BVwG W274 2232028-1

Spruch:

W274 2232028-1/3E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch den Richter Mag. Lughofer als Vorsitzenden sowie die fachkundigen Laienrichter Prof. KommR POLLIRER und Dr. GOGOLA als Beisitzer über die Beschwerde des XXXX , XXXX , vertreten durch Dr. Bernhard Birek, Rechtsanwalt, Marktplatz 4, 4707 Schlüßlberg, gegen den Bescheid der Datenschutzbehörde, Barichgasse 40 - 42, 1030 Wien, vom 23.03.2020, GZ D124.9262020-0186.779, Mitbeteiligte XXXX , XXXX , wegen Verletzung im Recht auf Löschung, in nichtöffentlicher Sitzung zu Recht:

Der Beschwerde wird nicht Folge gegeben.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

1.1. Mit Schreiben vom 25.04.2019 wandte sich XXXX (im Folgenden: Beschwerdeführer, BF) anwaltlich vertreten an die XXXX (im Folgenden: Mitbeteiligte, MB) mit dem Verlangen nach Löschung der auf ihn bezugnehmenden Daten gemäß Art. 17 Abs. 1 lit. a DSGVO. Er führte aus, über ihn seien nach aktueller Abfrage im System der MB Informationen gespeichert. Die Rückstände seien beglichen und Vollzahlung geleistet worden. Angesichts der geringen Höhe der Einträge, des mittlerweile verstrichenen Zeitraums und der geringen Anzahl sei eine weitere Speicherung nicht mehr gerechtfertigt.

1.2. Mit E-Mail vom 16.05.2019 teilte die MB mit, sie verarbeite im Rahmen ihrer Gewerbeberechtigung nach § 152 GewO (Auskunftei über Kreditverhältnisse) Informationen im Zusammenhang mit der Kreditwürdigkeit (Bonität). Zahlungserfahrungsdaten und Insolvenzverfahren seien wichtige Fälle bonitätsrelevanter Informationen. Informationen über negative Zahlungserfahrungen erhalte die MB nur dann, wenn ein Zahlungsverzug vorliege, die ersten zwei Mahnungen durch den Gläubiger erfolglos gewesen seien und auch eine dritte Mahnung durch ein Inkassobüro erfolglos geblieben sei und somit ein fortbestehender qualifizierter Zahlungsverzug vorliege. Die im gegenständlichen Fall vorliegenden zahlreichen Zahlungserfahrungen stellten bonitätsrelevante Informationen dar, weswegen das beschriebene berechtigte Interesse jedenfalls vorliege. Auch bereits beglichene ("positiv erledigte") Forderungen stellten bonitätsrelevante Daten dar: Der Umstand, dass eine Forderung erst nach qualifizierter Mahnung bzw. Betreibung durch Inkassoinstitute oder Rechtsanwälte beglichen werde, bedeute einen zumindest temporären Zahlungsausfall und resultiere damit in einem Kreditierungsrisiko bezüglich künftiger Rechtsgeschäfte. Um ein sachlich richtiges und vollständiges Bild der zu einer Person gespeicherten bonitätsrelevanten Daten zu vermitteln und damit dem Grundsatz der Datenrichtigkeit nach Art. 5 Abs. 1 lit. d DSGVO Genüge zu tun, sei es daher wichtig, dass auch bereits bezahlte Forderungen in der Datenbank der MB verblieben. Die MB speichere personenbezogene Daten nur solange ein legitimer Zweck für die Verarbeitung bestehe. Die (gemeint) Speicherung der gegenständlichen Forderungen sei für die Zwecke, für die sie erhoben bzw. verarbeitet werden, weiterhin notwendig.

Anlässlich des Schreibens habe die MB die Zahlungserfahrungen nochmals überprüft und aktualisiert und übersende eine aktualisierte Auskunft.

Bereits am 20.08.2018 hatte die MB aufgrund eines Auskunftsersuchens des BF vom 03.08.2018 eine Darstellung der bei ihr gespeicherten Zahlungserfahrungsdaten betreffend den BF übermittelt.

