Jusletter IT

Auskunfteien geben potentiellen Kreditgebern vor allem Informationen darüber,

• ob eine Person oder ein Unternehmen, die sich ihm gegenüber als Kunde gerieren, überhaupt existieren und
  
  
• ob der (zukünftige) Kreditnehmer imstande sein wird, die Verpflichtungen, die er einzugehen im Begriff ist, auch erfüllen wird können.
  

Der Nationalrat hat in einem Entschließungsantrag¹ eine detailliertere Regelung der Tätigkeiten von Auskunfteien für notwendig erachtet und das zuständige Ministerium aufgefordert, einen entsprechenden Entwurf vorzulegen. Zumal der EA von einer «verhältnismäßigen» Regelung spricht, ist selbstverständlich die bereits derzeitige, auf Basis von bestehenden Bewilligungen und Registrierungen von Auskunfteien ausgeübte Tätigkeit Grundlage der Diskussion.

§ 152 GewO 1994 beschreibt lediglich die Grenzen der Berechtigung dessen, was Auskunfteien über Kreditverhältnisse zu tun berechtigt sind: ausdrücklich ausgenommen ist die Erteilung von Auskünften über «private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen».

Die Datenschutzkommission² sieht in dieser Norm nicht nur die rechtliche Befugnis zur Datenspeicherung im Sinne des § 7 Abs. 1 DSG 2000. Daneben hält sich auch fest, dass es – da diese gewerbliche Tätigkeit ohne Datenspeicherung nicht sinnvoll vorstellbar wäre – auch grundsätzlich die Möglichkeit geben muss, dass sowohl bei der Ermittlung von Daten durch die Auskunftei als auch bei der Auslieferung von Daten an die Auskunfteikunden grundsätzlich Interessen gegeben sein können, die dem Geheimhaltungsunteresse des Betroffenen überwiegen.

Die Datenschutzkommission hat in den Jahresberichten 2007 und 2009³ eine detaillierte gesetzliche Regelung gefordert.

In einigen Entscheidungen⁴ hat der OGH von Kreditauskunfteien betriebene Datenanwendungen als «öffentlich zugänglich» im Sinne der § 28 Abs 2 DSG 2000 betrachtet. Damit wurde dem Betroffenen ein Recht eingeräumt, die über ihn gespeicherten Daten aus einer Datenbank einer Auskunftei löschen zu lassen, dies unabhängig von der Richtigkeit, der Rechtmäßigkeit der Erhebung und Verarbeitung, und auch der rechtlichen Qualifikation der Datenbank selbst.

Einige dieser Entscheidungen haben die Datenbanken betroffen, mittels derer Banken untereinander Daten über die Kreditsituation und das Zahlungsverhalten ihrer Kunden austauschen. Diese Datenbanken sind von der Datenschutzkommission als Informationsverbundsysteme genehmigt worden⁵ . Dass diese Situation weithin als unbefriedigend empfunden worden ist, überrascht nicht⁶ .

Um die Ministerialkompetenz zur Regelung dieser Materie zu klären, hat der Datenschutzrat mit Anfrage⁷ vom 21. Januar 2010 um Stellungnahme ersucht.

Der Verfassungsdienst des Bundeskanzleramtes hat in seiner Stellungnahme vom 9. April 2010⁸ festgestellt, dass für spezifische Regelungen betreffend das Gewerbe der Kreditauskunfteien das Bundesministerium für Wirtschaft, Familie und Jugend zuständig wäre, dagegen für die Festlegung von Qualitätsstandards für die Verarbeitung materienspezifischer bonitätsrelevanter Informationen durch Informationsverbundsysteme, die der Beurteilung der Bonität von Kunden und potentiellen Kunden dienen, sowie über Kreditscoring das Bundesministerium für Finanzen⁹ .

Mit der Umsetzung der Verbraucherkredit-Richtlinie ins nationale Recht hat der Gesetzgeber gleichzeitig das «Problem» der OGH-Judikatur zu § 28 Abs 2 DSG 2000 (siehe dazu oben unter 3.1. ) gelöst, indem ausdrücklich § 28 Abs 2 DSG 2000 für die Datenbanken der Banken für nicht anwendbar erklärt wird¹⁰ . Leider erfolgte die Beschlussfassung äußerst kurzfristig¹¹ , sodass es nicht möglich war, eine Erweiterung dieser Ausnahme auf alle Bonitätsinformationen zu diskutieren.

