Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) Prof. Dr. Alexander Roßnagel hat am 24. Mai 2024 neue Verhaltensregeln des Verbands „Die Wirtschaftsauskunfteien“ genehmigt.
Der Verband musste die bisherigen Verhaltensregeln nach sechs Jahren überarbeiten, weil der HBDI sie am 23. Oktober 2023 beanstandet hatte. Sie widersprachen mehreren zwischenzeitlich gefassten Beschlüssen der Konferenz der Datenschutzbeauftragten (DSK) und des Europäischen Datenschutzausschusses und mussten vor allem an das Urteil des Europäischen Gerichtshofs (EuGH) vom 7. Dezember 2023 angepasst werden. Der EuGH hatte einzelne Regelungen als unionsrechtswidrig eingestuft, zugleich aber das grundsätzliche Geschäftsmodell der Auskunfteien nicht beanstandet.
Die neuen Verhaltensregeln betreffen nur die Prüf- und Speicherfristen von rechtmäßig gespeicherten personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien. Sie ersetzen nicht die Regelungen der Datenschutzgrundverordnung (DS-GVO), sondern konkretisieren die aus ihnen abzuleitenden speziellen Anforderungen an die Auskunfteien für den Teilbereich der Prüf- und Speicherfristen von personenbezogenen Daten. Daher enthalten die Verhaltensregeln keine Regelungen zu der Frage, ob die Speicherung bestimmter Daten berechtigt ist. Auch lassen sie sowohl die Rechte betroffener Personen als auch die Befugnisse der Aufsichtsbehörden unberührt.
Zu den neuen Verhaltensregeln merkt Prof. Roßnagel an: „In den Verhandlungen mit dem Verband über die neuen Verhaltensregeln konnten wir viele Verbesserungen für den Datenschutz erreichen.“ Die Verhaltensregeln enthalten keine Speicherregelungen mehr zu den von der DSK kritisierten Positivdaten und zu Kontomissbrauchsdaten. Sie schränken die Speicherung von Vertragsdaten auf Vertragsverhältnisse nach dem Kreditwesengesetz ein – z.B. auf Informationen über störungsfreie Verträge zu Girokonten und Kreditkarten). Die Verhaltensregeln präzisieren die geregelten Speicherungen durch Definitionen in einem Glossar und durch die Bezugnahme auf Rechtsvorschriften. Dadurch konkretisieren sie die Zweckbestimmung und Zweckbindung der Speicherungen. So werden z.B. Anschriftendaten und Geldwäschedaten nicht für das Kreditscoring gespeichert. Sie präzisieren die Speicherfristen hinsichtlich Beginn und Ende und legen für Anschriftendaten ein Fristenende fest. Schließlich verkürzen sie die Fristen für nachträglich beglichene Forderungen, für alle Insolvenzdaten sowie für Daten über die Restschuldbefreiung und über die ihr zugrundeliegenden Forderungen.
Im Rahmen einer Verbändeanhörung nahmen fünf Verbände, die Bereiche der Kreditwirtschaft und Verbraucher vertreten, kontrovers zum Entwurf der Verhaltensregeln Stellung. An den Verhandlungen mit dem Verband „Die Wirtschaftsauskunfteien“ nahmen neben dem HBDI die Aufsichtsbehörden aus Baden-Württemberg, Bayern und Nordrhein-Westfalen teil. Vor seiner Genehmigung informierte der HBDI auch die DSK. Deren Mitglieder, die den nichtöffentlichen Bereich beaufsichtigen, stimmten am 14. Mai 2024 der Absicht des HBDI, die Verhaltensregeln zu genehmigen, einstimmig zu.
Zwei Verpflichtungen der Verhaltensregeln gelten erst ab dem 1. Oktober 2024 und eine Verpflichtung ab dem 1. Januar 2025. Diese drei neuen Verpflichtungen schränken die Speicher- und Prüffristen, die Zwecke der Datenspeicherung sowie ihren Anwendungs- oder Gegenstandsbereich ein. Um sie umzusetzen, müssen die Auskunfteien umfangreiche technisch-organisatorische Anpassungen vornehmen, die entsprechende Zeit in Anspruch nehmen. Um für diesen Zeitraum eine Rechtsunsicherheit zu vermeiden, gelten die einschlägigen Regelungen der bisherigen Verhaltensregeln bis zum jeweiligen Geltungsbeginn der neuen Regelungen fort.