1.3. Mit anwaltlichem Schreiben vom 11.06.2019, nach Mangelbehebungsauftrag verbessert am 13.08.2019, erhob XXXX Beschwerde an die Datenschutzbehörde (DSB) (im Folgenden: belangte Behörde) und brachte vor, über ihn seien nach der Auskunft der MB (gemeint) Zahlungserfahrungsdaten sowie persönliche Daten gespeichert. Bei den Zahlungserfahrungsdaten handle es sich um außergerichtliche Betreibungen zwischen Februar 2014 und April 2017. Von den sieben angeführten Forderungen übersteige nur eine den Betrag von Euro 1.000,--. Drei Beträge lägen unter Euro 100,--. Zwischenzeitlich seien sämtliche ausstehenden Forderungen des BF beglichen und bereinigt. Die MB speichere auch den Namen, das Geburtsdatum und die Adresse des BF. Der BF habe von der Verarbeitung der Daten durch die Auskunft vom 20.08.2018 erfahren.

Mit Schreiben vom 27.03.2019 sei die MB aufgefordert worden, die von ihr erfassten Daten aufgrund Vollzahlung zu löschen.

Dies sei mit der Begründung abgelehnt worden, dass die vorliegenden zahlreichen Zahlungserfahrungen bonitätsrelevante Informationen darstellten, weswegen ein berechtigtes Interesse an der Speicherung vorläge. Die personenbezogenen Daten seien notwendig, um die bonitätsrelevanten Daten verarbeiten zu können. Sollten sowohl ältere, als auch rezente Zahlungserfahrungen vorliegen, ergäbe sich aus der Kumulation dieser Daten eine bonitätsrelevante Aussage, wodurch auch Zweck und Rechtsgrundlage der Verarbeitung älterer Daten gegeben seien.

Diese Vorgehensweise entspreche nicht den gesetzlichen Grundlagen. Gemäß Art. 17 Abs. 1 lit. a DSGVO seien personenbezogene Daten zu löschen, sobald sie für den Zweck, für den sie erhoben worden seien, nicht mehr notwendig seien. Der Zweck, für den die Daten erhoben worden seien, habe sich erledigt, da der BF sämtliche Zahlungsansprüche vollständig erfüllt habe. Weil schon die Speicherung bonitätsrelevanter Daten rechtswidrig sei, folge daraus, dass auch die persönlichen Daten nicht weiter gespeichert werden dürften. Eine gesetzlich normierte Frist, wie lange Zahlungsdaten nach Begleichung der Forderung in Dateien von Kreditauskünften noch gespeichert werden dürfen, bestehe nicht. Die bisherige Rechtslage habe eine Löschung nach spätestens fünf Jahren bei vollständiger Bezahlung der Schuld vorgesehen. Aufgrund der geänderten Rechtslage seit dem 25.05.2017 sei diese Frist nicht mehr aufrecht zu erhalten. Nach derzeitiger Beurteilung sei eine Einzelfallbeurteilung unter Berücksichtigung aller maßgeblichen Umstände vorzunehmen. Diese Umstände seien insbesondere die Höhe der einzelnen Forderungen, das Alter, die Anzahl sowie die Zeit, die seit der Begleichung der Forderung verstrichen sei, darüber hinaus die Herkunft der Daten. Wäge man diese Gesichtspunkte fallgegenständlich ab, so liege nur eine Forderung über Euro 1.000,--. Die größte Forderung sei bereits am 14.06.2017 geschlossen worden. Seit damals seien zwei Jahre verstrichen. Die Anzahl der betriebenen Forderungen mit sieben über einen Zeitraum von drei Jahren zwischen 2014 und 2017 sei ebenfalls nicht als gravierend einzustufen. Unter Berücksichtigung aller Umstände sei eine Speicherung der Daten für bonitätsrelevante Zwecke nicht mehr erforderlich und rechtswidrig.

Die Beschwerde sei rechtzeitig, weil der BF erst mit Mai 2019 von der Weigerung der Löschung Kenntnis erlangt habe und die Jahresfrist gewahrt sei.

