TE Bvwg Erkenntnis 2020/11/13 W274 2214999-1

W274 2214999-1/8E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch den Richter Mag. Lughofer als Vorsitzenden sowie die fachkundigen Laienrichter Prof. KommRat POLLIRER und Dr. GOGOLA als Beisitzer über die Beschwerde der XXXX , vertreten durch BLS Rechtsanwälte Boller Langhammer Schubert GmbH, Kärntnerstraße 10, 1010 Wien, gegen den Bescheid der Datenschutzbehörde, Barichgasse 40 – 42, 1030 Wien, vom 30.11.2018, GZ DSB-D122.954/0010-DSB/2018, Mitbeteiligter XXXX , wegen Verletzung im Recht auf Löschung und Verletzung der Informationspflichten, nach öffentlicher mündlicher Verhandlung zu Recht:

Der Beschwerde wird Folge gegeben und der bekämpfte Bescheid dahingehend abgeändert, dass dessen Spruch lautet:

"Die Beschwerde vom 30.05.2018 wird abgewiesen."

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

Mit per E-Mail vom 30.05.2018 an die Datenschutzbehörde (DSB) (im Folgenden: belangte Behörde) übermittelter Beschwerde führte XXXX , nunmehr Mitbeteiligter (im Folgenden: MB), unter „Gegenstand: Löschungsrecht (§ 27 DSG 2000)“ zusammengefasst aus, er habe am 18.04.2018 den öffentlichen Datenverarbeiter XXXX (im Folgenden: Beschwerdeführerin, BF) gemäß § 1 und § 26 DSG 2000 „um Datenlöschung betreffend seinen erledigten Insolvenzverfahren Eintrag“ ersucht. Die Insolvenz sei nicht eröffnet worden, weil er sich mit dem Gläubiger außergerichtlich vereinbart habe. Trotzdem habe die BF diesen negativen Eintrag gespeichert, ohne den MB vorher zu informieren, somit habe die BF „die Auskunftspflicht des MB laut OGH-Entscheidung 6 Ob 275/05t vom 15.12.2005“ verletzt. Er habe die offene Forderung im April 2018 zur Gänze abgedeckt, weshalb das Gericht die Exekution aufgehoben habe. Das Insolvenzverfahren werde im August 2018 gelöscht. Er habe mit seiner Gattin einen Kredit aufnehmen wollen. Aufgrund des Eintrages sei dies seit drei Monaten nicht möglich. Der MB fühle sich in seinen gesetzlich garantierten Rechten verletzt. Die belangte Behörde wolle Sorge tragen, dass die BF das Löschungsrecht erfülle.

Mitübermittelt wurde durch den MB ein E-Mail an die BF vom 18.04.2018, womit der MB die „Richtigstellung unrichtiger Daten und die Löschung unzulässiger Weise verarbeiteter Daten“ beantragt, weiters ein Kontoauszug der OÖ Gebietskrankenkasse vom 08.05.2017 bis 08.05.2018, woraus sich per 08.05.2018 ein Kontosaldo von 0 ergibt, ein Schreiben der OÖ Gebietskrankenkasse vom 18.07.2017 an den MB, woraus sich eine Raten-Bewilligung hinsichtlich offener Forderungen für die Zeiträume August 2016 bis März 2017 von Euro 1.645,32 zzgl. Zinsen ergibt, wobei die erste Rate am 20.08.2017 fällig ist, sowie der Beschluss des Bezirksgerichts Linz zu XXXX vom 23.08.2017, woraus sich in der Insolvenzantragsache der Antragstellerin Oberösterreichische Gebietskrankenkasse gegen den MB ergibt, dass der Antrag auf Eröffnung des Insolvenzverfahrens über das Vermögen des MB mangels eines zur Deckung der Kosten des Insolvenzverfahrens voraussichtlich hinreichenden Vermögens abgewiesen wird.

Nach einem Mängelbehebungsauftrag vom 04.06.2018 an den MB übermittelte dieser das Schreiben der BF vom 02.05.2018, in dem zusammengefasst ausgeführt wird:

„Gerne haben wir Ihre Daten überprüft und teilen Ihnen folgendes mit:

Konsumentenkreditevidenz:

Der Hinweis auf das erledigte Insolvenzverfahren wird entsprechend der geltenden Löschfrist sieben Jahre nach Erledigung, im August 2024, automatisch gelöscht.

…

Warenkreditevidenz:

In der Warenkreditevidenz ist die Ablehnung eines Gläubigerantrags auf Insolvenzeröffnung mangels Kostendeckung per 23.08.2017 gemeldet. Entsprechend der vereinbarten Löschfristen wird dieser Antrag sieben Jahre nach Erledigung, im August 2024, automatisch gelöscht.

…

Eine vorzeitige Löschung dieser Informationen stünde im Widerspruch zu unserer Aufgabe als Gläubigerschutzverband und ist daher nicht möglich.“

Die mitübermittelte Selbstauskunft vom 2.5.2018 gemäß § 26 DSG 2000 zu den Verarbeitungen Konsumentenkreditevidenz (KKE), Warnliste (WL) und Warenkreditevidenz (WKE) enthält zur „Warenkreditevidenz“ die Eintragung:

„Eintragung 2, Melder 53955 - XXXX , Anstandscode 7872, Abweisung eines Gläubigerantrages auf Insolvenzeröffnung mangels Kostendeckung 23.08.2017 € 0,00“.

Dazu führte der MB mit Schreiben vom 06.06.2018 zusammengefasst aus, laut der Selbstauskunft stehe er nicht auf der Warnliste, sondern in der Konsumentenkredit- und Warenkreditevidenz. Es sei ihm klar, dass die offenen Kredite bis zum Abdecken drinnen stehen müssten, aber er verstehe nicht, wieso ein Insolvenzverfahren, das nicht eröffnet worden sei bzw. über das er nicht vom XXXX informiert worden sei, eingetragen werde und die Eintragung auch nur so wenig Informationen enthalte, nämlich „Darüber hinaus liegen uns Informationen über ein erledigtes Insolvenzverfahren vor“. So könne sich keine Bank einen genauen Blick über seine Situation und seine Kreditwürdigkeit machen. Er bitte, sich die Sache näher anzuschauen, da er sich in seinen gesetzlich garantierten Rechten verletzt fühle.

Die BF führte nach Aufforderung zur Stellungnahme, in der die belangte Behörde von einer behaupteten Verletzung im Recht auf Löschung ausging – anwaltlich vertreten - mit Schreiben vom 19.06.2018 aus, das Löschungsbegehren sei unberechtigt. Eine Datenschutzverletzung liege nicht vor. Die Datenverarbeitung erfolge aufgrund eines überwiegenden berechtigten Interesses im Sinne Art. 6 Abs. 1 lit. f DSGVO rechtmäßig. Die Verpflichtung der vom MB aufgesuchten Banken hinsichtlich Prüfung des Kreditrisikos ergäbe sich aus § 7 Verbraucherkreditgesetz (VKrG), § 9 Hypothekar-und Immobilienkreditgesetz (HIKrG) sowie §§ 39, 22a und 75 Bankwesengesetz (BWG). Vor diesem Hintergrund habe ein berechtigtes Interesse bestanden, die betreffenden Daten durch Aufnahme in die Konsumentenkreditevidenz zu verarbeiten. Die Grundrechte und Grundfreiheiten des MB stünden dem schon deshalb nicht entgegen, weil die insolvenz- bezogenen Daten über den MB der öffentlichen Ediktsdatei entnommen werden könnten. Für die Datenanwendung der Konsumentenkreditevidenz seien die im Bescheid der belangten Behörde zu KKE (GZ: K600.033-018/0002-DVR/2007) festgelegten Löschfristen maßgeblich. Die verarbeiten Daten seien auch richtig.

