BVwG W214 2228164-1

Spruch:

W214 2228164-1/13E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des XXXX gegen den Bescheid der Datenschutzbehörde vom 20.11.2019, Zl. DSB-D124.970/0004-DSB/2019, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Der Beschwerdeführer wandte sich mit Schreiben vom 01.06.2019 an die XXXX (ursprüngliche Beschwerdegegnerin vor der Datenschutzbehörde; mitbeteiligte Partei vor dem Bundesverwaltungsgericht) und forderte diese zur Löschung der Eintragung betreffend sein am 27.07.2016 abgeschlossenes Schuldenregulierungsverfahren auf.

2. Mit Antwortschreiben vom 19.06.2019 hielt die mitbeteiligte Partei fest, dass das Löschungsbegehren des Beschwerdeführers nicht den inhaltlichen Anforderungen gemäß Art. 17 DSGVO entspreche und eine weitere Bearbeitung des Anliegens daher abgelehnt werden müsse. Darüber hinaus wurde festgehalten, dass die gespeicherten Daten in den Datenbanken der Privatinformation korrekt dargestellt seien. Die Konsumentenkreditevidenz und die Warnliste seien von der Datenschutzkommission als Informationsverbundsysteme mittels Bescheid genehmigt worden. Unter den von der Datenschutzkommission erteilten Auflagen seien unter anderem die Löschfristen von Einträgen in die Konsumentenkreditevidenz und die Warnliste geregelt. Seitens der XXXX sei in der Warnliste die teilweise Tilgung per August 2016 gemeldet worden. Entsprechend der geltenden Löschfristen werde diese Eintragung sieben Jahre nach Erledigung, im August 2023, automatisch gelöscht. Der Sanierungsplan sei mit 10.08.2016 als direkt abgewickelt gemeldet worden. Der Hinweis betreffend die Insolvenz werde fünf Jahre nach Erledigung mit August 2021 automatisch gelöscht. Eine Verletzung der Informationspflicht liege nicht vor, die gegenständlichen Insolvenzdaten seien über die Ediktsdatei öffentlich zugänglich gewesen, die mitbeteiligte Partei habe die Insolvenzdaten aus dieser Quelle in die Datenbanken übertragen. Darüber sei der Beschwerdeführer mit Brief vom 20.04.2016 informiert worden. Eine vorzeitige Löschung würde im Widerspruch zur Aufgabe der mitbeteiligten Partei als Gläubigerschutzverband stehen und sei daher nicht möglich.

3. Der Beschwerdeführer richtete daraufhin am 25.06.2019 (verbessert mit Eingabe vom 17.07.2019) eine Beschwerde an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) und machte eine Verletzung im Recht auf Löschung geltend. Dazu wurde zusammengefasst vorgebracht, dass sein Schuldenregulierungsverfahren mit 20.04.2016 durch Beschluss des XXXX mit einer 20%-igen Quote abgeschlossen worden sei. Nach Abschluss des Schuldenregulierungsverfahrens mit April 2016 sei von der XXXX sofort die Eintragung bei der mitbeteiligten Partei veranlasst worden, mit dieser Eintragung sei es ihm nun nicht möglich eine Umschuldung durchzuführen. Die Eintragung sei rechtswidrig und ohne sein Wissen und seine ausdrückliche Zusage durchgeführt worden.

Der Datenschutzbeschwerde angeschlossen wurde das Schreiben des Beschwerdeführers an die mitbeteiligte Partei vom 01.06.2019 sowie das Antwortschreiben der mitbeteiligten Partei vom 19.06.2019.

4. Über Aufforderung der belangten Behörde erstattete die mitbeteiligte Partei am 11.09.2019 eine Stellungnahme und brachte vor, dass sie eine Bonitätsdatenbank betreibe und das Gewerbe nach § 152 GewO ausübe. Die Daten beziehe sie aus öffentlich verfügbaren Quellen bzw. bekomme sie die Informationen von einer Vielzahl an Auftraggebern und Mitgliedern des XXXX als Gläubigerschutzverband. Die Verarbeitung bonitätsrelevanter Daten finde Deckung in § 152 GewO und sei die Rechtmäßigkeit der Verarbeitung dieser Daten nicht von der vorherigen Einwilligung des Betroffenen abhängig. Der Beschwerdeführer strebe eine Umschuldung und damit die Inanspruchnahme eines Kredites an, um diese Umschuldung zu bewältigen. Somit sei evident, dass jene Bank, die der Beschwerdeführer für die Umschuldung in Anspruch zu nehmen beabsichtige, nicht nur die Absicht haben werde, sich die erforderlichen Grundlagen für eine Beurteilung der Kreditwürdigkeit zu verschaffen, sondern sie darüber hinaus auch verpflichtet sei, sich auch durch Einholung externer Auskünfte die erforderlichen Grundlagen für die Entscheidung zu einer Kreditgewährung zu verschaffen. Aus dieser Verpflichtung ergebe sich bereits, dass Auskunftssysteme bestehen müssten, die kreditrelevante Auskünfte enthalten, folglich ein Recht auf Löschung sämtlicher Daten seine Grenze in den berechtigten Interessen von Kreditinstituten finde. Der Beschwerdeführer räume ein, dass ein Insolvenzverfahren mit April 2016 abgeschlossen worden sei. Seither sei bei Weitem keine ausreichende Zeit verstrichen oder Nachweise gelegt worden, wonach man annehmen könne, dass der Beschwerdeführer zu neuem oder erhöhtem Einkommen oder sonstigem Vermögen gelangt sei, sodass seine Bonität losgelöst vom erst 2016 abgeschlossenen Insolvenzverfahren zu beurteilen wäre. Zudem habe es sich nicht um ein geringfügiges Insolvenzverfahren gehandelt, sondern sei die Summe der Verbindlichkeiten jenseits von EUR 500.000,00 gelegen. Würden mit Erfüllung eines Sanierungsplans den Finanzinstituten auf Dauer der Löschfrist, welche die belangte Behörde seinerzeit im Rahmen der Dateninformationsverbundsysteme mit diesbezüglich fünf Jahren vorgesehen habe, keinerlei Informationen über zurückliegende Insolvenzen mehr zur Verfügung stehen, so wären sie eines wesentlichen Bonitätskriteriums verlustig und würden die Bonität falsch beurteilen. Auch bei Abwägung der wechselseitigen Interessen der kreditgebenden Wirtschaft auf Basis deren Prüfpflicht nach dem BWG und der Interessen des Beschwerdeführers komme vor Ablauf der fünfjährigen Löschfrist einem Löschungsbegehren der in der Kleinkreditevidenz verarbeiteten Daten keine Berechtigung zu. Das Ergebnis dieser Interessenabwägung zeige sich auch darin, dass Auskünfte aus der Kleinkreditevidenz jedenfalls einen Impuls des Betroffenen voraussetzen würden (z.B. Kreditansuchen, Abschluss eines Leasingvertrages), ohne ein berechtigtes Interesse seien Auskünfte aus der Kleinkreditevidenz nicht möglich. Es liege sohin ein berechtigter Verarbeitungszweck vor. Auch wenn Dateninformationsverbundsysteme nach der gegenwärtigen Rechtslage nicht mehr ausdrücklich vorgesehen seien, seien die seinerzeit festgelegten Löschfristen weiterhin sachgerecht und führe auch eine Interessenabwägung dazu, dass gegenwärtig das Recht auf Löschung nicht verletzt sei.