Die Datenschutzbehörde wolle die Verletzung des Rechts auf Löschung gemäß Art. 17 DSGVO feststellen.

Angeschlossen waren ein Löschungsbegehren des anwaltlich vertretenen BF vom 25.04.2019, ein E-Mail der MB an den Rechtsvertreter des BF vom 16.05.2019 sowie eine Auskunft der MB an den BF vom 20.08.2018 (Auskunft nach Art. 15 DSGVO).

1.4. Über Aufforderung nahm die MB mit per Mail übermittelter Stellungnahme vom 29.10.2019 gegenüber der belangten Behörde Stellung und ersuchte, die Beschwerde abzuweisen.

Die MB verwies zunächst auf ihre dem Schreiben vom 16.05.2019 an den BF beigelegte aktualisierte Auskunft Beilage 1, aus der sich ergäbe, dass eine in der Beschwerde beanstandete Forderung, betrieben von der Actio Finanzdienstleistung GmbH in Höhe von Euro 123,99, bereits aus der Datenbank der MB gelöscht und nicht mehr verarbeitet worden sei.

Die MB stellte sodann ihre Aufgaben als Kreditauskunftei sowie die damit im Zusammenhang stehenden rechtlichen Grundlagen nach der DSGVO dar und führte weiters aus, aus der Auskunft vom 20.08.2018 sei ersichtlich, dass die MB zum BF zum damaligen Zeitpunkt sieben negative Zahlungserfahrungen verarbeitet habe, deren Richtigkeit vom BF nicht bestritten worden sei. Eine dieser Forderungen in Höhe von Euro 123,99 sei zwischenzeitlich positiv erledigt und gelöscht. Zum BF seien von der MB zwischen 2014 und 2017 Zahlungserfahrungen eröffnet worden und zwischen 2015 und 2019 geschlossen (bezahlt oder ausgebucht) worden. Die Forderungen gegen den BF ist somit über mehrere Monate bis zu mehreren Jahren unberichtigt ausgehaftet. Die verfahrensgegenständlichen Forderungen beliefen sich auf jeweils zwischen Euro 39,90 und 1.687,50 und summierten sich auf Euro 3.147,52 (exklusive der bereits gelöschten Forderung). Zum Zeitpunkt der Auskunft vom 15.05.2019 seien fünf der sechs verbleibenden Forderungen bereits positiv erledigt gewesen.

Die Verarbeitung dieser Zahlungserfahrungsdaten sei für die Erfordernisse der Auskunftei über Kreditverhältnisse unverzichtbar, die Zahlungserfahrungsdaten seien bonitätsrelevant und hätten in der Datenbank der MB zu verbleiben. Aus Art. 5 Abs. 1 lit. d DSGVO erfließe der Grundsatz der Datenrichtigkeit. Diese könne nur vorliegen, wenn sämtliche richtige verfügbare Daten, die für die Bonitätsbeurteilung relevant seien, verarbeitet würden. Würde die MB dem Ansuchen des BF vollumfänglich nachkommen und sämtliche in der Auskunft vom 20.08.2018 ersichtliche Forderungen löschen, hätte dies ein verzerrtes und unrichtiges Bild über die Bonität des BF zufolge. Kunden würden sodann die Information erhalten, dass zum BF keine Zahlungserfahrungsdaten gespeichert seien, der BF würde somit dieselbe Bonitätsbeurteilung erhalten, wie eine Person, die ihre Schulden stets fristgerecht beglichen habe. Dies entspreche nicht den Tatsachen. Wie aus der Auskunft von 20.08.2018 bzw. vom 15.05.2019 hervorgehe, sei eine Vielzahl von Forderungen vom BF erst nach mehrmaliger Mahnung und Betreibung durch Inkassoinstitute beglichen worden. Dadurch sei den Gläubigern zumindest ein temporärer finanzieller Schaden entstanden. Durch dieses säumige Zahlungsverhalten seien aufwändige Betreibungsmaßnahmen zu setzen gewesen.

