InkassounternehmenGläubiger:innen können Forderungen gegenüber Schuldner:innen entweder selbst eintreiben oder ein Inkassounternehmen mit der Eintreibung beauftragen. Im letzteren Fall benötigt das Inkassounternehmen die personenbezogenen Daten der Schulder:innen sowie Informationen, die die Forderung begründen.
Wir haben die häufigsten Fragen und Antworten zum Datenschutz bei Zahlungsaufforderungen von Inkassounternehmen zusammengetragen. Wir erläutern, in welchen Fällen der Datenschutz betroffen ist, was Sie selbst tun sollten und wie wir Sie unterstützen können.
- Häufige Fragen und Antworten zum Datenschutz
- Datenweitergabe von Gläubiger:innen an Inkassounternehmen
- Datenerhebung der Inkassounternehmen über Auskunfteien
- Übermittlung der Daten von Schuldner:innen an Auskunfteien
Häufige Fragen und Antworten zum Datenschutz
Unternehmen können in Streitfällen Inkassounternehmen mit der Geltendmachung einer Forderung beauftragen. Damit ein Inkassounternehmen für das Unternehmen tätig werden kann, dürfen die Gläubiger:innen die erforderlichen personenbezogenen Daten an das Inkassounternehmen übermitteln. Je nach vertraglicher Ausgestaltung zwischen den Gläubiger:innen und dem Inkassounternehmen kann die Datenverarbeitung auf Art. 6 Abs. 1 Satz 1 lit. b Datenschutz-Grundverordnung (DSGVO) oder Art. 6 Abs. 1 Satz lit. f DSGVO gestützt werden. Einer Einwilligung zur Weitergabe Ihrer personenbezogenen Daten an ein Inkassounternehmen bedarf es dazu nicht.
Ein Inkassounternehmen darf nur diejenigen personenbezogenen Daten verarbeiten, die zur Geltendmachung der Forderungen erforderlich sind. Art. 5 Abs. 1 lit. c DSGVO schreibt zudem vor, dass die Datenverarbeitung auf das notwendige Maß beschränkt sein muss (Grundsatz der Datenminimierung). Vor diesem Hintergrund dürfen Inkassounternehmen in der Regel zu den Schuldner:innen den Namen, die Anschrift, gegebenenfalls weitere Kontaktdaten, den Grund sowie Höhe und Fälligkeit der Forderung verarbeiten.
Sie können gegenüber dem Inkassounternehmen Ihren Anspruch auf Auskunft nach Art. 15 Abs. 1 DSGVO geltend machen. Nach Art. 15 Abs. 1 DSGVO hat die von einer Datenverarbeitung betroffene Person das Recht, von Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten sowie weitere Informationen, die in Art. 15 Abs. 1 lit. a bis h, Abs. 2 DSGVO beschrieben sind. Dieser Auskunftsanspruch ist gemäß Art. 12 Abs. 3 Satz 1 DSGVO unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags, zu erfüllen.
Wenn Sie eine Ware online bestellt haben oder dem Unternehmen, mit dem Sie eine geschäftliche Beziehung haben, Ihre E-Mail-Adresse zur Verfügung gestellt haben, wird Sie das Inkassounternehmen möglicherweise per E-Mail kontaktieren.
Bei den durch Inkassounternehmen verarbeiteten personenbezogenen Daten dürfte es sich in aller Regel nicht um besonders schützenswerte Daten im Sinne der DSGVO handeln, so dass Forderungen in der Regel auch per E-Mail geltend gemacht werden dürfen. Bei der Kontaktaufnahme per E-Mail müssen allerdings einige Sicherheitsanforderungen eingehalten werden: Die genutzten E-Mail-Diensteanbieter müssen die Anforderungen der Technischen Richtlinie (TR) 03108-1 des Bundesamts für Sicherheit in der Informationstechnik (BSI) einhalten. In der Orientierungshilfe der Datenschutzkonferenz zu Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail vom 16. Juni 2021 wird ausgeführt, dass die Kommunikation per E-Mail mindestens einer obligatorischen Transportverschlüsselung bedarf. Bei personenbezogenen Daten, bei denen der Bruch der Vertraulichkeit ein hohes Risiko darstellt – etwa bei der Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (z. B. Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung) –, müssen hingegen regelmäßig eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung verwendet werden.
Sie haben das Recht, einem Versand per E-Mail zu widersprechen. In diesem Fall muss das Inkassounternehmen seine Forderung per Post geltend machen.
Nach der Rechtsprechung des Bundesverfassungsgerichts beschränkt sich die Tätigkeit von Inkassounternehmen nicht nur auf eine schlichte Mahn- und Beitreibungstätigkeit, sie übernehmen vielmehr die Verantwortung für die wirkungsvolle Durchsetzung fremder Rechte. Um die auftragsgemäße Einziehung einer Forderung effektiv zu gestalten, umfasst diese Tätigkeit auch die Äußerung von Rechtsansichten gegenüber dem Schuldner nach Erhebung von Einwendungen (vgl. BVerfG, Beschl. v. 14. August 2004 – 1 BvR 725/03, Rn. 15). Mit Einwendung ist in diesem Kontext jedes Vorbringen gegen die Forderung als Ganzes oder in Teilen gemeint und beschreibt damit gerade auch das Bestreiten einer Forderung.