Der Stellungnahme angeschlossen wurde ein Schreiben der mitbeteiligten Partei vom 04.09.2019, mit welchem dem Beschwerdeführer Auskunft über seine, bei der mitbeteiligten Partei gespeicherten, personenbezogenen Daten gemäß Art. 15 DSGVO erteilt wurde.

5. Die belangte Behörde übermittelte dem Beschwerdeführer mit Schreiben vom 24.09.2019 die Stellungnahme der mitbeteiligten Partei vom 11.09.2019 und gab ihm ebenfalls die Möglichkeit, zu den Ergebnissen des Ermittlungsverfahrens Stellung zu nehmen. Darüber hinaus wurde der Beschwerdeführer aufgefordert bekanntzugeben, in welcher Höhe im Rahmen des Schuldenregulierungsverfahrens im Jahr 2016 gegen ihn Forderungen angemeldet worden seien und ob es richtig sei, dass das Schuldenregulierungsverfahren im April 2016 eröffnet und bereits im August 2016 beendet worden sei.

6. Der Beschwerdeführer gab am 11.10.2019 eine Stellungnahme ab und führte aus, dass nach einer Reduktion der Verbindlichkeiten gegenüber dem XXXX ein Schuldenstand in Höhe von EUR 481.380,00 bestanden habe. Das Schuldenregulierungsverfahren sei am 19.04.2016 ohne Eigenverantwortung eröffnet und am 12.07.2016 nach Leistung der 20%igen Quote aufgehoben worden.

7. Mit dem angefochtenen Bescheid der belangten Behörde vom 20.11.2019 wurde die Beschwerde des Beschwerdeführers wegen Verletzung im Recht auf Löschung abgewiesen.

Die belangte Behörde führte (nach Wiederholung des Vorbringens der Parteien und des Verfahrensgangs) aus, dass über den Beschwerdeführer im April 2016 ein Insolvenzverfahren eröffnet worden sei. Die Passiva laut Insolvenzantrag seien mit EUR 505.000,00 eingetragen gewesen. Der Zahlungsplan sei mit August 2016 durch den Beschwerdeführer erfüllt worden. Die mitbeteiligte Partei betreibe u.a. das Gewerbe der Kreditauskunftei. Im Rahmen der Ausübung dieses Gewerbes führe sie eine Datenbank, in welcher Personendaten und Zahlungserfahrungsdaten des Beschwerdeführers gespeichert seien (Konsumentenkreditevidenz, KKE).

