Hohe Außenstände können empfindliche Auswirkungen auf die Liquidität haben. Daher beauftragen Unternehmen gerne Inkassobüros mit der der Beitreibung ausstehender Forderungen. Notwendigerweise werden dabei personenbezogene Daten der Schuldner verarbeitet, die teils sensibler Natur sind. Darum gelten hier besondere Regelungen zum Schutz dieser Informationen.
Welche Bestimmungen bei der Durchführung des Forderungsmanagements zu beachten sind, hängt von der Vertragsgestaltung zwischen dem Gläubiger und dem Inkassounternehmen ab:
Factoring: Übertragung der Forderung
Tritt ein Gläubiger seine Forderung in Form eines Verkaufs an ein Inkassounternehmen ab, handelt es sich datenschutzrechtlich um den Fall einer Funktionsübertragung. Das Inkassobüro macht die Forderung anschließend im eigenen Namen geltend und handelt nicht weisungsgebunden. Bei diesem Verfahren wählt das Inkassounternehmen die Maßnahmen zur Beitreibung der Forderung eigenverantwortlich.
Die Erhebung und Verarbeitung der Daten durch das Inkassounternehmen erfolgt in dem Fall für eigene Geschäftszwecke und unterliegt somit den Vorschriften des § 28 Abs. 1 Bundesdatenschutzgesetz (BDSG).
Der Gläubiger kann sich bezüglich der Übermittlung der Daten an das Inkassounternehmen ebenfalls auf die genannte Regelung berufen. Die Begleichung der Forderung kann als berechtigtes Interesse des übermittelnden Unternehmens angesehen werden. So schätzt etwa der Datenschutzbeauftragte des Landes Rheinland-Pfalz den Sachverhalt in seinem 23. Tätigkeitsbericht ein.
Die Vorschrift greift jedoch nur so lange, wie kein schutzwürdiges Interesse des Schuldners überwiegt. Vorsicht ist beispielsweise dann geboten, wenn das beauftragte Inkassounternehmen gleichzeitig als Auskunftei tätig ist. In einem solchen Fall sind vor allen Dingen zwei Punkte zu beachten:
- Zweckgebundenheit der Datenübermittlung an das Inkassounternehmen: Das Inkassounternehmen darf die ihm zum Zwecke des Forderungseinzugs übermittelten Daten ausschließlich dafür verwenden. Die Informationen dürfen keinesfalls in die Tätigkeit als Auskunftei mit einfließen.
- Besondere Sorgfalt bei der Übermittlung durch den Gläubiger: Da dem Betroffenen durch die Übermittlung seiner Daten an eine Auskunftei erhebliche Einschränkungen drohen, gelten für die Weitergabe besondere Regelungen. Hier können Sie mehr über die in dem Zusammenhang relevanten Vorschriften des § 28a BDSG erfahren.
Reiner Forderungseinzug: Datenverarbeitung im Auftrag
Ist das Vertragsverhältnis zwischen dem Gläubiger-Unternehmen und dem beauftragten Inkassobüro so gestaltet, dass letzteres im Rahmen des Forderungseinzugs lediglich weisungsgebundene Hilfstätigkeiten ausführt, liegt der Fall der Auftragsdatenverarbeitung vor. Zu den lediglich unterstützenden Tätigkeiten können die Erstellung von Mahnungen, Feststellung der aktuellen Anschrift oder Überwachung des Zahlungseingangs gehören. In dem Fall greifen die Vorschriften des § 11 BDSG.
Der Gesetzgeber betrachtet die Übermittlung der Daten bei der gegebenen Sachlage nicht als Weitergabe an Dritte – das Inkassobüro wird vielmehr als dem beauftragenden Unternehmen zugehörig angesehen. Dies bedeutet eine Erleichterung im Bezug auf die Datenübermittlung. Jedoch sind mit der Auftragsdatenverarbeitung einige Implikationen verbunden, die beachtet werden müssen.
- Die Voraussetzung für eine Einstufung als Auftragsdatenverarbeitung ist, dass das beauftragte Inkassounternehmen strikt weisungsgebunden agiert. Daher trägt das beauftragende Unternehmen die Verantwortung für die Prozesse und hat somit auch den Schutz der personenbezogenen Daten des Schuldners zu verantworten. Dies gilt auch während der Speicherung und sonstigen Verarbeitung beim beauftragten Inkassobüro. Bei eventuellen Verstößen des Inkassounternehmens gegen datenschutzrechtliche Bestimmungen ist der beauftragende Gläubiger zu belangen.
- Der Gläubiger ist dazu verpflichtet, mit dem Dienstleister einen Vertrag über die Datenverarbeitung im Auftrag zu schließen, der genau regelt, wie mit den übermittelten Daten umzugehen ist. Dieser muss unter anderem Regeln zur Sperrung oder Löschung von Daten, Vorgaben zu den technischen Maßnahmen, die zum Schutz der übermittelten Daten zu treffen sind und die Definition der Kontrollbefugnisse des Auftraggebers beinhalten.
- Das Gläubiger-Unternehmen ist verpflichtet, sich zu vergewissern, dass der beauftragte Dienstleister die gesetzlichen Anforderungen zum Datenschutz tatsächlich erfüllt. Bereits vor der ersten Übermittlung von Schuldnerdaten an den Dienstleister muss eine sogenannte Erstkontrolle erfolgen.
Fazit
Die Beauftragung eines Inkassounternehmens zur Beitreibung einer Forderung ist grundsätzlich zulässig. Dabei sollten Sie jedoch die Rechte des betroffenen Schuldners berücksichtigen.
Im Falle einer Forderungsübertragung liegt eine Datenübermittlung an Dritte vor. Besondere Vorsicht ist geboten, wenn das Inkassounternehmen gleichzeitig als Auskunftei tätig ist.
Handelt es sich dagegen um die bloße Hilfstätigeit der Forderungseinziehung, liegt eine Datenverarbeitung im Auftrag vor – mit der Folge, dass das Inkassounternehmen nicht als dritte Stelle betrachtet wird. Als Auftraggeber bleiben Sie in diesem Fall jedoch weiterhin dazu verpflichtet, dafür Sorge zu tragen, dass die Daten des Schuldners – auch während der Verarbeitung durch den Dienstleister – ausreichend geschützt sind.
In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.