Ob Ihre Daten an das Inkassounternehmen übermittelt werden durften, hängt davon ab, ob die Gläubigerin oder der Gläubiger für die Durchsetzung der geltend gemachten und von Ihnen bestrittenen Forderung im Hinblick auf die Inkassokosten einen Anspruch auf Verzugsschaden gegen Sie hat und die Einschaltung des Inkassounternehmens insofern erforderlich und zweckmäßig war. Anderenfalls hätte die Forderung sofort an Rechtsanwält:innen zur Geltendmachung der Forderung im gerichtlichen Verfahren übergeben werden müssen. Diese Frage des Bestehens bzw. Nichtbestehens des Anspruchs auf Schadensersatz ist allerdings rein zivilrechtlicher Natur und unterfällt nicht der Zuständigkeit der Datenschutzaufsichtsbehörden. Diese Prüfung obliegt allein den Zivilgerichten.
Wir bitten vor diesem Hintergrund um Verständnis, dass wir die Frage, ob die Verarbeitung Ihrer personenbezogenen Daten rechtmäßig war, ohne die Klärung der damit zusammenhängenden zivilrechtlichen Fragestellung nicht beurteilen können. Vor diesem Hintergrund empfehlen wir Ihnen, sich hinsichtlich der Frage des Bestehens bzw. Nichtbestehens von Schadensersatzansprüchen für die Inkassokosten fachkundig rechtlich beraten zu lassen. Sofern Sie aufgrund Ihrer persönlichen und wirtschaftlichen Verhältnisse nicht in der Lage sind, eine Beratung durch eine Rechtsanwältin oder einen Rechtsanwalt selbst zu finanzieren, besteht die Möglichkeit, Beratungshilfe nach dem Beratungshilfegesetz in Anspruch zu nehmen. Nähere Informationen zur Beratungshilfe und ihren Voraussetzungen stellt das Bundesministerium für Justiz und für Verbraucherschutz bereit.
Nach Art. 17 Abs. 1 lit. a DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden. Der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.
Wenn der Inkassovorgang noch nicht abgeschlossen ist, sind Ihre personenbezogenen Daten noch zur Durchsetzung der Forderung notwendig und Ihr Löschersuchen kann dementsprechend abgelehnt werden. Das Inkassounternehmen kann Ihr Löschbegehren darüber hinaus gemäß Art. 17 Abs. 3 lit. e DSGVO ablehnen, wenn Ihre personenbezogenen Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.
Eine Löschverpflichtung besteht für die verantwortliche Stelle gemäß Art. 17 Abs. 3 lit. b DSGVO auch dann nicht, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Auch wenn der zu Ihrer Person geführte Inkassovorgang bereits abgeschlossen ist, unterliegen Inkassounternehmen handelsrechtlichen und steuerrechtlichen Verpflichtungen. Gemäß § 257 Handelsgesetzbuch (HGB) sind Inkassounternehmen u. a. verpflichtet, Handelsbriefe aufzubewahren; dazu zählen beispielsweise auch schriftliche Zahlungsaufforderungen. Darüber hinaus müssen Inkassounternehmen die in § 147 Abgabenordnung (AO) aufgeführten Unterlagen aufbewahren, da diese für die Besteuerung von Bedeutung sind. Vor diesem Hintergrund kann das Inkassounternehmen Ihren Löschantrag ablehnen, wenn eine gesetzliche Aufbewahrungspflicht besteht. In solchen Fällen erfolgt eine Einschränkung der Verarbeitung gemäß Art. 18 DSGVO. Verantwortliche Stellen entsprechen dieser Verpflichtung in der Regel, indem sie die die Daten archivieren und die Zugriffsrechte beschränken.
Die gesetzlichen Aufbewahrungspflichten greifen auch in den Fällen, in denen ein Identitätsbetrug bzw. eine Personenverwechslung vorliegt.
Inkassounternehmen dürfen auf der Grundlage von Art. 6 Abs. 1 Satz 1 lit. f DSGVO personenbezogene Daten bei Auskunfteien abfragen, sofern sie ein berechtigtes Interesse an der Abfrage haben, etwa zur Ermittlung einer aktuellen Anschrift, um die Forderung geltend zu machen.
Die Zulässigkeit einer Einmeldung einer Forderung bei einer Wirtschaftsauskunftei wird auf Art. 6 Abs. 1 Satz 1 lit. f DSGVO gestützt. Im Rahmen der Einzelfallprüfung geben die in § 31 Abs. 2 Satz 1 Nr. 1-5 Bundesdatenschutzgesetz (BDSG) aufgeführten Fallgruppen Anzeichen dafür, wann eine Einmeldung zulässig ist:
- Die Forderung ist durch ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil festgestellt worden oder es liegt ein Schuldtitel nach § 794 der Zivilprozessordnung (ZPO) vor.
- Die Forderung ist nach § 178 der Insolvenzordnung (InsO) festgestellt und nicht von den Schuldner:innen im Prüfungstermin bestritten worden.
- Die Betroffenen haben die Forderung ausdrücklich anerkannt.
- Die Betroffenen sind nach Eintritt der Fälligkeit der Forderung mindestens zweimal schriftlich gemahnt worden und die erste Mahnung liegt mindestens vier Wochen zurück. Die Betroffenen sind zuvor, jedoch frühestens bei der ersten Mahnung, über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden und der Betroffene hat die Forderung nicht bestritten.
- Das der Forderung zugrunde liegende Vertragsverhältnis kann aufgrund von Zahlungsrückständen fristlos gekündigt werden und die Betroffenen sind zuvor über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden.
Vor diesem Hintergrund sollten Sie, wenn Sie Einwendungen gegen die Forderung haben, diese dem Inkassounternehmen ausdrücklich mitteilen. Ein ausdrückliches Bestreiten der Forderung gegenüber dem Inkassounternehmen führt dann regelmäßig dazu, dass keine Einmeldung erfolgt.
Ein Inkassounternehmen muss als verantwortliche Stelle bei der Geltendmachung der Forderung sicherstellen, dass es die Grundsätze des Art. 5 Abs. 1 DSGVO einhält. Dazu gehört, dass die verarbeiteten personenbezogenen Daten richtig und aktuell sind.
In den Fällen, in denen die Person, die von einem Inkassounternehmen kontaktiert wird, vorträgt, nicht die oder der richtige Schuldner:in zu sein, kann seitens des Inkassounternehmens nicht mehr davon ausgegangen werden, dass der Grundsatz der Richtigkeit aus Art. 5 Abs. 1 lit. d DSGVO eingehalten werden kann. Das kann der Fall sein, wenn eine Identitätsverwechslung oder ein Identitätsbetrug im Raum steht und dies mit der Erstattung einer Strafanzeige entsprechend schlüssig dargelegt wird. Im Falle einer Personenverwechslung muss das Inkassounternehmen das Verfahren zur Forderungseinziehung zunächst zwecks Klärung des Sachverhalts aussetzen und dies auch entsprechend in ihren IT-Systemen technisch-organisatorisch (z. B. durch Sperrung Ihrer Daten) abbilden. Insbesondere muss es sicherstellen, keine weiteren Zahlungsaufforderungen oder gar Mahnschreiben zu versenden und keine Einmeldung bei einer Wirtschaftsauskunftei vorzunehmen, bis der Sachverhalt geklärt ist.
Sofern sich im Rahmen einer entsprechenden Untersuchung des Vorgangs durch das Inkassounternehmen herausstellt, dass eine Identitätsverwechslung oder ein Identitätsbetrug vorliegt, sind die personenbezogenen Daten der betroffenen Person, die keiner gesetzlichen Aufbewahrungspflicht unterliegen, zu löschen und die aufzubewahrenden Daten entsprechend zu sperren.
Das können Sie bei Identitätsbetrug tun:
- Erstatten Sie eine Strafanzeige aufgrund des Verdachts von Identitätsbetrug bei der der Polizei.
- Kontaktieren Sie das Inkassounternehmen, dass Sie von einem Fall von Identitätsbetrug ausgehen, entsprechende Strafanzeige erstattet haben und die Forderung bestreiten.
- Sie sollten außerdem das Inkassounternehmen auffordern, das Verfahren zur Forderungseinziehung auszusetzen.
In diesem Fall können Sie sich an das Bundesamt für Justiz wenden, das als zentrale Aufsichtsbehörde für Rechtsdienstleister Beschwerden gegen Rechtsdienstleister im Hinblick auf die Einhaltung der Vorschriften des Rechtsdienstleistungsgesetzes (RDG) bearbeitet. Das Rechtsdienstleistungsgesetz legt Inkassodienstleistern u. a. Informations- und Darlegungspflichten auf. So müssen Inkassodienstleister auch darlegen, woher die Forderung stammt und wie sie sich einschließlich der Zinsen und Inkassokosten zusammensetzt. Vorsorglich weisen wir Sie darauf hin, dass auch das Bundesamt für Justiz nach unserer Kenntnis keine zivilrechtlichen Ansprüche überprüft.
Darüber hinaus besteht die Möglichkeit, sich beim Bundesverband Deutscher Inkasso-Unternehmen (BDIU) zu beschweren, sofern das Inkassounternehmen Mitglied des BDIU ist, sich die Beschwerde nicht gegen die Hauptforderung richtet und der streitgegenständliche Sachverhalt nicht bereits einem Gericht, der Staatsanwaltschaft, einer Aufsichtsbehörde oder vergleichbaren Stelle vorgelegt worden ist.
Für derartige Fällen bieten die Verbraucherzentralen weiterreichende Informationen, die Sie unter den nachfolgenden Links finden:
Datenweitergabe von Gläubiger:innen an Inkassounternehmen
Wird ein Inkassounternehmen beauftragt, ist die Übermittlung der zur Einziehung der Forderung erforderlichen personenbezogenen Daten auf Basis von Art. 6 Abs. 1 Satz 1 lit. b DSGVO zulässig, soweit die Forderung auf einem Vertrag zwischen Gläubiger:in und Schuldner:in beruht. Außerdem kommt als Rechtsgrundlage für die Übermittlung personenbezogener Daten an ein Inkassounternehmen Art. 6 Abs. 1 Satz 1 lit. f DSGVO in Betracht. Danach ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen der Verantwortlichen oder Dritter erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Das berechtigte Interesse des übermittelnden Unternehmens besteht darin, dass die offene Forderung durch die Schuldner:innen beglichen wird.
Wer der Ansicht ist, Inhaber:in einer nicht beglichenen Forderung zu sein, ist nach sorgfältiger Prüfung folglich grundsätzlich berechtigt, die Daten der betroffenen Person an ein Inkassounternehmen weiterzugeben, soweit diese zur Forderungseinziehung erforderlich sind. Hierbei ist in der Regel nicht davon auszugehen, dass Interessen oder Grundrechte bzw. Grundfreiheiten der betroffenen Person überwiegen.
Dies gilt grundsätzlich auch in denjenigen Fällen, in denen das Bestehen bzw. die Höhe der geltend gemachten Forderung durch die betroffenen Personen bestritten wird. In diesen Fällen liegt regelmäßig zumindest ein berechtigtes Interesse daran vor, die Berechtigung der vermeintlichen Forderung festzustellen. Ein solches berechtigtes Interesse fehlt selbstverständlich, wenn der übermittelnden Stelle bekannt ist, dass von vornherein keine Forderung bestand, etwa weil eine Forderung aus einer sogenannten Abo-Falle geltend gemacht wird.
