Urteil : Zulässige Frist für die Speicherung einer Restschuldbefreiung durch Auskunfteien : aus der RDV 1/2024, Seite 48-51

Somit ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (Urteil vom 4. Juli 2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 106 und die dort angeführte Rechtsprechung). […]

Im vorliegenden Fall macht die SCHUFA hinsichtlich der Verfolgung eines berechtigten Interesses geltend, dass die Kreditauskunfteien Daten verarbeiteten, die zur Beurteilung der Bonität von Personen oder Unternehmen erforderlich seien, um diese Informationen ihren Vertragspartnern zur Verfügung stellen zu können. Diese Tätigkeit schütze nicht nur die wirtschaftlichen Interessen der Unternehmen, die kreditrelevante Verträge eingehen wollten, die Ermittlung der Kreditwürdigkeit und die Erteilung von Bonitätsauskünften bilde zudem ein Fundament des Kreditwesens und der Funktionsfähigkeit der Wirtschaft. Die Tätigkeit von Kreditauskunfteien helfe auch, Geschäftswünsche der Interessenten an kreditrelevanten Geschäften zu realisieren, da die Auskünfte eine schnelle und unbürokratische Prüfung dieser Geschäfte ermöglichten.

Insoweit dient die Verarbeitung personenbezogener Daten wie die in den Ausgangsverfahren in Rede stehende zwar den wirtschaftlichen Interessen der SCHUFA, doch dient diese Verarbeitung auch der Wahrung des berechtigten Interesses der Vertragspartner der SCHUFA, die kreditrelevante Verträge mit Personen abschließen wollen, an der Bewertung der Kreditwürdigkeit dieser Personen und damit den sozioökonomischen Interessen des Kreditsektors.

In Bezug auf Verbraucherkreditverträge geht nämlich aus Art.  8 der Richtlinie 2008/48 im Licht ihres 28. Erwägungsgrundes hervor, dass der Kreditgeber vor Abschluss des Kreditvertrags verpflichtet ist, die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen, erforderlichenfalls auch anhand von Auskünften aus öffentlichen und privaten Datenbanken, zu bewerten.

Außerdem ist in Bezug auf Wohnimmobilienkreditverträge für Verbraucher Art. 18 Abs. 1 und Art. 21 Abs. 1 der Richtlinie 2014/17 in Verbindung mit Erwägungsgründen 55 und 59 dieser Richtlinie zu entnehmen, dass der Kreditgeber eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vornehmen muss und Zugang zu Kreditdatenbanken hat, wobei die Abfrage solcher Datenbanken ein nützliches Element bei dieser Prüfung ist.

Hinzuzufügen ist, dass die Verpflichtung zur Bewertung der Kreditwürdigkeit der Verbraucher, wie sie in den Richtlinien 2008/48 und 2014/17 vorgesehen ist, nicht nur den Kreditantragsteller schützen soll, sondern auch, wie im 26. Erwägungsgrund der Richtlinie 2008/48 hervorgehoben wird, das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten soll.

Jedoch muss die Datenverarbeitung aber auch zur Verwirklichung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein, und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dürfen gegenüber diesem Interesse nicht überwiegen. Bei der entsprechenden Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, d.h. derjenigen des Verantwortlichen und der beteiligten Dritten einerseits und der betroffenen Person andererseits, sind, wie in Rn. 80 des vorliegenden Urteils dargelegt, insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen (vgl. Urteil vom 4. Juli 2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 116).

Zu Art. 6 Abs. 1 UAbs. 1 Buchst. f) der DS-GVO hat der Gerichtshof entschieden, dass diese Bestimmung dahin auszulegen ist, dass eine Verarbeitung nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten der von der Verarbeitung betroffenen Personen gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. in diesem Sinne Urteile vom 4. Mai 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, Rn. 30, und vom 4. Juli 2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 126).

In diesem Zusammenhang verweist das vorlegende Gericht auf zwei Aspekte der in den Ausgangsverfahren in Rede stehenden Verarbeitung personenbezogener Daten. Erstens impliziere diese Verarbeitung eine vielfältige Speicherung der Daten, d.h. nicht nur in einem öffentlichen Register, sondern auch in den Datenbanken der Wirtschaftsauskunfteien, wobei diese Unternehmen diese Speicherung nicht aus konkretem Anlass vornähmen, sondern für den Fall, dass ihre Vertragspartner bei ihnen Auskünfte anfragten. Zweitens speicherten diese Unternehmen diese Daten drei Jahre lang auf der Grundlage von Verhaltensregeln im Sinne von Art. 40 DS-GVO, während die nationalen Rechtsvorschriften für das öffentliche Register eine Speicherdauer von nur sechs Monaten vorsähen.

