Bescheid zur Kleinkreditevidenz

Auf dieser Seite finden Sie den Bescheid GZ K600.033-018/0002-DVR/2007 zur "Kleinkreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung" (kurz "Kleinkreditevidenz" oder "KKE"). Dieser Bescheid ist als Musterbescheid anzusehen; weiteren am Informationsverbundsystem ""Kleinkreditevidenz" teilnehmenden Auftraggebern werden absehbar inhaltsgleiche Auflagen erteilt werden.

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. KOTSCHY, Mag. HEILEGGER, Mag. HUTTERER, Dr. HEISSENBERGER und Dr. ROSENMAYER-KLEMENZ, sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 12. Dezember 2007 folgenden Beschluss gefasst:

Spruch

Hinsichtlich der Meldung der Bank X vom 9. November 2007 an das Datenverarbeitungsregister betreffend die Teilnahme als Auftraggeber an der in Form eines Informationsverbundsystems gemäß § 50 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005, geführten Datenanwendung "Kleinkreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung" (im Folgenden als "KKE" bezeichnet) werden der Bank X (im Folgenden als "Auftraggeber" bezeichnet) gemäß § 21 Abs. 2 DSG 2000 folgende Auflagen hinsichtlich der Verwendung der aus der Meldung ersichtlichen Daten erteilt:

1. Im Informationsverbundsystem KKE darf der Auftraggeber nach der Registrierung seiner Teilnahme

  • a) nur die Ablehnung eines Antrags auf Einräumung eines 300 Euro übersteigenden Kredits wegen mangelnder Bonität für die Dauer von 6 Monaten und
  • b) nur Kredit- oder Leasingverträge über eine 300 Euro übersteigende Summe für die sich aus Punkt 6 ergebende Dauer

eintragen lassen.

2. Vor der Eintragung eines Betroffenen in die KKE hat der Auftraggeber ihn - zeitnah zum Abschluss bzw. zur Ablehnung der Kreditvereinbarung - darüber zu informieren,

  • a) dass einer der Gründe vorliegt, die zu einer Eintragung in die KKE führen,
  • b) dass die KKE ein zu Zwecken des Gläubigerschutzes und der Risikominimierung geführtes Informationsverbundsystem (§ 50 DSG 2000) von Kreditinstituten, kreditgebenden Versicherungsunternehmen und Leasingunternehmen darstellt, dessen Betreiber (iSd § 50 DSG 2000) der Kreditschutzverband von 1870 (KSV) ist,
  • c) dass Daten aus der KKE ausschließlich an Kreditinstitute, kreditgewährende Versicherungsunternehmen und Leasinggesellschaften mit Sitz in einem Mitgliedstaat des europäischen Wirtschaftsraums (EWR) auf Anfrage weitergegeben werden, soweit diese eine Rechtspflicht zur korrekten Beurteilung des Kreditrisikos, das ein Kreditwerber darstellt, trifft,
  • d) welche Rechtsbehelfe im Falle der Eintragung zur Verfügung stehen und wo sie einzubringen

sind.

3. Soweit Eintragungen aus der bestehenden Kleinkreditevidenz des KSV in das nunmehrige Informationsverbundsystem KKE übernommen werden, ist Vorsorge zu treffen, dass die Betroffenen, soweit sie nicht bereits nachweislich informiert wurden, nachträglich in geeigneter Weise über die in Pkt. 2 bezeichneten Fakten informiert werden.

4. Der Auftraggeber hat zu veranlassen, dass eine begründete Bestreitung einer Kapital- oder Zinsforderung dem Grunde oder der Höhe nach in der KKE durch einen Bestreitungsvermerk unverzüglich ersichtlich gemacht wird. Auch diesbezügliche gerichtliche Entscheidungen, die noch nicht rechtskräftig sind, sind auf Verlangen des Schuldners in der KKE anzumerken.

5. Der Auftraggeber hat zu veranlassen, dass eine in der KKE ausgewiesene Höhe des Schuldbetrages unverzüglich berichtigt wird, wenn die Unrichtigkeit rechtskräftig festgestellt wurde. Die rechtskräftige Feststellung des Nicht-Bestehens einer Schuld ist durch unverzügliche Streichung aller diesbezüglichen Eintragungen in der KKE umzusetzen.

