Ein Betroffener hatte ein Auskunftsbegehren gemäß Artikel 15 Datenschutzgrundverordnung (DSGVO) an die Kreditauskunftei CRIF gestellt. Diese wiederum gab an, seinen Namen, sein Geburtsdatum und einige (teils veraltete) Wohnadressen gespeichert zu haben. Als Datenquelle wurde ausschließlich der Adressverlag AZ Direct genannt.

Adressverlage dürfen Daten jedoch nur zu Werbezwecken weitergeben, heißt es seitens der Datenschutzorganisation Noyb: Außerdem sei ersichtlich gewesen, dass CRIF anhand der von AZ Direct erhaltenen Daten mehrere Bonitätsscores berechnet und an verschiedene Unternehmen verschickt hatte. Noyb legt am 18. März eine DSGVO-Beschwerde gegen die beiden Unternehmen ein.

Heimliche Weitergabe der Daten

Kreditauskunfteien greifen auf öffentlich verfügbare Daten – etwa aus dem Firmenbuch oder dem Grundbuch – zu, um Identifikationsdaten zu erheben. Dort findet sich aber nur ein Bruchteil der Bevölkerung. "Die meisten Daten kommen daher offenbar von einer ganz anderen Quelle, nämlich Adressverlagen", heißt es seitens der NGO: "Und das, obwohl Adressverlage nach geltendem Recht Daten nur zu Werbezwecken weitergeben dürfen."

Für diese Vorgangsweise fehlt die rechtliche Grundlage, argumentieren die Juristen der NGO. "Zusätzlich geschieht all dies heimlich, ohne die betroffenen Personen jemals um Einwilligung zu fragen oder sie zu informieren", sagt Alan Dahi, Datenschutzjurist bei Noyb: "Auch der Beschwerdeführer wusste bis zu seinem Auskunftsbegehren nicht, dass seine Daten gesammelt werden, obwohl die DSGVO klar vorschreibt, dass er darüber informiert hätte werden müssen."

Knackpunkt Zweckbindung

Ein weiterer Punkt in der Argumentation der NGO ist die Zweckbindung. Das Prinzip der Zweckbindung besagt, dass Daten nur für "festgelegte, eindeutige und legitime Zwecke" erhoben werden und nicht für andere, damit nicht vereinbarte Zwecke weiterverarbeitet werden dürfen.

Ein Blick ins Gewerberegister zeigt laut Noyb jedoch, dass AZ Direct als Adressverlag registriert ist und damit Daten ausschließlich zu Direktmarketingzwecken weitergeben darf. Dennoch hatte CRIF die Daten der NGO zufolge zu Bonitätsbeurteilungszwecken verwendet – worin die Noyb-Juristen wiederum einen Verstoß gegen das Prinzip der Zweckbindung gemäß Artikel 5 DSGVO sehen.

"Direktmarketing und Bonitätsbeurteilung sind zwei vollkommen unterschiedliche und nicht vereinbare Zwecke", sagt Dahi: "CRIF und AZ Direct verstoßen damit beide gegen das Prinzip der Zweckbindung. Hinzu kommen mögliche Verstöße gegen österreichisches Gewerberecht, die wir ebenso prüfen."

CRIF nennt Adressverlage als Datenlieferanten

Den Recherchen der NGO zufolge macht CRIF kein Geheimnis aus der Beziehung zu Adressverlagen, denn diese werden in der Datenschutzerklärung als regelmäßige Datenlieferanten genannt.

Zudem erklärt CRIF auf der eigenen Website, von mehr als 90 Prozent der gespeicherten Personen keine Negativdaten (also keine Daten zu unbezahlten Schulden) zu haben. Die NGO schließt daraus, dass CRIF die Daten dieser Personen zwangsläufig größtenteils von Adressverlagen bezieht.

Kein Einzelfall

Fast jeder Mensch in Österreich ist von dieser Situation betroffen, heißt es seitens von Noyb. "Die Situation des Betroffenen, den wir vertreten, ist leider kein Einzelfall", sagt Dahi: "Noyb liegen mehrere ähnliche Fälle vor. CRIF hat offenbar über Jahre Millionen von Datensätzen von Adressverlagen wie AZ Direct erworben, ohne auch nur einen einzigen Betroffenen darüber zu informieren. Wenn Sie einen Wohnsitz in Österreich haben, ist die Wahrscheinlichkeit hoch, dass Sie ebenfalls betroffen sind."

Hohe Strafen drohen

Folgt die österreichische Datenschutzbehörde (DSB) der Beschwerde, so muss CRIF derartige Datenerhebungen künftig unterlassen – und die DSGVO-widrig erhobenen Daten allesamt löschen. Des Weiteren kann die DSB eine Geldstrafe von bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes verhängen – und zwar sowohl über CRIF als auch über AZ Direct. (stm, 18.3.2021)