VG Wiesbaden, Beschluss vom 23.12.2021 - 6 K 441/21.WI
Fundstelle
openJur 2022, 4178
  • Rkr:
Verfahrensgang
  • nachfolgend: Az. C-26/22
Rubrum

VERWALTUNGSGERICHT WIESBADEN

BESCHLUSS

In dem Verwaltungsstreitverfahren

C.

C-Straße, C-Stadt,

Kläger

bevollmächtigt:

D.

D-Straße, D-Stadt

Aktenzeichen:

gegen

Land Hessen,

vertreten durch den E.,

E-Straße, A-Stadt,

- -

Beklagter

beigeladen:

SCHUFA Holding AG,

A-Straße, A-Stadt,

bevollmächtigt:

Rechtsanwälte Prof. Dr. B.

B-Straße, B-Stadt

Aktenzeichen:

wegen Datenschutzrechts

hat das Verwaltungsgericht Wiesbaden - 6. Kammer - durch

Vorsitzenden Richter am VG S...

Richter am VG Dr. B...

Richterin von B...

am 23.12.2021 beschlossen:

Tenor

I. Das Verfahren wird ausgesetzt.

II. Das Verfahren wird gemäß Art. 267 AEUV zur Vorabentscheidung dem Gerichtshof der Europäischen Union hinsichtlich der folgenden Fragen vorgelegt:

1. Ist Art. 77 Abs. 1 i.V.m. Art. 78 Abs. 1 der Verordnung (EU) 2016/679 des Europäische Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – DS-GVO; ABl. EU vom 4.5.2016, L 119, S. 1) dahingehend zu verstehen, dass das Ergebnis der Aufsichtsbehörde, welches diese dem Betroffenen mitteilt,

a) den Charakter der Bescheidung einer Petition hat?

Dies mit der Folge, dass die gerichtliche Kontrolle einer aufsichtsbehördlichen Beschwerdeentscheidung nach Art. 78 Abs. 1 DS-GVO sich grundsätzlich darauf beschränkt, ob die Behörde sich mit der Beschwerde befasst, den Beschwerdegegenstand angemessen untersucht und den Beschwerdeführer über das Ergebnis der Prüfung unterrichtet hat,

oder

b) als eine behördliche Sachentscheidung zu verstehen ist?

Dies mit der Folge, dass eine aufsichtsbehördliche Beschwerdeentscheidung voll inhaltlich von dem Gericht nach Art. 78 Abs. 1 DS-GVO zu überprüfen ist, wobei im Einzelfall - z.B. bei einer Ermessensreduzierung auf Null - die Aufsichtsbehörde durch das Gericht auch zu einer konkreten Maßnahme im Sinne des Art. 58 DS-GVO verpflichtet werden kann.

2. Ist eine Datenspeicherung bei einer privaten Wirtschaftsauskunftei, bei der personenbezogene Daten aus einem öffentlichen Register, wie den "nationalen Datenbanken" im Sinne des Art. 79 Abs. 4 und 5 der Verordnung (EU) 2015/848 des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren (ABl. L 141/19 v. 5.6.2015), ohne konkreten Anlass gespeichert werden, um im Falle einer Anfrage eine Auskunft erteilen zu können, mit Art. 7 und 8 der Charta der Grundrechte der Europäischen Union vom 12. Dezember 2007 (GrCh - ABl. C 303 S. 1) vereinbar?

3a. Sind private Paralleldatenbanken (insbesondere Datenbanken einer Auskunftei), die neben den staatlichen Datenbanken errichtet werden und in denen die Daten aus den staatlichen Datenbanken (hier Insolvenzbekanntmachungen) länger gespeichert werden, als in dem engen Rahmen der VO (EU) 2015/848 i.V.m. dem nationalen Recht geregelt, grundsätzlich zulässig?

3b. Falls Frage 3a zu bejahen ist, ergibt sich aus dem Recht auf Vergessen nach Art. 17 Abs. 1 lit d) DS-GVO, dass diese Daten zu löschen sind, wenn die für das öffentliche Register vorgesehene Verarbeitungsdauer abgelaufen ist?

4. Soweit Art. 6 Abs. 1 UA 1 lit. f) DS-GVO als alleinige Rechtsgrundlage für eine Datenspeicherung bei privaten Wirtschaftsauskunfteien hinsichtlich der auch in öffentlichen Registern gespeicherten Daten in Betracht kommt, ist ein berechtigtes Interesse einer Wirtschaftsauskunftei schon dann zu bejahen, wenn diese Auskunftei die Daten aus dem öffentlichen Verzeichnis ohne konkreten Anlass übernimmt, damit diese Daten dann bei einer Anfrage zur Verfügung stehen?

5. Dürfen Verhaltensregeln, die von den Aufsichtsbehörden nach Art. 40 DS-GVO genehmigt worden sind und Prüf- und Löschfristen vorsehen, die über die Speicherfristen öffentlicher Register hinausgehen, die nach des Art. 6 Abs. 1 UA 1 lit. f) DS-GVO vorgegebene Abwägung suspendieren?

