TE Bvwg Erkenntnis 2021/5/31 W214 2225140-1

W214 2225139-1/13E

W214 2225140-1/14E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und die fachkundigen Laienrichterinnnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerden von 1. XXXX , vertreten durch XXXX und 2. XXXX , vertreten durch Dr. XXXX gegen den Bescheid der Datenschutzbehörde vom 12.09.2019, Zl. DSB-D124.1118/0003-DSB/2019, zu Recht erkannt:

A)

I. Der Beschwerde der Erstbeschwerdeführerin wird gemäß § 28 Abs. 1 und 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG), stattgegeben und der angefochtene Bescheid wird dahingehend abgeändert, dass dessen Spruchpunkte 1. bis 3. durch folgenden Spruch zu ersetzen sind:

„Die Beschwerde wird als unbegründet abgewiesen.“

II. Die Beschwerde des Zweitbeschwerdeführers wird gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 16.07.2019 behauptete der Zweitbeschwerdeführer, XXXX (Beschwerdeführer vor der belangten Behörde) eine Verletzung im Recht Löschung. Dazu wurde vorgebracht, dass er die Erstbeschwerdeführerin (ehemalige Beschwerdegegnerin vor der belangten Behörde) mit Schreiben vom 08.07.2019 aufgefordert habe, die über ihn gespeicherten Daten gemäß Art. 17 DSGVO zu löschen. Zudem habe er einer weiteren Verwendung der gespeicherten Daten gemäß Art. 21 DSGVO widersprochen. Hintergrund sei gewesen, dass ein Kreditantrag bei der Hausbank im Juni 2019 nicht genehmigt worden sei, da in der Bonitätsauskunftsliste der Erstbeschwerdeführerin drei Auskünfte angeführt gewesen seien. Die gespeicherten Gläubigerbetreibungsmaßnahmen seien bereits vollständig beglichen worden, es würden keine aktuellen Forderungsbeanstandungen bestehen und werde folglich der Eintragungen eine Beurteilung seiner aktuellen Bonität verhindert. Die gespeicherten Daten seien für die Ausübung des Auskunfteigewerbes nach § 152 GewO nicht geeignet und würden sein wirtschaftliches Fortkommen behindern. Es liege sohin keine Zustimmung und auch kein berechtigter Zweck für die Datenverarbeitung vor. Die Erstbeschwerdeführerin habe mit Schreiben vom 10.07.2019 ausgeführt, dass es sich bei den Eintragungen um bonitätsrelevante Auskünfte handle, eine Löschung der Datensätze sei bestritten worden. Es werde daher beantragt, die Rechtsverletzung durch Nichtentsprechung des Antrags auf Löschung festzustellen sowie der Erstbeschwerdeführerin aufzutragen, dem Antrag auf Löschung sämtlicher Daten zu entsprechen.

Der Datenschutzbeschwerde angeschlossen wurde das Aufforderungsschreiben des Zweitbeschwerdeführers vom 08.07.2019 sowie das Antwortschreiben der Erstbeschwerdeführerin vom 10.07.2019.

