juris PraxisReporte

Orientierungssätze zur Anmerkung

1. Die Verarbeitung der Information über die Erteilung der Restschuldbefreiung durch private Wirtschaftsauskunfteien ist - wenn überhaupt - maximal sechs Monate datenschutzrechtlich rechtmäßig.
2. Datenschutzrechtlich bedenklich ist diese Speicherung mangels Erforderlichkeit, da die fraglichen Daten bereits im öffentlichen Register abgerufen werden können und eine Speicherung oft erfolgt, ohne dass ein Wirtschaftsunternehmen in einem konkreten Fall um Auskunft ersucht hat.

A.

Problemstellung

Nicht, sechs Monate oder drei Jahre? Wie lange dürfen private Wirtschaftsauskunfteien die Information über die Erteilung der Restschuldbefreiung speichern? Dieser Meinungsstreit, welcher insbesondere infolge einer Entscheidung des OLG Schleswig im Jahr 2021 deutlich sichtbar wurde, dürfte mit der vorliegenden EuGH-Entscheidung im Wesentlichen aufgelöst sein. Bereits mit Veröffentlichung der Schlussanträge des Generalanwalts des EuGH Mitte März 2023 wurde eine Tendenz sichtbar, wie der Meinungsstreit voraussichtlich aufgelöst werden wird. Nunmehr hat der EuGH deutlich ausgeführt, dass eine entsprechende Speicherung – wenn überhaupt – von maximal sechs Monaten datenschutzrechtlich rechtmäßig sein kann. Den wiederholt zu entscheidenden Gerichtsfällen lag üblicherweise der typische – auch für die vorliegende EuGH-Entscheidung relevante – Sachverhalt zugrunde.

B.

Inhalt und Gegenstand der Entscheidung

Dem Schuldner wurde die Restschuldbefreiung erteilt. Der diesem Akt zugrunde liegende Beschluss des Insolvenzgerichts wurde in dem öffentlichen Portal www.insolvenzbekanntmachungen.de veröffentlicht und nach Ablauf von sechs Monaten entsprechend § 3 Abs. 1 InsBekV gelöscht. Aus diesem öffentlichen Portal griffen private Wirtschaftsauskunfteien die dort veröffentlichen Informationen eigenmächtig ab und speicherten die erlangten Informationen in ihren Datenbanken, um sie zu verarbeiten und ihren Vertragspartnern – ggf. auch im Rahmen eines Score-Werts, welcher die Bonität des Kunden der Vertragspartner bewerten soll – zugänglich zu machen. Die in diesen privaten Datenbanken gespeicherten Informationen werden durch die Wirtschaftsauskunfteien – entsprechend ihrer selbst auferlegten Verhaltensregeln – erst nach Ablauf einer Frist von drei Jahren gelöscht.

Der Schuldner wandte sich wegen dieser Praxis an den zuständigen Landesdatenbeauftragen, welcher die Praxis der Wirtschaftsauskunfteien als rechtmäßig einstufte. Im Rahmen der gerichtlichen Überprüfung dieses Vorgehens legte das VG Wiesbaden verschiedene Fragestellungen hierzu dem EuGH zur Entscheidung vor. Unter dem 07.12.2023 hat der EuGH entschieden, dass das europäische Datenschutzrecht dieser Praxis entgegensteht.

C.

Kontext der Entscheidung

Diese EuGH-Entscheidung dürfte der vorläufige Schlusspunkt eines seit mehreren Jahren bestehenden Meinungsstreits (vgl. hierzu u.a. Brzoza, jurisPR-InsR 6/2023 Anm. 2 m.w.N., sowie Brzoza, VIA 2023, 69) sein.

Gemäß Art. 5 Abs. 1 Buchst. a DSGVO sind personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise zu verarbeiten. Art. 6 Abs. 1 DSGVO enthält eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig eingeordnet werden zu können. Für den vorliegenden Fall ist Art. 6 Abs. 1 Buchst. f DSGVO entscheidend. Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Erforderlich ist hierbei die Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses, wenn dieses nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch Art. 7 und 8 EU-Grundrechte-Charta (GRCh) garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen. Dabei ist zudem der – in Art. 5 Abs. 1 Buchst. c DSGVO verankerte – Grundsatz der Datenminimierung zu berücksichtigen, wonach personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt zu verarbeiten sind.