Gründe

I.

Bereits mit Beschluss vom 31.08.2021 (6 K 226/21.WI; C-552/21) legte die 6. Kammer des Verwaltungsgerichts Wiesbaden dem Europäischen Gerichtshof die Frage zum Rechtscharakter der Tätigkeit und der Mitteilung der Aufsichtsbehörde bezüglich eines betroffenen Beschwerdeführers vor. Zudem legte die 6. Kammer Fragen vor, die die Eintragungen aus öffentlichen Verzeichnissen, beispielsweise aus den Veröffentlichungen der Insolvenzgerichte, die eins zu eins in privat geführte Verzeichnisse übertragen werden, zum Gegenstand haben. Die der Vorlage C-552/21 zugrundeliegende Klage wurde jedoch zurückgenommen, sodass die Vorlage nicht mehr aufrechterhalten werden konnte. Das Gericht sieht nach wie vor Klärungsbedarf hinsichtlich der aufgeworfenen grundsätzlichen Fragestellungen, sodass diese erneut im Rahmen der vorliegenden Vorlage in einem gleichgelagerten Fall gestellt werden.

Der Kläger im hiesigen Verfahren wendet sich ebenfalls gegen die Eintragung einer Restschuldbefreiung bei der beigeladenen A., einer privaten Wirtschaftsauskunftei. Er begehrt von dem Beklagten, auf die Löschung der Eintragung bei der A., die wie folgt lautet, hinzuwirken:

Informationen aus öffentlichen Verzeichnissen.

Restschuldbefreiung erteilt.

Diese Information stammt aus den Veröffentlichungen der Insolvenzgerichte. Zu diesem Insolvenzverfahren wurde uns die Erteilung einer Restschuldbefreiung mitgeteilt.

Aktenzeichen xxx.

Der Vorgang wird bei den Insolvenzgerichten unter diesem Aktenzeichen geführt.

Datum des Ereignisses 17.12.2020

Mit Beschluss des Amtsgerichts Hannover vom 17.12.2020 wurde dem Kläger eine vorzeitige Restschuldbefreiung erteilt. Dies wurde unter www.insolvenzbekanntmachungen.de eingetragen. Die Löschung des Eintrags auf dieser Webseite erfolgt nach 6 Monaten. Die beigeladene SCHUFA Holding GmbH speichert diesen Eintrag ebenfalls in ihrem Datenbestand. Der Kläger wandte sich bezüglich einer Löschung dieses Eintrags an die SCHUFA. Diese teilte ihm daraufhin mit, dass ihre Tätigkeit unter Beachtung der DS-GVO erfolge. Auch nach Art. 17 DS-GVO bestehe kein voraussetzungsloses Recht auf Löschung personenbezogener Daten. Der Eintrag zur Restschuldenbefreiung werde nach 3 Jahren nach dessen Eintragung gelöscht. Ein Informationsbedürfnis des Geschäftsverkehrs sei auch vom Gesetzgeber erkannt worden, sodass Bonitätsinformationen im Kreditinformationssystem nicht fehlen dürften. Die Löschungsfrist des § 3 Abs. 1 InsBekV sei für die SCHUFA nicht anwendbar.

Hiergegen wandte sich der Kläger mit Schreiben vom 10.02.2021 an den Beklagten. Er wies darauf hin, dass die Speicherung der Restschuldbefreiung bei der SCHUFA rechtswidrig sei. Die Speicherung sei schon nicht zur Interessenwahrung erforderlich. Die Interessen des Betroffenen würden deutlich überwiegen. Die Gleichstellung von erteilter Restschuldbefreiung und nicht ausgeglichener Zahlungsstörung sei nicht tragbar. Selbst wenn man von einer berechtigten Verarbeitung des Merkmals ausgehen möchte, sei dieses mit Ablauf eines Jahres nicht mehr notwendig.

Hierauf teilte der Beklagte dem Kläger mit Bescheid vom 01.03.2021 mit, dass man Verständnis für die Lage des Klägers habe, jedoch dürfe die SCHUFA Negativeinträge über den Zeitraum der Befreiung einer Forderung hinaus Restschuldbefreiungen speichern. Rechtsgrundlage bilde Art. 6 Abs. 1 lit. b) und lit. f) DS-GVO sowie § 31 Bundesdatenschutzgesetz vom 30.6.2017 (BGBl. I S. 2097, zuletzt geändert durch Gesetz vom 23.6.2021, BGBl. I S. 1858 – im Folgenden: BDSG). Personenbezogene Daten, die für die Beurteilung der Bonität benötigt würden, dürften so lange gespeichert werden, wie dies für die Zwecke, für die sie gespeichert worden sind, erforderlich sei. Bei der Bonitätsermittlung sei es zulässig, aus dem Verhalten eines Teils einer Personengruppe Wahrscheinlichkeiten für das Verhalten anderer Personen zu bilden, die ebenfalls zu dieser Personengruppe zählten, sowie eine statistische Signifikanz herzustellen.

