BVwG W298 2296144-1

Spruch:

W298 2296144-1/4E

Im namen der republik!

Das Bundesverwaltungsgericht erkennt durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundige Laienrichterin Mag. Gerda Ferch-Fischer und den fachkundigen Laienrichter Dr. Wolfgang Goricnik als Beisitzerin und Beisitzer über die Beschwerde der XXXX , vertreten durch BAKER McKENZIE Rechtsanwälte LLP & Co KG, Schottenring 25, 1010 Wien, gegen den Bescheid der Datenschutzbehörde vom 19.06.2024, GZ. XXXX (mitbeteiligte Partei: XXXX ), wegen Verletzung im Recht auf Löschung, zu Recht:

A) Die Beschwerde wird als unbegründet abgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. XXXX (im Verfahren vor der Datenschutzbehörde „Beschwerdeführer“, im hg. Verfahren „mitbeteiligte Parte“) erhob am XXXX 2023 bei der Datenschutzbehörde (in weiterer Folge „belangte Behörde“) eine Datenschutzbeschwerde, in der er zusammengefasst eine Verletzung im Recht auf Löschung durch die XXXX (im Verfahren vor der belangen Behörde „Beschwerdegegnerin“, im hg. Verfahren „Beschwerdeführerin“) geltend machte. Die Beschwerdeführerin habe Einträge (Zahlungserfahrungsdaten) in der Höhe von € XXXX über die mitbeteiligte Partei gespeichert, die bereits beglichen seien. Bei den Einträgen sei die positive Erledigung auch vermerkt, jedoch weigere sich die Beschwerdeführerin, die Einträge zu löschen. Eine Notwendigkeit für die weitere Speicherung bestünde nicht. Die mitbeteiligte Partei sei dadurch aber in ihrem wirtschaftlichen Fortkommen beeinträchtigt.

2. Die Beschwerdeführerin nahm dazu am XXXX 2023 Stellung und führte im Wesentlichen aus, dass es stimme, dass sie im Datensatz zur mitbeteiligten Partei weiterhin vier positiv erledigte Zahlungserfahrungen, ihrer Ansicht nach rechtmäßig, in ihrer Identitäts- und Bonitätsdatenbank verarbeite. Eine Löschung komme deswegen nicht infrage, weil die verarbeiteten Daten für den Zweck der Bonitätsprüfung weiterhin erforderlich seien. Dies betreffe Forderungen aus 2021 und 2023, welche positiv erledigt (=bezahlt) seien. Diese Forderungen seien allerdings teilweise 9 bis 12 Monate und in einem Fall über 6,5 Jahre unberichtigt ausgehaftet. Die Richtigkeit der Daten und der damit in Zusammenhang stehenden Forderungen sei unstrittig. Die mitbeteiligte Partei sei von den Gläubigern in den entsprechenden Mahnschreiben darauf hingewiesen worden, dass sie ihre jeweilige Forderung im Falle der nicht rechtzeitigen Zahlung der Beschwerdeführerin melden würden.

3. Mit Eingabe vom XXXX 2023 legte die Beschwerdeführerin ein Mustermahnschreiben eines (betreibenden) Inkassobüros sowie ein Mahnschreiben eines weiteren Inkassobüros vor und führte ergänzend aus, die XXXX und XXXX (vormals XXXX ) hätten eine der DSGVO entsprechende datenschutzrechtliche Information der möglichen Offenlegung von Daten an die Beschwerdeführerin an die mitbeteiligte Partei erteilt.

4. Mit Schriftsatz vom XXXX 2024 ergänzte die Beschwerdeführerin ihr Vorbringen dahingehend, dass aus ihrer Sicht verfahrensgegenständlich keine Vergleichbarkeit mit der Entscheidung des EUGH vom 07.12.2023 in der verbundenen Rechtssache C-26/22 und C-64/22 (SCHUFA Holding/Restschuldbefreiung) zur Restschuldbefreiung gegeben sei, weil die Daten der mitbeteiligten Partei nicht aus der Ediktsdatei oder einer anderen öffentlichen Datei stamme, sondern einer privaten Quelle.

5. Mit Bescheid vom XXXX 2024 gab die belangte Behörde der Datenschutzbeschwerde wegen der Verletzung im Recht auf Löschung statt und sprach aus, dass die Beschwerdeführerin Zahlungserfahrungsdaten - konkret Forderungen in Höhe von EUR XXXX ; EUR XXXX ; EUR XXXX (gemeint wohl EUR XXXX ) sowie EUR XXXX - über den Zeitpunkt der positiven Erledigung am XXXX 2023, XXXX 2021, XXXX 2021 sowie XXXX 2021 hinaus unrechtmäßig verarbeite und nicht aus ihrer Datenbank gelöscht habe (Spruchpunkt I.). Der Beschwerdeführerin wurde aufgetragen, innerhalb einer Frist von zwei Wochen bei sonstiger Exekution, die genannten Einträge vollständig zu löschen (Spruchpunkt II.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt III.).

Begründend führte die belangte Behörde im Wesentlichen aus, dass die Verarbeitung der Zahlungserfahrungsdaten durch die Beschwerdeführerin nicht erforderlich sei, da die vollständige Tilgung der Forderungen bereits im Jänner 2023 sowie Jänner und Februar 2021 erfolgt sei und nichts dafür spräche, eine weitere Verarbeitung zu rechtfertigen.

6. Die Beschwerdeführerin erhob am XXXX 2024 das Rechtsmittel der Beschwerde gegen die Spruchpunkte I. und II. des Bescheids und führte darin im Wesentlichen aus, die belangte Behörde vertrete die unrichtige Rechtsauffassung, dass die Beschwerdeführerin ab dem Zeitpunkt der positiven Erledigung der jeweiligen Forderung zur Löschung der Zahlungserfahrungsdaten betreffend die mitbeteiligte Partei verpflichtet gewesen sei. Die Verarbeitung von Zahlungserfahrungsdaten aufgrund von schlichten Zahlungsausfällen – im Vergleich zu Zahlungserfahrungsdaten betreffend eine Insolvenz – sei erforderlich, um wahrheitsgetreue, zuverlässige und belastbare Informationen über die Kreditwürdigkeit einer Person zu errechnen und damit ihre Dienstleistungen als Kreditauskunftei nach § 152 GewO 1994 anbieten zu können.

