Bundesverwaltungsgericht W298 2316016-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 30.07.2026
• ECLI: ECLI:AT:BVWG:2026:W298.2316016.1.00

Spruch

W298 2316016-1/8E

Im namen der republik!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundige Laienrichterin Mag. Gerda Ferch-Fischer und den fachkundigen Laienrichter Mag. Florian Schultes als Beisitzerin und Beisitzer über die Beschwerde der XXXX , vertreten durch Hornek Hubacek Lichtenstrasser Epler Rechtsanwälte OG, Wildpretmarkt 2-4 1010 Wien, gegen den Bescheid der Datenschutzbehörde vom 12.05.2025, GZ: XXXX (mitbeteiligte Partei: XXXX ) , wegen Verletzung im Recht auf Geheimhaltung zu Recht erkannt:

A) Die Beschwerde wird als unbegründet abgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

1. Die mitbeteiligte Partei (im Verfahren vor der Datenschutzbehörde „Beschwerdeführer“) erhob mit Eingabe vom 03.12.2024 eine Datenschutzbeschwerde gegen die XXXX (im Verfahren vor der Datenschutzbehörde „Beschwerdegegnerin“, im hg. Verfahren „Beschwerdeführerin“). Demnach habe die Beschwerdeführerin am XXXX .2024 der Firma XXXX eine negative Auskunft über die Bonität der mitbeteiligten Partei erteilt. Deshalb sei ihr von dieser Firma eine Tankkarte mit monatlicher Abrechnung verwehrt worden bzw. nur nach Hinterlegung einer Sicherheitsleistung angeboten worden. Am 28.11.2024 habe die mitbeteiligte Partei eine Eigenauskunft zu ihrer Person bei der Beschwerdeführerin angefordert. In dieser Eigenauskunft seien keine Zahlungsinformationen hinterlegt, jedoch sei unter „Zahlungsweise“ eine negative Beurteilung hinterlegt. Auf Anfrage, wie diese Bewertung zustande gekommen sei, sei der mitbeteiligten Partei mitgeteilt worden, dass diese Einschätzung auf ihr Schuldenregulierungsverfahren zurückzuführen sei und weiterhin als bonitätsrelevant aufgrund der Aktualität eingestuft werde. Das Schuldenregulierungsverfahren gelte seit Ende der Zahlungsfrist am XXXX .2021 als aufgehoben und sei ein Jahr später aus der Ediktsdatei entfernt worden.

2. Die Beschwerdeführerin führte mit Stellungnahe vom 10.01.2024 aus, sie habe aufgrund der Urteile des Europäischen Gerichtshofes vom 07.12.2023 C-24/22 und C-64/22 sowie der am 20.12.2023 erfolgten Mitteilung der Datenschutzbehörde eine Löschung des Insolvenzverfahrens zum Eintrag der mitbeteiligten Partei durchgeführt. Während die Beschwerdeführerin den Hinweis auf das Schuldenregulierungsverfahren in der Personenauskunft zur mitbeteiligten Partei gelöscht habe, habe sie es jedoch verabsäumt, den Auskunftstext zur Zahlungsweise sowie schließlich den Score zu adaptieren, was in der Folge die Bewertung der Bonität beim Datenempfänger negativ beeinflusst haben dürfte. Das Versäumnis der Beschwerdeführerin sei nicht intentional gewesen, sondern liege einem Versehen zu Grunde. Die unrichtige Information zur Zahlungsweise sei nur kurze Zeit in der Datenbank der Beschwerdeführerin enthalten und wurde unverzüglich nach Bekanntwerden des Umstandes, dass noch ein veralteter Text zur Zahlungsweise enthalten sei, gelöscht bzw. korrigiert.

3. Mit Bescheid vom 12.05.2025 gab die belangte Behörde der Beschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Geheimhaltung verletzt habe, indem sie in ihrer Bonitätsdatenbank im Rahmen ihrer gewerblichen Tätigkeit als Kreditauskunftei einen Eintrag zum beim BG XXXX durchgeführten und den Beschwerdeführer betreffenden Sanierungsverfahren XXXX über den Zeitraum der öffentlich abrufbaren Speicherung in der Insolvenzdatei hinaus verarbeitet habe.

Begründend führte die belangte Behörde aus, die Zahlungsfrist des über die mitbeteiligte Partei eröffneten Sanierungsverfahrens sei am XXXX .2021 abgelaufen, weshalb der öffentlich einsehbare Eintrag in der Insolvenzdatei ein Jahr danach zu löschen gewesen wäre. Die Beschwerdeführerin habe im Rahmen ihres Gewerbes nach § 152 GewO 1994 die Information zum über die mitbeteiligte Partei eröffneten Sanierungsverfahren jedoch noch im Zeitpunkt der Beschwerdeerhebung (03.12.2024) verarbeitet. Daraus folge, dass der Eintrag über die Insolvenz der mitbeteiligten Partei in der (privaten) Bonitätsdatenbank der Beschwerdeführerin über die Speicherdauer seiner (öffentlich abrufbaren) Eintragung in der Insolvenzdatei verarbeitet worden wäre. Ferner sei das Recht auf Geheimhaltung keiner nachträglichen Beseitigung zugänglich und der belangten Behörde komme daher in Bezug auf § 1 Abs. 1 DSG eine Feststellungskompetenz auch im Hinblick auf in der Vergangenheit liegende Rechtsverletzungen zu.