2. Über Aufforderung der belangten Behörde erstattete die Erstbeschwerdeführerin am 16.08.2019 eine Stellungnahme und brachte zunächst vor, dass die Ausführungen der Rechtsvertretung des Zweitbeschwerdeführers in der Datenschutzbeschwerde dadurch zu ergänzen seien, dass bereits eine der drei zum Zweitbeschwerdeführer gespeicherten Zahlungserfahrungen gelöscht worden sei, was dem Zweitbeschwerdeführer auch per Auskunft vom 10.07.2019 bekannt gemacht worden sei. Somit seien nur noch zwei Zahlungserfahrungen zum Zweitbeschwerdeführer in der Datenbank der Erstbeschwerdeführerin vorhanden. Zum Zeitpunkt der damaligen Auskunft sei noch eine der Forderungen offen gewesen. Wie aus einer aktuellen Auskunft vom 16.08.2019 hervorgehe, sei auch diese Forderung inzwischen positiv erledigt worden. Weiters wurde ausgeführt, dass die Erstbeschwerdeführerin über die Gewerbeberechtigung des § 152 GewO verfüge und daher zur Verarbeitung von Information, die in Zusammenhang mit der Kreditwürdigkeit (Bonität) stehe, ermächtigt sei. Datenschutzrechtliche Rechtsgrundlage der Verarbeitung bonitätsrelevanter personenbezogener Daten in der Datenbank seien berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen würden auf Seiten Dritter vorliegen, da der Zweck der Datenverarbeitung durch die Erstbeschwerdeführerin darin bestehe, jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die im Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko, etwa bei der Lieferung ihrer Waren oder Dienstleistungen, eingehen würden (z.B. Lieferung auf offene Rechnung). Eine Einwilligung des Zweitbeschwerdeführers sei daher, anders als in der Beschwerde vorgebracht, gerade nicht notwendig. Informationen über (negative) Zahlungserfahrungen erhalte die Erstbeschwerdeführerin dann, wenn ein Zahlungsverzug vorliege, die ersten beiden Mahnungen durch den Gläubiger erfolglos gewesen seien, auch die dritte Mahnung durch ein Inkassobüro erfolglos geblieben sei und daher ein fortbestehender qualifizierter Zahlungsverzug vorliege. Auch bereits beglichene („positiv erledigte“) Forderungen würden bonitätsrelevante Daten darstellen. Der Umstand, dass eine Forderung erst nach qualifizierter Mahnung bzw. Betreibung durch Inkassoinstitute oder Rechtsanwälte beglichen werde, bedeute einen zumindest temporären Zahlungsausfall und „resultiere damit in einem Kreditierungsrisiko“ bezüglich künftiger Rechtsgeschäfte. Um ein sachlich richtiges und vollständiges Bild der zu einer Person gespeicherten, bonitätsrelevanten Daten zu vermitteln und damit dem Grundsatz der Datenrichtigkeit nach Art. 5 Abs. 1 lit. d DSGVO Genüge zu tun, sei es daher wichtig, dass auch bereits bezahlte Forderungen in der Datenbank der Erstbeschwerdeführerin verblieben. Die Wahrscheinlichkeit künftiger Zahlungsausfälle sei statistisch signifikant erhöht, sobald es in der Vergangenheit zu einem oder mehreren Zahlungsausfällen gekommen sei. Der Umstand, dass die Zahlungserfahrung positiv erledigt sei, vermindere jedoch deren negative Auswirkung auf die Bonitätsbewertung – eine offen aushaftende Forderung wirke sich also in größerem Ausmaß negativ auf die Bonitätsbeurteilung aus als eine bereits beglichene. Zu den gespeicherten Zahlungserfahrungsdaten im Einzelnen sei auszuführen, dass sich die erste vom Zweitbeschwerdeführer beanstandete Forderung auf EUR 217,30 belaufe und am 13.03.2017 eröffnet worden sei. Mit 10.07.2019, also erst vor etwas mehr als einem Monat, sei die Forderung als positiv erledigt markiert worden, womit diese weit über zwei Jahre unberechtigt ausgehaftet sei. Die zweite vom Zweitbeschwerdeführer beanstandete Forderung belaufe sich auf EUR 17,94 und habe zwischen dem 20.06.2017 und dem 10.08.2017 unberechtigt ausgehaftet. Auch diese Forderung sei in der Datenbank der Erstbeschwerdeführerin als positiv erledigt markiert. Diese von der Erstbeschwerdeführerin zum Zweitbeschwerdeführer verarbeiteten Zahlungserfahrungsdaten seien bonitätsrelevant und für den Zweck, für den sie erhoben worden seien, weiterhin notwendig. Die gegenständlichen Zahlungserfahrungsdaten seien, wie vom Zweitbeschwerdeführer auch nicht bestritten, richtig und auf dem neusten Stand. Die Verarbeitung der verfahrensgegenständlichen Zahlungserfahrungsdaten sei für die Erfordernisse der Auskunftei über Kreditverhältnisse unverzichtbar. Diese Forderungen hätten in dieser Form somit in der Datenbank der Erstbeschwerdeführerin zu verbleiben. Art. 5 Abs. 1 lit. d DSGVO sehe die Datenrichtigkeit als einen elementaren Grundsatz des Datenschutzes an. Datenrichtigkeit könne jedoch nur vorliegen, wenn sämtliche richtige verfügbare Daten, die für die Bonitätsbeurteilung relevant seien, verarbeitet würden. Würde dem Ansuchen des Zweitbeschwerdeführers vollumfänglich nachkommen und sämtliche in der Auskunft vom 16.08.2019 ersichtlichen Forderungen gelöscht, hätte dies ein verzerrtes und unrichtiges Bild über die Bonität des Zweitbeschwerdeführers zur Folge. Kunden der Erstbeschwerdeführerin würden im Rahmen von Datenbankabfragen aus der Datenbank der Erstbeschwerdeführerin die Information erhalten, dass zum Zweitbeschwerdeführer keine Zahlungserfahrungsdaten gespeichert seien – der Zweitbeschwerdeführer würde daher dieselbe Bonitätsbeurteilung erhalten wie eine Person, die ihre Schulden stets fristgerecht beglichen habe. Dadurch würde im wirtschaftlichen Verkehr mit Unternehmen die gegenüber dem Zweitbeschwerdeführer in Vorleistung treten würden, der Eindruck einer besseren Bonität entstehen. Dieser Umstand entspreche jedoch nicht den Tatsachen. Die beiden in der Auskunft vom 16.08.2019 ersichtlichen Forderungen seien erst nach mehrmaliger Mahnung und Betreibung durch Inkassoinstitute beglichen worden. Den hinter diesen Forderungen stehenden Gläubigern sei dadurch zumindest temporär ein finanzieller Schaden entstanden. Würde die Erstbeschwerdeführerin diesen Umstand bei der Darstellung der Bonität des Zweitbeschwerdeführers verschweigen, bestehe in letzter Konsequenz die Gefahr, dass den in Vorleistung tretenden Unternehmen, die mit dem Zweitbeschwerdeführer kontrahieren und auf den Eindruck eines reibungslosen Zahlungsverhaltens des Zweitbeschwerdeführers vertrauen würden, ebenfalls ein Schaden aus potentiell eintretenden Zahlungsausfällen zugefügt werde oder sie zumindest einem aufwendigen Betreibungsprozess ausgesetzt würden. Deren Interessen würden dadurch unzumutbar beeinträchtigt werden. Das Interesse von potentiell in Vorleistung tretenden Vertragspartnern des Zweitbeschwerdeführers an Informationen über deren säumiges Zahlungsverhalten in der jüngeren Vergangenheit, um damit eine informierte Entscheidung über Art und Umfang einer zukünftigen Geschäftsverbindung mit dem Zweitbeschwerdeführer treffen zu können, überwiege jedenfalls dem Geheimhaltungsinteresse des Zweitbeschwerdeführers bezüglich der gegenständlichen Zahlungserfahrungsdaten. Zu berücksichtigen seien dabei insbesondere die kurze Zeit, die seit der Beendigung der gegenständlichen Inkassofälle verstrichen sei (der letzte Fall sei erst vor etwa einem Monat positiv erledigt worden), die Dauer der unberechtigten Aushaftung (im aktuellsten Fall mehr als zwei Jahre), sowie die Kumulation von mehreren Zahlungserfahrungen. Weiters könne auch schon aus der gesetzlich angeordneten Überprüfung der Zahlungsfähigkeit vor einem Kreditgeschäft (§ 7 Abs1 VKrG) auf ein die Interessen des Zweitbeschwerdeführers überwiegendes berechtigtes Interesse der Erstbeschwerdeführerin bzw. Dritter geschlossen werden. Hinsichtlich der teilweise geringen Forderungshöhe werde festgehalten, dass gerade Zahlungserfahrungen im Zusammenhang mit Kleinforderungen für viele Gläubiger von hoher Aussagekraft für das zukünftige Zahlungsverhalten hinsichtlich ähnlich hoher Forderungen seien. Dies sei insbesondere für Unternehmen aus dem kleinteiligen Massengeschäft der Fall (etwa Mobiltelefone). Aufgrund der hohen Kundenzahl und der typischerweise geringen Profitmargen bestehe gerade bei solchen Unternehmen ein besonders großes Interesse an einem effektiven Management des Zahlungsausfallsrisikos. Außerdem sei ein Gläubiger gerade in Fällen von nicht bezahlten Kleinbeträgen mit einem unverhältnismäßigen Betreibungsaufwand konfrontiert, wodurch gerade an der Zahlungsmoral einer betroffenen Person im Zusammenhang mit solchen Forderungen ein Interesse bestehe. Dies treffe besonders zu, wenn – wie im gegenständlichen Fall - mehrere Zahlungserfahrungen vorliegen würden. Die Erstbeschwerdeführerin speichere diese Zahlungserfahrungen auch nicht undifferenziert in ihrer Identitäts- und Bonitätsdatenbank ab. Zahlungserfahrungen würden sich etwa weniger stark auf die Bonitätsbewertung einer betroffenen Person auswirken, je älter diese Zahlungserfahrungen seien, je geringer der zugrundeliegende Forderungsbetrag sei und je weniger Zahlungserfahrungen zur betroffenen Person vorlägen. Sobald aus einem Zahlungserfahrungsdatum keine Aussage zur Bonität mehr getroffen werden könne, lösche die Erstbeschwerdeführerin die entsprechende Zahlungserfahrung aus eigenem. Zusammenfassend seien die personenbezogenen Daten, die von der Erstbeschwerdeführerin verarbeitet würden, für die Zwecke, für die sie erhoben bzw. verarbeitet worden seien, demnach weiterhin notwendig. Eine Löschung dieser Forderungen werde daher erst erfolgen, wenn sie für die Beurteilung der Bonität des Zweitbeschwerdeführers irrelevant geworden seien und daher kein Verarbeitungszweck mehr bestehe. Es werde daher beantragt, die Beschwerde als unbegründet abzuweisen bzw. das Verfahren einzustellen.

