Norm
GewO 1994 §94 Z36Text
GZ: 2025-1.043.098 vom 19. Dezember 2025 (Verfahrenszahl: DSB-D124.3455/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Waltraud A*** (beschwerdeführende Partei) vom 29. September 2025, ergänzt am 30. September 2025 und am 1. Oktober 2025, gegen die N*** Forderungsmanagement GmbH (Beschwerdegegnerin), vertreten durch die L*** & O*** Rechtsanwälte KG, wegen behaupteter Verletzung im Recht auf Geheimhaltung, im Recht auf Löschung und im Recht auf Information wie folgt:
Rechtsgrundlagen: Art. 4, Art. 5 Abs. 1 lit. c und lit. d, Art. 6 Abs. 1 lit. f, Art. 14, Art. 17 Abs. 1 und Abs. 3, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 94 Z 36 sowie 118 der Gewerbeordnung 1994 (GewO 1994), BGBl. Nr. 194/1994 idgF.Rechtsgrundlagen: Artikel 4,, Artikel 5, Absatz eins, Litera c und Litera d,, Artikel 6, Absatz eins, Litera f,, Artikel 14,, Artikel 17, Absatz eins und Absatz 3,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen eins, Absatz eins, 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Paragraphen 94, Ziffer 36, sowie 118 der Gewerbeordnung 1994 (GewO 1994), Bundesgesetzblatt Nr. 194 aus 1994, idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Im Rahmen ihrer verfahrenseinleitenden Eingabe behauptete die beschwerdeführende Partei (nachfolgend: bf Partei) eine Verletzung im Recht auf Geheimhaltung sowie im Recht auf Löschung dadurch, dass die Beschwerdegegnerin mit der Einmeldung ihrer Daten an Kreditauskunfteien drohe, obwohl die zugrundeliegende Forderung ausdrücklich bestritten werde. Dies würde sich ihrer Ansicht nach als rechtswidrig erweisen.
2. Die Beschwerdegegnerin replizierte in weiterer Folge, dass sie das Gewerbe der Inkassoinstitute ausübe. Im konkreten Fall sei die Beschwerdegegnerin von einem Versicherungsunternehmen beauftragt worden, eine aushaftende Prämie bei der bf Partei einzutreiben. Inwiefern diese Vorgangsweise einen Verstoß gegen das Recht auf Geheimhaltung oder gegen das Recht auf Löschung darstellen solle, sei für die Beschwerdegegnerin nicht ersichtlich. Festzuhalten sei außerdem, dass eine Weiterleitung von Daten des Inkassofalls der bf Partei an Dritte zu Zwecken der Bonitätsbeurteilung nicht erfolgt sei.
3. Die bf Partei brachte im Rahmen des Parteiengehörs vor, dass die Beschwerdegegnerin personenbezogene Daten der bf Partei trotz Begleichung der Forderung verarbeitet habe, womit keine Rechtsgrundlage mehr bestanden habe. Außerdem seien falsche Daten verarbeitet sowie der bf Partei keine Informationen gemäß Art. 14 DSGVO erteilt worden.3. Die bf Partei brachte im Rahmen des Parteiengehörs vor, dass die Beschwerdegegnerin personenbezogene Daten der bf Partei trotz Begleichung der Forderung verarbeitet habe, womit keine Rechtsgrundlage mehr bestanden habe. Außerdem seien falsche Daten verarbeitet sowie der bf Partei keine Informationen gemäß Artikel 14, DSGVO erteilt worden.
4. Die Beschwerdegegnerin replizierte, dass die Informationen gem. Art. 13 bzw. Art. 14 DSGVO im Rahmen der Mahnschreiben erteilt worden seien. Eine unrichtige Datenverarbeitung sei zudem zu keinem Zeitpunkt vorgelegen. Im Übrigen verwies die Beschwerdegegnerin auf ihr bisheriges Vorbringen.4. Die Beschwerdegegnerin replizierte, dass die Informationen gem. Artikel 13, bzw. Artikel 14, DSGVO im Rahmen der Mahnschreiben erteilt worden seien. Eine unrichtige Datenverarbeitung sei zudem zu keinem Zeitpunkt vorgelegen. Im Übrigen verwies die Beschwerdegegnerin auf ihr bisheriges Vorbringen.
5. Im Rahmen ihrer abschließenden Stellungnahme wiederholte die bf Partei im Wesentlichen ihr bisheriges Vorbringen.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin die bf Partei dadurch im Recht auf Geheimhaltung, im Recht auf Löschung sowie im Recht auf Information verletzt hat, indem sie deren personenbezogene Daten rechtsgrundlos, unrichtig sowie entgegen der Verarbeitungsgrundsätze verarbeitet hat.
C. Sachverhaltsfeststellungen
1. Die Datenschutzbehörde legt das Vorbringen unter Punkt A ihren Sachverhaltsfeststellungen zugrunde.
2. Bei der Beschwerdegegnerin handelt es sich um ein im österreichischen Firmenbuch eingetragenes Inkassoinstitut mit Sitz in 1*** Wien. Sie verfügt seit 28. April 2008 über eine entsprechende Gewebeberechtigung.
3. Die Beschwerdegegnerin wurde im Jahr 2025 von der V*** Versicherungs-Aktiengesellschaft mit der Betreibung einer Forderung gegen die bf Partei beauftragt. Hintergrund war, dass die bf Partei im verfahrensrelevanten Zeitpunkt eine ihr vorgeschriebene Prämie für eine Haushaltsversicherung mit Fälligkeit am 1. April 2025 nicht bezahlt hatte. Die für die Forderungseintreibung erforderlichen Daten der bf Partei wurden der Beschwerdegegnerin von der V*** Versicherungs-Aktiengesellschaft übermittelt.
4. Am 15. Juli 2025 versendete die Beschwerdegegnerin erstmals eine Mahnung an die bf Partei, in welcher sie zur Zahlung des ausständigen Betrages aufgefordert und über die Betrauung der Beschwerdegegnerin mit dem Inkasso informiert wurde.