4. Die Beschwerdeführerin erhob gegen den Bescheid der belangten Behörde am 12.06.2025 Beschwerde und führte darin im Wesentlichen aus, es liege Aktenwidrigkeit vor. Die belangte Behörde habe offenbar versehentlich die Eigenauskunft aus dem Jahr 2022 herangezogen und sodann festgestellt, dass im November 2024 (immer noch) das Schuldenregulierungsverfahren des Beschwerdeführers gespeichert gewesen sei. Dies entspreche aber nicht dem Akt, insbesondere nicht der von der mitbeteiligten Partei vorgelegten und sohin im Akt befindlichen Eigenauskunft von November 2024. Es seien auch weder Ermittlungen angestellt worden, oder Feststellungen dazu getroffen worden, ob eine Weitergabe erfolgt sei, noch ob diese geeignet gewesen wäre, die Ausübung der Freiheiten der mitbeteiligten Partei zu erschweren. Die nach den Feststellungen der belangten Behörde vorgelegene bloße Speicherung reiche aber nicht aus, um einen schweren Eingriff in die Grundrechte der mitbeteiligten Partei zu begründen.

5. Mit Schreiben vom 10.07.2025 legte die belangte Behörde dem Bundesverwaltungsgericht die Bescheidbeschwerde samt dem gegenständlichen Verwaltungsakt zur Entscheidung vor und führte in ihrer Stellungnahme aus, es sei der Beschwerdeführerin zuzustimmen, dass die belangte Behörde irrtümlich in den Sachverhaltsfeststellungen die im Jahr 2022 an die mitbeteiligte Partei erteilte Auskunft statt jener aus 2024 wiedergegeben habe. Jedoch finde sich unter dem Punkt „Zahlungsweise“ in der im November 2024 seitens der Beschwerdeführerin an die mitbeteiligte Partei erteilten Auskunft die Angabe „Den bisherigen Zahlungsverpflichtungen wird in unterschiedlicher Art und Weise nachgekommen. Eine allgemeine Geschäftsverbindung wird nicht abgesprochen. Bei Kreditvergabe ist auf Sicherheiten Wert zu legen.“ Außerdem sei in der E-Mail der Beschwerdeführerin vom 29.11.2024 an die mitbeteiligte Partei auf das Schuldnerregulierungsverfahren verwiesen worden. Die Beschwerdeführerin habe somit zum Zeitpunkt der Beschwerdeeinbringung weiterhin Daten zum Schuldenregulierungsverfahren der mitbeteiligten Partei verarbeitet, zwar nur indirekt in dem Punkt „Zahlungsweise“ in der Auskunft, allerdings durch die unbestrittene E-Mail vom 29.11.2024 eindeutig belegt. Auch wenn die Daten zum Schuldenregulierungsverfahren der mitbeteiligten Partei nicht mehr in der Auskunft vom November 2024 wiedergegeben worden wären – ungeachtet des Art. 15 DSGVO –, so seien sie offensichtlich weiterhin von der Beschwerdeführerin intern verarbeitet worden und ändere sich daher an der Quintessenz des Falles nichts.

6. Das Bundesverwaltungsgericht übermittelte der Beschwerdeführerin mit Parteiengehör die Stellungnahme der belangten Behörde. Die Beschwerdeführerin wiederholte in ihrer Stellungnahme vom 11.08.2025 im Wesentlichen ihr bisheriges Vorbringen und brachte Aktenwidrigkeit vor. Die Auskunft aus dem Jahr 2024 habe keinen Hinweis mehr auf das Insolvenzverfahren erhalten, da dieses zwischenzeitlich gelöscht worden wäre. Auch die Zahlungsweise sei angepasst worden und enthalte keinen Hinweis auf ein Insolvenzverfahren oder auf Zahlungsausfälle bzw. hohe Zahlungsrisiken.

7. Die belangte Behörde verwies in ihrer Stellungnahme vom 25.08.2025 auf ihre Stellungnahme vom 10.07.2025.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die Beschwerdeführerin führt das Gewerbe der „Auskunftei über Kreditverhältnisse“ gemäß Art 152 Gewerbeordnung (GewO). Sie speichert und verarbeitet Daten zur Bonität von Personen und Unternehmen in Österreich.

1.2. Die mitbeteiligte Partei wollte sich eine „ XXXX “ (Tankkarte) ausstellen lassen und erhielt am XXXX 2024 folgendes E-Mail von der XXXX (einer Tochtergesellschaft der XXXX ):

„Sehr geehrter Herr XXXX ,

wir möchten Sie informieren dass Ihre Bonitätsprüfung leider negativ ausgefallen ist. Wir können Ihre XXXX nur ausstellen wenn Sie eine Depotzahlung in Höhe von Euro von 500,- leisten. Diese bitte an IBAN: XXXX , Verwendungszweck: XXXX

Bitte um kurze Rückmeldung ob Sie diese Variante in Anspruch nehmen wollen.

Danke

[…]“

Die mitbeteiligte Partei antwortete der XXXX mit E-Mail am selben Tag, dass kein negativer Eintrag vorhanden sein sollte und fragte, bei welchem Unternehmen die Bonitätsabfrage durchgeführt wurde.

Die XXXX antworte der mitbeteiligten Partei, sie soll sich mit der „ XXXX “ (Beschwerdeführerin) in Verbindung setzen.

1.3. Die mitbeteiligte Partei beantragte in weiterer Folge eine „Eigenauskunft“ bei der Beschwerdeführerin und erhielt am 28.11.2024 auszugweise folgende Auskunft:

Außerdem verfügt die mitbeteiligte Partei über eine Eigenauskunft aus dem Jahr 2022, die auszugweise wie folgt lautete:

…

Die Auskunft vom Jahr 2022 wurde gemäß den Geschäftsbedingungen der „ XXXX erteilt. Die Beschwerdeführerin wurde als übernehmende Gesellschaft mit Verschmelzungsvertrag vom 16.09.2021 mit der XXXX verschmolzen.

