Bonitätsbewerter Crif bekämpft Verbot durch österreichische Datenschutzbehörde
Crif (Deltavista) hat rechtswidrig Daten für Bonitäts-Scoring verarbeitet, sagt die Datenschutzbehörde. Das Unternehmen nimmt das nicht hin.
Symbolbild
(Bild: sasirin pamai/Shutterstock.com)
Die Auskunftei Crif (ehemals Deltavista) kauft seit Jahren Daten über alle Österreicher und verarbeitet sie für die Berechnung sogenannter Score-Werte der Bonität. Dieses Scoring der Auskunftei Crif in Österreich ist weitgehend rechtswidrig, hat die dortige Datenschutzbehörde (DSB) am 24. März entschieden (Az. D124.3816 2023-0.193.268). "Crif wird gegen den aktuellen Bescheid ein Rechtsmittel einlegen", teilt das Unternehmen heise online mit.
Eine entscheidende juristische Frage dabei ist die Quelle der verarbeiteten Daten. Crif kauft Informationen wie Namen, Anschriften und Geburtsdaten vom Adressverlag AZ Direct Österreich, der zu Bertelsmann gehört. AZ hat die Daten allerdings für Direktmarketing erhoben, nicht für andere Zwecke. Laut Datenschutzbehörde greift hier das Zweckbindungsgebot der DSGVO (Datenschutzgrundverordnung). AZ sei daher nicht befugt, diese Daten für Zwecke der Bonitätsbeurteilung offenzulegen beziehungsweise zu verkaufen.
Crif gibt an, vom österreichischen Wirtschaftsministerium eine Rechtsauskunft erhalten zu haben, wonach Adressverlage Adressdaten an Kreditauskunfteien zu Zwecken der Bonitätsbewertung übermitteln dürfen. Im Verfahren vor der DSB hat Crif argumentiert, dass die Beurteilung der Bonität nach Ansicht des Ministeriums unter den Tätigkeitsbereich eines Adressverlages falle. Daher liege gar keine Änderung des Zwecks der Datenverarbeitung vor.
Datenschutzbehörde verweist auf DSGVO und Judikatur
Dieses Argument hat die DSB nicht überzeugt. Vereinfacht gesagt ist etwas, das gewerberechtlich nicht verboten ist, nicht automatisch datenschutzrechtlich zulässig. Die Behörde verweist in ihrem Bescheid gegen Crif konkret auf eine Entscheidung des österreichischen Bundesverwaltungsgerichts, wonach die einschlägige Bestimmung der Gewerbeordnung nicht als Erlaubnistatbestand für Verarbeitung personenbezogener Daten zu Marketingzwecken in Betracht kommt (BVwG, 26. November 2020, W258 2217446-1).
Crif beschreibt sich als "Brückenbauer im Distanzhandel zwischen Onlinehändlern und Konsumenten", der E-Commerce-Unternehmen dabei hilft, das "extrem hohe wirtschaftliche Risiko" zu reduzieren. "Darüber hinaus schützt die Verifizierung einer Auskunftei wie Crif Konsumenten zuverlässig davor, dass ihre Identität im Onlinehandel missbräuchlich verwendet wird", sagt die Wiener Firma, und fügt hinzu: "Darüber, wie Crif Daten verarbeitet, klärt Crif jederzeit und transparent in ihrer Datenschutzerklärung auf."
Das gegenständliche Verfahren wurde von einem Betroffenen der Datenverarbeitung angestrengt. Er wird von der Bürgerrechtsorganisation Noyb vertreten, die den DSB-Bescheid als wichtigen Erfolg feiert.
(ds)