Post vom Inkassodienstleister: Und was ist mit dem Datenschutz?

Wenn Sie von einem Inkassodienstleister angeschrieben werden, fordert dieser in der Regel die Zahlung einer offenen Forderung, die von einem Unternehmen (Gläubiger) kommt, mit dem Sie als (vermeintliche:r) Schuldner:in eine Geschäftsbeziehung hatten, beispielsweise Online-Versandhändler, Zahlungsdienstleister oder Energieversorger.

Ist Ihnen die Forderung unbekannt oder sind Sie der Auffassung, keine Zahlung leisten zu müssen, finden Sie hierzu unter 3. und 4. weitergehende Hinweise.

Der Inkassodienstleister wurde entweder damit beauftragt, die Forderung für das Unternehmen einzutreiben oder hat sie zum Beispiel mittels einer Abtretung erworben und kann sie nun selbst als Gläubiger einfordern. Die verwendeten Daten erhält der Inkassodienstleister daher üblicherweise von dem (ursprünglichen) Gläubiger. Zusätzlich können Inkassodienstleister Daten aus öffentlich zugänglichen Quellen, von Adressdienstleistern, Wirtschaftsauskunfteien oder im Rahmen der Kommunikation mit Ihnen auch direkt von Ihnen selbst erheben.
 

Unternehmen dürfen in Streitfällen bezüglich einer – wenn auch nur vermeintlich – offenen Forderung einen Inkassodienstleister beauftragen, sich von Personen rechtsberatender Berufe helfen lassen oder offene Forderungen an Dritte abtreten. Wenn personenbezogene Daten der Schuldner:in benötigt werden, um die offene Forderung eintreiben zu können, ist es datenschutzrechtlich erlaubt, dass der ursprüngliche Gläubiger diese Daten weitergibt. Dies betrifft insbesondere Namen und Anschrift, sonstige Kontaktdaten sowie Informationen zur Forderung wie den Forderungsgrund und die Höhe und deren Fälligkeit. Ihre Einwilligung für die Weitergabe dieser Daten ist nicht erforderlich, da sich die gesetzliche Rechtsgrundlage hierfür regelmäßig aus Art. 6 Abs. 1 Satz 1 lit. b) beziehungsweise lit. f) DSGVO ergibt. Die Datenverarbeitung ist insoweit zur Vertragserfüllung und/oder aufgrund des berechtigten Interesses des Gläubigers zulässig.

Bitte beachten Sie, dass der HmbBfDI lediglich datenschutzrechtliche Verstöße bei (Inkasso-)Unternehmen prüft. Die Frage, ob eine Forderung gegen Sie besteht oder nicht, beziehungsweise ob diese noch durchsetzbar ist, kann durch unsere Behörde nicht beurteilt werden. Auch wenn die Forderung in vielen Fällen die rechtliche Grundlage für die Datenverarbeitung bildet, obliegt diese Prüfung beziehungsweise die Feststellung der Rechtslage allein den Zivilgerichten.

Auch Forderungen, die Ihrer Auffassung nach nicht bestehen oder nicht Sie betreffen oder gegen die Sie bereits widersprochen haben, können geltend gemacht und die erforderlichen Daten zu deren Geltendmachung an den Inkassodienstleister übermittelt werden. Inkassodienstleister müssen nur eine Plausibilitäts- beziehungsweise Schlüssigkeitsprüfung vornehmen, bevor sie die Forderungen eintreiben dürfen. Dies gilt auch für Forderungen, die Schuldner:innen bereits bestritten haben, bevor der Gläubiger die Forderung an den Inkassodienstleister übergeben hat. Sollten Sie der Auffassung sein, dass die geltend gemachte Forderung nicht besteht oder nicht durchsetzbar ist, ist es ratsam, die Gründe hierfür gegenüber dem Inkassodienstleister vorzubringen. Dies gilt auch dann, wenn Sie zum Beispiel den Forderungsbetrag schon an den Gläubiger gezahlt haben.