Aus dem Blickwinkel der Auskunfteien und ihrer Kunden (zumindest soweit es sich dabei nicht um Banken handelt) ergibt sich nun die unerfreuliche Situation, dass Betroffene weiterhin aus den Datenbanken ohne Angabe von Gründen von ihrem Löschungsrecht Gebrauch machen können. Banken müssen dagegen nicht befürchten, dass die «eigenen» Datenanwendungen von Löschungsbegehren betroffen sind. Etwas salopp könnte man also von einer «Zweiklassengesellschaft der Kreditgeber» sprechen.

Bemerkenswert ist die Aussage des Gesetzgebers in den EB zum VKrG, dass die Pflicht des Kreditgebers zur Bonitätsprüfung erforderlichenfalls unter Einbeziehung einer Datenbankabfrage nicht bedeute, dass diese Datenbanken auch bestehen dürfen¹² .

Zugleich mit dem Ersuchen an den Wirtschaftminister, bis 31. Dezember 2010«eine Novelle der Gewerbeordnung zur Beschlussfassung vorzulegen, in welcher eine detaillierte und verhältnismäßige Regelung der Datenverarbeitung und Datenverwendung durch Kreditauskunfteien enthalten ist» , hält der Nationalrat fest, welche Punkte diese Regelung zu umfassen habe:

• Taxative Aufzählung jener Datenarten, die verarbeitet werden dürfen
  
  
• Auf die begründete Bestreitung einer Forderung ist in Dateien und Auskünfte hinzuweisen, diesbezügliche noch nicht rechtskräftige Entscheidungen sind über Wunsch des Betroffenen anzumerken; erweist sich die Bestreitung als gerechtfertigt, ist die Forderung aus der Datei umgehend zu löschen
  
  
• Ausschluss der Verwendung jeder Art von sensiblen Daten
  
  
• Taxative Aufzählung der Quellen, aus denen die Daten ermittelt werden dürfen
  
  
• Verpflichtung zur Überprüfung des Datenbestandes und Aktualisierung sowie zur unverzüglichen Anmerkung von Tilgungsvereinbarungen oder einer Zahlung mit schuldbefreiender Wirkung in angemessenen Zeitabständen, zumindest jedoch ein Mal jährlich
  
  
• Löschungsvorschriften von Daten samt Löschungsfristen
  
  
• Regelmäßige stichprobenartige Überprüfung des überwiegend berechtigten
  Interesses des Abfragenden sowie eine Protokollierungsverpflichtung
  
  
• Gewährleistung der vollständigen Erfüllung der Auskunftsverpflichtung nach dem DSG 2000, insbesondere auch hinsichtlich der Herkunft der Daten
  
  
• Möglichkeit zur Entziehung der Gewerbeberechtigung bei mehrmaligem Verstoß gegen die Bestimmungen der GewO und des DSG 2000 sowie
  
  
• Sanktionen vorzusehen, die bei Verstößen gegen Bestimmungen im Zusammenhang mit der Verwendung von personenbezogenen Daten Anwendung finden und die geeignet sind, solche Verstöße in Hinkunft hintanzuhalten.
  

Nicht konsensfähig waren und damit nicht beschlossen worden sind folgende Inhalte, die in einer ursprünglichen Fassung des EA noch vorhanden waren:

• Bagatellgrenze: danach hätten nur Daten über Forderungen von mehr als 200 € gespeichert werden dürfen
  
  
• Verbandsklagebefugnis bei Verstößen gegen die Bestimmungen zur Verwendung von personenbezogenen Daten
  

Eine Bagatellgrenze, d.h. das Verbot, aushaftende Forderungen unter einer bestimmten Höhe zu speichern, selbst wenn alle datenschutzrechtlichen Bedingungen eingehalten werden, käme einer Legalisierung des Bestellbetruges gleich und würde den Versandhandel ins Mark treffen, da eine deutliche Mehrzahl aller Bestellungen unter dieser Grenze liegt. Chronische Nichtzahler im Versandhandel hätten also nicht mehr zu befürchten, von einer Auskunftei als solche gespeichert zu werden.