Rechtlich hielt die belangte Behörde fest, dass die Verarbeitung bonitätsrelevanter Daten durch eine Kreditauskunftei iSd § 152 Gewerbeordnung Deckung in eben dieser Bestimmung finde und die Rechtmäßigkeit der Verarbeitung dieser Daten folglich nicht von der vorherigen Einwilligung eines Betroffenen abhänge. Auch sei davon auszugehen, dass durch die gesetzliche Verankerung dieser Tätigkeit der Gesetzgeber von der grundsätzlichen Zulässigkeit dieser gewerblichen Tätigkeit ausgehe, sodass es zur Verarbeitung dieser Daten eine rechtliche Befugnis geben könne. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar sei, müsse auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über „Kreditverhältnisse“ als gegeben erachtet habe. Mangels Spezialregeln für Kreditauskunfteien seien die allgemeinen Grundsätze der DSGVO anzuwenden, wonach u.a. personenbezogenen Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden dürften (Art. 5 Abs. 1 lit. b DSGVO). Demnach sei im vorliegenden Verfahren zunächst festzuhalten, dass die Zwecke der Datenverarbeitung in der Datenbank der mitbeteiligten Partei darin bestehen würden, jenen Unternehmen einen Zugriff auf die Daten zu ermöglichen, die im Rahmen ihrer wirtschaftlichen Tätigkeit ein Kreditrisiko etwa bei der Lieferung ihrer Waren oder Dienstleistungen eingehen würden (z.B. Lieferung auf offene Rechnung). Unter bestimmten Voraussetzungen sei damit die Rechtmäßigkeit der Verarbeitung gemäß Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) zu bejahen. Verfahrensgegenständlich stelle sich die Frage, wie lange Zahlungserfahrungsdaten nach Abschluss eines Insolvenzverfahrens noch bei der mitbeteiligten Partei gespeichert werden könnten, ehe sie für die Zwecke der Verarbeitung, also der Ausübung des Gewerbes nach § 152 GewO 1994 und dem Gläubigerschutz, nicht mehr notwendig seien. Nur wenn die personenbezogenen Daten noch bonitätsrelevant seien, bestehe ein Verarbeitungszweck gemäß Art. 5 Abs. 1 lit. b DSGVO und somit eine Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. f DSGVO. Es habe in weiterer Folge anhand der genannten Kriterien eine Bewertung der berechtigten Interessen des Beschwerdeführers zu erfolgen und seien diese den berechtigten Interessen der mitbeteiligten Partei sowie Dritter gegenüberzustellen. Der Beschwerdeführer bringe ins Treffen, dass es sich um Verbindlichkeiten handle, die durch den vollständig erfüllten Zahlungsplan getilgt worden seien. Weiters benötige er eine Umschuldung, um einen offenen Rückstand für seine Wohnung abzudecken. Davon ausgehend sei ersichtlich, dass die Eintragung die Bonitätsbewertung des Beschwerdeführers negativ beeinflusse und somit das wirtschaftliche Fortkommen des Beschwerdeführers beeinträchtigt sei. Demgegenüber stehe das Interesse der mitbeteiligten Partei, ihr Gewerbe nach § 152 GewO 1994 auszuüben sowie insbesondere das Interesse der die Bonität abfragenden Unternehmen am Erhalt einer Bonitätsauskunft zum Zwecke des Gläubigerschutzes. Der Datenbank der Beschwerdegegnerin sei zu entnehmen, dass über den Beschwerdeführer im April 2016 ein Insolvenzverfahren eröffnet worden sei und der Zahlungsplan im August 2016 durch den Beschwerdeführer erfüllt worden sei. Wie die Beschwerdegegnerin jedoch zu Recht vorbringe, stelle auch eine vergangene Zahlungsunfähigkeit eine wesentliche Grundlage für die Bonitätsbeurteilung dar. So sei die Berücksichtigung von Zahlungsausfällen in der jüngeren Vergangenheit erforderlich, um eine vollständige Auskunft über die Bonität einer bestimmten Person erteilen zu können und könne anhand vergangener Zahlungsausfälle durchaus ein Schluss auf die zukünftige Zahlungsfähigkeit gezogen werden. Dies treffe insbesondere auf ein – wenngleich abgeschlossenes – Insolvenzverfahren zu. Im Hinblick auf die konkrete Speicherfrist könnten als Richtlinie, wie lange Bonitätsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet seien, Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen würden. Solche Bestimmungen würden sich in der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 ("Kapitaladäquanzverordnung") finden, in der Kreditinstitute u.a. verpflichtet würden, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Für Kredit- bzw. Retailforderungen gegenüber natürlichen Personen hätten Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürften, die Ausfallswahrscheinlichkeit der Forderung (Probability of Default - PD) u.a. anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen; dabei sei ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein könne, von mindestens fünf Jahren zugrunde zu legen. Der europäische Verordnungsgeber gehe daher davon aus, dass für die Beurteilung der Bonität eines (potentiellen) Schuldners bzw. des Risikos einer Forderung Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant seien. Wenn Kreditinstitute als potentielle Geschäftspartner rechtlich verpflichtet seien, ihre Forderungen anhand der Ausfallquoten zumindest der letzten fünf Jahre zu bewerten, und solle - wie hier - die Bonitätsdatenbank der mitbeteiligten Partei auch dazu dienen, Kreditinstituten (aber auch anderen Unternehmen) Daten zu liefern, die sie für ihre zum Teil verpflichtende Bewertung benötigen würden, könne es nicht als Verstoß gegen das Prinzip der Datenminimierung oder der Speicherbegrenzung erkannt werden, wenn die mitbeteiligte Partei Daten über eine Insolvenz des Beschwerdeführers verarbeite, deren Abschluss weniger als fünf Jahre zurückliege. Vor diesem Hintergrund sei die belangte Behörde der Ansicht, dass jedenfalls zum jetzigen Zeitpunkt dem Gläubigerschutz und somit den berechtigten Interessen Dritter noch ein höherer Stellenwert einzuräumen sei als den dargelegten berechtigten Interessen des Beschwerdeführers. Im Ergebnis sei die weitere Speicherung der gegenständlichen Einträge in der Datenbank weiterhin notwendig und auch rechtmäßig (vgl. Art. 17 Abs. 1 lit. a und lit d DSGVO), weshalb die mitbeteiligte Partei dem Antrag auf Löschung des Beschwerdeführers zurecht nicht entsprochen habe und weshalb auch eine Rechtsgrundlage zur Verarbeitung (vgl. § 1 Abs. 2 DSG iVm Art. 6 Abs. 1 lit. f DSGVO) gegeben sei.

