige personenbezogene Daten verarbeitet werden, diese berichtigen zu lassen.

Dabei ist Folgendes besonders zu beachten:
Es empfiehlt sich, zuerst eine Auskunft zu beschaffen, damit genaue Angaben gemacht werden können, was entfernt werden soll. Dazu bietet sich das Recht auf Auskunft an.

Unternehmen, die bei einer Kreditauskunftei die Bonität einer bestimmten Person anfragen, erwarten, dass zumindest ein Basis-Datensatz verfügbar ist. Wenn nach einem Antrag auf Löschung alle Daten zu einer Person gelöscht wurden, kann dies leicht dazu führen, dass das Unternehmen nicht einmal diese minimale Auskunft erhalten und daher den Kunden mangels Informationen ablehnen könnten.

Es kann daher sinnvoll sein, das Recht auf Löschung auf konkrete Eintragungen (bspw. ein konkretes Zahlungserfahrungsdatum) einzuschränken.

Beschwerde bei der Datenschutzbehörde
Eine Beschwerde wegen Verletzung im Recht auf Löschung ist dabei etwa möglich, wenn dem Antrag auf Löschung nicht gefolgt wird oder Daten aus Sicht der betroffenen Person unrechtmäßig verarbeitet werden.

EuGH schränkt Speicherzeitraum für bestimmte Daten ein
In zwei maßgeblichen Urteilen hat der Europäische Gerichtshof (EuGH) über die Rahmenbedingungen für bestimmte Datenverarbeitungen durch Kreditauskunfteien entschieden. Die beiden Entscheidungen des EuGH (C-634/21 sowie die verbundenen Verfahren C-26/22 und C-64/22), die Anfang Dezember 2023 ergingen, wirken sich vordergründig auf die Speicherdauer von Daten über Insolvenzen und Zahlungsausfällen sowie auf das sogenannte „Scoring“ aus. Keine längere Speicherdauer als in öffentlichen Registern

C-634/21
C-26/22 und C-64/22

Kreditauskunfteien erteilen grundsätzlich kostenpflichtig Auskunft über die Bonität, also Zahlungsfähigkeit, von Unternehmen aber auch Privatpersonen. Für diese Einschätzung der Bonität ist ein möglichst großer Datensatz über die wirtschaftliche Vergangenheit einer Person selbstverständlich nützlich. Das Interesse daran ist aber mit dem datenschutzrechtlichen Interesse der Betroffenen auszubalancieren.

Bis zuletzt war es für Kreditauskunfteien in Österreich möglich, Insolvenzdaten in der Regel fünf Jahre nach Löschung aus der Ediktsdatei, zu speichern. Aufgrund der genannten Urteile steht nunmehr fest, dass private Kreditauskunfteien aus einem öffentlichen Register stammende Daten über Insolvenzen, bei denen es zu einer Restschuldbefreiung gekommen ist, nicht länger speichern dürfen, als sie auch in diesen abrufbar sind.

BVwG-Erkenntnis »
Ediktsdatei

Mit anderen Worten: Private Kreditauskunfteien haben derartige Daten sofort zu löschen, wenn diese nicht mehr in der Ediktsdatei öffentlich einsehbar sind.

EuGH erlaubt „Scoring“ nur mehr im Einzelfall
Auch in Bezug auf das sogenannte „Scoring“ sind die jüngsten EuGH-Urteile wesentlich. Unter Scoring versteht man die Berechnung eines bestimmten Wahrscheinlichkeitswertes („Score“), der Aufschluss über die (vermutete) Zahlungsfähigkeit einer Person geben soll. Dazu wird ein Bündel an personenbezogenen Daten wie etwa Alter, Geschlecht, Beruf oder Zahlungserfahrungsdaten verwendet und durch mathematische Berechnungen ein Wert ermittelt, der darüber Auskunft geben soll, wie hoch die Wahrscheinlichkeit eines Zahlungsausfalls dieser Person ist Dieser Wert wird anderen Unternehmen über Anfrage zur Verfügung gestellt, die dann die Entscheidung treffen, ob sie mit dieser Person ein Geschäft (vor allem ein Fernabsatzgeschäft) abschließen.

Der Gerichtshof hat nun entschieden, dass die Datenverarbeitung zwecks „Scoring“ unter Art. 22 DSGVO (Automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling) fällt, sofern von diesem Wert maßgeblich abhängt, ob ein:e Dritte:r mit der:dem Betroffenen einen Vertrag abschließt. Demnach können sich Kreditauskunfteien nicht mehr pauschal auf ihr „berechtigtes Interesse“ (Art. 6 Abs. 1 lit. f DSGVO) stützen, sondern nur auf eine Ausnahmebestimmung nach Art. 22 Abs. 2 DSGVO.

Dies bedeutet, dass Kreditauskunfteien zukünftig bei jedem Einzelfall im Streitfall nachweisen müssen, ob diese Art der „automatisierten Entscheidung im Einzelfall“ gemäß Art. 22 DSGVO gerechtfertigt ist.