7. Mit Aktenvorlage vom XXXX 2024 legte die belangte Behörde den gegenständlichen Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die Beschwerdeführerin betreibt unter Anderem das Gewerbe der „Auskunftei über Kreditverhältnisse“ gemäß § 152 GewO. In ihrer Datenbank werden Zahlungserfahrungsdaten von Personen zum Zwecke der Bonitätsbeurteilung verarbeitet. Dazu bedient sie sich unterschiedlicher Datenquellen privater Herkunft z.B.: Inkassobüros und öffentlichen Herkunft insbesondere der Ediktsdatei, Firmenregister etc. Verfahrensgegenständlich stammen die Daten aus den Quellen wie zu 1.7. festgestellt. Die von der Beschwerdeführerin betriebene Auskunftei dient Kunden der Beschwerdeführerin (Dritten) dazu, das Ausfallsrisiko von (potenziellen) Vertragspartnern beurteilen zu können.

1.2. Unternehmen, die zuvor ein schriftliches Vertragsverhältnis mit der Beschwerdeführerin eingegangen sind, können Daten von in der Identitäts- und Bonitätsdatenbank der Beschwerdeführerin gespeicherten Personen (entgeltlich) abfragen. Hierzu zählen vor allem Unternehmen der Kreditwirtschaft, Betreibungsdienstleister (Inkassounternehmen) oder sonstige Unternehmen, die einen Vertrag mit einem Endkunden/einer betroffenen Person begründen wollen.

1.3. Die Beschwerdeführerin verpflichtet ihre Vertragspartner (zB Inkassobüros) vertraglich zur Information über Zahlungsausfälle der betreffenden Person an die Beschwerdeführerin als Kreditauskunftei. Die Information, dass im Falle nichtbeglichener Forderungen Zahlungserfahrungsdaten an Kreditauskunfteien weitergeleitet werden, befindet sich auf den Mahnschreiben, die der jeweiligen Person im Zuge der Forderungsbetreibung zugestellt werden und lauten unter anderem folgendermaßen:

„Wir weisen Sie außerdem daraufhin, dass Zahlungserfahrungsdaten über unbestrittene und nach Eintritt der Fälligkeit unbezahlte Forderungen sowie Adressdaten an XXXX , zur rechtmäßigen Verwendung im Rahmen ihrer Gewerbeberechtigung gemäß §§ 151 (Adressverlag), 152 (Auskunftei über Kreditverhältnisse) und 153 (Dienstleistungen in der automatischen Datenverarbeitung und EDV Technik) der Gewerbeordnung 1994 übermittelt werden“.

Am XXXX 2020 erhielt die mitbeteiligte Partei ein Aufforderungsschreiben des Inkassobüros XXXX (nunmehr XXXX ) mit folgendem Hinweis:

„Zahlungserfahrungsdaten über unbestrittene und nach Eintritt der Fälligkeit unbezahlte Forderungen sowie Adressdaten werden der XXXX , zur rechtmäßigen Verwendung im Rahmen ihrer Gewerbeberechtigungen gemäß 151 (Adressverlage), 152 (Auskunfteien über Kreditverhältnisse) und 153 (Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik) der Gewerbeordnung 1994 übermittelt. Detaillierte Informationen zur Datenverarbeitung durch angegebene Auskunftei i.S.d. Art 14 DSGVO finden Sie auf deren Webseite unter XXXX

1.4. Die aktuellen Informationen der Datenschutzerklärung betreffend die Gewerbeausübung der Kreditauskunftei durch die Beschwerdeführerin lauten wie folgt:

1.5.Die mitbeteiligte Partei begehrte bei der Beschwerdeführerin mit Schreiben vom XXXX 2023 die Löschung von Zahlungserfahrungsdaten in Höhe von insgesamt EUR XXXX

1.6. Die Beschwerdeführerin löschte vier Datensätze über Zahlungserfahrungen der mitbeteiligten Partei aus ihrer Datenbank und wies die mitbeteiligte Partei mit Schreiben vom XXXX 2023 darauf hin, darüber hinaus ihrem Ansuchen nicht zu entsprechen und verneinte das Bestehen eines Anspruchs der mitbeteiligten Partei auf Löschung oder Richtigstellung der noch gespeicherten Zahlungserfahrungsdaten.

1.7. Zum Zeitpunkt der Entscheidung wird zu den nunmehr verfahrensgegenständlichen Zahlungserfahrungsdaten der mitbeteiligten Partei folgender Eintrag durch die Beschwerdeführerin verarbeitet:

​

2. Beweiswürdigung:

2.1. Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt. Der maßgebliche Sachverhalt in Bezug auf die verfahrensgegenständliche Forderung, zu deren Entstehen, außergerichtlichen Betreibung und Verarbeitung diesbezüglicher Zahlungserfahrungsdaten durch die Beschwerdeführerin, wurde von den Parteien des Verfahrens zu keinem Zeitpunkt bestritten.

2.2. Die Feststellung zu 1.4. bezieht sich auf eine Nachschau unter XXXX vom 19.02.2025.

3. Rechtliche Beurteilung:

Zu A) Abweisung der Beschwerde:

3.1. Zur Entscheidung als Senat:

Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie anderer näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

3.3. In der Sache:

3.3.1. Rechtslage:

Für das gegenständliche Beschwerdeverfahren relevante Bestimmungen des Datenschutzgesetzes, DSG, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), DSGVO, lauten (auszugsweise, samt Überschrift):

§ 1 Abs. 1 und 2 DSG:

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Art 4 Z 1,2, 7 und 11, Art. 5 und Art. 6 DSGVO:

Begriffsbestimmungen

Art. 4. Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

11. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;

Grundsätze für die Verarbeitung personenbezogener Daten

Art. 5. (1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“). Rechtmäßigkeit der Verarbeitung

Art. 6. (1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Artikel 17 lautet

Recht auf Löschung (‚Recht auf Vergessenwerden‘)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

...

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

...“

Die maßgebliche Bestimmung des Bundesgesetzes über das Insolvenzverfahren (Insolvenzordnung – IO) lautet auszugweise wie folgt:

Insolvenzdatei

§ 256. (1) In die Ediktsdatei sind die Daten aufzunehmen, die nach diesem Bundesgesetz öffentlich bekanntzumachen sind (Insolvenzdatei).