8. Gegen diesen Bescheid erhob der Beschwerdeführer fristgerecht eine als „Vorlage an das Bundesverwaltungsgericht“ bezeichnete Beschwerde an das Bundesverwaltungsgericht.

Darin führte er aus, dass der Verantwortliche nach dem Grundsatz von Treu und Glauben des Art. 5 Abs. 1 lit. a DSGVO die betroffene Person über den Eintrag in die Datenbank zu informieren habe, um diesem die Möglichkeit zu geben, sich gegen eine seiner Meinung nach nicht gerechtfertigte, seine Kreditwürdigung aber massiv beeinträchtigende Datenverwendung, zur Wehr zu setzen. Die mitbeteiligte Partei habe ihn nicht über den Eintrag in Kenntnis gesetzt. Ohne die Benachrichtigung der betroffenen Person würden die Gläubigerschutzinteressen kein ausreichend berechtigtes Interesse darstellen. Der Eintrag sei daher rechtswidrig und seien die Daten zu löschen. Der Beschwerdeführer verwies diesbezüglich auf Entscheidungen der belangten Behörde sowie des OGH.

9. Mit Schreiben vom 20.01.2020 wurde von der belangten Behörde die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vorgelegt und eine Stellungnahme abgegeben. Darin wurde ausgeführt, dass bestritten werde, dass die mitbeteiligte Partei den Beschwerdeführer nicht über die Eintragung der Zahlungserfahrungsdaten in ihrer Bonitätsdatenbank informiert habe. Selbst unter dieser Annahme sei zu bemerken, dass in der vom Beschwerdeführer angeführten Entscheidung der belangten Behörde unstrittig gewesen sei, dass der dortige Beschwerdeführer nicht über die Eintragung der Zahlungserfahrungsdaten informiert worden sei und sei darüber hinaus auch festgestellt worden, dass der Eintrag objektiv betrachtet unrichtig gewesen ist, was – insgesamt betrachtet – zu einer Stattgabe der Beschwerde geführt habe. Vor diesem Hintergrund sei die angeführte Entscheidung nicht mit dem gegenständlichen Fall vergleichbar und sei die Beschwerde des Beschwerdeführers abzuweisen.

10. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 17.07.2020 wurde die gegenständliche Rechtssache in die nunmehr zuständige Gerichtsabteilung W214 zugewiesen, wo sie am 24.07.2020 einlangte.

11. Das Bundesverwaltungsgericht übermittelte am 05.02.2021 der mitbeteiligten Partei die Beschwerde des Beschwerdeführers sowie der mitbeteiligten Partei und dem Beschwerdeführer die Stellungnahme der belangten Behörde im Rahmen des Parteiengehörs.

12. Die mitbeteiligte Partei nahm mit Schriftsatz vom 16.02.2021 zur Beschwerde des Beschwerdeführers Stellung und führte aus, dass der Beschwerdeführer von der Datenverarbeitung mit Schreiben vom 20.04.2016 und abermals mit Schreiben vom 19.06.2019 verständigt worden sei. Es gebe nicht den geringsten Grund anzunehmen, dass der Beschwerdeführer diese Verständigung nicht erhalten habe. Das Löschungsbegehren wäre zudem selbst dann nicht berechtigt, wenn ein Nachweis für die Verständigung nicht erbracht worden wäre, denn durch eine Vorabinformation einer Eintragung der ohnehin aus der Ediktsdatei öffentlich zugänglichen Daten in eine weitere Datenbank wären dem Beschwerdeführer keinerlei Handlungsmöglichkeiten eröffnet worden.

13. Der Beschwerdeführer gab keine Stellungnahme ab.

14. Der Schriftsatz der mitbeteiligten Partei wurde den anderen Parteien übermittelt, welche dazu aber keine Stellungnahme abgaben.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

Insbesondere wird folgender Sachverhalt festgestellt:

1. Die mitbeteiligte Partei betreibt eine Wirtschaftsauskunftei, in deren Rahmen sie Bonitätsauskünfte erteilt.

2. Der Beschwerdeführer stellte am 01.06.2019 ein Löschungsbegehren hinsichtlich seines abgeschlossenen Schuldenregulierungsverfahrens an die mitbeteiligte Partei, welches mit einem Antwortschreiben der mitbeteiligten Partei vom 19.06.2019 abgelehnt wurde.

3. Bei der mitbeteiligten Partei sind folgende verfahrensrelevante Daten über das Insolvenzverfahren des Beschwerdeführers gespeichert:

„Insolvenz

Insolvenzverfahrensnr.: XXXX

Ediktswortlaut: XXXX

Verfahrenseröffnung: 2016-04-19

Ende Anmeldefrist: 2016-06-13

Verfahrenscode: XXXX

Aktueller Verfahrensstand seit: 2016-08-10

Verfahrensstand: Im Konkurs beantragter Sanierungsplan wurde vom Schuldner direkt abgewickelt

Gericht: XXXX

Geschäftszahl: 26 S 49/16z

Verwalter: XXXX

Verwalter Anschrift: XXXX

Passiva laut Insolvenzantrag [EUR]: 505.000,00“

In der Warnliste ist u.a. vermerkt:

„KreditdatenDatum der Einmeldung: XXXX

Identnummer: XXXX

Kreditgeber: XXXX

Kontonummer: XXXX Symbol: XXXX Forderung aus: Girokontoverbindung

Betrag von EUR 33.001,00 bis EUR 34.000,00

Sonstiges Teilweise Tilgung – XXXX .“

In der Konsumentenkreditevidenz (KKE) ist u. a. vermerkt:

„Kreditdaten:

Es liegen uns keine Einträge vor.