Der Stellungnahme angeschlossen wurden Schreiben der Erstbeschwerdeführerin vom 10.07.2019 und 16.08.2019, mit welchen dem Zweitbeschwerdeführer Auskunft über seine, bei der mitbeteiligten Partei gespeicherten personenbezogenen Daten gemäß Art. 15 DSGVO erteilt wurde.

4. Der Zweitbeschwerdeführer gab am 20.08.2019 eine Stellungnahme ab und führte aus, dass, wie auch die Erstbeschwerdeführerin zugestehe, die angemeldeten und verarbeiteten Forderungen beide bereits positiv erledigt worden seien. Gegen ihn würden daher derzeit keine offenen Forderungen bestehen, sodass er seinen finanziellen Verpflichtungen derzeit vollständig nachkomme. Es sei unrichtig, dass die demnach veralteten Einträge weiterhin zur Beurteilung der Bonität relevant seien, und auch, dass es durch die abfragenden Kunden der Erstbeschwerdeführerin zu Abstufungen hinsichtlich der Höhe der betriebenen Forderung, der Aktualität und der Erledigungsweise komme. Die Hausbank des Zweitbeschwerdeführers stelle nämlich einzig und allein darauf ab, ob Eintragungen bestünden oder nicht, inhaltlich setze sich die Hausbank mit den Eintragungen nicht auseinander. Die Argumentationslinie der Erstbeschwerdeführerin hinsichtlich einer Löschung sei willkürlich, da es vollständig der Erstbeschwerdeführerin obliege, wann welcher Datensatz gelöscht werde. Gegenständlich würden gegen den Zweitbeschwerdeführer keinerlei Forderungsausstände bestehen und sei daher von einer ausreichenden Bonität auszugehen. Die nach wie vor bestehenden Einträge könnten zur Bonitätsbeurteilung nicht herangezogen werden, da für die Zahlungsfähigkeit des Zweitbeschwerdeführers einzig und allein das monatliche Einkommen und Verbindlichkeiten heranzuziehen seien. Da die gegenständlichen Eintragungen bereits vollständig erledigte Verbindlichkeiten beträfen, sei aufgrund der Erledigung der Verbindlichkeit der Zweck ihrer Verarbeitung seitens der Erstbeschwerdeführerin weggefallen. Der Rechtsansicht der Erstbeschwerdeführerin, das durch derart veraltete Eintragungen eine Beurteilung der Bonität möglich sei, sei entgegen zu halten, dass es z.B. auch bei einer Rechnungsbestreitung eines Millionärs zu einer negativen Eintragung kommen würde, sich jedoch daraus keine bonitätsrelevanten Aussagen ableiten lassen würden. Ebenfalls sei der Erstbeschwerdeführerin entgegen zu halten, dass nicht sämtliche Forderungen von Personen in die Datenbank der Erstbeschwerdeführerin eingetragen würden, sodass eine Bonität keinesfalls abschließend beurteilt werden könne und die Kunden der Erstbeschwerdeführerin noch zusätzlich angehalten seien, weitere Informationen und Bescheinigungen von den Kunden einzuholen. Fraglich sei weiters, wie die Erstbeschwerdeführerin die Anmeldungen hinsichtlich eines qualifizierten Zahlungsverzugs überprüfe bzw. wann unter welchen Bedingungen Eintragungen tatsächlich von der Erstbeschwerdeführerin eigenständig gelöscht würden. Für die Beurteilung der Bonität seien jedoch nur tatsächlich offene und betriebene Forderungen von Relevanz, da sich die Bonität eines Schuldners schlagartig durch einen Erbfall, Abbezahlung eines Kredites, Gehaltserhöhung, etc. verbessern bzw. Arbeitsverlust etc. verschlechtern könne. Aufgrund der vollständigen Begleichung der in der Datenbank der Erstbeschwerdeführerin angeführten Eintragungen sei der Zweck der Verarbeitung mit der vollständigen Erledigung weggefallen, sodass dem Zweitbeschwerdeführer ein Recht auf Löschung gem. Artikel 17 Abs. 1 lit. a. DSGVO zustehe.

