Vermutlich fordert das Inkassounternehmen von Ihnen eine Zahlung, die Sie ursprünglich an ein Unternehmen hätten leisten müssen, mit dem Sie eine Geschäftsbeziehung (z. B. Kaufvertrag mit einem Versandhändler) haben oder hatten. Damit Unternehmen offene Forderungen bei ihrer Kundschaft nicht selbst eintreiben müssen, bedienen sie sich dazu häufig der Unterstützung von darauf spezialisierten Inkassobüros oder Rechtsanwält*innen. Dazu beauftragt das Unternehmen ein Inkassobüro entweder damit, die offene Forderung für das Unternehmen einzuziehen, oder es verkauft die Forderung an das Inkassounternehmen.

Im ersten Fall kümmert sich das Inkassounternehmen als Dienstleister um die Einziehung der Forderung. Wurde die Forderung verkauft, ist das Inkassounternehmen selbst der neue Gläubiger.

In beiden Fällen darf und müssen (ursprüngliche) Gläubiger*innen personenbezogene Daten der Schuldner*innen (insbesondere Namen und Anschrift, die Grundlage und Höhe der Forderung, etc.) an das Inkassounternehmen weitergeben. Nur mit diesen Daten ist es dem Inkassounternehmen überhaupt möglich, an die Schuldner*innen heranzutreten und die Forderung geltend zu machen.

Darüber hinaus gibt es Fallgestaltungen, in denen eine Forderung nicht Ihnen gegenüber, sondern gegenüber einer dritten Person geltend gemacht wird. Dies ist z. B. dann der Fall, wenn Sie als Betreuer*in bestellt oder aufgrund Ihrer anwaltlichen Tätigkeit mandatiert wurden. In diesen Fällen werden Ihre Kontaktdaten zur Forderungsakte als Korrespondenzadresse hinzugespeichert und Sie erhalten ebenfalls Informationen zur Verarbeitung Ihrer personenbezogenen Daten nach Art. 13 bzw. 14 DS-GVO durch das Inkassounternehmen.

Inkassounternehmen dürfen solche Daten über Sie verarbeiten, die erforderlich sind, um die jeweilige Inkassodienstleistung zu erbringen, also in der Regel eine Forderung einzuziehen. Für den Einzug von Forderungen sind regelmäßig Daten zur Person des Schuldners (zum Beispiel Name, Anschrift, Telefonnummer etc.) sowie zur beizutreibenden Forderung (etwa Grund der Forderung, Höhe, Fälligkeit) erforderlich. Das Inkassounternehmen darf auch selbst Informationen ermitteln, speichern und nutzen, wenn dies für die Bearbeitung des jeweiligen Falles notwendig ist (zum Beispiel Einholen von Bonitätsauskünften, Ermittlung von Adressen, etc.). Daten, die dafür aber nicht erforderlich sind, dürfen vom Inkassounternehmen auch nicht erhoben oder gespeichert werden.

Sofern Sie die Auffassung vertreten, dass keine offene Forderung gegen Sie existiert oder dass die Forderung zum Beispiel noch von einer Gegenleistung abhängig ist, sollten Sie die Forderung gegenüber dem Inkassounternehmen bestreiten. Es empfiehlt sich, dies zu Nachweiszwecken dem Unternehmen in schriftlicher Form mitzuteilen, auch dann wenn Sie dies bereits gegenüber dem (Ursprungs-)Gläubiger zum Ausdruck gebracht oder den Forderungsbetrag an den (Ursprungs-)Gläubiger geleistet haben.

Bitte beachten Sie: Die Tätigkeit der LDI NRW beschränkt sich auf die Überprüfung rein daten-schutzrechtlicher Verstöße bei Unternehmen mit Sitz in Nordrhein-Westfalen. Über das Bestehen oder Nichtbestehen zivilrechtlicher Forderungen darf unsererseits keine Beurteilung stattfinden. Dies obliegt allein der Zivilgerichtsbarkeit.

Gleichzeitig kann es ratsam sein, sich mit einem Auskunftsersuchen über die Verarbeitung Ihrer personenbezogenen Daten (Art. 15 DS-GVO) an den betrieblichen Datenschutzbeauftragte des Gläubigerunternehmens zu wenden, gerade und insbesondere auch, wenn Sie einen Fall von Personenverwechslung – zum Beispiel aufgrund von Namensgleichheit oder -ähnlichkeit – vermuten. Die Kontaktdaten finden Sie in der Regel in den Datenschutzbestimmungen des Unternehmens auf dessen Internetpräsenz oder in der Information nach Art. 14 DS-GVO, die Ihnen das Unternehmen zur Verfügung gestellt hat.