Zum ersten Aspekt macht die SCHUFA geltend, dass es unmöglich sei, rechtzeitig Auskünfte zu erteilen, wenn eine Wirtschaftsauskunftei verpflichtet wäre, eine konkrete Auskunftsanfrage abzuwarten, bevor sie mit der Datenerhebung beginnen könne.

Insoweit ist es Sache des vorlegenden Gerichts, zu prüfen, ob die Vorratsspeicherung der in Rede stehenden Daten durch die SCHUFA in ihren eigenen Datenbanken auf das zur Verwirklichung des berechtigten Interesses unbedingt Erforderliche beschränkt ist, obwohl die fraglichen Daten im öffentlichen Register abgerufen werden können und ohne dass ein Wirtschaftsunternehmen in einem konkreten Fall um Auskunft ersucht hat. Andernfalls könnte die Vorratsspeicherung dieser Daten durch die SCHUFA während des Zeitraums der öffentlichen Zugänglichmachung dieser Daten nicht als erforderlich angesehen werden.

Hinsichtlich der Dauer der Datenspeicherung ist davon auszugehen, dass sich die Prüfung der zweiten und der dritten in Rn. 75 des vorliegenden Urteils genannten Voraussetzung insofern überschneidet, als die Beurteilung der Frage, ob im vorliegenden Fall die berechtigten Interessen, die mit der in den Ausgangsverfahren fraglichen Verarbeitung personenbezogener Daten wahrgenommen werden, vernünftigerweise nicht durch eine kürzere Dauer der Speicherung der Daten erreicht werden können, eine Abwägung der einander gegenüberstehenden Rechte und Interessen erfordert.

Zur Abwägung der verfolgten berechtigten Interessen ist festzustellen, dass die Analyse einer Wirtschaftsauskunftei insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern kann.

Was hingegen die Rechte und die Interessen der betroffenen Person betrifft, stellt die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den Artt. 7 und 8 der Charta verankerten Grundrechte der betroffenen Person dar. Solche Daten dienen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person und stellen daher sensible Informationen über ihr Privatleben dar (vgl. in diesem Sinne Urteil vom 13. Mai 2014, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 98). Ihre Verarbeitung kann den Interessen der betroffenen Person beträchtlich schaden, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken.

Zudem sind, wie die Kommission ausgeführt hat, die Folgen für die Interessen und das Privatleben der betroffenen Person umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen umso höher, je länger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden.

Außerdem ist darauf hinzuweisen, dass das Ziel eines öffentlichen Insolvenzregisters, wie sich aus dem 76. Erwägungsgrund der Verordnung 2015/848 ergibt, darin besteht, eine bessere Information der betroffenen Gläubiger und Gerichte zu gewährleisten. In diesem Zusammenhang sieht Art. 79 Abs. 5 dieser Verordnung lediglich vor, dass die Mitgliedstaaten den betroffenen Personen mitteilen, für welchen Zeitraum ihre in Insolvenzregistern gespeicherten personenbezogenen Daten zugänglich sind, ohne eine Speicherfrist für diese Daten festzulegen. Dagegen ergibt sich aus Art. 79 Abs. 4 dieser Verordnung, dass es den Mitgliedstaaten gemäß diesem Artikel obliegt, Daten zu erheben und in nationalen Datenbanken zu speichern. Die Frist für die Speicherung dieser Daten muss daher unter Beachtung dieser Verordnung festgelegt werden.

m vorliegenden Fall sieht der deutsche Gesetzgeber vor, dass die Information über die Erteilung einer Restschuldbefreiung im Insolvenzregister nur sechs Monate lang gespeichert wird. Er geht daher davon aus, dass nach Ablauf einer Frist von sechs Monaten die Rechte und Interessen der betroffenen Person diejenigen der Öffentlichkeit, über diese Information zu verfügen, überwiegen.

Außerdem soll, wie der Generalanwalt in Nr. 75 seiner Schlussanträge ausgeführt hat, die erteilte Restschuldbefreiung dem Begünstigten ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für diese Person im Allgemeinen existenzielle Bedeutung. Die Verwirklichung dieses Ziels wäre jedoch gefährdet, wenn Wirtschaftsauskunfteien zur Beurteilung der wirtschaftlichen Situation einer Person Daten über eine Restschuldbefreiung speichern und solche Daten verwenden könnten, nachdem sie aus dem öffentlichen Insolvenzregister gelöscht worden sind, da diese Daten bei der Bewertung der Kreditwürdigkeit einer solchen Person stets als negativer Faktor verwendet werden.

Unter diesen Umständen können die Interessen des Kreditsektors, über Informationen hinsichtlich einer Restschuldbefreiung zu verfügen, keine Verarbeitung personenbezogener Daten wie der in den Rechtsstreitigkeiten der Ausgangsverfahren fraglichen nach Ablauf der Frist für die Speicherung der Daten im öffentlichen Insolvenzregister rechtfertigen, so dass die Speicherung dieser Daten durch eine Wirtschaftsauskunftei in Bezug auf den Zeitraum nach der Löschung dieser Daten aus einem öffentlichen Insolvenzregister nicht auf Art. 6 Abs. 1 UAbs. 1 Buchst. f) DS-GVO gestützt werden kann.

Was den Zeitraum von sechs Monaten betrifft, in dem die fraglichen Daten auch in diesem öffentlichen Register verfügbar sind, ist festzustellen, dass die Auswirkungen einer parallel zu diesem Zeitraum erfolgenden Speicherung dieser Daten in den Datenbanken solcher Auskunfteien zwar als weniger schwerwiegend angesehen werden können als nach Ablauf der sechs Monate, dass diese Speicherung aber dennoch einen Eingriff in die in den Art. 7 und 8 der Charta verankerten Rechte darstellt. Insoweit hat der Gerichtshof bereits entschieden, dass das Vorliegen derselben personenbezogenen Daten in mehreren Quellen den Eingriff in das Recht der Person auf Achtung des Privatlebens verstärkt (vgl. Urteil vom 13. Mai 2014, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 86 und 87). Es ist Sache des vorlegenden Gerichts, die in Rede stehenden Interessen und die Auswirkungen auf die betroffene Person gegeneinander abzuwägen, um festzustellen, ob die parallele Speicherung dieser Daten durch private Wirtschaftsauskunfteien als auf das unbedingt Notwendige beschränkt angesehen werden kann, wie es die in Rn. 88 des vorliegenden Urteils angeführte Rechtsprechung des Gerichtshofs verlangt.

Was schließlich die Frage des Vorliegens – wie hier – von Verhaltensregeln betrifft, die vorsehen, dass eine Wirtschaftsauskunftei die Daten über eine Restschuldbefreiung nach Ablauf einer Frist von drei Jahren löschen muss, ist darauf hinzuweisen, dass die Verhaltensregeln gemäß Art. 40 Abs. 1 und 2 DS-GVO nach Maßgabe der Besonderheiten der einzelnen Verarbeitungsbereiche und der besonderen Bedürfnisse der Kleinstunternehmen sowie kleinen und mittleren Unternehmen zur ordnungsgemäßen Anwendung dieser Verordnung beitragen sollen. So können Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, Verhaltensregeln ausarbeiten oder ändern oder erweitern, mit denen die Anwendung dieser Verordnung bspw. zu dem Folgenden präzisiert wird: faire und transparente Verarbeitung; die berechtigten Interessen des Verantwortlichen in bestimmten Zusammenhängen und die Erhebung personenbezogener Daten.

Darüber hinaus wird nach Art. 40 Abs. 5 DS-GVO ein Entwurf der Verhaltensregeln der zuständigen Aufsichtsbehörde vorgelegt, die ihn genehmigt, wenn sie der Auffassung ist, dass er ausreichende geeignete Garantien bietet.

Im vorliegenden Fall wurden die Verhaltensregeln, um die es in den Ausgangsverfahren geht, von dem Verband der Wirtschaftsauskunfteien ausgearbeitet und von der zuständigen Aufsichtsbehörde genehmigt.

Obwohl Verhaltensregeln zwar nach Art.  40 Abs.  1 und 2 DS-GVO zur ordnungsgemäßen Anwendung dieser Verordnung beitragen und ihre Anwendung präzisieren sollen, können jedoch, wie der Generalanwalt in den Nr. 103 und 104 seiner Schlussanträge ausgeführt hat, die in solchen Verhaltensregeln festgelegten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten nicht von den in Art. 6 Abs. 1 DS-GVO festgelegten Bedingungen abweichen.

Daher können Verhaltensregeln, die zu einer anderen Beurteilung führen würden als derjenigen, die sich nach Art. 6 Abs.  1 UAbs.  1 Buchst. f) DS-GVO ergibt, bei der Abwägung nach dieser Bestimmung nicht berücksichtigt werden. […]