OGH-Entscheidungen vom 12.8.2026, 6 Ob 147/25y, 6 Ob 148/25w, 6 Ob 151/25m
Sachverhalt:
Der OGH hat sich in drei Parallelentscheidungen mit der datenschutzrechtlichen Zulässigkeit der Verarbeitung personenbezogener Daten durch eine Kreditauskunftei befasst.
Fraglich war, ob ursprünglich für Zwecke des Adressverlags und Direktmarketings erhobene Daten für Bonitätsprüfungen weiterverarbeitet werden dürfen und ob die Erstellung eines Bonitätsscores ohne konkrete Zahlungserfahrungsdaten zulässig ist.
Die Beklagte betreibt sowohl einen Adressverlag gemäß § 151 GewO als auch eine Auskunftei über Kreditverhältnisse gemäß § 152 GewO. Sie bezog von einem anderen Adressverlag personenbezogene Daten der jeweiligen Kläger, insbesondere Name, Adresse und Geburtsdatum. Diese Daten waren ursprünglich im Rahmen des Adressverlags und Direktmarketings erhoben worden. Die Beklagte verwendete die zugekauften Adressdaten im Zusammenhang mit Bonitätsanfragen ihrer Kunden zur Identifikation der abgefragten Personen und zum Abgleich mit ihrer eigenen Datenbank. In zwei der Verfahren stand ausdrücklich fest, dass für die anschließende Berechnung des Bonitätsscores die vom jeweiligen Kunden der Beklagten mitgeteilte Anschrift verwendet wurde und die zugekauften Adressdaten nicht unmittelbar in den Berechnungsalgorithmus einflossen. Den über die Kläger erteilten Bonitätsauskünften lagen keine konkreten Zahlungserfahrungsdaten zugrunde. Die Bonitätsscores wurden vielmehr anhand allgemeiner Daten wie Adresse, Alter und Geschlecht sowie statistischer Daten ermittelt. Die Beklagte wies ihre Kunden darauf hin, wenn einer Bonitätsauskunft keine Zahlungserfahrungsdaten zugrunde lagen.
Die Kläger begehrten Unterlassung. Sie machten insbesondere geltend, die Weiterverarbeitung der ursprünglich zu Zwecken des Adressverlags und Direktmarketings erhobenen Daten für Bonitätsbeurteilungen verstoße gegen den Grundsatz der Zweckbindung nach Art 5 Abs 1 lit b DSGVO. Außerdem wandten sie sich gegen die Erstellung von Bonitätsscores ohne konkrete Zahlungserfahrungsdaten.
Entscheidung:
Der OGH stellte zunächst klar, dass auch ein Verantwortlicher, der personenbezogene Daten von einem anderen Verantwortlichen übernimmt und weiterverarbeitet, an den ursprünglichen Erhebungszweck gebunden ist. Der Zweckbindungsgrundsatz nach Art 5 Abs 1 lit b und Art 6 Abs 4 DSGVO gilt daher auch für den bloßen Weiterverarbeiter.
Die Verwendung der ursprünglich für Zwecke des Adressverlags und Direktmarketings erhobenen Daten im Rahmen einer Bonitätsprüfung stellt nach Ansicht des OGH eine Zweckänderung dar. Dies gilt bereits dann, wenn die zugekauften Adressdaten lediglich zur Identifikation der abgefragten Person verwendet werden und nicht unmittelbar in die Berechnung des Bonitätsscores einfließen. Die Identitätsprüfung ist Bestandteil der Bonitätsprüfung und damit selbst dem Zweck der Bonitätsbeurteilung zuzurechnen.
Eine gesetzliche Grundlage für diese Zweckänderung ergibt sich weder aus § 151 noch aus § 152 GewO. § 151 GewO regelt die Ermittlung und Verwendung bestimmter Daten für Marketingzwecke. § 152 GewO enthält zwar Regelungen über die Tätigkeit von Kreditauskunfteien, kann aber nicht als gesetzlicher Auftrag zur Sammlung oder Weiterverarbeitung von durch Dritte erhobenen Adressdaten für Bonitätszwecke verstanden werden. Die beiden Bestimmungen stellen daher keine Rechtsvorschriften iSd Art 6 Abs 4 DSGVO dar, welche die konkrete Zweckänderung erlauben würden.
