Löschungsfrist bei Zahlungsstörungen

Die längstmögliche Speicherungsdauer von Daten über Zahlungsstörungen, die private Wirtschaftsauskunfteien durch Einmeldungen ihrer Vertragspartner sammeln, um sie zur Grundlage von Bonitätsbeurteilungen zu machen, wird nicht durch die Löschungsfrist von Eintragungen anderer Art über die jeweilige Forderung im öffentlichen Register – hier im Schuldnerverzeichnis – vorgegeben¹.

Verhaltensregeln im Sinn von Art. 40 DSGVO können im Interesse der Rechtssicherheit und auch mit Blick auf das von Wirtschaftsauskunfteien betriebene Massengeschäft als Orientierung für die nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO vorzunehmende Interessenabwägung herangezogen werden, soweit sie typisiert zu einem angemessenen Interessenausgleich führen – wie das bei der vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit zum 1.01.2025 genehmigten Ziffer IV.1. Buchst. b der Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien grundsätzlich der Fall ist – und die Besonderheiten des Einzelfalls bei der konkret vorzunehmenden Interessenabwägung hinreichend berücksichtigt werden².

In dem hier vom Bundesgerichtshof entschiedenen Fall speicherte die beklagte Wirtschaftsauskunftei, die SCHUFA Holding AG, Daten über drei gegen den Schuldner gerichtete unbestrittene Forderungen, und zwar erstens aus einer Rechnung vom 16.11.2018 in Höhe von 150 €, tituliert durch Vollstreckungsbescheid; und vom Schuldner beglichen am 2.12.2020, zweitens aus einer Rechnung vom 31.01.2020 in Höhe von 428,27 €; vom Gläubiger mehrfach angemahnt; und vom Schuldner beglichen am 4.11.2021, sowie drittens aus einer Rechnung vom 09.05.2021 in Höhe von 160,99 €, tituliert durch Vollstreckungsbescheid; und vom Schuldner beglichen im Dezember 2022.

Vor dem Landgericht hat der Schuldner von der SCHUFA zunächst Löschung der Einträge über die drei erledigten Forderungen und Ersatz immateriellen Schadens sowie vorgerichtlicher Rechtsverfolgungskosten begehrt. Nachdem die Schufa den Eintrag über die am 2.12.2020 beglichene Forderung nach Ablauf von drei Jahren am 2.12.2023 gelöscht hatte, haben die Parteien den Rechtsstreit bezüglich des diesbezüglichen Löschungsanspruchs vor dem Landgericht übereinstimmend für in der Hauptsache erledigt erklärt. Das Landgericht Bonn hat die Klage abgewiesen³.

Während des Berufungsverfahrens löschte die Schufa am 4.11.2024 den Eintrag über die am 4.11.2021 beglichene Forderung sowie später auch den Eintrag über die im Dezember 2022 beglichene Forderung. Hintergrund für die Löschung der zuletzt genannten Forderung war die vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit zum 1.01.2025 genehmigte Ziffer IV.1. Buchst. b der Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien. Diese sieht – insoweit unverändert zur vorherigen Fassung – im Grundsatz eine Speicherung von personenbezogenen Daten über ausgeglichene Forderungen für drei Jahre vor (Satz 1). Nach der neuen Fassung endet die Speicherung jedoch abweichend davon bereits nach 18 Monaten (Satz 2), wenn (1.) der Auskunftei bis zu diesem Zeitpunkt keine weiteren Negativdaten gemeldet worden sind, (2.) keine Informationen aus dem Schuldnerverzeichnis oder aus Insolvenzbekanntmachungen vorliegen und (3.) der Ausgleich der Forderung innerhalb von 100 Tagen nach Einmeldung erfolgte. Die Parteien haben danach den Rechtsstreit auch bezüglich der beiden in die Berufungsinstanz gelangten Löschungsbegehren übereinstimmend für in der Hauptsache erledigt erklärt. In der Sache hat der Schuldner von der SCHUFA noch Zahlung immateriellen Schadensersatzes nach Ermessen des Gerichts, aber nicht unter 1.500 €, nebst Zinsen, und außergerichtlicher Rechtsverfolgungskosten von 627,13 € begehrt. Das Oberlandesgericht Köln hat die Schufa – unter Zurückweisung der weitergehenden Berufung des Schuldners – zur Zahlung immateriellen Schadensersatzes von 500 € nebst Zinsen sowie außergerichtlicher Rechtsverfolgungskosten von 540, 50 € verurteilt⁴.

Auf die Revision der SCHUFA hat der Bundesgerichtshof das Berufungsurteil aufgehoben und die Sache zur neuen Verhandlung und Entscheidung an das Oberlandesgericht Köln zurückverwiesen:

Gegen die Kostenentscheidung des Oberlandesgerichts Köln nach § 91a Abs. 1 ZPO für die in der Hauptsache übereinstimmend für erledigt erklärten Anträge auf Löschung erhebt die Revision keine Rügen⁵.

Mit der vom Oberlandesgericht Köln gegebenen Begründung kann die Unrechtmäßigkeit der Datenspeicherung durch die Schufa nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO als Voraussetzung für einen Schadensersatzanspruch des Schuldners aus Art. 82 Abs. 1 DSGVO nicht bejaht werden.