Hiergegen hat der Kläger mit Schriftsatz seines Bevollmächtigten vom 06.04.2021 Klage erhoben. Er macht geltend, dass die Beigeladene keine Interessenabwägung vorgenommen und der Beklagte dies nicht beanstandet habe. Der Beklagte sei jedoch im Rahmen seiner Aufgaben und Befugnisse dazu verpflichtet, Maßnahmen zur Durchsetzung einer Löschung zu ergreifen.

II.

1. Charta der Grundrechte der Europäischen Union (GrCh)

Artikel 7 GrCh

Achtung des Privat- und Familienlebens

Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.

Artikel 8 GrCh

Schutz personenbezogener Daten

(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

(2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.

(3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.

Artikel 47 GrCh

Recht auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht

Jede Person, deren durch das Recht der Union garantierte Rechte oder Freiheiten verletzt worden sind, hat das Recht, nach Maßgabe der in diesem Artikel vorgesehenen Bedingungen bei einem Gericht einen wirksamen Rechtsbehelf einzulegen. Jede Person hat ein Recht darauf, dass ihre Sache von einem unabhängigen, unparteiischen und zuvor durch Gesetz errichteten Gericht in einem fairen Verfahren, öffentlich und innerhalb angemessener Frist verhandelt wird. Jede Person kann sich beraten, verteidigen und vertreten lassen. Personen, die nicht über ausreichende Mittel verfügen, wird Prozesskostenhilfe bewilligt, soweit diese Hilfe erforderlich ist, um den Zugang zu den Gerichten wirksam zu gewährleisten.

2. VERORDNUNG (EU) 2015/848 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 20. Mai 2015 (ABl. EU vom 5.6.2015, L 141, S. 19) über Insolvenzverfahren

Artikel 78

Datenschutz

(1) Sofern keine Verarbeitungsvorgänge im Sinne des Artikels 3 Absatz 2 der Richtlinie 95/46/EG betroffen sind, finden die nationalen Vorschriften zur Umsetzung der Richtlinie 95/46/EG auf die nach Maßgabe dieser Verordnung in den Mitgliedstaaten durchgeführte Verarbeitung personenbezogener Daten Anwendung.

(2) Die Verordnung (EG) Nr. 45/2001 gilt für die Verarbeitung personenbezogener Daten, die von der Kommission nach Maßgabe der vorliegenden Verordnung durchgeführt wird.

Artikel 79

Aufgaben der Mitgliedstaaten hinsichtlich der Verarbeitung personenbezogener Daten in nationalen Insolvenzregistern

(1) Jeder Mitgliedstaat teilt der Kommission im Hinblick auf seine Bekanntmachung im Europäischen Justizportal den Namen der natürlichen oder juristischen Person, Behörde, Einrichtung oder jeder anderen Stelle mit, die nach den nationalen Rechtsvorschriften für die Ausübung der Aufgaben eines für die Verarbeitung Verantwortlichen gemäß Artikel 2 Buchstabe d der Richtlinie 95/46/EG benannt worden ist.

(2) Die Mitgliedstaaten stellen sicher, dass die technischen Maßnahmen zur Gewährleistung der Sicherheit der in ihren nationalen Insolvenzregistern nach Artikel 24 verarbeiteten personenbezogenen Daten durchgeführt werden.

(3) Es obliegt den Mitgliedstaaten, zu überprüfen, dass der gemäß Artikel 2 Buchstabe d der Richtlinie 95/46/EG benannte für die Verarbeitung Verantwortliche die Einhaltung der Grundsätze in Bezug auf die Qualität der Daten, insbesondere die Richtigkeit und die Aktualisierung der in nationalen Insolvenzregistern gespeicherten Daten sicherstellt.

(4) Es obliegt den Mitgliedstaaten gemäß der Richtlinie 95/46/EG, Daten zu erheben und in nationalen Datenbanken zu speichern und zu entscheiden, diese Daten im vernetzten Register, das über das Europäische Justizportal eingesehen werden kann, zugänglich zu machen.

(5) Als Teil der Information, die betroffene Personen erhalten, um ihre Rechte und insbesondere das Recht auf Löschung von Daten wahrnehmen zu können, teilen die Mitgliedstaaten betroffenen Personen mit, für welchen Zeitraum ihre in Insolvenzregistern gespeicherten personenbezogenen Daten zugänglich sind.

3. Verordnung (EU) 2016/679 des Europäische Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – DS-GVO; ABl. EU vom 4.5.2016, L 119, S. 1).

Artikel 6 DS-GVO

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

...

Artikel 17 DS-GVO

Recht auf Löschung ("Recht auf Vergessenwerden")

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

Artikel 77 DS-GVO

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

16 Artikel 78 DS-GVO

Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde

(1) Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.

(2) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn die nach den Artikeln 55 und 56 zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde in Kenntnis gesetzt hat.

(3) Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat.