Mangels Einwilligung oder einer gesetzlichen Erlaubnis war daher zu prüfen, ob die Weiterverarbeitung mit dem ursprünglichen Erhebungszweck vereinbar ist. Der OGH verneinte dies nach dem Kompatibilitätstest des Art 6 Abs 4 DSGVO. Zwischen der ursprünglichen Datenerhebung zu Marketingzwecken und der späteren Verwendung zur Bonitätsbeurteilung besteht keine relevante sachliche Nähe. Auch ein Zusammenhang aufgrund einer Geschäftsbeziehung zwischen den Klägern und der Beklagten bestand nicht. Zwar handelte es sich nicht um besondere Kategorien personenbezogener Daten iSd Art 9 DSGVO, eine negative Bonitätsbeurteilung kann für Betroffene jedoch erhebliche Nachteile nach sich ziehen, etwa bei der Vergabe von Krediten oder beim Abschluss anderer Verträge. Hinzu kommt, dass eine Person, deren Daten zu Marketingzwecken erhoben wurden, vernünftigerweise nicht damit rechnen muss, dass diese Daten später für Bonitätsbeurteilungen verwendet werden. Die Weiterverarbeitung war daher mit dem ursprünglichen Zweck nicht vereinbar.
Anders beurteilte der OGH die Erstellung eines Bonitätsscores ohne konkrete Zahlungserfahrungsdaten. Diese ist nicht bereits als solche unzulässig. Die Verarbeitung kann grundsätzlich auf Art 6 Abs 1 lit f DSGVO gestützt werden. Unternehmen, die Bonitätsauskünfte erteilen, verfolgen ebenso wie deren Kunden ein berechtigtes Interesse an der Beurteilung der Kreditwürdigkeit potentieller Vertragspartner. Eine Bonitätsprüfung kann Informationsunterschiede verringern und Kredit sowie Betrugsrisiken reduzieren.
Nach Ansicht des OGH ist eine Bonitätsprüfung auch dann grundsätzlich erforderlich, wenn keine konkreten Zahlungserfahrungsdaten vorliegen. Da nur zu einem vergleichsweise geringen Teil der Bevölkerung negative Zahlungserfahrungsdaten vorhanden sind, könnten andernfalls für einen Großteil der Verbraucher überhaupt keine Bonitätsauskünfte erteilt werden. Die Interessen der Betroffenen an ihrer informationellen Selbstbestimmung sind zwar zu berücksichtigen, überwiegen die Interessen der Kreditauskunftei und ihrer Kunden jedoch nicht regelmäßig. Insbesondere ist für Betroffene grundsätzlich erwartbar, dass bei Vertragsabschlüssen, bei denen Unternehmer in Vorleistung treten, eine Bonitätsprüfung vorgenommen wird.
Allein aus dem Umstand, dass ein Bonitätsscore ohne Zahlungserfahrungsdaten erstellt wird, lässt sich daher kein Verstoß gegen Art 5 Abs 1 lit a iVm Art 6 Abs 1 lit f DSGVO ableiten. Welche konkreten Anforderungen an die Berechnung eines solchen Scores zu stellen sind, ließ der OGH ausdrücklich offen.
Bonitätsscoring ohne konkrete Zahlungserfahrungsdaten ist nicht per se rechtswidrig. Unzulässig ist jedoch die Verwendung personenbezogener Daten für Bonitätsprüfungen, wenn diese ursprünglich für einen damit nicht vereinbaren Zweck, insbesondere für Marketingzwecke, erhoben wurden und weder eine Einwilligung noch eine sonstige gesetzliche Grundlage für die Zweckänderung vorliegt.
Links zu den Entscheidungen:
Weitere Blog-Beiträge:
OGH: Keine unlautere Irreführung durch entgeltliche Bonitätsauskunft neben DSGVO-Auskunft.
Zahlungserfahrungsdaten in Bonitätsdatenbanken: OGH zu Fristen/Kriterien für Löschung.
Datenschutz vs. Bonitätsdatenbank: OGH zum Informationsinteresse künftiger Gläubiger