Wie von der belangten Behörde festgehalten, sei auch die Anzahl der im Wege eines Inkassounternehmens eingetriebenen Forderungen ein maßgeblicher Faktor dafür, ob eine Forderung in der Datenbank der MB verbleiben könne. Aufgrund der hohen Anzahl solcher Forderungen hätten selbst solche in der Datenbank zu verbleiben, die möglicherweise aufgrund ihrer Höhe oder ihres Alters isoliert betrachtet nicht mehr von Relevanz für die Bonität wären.

Das Interesse von potentiell in Vorleistung tretenden Vertragspartnern des BF überwiege gegenüber seinem Geheimhaltungsinteresse bezüglich der gegenständigen Zahlungserfahrungsdaten. Zu berücksichtigen seien insbesondere die kurze Zeit, die seit der Beendigung der Inkassofälle verstrichen sei (der letzte Fall sei erst vor etwa einem halben Jahr positiv erledigt worden), die Höhe der Zahlungserfahrungen (in Summe Euro 3.147,52), die Dauer der unberichtigten Aushaftung sowie die Kombination von zahlreichen (sechs bzw. sieben) Inkassofällen. Besonders die Kumulation sei von Bedeutung.

Die Verarbeitung der Daten des BF durch die MB sei daher weiter notwendig. Die Beschwerde sei daher als unbegründet abzuweisen bzw. das Verfahren einzustellen.

1.5. Mit dem bekämpften Bescheid gab die belangte Behörde der Beschwerde teilweise statt und stellte fest, die MB habe den BF dadurch in seinem Recht auf Löschung verletzt, indem sie die ehemalige Wohnadresse (historisches Meldedatum) " XXXX " nicht gelöscht habe. Die MB werde angewiesen, innerhalb einer Frist von vier Wochen diese ehemalige Wohnadresse des BF zu löschen (Spruchpunkte 1. und 2.). Im Übrigen werde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 3.).

Die belangte Behörde stellte – soweit für das Beschwerdeverfahren relevant (Spruchpunkt 3.) - folgenden Sachverhalt fest:

"Die MB betreibt ein Gewerbe nach § 152 GewO 1994 als Kreditauskunft. In diesem Zusammenhang speichert sie seit spätestens 15.05.2019 folgende Einträge zum BF in ihrem System:

Zahlungserfahrungsdaten:

​

…

Folgendes Zahlungserfahrungsdatum wurde bereits vor Erhebung der Beschwerde bei der Datenschutzbehörde seitens der Beschwerdegegnerin gelöscht:

​

Die MB berücksichtigt im Rahmen der durchgeführten Bonitätsbewertung das Alter eines positiv erledigten Eintrags über eine in der Vergangenheit bestandene Forderung. Je länger ein solcher Eintrag in der Vergangenheit zurückliegt, desto mehr verringert sich die durch die MB errechnete Ausfallwahrscheinlichkeit.

…

In ihrer rechtlichen Beurteilung stellte die belangte Behörde zunächst ihre Rechtsprechung zur Frage dar, wie lange Einträge in Datenbanken von Kreditauskunfteien gespeichert werden dürften. Ein einheitlicher Maßstab, aus dem sich eine generelle Frist zur Löschung der bonitätsrelevanten Daten aus der Datenbank einer Kreditauskunftei nach Tilgung der Schulden ergäbe, sei nicht zu erkennen. Vielmehr erscheine eine Einzelfallbeurteilung unter Berücksichtigung aller maßgeblichen Umstände erforderlich zu sein, darunter der Höhe der einzelnen Forderungen, deren Alter, der Anzahl der im Wege eines Inkassounternehmens eingetriebenen Forderungen sowie der Zeit, die seit Begleichung einer Forderung verstrichen sei. Auch die Herkunft der Daten sei zu berücksichtigen. Weiters sei im Hinblick auf die konkrete Speicherfrist der Zahlungserfahrungsdaten auf das Erkenntnis des BVwG vom 30.10.2019 GZ W258 2216873 zu verweisen, wonach als Richtlinie, wie lange Bonitätsdaten zur Beurteilung der Bonität eines potentiellen Schuldners geeignet seien, Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden könnten, die dem Gläubigerschutz dienten oder die die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegten. Solche Bestimmungen fänden sich in der "Kapitaladäquanzverordnung", in der Kreditinstitute unter anderem verpflichtet würden, ihre Kunden zu bewerten und diverse Risken ihrer Forderungen abzuschätzen. Dabei sei ein historischer Beobachtungszeitraum für eine Datenquelle, die auch extern sein könne, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall habe sich grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen.