Mit Schreiben vom 26.06.2018 schilderte der MB ausführlich seine Sichtweise, wie es zum Insolvenzverfahren sowie der Abweisung des Insolvenzantrages gekommen sei. Weiters führte er aus, laut Selbstauskunft vom 11.06.2018 des XXXX sei er nach wie vor als zahlungsunfähig vorgemerkt, wobei auf Anfrage der Banken keine Zahlungsrückstände vorgemerkt seien, das Exekutionsverfahren vom Gericht aufgehoben worden sei und der Gläubiger 100 % seiner Forderung erhalten habe. Die (gemeint BF) habe ihre Auskunftspflicht gemäß § 6 Abs. 1 Z. 1 DSG verletzt.

Mit Schreiben der belangten Behörde vom 19.07.2018 wurde die BF aufgefordert, zu erläutern, woher sie die verfahrensgegenständlichen Informationen über den MB beziehe sowie ob und auf welche Weise dieser über die Verarbeitung seiner Daten durch die BF gemäß Art. 13 bzw. 14 DSGVO informiert worden sei, weiters betreffend den Eintrag in der Konsumentenkreditevidenz mitzuteilen, auf welches Insolvenzverfahren sich der Eintrag beziehe.

Mit ergänzender Stellungnahme der BF vom 02.08.2018 führte diese zusammengefasst aus, verfahrensgegenständlich sei die Information über das Insolvenzverfahren des MB zu XXXX des Bezirksgerichts Linz. Die BF beziehe die Insolvenzdaten aus der Ediktsdatei. Die BF habe den MB am 25.08.2017 mit einem Brief über die oben beschriebene Datenverarbeitung (Vornahme einer Einsichtnahme in die Ediktsdatei und Verarbeitung der dortigen insolvenzbezogenen Daten) informiert. Der konkret an den MB gerichtete Brief könne nicht vorgelegt werden. Die BF bewahre derartige Briefe bzw. Kopien nicht einzeln auf, da sie eine Vielzahl von solchen Informationsschreiben versende. Sie erfasse aber in einer Excel-Tabelle den Umstand der Versendung sowie das Versendungsdatum. Ein Auszug aus dieser werde als Beilage ./1 vorgelegt. Der Eintrag betreffend Konsumentenkreditevidenz (KKE) beziehe sich auf das erwähnte Insolvenzverfahren. Im Übrigen sei der MB nicht bei der BF als zahlungsunfähig vorgemerkt. In der KKE befinde sich lediglich ein Hinweis auf dessen Insolvenzverfahren. Ob der MB im Zeitpunkt der Insolvenzeröffnung tatsächlich zahlungsunfähig gewesen sei, sei nicht verfahrensgegenständlich. Jedenfalls sei das Schuldenregulierungsverfahren mangels Kostendeckung rechtskräftig nicht eröffnet worden.

Weiters wurde ein Musterschreiben vom 02.08.2018 vorgelegt.

Mit E-Mail und Schreiben vom 23.08.2018 führte der MB ergänzend aus, er wolle ein Haus für seine Familie kaufen, da die Wohnung zu klein sei. Aufgrund des Eintrags über die Insolvenz hätten alle Banken abgelehnt und gemeint, dass er erst in fünf Jahren nach Löschung einen Kredit beantragen könne. Die Information, dass der BF zahlungsunfähig sei, entspreche nicht der Wahrheit, weshalb diese zu löschen oder richtigzustellen sei.

Mit dem bekämpften Bescheid gab die belangte Behörde der Beschwerde statt, stellte zu Spruchpunkt I. fest, die BF habe den MB dadurch in seinem Recht auf Löschung verletzt, indem sie seinem Antrag auf Löschung seiner Einträge in der Konsumentenkredit- und Warenkreditevidenz nicht entsprochen habe und trug der BF zu Spruchpunkt II. auf, binnen zwei Wochen die in der Konsumentenkredit- und Warenkreditevidenz über den MB angeführten Einträge zu löschen und diesen von der Löschung dieser Einträge schriftlich in Kenntnis zu setzen.

Die belangte Behörde traf dabei folgende Feststellungen, wobei die Parteienbezeichnungen im Sinn des Verfahrens vor dem Bundesverwaltungsgericht adaptiert wurden und im Sinne der Zuordnung von Feststellungsteilen die Gliederungen A.), B.) und C.) hinzugefügt wurden.

A.)

"Der MB beglich die Forderung seiner Gläubigerin im April 2018 zur Gänze. Vor diesem Zeitpunkt wurde bereits ein Insolvenzantrag von der Gläubigerin gestellt, der mangels kostendeckenden Vermögens des MB am 23.08.2017 vom Bezirksgericht Linz zu AZ XXXX abgewiesen wurde.

In der Konsumentenkreditevidenz, die von der BF geführt wird, findet sich im Hinblick auf ein Insolvenzverfahren über den MB folgender Eintrag:

"Darüber hinaus liegen uns Informationen über ein erledigtes Insolvenzverfahren vor."

Dieser Eintrag bezieht sich auf das oben genannte Insolvenzverfahren.

In der Warenkreditevidenz findet sich folgender Eintrag der BF über den MB:

"Eintragung 2

Melder 53955 - XXXX

Anstandscode 7872 Abweisung eines Gläubigerantrages auf Insolvenzeröffnung mangels Kostendeckung

23.08.2017 EUR 0,00"

Es findet sich weder in der Konsumentenkreditevidenz, noch in der Warenkreditevidenz ein Eintrag, dass der MB derzeit zahlungsunfähig ist.

Der MB begehrte mit 18.04.2018 die Löschung dieser Einträge. Dem Antrag auf Löschung wurde durch die BF nicht entsprochen.

Die BF bezieht die Informationen über den MB aus der öffentlichen Ediktsdatei.

In der Ediktsdatei findet sich folgender Eintrag über den MB (Wiedergabe nicht im Format 1:1):

"BG Linz, Aktenzeichen XXXX

Konkurseröffnungsverfahren

_______________________________

Bekannt gemacht am 24. August 2017

Schuldner: XXXX

Vorname: XXXX

XXXX

XXXX

Gebdat: XXXX

Kostendeckung: Das Schuldenregulierungsverfahren wird mangels Kostendeckung nicht eröffnet. Der Schuldner ist zahlungsunfähig [...]

Beschluss von 23. August 2017

__________________________________

Bekannt gemacht am 18. September 2017

Rechtskraft: Die Nichteröffnung des Schuldenregulierungsverfahrens mangels Kostendeckung ist rechtskräftig.

Beschluss vom 15. September 2017"

B.)

Die BF informierte den MB nicht über die Verarbeitung seiner personenbezogenen Daten.

C.) Der MB erhielt jedoch sämtliche Informationen im Rahmen des gegenständlichen Verfahrens.

Die belangte Behörde folgerte daraus rechtlich zusammengefasst, es sei von der Rechtslage nach der DSGVO bzw. dem DSG auszugehen. Der MB beziehe sich gemäß Art. 17 Abs. 1 lit.a DSGVO auf den Wegfall der Zwecke, für die seine personenbezogenen Daten erhoben worden seien und andererseits auf eine unrechtmäßige Verarbeitung seiner Daten durch die BF gemäß Art. 17 Abs. 1 lit. d DSGVO. Voraussetzung dafür, dass Eintragungen auf Art. 6 Abs. 1 lit. f DSG gestützt und dem legitimen Ziel des Gläubigerschutzes dienen könnten sei, dass im Zusammenhang mit der Eintragung alle sonstigen Voraussetzungen nach der DSGVO eingehalten werden. Der OGH halte zu § 6 Abs. 1 Z. 1 DSG 2000 fest, um dem Grundsatz der Verwendung von Daten nur nach Treu und Glauben zu entsprechen sei eine Benachrichtigung des Betroffenen erforderlich, um diesem die Möglichkeit zu bieten, sich gegen die Datenverwendung zur Wehr zu setzen. Ohne eine solche Benachrichtigung erfolge die Eintragung trotz grundsätzlich berechtigter Gläubigerinteressen rechtswidrig. Wie festgestellt, sei der MB durch die BF anlässlich der Eintragung nicht nachweislich informiert worden, weshalb die Einträge rechtswidrig sein.