5. Mit dem angefochtenen Bescheid der belangten Behörde wurde der Beschwerde teilweise stattgegeben und festgestellt, dass die Erstbeschwerdeführerin den Zweitbeschwerdeführer dadurch in seinem Recht auf Löschung verletzt habe, indem sie die bereits mit 10.08.2017 beglichene Forderung in Höhe von EUR 17,94 (Herkunft: XXXX ) nicht aus ihrer Bonitätsdatenbank gelöscht habe (Spruchpunkt 1.). Die Erstbeschwerdeführerin wurde angewiesen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution dem Löschungsbegehren des Zweitbeschwerdeführers Folge zu leisten und die in Spruchpunkt 1 genannten Daten zu löschen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 3.).

Begründend wurde von der belangten Behörde ausgeführt, dass sich verfahrensgegenständlich die Frage stelle, wie lange Zahlungserfahrungsdaten nach Begleichung der Forderung noch bei der Erstbeschwerdeführerin gespeichert werden könnten, ehe sie für die Zwecke der Verarbeitung, also der Ausübung des Gewerbes nach § 152 GewO 1994 und den Gläubigerschutz, nicht mehr notwendig seien. Nur wenn die personenbezogenen Daten noch bonitätsrelevant seien, bestehe ein Verarbeitungszweck gemäß Art. 5 Abs. 1 lit. b DSGVO. Es habe eine Bewertung der berechtigten Interessen des Zweitbeschwerdeführers zu erfolgen und seien diese den berechtigten Interessen der Erstbeschwerdeführerin sowie Dritter gegenüberzustellen. Das Interesse des Zweitbeschwerdeführers sei in seinem wirtschaftlichen Fortkommen gelegen, welches durch eine schlechte Bonitätsbewertung beeinträchtigt sei, demgegenüber stehe das Interesse der Erstbeschwerdeführerin, ihr Gewerbe nach § 152 GewO 1994 auszuüben sowie insbesondere das Interesse der die Bonität abfragenden Unternehmen am Erhalt einer Bonitätsauskunft zwecks Gläubigerschutz. Dabei seien alle Umstände des Einzelfalls zu berücksichtigen. Der Datenbank der Erstbeschwerdeführerin sei zu entnehmen, dass die erste Forderung in Höhe von EUR 217,30 am 13.03.2017 eröffnet und am 10.07.2019 geschlossen worden sei (Herkunft: XXXX ). Die zweite Forderung in Höhe von EUR 17,94 sei am 20.06.2017 eröffnet und am 10.08.2017 geschlossen worden (Herkunft: XXXX ). Bei beiden Forderungen sei somit kein Betrag aushaftend. Wie die Erstbeschwerdeführerin jedoch zu Recht vorbringe, stelle auch eine vergangene Zahlungsunfähigkeit eine wesentliche Grundlage für die Bonitätsbeurteilung dar. So sei die Berücksichtigung von Zahlungsausfällen in der jüngeren Vergangenheit erforderlich, um eine vollständige Auskunft über die Bonität einer bestimmten Person erteilen zu können, und könne anhand vergangener Zahlungsausfälle durchaus ein Schluss auf die zukünftige Zahlungsfähigkeit gezogen werden. Gleichwohl es sich bei der (erstgenannten) Forderung in Höhe von EUR 217,30 um keine allzu hohe Schuld handle, sei zu berücksichtigen, dass diese Forderung erst mit Datum 10.07.2019 im System der Erstbeschwerdeführerin als „positiv erledigt“ aufscheine. Zwischen Begleichung der (erstgenannten) Forderung und dem Abschluss des Verfahrens vor der belangten Behörde liege somit ein Zeitraum von weniger als drei Monaten. Vor diesem Hintergrund sei in Bezug auf die (erstgenannte) Forderung in Höhe von EUR 217,30 zum jetzigen Zeitpunkt dem Gläubigerschutz und somit den berechtigten Interessen Dritter ein höherer Stellenwert einzuräumen ist als den dargelegten berechtigten Interessen des Zweitbeschwerdeführers. Derzeit sei die Speicherung der ersten Forderung weiterhin notwendig und auch rechtmäßig, weshalb die Erstbeschwerdeführerin der beantragten Löschung der ersten Forderung zurecht nicht entsprochen habe. In Bezug auf die zweitgenannte Forderung in Höhe von EUR 17,94 sei jedoch dem berechtigten Interesse des Zweitbeschwerdeführers ein höherer Stellenwert einzuräumen. Aufgrund der besonders geringen Höhe im Zusammenhalt mit dem Alter der Forderungen (Eintragung in die Datenbank am 20.06.2017, geschlossen am 10.08.2017, somit vor mehr als zwei Jahren) könne nicht davon ausgegangen werden, dass die Verarbeitung dieser Daten noch bonitätsrelevant und somit für die berechtigten Interessen der Gläubiger noch von Interesse sei. Vielmehr sei die Eintragung in der Datenbank der Erstbeschwerdeführerin geeignet, den Zweitbeschwerdeführer in seinem wirtschaftlichen Fortkommen zu hindern. Im vorliegenden Fall sei zudem (mangels Existenz) keine gerichtliche Publikation in der Insolvenzdatei in die Beurteilung einzubeziehen. Es müsse daher davon ausgegangen werden, dass die Interessen oder Grundrechte und Grundfreiheiten des Zweitbeschwerdeführers überwiegen würden. Da die Erstbeschwerdeführerin die Löschung der zweiten Forderung in Höhe von EUR 17,94 (Herkunft: XXXX ) zu Unrecht verweigert habe, sei diese gemäß Art. 58 Abs. 2 lit. c DSGVO iVm § 24 Abs. 5 DSG anzuweisen gewesen, dem Antrag des Zweitbeschwerdeführers in Bezug auf diese Forderung zu entsprechen.

