Kurzbeitrag : Praxisfälle zum Datenschutzrecht X: Keine Probefahrt bei schlechter Bonität : aus der RDV 3/2021, Seite 153 bis 156

Der Sachverhalt besagt nichts zu der Frage, ob die Bonitätsauskunft gegenüber dem Autohaus in Form eines Scorewerts erfolgt ist, also mittels eines die Wahrscheinlichkeit eines Zahlungsausfalls abbildenden Zahlenwertes. Selbst wenn das Autohaus einen Scorewert erhalten hätte, griffe § 31 BDSG aber vorliegend nicht ein, weil diese Norm nur vertragsbezogenes Scoring erfasst. Vorliegend geht es aber noch nicht um die Entscheidung über die Begründung des Kaufvertrages, sondern vielmehr im Vorfeld um die Frage, ob dem Interessenten das Fahrzeug gefällt und überhaupt in Vertragsverhandlungen eingestiegen werden soll. Die Beantwortung der allgemeinen Frage, ob ein Unternehmen bei einer Auskunftei Bonitätsinformationen über eine natürliche Person erfragen darf, seien es nun Scorewerte oder sonstige Bonitätsinformationen, richtet sich nach Art. 6 Abs. 1 DS-GVO (vgl. auch § 31 Abs. 1 Nr. 1 BDSG).^[1]

Konkret finden im Zusammenhang mit der Bonitätsabfrage an die Auskunftei drei legitimationsbedürftige Datenverarbeitungen statt, nämlich zum einen im ersten Schritt die Übermittlung identifizierender Informationen bezogen auf die natürliche Person von der anfragenden Stelle, hier dem Autohaus, an die Auskunftei und zum anderen in einem zweiten Schritt die Übermittlung der Bonitätsinformationen von der Auskunftei an die anfragende Stelle. Zum dritten werden die übermittelten Bonitätsinformationen von der anfragenden Stelle erhoben und weiterverarbeitet. Der Maßstab ist dabei bezüglich aller drei Datenverarbeitungen der Gleiche. Mit anderen Worten: Wenn das Autohaus die Bonitätsinformationen datenschutzrechtlich nicht verarbeiten darf, so darf es auch keine Identifikationsmerkmale zwecks Abfrage an die Auskunftei übermitteln und die Auskunftei ihrerseits nicht die Bonitätsinformationen.

Als Rechtsgrundlage ist vorliegend zunächst Art. 6 Abs. 1 lit. b DS-GVO zu prüfen. Hierfür müsste die Datenverarbeitung zu Zwecken der Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, erforderlich sein.

Möglich ist insofern zunächst, dass vorliegend explizit oder zumindest durch schlüssiges Verhalten ein Vertrag über eine Probefahrt zustande kommt.^[2] Im Hinblick auf den Vertrag über eine Probefahrt ergibt sich für das Autohaus jedoch kein finanzielles Ausfallrisiko, sofern der Interessent keine finanziellen Verpflichtungen übernimmt.^[3]

Möglich ist, dass ein finanzielles Risiko für das Autohaus mit einem späteren Kaufvertragsschluss einhergeht. Noch steht aber nicht fest, ob der Probefahrende sich für den Kauf des Kfz entscheiden wird. Erst mit dessen erklärtem Willen zum Vertragsschluss darf der Händler bei Vorliegen eines finanziellen Risikos die Auskunftei anfragen.

Art. 6 Abs. 1 lit. b DS-GVO scheidet damit im Ergebnis als Rechtsgrundlage der Bonitätsprüfung vorliegend aus. Fraglich ist, ob die Datenverarbeitungen im vorliegenden Fall über Art. 6 Abs. 1 lit. f DS-GVO gerechtfertigt werden können. Nach dieser Regelung ist eine Verarbeitung rechtmäßig, sofern sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (sog. Interessenabwägung). Ein mögliches Interesse des Autohauses könnte insofern darin bestehen, Fahrzeugunterschlagungen oder -beschädigungen zu verhindern.

