Forderungsmanagement und der Datenschutz - Sind Inkassodienstleister Auftragsverarbeiter?

Unternehmen sind darauf angewiesen, dass Kunden ihre Rechnungen fristgerecht zahlen. Eine hohe Anzahl offener Rechnungen bei Kunden sind gerade für kleine und mittlere Unternehmen bzw. Startups lebensbedrohlich. Ein effektives Forderungsmanagement, das auf eine zeitnahe Zahlung durch die Kunden ausgelegt ist, ist vor diesem Hintergrund überlebenswichtig. Aber auch für Unternehmen mit einer Vielzahl von Einzelkunden (z.B. Versicherungen, Telekommunikationsanbieter etc.) ist ein effektives Forderungsmanagement zur Einsparung unnötiger Kosten erforderlich. Nicht selten wird dieses Forderungsmanagement an Dritte "ausgelagert". Dies erfolgt dann enweder durch eine Einziehungsermächtigung, einer Inkassozession oder ein Factoring. Auf die Unterschiede der drei Fallgruppen soll an dieser Stelle nicht näher eingegangen werden, gemeinsam haben diese drei Fallgruppen des Inkasso, dass es hierbei um die geschäftsmäßige Einziehung fremder Forderungen geht. 

Sind Inkassodienstleister Auftragsverarbeiter?

Hinsichtlich aller drei Fallgruppen des Inkasso dürfte mehrheitlich vertreten werden, dass es sich hierbei nicht um eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO handelt (vgl. Kühling/Buchner/Buchner/Petri, DSGVO, Art. 6, Rn. 51c). So hat es auch die DSK in ihrem Papier zur Auftragsverarbeitung in Anhang B vertreten.  Danach handelt es sich bei Inkassodienstleistungen im die Inanspruchnahme fremder Fachleistungen bei einem eigenständigen Verantwortlichen und gerade nicht um einen Auftragsverarbeiter (so auch VG Mainz, Urt. v. 20.2.2020 - 1 K 467/19.MZ). Das VG Mainz führte hierzu u.a. aus:

Die Übertragung von Daten des betroffenen Tierhalters von dem Kläger auf die VTX erfolgte vorliegend nicht im Rahmen einer Auftragsdatenverarbeitung gemäß Art. 28 DSGVO. Die Vorgehensweise, wonach die Übermittlung der Daten vom Tierarzt zur Verrechnungs- und Inkassostelle vor der Forderungsabtretung grundsätzlich als Auftragsverarbeitung zu bewerten wäre, würde nicht nur einen Vertrag zu Lasten Dritter darstellen und eine Umgehung der eigentlich einschlägigen, strengeren Anforderungen der Art. 6 ff. DSGVO für eine Datenübermittlung an einen nicht weisungsgebundenen Dritten bedeuten, sondern ist vor allem tatbestandlich nicht als Auftragsverarbeitung zu bewerten.

Gegen eine Auftragsverarbeitung und eine Weisungsgebundenheit der VTX spricht zunächst, dass die Abtretung - die nach der Vorstellung des Klägers den Wechsel von der Auftragsverarbeitung zur Datenverarbeitung der VTX als Verantwortliche bewirkt - letztlich auf einer freien Entscheidung der VTX beruht (so auch die Präambel des Abrechnungsvertrags): Die Forderungsabtretung bedarf nach dem Vertrag zwingend der Annahmeerklärung der VTX. Die von dem Kläger beabsichtigten weitreichenden datenschutzrechtlichen Veränderungen, die durch die Abtretung eingeleitet werden sollen, stehen damit nicht unter der Kontrolle des Verantwortlichen.

Zwar hat der Kläger die ihm vorliegenden Daten an die VTX möglicherweise zu einem Zeitpunkt übermittelt, als die Abtretung noch nicht wirksam war. Die VTX hatte jedoch auch nach erfolgter Abtretung noch Zugriff auf die Daten. Sie hat sie erst nach der Abtretung als Forderungsinhaberin weiterverarbeitet und ist gegenüber dem betroffenen Tierhalter mit einer eigenen Rechnung über die Behandlungskosten in Erscheinung getreten. Diese Datenverarbeitung erfolgte nicht im Auftrag des Klägers, weil der Kläger gemäß dem Vertrag seine Forderungen gegenüber dem Tierhalter an die VTX abgetreten hat. Die VTX kann als Zessionarin die Forderung gegenüber dem Tierhalter eigenständig durchsetzen und die ihr vorliegenden Daten selbständig und weisungsfrei verarbeiten. Weisungsbefugnisse des Klägers bestehen gegenüber der VTX nach erfolgter Abtretung auf Grundlage des Vertrages nicht (so auch Schulz, in: Gola, DSGVO, 2. Aufl. (2018), Art. 6, Rn. 136; Ziegenhorn/Fokken, ZD 2019, 194).

Auf welcher Rechtsgrundlage darf eine Übermittlung der Daten an das Inkassounternehmen erfolgen?

Die datenschutzrechtlich Folge aus der Qualifizierung des Inkassounternehmens ist, dass eine Übermittlung von personenbezogenen Daten an das Inkassounternehmen und die anschließende Verarbeitung  durch das Inkassounternehmen nicht über eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO gerechtfertigt werden kann. Es bedarf sowohl für die Übermittlung vom ursprünglichen Forderungsgläubiger auf das Inkassounternehmen als auch für die anschließende Verarbeitung einer eigenständigen Rechtsgrundlage. 

Das VG Mainz hat in der oben zitierten Entscheidung die Übermittlung und die Verarbeitung sowohl auf Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung) als auch auf Art. 6 Abs. 1 f) DSGVO (berechtigte Interessen) gestützt. Das entspricht auch der Auffassung in Teilen der datenschutzrechtlichen Literatur (nur Gola/Heckmann/Schulz, DSGVO, Art. 6, Rn. 108). Die wohl besseren Gründe dürfte jedoch dafür sprechen, die Übermittlung und die nachfolgende Verarbeitung nur auf berechtigte Interessen nach Art. 6 Abs. 1 f) DSGVO zu stützen, denn die Abtretung der Forderung für die Durchsetzung der eigenen Forderung ist objektiv nicht zwingend erforderlich - die Durchsetzung eigener Zahlungsforderungen ist in aller Regel auch eigenständig möglich (so auch Kühling/Buchner/Buchner/Petri, DSGVO, Art. 6, Rn. 51c; Blasek, ZD 2020, 378, 379).  Mit der Entscheidung des VG Mainz wird man sich in der Praxis allerdings auf beide Rechtsgrundlagen stützen können. Hiervon geht auch die Datenschutzaufsicht NRW aus, wenn sie in ihrem kleinen FAQ zum Thema Datenschutz bei Inkassounternehmen folgendes schreibt:

Stützt man sich allerdings lediglich auf ein berechtigtes Interesse, ist eine Interessenabwägung vorzunehmen. Im Rahmen dieser Interessenabwägung ist zu berücksichtigen, mit welchen Mitteln bspw. der ausgewählte Inkassodienstleister regelmäßig die offenen Forderungen durchzusetzen versucht. Werden regelmäßig rechtswidrige Praktiken angewandt (z.B. Drohung mit unberechtigten SCHUFA-Meldungen), wird das schutzwürdige Interesse des Betroffenen ausnahmsweise überwiegen. 

Worauf ist beim Einsatz von Inkassodienstleistern zu achten?

Setzen Unternehmen Inkassodienstleister für die Durchsetzung offener Zahlungsforderungen auf, muss hierauf bereits bei Abschluss des Vertrages über Art. 13 DSGVO ausdrücklich informiert werden. Stützt man sich hinsichtlich der Übermittlung auf berechtigte Interessen, sind diese entsprechend anzugeben. Macht ein Kunde einen Auskunftsanspruch nach Art. 15 DSGVO geltend, muss auch im Rahmen der Auskunftserteilung der Inkassodienstleister als Empfänger der personenbezogenen Daten nach Art. 15 Abs. 1 c) DSGVO. 

 Kommt es später zu einer Forderungsabtretung, dürfen dem Inkassounternehmen nur die personenbezogenen Daten zum Kunden weitergegeben werden, die für die Durchsetzung der offenen Forderung erforderlich sind. Darüber hinausgehende Daten dürfen nicht übermittelt werden. 

Mehr Beiträge zum Datenschutzrecht:

• 10.000 EUR wegen verspäteter Auskunft nach Art. 15 DSGVO
• Drohen neue DSGVO-Abmahnungen wegen Klaviyo?
• Google Fonts: Worauf Agenturen bei der Einbindung bei ihren Kunden achten sollten
• Haftung des Geschäftsführers für einen DSGVO-Verstoß
• Datenschutzrechtliche Anforderungen an die Veröffentlichung von Mitarbeiterfotos im Internet
• Der DSGVO-Schadenersatz nach Art. 82 DSGVO
• Das datenschutzrechtliche Recht auf Auskunft - Art. 15 DSGVO