Begriff und Funktion der Auskunftei
Eine Auskunftei ist ein Unternehmen, dessen Hauptaufgabe in der Sammlung, Speicherung, Verarbeitung und Übermittlung von personenbezogenen oder unternehmensbezogenen Daten, insbesondere Bonitätsinformationen, besteht. Diese Informationen werden Dritten, meist Vertragspartnern im Wirtschaftsleben, zum Zweck der Risikobewertung und der Entscheidungshilfe überlassen. Auskunfteien tragen so wesentlich zur Risikosteuerung im Kreditwesen und der allgemeinen Geschäftsabwicklung bei.
Rechtsgrundlagen für Auskunfteien
Datenschutzrechtliche Aspekte
Das Kerngeschäft von Auskunfteien berührt zentrale Fragen des Datenschutzrechts. Die rechtliche Basis für die Erhebung, Verarbeitung und Speicherung personenbezogener Daten findet sich in der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG-neu) sowie spezialgesetzlichen Regelungen. Auskunfteien gelten als Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO, da sie Zwecke und Mittel der Datenverarbeitung selbst bestimmen.
Grundsätze der Datenverarbeitung
Für Auskunfteien gelten die allgemeinen Grundsätze der Datenverarbeitung gemäß Art. 5 DSGVO, insbesondere die Prinzipien der Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Integrität sowie Vertraulichkeit.
Rechtmäßigkeit der Datenverarbeitung
Die Datenverarbeitung durch Auskunfteien stützt sich regelmäßig auf die Wahrnehmung berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO. Hierbei ist stets eine sorgfältige Interessenabwägung zwischen dem Geschäftsinteresse der Auskunftei/Dritten und den schutzwürdigen Interessen der betroffenen Person erforderlich. Daneben kommen auch andere Erlaubnistatbestände, wie die Einwilligung der betroffenen Person, in Betracht.
Übermittlungen und Informationen an Dritte
Die Weitergabe von Bonitätsinformationen an Dritte, insbesondere an Vertragspartner (z. B. Banken, Versandhändler, Mobilfunkunternehmen), ist nur zulässig, wenn diese ein berechtigtes Interesse nachweisen können und dieses gegenüber den Interessen des Betroffenen überwiegt.
Informationspflichten und Betroffenenrechte
Informationspflichten nach DSGVO
Betroffene sind nach Art. 14 DSGVO grundsätzlich darüber zu informieren, wenn personenbezogene Daten von Dritten bzw. aus öffentlichen Quellen erhoben werden. Die Auskunfteien müssen zudem über die Zwecke der Verarbeitung, die Kategorien der verarbeiteten Daten, etwaige Empfänger und die Speicherdauer aufklären.
Auskunftspflicht gegenüber Betroffenen
Nach Art. 15 DSGVO und § 34 BDSG haben betroffene Personen das Recht auf Auskunft über die sie betreffenden gespeicherten Daten, deren Herkunft sowie die Empfänger oder Kategorien von Empfängern. Auskunfteien sind verpflichtet, diesen Auskunftsanspruch umfassend und transparent zu erfüllen.
Berichtigung, Löschung und Widerspruch
Betroffenen steht gemäß Art. 16, 17 und 21 DSGVO ein Recht auf Berichtigung unrichtiger Daten, Löschung unrechtmäßig gespeicherter Daten sowie das Recht auf Widerspruch gegen bestimmte Verarbeitungen zu. Die Löschfristen für personenbezogene Bonitätsdaten sind dabei gesetzlich und durch marktübliche Praxis genau geregelt, um eine sachgerechte Risikoeinschätzung sicherzustellen (vgl. § 35 BDSG).
Scoring und automatisierte Entscheidungen
Auskunfteien erstellen oftmals sogenannte Scores, d. h. mathematisch-statistische Bewertungen der Kreditwürdigkeit. Solche Scoringverfahren unterliegen den Anforderungen des Art. 22 DSGVO, der automatisierte Einzelfallentscheidungen einschließlich Profiling regelt. Die genauen Verfahren und Einflussfaktoren (z. B. Zahlungsverhalten, Dauer bestehender Vertragsbeziehungen, Daten aus öffentlichen Registern) müssen hinreichend transparent und nachvollziehbar sein. Unzulässige Diskriminierung und rein automatisierte Entscheidungen sind rechtlich untersagt, sofern keine gesetzlichen Ausnahmen greifen.
Meldepflichten und Überwachung
Meldung von Forderungen
Der Eintrag von Forderungen in eine Auskunftei bedarf der Einhaltung gesetzlicher Vorgaben. Insbesondere dürfen Negativmerkmale (wie etwa Mahn- und Inkassomaßnahmen) erst nach vorheriger eindeutiger Information des Schuldners und unter Einhaltung bestimmter Fristen gemeldet werden (vgl. § 31 BDSG).