(2) Die Einsicht in die Insolvenzdatei ist nicht mehr zu gewähren, wenn ein Jahr vergangen ist seit

1. der Aufhebung des Insolvenzverfahrens nach §§ 123a, 123b und 139,

2. Ablauf der im Sanierungsplan vorgesehenen Zahlungsfrist, wenn dessen Erfüllung nicht überwacht wird,

3. Beendigung oder Einstellung der Überwachung des Sanierungsplans,

4. Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist oder

5. der vorzeitigen Einstellung oder Beendigung des Abschöpfungsverfahrens.

(3) Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Sanierungsplan oder Zahlungsplan erfüllt worden ist. Der Schuldner hat die Erfüllung urkundlich nachzuweisen. Mit der Prüfung der Erfüllung kann das Gericht einen Sachverständigen beauftragen, dessen Kosten vom Schuldner zu tragen sind. Über die Einsicht entscheidet das Gericht mit unanfechtbarem Beschluss.

(4) Die Einsicht in die Eintragung der mangels kostendeckenden Vermögens oder wegen Vermögenslosigkeit nach § 68 nicht eröffneten Insolvenzverfahren ist nach drei Jahren nach der Eintragung nicht mehr zu gewähren.

Die maßgebliche Bestimmung des Bundesgesetzes über die Gewerbeordnung 1994 (GewO) lautet auszugweise wie folgt:

Auskunfteien über Kreditverhältnisse

§ 152 (1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.

(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.

3.3.2. Umgelegt auf den vorliegenden Fall bedeutet dies Folgendes:

Verfahrensgegenständlich verarbeitet die Beschwerdeführerin Daten zu vier negativen Zahlungserfahrungen in Höhe von EUR XXXX (2016-2023); (jeweils eröffnete und geschlossene Forderung); EUR XXXX (2020-2021); EUR XXXX (2020-2021) sowie EUR XXXX (2020-2021) aus Datenquellen XXXX und XXXX , sowie XXXX für Zwecke der Bonitätseinschätzung.

Die mitbeteiligte Partei machte in ihrer Datenschutzbeschwerde 2024 die Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO geltend und begehrte die Entfernung der unter 1.7. festgestellten Zahlungserfahrungsdaten, weil sie zur Beurteilung der Bonität nicht mehr relevant seien und die Verarbeitung daher unrechtmäßig sei. Die Beschwerdeführerin lehnte das Löschbegehren der mitbeteiligten Partei ab.

Das Speichern von Zahlungserfahrungsdaten, wie vorliegend die bereits bezahlten Forderungen diverser Inkassobüros gegenüber der mitbeteiligten Partei, stellt eine Verarbeitung personenbezogener Daten im Sinne des Art. 4 Z 2 DSGVO dar.

Die zulässige Beschwerde ist nicht berechtigt.

3.3.3. Das Gewerbe der Kreditauskunfteien

3.3.3.4. Die Beschwerdeführerin betreibt das Gewerbe der Kreditauskunftei gemäß § 152 GewO. Zu den Aufgaben der Gewerbetreibenden iSd § 152 GewO gehört die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Der Zweck dieser Gewerbetreibenden liegt darin, den Kreditgebern aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer, und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur Verfügung zu stellen (Riesz in Ennöckl/Raschauer/Wessely, GewO § 152 Rz 2). Dadurch soll es Kreditgebern ermöglicht werden, die Wahrscheinlichkeit, mit der der Kreditgeber am Ende wegen seiner Forderung befriedigt wird, und allenfalls die Prognose, mit wie vielen Schwierigkeiten das verbunden ist, zu bestimmen (Wendehorst, Was ist Bonität? Zum Begriff der "Kreditwürdigkeit" in § 7 VKrG, in Blaschek/Habersberger (Hrsg), Eines Kredites würdig? (2011) 22). Eine Neigung zu vertragswidrigem Verhalten – etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck – lässt sich vor allem aus dem Finanzgebaren in der Vergangenheit heraus prognostizieren. Relevant ist dabei vergangenes vertragswidriges Verhalten, das sich in schlichtem Zahlungsverzug, aber auch in gerichtlichen Verfahren bis hin zu Exekutionshandlungen oder gar in einer Insolvenzeröffnung manifestiert haben mag (aaO 23; vgl. auch Heinrich, Bonitätsprüfung im Verbraucherkreditrecht (Wien 2014) 89 f).

Die Beschwerdeführerin verarbeitet im Zuge des Betriebs des Gewerbes der Kreditauskunftei historische Informationen über Zahlungsausfälle der mitbeteiligten Partei, um sie (potentiellen) Gläubigern bereitzustellen, damit diese das Risiko etwaiger Zahlungsausfälle bestimmen können.

Dabei handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten (§ 152 GewO) Zweck. Die Daten sind auch richtig und vollständig. Sie sind auch dem Grunde nach erforderlich und geeignet, um eine Prognose über zukünftiges Zahlungsverhalten abgeben zu können (siehe dazu auch EuGH 23.11.2006, Rs C-238/05 Rz 47 in Hinblick auf Systeme zum Informationsaustausch zwischen Finanzinstituten).

3.3.3.5. Die das Gewerbe gemäß § 152 GewO Ausübenden können sich – wie im vorliegenden Fall – bei der dafür notwendigen Datenverarbeitung nicht auf eine gesetzliche Grundlage im Sinne des Art. 6 Abs. 1 lit c DSGVO stützen.

Beschränkungen des Grundrechts auf Datenschutz sind auch aufgrund von Gesetzen zulässig, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind und die ausreichend präzise, also für jedermann vorhersehbar regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Aufgaben erlaubt ist. Der Gesetzgeber muss somit auch im Anwendungsbereich der DSGVO eine materienspezifische Regelung in dem Sinn vorsehen, dass die Fälle zulässiger Eingriffe in das Grundrecht auf Datenschutz konkretisiert und begrenzt werden (VfGH 23.06.2014, G 90/2013 [Erkennungsdienstliche Behandlung]). Es liegt dem Eingriffsvorbehalt daher zugrunde, dass der Gesetzgeber in der jeweiligen materiengesetzlichen Regelung die Voraussetzungen und Grenzen zulässiger Eingriffe in das Recht auf Datenschutz festzulegen, zu konkretisieren und – bei gleichzeitig vorzusehenden angemessenen Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen – zu begrenzen hat (VwGH 10.12.2018, Ra 2018/12/0060 [Ungeschwärzte Atteste]; vgl. auch VwGH 14.11.2013, 2012/17/0048 [Kundendatenherausgabe an FMA]; VfGH 09.12.2008, B 1944/07 [Section Control II]; vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG] § 1, Rz. 55; 77).