Bei einem zivilrechtlichen Bestreiten, also wenn Schuldner:innen dem Inkassodienstleister mitteilen, dass es keine offenen Forderungen gibt, wird üblicherweise zeitnah geprüft, ob die Forderung besteht. Solange allerdings nicht beispielsweise aufgrund einer gerichtlichen Entscheidung oder einer entsprechenden Nachricht des Gläubigers oder des Inkassodienstleisters endgültig feststeht, dass die Forderung nicht besteht, nicht durchsetzbar ist oder auf die Geltendmachung verzichtet wird, ist daher grundsätzlich von einer Berechtigung zur Geltendmachung und damit auch einer Berechtigung zur erforderlichen Datenverarbeitung auszugehen.
 

Häufig handelt es sich hier um eine der drei im Folgenden geschilderten Möglichkeiten:
 

• Der Brief wurde falsch zugestellt: Bitte prüfen Sie zunächst, ob das Forderungsschreiben tatsächlich an Sie oder eine Person Ihres Haushaltes gerichtet ist. Wir haben gelegentlich Fälle, in denen fehlerhafterweise Briefe zugestellt wurden, obwohl Name oder Anschrift falsch sind. Wohnt die adressierte Person nicht unter Ihrer Anschrift, ist es ratsam, dies auf dem Briefumschlag entsprechend zu vermerken und ihn wieder in einen öffentlichen Briefkasten einzuwerfen. Auf diese Weise gelangt er als Postrückläufer wieder zurück an den Inkassodienstleister. Briefe, die nicht an Sie adressiert sind, dürften zudem aufgrund des Briefgeheimnisses (§ 202 Strafgesetzbuch) nicht geöffnet werden.

• Es handelt sich um eine Personenverwechslung: Ist Ihnen eine an Sie adressierte Forderung vollständig unbekannt, ist der Grund hierfür häufig eine Personenverwechslung. Oft ist der Grund eine fehlerhafte Adressermittlung. In vielen Fällen wird in dem Forderungsschreiben ausdrücklich auf die Herkunft beziehungsweise Aktualisierung der Adresse durch einen Adressdienstleister hingewiesen.

  In der Regel wendet sich der Inkassodienstleister zunächst postalisch an die vom Gläubiger übermittelte Anschrift des oder der Schuldner:in. Kommt es zu einem Postrückläufer, lassen Inkassodienstleister häufig darauf spezialisierte Adressdienstleister die aktuelle Anschrift ermitteln. Dies ist datenschutzrechtlich erlaubt. Der Inkassodienstleister übermittelt hierbei die ihm bekannten Schuldner:innendaten an den Adressdienstleister, damit dieser durch Datenabgleich eine Adressermittlung durchführen kann. Adressdienstleister dürfen Ihre Datenbestände, die aus einer Vielzahl von Quellen zusammengetragen sind, nach der aktuellen Anschrift durchsuchen, weil der Inkassodienstleister hier das berechtigte Interesse hat, die offene Forderung einzutreiben. Rechtsgrundlage für die Speicherung dieser Daten durch den Adressdienstleister ist Art. 6 Abs. 1 Satz 1 lit. f) DSGVO. Der Adressdienstleister kann daher häufig auch dann eine neue Adresse zurückmelden, wenn der oder die Schuldner:in ohne Ummeldung umgezogen ist. Der Inkassodienstleister muss im Interesse aller Beteiligten, wegen der Schadensminderungspflicht (§ 254 BGB) auch im Interesse des oder der Schuldner:in, seine Maßnahmen wirtschaftlich gestalten, sodass der HmbBfDI gegen die Inanspruchnahme von Adressdienstleistern, die im Vergleich zu einer Melderegisterabfrage üblicherweise kostengünstigere und gelegentlich auch aktuellere Informationen liefern, keine überwiegenden datenschutzrechtlichen Einwände geltend macht.