Der europäische Verordnungsgeber gehe daher davon aus, dass für die Beurteilung der Bonität eines potentiellen Schuldners bzw. des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant sein.

Die MB verarbeite sechs Einträge betreffend Zahlungserfahrungsdaten zum BF, die sich insgesamt auf eine Summe von Euro 3.147,52 beliefen und allesamt außergerichtlich bzw. durch einen Rechtsanwalt eingetrieben worden seien. Obwohl es sich größtenteils um nicht allzu hohe Beträge handle (von Euro 39,90 bis Euro 1.687,50), werde durch die Zusammenschau der betriebenen Forderungen eine wesentliche Aussage über die Bonität bzw. das Zahlungsverhalten des BF getroffen. Selbst jene Erledigung einer Forderung, die am weitesten zurückliege (Euro 69,98, positiv erledigt am 26.08.2015), liege innerhalb der genannten Frist von fünf Jahren. Die jüngste positive Erledigung liege erst knapp über ein Jahr zurück.

Die Verarbeitung der verfahrensgegenständlichen Daten sei zum Zweck des Gläubigerschutzes im Sinne des Art. 17 Abs. 1 lit. a DSGVO nach wie vor notwendig.

Betreffend die von der MB bereits vor Erhebung der Beschwerde gelöschte Forderung sei der Beschwerde bereits mangels Beschwer nicht Folge zu geben.

Allerdings stelle die weitere Verarbeitung der unter Punkt 1 genannten Adresse des BF eine Verletzung im Recht auf Löschung dar, weshalb die MB gemäß § 58 Abs. 2 lit. c DSGVO anzuweisen gewesen sei, dem Antrag des BF zu entsprechen.

1.6. Allein gegen Spruchpunkt 3. dieses Bescheides richtet sich die Beschwerde des BF „wegen Verfahrensfehler und unrichtiger rechtlicher Beurteilung" mit dem - soweit an das Verwaltungsgericht gerichtet - Antrag, den Bescheid hinsichtlich Spruchpunkt 3. dahingehend abzuändern, dass sämtliche Zahlungserfahrungsdaten über den BF von der MB „wegen Obsoleszenz und Nichtberechtigung“ gelöscht werden.

1.7. Die belangte Behörde legte die Beschwerde samt Verwaltungsakt in elektronischer Form dem BVwG am 29.05.2020 vor, wo sie am 17.06.2020 einlangte. Die belangte Behörde bestritt das Beschwerdevorbringen und ergänzte, eine Verletzung des Art. 14 DSGVO bringe der BF erstmals mit der vorliegenden Bescheidbeschwerde vor, weswegen sie nicht Gegenstand des erstinstanzlichen Verfahrens sein habe können und die belangte Behörde nicht darauf eingegangen sei. Darüber hinaus sei aus den Ausführungen des BF nicht ersichtlich, weswegen eine unterlassene Information gemäß Art. 14 DSGVO im gegenständlichen Fall zu einem Vorliegen des Löschungsgrunds gemäß Art. 17 Abs. 1 lit. d DSGVO führen sollte, weshalb die weitere Speicherung der personenbezogenen Daten rechtmäßig gewesen sei.

Die Beschwerde ist nicht berechtigt:

2.1. Das Verwaltungsgericht legt sowohl den eingangs der Entscheidungsgründe wiedergegebenen Schriftverkehr als auch die oben wiedergegebenen, von der belangten Behörde getroffenen und für das Beschwerdeverfahren relevanten und unstrittigen Feststellungen auch seinem Erkenntnis zu Grunde.

