TE Bvwg Erkenntnis 2021/5/18 W214 2235062-1

W214 2235062-1/9E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des XXXX , vertreten durch XXXX Rechtsanwälte, gegen den Bescheid der Datenschutzbehörde vom 27.07.2020, Zl. D124.2561 2020-0.465.855, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Der Beschwerdeführer wandte sich durch seine Rechtsvertretung mit Schreiben vom 11.05.2020 an die XXXX (ursprüngliche Beschwerdegegnerin vor der Datenschutzbehörde; mitbeteiligte Partei vor dem Bundesverwaltungsgericht) und forderte diese zur Löschung der Eintragungen betreffend den Beschwerdeführer in ihrem System auf. Die Daten seien nicht aktuell und die Forderungen vollständig beglichen worden. Der Beschwerdeführer erziele ein überdurchschnittliches Einkommen und würden keine Liquiditätsprobleme bestehen. Die Eintragungen würden aus den Jahren 2016 und 2017 stammen und das wirtschaftliche Fortkommen des Beschwerdeführers beschweren. Aufgrund der gespeicherten Daten sei keine ausreichende und aktuelle Beurteilung der Bonität/Kreditwürdigkeit des Beschwerdeführers möglich. Die eingemeldeten Daten seien sohin zur Ausübung des Auskunftsgewerbes gemäß § 152 GewO nicht geeignet und daher zu löschen.

2. Mit Antwortschreiben vom 20.05.2020 hielt die mitbeteiligte Partei fest, dass die in der Datenbank vorhandenen Daten auf Basis berechtigter Interessen Dritter, nämlich der Kunden der kreditgebenden Wirtschaft iSd Art. 6 Abs. 1 lit. f DSGVO, verarbeitet würden. Bezüglich der zum Beschwerdeführer gespeicherten Zahlungserfahrungen bestehe das berechtigte Interesse im Schutz vor einem möglicherweise drohenden künftigen Zahlungsausfall. Die zum Beschwerdeführer vorliegenden Zahlungserfahrungen würden, auch wenn diese bereits beglichen („positiv erledigt“) seien, bonitätsrelevante Informationen darstellen. Der Umstand, dass eine Forderung erst nach qualifizierter Mahnung bzw. Betreibung durch Inkassoinstitute oder Rechtsanwälte beglichen werde, bedeute einen zumindest temporären Zahlungsausfall und resultiere damit in einem Kreditierungsrisiko bezüglich künftiger Rechtsgeschäfte. Um ein sachlich richtiges und vollständiges Bild der zu einer Person gespeicherten, bonitätsrelevanten Daten zu vermitteln und damit dem Grundsatz der Datenrichtigkeit nach Art. 5 Abs. 1 lit. d DSGVO Genüge zu tun, sei es daher rechtens und auch wichtig, dass auch bereits bezahlte Forderungen in der Datenbank verbleiben würden.

3. Der Beschwerdeführer richtete daraufhin am 26.05.2020 eine Beschwerde an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) und machte eine Verletzung im Recht auf Löschung geltend. Dazu wurde zusammengefasst vorgebracht, dass die mitbeteiligte Partei mit Schreiben vom 11.05.2020 aufgefordert worden sei, die gespeicherten Daten gemäß Art. 17 DSGVO zu löschen, die mitbeteiligte Partei habe in ihrem Antwortschreiben vom 20.05.2020 eine Löschung bestritten. Hintergrund der Aufforderung zur Löschung sei der Umstand gewesen, dass ein Kreditantrag des Beschwerdeführers in diesem Jahr von seiner Hausbank nicht genehmigt worden sei, da in der Bonitätsauskunftsliste der mitbeteiligten Partei vier Einträge angeführt gewesen seien. Die Einträge über den Beschwerdeführer würden aus den Jahren 2016 und 2017 stammen, seien also drei bzw. vier Jahre alt. Es werde beantragt, die belangte Behörde möge der Beschwerde stattgeben und feststellen, dass die mitbeteiligte Partei den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt habe, indem sie seinem Antrag auf Löschung nicht entsprochen habe sowie der mitbeteiligten Partei auftragen, dem Antrag des Beschwerdeführers auf Löschung zu entsprechen und den Beschwerdeführer in weiterer Folge über die Löschung in Kenntnis zu setzen.

Der Datenschutzbeschwerde angeschlossen wurde das Schreiben des Beschwerdeführers an die mitbeteiligte Partei vom 11.05.2020 sowie das Antwortschreiben der mitbeteiligten Partei vom 20.05.2020.