Dieses von Konsumentenschutzorganisationen wiederholt geforderte Instrument ist generell dafür ausgelegt, Vorgangsweisen hintanzuhalten, die die «allgemeinen Interessen der Verbraucher beeinträchtigt»¹³ . Demgegenüber handelt es sich aber beim Recht auf Datenschutz um ein höchstpersönliches Recht, was bedeutet, dass ein «allgemeines Recht des Verbrauchers» auf Datenschutz nicht geben kann. Daher ist das Instrument der Verbandsklage zur Durchsetzung von Datenschutzinteressen ungeeignet.

Die Wirtschaftskammer Österreich (Fachverband Finanzdienstleister) hat als Reaktion auf den Entschließungsantrag eine Stellungnahme abgegeben¹⁴ . Einerseits wird festgehalten, dass bereits ein Gesetzesentwurf der WKO¹⁵ zu § 152 GewO 1994 besteht, andererseits wird Punkt für Punkt zu den Forderungen des EA Stellung genommen.

Das BMWFJ hat im Anschluss an diesen EA zu Gesprächen eingeladen, um einen – wie vom EA geforderten – ausgewogenen Entwurf erarbeiten zu können. Neben den Vertretern der Konsumentenschützer und der Wirtschaft hat hier insbesondere auch das BKA Expertise in Datenschutzfragen eingebracht.

In der Diskussion haben sich einige Punkte als besonders umstritten erwiesen. Auf einige dieser kritischen Punkte soll nun in der Folge näher eingegangen werden.

Einigkeit bestand zwischen den Verhandlungsparteien, dass für die Speicherung von Informationen zu Unternehmen einerseits und Privatpersonen anderseits unterschiedliche Regelungen gelten sollen. Zwar gelten die europäischen Datenschutzvorschriften nur für natürliche Personen, andererseits sind in Österreich grundsätzlich auch Personengemeinschaften und juristische Personen vom Grundrecht umfasst. Dennoch ist klar, dass sich ein Unternehmer, der Produkte und Dienstleistungen auf einem Markt anbietet und auch bestimmten Offenlegungsvorschriften unterliegt, weitergehende Eingriff in seine Geheimhaltungssphären zulassen muss, als dies einer «Privatperson» zumutbar ist.

Die Abgrenzung des «Unternehmens» zur Person ist schwierig. Das österreichische Recht kennt den Begriff des «Verbrauchers» und verwendet diesen zur Abgrenzung gegen den «Unternehmer»¹⁶ . Dieser Verbraucherbegriff ist allerdings nur dann verwendbar, wenn er im Rahmen eines konkreten Geschäftsabschlusses verwendet wird. Auskunfteien dagegen speichern Daten «auf Vorrat» (siehe dazu oben), daher ist es im Zeitpunkt der konkreten Speicherung nicht ersichtlich, zur Prüfung welchen zukünftigen Geschäftsfalles die Informationen einmal verwendet werden. Daneben kann sich diese «Eigenschaft» im Laufe der Zeit ändern und kann eine Person¹⁷ einmal als Verbraucher und einmal als Unternehmer auftreten¹⁸ .

Dem Geschäftsmodell der Auskunftei ist immanent, dass personenbezogene Daten gespeichert werden, um auf Anfrage eines Kunden umgehend Auskunft über Existenz und Bonität der angefragten Person geben zu können. Das BKA hat nun eine solche Datenspeicherung «auf Vorrat» als generell bedenklich bezeichnet¹⁹ , dies unbeachtlich der Tatsache, dass Identifikationsdaten sowohl von natürlichen als auch von juristischen Personen in verschiedenen öffentlichen Registern enthalten sind. Auch das Argument der Wirtschaft, die Datenanwendungen der Auskunfteien seien im Wege der Vorabkontrolle entsprechend registriert worden und lasse eine Registrierung doch zumindest den Schluss zu, dass das Geschäftsmodell per se nicht kritisch sei, blieb ungehört.

