Österreichischer Oberster Gerichtshof: CRIF hat unrechtmäßig Daten von Millionen von Bürgern unter Verstoß gegen die DSGVO erhoben

Hintergrund

Im Juni 2026 leitete noyb rechtliche Schritte gegen die Datenerhebungspraktiken von CRIF, einer österreichischen Kreditauskunftei, ein. In mehreren nicht miteinander verbundenen Fällen gab der Oberste Gerichtshof (OGH) noyb nun Recht. Das Gericht hat festgestellt, dass die derzeitige Praxis von CRIF, Daten von Adressverlagen zu erheben, gegen den Grundsatz der „Zweckbindung“ (Art. 5 Abs. 1 lit. b DSGVO) verstößt.
Das bedeutet, dass Daten, die zum Beispiel für postalische Werbung („Direktmarketing“) bestimmt sind, nicht für Kreditwürdigkeitsprüfungen verwendet werden dürfen, da es sich um unterschiedliche Zwecke mit völlig anderen Auswirkungen für die betroffenen Personen handelt. noyb hatte bereits im März 2021 eine Beschwerde bei der Datenschutzbehörde (DPA) gegen den Adressverlag AZ Direct und gegen CRIF eingereicht, um den Datenhandel zwischen den Unternehmen zu stoppen. noyb hat sowohl vor der DPA als auch vor dem Bundesverwaltungsgericht gewonnen.
CRIF und AZ Direct weigerten sich, den Entscheidungen bezüglich der Einschränkung der Datennutzung nachzukommen. Der Österreichische Oberste Gerichtshof hat die Angelegenheit auch in mehreren Zivilverfahren, die vom Wiener Rechtsanwalt Robert Haupt unabhängig von noyb eingeleitet wurden, endgültig geklärt und entschieden, dass Kreditauskunfteien keine personenbezogenen Daten von einem Adressverlag erheben dürfen, der diese zu Marketingzwecken verarbeitet. Diese Urteilsserie verbessert die Erfolgsaussichten für die von noyb geplante Sammelklage, die Entschädigungen von etwa 500 Euro pro unrechtmäßig in der Datenbank erfasster Person schätzt.

Warum es wichtig ist

Unternehmen, die personenbezogene Daten für andere Zwecke als die ursprünglichen wiederverwenden, wie die Nutzung von Marketingdaten für Kreditwürdigkeitsprüfungen, riskieren einen Verstoß gegen den Grundsatz der Zweckbindung der DSGVO und rechtliche Verurteilungen. Der Österreichische Oberste Gerichtshof hat bestätigt, dass die unrechtmäßige Datenerfassung durch CRIF, eine Kreditauskunftei, gegen die Verordnung verstößt, und ebnet den Weg für Schadenersatzforderungen, die auf rund 500 Euro pro geschädigter Person geschätzt werden. Dies verdeutlicht, dass eine nicht konforme Datenverwaltung direkte wirtschaftliche Konsequenzen für Unternehmen hat. Verfügt Ihre Organisation über klare Prozesse zur Definition und Nachverfolgung der Zwecke jeder Datenverarbeitung?

Was zu tun ist

• Sorgfältig prüfen, ob jede Verarbeitung personenbezogener Daten einen spezifischen und legitimen Zweck hat.
• Sicherstellen, dass für einen Zweck erhobene Daten nicht ohne eine neue gültige Rechtsgrundlage für andere Zwecke wiederverwendet werden.
• Entscheidungen und Anordnungen der Datenschutzbehörden zeitnah befolgen.
• Vereinbarungen mit Lieferanten und Partnern überprüfen, um die Einhaltung der Zweckbindung in der Verarbeitungskette zu gewährleisten.
• Die Auswirkungen einer möglichen Zweckänderung bewerten, bevor Daten neu genutzt werden.

Was zu vermeiden ist

• Personenbezogene Daten nicht ohne Rechtsgrundlage für andere Zwecke als die ursprünglich erhobenen verwenden.
• Entscheidungen der Aufsichtsbehörden im Bereich des Datenschutzes nicht ignorieren oder deren Umsetzung verzögern.
• Sich nicht auf weitreichende oder nachgiebige Auslegungen des Grundsatzes der Zweckbindung verlassen.

Praktische Auswirkungen

Für eine Organisation unterstreicht das Urteil die strenge Anwendung des Grundsatzes der Zweckbindung der DSGVO, festgelegt in Art. 5 Abs. 1 lit. b. Das bedeutet, dass personenbezogene Daten, die für einen bestimmten Zweck, zum Beispiel Marketing, erhoben wurden, nicht einfach für einen anderen Zweck, wie Solvenzprüfungen, wiederverwendet werden dürfen, ohne eine neue, klare und transparente Rechtsgrundlage. Ein Verstoß gegen diesen Grundsatz setzt die Organisation Sanktionen der Aufsichtsbehörden und potenziellen Sammelklagen mit Schadenersatzforderungen aus.

Empfohlene Maßnahmen

• Alle Zwecke der Verarbeitung personenbezogener Daten innerhalb der Organisation erfassen.
• Kontrollen implementieren, um die unbefugte Wiederverwendung von Daten für andere Zwecke zu verhindern.
• Die Datenschutzerklärungen aktualisieren, um die Verarbeitungszwecke klar zu beschreiben.
• Das Personal über die Implikationen des Grundsatzes der Zweckbindung schulen.
• Eine neue Einwilligung einholen oder eine andere Rechtsgrundlage identifizieren, bevor der Zweck der Datenverarbeitung geändert wird.

Zu vermeidende Fehler

• Annehmen, dass Daten, die für einen generischen Zweck erhoben wurden, frei für jeden anderen Zweck verwendet werden dürfen.
• Die Notwendigkeit einer neuen Datenschutz-Folgenabschätzung (DSFA) im Falle einer Zweckänderung vernachlässigen.
• Anfragen der betroffenen Personen bezüglich des Verarbeitungszwecks ihrer Daten ignorieren.

Fragen zur Selbsteinschätzung

• Haben wir für jede Datenerhebung den ursprünglichen Zweck klar definiert?
• Gibt es Verfahren, die den Missbrauch von Daten außerhalb der festgelegten Zwecke verhindern?
• Sind unsere Datenschutzerklärungen explizit bezüglich der Verarbeitungszwecke und eventueller Änderungen?
• Ist das Personal, das Daten verwaltet, sich des Grundsatzes der Zweckbindung und seiner rechtlichen Implikationen bewusst?
• Haben wir einen Mechanismus, um eine neue Einwilligung oder eine neue Rechtsgrundlage einzuholen, wenn wir Daten für einen anderen Zweck wiederverwenden wollen?

Verweise

Nationales Recht: GDPR Articolo 5(1)(b)