Darüber hinaus liegen uns Informationen über ein Insolvenzverfahren vor“

4. Das Insolvenzverfahren des Beschwerdeführers wurde am 19.04.2016 eröffnet, die Passiva betrugen zumindest EUR 481.380,00.

5. Die mitbeteiligte Partei hat den Beschwerdeführer über die Eintragung der Insolvenzdaten in die Datenbank der mitbeteiligten Partei mit Schreiben vom 20.04.2016 informiert.

6. Das Schuldenregulierungsverfahren wurde im Juli 2016 aufgehoben, der Zahlungsplan im August 2016 durch den Beschwerdeführer erfüllt. Die Insolvenz des Beschwerdeführers scheint nicht mehr in der Ediktsdatei auf.

7. Mit Bescheiden vom 23.11.2001, K095.014/021-DSK/2001 und 12.12.2007, GZ K600.033-018/0002-DVR/2007, wurden von der (damals zuständigen) Datenschutzkommission zur Meldung der „Warnliste“ und der „Kleinkreditevidenz“ (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung Auflagen erteilt, die die Zeitdauer von Eintragungen im Zusammenhang mit konkreten Kreditschuldverhältnissen genau festlegen.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt (hinsichtlich der verarbeiteten Daten insbesondere aus dem von der mitbeteiligten Partei an den Beschwerdeführer übermittelten Antwortschreiben vom 19.06.2019 und der dem Beschwerdeführer erteilten Auskunft vom 04.09.2019) sowie dem gegenständlichen Gerichtsakt und sind bis auf die Feststellung zu II.5. unstrittig. Dass die mitbeteiligte Partei den Beschwerdeführer mit Schreiben vom 20.04.2016 über die Eintragung der Insolvenzdaten in die Datenbank der mitbeteiligten Partei informierte, ergibt sich aus dem Vorbringen der mitbeteiligten Partei, welchem der Beschwerdeführer nicht substantiiert entgegentrat sowie aus dem Umstand, dass der Beschwerdeführer am 01.06.2019 einen Antrag auf Löschung der Eintragung betreffend das abgeschlossene Schuldenregulierungsverfahren an die mitbeteiligte Partei stellte und unter anderem ausführte, dass mit gerichtlichem Beschluss vom 27.07.2016 für ihn ein Schulderegulierungsverfahren rechtskräftig bestätigt und das Sanierungsverfahren aufgehoben worden sei und dieser Vorgang von der mitbeteiligten Partei vermerkt und eingetragen worden sei. Daraus ergibt sich aber zwingend, dass der Beschwerdeführer von der Eintragung seiner Insolvenzdaten in der Datenbank der mitbeteiligten Partei gewusst haben muss.

3. Rechtliche Beurteilung:

3.1.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.1.3. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu Spruchteil A):

3.2.1. Rechtslage:

Art. 4 Z 1 und 2 DSGVO lauten:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1.„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2.„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;“

Art. 5 DSGVO lautet:

„Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

​

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Art. 17 DSGVO lautet:

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

​

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

​

§ 1 DSG lautet:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.“

§ 152 GewO lautet:

Auskunfteien über Kreditverhältnisse

§ 152. (1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.

(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.

Art. 143 Abs. 1, 151 Abs. 6 und 7, 180 Abs. 2 lit. a und e und 181 der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 ("Kapitaladäquanzverordnung") lauten:

Art. 143 Abs. 1:

„(1) Wenn die Bedingungen dieses Abschnitts erfüllt sind, gestattet die zuständige Behörde den Instituten, ihre risikogewichteten Positionsbeträge anhand des auf internen Beurteilungen basierenden Ansatzes (im Folgenden "IRB-Ansatz") zu berechnen.“

Art. 151 Abs. 6 und 7:

„(6) Für Risikopositionen der Forderungsklassen nach Artikel 147 Absatz 2 Buchstaben a bis d nehmen die Institute nach Maßgabe von Artikel 143 und Abschnitt 6 ihre eigenen PD-Schätzungen vor.

(7) Für Risikopositionen der Forderungsklasse nach Artikel 147 Absatz 2 Buchstabe d nehmen die Institute nach Maßgabe des Artikels 143 und des Abschnitts 6 ihre eigenen Schätzungen der LGD und der Umrechnungsfaktoren vor.“

Art. 180 Abs. 2 lit. a und e:

​

e) unabhängig davon, ob ein Institut für seine Schätzung der Verlustmerkmale externe, interne oder zusammengefasste Datenquellen oder eine Kombination daraus verwendet, muss der zugrunde liegende historische Beobachtungszeitraum für zumindest eine Datenquelle mindestens fünf Jahre betragen. Wurde eine Datenquelle über einen längeren Zeitraum beobachtet und sind die entsprechenden Daten relevant, so wird dieser längere Beobachtungszeitraum herangezogen. Wenn sich neuere Daten besser zur Vorhersage der Verlustquoten eignen, muss ein Institut historischen Daten nicht die gleiche Bedeutung beimessen. Bei entsprechender Genehmigung der zuständigen Behörden können Institute bei der Anwendung des IRB-Ansatzes relevante Daten aus einem Zweijahreszeitraum verwenden. Dieser Zeitraum verlängert sich jährlich um ein Jahr, bis relevante Daten für einen Zeitraum von fünf Jahren vorliegen;“

Art. 181 Abs. 2 lit. c:

​

3.2.2. Auf den konkreten Fall umgelegt bedeutet dies Folgendes:

Der Beschwerdeführer sieht sich durch die Entscheidung der belangten Behörde beschwert, weil die Eintragung betreffend sein abgeschlossenes Schuldenregulierungsverfahren bei der mitbeteiligten Partei rechtswidrig sei.

