Inkasso und Datenschutz

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) einen praxisorientierten Katalog zu datenschutzrechtlichen Fragen im Inkassowesen veröffentlicht. Das Dokument richtet sich primär an betroffene Personen, enthält aber auch für Datenschutzbeauftragte bei Unternehmen mit Inkasso-Bezug relevante Klarstellungen.

Datenweitergabe: keine Einwilligung erforderlich

Inkassodienstleister erhalten Schuldnerdaten – insbesondere Name, Anschrift, Kontaktdaten sowie Forderungsdetails – vom ursprünglichen Gläubiger. Hierfür bedarf es keiner gesonderten Einwilligung der betroffenen Person. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b) bzw. lit. f) DS-GVO (Vertragserfüllung bzw. berechtigtes Interesse). Daneben dürfen Inkassounternehmen Daten aus öffentlich zugänglichen Quellen, von Adressdienstleistern sowie Wirtschaftsauskunfteien erheben.

Adressermittlung, Bonitätsabfrage und Schufa-Meldung

Bei nicht zustellbarer Post dürfen Inkassodienstleister spezialisierte Adressdienstleister einschalten; Rechtsgrundlage ist wiederum Art. 6 Abs. 1 lit. f) DS-GVO. Der HmbBfDI erhebt gegen diese Praxis keine überwiegenden datenschutzrechtlichen Einwände, da sie im Vergleich zur Melderegisterabfrage oft kostengünstiger und aktueller ist. Bonitätsauskünfte bei der SCHUFA sind zulässig, wenn ein berechtigtes wirtschaftliches Interesse besteht – etwa zur Einschätzung von Erfolgsaussichten vor Einleitung gerichtlicher Maßnahmen. Eine Meldung offener Forderungen an Wirtschaftsauskunfteien ist unter den Voraussetzungen des § 31 Abs. 2 BDSG erlaubt, u. a. nach mindestens zwei Mahnungen, Ablauf von vier Wochen seit der ersten Mahnung und vorherigem Hinweis auf die mögliche Meldung.

E-Mail-Kommunikation: Transportverschlüsselung genügt

Für den E-Mail-Versand von Inkassodaten orientiert sich der HmbBfDI an der BSI TR-03108 sowie der DSK-Orientierungshilfe vom 16. Juni 2021. Da es sich bei Inkassodaten um finanzbezogene, nicht jedoch um besonders sensible Daten im Sinne von Art. 9 DS-GVO handelt, genügt im Regelfall eine qualifizierte Transportverschlüsselung. Eine generelle Ende-zu-Ende-Verschlüsselung ist nicht erforderlich.

Löschbegehren und Aufbewahrungsfristen

Löschanträge nach Art. 17 DS-GVO können von Inkassounternehmen rechtmäßig abgelehnt werden, solange ein Vorgang noch in Bearbeitung ist oder die Daten zur Geltendmachung von Rechtsansprüchen erforderlich sind (Art. 17 Abs. 3 lit. e) DS-GVO). Nach Abschluss des Vorgangs greifen handels- und steuerrechtliche Aufbewahrungspflichten: bis zu acht Jahre nach § 257 HGB bzw. § 147 AO, bei Rechtsanwaltskanzleien bis zu sechs Jahre nach § 50 BRAO. Die weitere Speicherung gilt nach Art. 17 Abs. 3 lit. b) DS-GVO auch für Personen, die zu Unrecht – etwa aufgrund einer Personenverwechslung – in Anspruch genommen wurden. In diesen Fällen erfolgt eine Einschränkung der Verarbeitung nach Art. 18 DS-GVO mit strikter Zugangsbeschränkung; es handelt sich nicht um einen in Schuldnerdateien einsehbaren Eintrag.

Praxishinweis für Datenschutzbeauftragte

Der Katalog bietet eine kompakte Grundlage für die Überprüfung interner Prozesse – insbesondere in Unternehmen, die selbst Forderungen an Inkassodienstleister übergeben oder als Auftraggeber von Adressermittlungen auftreten. Zu beachten: Bei Beschwerden gegen fehlerhafte Adresszuordnungen ist die Aufsichtsbehörde am Sitz des jeweiligen Adressdienstleisters zuständig.

(Folto: studio v-zwoelf – stock.adobe.com)