Es obliegt der freien Entscheidung eines Unternehmens, sich in Streitfällen bezüglich einer – wenn auch nur vermeintlich – offenen Forderung Personen rechtsberatender Berufe oder eines Inkassounternehmens zu bedienen. In diesen Fällen dürfen und müssen (ursprüngliche) Gläubiger*innen personenbezogene Daten der Schuldner*innen an das Inkassounternehmen weitergeben, insbesondere Namen und Anschrift, den Forderungsgrund, die Höhe und die Fälligkeit der Forderung. Nur mit diesen Daten ist es dem Inkassounternehmen überhaupt möglich, an Schuldner*innen heranzutreten und die Forderung geltend zu machen. Eine Einwilligung Ihrerseits für die Datenweitergabe an Rechtsdienstleister*innen ist nicht erforderlich, da sie auf die gesetzlichen Tatbestände der Art. 6 Abs. 1 Satz 1 lit. b) und lit. f) DS-GVO gestützt werden (Datenverarbeitung zur Vertragserfüllung, Datenverarbeitung aufgrund berechtigten Interesses des Gläubigers).

Bei einer Mandatsübernahme müssen Inkassounternehmen darauf vertrauen können, dass die seitens der (Ursprungs-)Gläubiger*innen übergebenen Forderungen tatsächlich existieren. Eine Schlüssigkeits- oder Plausibilitätsprüfung durch das Inkassounternehmen vor Kontaktaufnahme zu (vermeintlichen) Schuldner*innen ist ausreichend. Eine Prüfung in Bezug auf das tatsächliche Bestehen einer Forderung ist zu diesem Zeitpunkt weder erforderlich noch möglich.

Die Verarbeitung Ihrer Daten durch ein Inkassounternehmen wäre nur dann unzulässig, wenn die geltend gemachte Forderung ganz offensichtlich nicht besteht. Dies ist allerdings nur in seltenen Ausnahmefällen denkbar und nicht bereits dann, wenn sich Schuldner*innen und Gläubiger*innen uneinig sind, ob die Forderung nun besteht oder nicht.

Häufig haben Inkassounternehmen ihrer Mandantschaft vertraglich dazu verpflichtet, sie nur mit durchsetzungsfähigen Forderungen zu beauftragen.

Häufig wird seitens betroffener Personen vorgetragen, eine Weiterleitung von Daten an ein Inkassounternehmen in Hinblick auf bestrittene Forderungen sei rechtswidrig. Daher gäbe es auch keine wirksame Rechtsgrundlage zur Verarbeitung der Daten, die demzufolge gelöscht werden müssten.

Das Bundesverfassungsgericht veröffentlichte hierzu einen Beschluss vom 14.08.2014, Az.: 1 BvR 725/03, in welchem sich folgender Passus findet:

„… Beruhte die Zahlungsverweigerung eines Schuldners nicht auf Zahlungsunfähigkeit, sondern auf einer von ihm geäußerten Rechtsmeinung, wäre bereits dieser außergerichtliche Konflikt zwischen Schuldner und Gläubiger nur mit rechtsanwaltlicher Unterstützung zu beseitigen, obwohl die außergerichtliche Forderungseinziehung nach der Wertung des Gesetzgebers nicht den Rechtsanwälten vorbehalten ist.“

Hieraus wird allgemein geschlossen, dass die Beauftragung von Inkassounternehmen nicht nur mit schlichten Mahn- und Beitreibungstätigkeiten zulässig ist, sondern auch mit der Geltendmachung bestrittener Forderungen. Ein Inkassounternehmen ist daher durchaus befugt, sich auch inhaltlich mit Einwendungen gegen eine Forderung auseinander zu setzen.

Kern der Frage ist jedoch, ob die hierdurch ggf. entstehenden Inkassokosten von Schuldner*innen als Verzugsschaden erstattet werden müssen, oder ob nicht sofort an Rechtsanwält*innen zur Geltendmachung der Forderung im streitigen Verfahren hätte übergeben werden müssen. Der Schwerpunkt liegt damit auf zivilem Recht, diese Fragestellung ist gegebenenfalls gerichtlich zu klären. Diese Fragestellung fällt aber nicht in den Zuständigkeitsbereich der LDI NRW. Die Datenverarbeitung durch ein Inkassounternehmen wird in diesem Kontext nicht von der LDI NRW beanstandet.