Auch aus dem Erwägungsgrund 41 zweiter Satz der DSGVO ergibt sich, dass eine entsprechende Rechtsgrundlage klar und präzise sein muss und ihre Anwendung für den Rechtsunterworfenen gemäß der Rechtsprechung des EGMR vorhersehbar sein sollte (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung, Art. 6 DSGVO).

§ 152 Gewerbeordnung ist keine Rechtsgrundlage für die Datenverarbeitung.

3.3.3.6. Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, um die es verfahrensgegenständlich geht, ist daher allein im Licht von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zu beurteilen. Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (vgl. dazu VwGH vom 01.02.2024, Ro2020/04/0031).

3.3.4. Bisherige Judikatur des BVwG und des VwGH:

Das Bundesverwaltungsgericht und der Verwaltungsgerichtshof haben in der Vergangenheit – vor Entscheid des EuGH in der Rs. SCHUFA, worauf unter 3.3.5. noch einzugehen sein wird – betreffend die Abwägung des rechtlichen Interesses einer betroffenen Person und einem Verantwortlichen in der Ausübung des Gewerbes der Kreditauskunftei in ständiger Rechtsprechung vertreten, dass historische Zahlungsinformationen wesentlich sind, um das zukünftige Zahlungsverhalten eines (potentiellen) Schuldners vorhersagen zu können; sie haben umso weniger Aussagekraft, je länger sie zurückliegen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen ist. Dem Alter der Forderung bzw. dem Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung, dem Zeitpunkt etwaiger Tilgungen und das seitherige "Wohlverhalten" des Schuldners kamen bei der Abwägung damit entscheidende Bedeutung zu.

Als Richtlinie, wie lange Bonitätsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet sind, wurden dabei Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen. Dazu wurden vor allem die Verordnung (EU) Nr. 575/2013 des europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 ("Kapitaladäquanzverordnung"), in der Kreditinstitute ua verpflichtet werden, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Für Kredit- bzw Retailforderungen ggü natürlichen Personen haben Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürfen (Art 143 Abs 1 leg cit), gemäß Art 151 Abs 6 iVm 180 Abs 2 lit a und e leg cit die Ausfallswahrscheinlichkeit der Forderung (Probability of Default - PD) ua anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen; dabei ist ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein kann, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall (Loss Given Default - LGD), hat sich gemäß Art 151 Abs 7 iVm 181 Abs 2 lit c leg cit grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen.

Daraus leiteten das BVwG und der VwGH ab, dass ein zumindest fünfjähriger Beobachtungszeitraum vergangener Zahlungsausfälle die Rechtmäßigkeit der Datenverarbeitung indiziert (vgl. BVwG vom 30.10.2019 W258 2216873-1 maN). Der Verwaltungsgerichtshof hat diese Rechtsansicht zuletzt am 09.05.2023 bestätigt und ausgesprochen, dass eine kürzere Speicherdauer geeignet wäre, ein verzerrtes Bild zu vermitteln (VwGH 09.05.2023, Ro 2020/04/0037).

In seiner jüngeren Judikatur hat der VwGH ausgesprochen, dass soweit unter Bedachtnahme auf die Kapitaladäquanzverordnung eine Speicherdauer von zumindest fünf Jahren in Bezug auf die Speicherung von Zahlungserfahrungsdaten in der Bankenwarnliste grundsätzlich als rechtmäßig erachtet wurde, darauf hinzuweisen ist, dass die Kapitaladäquanzverordnung gemäß dessen Art. 1 leg cit die allgemeinen Aufsichtsanforderungen für Kreditinstitute betreffend näher bestimmter Bereiche regelt und somit nicht für Kreditauskunfteien gilt (VwGH 01.02.2024 Ro 2020/04/0031).

3.3.5. Rezente EuGH Judikatur

3.3.5.1. Das deutsche Verwaltungsgericht Wiesbaden hat betreffend die Auslegung der Art. 7 und 8 der Charta der Grundrechte der Europäischen Union sowie von Art. 6 Abs. 1 Unterabs. 1 Buchst. f, Art. 17 Abs. 1 Buchst. d, Art. 40, Art. 77 Abs. 1 und Art. 78 Abs. 1 DSGVO ein Vorabentscheidungsersuchen an den EuGH gestellt. Dem Ersuchen lag eine Datenverarbeitung der SCHUFA als private Wirtschaftsauskunftei (entspricht einer Kreditauskunftei) zugrunde, die in ihren eigenen Datenbanken Informationen aus öffentlichen Registern erfasst und gespeichert hatte, insbesondere solche über Restschuldbefreiungen, die längstens drei Jahre nach Ablauf der Eintragung gemäß den Verhaltensregeln, die in Deutschland von dem Verband der Wirtschaftsauskunfteien ausgearbeitet und von der zuständigen Aufsichtsbehörde genehmigt wurden. Eine zuvor beantragte Löschung einer betroffenen Person wurde abgelehnt. Die Daten stammten aus einem öffentlichen Insolvenzregister und wurden über den Zeitpunkt der Löschung beim Insolvenzregister hinaus verarbeitet.

3.3.5.2. Der EuGH wiederholte zur Beantwortung der zulässigen Vorlagefragen soweit hier verfahrensrelevant zur Zulässigkeit der Datenverarbeitung im Rahmen eines berechtigten Interesses zuerst seine bisherige Judikatur zum Urteil vom 4. Juli 2023, Meta Platforms u. a. [AllgemeineNutzungsbedingungen eines sozialen Netzwerks] C‑252/21, EU:C:2023:537, Rn. 106 und die dort angeführte Rechtsprechung und führte aus, dass drei kumulative Voraussetzungen (Berechtigtes Interesse, Erforderlichkeit und Überwiegen des Interesses gegenüber dem Schutzinteresse der betroffenen Person) vorliegen müssen und führte weiter aus:

„(81) Letztlich ist es damit Sache des vorlegenden Gerichts, zu beurteilen, ob im Hinblick auf die Verarbeitung personenbezogener Daten, um die es in den Ausgangsverfahren geht, die drei in Rn. 75 des vorliegenden Urteils genannten Voraussetzungen erfüllt sind; der Gerichtshof kann dem nationalen Gericht auf dessen Vorabentscheidungsersuchen hin jedoch sachdienliche Hinweise für diese Prüfung geben (vgl. in diesem Sinne Urteil vom 20. Oktober 2022, Digi, C-77/21, EU:C:2022:805, Rn. 39 und die dort angeführte Rechtsprechung).

(82) Im vorliegenden Fall macht die SCHUFA hinsichtlich der Verfolgung eines berechtigten Interesses geltend, dass die Kreditauskunfteien Daten verarbeiteten, die zur Beurteilung der Bonität von Personen oder Unternehmen erforderlich seien, um diese Informationen ihren Vertragspartnern zur Verfügungstellen zu können. Diese Tätigkeit schütze nicht nur die wirtschaftlichen Interessen der Unternehmen, die kreditrelevante Verträge eingehen wollten, die Ermittlung der Kreditwürdigkeit und die Erteilung von Bonitätsauskünften bilde zudem ein Fundament des Kreditwesens und der Funktionsfähigkeit der Wirtschaft. Die Tätigkeit von Kreditauskunfteien helfe auch, Geschäftswünsche der Interessenten an kreditrelevanten Geschäften zu realisieren, da die Auskünfte eine schnelle und unbürokratische Prüfung dieser Geschäfte ermöglichten.

(83) Insoweit dient die Verarbeitung personenbezogener Daten wie die in den Ausgangsverfahren in Redestehende zwar den wirtschaftlichen Interessen der SCHUFA, doch dient diese Verarbeitung auch der Wahrung des berechtigten Interesses der Vertragspartner der SCHUFA, die kreditrelevante Verträge mit Personen abschließen wollen, an der Bewertung der Kreditwürdigkeit dieser Personen und damit den sozioökonomischen Interessen des Kreditsektors.

(84) In Bezug auf Verbraucherkreditverträge geht nämlich aus Art. 8 der Richtlinie 2008/48 im Licht ihres 28. Erwägungsgrundes hervor, dass der Kreditgeber vor Abschluss des Kreditvertrags verpflichtet ist, die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen, erforderlichenfalls auch anhand von Auskünften aus öffentlichen und privaten Datenbanken, zu bewerten.

(85) Außerdem ist in Bezug auf Wohnimmobilienkreditverträge für Verbraucher Art. 18 Abs. 1 und Art. 21Abs. 1 der Richtlinie 2014/17 in Verbindung mit Erwägungsgründen 55 und 59 dieser Richtlinie zu entnehmen, dass der Kreditgeber eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vornehmen muss und Zugang zu Kreditdatenbanken hat, wobei die Abfrage solcher Datenbanken ein nützliches Element bei dieser Prüfung ist.

(86) Hinzuzufügen ist, dass die Verpflichtung zur Bewertung der Kreditwürdigkeit der Verbraucher, wie sie in den Richtlinien 2008/48 und 2014/17 vorgesehen ist, nicht nur den Kreditantragsteller schützen soll, sondern auch, wie im 26. Erwägungsgrund der Richtlinie 2008/48 hervorgehoben wird, das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten soll.

(87) Jedoch muss die Datenverarbeitung aber auch zur Verwirklichung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein, und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dürfen gegenüber diesem Interesse nicht überwiegen. Bei der entsprechenden Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, d. h. derjenigen des Verantwortlichen und der beteiligten Dritten einerseits und der betroffenen Person andererseits, sind, wie in Rn. 80 des vorliegenden Urteils dargelegt, insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen (vgl. Urteil vom 4. Juli 2023, Meta Platforms u. a.[Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 116).

(88) Zu Art. 6 Abs. 1 Unterabs. 1 Buchst. f der DSGVO hat der Gerichtshof entschieden, dass diese Bestimmung dahin auszulegen ist, dass eine Verarbeitung nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten der von der Verarbeitung betroffenen Personen gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. in diesem Sinne Urteile vom 4. Mai 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, Rn. 30, und vom 4. Juli 2023,Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21,EU:C:2023:537, Rn. 126).

(89) In diesem Zusammenhang verweist das vorlegende Gericht auf zwei Aspekte der in den Ausgangsverfahren in Rede stehenden Verarbeitung personenbezogener Daten. Erstens impliziere diese Verarbeitung eine vielfältige Speicherung der Daten, d. h. nicht nur in einem öffentlichen Register, sondern auch in den Datenbanken der Wirtschaftsauskunfteien, wobei diese Unternehmen diese Speicherung nicht aus konkretem Anlass vornähmen, sondern für den Fall, dass ihre Vertragspartner bei ihnen Auskünfte anfragten. Zweitens speicherten diese Unternehmen diese Daten drei Jahre lang auf der Grundlage von Verhaltensregeln im Sinne von Art. 40 DSGVO, während die nationalen Rechtsvorschriften für das öffentliche Register eine Speicherdauer von nur sechs Monaten vorsähen.

(90) Zum ersten Aspekt macht die SCHUFA geltend, dass es unmöglich sei, rechtzeitig Auskünfte zuerteilen, wenn eine Wirtschaftsauskunftei verpflichtet wäre, eine konkrete Auskunftsanfrageabzuwarten, bevor sie mit der Datenerhebung beginnen könne.

(91) Insoweit ist es Sache des vorlegenden Gerichts, zu prüfen, ob die Vorratsspeicherung der in Redestehenden Daten durch die SCHUFA in ihren eigenen Datenbanken auf das zur Verwirklichung desberechtigten Interesses unbedingt Erforderliche beschränkt ist, obwohl die fraglichen Daten im öffentlichen Register abgerufen werden können und ohne dass ein Wirtschaftsunternehmen in einemkonkreten Fall um Auskunft ersucht hat. Andernfalls könnte die Vorratsspeicherung dieser Daten durch die SCHUFA während des Zeitraums der öffentlichen Zugänglichmachung dieser Daten nicht als erforderlich angesehen werden.

(92) Hinsichtlich der Dauer der Datenspeicherung ist davon auszugehen, dass sich die Prüfung der zweiten und der dritten in Rn. 75 des vorliegenden Urteils genannten Voraussetzung insofern überschneidet, als die Beurteilung der Frage, ob im vorliegenden Fall die berechtigten Interessen, die mit der in den Ausgangsverfahren fraglichen Verarbeitung personenbezogener Daten wahrgenommen werden, vernünftigerweise nicht durch eine kürzere Dauer der Speicherung der Daten erreicht werden können, eine Abwägung der einander gegenüberstehenden Rechte und Interessen erfordert.

(93) Zur Abwägung der verfolgten berechtigten Interessen ist festzustellen, dass die Analyse einer Wirtschaftsauskunftei insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern kann.