1.4. Die mitbeteiligte Partei antwortete auf die von der Beschwerdeführerin erteilte Auskunft mit E-Mail vom 29.11.2024 wie folgt:

„Sehr geehrter Herr XXXX ,

ich ersuche nochmals um Mitteilung:

An wen genau wurde Auskunft über meine Bonität erteilt?

Welche Auskunft bezüglich meiner Bonität wurde genau erteilt und aus welchem Grund?

Woher leitet die Firma XXXX die unter "Zahlungsweise" angeführte Einschätzung ab?

Meine Zahlweise ist nachweislich ausgezeichnet, ohne Zahlungsverzug oder Mahnungen. Meine finanzielle Situation ist aufgrund meiner Einkommen ebenfalls sehr gut und weit über dem Durchschnitt.

Ihre angeführte falsche Einschätzung führt zu einer ungerechtfertigten Benachteiligung meinerseits!

Mit freundlichen Grüßen

XXXX “

Die Beschwerdeführerin beantwortete das E-Mail der mitbeteiligten Partei am 29.11.2024 auszugweise wie folgt: „Die unter "Zahlungsweise" angeführte Einschätzung ist zurückzuführen auf Ihr Schuldenregulierungsverfahren, das mit dem Ende der Zahlungsfrist am 04.06.2021 zwar als aufgehoben gilt, dennoch weiterhin als bonitätsrelevant aufgrund der Aktualität eingestuft wird.“

Die mitbeteiligte Partei erachtete die Antwort der Beschwerdeführerin als nicht ausreichend und führte in ihrem E-Mail vom 02.12.2024 an die Beschwerdeführerin auszugweise aus: „Bitte nennen Sie mir den Namen des Unternehmens, dem sie die Auskunft am 11.03.2024 erteilt haben. Bitte nennen Sie mir den genauen Wortlaut der Auskunft, die sie erteilt haben.“

Am 03.12.2024 antwortete die Beschwerdeführerin in ihrer E-Mai:

„Sehr geehrter Herr XXXX ,

in Ihrem Fall ist es die Firma XXXX .

Retrospektive Inhalte einer Auskunft können wir nicht ableiten, hierzu sind wir auch nicht verpflichtet laut Gesetzgeber. Artikel 15 Auskunftsrecht der betroffenen Person sieht auch vor, dass beauskunftet wird, welche Datengespeichert werden, nicht welche in der Vergangenheit gespeichert wurden.

Mit freundlichen Grüßen

[…]“

2.5. Die Beschwerdeführerin übermittelte mit E-Mail vom XXXX 2025 der XXXX ein E-Mail mit folgendem Inhalt:

„Sehr geehrter Kunde,

Sie haben am 11.03.2024 eine Bonitätsabfrage zum Betroffenen XXXX , von unserem Unternehmen bezogen.

Wir haben Ihnen mitzuteilen, dass die Auskunft, insbesondere der Hinweis zur Bonität, nicht korrekt war, da veraltete Informationen einbezogen wurden. Dieser Umstand wurde bereits in unserer Datenbank korrigiert und hat dies auch günstige Auswirkungen auf die Bonität.

Eine aktualisierte Auskunft wird Ihnen im Bedarfsfall zur Verfügung gestellt

Mit freundlichen Grüßen

XXXX “

2.6. Die von der Beschwerdeführerin am 11.03.2024 an die XXXX erteilte Auskunft basierte auf einem Schuldenregulierungsverfahren beim XXXX . Mit Beschluss vom XXXX .2021 wurde ein Zahlungsplan rechtskräftig bestätigt und das Schuldnerregulierungsverfahren aufgehoben. Das Ende der Zahlungsfrist wurde mit XXXX 2021 festgelegt.

Der Beschwerdeführerin standen die Informationen zum Schuldnerregulierungsverfahren der mitbeteiligten Partei am 11.03.2024 sowie am 29.11.2024 noch zur Verfügung, weshalb diese zu diesem Zeitpunkt noch bei ihr gespeichert waren.

2. Beweiswürdigung:

2.1. Die Feststellungen ergeben sich aus dem Verwaltungsakt, insbesondere der Datenschutzbeschwerde der mitbeteiligten Partei vom 03.12.2024, dem Bescheid vom 12.05.2025 sowie der dagegen erhobenen Beschwerde vom 12.06.2025.

2.2. Insbesondere ergeben sich die Feststellungen aus der E-Mail der XXXX an die mitbeteiligte Partei vom 11.03.2024, indem die mitbeteiligte Partei darauf hingewiesen wurde, dass ihre Bonitätsprüfung negativ ausfiel. Aus der weiteren E-Mail-Korrespondenz der mitbeteiligten Partei mit XXXX leitete sich ab, dass die Auskunft zur Bonität der mitbeteiligten Partei durch die Beschwerdeführerin erteilt wurde.

2. 3 Die von der Beschwerdeführerin an die mitbeteiligte Partei am 28.11.2024 erteilte Auskunft, war der „Eigenauskunft“ von 28.11.2024 zu entnehmen, auf welcher ganz unten der Hinweis ersichtlich ist, dass diese Auskunft aus dem Jahr 2024 stammt. Dass die mitbeteiligte Partei über eine weitere „Eigenauskunft“ aus dem Jahr 2022 verfügt, war ihrer Datenschutzbeschwerde zu entnehmen und legte sie diese ihrer Beschwerde bei. Die Informationen zur diesbezüglichen Verschmelzung der Beschwerdeführerin mit der „ XXXX “ waren dem Firmenbuchauszug vom 16.06.2026 zur FN XXXX zu entnehmen.