Überdies sei Voraussetzung für die Rechtmäßigkeit der Eintragung die Richtigkeit der eingetragenen Information. Der Eintrag in der Konsumentenkreditevidenz erweise sich insofern als mangelhaft, als er den Eindruck erwecke, es sei ein Insolvenzverfahren eröffnet und abgeschlossen worden. Dies sei aber, wie festgestellt, nicht der Fall. Der Eintrag in der Konsumentenkreditevidenz sei folglich nicht ordnungsgemäß dokumentiert, da der Wortlaut nicht den Tatsachen entspreche bzw. missverständlich wirke, andererseits auch keine Transparenz gegeben sei, weil Angaben, wann es zur Abweisung des Insolvenzverfahrens gekommen sei, fehlten. So werde der Eindruck erweckt, dass eine aktuelle Zahlungsunfähigkeit des MB vorliegen könne. Daher und weil es sich bei den Einträgen um keine rechtmäßige Verarbeitung im Sinne des Art. 6 DSGVO handle, seien diese Daten gemäß Art. 17 Abs. 1 lit. d DSGVO zu löschen. Die Beschwerde sei daher berechtigt.

Gegen diesen Bescheid richtet sich die Beschwerde der XXXX wegen Verletzung von Verfahrensvorschriften (Verletzungen des Rechts auf Parteiengehör, Nichtberücksichtigung von Beweisanboten und mangelhafte Beweiswürdigung) sowie unrichtiger rechtlicher Beurteilung mit den Anträgen, den angefochtenen Bescheid aufzuheben „und das Verwaltungsstrafverfahren einzustellen“, in eventu den Bescheid aufzuheben und die Rechtssache zur neuerlichen Erlassung eines Bescheides an die belangte Behörde zurück- zuverweisen.

Die belangte Behörde legte den Akt dem BVwG am 19.2.1019 (protokolliert in W274 am 22.2.2019) mit dem Antrag vor, die Beschwerde abzuweisen. In ihrer Stellungnahme verwies sie neuerlich auf die in der Beschwerde genannte Rechtsprechung des OGH, die auch nach neuer Rechtslage einschlägig sei. Eine nach dieser erforderliche Benachrichtigung sei nicht erfolgt. Wenn die BF meine, die belangte Behörde habe ihr nicht die Möglichkeit zur Stellungnahme hinsichtlich der Erfüllung ihrer Informationspflichten gegeben, sei exakt dies mit Aufforderung zur ergänzenden Stellungnahme vom 19.07.2018 geschehen. Daraufhin habe die BF eine ergänzende Stellungnahme am 02.08.2018 eingebracht. Überdies liege ein Widerspruch zwischen der vorgelegten Excel-Tabelle und der Stellungnahme der BF vor, da diese vorbringe, den MB am 25.08.2017 verständigt zu haben, in der Tabelle jedoch der 23.08.2017 als Datum aufscheine. Gemäß Art. 5 Abs. 2 DSGVO treffe die BF die Beweislast für die Einhaltung der DSGVO. Das bedeute nicht zwingend das Versenden von eingeschriebenen Briefen, jedoch eine transparente und ordnungsgemäße Dokumentation, der die vorgelegte Excel-Tabelle nicht entspreche. Zweifelhaft sei der angebotene Zeugenbeweis, wenn die BF vorbringe, dass der Versand von Informationsschreiben durch ein standardisiertes Prozedere erfolge. Im Übrigen stelle dies eine Neuerung dar. Die Information über die Eintragung habe vor der Eintragung selbst zu erfolgen und sei für die Rechtmäßigkeit der Eintragung konstitutiv. Der Inhalt einer derartigen Auskunft sei auch nicht deckungsgleich mit den zur Verfügung zu stellenden Informationen gemäß Art. 14 DSGVO.

Am 17.10.2019 nahm die BF zur Stellungnahme der belangten Behörde ihrerseits Stellung und beantragte erstmals eine mündliche Verhandlung. Vorgelegt werde ein nach der alten Rechtslage gebräuchliches Muster-Informationsschreiben. Das der belangten Behörde vorgelegte Beweisanbot stelle zumindest ein Indiz dafür dar, dass ein Informationsschreiben versandt worden sei. Die vom MB eingeholten Selbstauskünfte untermauerten dessen mangelnde Glaubwürdigkeit.

Am 3.7.2020 fand vor dem BVwG eine öffentliche mündliche Verhandlung statt, in der die Zeugen bzw Zeuginnen XXXX (GF der BF), XXXX , XXXX und XXXX (alle Mitarbeiter bzw Mitarbeiterinnen der BF) befragt und weitere Urkunden vorgelegt wurden. Der MB ist zu dieser Tagsatzung ohne Entschuldigung nicht erschienen.

Die belangte Behörde brachte in der Verhandlung vor, die vorgelegte Excel-Tabelle sei nicht ausreichend für eine ordnungsgemäße und transparente Dokumentation, insbesondere im Hinblick auf die Pflichten des Verantwortlichen nach der DSGVO, konkret (berichtigt iSd Ersuchens vom 23 7.2020) Art. 24 Abs. 1 sowie 5 Abs. 2 DSGVO. Aus dieser Tabelle ergäbe sich weder der Umstand, dass eine Verständigung erfolgt sei, dass es eine Verständigung nach Art. 14 DSGVO gewesen sei, noch, dass es sich um eine Dokumentation im Zusammenhang mit den Dokumentationspflichten nach der DSGVO handle. Die mangelhafte Dokumentation ergäbe sich insbesondere aus den unterschiedlichen Angaben in den Stellungnahmen. So werde in der Stellungnahme vom 02.08.2018 ausgeführt, der BF sei am 25.08. (gemeint 2017) informiert worden. Gleichzeitig werde angeführt, dass das Datum in der Excel-Tabelle den Umstand der Versendung und das Versendungsdatum zeige. In der Stellungnahme vor dem BVwG am 17.10.2019 werde vorgebracht, dass am 23.08.2019 der Eintrag in die Excel-Tabelle das Datum der Veröffentlichung in der Ediktsdatei sei, die Informationen an den BF aber erst am 28.08.2017 erfolgt seien. Der Verantwortliche müsse sich anlasten, dass er insofern den Dokumentationspflichten nicht ausreichend nachgekommen sei. Sofern sich die BF in der Stellungahme vom 17.10.2019 auf Art. 14 Abs. 3 a DSGVO beziehe, sei nicht lit a, sondern c einschlägig, wonach Informationen spätestens zum Zeitpunkt der ersten Offenlegung versandt werden müssten. Aus den zwei Aussagen habe sich ergeben, dass mit Aufnahme der Daten in das System der BF die Daten auch abrufbar seien. Laut Stellungnahme sei die Aufnahme im System der BF am 25.08.2017 erfolgt. Selbst laut Vorbringen der BF seien Informationen erst am 28.08.2017 erfolgt. Sollte der BF informiert worden sein, dann jedenfalls nicht rechtzeitig. Dies entspreche auch den zitierten OGH-Entscheidungen.

