Der EuGH veröffentlichte am 07.12.2023 gleich drei Urteile, (C-26/22, C-64/22, C-634/22) die für die Auskunfteien in Deutschland relevant sind. Die Urteile dürften dabei jedoch weitestgehend nur bei den Auskunfteien kritischen Rezipienten Gefallen gefunden haben. Wie lange darf man Daten aus öffentlichen Registern verarbeiten?
Das Urteil in Sachen C-26/22 und C-64/22 befasst sich zu weiten Teilen mit der Frage der Rechtmäßigkeit der Speicherung von Informationen über Schuldner, aus öffentlichen Quellen, wie der Insolvenzbekanntmachung (z.B. der Restschuldbefreiung).
Restschuldbefreiung
Nach Auffassung des EuGH sei die Rechtmäßigkeit der Datenverarbeitung alleine im Licht des Art. 6 Abs. 1 lit. f) DSGVO zu betrachten. Danach ist die Verarbeitung nur rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen erforderlich sind und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Das Bestehen eines berechtigten Interesse einer Auskunftei in der Verarbeitung personenbezogener Daten ist dabei unstreitig vorhanden. Sie dient sowohl dem wirtschaftlichen Interesse der Auskunftei selbst, als auch ihrer Vertragspartner und wohl im ganz allgemeinen der Funktionsfähigkeit des gesamten Kreditsystems (Rn. 82). Die Relevanz dieses Interesses wurde jedoch vergleichsweise gering bewertet, so liest sich keine Erwägung/Abwägung zu den bekannte Statistiken über die zumeist mangelnde Solvenz von Schuldner ein bis drei Jahre nach Erteilung der Restschuldbefreiung (Rn. 83).
Hinsichtlich der Speicherung von Daten aus öffentlichen Quellen zweifelte der EuGH bereits an der Erforderlichkeit, dass Auskunfteien die Speicherung von personenbezogenen Daten ohne konkreten Anlass vornehmen würden, überlässt die Entscheidung zu dieser Frage aber den vorlegenden Gerichten zur Klärung (Rn. 77, 78). Zusätzlich zur „anlasslosen“ Speicherung werden Daten von Auskunfteien auf Grundlage von Art. 40 DSGVO nach Ansicht des EuGH länger gespeichert, als von nationalen Registern vorgesehen, welche dies aufgrund von nationalen Vorschriften (in Einzelfällen) nur sechs Monate lang tun (Rn. 89).
Hier stellt sich die Frage, „ ob im vorliegenden Fall die berechtigten Interessen, die mit der in den Ausgangsverfahren fraglichen Verarbeitung personenbezogener Daten wahrgenommen werden, vernünftigerweise nicht durch eine kürzere Dauer der Speicherung der Daten erreicht werden können“. Dies, so der EuGH, könne nur mit einer konkreten Interessenabwägung zu beantworten sein.
„Die Analyse einer Wirtschaftsauskunftei [kann] insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern […].“ (Rn. 93)
Demgegenüber
„stellt die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte der betroffenen Person dar. Solche Daten dienen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person und stellen daher sensible Informationen über ihr Privatleben dar (vgl. in diesem Sinne Urteil vom 13. Mai 2014, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 98). Ihre Verarbeitung kann den Interessen der betroffenen Person beträchtlich schaden, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken.“ (Rn. 94)
Je langfristiger gespeichert würde, desto schwerwiegender seien die Folgen und so höher die Anforderungen an die Rechtmäßigkeit der Speicherung. „[…] Die erteilte Restschuldbefreiung [soll] dem Begünstigten ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für diese Person im Allgemeinen existenzielle Bedeutung.“ so der Generalanwalt. Dieses Ziel würde durch die Auskunfteien gefährdet, wenn Daten über den Zeitraum der öffentlich Zugänglichmachungen hinaus gespeichert würden. Das Insolvenzregister würde insoweit schon der Aufgabe der Risikominimierung für Gläubiger und Gerichte nachkommen.
„Unter diesen Umständen können die Interessen des Kreditsektors, über Informationen hinsichtlich einer Restschuldbefreiung zu verfügen, keine Verarbeitung personenbezogener Daten wie der in den Rechtsstreitigkeiten der Ausgangsverfahren fraglichen nach Ablauf der Frist für die Speicherung der Daten im öffentlichen Insolvenzregister rechtfertigen, so dass die Speicherung dieser Daten durch eine Wirtschaftsauskunftei in Bezug auf den Zeitraum nach der Löschung dieser Daten aus einem öffentlichen Insolvenzregister nicht auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden kann.“ (Rn. 99)
Die Verhaltensregeln auf Grundlage des Art. 40 Abs. 1 DSGVO sind insofern unbeachtlich, als dass sie den Bestimmungen des Art. 6 DSGVO zuwiderlaufen.
Der EuGH zieht folglich aus einer nationalen geregelten Löschverpflichtung für öffentlich Rechtliche Stellen einer für den Wirtschaftsverkehr enorm wichtigen Information eine Löschpflicht für privatrechtlich tätige Unternehmen. Diesen Spagat bewältigt er über die Verhältnismäßigkeitsprüfung des Art. 6 Abs. 1 S. 1 lit. f) DSGVO und lässt den nationalen Gerichten jedoch noch die Abwägung über Art. 7 und 8 der Grundrechte Charta offen (Rn. 100).
Fazit
Man mag von dem Urteil und dessen Herleitung halten was man will, jedoch führt es unmittelbar dazu, dass Auskunfteien (nunmehr) nach Art. 17 Abs. 1 lit. f) DSGVO die Pflicht trifft, personenbezogene Daten, die unrechtmäßig verarbeitet wurden, unverzüglich zu löschen – hiervon dürften also auch Daten umfasst sein, die in den privaten Datenbanken nach Ablauf der öffentlich rechtlichen Speicherpflicht vorgehalten werden – dem Trugschluss dieses Satzes zum trotz.