Ein solches Interesse ist unzweifelhaft als berechtigt i.S.v. Art. 6 Abs. 1 lit. f DS-GVO anzusehen. Als berechtigt sind alle durch die Rechtsordnung anerkannten Interessen anzusehen, wozu auch wirtschaftliche Interessen zählen.^[4]

Möglichen Fahrzeugunterschlagungen oder -beschädigungen kann mit einer Auskunfteiabfrage aber nicht wirksam begegnet werden. Eine Wirtschaftsauskunft zeigt auf, wie der Interessent in der Vergangenheit seinen finanziellen Verpflichtungen verschiedenster Art nachgekommen ist. Für die Beurteilung der allgemeinen Zuverlässigkeit des Betroffenen oder die Einschätzung der Gefahr einer Unterschlagung des überlassenen Fahrzeuges ist eine Wirtschaftsauskunft dagegen regelmäßig nicht geeignet.^[5] Vom Probefahrenden verschuldete Schäden deckt in der Regel die vom Autohaus geschlossene Vollkaskoversicherung. Insoweit mag der verfolgte Zweck zwar prinzipiell berechtigt sein, die Datenverarbeitung ist zur Erreichung des Zwecks aber nicht erforderlich.

Die mit der Bonitätsabfrage verbundenen Datenverarbeitungen sind folglich unzulässig.

2. Personalausweis als „Pfand“

Ist die Kenntnis der Identität für den Vertragsabschluss bzw. die Vertragsabwicklung erforderlich, z.B. bei der Abholung vorbestellter und bezahlter Ware durch einen persönlich nicht bekannten Kunden, kann der Verantwortliche verlangen, dass die betroffene Person ihre Identität nachweist. Mittel der Wahl ist insofern häufig der Personalausweis, den der Inhaber gemäß § 20 Abs. 1 Personalausweisgesetz (PAuswG) auch bei nichtöffentlichen Stellen als Identitätsnachweis und Legitimationspapier verwenden darf. Die maßgebenden Daten dürfen vom Verantwortlichen entsprechend notiert werden (hier: Name und Adresse).

Niemand darf hingegen gezwungen werden, seinen Personalausweis als „Pfand“^[6] hinzugeben, vgl. § 1 Abs. 1 S. 3 Personalausweisgesetz – PAuswG: „Vom Ausweisinhaber darf nicht verlangt werden, den Personalausweis zu hinterlegen oder in sonstiger Weise den Gewahrsam aufzugeben.“ Ausgenommen hiervon sind gemäß § 1 Abs. 1 S. 4 PAuswG nur zur Identitätsfeststellung berechtigte Behörden sowie die Fälle der Einziehung und Sicherstellung.

Kein Verlangen i.S.v. § 1 Abs. 1 S. 3 PAuswG liegt vor, wenn eine Person freiwillig ihren Personalausweis als „Pfand“ hinterlegt. In der Begründung zum Gesetzesentwurf ist zwar erwähnt, dass auch die freiwillige Abgabe nicht erfolgen sollte; untersagt wird die freiwillige Abgabe allerdings nicht.^[7] Von einer Freiwilligkeit ist auch dann auszugehen, sofern die Hingabe des Personalausweises nur eine Alternative ist, „Pfand“ zu leisten, stattdessen aber auch Schlüsselbund, Handy, Uhr o. Ä. abgegeben werden können.^[8]

Mithin kann das Autohaus die Hingabe des Personalausweises als „Pfand“ nur verlangen, sofern es auch alternative Möglichkeiten der Sicherheitsleistung anbietet.

3. Anfertigung von Ausweis- und Führerscheinkopien

Einer der speziell gesetzlich geregelten Fälle, in den Kopien von Ausweisen erstellt werden dürfen oder müssen – § 8 Abs. 2 S. 2 des Geldwäschegesetzes (GwG), § 95 Abs. 4 S. 3 des Telekommunikationsgesetzes (TkG), § 64 Abs. 1 Nr. 2 der Fahrerlaubnisverordnung (FeV) – ist vorliegend nicht einschlägig.