Die BF replizierte, im Zuge der Recherche seien die allfälligen Widersprüche betreffend die Daten richtiggestellt bzw. nachvollziehbar gemacht und durch Urkunden belegt worden. Hinsichtlich Art 14 irre die belangte Behörde, weil die Daten nicht direkt beim BF sondern in der Ediktsdatei erhoben worden seien. Es sei nicht Ziel der DSGVO, überschießende Dokumentationspflichten zu schaffen. Es handle sich um eine öffentlich zugängliche Information aus der Ediktsdatei.

Die Beschwerde ist im Ergebnis berechtigt:

Folgender Sachverhalt steht aufgrund des Akteninhaltes im Zusammenhalt mit den Ergebnissen der mündlichen Verhandlung fest:

1.) Der bereits von der belangten Behörde oben unter Punkt A.) und C.) wiedergegebene Sachverhalt (siehe oben).

2.) Folgender ergänzender darüber hinaus durch das Bundesverwaltungsgericht festgestellter Sachverhalt:

Nicht festgestellt werden konnte, dass die BF den MB vor Aufnahme der festgestellten Informationen betreffend das Insolvenzverfahren des MB in ihre Datenbanken, Konsumentenkreditevidenz und Warenkreditevidenz, über die geplante Aufnahme informierte.

Offenbar aufgrund zeitnaher jeweils kurz davor erfolgter Anfrage des MB übermittelte die BF dem MB am 21.11.2017 sowie am 09.02.2018 Auskünfte, jene vom 21.11.2017 bezeichnet als "Selbstauskunft laut § 26 Datenschutzgesetz", jene vom 09.02.2018 bezeichnet als "Ihre Auskunft aus der XXXX - Privatinformation".

Diese Auskünfte enthalten, soweit relevant, folgende Informationen:

Auskunft vom 21.11.2017:

"Sehr geehrter Herr XXXX , gerne informieren wir Sie über die zu Ihrer Person gespeicherten Daten. Diese Selbstauskunft beinhaltet Informationen aus den folgenden XXXX

"KKE Konsumentenkreditevidenz,

WL Warnliste,

WKE Warenkreditevidenz"

Sodann erfolgen mehrere Informationen zu den genannten Datenbanken, insbesondere zu den Löschfristen.

Weiters wird ausgeführt:

"Konsumentenkreditevidenz:

Datum der Abfrage 21.11.2017

abgefragte Person

Familienname: XXXX

Vorname: XXXX

geboren: XXXX

Adresse: XXXX

gespeicherte Personendaten

KKE Nr. 8960958

Familienname: XXXX Vorname: XXXX

geboren: XXXX

Adresse: XXXX

frühere Adresse XXXX

Darüber hinaus liegen uns Informationen über ein erledigtes Insolvenzverfahren vor."

Sodann folgen Kreditdaten

Es folgt:

"Warnliste

Datum der Abfrage 21.11.2017

Es liegen keine Eintragungen vor.

Warenkreditevidenz:

Datum der Abfrage 21.11.2017

Eintragung 1

Melder 7149912 - XXXX ...

Eintragung 2

Melder 701093 - Wiener Städtische Versicherung AG Vienna Insurance Group …"

Der hier wesentliche Inhalt der Auskunft vom 09.02.2018 lautet:

"Sehr geehrter Herr XXXX , vielen Dank für Ihr Schreiben. Gerne haben wir Ihre Daten überprüft und teilen Ihnen Folgendes mit:

Konsumentenkreditevidenz

Seitens der Banken wurden uns in der Konsumentenkreditevidenz gemeldeten Daten als korrekt bestätigt. Bitte wenden Sie sich bei diesbezüglichen Fragen direkt an die jeweilige Bank. Obligo - Anfragen und Ablehnungen zu Kreditanfragen werden nach sechs Monaten automatisch gelöscht.

Warnliste

In der Warnliste gibt es zu Ihrer Person keine Einträge.

Warenkreditevidenz

Der Eintrag bezüglich des abgewiesen Konkursantrages wird nach sieben Jahren, im August 2024 automatisch gelöscht.

Der Eintrag der Firma XXXX wird fünf Jahre nach Rückzahlung, Ende Juli 2019 automatisch gelöscht.

Bezüglich des Eintrags der Wiener Städtischen Versicherung AG besteht eine Zahlungsvereinbarung.

Eine vorzeitige Löschung dieser Informationen stünde im Widerspruch zu unserer Aufgabe als Gläubigerschutzverband und ist daher nicht möglich.".

Nach allgemeinen Informationen folgen sodann Datenauskünfte, die jener vom 21.11.2017 (siehe oben) entsprechen. Allerdings enthalten die Auskünfte zur Warenkreditevidenz eine weitere Eintragung, bezeichnet als Eintragung 2, wobei die Eintragung 2 der Auskunft vom 21.11.2017 nunmehr als Eintragung 3 enthalten ist:

Eintragung 2:

Melder 53955 - XXXX

Anstandscode 7872 Abweisung eines Gläubigerantrags auf Insolvenzeröffnung mangels Kostendeckung

23.08.2017 EUR 0,00".

Beweiswürdigung:

Die bereits von der belangten Behörde zu A.) getroffenen Feststellungen sind im Beschwerdeverfahren unstrittig und werden - unter Verweis auf die von der belangten Behörde diesbezüglich vorgenommene Beweiswürdigung - auch dem nunmehrigen Erkenntnis zu Grunde gelegt.

Die Feststellungen betreffend die Beauskunftungen des MB durch die BF vom 21.11.2017 und 09.02.2018 beruhen auf den mit der Beschwerde vorgelegten Beilagen, dort bezeichnet als Beilagenkonvolut ./2. Eine Gleichschrift der Beschwerde wurde dem MB am 23.03.2020 übermittelt. Weder der Inhalt noch der Erhalt dieser Benachrichtigungen wurden durch den MB bestritten.

Anstatt der von der belangten Behörde zu B.) getroffenen Feststellung betreffend Information des MB erfolgte nun die obige (Negativ-) Feststellung, der die Frage zu Grunde liegt, ob die BF den MB vor Aufnahme der zugrundeliegenden Informationen in ihre Datenbanken darüber informierte. Die diesbezügliche Klärung war Gegenstand der mündlichen Verhandlung vor Gericht.

Die Negativfeststellung gründet auf folgenden Überlegungen:

Der MB brachte bereits im Rahmen seiner Datenschutzbeschwerde vom 29.05.2018 vor, er beantrage "Datenlöschung von seinem erledigten Insolvenzverfahren Eintrag", da laut Gericht die Insolvenz nicht eröffnet worden sei, weil er sich mit den Gläubigern außergerichtlich vereinbart habe. Trotzdem habe die BF diesen negativen Eintrag in seine Akten gespeichert, ohne ihn vorher zu informieren. Dabei verwies der MB bereits auf das Judikat 6 Ob 275/05t vom 15.12.2005, das die belangte Behörde in ihrer rechtlichen Begründung der Stattgebung der Beschwerde heranzog.

Die BF nahm zur Behauptung der mangelnden Verständigung in ihrer ersten Stellungnahme vom 19.06.2018 nicht Stellung, sondern erstmals nach Aufforderung durch die belangte Behörde, "zur Verletzung der Informationspflicht" Stellung zu nehmen, mit ergänzender Stellungnahme vom 02.08.2018. Die BF führte dazu aus, sie habe den MB am 25.08.2017 mit einem Brief über die gegenständliche Datenverarbeitung (Ediktsdatei) informiert. Der konkret an den MB gerichtete Brief könne nicht vorgelegt werden. Die BF bewahre derartige Briefe bzw. Kopien davon nicht einzeln auf, da sie eine Vielzahl solcher Informationsschreiben versende. Sie erfasse aber in einer Excel-Tabelle den Umstand der Versendung sowie das Versendungsdatum.

