Dürfen personenbezogene Daten von Adressverlagen gekauft und für Bonitätsranking verwendet werden?

1. Worum geht es?

Vor dem OGH landeten zuletzt gleich 3 Klagen gegen dieselbe Kreditauskunftei (6 Ob 147/25y, 6 Ob 148/25w und 6 Ob 151/25m). Alle hatten den gleichen Zweck: der Kreditauskunftei sollte untersagt werden, Bonitätsratings (Credit-Scores) basierend auf persönlichen Daten zu erstellen. 

2. Wo genau liegt das Problem? 

Personenbezogene Daten dürfen nur nach dem Grundsatz der Zweckbindung verarbeitet werden. Das bedeutet, sie dürfen nur für den bestimmten Zweck verarbeitet werden, für den sie auch erhoben wurden. Sie dürfen nicht in einer mit diesem Zweck unvereinbaren Weise verarbeitet werden (Art 5 Abs 1 lit b DSGVO). 

3. Rechtliche Beurteilung des OGH 

Der OGH hatte zu beurteilen, ob die Daten durch die Kreditauskunftei zum Bonitätsrating benutzt werden durften. Die Kläger behaupteten, die Kreditauskunftei habe gegen den Grundsatz der Zweckbindung verstoßen, indem sie ihre Daten zum Bonitätsranking verwendet hat. 

Ursprünglich hat der Adressverlag die fraglichen Daten aufgrund einer gesetzlichen Ermächtigung zu Marketingzwecken erhoben. § 151 Abs 3 GewO ermöglicht Direktmarketingunternehmen, personenbezogene Daten, unabhängig von einer konkreten Einwilligung der betroffenen Personen, in bestimmtem Ausmaß zu erheben. 

Die Kreditauskunftei verwendete die Daten zur Identifikation und Bonitätsprüfung potenzieller Geschäftspartner ihrer Kunden. Darin lag eine zweckändernde Datenverarbeitung vor, die ursprünglich zu einem anderen Zweck erhoben wurden. Dies ist nicht automatisch verboten, es müsste aber die Zustimmung der Personen eingeholt werden, die deren Daten verarbeitet wurden. Da die Kreditauskunftei dies nicht getan hat, entschied der OGH, dass die Datenverarbeitung rechtswidrig war. 

4. Worauf müssen Unternehmen achten?

Die Zweckbindung der erhobenen Daten ist maßgeblich für deren rechtmäßige Verwendung. Personenbezogene Daten dürfen nur für den bei deren Erhebung angegebenen Zweck verwendet werden. Dies gilt nicht nur unternehmensintern, sondern auch, wenn Daten von einem Datenlieferanten, wie zB einem Adressverlag, bezogen werden. Soll eine Verarbeitung dennoch durchgeführt werden, muss zuvor das Einverständnis der betroffenen Personen eingeholt werden. 

Zur Autorin: 

Frau Mag. Sylvia Unger ist seit über 25 Jahren Rechtsanwältin und gründete 2011 ihre eigene Kanzlei „Unger Rechtsanwälte“.

Ihre Schwerpunkte liegen im Arbeits-, Gesellschafts-, Vertrags- und Zahlungsverkehrsrecht. Sie ist (Mit)Autorin mehrerer Fachbücher und hält Vorträge zu Arbeits-, Gesellschafts- und Zahlungsverkehrsrecht und berät Unternehmen aus verschiedensten Branchen.