(94) Was hingegen die Rechte und die Interessen der betroffenen Person betrifft, stellt die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte der betroffenen Person dar. Solche Datendienen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person und stellen daher sensible Informationen über ihr Privatleben dar (vgl. in diesem Sinne Urteil vom13. Mai 2014, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 98). Ihre Verarbeitung kann den Interessen der betroffenen Person beträchtlich schaden, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht ,Grundbedürfnisse zu decken.

(95) Zudem sind, wie die Kommission ausgeführt hat, die Folgen für die Interessen und das Privatleben der betroffenen Person umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen umso höher, je länger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden.

(96) Außerdem ist darauf hinzuweisen, dass das Ziel eines öffentlichen Insolvenzregisters, wie sich aus dem 76. Erwägungsgrund der Verordnung 2015/848 ergibt, darin besteht, eine bessere Information der betroffenen Gläubiger und Gerichte zu gewährleisten. In diesem Zusammenhang sieht Art. 79 Abs. 5

dieser Verordnung lediglich vor, dass die Mitgliedstaaten den betroffenen Personen mitteilen, für welchen Zeitraum ihre in Insolvenzregistern gespeicherten personenbezogenen Daten zugänglich sind, ohne eine Speicherfrist für diese Daten festzulegen. Dagegen ergibt sich aus Art. 79 Abs. 4 dieser Verordnung, dass es den Mitgliedstaaten gemäß diesem Artikel obliegt, Daten zu erheben und in nationalen Datenbanken zu speichern. Die Frist für die Speicherung dieser Daten muss daher unter Beachtung dieser Verordnung festgelegt werden.

(97) Im vorliegenden Fall sieht der deutsche Gesetzgeber vor, dass die Information über die Erteilung einer Restschuldbefreiung im Insolvenzregister nur sechs Monate lang gespeichert wird. Er geht daher davon aus, dass nach Ablauf einer Frist von sechs Monaten die Rechte und Interessen der betroffenen Person diejenigen der Öffentlichkeit, über diese Information zu verfügen, überwiegen.

(98) Außerdem soll, wie der Generalanwalt in Nr. 75 seiner Schlussanträge ausgeführt hat, die erteilte Restschuldbefreiung dem Begünstigten ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für diese Person im Allgemeinen existenzielle Bedeutung. Die Verwirklichung dieses Ziels wäre jedoch gefährdet, wenn Wirtschaftsauskunfteien zur Beurteilung der wirtschaftlichen Situation einer Person Daten über eine Restschuldbefreiung speichern und solche Daten verwenden könnten, nachdem sie aus dem öffentlichen Insolvenzregister gelöscht worden sind, da diese Daten beider Bewertung der Kreditwürdigkeit einer solchen Person stets als negativer Faktor verwendet werden.

(99) Unter diesen Umständen können die Interessen des Kreditsektors, über Informationen hinsichtlich einer Restschuldbefreiung zu verfügen, keine Verarbeitung personenbezogener Daten wie der in den Rechtsstreitigkeiten der Ausgangsverfahren fraglichen nach Ablauf der Frist für die Speicherung der Daten im öffentlichen Insolvenzregister rechtfertigen, so dass die Speicherung dieser Daten durch eine Wirtschaftsauskunftei in Bezug auf den Zeitraum nach der Löschung dieser Daten aus einemöffentlichen Insolvenzregister nicht auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden kann.

(100) Was den Zeitraum von sechs Monaten betrifft, in dem die fraglichen Daten auch in diesem öffentlichen Register verfügbar sind, ist festzustellen, dass die Auswirkungen einer parallel zu diesem Zeitraumerfolgenden Speicherung dieser Daten in den Datenbanken solcher Auskunfteien zwar als weniger schwerwiegend angesehen werden können als nach Ablauf der sechs Monate, dass diese Speicherung aber dennoch einen Eingriff in die in den Art. 7 und 8 der Charta verankerten Rechte darstellt. Insoweit hat der Gerichtshof bereits entschieden, dass das Vorliegen derselben personenbezogenen Daten in mehreren Quellen den Eingriff in das Recht der Person auf Achtung des Privatlebens verstärkt (vgl. Urteil vom 13. Mai 2014, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 86 und 87). Es ist Sache des vorlegenden Gerichts, die in Rede stehenden Interessen und die Auswirkungen auf die betroffene Person gegeneinander abzuwägen, um festzustellen, ob die parallele Speicherung dieser Daten durch private Wirtschaftsauskunfteien als auf das unbedingt Notwendige beschränkt angesehen werden kann, wie es die in Rn. 88 des vorliegenden Urteils angeführte Rechtsprechung des Gerichtshofs verlangt.

3.3.5.3 Der EuGH überlässt damit letztlich den Gerichten der Mitgliedstaaten bei der durchzuführenden Interessenabwägung einen erheblichen Spielraum, wenn auch ausgesprochen wird, dass das Vorliegen einer Restschuldbefreiung im Zusammenhang mit der gesetzlich vorgesehenen Löschung aus einem öffentlichen Register die unrechtmäßige weitere Verarbeitung in privaten Datenbanken indiziert.

3.3.5.4. Die Beschwerdeführerin hat berechtigter Weise eingewandt, dass sich der vorliegende Fall dahingehend unterscheidet, dass die Datenherkunft kein öffentliches Register ist, sondern die zugrundeliegenden Daten aufgrund privatrechtlicher Vereinbarungen offengelegt und verarbeitet wurden. In der bereits zitierten Judikatur des VwGH Ro 2020/04/0031 hat der VwGH die Rechtsansicht des EuGH für Daten, welche aus öffentlichen Registern stammen bereits, rezipiert.

3.3.6 Recht auf Löschung wegen unrechtmäßiger Verarbeitung gemäß Art. 17 Abs. 1 lit. d DSGVO

3.3.6.1. Nach Art. 17 Abs. 1 lit. d DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern diese „unrechtmäßig verarbeitet“ wurden. Art. 17 DSGVO räumt der betroffenen Person unter anderem ein Recht auf Löschung ein, wenn personenbezogene Daten unrechtmäßig verarbeitet wurden (lit. d). Art. 17 beinhaltet daher ähnlich wie § 1 Abs. 1 DSG einen Schutz vor unrechtmäßiger Datenermittlung, indem es einen Verantwortlichen zur unverzüglichen (antragsunabhängigen) Löschung verpflichtet, soweit die übrigen Kriterien der kumulativ zu prüfenden Voraussetzungen wegfallen (Urteil vom 24. November 2011, C‑468/10 und C‑469/10, EU:C:2011:777, sowie wiederholt im Urteil vom 11.Dezember 2019 C-708/17 ECLI:EU:C:2019:1064; ebenso Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 109 und die dort angeführte Rechtsprechung) oder gar nicht vorgelegen haben.