Dazwischen liegen die Fälle, in denen der übermittelnden Stelle bei sorgfältiger Prüfung bekannt sein könnte, dass voraussichtlich keine Forderung besteht. Dies ist insbesondere der Fall, wenn die betroffene Person der übermittelnden Stelle mitgeteilt hat, es liege ein Identitätsdiebstahl vor. Hier hängt das Ergebnis der durchzuführenden Interessenabwägung von den Umständen des Einzelfalls ab. Besondere Bedeutung kommt dabei der von der übermittelnden Stelle durchzuführenden Vorprüfung zu. Diese muss besonders genau erfolgen, wenn ein Identitätsdiebstahl im Raum steht. Spiegelbildlich kommt auch den Inkassounternehmen ihrerseits die Pflicht zu, eine Vorprüfung vor Annahme einer Forderung durchzuführen.
Datenerhebung der Inkassounternehmen über Auskunfteien
Sollten einzelne zur Einziehung der Forderung erforderliche Daten dem Inkassounternehmen nicht (in aktueller Form) vorliegen, können Inkassounternehmen diese ebenfalls auf Grundlage von Art. 6 Abs. 1 Satz 1 lit. f DSGVO durch Anfrage bei Auskunfteien erheben. Dies kann etwa bei einem Wechsel der Anschrift der betroffenen Person der Fall sein. Grundsätzlich gilt hier allerdings, dass die personenbezogenen Daten, die verarbeitet werden, sachlich richtig sein müssen. Hieraus folgt die Verpflichtung jeder verantwortlichen Stelle bzw. jedes Inkassounternehmens, durch geeignete organisatorische und technische Verfahren sicherzustellen, dass Identitätsverwechslungen ausgeschlossen sind. Informationen aus Auskünften mit einem Identitätsvorbehalt dürfen niemals ohne sorgfältige Prüfung im Einzelfall weiterverwendet werden.
Übermittlung der Daten von Schuldner:innen an Auskunfteien
Die Befugnis von Inkassounternehmen, Daten von Schuldner:innen an Wirtschaftsauskunfteien – wie beispielsweise die Schufa – zu übermitteln, richtet sich nach Art. 6 Abs. 1 Satz 1 lit. f sowie Art. 6 Abs. 4 DSGVO, welcher die Voraussetzungen der Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu dem ursprünglich verfolgten regelt. Ein Einverständnis der betroffenen Personen ist hierfür nicht erforderlich.
Eine Übermittlung personenbezogener Daten an eine andere Stelle bzw. zu einem anderen Zweck ist möglich, soweit diese für die Wahrnehmung eines berechtigten Interesses der übermittelnden Stelle, der Empfänger:innen der Daten oder von Dritten erforderlich ist. Die schutzwürdigen Interessen der betroffenen Person dürfen dabei diesem berechtigten Interesse gegenüber nicht überwiegen. Darüber hinaus muss der neue Verarbeitungszweck mit dem ursprünglichen Zweck in einem Zusammenhang stehen.
Von einem berechtigten Interesse an der Datenübermittlung an eine Auskunftei kann bei Inkassounternehmen ausgegangen werden, wenn ein Anlass besteht, Dritte über die negativen Zahlungserfahrungen mit betroffenen Personen zu informieren, um diese Dritten vor Zahlungsstörungen zu bewahren. Dabei muss der Anlass auf gesicherten Tatsachen beruhen. Rein subjektive Einschätzungen genügen also nicht.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat sich in einem Beschluss vom 23 . März 2018 auf fünf alternative Fallgruppen verständigt, die im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 Satz 1 lit. f in Verbindung mit Art. 6 Abs. 4 DSGVO eine Indizwirkung für die Zulässigkeit einer Einmeldung bei einer Auskunftei entfalten können:
Die Forderung ist durch ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil festgestellt worden oder es liegt ein Schuldtitel nach § 794 der Zivilprozessordnung (ZPO) vor.
Die Forderung ist nach § 178 der Insolvenzordnung (InsO) festgestellt und nicht von den Schuldner:innen im Prüfungstermin bestritten worden.
Die Betroffenen haben die Forderung ausdrücklich anerkannt.
Die Betroffenen sind nach Eintritt der Fälligkeit der Forderung mindestens zweimal schriftlich gemahnt worden, die erste Mahnung liegt mindestens vier Wochen zurück, die Betroffenen sind zuvor – jedoch frühestens bei der ersten Mahnung – über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden und die Betroffenen haben die Forderung nicht bestritten.
Das der Forderung zugrunde liegende Vertragsverhältnis kann aufgrund von Zahlungsrückständen fristlos gekündigt werden, und die Betroffenen sind zuvor über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden.
Die betroffenen Personen müssen zudem vorab durch das Inkassounternehmen über die Möglichkeit der Einmeldung bei einer Wirtschaftsauskunftei unterrichtet worden sein, da diese nur erfolgen darf, soweit die betroffenen Personen zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen können, dass eine Verarbeitung für diesen Zweck möglicherweise erfolgen wird. Für die inhaltliche Richtigkeit der Einmeldungen und für das Vorliegen der Übermittlungsvoraussetzungen ist das Inkassounternehmen als übermittelnde Stelle verantwortlich.
Soweit die Datenübermittlung unzulässig war oder sich nachträglich als unzulässig erweist, haben betroffene Personen Ansprüche auf Berichtigung, Löschung und gegebenenfalls Schadensersatz. Das Inkassounternehmen ist in solchen Fällen außerdem verpflichtet, die Auskunfteien, denen die Daten übermittelt wurden, zu benachrichtigen, um eine Korrektur bzw. Löschung der bei den Auskunfteien gespeicherten Daten herbeizuführen.