4. Über Aufforderung der belangten Behörde erstattete die mitbeteiligte Partei am 07.07.2020 eine Stellungnahme und brachte vor, dass sie Informationen, die in Zusammenhang mit der Kreditwürdigkeit (Bonität) stehen würden, im Rahmen ihrer Gewerbeberechtigungen nach § 152 Gewerbeordnung 1994 (GewO) verarbeite. Informationen über (negative) Zahlungserfahrungen erhalte die mitbeteiligte Partei dann, wenn ein Zahlungsverzug vorliege, die ersten beiden Mahnungen durch den Gläubiger erfolglos gewesen seien, auch die dritte Mahnung durch ein Inkassobüro erfolglos geblieben sei und daher ein fortbestehender qualifizierter Zahlungsverzug vorliege. Die mitbeteiligte Partei speichere personenbezogene Daten nur, so lange ein legitimer Zweck für Ihre Verarbeitung bestehe. Solange die Daten für die Beurteilung der Identität oder Bonität von Belang (und damit für den Betrieb einer Kreditauskunftei relevant) seien, bestehe der Verarbeitungszweck fort. Umstände wie Alter und Höhe der Forderungen, die Anzahl der Zahlungserfahrungen und die Zeit, die seit Begleichung einer Forderung verstrichen sei, würden bei der Beurteilung herangezogen, ob sich aus einer Zahlungserfahrung weiterhin eine bonitätsrelevante Aussage ableiten lasse. Sobald dies nicht mehr der Fall sei, lösche die mitbeteiligte Partei einen betreffenden Eintrag aus eigenem. Auch bereits beglichene („positiv erledigte“) Forderungen würden bonitätsrelevante Daten darstellen; Die Wahrscheinlichkeit künftiger Zahlungsausfälle sei statistisch signifikant erhöht, sobald es in der Vergangenheit zu einem oder mehreren Zahlungsausfällen gekommen sei. Der Umstand, dass die Zahlungserfahrung positiv erledigt sei, vermindere jedoch deren negative Auswirkung auf die Bonitätsbewertung – eine offen aushaftende Forderung wirke sich also in größerem Ausmaß negativ auf die Bonitätsbeurteilung aus, als eine bereits beglichene.

Zu den konkret gespeicherten Zahlungserfahrungsdaten sei auszuführen, dass die mitbeteiligte Partei zum Beschwerdeführer fünf Zahlungserfahrungen verarbeite. Die aushaftende Forderung über EUR 75,-, welche am 11.05.2020 eröffnet worden sei, sei erst nach dem Löschbegehren des Beschwerdeführers in die Identitäts- und Bonitätsdatenbank der mitbeteiligten Partei aufgenommen worden, womit diese nicht verfahrensgegenständlich sei. Die vom Löschbegehren des Beschwerdeführers umfassten Zahlungserfahrungen seien in den Jahren 2016 eröffnet und zwischen 2016 und 2017 positiv erledigt (bezahlt) worden. Die Forderungen gegen den Beschwerdeführer hätten dabei jeweils mehrere Monate bis über ein Jahr unberichtigt ausgehaftet. Die Richtigkeit dieser Forderungen sei vom Beschwerdeführer nicht bestritten worden. Die Verarbeitung der verfahrensgegenständlichen Zahlungserfahrungsdaten sei für die Erfordernisse der Auskunftei über Kreditverhältnisse unverzichtbar. Diese von der mitbeteiligten Partei zum Beschwerdeführer verarbeiteten Zahlungserfahrungsdaten seien bonitätsrelevant und für den Zweck, für den sie erhoben worden seien, weiterhin notwendig. Diese Forderungen hätten in dieser Form somit in der Datenbank der mitbeteiligten Partei zu verbleiben.

Art. 5 Abs. 1 lit. d DSGVO erkenne die Datenrichtigkeit als einen elementaren Grundsatz des Datenschutzes an. Datenrichtigkeit könne jedoch nur vorliegen, wenn sämtliche richtige verfügbare Daten, die für die Bonitätsbeurteilung relevant seien, verarbeitet würden. Würde die mitbeteiligte Partei dem Ansuchen des Beschwerdeführers vollumfänglich nachkommen, und die verfahrensgegenständlichen Forderungen löschen, hätte dies ein verzerrtes und unrichtiges Bild über die Bonität des Beschwerdeführers zur Folge: Kunden der mitbeteiligten Partei würden im Rahmen von Datenbankabfragen aus der Datenbank der mitbeteiligten Partei die Information erhalten, dass zum Beschwerdeführer keine Zahlungserfahrungsdaten gespeichert seien – der Beschwerdeführer würde daher dieselbe Bonitätsbeurteilung erhalten, wie eine Person, die ihre Schulden stets fristgerecht beglichen habe. Dadurch würde im wirtschaftlichen Verkehr mit Unternehmen, die gegenüber dem Beschwerdeführer in Vorleistung treten würden, der Eindruck einer besseren Bonität entstehen. Dieser Umstand entspreche jedoch nicht den Tatsachen. Mehrere Forderungen seien vom Beschwerdeführer erst nach mehrmaliger Mahnung und Betreibung durch Inkassoinstitute beglichen worden. Den hinter diesen Forderungen stehenden Gläubigern sei dadurch - zumindest temporär - ein finanzieller Schaden entstanden. Durch dieses säumige Zahlungsverhalten seien die Gläubiger des Beschwerdeführers weiters gezwungen gewesen, aufwendige Betreibungsmaßnahmen zu setzen. Würde die mitbeteiligte Partei diesen Umstand bei der Darstellung der Bonität des Beschwerdeführers verschweigen, bestehe in letzter Konsequenz die Gefahr, dass den in Vorleistung tretenden Unternehmen, die mit dem Beschwerdeführer kontrahieren und auf den Eindruck eines reibungslosen Zahlungsverhaltens des Beschwerdeführers vertrauen würden, ebenfalls ein enormer Schaden aus potentiell eintretenden Zahlungsausfällen zugefügt werde oder sie zumindest einem aufwendigen Betreibungsprozess ausgesetzt würden. Deren Interessen würden dadurch unzumutbar beeinträchtigt werden.