  Bei einer Adressermittlung liegt die Verantwortlichkeit dafür, korrekte Daten zu liefern, beim Adressdienstleister. Sofern sich Ihre Beschwerde gegen die Fehlzuordnung des Adressdienstleisters richtet, wenden Sie sich bitte an die jeweilige Datenschutzaufsichtsbehörde des Bundeslandes, in dem der Adressdienstleister seine Hauptniederlassung hat. Dagegen ist nicht zu beanstanden, wenn sich der Inkassodienstleister auf die Korrektheit der erhaltenen Daten verlässt und lediglich eine Prüfung auf offensichtliche Auffälligkeiten vornimmt, bevor er sie verarbeitet beziehungsweise zur Geltendmachung der Forderung nutzt. Für die Unternehmen sind solche Fälle oft nur schwer oder überhaupt nicht erkennbar, bis sich betroffene Personen entsprechend melden.

• Es liegt Identitätsbetrug vor: Ein weiterer Hintergrund einer unbekannten Forderung kann ein Missbrauch Ihrer Daten durch Dritte sein, in dessen Rahmen ein Vertrag unter Nutzung Ihrer Daten geschlossen worden ist (Identitätsbetrug). Bei einem Identitätsbetrug werden Daten einer existierenden Person missbräuchlich durch Dritte verwendet, um zum Beispiel Waren zu bestellen. Fällt dies bei der Bestellung selbst nicht auf, ist der Betrug für Gläubiger und Inkassodienstleister auch hier häufig erst dann zu erkennen, wenn sich vermeintliche Schuldner:innen bei ihnen melden.

Dass im Rahmen der Geltendmachung einer Forderung aufgrund einer Verwechslung oder eines Identitätsbetrugs gelegentlich unbeteiligte Dritte angeschrieben werden, kann bedauerlicherweise nicht vollständig ausgeschlossen werden. Solange der Inkassodienstleister von diesem Fehler noch keine Kenntnis hat, kann das Unternehmen sein weiteres Vorgehen gegen die ihm genannte Person grundsätzlich auf Art. 6 Abs. 1 S. 1 lit. b) und lit. f) DSGVO stützen.

Personen, die von einer Personenverwechslung oder einem Identitätsbetrug betroffen sind, raten wir daher dazu, den Sachverhalt beziehungsweise den vermuteten Fehler dem Inkassodienstleister mitzuteilen. Daraufhin werden zunächst die Daten für den Zeitraum einer entsprechenden Überprüfung gesperrt. Sollte sich die Personenverwechslung beziehungsweise der Identitätsbetrug bestätigen, bleiben diese Daten gesperrt (Art. 18 DSGVO i. V. m. § 35 BDSG). Im Falle einer Personenverwechselung werden sie üblicherweise mit einem Sperrvermerk versehen, um erneute Verwechslungen zu vermeiden. Diese Information wird automatisch an den beauftragten Adressdienstleister weitergeleitet, um darauf hinzuwirken, dass auch dort eine solche Verwechslung nicht erneut geschieht. Beim Verdacht auf einen Identitätsbetrugs raten wir ergänzend auch zu einer unverzüglichen Meldung bei der Polizei.

Die Kontaktaufnahme mit dem Inkassodienstleister ist auch empfehlenswert, weil dadurch etwaige unberechtigte, negative Einträge bei einer Wirtschaftsauskunftei verhindert werden können (siehe Frage 8). Zudem zeigt die Erfahrung, dass es gerade bei älteren oder länger zurückliegenden Forderungen immer wieder vorkommt, dass diese schlicht in Vergessenheit geraten sind. Auch in solchen Fällen kann ein Gespräch mit dem Inkassodienstleister helfen, Missverständnisse auszuräumen und die Angelegenheit schnell zu klären.
 

Wenn Sie Ihre E-Mail-Adresse im Rahmen der geschäftlichen Beziehung mit dem Gläubiger angegeben haben, wird gelegentlich auch der Inkassodienstleister diesen Kontaktweg nutzen, um etwa Mahnungen zu übersenden. Zur Verarbeitung Ihrer E-Mail-Adresse gibt es insoweit – ebenso wie bei der Kommunikation mit dem ursprünglichen Gläubiger selbst – keinen überwiegenden datenschutzrechtlichen Bedenken. Sie können dieser Form der Kontaktaufnahme aber widersprechen. In diesem Fall würde die weitere Kommunikation per Post erfolgen.