Ebenfalls Daten «auf Vorrat» speichern Adressverlage und Direktmarketingunternehmen nach § 151 GewO 1994. Um dem Wunsch von Personen, in deren Datenanwendungen nicht gespeichert zu sein, Rechnung zu tragen, wurde in Entsprechung der europäischen Vorgaben²⁰ ein «opting-out-Modell» eingeführt: § 151 Abs 9 GewO 1994 verpflichtet den Fachverband Werbung der Wirtschaftskammer Österreich eine Liste von Personen zu führen, die«die die Zustellung von Werbematerial für sich ausschließen wollen.» Von Seiten der Wirtschaftskammer (Fachverband Finanzdienstleister) wurde nun ein ähnliches Modell vorgeschlagen: Personen, die nicht im Datenbestand von Auskunfteien aufscheinen wollen, hätten damit die Möglichkeit, eine solche Datenverwendung auszuschließen²¹ , dies freilich um den Preis, dass die Auskunftei die Person bei einer entsprechenden Kundenanfrage nicht identifizieren kann – einige Auskunfteien informieren ihre Kunden darüber, dass«Kreditgeschäfte mit Personen, deren Bonität nicht überprüft werden kann, riskant und daher tunlichst zu unterlassen sind.»²²

Leider ist dieser Vorschlag auf Seiten der Konsumentenschützer nicht in Betracht gezogen worden.

Besonders kritisiert wurde von Seiten der Konsumentenschützer, dass Auskunfteien als mögliche Informationsquelle die (Identifikations-)Daten der Adressverlage zur Verfügung stehen sollten. Neben dem bereits zur Vorratsdatenspeicherung gesagten darf darauf hingewiesen werden, dass die aktuelle Rechtslage²³ nur die Verwendung einer Person durch Marketinganalyseverfahren zugeschrieben Eigenschaften außerhalb des Marketingkontextes untersagt. Das bedeutet aber wiederuma contrario , dass die Verwendung der anderen Datenarten, die ein Adressverlag speichern kann²⁴ , für über den Marketingzweck hinaus gehenden Zweck und damit einer Verwendung durch Auskunfteien jedenfalls grundsätzlich möglich ist.

Auskunfteien bieten ihren Kunden als Dienstleister ebenfalls die Errechnung von Scorewerten an, die insbesondere die Wahrscheinlichkeit dafür angeben, ob die angefragten Person oder das angefragte Unternehmen eine Verbindlichkeit zu erfüllen imstande ist. Hinsichtlich der Errechnung dieser Werte wird die Auskunftei auch datenschutzrechtlich als Dienstleister tätig²⁵ .

Unbeachtlich der Tatsache, dass der Verfassungsdienst die Vorschlagskompetenz für die Regelung von Kreditscoring dem Finanzministerium zuspricht (siehe dazu oben unter Punkt 3.2)²⁶ , scheitert eine Regelung in den für Auskunfteien einschlägigen Normen der GewO schon allein dadurch, dass das Scoring ja nicht den Auskunfteien vorbehalten ist und damit Scoring-Anbieter, die keine Auskunfteien sind, an diese Regeln nicht gebunden wären.

Im Lichte des oben Gesagten wurden Regelungen über Kreditscoring daher aus dem aktuellen Vorhaben ausgeklammert und darüber keine weiteren Verhandlungen geführt.

Diese Darstellung stellt den Stand der Diskussion Mitte Jänner 2011 dar. Zu diesem Zeitpunkt ist nicht klar, welchen weiteren Weg dieses Vorhaben einschlagen wird, ja ob ihm überhaupt eine Zukunft beschieden ist.

Ungeachtet dessen ist die Schaffung einer gesetzlichen Grundlage der Tätigkeit von Auskunfteien jedenfalls vonnöten. Wenn hier eine ausgewogene und damit gleichermaßen den Interessen der Wirtschaft und ihrer Kunden Rechnung tragende Lösung gefunden werden soll, so liegt es an den Interessenvertretungen, hier konstruktiv zusammenzuarbeiten und einen Kompromiss zu finden, um einer für sich betrachtet kleinen Branche, deren Tätigkeit für die gesamte Wirtschaft von derartig großer Bedeutung ist, eine vernünftige Grundlage bieten zu können.

---

Martin Leiter, Leiter der Rechtsabteilung, Deltavista GmbH, Diefenbachgasse 35, 1150 Wien AT,m.leiter@deltavista.com ,http://www.deltavista.com

---