Tiko - stock.adobe.com

Ratgeber

Was der Datenschutz im Forderungsmanagement verlangt

Das Forderungsmanagement einer Firma soll dafür sorgen, dass offene Rechnungen beglichen werden. Dafür werden Kundendaten benötigt. Doch der Datenschutz muss beachtet werden.

Oliver Schonschek
von
Zuletzt aktualisiert:16 Dez. 2024

„Aufträge sind schön, solange sie bezahlt werden. Mit einem professionellen Forderungsmanagement sorgen Sie dafür, dass Ihre Rechnungen auch beglichen werden“, schreibt zum Beispiel die IHK München und Oberbayern. Unternehmen können aber auch ihr Forderungsmanagement an einen Dienstleister übergeben, an ein Inkassounternehmen. Genau wie das Unternehmen selbst braucht das beauftragte Inkassounternehmen aber Kundendaten, um die Forderungen „eintreiben“ zu können. „Forderungen können nach dem deutschen Zivilrecht grundsätzlich ähnlich wie Waren gehandelt/verkauft werden, wobei die dazu notwendigen Daten zum Schuldner und zu der Forderung mit übergeben werden müssen, damit der neue Gläubiger auch die Möglichkeit hat, die Forderung zu realisieren“, erläutert das BayLDA (Bayerisches Landesamt für Datenschutzaufsicht).

Der Datenschutz verhindert also das Forderungsmanagement nicht etwa, auch wenn viele Betroffene bei Datenschutzaufsichtsbehörden fragen, ob es denn rechtens sei, wenn die eigenen Daten an ein Inkassounternehmen weitergegeben werden. Dazu berichtet zum Beispiel die Datenschutzaufsicht von NRW: „Gerade zum Thema Inkassounternehmen erreichen uns seit Einführung der Datenschutz-Grundverordnung (DSGVO) sehr viele Anfragen von Bürgerinnen und Bürgern, die durch ein Inkassounternehmen zum Ausgleich einer offenen Forderung aufgefordert wurden“.

Teilweise bestünden diese Forderungen aber auch nur vermeintlich gegen die betroffene Person, zum Beispiel weil eine Adressermittlung durch ein Dienstleistungsunternehmen fehlerhaft durchgeführt wurde (Personenverwechslung), es sich um einen Identitätsmissbrauch handelt oder die Forderung zwischenzeitlich gegenüber dem Gläubiger beglichen wurde und dieser dem Inkassounternehmen keine Information zukommen ließ, so die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Offensichtlich werden Fehler begangen im Forderungsmanagement, die auch die personenbezogenen Daten und damit den Datenschutz betreffen.

Datenschutz: Worauf beim Forderungsmanagement zu achten ist

Ein aktuelles Beispiel zeigt, welche Folgen eine Datenschutzverletzung im Forderungsmanagement haben kann. So meldet der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) ein 900.000 Euro Bußgeld wegen Verstoßes gegen Löschpflichten.

Das war passiert:  Obwohl Löschfristen abgelaufen waren, hat ein Hamburger Dienstleister aus der Forderungsmanagement-Branche Datensätze mit personenbezogenen Daten ohne Rechtsgrundlage bis zu fünf Jahre lang aufbewahrt. Diese Ordnungswidrigkeit hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit nun mit einem Bußgeld in Höhe von 900.000 Euro geahndet.

Aufgefallen war der Verstoß, weil der HmbBfDI im Rahmen einer Schwerpunktprüfung marktstarke Unternehmen aus dem Forderungsmanagement geprüft hatte. Bei einer Vor-Ort-Prüfung stellte die Datenschutzaufsicht fest, dass trotz abgelaufener Löschfristen Datensätze weiterhin aufbewahrt worden waren. Bis Mitte November 2023 speicherte das Unternehmen eine sechsstellige Zahl von Datensätzen mit personenbezogenen Daten ohne Rechtsgrundlage und verstieß damit gegen die DSGVO. Auch wenn die ursprünglich verarbeiteten Datensätze in diesem Zeitraum nicht an Dritte weitergegeben wurden, waren sie teilweise noch fünf Jahre nach Ablauf der gesetzlichen Aufbewahrungsfrist nicht aus der Datenbank des Unternehmens gelöscht worden.

Das Unternehmen hat den Verstoß eingeräumt und das Bußgeld akzeptiert. Es hat bei der Aufarbeitung professionell mit der Aufsichtsbehörde zusammengearbeitet, was bei der Bußgeldbemessung berücksichtigt wurde.

Die verarbeiteten Daten über säumige Schuldnerinnen und Schuldner sind tendenziell besonders sensibel und werden regelmäßig mit weiteren Stellen wie Auskunfteien und Adressermittlungsdiensten geteilt, berichtet die Hamburger Datenschutzaufsicht. Daher müssten die betroffenen Personen auf einen verantwortungsvollen Umgang mit ihren Daten vertrauen können.

Thomas Fuchs, Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit, kommentierte dies so: „Wenn die Kundenbeziehung endet, sind die erhobenen Daten sofort beziehungsweise nach festgelegten Fristen zu löschen. Deshalb sollten Unternehmen bereits bevor sie Daten erheben eine Bestandsaufnahme machen, welche Daten gesammelt und wie lange sie vorgehalten werden dürfen. Es ist nicht akzeptabel, wenn Unternehmen, die in datengetriebenen digitalen Branchen arbeiten, kein kohärentes Löschkonzept entwickelt haben.“

So prüfte die Aufsichtsbehörde das Forderungsmanagement

Bei der Schwerpunktprüfung zum Forderungsmanagement wurde hinterfragt, wie die Daten der Schuldnerinnen und Schuldner bei den jeweiligen Dienstleistern aufbewahrt und verarbeitet werden. Zu diesem Zweck erhielten die Unternehmen ausführliche Fragebögen zugesandt, deren Antworten umfassende Einblicke in die Datenhaltung gaben. Darüber hinaus wurden die Unternehmen aufgefordert, Dokumente wie das Verzeichnis der Verarbeitungstätigkeiten, Auflistungen der Sicherheitsmaßnahmen sowie verwendete Musterschreiben vorzulegen. Zusätzlich suchte die Hamburger Datenschutzaufsicht im Anschluss an die schriftliche Vorprüfung einige Unternehmen in den jeweiligen Geschäftsräumen auf.

Überwiegend konnte die Aufsichtsbehörde ein hohes Maß an Professionalität und Sensibilität feststellen. Im Dialog wurden Verbesserungen bei der Transparenz gegenüber Betroffenen erreicht. Insbesondere die Formulierung einer aussagekräftigen Datenauskunft nach Artikel 15 DSGVO und die Prozesse für eine fristgerechte Auskunftserteilung standen dabei im Vordergrund, wie die Aufsichtsbehörde berichtete.

Es zeigt sich: Ein Forderungsmanagement wird nicht durch den Datenschutz erschwert, es muss sich aber an die Vorgaben der DSGVO halten, insbesondere an die Betroffenenrechte wie zum Beispiel die Löschpflichten nach Ablauf der Aufbewahrungsfrist.

Erfahren Sie mehr über Datenschutz und Compliance