FAQ zum Datenschutz bei Inkassounternehmen

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat einen umfassenden FAQ-Beitrag zum Datenschutz bei der Forderungseinziehung durch Inkassounternehmen veröffentlicht. Der Beitrag bündelt die wesentlichen Rechtsgrundlagen und Aufsichtspraxis für die Datenweitergabe zwischen Gläubiger:innen, Inkassounternehmen und Auskunfteien und kann auch in der Beratungspraxis von Datenschutzbeauftragten in Unternehmen mit Forderungsmanagement relevant werden.

Rechtsgrundlagen der Datenverarbeitung

Die Übermittlung von Schuldnerdaten an Inkassounternehmen bedarf keiner Einwilligung, sondern stützt sich je nach vertraglicher Konstellation auf Art. 6 Abs. 1 lit. b oder lit. f DS-GVO. Verarbeitet werden dürfen dabei nur die zur Forderungsdurchsetzung erforderlichen Daten – regelmäßig Name, Anschrift, weitere Kontaktdaten sowie Grund, Höhe und Fälligkeit der Forderung. Auch beim Bestreiten einer Forderung besteht in der Regel weiterhin ein berechtigtes Interesse an der Datenverarbeitung, solange nicht von vornherein erkennbar keine Forderung bestand, etwa bei sogenannten Abo-Fallen.

Löschung, Aufbewahrung und Auskunfteien

Ein Löschanspruch nach Art. 17 Abs. 1 lit. a DS-GVO scheitert regelmäßig, solange der Inkassovorgang läuft oder die Daten zur Rechtsverteidigung erforderlich sind (Art. 17 Abs. 3 lit. e DS-GVO). Auch nach Abschluss greifen häufig handels- und steuerrechtliche Aufbewahrungspflichten nach § 257 HGB und § 147 AO, sodass lediglich eine Verarbeitungseinschränkung nach Art. 18 DSGVO erfolgt. Für die Übermittlung an Wirtschaftsauskunfteien wie die Schufa verweist die BlnBDI auf den DSK-Beschluss vom 23. März 2018, der fünf Fallgruppen mit Indizwirkung für eine zulässige Einmeldung definiert, wie etwa rechtskräftige Titel, unbestrittene Forderungen nach zweifacher Mahnung oder ausdrückliche Anerkenntnisse. Betroffene müssen vorab über die mögliche Einmeldung informiert worden sein.

Sonderfälle: Identitätsbetrug und E-Mail-Kommunikation

Bei glaubhaft vorgetragener Identitätsverwechslung muss das Inkassounternehmen die Forderungseinziehung aussetzen und darf keine weiteren Mahnungen oder Auskunfteimeldungen vornehmen, bis der Sachverhalt geklärt ist. Für die Kommunikation per E-Mail verweist die BlnBDI auf die Anforderungen der BSI-Richtlinie TR 03108-1 und die DSK-Orientierungshilfe zur E-Mail-Verschlüsselung: Bei besonderen Datenkategorien nach Art. 9 DS-GVO ist eine Ende-zu-Ende-Verschlüsselung erforderlich; Betroffene können der E-Mail-Kommunikation zudem widersprechen.

(Foto: CrazyCloud – stock.adobe.com)