Gemäß Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen. Dabei haftet nach Art. 82 Abs. 2 Satz 1 DSGVO jeder an einer Verarbeitung beteiligte Verantwortliche für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. Nach Art. 82 Abs. 3 DSGVO wird der Verantwortliche von der Haftung gemäß Art. 82 Abs. 2 DSGVO befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

Nach Art. 5 Abs. 1 Buchst. a DSGVO sind personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise zu verarbeiten. Unter den Begriff der Verarbeitung fällt nach Art. 4 Nr. 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie unter anderem die Speicherung von Daten. Art. 6 Abs. 1 Unterabs. 1 dieser Verordnung enthält eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann⁶. Nach dem für den im Streitfall allein einschlägigen Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ist eine Datenverarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Somit ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen⁷.

Nach Art. 17 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und ist der Verantwortliche verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind (Buchst. a) oder die personenbezogenen Daten unrechtmäßig verarbeitet wurden (Buchst. d).

Wirtschaftsauskunfteien wie die der SCHUFA werden zur Wahrung von berechtigten Interessen im Sinn von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO tätig. Von der Vorschrift erfasst wird ein weites Spektrum von Interessen, das nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt ist⁸.

Neben ihren eigenen wirtschaftlichen Interessen nehmen Wirtschaftsauskunfteien die berechtigten Interessen ihrer Kunden (insbesondere potentieller Kreditgeber) wahr⁹. Die Analyse einer Wirtschaftsauskunftei kann insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potentiellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern¹⁰.

Dass Kreditgeber Auskünfte zur Kreditwürdigkeit von Verbrauchern einholen dürfen, ist im europäischen Recht anerkannt (vgl. Art. 8 der Richtlinie 2008/48/EG über Verbraucherkreditverträge, künftig Art. 18 f. der Richtlinie [EU] 2023/2225 über Verbraucherkreditverträge; Art. 18 bis 21 der Richtlinie 2014/17/EU über Wohnimmobilienkreditverträge für Verbraucher; EuGH, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung]). Die Anforderungen an eine Kreditwürdigkeitsprüfung werden allerdings im nationalen Recht geregelt¹¹. Das deutsche Recht erkennt für Allgemein-Verbraucherdarlehensverträge in § 505b Abs. 1 BGB Kreditwürdigkeitsprüfungen bei Wirtschaftsauskunfteien ausdrücklich an. Eine solche Kreditwürdigkeitsprüfung soll auch verhindern, dass der Verbraucher Kreditverbindlichkeiten eingeht, die seine finanzielle Leistungsfähigkeit übersteigen¹², und dient damit mittelbar dem Verbraucherschutz¹³.

Auch über den Bereich von Verbraucherdarlehensverträgen hinaus liegen Kreditwürdigkeitsprüfungen zur Vermeidung von Zahlungsausfällen im gesamtwirtschaftlichen Interesse¹⁰.

Dem stehen gewichtige Interessen einer von dieser Datenspeicherung betroffenen Person wie dem Schuldner gegenüber.

Die Verarbeitung von Daten über Zahlungsstörungen, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei stellt einen schweren Eingriff in die Grundrechte der betroffenen Person nach Art. 7 (Achtung des Privat- und Familienlebens) und Art. 8 (Schutz personenbezogener Daten) der EU-Grundrechtecharta dar. Solche Daten dienen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person und stellen daher sensible Informationen über ihr Privatleben dar. Ihre Verarbeitung kann den Interessen der betroffenen Person beträchtlich schaden, da diese Weitergabe geeignet ist, die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken¹⁰.

Die Folgen für die Interessen und das Privatleben der betroffenen Person sind umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen umso höher, je länger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden¹⁰.

Nach einer Prüfung, ob die Datenspeicherung der SCHUFA zur Verwirklichung der von ihr wahrgenommenen berechtigten Interessen erforderlich ist, muss das Speicherungsinteresse der SCHUFA mit dem Löschungsinteresse des Schuldners abgewogen werden⁹. Die Frage der Erforderlichkeit hat das Oberlandesgericht Köln nicht thematisiert. Seine Auffassung, das Löschungsinteresse überwiege stets bereits mit dem Ausgleich der jeweiligen Forderung, hält der rechtlichen Nachprüfung nicht stand.

In seinem Urteil „SCHUFA Holding (Restschuldbefreiung)“ hat der Gerichtshof der Europäischen Union es als Sache des vorlegenden Gerichts angesehen zu beurteilen, ob bei der in den Ausgangsverfahren in Rede stehenden Verarbeitung personenbezogener Daten die Voraussetzungen des Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO erfüllt sind. Der Gerichtshof hat dem vorlegenden Gericht – dort dem Verwaltungsgericht Wiesbaden – jedoch sachdienliche Hinweise für diese Prüfung gegeben¹⁴. In diesem Rahmen hat der Gerichtshof entschieden, dass Art. 5 Abs. 1 Buchst. a DSGVO in Verbindung mit Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO dahin auszulegen ist, dass er einer Praxis privater Wirtschaftsauskunfteien entgegensteht, die darin besteht, in ihren eigenen Datenbanken aus einem öffentlichen Register stammende Informationen über die Erteilung einer Restschuldbefreiung zugunsten natürlicher Personen zum Zweck der Lieferung von Auskünften über die Kreditwürdigkeit dieser Personen für einen Zeitraum zu speichern, der über die Speicherdauer der Daten im öffentlichen Register hinausgeht¹⁰.