4. Insolvenzordnung vom 5. Oktober 1994 (BGBl. I S. 2866), die zuletzt durch Artikel 5 des Gesetzes vom 16. Juli 2021 (BGBl. I S. 2947) geändert worden ist

§ 9 InsO - Öffentliche Bekanntmachung

(1) Die öffentliche Bekanntmachung erfolgt durch eine zentrale und länderübergreifende Veröffentlichung im Internet; diese kann auszugsweise geschehen. Dabei ist der Schuldner genau zu bezeichnen, insbesondere sind seine Anschrift und sein Geschäftszweig anzugeben. Die Bekanntmachung gilt als bewirkt, sobald nach dem Tag der Veröffentlichung zwei weitere Tage verstrichen sind.

(2) Das Insolvenzgericht kann weitere Veröffentlichungen veranlassen, soweit dies landesrechtlich bestimmt ist. Das Bundesministerium der Justiz und für Verbraucherschutz wird ermächtigt, durch Rechtsverordnung mit Zustimmung des Bundesrates die Einzelheiten der zentralen und länderübergreifenden Veröffentlichung im Internet zu regeln. Dabei sind insbesondere Löschungsfristen vorzusehen sowie Vorschriften, die sicherstellen, dass die Veröffentlichungen

1. unversehrt, vollständig und aktuell bleiben,

2. jederzeit ihrem Ursprung nach zugeordnet werden können.

(3) Die öffentliche Bekanntmachung genügt zum Nachweis der Zustellung an alle Beteiligten, auch wenn dieses Gesetz neben ihr eine besondere Zustellung vorschreibt.

§ 286 InsO - Grundsatz

Ist der Schuldner eine natürliche Person, so wird er nach Maßgabe der §§ 287 bis 303a von den im Insolvenzverfahren nicht erfüllten Verbindlichkeiten gegenüber den Insolvenzgläubigern befreit.

§ 287a InsO - Entscheidung des Insolvenzgerichts

(1) Ist der Antrag auf Restschuldbefreiung zulässig, so stellt das Insolvenzgericht durch Beschluss fest, dass der Schuldner Restschuldbefreiung erlangt, wenn er den Obliegenheiten nach den §§ 295 und 295a nachkommt und die Voraussetzungen für eine Versagung nach den §§ 290, 297 bis 298 nicht vorliegen. 2Der Beschluss ist öffentlich bekannt zu machen. 3Gegen den Beschluss steht dem Schuldner die sofortige Beschwerde zu.

5. Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet vom 12. Februar 2002 (BGBl. I 2002 S. 677)

§ 1

Öffentliche Bekanntmachungen in Insolvenzverfahren im Internet haben den Anforderungen dieser Verordnung zu entsprechen. Die Veröffentlichung darf nur die Daten enthalten, die nach der Insolvenzordnung oder nach anderen Vorschriften, die eine öffentliche Bekanntmachung in Insolvenzverfahren vorsehen, bekannt zu machen sind.

§ 3 Löschungsfristen

(1) Die in einem elektronischen Informations- und Kommunikationssystem erfolgte Veröffentlichung von Daten aus einem Insolvenzverfahren einschließlich des Eröffnungsverfahrens wird spätestens sechs Monate nach der Aufhebung oder der Rechtskraft der Einstellung des Insolvenzverfahrens gelöscht. Wird das Verfahren nicht eröffnet, beginnt die Frist mit der Aufhebung der veröffentlichten Sicherungsmaßnahmen.

(2) Für die Veröffentlichungen im Restschuldbefreiungsverfahren einschließlich des Beschlusses nach § 289 der Insolvenzordnung gilt Absatz 1 Satz 1 mit der Maßgabe, dass die Frist mit Rechtskraft der Entscheidung über die Restschuldbefreiung zu laufen beginnt.

(3) Sonstige Veröffentlichungen nach der Insolvenzordnung werden einen Monat nach dem ersten Tag der Veröffentlichung gelöscht.

6. Bundesdatenschutzgesetz (BDSG) vom 30.6.2017 (BGBl. I S. 2097, zuletzt geändert durch Gesetz vom 23.6.2021, BGBl. I S. 1858)

§ 31 BDSG

Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften

(1) Die Verwendung eines Wahrscheinlichkeitswerts über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) ist nur zulässig, wenn

1. die Vorschriften des Datenschutzrechts eingehalten wurden,

2. die zur Berechnung des Wahrscheinlichkeitswerts genutzten Daten unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sind,

3. für die Berechnung des Wahrscheinlichkeitswerts nicht ausschließlich Anschriftendaten genutzt wurden und

4. im Fall der Nutzung von Anschriftendaten die betroffene Person vor Berechnung des Wahrscheinlichkeitswerts über die vorgesehene Nutzung dieser Daten unterrichtet worden ist; die Unterrichtung ist zu dokumentieren.

...

III.