Daneben enthielt das Mahnschreiben auch nachfolgende Hinweise:
„Informationen gemäß Art. 13 + Art. 14 DSGVO„Informationen gemäß Artikel 13, + Artikel 14, DSGVO
Im Sinne der Art. 13 bzw. Art 14 DSGVO informieren wir Sie wie folgt über die Verarbeitung Ihrer personenbezogenen Daten. Art 13 DSGVO ist einschlägig, wenn wir Ihre Daten direkt von Ihnen erheben; Art 14 hingegen, wenn wir Ihre Daten nicht bei Ihnen, sondern etwa bei einem Dritten, erheben. In letzterem Fall informieren wir Sie insbesondere auch darüber, woher Ihre Daten stammen:Im Sinne der Artikel 13, bzw. Artikel 14, DSGVO informieren wir Sie wie folgt über die Verarbeitung Ihrer personenbezogenen Daten. Artikel 13, DSGVO ist einschlägig, wenn wir Ihre Daten direkt von Ihnen erheben; Artikel 14, hingegen, wenn wir Ihre Daten nicht bei Ihnen, sondern etwa bei einem Dritten, erheben. In letzterem Fall informieren wir Sie insbesondere auch darüber, woher Ihre Daten stammen:
Name & Kontaktdaten des Verantwortlichen:
N*** Forderungsmanagement GmbH, M***straße *9, 1*** Wien
Kontaktdaten des Datenschutzbeauftragten:
Der Datenschutzbeauftragte der N*** Forderungsmanagement GmbH ist unter n***.datenschutzbeauftragter@n***.at sowie per Post unter 1*** Wien, Z***platz *4/*3/*0 erreichbar.
Verarbeitungszwecke und Rechtsgrundlage:
Die Datenverarbeitung erfolgt zum Zweck des Forderungsmanagements (Durchführung von Inkassomaßnahmen) unserer Kunden und zur Wahrung der berechtigten Interessen von Gläubigern (Gläubigerschutz) sowie der Rechtsverfolgung.
Die Verarbeitung Ihrer Daten ist nach Art. 6 Abs. 1 Buchstabe b DSGVO für die Erfüllung eines Vertrags erforderlich (Durchsetzung der Zahlungsverpflichtung). Darüber hinaus ist die Datenverarbeitung nach Art. 6 Abs. 1 Buchstabe f DSGVO jedenfalls zur Wahrung unserer sowie der berechtigten Interessen unseres Kunden, also von Dritten, erforderlich. Ebenfalls kann es zu Datenverarbeitungen aufgrund von Einwilligungen gemäß Art 6 Abs. 1 Buchstabe a DSGVO kommen, die ebenso zu den oben genannten Zwecke erfolgen. Datenkategorien und Datenherkunft:Die Verarbeitung Ihrer Daten ist nach Artikel 6, Absatz eins, Buchstabe b DSGVO für die Erfüllung eines Vertrags erforderlich (Durchsetzung der Zahlungsverpflichtung). Darüber hinaus ist die Datenverarbeitung nach Artikel 6, Absatz eins, Buchstabe f DSGVO jedenfalls zur Wahrung unserer sowie der berechtigten Interessen unseres Kunden, also von Dritten, erforderlich. Ebenfalls kann es zu Datenverarbeitungen aufgrund von Einwilligungen gemäß Artikel 6, Absatz eins, Buchstabe a DSGVO kommen, die ebenso zu den oben genannten Zwecke erfolgen. Datenkategorien und Datenherkunft:
Folgende Kategorien von Daten werden von uns verarbeitet:
Stammdaten/Personendaten (Vorname, Nachname, Anschrift, Geburtsdatum), Kommunikationsdaten (Emailadresse,Telefonnummer), Vertragsdaten (Rechnungsnummer, Vertragsdatum), Forderungsdaten (Faktura- und Valutadatum, Angaben zur Forderung), Exekutionsdaten, Informationen aus öffentlichen Verzeichnissen und amtlichen Bekanntmachungen , ggf. Zahlungsinformationen, Wahrscheinlichkeitswerte zur internen Entscheidungsunterstützung, Fallhistorie.
Darüber hinaus halten wir fest, dass Ihre personenbezogenen Daten inklusive Zahlungserfahrungsdaten dazu verwendet werden, um unseren Kunden Auskunft über die Wahrscheinlichkeit der Einbringlichmachung von deren Forderungen erteilen zu können. Zu keinem Zeitpunkt erfolgen diese Verarbeitungen aber automatisiert. Letztlich entscheidet stets ein Mensch, welche konkreten Maßnahmen zu setzen oder welche Schlussfolgerungen aus den Auskünften gezogen werden.
Weiters haben die in diesem Zusammenhang gesetzten Tätigkeiten keine anderen rechtlichen Wirkungen zur Folge als jene, die Sie ohnehin zu erwarten hätten. Auch sind Sie durch die Datenverarbeitungen nicht auf ähnliche Weise erheblich beeinträchtigt.
Wir setzen die genannten Maßnahmen lediglich zur internen Ablaufsteuerung ein und treffen uns deshalb auch keine dahingehenden Informations- und Auskunftspflichten.
Datenherkunft:
Erklärung im Sinne des Artikel 14 DSGVO: Vorwiegend erhalten wir Ihre personenbezogenen Daten im Zuge der Fallübergabe von unseren Kunden (Ihren Gläubigern). Weitere relevante Daten stammen aus öffentlichen Registern. Sollten danach weitere Erhebungen nötig sein, beziehen wir einerseits Auftragsverarbeiter in die Fallbearbeitung ein oder nutzen die Dienste von gewerberechtlich befugten Unternehmern, um die betreffenden Daten zu erheben (insbesondere Adress- und Bonitätsdaten).
Erklärung im Sinne des Artikel 13 DSGVO: Im Einzelfall kann es auch dazu kommen, dass wir Ihre Daten direkt bei Ihnen erheben.
Wir verarbeiten auch jene Ihrer personenbezogenen Daten, die Sie uns selbst, etwa im Zuge eines Telefonats oder einer E-mailkorrespondenz, mitteilen, sofern dies zur Erreichung der oben genannten Zwecke erforderlich ist.