Die Löschungsfristen für Insolvenzbekanntmachungen, einer zentralen und länderübergreifenden Veröffentlichung im Internet im Sinn von § 9 Abs. 1 InsO, sind in § 3 InsBekV geregelt. Nach § 3 Abs. 1 Satz 1, Abs. 2 InsBekV werden Daten aus einem Insolvenzverfahren einschließlich des Eröffnungsverfahrens spätestens sechs Monate nach Rechtskraft der Entscheidung über die Restschuldbefreiung gelöscht.

Entgegen der Ansicht des Oberlandesgerichts Köln folgt aus dem genannten Urteil des Gerichtshofs der Europäischen Union nicht, dass bei Daten über Zahlungsstörungen, die private Wirtschaftsauskunfteien aufgrund von Einmeldungen ihrer Vertragspartner speichern, um sie zur Grundlage von Bonitätsbeurteilungen zu machen, die längstmögliche Speicherungsdauer durch die Löschungsfrist von Eintragungen anderer Art über die jeweilige Forderung im öffentlichen Register – hier im Schuldnerverzeichnis – vorgegeben wird.

Die Eintragung eines Schuldners ins Schuldnerverzeichnis ist vom Gerichtsvollzieher etwa dann nach § 882c Abs. 1 Satz 1 ZPO von Amts wegen anzuordnen, wenn der Schuldner seiner Pflicht zur Abgabe der Vermögensauskunft nicht nachgekommen ist (Nr. 1) oder eine Vollstreckung nach dem Inhalt des Vermögensverzeichnisses offensichtlich nicht geeignet wäre, zu einer vollständigen Befriedigung des Gläubigers zu führen (Nr. 2). Die Pflicht zur Abgabe einer Vermögensauskunft entsteht nach einer nicht zur Befriedigung des Gläubigers führenden Zahlungsaufforderung durch den Gerichtsvollzieher (§ 802f Abs. 1 ZPO).

Die im Schuldnerverzeichnis gespeicherten Angaben bestehen aus persönlichen Daten des Schuldners (§ 882b Abs. 2 ZPO), dem Aktenzeichen und dem Gericht oder der Vollstreckungsbehörde der Vollstreckungssache (§ 882b Abs. 3 Nr. 1 ZPO) sowie – bei Eintragungen auf Anordnung des Gerichtsvollziehers – dem Datum der Eintragungsanordnung und dem gemäß § 882c ZPO zur Eintragung führenden Grund (§ 882b Abs. 3 Nr. 2 ZPO).

Die Einsicht in das Schuldnerverzeichnis ist nach § 882f Abs. 1 ZPO jedem gestattet, der darlegt, für die nachfolgend genannten Zwecke Angaben nach § 882b ZPO zu benötigen, beispielsweise für die Zwangsvollstreckung (§ 882f Abs. 1 Nr. 1 ZPO) oder um wirtschaftliche Nachteile abzuwenden, die daraus entstehen können, dass Schuldner ihren Zahlungsverpflichtungen nicht nachkommen (§ 882f Abs. 1 Nr. 4 ZPO).

Gemäß § 882e Abs. 1 ZPO wird eine Eintragung im Schuldnerverzeichnis nach Ablauf von drei Jahren seit dem Tag der Eintragungsanordnung von dem zentralen Vollstreckungsgericht des betreffenden Lands gelöscht. Abweichend davon wird eine Eintragung auf Anordnung des zentralen Vollstreckungsgerichts gemäß § 882e Abs. 3 Nr. 1 ZPO bereits dann gelöscht, wenn diesem die vollständige Befriedigung des Gläubigers nachgewiesen worden ist.

Die Regelung des § 882e Abs. 3 Nr. 1 ZPO, die bei Nachweis der vollständigen Befriedigung des Gläubigers eine sofortige Löschung des Eintrags im Schuldnerverzeichnis über die betreffende Forderung anordnet, ist nicht auf die Speicherung von Daten über Zahlungsstörungen natürlicher Personen durch Wirtschaftsauskunfteien anzuwenden.

Die vorliegend in Rede stehende Datenspeicherung der SCHUFA unterscheidet sich bereits dadurch wesentlich von derjenigen im Vorlageverfahren an den Gerichtshof der Europäischen Union, dass die Schufa dort Daten aus dem öffentlichen Register – den Insolvenzbekanntmachungen – übernommen und parallel gespeichert hatte⁹, während sie hier nach den Feststellungen des Oberlandesgerichts Köln nicht Daten aus dem Schuldnerverzeichnis, sondern von ihren Vertragspartnern gemeldete Daten über Zahlungsstörungen gespeichert hat. Die Erwägung, dass die für die ursprüngliche Datenspeicherung geltende Löschungsfrist nicht durch eine längere Speicherung an anderer Stelle konterkariert werden soll⁹, greift deshalb im Streitfall nicht. Es kann daher auch nicht ohne Weiteres von einer Verstärkung des Eingriffs in das Recht der Person auf Achtung des Privatlebens durch das Vorliegen derselben personenbezogenen Daten in mehreren Quellen ausgegangen werden¹⁵.

