Bonitätsscore aus Marketingdaten: Wann ist die Verwendung personenbezogener Daten unzulässig?
Bonitätsscore: Ein schlechter Bonitätsscore kann weitreichende Folgen haben. Eine Finanzierung wird schwieriger, ein Vertrag kommt nicht zustande oder ein Unternehmen verlangt zusätzliche Sicherheiten. Viele Betroffene wissen jedoch nicht, welche Daten tatsächlich in eine Bonitätsprüfung eingeflossen sind – und für welchen Zweck diese Daten ursprünglich erhoben wurden.
Der Oberste Gerichtshof hat in einer Entscheidung klargestellt: Daten, die ursprünglich für Werbung und Direktmarketing erhoben wurden, dürfen nicht ohne Weiteres für Bonitätsbeurteilungen verwendet werden. Das gilt auch dann, wenn die Daten scheinbar nur zur Identitätsprüfung dienen.
Vom Adressverlag zur Bonitätsprüfung
Im zugrunde liegenden Fall stellte eine betroffene Person fest, dass ein Unternehmen personenbezogene Daten in einer Datenbank für Identitäts- und Bonitätsprüfungen verwendete. Dazu gehörten insbesondere der Name, die Adresse und das Geburtsdatum.
Die Daten stammten ursprünglich von einem Adressverlag und Direktmarketingunternehmen. Dort waren sie für Werbe- und Marketingzwecke erhoben worden. Das beklagte Unternehmen kaufte die Daten später zu und verwendete sie unter anderem, um bei Bonitätsanfragen die Identität einer Person zu überprüfen.
Darüber hinaus erstellte das Unternehmen Bonitätsscores. Dabei wurden nicht immer konkrete Zahlungserfahrungen oder frühere Zahlungsausfälle herangezogen. Teilweise flossen allgemeine Merkmale wie das Alter und der Wohnort ein. Die Kunden des Unternehmens wurden allerdings darauf hingewiesen, wenn einem Score keine Zahlungserfahrungsdaten zugrunde lagen.
Die betroffene Person wollte erreichen, dass Dritte nicht weiter auf die Daten zugreifen können, solange die Verarbeitung unrechtmäßig erfolgt.
Was der OGH zur Zweckänderung sagt
In der Entscheidung OGH 12.08.2026, 6 Ob 151/25m gab der Oberste Gerichtshof der Revision teilweise Folge. Das Verfahren wurde aufgehoben und an die Vorinstanzen zurückverwiesen. Im Entscheidungskopf werden das Oberlandesgericht Wien und das Landesgericht für Zivilrechtssachen Wien als Vorinstanzen genannt. Zur Entscheidung
Der OGH stellte insbesondere auf die Zweckbindung personenbezogener Daten ab. Daten sollen grundsätzlich nur für klar festgelegte und rechtmäßige Zwecke verarbeitet werden. Werden sie für einen bestimmten Zweck erhoben, folgt daraus nicht automatisch, dass sie später für jeden anderen geschäftlich nützlichen Zweck verwendet werden dürfen.
Im konkreten Fall bestand nach der Beurteilung des OGH kein ausreichender Zusammenhang zwischen der ursprünglichen Verwendung für Marketingzwecke und der späteren Verwendung im Rahmen einer Bonitätsprüfung. Eine Person muss nicht ohne Weiteres damit rechnen, dass Daten, die für Werbung oder Direktmarketing erhoben wurden, später zur Beurteilung ihrer Kreditwürdigkeit eingesetzt werden.
Das gilt nach der Entscheidung auch für die bloße Identitätsprüfung im Rahmen einer Bonitätsanfrage. Selbst wenn Name, Adresse oder Geburtsdatum nicht unmittelbar in die mathematische Berechnung des Scores einfließen, kann die Identitätsprüfung bereits Teil des Bonitätsscorings sein.
Ein Bonitätsscore ohne Zahlungserfahrungsdaten ist nicht automatisch verboten
Die Entscheidung bedeutet allerdings nicht, dass jeder Bonitätsscore ohne konkrete Zahlungserfahrungsdaten unzulässig wäre.
Der OGH hielt fest, dass ein Bonitätsscore grundsätzlich auch auf anderen Informationen beruhen kann. Allein der Umstand, dass keine früheren Zahlungsausfälle oder sonstigen Zahlungserfahrungen vorliegen, macht die Score-Berechnung daher noch nicht rechtswidrig.
Entscheidend sind vielmehr die konkreten Umstände:
- Für welchen Zweck wurden die Daten ursprünglich erhoben?