Damit ist der Beschwerdeführer jedoch nicht im Recht:

Personenbezogene Daten sind über Antrag des Betroffenen u.a. dann zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, sie unrechtmäßig verarbeitet wurden oder die betroffene Person Widerspruch gemäß Artikel 21 Abs. 1 DSGVO gegen ihre Verarbeitung erhoben hat (Art. 17 Abs. 1 lit. a, c 1. Fall und d DSGVO). Einem Löschungsbegehren stünde daher eine Datenverwendung entgegen, die notwendig und rechtmäßig ist und gegen die kein wirksamer Widerspruch erhoben worden ist.

Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie - unter Einhaltung der in Art. 5 DSGVO genannten Verarbeitungsgrundsätze - auf Grund einer der in Art. 6 DSGVO genannten Erlaubnistatbestände erfolgt.

3.2.1. Zur Einhaltung der Verarbeitungsgrundsätze nach Art. 5 DSGVO:

Gemäß den Verarbeitungsgrundsätzen nach Art. 5 DSGVO müssen personenbezogene Daten - soweit verfahrensrelevant – auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“), für festgelegte, eindeutige und legitime Zwecke erhoben werden ("Zweckbindung"), dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung"), sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein ("Richtigkeit") und in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist ("Speicherbegrenzung").

Soweit vom Beschwerdeführer in seiner Beschwerde an das Bundesverwaltungsgericht die Nichteinhaltung des Art. 5 Abs. 1 lit. a DSGVO (Transparenz) behauptet wird, so ist auf die Feststellungen und die Beweiswürdigung zu verweisen, wonach ihm die Information über die Eintragung seiner Insolvenzdaten zugekommen ist. Schon deshalb kann daher keine Verletzung des Art. 5 Abs. 1 lit. a DSGVO gegeben sein.

Zu den weiteren genannten Grundsätzen der Datenverarbeitung ist Folgendes festzuhalten:

Die mitbeteiligte Partei betreibt das Gewerbe der Kreditauskunftei gemäß § 152 GewO.

Zu den Aufgaben der Gewerbetreibenden iSd § 152 GewO gehört die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Kreditgebern sollen dadurch aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer, und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur Verfügung stehen (Riesz in Ennöckl/Raschauer/Wessely, GewO § 152 Rz 2). Dadurch soll es Kreditgebern ermöglicht werden, die Wahrscheinlichkeit, mit der der Kreditgeber am Ende wegen seiner Forderung befriedigt wird, und allenfalls die Prognose, mit wie vielen Schwierigkeiten das verbunden ist, zu bestimmen (Wendehorst, Was ist Bonität? Zum Begriff der "Kreditwürdigkeit" in § 7 VKrG, in Blaschek/Habersberger (Hrsg), Eines Kredites würdig? (2011) 22). Eine Neigung zu vertragswidrigem Verhalten - etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck - lässt sich vor allem aus dem Finanzgebaren in der Vergangenheit heraus prognostizieren. Relevant ist dabei vergangenes vertragswidriges Verhalten, das sich in schlichtem Zahlungsverzug, aber auch in gerichtlichen Verfahren bis hin zu Exekutionshandlungen oder gar in einer Insolvenzeröffnung manifestiert haben mag (aaO 23; vgl. auch Heinrich, Bonitätsprüfung im Verbraucherkreditrecht (Wien 2014) 89 f).

Die mitbeteiligte Partei verarbeitet im Zuge des Betriebs des Gewerbes der Kreditauskunftei unter anderem Informationen über das (abgeschlossene) Insolvenzverfahren des Beschwerdeführers, um diese Informationen Gläubigern bereitzustellen, damit diese das Risiko etwaiger Zahlungsausfälle bestimmen können.

Dabei handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten (§ 152 GewO) Zweck. Die Daten sind auch richtig und vollständig, weil die mitbeteiligte Partei in ihrer Datenbank vermerkt hat, dass der im Konkurs beantragte Sanierungsplan vom Beschwerdeführer direkt abgewickelt wurde. Die Insolvenzdaten sind auch grundsätzlich erforderlich und geeignet, um eine Prognose über das zukünftige Zahlungsverhalten des Beschwerdeführers abgeben zu können (siehe dazu auch EuGH 23.11.2006, Rs C-238/05 Rz 47, wonach Systeme zum Informationsaustausch zwischen Finanzinstituten bezüglich der Zahlungsfähigkeit von Kunden die Vorhersehbarkeit der Rückzahlungswahrscheinlichkeit verbessern, weshalb sie grundsätzlich geeignet sind, die Ausfallquote von Kreditnehmern zu verringern und dadurch den Wirkungsgrad des Kreditangebots zu erhöhen).

Strittig ist, wie lange derartige Daten verarbeitet werden dürfen.

3.2.1.1. Zur zulässigen Speicherdauer von Daten über historische Insolvenzverfahren:

Weder die DSGVO noch die gewerberechtlichen Regelungen zum Gewerbe der Kreditauskunftei (§ 152 GewO) enthalten konkrete Fristen zur zulässigen Speicherdauer von historischen Insolvenzverfahren. Wie lange diese Daten jeweils verarbeitet werden dürfen, hängt daher - wie die belangte Behörde zutreffend ausführt - grundsätzlich vom Einzelfall ab.