Diesbezüglich legte die BF als dort genannte Beilage ./1 ein A4 Blatt mit dreizeiliger Tabelle vor, die die Spalten „Geburtsdatum, Anrede, Name, Vorname, Datum, Code, Text, PLZ, Ort, Straße und Funktion“ aufweist. In diesem Spalten finden sich die Angaben:

„ XXXX ; H; XXXX ; Radu; 23082017; 7872; Abweisung KO; XXXX “

Weiters wurde ein nicht an einen bestimmten Empfänger gerichtetes (Muster-) Schreiben vom 02.08.2018 offenbar mit einem Standardtext mit folgender Textpassage vorgelegt:

"Wir vermerken mit heutigem Datum folgende Informationen in den im Verarbeitungsverzeichnis eingetragenen relevanten Datenbanken: Name, Geburtsdatum, Funktion, Meldung.“

Sodann folgt der Text:

"Die von der XXXX und vom XXXX gemäß § 152 Gewerbeordnung im Rahmen ihrer Tätigkeit als befugte Kreditauskunfteien verarbeiteten bonitätsrelevanten Informationen werden ausschließlich Kunden mit berechtigtem Interesse (Art. 6 DSGVO) zur Verfügung gestellt.“

Auf der Rückseite findet sich ein Informationsblatt über die Dateien Konsumentenkreditevidenz, Warenkreditevidenz, Wirtschaftsdatenbank sowie Löschfristen für Insolvenzeintragungen.

In der Beschwerde führte die BF unter 4. 1. i) aus, bei Datenverarbeitungen wie der gegenständlichen würden immer automatisch Informationsschreiben an Betroffene versandt. Dieses Informationssystem sei bei der BF fest etabliert und funktioniere lückenlos.

Unter Punkt 4. 3. i) führte die BF aus, der MB habe beiläufig und durch Wiedergabe von wohl im Internet aufgefunden Stehsätzen ausgeführt, es solle eine Verletzung des Auskunftsrechts vorliegen. Diesen Ausführungen könne keine besondere Glaubwürdigkeit innewohnen. Die belangte Behörde verweise lapidar auf die glaubwürdige Aussage des MB. Gegen dessen Glaubwürdigkeit spreche, dass dieser bereits zum Beschwerdezeitpunkt über die verfahrensgegenständliche Datenverarbeitung durch die Selbstauskünfte vom 21.11.2017 und 09.02.2018 informiert gewesen sei. Der MB habe weder nach Erhalt der Auskunft im November 2017 noch nach jener im Februar 2018 eine Löschung verlangt oder Widerspruch erhoben. Er habe die Datenverarbeitung akzeptiert. Der Excel-Auszug Beilage ./1 zeige, dass ein Informationsschreiben an den MB versandt worden sei. Aus dem Musterschreiben ergäbe sich der Inhalt der Information.

Aufgrund der diesbezüglichen Beweisanträge wurden - nach Vorlage weiterer Urkunden, nämlich der "vollständigen Excel-Liste" (Beilage ./4) sowie einer Versandliste (Beilage ./5) die Zeugen XXXX (Geschäftsführer der BF), XXXX (leitender Mitarbeiter der BF), XXXX (Teamleiterin für Privatinformation der BF) sowie XXXX (Kundenbetreuerin bei der BF) befragt:

Die BF räumte sowohl im Vorbringen als auch im Rahmen der Befragung durch ihre Mitarbeiter ein, die konkreten Mitteilungsschreiben an die Betroffenen (aufgrund der Menge) nicht in Papier oder elektronisch in Evidenz zu nehmen, derartige Informationen auch nicht eingeschrieben oder rekommandiert, sondern in normaler Briefform zu versenden. Insoferne ging der GF der BF selbst nicht davon aus, dass die Information an den MB dokumentiert sei, er verwies auf eine „Plausibilitätskette“ der vorgelegten Beilagen (Niederschrift S 3).

Diese Plausibilität liegt nach dem Beweisverfahren nicht vor:

Das Prozedere sei, der Insolvenzeintrag komme ins (EDV-) System (der BF), dann in eine Liste, werde über Excel-Listen in Word ausgedruckt und an die Post versandt (Zeuge XXXX ). Aus den Angaben der Zeugen XXXX und XXXX geht hervor, eine Evidenz der Versendung von Mitteilungen solle sich aus dem Zusammenspiel der Beilagen ./4 und ./5 wie folgt ergeben: Beilage ./4 umfasse die an einem Tag bzw. in einer Periode angefallenen Mitteilungen. Die Zahl korreliere mit der Gesamtzahl der Briefsendungen des Outsourcingspartners Post, der die Versendung besorge. Aus der Beilage ./4 ergäbe sich eine Gesamtzahl von 46 derartigen Mitteilungen, die sich auf der Tabelle Beilage ./5 in der Spalte 28.08. (2017) wiederfinde.

Obzwar während des der BF bereits seit spätestens Juni 2018 bekannten Verfahrens bis zur Verhandlung im Juli 2020 (wohl nach internen Erhebungen) behauptet wurde, „die BF habe den MB am 25.8.2017 mit einem Brief informiert“ (Stellungnahme 2.8.2018), gab der GF der BF, der Zeuge XXXX vor Gericht an, am 23.8.2017 sei der Beschluss vom Gericht gefasst worden, am 25.8. habe er Eingang ins System der BF gefunden und am nächsten Werktag, am 28.8., sei er über die Excel-Liste in den Seriendruck geschickt worden und dann in den Postversand gegangen (NS S 3).

Über Frage, woraus ersichtlich sei, dass die aus der Tabelle Beilage ./4 ersichtlichen Daten (21. bis 25.08.2017) sich auf die Versendung zum 28.08. bezögen, gab der Zeuge XXXX an, am 25.08. seien die Auswertungen gemacht worden. Diese erfolgten lediglich in bestimmten Abständen. Alle auf Beilage ./4 ersichtlichen Schreiben seien am 25.08. "gesammelt" generiert worden.

Eine Dokumentation dieses behaupteten Umstandes findet sich allerdings weder auf der Beilage ./4 noch auf einem sonstigen von der BF vorgelegten Dokument.

Die Zeugin XXXX führte aus, als Teamleiterin mit jenen Aufgaben befasst gewesen zu sein, die auch zur Information des MB geführt hätten, habe dies aber nicht selbst, sondern durch eine Mitarbeiterin ausführen lassen. Sie gab im Gegensatz zum Zeugen XXXX aber an, dieser Prozess werde täglich durchgeführt (NS S 8). Die Zeugin konnte selbst als leitende dafür verantwortliche Mitarbeiterin keine Erklärung dafür geben, weshalb die Konkursöffnungsdaten, ersichtlich aus Beilage ./4, mit den Versendungsdaten entsprechend Beilage ./5 nicht korrelieren.

Die Zeugin XXXX gab an, als Kundenbetreuerin für die Bearbeitung von Kundenreklamationen zuständig zu sein, konnte aber die Frage nicht beantworten, ob der Vorgang einer Informationsversendung an den Betroffenen vollelektronisch oder unter Eingriff menschlicher Handlungen erfolgt.