Bezogen auf den vorliegenden Fall arbeitet der EuGH heraus, dass die vorliegend in Rede stehende Verarbeitung personenbezogener Daten nicht nur den wirtschaftlichen Interessen der privaten Wirtschaftsauskunftei sondern zugleich auch der Wahrung des berechtigten Interesses der Vertragspartner der privaten Wirtschaftsauskunftei dienen würde, die kreditrelevante Verträge mit Personen abschließen wollen, an der Bewertung der Kreditwürdigkeit dieser Personen und damit den sozioökonomischen Interessen des Kreditsektors.

Für den EuGH ist bereits bedenklich, dass die privaten Wirtschaftsauskunfteien die entsprechende Information in ihren eigenen Datenbanken speichern, obwohl die fraglichen Daten im öffentlichen Register abgerufen werden können und ohne dass ein Wirtschaftsunternehmen in einem konkreten Fall um Auskunft ersucht hat. Mangels Erforderlichkeit äußert der EuGH gegen dieses Vorgehen ausdrücklich Bedenken, entscheidet aber diesen Aspekt nicht abschließend.

Im Rahmen der Abwägung der gegenseitigen Interessen stellt der EuGH zugunsten der privaten Auskunfteien zwar fest, dass die Analyse einer Wirtschaftsauskunftei insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern kann. Zugleich stellt der EuGH jedoch auch fest, dass die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den Art. 7 und 8 GRCh verankerten Grundrechte der betroffenen Person darstellt, da solche Daten nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person dienen und daher sensible Informationen über ihr Privatleben darstellen. Ihre Verarbeitung kann den Interessen der betroffenen Person beträchtlich schaden, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren. Zudem sind die Folgen für die Interessen und das Privatleben der betroffenen Person umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen umso höher, je länger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden. Im Ergebnis verneint der EuGH im vorliegenden Fall ein Überwiegen der Interessen des Kreditsektors, die streitgegenständigen Daten nach Ablauf der Speicherungsfrist des öffentlichen Portals weiter verarbeiten zu dürfen.

Ausdrücklich hält der EuGH fest, dass die vom deutschen Gesetzgeber normierte Löschung der Informationen über die Erteilung einer Restschuldbefreiung im öffentlichen Insolvenzregister nach sechs Monaten so zu verstehen ist, dass nach Ablauf dieser Frist von sechs Monaten die Rechte und Interessen der betroffenen Person – nach Ansicht des deutschen Gesetzgebers – diejenigen der Öffentlichkeit, über diese Information zu verfügen, überwiegen. Diese Wertung ist aus Sicht des EuGH vertretbar. Hervorzuheben ist hierbei der Sinn und Zweck der Restschuldbefreiung, welche dem Begünstigten ermöglichen soll, sich erneut am Wirtschaftsleben zu beteiligen. Die Verwirklichung dieses Ziels wäre jedoch gefährdet, wenn Wirtschaftsauskunfteien zur Beurteilung der wirtschaftlichen Situation einer Person Daten über eine Restschuldbefreiung speichern und solche Daten verwenden könnten, nachdem sie aus dem öffentlichen Insolvenzregister gelöscht worden sind.

Ein abweichendes Ergebnis kann sich auch nicht aus den Verhaltensregeln der privaten Wirtschaftsauskunfteien ergeben. Obwohl Verhaltensregeln zwar nach Art. 40 Abs. 1 und 2 DSGVO zur ordnungsgemäßen Anwendung dieser Verordnung beitragen und ihre Anwendung präzisieren sollen, können jedoch die in solchen Verhaltensregeln festgelegten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten nicht von den in Art. 6 Abs. 1 DSGVO festgelegten Bedingungen abweichen.

D.

Auswirkungen für die Praxis

Informationen über die Erteilung von Restschuldbefreiungen werden zukünftig – entsprechend § 3 Abs. 1 InsBekV – nur noch innerhalb der sechsmonatigen Frist abrufbar sein. Wo diese Informationen abrufbar sind, wird erst die Zukunft zeigen. Die Nutzung des öffentlichen Registers erscheint derzeit unbedenklich. Ob auch die privaten Wirtschaftsauskunfteien diese Information präventiv, also ohne vorherige Auskunftsverlangen eines Vertragspartners, speichern dürfen, ist zumindest – auch seitens des EuGH – im Hinblick auf die Erforderlichkeit bedenklich. In tatsächlicher Hinsicht kann bereits festgestellt werden, dass die privaten Wirtschaftsauskunfteien begonnen haben, ihre bisherige Speicherfrist von drei Jahren auf zukünftig sechs Monate zu verkürzen (vgl. u.a. becklink 2026882). Praktisch dürfte zudem spannend zu beobachten sein, ob tatsächlich die angekündigte Schadensersatz-„Prozesslawine“ erfolgt (vgl. auch Buck-Heeb, EuZW 2024, 49).