Empfänger/Kategorien von Empfängern:
Zur Einbringlichmachung der Forderung kann es erforderlich sein, Ihre Daten an folgende Empfänger bzw. Kategorien von
Empfängern zu übermitteln:
• Ihre Gläubiger (unsere Auftraggeber);
• Dritte (sofern von Ihnen bevollmächtigt oder zur Vertretung befugt);
• (andere) Inkassobüros;
• Rechtsanwälte;
• Auftragsverarbeiter (N*** Gläubiger-Schutzverband, N*** Holding AG, N*** Information GmbH,
• D*** Aktiengesellschaft für den Postversand; Alfons U***, MBA zum Zwecke des Telefoninkasso;
• L*** GmbH zum Zwecke der Zahlungsabwicklung);
• Unternehmen der N***-Gruppe (N*** Gläubiger-Schutzverband, wenn eine Forderung Ihnen gegenüber in einem Insolvenzverfahren angemeldet werden muss;
• N*** Information GmbH, wenn im Zuge des Forderungsmanagements Ihre Bonität beurteilt werden muss sowie zur allfälligen Aufnahme in die T***datenbank oder die Q***evidenz);
• Drittschuldner;
• Abtretungsempfänger;
• Gerichte;
• Schuldnervertreter (etwa von Ihnen gewählte Rechtsvertreter).
Darüber hinaus weisen wir Sie darauf hin, dass auch Sie betreffende Zahlungserfahrungsdaten über unbestrittene und trotz Eintritt der Fälligkeit unbezahlte Forderungen sowie Adressdaten zum Zwecke des Gläubigerschutzes an die N*** nformation GmbH zur rechtmäßigen Verwendung im Rahmen ihrer Gewerbeberechtigungen gemäß §§ 151 (Adressverlag), 152 (Auskunftei über Kreditverhältnisse) und 153 (Dienstleistungen in der automatischen Datenverarbeitung und EDV Technik) der Gewerbeordnung 1994 übermittelt werden können.Darüber hinaus weisen wir Sie darauf hin, dass auch Sie betreffende Zahlungserfahrungsdaten über unbestrittene und trotz Eintritt der Fälligkeit unbezahlte Forderungen sowie Adressdaten zum Zwecke des Gläubigerschutzes an die N*** nformation GmbH zur rechtmäßigen Verwendung im Rahmen ihrer Gewerbeberechtigungen gemäß Paragraphen 151, (Adressverlag), 152 (Auskunftei über Kreditverhältnisse) und 153 (Dienstleistungen in der automatischen Datenverarbeitung und EDV Technik) der Gewerbeordnung 1994 übermittelt werden können.
Eine Weiterleitung von personenbezogenen Daten erfolgt ausschließlich auf Grundlage der DSGVO und grundsätzlich innerhalb der EU. Ist es im Einzelfall erforderlich, Inkassomaßnahmen außerhalb der EU zu setzen, kann es dazu kommen, dass wir Ihre Daten insbesondere an Inkassobüros oder Rechtsanwälte außerhalb der EU übermitteln. Derartige Übermittlungen nehmen wir nur vor, sofern dafür ein Angemessenheitsbeschluss der Europäischen Kommission bzw. geeignete Garantien vorliegen oder die Übermittlung genehmigungsfrei ist.
Dauer der Speicherung:
Diese Daten werden von uns nur solange aufbewahrt, wie dies zur Erfüllung der Verarbeitungszwecke, aufgrund gesetzlicher oder behördlich empfohlener Aufbewahrungsfristen oder zur Abwehr allfälliger Haftungsansprüche erforderlich ist. Nach Zahlung der ausstehenden Forderung oder Beendigung des Inkassoverfahrens werden Ihre Daten jedenfalls im Rahmen der gesetzlichen Aufbewahrungspflicht gemäß § 132 BAO bzw. § 212 UGB 7 Jahre aufbewahrt, sofern dem nicht andere rechtliche Vorgaben entgegenstehen, die eine längere Aufbewahrungsdauer erfordern.Diese Daten werden von uns nur solange aufbewahrt, wie dies zur Erfüllung der Verarbeitungszwecke, aufgrund gesetzlicher oder behördlich empfohlener Aufbewahrungsfristen oder zur Abwehr allfälliger Haftungsansprüche erforderlich ist. Nach Zahlung der ausstehenden Forderung oder Beendigung des Inkassoverfahrens werden Ihre Daten jedenfalls im Rahmen der gesetzlichen Aufbewahrungspflicht gemäß Paragraph 132, BAO bzw. Paragraph 212, UGB 7 Jahre aufbewahrt, sofern dem nicht andere rechtliche Vorgaben entgegenstehen, die eine längere Aufbewahrungsdauer erfordern.
Datensicherheit
Wir setzen die erforderlichen technischen und organisatorischen Schritte, um die von uns verarbeiteten personenbezogenen Daten insbesondere vor unerlaubten, rechtswidrigen oder zufälligen Zugriffen durch unberechtigte Personen, Datenmanipulationen, Verlust oder Zerstörung zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.
Rechte der betroffenen Person:
Auskunftsrecht nach Art 15 DSGVOAuskunftsrecht nach Artikel 15, DSGVO
Die faire und transparente Verarbeitung von Daten ist uns wichtig. Entsprechend Art 15 Abs 1 DSGVO haben Sie das Recht, eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden und Sie haben das Recht, Auskunft darüber zu erhalten. In dieser Auskunft erfahren Sie, welche Ihrer Daten bei uns zum Zweck des Inkassomanagements gespeichert sind.Die faire und transparente Verarbeitung von Daten ist uns wichtig. Entsprechend Artikel 15, Absatz eins, DSGVO haben Sie das Recht, eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden und Sie haben das Recht, Auskunft darüber zu erhalten. In dieser Auskunft erfahren Sie, welche Ihrer Daten bei uns zum Zweck des Inkassomanagements gespeichert sind.
Richtigstellung
Unser Interesse gilt der Richtigkeit der Daten. Nach Artikel 16 DSGVO haben Sie das Recht, unverzüglich die Berichtigung Ihrer unrichtigen personenbezogener Daten sowie unter Berücksichtigung der Zwecke der Verarbeitung die Vervollständigung unvollständiger personenbezogener Daten - auch mittels einer ergänzenden Erklärung - zu verlangen. Die Nachweise dazu werden im Sinne einer transparenten Bearbeitung schriftlich verlangt.