Wenn es darum geht zu bewerten, welche Sicherheitsanforderungen an die E-Mail-Kommunikation durch Inkassounternehmen zu stellen sind, orientiert sich der HmbBfDI an der Technischen Richtlinie „BSI TR-03108 Sicherer E-Mail-Transport“ sowie der Orientierungshilfe der DSK vom 16. Juni 2021 zu Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail. Die Kommunikation per E-Mail bedarf danach mindestens der obligatorischen Transportverschlüsselung, wie sie durch E-Mail-Provider heutzutage standardmäßig angeboten wird. Die vorgenommene Risikoeinstufung in „normal“ oder „hoch“ bei einem Bruch der Vertraulichkeit des Inhalts von E-Mail-Nachrichten ist insbesondere abhängig von dem genauen Inhalt der versendeten personenbezogenen Daten. Bei den im Inkassowesen übermittelten Informationen handelt es sich üblicherweise um Daten mit Bezug zu finanziellen Angelegenheiten, nicht jedoch um besonders sensible Daten im Sinne von Art. 9 DSGVO. Auch bei erhöhtem Schutzbedarf stellt die Verwendung einer qualifizierten Transportverschlüsselung bei dem E-Mail-Versand von Inkassodaten im Regelfall eine ausreichende Schutzmaßnahme dar, wogegen die regelhafte Verwendung einer Ende-zu-Ende-Verschlüsselung nicht erforderlich ist.
 

Die Weitergabe Ihrer Daten durch den Inkassodienstleister an Dritte ist nur zulässig, wenn hierfür eine rechtliche Grundlage besteht. Dies kommt dann in Betracht, wenn die Datenweitergabe zur Durchsetzung der Forderung notwendig ist oder ein berechtigtes Interesse vorliegt. Typische Beispiele hierfür sind eine Adressermittlung (vgl. Nr. 4), das Melden oder Abrufen von bonitätsrelevanten Informationen (vgl. Nr. 7 und 8), das Einschalten staatlicher Stellen im Rahmen der Zwangsvollstreckung oder die Beauftragung von Rechtsanwält:innen.

Es kann rechtmäßig sein, dass der Inkassodienstleister eine Bonitätsauskunft bei einer Wirtschaftsauskunftei (zum Beispiel der SCHUFA) einholt. Liegt ein berechtigtes Interesse des Inkassodienstleister vor, dürfen auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO Bonitätsdaten abgefragt werden. Ein solches Interesse besteht insbesondere dann, wenn geprüft wird, ob weitere Maßnahmen zur Forderungsdurchsetzung ergriffen werden sollen, die aufgrund einer Vorleistung des Inkassodienstleisters mit einem finanziellen Ausfallrisiko verbunden sind, wie zum Beispiel gerichtliche Beitreibungskosten. Zwar kann der Inkassodienstleister diese Kosten anschließend auf den oder die Schuldner:in umlegen, wenn sie zur Forderungsdurchsetzung erforderlich waren. Der Inkassodienstleister darf jedoch mithilfe der Bonitätsauskunft zuvor einschätzen, inwieweit die Forderungsdurchsetzung überhaupt Aussicht auf Erfolg hat.