Zur Speicherdauer:

2.2.1. Der BF schließt sich in seiner Beschwerde der Argumentation der belangten Behörde zur Speicherdauer der gegenständlichen Daten insoweit an, als sich diese auf die sich aus dem Bescheid vom 7.12.2018 GZ DSB-D123.193/0003-DSB/2018 hervorgehenden Kriterien für eine Einzelfallbeurteilung, Höhe, „Alter“ und Anzahl der Forderungen sowie die seit der Begleichung verstrichene Zeit, bezieht. Sodann führt der BF aus, wenn sich die belangte Behörde sodann aber betreffend die konkrete Speicherfrist auf das Erkenntnis des BVwG vom 30.10.2019 2216873 beziehe, wonach jedenfalls von einem fünfjährigen Zeitraum zur Bonitätsbeurteilung ausgegangen werden müsse, weiche die belangte Behörde aber von ihrer selbst für beachtlich erklärten Einzelfallbeurteilung ab, nach der auch vermieden werden solle, dass Betroffene, die nach Aufhebung eines Schuldenregulierungsverfahrens oder nach Zahlung ihrer Schulden wieder eine solide finanzielle Basis erlangt haben, im geschäftlichen Verkehr neuerlich auf Grund von Negativeintragungen mit Schwierigkeiten im Bezug auf ihre Kreditwürdigkeit zu kämpfen hätten. In Ihrer Gesamtbetrachtung habe die belangte Behörde dem Umstand der seit der letzten Begleichung einer Forderung verstrichenen Zeit im Verhältnis zu den anderen oben dargestellten Umständen zu viel Gewicht beigemessen. Lediglich eine Forderung überschreite den Betrag von EUR 1.000,--, die übrigen bewegten sich zwischen EUR 39,90 und EUR 567,11 und könnten als geringfügig betrachtet werden. Die größte Forderung sei bereits am 14.3.2017 geschlossen worden, somit vor mehr als 2 Jahren. Auch die Gesamtanzahl der Forderungen von sieben in einem Zeitraum von drei Jahren zwischen 2014 und 2017 sei nicht gravierend.

Dazu ist auszuführen:

2.2.2. Da der BF die rechtliche Basis der Argumentation der belangten Behörde, soweit sie sich auf den Bescheid vom 7.12.2018 GZ DSB-D123.193/0003-DSB/2018 bezieht, ohnehin teilt, kann diesbezüglich eine nähere Darstellung dahinstehen.

2.2.3. Zu W 258 2216873 beschäftigte sich das BVwG in seinem Erkenntnis vom 30.10.2019, soweit für das hier zu führende Verfahren relevant, mit der Frage, wie lange eine Speicherung von Daten über getilgte Forderungen durch eine Kreditauskunftei rechtmäßig sein kann, dies auch unter Beachtung der Verarbeitungsgrundsätze nach Art 5 DSGVO, „Zweckbindung“, „Datenminimierung“, „Richtigkeit“ und „Speicherbegrenzung“. Dabei ging es zunächst davon aus, dass die zulässige Speicherdauer in Ermangelung konkreter Fristen nach der DSGVO oder der GewO vom Einzelfall abhänge, solche Zahlungsinformationen für das künftige Zahlungsverhalten aber umso weniger Aussagekraft enthielten, je länger sie zurücklägen und je länger es zu keinen weiteren Zahlungsstockungen oder Zahlungsausfällen gekommen sei („Alter der Forderung“ und „seitheriges Wohlverhalten“). Im Weiteren suchte das BVwG in rechtlichen Bestimmungen, die dem Gläubigerschutz dienten, nach Beobachtungs- und Löschfristen als Richtlinie für die zulässige Speicherdauer. Als solche Bestimmung zog das BVwG die EU-Verordnung „Kapitaladäquanzverordnung“ heran, die Kreditinstitute verpflichte, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Dabei hätten Kreditinstitute gegenüber natürlichen Personen einen historischen Beobachtungszeitraum für zumindest eine Datenquelle von mindestens fünf Jahren für Kredit- und Retailforderungen heranzuziehen. Wenn aber Kreditinstitute als potentielle Geschäftspartner des Betroffenen rechtlich verpflichtet seien, ihre Forderungen anhand der Ausfallsquoten zumindest der letzten fünf Jahre zu bewerten, so sei es – so sinngemäß das Erkenntnis - kein Verstoß gegen das Prinzip der Datenminimierung und Speicherbegrenzung, wenn Daten über Forderungen, die innerhalb dieser Frist temporär oder gänzlich ausgefallen sind, durch eine Kreditauskunftei verarbeitet werden.