Das Interesse von potentiell in Vorleistung tretenden Vertragspartnern des Beschwerdeführers an Informationen über dessen säumiges Zahlungsverhalten in der jüngeren Vergangenheit, um damit eine informierte Entscheidung über Art und Umfang einer zukünftigen Geschäftsverbindung mit dem Beschwerdeführer treffen zu können, überwiege somit jedenfalls das Geheimhaltungsinteresse des Beschwerdeführers bezüglich der gegenständlichen Zahlungserfahrungsdaten. Zu berücksichtigen seien dabei insbesondere die kurze Zeit, die seit der Beendigung der gegenständlichen Inkassofälle verstrichen sei, die Kumulation von mehreren Inkassofällen, und die lange Dauer der unberichtigten Aushaftung. Auch der Umstand, dass inzwischen eine weitere noch aushaftende Forderung hinzugekommen sei, sei dabei zu berücksichtigen. Weiters könne auch schon aus der gesetzlich angeordneten Überprüfung der Zahlungsfähigkeit vor einem Kreditgeschäft (§ 7 Abs. 1 VKrG und § 9 Abs 1 HIKrG) auf ein die Interessen des Beschwerdeführers überwiegendes berechtigtes Interesse der mitbeteiligten Partei bzw. Dritter geschlossen werden. Die durch eine unrichtige Bonitätsbeurteilung (bei Löschung der gegenständlichen Forderungen) drohenden finanziellen Schäden der Kunden der mitbeteiligten Partei würden in diesem Zusammenhang jedenfalls zwingende schutzwürdige Gründe für die weitere Verarbeitung der gegenständlichen Forderungen darstellen.

Weiters seien bei der Beurteilung, wie lange Bonitätsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet seien, Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen heranzuziehen, die dem Gläubigerschutz dienen oder die die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen würden.

Solche Bestimmungen würden sich in der Verordnung (EU) Nr. 575/2013 des europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 ("Kapitaladäquanzverordnung") finden, in der Kreditinstitute u.a. verpflichtet würden, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Für Kredit- bzw. Retailforderungen gegenüber natürlichen Personen hätten Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürften (Art. 143 Abs. 1 leg cit), gemäß Art. 151 Abs. 6 iVm 180 Abs 2 lit. a und e leg. cit. die Ausfallswahrscheinlichkeit der Forderung (Probability of Default - PD) u.a. anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen; dabei sei ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein könne, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall (Loss Given Default - LGD), habe sich gemäß Art. 151 Abs. 7 iVm Art. 181 Abs. 2 lit c leg. cit. grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen. Der europäische Verordnungsgeber gehe daher davon aus, dass für die Beurteilung der Bonität eines (potentiellen) Schuldners bzw. des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant seien. Da selbst die älteste verfahrensgegenständliche Forderung erst vor etwas mehr als vier Jahren beglichen worden sei, seien sämtliche Zahlungserfahrungen für die Beurteilung der Bonität des Beschwerdeführers jedenfalls weiterhin notwendig. Die Nachteile, welche sich aus der Verarbeitung der gegenständlichen Zahlungserfahrungen für den Beschwerdeführer ergeben würden, seien weiters als gering einzuschätzen, da lediglich Vertragspartnern der mitbeteiligten Partei Einsicht in das tatsächliche Zahlungsverhalten des Beschwerdeführers gewährt werde, welche ein berechtigtes Interesse an diesen Daten hätten. Zusammenfassend seien die Zahlungserfahrungsdaten, die von der mitbeteiligten Partei weiterhin verarbeitet würden, für die Zwecke, für die sie erhoben bzw. verarbeitet worden seien demnach weiterhin notwendig. Eine Löschung dieser Forderungen werde daher erst erfolgen, wenn sie für die Beurteilung der Bonität des Beschwerdeführers irrelevant geworden seien und daher kein Verarbeitungszweck mehr bestehe.

Der Stellungnahme angeschlossen wurden Schreiben der mitbeteiligten Partei vom 05.05.2020 und 06.07.2020, mit welchen dem Beschwerdeführer Auskunft über seine, bei der mitbeteiligten Partei gespeicherten, personenbezogenen Daten gemäß Art. 15 DSGVO erteilt wurde.