6. Abgesehen von den in Pkt. 1 a) und 5 bezeichneten Fällen hat die Löschung aller Eintragungen betreffend ein konkretes Kreditschuldverhältnis in der KKE zu erfolgen,

  • a) wenn eine Kredit- oder Leasingschuld ohne Zahlungsanstand vollständig abbezahlt und das Kredit- oder Leasingverhältnis somit beendet ist: spätestens 90 Tage nach Abbezahlung;
  • b) wenn eine Kredit- oder Leasingschuld nach Zahlungsanstand vollständig abbezahlt wurde: spätestens fünf Jahre nach vollständiger Abzahlung der Schuld;
  • c) falls jedoch das Nichtbestehen des behaupteten Zahlungsanstandes rechtskräftig festgestellt wird: spätestens 90 Tage nach vollständiger Abbezahlung der Schuld bzw. wenn die Feststellung erst nach dieser Frist erfolgte: unverzüglich nach rechtskräftiger Feststellung;
  • d) in allen anderen Fällen: sieben Jahre nach Tilgung der Schuld oder Eintritt eines sonstigen schuldbefreienden Ereignisses.

7. Beim KSV als Betreiber der KKE ist eine Auskunfts- und Beschwerdestelle für alle Anbringen der in die KKE Eingetragenen einzurichten, die auch Auskunftsbegehren nach § 26 DSG 2000 und Richtigstellungs- und Löschungsbegehren nach § 27 DSG 2000 entgegennimmt und für deren Bearbeitung durch den Auftraggeber sorgt.

8. Durch die Ablehnung der Erfüllung eines Löschungsbegehrens durch den Auftraggeber nach § 27 DSG 2000 wird das Widerspruchsrechts des Betroffenen nach § 28 Abs. 1 DSG 2000 nicht berührt.

9. Von den teilnehmenden Auftraggebern und dem Betreiber der KKE sind alle zumutbaren Anstrengungen zu unternehmen, um die eingetragenen Daten hinsichtlich ihrer Richtigkeit jeweils auf aktuellem Stand zu halten. Unbeschadet der Pflicht zur ständigen Aktualisierung hat der Auftraggeber dafür Vorsorge zu treffen, dass die von ihm zu verantwortenden Datensätze in der KKE, die sich auf einen Zahlungsanstand beziehen, mindestens einmal jährlich, alle anderen Datensätze spätestens alle drei Jahre auf ihre Richtigkeit und Aktualität überprüft werden.

Begründung

Sachverhalt:

Die Kleinkreditevidenz zum Zweck des Gläubigerschutzes und der Risikominimierung (Konsumentenkreditevidenz, KKE) ist eine bereits bestehende und vom Kreditschutzverband von 1870 (KSV) als Auftraggeber auch gemeldete Datenanwendung. Sie enthält Daten über Kreditverhältnisse, und zwar - im Unterschied zur Warnliste - auch sog. "Positivdaten", nämlich Daten über Kreditverhältnisse ohne Zahlungsanstand.

Die KKE steht nur den Banken, kreditgebenden Versicherungen und Leasingunternehmen im EWR - in dem ein gleichmäßig hohes Datenschutzniveau aufgrund der gemeinschaftsrechlichen Vorschriften gewährleistet ist - als Informationsmittel zur Verfügung. Im Zusammenhang mit den die Banken betreffenden Verpflichtungen zur umfassenden Risikobeurteilung von Kreditwerbern nach den Basel II-Richtlinien und auch nach der vor der Verabschiedung stehenden Verbraucherkredit-Richtlinie erhält eine Datensammlung wie die KKE besondere Bedeutung, und zwar als Mittel zur umfassenden Erkundung des Kreditrisikos, das mit der Kreditvergabe an Privatpersonen oder Klein- und Mittelbetriebe (KMUs) verbunden ist.

Der Auftraggeber hat eine Meldung an das Datenverarbeitungsregister (DVR) erstattet, die die Teilnahme an der vom KSV geführten KKE zum Gegenstand hat. Die teilnehmenden Kreditinstitute, Leasingunternehmen und kreditgebende Versicherungsunternehmen sowie der KSV melden Daten über die Kreditvergabe an Privatpersonen und KMUs bzw. weitere bonitätsrelevante Daten, die aus öffentlich zugänglichen Quellen entnommen werden können, an dieses Informationsverbundsystem. Der KSV erfüllt neben seiner Rolle als teilnehmender Auftraggeber zusätzlich die Rolle des Betreibers des Systems iSd § 50 DSG 2000.

Rechtliche Erwägungen:

Informationsverbundsysteme über Kreditinformation sind aus doppeltem Grund der Vorabkontrolle gemäß § 18 Abs. 2 DSG 2000 unterworfen, woraus sich auch ihr besonderes Nachteilspotential für die Betroffenen ablesen lässt. Derart risikobehaftete Datenanwendungen bedürfen regelmäßig besonderer Auflagen, um sicher zu stellen, dass die Datenschutzinteressen der Betroffenen entsprechend gewahrt bleiben.