Auch die genannte Rechtsprechung beruht daher auf den Verarbeitungsgrundsätzen der Datenminimierung und der Speicherbegrenzung.

2.2.4. Wenn der BF meint, lediglich eine Forderung überschreite den Betrag von EUR 1.000,--, die übrigen bewegten sich zwischen EUR 39,90 und EUR 567,11, so geht er - ohne dass er die Feststellungen der belangten Behörde in Zweifel zieht - nicht vom festgestellten Sachverhalt aus: Der BF übersieht, dass sich die „übrigen“ Forderungen zwischen 39,90 und 743,13 (4. Zeile der Tabelle „Zahlungserfahrungsdaten“) bewegen. Er übersieht auch, dass die „größte Forderung“ nicht am 14.3.2017 sondern am 14.6.2017 (5. Zeile der Tabelle) geschlossen wurde. Zuletzt übersieht er, dass eine der Forderungen, wenn auch eine geringe über EUR 39,90 vom 13.10.2015, nach den unbekämpften Feststellungen nicht „beglichen“ sondern lediglich „ausgebucht“ wurde.

In Anbetracht dessen zeigt der BF keine berechtigten Bedenken gegen die Qualifikation der festgestellten temporären und in einem Fall dauernden Zahlungsausfälle über gesamt EUR 3.147,52 in einem Zeitraum von 2 Jahren und 2 Monaten, wobei die Tilgung der ersten Forderung etwas mehr als 5 Jahre zurückliegt, jene der letzten Forderungen (in Höhe von EUR 567,11 und EUR 39,90) erst eineinhalb Jahre, durch die Behörde derart, dass die Verarbeitung der diesbezüglichen Zahlungserfahrungsdaten des BF nach wie vor notwendig sei. Dabei darf dem BF auch in Erinnerung gerufen werden, dass nach den Feststellungen die letzte positiv erledigte - nicht als Bagatellforderung zu qualifizierende - Forderung von EUR 567,11 über 5 Jahre lang unberichtigt aushaftete, sodass auch die Heranziehung aller vom BF genannter Kriterien insgesamt zu keinem anderen Ergebnis führen kann.

Zur behaupteten Verletzung von Informationspflichten:

2.3.1. Erstmals in der Beschwerde bringt der BF vor, im Verfahren sei in keiner Weise auf Art 14 DSGVO eingegangen worden, da der BF in keinster Weise „über die in diesem Artikel normierten Bedingungen“ informiert worden sei. Die Beweislast hiefür liege bei der MB. Daraus ergäbe sich jedenfalls ein Löschungsanspruch nach Art 17 Abs 1 lit d DSGVO. Ausnahmen nach Art 17 Abs 3 DSGVO seien von der beweispflichtigen MB nicht behauptet worden.

Dazu ist auszuführen:

2.3.2. Art 14 DSGVO regelt umfangreich die Informationspflicht, wenn die Daten nicht bei der betroffenen Person erhoben werden.

Zur Frage der Rechtmäßigkeit der Verarbeitung wird diskutiert, ob sich dieser Grundsatz der Rechtmäßigkeit nur darauf bezieht, ob eine bestimmte Verarbeitung rechtmäßig ist (enges Verständnis), was in Art 6 geregelt ist, oder auch die Umstände der Verarbeitung betrifft, also auch auf die Einhaltung aller Anforderungen und Pflichten bezieht, die sich aus der DSGVO ergeben (weites Verständnis). Die deutsche Fassung „auf rechtmäßige Weise“ wird dabei als Argument für ein weites Verständnis, die englische Fassung „lawfully“ als ein solches für ein enges Verständnis angeführt. Auch nach einem weiten Verständnis wird aber eine Verarbeitung nicht bereits deswegen für unrechtmäßig angesehen, weil der Verantwortliche nicht alle Verpflichtungen der DSGVO erfüllt, wie beispielsweise die Informationspflichten nach den Art 13ff. Solche Pflichtverletzungen können zu den dafür vorgesehenen Sanktionen (Art 83f) führen, nicht zu einer Unrechtmäßigkeit der Verarbeitung an sich (Hötzendorfer Tschohl Kastelitz in Knyrim, Datkomm Art 5 DSGVO, Rz 12, Stand 1.10.2018, rdb.at).