Leider versuchen teilweise auch unseriöse Unternehmen mit Mahnschreiben zweifelhafte oder nicht bestehende Forderungen einzutreiben, zum Beispiel aus Abofallen im Internet. Auch in einem solchen Fall dürfen Daten aber grundsätzlich von den  (vermeintlichen) Gläubiger*innen beauftragten Inkasso-unternehmen gespeichert und verwendet werden. Anders wäre dies nur in ganz seltenen Fällen, bei denen auch aus der Sicht des Inkassounternehmens ganz offensichtlich ausgeschlossen ist, dass die Forderung tatsächlich besteht.

Die Frage, ob die geltend gemachte Forderung tatsächlich besteht oder nicht, muss allerdings zwischen Ihnen und den vermeintlichen Gläubiger*innen beziehungsweise dem Inkassobüro auf zivilrechtlichem Weg geklärt werden, nötigenfalls auch mit anwaltlicher oder gerichtlicher Hilfe.

Richtig ist zwar, dass sich für Sie als sogenannte „betroffene Person“ ein Recht auf Löschung Ihrer personenbezogenen Daten aus Artikel 17 Abs. 1 DS-GVO unter den dort genannten Voraussetzungen ergibt. Dieses Recht besteht allerdings dann nicht, wenn das Unternehmen Ihre Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeitet. Dies ergibt sich aus Artikel 17 Absatz 3 lit. e) DS-GVO. Personenbezogene Daten dürfen daher weiter gespeichert bleiben, solange noch offene Forderungen bestehen und im Rahmen der Inkassotätigkeit bearbeitet werden. Nach Einstellung des Inkassoverfahrens sind die Daten zur Erfüllung des Inkassoverfahrens nicht mehr erforderlich und wären prinzipiell nach Art. 17 Abs. 1 lit. a) zu löschen.

An die Stelle einer Löschung tritt jedoch eine eingeschränkte Verarbeitung, wenn gesetzliche, satzungsmäßige oder vertragliche Aufbewahrungsfristen einer Löschung entgegenstehen (Art. 17 Abs. 3 lit. b) DS-GVO i. V. m. § 35 Abs. 3 BDSG). Personenbezogene Daten müssen ggf. aufgrund handels- oder steuerrechtlicher Vorschriften weiter aufbewahrt werden; dies erfolgt jedoch dann nur für diesen Zweck. Diese Fristen können unterschiedlich sein. Die Abgabenordnung (AO) bzw. das Handelsgesetzbuch (HGB) sehen Löschungsfristen von bis zu zehn Jahren vor.

Die Ausübung des Widerspruchsrechts gegen die Verarbeitung von Daten nach Art. 21 Abs. 1 DS-GVO setzt voraus, dass die Daten nach Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO auf Grundlage einer Interessensabwägung verarbeitet werden und dass die betroffene Person gegenüber dem Unternehmen konkrete Gründe geltend macht, die sich aus ihrer besonderen Situation ergeben. Das bedeutet, dass die betroffene Person vortragen muss, dass und warum es sich in ihrem besonderen Fall um eine atypische Konstellation handelt, die ihren Interessen ein besonders Gewicht verleiht. Nicht ausreichend ist z. B. das Bestreiten der Forderung (etwa „Ich habe keinen Vertrag abgeschlossen“) oder die Mitteilung, dass die geltend gemachte Leistungen der (Ursprungs-) Gläubiger*innen fehlerhaft war oder nicht erfolgt sind.

Das Widerspruchsrecht greift allerdings nach Art. 21 Abs. 1 DS-GVO nicht, wenn die Verarbeitung der Daten zum Beispiel nach Art. 6 Abs. 1 Satz 1 lit. b) DS-GVO erfolgt oder der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. In den im Rahmen von Inkassovorgängen typischen Fallkonstellationen (Beitreibung von offenen Forderungen) dürfte ein Widerspruch gegen die Datenverarbeitung daher letztlich ins Leere gehen.

Ihren Antrag auf Auskunft über Ihre personenbezogenen Daten richten Sie an die angegebenen Kontaktdaten des Inkassounternehmens. Diese Kontaktdaten finden Sie in der Regel in den Datenschutzbestimmungen auf der Homepage des Unternehmens oder in den Ihnen ausgehändigten Informationen nach Art. 14 DS-GVO, soweit die Forderungsangelegenheit nach Inkrafttreten der DS-GVO am 25.05.2018 an das Inkassounternehmen übergeben wurde.

