BVwG W287 2259251-1

Spruch:

W287 2259251-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin MMag.a Dr.in Julia KUSZNIER als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde der XXXX , XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , GZ. XXXX , (mitbeteiligte Partei: XXXX ), wegen Verletzung im Recht auf Löschung im Umlaufweg zu Recht:

A) Der Beschwerde wird stattgegeben und der angefochtene Bescheid dahingehend abgeändert, dass der Spruch insgesamt zu lauten hat wie folgt:

„Die Datenschutzbeschwerde wegen der behaupteten Verletzung im Recht auf Löschung in Bezug auf den Eintrag des Beschwerdeführers über eine negative Zahlungserfahrung in Höhe von EUR XXXX wird als unbegründet abgewiesen.“

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

Verfahrensgegenständlich ist die Frage, ob die Beschwerdeführerin die mitbeteiligte Partei in ihrem Recht auf Löschung verletzt hat, indem sie dem Antrag der mitbeteiligten Partei auf Löschung eines Eintrags zu einer negativen Zahlungserfahrung in Höhe von EUR XXXX für Zwecke der Bonitätseinschätzung, durch den XXXX eingemeldet, nicht entsprochen hat.

I. Verfahrensgang:

1. Die mitbeteiligte Partei erhob mit Schriftsatz vom 16.12.2019 (OZ 1 AS 3), verbessert mit Schriftsatz vom 29.01.2020 (OZ 1 AS 8), eine Datenschutzbeschwerde und brachte dazu im Wesentlichen vor, es seien nach Auskunft der XXXX (in weiterer Folge auch: „beschwerdeführende Partei“ oder „Beschwerdeführerin“) Daten der mitbeteiligten Partei hinsichtlich Zahlungserfahrungen sowie persönliche Daten gespeichert. Die beschwerdeführende Partei speichere Daten über bereits verjährte Inkassoforderungen. Aufgrund der verstrichenen Zeit und der geringen Höhe der Forderungen sei eine weitere Speicherung mehr als zwei Jahre nach Ausbuchung der letzten Forderung nicht mehr zweckmäßig oder erforderlich für den Gläubigerschutz und daher rechtswidrig.

2. Mit Stellungnahme vom 24.03.2020 (OZ 1 AS 36) replizierte die beschwerdeführende Partei, sie verarbeite Informationen, die in Zusammenhang mit der Kreditwürdigkeit (Bonität) stünden, im Rahmen ihrer Gewerbeberechtigung nach § 152 Gewerbeordnung 1994 (GewO). Datenschutzrechtliche Grundlage der Verarbeitung bonitätsrelevanter personenbezogener Daten in der Datenbank der Beschwerdeführerin seien berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen würden auf Seiten der Beschwerdeführerin sowie Dritter vorliegen, da der Zweck der Datenverarbeitung durch die Beschwerdeführerin darin bestünde, jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die im Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko etwa bei der Lieferung ihrer Waren oder Dienstleistungen eingehen würden. Die beschwerdeführende Partei erhalte Informationen über (negative) Zahlungserfahrungen dann, wenn ein Zahlungsverzug vorliege, die ersten beiden Mahnungen durch den Gläubiger erfolglos gewesen seien, auch die dritte Mahnung durch ein Inkassobüro erfolglos geblieben sei und daher ein fortbestehender qualifizierter Zahlungsverzug vorliege. Die beschwerdeführende Partei speichere personenbezogene Daten nur solange ein legitimer Zweck für ihre Verarbeitung bestünde. Die Verarbeitung der verfahrensgegenständlichen Zahlungserfahrungsdaten sei für die Erfordernisse der Auskunftei über Kreditverhältnisse unverzichtbar.

3. In der Stellungnahme vom 20.04.2020 (OZ 1 AS 56) brachte die mitbeteiligte Partei ergänzend vor, sie sei nicht gemäß Art. 14 DSGVO informiert worden. Daraus ergebe sich jedenfalls ein Löschungsanspruch nach Art. 17 Abs. 1 lit. d DSGVO.

