Jusletter IT

Auskunfteien¹ geben potentiellen Kreditgebern vor allem Informationen darüber,

• ob eine Person oder ein Unternehmen, die/das sich ihm gegenüber als (potentieller) Kunde geriert, überhaupt existieren² und
• ob der (zukünftige) Kreditnehmer imstande sein wird, die Verpflichtungen, die er einzugehen im Begriff ist, auch erfüllen können wird.

Im Bereich des Geschäftes zwischen Unternehmen gibt es diese Auskünfte, wenn auch zunächst nicht-institutionalisiert, bereits solange wie den Kredit selbst. In England und den USA entstanden «credit bureaus» bereits in der ersten Hälfte des 19. Jahrhunderts.³ Rechtshistorisch gesehen beginnt die (gewerberechtliche) Regulierung in Österreich mit der auf Basis der GewO 1859 (RGBl. 227 i.d.F. RGBl. 39/1883) erlassenen Verordnung vom 20.7.1885, RGBl. 116 über die Bindung des Betriebes von «Informationsbureaux zum Zwecke der Auskunftsertheilung über die Creditverhältnisse von Firmen» an eine Konzession (behördliche Genehmigung). Bereits mit Verordnung vom 6.7.1893, RGBl. 117 wurde die Beschränkung auf Firmen aufgehoben und auf Auskunftserteilung über die Kreditverhältnisse von Gewerbetreibenden, welche keine Firma führten, sowie anderen Personen erstreckt, sofern diese Auskünfte zu geschäftlichen Zwecken verlangt wurden.

Im Privatkunden- bzw. Verbrauchergeschäft war es über lange Zeit unüblich, dass Unternehmen in Vorleistung traten. Geliefert wurde gegen Vorauskasse oder Zug-um-Zug, allenfalls per Nachnahme. Vorreiter der Lieferung auf offene Rechnung war der Versandhandel, der in den Siebzigerjahren des letzten Jahrhunderts zur Finanzierung der Lieferungen sowohl Lieferung auf offene Rechnung als auch Ratenkredite angeboten hat – das zu einer Zeit, als es Privatkunden nahezu unmöglich war, bei einer Bank größere Kredite ohne die Bereitstellung dinglicher Sicherheiten zu erhalten. Nicht zuletzt deshalb ist der Wunsch, sich gegenseitig über schlechte private Zahler zu informieren und dadurch vor Zahlungsausfällen schützen, von dieser Branche ausgegangen.

In neuerer Zeit, wo eine Vielzahl von Branchen ihre Leistungen einer großen Anzahl von Kunden auf offene Rechnung anbietet (und diese Form der Bezahlung vom «Markt» auch erwartet wird), werden diese Informationen für einen großen Kreis von Unternehmen immer wichtiger. Vom Musikdownload um wenige Cent, der über die Handyrechnung bezahlt wird, bis zum Leasingauto um mehrere zehntausende Euro – in jedem dieser Fälle tritt der Kreditgeber gegenüber dem Kunden in Vorleistung. Hinzu kommt, dass die Gläubiger oftmals auch gleichzeitig Schuldner (z.B. aufgrund von Kreditaufnahmen zur Zwischenfinanzierung des Wareneinkaufes) sind, wobei die Geschäftsgebarung (und somit auch die Quote an Zahlungsausfällen) die eigene Bonität (und damit die Höhe des Zinssatzes) beeinflusst.

