Der Gerichtshof der Europäischen Union (EuGH) hat am 7. Dezember 2023 zur Zulässigkeit von Speicherungen von Insolvenzdaten durch Wirtschaftsauskunfteien entschieden (verb. Rs C-26/22, C-64/22, ZVI 2024, 52 (in diesem Heft)). In der Presse fand zwar ein weiteres Urteil vom gleichen Tag zur Verwendung des SCHUFA-Scores für Kreditentscheidungen (Rs C-634/21) größere Aufmerksamkeit, für Verbraucherinnen und Verbraucher, die eine Restschuldbefreiung erlangt haben, ist aber die Entscheidung zu den Speicherfristen genauso bedeutsam.

Mit seiner Entscheidung folgt der EuGH den Schlussanträgen des Generalanwalts Pikamäe vom 16. 3. 2023: Eine Speicherung und Verarbeitung von Insolvenzdaten aus dem Insolvenzportal über die Fristen hinaus, in denen die Daten im Portal gespeichert sind, ist mit dem Datenschutzrecht nicht vereinbar. Im Insolvenzportal werden Daten sechs Monate nach Rechtskraft der Entscheidung über die Restschuldbefreiung gelöscht.

Die Entscheidung des EuGH ist zwar in den Sachfragen nicht abschließend, das Gericht gibt aber dem vorlegenden Gericht, dem Verwaltungsgericht Wiesbaden, so klare und eindeutige Hinweise, dass davon ausgegangen werden kann, dass die Frage der Zulässigkeit der Speicherfristen damit entschieden ist.

Wir blicken auf eine über zehnjährige Diskussion über die Speicherfristen zurück. Die Auskunfteien erheben schon immer Daten auch aus dem Insolvenzportal über die Eröffnung eines Insolvenzverfahrens und die Erteilung der Restschuldbefreiung und stellen ihren Kunden diese Daten zur Verfügung. Die Kunden, vornehmlich Kreditgeber, benötigen solche Informationen, weil sie z. B. im Rahmen des § 18 KWG oder § 505a BGB gesetzlich zur Prüfung der Kreditwürdigkeit der Kreditnehmer verpflichtet sind. Und in diesem Rahmen ist z. B. die Information, dass sich ein Kreditantragsteller in einem Insolvenzverfahren befindet, eine wichtige Information.

Die Frage ist aber, woher Kreditgeber diese Informationen bekommen können. Über die Auskunfteien ist eine Möglichkeit. Die Kreditgeber könnten aber auch einfach in das Insolvenzportal schauen, denn dort sind die Daten frei zugänglich vorhanden, solange sie nicht nach Verfahrensabschluss gelöscht werden. Wozu braucht es also eine zusätzliche Speicherung und Verarbeitung durch die Auskunfteien, die die kostenlosen und frei verfügbaren Informationen zu ihrem Geschäftsmodell machen? Der EuGH beäugt diese Frage mit Blick auf die Datenschutz-Grundverordnung (DSGVO) kritisch. Nach Art. 6 Abs. 1 Unterabs. 1 lit. f DSGVO ist eine Datenverarbeitung nur zulässig, wenn sie zur Wahrnehmung der berechtigten Interessen des Verantwortlichen „erforderlich“ ist, sofern nicht berechtigte Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen, die den Schutz personenbezogener Daten erfordern, überwiegen. Bereits an dieser Erforderlichkeit meldet der EuGH einen intensiven Prüfbedarf an und weist in diesem Zusammenhang gleich darauf hin, dass sich die Prüfung nicht einfach gesagt damit abtun lässt, dass die Daten über die Insolvenz im Portal ja ohnehin bereits öffentlich sind. Jede weitere Speicherung und Verarbeitung durch einen zusätzlichen Verarbeiter intensiviert noch einmal den Eingriff in die Grundrechte der Betroffenen und bedarf deshalb einer eigenständigen datenschutzrechtlichen Zulässigkeitsprüfung.

Außerdem weist der EuGH darauf hin, dass in dem Zeitpunkt, in dem die Abfrage der Daten aus dem Insolvenzportal und die Speicherung durch die Auskunftei erfolgt, noch gar nicht klar ist, ob diese Daten jemals für eine Kreditwürdigkeitsprüfung benötigt werden. Insofern handelt es sich um eine „Vorratsdatenspeicherung“.