Unser Tipp: Nahezu alle Inkassounternehmen in NRW haben Datenschutzteams gebildet, die sich auch mit der Bearbeitung von Auskunftsansprüchen befassen. Um eine zügige Bearbeitung zu gewährleisten, wird eine Kontaktaufnahme nach dort empfohlen. Die Kontaktdaten finden Sie in der Regel ebenfalls in den Datenschutzbestimmungen auf der Homepage des Unternehmens oder in den Ihnen ausgehändigten Informationen nach Art. 14 DS-GVO.

Nach Art. 12 DS-GVO muss der Verantwortliche der betroffenen Person Informationen unverzüglich, in jedem Fall aber innerhalb eines Monats zur Verfügung stellen. Diese Frist kann nach Art. 12 Abs. 3 DS-GVO um zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. Über diese Verlängerung der Frist muss das Unternehmen innerhalb eines Monats informieren.
Bei der Erteilung einer Auskunft nach Art. 15 DS-GVO muss sichergestellt werden, dass die zu beauskunftenden Daten nicht unbefugten Dritten zur Verfügung gestellt werden. Hierauf ist auch insbesondere bei mündlicher oder elektronischer Auskunftserteilung zu achten. Hat der Verantwortliche begründete Zweifel an der Identität eines Antragstellers auf Datenauskunft, so kann er nach Art. 12 Abs. 6 DS-GVO zusätzliche Informationen zur Bestätigung der Identität nachfordern.

Sollten Sie nach Ablauf dieser Frist(en) immer noch keine Mitteilung des Unternehmens erhalten haben, können Sie sich gerne unter den angegebenen Kontaktdaten an die LDI NRW wenden. Hierfür bitten wir, neben einer Sachverhaltsdarstellung auch relevanten Schriftverkehr beizufügen.

Inkassounternehmen dürfen Bonitätsdaten bei Wirtschaftsauskunfteien auf der Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DS-GVO abfragen, wenn ein berechtigtes Interesse an dieser Datenerhebung vorliegt. Ein solches Interesse ist z. B. dann zu bejahen, wenn eine Entscheidung über die Einleitung von weiteren Maßnahmen mit einem finanziellen Ausfallrisiko – auch in Bezug auf die entstehenden Beitreibungskosten – verbunden ist.

Die Einmeldung von unbezahlten Forderungen in eine Wirtschaftsauskunftei ist prinzipiell möglich, allerdings nur unter bestimmen Voraussetzungen. In § 31 Abs. 2 des Bundesdatenschutzgesetzes (BDSG) ist gesetzlich geregelt, in welchen Fällen offene Forderungen durch eine Auskunftei zum Scoring genutzt werden dürfen.

Dies ist zum Beispiel dann erlaubt, wenn die Forderungen von Schuldner*innen anerkannt wurden, wenn sie bereits durch eine Gerichtsentscheidung oder im Rahmen eines gerichtlichen Mahnverfahrens tituliert wurden oder wenn bei einem laufenden Vertrag die Voraussetzungen für eine fristlose Kündigung wegen Zahlungsrückständen vorlagen. Ein weiterer häufiger Grund für die Meldung von Forderungen bei Auskunfteien ist auch, dass die Zahlung mindestens zweimal schriftlich angemahnt wurde, seit der ersten Mahnung mindestens vier Wochen vergangen sind, Schuldner*innen auf die bevorstehende Meldung an eine Auskunftei hingewiesen wurden und die Forderungen von ihnen nicht bestritten wurde.

Wenn Sie also den Gläubiger*innen beziehungsweise dem Inkassobüro mitteilen, dass Sie die geforderte Zahlung Ihrer Meinung nach nicht schulden, ist bereits in vielen Fällen eine Meldung an eine Wirtschaftsauskunftei nicht mehr zulässig.
Seit Inkrafttreten des BDSG in seiner aktuellen Fassung besteht allerdings eine Diskussion über die Zweckrichtung dieser Norm. Die Datenschutzkonferenz hat daher – den Gedanken einer restriktiven Einmeldepraxis aufgreifend – einen Beschluss zu diesem Thema verfasst. Siehe Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) vom 23.03.2018
"Einmeldung offener und unbestrittener Forderungen in eine Wirtschaftsauskunftei unter Geltung der DS-GVO".