5. Der Beschwerdeführer erstattete am 10.07.2020 eine Replik zur Stellungnahme der mitbeteiligten Partei und führte aus, dass die Argumentationslinie der mitbeteiligten Partei hinsichtlich einer Löschung der Willkür entspreche, da es vollständig der mitbeteiligten Partei obliegen würde, wann welcher Datensatz gelöscht werde. Die nach wie vor bestehenden Einträge könnten zur Bonitätsbeurteilung nicht herangezogen werden, da für die Zahlungsfähigkeit des Beschwerdeführers einzig und allein das monatliche Einkommen und Verbindlichkeiten heranzuziehen seien. Da die gegenständlichen Eintragungen bereits vollständig erledigte Verbindlichkeiten betreffen würden, sei aufgrund der Erledigung der Verbindlichkeit der Zweck ihrer Verarbeitung seitens der mitbeteiligten Partei weggefallen. Zudem seien seit Begleichung der Forderungen bereits über drei Jahre verstrichen und seien sowohl die einzelnen eingetragenen Forderungen (EUR 21,00, EUR 67,45, EUR 149,50, EUR 149,50) als auch die Gesamtsumme aller eingetragenen Forderung gering. Der Rechtsansicht der mitbeteiligten Partei, dass durch derart veraltete Eintragungen eine Beurteilung der Bonität möglich wäre, sei entgegen zu halten, dass es zB auch bei einer Rechnungsbestreitung durch einen Multi-Milliardär zu einer negativen Eintragung kommen würde, sich jedoch daraus keine bonitätsrelevanten Aussagen ableiten lassen würden. Ebenfalls sei der mitbeteiligten Partei entgegen zu halten, dass nicht sämtliche Forderungen von Personen in die Datenbank der mitbeteiligten Partei eingetragen würden, sodass eine Bonität keinesfalls abschließend beurteilt werden könne und die Kunden der mitbeteiligten Partei noch zusätzlich angehalten seien, weitere Informationen und Bescheinigungen von den Kunden einzuholen. Fraglich sei weiters, wie die mitbeteiligte Partei die Anmeldungen hinsichtlich eines qualifizierten Zahlungsverzugs überprüfe bzw. wann unter welchen Bedingungen Eintragungen tatsächlich von der mitbeteiligten Partei eigenständig gelöscht würden. Für die Beurteilung der Bonität könnten jedoch nur tatsächlich offene und betriebene Forderungen von Relevanz sein, da sich die Bonität eines Schuldners schlagartig durch einen Erbfall, Abbezahlung eines Kredites, Gehaltserhöhung, etc. verbessern bzw. Arbeitsverlust etc. verschlechtern könne. Durch diese bereits beglichenen, aber noch nicht gelöschten Eintragungen sei der Beschwerdeführer – durch eine schlechte Bonitätsbewertung – in seinem wirtschaftlichen Fortkommen beeinträchtigt, da von der Hausbank ein Kreditantrag nicht genehmigt worden sei und die Hausbank einzig und allein darauf abstelle, ob Eintragungen bestehen würden oder nicht. Inhaltlich setze sie sich mit den Eintragungen nicht auseinander. Zusammengefasst sei festzuhalten, dass aufgrund der Höhe, des Alters und Anzahl der Forderung sowie der langen Zeit seit vollständiger Begleichung dieser Forderungen, der Zweck der Verarbeitung weggefallen sei, sodass dem Beschwerdeführer ein Recht auf Löschung gem. Art.17 Abs. 1 lit. a. DSGVO zustehe.

7. Mit dem angefochtenen Bescheid der belangten Behörde vom 27.07.2020 wurde die Beschwerde des Beschwerdeführers wegen Verletzung im Recht auf Löschung als unbegründet abgewiesen.

