VG Wiesbaden, Beschluss vom 31.01.2022, Az. 6 K 2249/18.WI

Die Klägerin begehrt letztendlich die Löschung ihrer bei der beigeladenen [X.] AG, einer privaten Wirtschaftsauskunftei, gespeicherten personenbezogenen Daten.

Bereits mit Vorlagebeschluss vom 01.10.2021 (6 K 788/20.WI, [X.]/21) legte das [X.] dem [X.] die Fragen vor, ob das Scoring dem Anwendungsbereich des Art. 22 Abs. 1 DS-GVO unterfällt und falls nicht, ob die DS-GVO der Regelung des § 31 [X.] entgegenstehe.

Der vorliegende Vorlagebeschluss bezieht sich auf andere Aspekte der Norm. Die Klägerin war Inhaberin einer durch die ….. ausgegebenen Kreditkarte. Die mit dieser Karte getätigten Umsätze waren gemäß der Regelungen des [X.] monatlich von der Klägerin auszugleichen.

Nachdem die Klägerin offene Forderungen wiederholt nicht ausgeglichen hatte, kündigte der Zahlungsdienstleister mit Schreiben vom 13.02.2018 das die Karte betreffende Vertragsverhältnis mit einer zweimonatigen Frist. Die Klägerin wurde aufgefordert, den offenen Saldo binnen 14 Tagen auszugleichen und gebeten, bis zur Schließung des [X.] keine weiteren Umsätze mehr mit der an sie ausgegebenen Kreditkarte zu tätigen. Das [X.] enthielt darüber hinaus den Hinweis, dass bei weiteren Abwicklungsstörungen eine sogenannte [X.], d.h. eine Mitteilung des Vorganges, an die Beigeladene erfolgen könne.

Auf dieses, sowie weitere Erinnerungsschreiben des Zahlungsdienstleisters, erfolgte weder ein Forderungsausgleich, noch eine Reaktion der Klägerin. Mit Schreiben vom 25.04.2018 kündigte der Zahlungsdienstleister das Kreditkartenkonto fristlos und forderte die Klägerin zum Ausgleich des zwischenzeitlich durch weitere Umsätze erhöhten Saldos auf. Am selben Tag erfolgte die [X.] des Sachverhalts an die Beigeladene. Dabei handelt es sich um die jeweils aktuellen Forderungsbeträge (sog. [X.]).

Mit Schreiben vom 26.05.2018 verlangte die Klägerin von der Beigeladenen die Löschung des zu der offenen Forderung gespeicherten Datensatzes. Die Klägerin teilte überdies mit, dass der nicht ausgeglichene Saldo auf Umsätzen beruhe, die nicht sie selbst, sondern ihr Ehemann unter Verwendung ihrer Kreditkarte getätigt habe. Hierzu legte die Klägerin später eine entsprechende, mit „Eidesstattliche Versicherung" sowie „Schuldanerkenntnis" überschriebene Mitteilung ihres Ehemannes vom 05.06.2018 vor.

Der Zahlungsdienstleister gab gegenüber der Beigeladenen an, von der Klägerin nicht über einen möglichen Missbrauch der Kreditkarte informiert worden zu sein. Er verwies in diesem Zusammenhang auf seine Mitgliedschaftsbedingungen, wonach die Klägerin unter anderem dafür Sorge zu tragen hatte, die Kreditkarte vor dem Zugriff anderer Personen zu schützen, eine Nutzung der Karte durch Unbefugte zu verhindern und im Falle eines Verlustes oder unbefugten Einsatzes der Karte den Zahlungsdienstleister unverzüglich zu informieren. Diesen Obliegenheiten sei die Klägerin gegenüber dem Zahlungsdienstleister nicht nachgekommen.

Die Beigeladene teilte der Klägerin mit Schreiben vom 17.07.2018 die Stellungnahme des Zahlungsdienstleisters mit, wonach ein Identitätsmissbrauch durch Dritte nicht feststellbar sei und die Voraussetzungen für eine [X.] vorlägen.

Die Klägerin wandte sich bezüglich der von ihr begehrten Löschung an die beklagte Aufsichtsbehörde. Diese teilt jedoch die Auffassung der Beigeladenen. Die Übermittlung und Speicherung der die offene Forderung betreffenden personenbezogenen Daten der Klägerin richte sich nach Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO i.V.m. § 31 [X.] und sei aus datenschutzrechtlicher Sicht nicht zu beanstanden.

Art. 7 [X.]
Achtung des Privat- und Familienlebens
Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.

