Ist die dreijährige Löschfrist bei Kreditauskunfteien angemessen?

Die SCHUFA und andere Kreditauskunfteien erhalten Informationen von ihren Kunden, um diese in ihren Datenbanken zu speichern und auf dieser Grundlage die Zahlungsfähigkeit von Kreditnehmern zu bewerten. Diese Daten sind nach dem brancheninternen Code of Conduct drei Jahre nach ihrer Erledigung zu löschen. Zu der Frage, ob diese Löschfrist angemessen ist und der EU-Datenschutzgrundverordnung (DSGVO) entspricht, hat sich jetzt das Oberlandesgericht Brandenburg geäußert (OLG Brandenburg, Urt. vom 3.7.2023, Az.: 1 U 8/22).

Antrag auf vorzeitige Löschung scheitert

Über einen Kreditnehmer war ein Negativeintrag in einer Datenbank gespeichert. Der Kreditnehmer verlangte Löschung von der die Datenbank betreibenden Kreditauskunftei. Darüber hinaus forderte er von der Auskunftei auch Unterlassung der entsprechenden Datenverarbeitung. Die Auskunftei kam diesem Verlangen nicht nach. Auch der Hessische Datenschutzbeauftragte, der sich ebenfalls mit der Angelegenheit befassen musste, kam dem Kreditnehmer nicht zur Hilfe. Er sah keinen Anlass, den Forderungen nachzukommen, da die Einträge nach dem brancheninternen „Code of Conduct“ grundsätzlich erst drei Jahre nach ihrer Erledigung zu löschen seien.

Der Kreditnehmer war mit der Ablehnung nicht einverstanden und zog zunächst vor das Landgericht. Nachdem er hier mit seinem Begehren scheiterte, wandte er sich – wiederum erfolglos – an das OLG.

OLG: dreijährige Löschfrist entspricht der DSGVO

Grundsätzlich besteht nach Art. 17 Abs. 1 DSGVO ein Anspruch auf Löschung von Daten, wenn die Datenverarbeitung von Anfang an unrechtmäßig war oder durch Zeitablauf unrechtmäßig geworden ist.

Nach Auffassung des Gerichts war die ursprüngliche Übermittlung der Daten an die Auskunftei rechtmäßig. Diese habe ein berechtigtes Interesse an der Verarbeitung der Daten, das sich wiederum aus dem Interesse der Kreditwirtschaft an bonitätsrelevanten Daten ergebe. Die Kreditwirtschaft sei auf diese Daten angewiesen, um andere Unternehmen vor wirtschaftlichen Schäden zu schützen und mögliche Kreditnehmer vor Überschuldung zu bewahren.

Aber nicht nur die ursprüngliche Übermittlung, sondern auch die weitere Speicherung der Daten ist nach Ansicht des Gerichts rechtmäßig. In der DSGVO seien keine konkreten Regelungen dazu enthalten. Vielmehr müsse in jedem einzelnen Fall abgewogen werden, ob und wie lange die weitere Verarbeitung notwendig ist.

Code of Conduct bildet Grundlage für Interessenausgleich

Den Kreditauskunfteien komme bei dieser Abwägung der brancheninterne Code of Conduct zur Hilfe. Mit diesen „Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien vom 25. Mai 2018“ hat der Verband der Wirtschaftsauskunfteien e. V. sich verbindliche Verhaltensregeln gegeben und diese mit den zuständigen Datenschutzaufsichtsbehörden abgestimmt.

Hierin enthalten sind u.a. konkrete Prüf- und Löschfristen für verschiedene personenbezogene Daten der Kreditnehmer. Der hier gegenständliche Eintrag ist nach dieser Übersicht drei Jahre nach dem Ausgleich der Forderung zu löschen.

Das Gericht sieht zwar, dass diese Regelung keine materielle Rechtsgrundlage für die weitere Datenverarbeitung ist. Dennoch werde sie in der Rechtsprechung regelmäßig „als beachtlicher und sachgerechter Interessenausgleich“ herangezogen. Anhaltspunkte für eine abweichende Bewertung in diesem Fall sieht das Gericht nicht. Es gebe keine grundsätzlichen Bedenken gegenüber der Drei-Jahres-Frist. Diese entspreche den Wertungen der DSGVO. Eine Löschung vor Ablauf der Frist sei daher nicht erforderlich.

Sie haben Fragen rund um Kreditauskunfteien?

Sie sind unsicher, ob und wie lange die Speicherung und Verarbeitung von Daten durch Kreditauskunfteien rechtmäßig ist? Sprechen Sie mich gerne an. Ich berate Sie u.a. zu Einträgen und Löschfristen in Datenbanken von Kreditauskunfteien. Sie erreichen mich unter 040/ 413 46 98 97 oder per E-Mail info@cs-ra.de.