Bei der Geltendmachung von Forderungen aus Online-Geschäften erfolgt bereits die Korrespondenz zwischen Gläubiger*innen und Schuldner*innen in der Regel per E-Mail. Daher ist es üblich und zulässig, dass sich auch das Inkassounternehmen zur Geltendmachung von Forderungen im Einzugsverfahren ebenfalls per E-Mail an die Schuldner*innen wendet.

In Nordrhein-Westfalen sind bei der Wahl der technischen und organisatorischen Maßnahmen folgende Positionen zugrunde zu legen:

• Die Kommunikation per E-Mail bedarf mindestens der Transport-Verschlüsselung, wie sie von den namhaften europäischen Providern standardmäßig angeboten wird.
• Die Transportverschlüsselung sollte entsprechend der Technischen Richtlinie „BSI TR-03108 Sicherer E-Mail-Transport“ implementiert sein. In Abhängigkeit vom Schutzbedarf der versendeten Daten und dem Risiko können Abweichungen von der Richtlinie statthaft sein.
• Es ist zu berücksichtigen, dass bei einer Transportverschlüsselung die E-Mails auf den E-Mail-Servern im Klartext vorliegen und grundsätzlich einsehbar sind. Bei besonders schützenswerten Daten ist eine alleinige Transportverschlüsselung möglicherweise nicht ausreichend. Zusätzliche technische und organisatorische Maßnahmen, wie z.  B. eine Ende-zu-Ende-Verschlüsselung können dann geboten sein. Sollte dies nicht gewährleistet werden können, sind ggf. alternative Übertragungswege denkbar: Hierzu zählen der elektronische Austausch über eine gesicherte Verbindung (Web-Portal des Verantwortlichen mit Zugangsbeschränkungen) oder die postalische Zusendung. Das dürfte aber im Inkassoverfahren während des allgemeinen Forderungseinzugsverfahrens nicht zutreffen.
• Der Betreff der E-Mail sollte keine personenbezogenen Daten enthalten.

Die Datenschutzkonferenz erarbeitet derzeit Empfehlungen zur datenschutz-konformen E-Mail-Kommunikation. Daher stehen die obigen Ausführungen unter dem Vorbehalt späterer Anpassungen an die Empfehlungen.

In Einzelfällen versuchen Inkassounternehmen, Informationen über Schuldner*innen zu erlangen, indem sie Menschen aus deren Umfeld (Verwandtschaft, Nachbarschaft, Arbeitsstelle) kontaktieren und  befragen. Auf diese Weise soll gleichzeitig Druck auf die Schuldner*innen ausgeübt werden, da die angefragten Personen diesen vermutlich auf seine Schulden ansprechen werden.

Dieses Vorgehen ist grundsätzlich unzulässig, es bedarf jedoch einer Betrachtung des Einzelfalls. Inkassounternehmen dürfen zwar Informationen über Schuldner*innen recherchieren, die sie benötigen um an diesen heranzutreten, dabei dürfen sie aber unbeteiligten Personen gegenüber keine Informationen über die Schuldner*innen preisgeben.

Sowohl im Falle eines Gläubiger*inwechsels als auch im Falle eines Schuldner*inwechsels ist ein außergerichtlicher Beitreibungsversuch einer titulierten Forderung durch ein Inkassounternehmen statthaft, auch wenn noch keine Rechtsnachfolgeklausel/Titelumschreibung erfolgt ist. Lediglich Zwangsvollstreckungsmaßnahmen, z. B. durch Gerichtsvollzieher*innen, setzen eine Titelumschreibung voraus.

Personenbezogene Daten dürfen bei einem Inkassounternehmen verarbeitet werden, solange noch offene Forderungen bestehen und im Rahmen der Inkassotätigkeit bearbeitet werden. Nach Einstellung / Abschluss von Inkassoverfahren sind die Daten nicht mehr erforderlich und wären prinzipiell nach Art. 17 Abs. 1 lit. a) DS-GVO zu löschen.

An die Stelle einer Löschung tritt eine eingeschränkte Verarbeitung, wenn gesetzliche, satzungsmäßige oder vertragliche Aufbewahrungsfristen einer Löschung entgegenstehen (Art. 17 Abs. 3 lit. b) DS-GVO i. V. m. § 35 Abs. 3 BDSG). Personenbezogene Daten müssen ggf. aufgrund handels- oder steuerrechtlicher Vorschriften weiter aufbewahrt werden; dies erfolgt jedoch dann nur für diesen Zweck. Diese Fristen können unterschiedlich sein. Die Abgabenordnung (AO) bzw. das Handelsgesetzbuch (HGB) sehen Löschungsfristen von bis zu zehn Jahren vor.