Schon nach einem objektiven Verständnis der Ausführungen in der Stellungnahme, der MB sei am 25.8.2017 mit einem Brief informiert worden, ist darunter zu verstehen, dass der Brief an diesem Tag erstellt und wohl auch versandt wurde. Der „Eingang der Information aus der Ediktsdatei in das System“, die nach der Aussage des Zeugen XXXX am 25.8. erfolgt sein soll, ist dem keineswegs gleichzuhalten. Weder aus der Tabelle ./4 ergeben sich ausdrückliche Informationen, was zu den dort ausgeworfenen Daten passiert sein soll - der Beschluß des Insolvenzgerichts am 23. 8.2018 spricht dafür, dass es sich bei den sich aus der Spalte „Datum“ ergebenden Eintragungen um das jeweilige Datum des Gerichtsbeschlusses handelt - noch aus der Versandliste ./5, noch ergibt sich aus der Versandliste Beilage ./5 ein konkreter Zusammenhang mit Beilage ./4. Es mag zwar sein, dass Beilage ./4 46 Spalten enthält. Dass sich aus der Beilage ./5 die Summe von 46 Stück Brief S ergibt, ist aber kein Nachweis dafür, dass sich darunter ein informationsschreiben an den MB befand.

Insgesamt wurde im Zusammenhalt der von der BF im Rahmen der Stellungnahmen erfolgten Darstellungen betreffend Information an den Betroffenen, der von ihr vorgelegten Unterlagen sowie der Zeugenaussagen keineswegs nachvollziehbar dargetan, dass sich aus der Beilage ./4 im Zusammenhalt mit Beilage ./5 eine Dokumentation darüber ergäbe, dass die BF den MB auf Basis einer ihr am 23.08.2017 bekannt gewordenen Insolvenzeröffnung zeitnah brieflich darüber informierte, die diesbezüglichen Informationen über das Insolvenzverfahren in ihre Systeme Konsumentenkreditevidenz und Warenkreditevidenz aufzunehmen bzw aufgenommen zu haben. Weshalb eine Dokumentation der vom GF der BF, dem Zeugen XXXX , behaupteten Vorgänge (Eingang der Daten aus der Ediktsdatei in das System, auf Basis dessen Seriendruck des Informationsschreibens sowie damit verknüpft Übergabe zum Postversand) für die BF „überschießend“ sein sollte, wurde nicht deutlich. Betreffend die behauptete Vorabinformation des MB hatte daher eine Negativfeststellung zu erfolgen.

Rechtlich folgt:

Auch wenn der MB in seiner Beschwerde die „Verletzung der Auskunftspflicht“ rügt, so handelt es sich um ein Verfahren wegen behaupteter Verletzung des MB im Recht auf Löschung. Der MB bezog sich betreffend Verletzung der „Auskunfts-/Informationspflicht auf jene Rechtsprechung des OGH, die die belangte Behörde in ihrer Stattgebung der Beschwerde heranzog, jene zur Wirkung einer Verletzung der Informationspflicht im Zusammenhang mit bonitätsrelevanten Datenverarbeitungen.

Zu den von der belangten Behörde als einschlägig erachteten Judikaten 6 Ob 275/05t und 6 Ob 247/08d:

Die belangte Behörde erachtete Eintragungen wie die hier gegenständliche im Sinne Art. 6 Absatz 1 lit. f DSGVO zwar allgemein als zulässig, so die sonstigen Voraussetzungen der DSGVO eingehalten würden. Unter Rückgriff auf die Rechtsprechung des OGH vom 15.12.2005 6 Ob 275/05t und vom 17.12.2008 zu 6 Ob 247/08d ging sie aber davon aus, dass eine entsprechende Benachrichtigung des Betroffenen erforderlich sei, um diesem die Möglichkeit zu bieten, sich gegen die Datenanwendung zur Wehr zu setzen. Ausgehend von ihren Feststellungen führte die belangte Behörde aus, der MB sei durch die BF anlässlich der Eintragung aber nicht nachweislich informiert worden, sodass aufgrund dessen die Einträge rechtswidrig seien.

Die BF führte zahlreiche Beschwerdepunkte gegen die Stattgabe der Beschwerde des MB ins Treffen.

Insoweit diese auf die Verletzung von Verfahrensvorschriften gerichtet sind, wird auf den Umstand der vom Verwaltungsgericht durchgeführten mündlichen Verhandlung verwiesen.

Rechtlich führte die BF insbesondere ins Treffen, dass die Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO nicht so weitgehend sei, wie von der belangten Behörde angenommen und eine Verhältnismäßigkeitsabwägung vorzunehmen sei. Die konkrete Datenverarbeitung sei im Übrigen über die Ediktsdatei öffentlich zugänglich und mit keinem nennenswerten Risiko für den MB verbunden.

Tatsächlich beschäftigte sich der Oberste Gerichtshof unter Schadenersatzgesichtspunkten zu 6 Ob 275/05t sehr ausführlich mit der Frage der Voraussetzungen, unter denen eine behauptete mangelnde Kreditwürdigkeit einem großen Personenkreis bekannt gegeben werden dürfe. Der OGH führte dazu insbesondere aus:

Die sogenannte Warnliste der österreichischen Kreditinstitute zum Zweck des Gläubigerschutzes und der Risikominimierung durch Hinweis auf vertragswidriges Kundenverhalten diene dem Gläubigerschutz. Als Informationsverbundsystem unterliege sie der (nach damaliger Rechtslage) Vorabkontrolle durch die Datenschutzkommission. Im Rahmen dieser Vorabkontrolle habe die Datenschutzkommission Auflagen erteilt. Danach müsse vor der Eintragung eines Schuldners oder dessen Bürgen in die Warnliste der Auftraggeber (die Bank) den betreffenden Kunden und seinen Bürgen im Fälligstellungsschreiben oder im Kontoaufkündigungsschreiben ausdrücklich darauf hinweisen, dass er in die Warnliste eingetragen werde, sollte innerhalb der gesetzlichen Zahlungsfrist keine vollständige Zahlung erfolgen oder keine andere Vereinbarung getroffen werden. In der Bescheidbegründung habe die Datenschutzkommission ausgeführt, der Grundsatz der Datenverwendung nach Treu und Glauben erfordere eine Benachrichtigung des Betroffenen, wenn sein Vertragspartner (die Bank) mangelnde Kreditwürdigkeit behaupte und diese Behauptung einem sehr großen Personenkreis, nämlich allen Teilnehmern an der Datenanwendung, übermittle, die potentiell künftige Vertragspartner des Betroffenen seien. Durch die Aufnahme in die Warnliste würden die späteren Möglichkeiten des Betroffenen, in ein Vertragsverhältnis zu einem Geldinstitut zu treten, wesentlich betroffen. Seine wirtschaftliche Dispositionsmöglichkeit sei stark eingeschränkt. Angesichts dieser Tragweite einer Eintragung müsse der Betroffene über die beabsichtigte Aufnahme in jedem Fall besonders informiert werden und es müsse ihm außerdem Gelegenheit gegeben werden, sich gegen das Aufstellen und die Verbreitung einer so nachteiligen Behauptung umgehend zur Wehr zu setzen, wenn diese Behauptung seiner Meinung nach nicht richtig sei.

Der Senat schließt sich dieser Auffassung an, der im (damaligen) § 6 Absatz 1 Z. 1 DSG verankerte Grundsatz, wonach Daten nur nach Treu und Glauben verwendet werden dürften, erfordere eine entsprechende Benachrichtigung des Betroffenen, um ihm die Möglichkeit zu geben, sich gegen eine seiner Meinung nach nicht gerechtfertigte, seine Kreditwürdigkeit aber massiv beeinträchtigende Datenverwendung, zur Wehr zu setzen. Die Ankündigung der Bank, für den Fall nicht fristgerechter Zahlung eine Eintragung in die Warnliste zu veranlassen, sei nicht nur ein Druckmittel des Gläubigers, sondern es solle dem Schuldner zugleich ermöglichen, alle Konsequenzen einer Nichtzahlung abzuwägen. Die (wenn auch tatsachen- richtige) Eintragung in die Warnliste trage zwar dem berechtigten Interesse des Gläubigerschutzes Rechnung, greife aber zugleich in schutzwürdige Interessen des Schuldners in unverhältnismäßiger Weise ein, wenn die Eintragung ohne entsprechende Benachrichtigung des Betroffenen erfolge. In einem solchen Fall sei die gegen den Grundsatz von Treu und Glauben verstoßende Eintragung in die Warnliste durch ein überwiegendes Gläubigerschutzinteresse nicht mehr gerechtfertigt und somit rechtswidrig.