Die Frage, ob die Nichterteilung der Informationen die Rechtmäßigkeit der Datenverarbeitung per se in Frage stellen könnte, sohin die Informationserteilung als „zulässigkeitsbegründend“ gilt, wird überwiegend daher dahin beantwortet, dass sich die Rechtmäßigkeit nach den Art 5ff bestimmt und die Erteilung oder Nichterteilung der Information, da strafbewehrt, keinen Einfluß auf die grundsätzliche Rechtmäßigkeit der Verarbeitung hat (Illibauer in Knyrim, Datkomm Art 14 DSGVO, Rz 4, Stand 1.10.2018, rdb.at).

2.3.3. Das nunmehr erstmals in der Beschwerde erhobene Vorbringen hinsichtlich einer Informationspflichtverletzung durch die MB ist unspezifisch („in keinster Weise über die in Artikel 14 normierten Bedingungen informiert“). Der BF führt nicht ansatzweise aus, welche Informationspflicht er durch die MB als verletzt ansieht. Dass der BF bereits vor Erhebung der Datenschutzbeschwerde über die im System der MB gespeicherten Daten informiert war, geht bereits aus dem eingangs der Entscheidungsgründe wiedergegebenen Schreiben des Vertreters des BF vom 25.4.2019 hervor. Aus dem weiteren Schriftverkehr ergeben sich darüber hinaus keine Anhaltspunkte, dass der BF mit den Informationen über seine von der MB gespeicherten Daten im Bezug auf Inhalt und Vollständigkeit nicht einverstanden war.

Da aber allfällige Verletzungen der Informationspflicht, wie oben dargestellt, durch Geldbußen sanktionierbar sind und nicht die Rechtmäßigkeit der Datenverarbeitung per se in Frage stellen, ist der diesbezügliche Einwand für das hier allein gegenständliche Löschungsbegehren ohne Relevanz. Es bedurfte daher insoferne weder einer Erörterung (eine mündliche Verhandlung wurde nicht beantragt) noch einer diesbezüglichen Mitteilung der Beschwerde an die MB gemäß § 10 VwGVG.

2.4. Einer mündlichen Verhandlung bedurfte es gemäß § 24 Abs 3 VwGVG nicht, weil der maßgebliche Sachverhalt feststeht, eine Verhandlung nicht beantragt wurde und die das neue Vorbringen (siehe oben Pkt 2.3.) - ungeachtet seiner mangelnden Konkretisierung – rechtlich für den BF keinen Erfolg im Verfahren wegen Verletzung im Recht auf Löschung herbeiführen konnte.

Zum Ausspruch über die Zulässigkeit der Revision:

Zwar handelt es sich bei der Frage, wie lange Daten unter Beachtung der Verarbeitungsrundsätze des Art 5 DSGVO und unter Vornahme einer Interessenabwägung nach Art 6 Abs 1 lit f DSGVO verwendet werden dürfen, um eine grundsätzlich nicht revisible Einzelfallentscheidung. Es fehlt aber nach wie vor an Rechtsprechung des Verwaltungsgerichtshofs zur Frage, welchen Grundsätzen eine solche Interessenabwägung genügen muss; insbesondere, ob und unter welchen Voraussetzungen die Vorschriften der Kapitaladäquanzverordnung als Richtschnur für die Bestimmung der zulässigen Speicherdauer von Bonitätsdaten herangezogen werden können.

Die Revision ist insofern zulässig, weil Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art 133 Abs 4 B-VG zukommen.