Gläubiger:innen können Forderungen gegenüber Schuldner:innen entweder selbst eintreiben oder ein Inkassounternehmen mit der Eintreibung beauftragen. Im letzteren Fall benötigt das Inkassounternehmen die personenbezogenen Daten der Schulder:innen sowie Informationen, die die Forderung begründen.
Wir haben die häufigsten Fragen und Antworten zum Datenschutz bei Zahlungsaufforderungen von Inkassounternehmen zusammengetragen. Wir erläutern, in welchen Fällen der Datenschutz betroffen ist, was Sie selbst tun sollten und wie wir Sie unterstützen können.
Häufige Fragen und Antworten zum Datenschutz
Unternehmen können in Streitfällen Inkassounternehmen mit der Geltendmachung einer Forderung beauftragen. Damit ein Inkassounternehmen für das Unternehmen tätig werden kann, dürfen die Gläubiger:innen die erforderlichen personenbezogenen Daten an das Inkassounternehmen übermitteln. Je nach vertraglicher Ausgestaltung zwischen den Gläubiger:innen und dem Inkassounternehmen kann die Datenverarbeitung auf Art. 6 Abs. 1 Satz 1 lit. b Datenschutz-Grundverordnung (DSGVO) oder Art. 6 Abs. 1 Satz lit. f DSGVO gestützt werden. Einer Einwilligung zur Weitergabe Ihrer personenbezogenen Daten an ein Inkassounternehmen bedarf es dazu nicht.
Ein Inkassounternehmen darf nur diejenigen personenbezogenen Daten verarbeiten, die zur Geltendmachung der Forderungen erforderlich sind. Art. 5 Abs. 1 lit. c DSGVO schreibt zudem vor, dass die Datenverarbeitung auf das notwendige Maß beschränkt sein muss (Grundsatz der Datenminimierung). Vor diesem Hintergrund dürfen Inkassounternehmen in der Regel zu den Schuldner:innen den Namen, die Anschrift, gegebenenfalls weitere Kontaktdaten, den Grund sowie Höhe und Fälligkeit der Forderung verarbeiten.
Sie können gegenüber dem Inkassounternehmen Ihren Anspruch auf Auskunft nach Art. 15 Abs. 1 DSGVO geltend machen. Nach Art. 15 Abs. 1 DSGVO hat die von einer Datenverarbeitung betroffene Person das Recht, von Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten sowie weitere Informationen, die in Art. 15 Abs. 1 lit. a bis h, Abs. 2 DSGVO beschrieben sind. Dieser Auskunftsanspruch ist gemäß Art. 12 Abs. 3 Satz 1 DSGVO unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags, zu erfüllen.
Wenn Sie eine Ware online bestellt haben oder dem Unternehmen, mit dem Sie eine geschäftliche Beziehung haben, Ihre E-Mail-Adresse zur Verfügung gestellt haben, wird Sie das Inkassounternehmen möglicherweise per E-Mail kontaktieren.
Bei den durch Inkassounternehmen verarbeiteten personenbezogenen Daten dürfte es sich in aller Regel nicht um besonders schützenswerte Daten im Sinne der DSGVO handeln, so dass Forderungen in der Regel auch per E-Mail geltend gemacht werden dürfen. Bei der Kontaktaufnahme per E-Mail müssen allerdings einige Sicherheitsanforderungen eingehalten werden: Die genutzten E-Mail-Diensteanbieter müssen die Anforderungen der Technischen Richtlinie (TR) 03108-1 des Bundesamts für Sicherheit in der Informationstechnik (BSI) einhalten. In der Orientierungshilfe der Datenschutzkonferenz zu Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail vom 16. Juni 2021 wird ausgeführt, dass die Kommunikation per E-Mail mindestens einer obligatorischen Transportverschlüsselung bedarf. Bei personenbezogenen Daten, bei denen der Bruch der Vertraulichkeit ein hohes Risiko darstellt – etwa bei der Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (z. B. Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung) –, müssen hingegen regelmäßig eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung verwendet werden.
Sie haben das Recht, einem Versand per E-Mail zu widersprechen. In diesem Fall muss das Inkassounternehmen seine Forderung per Post geltend machen.
Nach der Rechtsprechung des Bundesverfassungsgerichts beschränkt sich die Tätigkeit von Inkassounternehmen nicht nur auf eine schlichte Mahn- und Beitreibungstätigkeit, sie übernehmen vielmehr die Verantwortung für die wirkungsvolle Durchsetzung fremder Rechte. Um die auftragsgemäße Einziehung einer Forderung effektiv zu gestalten, umfasst diese Tätigkeit auch die Äußerung von Rechtsansichten gegenüber dem Schuldner nach Erhebung von Einwendungen (vgl. BVerfG, Beschl. v. 14. August 2004 – 1 BvR 725/03, Rn. 15). Mit Einwendung ist in diesem Kontext jedes Vorbringen gegen die Forderung als Ganzes oder in Teilen gemeint und beschreibt damit gerade auch das Bestreiten einer Forderung.
Ob Ihre Daten an das Inkassounternehmen übermittelt werden durften, hängt davon ab, ob die Gläubigerin oder der Gläubiger für die Durchsetzung der geltend gemachten und von Ihnen bestrittenen Forderung im Hinblick auf die Inkassokosten einen Anspruch auf Verzugsschaden gegen Sie hat und die Einschaltung des Inkassounternehmens insofern erforderlich und zweckmäßig war. Anderenfalls hätte die Forderung sofort an Rechtsanwält:innen zur Geltendmachung der Forderung im gerichtlichen Verfahren übergeben werden müssen. Diese Frage des Bestehens bzw. Nichtbestehens des Anspruchs auf Schadensersatz ist allerdings rein zivilrechtlicher Natur und unterfällt nicht der Zuständigkeit der Datenschutzaufsichtsbehörden. Diese Prüfung obliegt allein den Zivilgerichten.
Wir bitten vor diesem Hintergrund um Verständnis, dass wir die Frage, ob die Verarbeitung Ihrer personenbezogenen Daten rechtmäßig war, ohne die Klärung der damit zusammenhängenden zivilrechtlichen Fragestellung nicht beurteilen können. Vor diesem Hintergrund empfehlen wir Ihnen, sich hinsichtlich der Frage des Bestehens bzw. Nichtbestehens von Schadensersatzansprüchen für die Inkassokosten fachkundig rechtlich beraten zu lassen. Sofern Sie aufgrund Ihrer persönlichen und wirtschaftlichen Verhältnisse nicht in der Lage sind, eine Beratung durch eine Rechtsanwältin oder einen Rechtsanwalt selbst zu finanzieren, besteht die Möglichkeit, Beratungshilfe nach dem Beratungshilfegesetz in Anspruch zu nehmen. Nähere Informationen zur Beratungshilfe und ihren Voraussetzungen stellt das Bundesministerium für Justiz und für Verbraucherschutz bereit.
Nach Art. 17 Abs. 1 lit. a DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden. Der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.
Wenn der Inkassovorgang noch nicht abgeschlossen ist, sind Ihre personenbezogenen Daten noch zur Durchsetzung der Forderung notwendig und Ihr Löschersuchen kann dementsprechend abgelehnt werden. Das Inkassounternehmen kann Ihr Löschbegehren darüber hinaus gemäß Art. 17 Abs. 3 lit. e DSGVO ablehnen, wenn Ihre personenbezogenen Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.
Eine Löschverpflichtung besteht für die verantwortliche Stelle gemäß Art. 17 Abs. 3 lit. b DSGVO auch dann nicht, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Auch wenn der zu Ihrer Person geführte Inkassovorgang bereits abgeschlossen ist, unterliegen Inkassounternehmen handelsrechtlichen und steuerrechtlichen Verpflichtungen. Gemäß § 257 Handelsgesetzbuch (HGB) sind Inkassounternehmen u. a. verpflichtet, Handelsbriefe aufzubewahren; dazu zählen beispielsweise auch schriftliche Zahlungsaufforderungen. Darüber hinaus müssen Inkassounternehmen die in § 147 Abgabenordnung (AO) aufgeführten Unterlagen aufbewahren, da diese für die Besteuerung von Bedeutung sind. Vor diesem Hintergrund kann das Inkassounternehmen Ihren Löschantrag ablehnen, wenn eine gesetzliche Aufbewahrungspflicht besteht. In solchen Fällen erfolgt eine Einschränkung der Verarbeitung gemäß Art. 18 DSGVO. Verantwortliche Stellen entsprechen dieser Verpflichtung in der Regel, indem sie die die Daten archivieren und die Zugriffsrechte beschränken.
Die gesetzlichen Aufbewahrungspflichten greifen auch in den Fällen, in denen ein Identitätsbetrug bzw. eine Personenverwechslung vorliegt.
Inkassounternehmen dürfen auf der Grundlage von Art. 6 Abs. 1 Satz 1 lit. f DSGVO personenbezogene Daten bei Auskunfteien abfragen, sofern sie ein berechtigtes Interesse an der Abfrage haben, etwa zur Ermittlung einer aktuellen Anschrift, um die Forderung geltend zu machen.
Die Zulässigkeit einer Einmeldung einer Forderung bei einer Wirtschaftsauskunftei wird auf Art. 6 Abs. 1 Satz 1 lit. f DSGVO gestützt. Im Rahmen der Einzelfallprüfung geben die in § 31 Abs. 2 Satz 1 Nr. 1-5 Bundesdatenschutzgesetz (BDSG) aufgeführten Fallgruppen Anzeichen dafür, wann eine Einmeldung zulässig ist:
- Die Forderung ist durch ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil festgestellt worden oder es liegt ein Schuldtitel nach § 794 der Zivilprozessordnung (ZPO) vor.
- Die Forderung ist nach § 178 der Insolvenzordnung (InsO) festgestellt und nicht von den Schuldner:innen im Prüfungstermin bestritten worden.
- Die Betroffenen haben die Forderung ausdrücklich anerkannt.
- Die Betroffenen sind nach Eintritt der Fälligkeit der Forderung mindestens zweimal schriftlich gemahnt worden und die erste Mahnung liegt mindestens vier Wochen zurück. Die Betroffenen sind zuvor, jedoch frühestens bei der ersten Mahnung, über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden und der Betroffene hat die Forderung nicht bestritten.
- Das der Forderung zugrunde liegende Vertragsverhältnis kann aufgrund von Zahlungsrückständen fristlos gekündigt werden und die Betroffenen sind zuvor über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden.
Vor diesem Hintergrund sollten Sie, wenn Sie Einwendungen gegen die Forderung haben, diese dem Inkassounternehmen ausdrücklich mitteilen. Ein ausdrückliches Bestreiten der Forderung gegenüber dem Inkassounternehmen führt dann regelmäßig dazu, dass keine Einmeldung erfolgt.
Ein Inkassounternehmen muss als verantwortliche Stelle bei der Geltendmachung der Forderung sicherstellen, dass es die Grundsätze des Art. 5 Abs. 1 DSGVO einhält. Dazu gehört, dass die verarbeiteten personenbezogenen Daten richtig und aktuell sind.