Zwar ergibt sich aus dem Händler obliegenden Sorgfaltspflichten und den für diesen geltenden strafrechtlichen Vorschriften, dass sich dieser den Führerschein vorlegen lassen und die Personalien des Probefahrenden feststellen darf.^[9]

Denn als Halter der Fahrzeuge muss das Autohaus sicherstellen, dass diese nur von Personen geführt werden, die eine entsprechende Fahrerlaubnis vorweisen können. Ein Unterlassen der Überprüfung kann gem. § 21 Abs. 1 Nr. 2 StVG strafrechtliche Folgen haben. Möglich sind ansonsten aber auch versicherungsrechtliche Konsequenzen in der Form, dass es ggf. zu einer Leistungsverweigerung durch die Versicherung kommt wegen Verstoßes gegen D 1.1.3 der Allgemeinen Bedingungen für die Kraftfahrzeugversicherung (AKB).

Ohne Feststellung der Identität des Probefahrenden kann die Fahrzeugüberlassung an diesen eine grob fahrlässige Ermöglichung der Entwendung gem. § 81 Versicherungsvertragsgesetz (VVG) darstellen mit der Folge, dass die Versicherung ggf. ihre Leistung kürzen kann.^[10]

Daraus, dass das Autohaus berechtigt ist, die Fahrerlaubnis zu überprüfen und die Identität des Probefahrenden festzustellen, ergibt sich aber nicht bereits, dass auch Kopien der betreffenden Dokumente gestattet sind.

Eine allgemeine Regelung zu Personalausweiskopien enthält § 20 Abs. 2 PAuswG: „Der Ausweis darf nur vom Ausweisinhaber oder von anderen Personen mit Zustimmung des Ausweisinhabers in der Weise abgelichtet werden, dass die Ablichtung eindeutig und dauerhaft als Kopie erkennbar ist. Andere Personen als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben. Werden durch Ablichtung personenbezogene Daten aus dem Personalausweis erhoben oder verarbeitet, so darf die datenerhebende oder -verarbeitende Stelle dies nur mit Einwilligung des Ausweisinhabers tun. Die Vorschriften des allgemeinen Datenschutzrechts über die Erhebung und Verwendung personenbezogener Daten bleiben unberührt.“ Zum einen bedarf es danach also der Zustimmung des Ausweisinhabers. Zum anderen muss das Produkt – die Ablichtung – eindeutig und dauerhaft als Kopie erkennbar sein. Letzteres kann z.B. dadurch geschehen, dass die Kopie in schwarz und weiß gefertigt oder ein deutlich sichtbarer Vermerk „Kopie“ angebracht wird.^[11]

Praktisch relevant ist, dass § 20 Abs. 2 S. 1 PAuswG lediglich das Erstellen eines physischen oder elektronischen Abbildes des Personalausweises regelt, aber nicht die mit der Ablichtung häufig einhergehende Erhebung personenbezogener Daten. Die in S. 1 angesprochene Zustimmung bezieht sich nur auf die Erstellung der Ablichtung, sie ist keine Einwilligung im datenschutzrechtlichen Sinn. Die Sätze 3 und 4 bilden den datenschutzrechtlichen Teil der Vorschrift. Soweit durch Ablichtung personenbezogene Daten erhoben oder verarbeitet werden, darf die erhebende Stelle dies nach S. 3 nur mit Einwilligung des Ausweisinhabers tun.^[12] Wegen § 20 Abs. 2 S. 3 PAuswG genügt es also nicht, nur eine Einwilligung in die Kopie als solche einzuholen, sondern es bedarf überdies datenschutzrechtlich einer Einwilligung in die Verarbeitung der Daten aus der Ablichtung. Dies gilt selbst dann, wenn die Daten, sofern sie anders erhoben würden, einwilligungsfrei, z.B. aufgrund von Art. 6 Abs. 1 lit. b oder f DS-GVO, verarbeitet werden dürften.