3.3.6.2. Dieses Kriterium ist von der Beschwerdeführerin betreffend die Ermittlung der Daten auch eingehalten worden, indem die Ermittlung der Daten auf einer rechtlich zulässigen privatwirtschaftlichen Vereinbarung beruht.

Jedoch irrt die Beschwerdeführerin darüber, dass sich aus der Zulässigkeit der Offenlegung durch Übermittlung gemäß Art 4 Ziffer 1 DSGVO als Verarbeitungsvoraussetzung keine Aussage über die höchst zulässige Speicherdauer im Rahmen der Verarbeitung im überwiegenden berechtigten Interesse ableiten lässt.

Wie schon zuvor ausgeführt, müssen während der gesamten Dauer der Datenverarbeitung personenbezogene Daten kumulativ auf rechtmäßige Weise gemäß Art. 5 Abs. 1 lit. a DSGVO, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“), wobei die notwendigen Voraussetzungen einer rechtmäßigen Verarbeitung in hier Art. 6 Abs. 1 lit. f DSGVO explizit festgehalten sind (VwGH 09.05.2023, Ro 2020/04/0037 Rz 35 sowie vgl. EuGH 4.5.2023, C-60/22, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], ECLI:EU:C:2023:373, Rz 56).

3.3.7. Zum überwiegenden berechtigten Interesse

3.3.7.1. Zuerst darf (auch zur Vermeidung von Wiederholungen) auf die rezente Judikatur des VwGH und des EuGH unter 3.3.6. und 3.3.5. verwiesen werden: Im Folgenden wird darauf einzugehen sein, inwieweit die Grundsätze übertragen werden können bzw. inwieweit der gegenständliche Beschwerdegegenstand unterschiedlich zu betrachten ist:

Die Beschwerdeführerin betreibt das Gewerbe der Kreditauskunftei gemäß § 152 GewO. Zu den Aufgaben der Gewerbetreibenden iSd § 152 GewO gehört die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Der Zweck dieser Gewerbetreibenden liegt darin, den Kreditgebern aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer, und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur Verfügung zu stellen (Riesz in Ennöckl/Raschauer/Wessely, GewO § 152 Rz 2). Dabei handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten (§ 152 GewO) Zweck. Insoweit und in Ermangelung eines ergänzenden Vorbringens sowie augenscheinlicher Unterschiede zur SCHUFA kann davon ausgegangen werden, dass die Überlegungen des EuGH zu den berechtigten Interessen seitens des Verantwortlichen auf die Beschwerdeführerin übertragen werden können – insoweit spricht sich auch die Beschwerdeführerin nicht dagegen aus, weil sie den wesentlichen Unterschied zwischen der vorliegenden Fallkonstellation und dem Urteil des EuGH in einer anderen Datenquelle ausgemacht hat.

Die Daten sind auch richtig und vollständig. Sie sind auch dem Grunde nach erforderlich und geeignet, um eine Prognose über zukünftiges Zahlungsverhalten abgeben zu können (siehe dazu auch EuGH 23.11.2006, Rs C-238/05 Rz 47 in Hinblick auf Systeme zum Informationsaustausch zwischen Finanzinstituten).

3.3.7.2 Auch betreffend die Interessen der mitbeteiligten Partei sind keine Gründe ersichtlich, warum die Überlegungen des EuGH nicht auf den gegenständlichen Fall übertragen werden könnten:

Was die Rechte und die Interessen der betroffenen Person betrifft, stellt die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte der betroffenen Person dar. Solche Daten dienen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person und stellen daher sensible Informationen über ihr Privatleben dar (vgl. in diesem Sinne Urteil vom 13. Mai 2014, Google Spain und Google, C‑131/12, EU:C:2014:317, Rn. 98).

Diese Wertung des Europäischen Gerichtshofes, dass die Verarbeitung von Daten über Insolvenzen einen negativen Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person infolge der Verarbeitung sensibler Informationen über ihr Privatleben darstellt und ihre Verarbeitung den Interessen der betroffenen Person beträchtlich schaden kann, da diese geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken, trifft nach Ansicht des erkennenden Gerichts aufgrund jedenfalls gleichartiger Konsequenzen ebenso auf die Verarbeitung von Zahlungserfahrungsdaten zu, welche Kreditauskunfteien von Inkassounternehmungen offengelegt wurden und nicht aus öffentlichen Insolvenzregistern stammen. Insbesondere ist nicht zu erkennen, warum es für das Fortkommen der mitbeteiligten Partei weniger eingriffsintensiv sein sollte, dass die Daten nicht gerichtlich betriebene Forderungen betreffen und keine (gerichtlich festgestellte) Überschuldung vorliegt, sondern bloße vorübergehende Schuldnersäumnis. Eine erteilte Restschuldbefreiung ist auch wiederum mit der schuldbefreienden Zahlung eines geschuldeten Betrags vergleichbar – zumal ja in der Regel keine Quote befriedigt wird, sondern komplett schuldbefreiend. Auch hier soll es dem Begünstigten möglich sein, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für diese Person im Allgemeinen existenzielle Bedeutung. Zudem sind die Folgen für die Interessen und das Privatleben der betroffenen Person umso größer, je länger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden.

3.3.8 Recht auf Löschung wegen Wegfalls des Zwecks der Datenverarbeitung gemäß Art. 17 Abs. 1 lit. a DSGVO ‑ Speicherdauer (Art. 5 Abs. 1 lit. c und e DSGVO).

Die vom Europäischen Gerichtshof im Urteil vom 07.12.2023 in den verbundenen Rs. C‑26/22 und C‑64/22 [SCHUFA Holding AG] dargestellten Grundsätze, dass die Praxis der Speicherung von aus öffentlichen Registern stammenden Informationen über Insolvenzen natürlicher Personen durch private Wirtschaftsauskunfteien zum Zweck der Erteilung von Auskünften über die Kreditwürdigkeit dieser Personen für einen Zeitraum, der über die Speicherdauer der Daten in den öffentlichen Registern hinausgeht, nicht mit Art. 5 Abs. 1 lit. a iVm. Art. 6 Abs. 1 lit. f DSGVO im Einklang steht, sind daher auch verfahrensgegenständlich relevant.