Widerspruch und Löschbegehren
Ihre Widersprüche nach Art 21 DSGVO werden im Einzelfall geprüft und entsprechend den einschlägigen Normen behandelt.Ihre Widersprüche nach Artikel 21, DSGVO werden im Einzelfall geprüft und entsprechend den einschlägigen Normen behandelt.
Bei Löschbegehren nach Art 17 DSGVO wird geprüft, ob die vorliegenden Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind und gegebenenfalls gelöscht.Bei Löschbegehren nach Artikel 17, DSGVO wird geprüft, ob die vorliegenden Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind und gegebenenfalls gelöscht.
Einschränkungen der Verarbeitung
Art 18 DSGVO sieht unter anderem das Recht vor, die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:Artikel 18, DSGVO sieht unter anderem das Recht vor, die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:
• die Richtigkeit der personenbezogenen Daten von Ihnen bestritten wird, und zwar für eine Dauer, die es uns ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,
• die Verarbeitung unrechtmäßig ist und Sie die Löschung der personenbezogenen Daten ablehnt haben und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangen,
• wir die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigen, Sie selbst die Daten jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen, oder
• Sie Widerspruch gegen die Verarbeitung gemäß Art 21 Abs 1 DSGVO eingelegt haben, solange noch nicht feststeht, ob unsere berechtigten Gründe gegenüber Ihren Gründen überwiegen.• Sie Widerspruch gegen die Verarbeitung gemäß Artikel 21, Absatz eins, DSGVO eingelegt haben, solange noch nicht feststeht, ob unsere berechtigten Gründe gegenüber Ihren Gründen überwiegen.
Wurde die Verarbeitung demgemäß eingeschränkt, so dürfen diese personenbezogenen Daten - von ihrer Speicherung abgesehen - nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Europäischen Union oder eines Mitgliedstaats verarbeitet werden.
Beschwerderecht bei der Datenschutzbehörde:
Wenn Sie der Meinung sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt oder Ihre datenschutzrechtlichen Ansprüche sonst in einer Weise verletzt worden sind, haben Sie zudem das Recht, sich bei der Datenschutzbehörde zu beschweren; deren Adresse ist: Barichgasse 40-42, 1030 Wien.“
5. Die bf Partei bezahlte die Kapitalsforderung am 16. Juli 2025 direkt an die V*** Versicherungs-Aktiengesellschaft.
Weitere in der Mahnung angeführte Nebenkosten (Zinsen, Spesen, Inkassokosten) wurden von der bf Partei ausdrücklich bestritten und nicht bezahlt.
6. Am 7. August 2025 übermittelte die Beschwerdegegnerin trotz vorheriger Zahlung der bf Partei ein neuerliches Mahnschreiben an die bf Partei. Hintergrund war, dass eine dritte Person die Inkassonummer der bf Partei bei der Leistung einer Zahlung angeführt hatte, womit es zu einer (vorläufigen) Fehlbuchung im internen System der Beschwerdegegnerin gekommen ist. Dies wurde von der Beschwerdegegnerin nach Kenntnis korrigiert.
Das Mahnschreiben vom 7. August 2025 enthielt gleichermaßen die unter Punkt C.4. genannten Hinweise.
7. Die Daten der bf Partei betreffend den vorliegenden Inkassofall (Zahlungserfahrungsdaten) wurden nicht an Dritte zu Zwecken der Bonitätsbeurteilung weitergegeben.
Beweiswürdigung: Die getroffenen Feststellungen beruhen auf dem stringenten und übereinstimmenden Parteienvorbringen sowie auf den durch die Verfahrensparteien in Kopie vorgelegten Unterlagen. Im Übrigen beruhen die Feststellungen auf einer amtswegigen Abfrage der Website „https://www.n***.at/impressum-n***-forderungsmanagement-gmbh“, des Firmenbuchs (FN 3*2*1*j) sowie des Gewerbeinformationssystems Austria (GISA-Zahl: 7*4*33*1), alles letztmalig abgefragt durch die Datenschutzbehörde am 17. Dezember 2025.
D. In rechtlicher Hinsicht folgt daraus:
Allgemeines
Eingangs ist darauf hinzuweisen, dass sowohl die Datenschutzbehörde als auch das BVwG in ständiger Judikatur vertreten, dass bei antragsgebunden Fällen - wie insbesondere dem Beschwerdeverfahren gemäß Art. 77 DSGVO iVm. § 24 Abs. 1 DSG - der Inhalt des Antrags (vorliegend: Inhalt der Beschwerde) den Prozessgegenstand des Verwaltungsverfahrens (vorliegend: den Beschwerdegegenstand) konstituiert und begrenzt (vgl. BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).Eingangs ist darauf hinzuweisen, dass sowohl die Datenschutzbehörde als auch das BVwG in ständiger Judikatur vertreten, dass bei antragsgebunden Fällen - wie insbesondere dem Beschwerdeverfahren gemäß Artikel 77, DSGVO in Verbindung mit Paragraph 24, Absatz eins, DSG - der Inhalt des Antrags (vorliegend: Inhalt der Beschwerde) den Prozessgegenstand des Verwaltungsverfahrens (vorliegend: den Beschwerdegegenstand) konstituiert und begrenzt vergleiche BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).
Ausgehend vom Vorbringen der bf Partei war verfahrensgegenständlich zu prüfen, ob die Beschwerdegegnerin die bf Partei dadurch in ihren Datenschutzrechten verletzt hat, indem sie 1.) Daten der bf Partei an Dritte zu Bonitätsbeurteilungszwecken weitergegeben hat 2.) Daten der bf Partei im Zusammenhang mit dem Mahnschreiben vom 15. Juli 2025 ohne rechtliche Grundlage verarbeitet hat 3.) (unrichtige) Daten der bf Partei im Zusammenhang mit dem Mahnschreiben vom 7. August 2025 ohne rechtliche Grundlage verarbeitet hat 4.) keine ausreichenden Informationen erteilt hat 5.) die Meldepflicht gemäß Art. 33 DSGVO verletzt hat sowie 6.) die Daten nicht unmittelbar nach Zahlungseingang gelöscht hat.Ausgehend vom Vorbringen der bf Partei war verfahrensgegenständlich zu prüfen, ob die Beschwerdegegnerin die bf Partei dadurch in ihren Datenschutzrechten verletzt hat, indem sie 1.) Daten der bf Partei an Dritte zu Bonitätsbeurteilungszwecken weitergegeben hat 2.) Daten der bf Partei im Zusammenhang mit dem Mahnschreiben vom 15. Juli 2025 ohne rechtliche Grundlage verarbeitet hat 3.) (unrichtige) Daten der bf Partei im Zusammenhang mit dem Mahnschreiben vom 7. August 2025 ohne rechtliche Grundlage verarbeitet hat 4.) keine ausreichenden Informationen erteilt hat 5.) die Meldepflicht gemäß Artikel 33, DSGVO verletzt hat sowie 6.) die Daten nicht unmittelbar nach Zahlungseingang gelöscht hat.
Das in § 1 DSG verankerte Grundrecht auf Datenschutz, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz des Betroffenen vor der Ermittlung seiner Daten und der Weitergabe der über ihn ermittelten Daten. Das Grundrecht auf Datenschutz gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Das in Paragraph eins, DSG verankerte Grundrecht auf Datenschutz, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz des Betroffenen vor der Ermittlung seiner Daten und der Weitergabe der über ihn ermittelten Daten. Das Grundrecht auf Datenschutz gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden.
Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind.Gemäß Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind.
Die DSGVO und auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).Die DSGVO und auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen vergleiche den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).
Gemäß Art. 4 Z 1 DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Der EuGH hat in Bezug auf Art. 2 lit. a der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt (vgl. das Urteil des EuGHs vom 20. Dezember 2017, C-434/16).Gemäß Artikel 4, Ziffer eins, DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Der EuGH hat in Bezug auf Artikel 2, Litera a, der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt vergleiche das Urteil des EuGHs vom 20. Dezember 2017, C-434/16).
Unter bestimmten Voraussetzungen ist ein Verantwortlicher gemäß Art. 17 DSGVO zur Löschung von personenbezogenen Daten verpflichtet. Etwa, wenn personenbezogenen für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Demgegenüber ist eine Löschung bspw dann nicht vorzunehmen, wenn die Daten zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich sind.Unter bestimmten Voraussetzungen ist ein Verantwortlicher gemäß Artikel 17, DSGVO zur Löschung von personenbezogenen Daten verpflichtet. Etwa, wenn personenbezogenen für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Demgegenüber ist eine Löschung bspw dann nicht vorzunehmen, wenn die Daten zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich sind.
1. Zur behaupteten Datenverarbeitung zu Bonitätszwecken
Nach ständiger Spruchpraxis der Datenschutzbehörde kann eine Verletzung des Grundrechts auf Geheimhaltung stets nur aus einer ex-post Betrachtung aufgrund der von in der Beschwerde relevierten Umstände festgestellt werden. Das bedeutet, dass einer Beschwerde betreffend Verletzungen, die sich entweder noch nicht manifestiert haben oder die sich bloß möglicherweise zutragen könnten, mangels Legitimation zur Beschwerde der Erfolg zu versagen ist (vgl. den Bescheid der DSB vom 13. September 2018, GZ DSB-D123.070/0005-DSB/2018).Nach ständiger Spruchpraxis der Datenschutzbehörde kann eine Verletzung des Grundrechts auf Geheimhaltung stets nur aus einer ex-post Betrachtung aufgrund der von in der Beschwerde relevierten Umstände festgestellt werden. Das bedeutet, dass einer Beschwerde betreffend Verletzungen, die sich entweder noch nicht manifestiert haben oder die sich bloß möglicherweise zutragen könnten, mangels Legitimation zur Beschwerde der Erfolg zu versagen ist vergleiche den Bescheid der DSB vom 13. September 2018, GZ DSB-D123.070/0005-DSB/2018).
Da - wie den Feststellungen zu entnehmen ist - die personenbezogenen Daten der bf Partei gerade nicht an Dritte zu Bonitätsbeurteilungszwecken weitergeleitet worden sind, war die Beschwerde in diesem Punkt gemäß § 24 Abs. 5 DSG abzuweisen.Da - wie den Feststellungen zu entnehmen ist - die personenbezogenen Daten der bf Partei gerade nicht an Dritte zu Bonitätsbeurteilungszwecken weitergeleitet worden sind, war die Beschwerde in diesem Punkt gemäß Paragraph 24, Absatz 5, DSG abzuweisen.
2. Zur behaupteten rechtsgrundlosen Datenverarbeitung iZm dem Mahnschreiben vom 15. Juli 2025
Im Zusammenhang mit dem Versand des Mahnschreibens vom 15. Juli 2025 ist es hingegen unstrittig, dass personenbezogene Daten der bf Partei, welche zur Betreibung der Forderung erforderlich waren (insb Name, Kontaktdaten, Information betreffend das Versicherungsverhältnis und Zahlungsinformationen), verarbeitet worden sind.
Des Weiteren ist darauf hinzuweisen, dass Inkassoinstitute - wie die Beschwerdegegnerin - nach herrschender Spruchpraxis der Datenschutzbehörde regelmäßig als eigenständige Verantwortliche zu qualifizieren sind (vgl. etwa den Bescheid der DSB vom 31. Oktober 2025, GZ: 2025-0.862.195).Des Weiteren ist darauf hinzuweisen, dass Inkassoinstitute - wie die Beschwerdegegnerin - nach herrschender Spruchpraxis der Datenschutzbehörde regelmäßig als eigenständige Verantwortliche zu qualifizieren sind vergleiche etwa den Bescheid der DSB vom 31. Oktober 2025, GZ: 2025-0.862.195).
Auch im vorliegenden Fall bestehen nach Ansicht der Datenschutzbehörde keine Zweifel an der weitgehend selbständige Aufgabenwahrnehmung der Beschwerdegegnerin und wurde dies auch nicht weiter bestritten.
Die Beschwerdegegnerin war somit als Verantwortliche iSv. Art. 4 Z 7 DSGVO zu qualifizieren.Die Beschwerdegegnerin war somit als Verantwortliche iSv. Artikel 4, Ziffer 7, DSGVO zu qualifizieren.
Da im vorliegenden Fall weder eine Zustimmung, gesetzliche Grundlage noch lebenswichtige Interessen der bf Partei zu erkennen waren, war in weiterer Folge zu prüfen, ob die Datenverarbeitung durch überwiegende berechtigte Interessen gerechtfertigt ist.
Die Datenverarbeitung auf der Rechtsgrundlage von „berechtigten Interessen“ ist nach der Rsp des EuGH unter drei kumulativen Voraussetzungen zulässig: i) Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN).Die Datenverarbeitung auf der Rechtsgrundlage von „berechtigten Interessen“ ist nach der Rsp des EuGH unter drei kumulativen Voraussetzungen zulässig: i) Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN).
In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann laut EuGH ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten (vgl. EuGH-Urteil vom 4. Juli 2023, C?252/21, Rn. 107).In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann laut EuGH ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten vergleiche EuGH-Urteil vom 4. Juli 2023, C?252/21, Rn. 107).
Die Gesetzmäßigkeit der Tätigkeit eines Inkassoinstituts ergibt sich daraus, dass es sich um eine in der Gewerbeordnung (vgl. §§ 94 Z 36 und 118 GewO 1994) vorgesehene, daher legale unternehmerische Dienstleistung handelt (vgl. in diesem Sinne schon den Bescheid der Datenschutzkommission vom 30. Juli 2010, K121.598/0006-DSK/2010; Im Übrigen auch den Bescheid der DSB vom 28. Oktober 2020, GZ: 2020-0.696.461).Die Gesetzmäßigkeit der Tätigkeit eines Inkassoinstituts ergibt sich daraus, dass es sich um eine in der Gewerbeordnung vergleiche Paragraphen 94, Ziffer 36, und 118 GewO 1994) vorgesehene, daher legale unternehmerische Dienstleistung handelt vergleiche in diesem Sinne schon den Bescheid der Datenschutzkommission vom 30. Juli 2010, K121.598/0006-DSK/2010; Im Übrigen auch den Bescheid der DSB vom 28. Oktober 2020, GZ: 2020-0.696.461).
Damit war der Beschwerdegegnerin unzweifelhaft ein berechtigtes Interesse an der Wahrnehmung ihrer Tätigkeit als Inkassoinstitut zuzubilligen.
Weiters hatte auch die Gläubigerin der Forderung (Versicherungsunternehmen) ein berechtigtes Interesse an der (außergerichtlichen) Betreibung der offenen Forderung. Im Rahmen ihrer Privatautonomie war sie auch durchaus dazu berechtigt sich eines Inkassounternehmens zu bedienen.
Laut EuGH ist die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten „Grundsatz der Datenminimierung“ (vgl. nach neuer Rechtslage: Art. 5 Abs. 1 lit. c DSGVO) zu sehen (vgl. Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 48 mwN).Laut EuGH ist die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten „Grundsatz der Datenminimierung“ vergleiche nach neuer Rechtslage: Artikel 5, Absatz eins, Litera c, DSGVO) zu sehen vergleiche Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 48 mwN).
Es ist daher zu prüfen, ob die verfahrensgegenständliche Datenverarbeitung geeignet ist, das angestrebte Ziel zu erreichen, dem Zweck angemessen und erforderlich ist, sowie dass der Zweck nicht durch gelindere Mittel erreicht werden kann, die weniger in die Grundrechte und Grundfreiheiten der betroffenen Person eingreifen.
Grundsätzlich erweist sich der Versand eines Mahnschreibens und die damit verbundene Verarbeitung von personenbezogenen Daten eines Schuldners als durchaus geeignetes Mittel um die Betreibung einer Forderung vorzunehmen. Auch sind aus Sicht der Datenschutzbehörde gelindere Mittel nicht zu erkennen.
Außerdem erfolgte die (Teil-)Zahlung der bereits am 1. April 2025 fälligen Forderung - wie von der bf Partei selbst vorgebracht - erst am 16. Juli 2025 und somit einen Tag nach dem Versand des verfahrensgegenständlichen Mahnschreibens am 15. Juli 2025. Inwiefern die Beschwerdegegnerin in diesem Zusammenhang „veraltete“ Daten der bf Partei verarbeitet hat, ist nicht ersichtlich.
Die verfahrensgegenständliche Verarbeitung erweist sich somit auch als erforderlich.
Dieser Punkt verlangt laut EuGH eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen anhand der konkreten Umstände des betreffenden Einzelfalls.
Dabei ist die Schwere der Beeinträchtigung der Rechte der betroffenen Person zu berücksichtigen und gegen das berechtigte Interesse abzuwägen, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird. Insbesondere ist der Art der in Rede stehenden personenbezogenen Daten Rechnung zu tragen, etwa der möglicherweise sensiblen Natur dieser Daten sowie deren Art und den konkreten Modalitäten ihrer Verarbeitung, insbesondere der Zahl der Personen, die Zugang zu diesen Daten haben, und den Zugangsmodalitäten. Schließlich sind für diese Abwägung ebenfalls die berechtigten Erwartungen der betroffenen Person relevant, also ob die Person unter den konkreten Umständen vernünftigerweise mit einer Verarbeitung ihrer Daten rechnen musste (vgl. Urteil des EuGH vom 11. Dezember 2019, C-708/18, Rz. 52-58).Dabei ist die Schwere der Beeinträchtigung der Rechte der betroffenen Person zu berücksichtigen und gegen das berechtigte Interesse abzuwägen, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird. Insbesondere ist der Art der in Rede stehenden personenbezogenen Daten Rechnung zu tragen, etwa der möglicherweise sensiblen Natur dieser Daten sowie deren Art und den konkreten Modalitäten ihrer Verarbeitung, insbesondere der Zahl der Personen, die Zugang zu diesen Daten haben, und den Zugangsmodalitäten. Schließlich sind für diese Abwägung ebenfalls die berechtigten Erwartungen der betroffenen Person relevant, also ob die Person unter den konkreten Umständen vernünftigerweise mit einer Verarbeitung ihrer Daten rechnen musste vergleiche Urteil des EuGH vom 11. Dezember 2019, C-708/18, Rz. 52-58).
Im vorliegenden Fall übersieht die Datenschutzbehörde nicht, dass dem Beschwerdeführer prinzipiell ein Interesse an der Geheimhaltung seiner Daten zuzubilligen ist.
Allerdings überwiegt bei Zahlungsverzug regelmäßig das berechtigte Interesse des Gläubigers (bzw. des Inkassounternehmens) an der effektiven Durchsetzung der Forderung gegenüber dem Interesse des Schuldners an der Nichtweitergabe der hierfür erforderlichen personenbezogenen Daten. Da die Einschaltung eines Inkassounternehmens darüber hinaus eine im Wirtschaftsleben übliche Maßnahme darstellt, musste die bf Partei mit der damit verbundenen Datenverarbeitung auch durchaus rechnen.
Die Datenschutzbehörde kommt daher insgesamt zu dem Ergebnis, dass im vorliegenden Fall das berechtigte Interesse der Beschwerdegegnerin (bzw. der Gläubigerin der bf Partei) überwiegt. Die Beschwerdegegnerin konnte sich auf Art. 6 Abs. 1 lit. f DSGVO stützen, weshalb die Beschwerde auch in diesem Punkt gemäß § 24 Abs. 5 DSG abzuweisen war.Die Datenschutzbehörde kommt daher insgesamt zu dem Ergebnis, dass im vorliegenden Fall das berechtigte Interesse der Beschwerdegegnerin (bzw. der Gläubigerin der bf Partei) überwiegt. Die Beschwerdegegnerin konnte sich auf Artikel 6, Absatz eins, Litera f, DSGVO stützen, weshalb die Beschwerde auch in diesem Punkt gemäß Paragraph 24, Absatz 5, DSG abzuweisen war.
3. Zur behaupteten Verarbeitung unrichtiger Daten iZm dem Versand des Mahnschreibens vom 7. August 2025
Zur grundsätzlichen Zulässigkeit der Verarbeitung der Daten der bf Partei im Zusammenhang mit der Eintreibung der offenen Forderung ist auf Punkt 2. zu verweisen.
Wie den Feststellungen zu entnehmen ist, erfolgte die Verarbeitung der personenbezogenen Daten der bf Partei iZm dem Mahnschreiben vom 7. August 2025 allerdings daher, da eine dritte Person die Inkassonummer der bf Partei bei der Leistung einer Zahlung angeführt hatte, womit es zu einer (vorläufigen) Fehlbuchung im internen System der Beschwerdegegnerin gekommen ist.
Der bf Partei kann somit insofern zugestimmt werden, als dass hier nicht der Realität entsprechende Informationen über die Zahlung verarbeitet worden sind und personenbezogene Daten gemäß Art. 5 Abs. 1 lit. d sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen; auch hat der Verantwortliche alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Grundsatz der Datenrichtigkeit“).Der bf Partei kann somit insofern zugestimmt werden, als dass hier nicht der Realität entsprechende Informationen über die Zahlung verarbeitet worden sind und personenbezogene Daten gemäß Artikel 5, Absatz eins, Litera d, sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen; auch hat der Verantwortliche alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Grundsatz der Datenrichtigkeit“).
Im Zusammenhang mit dem Grundsatz der Datenrichtigkeit hat das Bundesverwaltungsgericht in einem rezenten Erkenntnis jedoch festgehalten, dass die Geschwindigkeit, mit der die Daten aktuell zu halten sind, ebenso wie der Aufwand, den dies verursacht, auf ein zumutbares Maß beschränkt sein muss.
Jedenfalls hat der Verantwortliche bei Erhebung der Daten dafür Sorge zu tragen, dass die Daten richtig sind. Wenn sich später Hinweise auf die Unrichtigkeit ergeben, muss er diesen jedenfalls nachgehen. Aus dem Grundsatz der Richtigkeit ergibt sich - bereits nach dem Wortlaut - eine Pflicht, technische und organisatorische Maßnahmen zu treffen, die dazu führen, dass die Richtigkeit der verarbeiteten Daten überprüft wird und diese ggf richtiggestellt werden. Diese Maßnahmen müssen „angemessen“ sein. Wie ausgeprägt der Verantwortliche aktiv die Richtigkeit der verarbeiteten Daten überprüfen muss, ist somit nach dem allgemeinen Grundsatz der Verhältnismäßigkeit abzuwägen, wobei der damit verbundene Aufwand, der Verarbeitungszweck und das Risiko zu berücksichtigen sind, welches sich für den Betroffenen im Hinblick auf den Verarbeitungszweck aus der Verarbeitung unrichtiger Daten ergeben kann. In der Wortwahl „erforderlichenfalls“ liegt eine nicht unerhebliche Einschränkung des Grundsatzes der Richtigkeit, sodass sich aus diesem nicht die Regel ergibt, alle Daten in Echtzeit oder doch zeitnah zu berichtigen.
Dies bedeutet im Umkehrschluss, dass im Fall der Ergreifung aller angemessenen Maßnahmen durch einen Verantwortlichen, der Verarbeitungsgrundsatz der Richtigkeit nicht verletzt ist und eine monierte Verletzung im Recht auf Geheimhaltung nicht vorliegt (vgl. Erkenntnis des BVwG vom 14.10.2025, W137 2236019-1).Dies bedeutet im Umkehrschluss, dass im Fall der Ergreifung aller angemessenen Maßnahmen durch einen Verantwortlichen, der Verarbeitungsgrundsatz der Richtigkeit nicht verletzt ist und eine monierte Verletzung im Recht auf Geheimhaltung nicht vorliegt vergleiche Erkenntnis des BVwG vom 14.10.2025, W137 2236019-1).
Im vorliegenden Fall ist festzuhalten, dass die Beschwerdegegnerin ihrer Verpflichtung zur Gewährleistung der Datenrichtigkeit in ausreichendem Maße nachgekommen ist. Die verarbeiteten Daten waren zum Zeitpunkt ihrer Erhebung richtig. Die (bloß) temporäre Fehlzuordnung beruhte ausschließlich auf einer von einer dritten Person verursachen Verwechslung einer prinzipiell eindeutigen Identifikationsnummer und lag somit außerhalb des Einfluss- und Verantwortungsbereiches der Beschwerdegegnerin.
Weiters ist zu berücksichtigen, dass auf Grundlage dieser Fehlzuordnung zwar ein Mahnschreiben versendet worden ist, daraus jedoch keine weiteren nachteiligen Konsequenzen für die bf Partei entstanden sind. Zudem hat die Beschwerdegegnerin die unrichtige Zuordnung nach deren bekannt werden umgehend berichtigt.
Auch in diesem Zusammenhang kann daher eine Verletzung im Recht auf Geheimhaltung nicht festgestellt werden, womit die Beschwerde in diesem Punkt gemäß § 24 Abs. 5 DSG abzuweisen war.Auch in diesem Zusammenhang kann daher eine Verletzung im Recht auf Geheimhaltung nicht festgestellt werden, womit die Beschwerde in diesem Punkt gemäß Paragraph 24, Absatz 5, DSG abzuweisen war.
4. Zur behaupteten Nichterteilung von Informationen
Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so erteilt der Verantwortliche der betroffenen Person die Informationen gemäß Art. 14 DSGVO. Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so erteilt der Verantwortliche der betroffenen Person die Informationen gemäß Artikel 14, DSGVO.
Wie den Feststellungen zu entnehmen ist, erteilte die Beschwerdegegnerin der bf Partei die Informationen (u.a. über die Herkunft der Daten) im Rahmen des ersten Mahnschreibens vom 15. Juli 2025 (vgl. insb. Art. 14 Abs. 3 lit. b DSGVO).Wie den Feststellungen zu entnehmen ist, erteilte die Beschwerdegegnerin der bf Partei die Informationen (u.a. über die Herkunft der Daten) im Rahmen des ersten Mahnschreibens vom 15. Juli 2025 vergleiche insb. Artikel 14, Absatz 3, Litera b, DSGVO).
Die Beschwerde erwies sich daher auch in diesem Punkt als unberechtigt und war gemäß § 24 Abs. 5 DSG abzuweisen.Die Beschwerde erwies sich daher auch in diesem Punkt als unberechtigt und war gemäß Paragraph 24, Absatz 5, DSG abzuweisen.
5. Zur behaupteten Verletzung der Meldepflicht
In diesem Zusammenhang ist einerseits darauf hinzuweisen, dass sich die Betroffenenrechte grundsätzlich ausschließlich im 3. Kapitel der DSGVO befinden. Ungeachtet der Tatsache, dass im vorliegenden Fall eine Verletzung der Verpflichtung gemäß Art. 33 DSGVO ohnedies nicht erkennbar ist, wäre aus einem möglichen Verstoß grundsätzlich auch kein subjektiver Rechtsanspruch einer betroffenen Person ableitbar.In diesem Zusammenhang ist einerseits darauf hinzuweisen, dass sich die Betroffenenrechte grundsätzlich ausschließlich im 3. Kapitel der DSGVO befinden. Ungeachtet der Tatsache, dass im vorliegenden Fall eine Verletzung der Verpflichtung gemäß Artikel 33, DSGVO ohnedies nicht erkennbar ist, wäre aus einem möglichen Verstoß grundsätzlich auch kein subjektiver Rechtsanspruch einer betroffenen Person ableitbar.
Die Beschwerde erwies sich daher auch in diesem Punkt als unberechtigt und war gemäß § 24 Abs. 5 DSG abzuweisen.Die Beschwerde erwies sich daher auch in diesem Punkt als unberechtigt und war gemäß Paragraph 24, Absatz 5, DSG abzuweisen.
6. Zum behaupteten Verstoß gegen das Recht auf Löschung
Da sich die vom bf monierte Datenverarbeitung - wie in den Punkten 1-5 ausgeführt - als rechtmäßig darstellt, war die Beschwerdegegnerin auch nicht zur Löschung der personenbezogenen Daten der bf Partei verpflichtet.
Auch wenn die von der Beschwerdegegnerin einzutreibenden Inkassokosten aufgrund der Bestreitung durch die bf Partei ohnedies noch nicht vollständig bezahlt worden sind, womit eine Löschung prima vista nicht in Frage käme, ist abschließend noch darauf hinzuweisen, dass es sich bei § 132 Abs. 1 BAO um eine konkrete rechtliche Verpflichtung (sog. „Verarbeitungsverpflichtung“) handelt, welche die Aufbewahrung von Daten iSd. Art. 17 Abs. 3 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. c erfordert (vgl. etwa den Bescheid der DSB vom 28.5.2018, GZ: DSB-D216.471/0001-DSB/2018, abrufbar im RIS).Auch wenn die von der Beschwerdegegnerin einzutreibenden Inkassokosten aufgrund der Bestreitung durch die bf Partei ohnedies noch nicht vollständig bezahlt worden sind, womit eine Löschung prima vista nicht in Frage käme, ist abschließend noch darauf hinzuweisen, dass es sich bei Paragraph 132, Absatz eins, BAO um eine konkrete rechtliche Verpflichtung (sog. „Verarbeitungsverpflichtung“) handelt, welche die Aufbewahrung von Daten iSd. Artikel 17, Absatz 3, Litera b, DSGVO bzw. Artikel 6, Absatz eins, Litera c, erfordert vergleiche etwa den Bescheid der DSB vom 28.5.2018, GZ: DSB-D216.471/0001-DSB/2018, abrufbar im RIS).
Die Beschwerde erwies sich daher auch in diesem Punkt als unberechtigt und war gemäß § 24 Abs. 5 DSG abzuweisen.Die Beschwerde erwies sich daher auch in diesem Punkt als unberechtigt und war gemäß Paragraph 24, Absatz 5, DSG abzuweisen.
Es war daher spruchgemäß zu entscheiden.
Schlagworte
Geheimhaltung, Löschung, Information, Rechtmäßigkeit der Verarbeitung, Datenrichtigkeit, Datenminimierung, Unternehmen, Inkassounternehmen, Inkassoinstitut, Inkassobüro, legale unternehmerische Dienstleistung, keine manifestierte Datenschutzverletzung, berechtigte Interessen, Interessenabwägung, Erforderlichkeit, Zahlungsverzug, Mahnung, geeignetes Mittel, Fehlbuchung, zeitnahe Berichtigung, gesetzliche Verpflichtung, VerarbeitungsverpflichtungEuropean Case Law Identifier (ECLI)
ECLI:AT:DSB:2025:2025.1.043.098Zuletzt aktualisiert am
01.07.2026