Offene Forderungen dürfen nach Maßgabe der fünf in § 31 Abs. 2 Nr. 1 bis 5 Bundesdatenschutzgesetz (BDSG) beschriebenen Fälle an Wirtschaftsauskunfteien wie zum Beispiel die SCHUFA gemeldet werden. In vielen Fällen wird eine Forderung gemeldet, wenn sie durch ein Gerichtsurteil endgültig festgestellt worden ist. Eine Meldung ist aber unter anderem auch dann erlaubt, wenn der oder die Schuldner:in mindestens zweimal schriftlich gemahnt worden ist, seit der ersten Mahnung mindestens vier Wochen vergangen sind, die Forderung nicht bestritten wurde und auf die mögliche Meldung an eine Auskunftei hingewiesen worden ist. Wird die Forderung anschließend beglichen, meldet der Inkassodienstleister die Erledigung an die Wirtschaftsauskunftei. Für die Entscheidung darüber, ob beziehungsweise wann dieser Eintrag dann dort gelöscht wird, ist die Wirtschaftsauskunftei selbst verantwortlich.

Soweit Sie gemäß Art. 17 DSGVO die Löschung Ihrer personenbezogenen Daten bei dem Inkassodienstleister begehren, besteht eine gesetzliche Pflicht des Unternehmens, Ihnen innerhalb eines Monats nach Eingang Ihres Antrags eine entsprechende Rückmeldung zukommen zu lassen (Art. 12 Abs. 3 Satz 1 DSGVO). Kürzere Fristen braucht das Unternehmen nicht zu beachten. Allerdings kann ein solcher Löschungsantrag auch abgelehnt werden. Sofern sich der Vorgang noch konkret in der Bearbeitung befindet und nicht erledigt ist, sind Ihre personenbezogenen Daten noch zur Durchsetzung der Forderung erforderlich. Eine Löschung würde in dem Fall bereits aufgrund des Art. 17 Abs. 1 lit. a) DSGVO bis zum Ausgleich oder Einstellen der Forderung abgelehnt werden können. Unabhängig davon kann das Unternehmen eine Löschung nach Art. 17 Abs. 3 lit. e) DSGVO ablehnen, wenn die personenbezogenen Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Dies gilt insbesondere dann, wenn mit etwaigen zivilrechtlichen Schadensersatzforderungen irrtümlich in Anspruch genommener Personen zu rechnen ist oder für einen etwaigen Regress gegen den Adressdienstleister bei einer Falschauskunft. In dem Fall kann es erforderlich sein, die Daten betreffenden Personen noch zu speichern.

Selbst nach Abschluss beziehungsweise Einstellung des Inkassoverfahrens dürfen die Daten zunächst noch nicht gelöscht werden. Es bestehen gesetzliche handels- und steuerrechtliche Aufbewahrungsfristen, aus § 257 HGB und § 147 AO, die vorschreiben, dass Handelsbriefe noch für einen Zeitraum von bis zu acht Jahren nach Abschluss des Vorgangs aufzubewahren sind. Handelsbriefe sind sämtliche Schriftstücke, die ein Handelsgeschäft betreffen. Dazu gehören sowohl Zahlungsaufforderungsschreiben als auch Abrufe von Informationen bei Wirtschaftsauskunfteien.  Wird eine Rechtsanwaltskanzlei als Inkassodienstleister tätig, so ist zudem die geführte Akte gemäß § 50 BRAO für bis zu sechs Jahre nach Abschluss des Vorgangs aufzubewahren. Diese weitere Verarbeitung ist in diesen Fällen nach Art. 17 Abs. 3 lit. b) DSGVO von betroffenen Personen hinzunehmen, und zwar auch dann, wenn Betroffene zum Beispiel aufgrund einer Personenverwechslung oder eines Identitätsbetrugs zu Unrecht in Anspruch genommen wurden oder sich in sonstiger Weise herausgestellt hat, dass die Forderung nicht besteht.

Der Inkassodienstleister kann daher in vielen Fällen zu Recht ein Ersuchen auf Löschung ablehnen. Ist die Speicherung der Daten allerdings nur noch zur Erfüllung gesetzlicher Aufbewahrungsfristen erforderlich, erfolgt eine Einschränkung der Verarbeitung dieser Daten (Art. 18 DSGVO, § 35 BDSG). Dies geschieht üblicherweise, indem die Daten archiviert beziehungsweise vom operativen System getrennt werden und/oder eine strenge Zugriffsbeschränkung erhalten, sodass nur noch bestimmte Personen in Sonderfällen auf die Daten zugreifen können. Es handelt sich bei dieser Speicherung durch einen Inkassodienstleister insoweit nicht um einen Eintrag in einer Schuldnerdatei oder eine anderweitig durch Dritte abrufbare Information, sondern lediglich um die Einhaltung einer gesetzlich vorgesehenen Frist zur Aufbewahrung von Dokumenten zu einem abgeschlossenen Geschäftsvorgang eines Unternehmens.