4. Mit ergänzender Stellungnahme vom 18.03.2022 (OZ 1 AS 63) brachte die beschwerdeführende Partei im Wesentlichen vor, sie habe seit ihrer Stellungnahme vom 24.03.2020 mehrere Zahlungserfahrungen die mitbeteiligte Partei betreffend aus ihrer Identitäts- und Bonitätsdatenbank gelöscht, mit Ausnahme jener vom XXXX iHv EUR XXXX ( XXXX am 01.06.2019). Es seien jedoch zwischenzeitig drei weitere Zahlungserfahrungen neu aufgenommen worden, wodurch die Bonitätsrelevanz des verbleibenden verfahrensgegenständlichen Eintrags deutlich werde. Bereits das BVwG sei mit Erkenntnis vom 30.10.2019, GZ: W258 2216873-1/7E, unter Heranziehung der Bestimmungen aus der Kapitaladäquanzverordnung (VO (EU) 575/2013 ) zum Schluss gekommen, dass vergangene Zahlungsausfallsdaten (anhand eines zumindest fünfjährigen Beobachtungszeitraums) erforderlich und geeignet seien, das Risiko für einen zukünftigen Forderungsausfall abzuschätzen. In diesem Sinne sei auch das Urteil des OGH vom 23.06.2021, 9 Ob 87/21v, zu verstehen, das sogar eine zehnjährige Speicherung von Zahlungserfahrungsdaten als zulässig erachte.

5. Mit Bescheid vom XXXX (OZ 1 AS 96) gab die belangte Behörde der Beschwerde der mitbeteiligten Partei statt und stellte fest, dass die beschwerdeführende Partei die mitbeteiligte Partei dadurch in ihrem Recht auf Löschung verletzt habe, indem sie dem Antrag der mitbeteiligten Partei auf Löschung ihres Eintrages zu einer negativen Zahlungserfahrung iHv EUR XXXX für Zwecke der Bonitätseinschätzung, durch den XXXX eingemeldet, nicht entsprochen habe (Spruchpunkt I.). Der beschwerdeführenden Partei wurde aufgetragen, binnen zwei Wochen bei sonstiger Exekution den genannten Eintrag des Beschwerdeführers über eine negative Zahlungserfahrung von iHv EUR XXXX zu löschen (Spruchpunkt II.).

Die belangte Behörde führte in ihrem Bescheid aus, es könne nicht festgestellt werden, ob hinsichtlich des verbleibenden beschwerdegegenständlichen Zahlungserfahrungseintrags vom XXXX ein hinreichendes Informationsschreiben anlässlich der Einmeldung an die mitbeteiligte Partei ergangen sei. Aus der zitierten OGH-Entscheidung zu Zl. 6 Ob 275/05t vom 15.12.2005 sei ersichtlich, dass die betroffene Person ausdrücklich darauf hingewiesen werden müsste, dass sie in eine entsprechende „Liste“ eingetragen werde, wenn sie nicht innerhalb der gesetzlichen Frist eine vollständige Zahlung leiste oder nicht eine andere Vereinbarung getroffen werde. Das bloße Vorhandensein einer Datenschutzerklärung auf der Website der beschwerdeführenden Partei sei ungeeignet, die mitbeteiligte Partei über eine Eintragung von Zahlungserfahrungsdaten in die Bonitätsdatenbank der beschwerdeführenden Partei zu informieren.

6. Die beschwerdeführende Partei erhob mit Schriftsatz vom 19.07.2022 fristgerecht eine Beschwerde (OZ 1 AS 106) und brachte darin zusammengefasst vor, eine Warnpflicht bestünde nicht, da die Informationspflichten gegenüber Betroffenen in Art. 14 DSGVO abschließend geregelt seien. Aus einem Umkehrschluss aus Art. 14 Abs. 2 DSGVO ergebe sich, dass die Informationspflichten nur dann bestünden, wenn dies notwendig sei, um eine faire und transparente Verarbeitung zu gewährleisten. Ebenso ergebe sich aus der Entscheidung des OGH 15.12.2005, 6 Ob 275/05t, keine Warnpflicht bei Meldung von Zahlungserfahrungsdaten durch ein Inkassobüro an eine Kreditauskunftei. Die mitbeteiligte Partei sei auch über die Datenübermittlung an die Beschwerdeführerin informiert worden. Selbst wenn man vom Bestehen einer Warnpflicht ausginge, sei die Rechtmäßigkeit der Verarbeitung nicht berührt, weshalb kein Löschungsgrund vorliege. Da die behauptete Verletzung nicht bis in die Gegenwart andauere, sei auch der Tatbestand des Art. 17 Abs. 1 lit. d DSGVO nicht erfüllt. Da auch kein sonstiger Löschungsgrund in Betracht komme, bestehe somit kein Recht auf Löschung gemäß Art. 17 DSGVO. In jedem Fall aber sei eine Rechtsverletzung nachträglich gemäß § 24 Abs. 6 DSG saniert worden.

7. Mit Aktenvorlage vom 29.08.2022 (OZ 1 AS 1) legte die belangte Behörde dem Bundesverwaltungsgericht den bezughabenden Verwaltungsakt zur Entscheidung vor.

8. Das Bundesverwaltungsgericht übermittelte die Beschwerde der mitbeteiligten Partei am 17.04.2023 zur Stellungnahme. Die mitbeteiligte Partei äußerte sich dazu nicht.

9. Am 25.10.2023 ersuchte das Bundesverwaltungsgericht die Beschwerdeführerin um Bekanntgabe, welche Daten der mitbeteiligten Partei aktuell von der Beschwerdeführerin verarbeitet werden. Diesem Ersuchen kam die Beschwerdeführerin mit Schreiben vom 07.11.2023 nach. Ferner legte die Beschwerdeführerin mehrere Schreiben vor, in denen die mitbeteiligte Partei über eine Weitergabe der Daten an die Beschwerdeführerin bzw. andere Kreditauskunfteien informiert wurde (OZ 7). Der mitbeteiligten Partei wurde die Möglichkeit eingeräumt, eine Stellungnahme dazu abzugeben. Die mitbeteiligte Partei machte davon keinen Gebrauch.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Der folgende Sachverhalt steht fest:

1.1. Die beschwerdeführende Partei ist ein Unternehmen, das unter anderem das Gewerbe der „Auskunftei über Kreditverhältnisse“ gemäß § 152 GewO betreibt. Die in ihrer Datenbank verarbeiteten Zahlungserfahrungsdaten erhält die Beschwerdeführerin von ihren Vertragspartnern (zB Inkassobüros). Die von der Beschwerdeführerin betriebene Auskunftei dient den Kunden der Beschwerdeführerin dazu, das Ausfallsrisiko von (potenziellen) Vertragspartnern beurteilen zu können.

Die Beschwerdeführerin verpflichtet ihre Vertragspartner vertraglich zur Information der betreffenden Person über die Datenübermittlung an die beschwerdeführende Partei als Kreditauskunftei. Diese Information befindet sich auf den Mahnschreiben, die der jeweiligen Person im Zuge der Forderungsbetreibung zugestellt werden und lautet unter anderem folgendermaßen:

„Für den Fall, dass dieser Zahlungsaufforderung nicht vollständig und fristgerecht entsprochen wird […], weisen wir darauf hin, dass wir uns vorbehalten, Ihre Daten an einen Benutzerkreis von Kreditauskunfteien (wie zB XXXX , D&B, XXXX ) bzw. an sonstige autorisierte Warnlisten zum Zweck des Gläubigerschutzes unter Hinweis auf vertragswidriges Kundenverhalten zu übermitteln.“

Eine derartige Information war in den Schreiben diverser Inkassobüros (ua des XXXX vom XXXX , der XXXX vom 14.02.2014, 09.12.2014 und 13.04.2018 sowie der XXXX vom 19.05.2015) an die mitbeteiligte Partei enthalten.

1.2. Die mitbeteiligte Partei begehrte mit Schreiben vom 06.09.2019 die Löschung von insgesamt 14 Zahlungserfahrungsdaten in Höhe von insgesamt EUR 27.406,25.

Nach Einleitung des Verfahrens vor der belangten Behörde wurden mehrere Zahlungserfahrungsdaten die mitbeteiligte Partei betreffend aus der Datenbank der beschwerdeführenden Partei gelöscht. Zum Zeitpunkt der Entscheidung der belangten Behörde wurde von den ursprünglich verfahrensgegenständlichen Zahlungserfahrungsdaten lediglich folgender Eintrag noch verarbeitet:

​

Weiters wurden zwischenzeitig folgende weitere (nicht verfahrensgegenständliche) Zahlungserfahrungsdaten zur mitbeteiligten Partei in der Identitäts- und Bonitätsdatenbank der beschwerdeführenden Partei aufgenommen, sodass die Beschwerdeführerin zum Entscheidungszeitpunkt insgesamt folgende Zahlungserfahrungsdaten der mitbeteiligten Partei verarbeitet:

​

1.3. Eine eigenständige, persönlich an die mitbeteiligte Partei adressierte Information zur Verarbeitung ihrer personenbezogenen Daten anlässlich der Einmeldung der Daten durch den XXXX , erfolgte nicht durch die beschwerdeführende Partei selbst.