6. Gegen diesen Bescheid erhoben beide Beschwerdeführer fristgerecht Beschwerden an das Bundesverwaltungsgericht.

Die Erstbeschwerdeführerin führte zunächst aus, dass der Bescheid in seinen Spruchpunkten 1. und 2. aus den Gründen der unrichtigen rechtlichen Beurteilung und der (sekundären) Mangelhaftigkeit des Verfahrens angefochten werde. Entgegen der völlig oberflächlichen und daher unzulänglichen Bescheidbegründung seien die Zahlungserfahrungsdaten den Zweitbeschwerdeführer betreffend für festgelegte, eindeutige und legitime Zwecke der Auskunftei über Kreditverhältnisse erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet worden. Die verfahrensgegenständlichen Zahlungserfahrungsdaten seien auch richtig und auf dem neuesten Stand. Eine wie im vorliegenden Fall beabsichtigte Kreditaufnahme stelle aufgrund der gesetzlich angeordneten Überprüfung der Zahlungsfähigkeit vor einem Kreditgeschäft eine nicht die Interessen des Kreditgebers überwiegende und somit relevante Beeinträchtigung des Zweitbeschwerdeführers dar. Darüber hinaus und ergänzend dürfe auch nicht übersehen werden, dass jeder Unternehmens- und somit Geschäftskunde der Erstbeschwerdeführerin (und nur solche dürften unter besonderen Auflagen Bonitätsdaten abfragen) vertraglich dazu verpflichtet sei, das Ergebnis einer solchen Bonitätsabfrage ausschließlich als Empfehlung zu verstehen und somit nicht als alleiniges Entscheidungselement gewertet werden dürfe. Dies sei in der Praxis auch üblich, denn Banken würden regelmäßig auch andere Beurteilungsmaßstäbe, die nicht in Zusammenhang mit der Erstbeschwerdeführerin stehen würden, für eine Bonitätsbeurteilung zum Zwecke der Kreditvergabe heranziehen. Selbst wenn die Bonitätsbeurteilung als ausschließliche Grundlage für die Bonitätsbeurteilung von Banken herangezogen werde, was bestritten werde, so sei die Verhinderung des „wirtschaftlichen Fortkommens“ des Zweitbeschwerdeführers ebenfalls unbegründet, weil sich die Relevanz der verfahrensgegenständlichen Zahlungserfahrungsdaten auf künftige Kreditgewährung beschränke, damit aber nur ein sehr kleines Teilsegment des geschäftlichen Verkehrs betroffen sei. Alle „Nichtkreditgeschäfte“ des Zweitbeschwerdeführers würden unberührt bleiben, womit auch sein wirtschaftliches Fortkommen nicht gefährdet erscheine. Ein hoher Prozentsatz von Personen, die von einer negativen Zahlungserfahrung oder mehreren negativen Zahlungserfahrungsdaten betroffen seien, würden früher oder später Gemeinschuldner eines Insolvenzverfahrens. Dabei spiele es keine entscheidende Rolle, wie hoch die von den Zahlungserfahrungsdaten ausgewiesenen Beträge seien, oder, ob diese Beträge „positiv erledigt“ seien oder nicht. Auch die Anzahl von Forderungen eines Inkassounternehmens stelle einen maßgeblichen Umstand dar. Würde man Kreditauskunfteien und damit auch der Erstbeschwerdeführerin das Recht Kleinbeträge zu speichern nehmen und somit die Berechnung eines Risikos eines möglichen zukünftigen Zahlungsausfalls unmöglich machen, so würden auch zukünftige neue Kleinbeträge von einer solchen Speicherung ausgenommen sein. Das hätte zur Folge, dass dann auch ein zukünftig neuer Zahlungsausfall über einen Kleinbetrag einer rechtmäßigen Speicherung entgegenstehen würde. Ein in Vorleistung tretendes Unternehmen würde dann erneut als Information eine ausgezeichnete Bonität dieser betroffenen Person von der Erstbeschwerdeführerin beauskunftet bekommen, was die Möglichkeit eröffnen würde, neue Schulden einzugehen und diese dann wieder nicht ordnungsgemäß zu bezahlen, was dann immer wieder zu neuen Zahlungsausfällen in der kreditgebenden Wirtschaft führen könne. Sowohl im Fall der "Warnliste der österreichischen Kreditinstitute zum Zweck des Gläubigerschutzes und der Risikominimierung durch Hinweis auf vertragswidriges Kundenverhalten“ als auch der "Kleinkreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung" ("KKE") sei die Löschfrist von Zahlungserfahrungsdaten mit sieben Jahren festgelegt worden. Der angefochtene Bescheid bleibe eine taugliche Begründung dafür schuldig, warum sich die Gesichtspunkte für die Dauer der Speicherung bonitätsrelevanter Daten geändert haben sollten. Der Verweis auf das „wirtschaftliche Fortkommen“ sei nicht geeignet eine solche taugliche Begründung zu bieten. Die Interessenabwägung der belangten Behörde sei mangelhaft geblieben, ein sogenanntes „wirtschaftliches Fortkommen“ sei weder als ein Grundrecht anzuerkennen, noch könne es dem Interesse des Gläubigerschutzes vorangestellt werden. Dass eine Güterabwägung überhaupt zu einem Eingriff in die Grundrechte und Grundfreiheiten des Betroffenen führen könnte, sei auszuschließen, dies insbesondere, weil die betroffene Person durch das Bestehen der Datensätze nicht vom Wirtschaftsleben ausgeschlossen werde und zukünftige Gläubiger zur Erfüllung ihrer Verpflichtungen, insbesondere nach dem Verbraucherkreditgesetz, eine aussagekräftige Bonitätsauskunft benötigen würden. Von der belangten Behörde wären Ermittlungen anzustellen gewesen, welche objektiven Umstände für die Wahrung des Gläubigerschutzes bei der Festlegung der Höhe von Zahlungserfahrungsdaten und des Zeitraumes bestünden, in dem solche Daten durch Kreditauskunfteien gespeichert werden dürften. Es werde daher, neben der Durchführung einer mündlichen Verhandlung und der Abweisung der Beschwerde, beantragt, einen Sachverständigen aus dem Bereich der Bonitätsbeurteilung zum Beweis dafür heranzuziehen, dass die verfahrensgegenständlichen Daten zur Erfüllung des Zweckes des Gläubigerschutzes zumindest sieben Jahre vorzuhalten seien.