Auch wenn historische Insolvenzdaten wesentlich sind, um das zukünftige Zahlungsverhalten eines (potentiellen) Schuldners vorhersagen zu können, haben sie umso weniger Aussagekraft, je länger sie zurückliegen und je länger es zu keinen weiteren Zahlungsstockungen und Zahlungsausfällen gekommen ist.

Als Richtlinie, wie lange Bonitätsdaten zur Beurteilung der Bonität eines (potentiellen) Schuldners geeignet sind, können – wie die belangte Behörde ebenfalls zutreffend festhält - Beobachtungs- oder Löschungsfristen in rechtlichen Bestimmungen herangezogen werden, die dem Gläubigerschutz dienen oder die Erfordernisse an eine geeignete Bonitätsbeurteilung näher festlegen. In diesem Zusammenhang ist auf die inzwischen vorliegende Rechtsprechung des Bundesverwaltungsgerichts (W258 2216873-1/7E vom 30.10.2019, W211 2225136-1/5E vom 28.07.2020, W274 2232028-1/3E vom 21.10.2020) zu verweisen, wonach als Richtschnur die Bestimmungen der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012 ("Kapitaladäquanzverordnung"), herangezogen werden können. In diesen Bestimmungen werden Kreditinstitute u.a. verpflichtet, ihre Kunden zu bewerten und diverse Risiken ihrer Forderungen abzuschätzen. Für Kredit- bzw. Retailforderungen gegenüber natürlichen Personen haben Kreditinstitute, die ihre risikogewichteten Positionsbeträge anhand eines auf internen Beurteilungen basierenden Ansatzes berechnen dürfen (Art. 143 Abs. 1 leg cit), gemäß Art. 151 Abs. 6 iVm 180 Abs. 2 lit. a und e leg cit die Ausfallswahrscheinlichkeit der Forderung (Probability of Default - PD) u.a. anhand der langfristigen Durchschnitte der jährlichen Ausfallsquote zu schätzen; dabei ist ein historischer Beobachtungszeitraum für zumindest eine Datenquelle, die auch extern sein kann, von mindestens fünf Jahren zugrunde zu legen. Auch die durchzuführende Schätzung der Verlustquote bei einem Ausfall (Loss Given Default - LGD), hat sich gemäß Art. 151 Abs. 7 iVm 181 Abs. 2 lit. c leg cit grundsätzlich auf einen mindestens fünfjährigen Zeitraum zu beziehen.

Der (EU-)Verordnungsgeber geht daher davon aus, dass für die Beurteilung der Bonität eines (potentiellen) Schuldners bzw. des Risikos einer Forderung, Daten über etwaige Zahlungsausfälle über einen Zeitraum von zumindest fünf Jahren relevant sind.

Wenn Kreditinstitute als potentielle Geschäftspartner der mitbeteiligten Partei z.T. rechtlich verpflichtet sind, ihre Forderungen anhand der Ausfallquoten zumindest der letzten fünf Jahre zu bewerten, und soll - wie hier - die Bonitätsdatenbank der mitbeteiligten Partei auch dazu dienen, Kreditinstituten Daten zu liefern, die sie für ihre z.T. verpflichtende Bewertung benötigen, kann es nicht als Verstoß gegen das Prinzip der Datenminimierung oder der Speicherbegrenzung erkannt werden, wenn die mitbeteiligte Partei Daten über ein historisches Insolvenzverfahren verarbeitet, welches erst im Juli 2016 aufgehoben wurde und wenn der Zahlungsplan erst im August 2016 durch den Beschwerdeführer erfüllt wurde. Aufgrund der Tatsache, dass diese Eintragung noch nicht lange zurückliegt sowie des Umstandes, dass die Passiva laut Insolvenzantrag einen erheblichen Betrag von zumindest EUR 481.380,00 aufwiesen, kann kein Verstoß gegen die Datenminimierung erkannt werden.

3.2.2. Zum Erlaubnistatbestand nach Art. 6 Abs. 1 lit. f DSGVO:

Die Verarbeitung personenbezogener Daten ist u.a. gemäß Art. 6 Abs. 1 lit. f DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG vgl EuGH 04.05.2017, C-13/16 , Rigas satiksme, Rz 31). Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (mögliche Geschäftspartner der mitbeteiligten Partei) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen (ErwG 47 DSGVO).

Die mitbeteiligte Partei und ihre Kunden haben, sobald Verträge ein kreditorisches Risiko enthalten, ein nachvollziehbares Interesse des kreditierenden Vertragspartners, dieses Risiko abzuschätzen. Die Verarbeitung von Daten über historische Insolvenzen erfolgt zum Schutz potenzieller Vertragspartner der betroffenen Person, die Dritte iSv Art. 6 Abs. 1 lit. f DSGVO sind (vgl auch Schantz in Simitis, Hornung, Spiecker, Datenschutzrecht, Art. 6 Abs. 1 Rz 133 f, 137). Damit dient sie auch dazu, Kreditinstitute dabei zu unterstützen, die Vorschriften der Kapitaladäquanzverordnung, die hinsichtlich der Schätzung der Risikoparameter einen Beobachtungszeitraum von zumindest fünf Jahren vorsehen, zu erfüllen.

Dagegen haben betroffene Personen ein Interesse daran, auf Grund der Verarbeitung nicht von Nachteilen im Wirtschaftsleben betroffen zu sein.