1. Zur 1. Vorlagefrage

Die beklagte Aufsichtsbehörde hat im Rahmen eines Antrages auf Zulassung einer Berufung in einem Verfahren, welches auch eine Restschuldenbefreiung und die A. betrifft (VG Wiesbaden, Urteil vom 07.06.2021, Az. 6 K 307/20.WI) die Meinung vertreten, dass Art. 77 Abs. 1 DS-GVO nicht vorsehe, dass gerichtlich zu überprüfen ist, ob die Beschwerdeentscheidung inhaltlich zutreffend ist. Es handle sich vielmehr um ein als Petitionsrecht ausgestaltetes Beschwerderecht, welches nur eingeschränkt einer rechtlichen Kontrolle unterliege. Im Rahmen der gerichtlichen Überprüfung beschränke sich der "wirksame" Rechtsschutz darauf, dass sich die Behörde mit der Beschwerde der betroffenen Person überhaupt befasse und ihn innerhalb der genannten Zeiträume über den Stand und das Ergebnis der Beschwerde unterrichte. Eine weitergehende gerichtliche Prüfung sehe Art. 78 Abs. 1 DS-GVO nicht vor.

Hinsichtlich der Rechtsnatur der Entscheidung der nationalen Aufsichtsbehörde nach Art. 77 DS-GVO bestehen unterschiedliche Rechtsauffassungen. In der Rechtsprechung wird zum einen die Meinung vertreten, dass eine Bearbeitung der Beschwerde am Prüfungsmaßstab für Petitionen zu messen sei, also die Bearbeitung der Beschwerde als angemessen anzusehen sei, wenn der Beklagte den Sachverhalt ermittelt und seine rechtliche Bewertung bezogen auf das dem Beschwerdevorbringen, wie auch auf dem Beschwerdegegenstand, nicht lediglich floskelhaft begründet und dieses Ergebnis dem Beschwerdeführer mitteilt (in diesem Sinne OVG Koblenz, Urteil vom 26.10.2020, Az. 10 A10613/20). Die Rechtsprechung, die von einem petitionsähnlichen Recht ausgeht, argumentiert, dass sich durch Art. 77 Abs. 1 DS-GVO gegenüber dem alten Recht (Art. 28 Abs. 4 Richtlinie 95/46/EG) nichts geändert habe.

Das vorlegende Gericht hat Zweifel, ob diese Auffassung mit Art. 77 Abs. 1 DS-GVO vereinbar ist. Es reicht nach Art. 77 Abs. 1 DS-GVO gerade nicht, dass sich die Behörde nur mit der Beschwerde befasst, den Beschwerdegegenstand angemessen untersucht und über das Ergebnis der Prüfung unterrichtet. Denn die hier durch die Rechtsprechung aufgestellten Grundsätze entsprechen denen einer Petition und schränken damit das Recht auf wirksamen gerichtlichen Rechtsbehelf gegen die Aufsichtsbehörde gemäß Art. 78 Abs. 1 DS-GVO ein.

Zwar war der ursprüngliche Art. 28 Abs. 4 Richtlinie 95/46/EG ähnlich wie der heute geltende Art. 77 Abs. 1 DS-GVO formuliert und es war zu dem alten Recht ein petitionsähnliches Verfahren in Deutschland angenommen worden. Die Richtlinie 95/46/EG enthielt aber keine Forderung nach einem wirksamen Rechtsbehelf, wie dies nun der Fall ist (Art. 78 DS-GVO; vgl. auch Art. 53 Richtlinie (EU) 2016/680). Denn nun wird europarechtlich an den wirksamen Rechtsbehelf nach Art. 47 GrCh angeknüpft (vgl. Art. 1 Abs. 2 DS-GVO und Art. 1 Abs. 2 Richtlinie (EU) 2016/680). Mithin hat der europäische Gesetzgeber zwischen einem wirksamen Rechtsbehelf und einer Petition (Art. 44 GrCh) deutlich unterschieden. Eine petitionsähnliche Behandlung würde vorliegend jedenfalls nicht zu einem wirksamen Rechtsbehelf, sondern nur zu einem "irgendwie" gearteten Rechtsbehelf führen.

Die Durchsetzung der DS-GVO wäre dann ganz wesentlich auf die Geltendmachung privater Rechtsbehelfe im Sinne des Art. 79 DS-GVO angewiesen und damit in erster Linie eine private Aufgabe. Dass dies nicht im Sinne der DS-GVO sein kann, ergibt sich daraus, dass die Umsetzung der Vorgaben der DS-GVO Aufgabe der Mitgliedstaaten und deren nationaler Verwaltungen ist (Art. 57 Abs. 1 lit. a) DSGVO). Insbesondere der ausdrücklich in Art. 51 Abs. 1 DS-GVO aufgenommene Auftrag der nationalen Aufsichtsbehörden, die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung zu schützen, liefe leer, wenn die Aufsichtsbehörden nicht durch wirksame Rechtsbehelfe zur Wahrnehmung ihrer Aufgaben angehalten werden könnten. Auch aus Erwägungsgrund 141 lässt sich ein solcher Schluss ziehen: Danach steht natürlichen Personen ein wirksamer Rechtsbehelf zu, wenn "die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird […] obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist".