Als besondere Merkmale der datenschutzrechtlichen Einwilligung sind die Informiertheit und die Freiwilligkeit hervorzuheben. Ohne Wissen um die Zwecke und Umstände der Verarbeitung (Art. 13 DS-GVO) und alternative Möglichkeiten zur Kopieanfertigung können die Probefahrenden nicht wirksam einwilligen. Den Informationspflichten kann das Autohaus durch das Bereitstellen von entsprechenden Datenschutzinformationen nachkommen. Als Alternative zur Ausweiskopie kann ein Datenerfassungsbogen dienen, auf dem lediglich die erforderlichen personenbezogenen Daten festgehalten werden.

Auch bei grundsätzlichem Vorliegen der vorgenannten Voraussetzungen bleibt allerdings fraglich, inwiefern eine vollständige, also ungeschwärzte Ausweiskopie legitimierbar ist. Denn mit einer solchen werden mehr persönliche Merkmale festgehalten als für den Zweck der Identitätsfeststellung erforderlich sind, was im Widerspruch zu Art. 5 Abs. 1 lit. c DS-GVO steht, wonach personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen („Datenminimierung“). Auch das Bundesinnenministerium geht davon aus, dass Ausweisdaten, die nicht zur Identifizierung benötigt werden, auf Kopien geschwärzt werden können und sollen.^[13] Dies gelte insbesondere für die auf dem Ausweis aufgedruckte Zugangsnummer sowie für die Seriennummer, sofern nicht gesetzliche Regelungen diese Angaben erfordern. Ausweisinhaberinnen und Ausweisinhaber seien hierauf entsprechend hinzuweisen.^[14] Bei der Schwärzung kann eine Schablonenlösung zum Einsatz kommen. In diesem Fall wird auf den Ausweis eine Schablone gelegt, die nur die notwendigen Datenfelder sichtbar lässt und die anderen abdeckt. Mit dieser Schablone wird dann das Ausweisdokument fotokopiert.^[15]

Es ist folglich möglich, Ausweiskopien der Probefahrenden zu fertigen, aber mit den vorstehend dargestellten praktischen Hürden verbunden, also Einholung einer – dokumentierten – Einwilligung in die Kopie und die Datenverarbeitung aus der Kopie, Datenschutzinformationen inkl. Hinweis auf Alternative zur Kopie, Hinweis auf Schwärzungsmöglichkeit. Der angesprochene Datenerfassungsbogen, der weder Einwilligung noch Schwärzungen erfordert, dürfte insofern nicht nur die datenschutzfreundlichere, sondern zugleich auch die praktikablere Lösung darstellen. Auf dem Formular kann dann auch vom Autohausmitarbeiter abgehakt werden, dass die Fahrerlaubnis im Original vorgelegen hat. Denn auch insoweit ist das Prinzip der Datenminimierung bzw. der Grundsatz der Erforderlichkeit zu achten.^[16]

Kopien wie Datenerhebungsbögen sind unverzüglich zu vernichten, sobald der verfolgte Zweck erreicht wurde (Art. 17 Abs. 1 lit. a DS-GVO).

III. Ergänzende Informationen

Was eine Auskunftei ist, ist nicht gesetzlich definiert. Nach der Literatur zeichnet sich eine Auskunftei durch folgende Komponenten aus:^[17]

– Personenbezogene Daten werden geschäftsmäßig zum Zweck der Übermittlung verarbeitet.

– Die Daten beziehen sich auf Vermögensverhältnisse und/oder persönliche Angelegenheiten der betroffenen Personen.

– Es erfolgt eine Auskunftserteilung gewerbsmäßig gegen Entgelt.

– Typischerweise wird auf Basis von Informationen gearbeitet, die unabhängig vom Vorliegen einer konkreten Anfrage gesammelt werden.