Art. 8 [X.]
Schutz personenbezogener Daten
(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.
(2) Diese Daten dürfen nur nach [X.] und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.
(3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.

Art. 52 [X.]
Tragweite und Auslegung der Rechte und Grundsätze
(1) Jede Einschränkung der Ausübung der in dieser Charta anerkannten Rechte und Freiheiten muss gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der [X.] anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.
[...]

Art. 6 DS-GVO
Rechtmäßigkeit der Verarbeitung
[...]

Art. 22 DS-GVO
Automatisierte Entscheidung im Einzelfall einschließlich Profiling
[...]

Artikel 26 DS-GVO
Gemeinsam für die Verarbeitung Verantwortliche
[...]

§ 31 [X.]
Schutz des [X.]
[...]

Das vorlegende Gericht ist zur Vorlage der Fragen gemäß Art. 267 Abs. 1 [X.]. a, Abs. 2 A[X.]V berechtigt. Denn in Frage steht die Auslegung der Art. 6 Abs. 1 UA 1 [X.]. f) und 22 DS-GVO, die sekundäres [X.]srecht darstellen.

Die Entscheidung über die erste Frage ist für den Erlass des Urteils erforderlich. Die beklagte Aufsichtsbehörde sowie die Beigeladene sind der Ansicht, dass die [X.] und Speicherung der Daten im Einklang mit der DS-GVO steht, da § 31 Abs. 2 [X.] beachtet worden sei und damit die erforderliche Abwägung nach Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO vorgenommen worden sei. Wenn jedoch eine mitgliedstaatliche Regelung die in Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO vorgesehene Interessenabwägung gar nicht ersetzen bzw. ergänzen kann, so würde eine unrechtmäßige Datenverarbeitung vorliegen, da es an einer entsprechenden Interessenabwägung mangelt. Dasselbe würde gelten, wenn die Regelung des § 31 [X.] selbst im Widerspruch zu Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO stünde. Der Klägerin stünde dann ein Löschungsanspruch aus Art. 17 Abs. 1 [X.]. d) DS-GVO zur Seite.

Das vorlegende Gericht hat Zweifel daran, ob § 31 Abs. 2 [X.] die in Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO vorgesehene Abwägung ersetzen kann und ob § 31 Abs. 2 [X.] mit Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO vereinbar ist.

Nach Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO ist eine Datenverarbeitung rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines [X.] erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Demgegenüber regelt § 31 [X.], dass die Verwendung eines [X.] über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) nach nationalem Recht nur zulässig ist, wenn die dort aufgeführten Bedingungen eingehalten werden. Dabei werden die Bedingungen, wann eine Speicherung erfolgen darf, in § 31 Abs. 2 [X.] festgelegt. Hiernach würde eine Abwägung, wie sie Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO fordert, entfallen.

Dabei ist schon fraglich, ob eine nationale Norm wie § 31 [X.] der Ermächtigung des Art. 22 Abs. 2 [X.]. b) DS-GVO entspricht, wenn die Norm selbst, wie § 31 [X.], keine angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthält (dazu Vorlage [X.], Beschluss vom 15.10.2021, [X.]., 6 K 788/20.WI, [X.], [X.]. [X.]/21).

Hinzu kommt, dass die Beigeladene, wie auch die beklagte Aufsichtsbehörde, bei ihrem Abwägungsprozess § 31 [X.] als Ergebnis einer gesetzgeberischen Abwägung zu Grunde legen. Dies hätte zur Folge, dass dann, wenn die Voraussetzungen zur [X.] nach § 31 [X.] vorliegen, die Abwägung immer zugunsten der Beigeladenen als speichernde und weiterverarbeitende Stelle ausfallen würde. Insoweit stellt sich zunächst die schon in dem Vorlagebeschluss vom 01.10.2021 (6 K 788/20.WI, [X.]/21) gestellte Frage, ob § 31 [X.] überhaupt mit der DS-GVO im Einklang steht.

Wenn dies zu bejahen wäre, ist in einem weiteren Schritt zu klären, ob eine solche Norm die Abwägung immer zugunsten der Beigeladenen bestimmen kann. Für den Fall, dass die Norm gegen die DS-GVO verstoßen sollte, könnte sie bei der Abwägung nach Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO nicht herangezogen werden und auch nicht Bestandteil der notwendigen Abwägung sein.

Falls § 31 [X.] mit Art. 22 DS-GVO im Einklang stehen sollte, so hat das Gericht dennoch erhebliche Zweifel daran, dass die gesetzgeberische nationale Regelung, hier § 31 [X.], in dem Abwägungsprozess nach Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO mit berücksichtigt werden kann und darf.

