Entscheidungsdatum
21.09.2023Norm
B-VG Art133 Abs4Spruch
,
W176 2259854-1/10E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. NEWALD als Vorsitzenden sowie die fachkundigen Laienrichter Mag. BOGENDORFER und RAUB über die Beschwerde von XXXX , vertreten durch Chyba & Engelmayer RAe OG, gegen den Bescheid der Datenschutzbehörde vom 08.07.2022, Zl. D124.0324/22, 2022-0.476.742 (Mitbeteiligte Partei: XXXX , vertreten durch Baker McKinsey Rae LLP & Co KG), betreffend Verletzung im Recht auf Löschung, in nichtöffentlicher Sitzung zu Recht erkannt:Das Bundesverwaltungsgericht hat durch den Richter Mag. NEWALD als Vorsitzenden sowie die fachkundigen Laienrichter Mag. BOGENDORFER und RAUB über die Beschwerde von römisch 40 , vertreten durch Chyba & Engelmayer RAe OG, gegen den Bescheid der Datenschutzbehörde vom 08.07.2022, Zl. D124.0324/22, 2022-0.476.742 (Mitbeteiligte Partei: römisch 40 , vertreten durch Baker McKinsey Rae LLP & Co KG), betreffend Verletzung im Recht auf Löschung, in nichtöffentlicher Sitzung zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
,
,
Text
Entscheidungsgründe :, Entscheidungsgründe :
I. Verfahrensgang römisch eins. Verfahrensgang
1. Mit Eingabe vom 23.02.2022 erhob XXXX (in der Folge: BF) bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) unter Vorlage der Auskunft der MP vom 24.02.2021 eine Datenschutzbeschwerde gegen die XXXX (Mitbeteiligte Partei [MP]) wegen Verletzung in Recht auf Information (Art. 14 DSGVO) sowie im Recht auf Löschung (Art. 17 DSGVO) und führte im Wesentlichen aus: 1. Mit Eingabe vom 23.02.2022 erhob römisch 40 (in der Folge: BF) bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) unter Vorlage der Auskunft der MP vom 24.02.2021 eine Datenschutzbeschwerde gegen die römisch 40 (Mitbeteiligte Partei [MP]) wegen Verletzung in Recht auf Information (Artikel 14, DSGVO) sowie im Recht auf Löschung (Artikel 17, DSGVO) und führte im Wesentlichen aus:
Die MP sei eine Identitäts- und Bonitätsdatenbank, die Daten aus verschiedensten Quellen nutze, um diese an Dritte weiterzugeben. Die BF habe im Rahmen einer Anfrage bei einer Bank im Jahr 2021 erfahren, dass die MP in ihrer Datenbank auch Eintragungen zu ihrer Person habe, woraufhin sie die MP um Auskunft ersucht habe. Die Eintragungen in der Datenbank der MP seien der BF zuvor nicht bekannt gewesen. Mit Schreiben vom 08.02.2021 habe ihr die MP Auskunft über die zu ihrer Person verarbeiteten Daten erteilt. Nach der unverzüglichen Begleichung der Forderungen nach Kenntnisnahme sei die Eintragung keinesfalls gerechtfertigt. Mit Schreiben vom 18.02.2021 habe die BF mittels ihrer rechtsfreundlichen Vertretung die MP unter Verweis auf Art. 5 Abs. 1 lit. a DSGVO und die erforderliche Informationserteilung gemäß Art. 14 DSGVO aufgefordert, die vorhandenen Einträge in der Bonitätsauskunft zu löschen, doch habe die MP dieser Aufforderung nicht entsprochen. Die BF vertrete den Standpunkt, dass die Gläubigerschutzinteressen keinesfalls gerechtfertigt und die Einträge somit rechtswidrig erfolgt seien. Die verspätete Zahlung sei daher nicht von der BF verschuldet gewesen. Wäre die BF bereits bei der Eintragung der gegenständlichen Forderungen in die Bonitätsauskunft informiert worden, so hätte sie darlegen können, warum diese entstanden seien und wie rasch die Forderungen bezahlten worden seien. Da eine solche Information nicht erfolgt sei, sei ihr diese Möglichkeit vorenthalten worden und sie habe sich gegen die Datenverarbeitung nicht wehren können. Die Eintragungen seien somit rechtswidrig erfolgt. Da zwischen der BF und der MP zu keinem Zeitpunkt ein direktes Vertragsverhältnis bestanden habe, sei eine direkte Datenerhebung nicht erfolgt. Die BF sei weder von der MP noch durch einen Dritten über die Eintragung dieser Informationen informiert worden. Die MP habe die BF nicht darüber informiert, aus welcher Quelle die personenbezogenen Daten stammten. Die MP sei eine Identitäts- und Bonitätsdatenbank, die Daten aus verschiedensten Quellen nutze, um diese an Dritte weiterzugeben. Die BF habe im Rahmen einer Anfrage bei einer Bank im Jahr 2021 erfahren, dass die MP in ihrer Datenbank auch Eintragungen zu ihrer Person habe, woraufhin sie die MP um Auskunft ersucht habe. Die Eintragungen in der Datenbank der MP seien der BF zuvor nicht bekannt gewesen. Mit Schreiben vom 08.02.2021 habe ihr die MP Auskunft über die zu ihrer Person verarbeiteten Daten erteilt. Nach der unverzüglichen Begleichung der Forderungen nach Kenntnisnahme sei die Eintragung keinesfalls gerechtfertigt. Mit Schreiben vom 18.02.2021 habe die BF mittels ihrer rechtsfreundlichen Vertretung die MP unter Verweis auf Artikel 5, Absatz eins, Litera a, DSGVO und die erforderliche Informationserteilung gemäß Artikel 14, DSGVO aufgefordert, die vorhandenen Einträge in der Bonitätsauskunft zu löschen, doch habe die MP dieser Aufforderung nicht entsprochen. Die BF vertrete den Standpunkt, dass die Gläubigerschutzinteressen keinesfalls gerechtfertigt und die Einträge somit rechtswidrig erfolgt seien. Die verspätete Zahlung sei daher nicht von der BF verschuldet gewesen. Wäre die BF bereits bei der Eintragung der gegenständlichen Forderungen in die Bonitätsauskunft informiert worden, so hätte sie darlegen können, warum diese entstanden seien und wie rasch die Forderungen bezahlten worden seien. Da eine solche Information nicht erfolgt sei, sei ihr diese Möglichkeit vorenthalten worden und sie habe sich gegen die Datenverarbeitung nicht wehren können. Die Eintragungen seien somit rechtswidrig erfolgt. Da zwischen der BF und der MP zu keinem Zeitpunkt ein direktes Vertragsverhältnis bestanden habe, sei eine direkte Datenerhebung nicht erfolgt. Die BF sei weder von der MP noch durch einen Dritten über die Eintragung dieser Informationen informiert worden. Die MP habe die BF nicht darüber informiert, aus welcher Quelle die personenbezogenen Daten stammten.
Gemäß Art. 5 Abs. 1 lit. a DSGVO müssten personenbezogene Daten auf rechtmäßige Weise, nach dem Grundsatz von Treu und Glauben und in einer für die betroffene Person nachvollziehbare Weise verarbeitet werden. Der Grundsatz von Treu und Glauben verlange demnach vor allem eine Transparenz gegenüber der betroffenen Person und sehe somit eine Informationserteilung gemäß Art. 14 DSGVO vor. Eine Informationserteilung nach Art. 14 DSGVO sei jedoch zu keinem Zeitpunkt erfolgt. Es sei daher davon auszugehen, dass die Gläubigerschutzinteressen keinesfalls gerechtfertigt seien, sodass die Einträge durch die MP rechtswidrig erfolgt seien. Die BF hätte jedenfalls zum Zeitpunkt der Eintragung bzw. innerhalb einer angemessenen Frist über die Verarbeitung ihrer Daten informiert werden müssen. Insbesondere hätte die BF auch darüber informiert werden müssen, woher die MP die Daten habe. Es habe sich hier keinesfalls um öffentliche Daten gehandelt. Die gegenständlichen Eintragungen in der Bonitätsdatenauskunft stellten darüber hinaus eine erhebliche Beeinträchtigung der BF dar. Es sei üblich, dass vor allem Banken vor einer Kreditgewährung in derartige Auskunftsdateien Einsicht nehmen würden. Bereits Eintragungen über kleine Forderungen führten hier regelmäßig zu Schwierigkeiten. Gegenständlich seien hier zwei Forderungen iHv jeweils € 119,08 und € 373,00. Gemäß Art. 5 Abs. 1 lit d DSGVO gelte auch der Grundsatz der Datenrichtigkeit. Die MP habe daher dafür zu sorgen, dass die Daten sachlich richtig und auf dem neuesten Stand seien. Da es keine generelle Frist zur Löschung der bonitätsrelevanten Daten nach Tilgung der Schulden gebe, sei eine Einzelfallbeurteilung vorzunehmen und dabei die Höhe der einzelnen Forderungen, deren Alter und die Zeit bis zur Begleichung zu berücksichtigen. Die gegenständlichen Forderungen seien von der BF nach Kenntnisnahme unverzüglich beglichen worden. Eine Eintragung sei daher von vornherein nicht berechtigt gewesen. Im Hinblick auf diese konkreten Umstände sei eine Speicherung von mehr als zwei Jahren nicht gerechtfertigt und völlig überzogen. Die weitere Verarbeitung diese Daten stelle daher auch aus diesem Grund eine Verletzung im Recht auf Löschung dar. Gemäß Artikel 5, Absatz eins, Litera a, DSGVO müssten personenbezogene Daten auf rechtmäßige Weise, nach dem Grundsatz von Treu und Glauben und in einer für die betroffene Person nachvollziehbare Weise verarbeitet werden. Der Grundsatz von Treu und Glauben verlange demnach vor allem eine Transparenz gegenüber der betroffenen Person und sehe somit eine Informationserteilung gemäß Artikel 14, DSGVO vor. Eine Informationserteilung nach Artikel 14, DSGVO sei jedoch zu keinem Zeitpunkt erfolgt. Es sei daher davon auszugehen, dass die Gläubigerschutzinteressen keinesfalls gerechtfertigt seien, sodass die Einträge durch die MP rechtswidrig erfolgt seien. Die BF hätte jedenfalls zum Zeitpunkt der Eintragung bzw. innerhalb einer angemessenen Frist über die Verarbeitung ihrer Daten informiert werden müssen. Insbesondere hätte die BF auch darüber informiert werden müssen, woher die MP die Daten habe. Es habe sich hier keinesfalls um öffentliche Daten gehandelt. Die gegenständlichen Eintragungen in der Bonitätsdatenauskunft stellten darüber hinaus eine erhebliche Beeinträchtigung der BF dar. Es sei üblich, dass vor allem Banken vor einer Kreditgewährung in derartige Auskunftsdateien Einsicht nehmen würden. Bereits Eintragungen über kleine Forderungen führten hier regelmäßig zu Schwierigkeiten. Gegenständlich seien hier zwei Forderungen iHv jeweils € 119,08 und € 373,00. Gemäß Artikel 5, Absatz eins, Litera d, DSGVO gelte auch der Grundsatz der Datenrichtigkeit. Die MP habe daher dafür zu sorgen, dass die Daten sachlich richtig und auf dem neuesten Stand seien. Da es keine generelle Frist zur Löschung der bonitätsrelevanten Daten nach Tilgung der Schulden gebe, sei eine Einzelfallbeurteilung vorzunehmen und dabei die Höhe der einzelnen Forderungen, deren Alter und die Zeit bis zur Begleichung zu berücksichtigen. Die gegenständlichen Forderungen seien von der BF nach Kenntnisnahme unverzüglich beglichen worden. Eine Eintragung sei daher von vornherein nicht berechtigt gewesen. Im Hinblick auf diese konkreten Umstände sei eine Speicherung von mehr als zwei Jahren nicht gerechtfertigt und völlig überzogen. Die weitere Verarbeitung diese Daten stelle daher auch aus diesem Grund eine Verletzung im Recht auf Löschung dar.
2. Mit Erledigung vom 19.04.2022 übermittelte die belangte Behörde der MP die Datenschutzbeschwerde und forderte sie auf, die von der belangten Behörde gestellten Fragen zu antworten.
3. Mit Schriftsatz vom 03.05.2022 brachte die MP eine 08.02.2021 an die BF erteilte Auskunft und ein Schreiben an die BF vom 03.05.2022, in dem sie ihr ihre Datenschutzerklärung übermittelte, in Vorlage und brachte Folgendes vor:
3.1. (Zum Recht auf Löschung): Datenschutzrechtliche Rechtsgrundlage der Verarbeitung bonitätsrelevanter personenbezogener Daten in der Datenbank der MP seien berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen lägen auch auf Seiten Dritter vor, da der Zweck der Datenverarbeitung durch die MP darin bestehe, jenen Unternehmen einen Zugriff auf die Daten zu ermögliche, die im Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko – etwa bei der Lieferung ihrer Waren oder Dienstleistungen – eingehen (z.B. Lieferung auf offene Rechnung). Insbesondere für diese Unternehmen, die gegenüber ihren Vertragspartnern in Vorleistung treten, sei es essenziell, die Zahlungsmoral ihrer potentiellen Vertragspartner einschätzen zu können. Abfragen in der Datenbank der MP seien dabei ein wesentliches Mittel zur Erlangung dieser Informationen. Die Rechtmäßigkeit der Verarbeitung dieser Daten hänge folglich nicht von der Einwilligung eines Betroffenen ab. Informationen über (negative) Zahlungserfahrungen erhalte die MP dann, wenn ein Zahlungsverzug vorliege, die ersten beiden Mahnungen durch den Gläubiger erfolglos gewesen seien, auch die dritte Mahnung durch ein Inkassobüro erfolglos geblieben sei und daher ein fortbestehender qualifizierter Zahlungsverzug vorliege. 3.1. (Zum Recht auf Löschung): Datenschutzrechtliche Rechtsgrundlage der Verarbeitung bonitätsrelevanter personenbezogener Daten in der Datenbank der MP seien berechtigte Interessen nach Artikel 6, Absatz eins, Litera f, DSGVO. Die berechtigten Interessen lägen auch auf Seiten Dritter vor, da der Zweck der Datenverarbeitung durch die MP darin bestehe, jenen Unternehmen einen Zugriff auf die Daten zu ermögliche, die im Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko – etwa bei der Lieferung ihrer Waren oder Dienstleistungen – eingehen (z.B. Lieferung auf offene Rechnung). Insbesondere für diese Unternehmen, die gegenüber ihren Vertragspartnern in Vorleistung treten, sei es essenziell, die Zahlungsmoral ihrer potentiellen Vertragspartner einschätzen zu können. Abfragen in der Datenbank der MP seien dabei ein wesentliches Mittel zur Erlangung dieser Informationen. Die Rechtmäßigkeit der Verarbeitung dieser Daten hänge folglich nicht von der Einwilligung eines Betroffenen ab. Informationen über (negative) Zahlungserfahrungen erhalte die MP dann, wenn ein Zahlungsverzug vorliege, die ersten beiden Mahnungen durch den Gläubiger erfolglos gewesen seien, auch die dritte Mahnung durch ein Inkassobüro erfolglos geblieben sei und daher ein fortbestehender qualifizierter Zahlungsverzug vorliege.
Im gegenständlichen Fall seien die Zahlungserfahrungen (mit Eröffnungsdatum vom 19.07.2017 und 12.03.2019) am 27.07.2017 bzw. 19.03.2019 in der Datenbank der MP aufgenommen worden. Das Eröffnungsdatum liege oftmals Monate nach dem tatsächlichen Eintritt der Fälligkeit der zugrundeliegenden Forderung. Um ein sachlich richtiges und vollständiges Bild der zu einer Person gespeicherten bonitätsrelevanten Daten zu vermitteln und damit dem Grundsatz der Datenrichtigkeit nach Art. 5 Abs. 1 lit. d DSGVO Genüge zu tun, sei es daher wichtig, dass auch bereits bezahlte Forderungen in der Datenbank der MP verbleiben. Die Wahrscheinlichkeit künftiger Zahlungsausfälle sei statistisch signifikant erhöht, sobald es in der Vergangenheit zu einem oder mehreren Zahlungsausfällen gekommen sei. Datenrichtigkeit könne nur vorliegen, wenn sämtliche richtig verfügbare Daten, die für die Bonitätsbeurteilung relevant sind, verarbeitet würden. Würde die MP die verfahrensgegenständliche Forderung löschen, hätte dies ein verzerrtes und unrichtiges Bild über die Bonität der BF zur Folge. Die MP würde ihren Kunden daher die relevanten Zahlungserfahrungen, auf dies es schließlich in der Bonitätsbewertung ankomme, verschweigen. Dadurch würde im wirtschaftlichen Verkehr mit Unternehmen, die gegenüber der BF in Vorleistung treten, der Eindruck einer besseren Bonität entstehen, was nicht den Tatsachen entspreche. Die Richtigkeit der verfahrensgegenständlichen Einträge sei von der BF nicht beanstandet worden. Den hinter diesen Forderungen stehenden Gläubiger sei dadurch – zumindest temporär – ein enormer finanzieller Schaden entstanden. Durch dieses säumige Zahlungsverhalten seien die Gläubiger der BF weiters gezwungen gewesen, aufwendige Betreibungsmaßnahmen zu setzen. Würde die MP die verfahrensgegenständlichen Zahlungserfahrungen löschen und diesen Umstand somit bei der Darstellung der Bonität der BF verschweigen, bestehe in letzter Konsequenz die Gefahr, dass den in Vorleistung tretenden Unternehmen, die mit der BF kontrahieren und denen das Vorliegen der verfahrensgegenständlichen Zahlungserfahrungen vorenthalten werde, ebenfalls ein enormer Schaden aus potenziell eintretenden Zahlungsausfällen zugefügt werde oder sie zumindest einem aufwendigen Betreibungsprozess ausgesetzt werden würden. Deren Interessen würden dadurch unzumutbar beeinträchtigt werden. Die verbleibenden verfahrensgegenständlichen Zahlungserfahrungen hätten aufgrund ihrer Relevanz für die gegenständlichen Zwecke in der Datenbank der MP zu verbleiben.Im gegenständlichen Fall seien die Zahlungserfahrungen (mit Eröffnungsdatum vom 19.07.2017 und 12.03.2019) am 27.07.2017 bzw. 19.03.2019 in der Datenbank der MP aufgenommen worden. Das Eröffnungsdatum liege oftmals Monate nach dem tatsächlichen Eintritt der Fälligkeit der zugrundeliegenden Forderung. Um ein sachlich richtiges und vollständiges Bild der zu einer Person gespeicherten bonitätsrelevanten Daten zu vermitteln und damit dem Grundsatz der Datenrichtigkeit nach Artikel 5, Absatz eins, Litera d, DSGVO Genüge zu tun, sei es daher wichtig, dass auch bereits bezahlte Forderungen in der Datenbank der MP verbleiben. Die Wahrscheinlichkeit künftiger Zahlungsausfälle sei statistisch signifikant erhöht, sobald es in der Vergangenheit zu einem oder mehreren Zahlungsausfällen gekommen sei. Datenrichtigkeit könne nur vorliegen, wenn sämtliche richtig verfügbare Daten, die für die Bonitätsbeurteilung relevant sind, verarbeitet würden. Würde die MP die verfahrensgegenständliche Forderung löschen, hätte dies ein verzerrtes und unrichtiges Bild über die Bonität der BF zur Folge. Die MP würde ihren Kunden daher die relevanten Zahlungserfahrungen, auf dies es schließlich in der Bonitätsbewertung ankomme, verschweigen. Dadurch würde im wirtschaftlichen Verkehr mit Unternehmen, die gegenüber der BF in Vorleistung treten, der Eindruck einer besseren Bonität entstehen, was nicht den Tatsachen entspreche. Die Richtigkeit der verfahrensgegenständlichen Einträge sei von der BF nicht beanstandet worden. Den hinter diesen Forderungen stehenden Gläubiger sei dadurch – zumindest temporär – ein enormer finanzieller Schaden entstanden. Durch dieses säumige Zahlungsverhalten seien die Gläubiger der BF weiters gezwungen gewesen, aufwendige Betreibungsmaßnahmen zu setzen. Würde die MP die verfahrensgegenständlichen Zahlungserfahrungen löschen und diesen Umstand somit bei der Darstellung der Bonität der BF verschweigen, bestehe in letzter Konsequenz die Gefahr, dass den in Vorleistung tretenden Unternehmen, die mit der BF kontrahieren und denen das Vorliegen der verfahrensgegenständlichen Zahlungserfahrungen vorenthalten werde, ebenfalls ein enormer Schaden aus potenziell eintretenden Zahlungsausfällen zugefügt werde oder sie zumindest einem aufwendigen Betreibungsprozess ausgesetzt werden würden. Deren Interessen würden dadurch unzumutbar beeinträchtigt werden. Die verbleibenden verfahrensgegenständlichen Zahlungserfahrungen hätten aufgrund ihrer Relevanz für die gegenständlichen Zwecke in der Datenbank der MP zu verbleiben.
Im Hinblick auf die Speicherdauer stützt sich die BF auf die durch die Datenschutzbehörde und den Obersten Gerichtshof (OGH) bestätigte Rechtsprechung des Bundesverwaltungsgerichts, wonach unter Berücksichtigung der EU-Kapitaladäquanzverordnung eine Speicherdauer von mindestens fünf Jahren zulässig sei. Bei den verfahrensgegenständlichen Zahlungserfahrungen handle es sich um Zahlungserfahrungen, die in dem eben genannten Zeitraum für die Beobachtung lägen. Sie seien erst am 06.07.2018 bzw. am 03.07.2019 positiv erledigt worden. Der OGH habe weiters ausgesprochen, dass sogar eine zehnjährige Speicherung von Zahlungserfahrungsdateien zulässig sei. Im Ergebnis sei damit nach nunmehr ständiger Rechtsprechung von einer zulässigen Speicherdauer von mindestens fünf Jahren ab Erledigung der Forderung auszugehen. Aus sei die Zusammenschau mehrerer Forderungseinträge bedeutsam als sie Rückschlüsse auf das vergangene Zahlungsverhalten der BF zulasse. Diesbezüglich habe die Datenschutzbehörde bereits festgestellt, dass durch die Zusammenschau der betriebenen Forderungen eine wesentliche Aussage über die Bonität bzw. über das Zahlungsverhalten der BF getroffen werden könne. Aus der Zusammenschau der zur BF verarbeiteten Zahlungserfahrungen werde deutlich, dass seit Erledigung der ersten verfahrensgegenständlichen Forderung nicht von einem Wohlverhalten der BF ausgegangen werden könne. Zudem würden sich die verfahrensgegenständlichen Forderungen gemeinsam auf einen Betrag in nicht unbeträchtlicher Höhe von € 492,08 belaufen, der keinesfalls als geringfügig oder vernachlässigbar zu erachten sei. Nach der Rechtsprechung des Bundesverwaltungsgerichts könnten selbst geringfügige, qualifizierte Zahlungsausfälle auf das Zahlungsverhalten schließen lassen. Dies müsse daher umso mehr für die gegenständlichen Forderungen gelten. Da die Speicherung und Verarbeitung der gegenständlichen Zahlungserfahrung zweckkonform auf obiger Rechtsprechung erfolgt sei und deren Verarbeitung innerhalb eines als für die Verarbeitungstätigkeit als erforderlich und sinnvoll zu erachtenden fünfjährigen Mindest-Speicherzeitraums ab Erledigung der Forderung liege, sei eine Löschung der verfahrensgegenständlichen Zahlungserfahrung bis dato nicht erfolgt. Eine Löschung dieser Zahlungserfahrungen werde seitens der MP aus eigenem erfolgen, wenn sie für die Beurteilung der Bonität der BF irrelevant geworden sei und daher kein Verarbeitungszweck mehr bestehe.
3.2. (Zum Recht auf Information:) Die personenbezogenen Daten würden durch die MP üblicherweise nicht direkt bei der betroffenen Person selbst erhoben, womit eine Informationspflicht nach Art. 14 DSGVO bestehe. Diese Informationspflicht habe die MP auch im vorliegenden Fall vollständig erfüllt. Eine Erfüllung der Informationspflicht erfolge bereits durch die öffentliche Online-Zurverfügungstellung der geforderten Information. Auf der öffentlich leicht zugänglichen Website der MP sei die Datenschutzerklärung zur gegenständlichen Datenverarbeitung abrufbar, weshalb schon dadurch keine Verletzung der Informationsverpflichtung nach Art. 14 DSGVO vorliegen könne. Darüber hinaus werde eine zusätzliche Informationserteilung durch die „Datenübermittler“ sichergestellt. Diese Information befinde sich auf den Mahnschreiben, welche der jeweiligen betroffenen Person im Zuge der Forderungsbetreibung zugestellt werde. Auch hinsichtlich der Zahlungserfahrungen, welche zur BF verarbeitet würden und verarbeitet worden seien, sei damit eine Information erfolgt. Die BF sei damit darüber informiert worden, dass die MP als Kreditauskunftei und damit als Verantwortlicher die Daten der BF verarbeite und dies öffentlich ersichtlich sei. Selbst in dem Fall, dass man zu einem abweichenden Ergebnis hinsichtlich der Erfüllung der Informationspflicht durch die MP kommen sollte, sei eine eventuell entstandene Informationspflichtverletzung jedenfalls nachträglich beseitigt worden, indem der BF im Rahmen der beantragten Auskunft nach Art. 15 DSGVO (im Rahmen welcher unter anderem auf die Datenschutzerklärung der MP verwiesen werde) die nach Art. 14 DSGVO geforderten Informationen zur Verfügung gestellt worden seien. Dies sei daher spätestens mit der an die BF übermittelten Auskunft vom 09.02.2021 erfolgt. Die MP habe der BF zudem mit Schreiben vom 03.05.2022 nochmals ihre Datenschutzerklärung übermittelt. Das Vorbringen der BF, nicht über die Datenverarbeitung betreffend die verfahrensgegenständlichen Zahlungserfahrungen in Kenntnis gesetzt worden zu sein, treffe daher nicht zu. Zudem sei die Informationspflicht (nochmals) vollständig und im gesetzlichen Umfang im Rahmen des Auskunftsprozesses und durch erneute Übermittlung der Datenschutzerklärung erfüllt. Anders als von der BF vorgebracht, habe selbst eine Verletzung der Informationspflicht, die hier jedenfalls nicht vorliege, keine Rechtswidrigkeit der Verarbeitung bzw. Pflicht zur Löschung zur Folge. 3.2. (Zum Recht auf Information:) Die personenbezogenen Daten würden durch die MP üblicherweise nicht direkt bei der betroffenen Person selbst erhoben, womit eine Informationspflicht nach Artikel 14, DSGVO bestehe. Diese Informationspflicht habe die MP auch im vorliegenden Fall vollständig erfüllt. Eine Erfüllung der Informationspflicht erfolge bereits durch die öffentliche Online-Zurverfügungstellung der geforderten Information. Auf der öffentlich leicht zugänglichen Website der MP sei die Datenschutzerklärung zur gegenständlichen Datenverarbeitung abrufbar, weshalb schon dadurch keine Verletzung der Informationsverpflichtung nach Artikel 14, DSGVO vorliegen könne. Darüber hinaus werde eine zusätzliche Informationserteilung durch die „Datenübermittler“ sichergestellt. Diese Information befinde sich auf den Mahnschreiben, welche der jeweiligen betroffenen Person im Zuge der Forderungsbetreibung zugestellt werde. Auch hinsichtlich der Zahlungserfahrungen, welche zur BF verarbeitet würden und verarbeitet worden seien, sei damit eine Information erfolgt. Die BF sei damit darüber informiert worden, dass die MP als Kreditauskunftei und damit als Verantwortlicher die Daten der BF verarbeite und dies öffentlich ersichtlich sei. Selbst in dem Fall, dass man zu einem abweichenden Ergebnis hinsichtlich der Erfüllung der Informationspflicht durch die MP kommen sollte, sei eine eventuell entstandene Informationspflichtverletzung jedenfalls nachträglich beseitigt worden, indem der BF im Rahmen der beantragten Auskunft nach Artikel 15, DSGVO (im Rahmen welcher unter anderem auf die Datenschutzerklärung der MP verwiesen werde) die nach Artikel 14, DSGVO geforderten Informationen zur Verfügung gestellt worden seien. Dies sei daher spätestens mit der an die BF übermittelten Auskunft vom 09.02.2021 erfolgt. Die MP habe der BF zudem mit Schreiben vom 03.05.2022 nochmals ihre Datenschutzerklärung übermittelt. Das Vorbringen der BF, nicht über die Datenverarbeitung betreffend die verfahrensgegenständlichen Zahlungserfahrungen in Kenntnis gesetzt worden zu sein, treffe daher nicht zu. Zudem sei die Informationspflicht (nochmals) vollständig und im gesetzlichen Umfang im Rahmen des Auskunftsprozesses und durch erneute Übermittlung der Datenschutzerklärung erfüllt. Anders als von der BF vorgebracht, habe selbst eine Verletzung der Informationspflicht, die hier jedenfalls nicht vorliege, keine Rechtswidrigkeit der Verarbeitung bzw. Pflicht zur Löschung zur Folge.
4. Mit Stellungnahme vom 28.06.2022 erwiderte die BF zusammengefasst, dass sie von den Eintragungen bei der MP keine Kenntnis gehabt habe und es werde bestritten, dass sie von der Inkassobüro Y-GmbH, die in der Auskunft der MP angeführt werde, über die Weitergabe der Daten an die MP informiert worden sei. Es handle sich daher um keine rechtmäßige Weitergabe der Daten an die MP, weshalb sie zur Löschung verpflichtet sei. Betreffend die Rechnung des Rauchfangkehrmeisters werde bestritten, dass diese Rechnung der BF zugestellt worden sei. Die BF habe erst durch das Inkassobüro von der Rechnung bzw. der offenen Forderung Kenntnis erlangt und nach Kenntnisnahme den Betrag umgehend bezahlt. Üblicherweise sei es so, dass Rechnungen nicht eingeschrieben versendet würden. Daher sei den Rechnungsausstellern in den meisten Fällen nicht bekannt, ob eine solche zugestellt worden sei oder nicht. Die hier gegenständliche Rechnung sei der BF nicht zugestellt worden, andernfalls hätte sie den offenen Betrag zeitgerecht überwiesen. Auch dies zeige erneut, wie wichtig es sei, dass die MP die betroffenen Personen vor der Verarbeitung bzw. zumindest Veröffentlichung von Bonitätsdaten kontaktiere und um Bestätigung ersuche, dass die Daten richtig seien. Nur so könnte vermieden werden, dass die MP unrichtige Daten verarbeite. Dies sei von äußerst großer Bedeutung, da Eintragungen von offenen Forderungen zumeist erhebliche Konsequenzen nach sich ziehen. Dies zeige jedoch die hier bestehende Problematik. Es sei keine Information durch die MP erfolgt; über die Eintragung sei die BF erst aufgrund eines von ihr gestellten Auskunftsersuchens informiert worden und nicht durch die MP fristgerecht im Sinne des Art. 14 DSGVO. Aus den Zahlungserfahrungsdaten ergebe sich weder eine konkrete Rechnungsnummer noch der tatsächliche Gläubiger der Forderung, sodass es der BF nahezu unmöglich sei bzw. einen erheblichen Aufwand erfordere, um hier nähere Informationen zu der Forderung zu erhalten. Es sei durchaus nachvollziehbar, dass Unternehmen ein erhebliches Interesse an der Zahlungsmoral ihrer Kunden hätten. Die gegenständlichen Eintragungen bzw. verspäteten Zahlungen durch die BF seien jedoch keinesfalls geeignet, die Annahme einer schlechten Zahlungsmoral betreffend ihre Person zu begründen. Tatsächlich führten die gegenständlichen Eintragungen dazu, dass Unternehmen, welche die Datenbank der MP nutzten, davon ausgehen, dass die Bonität der BF nicht gut sei. Für diese Unternehmen sei nicht ersichtlich, warum es zu der Eintragung gekommen ist. Hinsichtlich der Forderung des Rauchfangkehrermeisters habe die BF keine Rechnung oder Mahnung erhalten und erst durch das Inkassoschreiben Kenntnis von der Forderung erlangt und diese sodann beglichen. Die Eintragung in der Auskunftsdatei der MP habe dazu geführt, dass völlig falsche Annahmen über die Bonität der BF getroffen worden seien. Eine Speicherung von bis zu fünf Jahren sei im konkreten Fall nicht gerechtfertigt. Im Hinblick auf die Höhe der Forderung und die rasche Begleichung nach Bekanntwerden des offenen Rechnungsbetrages sei keinesfalls von einer mangelnden Zahlungsmoral der BF auszugehen. Mangels eines Rechtfertigungsgrundes hätten die Eintragungen nicht veranlasst werden dürfen bzw. für den Fall einer bestehenden Rechtsgrundlage hätte die Speicherung nur für eine kürzere Zeit erfolgen dürfen, sodass wegen Zeitablaufs die Löschung bereits zu veranlassen gewesen wäre. Nach Art. 5 Abs. 1 lit. a DSGVO und nach Art. 14 DSGVO ergebe sich eine Informationspflicht der MP. Da eine solche nicht erfolgt sei, sei der Eintrag der Zahlungserfahrungsdaten rechtswidrig.4. Mit Stellungnahme vom 28.06.2022 erwiderte die BF zusammengefasst, dass sie von den Eintragungen bei der MP keine Kenntnis gehabt habe und es werde bestritten, dass sie von der Inkassobüro Y-GmbH, die in der Auskunft der MP angeführt werde, über die Weitergabe der Daten an die MP informiert worden sei. Es handle sich daher um keine rechtmäßige Weitergabe der Daten an die MP, weshalb sie zur Löschung verpflichtet sei. Betreffend die Rechnung des Rauchfangkehrmeisters werde bestritten, dass diese Rechnung der BF zugestellt worden sei. Die BF habe erst durch das Inkassobüro von der Rechnung bzw. der offenen Forderung Kenntnis erlangt und nach Kenntnisnahme den Betrag umgehend bezahlt. Üblicherweise sei es so, dass Rechnungen nicht eingeschrieben versendet würden. Daher sei den Rechnungsausstellern in den meisten Fällen nicht bekannt, ob eine solche zugestellt worden sei oder nicht. Die hier gegenständliche Rechnung sei der BF nicht zugestellt worden, andernfalls hätte sie den offenen Betrag zeitgerecht überwiesen. Auch dies zeige erneut, wie wichtig es sei, dass die MP die betroffenen Personen vor der Verarbeitung bzw. zumindest Veröffentlichung von Bonitätsdaten kontaktiere und um Bestätigung ersuche, dass die Daten richtig seien. Nur so könnte vermieden werden, dass die MP unrichtige Daten verarbeite. Dies sei von äußerst großer Bedeutung, da Eintragungen von offenen Forderungen zumeist erhebliche Konsequenzen nach sich ziehen. Dies zeige jedoch die hier bestehende Problematik. Es sei keine Information durch die MP erfolgt; über die Eintragung sei die BF erst aufgrund eines von ihr gestellten Auskunftsersuchens informiert worden und nicht durch die MP fristgerecht im Sinne des Artikel 14, DSGVO. Aus den Zahlungserfahrungsdaten ergebe sich weder eine konkrete Rechnungsnummer noch der tatsächliche Gläubiger der Forderung, sodass es der BF nahezu unmöglich sei bzw. einen erheblichen Aufwand erfordere, um hier nähere Informationen zu der Forderung zu erhalten. Es sei durchaus nachvollziehbar, dass Unternehmen ein erhebliches Interesse an der Zahlungsmoral ihrer Kunden hätten. Die gegenständlichen Eintragungen bzw. verspäteten Zahlungen durch die BF seien jedoch keinesfalls geeignet, die Annahme einer schlechten Zahlungsmoral betreffend ihre Person zu begründen. Tatsächlich führten die gegenständlichen Eintragungen dazu, dass Unternehmen, welche die Datenbank der MP nutzten, davon ausgehen, dass die Bonität der BF nicht gut sei. Für diese Unternehmen sei nicht ersichtlich, warum es zu der Eintragung gekommen ist. Hinsichtlich der Forderung des Rauchfangkehrermeisters habe die BF keine Rechnung oder Mahnung erhalten und erst durch das Inkassoschreiben Kenntnis von der Forderung erlangt und diese sodann beglichen. Die Eintragung in der Auskunftsdatei der MP habe dazu geführt, dass völlig falsche Annahmen über die Bonität der BF getroffen worden seien. Eine Speicherung von bis zu fünf Jahren sei im konkreten Fall nicht gerechtfertigt. Im Hinblick auf die Höhe der Forderung und die rasche Begleichung nach Bekanntwerden des offenen Rechnungsbetrages sei keinesfalls von einer mangelnden Zahlungsmoral der BF auszugehen. Mangels eines Rechtfertigungsgrundes hätten die Eintragungen nicht veranlasst werden dürfen bzw. für den Fall einer bestehenden Rechtsgrundlage hätte die Speicherung nur für eine kürzere Zeit erfolgen dürfen, sodass wegen Zeitablaufs die Löschung bereits zu veranlassen gewesen wäre. Nach Artikel 5, Absatz eins, Litera a, DSGVO und nach Artikel 14, DSGVO ergebe sich eine Informationspflicht der MP. Da eine solche nicht erfolgt sei, sei der Eintrag der Zahlungserfahrungsdaten rechtswidrig.
5. Mit bekämpften Bescheid vom 08.07.2022 wies die belangte Behörde die Beschwerde als unbegründet ab.
5.1. Beschwerdegegenstand sei die Frage, ob die MP die BF in ihrem Recht auf Löschung und Information dadurch verletzt habe, dass sie dem Löschantrag der BF betreffend zweier negativer Zahlungserfahrungen über € 119.08 (beglichen am 03.07.2019) sowie € 373,00 (beglichen am 06.07.2018) nicht nachgekommen sei und die BF nicht gemäß Art. 14 DSGVO über die Verarbeitung informiert habe.5.1. Beschwerdegegenstand sei die Frage, ob die MP die BF in ihrem Recht auf Löschung und Information dadurch verletzt habe, dass sie dem Löschantrag der BF betreffend zweier negativer Zahlungserfahrungen über € 119.08 (beglichen am 03.07.2019) sowie € 373,00 (beglichen am 06.07.2018) nicht nachgekommen sei und die BF nicht gemäß Artikel 14, DSGVO über die Verarbeitung informiert habe.
4.3. Rechtlich führte die belangte Behörde Folgendes aus:
4.3.1. Zur behaupteten Verletzungen des Grundsatzes von Treu und Glauben mangels hinreichender Information führte die belangte Behörde aus, dass der Verantwortliche für die Einhaltung des Grundsatzes einer rechtmäßigen, nach Treu und Glauben zu erfolgenden Verarbeitung gemäß Art. 5 Abs. 1 lit. a DSGVO rechenschaftspflichtig sei (Abs. 2 leg. cit.). Eine Verarbeitung müsse sowohl auf einem Rechtmäßigkeitsgrund gemäß Art. 6 DSGVO beruhen als auch mit Einklang mit den Grundsätzen nach Art. 5 DSGVO stehen. Die Verantwortlichkeit der Verarbeitung der personenbezogenen Daten der BF sei auch dann gegeben, wenn und soweit sich die MP bei der Einmeldung und Erfassung der Daten eines Dritten – diesfalls eines Inkassobüros – bediene. In diesem Zusammenhang wies die belangte Behörde auf die Entscheidung des OGH vom 15.12.2005, Zl. 6 Ob 275/05t, betreffend eine Verarbeitung wider Treu und Glauben (und damit deren Unrechtmäßigkeit), gestützt auf die Judikatur der seinerzeitigen Datenschutzkommission zur „Warnliste der Banken“. Die in dieser Entscheidung angesprochenen Grundsätze für die „Warnliste der Banken“ seien auf den verfahrensgegenständlichen Sachverhalt übertragbar, weil es – ähnlich wie bei vertragswidrigen Kontoüberziehungen, die ab € 1.000,- unter bestimmten Voraussetzungen in die „Warnliste der Banken“ eingemeldet hätten werden dürfen – verfahrensgegenständlich ebenfalls um die Nichtbezahlung aushaftender Schulden gehe. Der in Rede stehende Informationspassus der Inkasso X GmbH, wonach sich diese bei Zahlungsverzug vorbehalte, Daten an die BF weiterzuleiten, entspreche den von der oberstgerichtlichen Judikatur (insbesondere zu Zl. 6 Ob 275/05t) aufgestellten Maßstäben einer Verarbeitung nach Treu und Glauben bei Auskünften von Kreditauskunfteien. Durch die Aufnahme negativer Zahlungserfahrungsdaten in die Verarbeitung von Kreditauskunfteien und die Abfragemöglichkeit zahlreicher Wirtschaftsteilnehmer, könnten die späteren Möglichkeiten Betroffener in ihrer wirtschaftlichen Dispositionsfähigkeit stark eingeschränkt werden, weshalb einer entsprechenden Vorab-Information Betroffener für eine Verarbeitung nach Treu und Glauben eine besondere Bedeutung zukomme. Aus der zitierten OGH-Entscheidung sei ersichtlich, dass die besonderen Informationen bei Einträgen für die (spätere Beurteilung) der Kreditwürdigkeit bzw. Bonität ausdrückliche Hinweise enthalten müssten, die für den Betroffenen ersichtlich machten, dass er in eine entsprechende „Liste“ eingetragen werde, sollte er nicht innerhalb der gesetzten Frist eine vollständige Zahlung leisten oder nicht eine andere Vereinbarung getroffen werden. Umgelegt auf den gegenständlichen Sachverhalt bedeute dies, dass der Informationspassus einen ausdrücklichen Warnhinweis beinhalten müsse, dass die unbestrittenen, negativen Zahlungserfahrungsdaten zu Zwecken der Bonitätsbewertung an Kreditauskunfteien übermittelt werden, wenn nicht binnen einer datumsmäßig bestimmbaren und im Übrigen auch angemessenen Frist eine vollständige Zahlung geleistet oder nicht eine andere Vereinbarung getroffen werde. Die BF sei durch das Inkassounternehmen darauf hingewiesen worden, dass es die Daten der BF an die MP übermitteln werde, wenn nicht bis zu einer in den Schreiben bestimmten Frist Einwendungen erhoben werden oder der offene Betrag beglichen werde. Weiters gehe aus dem Informationsschreiben hervor, dass die MP die Daten zu Zwecken der Bonitätsbewertung verarbeite. Daraus folge, dass die BF durch die Vertragspartnerin der MP (dem Inkassounternehmen) im Vorfeld der Einmeldung der Zahlungserfahrungen über die Verarbeitung ihrer Daten zu Zwecken der Bonitätsbewertung informiert gewesen sei. Der BF sei aus diesem Schreiben erkennbar gewesen, bis zu welchem Zeitpunkt sie die aushaftenden Beträge zu begleichen gehabt habe bzw. sie Einwendungen hätte erheben müssen, um die Verarbeitung abzuwenden. Die Argumentation der BF verfange sohin im Ergebnis nicht. Es sei keine Verletzung des Grundsatzes der Verarbeitung nach Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO) mangels ausreichender Warnung über die Verarbeitung zu Bonitätszwecken zu erkennen.4.3.1. Zur behaupteten Verletzungen des Grundsatzes von Treu und Glauben mangels hinreichender Information führte die belangte Behörde aus, dass der Verantwortliche für die Einhaltung des Grundsatzes einer rechtmäßigen, nach Treu und Glauben zu erfolgenden Verarbeitung gemäß Artikel 5, Absatz eins, Litera a, DSGVO rechenschaftspflichtig sei (Absatz 2, leg. cit.). Eine Verarbeitung müsse sowohl auf einem Rechtmäßigkeitsgrund gemäß Artikel 6, DSGVO beruhen als auch mit Einklang mit den Grundsätzen nach Artikel 5, DSGVO stehen. Die Verantwortlichkeit der Verarbeitung der personenbezogenen Daten der BF sei auch dann gegeben, wenn und soweit sich die MP bei der Einmeldung und Erfassung der Daten eines Dritten – diesfalls eines Inkassobüros – bediene. In diesem Zusammenhang wies die belangte Behörde auf die Entscheidung des OGH vom 15.12.2005, Zl. 6 Ob 275/05t, betreffend eine Verarbeitung wider Treu und Glauben (und damit deren Unrechtmäßigkeit), gestützt auf die Judikatur der seinerzeitigen Datenschutzkommission zur „Warnliste der Banken“. Die in dieser Entscheidung angesprochenen Grundsätze für die „Warnliste der Banken“ seien auf den verfahrensgegenständlichen Sachverhalt übertragbar, weil es – ähnlich wie bei vertragswidrigen Kontoüberziehungen, die ab € 1.000,- unter bestimmten Voraussetzungen in die „Warnliste der Banken“ eingemeldet hätten werden dürfen – verfahrensgegenständlich ebenfalls um die Nichtbezahlung aushaftender Schulden gehe. Der in Rede stehende Informationspassus der Inkasso römisch zehn GmbH, wonach sich diese bei Zahlungsverzug vorbehalte, Daten an die BF weiterzuleiten, entspreche den von der oberstgerichtlichen Judikatur (insbesondere zu Zl. 6 Ob 275/05t) aufgestellten Maßstäben einer Verarbeitung nach Treu und Glauben bei Auskünften von Kreditauskunfteien. Durch die Aufnahme negativer Zahlungserfahrungsdaten in die Verarbeitung von Kreditauskunfteien und die Abfragemöglichkeit zahlreicher Wirtschaftsteilnehmer, könnten die späteren Möglichkeiten Betroffener in ihrer wirtschaftlichen Dispositionsfähigkeit stark eingeschränkt werden, weshalb einer entsprechenden Vorab-Information Betroffener für eine Verarbeitung nach Treu und Glauben eine besondere Bedeutung zukomme. Aus der zitierten OGH-Entscheidung sei ersichtlich, dass die besonderen Informationen bei Einträgen für die (spätere Beurteilung) der Kreditwürdigkeit bzw. Bonität ausdrückliche Hinweise enthalten müssten, die für den Betroffenen ersichtlich machten, dass er in eine entsprechende „Liste“ eingetragen werde, sollte er nicht innerhalb der gesetzten Frist eine vollständige Zahlung leisten oder nicht eine andere Vereinbarung getroffen werden. Umgelegt auf den gegenständlichen Sachverhalt bedeute dies, dass der Informationspassus einen ausdrücklichen Warnhinweis beinhalten müsse, dass die unbestrittenen, negativen Zahlungserfahrungsdaten zu Zwecken der Bonitätsbewertung an Kreditauskunfteien übermittelt werden, wenn nicht binnen einer datumsmäßig bestimmbaren und im Übrigen auch angemessenen Frist eine vollständige Zahlung geleistet oder nicht eine andere Vereinbarung getroffen werde. Die BF sei durch das Inkassounternehmen darauf hingewiesen worden, dass es die Daten der BF an die MP übermitteln werde, wenn nicht bis zu einer in den Schreiben bestimmten Frist Einwendungen erhoben werden oder der offene Betrag beglichen werde. Weiters gehe aus dem Informationsschreiben hervor, dass die MP die Daten zu Zwecken der Bonitätsbewertung verarbeite. Daraus folge, dass die BF durch die Vertragspartnerin der MP (dem Inkassounternehmen) im Vorfeld der Einmeldung der Zahlungserfahrungen über die Verarbeitung ihrer Daten zu Zwecken der Bonitätsbewertung informiert gewesen sei. Der BF sei aus diesem Schreiben erkennbar gewesen, bis zu welchem Zeitpunkt sie die aushaftenden Beträge zu begleichen gehabt habe bzw. sie Einwendungen hätte erheben müssen, um die Verarbeitung abzuwenden. Die Argumentation der BF verfange sohin im Ergebnis nicht. Es sei keine Verletzung des Grundsatzes der Verarbeitung nach Treu und Glauben (Artikel 5, Absatz eins, Litera a, DSGVO) mangels ausreichender Warnung über die Verarbeitung zu Bonitätszwecken zu erkennen.
4.3.2. Zur behaupteten Verletzung im Recht auf Löschung wurde festgehalten, dass die Verarbeitung bonitätsrelevanter Daten durch eine Wirtschafts- bzw. Kreditauskunftei iSd § 152 GewO in eben dieser Bestimmung seine Deckung finde, weshalb die Rechtmäßigkeit der Verarbeitung dieser Daten folglich auch nicht von der vorherigen Einwilligung eines Betroffenen abhänge. Auch sei davon auszugehen, dass durch die gesetzliche Verankerung dieser Tätigkeit der Gesetzgeber von der grundsätzlichen Zulässigkeit dieser gewerblichen Tätigkeit ausgehe, sodass es zur Verarbeitung dieser Daten eine rechtliche Befugnis geben könne. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar sei, müsse auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über „Kreditverhältnisse“ als gegeben erachtet habe. Die belangte Behörde erkenne an, dass die Tätigkeit von Wirtschafts- bzw. Kreditauskunfteien grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden könne. Mangels spezifischer datenschutzrechtlicher Bestimmungen seien jedoch die allgemeinen Grundsätze der DSGVO anzuwenden, wonach u.a. personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben (vgl. Art. 5 Abs. 1 lit. b DSGVO) und auch nur solange gespeichert werden dürften, wie es für die Zwecke, für die sie verarbeitet würden, erforderlich sei (vgl. Art. 5 Abs. 1 lit. e DSGVO). In diesem Zusammenhang habe die Datenschutzbehörde ausgesprochen, dass anhand einer Einzelfallprüfung – insbesondere unter Berücksichtigung der Höhe der einzelnen Forderungen, des „Alters“ der Forderungen (sohin das Datum der Eintragung in die Datenbank), der Anzahl der im Wege eines Inkassounternehmens eingetriebenen Forderungen, der Zeit, die seit Begleichung einer Forderung verstrichen sei sowie der Herkunft der Daten – zu beurteilen sei, ob die Verarbeitung dieser Daten zulässig erfolge oder nicht. Folglich sei eine Bewertung der berechtigten Interessen der BF durchzuführen und diesen die berechtigten Interessen der MP sowie Dritter gegenüberzustellen. Verfahrensgegenständlich stelle sich die Frage, wie lange Zahlungserfahrungsdaten nach Begleichung der Forderung noch bei der MP gespeichert werden könnten, ehe sie für die Zwecke der Verarbeitung, also der Ausübung des Gewerbes nach § 152 GewO 1994 und dem Gläubigerschutz, nicht mehr notwendig seien. Nur wenn die personenbezogenen Daten noch bonitätsrelevant seien, bestehe ein legitimer Verarbeitungszweck gemäß Art. 5 Abs. 1 lit. b DSGVO. Im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO müsse die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein und dürften Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen. Die MP verarbeite gegenständlich zwei die BF betreffende Zahlungsvorgänge zu je € 119,08 und € 373,00. Die Forderung iHv € 119,08 stamme aus dem Jahr 2019 und sei im Jahr 2019 beglichen worden. Die Forderung iHv € 373,00 stamme aus dem Jahr 2017 und sei im Jahr 2018 beglichen worden. Das Bundesverwaltungsgericht gehe in seiner Rechtsprechung unter Verweis auf die Verordnung (EU) Nr. 575/2013 des europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierformen und zur Änderung der Verordnung (EU) Nr. 646/2012 („Kapitaladäquanzverordnung“) davon aus, dass für die Beurteilung der Bonität eines (potentiellen) Schuldners bzw. des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant seien (vgl. BVwG vom 30.10.2019, Zl. W 258 2216873-1/7E), diese Grenze sei jedoch nicht als starre Grenze anzusehen (vgl. BVwG vom 24.09.2021, Zl. W 274 2240078-1/4E). Zwar handle es sich jeweils nicht um eine allzu hohe Schuld und diese hätten auch nicht allzu lange ausgehaftet, doch wie die MP zu Recht vorbringe, stellten auch beglichene Forderungen bonitätsrelevante Daten dar. Der Umstand, dass eine Forderung erst nach qualifizierter Mahnung bzw. Betreibung durch Inkassoinstitute beglichen werde, bedeute mithin jedoch einen temporären Zahlungsausfall. Beide Forderungen stammten zudem aus der jüngeren Vergangenheit und lieferten sohin ein durchaus aktuelles Abbild des Zahlungsverhaltens der BF. Ebenso liege die Begleichung beider fallgegenständlichen Forderungen weniger als fünf Jahre zurück. Festzuhalten sei, dass die Forderung iHv € 119,08 der jüngeren Vergangenheit entspringe. Es sei zudem zu berücksichtigen, dass die Höhe der älteren Forderungen aus dem Jahr 2017 (beglichen 2018) die Höhe der jüngeren Forderung aus dem Jahr 2019 (beglichen im selben Jahr) nicht unbeträchtlich übersteige. Vor diesem Hintergrund sei die Datenschutzbehörde der Ansicht, dass jedenfalls zum jetzigen Zeitpunkt dem Gläubigerschutz und somit den berechtigten Interessen Dritter noch ein höherer Stellenwert einzuräumen sei als den dargelegten berechtigten Interessen der BF. Im Ergebnis sei die weitere Speicherung der zwei nach wie vor gespeicherten Einträge in der Datenbank der MP weiterhin notwendig und auch rechtmäßig, weshalb die MP dem diesbezüglichen Antrag auf Löschung der BF zurecht nicht entsprochen habe. 4.3.2. Zur behaupteten Verletzung im Recht auf Löschung wurde festgehalten, dass die Verarbeitung bonitätsrelevanter Daten durch eine Wirtschafts- bzw. Kreditauskunftei iSd Paragraph 152, GewO in eben dieser Bestimmung seine Deckung finde, weshalb die Rechtmäßigkeit der Verarbeitung dieser Daten folglich auch nicht von der vorherigen Einwilligung eines Betroffenen abhänge. Auch sei davon auszugehen, dass durch die gesetzliche Verankerung dieser Tätigkeit der Gesetzgeber von der grundsätzlichen Zulässigkeit dieser gewerblichen Tätigkeit ausgehe, sodass es zur Verarbeitung dieser Daten eine rechtliche Befugnis geben könne. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar sei, müsse auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über „Kreditverhältnisse“ als gegeben erachtet habe. Die belangte Behörde erkenne an, dass die Tätigkeit von Wirtschafts- bzw. Kreditauskunfteien grundsätzlich auf Artikel 6, Absatz eins, Litera f, DSGVO gestützt werden könne. Mangels spezifischer datenschutzrechtlicher Bestimmungen seien jedoch die allgemeinen Grundsätze der DSGVO anzuwenden, wonach u.a. personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben vergleiche Artikel 5, Absatz eins, Litera b, DSGVO) und auch nur solange gespeichert werden dürften, wie es für die Zwecke, für die sie verarbeitet würden, erforderlich sei vergleiche Artikel 5, Absatz eins, Litera e, DSGVO). In diesem Zusammenhang habe die Datenschutzbehörde ausgesprochen, dass anhand einer Einzelfallprüfung – insbesondere unter Berücksichtigung der Höhe der einzelnen Forderungen, des „Alters“ der Forderungen (sohin das Datum der Eintragung in die Datenbank), der Anzahl der im Wege eines Inkassounternehmens eingetriebenen Forderungen, der Zeit, die seit Begleichung einer Forderung verstrichen sei sowie der Herkunft der Daten – zu beurteilen sei, ob die Verarbeitung dieser Daten zulässig erfolge oder nicht. Folglich sei eine Bewertung der berechtigten Interessen der BF durchzuführen und diesen die berechtigten Interessen der MP sowie Dritter gegenüberzustellen. Verfahrensgegenständlich stelle sich die Frage, wie lange Zahlungserfahrungsdaten nach Begleichung der Forderung noch bei der MP gespeichert werden könnten, ehe sie für die Zwecke der Verarbeitung, also der Ausübung des Gewerbes nach Paragraph 152, GewO 1994 und dem Gläubigerschutz, nicht mehr notwendig seien. Nur wenn die personenbezogenen Daten noch bonitätsrelevant seien, bestehe ein legitimer Verarbeitungszweck gemäß Artikel 5, Absatz eins, Litera b, DSGVO. Im Rahmen der Interessenabwägung nach Artikel 6, Absatz eins, Litera f, DSGVO müsse die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein und dürften Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen. Die MP verarbeite gegenständlich zwei die BF betreffende Zahlungsvorgänge zu je € 119,08 und € 373,00. Die Forderung iHv € 119,08 stamme aus dem Jahr 2019 und sei im Jahr 2019 beglichen worden. Die Forderung iHv € 373,00 stamme aus dem Jahr 2017 und sei im Jahr 2018 beglichen worden. Das Bundesverwaltungsgericht gehe in seiner Rechtsprechung unter Verweis auf die Verordnung (EU) Nr. 575 aus 2013, des europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierformen und zur Änderung der Verordnung (EU) Nr. 646 aus 2012, („Kapitaladäquanzverordnung“) davon aus, dass für die Beurteilung der Bonität eines (potentiellen) Schuldners bzw. des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant seien vergleiche BVwG vom 30.10.2019, Zl. W 258 2216873-1/7E), diese Grenze sei jedoch nicht als starre Grenze anzusehen vergleiche BVwG vom 24.09.2021, Zl. W 274 2240078-1/4E). Zwar handle es sich jeweils nicht um eine allzu hohe Schuld und diese hätten auch nicht allzu lange ausgehaftet, doch wie die MP zu Recht vorbringe, stellten auch beglichene Forderungen bonitätsrelevante Daten dar. Der Umstand, dass eine Forderung erst nach qualifizierter Mahnung bzw. Betreibung durch Inkassoinstitute beglichen werde, bedeute mithin jedoch einen temporären Zahlungsausfall. Beide Forderungen stammten zudem aus der jüngeren Vergangenheit und lieferten sohin ein durchaus aktuelles Abbild des Zahlungsverhaltens der BF. Ebenso liege die Begleichung beider fallgegenständlichen Forderungen weniger als fünf Jahre zurück. Festzuhalten sei, dass die Forderung iHv € 119,08 der jüngeren Vergangenheit entspringe. Es sei zudem zu berücksichtigen, dass die Höhe der älteren Forderungen aus dem Jahr 2017 (beglichen 2018) die Höhe der jüngeren Forderung aus dem Jahr 2019 (beglichen im selben Jahr) nicht unbeträchtlich übersteige. Vor diesem Hintergrund sei die Datenschutzbehörde der Ansicht, dass jedenfalls zum jetzigen Zeitpunkt dem Gläubigerschutz und somit den berechtigten Interessen Dritter noch ein höherer Stellenwert einzuräumen sei als den dargelegten berechtigten Interessen der BF. Im Ergebnis sei die weitere Speicherung der zwei nach wie vor gespeicherten Einträge in der Datenbank der MP weiterhin notwendig und auch rechtmäßig, weshalb die MP dem diesbezüglichen Antrag auf Löschung der BF zurecht nicht entsprochen habe.
4.3.3. Zur behaupteten Verletzung im Recht auf Information führte die belangte Behörde aus, dass sich die Datenschutzbehörde bereits mit der Frage, ob die „Informationspflichten“ gemäß Art. 13 und Art. 14 DSGVO umgekehrt auch als subjektive Betroffenenrechte geltend gemacht werden können, auseinandergesetzt habe und davon ausgehe, dass sich eine betroffene Person antragsunabhängig auf Art. 13 und Art. 14 DSGVO stützten könne. Gemäß § 24 Abs. 6 DSG sei es möglich, behauptete Rechtsverletzungen bis zum Abschluss des Verfahrens vor der Datenschutzbehörde zu beseitigen. Die Argumentation der BF, wonach fallgegenständlich aufgrund mangelnder Informationserteilung nach Art. 14 DSGVO vor Einmeldung nach Daten eine Verletzung des Grundsatzes nach Treu und Glauben gemäß Art. 5 Abs. 1 lit. a leg. cit und damit die Rechtswidrigkeit der Verarbeitung vorliegen würde, verfange nicht, zumal eine solche Information ergangen sei. Doch auch darüber hinaus verbleibe aufgrund der seitens der MP nachträglich erteilten Information kein Raum für eine darüber hinausreichende Verletzung im Recht auf Information. So habe die MP in der an die BF übermittelten Datenschutzerklärung zur Herkunft der Daten ausgewiesen, dass sie diese von Kunden als (potentielle) Vertragspartner/Gläubiger der betroffenen Person, Partnern (insb. Inkassoinstitute und Rechtsanwälte), von Dienstleister im Bereich Missbrauchsprävention, die Datenbanken mit Kennnummer von Endgeräten führen, sowie von Dienstleistern im Bereich der Identitätsprüfung, von Adressverlagen und Direktmarketingunternehmen gemäß § 151 GewO 1994 sowie aus öffentlich zugänglichen Quellen, wie insbesondere dem Melderegister, dem Firmenbuch, dem Vereinsregister, der Ediktsdatei, dem Gewerberegister, oder von Webseiten bezieht. Entgegen dem Vorbringen der BF könne hierin keine unzureichende Information nach Art. 14 DSGVO zu den Quellen der Daten erkannt werden. Die Beschwerde erweise sich insoweit ebenfalls als unbegründet, als der Erfolg einer Beschwerde nach Art. 77 Abs. 1 iVm § 24 Abs. 1 DSG jedenfalls an die Voraussetzung geknüpft sei, dass auch eine konkrete andauernde Rechtsverletzung vorliege; eine solche sei im Hinblick auf die monierte Verletzung des Art. 14 DSGVO gegenständlich aber nicht erkennbar. 4.3.3. Zur behaupteten Verletzung im Recht auf Information führte die belangte Behörde aus, dass sich die Datenschutzbehörde bereits mit der Frage, ob die „Informationspflichten“ gemäß Artikel 13 und Artikel 14, DSGVO umgekehrt auch als subjektive Betroffenenrechte geltend gemacht werden können, auseinandergesetzt habe und davon ausgehe, dass sich eine betroffene Person antragsunabhängig auf Artikel 13 und Artikel 14, DSGVO stützten könne. Gemäß Paragraph 24, Absatz 6, DSG sei es möglich, behauptete Rechtsverletzungen bis zum Abschluss des Verfahrens vor der Datenschutzbehörde zu beseitigen. Die Argumentation der BF, wonach fallgegenständlich aufgrund mangelnder Informationserteilung nach Artikel 14, DSGVO vor Einmeldung nach Daten eine Verletzung des Grundsatzes nach Treu und Glauben gemäß Artikel 5, Absatz eins, Litera a, leg. cit und damit die Rechtswidrigkeit der Verarbeitung vorliegen würde, verfange nicht, zumal eine solche Information ergangen sei. Doch auch darüber hinaus verbleibe aufgrund der seitens der MP nachträglich erteilten Information kein Raum für eine darüber hinausreichende Verletzung im Recht auf Information. So habe die MP in der an die BF übermittelten Datenschutzerklärung zur Herkunft der Daten ausgewiesen, dass sie diese von Kunden als (potentielle) Vertragspartner/Gläubiger der betroffenen Person, Partnern (insb. Inkassoinstitute und Rechtsanwälte), von Dienstleister im Bereich Missbrauchsprävention, die Datenbanken mit Kennnummer von Endgeräten führen, sowie von Dienstleistern im Bereich der Identitätsprüfung, von Adressverlagen und Direktmarketingunternehmen gemäß Paragraph 151, GewO 1994 sowie aus öffentlich zugänglichen Quellen, wie insbesondere dem Melderegister, dem Firmenbuch, dem Vereinsregister, der Ediktsdatei, dem Gewerberegister, oder von Webseiten bezieht. Entgegen dem Vorbringen der BF könne hierin keine unzureichende Information nach Artikel 14, DSGVO zu den Quellen der Daten erkannt werden. Die Beschwerde erweise sich insoweit ebenfalls als unbegründet, als der Erfolg einer Beschwerde nach Artikel 77, Absatz eins, in Verbindung mit Paragraph 24, Absatz eins, DSG jedenfalls an die Voraussetzung geknüpft sei, dass auch eine konkrete andauernde Rechtsverletzung vorliege; eine solche sei im Hinblick auf die monierte Verletzung des Artikel 14, DSGVO gegenständlich aber nicht erkennbar.
6. Daraufhin erhob die BF am 19.08.2022 die gegenständlich vorliegende Beschwerde, in der sie rügte, der Bescheid sei rechtswidrig, da die Behörde keine Verletzung im Recht auf Löschung festgestellt habe, und brachte im Wesentlichen Folgendes vor:
Zwar sei es richtig, dass auf den Mahnungen gestanden habe, dass bei Zahlungsverzug ihre Daten an die MP weitergeleitet würden. Doch sei die vom Inkassobüro erteilte Information auf den Mahnschreiben nicht geeignet gewesen, die BF über ihre Rechte und Pflichten ausreichend zu informieren; die gegenständliche Verarbeitung verstoße daher – entgegen der Ansicht der belangten Behörde – gegen die Grundsätze einer Verarbeitung nach Treu und Glauben gemäß Art. 5 Abs. 1 lit. a DSGVO, weil die BF vorher nicht ausreichend informiert und benachrichtigt worden sei. Dass keine Verarbeitung nach Treu und Glauben durch die MP erfolgt sei, begründete die BF mit der Argumentationslinie des OGH in seiner Entscheidung vom 15.12.2005, Zl. 6 Ob 275/05t, auf die sich auch die belangte Behörde berief. Weiters seien die Interessen der BF gemäß Art. 6 Abs. 1 lit. f verletzt, da eine durchgeführte Interessenabwägung im konkreten Fall jedenfalls ergeben hätte, dass das Interesse der BF an der Nichteintragung überwiege. Soweit eine Verarbeitung wider Treu und Glauben erfolge, überwiege das berechtigte Interesse des Gläubigerschutzes durch den unverhältnismäßigen Eingriff in die schutzwürdigen Interessen der BF nicht mehr, sodass auch Art. 6 Abs. 1 lit. f DSGVO nicht mehr greife. Es werde bestritten, dass zwei weitere Mahnungen an die BF übermittelt worden seien. Eine pauschale Aussage, dass alle Daten mindestens fünf Jahre gespeichert werden dürften, stünde mit der DSGVO nicht im Einklang. Im Hinblick auf die geringen Forderungen sei selbst bei einer rechtmäßigen Eintragung bereits aufgrund Zeitablaufs eine Löschung zu verfügen gewesen. Darüber hinaus verwies die BF auf die Entscheidung der Datenschutzbehörde zu Zl. D124.0088/22, 2022-0.491.729.Zwar sei es richtig, dass auf den Mahnungen gestanden habe, dass bei Zahlungsverzug ihre Daten an die MP weitergeleitet würden. Doch sei die vom Inkassobüro erteilte Information auf den Mahnschreiben nicht geeignet gewesen, die BF über ihre Rechte und Pflichten ausreichend zu informieren; die gegenständliche Verarbeitung verstoße daher – entgegen der Ansicht der belangten Behörde – gegen die Grundsätze einer Verarbeitung nach Treu und Glauben gemäß Artikel 5, Absatz eins, Litera a, DSGVO, weil die BF vorher nicht ausreichend informiert und benachrichtigt worden sei. Dass keine Verarbeitung nach Treu und Glauben durch die MP erfolgt sei, begründete die BF mit der Argumentationslinie des OGH in seiner Entscheidung vom 15.12.2005, Zl. 6 Ob 275/05t, auf die sich auch die belangte Behörde berief. Weiters seien die Interessen der BF gemäß Artikel 6, Absatz eins, Litera f, verletzt, da eine durchgeführte Interessenabwägung im konkreten Fall jedenfalls ergeben hätte, dass das Interesse der BF an der Nichteintragung überwiege. Soweit eine Verarbeitung wider Treu und Glauben erfolge, überwiege das berechtigte Interesse des Gläubigerschutzes durch den unverhältnismäßigen Eingriff in die schutzwürdigen Interessen der BF nicht mehr, sodass auch Artikel 6, Absatz eins, Litera f, DSGVO nicht mehr greife. Es werde bestritten, dass zwei weitere Mahnungen an die BF übermittelt worden seien. Eine pauschale Aussage, dass alle Daten mindestens fünf Jahre gespeichert werden dürften, stünde mit der DSGVO nicht im Einklang. Im Hinblick auf die geringen Forderungen sei selbst bei einer rechtmäßigen Eintragung bereits aufgrund Zeitablaufs eine Löschung zu verfügen gewesen. Darüber hinaus verwies die BF auf die Entscheidung der Datenschutzbehörde zu Zl. D124.0088/22, 2022-0.491.729.
Eine Verletzung im Recht auf Information durch den angefochtenen Bescheid rügt die Beschwerde nicht.
7. Die belangte Behörde legte die Beschwerde samt bezughabenden Akt dem Bundesverwaltungsgericht vor, erstattete zum Beschwerdevorbringen der BF eine Stellungnahme und stellte den Antrag, die Beschwerde abzuweisen.
Die belangte Behörde führte zum Beschwerdevorbringen, dass diesem insoweit nicht entgegenzutreten sei, als eine unzureichende Information im Vorfeld der Verarbeitung eine Verletzung des Art. 5 Abs. 1 lit. a DSGVO bewirken und in weiterer Folge die Verarbeitung mit Rechtswidrigkeit behaften würde. Doch habe die Behörde diesem Erfordernis in der rechtlichen Beurteilung des bekämpften Bescheides ausreichend Rechnung getragen. Im Vorfeld der monierten Datenverarbeitung habe kein Informationsdefizit bestanden. Die BF sei im Sinne der Entscheidung des OGH zu Zl. 6 Ob 275/05t vom 15.12.2005 aufgestellten Voraussetzungen über die beabsichtigte Verarbeitung in Kenntnis gesetzt worden. Die BF sei vom Inkassounternehmen darauf hingewiesen worden, dass es ihre Daten an die MP übermitteln werde, wenn nicht fristgerecht Einwendungen erhoben oder der offene Betrag beglichen werden würde. Aus den den Feststellungen zugrunde gelegten Informationsschreiben gehe auch hervor, dass die MP die Daten zu Zwecken der Bonitätsbewertung verarbeite. Aus dem Blickwickel der BF sei unter Anwendung eines objektiven Maßstabes erkennbar gewesen, dass im Falle der Nichtzahlung oder Nichterhebung von Einwendungen binnen einer aus dem Schreiben ersichtlichen Frist die gegenständlichen Daten an die MP als Kreditauskunftei übermittelt würden. Sohin sei auch der Zweck der Verarbeitung für einen durchschnittlichen Betrachter – bei allgemein verständiger Würdigung des Inhaltes der Informationsschreiben – erkennbar gewesen. Entgegen dem Vorbringen der BF sei den Mahnungen die Information klar zu entnehmen. In den gegenständlichen Informationsschreiben werde überdies auf das Datum, bis zu dem die Zahlung zu leisten sei oder eine andere Vereinbarung getroffen werden könne, verwiesen, um die Datenverarbeitung, konkret die Einmeldung der Forderung zu verhindern. Der Verweis auf die Entscheidung der belangten Behörde im Verfahren zu D124.0088/22, 2022-0.491.729, erweise sich als fruchtlos, da der gegenständliche Sachverhalt nicht mit dem im zitierten Verfahren vergleichbar sei, da dort den in Zl. 6 Ob 275/05t vom 15.12.2005 festgehaltenen Erfordernissen nicht entsprochen worden sei, während gegenständlich eine klare und verständliche Information über die beabsichtigte Verarbeitung gegenüber der BF erfolgt sei. Die belangte Behörde führte zum Beschwerdevorbringen, dass diesem insoweit nicht entgegenzutreten sei, als eine unzureichende Information im Vorfeld der Verarbeitung eine Verletzung des Artikel 5, Absatz eins, Litera a, DSGVO bewirken und in weiterer Folge die Verarbeitung mit Rechtswidrigkeit behaften würde. Doch habe die Behörde diesem Erfordernis in der rechtlichen Beurteilung des bekämpften Bescheides ausreichend Rechnung getragen. Im Vorfeld der monierten Datenverarbeitung habe kein Informationsdefizit bestanden. Die BF sei im Sinne der Entscheidung des OGH zu Zl. 6 Ob 275/05t vom 15.12.2005 aufgestellten Voraussetzungen über die beabsichtigte Verarbeitung in Kenntnis gesetzt worden. Die BF sei vom Inkassounternehmen darauf hingewiesen worden, dass es ihre Daten an die MP übermitteln werde, wenn nicht fristgerecht Einwendungen erhoben oder der offene Betrag beglichen werden würde. Aus den den Feststellungen zugrunde gelegten Informationsschreiben gehe auch hervor, dass die MP die Daten zu Zwecken der Bonitätsbewertung verarbeite. Aus dem Blickwickel der BF sei unter Anwendung eines objektiven Maßstabes erkennbar gewesen, dass im Falle der Nichtzahlung oder Nichterhebung von Einwendungen binnen einer aus dem Schreiben ersichtlichen Frist die gegenständlichen Daten an die MP als Kreditauskunftei übermittelt würden. Sohin sei auch der Zweck der Verarbeitung für einen durchschnittlichen Betrachter – bei allgemein verständiger Würdigung des Inhaltes der Informationsschreiben – erkennbar gewesen. Entgegen dem Vorbringen der BF sei den Mahnungen die Information klar zu entnehmen. In den gegenständlichen Informationsschreiben werde überdies auf das Datum, bis zu dem die Zahlung zu leisten sei oder eine andere Vereinbarung getroffen werden könne, verwiesen, um die Datenverarbeitung, konkret die Einmeldung der Forderung zu verhindern. Der Verweis auf die Entscheidung der belangten Behörde im Verfahren zu D124.0088/22, 2022-0.491.729, erweise sich als fruchtlos, da der gegenständliche Sachverhalt nicht mit dem im zitierten Verfahren vergleichbar sei, da dort den in Zl. 6 Ob 275/05t vom 15.12.2005 festgehaltenen Erfordernissen nicht entsprochen worden sei, während gegenständlich eine klare und verständliche Information über die beabsichtigte Verarbeitung gegenüber der BF erfolgt sei.
8. In der Folge übermittelte das Bundesverwaltungsgericht den Verfahrensparteien die Beschwerde sowie die Stellungnahme der belangten Behörde und gab Gelegenheit zur Stellungnahme.
9. Die BF führte mit Schriftsatz vom 03.07.2023 aus, dass im gegenständlichen Fall Art. 5 Abs. 1 lit. a DSGVO die wesentliche Bestimmung sei. Es sei zu berücksichtigen, dass Inkassobüros derartige Mahnschreiben nicht eingeschrieben schicken würden. Es gebe daher keinen Nachweis dafür, dass derartige Schreiben tatsächlich dem/der Betroffenen zugestellt würden. Der Hinweis auf den Inkassoschreiben betreffend die Weitergabe der Daten an eine Kreditauskunftei sei nicht ausreichend gewesen. Für die BF sei es nicht klar gewesen, welche Folgen die Nichtzahlung bzw. nicht fristgerechte Zahlung nach sich ziehen könnten. Für Eintrag und Löschung dieser Daten sollte die Art und Höhe der Forderung relevant sein. Da die gegenständliche Datenweitergabe an die MP erhebliche Rechtsfolgen nach sich ziehen könne, sei der Hinweis darauf, dass bei Nichtzahlung oder einer nur teilweisen Zahlung ein Eintrag in die Kreditauskunftei erfolge, wesentlich. Auch wenn eine Eintragung in Warnlisten bzw. bei Kreditauskunfteien dem berechtigten Interesse des Gläubigerschutzes Rechnung trage, sei der Eingriff in die Rechte des Schuldners weit erheblicher, insbesondere, weil es sich hier um eher geringfügige Forderungen gehandelt habe. Aufgrund der Eintragung sei einer Kreditanfrage der BF nicht entsprochen worden. Der Informationspassus über die Weitergabe der Daten hätte einen ausdrücklichen Warnhinweis erhalten müssen. Dies sei aber nicht der Fall gewesen. 9. Die BF führte mit Schriftsatz vom 03.07.2023 aus, dass im gegenständlichen Fall Artikel 5, Absatz eins, Litera a, DSGVO die wesentliche Bestimmung sei. Es sei zu berücksichtigen, dass Inkassobüros derartige Mahnschreiben nicht eingeschrieben schicken würden. Es gebe daher keinen Nachweis dafür, dass derartige Schreiben tatsächlich dem/der Betroffenen zugestellt würden. Der Hinweis auf den Inkassoschreiben betreffend die Weitergabe der Daten an eine Kreditauskunftei sei nicht ausreichend gewesen. Für die BF sei es nicht klar gewesen, welche Folgen die Nichtzahlung bzw. nicht fristgerechte Zahlung nach sich ziehen könnten. Für Eintrag und Löschung dieser Daten sollte die Art und Höhe der Forderung relevant sein. Da die gegenständliche Datenweitergabe an die MP erhebliche Rechtsfolgen nach sich ziehen könne, sei der Hinweis darauf, dass bei Nichtzahlung oder einer nur teilweisen Zahlung ein Eintrag in die Kreditauskunftei erfolge, wesentlich. Auch wenn eine Eintragung in Warnlisten bzw. bei Kreditauskunfteien dem berechtigten Interesse des Gläubigerschutzes Rechnung trage, sei der Eingriff in die Rechte des Schuldners weit erheblicher, insbesondere, weil es sich hier um eher geringfügige Forderungen gehandelt habe. Aufgrund der Eintragung sei einer Kreditanfrage der BF nicht entsprochen worden. Der Informationspassus über die Weitergabe der Daten hätte einen ausdrücklichen Warnhinweis erhalten müssen. Dies sei aber nicht der Fall gewesen.
10. Die MP replizierte mit Schriftsatz vom 18.07.2023, wobei sie sich der Ansicht der belangten Behörde anschloss und im Übrigen vorbrachte, dass die Datenschutzbeschwerde verfristet gewesen sei.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen
1.1. Mit Schreiben der Inkasso X-GmbH vom 19.07.2017 erhielt die BF eine Rechnung über € 628,21 (Forderungsbetrag inkl. Zahlungsverzugskosten und Zinsen) namens der Freiwilligen Feuerwehr K.. Dem Schreiben war zu entnehmen, dass die betreffende Forderung seit 08.07.2015 unbezahlt war und allfällige Einwände bis spätestens 01.08.2018 beim Inkassobüro anzumelden waren. Auch enthielt das Schreiben folgenden Hinweis:
„Bei Zahlungsverzug behalten wir uns vor, Ihre Daten an die Kreditauskunftei [der MP] … weiterzuleiten. Sie können die weitere Verwendung der Daten für Bonitätsauskünfte dadurch vermeiden, indem Sie dieser Zahlungsaufforderung vollständig und fristgerecht nachkommen.“
1.2. Mit Schreiben der Inkasso X-GmbH vom XXXX erhielt die BF eine Rechnung über € 200,63 (Forderungsbetrag inkl. Zahlungsverzugskosten und Zinsen) vom Rauchfangkehrermeister R. in M.. Dem Schreiben war zu entnehmen, dass die betreffende Forderung seit 27.09.2018 unbezahlt war und allfällige Einwände bis spätestens 28.03.2019 beim Inkassobüro anzumelden waren. Das Schreiben enthielt überdies folgenden Hinweis: 1.2. Mit Schreiben der Inkasso X-GmbH vom römisch 40 erhielt die BF eine Rechnung über € 200,63 (Forderungsbetrag inkl. Zahlungsverzugskosten und Zinsen) vom Rauchfangkehrermeister R. in M.. Dem Schreiben war zu entnehmen, dass die betreffende Forderung seit 27.09.2018 unbezahlt war und allfällige Einwände bis spätestens 28.03.2019 beim Inkassobüro anzumelden waren. Das Schreiben enthielt überdies folgenden Hinweis:
„Bei Zahlungsverzug behalten wir uns vor, Ihre Daten an die Kreditauskunftei [der MP] … weiterzuleiten. Sie können die weitere Verwendung der Daten für Bonitätsauskünfte dadurch vermeiden, indem Sie dieser Zahlungsaufforderung vollständig und fristgerecht nachkommen.“
1.3. Bei den Forderungen handelt es sich um solche, die trotz dreimaliger Mahnung und damit fortbestehendem qualifizierten Zahlungsverzug noch aushafteten.
1.4. Die MP betreibt unter anderem das Gewerbe der „Auskunftei über Kreditverhältnisse“.
1.5. Zum Zeitpunkt der Erlassung des angefochtenen Bescheides schienen die in Punkt 1.1. und 1.2. genannten Forderungen in der Datenbank der MP wie folgt auf:
Zahlungserfahrungsdaten
Eröffnet
Geschlossen
Kapitalforderung
Offen
Forderungs-status
Zahlungs-
Herkunft der Information
12.03.2019
03.07.2019
119,08 €
0,00 €
außergericht. Betreibung
positiv erledigt
Inkasso
X-GmbH
10.07.2017
06.07.2018
373,00 €
0,00 €
außergericht.
Bertreibung
positiv
erledigt
Inkasso
X-GmbH
Die Forderung der Freiwilligen Feuerwehr K. erschien in der Datenbank der MP als am 19.07.2017 eröffnet auf (Das Eröffnet-Datum ist das Datum der Übergabe der Forderung an das Inkasso bzw. falls vom (Inkasso)Unternehmen nicht mitgeliefert, das Datum der Übernahme des Falles in die Datenbank. Diese Forderung wurde der MP am 06.07.2018 als geschlossen gemeldet (Das Geschlossen-Datum ist das Datum, an dem die Zahlung der MP bekannt gegeben wurde).
Die Forderung von Rauchfangkehrermeister R. erscheint in der Datenbank der MP als am 12.03.2019 eröffnet auf; an diesem Tag ist also die Forderung dem Inkassobüro übergeben worden. Diese Forderung wurde der MP am 03.07.2019 als geschlossen gemeldet.
1.6. Es kann nicht festgestellt werden, dass die MP erst durch die Schreiben des Inkassobüros von den und Punkt 1.1. und 1.2. dargestellten Forderungen erfahren und zuvor diesbezüglich keine Rechnungen oder Mahnungen erhalten hat.
1.7. Die MP verpflichtet ihre Vertragspartner (bspw. Inkassobüros) vertraglich zur Information der betreffenden Person über die Datenübermittlung an die MP. Diese Information befindet sich auf den Mahnschreiben, welche der jeweiligen Person im Zuge der Forderungsbetreibung zugestellt werden. Gegenständlich erfolgte die Information durch die unter Punkt 1.1. und 1.2. dargestellten Schreiben.
1.8. Unternehmen, die zuvor ein schriftliches Vertragsverhältnis mit der MP eingegangen sind, können Abfragen in ihrer Identitäts- und Bonitätsdatenbank durchführen.
1.9. Am 11.01.2021 wurde bei der MP eine Abfrage zur Identität und/oder Bonität zur BF getätigt:
Datum der Abfrage
Name bzw. Firma
Firmenbuchnummer
Adresse
Übermittelter Wert
11.01.2021
Y Bank
XXXrömisch 30
XXXrömisch 30
350-374
1.10. Aufgrund einer Anfrage bei einer Bank hat die BF 2021 davon Kenntnis erlangt, dass es in der Datenbank der MP auch Eintragungen zu ihrer Person gibt und richtete daher ein Auskunftsersuchen an die MP.
1.11. Mit Schreiben vom 18.02.2021 forderte die BF durch ihre rechtsfreundliche Vertretung die MP auf, die vorhandenen Einträge in der Bonitätsauskunft zu löschen, woraufhin die MP der BF mit Schreiben vom 24.02.2021 mitteilte, dass die zu ihrer Person verarbeiteten Daten nicht gelöscht werden. Daraufhin er die BF am 23.02.2022 eine Datenschutzbeschwerde.
1.12. Die am 06.07.2018 als geschlossen gemeldete Kapitalforderung iHv EUR 373,00 wurde von der MP gelöscht.
1.13. Bei der MP ist derzeit folgendes verfahrensrelevantes Datum gespeichert.
Zahlungserfahrungsdaten
Eröffnet
Geschlossen
Kapitalforderung
Offen
Forderungs-status
Zahlungs-status
Herkunft der Information
12.03.2019
03.07.2019
119,08 €
0,00 €
Außergericht.
Betreibung
Positiv
erledigt
Inkasso
X-GmbH
1.14. Auf der Webseite der MP findet sich im Bereich Konsumenten die folgenden Informationen [Formatierung nicht wie im Original dargestellt, abrufbar unter: https://www. XXXX .at/konsumenten/datenschutzerklaerung-auskunftei-und-adressverlag/, zuletzt abgerufen am 12.09.2023]:1.14. Auf der Webseite der MP findet sich im Bereich Konsumenten die folgenden Informationen [Formatierung nicht wie im Original dargestellt, abrufbar unter: https://www. römisch 40 .at/konsumenten/datenschutzerklaerung-auskunftei-und-adressverlag/, zuletzt abgerufen am 12.09.2023]:
„Datenschutzerklärung Auskunftei und Adressverlag
Diese Datenschutzerklärung beschreibt, wie [MP], [ XXXX ], („wir“) Ihre personenbezogenen Daten im Rahmen unserer Tätigkeiten als Auskunftei und Adressverlag verarbeiten.Diese Datenschutzerklärung beschreibt, wie [MP], [ römisch 40 ], („wir“) Ihre personenbezogenen Daten im Rahmen unserer Tätigkeiten als Auskunftei und Adressverlag verarbeiten.
1. Zwecke der Datenverarbeitung
Wir verarbeiten die unter Punkt 3 genannten Kategorien Ihrer personenbezogenen Daten zu folgenden Zwecken:
Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse gemäß § 152 Gewerbeordnung 1994 sowie des Adressverlags gemäß § 151 Gewerbeordnung 1994;Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse gemäß Paragraph 152, Gewerbeordnung 1994 sowie des Adressverlags gemäß Paragraph 151, Gewerbeordnung 1994;
unabhängig von der gewerberechtlichen Einordnung die Erteilung von Auskünften an Kunden zum Zweck der Identitätsfeststellung, Altersverifikation, Kreditwürdigkeitsprüfung, Anschriftenermittlung, Seriositätsprüfung, des Risikomanagements (insbesondere Berechnung einer zukünftigen Zahlungsausfallswahrscheinlichkeit), der Missbrauchsprävention, der Erfüllung von Prüfpflichten der Kunden (insbesondere iZm Verbraucherkrediten und dem Spielerschutz), der Tarifierung (z.B. tarifmäßige Einordnung durch den Kunden), ökologisch-soziale Nachhaltigkeit, Konditionierung (z.B. von Kunden angebotene Zahlungskonditionen) und Endkundenbetreuung;
Prüfung der Identität von Kunden, potenziellen Kunden und Interessenten unserer Kunden;
Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen;
allgemeine Geschäftssteuerung und Weiterentwicklung von Dienstleistungen und Produkten;
Gewährleistung des reibungslosen IT-Betriebs und der IT-Sicherheit;
Erfüllung unserer gesetzlichen Verpflichtungen, wie insb. die Beantwortung und Umsetzung von datenschutzrechtlichen Betroffenenanfragen.
Wir treffen keine automatisierten Einzelentscheidungen, die für Sie rechtliche Auswirkungen haben oder Sie in ähnlicher Weise erheblich beeinträchtigen würden.
2. Quellen personenbezogener Daten
Ihre personenbezogenen Daten erheben wir von nachstehenden Quellen:
Kunden der [MP] als (potenzielle) Vertragspartner/Gläubiger der betroffenen Person;
Partner der [MP] (insb. Inkassoinstitute und Rechtsanwälte);
Dienstleister im Bereich Missbrauchssprävention, die Datenbanken mit Kennnummern von Endgeräten führen, sowie Dienstleister im Bereich der Identitätsprüfung;
Adressverlage und Direktmarketingunternehmen gemäß § 151 Gewerbeordnung 1994;Adressverlage und Direktmarketingunternehmen gemäß Paragraph 151, Gewerbeordnung 1994;
öffentlich zugängliche Quellen, wie insbesondere Melderegister, Firmenbuch, Vereinsregister, Ediktsdatei, Gewerberegister, Webseiten;
Gesellschaften, die unserem Konzern angehören (eine Liste der Konzerngesellschaften findet sich unter folgendem Link: https://www. XXXX .com/about-us/our-global-presence/) – insbesondere erheben wir personenbezogene Daten bei der XXXX GmbH, [ XXXX ] (Datenschutz I [x]) und der XXXX AG, [ XXXX ] (DSGVO ( XXXX .ch)).Gesellschaften, die unserem Konzern angehören (eine Liste der Konzerngesellschaften findet sich unter folgendem Link: https://www. römisch 40 .com/about-us/our-global-presence/) – insbesondere erheben wir personenbezogene Daten bei der römisch 40 GmbH, [ römisch 40 ] (Datenschutz römisch eins [x]) und der römisch 40 AG, [ römisch 40 ] (DSGVO ( römisch 40 .ch)).
In Einzelfällen erheben wir Ihre personenbezogenen Daten direkt bei Ihnen selbst. Es besteht diesfalls keine Verpflichtung, uns Ihre personenbezogenen Daten, um die wir Sie bitten, zur Verfügung zu stellen. Allerdings kann es sein, dass wir Ihre Anfragen bzw. die von Ihnen gewünschten Leistungen nicht oder nicht vollständig erfüllen bzw. erbringen können, wenn Sie Ihre personenbezogenen Daten nicht bereitstellen. Sollte die Bereitstellung Ihrer Daten ausnahmsweise gesetzlich verpflichtend sein, werden wir Sie gesondert darauf hinweisen.
3. Verarbeitete Datenkategorien
Zu den unter Punkt 1 genannten Zwecken verarbeiten wir folgende Kategorien personenbezogener Daten:
Identitätsdaten (insbesondere Vor- und Nachname(n), Geburts- und Sterbedatum, Geschlecht, Titel, akademischer Grad, Status (errechnet aus Geburts- und Sterbedatum), Staatsbürgerschaft), Zeitstempel aus der Identitätsprüfung (Datum, Uhrzeit der Nutzung unserer Dienstleister)
Daten und Unterlagen zu Personaldokumenten (soweit vom Betroffenen bereitgestellt)
Kontaktdaten (insbesondere Adresse, Firmensitz, Telefonnummer, Fax, E-Mail, Website)
Gebäudedaten (Daten zu einer Anschrift zugeordneten Gebäude)
Unternehmensbezogene Daten (insbesondere Firmenbuchdaten, UID-, LEI-, ÖNB-Nummern, Unternehmensgegenstand, Unternehmensgröße/Mitarbeiterzahl, Fuhrpark, Bilanzdaten, ÖNACE-Code, unternehmerische Funktionen inklusive Vertretungsbefugnisse und Organisation, Datum des Eintritts/Austritts bzw. der Änderung der Funktion im Unternehmen, Aufenthaltsdauer bei ausländischen Staatsangehörigen, krisenspezifische Förderungen, Beteiligungsanteil und Haftungsbetrag, Informationen über Vorbeschäftigungen und Nebenbeschäftigungen, Immobilienbesitz (privat oder Firmenbesitz))
Gewerbebezogene Daten (Daten zu Gewerbeberechtigungen, andere Gewerberegisterdaten, Tätigkeitsbeschreibung, Branche)
Vereinsregisterdaten
Grundbuchsdaten
Daten zu gerichtlichen Publikationen (Insolvenzdaten und Daten über gerichtliche Versteigerungen)
Sperrvermerk nach Robinsonliste
Daten zur Bankverbindung (IBAN und BIC bzw. BLZ; ausschließlich zu Zwecken der Missbrauchsbekämpfung)
Zahlungserfahrungsdaten (Daten über die Einhaltung von Zahlungszielen und zu unbestrittenen, nach Eintritt der Fälligkeit unbezahlten und mehrfach gemahnten Forderungen, inklusive Leasingeinzüge, Mietzinszahlungen und Delogierungen) einschließlich Saldo und Dauer deren Aushaftung und Einmahnungen
Medienbeobachtungen und Recherchedaten (zu Unternehmern)
Ausweis und darin enthaltene Daten (inkl. Ausweisbild [ausschließlich zum Zweck der Identifikation und Authentifikation auf Anfrage von Betroffenen])
Lichtbild (ausschließlich zum Zweck der Identifikation und Authentifikation auf Anfrage von Betroffenen)
Bezahldaten (ausschließlich zur Durchführung von Online-Zahlungen)
Daten zur Bonität (inkl. aggregierte Bonitätskriterien und Score-Wert)
Daten zu Hard- und Software (inkl. verwendeter Browser, Endgerätekennung), Geolokations-Daten (auf Grundlage der Anschriften errechnet) und Lichtbilder aus Google Maps zur Analyse potentieller missbräuchlicher Auffälligkeiten (soweit vom Kunden mit Einwilligung des Betroffenen erhoben und dann an [MP] übermittelt)
Hinweise auf missbräuchliches oder sonstiges potenziell missbräuchliches Verhalten wie Identitäts-, Anschriften- oder Bonitätstäuschungsversuche in Zusammenhang mit Verträgen über Telekommunikationsleistungen oder Verträgen mit Kreditinstituten oder Finanzdienstleistern (Kredit- oder Anlageverträge, Girokonten) oder im (Internet-)Handel
Einschätzung hinsichtlich der Zustellbarkeit bei Adressen
Daten im Zuge der Abfrage durch Kunden der [MP] in der […]-Datenbank [der MP] („Abfragedaten“, inklusive allenfalls darin enthaltene Bestelldaten)
Logdaten in Bezug auf die Datenbank (inkl. Bestätigung der Adressdaten)
Risikoeinschätzung
Quelle der Daten und Klassifizierung der Quelle sowie Details zur entsprechenden Datenerhebung
Daten zu Bestellverhalten der betroffenen Person (Antragszähler, Antragswiederholungen)
Finanzierungsvolumen
Von Ihnen selbst im Rahmen der XXXX bereitgestellte Informationen zur ökologisch-sozialen Nachhaltigkeit sowie die diesbezüglichen ZertifizierungsergebnisseVon Ihnen selbst im Rahmen der römisch 40 bereitgestellte Informationen zur ökologisch-sozialen Nachhaltigkeit sowie die diesbezüglichen Zertifizierungsergebnisse
Informationen zum Schutz der Identitäten der Betroffenen, soweit dies im Rahmen der Identitätsbewertung erforderlich ist
4. Rechtsgrundlagen der Datenverarbeitung
Die Verarbeitung Ihrer personenbezogenen Daten stützt sich auf folgende Rechtsgrundlagen der Datenschutz-Grundverordnung („DSGVO“):
unsere überwiegenden berechtigten Interessen daran, unsere Produkte und Dienstleistungen im Bereich der Auskunftei und des Adressverlags am Markt anbieten und erbringen zu können (Art. 6 Abs. 1 lit. f DSGVO);unsere überwiegenden berechtigten Interessen daran, unsere Produkte und Dienstleistungen im Bereich der Auskunftei und des Adressverlags am Markt anbieten und erbringen zu können (Artikel 6, Absatz eins, Litera f, DSGVO);
die überwiegenden berechtigten Interessen unserer Kunden am Bezug der Produkte und Leistungen der [ XXXX ] GmbH zu Zwecken des kundeninternen Risikomanagements, des Gläubigerschutzes und der Erfüllung gesetzlicher Prüfpflichten der Kunden sowie zu Zwecken des Direktmarketings (Art. 6 Abs. 1 lit. f DSGVO);die überwiegenden berechtigten Interessen unserer Kunden am Bezug der Produkte und Leistungen der [ römisch 40 ] GmbH zu Zwecken des kundeninternen Risikomanagements, des Gläubigerschutzes und der Erfüllung gesetzlicher Prüfpflichten der Kunden sowie zu Zwecken des Direktmarketings (Artikel 6, Absatz eins, Litera f, DSGVO);
Ihre Einwilligung, wobei diese von einem unserer Kunden oder ausnahmsweise von uns selbst eingeholt wird (Art. 6 Abs. 1 lit. a DSGVO);Ihre Einwilligung, wobei diese von einem unserer Kunden oder ausnahmsweise von uns selbst eingeholt wird (Artikel 6, Absatz eins, Litera a, DSGVO);
die Erforderlichkeit zur Erfüllung gesetzlicher Verpflichtungen, denen wir unterliegen (Art. 6 Abs. 1 lit. c DSGVO).die Erforderlichkeit zur Erfüllung gesetzlicher Verpflichtungen, denen wir unterliegen (Artikel 6, Absatz eins, Litera c, DSGVO).
5. Übermittlung Ihrer personenbezogenen Daten
Sofern dies zu den oben genannten Zwecken erforderlich ist, werden wir Ihre personenbezogenen Daten an folgende Kategorien von Empfängern übermitteln:
Kunden/Partner der [x] GmbH mit berechtigtem Interesse an den jeweils bereitgestellten Informationen, insbesondere Unternehmen der Kreditwirtschaft und des (Internet-)Handels, die gegenüber betroffenen Personen in Vorleistung treten (z.B. Kauf auf offene Rechnung, Kreditvergabe, Kreditkartengeschäft, etc.), Unternehmen, die gesetzlichen Prüfpflichten unterliegen sowie Vermieter;
Gesellschaften, die unserem Konzern angehören - eine Liste der Konzerngesellschaften findet sich unter folgendem Link: https://www. XXXX .com/about-us/our-global-presence/; zu diesen Gesellschaften zählen insbesondereGesellschaften, die unserem Konzern angehören - eine Liste der Konzerngesellschaften findet sich unter folgendem Link: https://www. römisch 40 .com/about-us/our-global-presence/; zu diesen Gesellschaften zählen insbesondere
unsere Muttergesellschaft, XXXX S.p.A, deren Datenschutzerklärung unter https:// XXXX /global/#InfoPrivacy und https://www. XXXX .it/informativa-sul-trattamento-dei-dati-personali-per-finalit%C3%A0-di-informazione-commerciale/ verfügbar ist;unsere Muttergesellschaft, römisch 40 S.p.A, deren Datenschutzerklärung unter https:// römisch 40 /global/#InfoPrivacy und https://www. römisch 40 .it/informativa-sul-trattamento-dei-dati-personali-per-finalit%C3%A0-di-informazione-commerciale/ verfügbar ist;
die XXXX GmbH, [ XXXX ], welche die übermittelten Daten zum Betrieb ihres Auskunftei- und Adresshandelsgeschäfts verarbeitet und deren Datenschutzerklärung mit näheren Informationen zur Datenverarbeitung unter www. XXXX .de/datenschutz eingesehen werden kann;die römisch 40 GmbH, [ römisch 40 ], welche die übermittelten Daten zum Betrieb ihres Auskunftei- und Adresshandelsgeschäfts verarbeitet und deren Datenschutzerklärung mit näheren Informationen zur Datenverarbeitung unter www. römisch 40 .de/datenschutz eingesehen werden kann;
die XXXX AG, [ XXXX ], welche die übermittelten Daten zum Betrieb ihres Auskunftei- und Adresshandelsgeschäfts verarbeitet und deren Datenschutzerklärung mit näheren Informationen zur Datenverarbeitung unter https://www. XXXX .ch/dsgvo/ eingesehen werden kann;die römisch 40 AG, [ römisch 40 ], welche die übermittelten Daten zum Betrieb ihres Auskunftei- und Adresshandelsgeschäfts verarbeitet und deren Datenschutzerklärung mit näheren Informationen zur Datenverarbeitung unter https://www. römisch 40 .ch/dsgvo/ eingesehen werden kann;
Rechtsvertreter, Gerichte und Behörden;
IT-Dienstleister, welche als Auftragsdatenverarbeiter tätig sind.
Manche der oben genannten Empfänger befinden sich außerhalb Ihres Landes oder verarbeiten dort Ihre personenbezogenen Daten. Das Datenschutzniveau in anderen Ländern entspricht unter Umständen nicht dem Ihres Landes. Wir übermitteln Ihre personenbezogenen Daten jedoch nur in Länder, für welche die EU-Kommission entschieden hat, dass sie über ein angemessenes Datenschutzniveau verfügen, oder wir setzen Maßnahmen, um zu gewährleisten, dass alle Empfänger ein angemessenes Datenschutzniveau haben. Dazu schließen wir beispielsweise Standardvertragsklauseln ab. Diese sind auf Anfrage verfügbar (siehe die Kontaktdaten unten).
6. Speicherdauer
Ihre personenbezogenen Daten werden von uns nur so lange aufbewahrt, wie dies erforderlich ist, um die oben genannten Zwecke zu erreichen.
Wir speichern Ihre personenbezogenen Daten jedenfalls so lange (i) gesetzliche Aufbewahrungspflichten bestehen oder (ii) etwaige rechtliche Ansprüche noch nicht verjährt sind, für deren Geltendmachung oder deren Abwehr die personenbezogenen Daten benötigt werden.
Zahlungserfahrungsdaten werden dann gelöscht, wenn sie nicht mehr bonitätsrelevant sind, wobei für die Beurteilung der Bonitätsrelevanz folgende maßgeblichen Kriterien herangezogen werden: die Höhe der einzelnen Forderungen; das „Alter“ der Forderungen; die Anzahl der im Wege eines Inkassounternehmens eingetriebenen Forderungen; die Zeit, die seit Begleichung einer Forderung verstrichen ist sowie die Herkunft der Daten. Zahlungserfahrungsdaten werden jedenfalls spätestens 10 Jahre nach dem Eröffnungsdatum aus der Datenbank gelöscht.
Getätigte Datenbank-Abfragen werden für die Dauer von 7 Jahren ab Ende des Kalenderjahres, in dem die Abfrage getätigt wurde, gespeichert.
Zur Speicherdauer von Name und Geburtsdatum wird angegeben, dass diese gelöscht werden, wenn die betroffene Person verstirbt, ein Auftrag hierzu seitens der DSB oder eines Gerichtes vorliegt oder ein sonstiger Löschgrund nach Art. 17 DSGVO vorliegt.Zur Speicherdauer von Name und Geburtsdatum wird angegeben, dass diese gelöscht werden, wenn die betroffene Person verstirbt, ein Auftrag hierzu seitens der DSB oder eines Gerichtes vorliegt oder ein sonstiger Löschgrund nach Artikel 17, DSGVO vorliegt.
Adressdaten betroffener Personen werden gespeichert, solange die betroffene Person diese Adresse im Wirtschaftsverkehr verwendet. Wird ein Adressdatum in einem Zeitraum von 10 Jahren nicht erneut bestätigt oder abgefragt, wird dieses gelöscht.
Von Ihnen selbst im Rahmen der Beantwortung des Fragebogens bereitgestellte Informationen zur ökologisch-sozialen Nachhaltigkeit sowie die diesbezüglichen Zertifizierungsergebnisse werden für die Dauer von 18 Monaten gespeichert.
7. Ihre Rechte im Zusammenhang mit personenbezogenen Daten
Nach geltendem Recht sind Sie dazu berechtigt (wenn die jeweiligen Voraussetzungen des anwendbaren Rechts erfüllt sind),
Bestätigung darüber zu verlangen, ob und welche Ihrer personenbezogenen Daten wir verarbeiten und Kopien dieser Daten zu erhalten,
die Berichtigung oder Löschung Ihrer personenbezogenen Daten zu verlangen,
von uns zu verlangen, die Verarbeitung Ihrer personenbezogenen Daten einzuschränken,
der Verarbeitung Ihrer personenbezogenen Daten zu widersprechen,
die gegebenenfalls für die Verarbeitung zuvor erteilte Einwilligung zu widerrufen (der Widerruf Ihrer Einwilligung hat keinen Einfluss auf die Rechtmäßigkeit der Verarbeitung, die vor ihrem Widerruf aufgrund Ihrer Einwilligung erfolgt ist),
Datenübertragbarkeit zu verlangen, und
bei der Datenschutzbehörde Beschwerde zu erheben.
Diesbezügliche Anträge und Anfragen können jederzeit per E-Mail an auskunft@ XXXX .com oder über das auf unserer Webseite im Bereich „Selbstauskunft“ befindliche Kontaktformular gestellt werden.Diesbezügliche Anträge und Anfragen können jederzeit per E-Mail an auskunft@ römisch 40 .com oder über das auf unserer Webseite im Bereich „Selbstauskunft“ befindliche Kontaktformular gestellt werden.
8. Unsere Kontaktdaten
Sollten Sie zu der Verarbeitung Ihrer personenbezogenen Daten allgemeine Fragen oder Anliegen haben, wenden Sie sich bitte an uns:
XXXX GmbH römisch 40 GmbH
[ XXXX ][ römisch 40 ]
info.at@ XXXX .cominfo.at@ römisch 40 .com
Alternativ können Sie sich auch gerne direkt an unsere Datenschutzbeauftragte wenden:
XXXX GmbH römisch 40 GmbH
Datenschutzbeauftragte/r
[ XXXX ][ römisch 40 ]
datenschutzbeauftragter@ XXXX .comdatenschutzbeauftragter@ römisch 40 .com
Zuletzt aktualisiert am 10.08.2023“
2. Beweiswürdigung
Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt.
Die Feststellung zu Punkt 1.6. stützt sich auf den Umstand, dass die BF zur Frage des (Nicht)Erhalts von Rechnungen oder Mahnungen widersprüchliches und daher unglaubwürdiges Vorbringen erstattet hat: Während sie in der Datenschutzbeschwerde vorbrachte, die – d.h. sämtliche gegenständliche – Forderungen nach Kenntnisnahme unverzüglich beglichen zu haben, wird in ihrer Stellungnahme vom 28.08.2022 bloß in Hinblick auf die Forderung des Rauchfangkehrermeisters (nicht aber jener der Freiwilligen Feuerwehr K.) ausgeführt, dass sie dazu keine Rechnung oder Mahnung erhalten habe, um in der Beschwerde wieder (ohne zwischen den beiden Forderungen zu differenzieren) zu bestreiten, dass „tatsächlich zwei weitere Mahnungen“ an sie ergangen seien.
Überdies steht das Vorbringen der BF, sie habe keine Rechnung oder Mahnung von Rauchfangkehrermeister R. erhalten, in einem Spannungsverhältnis zum Umstand, dass sie letztlich den gegenüber dem Kapitalbetrag iHv € 119,08 durch Kosten und Zinsen fast verdoppelten Betrag iHv insgesamt € 220,63 bezahlte. Hätte die BF tatsächlich keine Rechnung oder Mahnung erhalten, wäre zu erwarten gewesen, dass sie nach Erhalt des Schreibens des Inkassounternehmens entsprechende Einwendungen erhebt, um nicht für die zusätzlichen Kosten aufzukommen zu müssen.
3. Rechtliche Beurteilung
Gemäß § 6 Bundesverwaltungsgerichtsgesetz (BVwGG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß Paragraph 6, Bundesverwaltungsgerichtsgesetz (BVwGG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Aufgrund von § 27 DSG liegt gegenständlich Senatszuständigkeit vor. Aufgrund von Paragraph 27, DSG liegt gegenständlich Senatszuständigkeit vor.
Zu Spruchpunkt A:
3.1. Anzuwendendes Recht:
3.1.1. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise wie folgt:3.1.1. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, lauten auszugsweise wie folgt:
„Beschwerde an die Datenschutzbehörde
§ 24 (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
(2) – (3) …
(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.“
3.1.2. Die hier relevanten Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten:3.1.2. Die hier relevanten Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Amtsblatt L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten:
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
(1) „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
(2) „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
(3) „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
(4) „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
(5) „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;
(6) „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
(7) „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
(8) „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
(9) „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;
(10) „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten
(11) „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
(12) - (17) …
(18) „Unternehmen“ eine natürliche und juristische Person, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform, einschließlich Personengesellschaften oder Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen;
(19) „Unternehmensgruppe“ eine Gruppe, die aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen besteht;
(20) …
(21) „Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete unabhängige staatliche Stelle;
(22) – (26) …
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel römisch neun.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) …
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
(5) – (8) …
Artikel 14
Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) die Kategorien personenbezogener Daten, die verarbeitet werden;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;
g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2
a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,
b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,
c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.
(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit
a) die betroffene Person bereits über die Informationen verfügt,
b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,
c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder
d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.
Artikel 17
Recht auf Löschung („Recht auf Vergessenwerden“)
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.
(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.
(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist
a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;
d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder
e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
3.1.4. Die Bestimmung des § 152 der Gewerbeordnung 1994, BGBl. Nr. 194/1994, in der geltenden Fassung lautet:3.1.4. Die Bestimmung des Paragraph 152, der Gewerbeordnung 1994, Bundesgesetzblatt Nr. 194 aus 1994,, in der geltenden Fassung lautet:
„§ 152. (1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.
(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.“(2) Die im Absatz eins, genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.“
3.2. Zur datenschutzrechtlichen Rollenverteilung:
3.2.1. Festzuhalten ist, dass die MP als juristische Person in der Rechtsform einer Gesellschaft mit beschränkter Haftung und Inhaberin einer Gewerbeberechtigung nach § 152 GewO 1994 („Kreditauskunfteien“) in datenschutzrechtlicher Hinsicht als (alleinige) Verantwortliche im Sinne von Art. 4 Z 7 DSGVO für sämtliche Verarbeitungsvorgänge im Zusammenhang mit dem Betrieb des Gewerbes, insbesondere für sämtliche Verarbeitungsvorgänge personenbezogener Daten im Rahmen ihrer Datenbank zur Verarbeitung von Bonitätsdaten datenschutzrechtlich Betroffener, zu qualifizieren ist. Dies deshalb, da die MP allein über die Mittel und Zwecke der Datenverarbeitung in Bezug auf ihre Gewerbeausübung bestimmt. Dass die MP Verträge mit anderen Unternehmen schließt, wie insbesondere mit Inkassounternehmen, die ihrerseits Zahlungserfahrungsdaten an die MP übermitteln, vermag daran nichts zu ändern. Fallgegenständlich war sohin ausschließlich zu prüfen, ob die MP bei der Verarbeitung der Zahlungserfahrungsdaten der BF Partei die datenschutzrechtlichen Vorgaben der DSGVO – insbesondere der in Art. 5 Abs. 1 leg. cit. normierten Grundsätze – eingehalten hat.3.2.1. Festzuhalten ist, dass die MP als juristische Person in der Rechtsform einer Gesellschaft mit beschränkter Haftung und Inhaberin einer Gewerbeberechtigung nach Paragraph 152, GewO 1994 („Kreditauskunfteien“) in datenschutzrechtlicher Hinsicht als (alleinige) Verantwortliche im Sinne von Artikel 4, Ziffer 7, DSGVO für sämtliche Verarbeitungsvorgänge im Zusammenhang mit dem Betrieb des Gewerbes, insbesondere für sämtliche Verarbeitungsvorgänge personenbezogener Daten im Rahmen ihrer Datenbank zur Verarbeitung von Bonitätsdaten datenschutzrechtlich Betroffener, zu qualifizieren ist. Dies deshalb, da die MP allein über die Mittel und Zwecke der Datenverarbeitung in Bezug auf ihre Gewerbeausübung bestimmt. Dass die MP Verträge mit anderen Unternehmen schließt, wie insbesondere mit Inkassounternehmen, die ihrerseits Zahlungserfahrungsdaten an die MP übermitteln, vermag daran nichts zu ändern. Fallgegenständlich war sohin ausschließlich zu prüfen, ob die MP bei der Verarbeitung der Zahlungserfahrungsdaten der BF Partei die datenschutzrechtlichen Vorgaben der DSGVO – insbesondere der in Artikel 5, Absatz eins, leg. cit. normierten Grundsätze – eingehalten hat.
3.3. Zur fragliche Präklusion des Rechts zur Erhebung einer Datenschutzbeschwerde:
3.3.1. Nach § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich ist.3.3.1. Nach Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich ist.
Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen die § 1 oder Artikel 2 1. Hauptstück verstößt.Gemäß Paragraph 24, Absatz eins, DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen die Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
Eine Verletzung der Informationspflicht nach Art. 14 DSGVO muss nicht unter § 1 Abs. 1 subsumiert werden, sondern kann unmittelbar auf Basis der DSGVO als subjektives Recht iSv § 24 geltend gemacht werden. Die betroffene Person kann sich daher antragsunabhängig auf Art. 14 DSGVO stützen (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 24 [Stand 01.02.2022, rdb.at], Rz 117)Eine Verletzung der Informationspflicht nach Artikel 14, DSGVO muss nicht unter Paragraph eins, Absatz eins, subsumiert werden, sondern kann unmittelbar auf Basis der DSGVO als subjektives Recht iSv Paragraph 24, geltend gemacht werden. Die betroffene Person kann sich daher antragsunabhängig auf Artikel 14, DSGVO stützen (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph 24, [Stand 01.02.2022, rdb.at], Rz 117)
Gemäß § 24 Abs. 4 DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen. § 24 Abs. 4 DSG normiert eine relative Präklusionsfrist für die Geltendmachung des Beschwerderechts von einem Jahr ab Kenntnis des beschwerenden Ereignisses sowie eine absolute Präklusionsfrist von drei Jahren nach Stattfinden des Ereignisses (Schweiger in Knyrim, DatKomm Art. 77 DSGVO [Stand 1.12.2021, rdb.at] Rz 14). Die absolute Präklusionsfrist beginnt schon mit dem Stattfinden des Ereignisses zu laufen, unabhängig davon, ob und wann die betroffene Person davon Kenntnis erlangt. Bei „fortgesetzter Schädigung“ bei rechtswidrigen Dauerzuständen beginnt die subjektive einjährige als auch die objektive dreijährige Präklusivfrist nicht vor Beendigung dieses Dauerzustandes (vgl. dazu BVwG vom 15.04.2020, W211 2219095-1/5E; OGH vom 25.09.2017, 6 Ob 217 /16d).Gemäß Paragraph 24, Absatz 4, DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen. Paragraph 24, Absatz 4, DSG normiert eine relative Präklusionsfrist für die Geltendmachung des Beschwerderechts von einem Jahr ab Kenntnis des beschwerenden Ereignisses sowie eine absolute Präklusionsfrist von drei Jahren nach Stattfinden des Ereignisses (Schweiger in Knyrim, DatKomm Artikel 77, DSGVO [Stand 1.12.2021, rdb.at] Rz 14). Die absolute Präklusionsfrist beginnt schon mit dem Stattfinden des Ereignisses zu laufen, unabhängig davon, ob und wann die betroffene Person davon Kenntnis erlangt. Bei „fortgesetzter Schädigung“ bei rechtswidrigen Dauerzuständen beginnt die subjektive einjährige als auch die objektive dreijährige Präklusivfrist nicht vor Beendigung dieses Dauerzustandes vergleiche dazu BVwG vom 15.04.2020, W211 2219095-1/5E; OGH vom 25.09.2017, 6 Ob 217 /16d).
3.3.2. Sofern die MP nunmehr vorbringt, die Datenschutzbeschwerde der BF sei verfristet gewesen, ist ihr Folgendes entgegenzuhalten:
Eine Verfristung des Beschwerderechts kommt gegenständlich schon deshalb nicht in Betracht, da bei „fortgesetzter Schädigung“ bei rechtswidrigen Dauerzuständen sowohl die subjektive einjährige als auch die objektive dreijährige Präklusivfrist nicht vor Beendigung dieses Dauerzustands beginnt (vgl. BVwG 15.04.2020, W211 2219095-1/5E). Doch selbst, wenn Derartiges nicht zuträfe, wäre keine Verfristung anzunehmen: Denn die subjektive Frist wäre vor dem Hintergrund, dass die BF (erst) mit vom 24.02.2021 datierendem Schreiben von der MP die Auskunft erhalten hat, dass die nicht gelöscht werden, mit Blick auf die Erhebung der Datenschutzbeschwerde am 23.03.2022 jedenfalls gewahrt. Die absolute Präklusionsfrist wäre wiederum mit Ablauf des 03.07.2022 verstrichen, sodass die am 23.02.2022 erhobene Datenschutzbeschwerde auch in diesfalls als objektiv fristgemäß eingebracht zu qualifizieren wäre 3.4. Zur Rechtmäßigkeit der verfahrensgegenständlichen Verarbeitung der Zahlungserfahrungsdaten der BF durch die MP als Kreditauskunftei:Eine Verfristung des Beschwerderechts kommt gegenständlich schon deshalb nicht in Betracht, da bei „fortgesetzter Schädigung“ bei rechtswidrigen Dauerzuständen sowohl die subjektive einjährige als auch die objektive dreijährige Präklusivfrist nicht vor Beendigung dieses Dauerzustands beginnt vergleiche BVwG 15.04.2020, W211 2219095-1/5E). Doch selbst, wenn Derartiges nicht zuträfe, wäre keine Verfristung anzunehmen: Denn die subjektive Frist wäre vor dem Hintergrund, dass die BF (erst) mit vom 24.02.2021 datierendem Schreiben von der MP die Auskunft erhalten hat, dass die nicht gelöscht werden, mit Blick auf die Erhebung der Datenschutzbeschwerde am 23.03.2022 jedenfalls gewahrt. Die absolute Präklusionsfrist wäre wiederum mit Ablauf des 03.07.2022 verstrichen, sodass die am 23.02.2022 erhobene Datenschutzbeschwerde auch in diesfalls als objektiv fristgemäß eingebracht zu qualifizieren wäre 3.4. Zur Rechtmäßigkeit der verfahrensgegenständlichen Verarbeitung der Zahlungserfahrungsdaten der BF durch die MP als Kreditauskunftei:
3.4.1. Wie sich aus den Feststellungen ergibt, speichert die MP seit dem 10.07.2017 fortlaufend (negative) Zahlungserfahrungsdaten der BF, (nach Löschung der Kapitalforderung in Höhe von 373,00) konkret noch die Forderung in der Höhe von € 119,08), die die MP von einem Inkassounternehmen, zu dem ein entsprechendes Vertragsverhältnis besteht, übermittelt wurde. Wie ebenfalls festgestellt, verpflichtet die MP ihre Vertragspartner (Gläubiger und Inkassounternehmen) vertraglich dazu, vor der Übermittlung von Zahlungserfahrungsdaten an sie die betroffene Person darüber zu informieren, dass die jeweiligen Informationen an die MP als Kreditauskunftei übermittelt werden, sofern keine Zahlung erfolgt oder kein Einwand gegen die Forderung erhoben wird. Wenn BF vorbringt, dass die MP im Zusammenhang mit der Speicherung (und weiteren Verarbeitung) der in Rede stehenden Zahlungserfahrungsdaten gegen den von Art. 5 Abs. 1 lit. a DSGVO normierten Grundsatz („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verstoßen habe, war dem aufgrund der nachstehenden Erwägungen nicht zu folgen:3.4.1. Wie sich aus den Feststellungen ergibt, speichert die MP seit dem 10.07.2017 fortlaufend (negative) Zahlungserfahrungsdaten der BF, (nach Löschung der Kapitalforderung in Höhe von 373,00) konkret noch die Forderung in der Höhe von € 119,08), die die MP von einem Inkassounternehmen, zu dem ein entsprechendes Vertragsverhältnis besteht, übermittelt wurde. Wie ebenfalls festgestellt, verpflichtet die MP ihre Vertragspartner (Gläubiger und Inkassounternehmen) vertraglich dazu, vor der Übermittlung von Zahlungserfahrungsdaten an sie die betroffene Person darüber zu informieren, dass die jeweiligen Informationen an die MP als Kreditauskunftei übermittelt werden, sofern keine Zahlung erfolgt oder kein Einwand gegen die Forderung erhoben wird. Wenn BF vorbringt, dass die MP im Zusammenhang mit der Speicherung (und weiteren Verarbeitung) der in Rede stehenden Zahlungserfahrungsdaten gegen den von Artikel 5, Absatz eins, Litera a, DSGVO normierten Grundsatz („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verstoßen habe, war dem aufgrund der nachstehenden Erwägungen nicht zu folgen:
3.3.3. Der in der DSGVO nicht näher bestimmte Begriff „Treu und Glauben“ findet sich bereits in der Datenschutzkonvention des Europarats und ist auch unmittelbar in Art 8 Abs 2 GRC normiert. Er stammt ursprünglich aus dem anglo-amerikanischen Rechtskreis und ist im deutschen Recht ein einigermaßen gefestigter Rechtsbegriff, der z.B. auch im (deutschen) § 242 BGB vorkommt. Im vorliegenden Zusammenhang ist jedoch eine autonome unionsrechtliche Auslegung des Begriffs „Treu und Glauben“ geboten. Aus dem 47. Erwägungsgrund zur DSGVO erhellt, dass die Bedeutung des Begriffs „Treu und Glauben“ in der DSGVO nicht nur autonom, sondern auch DSGVO-spezifisch auszulegen ist, wie auch ein Blick auf die englische Sprachfassung („fairly“) zeigt. Treu und Glauben ist demnach im Sinne von Fairness zu interpretieren. Erwägungsgrund 47 erster Satz zur DSGVO befasst sich mit dem Umstand, dass die „vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen“, als Maßstab heranzuziehen sind. Eine Verarbeitung nach Treu und Glauben muss somit innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstellt.3.3.3. Der in der DSGVO nicht näher bestimmte Begriff „Treu und Glauben“ findet sich bereits in der Datenschutzkonvention des Europarats und ist auch unmittelbar in Artikel 8, Absatz 2, GRC normiert. Er stammt ursprünglich aus dem anglo-amerikanischen Rechtskreis und ist im deutschen Recht ein einigermaßen gefestigter Rechtsbegriff, der z.B. auch im (deutschen) Paragraph 242, BGB vorkommt. Im vorliegenden Zusammenhang ist jedoch eine autonome unionsrechtliche Auslegung des Begriffs „Treu und Glauben“ geboten. Aus dem 47. Erwägungsgrund zur DSGVO erhellt, dass die Bedeutung des Begriffs „Treu und Glauben“ in der DSGVO nicht nur autonom, sondern auch DSGVO-spezifisch auszulegen ist, wie auch ein Blick auf die englische Sprachfassung („fairly“) zeigt. Treu und Glauben ist demnach im Sinne von Fairness zu interpretieren. Erwägungsgrund 47 erster Satz zur DSGVO befasst sich mit dem Umstand, dass die „vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen“, als Maßstab heranzuziehen sind. Eine Verarbeitung nach Treu und Glauben muss somit innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstellt.
In der DSGVO wird der Grundsatz der Transparenz durch die Art. 13 und 14 zur Informationspflicht sowie Art 12 zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den Erwägungsgründen 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden. Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden und an wen sie ggf. übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht bildet damit notwendige Voraussetzung für die Ausübung der Betroffenenrechte. Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt bzw. ist ihm nicht bekannt, wer seine Daten verarbeitet, kann er seine diesbezüglichen Rechte nach Art 15 - 21 DSGVO nicht geltend machen (vgl. zu alldem: Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO, Rz 13ff).In der DSGVO wird der Grundsatz der Transparenz durch die Artikel 13 und 14 zur Informationspflicht sowie Artikel 12, zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den Erwägungsgründen 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden. Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden und an wen sie ggf. übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht bildet damit notwendige Voraussetzung für die Ausübung der Betroffenenrechte. Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt bzw. ist ihm nicht bekannt, wer seine Daten verarbeitet, kann er seine diesbezüglichen Rechte nach Artikel 15, - 21 DSGVO nicht geltend machen vergleiche zu alldem: Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO, Rz 13ff).
3.3.4. Wie festgestellt, wurde die BF im Schreiben des Inkassounternehmens darüber informiert, dass bei einem etwaigen Zahlungsverzug ihre Daten an die MP weitergeleitet werden. Sofern die BF in ihrer Beschwerde zunächst anführte, dass bei der erteilten Information durch das Inkassounternehmen das tatsächliche Übermittlungsdatum bzw. eine eindeutig bestimmte Frist, bei deren Ablauf ohne vollständige Zahlung oder eine andere Vereinbarung jedenfalls die Übermittlung der negativen Zahlungserfahrungsdaten an die MP erfolge, fehlten (Bescheidbeschwerde, Seite 4), ist ihr – wie auch die belangte Behörde zutreffend in ihrer Stellungnahme ausführte – entgegenzuhalten, dass diese Informationen auf den Mahnschreiben des Inkassobüros angeführt waren. Sofern die BF sodann in ihrer Replik auf die Stellungnahme der belangten Behörde vorbrachte, dass der Hinweis auf den Inkassoschreiben, wonach die Daten an eine Kreditauskunftei weitergegeben würden, nicht ausreichend gewesen sei, es für sie nicht klar gewesen sei, welche Folgen die Nichtzahlung bzw. nicht fristgerechte Zahlung haben könnte, und ein ausdrücklicher Hinweis darauf, dass man bei Nichtzahlung oder nur teilweisen Zahlung einen Eintrag in der Kreditauskunftei erhalte, wesentlich sei, ist darauf hinzuweisen, dass aus dem Schreiben des Inkassounternehmens deutlich hervorgeht, dass bei Zahlungsverzug die Daten an die MP weitergeleitet und diese für Bonitätsauskünfte verwendet werden. Schließlich wäre es der BF aufgrund dieser Informationen auch möglich gewesen, sich auf der Website der MP weitere Informationen im Hinblick auf das Gewerbe der MP einzuholen und insbesondere deren Datenschutzerklärung „Auskunftei und Adressverlag“ abzurufen, in der u.a. über die Zwecke der Datenverarbeitung, die Quellen personenbezogener Daten (insbesondere auch Inkassoinstitute), die verarbeiteten Datenkategorien (insbesondere auch Zahlungserfahrungsdaten), die Rechtsgrundlage der Datenverarbeitung nach der DSGVO, die Kategorien von Empfängern, an die die personenbezogene Daten übermittelt werden (insbesondere auch Kunden/Partner der MP mit berechtigtem Interesse an den jeweils bereitgestellten Informationen, insbesondere Unternehmen der Kreditwirtschaft und des (Internet-)Handels, die gegenüber betroffenen Personen in Vorleistung treten [z. B. Kauf auf offene Rechnung, Kreditvergabe, Kreditkartengeschäft etc.]) sowie die Speicherdauer informiert wird. Sofern die BF ferner vorbringt, sie habe keine Rechnung oder Mahnung von Rauchfangkehrermeister R. erhalten und erst durch das Inkassoschreiben von der Forderung Kenntnis erlangt, ist auf die Feststellungen zu Punkt 1.6. zu verweisen, wonach Derartiges nicht festgestellt werden kann.
3.3.5. Bei Berücksichtigung sämtlicher Umstände vermag das Bundesverwaltungsgericht im gegenständlichen Zusammenhang nicht zu erkennen, weshalb es für die BF nicht vorhersehbar gewesen sein soll, dass die in Rede stehenden Zahlungserfahrungsdaten für den Fall, dass sie keine Einwände gegen die Forderung erhebt oder diese nicht bis zum genannten Zeitpunkt begleicht, an die MP als Unternehmen im Bereich Kreditauskunfteien zur Bonitätsbewertung übermittelt würden. Das Bundesverwaltungsgericht übersieht dabei nicht, dass das in Rede stehende Mahnschreiben in Bezug auf die genauen Umstände der Datenverarbeitung durch die MP eher rudimentär gehalten war. Jedoch kann im Gesamtkontext aller Informationen, die der BF zur Verfügung standen, im vorliegenden Fall nicht gesagt werden, dass die MP bei der Verarbeitung (Einholung der Zahlungserfahrungsdaten durch einen Vertragspartner und fortlaufende Speicherung derselben ab dem 02.07.2015) gegen den Grundsatz nach Art. 5 Abs. 1 lit. a DSGVO (Rechtmäßigkeit, Treu und Glauben, Transparenz“) verstoßen hat. Nach Ansicht des erkennenden Senates entspricht es vielmehr der allgemeinen Lebenserfahrung, dass bei Ignorieren mehrfacher Zahlungsaufforderungen durch Gläubiger bzw. Inkassobüro eine Übermittlung an eine Kreditauskunftei erfolgt. dies gilt insbesondere, wenn es sich wie im gegenständlichen Fall um eine unbestrittene Forderung handelt und das betreffende Inkassounternehmen – wie dies hier erfolgte – schriftlich von diesem Umstand informiert.3.3.5. Bei Berücksichtigung sämtlicher Umstände vermag das Bundesverwaltungsgericht im gegenständlichen Zusammenhang nicht zu erkennen, weshalb es für die BF nicht vorhersehbar gewesen sein soll, dass die in Rede stehenden Zahlungserfahrungsdaten für den Fall, dass sie keine Einwände gegen die Forderung erhebt oder diese nicht bis zum genannten Zeitpunkt begleicht, an die MP als Unternehmen im Bereich Kreditauskunfteien zur Bonitätsbewertung übermittelt würden. Das Bundesverwaltungsgericht übersieht dabei nicht, dass das in Rede stehende Mahnschreiben in Bezug auf die genauen Umstände der Datenverarbeitung durch die MP eher rudimentär gehalten war. Jedoch kann im Gesamtkontext aller Informationen, die der BF zur Verfügung standen, im vorliegenden Fall nicht gesagt werden, dass die MP bei der Verarbeitung (Einholung der Zahlungserfahrungsdaten durch einen Vertragspartner und fortlaufende Speicherung derselben ab dem 02.07.2015) gegen den Grundsatz nach Artikel 5, Absatz eins, Litera a, DSGVO (Rechtmäßigkeit, Treu und Glauben, Transparenz“) verstoßen hat. Nach Ansicht des erkennenden Senates entspricht es vielmehr der allgemeinen Lebenserfahrung, dass bei Ignorieren mehrfacher Zahlungsaufforderungen durch Gläubiger bzw. Inkassobüro eine Übermittlung an eine Kreditauskunftei erfolgt. dies gilt insbesondere, wenn es sich wie im gegenständlichen Fall um eine unbestrittene Forderung handelt und das betreffende Inkassounternehmen – wie dies hier erfolgte – schriftlich von diesem Umstand informiert.
Auch ist darauf hinzuweisen, dass die lückenlose Einhaltung der Informationspflicht nach Art. 14 Abs. 1 und 2 DSGVO nicht zu den in Art. 6 Abs. 1 DSGVO genannten Gründen für die Rechtmäßigkeit der Verarbeitung zählt (vgl. VwGH 09.05.2023, Ro 2020/04/0037-8).Auch ist darauf hinzuweisen, dass die lückenlose Einhaltung der Informationspflicht nach Artikel 14, Absatz eins und 2 DSGVO nicht zu den in Artikel 6, Absatz eins, DSGVO genannten Gründen für die Rechtmäßigkeit der Verarbeitung zählt vergleiche VwGH 09.05.2023, Ro 2020/04/0037-8).
3.4. Zur Interessenabwägung im Sinne von Art. 6 Abs. 1 lit. f DSGVO:3.4. Zur Interessenabwägung im Sinne von Artikel 6, Absatz eins, Litera f, DSGVO:
3.4.1. Personenbezogene Daten sind über Antrag des Betroffenen u.a. dann zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, sie unrechtmäßig verarbeitet wurden oder die betroffene Person Widerspruch gemäß Artikel 21 Abs 1 DSGVO gegen ihre Verarbeitung erhoben hat (Art 17 Abs 1 lit a, c 1. Fall und d DSGVO). Einem Löschungsbegehren stünde daher eine Datenverwendung entgegen, die notwendig und rechtmäßig ist und gegen die kein wirksamer Widerspruch erhoben worden ist. Da – wie vorstehend ausgeführt – keine Verletzung des Grundsatzes nach Art. 5 Abs. 1 lit. a DSGVO vorliegt, die zur Unrechtmäßigkeit der Verarbeitung personenbezogener Daten führt, war die (weitere) Rechtmäßigkeit der Speicherung der (noch verfahrensgegenständlichen) Zahlungserfahrungsdaten der BF durch die MP anhand einer Interessenabwägung im Sinne von Art. 6 Abs. 1 lit. f DSGVO zu beurteilen.3.4.1. Personenbezogene Daten sind über Antrag des Betroffenen u.a. dann zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, sie unrechtmäßig verarbeitet wurden oder die betroffene Person Widerspruch gemäß Artikel 21 Absatz eins, DSGVO gegen ihre Verarbeitung erhoben hat (Artikel 17, Absatz eins, Litera a, c, 1. Fall und d DSGVO). Einem Löschungsbegehren stünde daher eine Datenverwendung entgegen, die notwendig und rechtmäßig ist und gegen die kein wirksamer Widerspruch erhoben worden ist. Da – wie vorstehend ausgeführt – keine Verletzung des Grundsatzes nach Artikel 5, Absatz eins, Litera a, DSGVO vorliegt, die zur Unrechtmäßigkeit der Verarbeitung personenbezogener Daten führt, war die (weitere) Rechtmäßigkeit der Speicherung der (noch verfahrensgegenständlichen) Zahlungserfahrungsdaten der BF durch die MP anhand einer Interessenabwägung im Sinne von Artikel 6, Absatz eins, Litera f, DSGVO zu beurteilen.
In seinem Erkenntnis vom 30.10.2019, Zl. W258 2216873, setzte sich das Bundesverwaltungsgericht mit der Frage auseinander, wie lange eine Speicherung von Daten über getilgte Forderungen durch eine Kreditauskunftei rechtmäßig sein kann, dies auch unter Beachtung der Verarbeitungsgrundsätze nach Art 5 DSGVO, „Zweckbindung“, „Datenminimierung“, „Richtigkeit“ und „Speicherbegrenzung“. Dabei ging es zunächst davon aus, dass die zulässige Speicherdauer in Ermangelung konkreter Fristen nach der DSGVO oder der GewO vom Einzelfall abhänge, solche Zahlungsinformationen für das künftige Zahlungsverhalten aber umso weniger Aussagekraft enthielten, je länger sie zurücklägen und je länger es zu keinen weiteren Zahlungsstockungen oder Zahlungsausfällen gekommen sei („Alter der Forderung“ und „seitheriges Wohlverhalten“). Im Weiteren suchte das BVwG in rechtlichen Bestimmungen, die dem Gläubigerschutz dienten, nach Beobachtungs- und Löschfristen als Richtlinie für die zulässige Speicherdauer. Als solche Bestimmung zog das Bundesverwaltungsgericht die Verordnung (EU) 575/2013 („Kapitaladäquanzverordnung“) heran, die Kreditinstitute verpflichte, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Dabei hätten Kreditinstitute gegenüber natürlichen Personen einen historischen Beobachtungszeitraum für zumindest eine Datenquelle von mindestens fünf Jahren für Kredit- und Retailforderungen heranzuziehen. Wenn aber Kreditinstitute als potentielle Geschäftspartner des Betroffenen rechtlich verpflichtet seien, ihre Forderungen anhand der Ausfallsquoten zumindest der letzten fünf Jahre zu bewerten, so sei es – so sinngemäß das Erkenntnis - kein Verstoß gegen das Prinzip der Datenminimierung und Speicherbegrenzung, wenn Daten über Forderungen, die innerhalb dieser Frist temporär oder gänzlich ausgefallen sind, durch eine Kreditauskunftei verarbeitet werden.In seinem Erkenntnis vom 30.10.2019, Zl. W258 2216873, setzte sich das Bundesverwaltungsgericht mit der Frage auseinander, wie lange eine Speicherung von Daten über getilgte Forderungen durch eine Kreditauskunftei rechtmäßig sein kann, dies auch unter Beachtung der Verarbeitungsgrundsätze nach Artikel 5, DSGVO, „Zweckbindung“, „Datenminimierung“, „Richtigkeit“ und „Speicherbegrenzung“. Dabei ging es zunächst davon aus, dass die zulässige Speicherdauer in Ermangelung konkreter Fristen nach der DSGVO oder der GewO vom Einzelfall abhänge, solche Zahlungsinformationen für das künftige Zahlungsverhalten aber umso weniger Aussagekraft enthielten, je länger sie zurücklägen und je länger es zu keinen weiteren Zahlungsstockungen oder Zahlungsausfällen gekommen sei („Alter der Forderung“ und „seitheriges Wohlverhalten“). Im Weiteren suchte das BVwG in rechtlichen Bestimmungen, die dem Gläubigerschutz dienten, nach Beobachtungs- und Löschfristen als Richtlinie für die zulässige Speicherdauer. Als solche Bestimmung zog das Bundesverwaltungsgericht die Verordnung (EU) 575 aus 2013, („Kapitaladäquanzverordnung“) heran, die Kreditinstitute verpflichte, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Dabei hätten Kreditinstitute gegenüber natürlichen Personen einen historischen Beobachtungszeitraum für zumindest eine Datenquelle von mindestens fünf Jahren für Kredit- und Retailforderungen heranzuziehen. Wenn aber Kreditinstitute als potentielle Geschäftspartner des Betroffenen rechtlich verpflichtet seien, ihre Forderungen anhand der Ausfallsquoten zumindest der letzten fünf Jahre zu bewerten, so sei es – so sinngemäß das Erkenntnis - kein Verstoß gegen das Prinzip der Datenminimierung und Speicherbegrenzung, wenn Daten über Forderungen, die innerhalb dieser Frist temporär oder gänzlich ausgefallen sind, durch eine Kreditauskunftei verarbeitet werden.
Gemäß den Verarbeitungsgrundsätzen nach Art 5 DSGVO müssen personenbezogene Daten - soweit verfahrensrelevant - für festgelegte, eindeutige und legitime Zwecke erhoben werden („Zweckbindung“), dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“), sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein („Richtigkeit“) und in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist („Speicherbegrenzung“).Gemäß den Verarbeitungsgrundsätzen nach Artikel 5, DSGVO müssen personenbezogene Daten - soweit verfahrensrelevant - für festgelegte, eindeutige und legitime Zwecke erhoben werden („Zweckbindung“), dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“), sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein („Richtigkeit“) und in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist („Speicherbegrenzung“).
Die MP betreibt das Gewerbe der Kreditauskunftei gemäß § 152 Gewerbeordnung 1994. Zu den Aufgaben der Gewerbetreibenden iSd § 152 GewO gehört die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Kreditgeber sollen dadurch aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer, und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur Verfügung stehen (Riesz in Ennöckl/Raschauer/Wessely, GewO § 152 Rz 2). Dadurch soll es Kreditgebern ermöglicht werden, die Wahrscheinlichkeit, mit der der Kreditgeber am Ende wegen seiner Forderung befriedigt wird, und allenfalls die Prognose, mit wie vielen Schwierigkeiten das verbunden ist, zu bestimmen (Wendehorst, Was ist Bonität? Zum Begriff der "Kreditwürdigkeit" in § 7 VKrG, in Blaschek/Habersberger (Hrsg), Eines Kredites würdig? (2011) 22). Eine Neigung zu vertragswidrigem Verhalten - etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck - lässt sich vor allem aus dem Finanzgebaren in der Vergangenheit heraus prognostizieren. Relevant ist dabei vergangenes vertragswidriges Verhalten, dass sich in schlichtem Zahlungsverzug, aber auch in gerichtlichen Verfahren bis hin zu Exekutionshandlungen oder gar in einer Insolvenzeröffnung manifestiert haben mag (aaO 23; vgl auch Heinrich, Bonitätsprüfung im Verbraucherkreditrecht (Wien 2014) 89 f). Die MP betreibt das Gewerbe der Kreditauskunftei gemäß Paragraph 152, Gewerbeordnung 1994. Zu den Aufgaben der Gewerbetreibenden iSd Paragraph 152, GewO gehört die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Kreditgeber sollen dadurch aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer, und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur Verfügung stehen (Riesz in Ennöckl/Raschauer/Wessely, GewO Paragraph 152, Rz 2). Dadurch soll es Kreditgebern ermöglicht werden, die Wahrscheinlichkeit, mit der der Kreditgeber am Ende wegen seiner Forderung befriedigt wird, und allenfalls die Prognose, mit wie vielen Schwierigkeiten das verbunden ist, zu bestimmen (Wendehorst, Was ist Bonität? Zum Begriff der "Kreditwürdigkeit" in Paragraph 7, VKrG, in Blaschek/Habersberger (Hrsg), Eines Kredites würdig? (2011) 22). Eine Neigung zu vertragswidrigem Verhalten - etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck - lässt sich vor allem aus dem Finanzgebaren in der Vergangenheit heraus prognostizieren. Relevant ist dabei vergangenes vertragswidriges Verhalten, dass sich in schlichtem Zahlungsverzug, aber auch in gerichtlichen Verfahren bis hin zu Exekutionshandlungen oder gar in einer Insolvenzeröffnung manifestiert haben mag (aaO 23; vergleiche auch Heinrich, Bonitätsprüfung im Verbraucherkreditrecht (Wien 2014) 89 f).
3.4.2. Die MP verarbeitet im Zuge des Betriebs des Gewerbes der Kreditauskunftei historische Informationen über Zahlungsausfälle der BF, um sie (potentiellen) Gläubigern bereitzustellen, damit diese das Risiko etwaiger Zahlungsausfälle bestimmen können. Dabei handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten (§ 152 GewO) Zweck. Die Daten sind auch richtig und vollständig, weil die Beschwerdeführerin im Rahmen ihrer Datenbank und Auskünfte an Dritte auf die Tilgung der Forderung hinweist. 3.4.2. Die MP verarbeitet im Zuge des Betriebs des Gewerbes der Kreditauskunftei historische Informationen über Zahlungsausfälle der BF, um sie (potentiellen) Gläubigern bereitzustellen, damit diese das Risiko etwaiger Zahlungsausfälle bestimmen können. Dabei handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten (Paragraph 152, GewO) Zweck. Die Daten sind auch richtig und vollständig, weil die Beschwerdeführerin im Rahmen ihrer Datenbank und Auskünfte an Dritte auf die Tilgung der Forderung hinweist.
Fraglich ist, wie lange derartige Daten verarbeitet werden dürfen. Die BF führte hierzu im Wesentlichen aus, dass die Eintragung ihrer Daten in der Datenbank der MP ein falsches Bild von ihrer Bonität und Zahlungsmoral vermittle und eine Speicherung von mehr als zwei Jahren in Hinblick auf die konkreten Umstände nicht gerechtfertigt sei. Sie sei von der Datenverarbeitung insofern nachteilig betroffen gewesen, als ihr ein Kredit nicht gewährt worden sei.
Die Verarbeitung personenbezogener Daten ist u.a. gemäß Art. 6 Abs. 1 lit. f DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessenabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind.Die Verarbeitung personenbezogener Daten ist u.a. gemäß Artikel 6, Absatz eins, Litera f, DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessenabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind.
Die MP und ihre Kunden haben, sobald Verträge ein kreditorisches Risiko enthalten, ein nachvollziehbares Interesse des kreditierenden Vertragspartners, dieses Risiko abzuschätzen. Die Verarbeitung von Daten über historische Insolvenzen und Zahlungsausfälle erfolgt zum Schutz potenzieller Vertragspartner der betroffenen Person, die Dritte iSv Art. 6 Abs. 1 lit f DSGVO sind (vgl. auch Schantz in Simitis, Hornung, Spiecker, Datenschutzrecht, Art. 6 Abs. 1, Rz 133 f, 137). Damit dient sie auch dazu, Kreditinstitute dabei zu unterstützen, die Vorschriften der Kapitaladäquanzverordnung, die hinsichtlich der Schätzung der Risikoparameter einen Beobachtungszeitraum von zumindest fünf Jahren vorsehen, zu erfüllen. Dagegen haben betroffene Personen ein Interesse daran, auf Grund der Verarbeitung nicht von Nachteilen im Wirtschaftsleben betroffen zu sein.Die MP und ihre Kunden haben, sobald Verträge ein kreditorisches Risiko enthalten, ein nachvollziehbares Interesse des kreditierenden Vertragspartners, dieses Risiko abzuschätzen. Die Verarbeitung von Daten über historische Insolvenzen und Zahlungsausfälle erfolgt zum Schutz potenzieller Vertragspartner der betroffenen Person, die Dritte iSv Artikel 6, Absatz eins, Litera f, DSGVO sind vergleiche auch Schantz in Simitis, Hornung, Spiecker, Datenschutzrecht, Artikel 6, Absatz eins,, Rz 133 f, 137). Damit dient sie auch dazu, Kreditinstitute dabei zu unterstützen, die Vorschriften der Kapitaladäquanzverordnung, die hinsichtlich der Schätzung der Risikoparameter einen Beobachtungszeitraum von zumindest fünf Jahren vorsehen, zu erfüllen. Dagegen haben betroffene Personen ein Interesse daran, auf Grund der Verarbeitung nicht von Nachteilen im Wirtschaftsleben betroffen zu sein.
Das Bundesverwaltungsgericht verkennt nicht, dass die Höhe der Forderung, auf die sich die weiterhin gespeicherten Zahlungserfahrungsdaten beziehen, relativ gering ist. In einer Zusammenschau ergibt sich jedoch, dass aufgrund des Interesses der Vertragspartner der MP, Kreditrisiken abzuschätzen, wofür die Beobachtung des historischen Zahlungsverhaltens des potentiellen Schuldners wesentlich ist – wobei auch Forderungen von geringer Höhe relevant sind (vgl. BVwG 24.03.2021, W214 2216836-1/21E) –, und vor dem Hintergrund, dass es der EU-Verordnungsgesetzgeber für erforderlich sieht, das Risiko von Forderungen anhand eines zumindest fünfjährigen Beobachtungszeitraums vergangener Zahlungsausfälle abzuschätzen, die Verarbeitung von Informationen über eine vor etwas mehr als vier Jahren beglichene Forderung weiterhin erforderlich ist, zumal die BF (wie sich aus den Feststellungen ergibt) die von der MP bereits gelöschte – deutlich höhere – Forderung der Freiwilligen Feuerwehr K. erst nach knapp zwei Jahren beglichen hat. Im gegenständlichen Fall überwiegt das Interesse der MP an der Geheimhaltung der verfahrensgegenständlichen historischen Zahlungsinformation, um nicht im Wirtschaftsleben benachteiligt zu werden, zum Entscheidungszeitpunkt noch nicht. Das Bundesverwaltungsgericht verkennt nicht, dass die Höhe der Forderung, auf die sich die weiterhin gespeicherten Zahlungserfahrungsdaten beziehen, relativ gering ist. In einer Zusammenschau ergibt sich jedoch, dass aufgrund des Interesses der Vertragspartner der MP, Kreditrisiken abzuschätzen, wofür die Beobachtung des historischen Zahlungsverhaltens des potentiellen Schuldners wesentlich ist – wobei auch Forderungen von geringer Höhe relevant sind vergleiche BVwG 24.03.2021, W214 2216836-1/21E) –, und vor dem Hintergrund, dass es der EU-Verordnungsgesetzgeber für erforderlich sieht, das Risiko von Forderungen anhand eines zumindest fünfjährigen Beobachtungszeitraums vergangener Zahlungsausfälle abzuschätzen, die Verarbeitung von Informationen über eine vor etwas mehr als vier Jahren beglichene Forderung weiterhin erforderlich ist, zumal die BF (wie sich aus den Feststellungen ergibt) die von der MP bereits gelöschte – deutlich höhere – Forderung der Freiwilligen Feuerwehr K. erst nach knapp zwei Jahren beglichen hat. Im gegenständlichen Fall überwiegt das Interesse der MP an der Geheimhaltung der verfahrensgegenständlichen historischen Zahlungsinformation, um nicht im Wirtschaftsleben benachteiligt zu werden, zum Entscheidungszeitpunkt noch nicht.
Die Verarbeitung der Zahlungserfahrungsdaten der BF betreffend der am 12.03.2019 eröffneten Forderung durch die MP ist daher rechtmäßig.
Was die am 10.07.2017 eröffnete Forderung angeht, wurden die betreffenden Zahlungserfahrungsdaten von der MP (wie festgestellt) mittlerweile gelöscht, sodass eine Verletzung im Recht auf Löschung diesbezüglich nicht in Betracht kommt.
3.5. Es war daher spruchgemäß zu entscheiden.
3.6. Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 VwGVG entfallen, da die BF keinen Antrag auf Durchführung einer mündlichen Verhandlung stellte und der maßgebliche Sachverhalt nach der Aktenlage feststeht. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.3.6. Die Durchführung einer mündlichen Verhandlung konnte gemäß Paragraph 24, VwGVG entfallen, da die BF keinen Antrag auf Durchführung einer mündlichen Verhandlung stellte und der maßgebliche Sachverhalt nach der Aktenlage feststeht. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.
Zu Spruchpunkt B):
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist. Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Artikel 133, Absatz 4, B-VG nicht zulässig ist.
Schlagworte
berechtigtes Interesse Bonitätsauskunft Datenlöschung Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Gläubigerschutz Informationspflicht Interessenabwägung Kreditauskunftei Löschungsbegehren personenbezogene Daten Speicherbegrenzung Speicherdauer Transparenz ZahlungserfahrungsdatenEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2023:W176.2259854.1.00Im RIS seit
11.10.2023Zuletzt aktualisiert am
11.10.2023