Zwischen dem öffentlichen Schuldnerverzeichnis und der Datensammlung der SCHUFA bestehen Gemeinsamkeiten, aber auch gewichtige Unterschiede.

Im Ausgangspunkt kann die Einsichtnahme in das Schuldnerverzeichnis einen ähnlichen Zweck erfüllen wie die Einholung einer Bonitätsbeurteilung bei einer Wirtschaftsauskunftei. Dem Schuldnerverzeichnis kommt zum einen, wie aus § 882f Abs. 1 Satz 1 Nr. 1 ZPO hervorgeht, eine Funktion im Rahmen der Zwangsvollstreckung zu. Ein vollstreckungsbedingtes Einsichtsinteresse besteht danach insbesondere hinsichtlich der Entscheidung, ob ein Vollstreckungsversuch unternommen werden soll¹⁶. Das Schuldnerverzeichnis ist zum anderen, wie beispielsweise aus § 882f Abs. 1 Satz 1 Nr. 4 ZPO hervorgeht, auch über Zwecke der Zwangsvollstreckung hinaus ein Auskunftsregister über die Kreditunwürdigkeit einer Person¹⁷.

Zudem ist nach den Feststellungen des Oberlandesgerichts Köln der Kreis an potentiell gegenüber der SCHUFA Auskunftsberechtigten nicht deutlich kleiner als der Personenkreis, der nach § 882f Abs. 1 ZPO zu einer Einsicht in das Schuldnerverzeichnis befugt ist, und eine Auskunftserteilung durch die Schufa nicht von höheren Voraussetzungen abhängig als eine – ebenfalls kostenpflichtige – Einsicht in das Schuldnerverzeichnis. Entgegen der Rüge der Revision ist nicht ersichtlich, dass diese Feststellung auf einer unzureichenden Berücksichtigung des Vortrags der SCHUFA unter Verstoß gegen § 286 Abs. 1 ZPO beruht.

Ein erheblicher Unterschied zwischen der Datenspeicherung durch Wirtschaftsauskunfteien und im Schuldnerverzeichnis besteht jedoch mit Blick auf die Art der gespeicherten Informationen. So sind dem Schuldnerverzeichnis keine Informationen über Gläubiger, Höhe und Inhalt der zugrundeliegenden Forderung(en) zu entnehmen. Daher merkt die Revision zu Recht an, dass sich aus dem Schuldnerverzeichnis eher (negative) Anzeichen für eine Kreditunwürdigkeit als (positive) Anzeichen für eine Kreditwürdigkeit einer natürlichen Person ablesen lassen, während Wirtschaftsauskunfteien mit ihren Bonitätsbeurteilungen ein differenzierteres Bild deren finanzieller Situation zeichnen.

Darüber hinaus unterscheiden sich auch Beginn und Anlass der Datenspeicherung. So ist anzunehmen, dass Zahlungsstörungen bei Wirtschaftsauskunfteien, die ihre Informationen (jedenfalls auch) aufgrund einer Einmeldung anderer Privater beziehen, wesentlich früher ersichtlich werden als im Schuldnerverzeichnis, in das ein Eintrag erst dann erfolgen kann, wenn gegen den betroffenen Schuldner eine Forderung rechtskräftig tituliert ist und er seinen vollstreckungsrechtlichen Auskunftspflichten nicht nachgekommen oder die Vollstreckung gegen ihn erfolglos geblieben ist¹⁸.

Vor diesem Hintergrund können die vom Gesetzgeber für das Schuldnerverzeichnis getroffenen Wertungen nicht ohne Weiteres auf die Datensammlung der SCHUFA übertragen werden. Der Vorschrift des § 882e Abs. 3 Nr. 1 ZPO liegt für das Schuldnerverzeichnis die Wertung zugrunde, dass der Nachweis der vollständigen Befriedigung des Gläubigers das Informationsinteresse des Geschäftsverkehrs beseitigt. Dies ergibt sich im Umkehrschluss aus der Begründung des Gesetzentwurfs zu dieser Vorschrift, nach der der Nachweis einer Stundungsbewilligung oder des Einverständnisses des Gläubigers noch nicht zur Löschung einer Eintragung führe, da dies nicht das Informationsinteresse des Geschäftsverkehrs beseitige¹⁹. Indes lassen sich daraus keine zwingenden Vorgaben für eine Datensammlung wie die der SCHUFA ableiten, die zwar umfangreicher ist, aber auch ein differenzierteres Bild der Kredit(un)würdigkeit eines Schuldners zeichnet als die Datenspeicherung im Schuldnerverzeichnis.

Ohne Erfolg verweist die Revisionserwiderung auf eine Bitte des Bundesrats in der vergangenen Legislaturperiode, die Einführung einer gesetzlichen Regelung für die Speicherungsdauer bei Wirtschaftsauskunfteien zu prüfen, und die ablehnende Gegenäußerung der Bundesregierung dazu²⁰. Ein Wille des Gesetzgebers lässt sich aus diesen Stellungnahmen, die nicht in eine gesetzliche Regelung gemündet haben, nicht ablesen.

Schließlich ist die Situation nach Erlangung einer Restschuldbefreiung im Anschluss an ein Insolvenzverfahren, über die der Gerichtshof der Europäischen Union entschieden hat, mit der vorliegend in Rede stehenden Situation nach Beseitigung einer Zahlungsstörung nicht ohne Weiteres vergleichbar.