Auskunfteien dürfen Daten aus öffentlichen Registern, wie Handelsregister, Insolvenz- oder Schuldnerverzeichnis, entnehmen. Daneben dürfen Vertragspartner von betroffenen Personen, wie z.B. Banken, Telekommunikationsunternehmen, Versandhändler oder Energieversorger, unter bestimmten Umständen bonitätsrelevante Daten bei den Auskunfteien einmelden, z.B. unstrittige fällige Forderungen nach mehrfacher Anmahnung und Hinweis auf die bevorstehende Meldung an die Auskunftei. Die Angaben müssen richtig, aktuell und für Kreditentscheidungen bedeutsam sein. Will eine betroffene Person kreditorische Leistungen in Anspruch nehmen, wozu auch Warenlieferungen gegen Rechnung zählen, kann sie regelmäßig keine überwiegenden Interessen gegen eine Bonitätsprüfung geltend machen.[18] Sie ist über die erfolgende Prüfung aber entsprechend zu informieren (Art. 13 DS-GVO).

* Miriam Claus, LL.M. ist Referentin bei der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der GDD und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016.

_{[1] Kühling/Buchner/Bergt, DS-GVO BDSG, 3. Aufl. (2020), § 31 Rn. 7 f.}

_{[2] Eine solche Vereinbarung ist dringend zu empfehlen. Zur Probefahrt mit einem gebrauchten Fahrzeug vgl. etwa das ADAC-Muster unter https://t1p.de/aav4.}

_{[3] Ein Risiko kann sich aber z.B. ergeben, wenn für den Fall eines Unfalls bei der Probefahrt eine Selbstbeteilung vereinbart wird.}

_{[4] Vgl. etwa Simitis/Hornung/Spiecker/Schantz, Datenschutzrecht, DSGVO Art. 6 Abs. 1 Rn. 98; Gola/Schulz, DS-GVO, 2. Aufl. (2018), DS-GVO Art. 6 Rn. 5.}

_{[5] BayLDA, 4. TB (2009/2010), Abschnitt 8.2.1.}

_{[6] Es handelt sich insofern nicht um ein echtes Pfand im Sinne des BGB. Insbesondere besteht kein Zurückbehaltungs- und Verwertungsrecht des Pfandnehmers}

_{[7] Für die Zulässigkeit einer „tatsächlich freiwilligen“ Hinterlegung des Personalausweises auch Beimowski/Gawron, Passgesetz Personalausweisgesetz, 1. Aufl. (2018), § 1 Rn. 22.}

_{[8] Beimowski/Gawron, ebenda.}

_{[9] Vgl. zum Nachfolgenden HBDI, 48. TB zum Datenschutz (2019), S. 55 ff., https://t1p.de/s3n2 (zuletzt abgerufen am 15.04.2021).}

_{[10] OLG Frankfurt a.M., Urt. v. 20.02.2002 – 7 U 54/01.}

_{[11] Beimowski/Gawron, Passgesetz Personalausweisgesetz, 1. Aufl. (2018), § 18 PaßG Rn. 9.}

_{[12] Vgl. die Gesetzesbegründung BT-Drs. 18/11279, S. 27 f}

_{[13]Https://t1p.de/v7rh (zuletzt abgerufen am 22.04.2021). Zum Recht auf Unkenntlichmachung derjenigen personenbezogenen Daten, die der Ausweisinhaber nicht preisgeben will, vgl. auch die Gesetzesbegründung zu § 20 PAuswG, BT-Drs. 18/11279, S. 27 f.}

_{[14] Https://t1p.de/v7rh (zuletzt abgerufen am 22.04.2021).}

_{[15] LDI NRW, Personalausweis und Datenschutz, Stand: Juli 2019.}

_{[16] Zur vergleichbaren Diskussion um Führerscheinkopien des Arbeitgebers vgl. die Zusammenfassung bei Datenschutznotizen unter https://t1p.de/eurf.}

_{[17] Simitis/Hornung/Spiecker/Ehmann, Datenschutzrecht, 1. Aufl. (2019), Anhang 2 zu Artikel 6 Datenverarbeitung bei Verbraucherkrediten, Scoring und Bonitätsauskünften, Rn. 65 f.}

_{[18] Vgl. zum gesamten Absatz BayLDA, https://www.lda.bayern.de/de/thema_auskunfteien.html}