Im Hinblick auf das Ziel der DS-GVO, aber auch der VO (EU) 2016/680, in Umsetzung von Art. 7 und 8 GrCh einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen zu gewährleisten, insbesondere des Rechts auf Achtung des Privatlebens und des Rechts auf Schutz der personenbezogenen Daten, kann der Umgang mit dem Beschwerderecht nicht so eng ausgelegt werden, dass die Aufsichtsbehörde nur "irgendwie" tätig werden muss (i.d.S. auch EuGH, Urteil vom 15. Juni 2021, Az. C 645/19, ECLI:EU:C:2021:483, Rn. 91). Auch im Hinblick darauf, dass bei grenzüberschreitenden Verarbeitungen auch die Aufsichtsbehörde eines anderen Mitgliedsstaates feststellen könnte, dass die betreffende Datenverarbeitung gegen die in der DS-GVO enthaltenen Vorschriften verstößt (vgl. EuGH, Urteil vom 15. Juni 2021, Az. C-645/19), bedarf es erst recht einer gerichtlichen Kontrollbefugnis bezüglich der entsprechenden Entscheidung der nationalen Aufsichtsbehörde im Beschwerdeverfahren nach Art. 77 f. DS-GVO.

Das OVG Koblenz, welches mit Urteil vom 26.10.2020 (Az. 10 A 10613/20.OVG) in dem dort anhängigen Fall entschieden hat, dass ein Beschwerdeführer weder Recht auf einen Bescheid bestimmten Inhalts, noch auf eine bestimmte Entscheidung in der Sache hat, hat die Frage bezogen auf die VO (EU) 2016/679, hier Art. 78 Abs. 1 DS-GVO, in dem dort vorliegenden Fall dem Europäischen Gerichtshof zur endgültigen Klärung nicht vorgelegt.

Allerdings steht der Aufsichtsbehörde zur Überzeugung des Gerichtes ein Beurteilungs- und ein Ermessensspielraum zu. Nach Art. 57 Abs. 1 lit a) DS-GVO muss jede Aufsichtsbehörde die Anwendung der DS-GVO überwachen und durchsetzen. Art. 58 DS-GVO regelt die Befugnisse der Aufsichtsbehörde (in diesem Sinne auch EuGH, Urteil vom 14.06.2021, Az. C-645/19). Insoweit unterscheidet sich das Verfahren in keinster Weise von Dreieckskonstellationen im nationalen Recht, in denen der Rechtsschutzsuchende ein behördliches Tätigwerden zulasten eines privaten Dritten zur Durchsetzung eines subjektiv-öffentlichen Rechts zu erreichen versucht. Auch hier hat die Behörde den Sachverhalt vollständig nach dem Vortrag des Beschwerdeführers zu ermitteln und im Rahmen des ihr obliegenden Einschreitermessens tätig zu werden. Dabei ist jedoch das Ermessen dann auf null reduziert, wenn subjektiv-öffentliche Rechte verletzt worden sind. Insoweit spricht vorliegend nicht das Geringste dagegen, die Beschwerdeverfahren gegen die Aufsichtsbehörde nach der DS-GVO durch einen Drittbetroffenen – den Beschwerdeführer - genauso zu behandeln, wie dies jahrzehntelange Praxis der deutschen Verwaltungsgerichte im nationalen Recht ist.

Um eine einheitliche Auslegung zu erreichen, ist die Beantwortung zu Frage 1) erforderlich. Das vorlegende Gericht tendiert dabei nach dem zuvor Ausgeführten zu einer Auslegung dahingehend, dass die Sachenscheidung der Aufsichtsbehörde voll inhaltlich von dem Gericht zu überprüfen ist, wobei allerdings die Aufsichtsbehörde nur dann zu einer Handlung verpflichtet werden kann, wenn rechtmäßige Alternativen nicht erkennbar sind (wie bei der genannten Ermessensreduzierung auf Null). Nur auf diese Weise kann ein wirksamer Rechtsschutz gewährt werden. Auch wenn die Aufsichtsbehörde vollständig unabhängig ist (siehe EuGH, Urteil vom 9. März 2010, Az. C-518/07, ECLI:EU:C:2010:125), so kann diese Unabhängigkeit nicht zu einem willkürlichen sanktionslosen Handeln führen, was aber bei einem petitionsähnlichen Charakter der Fall wäre.

2. Zu den Vorlagefragen 2 bis 5

Die privaten Wirtschaftsauskunfteien erhalten vom Staat, vorliegend bei der beigeladenen Schufa Holding AG von der Justizverwaltung Rheinland-Pfalz, sämtliche Eintragungen aus den öffentlichen Registern, hier dem Schuldnerverzeichnis und dem Insolvenzverzeichnis. Im vorliegenden Fall geht es konkret um die Eintragung und öffentliche Bekanntmachung der Restschuldbefreiung auf der im Auftrag der deutschen Bundesländer von Nordrhein-Westfalen betriebenen Website "insolvenzbekanntmachungen. de". Wobei unklar ist, ob eine Regelung zu einem gemeinsamen Verfahren nach Art. 26 DS-GVO besteht.

