Inkasso
Inkassofällen können auch unbegründete Mahnbescheide zählen, die nur „weiche" Negativdaten darstellen. Die Auskunftei speicherte solche Inkassofälle als „harte" Negativdaten, setzte sie also mit eidesstattlichen Versicherungen gleich und teilte sie anderen Kunden auf Anfrage mit. Dies verstößt gegen § 29 BDSG. Auskunfteien sind verpflichtet, die personenbezogenen Daten der Betroffenen zu löschen, wenn eine Prüfung am Ende des 5. Kalenderjahres nach ihrer erstmaligen Speicherung ergibt, daß eine längerwährende Speicherung nicht erforderlich ist (§ 35 Abs. 2 Nr. 4 BDSG). Die Auskunftei löschte zwar nach Ablauf dieses Zeitraumes die Bonitätsdaten, speicherte aber weiterhin Name und Anschrift des Betroffenen. Da das Bundesdatenschutzgesetz eine vollständige Löschung der nicht mehr benötigten Daten vorsieht, ist die weitere Speicherung eines Rumpfdatensatzes rechtswidrig.
Datenübermittlungen an Kunden im Ausland erfolgten in dem gleichen Umfang und unter den gleichen Bedingungen wie bei inländischen Kunden. Wir haben dem Unternehmen empfohlen, dieses Verfahren nur dann beizubehalten, wenn der Kunde seinen Sitz in einem EU-Land oder einem Nicht-EULand mit ausreichendem Datenschutzniveau (z.B. Norwegen, Schweiz) hat. Bei einer Datenübermittlung in ein Land ohne ausreichendes Datenschutzniveau (z.B. Polen, Singapur, Indien) sollte sich der ausländische Kunde zumindest gegenüber dem Unternehmen vertraglich zur kontrollierbaren Einhaltung der wesentlichen deutschen Datenschutzbestimmungen verpflichten (Art. 26 EU-Datenschutzrichtlinie)1. SCHUFA
Die SCHUFA Schutzgemeinschaft für allgemeine Kreditsicherung ist eine Gemeinschaftseinrichtung der kreditgebenden deutschen Wirtschaft. Die vertragliche Verpflichtung der SCHUFA, Auskünfte zu erteilen, steht der Verpflichtung der Vertragspartner gegenüber, der SCHUFA Informationen über den Datenbestand zur Verfügung zu stellen.
Das Verfahren stellt grundsätzlich auch sicher, dass alle positiven Daten über einen Betroffenen, etwa die Erfüllung einer Forderung, rechtzeitig gespeichert werden, damit sie bei der Entscheidung über eine Kreditvergabe berücksichtigt werden können.
Der Grundsatz, dass auch alle Positivdaten über einen Betroffenen eingemeldet werden, wird unterbrochen, wenn der Vertragspartner die Forderung gegen den Betroffenen an einen Nichtvertragspartner der SCHUFA verkauft. Bei der SCHUFA erhält der Betroffene dann das Merkmal „VF" (Verkauf der Forderung). Der Nichtvertragspartner der SCHUFA hat nicht die Verpflichtung, die möglicherweise kurz nach dem Forderungsverkauf erfolgte Erfüllung der Forderung bei der SCHUFA zurückzumelden. Der Bankkunde kann froh sein, wenn er von einem Vertragspartner der SCHUFA, der eine entsprechende Auskunft („VF") bei der SCHUFA eingeholt hat, wenigstens die Gelegenheit erhält, über den Verbleib der Forderung Auskunft zu erhalten. In vielen Fällen werden aber die über das Merkmal „VF" informierten SCHUFAVertragspartner davon Abstand nehmen, mit einem durch dieses Merkmal belasteten Bürger einen Vertrag abzuschließen, ohne daß der betroffene Bürger je von dem Grund des Nichtabschlusses des Vertrages oder ähnlicher negativer Folgen Kenntnis erhält, so geschehen im Fall einer Petentin, die ein Handy erwerben wollte. vgl. 1.1
Bericht des Berliner Datenschutzbeauftragten Stellungnahme des Senats
Wir haben der SCHUFA empfohlen, die oben dargestellten negativen Folgen des Merkmals „VF" zu verhindern. Wir empfahlen, dass die SCHUFA ihre Vertragspartner verpflichtet, sie oder die SCHUFA direkt über das Schicksal der abgetretenen Forderung zu informieren. Die Informationspflicht sollte mit einer Vertragsstrafenklausel abgesichert werden. Die SCHUFA ist unserem Vorschlag bisher leider nicht gefolgt.