Gerade im Versandhandel waren die Kreditgeber neben der Überspannung der wirtschaftlichen Leistungsfähigkeit der Besteller (Zahlungsausfall aufgrund fehlender Mittel) mit einem massiven Betrugsproblem durch erfundene Identitäten und daraus resultierenden Zahlungsausfällen konfrontiert. Verschärft hat sich dieses Problem durch das Internet, das als Vertriebskanal massiv an Bedeutung gewonnen hat, gleichzeitig die Geschäftsbeziehungen «anonymer»⁴ gemacht hat: Hat ein Schuldner mit seinem richtigen Namen keine Lieferung mehr erhalten, weil er bereits auffällig geworden war, lag es oft nahe, durch kleine – die Postzustellung nicht verhindernde Namensvariationen – dennoch eine Lieferung zu erhalten. Durch weitere technische Entwicklungen war es in weiterer Folge möglich, nicht nur Informationen über schlechte Zahler zu sammeln, sondern generell auch die Existenz von Personen bestätigen zu können. Auskunfteien bieten daher ihren Kunden an, zunächst Auskunft darüber zu erteilen, ob es Personen überhaupt gibt. Hier ist darauf hinzuweisen, dass in Österreich die Abfrage des Zentralen Melderegisters (ZMR) zu diesem Zweck (Überprüfung der Identität des Geschäftspartners) nach § 16a Abs 5 MeldeG nicht statthaft ist – diese Norm gestattet nur Abfragen zur «erwerbsmäßigen Geltendmachung oder Durchsetzung von Rechten oder Ansprüchen».

Aus dieser unterschiedlichen Entwicklung einerseits, andererseits natürlich auch aus dem möglichen Schadenspotential erklärt es sich, dass zu Unternehmen und Privatpersonen in der Praxis unterschiedliche Informationen verfügbar sind:⁵ Während zu Unternehmen eine Vielzahl von wirtschaftlichen Kenngrößen (Bilanz, Mitarbeiteranzahl, u.v.m.) bekannt, teilweise ex lege allgemein verfügbar⁶ und als «Positivdaten»⁷ gespeichert sind, sind über Privatpersonen i.d.R. nur negative Zahlungserfahrungen («Negativdaten»)⁸ verfügbar.⁹ Andere Daten zu Privaten wie etwa wirtschaftliche Leistungsfähigkeit (Beruf, Ausbildung, Einkommen, Anzahl der Unterhaltspflichten, etc.) sind in der Praxis weder verfügbar, noch vom Kreditgeber angefragt.¹⁰

Es muss in diesem Kontext darauf hingewiesen werden, dass die eigentliche Geschäftsentscheidung, das heißt ob und unter welchen Rahmenbedingungen eine Vertragsbeziehung mit dem Betroffenen zustande kommt, privatautonome Sache des Kreditgebers ist, der in der Regel keinem Kontrahierungszwang unterliegt. In den meisten Fällen ist durch eine negative Auskunfteiinformation der Geschäftsabschluss selbst nicht schon deshalb ausgeschlossen: In der Praxis werden dem potentiellen Kunden entweder andere Bezahlweisen angeboten (Voraus- oder Depotzahlung, Lieferung auf Nachnahme, Prepaid-Produkte) oder beim Geldkredit zusätzliche Informationen (z.B. Gehaltsbestätigung) oder Sicherheiten verlangt. Die oft geäußerte pauschale Aussage, jemand habe aufgrund einer Bonitätsauskunft eine bestimmte Ware oder Dienstleistung nicht erhalten, ist daher in dieser allgemeinen Form meist unrichtig.

Spricht man von rechtlichen Rahmenbedingungen für Auskunfteien, so ist zwischen der gewerberechtlichen und der datenschutzrechtlichen Seite zu unterscheiden.

Die geltende gewerberechtliche Rechtsgrundlage für das freie Gewerbe der «Auskunfteien über Kreditverhältnisse» in Österreich bildet § 152 GewO 1994. Diese sehr knapp gehaltene Norm verbietet Auskunfteien die «Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen».¹¹ E contrario kann daraus erschlossen werden, dass auch über «private Verhältnisse» Auskünfte erteilt werden dürfen, die eben schon mit der Kreditwürdigkeit in Zusammenhang stehen, d.h. zu deren Beurteilung (durch den Kunden der Auskunftei) geeignet sind. Jedenfalls beauskunftet werden dürfen nicht-private Verhältnisse, das heißt Umstände, die nicht mit dem Privatleben zusammenhängen. Besonders geschützt ist der höchstpersönliche Lebensbereich durch § 33 DSG 2000 (s.a. § 1328a ABGB), der einen Ersatz des immateriellen Schadens bei Eingriffen in den höchstpersönlichen Lebensbereich vorsieht. Nicht zum höchstpersönlichen Lebensbereich zählen aber insbesondere Vermögensverhältnisse und Angelegenheiten des Berufs- und Geschäftslebens.¹²

In Deutschland zählt das Gewerbe einer Auskunftei zu den überwachungsbedürftigen Gewerben (§ 38 Abs. 1 Z. 2 dGewO).¹³

Das DSG 2000 sieht vor, dass der Betrieb einer Datenanwendung, die «Auskunftserteilung über die Kreditwürdigkeit der Betroffenen zum Zweck haben», nur nach einer Vorabkontrolle der DSK aufgenommen werden darf. Die Genehmigung hat hier nur bei einem Nachweis ausreichender Rechtsgrundlagen erteilt zu werden (vgl. § 20 Abs 3 DSG 2000). Die DSK ist der Ansicht, «dass der Gesetzgeber in § 152 GewO 1994 von der grundsätzlichen Zulässigkeit dieser gewerblichen Tätigkeit ausgeht, sodass es zur Verarbeitung dieser Daten eine rechtliche Befugnis im Sinne des § 7 Abs. 1 DSG 2000 geben kann. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar ist, muss auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über «Kreditverhältnisse» im Sinn des § 1 Abs. 2 bzw. § 8 Abs. 1 Z 4 DSG 2000 als gegeben erachtete. Ein derartiges Interesse bzw. eine derartige Befugnis muss auch für die Kunden der Auskunfteien aber auch für die Datenlieferanten bestehen, da ansonsten die Gewerbeausübung unmöglich wäre. […]».¹⁴

Bei der Erhebung und Verwendung von Bonitätsdaten stützen sich die Auskunfteien in Österreich somit auf § 1 Abs. 1 letzter Satz DSG 2000,¹⁵ auf das – von der DSK grundsätzlich anerkannte – überwiegende berechtigte Interesse an einer Verwendung von Daten über Kreditverhältnisse i.S.d. § 1 Abs 2 bzw. § 8 Abs 1 Z 4 leg cit und (v.a. aber im Banken- und Finanzdienstleistungsbereich) auf die Zustimmung des Betroffenen (§ 4 Z. 14 DSG 2000).¹⁶ Auch in Deutschland stützten sich Auskunfteien und kreditgebende Unternehmen bisher (vor den BDSG-Novellen 2009, dazu 1.4.) auf die Generalklauseln §§ 28, 29 BDSG mit ihren Interessenabwägungen und auf die Einwilligung der Betroffenen.¹⁷

Während in Österreich die DSG-Novelle 2010¹⁸ keine speziell auf die Tätigkeit von Auskunfteien abstellenden Bestimmungen vorsieht, wurden in der BRD 2009 drei BDSG-Novellen¹⁹ beschlossen, wovon die BDSG-Novelle I (Inkrafttreten 1.4.2010) u.a. die Tätigkeit von Auskunfteien und das sog. Scoring betrifft, die Novelle III die Verbraucherkredit-RL umsetzt (§ 29 Abs. 6 und 7, grenzüberschreitende Bonitätsabfragen).²⁰

Der neue § 28a BDSG regelt zukünftig explizit vor allem die Datenübermittlung von Negativdaten und Positivdaten an Auskunfteien,²¹ die Änderungen in § 29 leg. cit. erlauben (als komplementäre Regelung) die Speicherung, Verarbeitung und Nutzung der nach § 28a übermittelten Daten durch Auskunfteien.