In den Fällen, in denen die Person, die von einem Inkassounternehmen kontaktiert wird, vorträgt, nicht die oder der richtige Schuldner:in zu sein, kann seitens des Inkassounternehmens nicht mehr davon ausgegangen werden, dass der Grundsatz der Richtigkeit aus Art. 5 Abs. 1 lit. d DSGVO eingehalten werden kann. Das kann der Fall sein, wenn eine Identitätsverwechslung oder ein Identitätsbetrug im Raum steht und dies mit der Erstattung einer Strafanzeige entsprechend schlüssig dargelegt wird. Im Falle einer Personenverwechslung muss das Inkassounternehmen das Verfahren zur Forderungseinziehung zunächst zwecks Klärung des Sachverhalts aussetzen und dies auch entsprechend in ihren IT-Systemen technisch-organisatorisch (z. B. durch Sperrung Ihrer Daten) abbilden. Insbesondere muss es sicherstellen, keine weiteren Zahlungsaufforderungen oder gar Mahnschreiben zu versenden und keine Einmeldung bei einer Wirtschaftsauskunftei vorzunehmen, bis der Sachverhalt geklärt ist.
Sofern sich im Rahmen einer entsprechenden Untersuchung des Vorgangs durch das Inkassounternehmen herausstellt, dass eine Identitätsverwechslung oder ein Identitätsbetrug vorliegt, sind die personenbezogenen Daten der betroffenen Person, die keiner gesetzlichen Aufbewahrungspflicht unterliegen, zu löschen und die aufzubewahrenden Daten entsprechend zu sperren.
Das können Sie bei Identitätsbetrug tun:
- Erstatten Sie eine Strafanzeige aufgrund des Verdachts von Identitätsbetrug bei der der Polizei.
- Kontaktieren Sie das Inkassounternehmen, dass Sie von einem Fall von Identitätsbetrug ausgehen, entsprechende Strafanzeige erstattet haben und die Forderung bestreiten.
- Sie sollten außerdem das Inkassounternehmen auffordern, das Verfahren zur Forderungseinziehung auszusetzen.
In diesem Fall können Sie sich an das Bundesamt für Justiz wenden, das als zentrale Aufsichtsbehörde für Rechtsdienstleister Beschwerden gegen Rechtsdienstleister im Hinblick auf die Einhaltung der Vorschriften des Rechtsdienstleistungsgesetzes (RDG) bearbeitet. Das Rechtsdienstleistungsgesetz legt Inkassodienstleistern u. a. Informations- und Darlegungspflichten auf. So müssen Inkassodienstleister auch darlegen, woher die Forderung stammt und wie sie sich einschließlich der Zinsen und Inkassokosten zusammensetzt. Vorsorglich weisen wir Sie darauf hin, dass auch das Bundesamt für Justiz nach unserer Kenntnis keine zivilrechtlichen Ansprüche überprüft.
Darüber hinaus besteht die Möglichkeit, sich beim Bundesverband Deutscher Inkasso-Unternehmen (BDIU) zu beschweren, sofern das Inkassounternehmen Mitglied des BDIU ist, sich die Beschwerde nicht gegen die Hauptforderung richtet und der streitgegenständliche Sachverhalt nicht bereits einem Gericht, der Staatsanwaltschaft, einer Aufsichtsbehörde oder vergleichbaren Stelle vorgelegt worden ist.
Für derartige Fällen bieten die Verbraucherzentralen weiterreichende Informationen, die Sie unter den nachfolgenden Links finden:
Datenweitergabe von Gläubiger:innen an Inkassounternehmen
Wird ein Inkassounternehmen beauftragt, ist die Übermittlung der zur Einziehung der Forderung erforderlichen personenbezogenen Daten auf Basis von Art. 6 Abs. 1 Satz 1 lit. b DSGVO zulässig, soweit die Forderung auf einem Vertrag zwischen Gläubiger:in und Schuldner:in beruht. Außerdem kommt als Rechtsgrundlage für die Übermittlung personenbezogener Daten an ein Inkassounternehmen Art. 6 Abs. 1 Satz 1 lit. f DSGVO in Betracht. Danach ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen der Verantwortlichen oder Dritter erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Das berechtigte Interesse des übermittelnden Unternehmens besteht darin, dass die offene Forderung durch die Schuldner:innen beglichen wird.
Wer der Ansicht ist, Inhaber:in einer nicht beglichenen Forderung zu sein, ist nach sorgfältiger Prüfung folglich grundsätzlich berechtigt, die Daten der betroffenen Person an ein Inkassounternehmen weiterzugeben, soweit diese zur Forderungseinziehung erforderlich sind. Hierbei ist in der Regel nicht davon auszugehen, dass Interessen oder Grundrechte bzw. Grundfreiheiten der betroffenen Person überwiegen.
Dies gilt grundsätzlich auch in denjenigen Fällen, in denen das Bestehen bzw. die Höhe der geltend gemachten Forderung durch die betroffenen Personen bestritten wird. In diesen Fällen liegt regelmäßig zumindest ein berechtigtes Interesse daran vor, die Berechtigung der vermeintlichen Forderung festzustellen. Ein solches berechtigtes Interesse fehlt selbstverständlich, wenn der übermittelnden Stelle bekannt ist, dass von vornherein keine Forderung bestand, etwa weil eine Forderung aus einer sogenannten Abo-Falle geltend gemacht wird.
Dazwischen liegen die Fälle, in denen der übermittelnden Stelle bei sorgfältiger Prüfung bekannt sein könnte, dass voraussichtlich keine Forderung besteht. Dies ist insbesondere der Fall, wenn die betroffene Person der übermittelnden Stelle mitgeteilt hat, es liege ein Identitätsdiebstahl vor. Hier hängt das Ergebnis der durchzuführenden Interessenabwägung von den Umständen des Einzelfalls ab. Besondere Bedeutung kommt dabei der von der übermittelnden Stelle durchzuführenden Vorprüfung zu. Diese muss besonders genau erfolgen, wenn ein Identitätsdiebstahl im Raum steht. Spiegelbildlich kommt auch den Inkassounternehmen ihrerseits die Pflicht zu, eine Vorprüfung vor Annahme einer Forderung durchzuführen.
Datenerhebung der Inkassounternehmen über Auskunfteien
Sollten einzelne zur Einziehung der Forderung erforderliche Daten dem Inkassounternehmen nicht (in aktueller Form) vorliegen, können Inkassounternehmen diese ebenfalls auf Grundlage von Art. 6 Abs. 1 Satz 1 lit. f DSGVO durch Anfrage bei Auskunfteien erheben. Dies kann etwa bei einem Wechsel der Anschrift der betroffenen Person der Fall sein. Grundsätzlich gilt hier allerdings, dass die personenbezogenen Daten, die verarbeitet werden, sachlich richtig sein müssen. Hieraus folgt die Verpflichtung jeder verantwortlichen Stelle bzw. jedes Inkassounternehmens, durch geeignete organisatorische und technische Verfahren sicherzustellen, dass Identitätsverwechslungen ausgeschlossen sind. Informationen aus Auskünften mit einem Identitätsvorbehalt dürfen niemals ohne sorgfältige Prüfung im Einzelfall weiterverwendet werden.
Übermittlung der Daten von Schuldner:innen an Auskunfteien
Die Befugnis von Inkassounternehmen, Daten von Schuldner:innen an Wirtschaftsauskunfteien – wie beispielsweise die Schufa – zu übermitteln, richtet sich nach Art. 6 Abs. 1 Satz 1 lit. f sowie Art. 6 Abs. 4 DSGVO, welcher die Voraussetzungen der Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu dem ursprünglich verfolgten regelt. Ein Einverständnis der betroffenen Personen ist hierfür nicht erforderlich.
Eine Übermittlung personenbezogener Daten an eine andere Stelle bzw. zu einem anderen Zweck ist möglich, soweit diese für die Wahrnehmung eines berechtigten Interesses der übermittelnden Stelle, der Empfänger:innen der Daten oder von Dritten erforderlich ist. Die schutzwürdigen Interessen der betroffenen Person dürfen dabei diesem berechtigten Interesse gegenüber nicht überwiegen. Darüber hinaus muss der neue Verarbeitungszweck mit dem ursprünglichen Zweck in einem Zusammenhang stehen.
Von einem berechtigten Interesse an der Datenübermittlung an eine Auskunftei kann bei Inkassounternehmen ausgegangen werden, wenn ein Anlass besteht, Dritte über die negativen Zahlungserfahrungen mit betroffenen Personen zu informieren, um diese Dritten vor Zahlungsstörungen zu bewahren. Dabei muss der Anlass auf gesicherten Tatsachen beruhen. Rein subjektive Einschätzungen genügen also nicht.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat sich in einem Beschluss vom 23 . März 2018 auf fünf alternative Fallgruppen verständigt, die im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 Satz 1 lit. f in Verbindung mit Art. 6 Abs. 4 DSGVO eine Indizwirkung für die Zulässigkeit einer Einmeldung bei einer Auskunftei entfalten können:
Die Forderung ist durch ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil festgestellt worden oder es liegt ein Schuldtitel nach § 794 der Zivilprozessordnung (ZPO) vor.
Die Forderung ist nach § 178 der Insolvenzordnung (InsO) festgestellt und nicht von den Schuldner:innen im Prüfungstermin bestritten worden.
Die Betroffenen haben die Forderung ausdrücklich anerkannt.
Die Betroffenen sind nach Eintritt der Fälligkeit der Forderung mindestens zweimal schriftlich gemahnt worden, die erste Mahnung liegt mindestens vier Wochen zurück, die Betroffenen sind zuvor – jedoch frühestens bei der ersten Mahnung – über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden und die Betroffenen haben die Forderung nicht bestritten.
Das der Forderung zugrunde liegende Vertragsverhältnis kann aufgrund von Zahlungsrückständen fristlos gekündigt werden, und die Betroffenen sind zuvor über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet worden.
Die betroffenen Personen müssen zudem vorab durch das Inkassounternehmen über die Möglichkeit der Einmeldung bei einer Wirtschaftsauskunftei unterrichtet worden sein, da diese nur erfolgen darf, soweit die betroffenen Personen zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen können, dass eine Verarbeitung für diesen Zweck möglicherweise erfolgen wird. Für die inhaltliche Richtigkeit der Einmeldungen und für das Vorliegen der Übermittlungsvoraussetzungen ist das Inkassounternehmen als übermittelnde Stelle verantwortlich.
Soweit die Datenübermittlung unzulässig war oder sich nachträglich als unzulässig erweist, haben betroffene Personen Ansprüche auf Berichtigung, Löschung und gegebenenfalls Schadensersatz. Das Inkassounternehmen ist in solchen Fällen außerdem verpflichtet, die Auskunfteien, denen die Daten übermittelt wurden, zu benachrichtigen, um eine Korrektur bzw. Löschung der bei den Auskunfteien gespeicherten Daten herbeizuführen.