Kontrolle durch Datenschutzbehörden
Auskunfteien unterliegen der Aufsicht der zuständigen Datenschutzbehörden. Diese überwachen die Einhaltung der datenschutzrechtlichen Bestimmungen, können Beschwerden entgegennehmen und Sanktionen verhängen.
Rechtliche Grenzen der Tätigkeit von Auskunfteien
Unzulässige Datenverarbeitung
Die unrechtmäßige Verarbeitung sensibler Daten oder die Übermittlung nicht zutreffender oder veralteter Informationen ist strikt verboten und kann Schadensersatzansprüche nach sich ziehen. Ebenso sind besonders schützenswerte personenbezogene Daten nach Art. 9 DSGVO (z. B. ethnische Herkunft, politische Meinungen, Gesundheitsdaten) aus dem Tätigkeitsbereich der Auskunfteien grundsätzlich ausgeschlossen.
Haftung und Rechtsschutz
Betroffene können sich gegen fehlerhafte Einträge oder rechtswidrige Datenverarbeitung wehren. Für daraus entstehende Schäden haften Auskunfteien auf Grundlage von Art. 82 DSGVO und § 823 BGB sowie ergänzenden Vorschriften. Korrektur- und Löschungsansprüche können sowohl außergerichtlich als auch gerichtlich geltend gemacht werden.
Bedeutende Auskunfteien in Deutschland
Zu den bekanntesten und größten Auskunfteien in Deutschland zählen insbesondere die Schufa Holding AG, die Creditreform Boniversum GmbH, Bürgel Wirtschaftsinformationen GmbH sowie die CRIF Bürgel GmbH. Sie kooperieren mit einer Vielzahl von Unternehmen aus den Bereichen Banken, Handel, Telekommunikation und Vermietung.
Fazit
Auskunfteien übernehmen eine zentrale Schnittstellenfunktion im deutschen Wirtschaftsleben, indem sie rechtlich komplexe Datenverarbeitungen zum Zwecke der Risikobewertung durchführen. Ihre Tätigkeit ist durch eine Vielzahl gesetzlicher Vorgaben – insbesondere aus dem Datenschutzrecht – geprägt. Die Beachtung der Rechte und Pflichten im Zusammenhang mit der Informationsverarbeitung, Auskunftserteilung und Datensicherheit ist essenziell, um sowohl den Schutz der betroffenen Personen als auch die Interessen der Vertragspartner zu gewährleisten.
Häufig gestellte Fragen
Wann und unter welchen Voraussetzungen dürfen Auskunfteien personenbezogene Daten speichern und verarbeiten?
Auskunfteien dürfen personenbezogene Daten nur dann speichern und verarbeiten, wenn hierfür eine gesetzliche Grundlage vorliegt, insbesondere im Rahmen des Datenschutzrechts. Maßgeblich sind die Vorgaben der Datenschutz-Grundverordnung (DSGVO) sowie des Bundesdatenschutzgesetzes (BDSG). Grundsätzlich ist eine Datenverarbeitung zulässig, wenn der Betroffene eingewilligt hat oder ein berechtigtes Interesse der Auskunftei oder eines Dritten besteht, das nicht die schutzwürdigen Interessen des Betroffenen überwiegt (Art. 6 Abs. 1 lit. f DSGVO). Darüber hinaus müssen die Daten rechtmäßig, nach Treu und Glauben und transparent verarbeitet werden. Es dürfen nur solche Daten gespeichert werden, die für die Beurteilung der Kreditwürdigkeit erforderlich sind. Eine Speicherung ohne Wissen des Betroffenen ist zwar möglich, der Betroffene muss aber grundsätzlich über die Erhebung und Nutzung informiert werden. Besondere Schutzvorschriften gelten für besonders sensible Daten (z.B. Daten zur Zahlungsunfähigkeit gemäß § 31 BDSG-neu). Zudem sind Speicherfristen zu beachten: Daten müssen gelöscht werden, sobald sie für den Zweck, zu dem sie erhoben wurden, nicht mehr erforderlich sind.
Welche Rechte haben Betroffene gegenüber Auskunfteien hinsichtlich ihrer gespeicherten Daten?
Betroffene haben nach der DSGVO verschiedene Rechte gegenüber Auskunfteien. Dazu zählt zunächst das Recht auf Auskunft (Art. 15 DSGVO), wonach der Betroffene erfahren kann, welche personenbezogenen Daten über ihn gespeichert sind, zu welchem Zweck und an wen diese ggf. übermittelt wurden. Zudem besteht das Recht auf Berichtigung (Art. 16 DSGVO), sofern gespeicherte Daten unrichtig oder unvollständig sind. Betroffene haben weiterhin ein Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO), wenn die Speicherung unrechtmäßig ist oder die Daten für den ursprünglichen Zweck nicht mehr benötigt werden. Das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und das Widerspruchsrecht gegen bestimmte Verarbeitungen (Art. 21 DSGVO) bieten weitere Schutzmechanismen. Die Auskunftei muss solchen Anfragen in der Regel unverzüglich, spätestens jedoch innerhalb eines Monats nachkommen.