Soweit die Revisionserwiderung als Argument für eine Gleichbehandlung anführt, bei einer Restschuldbefreiung hätten Gläubiger sogar auf einen Teil ihrer Forderung verzichtet, was bei einer vollständigen Befriedigung nicht der Fall sei, überzeugt dies nicht. Bei der im Streitfall vorzunehmenden Beurteilung kommt es nicht auf die Interessen der von Zahlungsstörungen betroffenen Gläubiger, sondern auf die künftiger Kreditgeber an.

Demgegenüber ist der Umstand zu berücksichtigen, dass eine Restschuldbefreiung erst nach einer sogenannten Wohlverhaltensphase von drei Jahren ab Beendigung des Insolvenzverfahrens zu erlangen ist (vgl. § 287 Abs. 2 Satz 1, §§ 295, 295a, 296 Abs. 1 Satz 1 InsO)²¹. Sie soll dem Begünstigten ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für diese Person im Allgemeinen existenzielle Bedeutung. Dieses Ziel kann durch eine Speicherung dieser Information über längere Zeit gefährdet werden⁹. Im Grundsatz hat zwar auch ein Schuldner, der eine Zahlungsstörung beseitigt hat, ein berechtigtes Interesse an einer ungehinderten Teilnahme am Wirtschaftsleben; er kann aber nicht unmittelbar nach der Begleichung einer ausstehenden Forderung auf eine ähnliche Wohlverhaltensphase verweisen.

Das angefochtene Urteil war daher aufzuheben (§ 562 Abs. 1). Die Sache war zur neuen Verhandlung und Entscheidung an das Oberlandesgericht Köln zurückzuverweisen (§ 563 Abs. 1 Satz 1 ZPO). Der Bundesgerichtshof konnte nicht in der Sache selbst entscheiden, weil sie nicht zur Endentscheidung reif war (§ 563 Abs. 3 ZPO).

Für das wiedereröffnete Berufungsverfahren weist der Bundesgerichtshof auf Folgendes hin:

Das Oberlandesgericht Köln wird die im Rahmen des Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO vorgesehene Erforderlichkeitsprüfung und erneut eine Interessenabwägung vorzunehmen haben. Es erscheint dem Bundesgerichtshof möglich, bestimmte Speicherungsfristen als Ergebnis einer typisierten Abwägung festzulegen, soweit dabei die Besonderheiten des Einzelfalls hinreichend berücksichtigt werden.

In einem ersten Schritt ist die Erforderlichkeit der Datenverarbeitung zu prüfen.

Dabei ist zu fragen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch Art. 7 und 8 der EU-Grundrechtecharta gewährleisteten, eingreifen. Hierbei ist auch der in Art. 5 Abs. 1 Buchst. c DSGVO verankerte Grundsatz der Datenminimierung zu berücksichtigen⁹. Im Grundsatz trägt die Schufa als Verantwortliche die Darlegungsund Beweislast für die Erforderlichkeit der von ihr vorgenommenen Datenverarbeitung²².

Eine kürzere Datenspeicherung könnte zwar grundsätzlich als milderes Mittel angesehen werden. Die Schufa setzt dem die beweisbewehrte Behauptung entgegen, eine empirische Analyse anhand ihres Datenbestands habe ergeben, dass das Risiko einer erneuten Zahlungsstörung auch drei Jahre nach der Erledigung einer Forderung noch etwa um das Achtfache erhöht sei gegenüber Personen, bei denen es im Vergleichszeitraum nicht zu einer Zahlungsstörung gekommen sei. Hierüber muss aus Sicht des Bundesgerichtshofs kein Beweis erhoben werden, weil sich damit keine Aussage über die Erforderlichkeit im Einzelfall treffen ließe. Die im konkreten Fall angemessene Speicherungsdauer ist – jedenfalls bei der in Rede stehenden Zeitspanne zwischen null und drei Jahren – vielmehr nach normativen Kriterien im Rahmen der Interessenabwägung festzusetzen.

In einem zweiten Schritt ist das Speicherungsinteresse der SCHUFA erneut mit dem Löschungsinteresse des Schuldners abzuwägen. Soweit hierin grundrechtliche Wertungen einfließen, kommt es im vollharmonisierten Bereich der Datenschutz-Grundverordnung auf die der EU-Grundrechtecharta an²³.

In der obergerichtlichen Rechtsprechung wird überwiegend vertreten, dass Wirtschaftsauskunfteien Daten über Zahlungsstörungen bis zu drei Jahre nach Erledigung der jeweiligen Forderung speichern dürften²⁴.

Die vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit zum 1.01.2025 genehmigte Ziffer IV.1. Buchst. b der Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien nimmt eine Differenzierung vor, die dem Bundesgerichtshof grundsätzlich als sachgerecht erscheint.