Die belangte Behörde führte (nach Wiederholung des Vorbringens der Parteien und des Verfahrensgangs) rechtlich aus, dass die Verarbeitung bonitätsrelevanter Daten durch eine Kreditauskunftei iSd § 152 Gewerbeordnung Deckung in eben dieser Bestimmung finde und die Rechtmäßigkeit der Verarbeitung dieser Daten folglich nicht von der vorherigen Einwilligung eines Betroffenen abhänge. Auch sei davon auszugehen, dass durch die gesetzliche Verankerung dieser Tätigkeit der Gesetzgeber von der grundsätzlichen Zulässigkeit dieser gewerblichen Tätigkeit ausgehe, sodass es zur Verarbeitung dieser Daten eine rechtliche Befugnis geben könne. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar sei, müsse auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über „Kreditverhältnisse“ als gegeben erachtet habe. Mangels Spezialregeln für Kreditauskunfteien seien die allgemeinen Grundsätze der DSGVO anzuwenden, wonach u.a. personenbezogenen Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden dürften (Art. 5 Abs. 1 lit. b DSGVO). Demnach sei im vorliegenden Verfahren zunächst festzuhalten, dass die Zwecke der Datenverarbeitung in der Datenbank der mitbeteiligten Partei darin bestehen würden, jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die im Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko etwa bei der Lieferung ihrer Waren oder Dienstleistungen eingehen würden (z.B. Lieferung auf offene Rechnung). Unter bestimmten Voraussetzungen sei damit die Rechtmäßigkeit der Verarbeitung gemäß Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) zu bejahen. Für die Frage der zulässigen Speicherdauer von Zahlungserfahrungsdaten sei entscheidend, wie lange diese für die Zwecke der Verarbeitung, also der Ausübung des Gewerbes nach § 152 GewO 1994 und für den Gläubigerschutz, notwendig seien. Nur bei tatsächlicher Bonitätsrelevanz sei von einem „berechtigten Interesse“ iSd Art. 6 Abs. 1 lit. f DSGVO auszugehen. Das Bundesverwaltungsgericht habe sich mit der Frage der zulässigen Speicherdauer sowie damit auseinandergesetzt, wie lange Zahlungserfahrungsdaten eine tatsächliche Bonitätsrelevanz besitzen würden. Nach der Rechtsprechung des Bundesverwaltungsgerichtes könnten als Richtlinie, wie lange Bonitätsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet seien, Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen würden. Solche Bestimmungen würden sich in der Verordnung (EU) Nr. 575/2013 des europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 („Kapitaladäquanzverordnung“) finden, in der Kreditinstitute u.a. verpflichtet würden, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Für Kredit- bzw. Retailforderungen gegenüber natürlichen Personen hätten Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürften (Art. 143 Abs. 1 leg cit), gemäß Art. 151 Abs. 6 iVm 180 Abs. 2 lit. a und e leg. cit. die Ausfallswahrscheinlichkeit der Forderung (Probability of Default - PD) u.a. anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen; dabei sei ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein könne, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall (Loss Given Default - LGD), habe sich gemäß Art. 151 Abs. 7 iVm 181 Abs. 2 lit. c leg. cit. grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen. Der europäische Verordnungsgeber gehe daher allgemein davon aus, dass für die Beurteilung der Bonität eines (potentiellen) Schuldners bzw. des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant seien.

Davon ausgehend seien im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO die berechtigten Interessen des Beschwerdeführers den berechtigten Interessen der mitbeteiligten Partei bzw. Dritter gegenüberzustellen. Der Datenbank der mitbeteiligten Partei sei zu entnehmen, dass insgesamt fünf Forderungen gespeichert worden seien. Zur ersten Forderung in Höhe von EUR 149,80 mit Eröffnungsdatum 17. Juni 2016 sei festzuhalten, dass diese erst am 5. September 2017 geschlossen worden und somit über ein Jahr ausständig gewesen sei. Zur zweiten Forderung in Höhe von EUR 149,80 mit Eröffnungsdatum 27. Mai 2016 sei festzuhalten, dass diese erst am 5. September 2017 geschlossen worden und somit über ein Jahr ausständig gewesen sei. Zur dritten Forderung in Höhe von EUR 67,45 mit Eröffnungsdatum 11. März 2016 sei festzuhalten, dass diese am 31. Mai 2016 geschlossen worden und somit über zwei Monate ausständig gewesen sei. Zur vierten Forderung in Höhe von EUR 21,00 mit Eröffnungsdatum 11. März 2016 sei festzuhalten, dass diese am 31. Mai 2016 geschlossen worden und somit über zwei Monate ausständig gewesen sei. Die fünfte Forderung in Höhe von EUR 75,00 mit Eröffnungsdatum 11. Mai 2020 sei derzeit noch ausständig.

