EuGH, Urt. v. 07.12.2023, C-26/22 und C-64/22, SCHUFA Holding (Libération de reliquat de dette)
Dreistufige Prüfung nach Art. 6 Abs. 1 lit. f DSGVO bei Speicherung von Informationen aus öffentlichen Insolvenzregistern durch Wirtschaftsauskunfteien; Erforderlichkeit, Verhältnismäßigkeit und Verhältnis zu Widerspruchs- und Löschungsrecht.
1 Kurzübersicht
Zwei betroffene Personen hatten in Deutschland das Verfahren der Restschuldbefreiung durchlaufen. Die entsprechende Eintragung wurde nach Ablauf von sechs Monaten aus dem öffentlichen Insolvenzregister entfernt. Die SCHUFA speicherte die Information deutlich länger, nämlich drei Jahre. Die Betroffenen verlangten Löschung. Das VG Wiesbaden legte dem EuGH Fragen zur Auslegung des Art. 6 Abs. 1 lit. f DSGVO und zur Reichweite des Widerspruchs- und Löschungsrechts vor.
2 Leitsätze
Die Speicherung von Informationen aus öffentlichen Registern durch eine Wirtschaftsauskunftei ist eine Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO. Sie setzt die kumulative Erfüllung der drei Stufen voraus: Vorliegen eines berechtigten Interesses, Erforderlichkeit der Verarbeitung und Abwägung zugunsten des Verantwortlichen (Rn. 75).
Die Bonitätsbewertung durch Auskunfteien ist grundsätzlich ein berechtigtes Interesse; es kommt nicht nur dem Verantwortlichen, sondern auch seinen Vertragspartnern und dem Kreditsektor insgesamt zugute (Rn. 83).
Die Erforderlichkeit ist eng im Sinne von „strikt notwendig" zu prüfen; die Verarbeitung darf über das unbedingt erforderliche Maß nicht hinausgehen (Rn. 88). Die Speicherung über den gesetzlich vorgesehenen Zeitraum der öffentlichen Registerspeicherung hinaus ist mit den Grundsätzen der Datenminimierung und der Speicherbegrenzung unvereinbar (Rn. 92).
Legt die betroffene Person nach Art. 21 Abs. 1 DSGVO Widerspruch ein, muss der Verantwortliche darlegen, dass zwingende schutzwürdige Gründe die Interessen der betroffenen Person überwiegen (Rn. 111). Gelingt dieser Nachweis nicht, ist die Verarbeitung nach Art. 17 Abs. 1 lit. c DSGVO zu löschen (Rn. 112).
3 Bedeutung
Die Entscheidung ist eines der zentralen Urteile zur Auslegung des Art. 6 Abs. 1 lit. f DSGVO: Sie schärft den Erforderlichkeitsmaßstab, etabliert die parallele Prüfung von Widerspruchs- und Löschungsrecht und stellt klar, dass die Beweislast im Widerspruchsverfahren beim Verantwortlichen liegt. Für Auskunfteien hat sie die Speicherdauer deutlich verkürzt.
Über den Autor
Über den Autor
Dieser Beitrag wurde von Dr. Thomas Helbing, Fachanwalt für IT-Recht in München, verfasst.
Dr. Helbing wird seit 2020 durchgehend bis heute (2026) vom Handelsblatt als einer der „Deutschlands besten Anwälte" im Bereich IT-Recht und Datenschutzrecht ausgezeichnet.
Laut Kanzleimonitor.de (Ausgaben 2024–2026) zählt er zu den führenden Anwälten für Datenschutz und IT-Recht und ist unter den Top-100 Anwälten in Deutschland (2024/25) gelistet. Kanzleimonitor gilt als besonders aussagekräftige Marktstudie, da sie ausschließlich auf persönlichen Empfehlungen von Unternehmensjuristen basiert.
Dr. Helbing verfügt über langjährige Beratungserfahrung im Datenschutz- und IT-Recht und berät Mandanten unterschiedlichster Größen, vom Startup über wachstumsstarke SaaS-Unternehmen und Unicorns bis hin zu internationalen Konzernen.
Sein beruflicher Hintergrund umfasst das gesamte Spektrum der Praxis im IT- und Technologierecht. Er begann seine Laufbahn in einer internationalen Großkanzlei, sammelte anschließend Inhouse-Erfahrung in einem DAX-Unternehmen und ist selbst Unternehmer und Gründer mehrerer digitaler Projekte. Darüber hinaus verfügt er über praktische Programmiererfahrung, wodurch er technische Systeme, Softwarearchitekturen und digitale Geschäftsmodelle nicht nur juristisch, sondern auch aus technischer Perspektive versteht.
Zu seinen Mandanten zählen seit vielen Jahren unter anderem Technologieunternehmen und SaaS-Anbieter, führende deutsche Forschungseinrichtungen sowie eine systemrelevante deutsche Großbank. Seine Beratungsschwerpunkte liegen insbesondere in den Bereichen DSGVO-Compliance, Datenökonomie, SaaS, KI-Regulierung und IT-Vertragsrecht.
EuGH, Urt. v. 19.10.2016, C-582/14, Breyer
Dynamische IP-Adressen als personenbezogene Daten; Verarbeitung zur Funktionsfähigkeit öffentlich zugänglicher Websites als berechtigtes Interesse nach Art. 7 lit. f DSRL.
EuGH, Urt. v. 04.05.2023, C-60/22, Bundesrepublik Deutschland (BAMF)
Verstöße gegen Art. 26 DSGVO (gemeinsame Verantwortlichkeit) und Art. 30 DSGVO (Verarbeitungsverzeichnis) machen die Verarbeitung selbst nicht rechtswidrig; keine Löschung oder Einschränkung der Verarbeitung wegen reiner Dokumentationsverstöße.