Als Scoring wird ein mathematisch-statistisches Verfahren bezeichnet, mit dem aus Rohdaten ein bestimmter Wert errechnet wird, der aussagen soll, wie hoch das Risiko eines Zahlungsausfalles einer Person oder eines Unternehmens ist (Bonitätsrisiko). Während dieses Verfahren in Deutschland bereits zu umfangreichen Diskussionen und Stellungnahmen in der Literatur²² und von Datenschutzbehörden²³ geführt hat, fehlt in Österreich derzeit – soweit ersichtlich – ein fundierter wissenschaftlicher Diskurs über dieses aktuelle Thema.²⁴ Die Auseinandersetzung mit den Scoringverfahren in Deutschland führte nun dazu, dass eine eigene Bestimmung zur Verwendung von Scorewerten (§ 28b) eingeführt wird und gemäß § 34 neu BDSG Auskunfteien, die damit die Kreditwürdigkeit klassifizieren, künftig (ab 1.4.2010) u.a. offenlegen müssen, nach welchen Kriterien sie ihre Bewertungen vornehmen. Zudem wurde das Verbot der automatisierten Einzelentscheidung (§ 6a BDSG; in Österreich § 49 DSG;²⁵ Art. 15 DS-RL), welchem gerade beim Scoring besondere Aufmerksamkeit zu schenken ist, konkretisiert.

Auf EU-Ebene wurde von der Kommission 2008 eine Expertengruppe für Kredithistorien eingesetzt,²⁶ da der EU-weite Zugang zu Bonitätsinformationen über Verbraucher als wichtig für die Erreichung eines Kreditbinnenmarktes angesehen wird. Die Expertengruppe, zusammengesetzt aus 20 Vertretern der Kreditwirtschaft, Datenschutzbehörden, Verbraucherverbänden, Kreditauskunfteien und Nationalbanken, legte Mitte 2009 ihren Abschlussbericht vor.²⁷

Der Austausch von Kreditdaten unter Kreditgebern ist laut diesem Bericht eine wichtige Komponente der Finanzinfrastruktur, die den Verbrauchern den Zugang zu Finanzierungsmitteln erleichtert. Die Nutzung von Kreditdaten zur Beurteilung der Bonität von Kreditnehmern trage demnach entscheidend dazu bei, die Qualität der Kreditportfolios zu verbessern und somit die Risiken der Kreditgeber zu verringern. Sie helfe den Kreditgebern außerdem, ihren Verpflichtungen in Bezug auf eine verantwortungsvolle Kreditvergabe nachzukommen. Allerdings könne die grenzübergreifende Kreditvergabe durch Unterschiede zwischen den nationalen Kreditmeldesystemen beeinträchtigt werden (siehe nur den unterschiedlichen Aufbau der Systeme im Endbericht, Annex 3).

In diesem Zusammenhang ist auf die bis 12.5.2010 in nationales Recht umzusetzende Verbraucherkredit-RL²⁸ hinzuweisen, die in Art. 8 u.a. vorsieht, dass der Kreditgeber vor Vertragsabschluss die Kreditwürdigkeit des Kreditnehmers «erforderlichenfalls» mittels einer Datenbank überprüfen soll. Da Art. 9 der RL bei grenzüberschreitenden Krediten auch einen nicht-diskriminierenden Zugang für Kreditgeber aus anderen Mitgliedstaaten zu Bonitätsdatenbanken im jeweiligen Mitgliedsstaat vorsieht (siehe § 29 Abs. 6 und 7 BDSG), sind die ersten Voraussetzungen für eine Angleichung der Systeme gegeben. Darauf sollte u.E. eine zukünftige Überarbeitung der DS-RL Bedacht nehmen.

Nach dem auch in der DS-RL vorgezeichneten System stellen die Betroffenenrechte (Art. 10 – 14; siehe den 5. Abschnitt des DSG 2000), ergänzt durch die Informationspflicht, ein stimmiges System dar. Zunächst soll der Betroffene davon informiert werden, dass überhaupt Daten über ihn gespeichert werden. Dabei handelt es sich nicht um ein Recht des Betroffenen, sondern um eine verwaltungsstrafrechtlich sanktionierte Verpflichtung des Datenverarbeiters. In diesem Zusammenhang ist auch die Verpflichtung der Datenverarbeiter zu sehen, ihre Anwendungen im Datenverarbeitungsregister (DVR) registrieren zu lassen. Das DVR ist ein öffentliches Register, nur in besonderen Fällen soll darüber hinaus der Betroffene selbst zu verständigen sein.