Wie bei jedem anderen Unternehmen auch können Sie bei Inkassodienstleistern einen Antrag auf Auskunft über Ihre personenbezogenen Daten stellen. Dabei ist sinnvoll, direkt die Datenschutzbeauftragten beziehungsweise die Datenschutzabteilung des Inkassounternehmens zu kontaktieren, die sich mit der Bearbeitung von Auskunftsansprüchen befasst. Die Kontaktdaten finden Sie in der Regel in den Datenschutzbestimmungen auf der Webseite des Unternehmens.

Auch hierbei besteht eine gesetzliche Pflicht des Unternehmens, Ihnen innerhalb eines Monats nach Eingang Ihres Antrags eine entsprechende Rückmeldung zukommen zu lassen (Art. 12 Abs. 3 Satz 1 DSGVO). Verantwortliche haben jedoch zugleich gemäß Art. 5 Abs. 1 lit. f), Art. 32 DSGVO dafür Sorge zu tragen, dass personenbezogene Daten sicher und vertraulich verarbeitet werden und der Zugriff durch Dritte möglichst ausgeschlossen ist. Vor diesem Hintergrund ist auch in datenschutzrechtlicher Hinsicht erforderlich, bei Auskunftsanträgen gemäß Art. 15 DSGVO sicherzustellen, dass nur die betroffene Person selbst diese Informationen erhält. Daher kann der Inkassodienstleister gemäß Art. 12 Abs. 6 DSGVO bei begründeten Zweifeln an der Identität der Person, die datenschutzrechtliche Betroffenenrechte geltend macht, zusätzliche Informationen anfordern, die zur Bestätigung ihrer Identität erforderlich sind. Solche Zweifel können sich insbesondere dann ergeben, wenn sich nach einer Adressermittlung kontaktierte, vermeintliche Schuldner:innen mit der Aussage melden, die Forderung nicht zu kennen (vgl. Nr. 4) und Auskunft fordern. In diesen Fällen wird der Inkassodienstleister für einen Datenabgleich vor der Auskunftserteilung häufig Informationen abfragen, die nur der betroffenen Person bekannt sind, zum Beispiel Voranschriften. 

Selbstverständlich sind Sie nicht verpflichtet, dem Inkassodienstleister Ihre personenbezogenen Daten zu übermitteln. Der Inkassodienstleister dürfte jedoch, wenn er nicht sicher feststellen kann, dass Sie die Schulder:in sind, den Zugang zu Daten verweigern, die zu dem oder der Schuldner:in gespeichert sind. 
 

Unsere Aufsicht über Inkassodienstleister beschränkt sich lediglich auf die datenschutzrechtlichen Verarbeitungstätigkeiten des Unternehmens. Für die Verfolgung strafrechtlich relevanter Delikte sind die Strafverfolgungsbehörden zuständig, für die Geltendmachung zivilrechtlicher Ansprüche die Zivilgerichte.

Soweit sich Ihre Beschwerde gegen die Inkassotätigkeit des Unternehmens im Allgemeinen richtet und nicht spezifisch datenschutzbezogen ist, haben Sie allerdings auch die Möglichkeit, sich an die Aufsichtsbehörde für Rechtsdienstleister (§ 13h Rechtsdienstleistungsgesetz) zu wenden. Diese erreichen Sie wie folgt:

Bundesamt für Justiz
Referat VII 5 (RDG)
Adenauerallee 99 – 103
53113 Bonn
rdg(at)bfj.bund.de