2.4. Die Feststellungen zur Korrespondenz zwischen der mitbeteiligten Partei und der Beschwerdeführerin waren dem im Akt einliegenden E-Mail-Verlauf am 29.11.2024 sowie am 02.12.2024 und am 03.12.2024 zu entnehmen, welcher zwischen einem Mitarbeiter der Beschwerdeführerin und der mitbeteiligten Partei stattfand.

2.5. Die Beschwerdeführerin leitete ihr E-Mail vom XXXX 2025 an die XXXX der belangten Behörde weiter. Aus dieser E-Mail geht hervor, dass sie Beschwerdeführerin die XXXX über eine falsche von der Beschwerdeführerin am 11.03.2024 erteilte Auskunft hinsichtlich der Bonität der mitbeteiligten Partei informierte.

2.6. Dass die von der Beschwerdeführerin am 11.03.2024 erteilte Auskunft an die XXXX auf das Schuldnerregulierungsverfahren beim Bezirksgericht XXXX basiert, beruht auf folgenden Tatsachen:

Zunächst ist der Beschwerdeführerin beizupflichten, dass die belangte Behörde einräumte, dass sie irrtümlich in ihren Sachverhaltsfeststellungen die im Jahr 2022 an die mitbeteiligte Partei erteilte „Eigenauskunft“ statt jener aus 2024 wiedergegeben habe (Aktenvorlage vom 10.07.2025, S. 2). Aber bloß, weil die konkreten Informationen zum Schuldnerregulierungsverfahren nicht in der „Eigenauskunft“ vom Jahr 2024 wiedergegeben wurden, sondern lediglich in der von 2022, kann aufgrund der Sachverhaltslage dennoch nicht festgestellt werden, dass die Beschwerdeführerin ihre Auskunft an die XXXX vom 11.03.2024 nicht auf das Schuldnerregulierungsverfahren stützte und somit keine Informationen zum Schuldnerregulierungsverfahren aus dem Jahr 2021 speicherte. Dies insbesondere deshalb, weil die mitbeteiligte Partei am 29.11.2024 eine E-Mail an die Beschwerdeführerin verfasste, in der sie um Mitteilung ersuchte, an wen genau Auskunft über ihre Bonität erteilt wurde, welche Auskunft bezüglich ihrer Bonität genau erteilt wurde und aus welchem Grund und woher die Beschwerdeführerin die unter „Zahlungsweise“ angeführte Einschätzung ableitete. Ein Mitarbeiter der Beschwerdeführerin antwortete am selben Tag:

„Die unter "Zahlungsweise" angeführte Einschätzung ist zurückzuführen auf Ihr Schuldenregulierungsverfahren, das mit dem Ende der Zahlungsfrist am 04.06.2021 zwar als aufgehoben gilt, dennoch weiterhin als bonitätsrelevant aufgrund der Aktualität eingestuft wird.“

Somit ist es offensichtlich, dass die Beschwerdeführerin zu diesem Zeitpunkt noch Informationen zum Schuldnerregulierungsverfahren der mitbeteiligten Partei gespeichert hatte. Daran ändert auch die Tatsache nichts, dass der „Eigenauskunft“ aus dem Jahr 2024 keine Informationen zum Schuldenregulierungsverfahren beim Bezirksgericht XXXX zu entnehmen ist. Die Beschwerdeführerin begründete noch am 29.11.2024 ihre Auskunft an die XXXX mit dem Schuldenregulierungsverfahren, das mit dem Ende der Zahlungsfrist am XXXX 2021 als aufgehoben galt. Die Informationen zu diesem Verfahren waren somit bei der Beschwerdeführerin offensichtlich im November 2024 nicht gänzlich gelöscht, sonst hätte sie die mitbeteiligte Partei nicht darauf hinweisen können. Die Beschwerdeführerin wusste am 29.11.2024, weshalb der Auskunftstext zur Zahlungsweise zu diesem Zeitpunkt noch nicht adaptiert war. Dadurch dass die Beschwerdeführerin diese Information hatte, kann sie nicht im November 2024 gelöscht gewesen sein.

Die Beschwerdeführerin brachte in ihrer Stellungnahme vor, die belangte Behörde schließe aus dem Umstand, dass die Beschreibung der Zahlungsweise im Jahr 2024 (noch) nicht angepasst worden wäre, dass die Daten zum Insolvenzverfahren intern noch in Verwendung stünden. Diese Schlussfolgerung sei aber unrichtig. Die Beschwerdeführerin habe mehrfach erläutert, dass diese den Hinweis auf das Schuldenregulierungsverfahren sehr wohl aus ihrem Verzeichnis gelöscht habe (und hat hierzu auch entsprechende Beweise angeboten). Im Jahr 2024 seien diese Daten bei der Beschwerdeführerin also nicht mehr in Verwendung gestanden (Stellungnahme der BF vom 11.08.2025, S. 3). Dies kann jedoch, wie bereits ausgeführt, klar widerlegt werden. Es spielt keine Rolle, ob in der Eigenauskunft von November 2024 ein Hinweis zum Schuldnerregulierungsverfahren enthalten war, oder nicht. Tatsache ist, dass der mitbeteiligten Partei am 11.03.2024 von der XXXX mitgeteilt wurde, dass ihre Bonitätsprüfung negativ ausfiel und sich dann herausstellte, dass diese Firma die Auskunft zur Bonität von der Beschwerdeführerin hatte. Die Beschwerdeführerin nannte selbst in weiterer Folge als Grund für die erfolgte Auskunft zur Bonität der mitbeteiligten Partei, das Schuldnerregulierungsverfahren. Somit wusste sie, weshalb in ihrer Eigenauskunft von November 2024 der Vermerk stand: „Den bisherigen Zahlungsverpflichtungen wird in unterschiedlicher Art und Weise nachgekommen. Eine allgemeine Geschäftsverbindung wird nicht abgesprochen. Bei Kreditvergabe ist auf Sicherheiten Wert zu legen.“ Allein aufgrund der Tatsache, dass sie wusste, dass dieser Vermerk auf das Schuldnerregulierungsverfahren (mit genauem Datum) zurückzuführen ist, kann sie diese Daten nur im November 2024 noch gespeichert haben und dies in der „Eigenauskunft“ von November 2024 schlicht nicht zusätzlich erwähnt haben.