Zwar können Verhaltensregeln im Sinn von Art. 40 DSGVO, zu denen auch die hier in Rede stehenden gehören, gemäß der Rechtsprechung des Gerichtshofs der Europäischen Union bei der Abwägung nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO nicht berücksichtigt werden, soweit sie zu einer anderen Beurteilung führen würden als derjenigen, die sich nach der genannten Vorschrift ergibt⁹. Das schließt jedoch nicht aus, solche Verhaltensregeln – im Interesse der Rechtssicherheit und auch mit Blick auf das von Wirtschaftsauskunfteien betriebene Massengeschäft – als Orientierung für die nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO vorzunehmende Interessenabwägung heranzuziehen, soweit sie typisiert zu einem angemessenen Interessenausgleich führen und die Besonderheiten des Einzelfalls bei der konkret vorzunehmenden Interessenabwägung hinreichend berücksichtigt werden. Da die Interessenabwägung normativ an Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gebunden ist, kann sie sich nicht bis zum 31.12.2024 an den früheren und ab dem 1.01.2025 an den neuen Verhaltensregeln orientieren.

Ziffer IV.1. Buchst. b der Verhaltensregeln in ihrer zum 1.01.2025 genehmigten Fassung nimmt aus Sicht des Bundesgerichtshofs grundsätzlich einen angemessenen Interessenausgleich vor. Im Ausgangspunkt (Satz 1) sieht diese Regelung – wie auch von der überwiegenden obergerichtlichen Rechtsprechung vertreten – eine Speicherung von personenbezogenen Daten über ausgeglichene Forderungen für drei Jahre vor. Die Speicherung endet jedoch abweichend davon bereits nach 18 Monaten (Satz 2), wenn (1.) der Auskunftei bis zu diesem Zeitpunkt keine weiteren Negativdaten gemeldet worden sind, (2.) keine Informationen aus dem Schuldnerverzeichnis oder aus Insolvenzbekanntmachungen vorliegen und (3.) der Ausgleich der Forderung innerhalb von 100 Tagen nach Einmeldung erfolgte. Damit werden Kriterien für eine weniger gewichtige Zahlungsstörung beschrieben, bei der die Speicherungsdauer gegenüber dem Regelfall halbiert ist. Zum Vorliegen dieser Voraussetzungen im Streitfall wird das Oberlandesgericht Köln im wiedereröffneten Berufungsverfahren ergänzende Feststellungen zu treffen haben.

Dem Schuldner muss es zudem möglich sein, besondere Umstände vorzubringen, die seinem Löschungsinteresse ein wesentlich überdurchschnittliches Gewicht verleihen. In diesem Fall kann die Interessenabwägung ausnahmsweise dazu führen, dass allein eine noch kürzere Speicherungsdauer als angemessen anzusehen ist. Der Schuldner wird im wiedereröffneten Berufungsverfahren Gelegenheit haben, hierzu ergänzend vorzutragen.

Dem von der Revision vorgebrachten Argument, dass die Schufa nach Beseitigung einer Zahlungsstörung einen sogenannten Erledigungsvermerk anbringt, dürfte für die Interessabwägung keine entscheidende Bedeutung zukommen. Die Revision meint, die Interessen des Schuldners würden hinreichend dadurch gewahrt, dass der Zeitpunkt der Tilgung obligatorisch zu den gespeicherten und mitgeteilten Daten gehöre, was nach den vom Oberlandesgericht Köln getroffenen Feststellungen auch hier der Fall sei. Aus diesen Erledigungsvermerken könnten potentielle künftige Vertragspartner der Schuldner die Dauer der ordnungsgemäßen Bedienung offener Forderungen in der Vergangenheit ablesen, was sich wiederum günstig für die Schuldner auswirken könne. Jedoch behauptet die Revision nicht, dass beseitigte Zahlungsstörungen keine Auswirkungen auf die von ihr erstellten Bonitätsbeurteilungen hätten und insbesondere nicht in die von ihr ermittelten Scorewerte einflössen.

Auch dem Art. 180 Abs. 1 Buchst. h, Abs. 2 Buchst. c der Verordnung (EU) Nr. 575/2013 über Aufsichtsanforderungen an Kreditinstitute, der die Kreditinstitute im Rahmen der ihnen obliegenden Risikobewertungen verpflichtet, Daten über einen Zeitraum von mindestens fünf Jahren unter Heranziehung externer Quellen zu beobachten, lässt sich entgegen der Ansicht der Revision kein zwingendes Argument für die Zulässigkeit einer entsprechenden Speicherungsdauer bei Wirtschaftsauskunfteien entnehmen. Die Vorschrift besagt nichts darüber, für welchen Zeitraum bei den genannten externen Quellen entsprechende Daten gespeichert werden dürfen.

War die von der SCHUFA vorgenommene Datenspeicherung nicht über ihren gesamten Zeitraum rechtmäßig, kommt ein Schadensersatzanspruch des Schuldners nach Art. 82 Abs. 1 DSGVO grundsätzlich in Betracht und sind dessen weitere Voraussetzungen zu prüfen.

Nach der Rechtsprechung des Gerichtshofs der Europäischen Union muss angesichts dessen, dass Art. 82 Abs. 1 DSGVO nicht auf das innerstaatliche Recht der Mitgliedstaaten verweist, der Begriff „immaterieller Schaden“ im Sinn dieser Bestimmung eine autonome und einheitliche unionsrechtliche Definition erhalten. Der bloße Verstoß gegen diese Verordnung reicht nicht aus, um einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO zu begründen. Das Vorliegen eines materiellen oder immateriellen „Schadens“, eines Verstoßes gegen Bestimmungen dieser Verordnung sowie eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß stellen die drei erforderlichen und ausreichenden kumulativen Voraussetzungen für diesen Schadensersatzanspruch dar.

Somit muss die betroffene Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen diese Verordnung nachweisen, sondern auch, dass ihr durch diesen Verstoß tatsächlich ein solcher Schaden entstanden ist²⁵.

Art. 82 Abs. 1 DSGVO steht einer nationalen Regelung oder Praxis entgegen, die den Ersatz eines immateriellen Schadens im Sinn dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Erheblichkeit erreicht hat. Aus der im ersten Satz des Erwägungsgrunds 85 der Datenschutz-Grundverordnung enthaltenen beispielhaften Aufzählung der „Schäden“, die den betroffenen Personen entstehen können, geht hervor, dass der Unionsgesetzgeber unter den Begriff „Schaden“ insbesondere auch den bloßen „Verlust der Kontrolle“ über ihre eigenen Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung fassen wollte, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil dieser Personen erfolgt sein sollte. Ein solcher Verlust der Kontrolle kann ausreichen, um einen „immateriellen Schaden“ im Sinn von Art. 82 Abs. 1 DSGVO zu verursachen, sofern die betroffene Person nachweist, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten hat, ohne dass dieser Begriff des „immateriellen Schadens“ den Nachweis zusätzlicher spürbarer negativer Folgen erfordert. Gleiches gilt für negative Gefühle, die die betroffene Person infolge einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten empfindet, wie z. B. Sorge oder Ärger, und die durch einen Verlust der Kontrolle über diese Daten, ihre mögliche missbräuchliche Verwendung oder eine Rufschädigung hervorgerufen werden, sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen die Datenschutz-Grundverordnung empfindet²⁶.

Nach diesem Maßstab läge, wenn die erneute Prüfung des Oberlandesgerichts Köln einen Verstoß der SCHUFA gegen Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ergäbe, ein dem Schuldner deswegen entstandener Schaden vor.

Als immateriellen Schaden hat das Oberlandesgericht Köln festgestellt, dass die Schufa aufgrund der fortdauernden Speicherung der in Rede stehenden Zahlungsstörungen des Schuldners durch Mitteilung von Scorewerten und Erfüllungswahrscheinlichkeiten gegenüber ihren Vertragspartnern – jedenfalls mehreren Banken, einem Energieversorgungsunternehmen und einem Telekommunikationsunternehmen – dessen Kreditwürdigkeit in Zweifel gezogen hat, was sich abträglich auf dessen sozialen Geltungsanspruch ausgewirkt hat. Die hiergegen gerichteten Angriffe der Revision bleiben ohne Erfolg. Sie beziehen sich lediglich auf den – durch die Rechtsprechung des Gerichtshofs der Europäischen Union vorgegebenen – rechtlichen Maßstab, nicht aber auf die Feststellungen des Oberlandesgerichts Köln.

Hinzu kommt gegebenenfalls ein materieller Schaden durch die dem Schuldner entstandenen vorgerichtlichen Anwaltskosten, soweit sich seine im Schreiben vom 03.08.2023 erhobenen Forderungen als berechtigt erweisen.

Der Streitfall kann die Frage aufwerfen, ob der nach Art. 82 Abs. 3 DSGVO zur Haftungsbefreiung führende Nachweis, dass der für die Datenverarbeitung Verantwortliche in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist, dadurch geführt werden kann, dass dieser die für ihn anwendbaren Verhaltensregeln im Sinn von Art. 40 DSGVO beachtet hat.

Der Gerichtshof der Europäischen Union hat bereits entschieden, dass Art. 82 DSGVO eine Verschuldenshaftung vorsieht²⁷. Daher dürfte Art. 82 Abs. 3 DSGVO im Sinn einer Exkulpationsmöglichkeit bei fehlendem Verschulden aufzufassen sein²⁸.

Im Fall eines Verstoßes der SCHUFA gegen Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO kann sich die Frage stellen, ob der Umstand, dass die Schufa die jeweils aktuell geltenden Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien eingehalten hat, zu einer Exkulpation nach Art. 82 Abs. 3 DSGVO führt.

Eine Vorlage an den Gerichtshof der Europäischen Union nach Art. 267 Abs. 3 AEUV ist nicht veranlasst²⁹. Es stellt sich keine entscheidungserhebliche Frage zur Auslegung des Unionsrechts, die nicht bereits durch die Rechtsprechung des Gerichtshofs geklärt oder nicht zweifelsfrei zu beantworten ist. Die Maßstäbe für die Prüfung des Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO sind hinreichend geklärt. Die Prüfung selbst einschließlich der Interessenabwägung ist – wie ausgeführt – von den nationalen Gerichten vorzunehmen. Die Entscheidungserheblichkeit der nicht zweifelsfrei zu beantwortenden Frage, ob die Schufa nach Art. 82 Abs. 3 DSGVO von der Haftung befreit ist, hängt von den weiteren Feststellungen des Oberlandesgerichts Köln im wiedereröffneten Berufungsverfahren ab.