Im vorliegenden Fall musste zunächst eine Bagatellgrenze festgelegt werden: Nur wenn es sich um ins Gewicht fallende Kreditbeträge handelt, ist ihre Kenntnis für die Beurteilung der Bonität relevant.

Vor dem Hintergrund der gemeinschaftsrechtlichen Regelungen über die Pflicht kreditgebender Institutionen, sich über das Kreditrisiko eines Kreditwerbers im Einzelfall zu informieren, scheint es angemessen, ihnen auch dann den Zugang zu den Informationen des Informationsverbundsystem zu gewähren, wenn sie nicht Teilnehmer sind. Für eine dem Grundsatz der Verhältnismäßigkeit entsprechende Verwendung der Daten beim ausländischen Empfänger wird durch die im gesamten EWR-Bereich gleichermaßen geltende Datenschutz-Richtlinie 95/46/EG Vorsorge getroffen.

Da das Ergebnis einer Bonitätsbeurteilung für den Betroffenen schwerwiegende Auswirkungen haben kann, muss ihm die Eintragung von Daten, die später zur Beurteilung herangezogen werden, mitgeteilt werden. Information ist eine wesentliche Voraussetzung für die Möglichkeit des Betroffenen, seine Datenschutzrechte durchzusetzen; deshalb ist es wichtig sicherzustellen, dass sie zu einem Zeitpunkt gegeben wird, zu dem sie der Betroffene auch als relevant wahrnimmt - d.h. im zeitlichen Nahebereich zur Kreditvergabe.

Bei Streitigkeiten über das Bestehen oder über die Höhe von Schulden muss die Aussagekraft einer Eintragung in der KKE diesen Zustand in fairer Weise wiedergeben - es müssen also entsprechende Anmerkungen gemacht werden, solange der Streit nicht entschieden ist, und es muss das Nicht-Bestehen einer Schuld nach gerichtlicher Feststellung umgehend zu einer Berichtigung der Eintragungen in der KKE führen.

Ein wesentlicher Punkt bei der Führung von Informationsverbundsystemen ist jeweils die zulässige Zeitdauer von Eintragungen. Durch die diesbezüglich erteilten Auflagen wird genau festgelegt, wann in der KKE eingetragene Kreditverhältnisse gelöscht werden müssen. Die Löschungsfrist von 90 Tagen nach Beendigung eines Kreditverhältnisses ohne Zahlungsanstand wurde vom Antragsteller verlangt und es wurde von ihm dargetan, dass sie auch im Interesse des Schuldners erforderlich ist. Was die Löschungsfrist von 5 Jahren nach Beendigung eines Kreditverhältnisses mit Zahlungsanstand betrifft, wurde diese Frist in Übereinstimmung mit der in Umsetzung der Basel II - Richtlinien ergangenen Solvabilitätsverordnung, BGBl. II Nr. 374/2006, festgesetzt. Die Frist nach Auflage 6 d) entspricht den für die "Warnliste der Banken" erteilten Auflagen.

Wie schon bei der "Warnliste der Banken" wird auch hier davon ausgegangen, dass die Einrichtung einer eigenen Beschwerdestelle beim Betreiber der KKE, dem KSV, wesentlich zur Streitabschneidung beitragen kann, da dort einfach und rasch sachkundige Aufklärung bei Unklarheiten und Beschwerden gegeben werden kann. Der KSV hat seine Bereitschaft hiezu immer bekundet und stellt sie auch bereits derzeit unter Beweis.

Die seit der Registrierung der "Warnliste der Banken" gewonnenen praktischen Erfahrungen haben gezeigt, dass das Widerspruchsrecht nach § 28 Abs. 1 DSG 2000 in manchen Fällen tatsächlich das Mittel der Wahl zur Erreichung einer adäquaten Lösung ist. Daher soll seine Bedeutung auch für die KKE durch eigene Erwähnung in den Auflagen klargestellt werden.

Ein weiterer Grund dafür, dass Informationsverbundsysteme ein besonderes datenschutzrechtliches Gefährdungspotential besitzen, ist darin zu erblicken, dass unrichtige/inaktuelle Daten weite Verbreitung finden und nicht, wie sonst, nur in dem zugrunde liegenden bilateralen Verhältnis zwischen Kreditgeber und Schuldner Auswirkungen entfalten, wo überdies die Nähe zum Sachverhalt größere Gewähr dafür bietet, dass Fehler erkannt und umgehend berichtigt werden. Einer regelmäßigen Prüfung der Richtigkeit/Aktualität von Eintragungen in der KKE kommt angesichts der Folgewirkungen von Fehlern besondere Bedeutung zu, weshalb eine besondere Verpflichtung zur Überprüfung in Form einer Auflage geschaffen wurde.