Die belangte Behörde könne die Auffassung des Beschwerdeführers, dass lediglich das aktuelle monatliche Einkommen sowie die aktuellen Verbindlichkeiten zur Beurteilung der Bonität heranzuziehen seien, nicht teilen. Auch eine vergangene Zahlungsunfähigkeit könne nämlich eine wesentliche Grundlage für eine Bonitätsprüfung darstellen, da anhand vergangener Zahlungsausfälle ein Schluss auf die zukünftige Zahlungsfähigkeit gezogen werden könne. Zwar sei im gegenständlichen Fall einzugestehen, dass es sich tatsächlich teils um ältere Forderungen handle und die Gesamtsumme der Forderungen vergleichsweise gering sei, allerdings sei im vorliegenden Fall erschwerend, dass die ersten beiden Forderungen (deutlich) über ein Jahr ausständig gewesen seien und dass die Anzahl der Zahlungsverzüge des Beschwerdeführers allein im Jahre 2016 (und nunmehr im Jahre 2020) in Gesamtbetrachtung durchaus (noch) für die Bewertung der Zahlungshistorie (und somit für die Bewertung der Bonität) des Beschwerdeführers relevant sei. Zu berücksichtigen sei auch, dass vier Forderungen – vom Beschwerdeführer unbestritten – erst im Wege der Eintreibung durch ein Inkassoinstitut beglichen worden seien. Was die fünfte Forderung in Höhe von EUR 75,00 betreffe, sei festzuhalten, dass diese – wie ausgeführt – derzeit noch ausständig sei, weshalb die Löschung diesbezüglich bereits aus diesem Grund zurecht verweigert worden sei. Seitens des Beschwerdeführers seien auch keine Argumente ins Treffen geführt worden, die die belangte Behörde in diesem Einzelfall dazu veranlassen würde, von der oben angeführten Judikatur des BVwG hinsichtlich der zulässigen Speicherdauer von Bonitätsdaten für einen Zeitraum von fünf Jahren abzuweichen. Der Beschwerdeführer habe die Richtigkeit der Forderungen und den Verzug – auch hinsichtlich jener neuen mit Eröffnungsdatum 11. Mai 2020 – auch nicht bestritten. Im Ergebnis sei aufgrund all dieser Überlegungen davon auszugehen, dass zum jetzigen Zeitpunkt dem Gläubigerschutz und somit den berechtigten Interessen Dritter (noch) ein höherer Stellenwert einzuräumen sei als den berechtigten Interessen des Beschwerdeführers. Die mitbeteiligte Partei habe dem Löschbegehren des Beschwerdeführers daher zurecht nicht entsprochen und sei die Verarbeitung der gegenständlich relevanten Zahlungserfahrungsdaten (noch) erforderlich für die Beurteilung der Bonität des Beschwerdeführers.

8. Gegen diesen Bescheid erhob der Beschwerdeführer fristgerecht eine Beschwerde an das Bundesverwaltungsgericht.

Darin führte er aus, dass die Rechtsansicht der belangten Behörde, dass dem Gläubigerschutz und somit den berechtigten Interessen Dritter (noch) ein höherer Stellenwert einzuräumen sei, als seinen dargelegten berechtigten Interessen, verfehlt sei. Die belangte Behörde gestehe im angefochtenen Bescheid selbst zu, dass es sich im gegenständlichen Fall um tatsächlich ältere Forderungen handle und die Gesamtsumme der Forderung vergleichsweise gering sei. Seit Begleichung dieser Forderungen seien über drei Jahre vergangen. Auch werde darauf hingewiesen, dass es sich bei den gegenständlichen Eintragungen nicht um insolvenzrechtliche Daten handle, bei denen § 256 IO einschlägig wäre, sondern um herkömmliche Zahlungsverzüge. Die von der mitbeteiligten Partei gespeicherten Daten seien jedenfalls zu alt und die Forderungen zu gering und würden daher keine taugliche Grundlage zur Beurteilung der Bonität des Beschwerdeführers darstellen. Sie seien nur geeignet, ihn in seinem wirtschaftlichen Fortkommen zu hindern und Schaden zu verursachen. Aus den genannten Gründen (Alter, Dauer, Höhe der Forderungen) sei den dargelegten berechtigten Interessen des Beschwerdeführers jedenfalls ein höherer Stellenwert einzuräumen, als dem Gläubigerschutz und somit den berechtigten Interessen Dritter. Gerade aus diesem Grund sei von der Judikatur des BVwG hinsichtlich der zulässigen Speicherdauer von Bonitätsdaten für den Zeitraum von fünf Jahren abzuweichen.

9. Mit Schreiben vom 09.09.2020 wurde von der belangten Behörde die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vorgelegt.

10. Das Bundesverwaltungsgericht übermittelte am 19.03.2021 der mitbeteiligten Partei die Beschwerde des Beschwerdeführers im Rahmen des Parteiengehörs.

11. Die mitbeteiligte Partei nahm mit Schriftsatz vom 31.03.2021 zur Beschwerde des Beschwerdeführers Stellung, übermittelte eine aktuelle Selbstauskunft hinsichtlich der aktuell gespeicherten Zahlungserfahrungsdaten des Beschwerdeführers und führte aus, dass bezugnehmend auf den festgestellten Sachverhalt der belangten Behörde – betreffend die Zahlungserfahrungsdaten – lediglich eine Veränderung dahingehend eingetreten sei, dass die Forderung in der Höhe von EUR 75,00 (eröffnet am 11.05.2020) zwischenzeitig mit 19.11.2020 (mit dem Vermerk „positiv erledigt“) „geschlossen“ worden sei. Weiters wurde ausgeführt, dass der Beschwerdeführer seine Beschwerde im Wesentlichen mit der verfehlten Rechtsansicht, die gespeicherten Daten seien jedenfalls „zu alt“ und die Forderungen „zu gering“ und würden daher keine taugliche Grundlage zur Beurteilung der Bonität des Beschwerdeführers darstellen, begründe. Dieser Rechtsansicht stehe jedoch die ständige Rechtsprechung des Bundesverwaltungsgerichts und der Datenschutzbehörde entgegen. Im Übrigen wiederholte die mitbeteiligte Partei ihre bisherigen Ausführungen aus dem Verwaltungsverfahren.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

Insbesondere wird folgender Sachverhalt festgestellt:

1. Die mitbeteiligte Partei betreibt eine Wirtschaftsauskunftei, in deren Rahmen sie Bonitätsauskünfte erteilt.

2. Der Beschwerdeführer stellte am 11.05.2020 ein Löschungsbegehren an die mitbeteiligte Partei, welche daraufhin dem Beschwerdeführer mit einem Antwortschreiben vom 20.05.2020 mitteilte, dass dem Löschungsbegehren nicht nachgekommen werde.

3. Der Beschwerdeführer richtete am 26.05.2020 eine Beschwerde an die belangte Behörde und machte eine Verletzung im Recht auf Löschung durch die mitbeteiligte Partei geltend.

4. Bei der mitbeteiligten Partei sind derzeit folgende verfahrensrelevante Daten über den Beschwerdeführer gespeichert:

ZAHLUNGSERFAHRUNGSDATEN

Eröffnet

Geschlossen

Kapitalforderung

Offen

Forderungsstatus

Zahlungsstatus

Herkunft der

Information

11.05.2020

19.11.2020

75,00 €

0,00 €

außergericht. Betreibung

positiv erledigt

XXXX

17.06.2016

05.09.2017

149,80 €

0,00 €

außergericht. Betreibung

positiv erledigt

XXXX

27.05.2016

05.09.2017

149,80 €

0,00 €

außergericht. Betreibung

positiv erledigt

XXXX

11.03.2016

31.05.2016

67,45 €

0,00 €

außergericht. Betreibung

positiv erledigt

XXXX

11.03.2016

31.05.2016

21,00 €

0,00 €

außergericht. Betreibung

positiv erledigt

XXXX

5. Bei den Forderungen handelt es sich um solche, die trotz dreimaliger Mahnung und damit fortbestehendem qualifizierten Zahlungsverzug weiterhin aushafteten.

6. Mit Bescheid der belangten Behörde vom 27.07.2020 wurde die Beschwerde des Beschwerdeführers wegen Verletzung im Recht auf Löschung als unbegründet abgewiesen.

7. Gegen diesen Bescheid erhob der Beschwerdeführer fristgerecht eine Beschwerde an das Bundesverwaltungsgericht.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem gegenständlichen Gerichtsakt und sind unstrittig.

3. Rechtliche Beurteilung:

3.1.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.1.3. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu Spruchteil A):

3.2.1. Rechtslage:

Art. 4 Z 1 und 2 DSGVO lauten:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1.„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2.„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;“

Art. 5 DSGVO lautet:

„Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a)

auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

B )

für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c)

dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d)

sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e)

in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f)

in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Art. 17 DSGVO lautet:

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a)

Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b)

Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c)

Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d)

Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e)

Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f)

Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a)

zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b)

zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c)

aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d)

für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e)

zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

§ 1 DSG lautet:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1.         das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2.         das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.“

§ 152 GewO lautet:

Auskunfteien über Kreditverhältnisse

§ 152. (1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.

(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.

Art. 143 Abs. 1, 151 Abs. 6 und 7, 180 Abs. 2 lit. a und e und 181 der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 ("Kapitaladäquanzverordnung") lauten:

Art. 143 Abs. 1:

„(1) Wenn die Bedingungen dieses Abschnitts erfüllt sind, gestattet die zuständige Behörde den Instituten, ihre risikogewichteten Positionsbeträge anhand des auf internen Beurteilungen basierenden Ansatzes (im Folgenden "IRB-Ansatz") zu berechnen.“

Art. 151 Abs. 6 und 7:

„(6) Für Risikopositionen der Forderungsklassen nach Artikel 147 Absatz 2 Buchstaben a bis d nehmen die Institute nach Maßgabe von Artikel 143 und Abschnitt 6 ihre eigenen PD-Schätzungen vor.

(7) Für Risikopositionen der Forderungsklasse nach Artikel 147 Absatz 2 Buchstabe d nehmen die Institute nach Maßgabe des Artikels 143 und des Abschnitts 6 ihre eigenen Schätzungen der LGD und der Umrechnungsfaktoren vor.“

Art. 180 Abs. 2 lit. a und e:

„a) Die Institute schätzen die PD für die einzelnen Schuldner-Bonitätsstufen ausgehend von den langfristigen Durchschnitten der jährlichen Ausfallquoten. Bei PD-Schätzungen für Schuldner mit hoher Fremdkapitalquote oder Schuldner, deren Aktiva vorwiegend gehandelte Vermögenswerte sind, wird der Wertentwicklung der zugrunde liegenden Aktiva in Zeiten hoher Volatilität Rechnung getragen;

e) unabhängig davon, ob ein Institut für seine Schätzung der Verlustmerkmale externe, interne oder zusammengefasste Datenquellen oder eine Kombination daraus verwendet, muss der zugrunde liegende historische Beobachtungszeitraum für zumindest eine Datenquelle mindestens fünf Jahre betragen. Wurde eine Datenquelle über einen längeren Zeitraum beobachtet und sind die entsprechenden Daten relevant, so wird dieser längere Beobachtungszeitraum herangezogen. Wenn sich neuere Daten besser zur Vorhersage der Verlustquoten eignen, muss ein Institut historischen Daten nicht die gleiche Bedeutung beimessen. Bei entsprechender Genehmigung der zuständigen Behörden können Institute bei der Anwendung des IRB-Ansatzes relevante Daten aus einem Zweijahreszeitraum verwenden. Dieser Zeitraum verlängert sich jährlich um ein Jahr, bis relevante Daten für einen Zeitraum von fünf Jahren vorliegen;“

Art. 181 Abs. 2 lit. c:

„c) ein Institut berücksichtigt den Umfang etwaiger Abhängigkeiten zwischen dem Risiko des Schuldners und dem Risiko der Sicherheit bzw. des Sicherheitengebers. Signifikante Abhängigkeiten sind in vorsichtiger Weise zu berücksichtigen;“

3.2.2. Auf den konkreten Fall umgelegt bedeutet dies Folgendes:

Der Beschwerdeführer sieht sich durch die Entscheidung der belangten Behörde beschwert, weil seinem Antrag auf Löschung der Zahlungserfahrungsdaten unrechtmäßiger Weise nicht stattgegeben worden sei.

Damit ist der Beschwerdeführer jedoch nicht im Recht:

Personenbezogene Daten sind über Antrag des Betroffenen u.a. dann zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, sie unrechtmäßig verarbeitet wurden oder die betroffene Person Widerspruch gemäß Artikel 21 Abs. 1 DSGVO gegen ihre Verarbeitung erhoben hat (Art. 17 Abs. 1 lit. a, c 1. Fall und d DSGVO). Einem Löschungsbegehren stünde daher eine Datenverwendung entgegen, die notwendig und rechtmäßig ist und gegen die kein wirksamer Widerspruch erhoben worden ist.

Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie - unter Einhaltung der in Art. 5 DSGVO genannten Verarbeitungsgrundsätze - auf Grund einer der in Art. 6 DSGVO genannten Erlaubnistatbestände erfolgt.

3.2.1. Zur Einhaltung der Verarbeitungsgrundsätze nach Art. 5 DSGVO:

Gemäß den Verarbeitungsgrundsätzen nach Art. 5 DSGVO müssen personenbezogene Daten - soweit verfahrensrelevant - für festgelegte, eindeutige und legitime Zwecke erhoben werden ("Zweckbindung"), dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung"), sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein ("Richtigkeit") und in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist ("Speicherbegrenzung").

Die mitbeteiligte Partei betreibt das Gewerbe der Kreditauskunftei gemäß § 152 GewO.

Zu den Aufgaben der Gewerbetreibenden iSd § 152 GewO gehört die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Kreditgebern sollen dadurch aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer, und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur Verfügung stehen (Riesz in Ennöckl/Raschauer/Wessely, GewO § 152 Rz 2). Dadurch soll es Kreditgebern ermöglicht werden, die Wahrscheinlichkeit, mit der der Kreditgeber am Ende wegen seiner Forderung befriedigt wird, und allenfalls die Prognose, mit wie vielen Schwierigkeiten das verbunden ist, zu bestimmen (Wendehorst, Was ist Bonität? Zum Begriff der "Kreditwürdigkeit" in § 7 VKrG, in Blaschek/Habersberger (Hrsg.), Eines Kredites würdig? (2011) 22). Eine Neigung zu vertragswidrigem Verhalten - etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck - lässt sich vor allem aus dem Finanzgebaren in der Vergangenheit heraus prognostizieren. Relevant ist dabei vergangenes vertragswidriges Verhalten, das sich in schlichtem Zahlungsverzug, aber auch in gerichtlichen Verfahren bis hin zu Exekutionshandlungen oder gar in einer Insolvenzeröffnung manifestiert haben mag (aaO 23; vgl auch Heinrich, Bonitätsprüfung im Verbraucherkreditrecht (Wien 2014) 89 f).

Die mitbeteiligte Partei verarbeitet im Zuge des Betriebs des Gewerbes der Kreditauskunftei unter anderem Informationen über das Zahlungsverhalten des Beschwerdeführers, um diese Informationen Gläubigern bereitzustellen, damit diese das Risiko etwaiger Zahlungsausfälle bestimmen können.

Dabei handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten (§ 152 GewO) Zweck. Die Daten sind auch richtig und vollständig, weil die mitbeteiligte Partei hinsichtlich der Forderungen in ihrer Datenbank vermerkt hat, dass diese positiv erledigt, also bezahlt wurden. Die Zahlu