- Ist die spätere Verarbeitung für den neuen Zweck erforderlich?
- Musste die betroffene Person mit dieser Verwendung rechnen?
- Welche Nachteile können durch die Verarbeitung entstehen?
- Überwiegen die Interessen der betroffenen Person oder jene des Unternehmens?
Im entschiedenen Fall lag das rechtliche Problem daher nicht allein darin, dass ein Score ohne konkrete Zahlungserfahrungsdaten erstellt wurde. Im Mittelpunkt stand vielmehr die Verwendung von Daten, die ursprünglich aus Marketingzwecken stammten, für eine Bonitätsbeurteilung.
Eine Gewerbeberechtigung erlaubt nicht jede Datenverarbeitung
Unternehmen, die Adressdaten verarbeiten oder Bonitätsauskünfte anbieten, können sich nicht allein auf ihre gewerbliche Tätigkeit berufen. Die einschlägigen gewerberechtlichen Bestimmungen bilden nach der Entscheidung keine ausreichende Grundlage dafür, ursprünglich für Marketingzwecke erhobene Daten ohne Weiteres für Bonitätsprüfungen weiterzuverarbeiten.
Auch der Ankauf von Daten von einem anderen Unternehmen ändert daran nichts. Die datenschutzrechtliche Zweckbindung muss entlang der gesamten Verarbeitungskette beachtet werden. Ein Unternehmen kann sich daher nicht darauf beschränken, auf die rechtmäßige Erhebung beim ursprünglichen Dateninhaber hinzuweisen.
Maßgeblich ist zusätzlich, ob die weitere Verwendung für den neuen Zweck rechtmäßig ist. Marketing und Bonitätsprüfung sind dabei nicht bloß zwei Varianten derselben Nutzung. Sie verfolgen unterschiedliche Ziele und können für die betroffene Person unterschiedlich belastend sein.
Welche Bedeutung hat die Entscheidung im Alltag?
Ein Vertrag wird wegen eines Scores abgelehnt
Erhält eine Person keine Finanzierung oder wird ein Vertrag wegen einer negativen Bonitätsbewertung nicht abgeschlossen, sollte sie nicht nur den Score selbst betrachten. Ebenso wichtig ist die Frage, aus welchen Daten er gebildet wurde und woher diese Daten stammen.
Die Identität wird bei einer Bonitätsanfrage überprüft
Auch wenn ein Unternehmen erklärt, Name, Adresse oder Geburtsdatum hätten lediglich der Identitätsbestätigung gedient, kann diese Verarbeitung bereits mit der Bonitätsprüfung verbunden sein. Die Bezeichnung als „bloße Identitätsprüfung“ entscheidet daher nicht allein über die rechtliche Zulässigkeit.
Der Score beruht auf Alter und Wohnort
Allgemeine Merkmale können grundsätzlich in eine Bonitätsbewertung einfließen. Daraus folgt nicht automatisch eine Rechtswidrigkeit. Es muss aber nachvollziehbar sein, auf welcher Datengrundlage der Score erstellt wurde und ob die konkrete Verarbeitung rechtlich gerechtfertigt ist.
Marketingdaten werden an eine Kreditauskunftei weitergegeben
Werden Daten ursprünglich für Werbezwecke erhoben und später an ein Unternehmen für Bonitätsprüfungen übermittelt, ist die Herkunft der Daten besonders relevant. Eine solche Zweckänderung darf nicht einfach mit dem Hinweis begründet werden, dass die Daten ursprünglich rechtmäßig erhoben wurden.
Rechtsanwalt Wien: Was Betroffene jetzt prüfen sollten
Wer von einem schlechten Bonitätsscore oder einer Bonitätsanfrage betroffen ist, sollte die Angelegenheit möglichst strukturiert aufarbeiten. Folgende Fragen sind dabei besonders wichtig:
- Welche personenbezogenen Daten sind über mich gespeichert?
- Woher stammen Name, Adresse, Geburtsdatum oder sonstige Merkmale?
- Wurden die Daten ursprünglich für Werbung oder Direktmarketing erhoben?
- Für welchen Zweck verwendet das Unternehmen die Daten tatsächlich?
- Wird ein Score erstellt, obwohl keine konkreten Zahlungserfahrungsdaten vorliegen?
- Wird offengelegt, auf welcher Datengrundlage die Bewertung beruht?
- Welche konkrete Folge hatte die Bonitätsbewertung für mich?