Diese Rechtsprechung wurde durch den OGH auch in dem von der belangten Behörde zitierten Judikat 6 Ob 247/08d und nunmehr zu 6 Ob 217/19h fortgeschrieben.

Auf Basis der getroffenen Feststellungen ist aber der vom OGH für die dort genannten Fälle geforderte Grundsatz der Zulässigkeit von Eintragungen nur nach vorhergehender Information des Betroffenen für den hier zu behandelnden Fall, der sich nicht auf die Warnliste der Kreditinstitute bezieht, nicht anzuwenden:

Fallbezogen geht es um eine aus einer öffentlich für jedermann zugänglichen Datenbank, der Ediktsdatei der Justiz, hervorgehende Eintragung betreffend ein vergangenes Insolvenzverfahren des MB in die Datenbanken Konsumentenkreditevidenz und Warenkreditevidenz. Die diesbezüglichen Informationen wurden nach den Feststellungen einmal in authentischer Form und einmal in freier Zusammenfassung durch die BF in ihre Dateien aufgenommen.

Zur Frage, ob die frei zusammenfassende Form hier zulässig war, siehe weiter unten.

Sowohl für die damals zuständige Datenschutzkommission als auch für den OGH war bei Begründung der von ihnen angenommenen (Vorab-) Informationspflicht wesentlich, dass sich der Betroffene nur bei deren Einhaltung gegen für ihn nachteilige Behauptungen zur Wehr setzen könne. Diese Perspektive gilt aber nicht für einen von einer Eintragung in die Ediktsdatei Betroffenen, weil einerseits davon auszugehen ist, dass ihm die diesbezüglichen Umstände bereits aus dem ihn betreffenden Verfahren (hier Insolvenzverfahren) bekannt sind, andererseits ihm aus diesem Verfahren Rechtsschutzmöglichkeiten erwuchsen und die sich aus diesem Verfahren ergebenden Dokumentationen abseits der Erhebung des Rechtsmittels des Rekurses – dies ist hier offenbar nicht erfolgt - letztlich nicht mehr bekämpfbar sind. Der OGH legte besonderes Augenmerk auf die Dispositionsmöglichkeit des von einer Eintragung in die Warnliste Betroffenen im Hinblick auf weitere Nichtzahlungen. Hier geht es um eine Eintragung über ein in der Vergangenheit liegendes Insolvenzverfahren. Diesbezüglich stand dem MB keine Dispositionsmöglichkeit mehr offen, die Einfluss auf diese Eintragung haben könnte. All jene Umstände, die der OGH sowie die Datenschutzkommission zur Begründung ihrer Vorabinformationspflicht anführten, treffen für den MB dieses Verfahrens nicht zu. Durch eine Vorabinformation einer Eintragung der ohnehin aus der Ediktsdatei öffentlich zugänglichen Daten in eine weitere Datenbank der BF wären dem MB keinerlei Handlungsmöglichkeiten eröffnet worden, die eine Bekämpfung dieser Eintragung in der Sache ermöglichen könnten. Der Beschluß, mit dem das Schuldenregulierungsverfahren mangels kostendeckenden Vermögens nicht eröffnet wurde, mußte dem MB vom Insolvenzgericht her bekannt gewesen sein. Somit stand dem MB aus anderer Quelle jene Information zu, die ihm zur Erhebung eines Rekurses als - im Falle eines Erfolges – einziger Möglichkeit, eine Löschung der Eintragung in die Ediktsdatei zu erwirken (§ 71b Abs 3 IO – näheres dazu siehe unten), offenstand.

Da sich die belangte Behörde allein auf die entsprechende Rechtsprechung des OGH stützte, es sich bei einer Vorabinformationspflicht nach dieser keineswegs um eine Ordnungsvorschrift handelt, sondern um eine Schutzklausel in Fällen, in denen den Betroffenen Handlungsmöglichkeiten offenstehen, diese hier gegenständlich aber nicht bestehen, sieht das angerufene Verwaltungsgericht im Umstand, dass eine Vorabinformation des MB durch die BF über die Eintragungen betreffend Insolvenz nicht festgestellt werden konnte, keine Datenschutzverletzung, die die gegenständlichen Eintragungen unrechtmäßig erscheinen ließe und zu einer diesbezüglichen Löschungsverpflichtung führen würde.

Zur Anwendbarkeit der DSGVO in diesem Verfahren:

Die belangte Behörde ging von einer – generellen – Anwendbarkeit der DSGVO und des DSG aus, weil die Löschung von Daten grundsätzlich bis zum Verfahrensabschluß erfolgen könne. Maßgeblich sei daher die Rechtslage zum Entscheidungszeitpunkt, außer „es handle sich um die Beurteilung eines Verhaltens zu einem bestimmten Zeitpunkt.“

Art 14 DSGVO regelt die Informationspflicht, wenn die Daten nicht bei der betroffenen Person erhoben werden, darunter auch die Pflicht zur Erteilung bestimmter Informationen binnen eines Monats (Art 14 Abs 3).

Die Frage, ob die Nichterteilung der Informationen die Rechtmäßigkeit der Datenverarbeitung per se infrage stellen könnte, sohin die Informationserteilung als „zulässigkeitsbegründend“ gilt, wird überwiegend dahin beantwortet, dass sich die Rechtmäßigkeit nach den Art 5ff bestimmt und die Erteilung oder Nichterteilung der Information, da strafbewehrt, keinen Einfluß auf die grundsätzliche Rechtmäßigkeit der Verarbeitung hat (Illibauer in Knyrim, Datkomm Art 14 DSGVO, Rz 4, Stand 1.10.2018, rdb.at).

Dieser Sicht ist nicht entgegenzutreten, wobei hier die Frage der Informationspflicht im Jahr 2017 gegenständlich ist, also vor Inkrafttreten der DSGVO. Im Hinblick auf die dargestellte mangelnde Relevanz des Art 14 DSGVO für die Rechtmäßigkeitsfrage selbst erübrigt sich ein näheres Eingehen auf Geltungsfrage der DSGVO auf diesen Sachverhalt im Jahr 2017.

Offenbar der oben dargestellten Ansicht zur fallgegenständlichen Relevanz von Art 14 DSGVO folgend, beschränkte sich die belangte Behörde darauf, die Rechtmäßigkeit der Datenverarbeitung nach Art 5 im Zusammenhalt mit der dargestellten Rechtsprechung des OGH zu prüfen und zu verneinen. Diese Ansicht ist, wie oben dargestellt, fallgegenständlich aber verfehlt.

Zum Inhalt der Eintragung in die Konsumentenkreditevidenz:

Die belangte Behörde sah den Eintrag in die Konsumentenkreditevidenz auch insofern als mangelhaft, als diese den Eindruck erwecke, es sei ein Insolvenzverfahren eröffnet und abgeschlossen worden. Der diesbezügliche Eintrag sei nicht ordnungsgemäß dokumentiert, da der Wortlaut nicht den Tatsachen entspreche bzw mißverständlich wirke, andererseits auch keine Transparenz gegeben sei, weil etwa Angaben, wann es zur Abweisung des Insolvenzverfahrens gekommen sei, fehlten. So könne der Eindruck erweckt werden, es könne eine aktuelle Zahlungsfähigkeit des Schuldners vorliegen.