Schwarze Schafe
Wir berichteten über drei Berliner Auskunfteien, die in dem Verdacht stehen, illegal personenbezogene Daten erhoben zu haben. Das 1995 eingeleitete Strafverfahren ist bisher noch nicht abgeschlossen. Nach der Veröffentlichung der Vorwürfe kündigten fast alle Kunden ihre Verträge. Wegen der aufgetretenen wirtschaftlichen Probleme beantragten die Geschäftsführer die Eröffnung eines Konkursverfahrens, welches mangels Masse abgelehnt wurde. Die Unternehmen gingen daraufhin in Liquidation. Während der Liquidationsphase untersuchten wir die Geschäftsräume. Wir überzeugten uns davon, dass die liquidierten Unternehmen ihre Arbeit eingestellt hatten.
Zwar versuchten einige Geschäftsführer und Mitarbeiter der liquidierten Unternehmen, zwei neue Auskunfteien aufzubauen.
Es gelang ihnen jedoch nicht mehr, Kunden zu akquirieren, so daß die Unternehmen nach wenigen Wochen aufgaben. Insbesondere bei einem der Nachfolgeunternehmen war offensichtlich, dass die Inhaber beabsichtigten, weiterhin rechtswidrig Daten zu erheben. In einem Werbeschreiben hatten sie anderen Detekteien und Auskunfteien die Ermittlung geheimer Telefonnummern angeboten.
JB 1995, 6.3
Bericht des Berliner Datenschutzbeauftragten Stellungnahme des Senats
Allerlei Gewerbe Aktenvernichtung
Auf einem frei zugänglichen Pritschenwagen fanden sich die Akten einer Anwaltskanzlei. Einige dieser Akten enthielten sehr sensible Daten (Strafverfahren wegen sexuellen Mißbrauchs von Minderjährigen). Ein Bürger beobachtete, daß Kinder mit den Akten spielten, und schaltete uns ein. Er berichtete uns, dass er einige Tage vorher auf dem Pritschenwagen Daten eines Steuerberaters vorgefunden habe. Der Pritschenwagen gehörte einem Altpapierverwerter.
In vielen Unternehmen, bei Steuerberatern und sogar bei Rechtsanwälten besteht Unklarheit darüber, wie größere Aktenmengen datenschutzgerecht vernichtet werden können. Die Einschaltung eines Aktenvernichtungsunternehmens ist zwar kostengünstiger als etwa die Anschaffung eines eigenen geeigneten Aktenvernichters, unterliegt aber einigen Voraussetzungen, auf die oft nicht geachtet wird. So muss dieser in dem nach § 32 BDSG von der Aufsichtsbehörde geführten Register eingetragen sein. Die speichernde Stelle trägt die volle Verantwortung für die bis zur Vernichtung zu beachtenden technischen und organisatorischen Maßnahmen. Demgegenüber gehen viele Unternehmen zu Unrecht davon aus, dass sie mit der Abgabe ihrer Akten an einen gewerblichen Aktenvernichter auch die Verantwortung für eine datenschutzgerechte Vernichtung abgegeben haben.
Der Auftraggeber hat den Auftragnehmer unter besonderer Berücksichtigung der Eignung und der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen (§ 11 Abs. 2 BDSG). Zwingend vorgeschrieben ist auch, dass der Auftrag schriftlich zu erteilen ist, wobei die Art der Datenverarbeitung oder Nutzung, die technischen und organisatorischen Maßnahmen und etwaige Unterauftragsverhältnisse festzulegen sind. Die Vorgaben an den Auftragsdatenverarbeiter müssen so detailliert sein, dass sie nötigenfalls gerichtlich durchgesetzt werden können.
Insbesondere sollte geregelt werden,
um welche Art von Datenträgern und Daten es sich handelt (z.B. Rechnungen, Personalunterlagen) und wie die Schutzbedürftigkeit der Daten einzustufen ist;
auf welche Weise die Vernichtung unter Berücksichtigung der Schutzbedürftigkeit der Daten zu erfolgen hat (bei Datenträgern in Papierform ist in jedem Fall die Papierstreifenbreite bzw. Partikelgröße der Vernichtung zu vereinbaren; bei der Löschung und Entsorgung elektronischer/magnetischer Speichermedien sind die näheren Einzelheiten festzulegen);
wo die Vernichtung durchgeführt wird (vor Ort beim Auftraggeber, in der Betriebsstätte des Auftragnehmers oder bei einem Subunternehmer);
von wem die Datenträger abgeholt werden (Auftragnehmer oder beauftragte Speditionsfirma) und auf welche Weise sie transportiert werden (z.B. in verschlossenen Behältnissen);
wie die Datenträger bis zur Vernichtung aufzubewahren sind (etwa in verschlossenen Räumen oder Containern) und wann sie zu vernichten sind (am Tag der Abholung oder innerhalb welchen Zeitraums);
dass die Verfügungsbefugnis des Auftraggebers bis zum Abschluß der Vernichtung weiterbesteht;
ob und welche Unterauftragnehmer der Auftragnehmer zur Erfüllung seiner Vertragspflichten einschalten darf und die Verpflichtung, im Vertrag zwischen dem Auftragnehmer und
Amtliche Mitteilung, Staatsanzeiger des Landes Baden-Württemberg vom 9.