Auch wenn die Daten zu diesem Zeitpunkt „nicht mehr in Verwendung standen“, waren sie bei der Beschwerdeführerin gespeichert. Es ist nicht wahrscheinlich, dass ein Mitarbeiter quasi „auswendig“ wusste, weshalb dieser Vermerk unter der Rubrik „Zahlungsweise“ stand und auf welches konkretes Schuldnerregulierungsverfahren das zurückzuführen ist. Damit muss die Information bei der Beschwerdeführerin im November 2024 gespeichert gewesen sein und sie haben gegenüber der mitbeteiligten Partei den Vermerk, dass bei der Kreditvergabe auf Sicherheiten Wert zu legen sei auch damit begründet. Die Beschwerdeführerin brachte in ihrer Stellungnahme vor, dies stehe nicht im Widerspruch zum E-Mail der Beschwerdeführerin vom 29.11.2024, „zumal dem Mitarbeiter aus der Dokumentation der Auskünfte bekannt war, dass ein mittlerweile gelöschtes Schuldenregulierungsverfahren bestand“ (Stellungnahme der BF vom 11.08.2025, S. 4). Somit bringt die Beschwerdeführerin selbst vor, dass diese Informationen ihrem Mitarbeiter bekannt waren. Der Mitarbeiter wird sich jedoch nicht gemerkt haben, welches konkrete Schuldnerregulierungsverfahren gegen die mitbeteiligte Partei geführt wurde. Daher waren die Informationen zum Schuldnerregulierungsverfahren am 29.11.2024 bei der Beschwerdeführerin gespeichert. Es ist daher nicht glaubhaft, wenn die Beschwerdeführerin behauptet, es sei weder zum Zeitpunkt der Auskunftserteilung im November 2024 noch zum Zeitpunkt der Auskunftserteilung an die XXXX im März 2024 eine Speicherung oder sonstige Verwendung von Daten zum Insolvenzverfahren (Schuldenregulierungsverfahren) der mitbeteiligten Partei vorgelegen.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 DSG liegt gegenständlich Senatszuständigkeit vor.

Zu A) Abweisung der Beschwerde:

3.2. Anzuwendendes Recht:

Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idgF lauten auszugsweise samt Überschrift wie folgt:

„Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

[…]“

Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift:

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

…

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

…

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

...

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

...“

Die maßgebliche Bestimmung des Bundesgesetzes über das Insolvenzverfahren (Insolvenzordnung – IO) lautet auszugweise wie folgt:

Insolvenzdatei

§ 256. (1) In die Ediktsdatei sind die Daten aufzunehmen, die nach diesem Bundesgesetz öffentlich bekanntzumachen sind (Insolvenzdatei).

(2) Die Einsicht in die Insolvenzdatei ist nicht mehr zu gewähren, wenn ein Jahr vergangen ist seit

1. der Aufhebung des Insolvenzverfahrens nach §§ 123a, 123b und 139,

2. Ablauf der im Sanierungsplan vorgesehenen Zahlungsfrist, wenn dessen Erfüllung nicht überwacht wird,

3. Beendigung oder Einstellung der Überwachung des Sanierungsplans,

4. Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist oder

5. der vorzeitigen Einstellung oder Beendigung des Abschöpfungsverfahrens.

(3) Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Sanierungsplan oder Zahlungsplan erfüllt worden ist. Der Schuldner hat die Erfüllung urkundlich nachzuweisen. Mit der Prüfung der Erfüllung kann das Gericht einen Sachverständigen beauftragen, dessen Kosten vom Schuldner zu tragen sind. Über die Einsicht entscheidet das Gericht mit unanfechtbarem Beschluss.

(4) Die Einsicht in die Eintragung der mangels kostendeckenden Vermögens oder wegen Vermögenslosigkeit nach § 68 nicht eröffneten Insolvenzverfahren ist nach drei Jahren nach der Eintragung nicht mehr zu gewähren.

Die maßgebliche Bestimmung des Bundesgesetzes über die Gewerbeordnung 1994 (GewO) lautet auszugweise wie folgt:

Auskunfteien über Kreditverhältnisse

§ 152 (1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.

(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.

(3) Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Sanierungsplan oder Zahlungsplan erfüllt worden ist. Der Schuldner hat die Erfüllung urkundlich nachzuweisen. Mit der Prüfung der Erfüllung kann das Gericht einen Sachverständigen beauftragen, dessen Kosten vom Schuldner zu tragen sind. Über die Einsicht entscheidet das Gericht mit unanfechtbarem Beschluss.

(4) Die Einsicht in die Eintragung der mangels kostendeckenden Vermögens oder wegen Vermögenslosigkeit nach § 68 nicht eröffneten Insolvenzverfahren ist nach drei Jahren nach der Eintragung nicht mehr zu gewähren.