Wichtig ist, vorhandene Unterlagen zu sichern. Dazu können Schreiben über die Ablehnung eines Vertrags, Auskünfte zur Bonitätsbewertung, Mitteilungen über gespeicherte Daten oder sonstige Kommunikation mit der Kreditauskunftei gehören.
Danach sollte geprüft werden, ob gerade die Herkunft und die Zweckänderung der Daten problematisch sind. Ein allgemeines Verbot jeder weiteren Datenverarbeitung lässt sich aus der Entscheidung nicht ableiten. Das Vorgehen muss sich vielmehr auf die konkrete beanstandete Verarbeitung beziehen, etwa auf die Verwendung von Marketingdaten für Bonitätszwecke.
Häufige Fragen zum Bonitätsscore
Darf ein Unternehmen meine Daten einfach für eine Bonitätsprüfung verwenden?
Nein, nicht automatisch. Entscheidend ist, für welchen Zweck die Daten ursprünglich erhoben wurden und ob die spätere Verwendung für eine Bonitätsprüfung rechtmäßig ist. Daten aus Werbung und Direktmarketing dürfen nicht ohne Weiteres für eine Bonitätsbeurteilung eingesetzt werden.
Ist jeder Bonitätsscore ohne Zahlungsausfälle unzulässig?
Nein. Ein Bonitätsscore kann grundsätzlich auch auf anderen Informationen beruhen. Ob die konkrete Berechnung und Verwendung zulässig ist, hängt von den Umständen des Einzelfalls ab. Besonders wichtig sind die Datenquelle, der Zweck der Verarbeitung, die Transparenz und die möglichen Nachteile für die betroffene Person.
Was kann ich tun, wenn ich wegen eines Scores keinen Vertrag bekomme?
Sie sollten zunächst klären, welche Daten verwendet wurden, woher sie stammen und wie der Score gebildet wurde. Bewahren Sie alle Schreiben und Nachweise auf. Anschließend kann geprüft werden, ob eine unzulässige Zweckänderung oder eine andere Rechtsverletzung vorliegt.
Kann ich automatisch verlangen, dass sämtliche Daten gelöscht werden?
Das lässt sich nicht pauschal beantworten. Die Entscheidung betrifft nicht jede Form der Datenverarbeitung, sondern insbesondere die konkrete Verwendung ursprünglich für Marketingzwecke erhobener Daten im Rahmen einer Bonitätsprüfung. Welche Ansprüche bestehen, hängt daher von den tatsächlich verarbeiteten Daten und den Umständen des Einzelfalls ab.
Rechtliche Prüfung kann entscheidend sein
Die Entscheidung des OGH stärkt die Bedeutung der Zweckbindung und macht deutlich, dass personenbezogene Daten nicht beliebig von einem Geschäftsbereich in einen anderen übernommen werden dürfen. Gleichzeitig bleibt Raum für rechtmäßige Bonitätsprüfungen, wenn deren Voraussetzungen eingehalten werden.
Mit langjähriger Erfahrung als Rechtsanwalt im Umgang mit zivilrechtlichen und datenschutzrechtlichen Fragestellungen berät die Kanzlei Pichler betroffene Personen zur Herkunft, Verwendung und möglichen Zweckänderung ihrer Daten. Wenn ein Bonitätsscore zu einer Vertragsablehnung oder einer anderen belastenden Folge geführt hat, kann eine genaue Prüfung der Datenverarbeitung sinnvoll sein.
Für eine Terminvereinbarung erreichen Sie die Pichler Rechtsanwalt GmbH, Karlsplatz 3, 1010 Wien, unter 01/5130700 oder per E-Mail an wien@anwaltskanzlei-pichler.at.
Rechtliche Hilfe benötigt?
Kontaktieren Sie unsere Rechtsanwaltskanzlei in 1010 Wien: Beratungstermin vereinbaren.
Autor dieses Beitrags
Rechtsanwalt Dr. Clemens Pichler, LL.M.
Gründer der Pichler Rechtsanwalt GmbH in Wien. Studium der Rechtswissenschaften an der Universität Innsbruck (Promotion mit Auszeichnung), LL.M. für IT-Recht an der Universität Wien, Rechtsanwaltsprüfung 2007. Schwerpunkte: Zivil- und Vertragsrecht, Arbeitsrecht, Anlegerschutz sowie Telekommunikations- und IT-Recht. Vom Kurier zweimal in Folge zu den beliebtesten Rechtsanwälten Österreichs gewählt.
Kanzlei: Rechtsanwalt Wien – Pichler Rechtsanwalt GmbH · Erstberatung vereinbaren