2. Die Feststellungen ergeben sich aus der folgenden Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt. Der maßgebliche Sachverhalt in Bezug auf die verfahrensgegenständliche Forderung, zu deren Entstehen, XXXX und Verarbeitung diesbezüglicher Zahlungserfahrungsdaten durch die Beschwerdeführerin, wurde von den Parteien des Verfahrens zu keinem Zeitpunkt bestritten.

3. Rechtliche Beurteilung:

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 DSG liegt gegenständlich daher Senatszuständigkeit vor.

Zu A)

Die belangte Behörde führte im angefochtenen Bescheid im Wesentlichen begründend aus, dass jede Verarbeitung nicht nur auf einem Rechtmäßigkeitsgrund nach Art. 6 DSGVO beruhen müsse, sondern zusätzlich auch im Einklang mit den Grundsätzen des Art. 5 DSGVO stehen müsse. Im Falle der Speicherung von Zahlungserfahrungsdaten in einer Bonitätsdatenbank sei es für eine betroffene Person essentiell, darüber in geeigneter Art und Weise vorab informiert zu werden, zumal mit einer Eintragung erhebliche Folgen für das wirtschaftliche Leben verbunden seien. Diese Information habe bereits im Zuge der Einmeldung zu erfolgen. Soweit daher – wie im konkreten Fall – eine Verarbeitung wider dem Grundsatz der Transparenz und der Verarbeitung nach Treu und Glauben erfolge, vermöge das berechtigte Interesse des Gläubigerschutzes durch den unverhältnismäßigen Eingriff in die schutzwürdigen Interessen der mitbeteiligten Partei nicht mehr zu überwiegen, sodass auch Art. 6 Abs. 1 lit. f DSGVO nicht mehr greife. Die rechtswidrige Speicherung sei einer Sanierung durch nachträgliche Informationserteilung nicht zugänglich.

Gegen diesen Bescheid wendet sich die gegenständliche Beschwerde, in der im Wesentlichen vorgebracht wird, dass die Informationspflichten gegenüber Betroffenen in Art. 13 f. DSGVO abschließend geregelt seien, weshalb eine gesonderte Warnpflicht nicht bestehe. Dies ergebe sich auch aus dem Umkehrschluss aus Art. 14 Abs. 2 DSGVO. Die zum alten DSG 2000 ergangene Rechtsprechung sei nicht einschlägig, weil eine vergleichbare Regelung im DSG 2000 nicht enthalten gewesen sei. Selbst wenn man eine Warnpflicht ableiten würde, sei die Rechtmäßigkeit der Verarbeitung nicht berührt.

Zum Antrag auf Löschung aufgrund einer unrechtmäßigen Verarbeitung (Art. 17 Abs. 1 lit. d DSGVO):

Art. 17 DSGVO räumt der betroffenen Person unter anderem ein Recht auf Löschung ein, wenn personenbezogene Daten unrechtmäßig verarbeitet wurden (lit. d). Diese Bestimmung ist in Verbindung mit Art. 5 Abs. 1 DSGVO zu lesen, wonach die Verarbeitung eine Reihe von Grundsätzen einhalten muss, die in dieser Bestimmung genannt werden. Nach der Rechtsprechung des Gerichtshofes der Europäischen Union (EuGH) muss jede Verarbeitung personenbezogener Daten mit den in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und die in Art. 6 DSGVO aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen (vgl. EuGH 4.5.2023, C-60/22 , Bundesrepublik Deutschland [Elektronisches Gerichtsfach], ECLI:EU:C:2023:373, Rz 50, 52, 57, mwN; VwGH 09.05.2023, Ro 2020/04/0037 Rz 22 und 23).

Gemäß Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“), wobei die notwendigen Voraussetzungen einer rechtmäßigen Verarbeitung in Art. 6 Abs. 1 lit. a bis f DSGVO explizit festgehalten sind. Ein Verstoß gegen den Grundsatz der rechtmäßigen Verarbeitung setzt demnach voraus, dass eine Verarbeitung von personenbezogenen Daten entgegen der Bestimmung des Art. 6 Abs. 1 lit. a bis f DSGVO vorliegt. Diese Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, ist erschöpfend und abschließend, so dass eine Verarbeitung unter einen der in Art. 6 Abs. 1 DSGVO vorgesehenen Fälle subsumierbar sein muss, um als rechtmäßig angesehen werden zu können (VwGH 09.05.2023, Ro 2020/04/0037 Rz 35 sowie vgl. EuGH 4.5.2023, C-60/22 , Bundesrepublik Deutschland [Elektronisches Gerichtsfach], ECLI:EU:C:2023:373, Rz 56).