3.3. In der Sache

3.3.1. Im gegenständlichen Fall wollte die mitbeteiligte Partei mit einer Firma einen Vertrag abschließen, welche eine Bonitätsprüfung gegenüber der mitbeteiligten Partei in die Wege leitete und bei der Beschwerdeführerin um diesbezügliche Auskunft anfragte. Die diesbezügliche Auskunft enthielt in der Rubrik „Zahlungsweise“ den Vermerk: „Den bisherigen Zahlungsverpflichtungen wird in unterschiedlicher Art und Weise nachgekommen. Eine allgemeine Geschäftsverbindung wird nicht abgesprochen. Bei Kreditvergabe ist auf Sicherheiten Wert zu legen.“ Aufgrund dieses Vermerks wurde die mitbeteiligte Partei bei ihrem potenziellen Vertragspartner zu einer Sicherheitsleistung verpflichtet. Die mitbeteiligte Partei informierte sich bei der Beschwerdeführerin über diese zu ihrer Person erteilte Auskunft, woraufhin diese am 29.11.2024 folgende Antwort erhielt: „Die unter "Zahlungsweise" angeführte Einschätzung ist zurückzuführen auf Ihr Schuldenregulierungsverfahren, das mit dem Ende der Zahlungsfrist am 04.06. 2021 zwar als aufgehoben gilt, dennoch weiterhin als bonitätsrelevant aufgrund der Aktualität eingestuft wird.“

3.3.2. Die Beschwerdeführerin betreibt das Gewerbe der Kreditauskunftei gemäß § 152 GewO. Zu den Aufgaben der Gewerbetreibenden iSd § 152 GewO gehört die Erteilung von Auskünften über die Kreditwürdigkeit von Unternehmen und Privatpersonen an Dritte. Der Zweck dieser Gewerbetreibenden liegt darin, den Kreditgebern aussagefähige Informationen über vorhandene oder auch potenzielle Kreditnehmer, und zwar insbesondere über die Art und Weise ihrer bisherigen Schuldenbegleichung, zur Verfügung zu stellen (Riesz in Ennöckl/Raschauer/Wessely, GewO § 152 Rz 2). Dadurch soll es Kreditgebern ermöglicht werden, die Wahrscheinlichkeit, mit der der Kreditgeber am Ende wegen seiner Forderung befriedigt wird, und allenfalls die Prognose, mit wie vielen Schwierigkeiten das verbunden ist, zu bestimmen (Wendehorst, Was ist Bonität? Zum Begriff der "Kreditwürdigkeit" in § 7 VKrG, in Blaschek/Habersberger (Hrsg), Eines Kredites würdig? (2011) 22). Eine Neigung zu vertragswidrigem Verhalten – etwa mangelnde finanzielle Selbstkontrolle oder habituelles Hinauszögern von Zahlungen bis zum Exekutionsdruck – lässt sich vor allem aus dem Finanzgebaren in der Vergangenheit heraus prognostizieren. Relevant ist dabei vergangenes vertragswidriges Verhalten, das sich in schlichtem Zahlungsverzug, aber auch in gerichtlichen Verfahren bis hin zu Exekutionshandlungen oder gar in einer Insolvenzeröffnung manifestiert haben mag (aaO 23; vgl. auch Heinrich, Bonitätsprüfung im Verbraucherkreditrecht (Wien 2014) 89 f).

Die Beschwerdeführerin verarbeitet im Zuge des Betriebs des Gewerbes der Kreditauskunftei historische Informationen über Zahlungsausfälle, um sie (potentiellen) Gläubigern bereitzustellen, damit diese das Risiko etwaiger Zahlungsausfälle bestimmen können.

Dabei handelt es sich um einen festgelegten, eindeutigen und durch die Rechtsordnung anerkannten (§ 152 GewO) Zweck. Sie sind auch dem Grunde nach erforderlich und geeignet, um eine Prognose über zukünftiges Zahlungsverhalten abgeben zu können (siehe dazu auch EuGH 23.11.2006, Rs C-238/05 Rz 47 in Hinblick auf Systeme zum Informationsaustausch zwischen Finanzinstituten).

Da § 152 Gewerbeordnung keine Rechtsgrundlage für die Datenverarbeitung ist, ist die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, um die es verfahrensgegenständlich geht, allein im Licht von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zu beurteilen (VwGH 01.02.2024, Ro 2020/04/0031 Rn74).

3.3.3. Zu Art. 6 Abs. 1 Unterabs. 1 Buchst. f der DSGVO hat der Gerichtshof entschieden, dass diese Bestimmung dahin auszulegen ist, dass eine Verarbeitung nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten der von der Verarbeitung betroffenen Personen gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. in diesem Sinne Urteile vom 4. Mai 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, Rn. 30, und vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 126).

Zur Abwägung der verfolgten berechtigten Interessen ist festzustellen, dass die Analyse einer Wirtschaftsauskunftei insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern kann. Was hingegen die Rechte und die Interessen der betroffenen Person betrifft, stellt die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten durch eine Wirtschaftsauskunftei einen schweren Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte der betroffenen Person dar. Solche Daten dienen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person und stellen daher sensible Informationen über ihr Privatleben dar (vgl. in diesem Sinne Urteil vom 13. Mai 2014, Google Spain und Google, C-131/12, EU:C:2014:317, Rn. 98). Ihre Verarbeitung kann den Interessen der betroffenen Person beträchtlich schaden, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken. Zudem sind, wie die Kommission ausgeführt hat, die Folgen für die Interessen und das Privatleben der betroffenen Person umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen umso höher, je länger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden (VwGH 01.02.2024, Ro 2020/04/0031 Rn 93f).