Unter welchen Bedingungen dürfen Unternehmen eine Anfrage bei einer Auskunftei stellen?
Unternehmen dürfen nur dann eine Anfrage an eine Auskunftei stellen, wenn hierfür eine rechtliche Grundlage besteht. Nach Art. 6 Abs. 1 lit. f DSGVO genügt grundsätzlich das berechtigte Interesse, typischerweise zur Prüfung der Kreditwürdigkeit bei Vertragsschlüssen mit Zahlungsausfallrisiko (z.B. Ratenzahlung, Kreditvergabe). Voraussetzung ist weiterhin, dass das Interesse des Unternehmens die schutzwürdigen Interessen oder Grundrechte und Grundfreiheiten des Betroffenen nicht überwiegt. Eine Einsichtnahme in Daten darf nicht ohne konkreten Anlass erfolgen. Bei bestimmten Datenarten (etwa Negativmerkmalen wie eidesstattliche Versicherung oder Insolvenz) ist zusätzlich gesetzlich geregelt, welche Daten übermittelt werden dürfen. Der Verbraucher muss regelmäßig über die Weitergabe seiner Daten informiert werden, beispielsweise durch eine entsprechende Klausel im Vertrag.
Welche Löschfristen gelten für bei Auskunfteien gespeicherte Daten?
Die Löschfristen sind im Wesentlichen im BDSG und in vertraglichen Vereinbarungen sowie den Verhaltensregeln der Auskunfteien geregelt. Für unterschiedliche Daten gelten unterschiedliche Fristen: Informationen zu Kreditanfragen werden beispielsweise nach zwölf Monaten gelöscht, während Daten über abgewickelte Kredite in der Regel nach drei Jahren entfernt werden. Negativmerkmale wie nicht bezahlte Forderungen oder die Abgabe einer eidesstattlichen Versicherung werden ebenfalls nach drei Jahren gelöscht, sofern die offene Forderung beglichen wurde. Insolvenzbezogene Informationen werden spätestens sechs Monate nach der offiziellen Aufhebung des Insolvenzverfahrens gelöscht. Grundsätzlich sind alle Daten zu löschen, sobald der Speicherungszweck wegfällt oder eine Speicherung rechtswidrig ist. Über die konkreten Löschfristen müssen die Auskunfteien die Betroffenen informieren.
Wie verhält es sich mit der Haftung der Auskunfteien bei unrichtigen Angaben?
Kommt es aufgrund fehlerhafter Auskünfte oder unberechtigter Einträge zu Schäden beim Betroffenen, haftet die Auskunftei grundsätzlich nach den allgemeinen Regeln des Zivilrechts (Schadensersatz wegen Verletzung des Persönlichkeitsrechts bzw. Datenschutzrechts). Maßgeblich ist hier insbesondere Art. 82 DSGVO, wonach der Betroffene einen Anspruch auf Schadensersatz für materielle und immaterielle Schäden hat, die durch einen Verstoß gegen datenschutzrechtliche Vorschriften entstanden sind. Die Haftung kann sich auch aus § 823 BGB ergeben, etwa bei einer Verletzung des allgemeinen Persönlichkeitsrechts. Voraussetzung ist ein Verschulden der Auskunftei, wobei diese nachweisen muss, dass sie ihre Prüf- und Sorgfaltspflichten ordnungsgemäß erfüllt hat („Exkulpationsmöglichkeit“). Die Auskunftei ist verpflichtet, auf Einwände und Korrekturverlangen des Betroffenen umgehend zu reagieren und fehlerhafte Einträge zu berichtigen oder zu löschen.
Welche besondere Rolle spielt die Einwilligung im Rahmen der Datenverarbeitung durch Auskunfteien?
Die Einwilligung des Betroffenen ist eine wichtige, aber nicht zwingend notwendige Voraussetzung für die Datenverarbeitung durch Auskunfteien. Vielfach geschieht die Datenverarbeitung auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) und nicht der vorherigen Einwilligung. Dennoch kommt der Einwilligung eine zentrale Bedeutung zu, wenn besonders sensible Daten oder solche aus nicht-öffentlichen Quellen verarbeitet werden sollen. Die Einwilligung muss freiwillig, informiert, für den konkreten Zweck und unmissverständlich erfolgen. Sie kann jederzeit widerrufen werden, wobei der Widerruf die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt lässt. Ohne Einwilligung dürfen Auskunfteien jedoch keine weitergehenden Daten verarbeiten, sofern dies nicht anderweitig gesetzlich gestattet ist.