Da die Art. 7 bis 11 DSGVO, die genau wie die Art. 5 und 6 DSGVO in deren Kapitel II („Grundsätze“) stehen, zum Ziel haben, den Umfang der dem Verarbeiter nach Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 DSGVO obliegenden Pflichten näher zu bestimmen, ist die Verarbeitung personenbezogener Daten, wie sich aus der Rechtsprechung des EuGH ergibt, zudem nur rechtmäßig, wenn sie diese anderen Bestimmungen des genannten Kapitels einhält, die im Wesentlichen die Einwilligung, die Verarbeitung besonderer Kategorien sensibler personenbezogener Daten und die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten betreffen (vgl. zu alldem wiederum EuGH 4.5.2023, C‑60/22 ).

Die lückenlose Einhaltung der Informationspflichten zählt nicht zu den in Art. 6 Abs. 1 DSGVO genannten Gründen für die Rechtmäßigkeit der Verarbeitung. Ebenso sind die Informationspflichten nicht Teil des Kapitels II der DSGVO. Im Gegensatz zur Missachtung der Bestimmungen des Kapitels II der DSGVO hat daher nicht jede Verletzung der Informationspflichten zur Folge, dass die Verarbeitung von personenbezogenen Daten den in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätzen in Bezug auf die Verarbeitung der Daten widerspricht bzw. nicht zumindest einen in Art. 6 Abs. 1 DSGVO genannten Grund für die Rechtmäßigkeit der Verarbeitung erfüllt (vgl. dazu VwGH 09.05.2023, Ro 2020/04/0037). Ebenso wird in der Literatur angenommen, dass eine Verletzung der Informationspflichten zu den dafür vorgesehenen Sanktionen (vgl. Art. 83 DSGVO) führt, nicht jedoch zur Unrechtmäßigkeit der Verarbeitung an sich (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO (Stand 7.5.2020, rdb.at) Art. 5 Rz 12 mwN; Illibauer in Knyrim, DatKomm Art 14 DSGVO (Stand 1.12.2021, rdb.at) Rz 4; Franck in Gola/Heckmann, DS-GVO BDSG3 Art. 13 Rz 59, ebenso davon ausgehend, dass die Rechtswidrigkeit der gesamten Verarbeitung nur in besonderen Fällen, zB bei vollkommen intransparenter Verarbeitung oder spezifischer Täuschung, angenommen werden könne).

Bei autonomer unionsrechtlicher Auslegung des Begriffs „Treu und Glauben“ ergibt sich aus dem 47. Erwägungsgrund zur DSGVO, dass „Treu und Glauben“ im Sinne von Fairness (entsprechend der englischen Sprachfassung „fairly“) zu interpretieren ist. Es sind die „vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen“, als Maßstab heranzuziehen. Ausgehend von Erwägungsgrund 47 zur DSGVO muss eine Verarbeitung nach Treu und Glauben innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstelle und es eine redliche verständige Person in der Situation verstehe.

Der Grundsatz der Transparenz war in der DSRL und im DSG 2000 noch nicht ausdrücklich erwähnt, aber implizit in Form der Bestimmungen zur Informationspflicht enthalten. In der DSGVO wird der Grundsatz der Transparenz durch die Art. 13 und 14 zur Informationspflicht sowie Art. 12 zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den Erwägungsgründen 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden. Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden und an wen sie allenfalls übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht bildet damit notwendige Voraussetzung für die Ausübung der Betroffenenrechte. Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt bzw. ist ihm nicht bekannt, wer seine Daten verarbeitet, kann er seine diesbezüglichen Rechte nach Art. 15 - 21 DSGVO nicht geltend machen (vgl. zu alldem: Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO, Rz 13ff).