Der Verwaltungsgerichtshof sprach in diesem Zusammenhang aus, dass die Interessen des Kreditsektors, über Informationen hinsichtlich einer Restschuldbefreiung zu verfügen, keine Verarbeitung personenbezogener Daten nach Ablauf der Frist für die Speicherung der Daten im öffentlichen Insolvenzregister rechtfertigen, sodass die Speicherung dieser Daten durch eine Wirtschaftsauskunftei in Bezug auf den Zeitraum nach der Löschung dieser Daten aus einem öffentlichen Insolvenzregister nicht auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden kann (VwGH 01.02.2024, Ro 2020/04/0031 Rn 99).

3.3.4. Die Beschwerdeführerin bestreitet nicht, dass die Speicherung von Insolvenzdaten nach der Löschung dieser Daten aus einem öffentlichen Insolvenzregister nicht auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestützt werden kann. Vielmehr bestreitet sie, diese Daten im November 2024 noch gespeichert und verwendet zu haben. Dies konnte jedoch anhand der an die mitbeteiligte Partei am 29.11.2024 gesendete E-Mail klar widerlegt werden.

Ziel eines öffentlichen Insolvenzregisters, wie die Insolvenzdatei gemäß § 256 IO, ist die Gewährleistung einer besseren Information der betroffenen Gläubiger und Gerichte (vgl. EuGH C-26/22 und C-64/22, Rn. 96, sowie innerstaatlich die Erläuterungen zum Insolvenzrechtsänderungsgesetz 1997 - IRÄG 1997 in RV 734 BlgNR 20. GP , 34, 63).

Gemäß § 256 Abs. 2 Z 4 IO ist die Einsicht in die Insolvenzdatei nicht mehr zu gewähren, wenn seit dem Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist ein Jahr vergangen ist. Auf Antrag des Schuldners ist die Einsicht in die Insolvenzdatei bereits dann nicht mehr zu gewähren, wenn der rechtskräftig bestätigte Zahlungsplan erfüllt worden ist (§ 256 Abs. 3 IO). Letztere Möglichkeit dient der Vermeidung von Nachteilen des Schuldners im Geschäftsverkehr (vgl. die Erläuterungen zum Insolvenzrechtsänderungsgesetz 2010 -IRÄG 2010 RV 612 BlgNR 24. GP 3, 35).

Wie bereits festgestellt, wurde mit Beschluss vom XXXX .2021 der Zahlungsplan der mitbeteiligten Partei rechtskräftig bestätigt und das Schuldnerregulierungsverfahren aufgehoben. Das Ende der Zahlungsfrist wurde mit XXXX 2021 festgelegt. Die Beschwerdeführerin hätte somit am 11.03.2024 beziehungsweise am 29.11.2024 die Daten zum Schuldnerregulierungsplan nicht speichern dürfen. Auch wenn die Beschwerdeführerin die XXXX nicht konkret zum Insolvenzverfahren informierte und diese Daten dazu in der Auskunft von 2024 nicht mehr aufgelistet waren, waren sie dennoch bei ihr gespeichert, sonst hätte sie gegenüber der mitbeteiligten Partei den Vermerk unter der Rubrik „Zahlungsweise“ nicht mit dem Schuldnerregulierungsverfahren begründen können.

Der Gesetzgeber geht davon aus, dass bereits mit Erfüllung des rechtskräftig bestätigten Zahlungsplans spätestens jedoch mit Ablauf einer Frist von einem Jahr seit Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist die Rechte und Interessen der betroffenen Person, wie vorliegend der mitbeteiligten Partei, diejenigen der Öffentlichkeit, über diese Informationen zu verfügen, überwiegen (vgl. RV 734 BlgNR 20. GP, 63). Schließlich ist das Ziel des Zahlungsplans die wirtschaftliche Gesundung des Schuldners (vgl. OGH 18.8.2010, 8 Ob 146/09t). In diesem Sinn soll eine „Löschung“ aus der Insolvenzdatei infolge Erfüllung des Zahlungsplans die Beeinträchtigung des Schuldners im Geschäftsverkehr durch öffentliche Bekanntmachung eines früheren Insolvenzverfahrens vermeiden (vgl. Erläuterungen in RV 612 BlgNR 24. GP , 3, 35).

Wie der Verwaltungsgerichtshof aussprach, wäre die Verwirklichung dieses Ziels jedoch gefährdet, wenn die Kreditauskunftei zur Beurteilung der wirtschaftlichen Situation Daten über das Insolvenzverfahren speichern und solche Daten verwenden könnte, nachdem die Einsicht in die Insolvenzdatei gemäß § 256 Abs. 2 und Abs. 3 IO nicht mehr zu gewähren ist, weil diese Daten bei der Bewertung der Kreditwürdigkeit stets als negativer Faktor verwendet werden (VwGH 01.02.2024, Ro 2020/04/0031).

Obwohl die Einsicht in die Insolvenzdatei gemäß § 256 Abs. 2 IO nicht mehr zu gewähren war, speicherte die Beschwerdeführerin Daten über das Insolvenzverfahren, auch wenn diese nicht explizit in ihrer Auskunft aufgelistet waren. Sie verwendete, ohne das Insolvenzverfahren explizit in der Auskunft an die XXXX konkret zu erwähnen, diese Daten trotzdem stets als negativen Faktor. Die Beschwerdeführerin begründete den Vermerk unter „Zahlungsweise“ auch so gegenüber der mitbeteiligten Partei und die Bonitätsprüfung der Mitbeteiligten verlief negativ, was dazu führte, dass sie zur Zahlung einer Sicherheitsleistung aufgefordert wurde.