Unter Berücksichtigung der zitierten Rechtsprechung des Europäischen Gerichtshofs geht die Interessensabwägung regelmäßig dann zugunsten der mitbeteiligten Partei aus, wenn kreditrelevante Einträge länger aufbewahrt werden, als in öffentlichen Registern. Wie bereits dargestellt, sind die Daten, welche über die private Betreibung von Forderungen verarbeitet werden, potentiell nicht weniger hinderlich für das Fortkommen einer betroffenen Person, wenn dadurch die Kreditwürdigkeit negativ beurteilt wird.

Entsprechend den Grundsätzen der Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO), Datenminimierung (lit. c leg. cit.) und Speicherbegrenzung (lit. e leg. cit.) unterliegen Daten einem Löschungsanspruch, wenn sie für die Erfüllung der Zwecke, für die sie ursprünglich erhoben oder in sonstiger Weise verarbeitet wurden, nicht mehr notwendig sind (vgl. EuGH 20.10.2022, C‑77/21, Digi, ECLI:EU:C:2022:805, Rz. 54; Haidinger in Knyrim, DatKomm [2022] Art. 17 Rz. 48; Dix in Simitis/Hornung/Spiecker (Hrsg), Datenschutzrecht [2019] Art. 17, Rz. 10; Peuker in Sydow, Europäische Datenschutzgrundverordnung2 [2018] Art. 17 Rz. 16). Mit diesem Grundsatz der Speicherbegrenzung wird eine zeitliche Grenze der Verarbeitung personenbezogener Daten normiert (Herbst in Kühling/Buchner, DS‑GVO BDSG3 [2020] Art. 5 Rz. 64). Als Richtlinie, wie lange Zahlungserfahrungsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet sind, können unter anderem Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen (vgl. OGH 23.6.2021, 6 Ob 87/21v, Rn. 19; VwGH 09.05.2023, Ro 2020/04/0037, Rn 63).

Bei der Abwägung kommen etwa der Höhe der einzelnen Forderungen, dem Zeitpunkt des Feststehens des endgültigen Ausfalls der Forderung und dem Datum der Eintragung in die Datenbank Bedeutung zu. Historische Zahlungsinformationen haben umso weniger Aussagekraft, je länger sie zurückliegen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen ist. Als Richtlinie, wie lange Zahlungserfahrungsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet sind, können unter anderem Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen (vgl. OGH 23.6.2021, 6 Ob 87/21v, Rn. 19).

Laut der zitierten Rechtsprechung des Europäischen Gerichthofes kann die Speicherung der Daten aus öffentlichen Insolvenzregistern in Bezug auf den Zeitraum nach der Löschung dieser Daten aus einem öffentlichen Insolvenzregister nicht auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden.

Die österreichische Insolvenzordnung normiert in § 256 Abs. 2 IO, dass Insolvenzdaten nach Abschluss des Insolvenzverfahrens in der Regel bis ein Jahr öffentlich abrufbar sind.

Demnach sind Bonitätsdaten (in der österreichischen Rechtsordnung) mangels entgegenstehender individueller Gründe längstens ein Jahr nach schuldbefreiender Bezahlung (Betreibung) zu löschen, weil ein berechtigtes Interesse an Verarbeitung kontraindiziert ist. Nachweislich positiv erledigte Forderungen sind daher gemäß Art 5 Abs. 1 lit. a iVm. Art. 17 Abs. 1 lit. d DSGVO iVm. § 256 IO zumindest nach Ablauf eines Jahres zu löschen. Die gegenständlichen Forderungen der mitbeteiligten Partei wurden nachweislich am XXXX 2021, XXXX 2023, XXXX 2021, sowie am XXXX 2021 beglichen, weshalb die durch die Beschwerdeführerin gespeicherten Zahlungserfahrungsdaten allesamt zu löschen waren.

Für den gegenständlichen Fall sind nämlich keine (zusätzlichen) Umstände hervorgekommen, dass individuelle Gründe in der Person der mitbeteiligten Partei (wie einschlägige strafgerichtliche Verurteilungen oder sonstige Hinweise) vorliegen, die die Interessenabwägung zu Ungunsten der mitbeteiligten Partei beeinflusst.

Umgekehrt sind auch keine Gründe ersichtlich, dass die Speicherung schon vor Ablauf der höchst zulässigen Frist von einem Jahr unzulässig war.

Auch liegt kein Fall vor, in dem die zugrundeliegende berechtigte Forderung nicht positiv erledigt worden ist.

3.4. Zum Entfall der mündlichen Verhandlung:

Gemäß § 24 Abs 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs 4 VwGVG kann - soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist - das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art 6 Abs 1 EMRK noch Art 47 GRC entgegenstehen.

Die Tatsache der Verarbeitung der Zahlungserfahrungsdaten der mitbeteiligten Partei durch die Beschwerdeführerin sowie deren Anzahl und Höhe der beglichenen Forderungen ergeben sich klar aus dem Sachverhalt und wurden von den Parteien des Verfahrens zu keinem Zeitpunkt bestritten. Unstrittig war auch zu welchem Zeitpunkt die Forderungen durch die mitbeteiligte Partei beglichen wurden. Im gegenständlichen Fall konnte somit das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war, weshalb die Durchführung einer öffentlichen mündlichen Verhandlung zur weiteren Klärung des Sachverhaltes nicht beitragen und damit unterbleiben konnte.

3.5. Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, nämlich ob Kreditauskunfteien Daten aus privaten Quellen mit einem Jahr übersteigenden Fristen speichern dürfen bzw. unter welchen Voraussetzungen dies zulässig ist. Die bisherige Rechtsprechung des Verwaltungsgerichtshofes zu VwGH 09.05.2023, Ro 2020/04/0037 (Bankenwarnliste) und VwGH 01.02.2024 zu Ro 2020/04/0031 (Insolvenzdateien) treffen keine Aussage über die höchstzulässige Speicherdauer von Daten im Bereich der privaten Kreditauskunftei aus privaten Datenquellen. Es fehlt daher an einer Rechtsprechung des Verwaltungsgerichtshofes zur dieser Frage und dazu, ob für Daten, die nicht aus der Insolvenzdatei gem. § 256 IO stammen, im Lichte des Urteils des Europäischen Gerichtshofs vom 07.12.2023 C-26/22 und C-64/22 (SCHUFA Holding/Restschuldbefreiung), dieselben Fristen des § 256 IO gelten.

Es war daher spruchgemäß zu entscheiden.