Die Beschwerdeführerin kam – wie festgestellt – den Informationspflichten nach Art. 14 DSGVO zwar im Zeitpunkt der Einmeldung der Daten nicht nach. Vorliegend hat die mitbeteiligte Partei jedoch mit der Datenübermittlung an die Beschwerdeführerin rechnen müssen: Den vorgelegten Mahnschreiben, die der mitbeteiligten Partei im Zeitraum 2014 bis 2018 übermittelt wurden, ist zu entnehmen, dass eine Datenübermittlung an die Beschwerdeführerin erfolgen kann. Anhand dieser Informationen war für die mitbeteiligte Partei klar erkennbar, dass ein (weiteres) Ignorieren von Zahlungsaufforderungen die Übermittlung sie betreffender Zahlungserfahrungsdaten an ein Unternehmen wie die Beschwerdeführerin zur Folge haben würde. Das erkennende Gericht übersieht dabei nicht, dass diese Kenntnis der mitbeteiligten Partei nicht den Detailgrad einer Information nach Art. 14 DSGVO erreicht. Bei Berücksichtigung sämtlicher Umstände vermag das Bundesverwaltungsgericht im gegenständlichen Zusammenhang aber nicht zu erkennen, weshalb es für die mitbeteiligte Partei nicht vorhersehbar gewesen sein sollte, dass die in Rede stehenden Zahlungserfahrungsdaten für den Fall, dass keine Einwände gegen die Forderung erhoben werden oder eine Zahlung bis zum genannten Zeitpunkt erfolgen würde, an Unternehmen im Bereich Kreditauskunfteien zur Bonitätsbewertung übermittelt würden. Es ist daher nicht davon auszugehen, dass die gegenständliche Verarbeitung vollkommen intransparent und entgegen dem Grundsatz von Treu und Glauben sowie entgegen dem Transparenzgrundsatz erfolgt ist.

Wenn die belangte Behörde hingegen den in Art. 5 Abs. 1 lit. a DSGVO normierten Grundsatz der Verarbeitung nach Treu und Glauben und Transparenz durch die Beschwerdeführerin unter Verweis auf den Beschluss des OGH zu Zl. 6 Ob 275/05t vom 15.12.2005 verletzt sieht, ist – wie bereits ausgeführt – festzuhalten, dass die Begriffe „Treu und Glauben, Transparenz“ im Sinne der DSGVO autonom unionsrechtlich zu interpretieren sind, sodass die im angefochtenen Bescheid zitierte Rechtsprechung des OGH und der damaligen Datenschutzkommission zur Auslegung des Art. 5 Abs. 1 lit. a DSGVO nicht herangezogen werden kann. Doch auch inhaltlich ist aus der zitierten Rechtsprechung des OGH für die vorliegende Fallkonstellation nichts zu gewinnen; so lag der zitierten oberstgerichtlichen Entscheidung der Sachverhalt zugrunde, dass eine Bank einen säumigen Kreditschuldner und dessen Ausfallsbürgen ohne vorhergehende Information in die sogenannte „Bankenwarnliste“ eingetragen hat, ohne zuvor im Rahmen eines Schreibens zur Fälligstellung bzw. Zahlungsaufforderung zu warnen und informieren. Im Unterschied hierzu hat die Beschwerdeführerin hingegen ihre Vertragspartner, hier das Inkassounternehmen, das die negativen Zahlungserfahrungsdaten an die Beschwerdeführerin übermittelte, vertraglich verpflichtet, Betroffene vor einer Datenübermittlung an die Beschwerdeführerin hiervon wie oben festgestellt zu informieren, und wurden derartige Informationen auch tatsächlich an die mitbeteiligte Partei übermittelt. Zudem handelt es sich im Falle der ins Treffen geführten und oben erörterten Rechtsprechung zur „Bankenwarnliste“ bei einem Kreditinstitut aufgrund des in § 38 BWG verankerten Bankgeheimnisses um Unternehmen, deren Kunden – von den in § 38 BWG ausdrücklich normierten Ausnahmen abgesehen – davon ausgehen können, dass Bonitätsdaten der Bankkunden gerade nicht an andere Kreditinstitute oder Wirtschaftsteilnehmer übermittelt werden.

Da sich die vorliegende Datenverarbeitung zudem auf Art. 6 Abs. 1 lit. f DSGVO (nicht jedoch auf eine Einwilligung der betroffenen Person) stützt, kann eine Verletzung der Informationspflicht, die unabhängig davon gemäß Art. 83 Abs. 5 lit. b DSGVO mit einer Geldbuße geahndet werden kann, nicht per se eine „unrechtmäßige Verarbeitung“ iSd Art. 17 Abs. 1 lit. d iVm Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 DSGVO darstellen, die der mitbeteiligten Partei ein Recht auf Löschung gewähren würde.