Dann soll der Betroffene kostengünstig (in Österreich im Allgemeinen unentgeltlich, § 26 Abs. 6 DSG 2000) auf sein Ersuchen Auskunft über gespeicherte Daten erhalten. Sind diese im Hinblick auf den Verwendungszweck unrichtig, so sind die Daten richtig zu stellen. Im Falle der rechtswidrigen Verarbeitung oder im Fall, dass die Daten nicht mehr benötigt werden, hat der Betroffene einen Anspruch auf Löschung. Um Betroffenen die Möglichkeit zu geben, dass besondere, in der Person des Betroffenen vorliegende Umstände zusätzlich in Betracht gezogen werden, kann er auch der Verarbeitung widersprechen und ebenfalls eine Löschung des Datensatzes erreichen (Art. 14 DS-RL).²⁹

Erwähnenswert ist auch, dass die DS-RL generell bei der Datenverwendung von einer Interessenabwägung ausgeht (Art. 7 lit. f), eine Ausnahme dazu stellt die Möglichkeit dar, der Verwendung seiner Daten zu Marketingzwecken zu widersprechen (Art. 14 lit b).³⁰ Einen darüber hinausgehenden Anspruch auf Löschung von richtigen und aussagekräftigen Informationen ohne jede Interessenabwägung sieht die DS-RL nicht vor, bei Konflikten zwischen Auftraggeber-³¹ und Betroffeneninteressen fordert auch § 1 Abs. 2 DSG 2000 eine Interessenabwägung.³²

Über die Judikatur des OGH³³ zur Anwendbarkeit des (begründungslosen) Widerspruches nach § 28 Abs. 2 DSG 2000³⁴ auf Auskunfteien (die angeblich öffentlich zugänglich seien) ist viel diskutiert worden.³⁵

Wie gehen nun Auskunfteien damit um, wenn ein Betroffener von diesem Recht Gebrauch macht? In der Datenverarbeitung über Private, nur hier spielt dieses Recht in der Praxis auch eine Rolle, werden, wie schon oben dargelegt, neben den Identifikationsdaten (Name, Anschrift, Geburtsdatum) ausschließlich Daten über negative Zahlungserfahrungen, d.h. sogenannte «Negativdaten» verarbeitet. Da Auskunfteien schon aus Geschäftsinteressen höchst interessiert daran sind, nur richtige und aussagekräftige Daten zu verarbeiten, gibt es in der Praxis überwiegend eine Gruppe, der dieses «absolute Löschungsrecht» zu Gute kommt, nämlich den wirtschaftlich schwachen, ohnehin hoch belasteten Personen, denen es an der wirtschaftlichen Leistungsfähigkeit fehlt, weitere Kreditgeschäfte einzugehen.

Kreditgeber haben bereits in der Vergangenheit die Erfahrung gemacht, dass bei nicht identifizierten Antragstellern Vorsicht geboten ist: Im besten Fall handelt es sich um Personen, die ihren Namen geändert haben, im schlechtesten Fall um einen versuchten Betrug durch eine fingierte Identität. Manche Kreditgeber haben verschiedentlich bereits vor dieser oberstgerichtlichen Judikatur davon Abstand genommen, den nicht identifizierten Betroffenen auf Rechnung zu beliefern oder einen Kredit zu gewähren. Klarerweise hat sich seit der einschlägigen Judikatur die Anzahl der Löschungsbegehren erheblich erhöht. Damit ist die Anzahl der Kreditgeber, die nicht identifizierten Personen skeptisch gegenüber stehen, ebenfalls gestiegen.

Wie eben dargelegt, gehen DS-RL und DSG 2000 von der Löschung als «ultima ratio» des Schutzsystems aus: Mehr als löschen lassen kann sich der Betroffene nicht, insbesondere gibt es keinen Anspruch des Betroffenen auf die Speicherung bestimmter, ihm angenehmer Daten. Selbstverständlich steht es dem Betroffenen zu, nur die Löschung bestimmter Daten zu begehren. Ob sich der Auftraggeber an den Umfang des Löschungsbegehrens hält oder den Datensatz insgesamt (mit den Identifikationsdaten) löscht, bleibt ihm überlassen: Bereits der OGH hat in der Entscheidung 6 Ob 195/08g hinsichtlich der Verpflichtungen des beklagten Auftraggebers ausgesprochen, dass «diesen doch keine Pflicht [trifft], die um den vom Löschungsbegehren betroffenen Datensatz reduzierte Eintragung in seiner Datei zu belassen. »

Langt nun bei einer Auskunftei ein Löschungsbegehren ein, steht es dieser zu, den Eintrag zur Person vollständig zu entfernen und den (Teil-)Löschung begehrenden Betroffenen damit für den Kunden unidentifizierbar zu machen. Wird vollständig gelöscht, geschieht dies insbesondere auch im Interesse der Kunden der Auskunftei: Dieser möchte vor einem Risiko gewarnt und geschützt werden. Ob dieser Schutz durch Übermittlung richtiger, schwerwiegender Zahlungserfahrungsdaten oder durch Nichtidentifikation vonstattengeht, macht im Ergebnis keinen Unterschied.

Informationen über die wirtschaftliche Leistungsfähigkeit und das vergangene Zahlungsverhalten sind wirtschaftlich notwendig und werden aufgrund der rezenten wirtschaftlichen Entwicklungen weiter an Bedeutung gewinnen. Die derzeitige Rechtsprechung des OGH zum Widerspruchsrecht dient v.a. dem schlechtgläubigen Betroffenen, der die ihn betreffenden negativen Zahlungserfahrungen dem potentiellen Kreditgeber verheimlichen möchte.

Die einzelnen Behörden, die mit dieser Materie beschäftigt sind, erklären sich jeweils für unzuständig, wer nun für eine notwendige Reform der datenschutzrechtlichen Grundlagen zuständig wäre.³⁶ Die Judikatur zu § 28 Abs. 2 DSG 2000 als einen Erfolg des Verbraucherschutzes zu feiern, wäre u.E. zu kurz gedacht und hieße, strukturelle Regulierungsdefizite im hier besprochenen Bereich auf die Betroffenen auszulagern. In diesem Zusammenhang ist daran zu erinnern, dass die Datenschutzgesetzgebung zu Auskunfteien in den USA (Fair Credit Reporting Act 1970) die (allgemeine) Datenschutzrechtsentwicklung in Europa mitbeeinflusst hat.³⁷

Abschließend darf darauf hingewiesen werden, dass diese Situation nur Auskunfteien betrifft, die ihren Sitz in Österreich haben und dass Betroffenenrechte sich grundsätzlich nach dem Recht des Staates richten, in welchem der Auftraggeber seinen Sitz hat. Bedenkt man nun, dass die Datenübermittlung im europäischen Binnenmarkt genehmigungsfrei ist, was u.E. eine nicht zu unterschätzende Errungenschaft der geltenden DS-RL ist, liegt klar auf der Hand, dass die Fragen der Bonitätsinformation, ihrer Zulässigkeit und insbesondere der Betroffenenrechte einer europäischen, einheitlichen Regelung bedürfen.³⁸

Markus Kastelitz, Wissenschaftlicher Mitarbeiter, Leibniz Universität Hannover, Institut für Rechtsinformatik (IRI)
Königsworther Platz 1, 30167 Hannover DE, kastelitz@iri.uni-hannover.de;www.iri.uni-hannover.de

Martin Leiter, Leiter der Rechtsabteilung, Deltavista GmbH
Diefenbachgasse 35, 1150 Wien AT, m.leiter@deltavista.com;www.deltavista.com