Das VG Wiesbaden (Urt. v. 07.06.2021 - Az.: 6 K 307/20.WI) hat entschieden, dass die hessische Datenschutzbehörde das Begehren eines Bürgers, der sich gegen die langfristige Speicherung seiner Insolvenzdaten wehrt, erneut überprüfen muss, da der bisherige Bescheid fehlerhaft ist. Dabei geht es insbesondere um die Vereinbarkeit des Code of Conduct der Wirtschaftsauskunfteien mit der DSGVO. 

Die Klägerin wehrte sich gegen die Speicherung einer Restschuldbefreiung durch die SCHUFA. Als ihr Löschbegehren bei dem Unternehmen keinen Erfolg hatte, wandte sie sich an die hessische Datenschutzbehörde.

Dort wurde ihr mitgeteilt, dass die bisherige Speicherungspraxis zulässig sei, denn sie diene dem Schutz des Wirtschaftsverkehrs und sei seit vielen Jahren etabliert. 

Nach den freiwilligen Verhaltensregelungen (Code of Conduct der Wirtschaftsauskunfteien) verpflichteten sich die Auskunfteien, personenbezogene Daten drei Jahre nach Erledigung des gespeicherten Ereignisses zu löschen, so die Behörde. Erfolge gegen die zugelassene Datenverarbeitung ein Widerspruch, müssten besondere Gründe gegen eine Fortgeltung der Datenverarbeitung sprechen. Danach müsse eine zusätzliche Interessenabwägung ergeben, dass ausgerechnet in diesem Fall eine Datenverarbeitung ausnahmsweise unzulässig sei.

Gegen diesen Bescheid der Aufsichtsbehörde wehrte sich die Klägerin nun erfolgreich vor Gericht. Das VG Wiesbaden verpflichtete die Aufsichtsbehörde, die Angelegenheit zu überprüfen und neu zu bescheiden.

Denn die Datenschützer hätten sich nicht hinreichend konkret mit den Interessen der Klägerin auseinandergesetzt, sondern nur ganz allgemein abgewogen:

"Dies setzt nicht nur ein Auseinandersetzen mit dem Vortrag der Klägerin voraus, sondern auch eine rechtliche Bewertung, welche der DSGVO Geltung verschafft.

Hieran mangelt es vorliegend bei dem Bescheid des Beklagten. Weder hat dieser eine aktuelle Abwägungsentscheidung nach Art. 6 Abs. 1 UA 1 lit. f) DSGVO von der Beigeladenen angefordert, noch ist eine solche ersichtlich, wenn sich die Beigeladene nur mit den Ausführungen der Klägerin ganz allgemein auseinandersetzt und auf die „Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutsche Wirtschaftsauskunfteien vom 25.05.2016“ („Codes of Conduct“) mit den Aufsichtsbehörden Bezug nimmt.

Die nach Art. 40 DS-GVO erlassenen Verhaltensregeln dürfen nicht evident der Datenschutzgrundverordnung widersprechen, sondern dienen dazu, diese zu präzisieren (...). Hierzu zählen u.a. die faire Verarbeitung und die berechtigten Interessen des Verantwortlichen in bestimmten Zusammenhängen. Nicht hierzu zählen unmittelbar „Löschfristen“ und pauschale Interessen des Verantwortlichen.

Dies mit der Folge, dass in jedem Einzelfall die jeweiligen berechtigten Interessen von der Beigeladen darzulegen und von dem Beklagten zu überprüfen sind, woran es gerade in dem hier zu entscheidenden Fall mangelt."

Und weiter:

"Soweit sich die Beigeladene und der Verband der Wirtschaftsauskunfteien e.V. - auch mit Zustimmung des Beklagten - pauschal auf Löschfristen für sog. „Standardverfahren“ geeinigt haben, so mag es im Lichte von Art. 5 Abs. 1 lit. a) (Treu und Glauben), b) (legitime Zwecke) und e) (Speicherbegrenzung) DS-GVO noch angehen, die hier getroffenen Regelungen zunächst als Basis zu nehmen.

Allerdings bestehen schon bei den Regelungen unter II. 2. der selbstauferlegten Verhaltensregeln („Codes of Conduct“) bezüglich der Eintragungen in das Schuldnerverzeichnis bzw. Veröffentlichungen zu Insolvenzverfahren erhebliche europarechtliche Bedenken. Spätestens, wenn eine betroffene Person bei der Beigeladenen ein Löschungsbegehren erhebt, ist eine vollständige individuelle Interessensabwägung zwischen den Interessen des Verantwortlichen oder eines Dritten und den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person i.S.v. Art. 6 Abs. 1 UA 1 lit f) DSGVO vorzunehmen, da nur bei einem Überwiegenden berechtigten Interesse der Beigeladenen die Datenverarbeitung weiterhin rechtmäßig ist.

Dabei ist jedenfalls ein Abstellen auf die Pauschalisierung der Verhaltensregeln mit bestimmten Fallgruppen keine solche individuelle Abwägung."

Das Gericht kritisiert insbesondere das behördliche Verhalten, dass keine individuelle Prüfung stattgefunden habe:

"Soweit der Beklagte in seinem Bescheid vom 12.02.2021 ausführt, dass es nach der DSGVO keine Löschfristen gebe und sich daher die Auskunfteien „freiwillige Verhaltensregeln“ gegeben hätten, wonach personenbezogene Daten drei Jahre nach Erledigung des gespeicherten Ereignisses zu löschen seien, fehlt von Seiten des Beklagten jegliches Eingehen auf die Vorgaben und die Intention der DSGVO.

Hinzu kommt vorliegend, dass die Verordnung (EU) 2015/848 des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren vom 20.05.2015 (ABl. EU L 141 S.19) seit dem 26.06.2017 (Art. 92 S. 2 VO 2015/848) und damit bereits vor „Inkrafttreten“ der „Codes of Conduct“ gilt. (...) Die in einem elektronischen Informations- und Kommunikationssystem erfolgte Veröffentlichung von Daten aus einem Insolvenzverfahren einschließlich des Eröffnungsverfahrens wird spätestens sechs Monate nach der Aufhebung oder der Rechtskraft der Einstellung des Insolvenzverfahrens gelöscht. Wird das Verfahren nicht eröffnet, beginnt die Frist mit der Aufhebung der veröffentlichten Sicherungsmaßnahmen.

(...) Für die Veröffentlichungen im Restschuldbefreiungsverfahren einschließlich des Beschlusses nach § 289 der Insolvenzordnung gilt Absatz 1 Satz 1 mit der Maßgabe, dass die Frist mit Rechtskraft der Entscheidung über die Restschuldbefreiung zu laufen beginnt. 

Sonstige Veröffentlichungen nach der Insolvenzordnung werden einen Monat nach dem ersten Tag der Veröffentlichung gelöscht.

Damit ist im öffentlichen Register die Restschuldenbefreiung nach sechs Monaten zu löschen. Warum dies bei der Beigeladenen anders sein soll, ist nicht ersichtlich. Die „Verhaltensregeln“ vom 25.05.2018 (...) verhalten sich zu diesem Wertungswiderspruch nicht. Weder die Ausführungen der Beigeladenen, noch die des Beklagten, lassen eine Auseinandersetzung mit der Verordnung (EU) 2015/848 des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren vom 20.05.2015 (ABl. EU L 141 S.19) und mit den unterschiedlichen Speicherfristen erkennen."