Dabei stellt sich im Lichte von Art. 6 und 7 GrCh die Frage, ob die Eintragungen aus den öffentlichen Verzeichnissen eins zu eins in privat geführte Verzeichnisse übertragen werden können, ohne dass ein konkreter Anlass zur Datenspeicherung bei der privaten Wirtschaftsauskunftei vorliegt. Zweck der Speicherung ist vielmehr, die Daten im Fall einer eventuellen Auskunftsanfrage durch ein Wirtschaftsunternehmen, z.B. eine Bank, verwenden zu können. Ob eine solche Auskunft jemals nachgefragt wird, ist dabei vollkommen offen. Dies führt letztendlich zu einer Vorratsdatenhaltung, vor allem, wenn in dem nationalen Register die Daten schon wegen Ablaufs der Speicherfrist gelöscht worden sind.

Das nationale Recht (§ 31 BDSG) enthält Regelungen für das sog. Scoring durch Auskunfteien, stellt diese aber ihrerseits unter den Vorbehalt der Vereinbarkeit mit dem (europäischen) Datenschutzrecht, § 31 Abs. 1 Nr. 1 BDSG. Eine Löschfrist für die Datenbanken von Wirtschaftsauskunfteien enthält das nationale Recht nicht.

Hier geht der Beklagte davon aus, dass diese personenbezogenen Daten der Beurteilung der Bonität dienen und so lange gespeichert werden dürfen, wie dies für die Zwecke, für die sie gespeichert worden sind, erforderlich sei. Mangels einer Regelung durch den nationalen Gesetzgeber sind von den Aufsichtsbehörden mit dem Verband der Wirtschaftsauskunfteien sog. "Codes of Conduct" geschlossen worden, welche eine Löschung taggenau 3 Jahre nach der Eintragung in der Datei der jeweiligen Wirtschaftsauskunftei vorsehen (siehe "Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien vom 25.05.2018 des Verbandes "Die Wirtschaftsauskunfteien e.V.", welche von den Aufsichtsbehörden nach Art. 40 DS-GVO genehmigt worden sind).

Dies führt dazu, dass die streitgegenständliche Restschuldenbefreiung in dem öffentlichen Register der Insolvenzbekanntmachungen nach 6 Monaten zu löschen sind, bei den privaten Wirtschaftsauskunfteien (allein sieben große Unternehmen) jedoch viel länger, ggf. noch weitere drei Jahre gespeichert und bei Auskünften verarbeitet werden können.

Zur Überzeugung des vorlegenden Gerichts bestehen schon Zweifel, ob eine "Parallelhaltung" dieser Daten neben den staatlichen Registern bei einer Vielzahl privater Firmen überhaupt zulässig ist. Dabei ist zu beachten, dass die beigeladene A. nur eine von mehreren Auskunfteien ist und damit die Daten vielfach in Deutschland auf diesem Wege vorgehalten werden, was einen massiven Eingriff in das Grundrecht aus Art. 7 GrCh bedeutet. Dies vor allem, da eine solche "Datenhaltung" gesetzlich nicht geregelt ist und berechtigt, aber auch unberechtigt, massiv in die wirtschaftliche Betätigung eines Betroffenen eingreifen kann (siehe nur: Kein Kita-Essen ohne Schufa-Auskunft?, Ziffer 8.6.1 16. Tätigkeitsbericht zum Datenschutz des LFDI Mecklenburg-Vorpommern).

Hinzu kommt, dass nach der DS-GVO eine Verarbeitung und damit Speicherung der Daten nur zulässig ist, wenn eine der Voraussetzungen des Art. 6 Abs. 1 DS-GVO vorliegt. Vorliegend kommt nur Art. 6 Abs. 1 UA 1 lit. f) DS-GVO in Betracht. Denn eine Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt (Art. 6 Abs. 1 UA 1 lit. e) DS-GVO) übt die Beigeladene als wirtschaftlich tätiges Unternehmen nicht aus (dazu OLG Schleswig-Holstein, Urteil vom 4.6.2021, Az. 17 U 15/21, II. 1. b), S. 8).

Ein berechtigtes allgemeines Interesse des Verantwortlichen (hier der Schufa Holding AG) oder eines Dritten (z.B. einer kreditgebenden Bank) nach Art. 6 Abs. 1 UA 1 lit. f) DS-GVO ist auch mehr als zweifelhaft. Es besteht allenfalls ein grundsätzliches Interesse der Wirtschaftsauskunftei an der Speicherung der Restschuldbefreiung, da es sich um ein wirtschaftlich relevantes Datum handelt und die Beigeladene damit ihr Geld verdient, wenn sie dies bei einer Bonitätsprüfung auch noch bewertet.

Dies steht aber der gesetzgeberischen Wertung des § 3 der Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (InsBekV) entgegen, welche von einer Speicherdauer (nur) im Insolvenzregister von sechs Monaten ausgeht (in diesem Sinne auch OLG Schleswig-Holstein, Urteil vom 4.6.2021, Az. 17 U 15/21, II. 1. c) aa), S.11 f.). Die notwendige Abwägung dürfte nur dann zu einer Berechtigung der Datenverarbeitung führen, wenn die Daten aus dem Insolvenzregister tatsächlich zu einer Beauskunftung einer wirtschaftlichen Situation akut benötigt werden.