Eine andere Sichtweise hätte nämlich zur Folge, dass jeder Verstoß gegen die Art und Weise der Verarbeitung auch eine unrechtmäßige Datenverarbeitung nach sich ziehen würde und es damit selbst im Falle einer berechtigten oder sogar allenfalls verpflichtenden Datenverarbeitung in diesem Fall uneingeschränkt u.a. zu einer Löschung kommen müsste. Eine solche ausnahmslose Löschungsverpflichtung kann der DSGVO aber nicht entnommen werden. Vielmehr ordnet Art. 17 Abs. 1 lit. b DSGVO sogar explizit an, dass bei Widerruf einer Einwilligung, die Daten nur dann zu löschen sind, wenn es an einer anderweitigen Rechtsgrundlage fehlt (vgl. dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 17 DSGVO (Stand 1.12.2020, rdb.at) Rz 26 und 31).

Zur Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO:

Nach Art. 6 Abs. 1 lit. f DSGVO ist die Verarbeitung von personenbezogenen Daten rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Art. 6 Abs. 1 lit. f DSGVO sieht dementsprechend – wie auch bereits Art. 7 Buchst. f der Richtlinie 95/46 - zwei kumulative Voraussetzungen vor, damit eine Verarbeitung personenbezogener Daten rechtmäßig ist, und zwar zum Einen, dass die Verarbeitung personenbezogener Daten zur Verwirklichung des berechtigten Interesses überhaupt erforderlich ist, und zum Anderen, dass nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person(en) überwiegen.

Die Beschwerdeführerin betreibt das Gewerbe der Kreditauskunftei gemäß § 152 GewO. Zu den Aufgaben der Gewerbetreibenden iSd § 152 GewO gehört die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Der Zweck dieser Gewerbetreibenden liegt darin, den Kreditgebern aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer, und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur Verfügung zu stellen (Riesz in Ennöckl/Raschauer/Wessely, GewO § 152 Rz 2). Dadurch soll es Kreditgebern ermöglicht werden, die Wahrscheinlichkeit, mit der der Kreditgeber am Ende wegen seiner Forderung befriedigt wird, und allenfalls die Prognose, mit wie vielen Schwierigkeiten das verbunden ist, zu bestimmen (Wendehorst, Was ist Bonität? Zum Begriff der "Kreditwürdigkeit" in § 7 VKrG, in Blaschek/Habersberger (Hrsg), Eines Kredites würdig? (2011) 22). Eine Neigung zu vertragswidrigem Verhalten - etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck - lässt sich vor allem aus dem Finanzgebaren in der Vergangenheit heraus prognostizieren. Relevant ist dabei vergangenes vertragswidriges Verhalten, das sich in schlichtem Zahlungsverzug, aber auch in gerichtlichen Verfahren bis hin zu Exekutionshandlungen oder gar in einer Insolvenzeröffnung manifestiert haben mag (aaO 23; vgl auch Heinrich, Bonitätsprüfung im Verbraucherkreditrecht (Wien 2014) 89 f).

Die Beschwerdeführerin verarbeitet im Zuge des Betriebs des Gewerbes der Kreditauskunftei historische Informationen über Zahlungsausfälle der mitbeteiligten Partei, um sie (potentiellen) Gläubigern bereitzustellen, damit diese das Risiko etwaiger Zahlungsausfälle bestimmen können.

Dabei handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten (§ 152 GewO) Zweck. Die Daten sind auch richtig und vollständig. Sie sind auch grundsätzlich erforderlich und geeignet, um eine Prognose über zukünftiges Zahlungsverhalten abgeben zu können (siehe dazu auch EuGH 23.11.2006, Rs C-238/05 Rz 47 in Hinblick auf Systeme zum Informationsaustausch zwischen Finanzinstituten).

Weder die DSGVO noch die gewerberechtlichen Regelungen zum Gewerbe der Kreditauskunftei (§ 152 GewO) enthalten konkrete Fristen zur zulässigen Speicherdauer von historischen Insolvenzverfahren und Zahlungsausfällen. Wie lange diese Daten jeweils verarbeitet werden dürfen, hängt daher grundsätzlich vom Einzelfall ab. Im Rahmen der fallbezogenen Betrachtung ist auf die konkreten Gegebenheiten abzustellen. Bei der Abwägung kommen etwa der Höhe der einzelnen Forderungen, dem Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung und dem Datum der Eintragung in die Datenbank Bedeutung zu. Historische Zahlungsinformationen haben umso weniger Aussagekraft, je länger sie zurückliegen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen ist. Als Richtlinie, wie lange Zahlungserfahrungsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet sind, können unter anderem Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen (vgl. OGH 23.6.2021, 6 Ob 87/21v, Rn. 19; VwGH 09.05.2023, Ro 2020/04/0037, Rn 63).