Wenn man in dieser ersten Stufe der Prüfung eine Speicherung grundsätzlich für erforderlich und zulässig hält, stellt sich weiter die Frage, wie lange eine solche Speicherung und Beauskunftung zu Insolvenzdaten zulässig ist. Die Auskunfteien nehmen schon seit jeher eine Speicherfristberechtigung für drei Jahre für sich in Anspruch. Dazu hat schon der Generalanwalt darauf hingewiesen, dass auch eine ursprünglich rechtmäßige Speicherung durch Zeitablauf als nicht mehr datenschutzkonform angesehen werden kann, wenn die Daten für den Zweck, für den sie erhoben wurden, nicht mehr erheblich sind. Dann überwiegen nämlich die Interessen der Betroffenen an einer Löschung die Interessen der Datenverarbeiter i. S. d. Art. 6 Abs. 1 Unterabs. 1 lit. f DSGVO. Das sieht der EuGH genauso.

Wer also eine längerfristige Speicherberechtigung für sich in Anspruch nehmen will, ist darlegungs- und belegpflichtig dafür, dass die Insolvenzdaten („über das Vermögen des Schuldners ist ein Insolvenzverfahren eröffnet worden/dem Schuldner ist eine Restschuldbefreiung erteilt worden“) eine fortwährende Relevanz auch für die künftige Beurteilung seiner Kreditwürdigkeit haben. Es ist schon erstaunlich, mit welcher Kontinuität und Vehemenz die Auskunfteien dies behauptet haben, ohne jemals wirklich empirische Belege dafür vorzulegen. Und die allermeisten Gerichte bis auf das Schleswig-Holsteinische Oberlandesgericht sind dem gefolgt. Mit der Beschreibung „wer einmal insolvent war, trägt ein hohes Risiko in sich, auch wieder insolvent zu werden“, kann man den Grundtenor zusammenfassen. Dabei hat empirische Sozialforschung schon immer darauf hingewiesen, dass in mindestens 50 % kritische Lebensereignisse wie Arbeitslosigkeit, Unfall, Krankheit oder Partnertrennungen Auslösefaktoren für Überschuldungsfälle sind, von denen man nicht so einfach unterstellen kann, dass sie sich wiederholen. Die Zahlen des Statistischen Bundesamtes bestätigen diese Erkenntnisse. Ich persönlich habe mich immer gefragt, wie es wäre, einem Mitarbeiter in der Gastronomie, der infolge der Corona-Pandemie und der Schließung seiner Arbeitsstelle seine Stelle und sein Einkommen verloren hat, vorzuhalten, dass er ja aufgrund dessen auch in Zukunft ein erhöhtes Insolvenzrisiko in sich trage. Der Generalanwalt hat es etwas anders formuliert, nämlich dass „die SCHUFA nicht in der Lage gewesen sei, die Frage [warum die überlange Speicherung erforderlich sei] klar und überzeugend zu beantworten, obwohl sie die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten nachweisen muss“.

Der EuGH weist auch darauf hin, dass die Frage nach dem Verhältnis zwischen den Interessen des Wirtschaftsverkehrs und den Grundrechten und Interessen der betroffenen Schuldner durch den Gesetzgeber schon lange abgewogen und entschieden ist: nach der InsBekV (§ 3) werden die Daten im Insolvenzportal nach sechs Monaten wieder gelöscht. Damit soll „gewährleistet sein, dass ein wirtschaftlicher Neuanfang nicht durch die fortdauernde Publizität von Veröffentlichungen aus dem Insolvenzverfahren gestört wird“, so schon die Begründung bei Erlass der InsBekV, BR-Drucks. 1082, S. 7 f. Das muss nach Auffassung des EuGH für die Frage der zulässigen Speicherdauer für Auskunfteien genauso gelten. Und deshalb ist eine Speicherung und Verarbeitung von Insolvenzdaten über die Löschfristen im Insolvenzportal hinaus datenschutzwidrig. Dagegen können sich die Auskunfteien auch nicht auf ihre selbst vereinbarten Verhaltensregelungen berufen, denn diese haben keine Bindungswirkung gegenüber den betroffenen Schuldnern.

Die SCHUFA hatte schon auf die Schlussanträge des Generalanwalts reagiert und mitgeteilt, dass sie ihre Daten entsprechend gelöscht habe. Andere Auskunfteien müssen dem folgen.

Es bleiben aber noch andere Fragen offen, beispielsweise wie mit Einigungen im außergerichtlichen Einigungsversuch umzugehen ist, wenn die Schuldner zu den damit bereinigten Forderungen noch vorherige Eintragungen über Zahlungsverzögerungen oder Vollstreckungen bei den Auskunfteien haben. Nach dem Gedanken, dass Schuldenbereinigungen, gleich ob sie durch Erteilung einer Restschuldbefreiung oder durch privatautonome Vereinbarung erreicht werden, einem Neuanfang nicht unverhältnismäßig im Wege stehen sollen, müssten auch diese Eintragungen gelöscht werden.