Hinzu kommt, dass der deutsche Gesetzgeber in § 3 InsBekV nur eine relativ kurze Speicherung von sechs Monaten der Restschuldbefreiung im Insolvenzregister vorsieht. Die Regelung von § 3 InsBekV hat wiederum ihre Grundlage in Art. 79 Abs. 5 Verordnung (EU) 2015/848 des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren vom 20.05.2015 (ABl. EU L 141 S.19), wonach die Mitgliedstaaten betroffenen Personen mitteilen, für welchen Zeitraum ihre in Insolvenzregistern gespeicherten personenbezogenen Daten zugänglich sind, damit sie ihre Rechte und insbesondere das Recht auf Löschung von Daten wahrnehmen können. Dieses Recht entfällt bei einer Speicherung in einer Vielzahl "privater" Register, bei denen die Daten dann länger gespeichert werden.

Dies führt zu der Grundsatzfrage, ob Daten aus dem Insolvenzregister überhaupt in eine "private" Datenbank vollständig übernommen werden dürfen, da eine Abfrage aus dem Insolvenzregister bei berechtigtem Interesse auf jeden Fall solange für eine Wirtschaftsauskunftei möglich ist, wie die Daten dort gespeichert werden. Sollte man eine zulässige Speicherung bei einer Wirtschaftsauskunftei zulassen, so würde dies zu einer parallelen Datenhaltung führen und der betroffenen Person die Möglichkeit genommen, bei dem Insolvenzgericht das Recht auf Löschung von Daten wahrnehmen zu können. Mithin läge eine Art Vorratsdatenspeicherung bei den speichernden Wirtschaftsauskunfteien vor. Dass eine solche im Kontext mit Art. 8 GrCh und Art. 6 Abs. 1 UA 1 lit. f) DS-GVO zulässig sein sollte, verneint das vorlegende Gericht. Auch müsste die betroffene Person vielfach bei allen Wirtschaftsauskunfteien ihre Rechte geltend machen, was letztendlich dazu führt, dass vielfache Löschungsanträge zu stellen sind, und den wirksamen Rechtsschutz erschwert.

Soweit eine Zulässigkeit der Speicherung der Daten aus öffentlichen Registern bei privaten Firmen (Wirtschaftsauskunfteien) bejaht wird, wie dies aktuell durch die Aufsichtsbehörde geschieht, stellt sich dann die Frage, ob die genehmigten privaten Verhaltensregeln nach Art. 40 DS-GVO, welche Standardlöschfristen vorsehen, in die Abwägung des Art. 6 Abs. 1 UA 1 lit. f) DS-GVO einzubeziehen sind. So gehen die Beigeladene wie auch die beklagte Aufsichtsbehörde davon aus, dass eine "Speicherberechtigung" der Restschuldenbefreiung nach den "Codes of Conduct" von drei Jahren besteht.

Insoweit folgt die Kammer dem OLG Schleswig-Holstein, welches die Auffassung vertritt, dass die Prüf- und Löschfristen unter Ziffer II.2.b) der Verhaltensregeln bezüglich der Restschuldbefreiung im Widerspruch zu den Regelungen in § 9 InsO, § 3 InsoBekVO stehen (OLG Schleswig-Holstein, Urteil vom 4.6.2021, Az. 17 U 15/21, II. 1. c) cc). Damit führen die Verhaltensregeln nicht zu einer Rechtmäßigkeit der Datenverarbeitung (-speicherung). Mithin dürfen diese Regelungen – auch wenn von den Aufsichtsbehörden genehmigt – nicht bei der notwendigen Abwägung nach Art. 6 Abs. 1 UA 1 lit. f) DS-GVO einbezogen werden; dies weder beim berechtigten Interesse einer Wirtschaftsauskunftei, noch bei der Speicherdauer und damit den Löschfristen.

Vielmehr müssten im Falle einer zulässigen Speicherung der Daten aus öffentlichen Registern bei Wirtschaftsauskunfteien, bei diesen "Privaten" höchstens dieselben Speicher- und Löschfristen gelten, wie in den öffentlichen Registern. Dies mit der Folge, dass Daten, die im öffentlichen Register zu löschen sind, auch bei allen privaten Wirtschaftsauskunfteien, die diese Daten zusätzlich gespeichert haben, zeitgleich gelöscht werden müssten.

Da es vorliegend um die grundsätzliche Frage der Datenspeicherung aus öffentlichen Registern bei privaten Unternehmen geht und im Bejahensfall um die Frage, wann diese Daten bei diesen zu löschen sind, wird das vorliegende Verfahren ausgesetzt und dem EuGH vorgelegt. Je nach der Beantwortung dieser hochstreitigen Fragen zu Art. 7 und 8 GrCh und Art. 6 Abs. 1 UA 1 lit. f) DS-GVO durch den EuGH wird das Verfahren dann letztendlich zu entscheiden sein.

IV.

Der Beschluss ist unanfechtbar.