Bundesgerichtshof, Urteil vom 18. Dezember 2025 – I ZR 97/25

1. Abgrenzung zu EuGH, Urteil vom 07.12.2023 – C-26/22 und – C-64/22, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung][↩]
2. Abgrenzung zu EuGH, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung][↩]
3. LG Bonn, Urteil vom 21.06.2024 – 20 O 10/24[↩]
4. OLG Köln, Urteil vom 10.04.2025 – 15 U 249/24, WM 2025, 1144[↩]
5. zur insoweit beschränkten Nachprüfbarkeit des Berufungsurteils vgl. BGH, Urteil vom 31.07.2025 – I ZR 127/24, GRUR 2025, 1615, WRP 2025, 1313 – Griffleiste[↩]
6. EuGH, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung]; EuGH, Urteil vom 09.01.2025 – C-394/23, NJW 2025, 807 – Mousse; BGH, Urteil vom 14.10.2025 – VI ZR 431/24 31[↩]
7. EuGH, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung]; NJW 2025, 807 – Mousse; BGH, Urteil vom 14.10.2025 – VI ZR 431/24, Rn. 34[↩]
8. vgl. EuGH, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung]; NJW 2025, 807 – Mousse; BGH, Urteil vom 14.10.2025 – VI ZR 431/24 34[↩]
9. vgl. EuGH, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung][↩][↩][↩][↩][↩][↩][↩]
10. EuGH, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung][↩][↩][↩][↩][↩]
11. vgl. EuGH, Urteil vom 11.01.2024 – C-755/22, WM 2024, 340 – Nárokuj[↩]
12. vgl. BeckOGK.BGB/Knops, Stand 15.11.2025, § 505b Rn. 2[↩]
13. vgl. auch Erwägungsgründe 54 f. der Richtlinie [EU] 2023/2225[↩]
14. EuGH, NJW 2024, 417[↩]
15. dazu vgl. EuGH, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung][↩]
16. vgl. Begründung des Entwurfs des Bundesrats eines Gesetzes zur Reform der Sachaufklärung in der Zwangsvollstreckung, BT-Drs. 16/10069, S. 41[↩]
17. vgl. BGH, Beschluss vom 09.02.2017 – I ZB 56/16, NJW-RR 2017, 511 unter Verweis auf BT-Drs. 16/10069, S.20, 37, 40; Beschluss vom 21.09.2023 – V ZB 17/22, NJW 2024, 440[↩]
18. vgl. BT-Drs. 16/10069, S. 21[↩]
19. vgl. BT-Drs. 16/10069, S. 40[↩]
20. vgl. Begründung des Entwurfs der Bundesregierung eines Ersten Gesetzes zur Änderung des Bundesdatenschutzgesetzes, BT-Drs.20/10859, S. 35 und 39[↩]
21. BGH, Beschluss vom 15.07.2010 – IX ZB 229/07, BGHZ 186, 223[↩]
22. vgl. BGH, Urteil vom 14.10.2025 – VI ZR 431/24, Rn. 41[↩]
23. vgl. BVerfGE 152, 216 – Recht auf Vergessen II; BGH, Urteil vom 24.02.2022 – I ZR 2/21, GRUR 2022, 665, WRP 2022, 601 – Tina Turner[↩]
24. vor EuGH, Urteil vom 07.12.2023 – C-26/22, NJW 2024, 417 – SCHUFA Holding [Restschuldbefreiung], soweit veröffentlicht: OLG Brandenburg, ZD 2023, 748; danach, soweit veröffentlicht: OLG München, Beschluss vom 20.02.2025 – 37 U 4148/24 e 23; OLG Stuttgart, WM 2025, 1379; OLG München, ZInsO 2025, 1631; OLG Hamm, ZVI 2025, 359; OLG Nürnberg, WM 2025, 1886; OLG Dresden, WM 2025, 1882; OLG Stuttgart, Urteil vom 22.10.2025 – 9 U 141/24 42 bis 66; ohne Nennung einer konkreten Frist: OLG Frankfurt, ZInsO 2023, 677[↩]
25. vgl. EuGH, Urteil vom 04.09.2025 – C-655/23, WRP 2025, 1286 – Quirin Privatbank; BGH, Urteil vom 13.05.2025 – VI ZR 67/23, WRP 2025, 1190, jeweils mwN[↩]
26. vgl. EuGH, WRP 2025, 1286 – Quirin Privatbank; BGH, WRP 2025, 1190, jeweils mwN[↩]
27. vgl. EuGH, Urteil vom 21.12.2023 – C-667/21, ZD 2024, 146 – Krankenversicherung Nordrhein[↩]
28. vgl. BGH, Urteil vom 18.11.2024 – VI ZR 10/24, BGHZ 242, 180; Urteil vom 11.11.2025 – VI ZR 396/24, jeweils unter Verweis auf EuGH, Urteil vom 11.04.2024 – C-741/21, NJW 2024, 1561 – juris; BeckOK.Datenschutzrecht/Quaas, 54. Edition [Stand 1.11.2025], Art. 82 Rn. 18 mwN; aA Boehm in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Auflage, Art. 82 DSGVO Rn. 24 mwN[↩]
29. vgl. EuGH, Urteil vom 06.10.1982 – 283/81, Slg. 1982, 3415 = NJW 1983, 1257 – Cilfit unter anderem; Urteil vom 01.10.2015 – C-452/14, GRUR Int.2015, 1152 – Doc Generici; Urteil vom 06.10.2021 – C-561/19, NJW 2021, 3303 – Consorzio Italian Management und Catania Multiservizi[↩]