Der Zweitbeschwerdeführer führte in seiner Beschwerde aus, den Bescheid der belangten Behörde hinsichtlich der Teilabweisung des Löschungsanspruches zu Forderung in Höhe von EUR 217,30 anzufechten, da ein Löschungsanspruch als Folge der vollständigen Begleichung beider Forderungen bestehe. Die Rechtsansicht der belangten Behörde, dass dem Löschungsanspruch hinsichtlich der Eintragung der Forderung in Höhe von EUR 217,30 der berechtigte Gläubigerschutz entgegenstehe, sei verfehlt. Zur Beurteilung der Bonität seien einzig und alleine die offenen Forderungen einer Person heranzuziehen und beglichene Zahlungserfahrungen daher umgehend zu löschen, da dadurch die tatsächliche Bonität verfälscht werde. In der Realität sei es auch nicht möglich aufgrund vergangener Zahlungserfahrungen die zukünftige Zahlungsfähigkeit zu beurteilen, da sich die Liquidität sehr schnell ändern könne. Zur Wahrung der überwiegenden Interessen des Zweitbeschwerdeführers seien sämtliche Zahlungserfahrungsdaten nach vollständiger Begleichung zu löschen.

7. Mit Schreiben vom 25.10.2019 wurden von der belangten Behörde die Beschwerden samt den bezughabenden Verwaltungsakten dem Bundesverwaltungsgericht vorgelegt und zur Beschwerde der Erstbeschwerdeführerin eine Stellungnahme abgegeben. Darin wurde festgehalten, dass den Ausführungen der Erstbeschwerdeführerin, es gebe keinen Anlass für ein Abgehen der gesicherten Spruchpraxis der belangten Behörde über die Dauer der Speicherung von Bonitätsdaten oder Zahlungserfahrungsdaten, zu entgegnen sei, dass von einer generell zulässigen Speicherdauer bonitätsrelevanter Daten von sieben Jahren auch nach alter Rechtslage nicht gesprochen werden könne. Es bestehe auch keine gesetzlich normierte Frist in Bezug auf die Speicherdauer von Einträgen in Datenbanken von Kreditauskunfteien. Mit Ingeltungtreten der DSGVO liege eine neue Rechtslage vor. Es müsse auf konkreten Sachverhalt bezogen jeweils eine Einzelfallprüfung durchgeführt werden. Im angefochtenen Bescheid habe die belangte Behörde daher unter Berücksichtigung aller maßgeblichen Umstände im Rahmen einer Einzelfallbeurteilung ausgesprochen, welche Daten in der Datenbank der Erstbeschwerdeführerin belassen werden könnten und welche Daten mangels berechtigten Interesses im Rahmen des Gläubigerschutzes zu löschen gewesen seien. Es sei nicht ersichtlich, inwiefern die Einholung von Auskünften beim einschlägigen Fachverband der Wirtschaftskammer Österreich oder durch Beiziehung geeigneter Sachverständiger zu einem wesentlich anderen Ergebnis geführt hätten.

8. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 17.07.2020 wurde die gegenständliche Rechtssache in die nunmehr zuständige Gerichtsabteilung W214 zugewiesen, wo sie am 24.07.2020 einlangte.

9. Das Bundesverwaltungsgericht übermittelte am 19.02.2021 den Beschwerdeführern die Stellungnahme der belangten Behörde sowie die Beschwerde der jeweils anderen Partei im Rahmen des Parteiengehörs.

10. Der Zweitbeschwerdeführer nahm mit Schriftsatz vom 08.03.2021 Stellung und führte aus, dass das Vorbringen der Erstbeschwerdeführerin vollumfänglich bestritten werde. Die belangte Behörde habe zurecht festgestellt, dass die Eintragung der Forderung in Höhe von EUR 17,94 dazu geeignet sei, den Zweitbeschwerdeführer in seinem wirtschaftlichen Fortkommen zu hindern, da ein Kreditantrag des Zweitbeschwerdeführers bei seiner Hausbank abgelehnt worden sei und, dass eine Interessenabwägung ergeben habe, dass die Interessen sowie Grundrechte und Grundfreiheiten des Zweitbeschwerdeführers überwiegen würden und die Eintragung aus der Datenbank der Erstbeschwerdeführerin zu löschen sei. Zur Forderung in Höhe von EUR 217,30 werde auf die Ausführungen in der Bescheidbeschwerde verwiesen und ergänzend ausgeführt, dass nunmehr seit der positiven Erledigung bereits ein Zeitraum von 20 Monaten vergangen sei. Wenn die belangte Behörde bei einem verstrichenen Zeitraum von 24 Monaten feststelle, dass die Löschung vorzunehmen sei, so werde dieser Umstand auch bereits bei einem Zeitraum von 20 Monaten gegeben sein.

11. Die Erstbeschwerdeführerin erstattete am 11.03.2021 eine Stellungnahme und führte aus, dass der Zweitbeschwerdeführer seine Beschwerde im Wesentlichen mit der verfehlten Rechtsansicht begründe, dass zur Beurteilung der Bonität ausschließlich die gegen den Betroffenen noch bestehenden Forderungen heranzuziehen seien. Dieser Rechtsansicht stehe die ständige Rechtsprechung des Bundesverwaltungsgerichts und der belangten Behörde entgegen. Demnach sei die Speicherung von Zahlungserfahrungsdaten für einen Zeitraum von mindestens fünf Jahren nach deren „Schließung“ zulässig. Die belangte Behörde habe daher im angefochtenen Bescheid richtigerweise ausgesprochen, dass eine Speicherung der Daten zu der am 10.07.2019 beglichenen Forderung in Höhe von € 217,30 zulässig sei. Der ständigen Spruchpraxis des Bundesverwaltungsgerichts und der belangten Behörde liege zugrunde, dass zur korrekten Beurteilung der Bonität im Sinne des Gläubigerschutzes auch die in der Vergangenheit gegen einen Betroffenen bestandenen geschlossenen Forderungen heranzuziehen seien. Es sei zu berücksichtigen, dass Voraussetzung dafür, dass eine Zahlungserfahrung überhaupt erst in der Datenbank der Erstbeschwerdeführerin eingemeldet werde, ein fortgesetzter qualifizierter Zahlungsverzug des Betroffenen sei. Bereits das Auftreten dieses fortgesetzten qualifizierten Zahlungsverzugs sei für potenzielle Gläubiger und Vertragspartner des Betroffenen eine bonitätsrelevante Information. Wenn der Zweitbeschwerdeführer meine, es käme zu einer „Verfälschung“ der tatsächlichen Bonität, so sei ihm zu entgegnen, dass die verfahrensgegenständlichen Zahlungserfahrungsdaten unstrittigerweise richtig seien. Wenn der Zweitbeschwerdeführer vermeine, vergangene Zahlungserfahrungsdaten seien nicht geeignet, um die zukünftige Zahlungsfähigkeit zu beurteilen, so sei ihm nicht nur die Rechtsprechung des Bundesverwaltungsgerichts entgegenzuhalten, wonach getilgte Forderungen „grundsätzlich erforderlich und geeignet [sind], um eine Prognose über [das] zukünftige Zahlungsverhalten abgeben zu können“, sondern auch, dass ein umfangreiches negatives Zahlungsverhalten in der Vergangenheit statistisch sehr wohl ein verlässlicher Indikator für ein zukünftiges schlechtes Zahlungsverhalten sei. Überdies sei nochmals klarstellend anzumerken, dass die Entscheidung darüber, wie ein Kunde der Erstbeschwerdeführerin mit der durch sie gelieferten Bonitätsauskunft verfahre, diesem obliege.