In einer Zusammenschau ergibt sich, dass auf Grund des Interesses der Vertragspartner der mitbeteiligten Partei Kreditrisiken abzuschätzen hierfür die Beobachtung der historischen Insolvenzen des potentiellen Schuldners wesentlich ist. Auch ist die Verarbeitung von Informationen über ein historisches Insolvenzverfahren, welches erst im Juli 2016 aufgehoben wurde und bei welchem der Zahlungsplan erst im August 2016 durch den Beschwerdeführer erfüllt wurde, durch die mitbeteiligte Partei vor dem Hintergrund erforderlich, dass es der EU-Verordnungsgesetzgeber für notwendig erachtet, das Risiko von Forderungen anhand eines zumindest fünfjähriger Beobachtungszeitraums vergangener Zahlungsausfälle abzuschätzen. Die Interessen betroffener Personen, wie des Beschwerdeführers, an der Geheimhaltung der Daten seines historischen Insolvenzverfahrens, um Nachteile im Wirtschaftsleben zu vermeiden, überwiegen jedenfalls dann nicht, wenn das Insolvenzverfahren erst im Juli 2016 aufgehoben wurde und der Zahlungsplan erst im August 2016 durch den Beschwerdeführer erfüllt wurde. Aus diesen Gründen war und ist die Speicherung der Daten berechtigt.

Dies gilt auch vor dem Hintergrund, dass die Daten des Beschwerdeführers nicht mehr in der Ediktsdatei verarbeitet werden:

Die datenschutzrechtliche Zulässigkeit der Führung der Insolvenzdatei gründet nämlich auf § 256 Insolvenzordnung, einer rechtlichen Verpflichtung im Sinne des Art. 6 Abs. 1 lit. c DSGVO, die einer Bonitätsdatenbank hingegen auf überwiegende berechtigte Interessen des Verantwortlichen gemäß Art. 6 Abs. 1 lit. f DSGVO (vgl OGH 30.01.2017, 6 Ob 178/16v, jusIT 2017/52, 117 (Bergauer) wonach eine Löschung nach § 256 Insolvenzordnung nicht auf eine Datenverwendung durchschlägt). Aus § 256 Insolvenzordnung lässt sich nicht ableiten, dass Daten über Insolvenzen (überhaupt) nicht mehr, d.h. auf Grund anderer Erlaubnistatbestände nach Art. 6 DSGVO, verarbeitet werden dürfen, wenn sie aus der Insolvenzdatei gelöscht worden sind oder gar nicht eingetragen wurden. Eine derartige Einschränkung würde - jedenfalls in Bezug auf den hier einschlägigen Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO - EU-Sekundärrecht widersprechen (vgl EuGH 24.11.2011, C-468/10 und C-469/10 , ASNEF/FECEMD, Rz 48 f, wonach nationale Bestimmungen, die für die Verarbeitung personenbezogener Daten zusätzlich zu der vorgesehenen Interessenabwägung verlangen, dass diese Daten in öffentlich zugänglichen Quellen enthalten sind, Art. 7 lit. f Datenschutzrichtlinie 95/46/EG - der im Wesentlichen Art. 6 Abs. 1 lit. f DSGVO entspricht - entgegenstehen).

Die mitbeteiligte Partei bezieht sich hinsichtlich der Verarbeitung bonitätsrelevanter Daten des Beschwerdeführers auch auf Bescheide der (damals zuständigen) Datenschutzkommission GZ K095.014/021-DSK/2001 und K600.033-018/0002-DVR/2007, mit dem die Datenanwendung „Warnliste“ bzw. "Kleinkreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung" unter der Auflage bestimmter Löschungsfristen „genehmigt worden“ sei. Dazu ist zunächst festzuhalten, dass Meldungen an die (damalige) Datenschutzkommission durch die DSGVO inzwischen hinfällig geworden sind. Die Registrierungen im Datenverarbeitungsregister wurden gemäß § 69 Abs. 2 DSG gegenstandslos. Auch handelt es sich bei dem zitierten Bescheid nicht um eine „Genehmigung“ iSd Erwägungsgrundes 171, sondern wurden hinsichtlich der an die Datenschutzkommission erfolgten Meldungen bestimmte Auflagen erteilt (die sich mit Gegenstandslosigkeit der Meldung erübrigt haben).

Aufgrund des oben Ausgeführten ergibt sich jedoch, dass die Speicherung der Daten über das historische Insolvenzverfahren des Beschwerdeführers in der Datenbank der mitbeteiligten Partei berechtigt ist, weshalb die Beschwerde spruchgemäß abzuweisen war.

3.3. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall wurde kein Antrag auf Durchführung einer mündlichen Verhandlung gestellt und konnte das Unterlassen einer mündlichen Verhandlung auch darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Die Heranziehung weiterer Beweismittel waren zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12).

Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist zulässig, weil Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art. 133 Abs. 4 B-VG zukommen. Zwar handelt es sich bei der Frage, wie lange Daten unter Beachtung der Verarbeitungsrundsätze des Art. 5 DSGVO und unter Vornahme einer Interessensabwägung nach Art. 6 Abs. 1 lit. f DSGVO verwendet werden dürfen, um eine grundsätzlich nicht reversible Einzelfallentscheidung. Es fehlt aber an Rechtsprechung des Verwaltungsgerichtshofs zur Frage, welchen Grundsätzen eine solche Interessensabwägung genügen muss; insbesondere, ob und unter welchen Voraussetzungen die Vorschriften der Kapitaladäquanzverordnung als Richtschnur für die Bestimmung der zulässigen Speicherdauer von Bonitätsdaten herangezogen werden können.