Die Speicherung dieser Daten durch die Beschwerdeführerin ein Jahr nach Ablauf der im Zahlungsplan vorgesehenen Zahlungsfrist gemäß § 256 Abs. 2 Z 4 IO kann nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Die Speicherung der das Schuldenregulierungsverfahren der mitbeteiligten Partei betreffenden Daten aus der Insolvenzdatei durch die Beschwerdeführerin über den Zeitraum der Zahlungsfrist gemäß nach § 256 Abs. 2 Z 4 IO hinaus erweist sich somit als nicht rechtmäßig (vgl. wiederum EuGH C-26/22 und C-64/22, Rn. 98 und 99).

Die belangte Behörde sprach damit zu Recht aus, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Geheimhaltung verletzte, indem sie im Rahmen ihrer gewerblichen Tätigkeit als Kreditauskunftei einen Eintrag zum beim Bezirksgericht XXXX durchgeführten und die mitbeteiligte Partei betreffenden Sanierungsverfahren über den Zeitraum der öffentlich abrufbaren Speicherung in der Insolvenzdatei hinaus verarbeitet hat. Dabei spielt es keine Rolle, dass die belangte Behörde aussprach, dass diese Daten in der „Bonitätsdatenbank“ verarbeitet wurden. Es steht nämlich jedenfalls fest, dass diese Daten am 29.11.2024 verarbeitet wurden.

Der Beschwerdeführerin wäre es ansonsten möglich die Pflicht der Löschung unter Einhaltung des § 256 IO zu umgehen, indem sie zwar diese Daten ihren Kunden nicht beauskunftet, jedoch ihre Kunden vor der Kreditvergabe in gewisser Weise warnt („Bei Kreditvergabe ist auf Sicherheiten Wert zu legen.“) und dies dann nur gegenüber der betroffenen Person mit dem Schuldnerregulierungsverfahren begründet, das eigentlich nicht mehr einsehbar ist. Die Beschwerdeführerin vermeint, dass die Angaben zur Zahlungsweise grundsätzlich nicht negativ gewesen seien. Dem ist jedoch entgegenzuhalten, dass dieser Vermerk sehr wohl den Eindruck machte, dass der mitbeteiligten Partei hinsichtlich der Zahlungsfähigkeit nicht ganz zu vertrauen ist, da auf Sicherheiten Wert zu legen ist. Deshalb wurde die mitbeteiligte Partei von ihrem Vertragspartner auch zur Zahlung einer Sicherheitsleistung aufgefordert. Dass dieser Vermerk negativer Folgen für die mitbeteiligte Partei hatte, ist der Beschwerdeführerin bewusst, sonst hätte sie mit E-Mail vom XXXX 2025 keine Korrektur vorgenommen und die XXXX gleichzeitig darauf hingewiesen, dass veraltete Informationen einbezogen wurden. Entgegen der Behauptung der Beschwerdeführerin wurde das Unternehmen nicht „umgehend“ von diesem Fehler informiert, sondern am XXXX 2025 und die Auskunft erfolgte am XXXX .2024. Vielmehr rechtfertigte die Beschwerdeführerin diesen Vermerk zunächst noch gegenüber der mitbeteiligten Partei am XXXX .2024 mit dem Schuldnerregulierungsverfahren. Daher spielt die Behauptung der Beschwerdeführerin, der Text zur Beschreibung der Zahlungsweise sei „offenbar (irrtümlicherweise) nicht vollständig adaptiert wurde“ keine Rolle. Sie hätte im November 2024 diesen „Fehler“ beheben können und ihn nicht vor der mitbeteiligten Partei mit dem Schuldnerregulierungsverfahren noch rechtfertigen dürfen.

Trotz mittlerweile erfolgter Löschung und von der Beschwerdeführerin vorgenommenen Korrektur, hat die mitbeteiligte Partei einen Feststellungsanspruch. Der Verwaltungsgerichtshof bejahte den Feststellungsanspruch bei Verletzung des Rechts auf Geheimhaltung auch für die Vergangenheit. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (im vorliegenden Fall die Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann (VwGH 19.10.2022, Ro 2022/04/0001).

Die Beschwerde war daher als unbegründet abzuweisen.

3.4. Zum Entfall der mündlichen Verhandlung:

Von der Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs. 4 VwGVG Abstand genommen werden, da der entscheidungserhebliche Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt erscheint und eine mündliche Erörterung die weitere Klärung der Rechtssache nicht erwarten lässt. Daran ändert auch der Umstand nichts, dass die Beschwerdeführerin behauptet im Jahr 2024 keine Daten der mitbeteiligten Partei zum Schuldnerregulierungsverfahren gespeichert zu haben beziehungsweise diese nicht verwendet zu haben. Diese Behauptung konnte aufgrund der konkreten Aktenlage klar widerlegt werden. Dem Entfall der Verhandlung stehen auch weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten, BGBl. Nr. 210/1958 noch Art. 47 der Charta der Grundrechte der Europäischen Union, ABl. Nr. C 83 vom 30.03.2010, S 389 entgegen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Eine Rechtsfrage grundsätzlicher Bedeutung liegt nicht vor. Der Rechtsprechung des Verwaltungsgerichtshofs war zu entnehmen, dass die Speicherung von Insolvenzdaten durch eine Kreditauskunftei über den Zeitpunkt der Löschung aus der Insolvenzdatei hinaus nicht rechtmäßig ist. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen.