Datenschutz und Vertraulichkeit
DSGVO und berufliche Verschwiegenheit
Inkassoinstitute verarbeiten besonders sensible Daten: Schuldnerdaten, Bonitätsinformationen, Gesundheitsdaten in Härtefällen und Kontodaten. Rechtsgrundlagen sind regelmäßig Vertragserfüllung, rechtliche Verpflichtung oder berechtigtes Interesse; für besondere Kategorien braucht es eine eigene Grundlage. Zentrale Pflichten sind Datenminimierung, Zweckbindung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Betroffene haben Auskunfts-, Berichtigungs-, Löschungs- und Widerspruchsrechte. Auftragsverarbeiter müssen vertraglich gebunden sein, Übermittlungen in Drittländer brauchen eine zulässige Grundlage. Daneben steht die berufliche Verschwiegenheit: Schuldnerdaten dürfen nicht an Dritte, auch nicht an Familienangehörige oder Arbeitgeber, weitergegeben werden.
Prüfungsfallen
Beliebt ist die Verwechslung von Auskunftsrecht und Kreditauskunft: Das Auskunftsrecht betrifft die eigenen Daten, nicht die Bonitätsauskunft über Dritte. Eine weitere Falle ist die Annahme, dass Daten „ewig“ aufbewahrt werden dürfen – nach Zweckerreichung und Ablauf gesetzlicher Fristen ist zu löschen. Prüfer testen auch, ob ein berechtigtes Interesse automatisch jede Verarbeitung erlaubt; es ist abzuwägen. Häufig falsch beantwortet: Meldungen an Wirtschaftsauskunfteien ohne zulässige Grundlage und Anrufe bei Angehörigen zur Schuldnerermittlung.
Beispiel und Merkregel
Merkregel: „So viel wie nötig, so lange wie nötig, so wen wie nötig.“ Beispiel: Ein Schuldner bittet um Auskunft über gespeicherte Daten. Das Institut muss unverzüglich, spätestens innerhalb eines Monats, Auskunft über Zwecke, Kategorien, Empfänger und Speicherdauer geben. Ruft danach die Ehefrau an und fragt nach der Schuld, darf keine Auskunft erteilt werden; ein Gespräch über die Forderung ist ohne Einwilligung des Schuldners unzulässig.