12. Die Stellungnahmen wurden den jeweils anderen Parteien zum Parteiengehör übermittelt.

13. Am 23.04.2021 erstattete die Erstbeschwerdeführerin eine ergänzende Stellungnahme und brachte erneut vor, dass der Zweitbeschwerdeführer, wenn er in seiner Stellungnahme vorbringe, dass bereits beglichene Forderungen für die Beurteilung der Bonität nicht herangezogen werden dürften und dass ihm deshalb ein Kredit bei einer Bank verwehrt geblieben sei, abermals verkenne, dass nach der Rechtsprechung des Bundesverwaltungsgerichts auch bereits beglichene und in der Vergangenheit liegende Forderungen von einer Kreditauskunftei verarbeitet werden dürften. Nach nunmehr ständiger Rechtsprechung des Bundesverwaltungsgerichtes bestehe daher insbesondere für Kleinbetragsforderungen eine zulässige Speicherdauer von mindestens fünf Jahren. Bonitätsbeurteilungen müssten notwendigerweise, sofern vorhanden, vergangene Zahlungserfahrungen berücksichtigen, um ein vollständiges Bild liefern zu können. Entgegen der Ansicht des Zweitbeschwerdeführers seien dessen Hausbank damit sehr wohl aktuelle Daten zur Beurteilung der Bonität zur Verfügung gestanden. Die wirtschaftliche Entscheidung ein Geschäft abzuschließen, würden die Kunden der Erstbeschwerdeführerin selbstständig treffen. Das wirtschaftliche Fortkommen des Zweitbeschwerdeführers sei durch die Erstbeschwerdeführerin demnach nicht behindert worden. Die Beurteilung der belangten Behörde, wonach die Zahlungserfahrung in Höhe von EUR 17,94 nicht mehr bonitätsrelevant sei, verkenne die Rechtsprechung des Bundesverwaltungsgerichtes zur Rechtmäßigkeit der Verarbeitung solcher Kleinbetragsforderungen über mindestens 5 Jahre und die Fakten, wonach zur Beurteilung der Bonität notwendigerweise vergangene Zahlungserfahrungen heranzuziehen seien sowie, dass die Entscheidung, ob ein Geschäft abgeschlossen werde, von Kunden der Erstbeschwerdeführerin selbstständig getroffen werde. Überdies verkenne die Behörde die aktuelle Rechtsprechung wonach die Heranziehung der Insolvenzdatei kein für die Beurteilung maßgeblicher Umstand sei. Zur Zahlungserfahrung in Höhe von EUR 217,30 sei anzumerken, dass die Forderung mehrere Jahre lang unberichtigt ausgehaftet habe, bevor sie vom Zweitbeschwerdeführer schließlich beglichen worden sei. Selbst wenn die Zahlungserfahrung nun 20 Monate positiv erledigt sei, ändere dies nichts daran, dass auch eine solche Zahlungserfahrung zu speichern sei. Zu den Ausführungen des Zweitbeschwerdeführers zur durch die Erstbeschwerdeführerin erfolgten freiwilligen Löschung der Zahlungserfahrung in Höhe von EUR 58,92 (Herkunft: XXXX ) sei anzumerken, dass diese unpräjudiziell und rein aus Kulanz erfolgt sei.

Der Stellungnahme angeschlossen wurde ein aktueller Auszug der bei der Erstbeschwerdeführerin zum Zweitbeschwerdeführer gespeicherten Zahlungserfahrungsdaten sowie Namen und Adressen und Empfänger bzw. Empfängerkategorien der personenbezogenen Daten des Zweitbeschwerdeführers vom 23.04.2021.

14. Diese Stellungnahme wurde den anderen Parteien zur Kenntnis gebracht.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

Insbesondere wird folgender Sachverhalt festgestellt:

1. Die Erstbeschwerdeführerin betreibt eine Wirtschaftsauskunftei, in deren Rahmen sie Bonitätsauskünfte erteilt.

2. Der Zweitbeschwerdeführer stellte am 08.07.2019 ein Löschungsbegehren an die Erstbeschwerdeführerin, welches mit einem Antwortschreiben der Erstbeschwerdeführerin vom 10.07.2019 negativ beschieden wurde.

3. Der Zweitbeschwerdeführer richtete am 16.07.2019 eine Beschwerde an die belangte Behörde und machte eine Verletzung im Recht auf Löschung durch die Erstbeschwerdeführerin geltend.

4. Bei der Erstbeschwerdeführerin sind derzeit folgende verfahrensrelevante Daten über den Zweitbeschwerdeführer gespeichert:

ZAHLUNGSERFAHRUNGSDATEN

Eröffnet

Geschlossen

Kapitalforderung

Offen

Forderungsstatus

Zahlungsstatus

Herkunft der

Information

13.03.2017

10.07.2019

217,30 €

0,00 €

außergericht. Betreibung

positiv erledigt

XXXX

20.06.2017

10.08.2017

17,94 €

0,00 €

außergericht. Betreibung

positiv erledigt

XXXX

4. Bei den Forderungen handelt es sich um solche, die trotz dreimaliger Mahnung und damit fortbestehendem qualifizierten Zahlungsverzug weiterhin aushafteten.

5. Mit Bescheiden vom 23.11.2001, K095.014/021-DSK/2001 und 12.12.2007, GZ K600.033-018/0002-DVR/2007, wurden von der (damals zuständigen) Datenschutzkommission zur Meldung der „Warnliste“ und der „Kleinkreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung“ Auflagen erteilt, die die Zeitdauer von Eintragungen im Zusammenhang mit konkreten Kreditschuldverhältnissen genau festlegen.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem gegenständlichen Gerichtsakt und sind unstrittig.

3. Rechtliche Beurteilung:

3.1.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.1.3. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu Spruchteil A):

3.2.1. Rechtslage:

Art. 4 Z 1 und 2 DSGVO lauten:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1.„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2.„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;“

Art. 5 DSGVO lautet:

„Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a)

auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

B )

für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c)

dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d)

sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e)

in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f)

in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Art. 6 Abs. 1 DSGVO lautet:

„Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a)

Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b)

die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c)

die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d)

die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e)

die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f)

die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“

Art. 17 DSGVO lautet:

„Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a)

Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b)

Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c)

Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d)

Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e)

Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f)

Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a)

zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b)

zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c)

aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d)

für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e)

zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.“

§ 1 DSG lautet:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1.         das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2.         das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.“

§ 152 GewO lautet:

„Auskunfteien über Kreditverhältnisse

§ 152. (1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.

(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwech