Es war eine ungewöhnliche Schlagzeile, die im Februar 2021 ihre Runden machte: Laut einer Beschwerde bei der Datenschutzbehörde (DSB) würde die Kreditauskunftei KSV 1870 (KSV) Daten von bisher unbekannten Personen sammeln, sobald diese eine Datenauskunft gemäß Datenschutzgrundverordnung erfragen, berichtete DER STANDARD damals. Ein Vorgehen, das laut der Datenschutz-NGO Noyb unzulässig sei.

Dieser Ansicht ist auch die Datenschutzbehörde. In einem Bescheid hält diese nun fest, dass der KSV den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt habe, "indem sie anlässlich seines Auskunftsbegehrens nach Art. 15 DSGVO zunächst eine ihn betreffende Melderegisterabfrage eingeholt und seine personenbezogenen Daten" abgespeichert habe. Der KSV habe nun zwei Wochen Zeit, die Einträge aus seiner "Wirtschaftsdatenbank" zu löschen. Die Entscheidung ist nicht rechtskräftig.

Neuer Eintrag angelegt

Auf die beschriebene Datensammelei wurde Noyb durch eine betroffene Person aufmerksam, die von ihrem Auskunftsrecht Gebrauch machte – und vom KSV die Antwort erhielt, dass bisher zwar noch keine Daten gespeichert gewesen seien, nun aber einen Eintrag in der Wirtschaftsdatenbank erstellt worden sei.

Dass Unternehmen im Falle eines Auskunftsbegehrens weitere Informationen von Antragstellern anfragen, sei nicht unüblich, schreibt Noyb. Zum Beispiel um ihre Identität zu bestätigen. Entsprechende Daten dürften jedoch ausschließlich für die Beauskunftung genutzt und müssten anschließend wieder gelöscht werden. Der KSV hingegen habe nicht nur die erhaltenen Daten abgespeichert, "sondern die Person auch noch im Zentralen Melderegister (ZMR) abgefragt und die Daten aus dem Auskunftsbegehren damit verglichen", heißt es in einer Presseaussendung.

"Klar rechtswidrig"

Laut Marco Blocher, Jurist bei Noyb, sei das Geschäftsmodell des KSV 1870 jedenfalls "klar rechtswidrig". Das habe nun auch die Datenschutzbehörde festgestellt. "Wir gehen davon aus, dass unzählige weitere Österreicher:innen betroffen sind. Diese können vom KSV die Löschung der rechtswidrig verarbeiteten Daten fordern", sagt er.

Die nun erfolgreich abgeschlossene Beschwerde hat die NGO anhand des Prinzips der Zweckbindung in der DSGVO argumentiert. Laut dieser dürfen Daten nur zu einem bestimmten Zweck erhoben werden. Eine Weiterverarbeitung ist nur dann gestattet, wenn sie mit dem Ausgangszweck vereinbar ist. "Die DSB hielt fest, dass es weder einen erkennbaren Grund für die Verarbeitung der Daten des Auskunftsbegehrens für Bonitätsbewertungen gäbe noch ein gesetzlicher Auftrag zur generellen Datensammlung bestehe", schreibt Noyb hierzu.

Notwendige Verarbeitung

Der KSV erklärte im Februar 2021 auf STANDARD-Anfrage hingegen, dass Verarbeitungen "nach den gültigen Rechtsnormen" durchgeführt würden. Um eine Selbstauskunft nach Artikel 15 der DSGVO erteilen zu können, müssten zumindest die Identifikationsdaten des Betroffenen verarbeitet werden. "Wenn Daten in eine Verarbeitung einer Kreditauskunftei aufgenommen werden, ist der Betroffene davon in Kenntnis zu setzen. Dieser Verpflichtung wird über verschiedenste Arten der Kommunikation nachgekommen", hieß es damals. Auf eine aktuelle STANDARD-Anfrage antwortet der KSV 1870 lediglich, dass man "ein Schreiben von der Datenschutzbehörde erhalten" habe, das man aktuell prüfe. (mick, 10.2.2023)