Zur Beurteilung der zulässigen Speicherdauer kann die Verordnung Nr. 575/2013/EU (Kapitaladäquanzverordnung) herangezogen werden. Demnach können Kreditinstitute ua verpflichtet werden, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Für Kredit- bzw Retailforderungen gegenüber natürlichen Personen haben Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürfen (Art. 143 Abs 1 leg. cit.), gemäß Art 151 Abs. 6 iVm 180 Abs. 2 lit. a und e leg. cit. die Ausfallswahrscheinlichkeit der Forderung (Probability of Default - PD) ua anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen; dabei ist ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein kann, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall (Loss Given Default - LGD), hat sich gemäß Art. 151 Abs. 7 iVm 181 Abs. 2 lit. c leg. cit. grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen.

Der (EU‑)Verordnungsgeber geht daher davon aus, dass für die Beurteilung der Bonität eines (potentiellen) Schuldners bzw des Risikos einer Forderung, Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant sind.

Wenn Kreditinstitute als potentielle Geschäftspartner der Beschwerdeführerin zum Teil rechtlich verpflichtet sind, ihre Forderungen anhand der Ausfallquoten zumindest der letzten fünf Jahre zu bewerten, und soll - wie hier - die Bonitätsdatenbank der Beschwerdeführerin auch dazu dienen, Kreditinstituten Daten zu liefern, die sie für die (verpflichtende) Bewertung benötigen, kann es nicht als Verstoß gegen das Prinzip der Datenminimierung oder der Speicherbegrenzung erkannt werden, wenn die Beschwerdeführerin Zahlungserfahrungsdaten zu Inkassoforderungen der mitbeteiligten Partei verarbeitet, wenn die gegenständliche Forderung zum Zeitpunkt des Löschungsbegehrens am 06.09.2019 erst vor etwa zwei Monaten bzw zum nunmehrigen Entscheidungszeitpunkt erst vor ca. vier Jahren und 5 Monaten, nämlich am XXXX , erfüllt worden ist und seitdem weitere (neue) negative Zahlungserfahrungsdaten in die Datei der Beschwerdeführerin aufgenommen wurden.

Eintragungen von zumindest fünf Jahre zurückliegenden Zahlungserfahrungsdaten können daher nach wie vor den Zwecken, weswegen sie verarbeitet wurden, und zwar des Gläubigerschutzes und der Risikominimierung durch Beurteilung des Ausfallsrisikos potentieller Kunden dienen (VwGH 09.05.2023, Ro 2020/04/0037, Rn 76,77 sowie die Rechtsprechung des BVwG insbesondere zu W258 2216873-1).

Vor diesem rechtlichen Hintergrund bestehen im vorliegenden Fall daher keine Bedenken dagegen, dass die Beschwerdeführerin zur Verarbeitung von bonitätsrelevanten Daten in ihrer Datenbank grundsätzlich berechtigt ist und ihr die Rechtsordnung diesbezüglich – wenn auch keine rechtliche Verpflichtung, aber doch – ein grundsätzlich gebilligtes berechtigtes Interesse iSd Art 6 Abs. 1 lit f DSGVO einräumt (siehe dazu OGH, 11.10.2010. 6 Ob 112/10d zur Rechtslage vor der DSGVO; siehe auch Ehmann/Selmayr, Datenschutzgrundverordnung zu Art 6, Rn17, wonach eine „freiwillige“ Übermittlung von Daten durch den Verarbeiter, ohne dass dazu eine rechtliche Verpflichtung besteht, die in Abs. 1 lit. c normierte Bedingung der Erforderlichkeit nicht erfüllt.).

Der Beschwerde der Beschwerdeführerin war sohin stattzugeben und ein Recht auf Löschung der Zahlungserfahrungsdaten der mitbeteiligten Partei zu verneinen.

Entfall der mündlichen Verhandlung:

Gemäß § 24 Abs 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs 4 VwGVG kann - soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist - das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art 6 Abs 1 EMRK noch Art 47 GRC entgegenstehen.

Im gegenständlichen Fall konnte das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage – geklärt war, weshalb die Durchführung einer öffentlichen mündlichen Verhandlung – wie nicht einmal beantragt – zur weiteren Klärung des Sachverhaltes nicht beitragen und damit unterbleiben konnte.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzlichen Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab (siehe dazu insbesondere die zitierte Judikatur zu VwGH 09.05.2023, Ro 2020/04/0037), noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.