Nach der Datenschutz-Grundverordnung (DS-GVO) ist den Wirtschaftsauskunfteien die Verarbeitung personenbezogener Daten (zum Zweck der Übermittlung/ Auskunftserteilung) erlaubt, wenn es zur Wahrung ihrer berechtigten Interessen erforderlich ist und nicht die Grundrechte und Grundfreiheiten der betroffenen Personen überwiegen (Art. 6 Abs. 1 lit. f DS-GVO). Solche Grundrechte und Grundfreiheiten der betroffenen Personen überwiegen im Allgemeinen dann nicht, wenn von den Auskunfteien ausschließlich für Kreditentscheidungen bzw. Bonitätsprüfungen bedeutsame Daten gespeichert werden und diese Daten richtig sind (z.B. Beruf, geschäftliche Aktivitäten, Zahlungsweise, usw.).

Eine Übermittlung von personenbezogenen Daten (Auskunftserteilung) ist den Auskunfteien dann erlaubt, wenn der Empfänger (Anfragende) zuvor ein berechtigtes Interesse an der Kenntnis der Daten glaubhaft dargelegt hat und nicht die Grundrechte und Grundfreiheiten der betroffenen Personen überwiegen.

Ein berechtigtes Interesse an einer Wirtschaftsauskunft wird vor allem in den Fällen gesehen, in denen ein Vertragspartner gegenüber dem anderen Vertragspartner Vorleistungen erbringt oder sonst ein finanzielles Risiko eingeht bzw. einzugehen beabsichtigt, wie z. B. Bestellung bzw. Lieferung auf Rechnung, Ratenkauf, Kreditvergaben, Hypothekenangelegenheiten, Leasinggeschäfte, Mobiltelefonverträge, Mietverträge, Werkverträge, usw.

Die Auskunfteien müssen die betroffenen Personen umfassend informieren (Art. 14 DS-GVO). Den betroffenen Personen steht ein Auskunftsrecht zu (Art. 15 DS-GVO).

Wenn die Daten unrichtig sind, kann Berichtigung verlangt werden (Art. 16 DS-GVO). Dies setzt voraus, dass die Unrichtigkeit nachgewiesen wird. Wird die Richtigkeit der Daten bestritten und lässt sich weder die Richtigkeit noch die Unrichtigkeit feststellen, ist die Verarbeitung einzuschränken (Art. 18 DS-GVO).

Das Recht auf Löschung ergibt sich aus Art. 17 DS-GVO.

Einmeldung offener und unbestrittener Forderungen in eine Wirtschaftsauskunftei
Die Zulässigkeit einer Einmeldung beurteilt sich nach Art. 6 Abs. 1 lit. f DS-GVO. Hierzu ist es notwendig, dass die Einmeldung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Zudem dürfen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen. Das bedeutet, dass eine Abwägung unter Berücksichtigung dieser Kriterien im Einzelfall vorzunehmen ist.

Im Rahmen dieser Einzelfallprüfung entfalten die nachfolgenden Fallgruppen eine Indizwirkung für eine zulässige Einmeldung:

1. Die Forderung ist durch ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil festgestellt worden oder es liegt ein Schuldtitel nach § 794 der Zivilprozessordnung vor.
    
2. Die Forderung ist nach § 178 der Insolvenzordnung festgestellt und nicht vom Schuldner oder der Schuldnerin im Prüfungstermin bestritten worden.
    
3. Die betroffene Person hat die Forderung ausdrücklich anerkannt.
    
4. Die betroffene Person ist nach Eintritt der Fälligkeit der Forderung mindestens zweimal schriftlich gemahnt worden, die erste Mahnung liegt mindestens vier Wochen zurück, die betroffene Person ist zuvor, jedoch frühestens bei der ersten Mahnung, über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden und die betroffene Person hat die Forderung nicht bestritten.
    
5. Das der Forderung zugrundeliegende Vertragsverhältnis kann aufgrund von Zahlungsrückständen fristlos gekündigt werden und die betroffene Person ist zuvor über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden.

Zusätzliche Anhaltspunkte oder Hinweise können ggf. zu einer anderen Abwägung führen.
Darüber hinaus muss eine Kompatibilitätsprüfung nach Art. 6 Abs. 4 DS-GVO erfolgen, weil die personenbezogenen Daten zunächst für einen anderen Zweck – zur Durchführung eines Rechtsgeschäfts und nicht zur Einmeldung bei einer Auskunftei – verarbeitet wurden. Die betroffene Person muss also zuvor durch die Auskunftei-Vertragspartner über die Möglichkeit der Einmeldung unterrichtet worden sein, denn es darf nur das eingemeldet werden, womit die betroffene Person vernünftigerweise rechnen muss (Erwägungsgrund 47 der DS-GVO).

Löschfristen bei Daten über Restschuldbefreiung aus dem öffentlichen Insolvenzregister
Private Wirtschaftsauskunfteien erfassen und speichern in ihren eigenen Datenbanken Informationen aus öffentlichen Registern, insbesondere solche über Restschuldbefreiungen aus dem öffentlichen Insolvenzregister. Bisher löschten die privaten Auskunfteien diese Informationen nach Ablauf einer Frist von drei Jahren nach der Eintragung gemäß den Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien vom 25.05.2018 (in der Fassung vom 01.01.2020), die in Deutschland vom Verband der Wirtschaftsauskunfteien ausgearbeitet und von der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen genehmigt wurden.

In den verbundenen Rechtssachen C-26/22 und C-64/22| SCHUFA Holding (Restschuldbefreiung) hat der Europäische Gerichtshof entschieden, dass private Auskunfteien Daten über eine Restschuldbefreiung jedenfalls nicht länger speichern dürfen als das öffentliche Insolvenzregister. Das heißt, dass Informationen zur Restschuldbefreiung aus dem öffentlichen Insolvenzregister nach Erreichen der Speicherdauer des öffentlichen Insolvenzregisters auch aus dem Datenbestand der Auskunftei gelöscht werden müssen. Nach diesem Zeitraum kann die Speicherung dieser Daten durch eine Wirtschaftsauskunftei nicht mehr auf Art. 6 Abs. 1 lit. f DS-GVO gestützt werden, sodass eine Rechtsgrundlage für die Verarbeitung fehlen würde.