Denn Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO selbst stellt bei dem Abwägungsprozess nur auf die berechtigten Interessen der datenverarbeitenden Stelle oder eines [X.] und die Grundrechte des Betroffenen ab. Eine Einstellung nationaler Normen in den Abwägungsprozess erfolgt dabei nicht. Eine Öffnungsklausel enthalten Art. 6 Abs. 2 und 3 DS-GVO ebenfalls nicht. In Art. 6 Abs. 3 DS-GVO ist lediglich bezüglich der [X.]. c) und d), nicht aber bezüglich [X.]. f) eine Präzisierung durch eine Rechtsgrundlage vorgesehen.

Auch bedürfte es einer Abwägung nach Art. 6 Abs. 1 UA 1 [X.]. f) DS-GVO durch den [X.], da dies die einzig ersichtliche Rechtsgrundlage für die Datenübermittlung ist. Jedoch hat der [X.] keine Abwägung durchgeführt, sondern ist - wie von dieser Norm vorgesehen - von § 31 Abs. 1 i.V.m. Abs. 2 [X.] als Übermittlungstatbestand ausgegangen

Der Klägerin stünde bei Nichtanwendung des § 31 Abs. 2 i.V.m. Abs. 1 [X.] ein Anspruch aus Art. 17 Abs. 1 [X.]. d) [X.]-DSGVO auf Löschung ihrer durch die Beigeladene verarbeiteten personenbezogenen Daten zu, da die Datenübermittlung mangels eines ausreichenden Abwägungsprozesses rechtswidrig wäre.

Zudem ist die Frage zu klären, ob eine gemeinsame Verantwortlichkeit der einmeldenden Stelle und der [X.] nach Art. 26 DS-GVO gegeben ist.

Auch diese Frage ist entscheidungserheblich. Denn im Falle einer gemeinsamen Verantwortlichkeit müsste eine Beiladung der einmeldenden Stelle erfolgen.

Vorliegend hat die Beigeladene im Rahmen der [X.] durch den Zahlungsdienstleister Informationen über die Nichtbegleichung des offenen Kreditkartensaldos erfasst. Darüber hinaus sind Angaben zu einem von der Klägerin behaupteten Kartenmissbrauch durch einen [X.] gespeichert worden.

Durch die Verarbeitung dieser personenbezogenen Daten ist eine Bewertung sowohl der wirtschaftlichen Lage, als auch der Zuverlässigkeit der Klägerin durch die Beigeladene möglich. Die Beigeladene macht wiederum geltend, dass sie für die eingemeldeten Daten nicht verantwortlich sei. Im Falle eines Löschbegehrens durch den [X.] oder der betroffenen Person erklärt die Beigeladene jedoch, dass sie selbstständig über die Daten entscheiden dürfe und damit auch selbst entscheiden könne, ob eine [X.] rechtmäßig erfolgt sei, selbst wenn die einmeldende Stelle gerichtlich zur Löschung verpflichtet worden ist. Es spricht insoweit viel dafür, dass mehrere Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen, mithin eine gemeinsame Verarbeitung nach Art. 26 DS-GVO gegeben ist.

Der [X.] hat in dem Verfahren „[X.]“ (Urteil vom 10.07.2018, C- 25/17, [X.]:[X.]:C:2018:551) ausgeführt, dass eine gemeinsame Verantwortlichkeit bereits dann gegeben sei, wenn beide Verantwortliche aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nehmen und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirken, ohne dass hierfür jeder Verantwortliche Zugang zu den betreffenden personenbezogenen Daten hat.

Auch in dem Urteil zu [X.], Urteil vom 29.07.2019, C- 40/17 [X.]: [X.]:[X.], hat der [X.] bezüglich der gemeinsamen Verantwortlichkeit auf ein Eigeninteresse abgestellt. Die Verantwortlichkeit beziehe sich damit jeweils auf diejenige Phase, über deren Zwecke und Mittel die Beteiligten gemeinsam mit anderen entscheide. Insoweit wird die gemeinsame Verantwortlichkeit europarechtlich weit ausgelegt. Dies ist hier insoweit gegeben, als die einmeldende Stelle, wie auch die Beigeladene im Zeitpunkt der [X.] das Ziel eint, dass die Daten der Klägerin zur Bewertung ihrer Kreditwürdigkeit herangezogen werden sollen.

Das vorlegende Gericht ist daher der Ansicht, dass es zwischen der Beigeladenen und der einmeldenden Stelle einer Vereinbarung nach Art. 26 DS-GVO bedarf.

Der Beschluss ist unanfechtbar.