Zu beurteilen ist unter dem Aspekt der Transparenz und Datenrichtigkeit die Feststellung, "Darüber hinaus liegen uns Informationen über ein erledigtes Insolvenzverfahren vor".

In der DSGVO wird der in Art 5 Abs 1 lit a) genannte Grundsatz der Transparenz durch die Art 13 und 14 zur Informationspflicht sowie Art 12 konkretisiert. Für die Betroffenen muß erkennbar sein, dass personenbezogene Daten verarbeitet werden, für welche Zwecke, durch wen und an wen sie übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte (Hötzendorfer Tschohl Kastelitz in Knyrim, Datkomm Art 5 DSGVO, Rz 18, Stand 1.10.2018, rdb.at).

Inwieweit durch eine freie Formulierung der sich aus der Ediktsdatei ergebenden Information in der Konsumentenkreditevidenz durch die BF die Geltendmachung der Betroffenenrechte erschwert werden soll, ist nicht erkennbar. Anhaltspunkte für eine Verletzung des Transparenzgebotes sind in diesem Zusammenhang nicht erkennbar.

Der sich aus Art 5 Abs 1 lit d DSGVO ergebende Grundsatz der Datenrichtigkeit verpflichtet den Verantwortlichen Sorge zu tragen, dass die Daten sachlich richtig und auf dem neuesten Stand sind. Sachlich richtig sind Daten, wenn die in den Daten manifesten Informationen der Realität entsprechen. Unrichtig können im Hinblick auf die Verarbeitungszwecke auch unvollständige Daten sein, insbesondere wenn im Rahmen des Verarbeitungszweckes eine Entscheidung in Bezug auf den Betroffenen auf der Grundlage der vorhandenen Daten signifikant anders ausfallen würde, als unter Einbeziehung der fehlenden Informationen (wie oben, Rz 43 bis 45).
Gemäß § 71 Abs 1 IO ist weitere Voraussetzung für die Eröffnung des Insolvenzverfahrens (neben Zahlungsunfähigkeit und entsprechenden Anträgen) das Vorhandensein kostendeckenden Vermögens.

Ein solches liegt nach Abs 2 vor, wenn das Vermögen des Schuldners zumindest ausreicht, um die Anlaufkosten des Insolvenzverfahrens zu decken.

Wird das Insolvenzverfahren mangels kostendeckenden Vermögens nicht eröffnet, so hat der Spruch des Beschlusses gemäß § 71 b Abs 1 IO einen Hinweis darauf und auf die Zahlungsunfähigkeit des Schuldners zu enthalten. Der Beschluss und der Eintritt der Rechtskraft dieses Beschlusses sind öffentlich bekannt zu machen.

Gemäß Abs 3 ist die Eintragung in der Insolvenzdatei zu löschen, wenn auf Grund eines Rekurses der Beschluß, mit dem das Insolvenzverfahren mangels kostendeckenden Vermögens nicht eröffnet wurde, dahin abgeändert wird, dass der Antrag auf Eröffnung eines Insolvenzverfahrens abgewiesen wird.

Wie sich aus der Ediktsdatei ergibt, wurde der Spruch des Beschlusses vom 23.8.2017, wonach das Schuldenregulierungsverfahren mangels Kostendeckung nicht eröffnet werde und der Schuldner zahlungsunfähig sei, am 24.8.2017 in der Ediktsdatei bekannt gemacht und die Rechtskraft dieses Beschlusses mit Beschluß vom 15.9.2017 am 18.9.2017 bekannt gemacht.

Für Zwecke der Konsumentenkreditevidenz nahm die BF lediglich die frei textierte Information, „darüber hinaus lägen ihr Informationen über ein erledigtes Insolvenzverfahren vor", in diese Datenbank auf.

Zunächst ist ein Eintrag in eine Datei entgegen der Ansicht der belangten Behörde nicht schon per se deshalb unrichtig, weil er nicht dem Wortlaut (von übernommenen Daten) entspricht. Es ist auch nicht erkennbar, inwieweit der freie Text eher als der Originaltext darauf schließen ließe, dass eine aktuelle Zahlungsunfähigkeit des MB vorliege, weil ja gerade von einem „erledigten“ Insolvenzverfahren die Rede ist.

Auch die Besorgnis der belangten Behörde, es werde durch den freien Text der Eindruck erweckt, es sei ein Insolvenzverfahren eröffnet und abgeschlossen worden, ist nicht zu teilen:

Die Konsumentenkreditevidenz enthält bonitätsrelevante Informationen für Banken für Zwecke der Kreditvergabe. Der relevante Kern dieser Information für die Verarbeitungszwecke ist die zu einem Zeitpunkt gegebene Zahlungsunfähigkeit. Diese ist konstitutive Voraussetzung für Insolvenzverfahren für Privatpersonen (Schuldenregulierungsverfahren). Die Nichteröffnung eines Insolvenzverfahrens mangels kostendeckenden Vermögens ist lediglich eine Ausnahme im Falle der Erfüllung der sonstigen Voraussetzungen eines Insolvenzverfahrens und setzt über die Zahlungsunfähigkeit hinaus noch voraus, dass das Vermögen des Schuldners nicht ausreicht, um die Anlaufkosten des Insolvenzverfahrens zu decken. Dies bedeutet graduell eine noch schlechtere Bonität als die eines einem durchgeführten Insolvenzverfahren unterworfenen Schuldners. Der gewählte Terminus "erledigtes Insolvenzverfahren" schließt jedenfalls nicht nur inhaltlich durchgeführte, sondern auch mangels Kostendeckung abgewiesene Insolvenzverfahren ein.

Es ist daher nicht erkennbar, inwieweit die gewählte Formulierung dem MB im Verhältnis zu einer Aufnahme des Originaltextes zum Nachteil gereichen könnte, ebensowenig ist eine Unvollständigkeit im Hinblick auf die Verarbeitungszwecke erkennbar, die eine Entscheidung in Bezug auf den Betroffenen auf der Grundlage der vorhandenen Daten signifikant anders ausfallen lassen würde, als unter Einbeziehung der fehlenden Informationen.

Der MB behauptete zwar in seiner Beschwerde, das Gericht habe die Insolvenz nicht eröffnet, weil er sich mit den Gläubigern außergerichtlich vereinbart habe. Tatsächlich kommt es aber auf den festgestellten Wortlaut der Eintragung in die Ediktsdatei an, die hier von der BF dem Wortlaut nach in die Warenkreditevidenz und sinngemäß in die Konsumentenkreditevidenz übernommen wurde. Nach diesem ist mangelndes kostendeckendes Vermögen der Grund für die Nichteröffnung.

Insgesamt teilt das Verwaltungsgericht daher nicht die Ansicht der belangten Behörde, dass die gegenständliche Verarbeitung unrechtmäßig wäre, sodass auch nicht von einer Löschungsverpflichtung auszugehen ist.

Der angefochtene Bescheid war daher im Sinne einer Abweisung der Datenschutzbeschwerde abzuändern.

Der Ausspruch über die Zulässigkeit der Revision folgt dem Umstand, dass auf Basis der aktuellen Rechtslage keine Rechtsprechung des Verwaltungsgerichtshofs ersichtlich ist, die sich mit dem Erfordernis vorheriger Benachrichtigungen von Betroffenen im Falle von sich aus öffentlich zugänglichen Datenbanken ergebenden bonitätsrelevanten Auskünften beschäftigt.