Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien
I. Vorbemerkung
Der Verband „Die Wirtschaftsauskunfteien e.V.“ mit Sitz in Wiesbaden (nachfolgend „DW“) vertritt die Interessen der großen Auskunfteien. Zu seinen Mitgliedern zählen derzeit die Unternehmen Dun & Bradstreet Deutschland GmbH, Creditreform Boniversum GmbH, CRIF GmbH, IHD Gesellschaft für Kredit- und Forderungsmanagement mbH, infoscore Consumer Data GmbH, SCHUFA Holding AG sowie Verband der Vereine Creditreform e.V.. Diese Verhaltensregeln gelten für die Auskunfteien, sofern sie diesen beigetreten sind. Den Beitritt erklären die entsprechenden Auskunfteien auf ihren jeweiligen Webseiten sowie auf ihren Informationsblättern nach Art. 13 bzw. 14 DSGVO.
Zweck des Verbandes ist es, die Interessen der Auskunfteien durch einen freiwilligen Zusammenschluss von Unternehmen und Unternehmensverbänden, die in dieser Branche tätig sind, zu bündeln und durch eine gemeinschaftliche Zielsetzung zu fördern. Der Verband vertritt die Interessen seiner Mitglieder, indem er gegenüber Aufsichtsbehörden, Gesetzgebungsorganen und politischen Entscheidungsträgern Stellung zu Themen bezieht, die für die Tätigkeit der Mitglieder von wesentlicher Bedeutung sind.
Ein wesentliches Anliegen des Verbandes ist es darüber hinaus, Qualitätsstandards für die Branche zu setzen. Dies betrifft vor allem den Bereich des Datenschutzes, der für die Auskunfteien einen besonders hohen Stellenwert hat.
Die DSGVO enthält keine hinreichend definierten Prüffristen. Um sicher zu stellen, dass personenbezogene Daten nicht länger als nötig gespeichert werden, geht Erwägungsgrund 39 davon aus, dass der Verantwortliche entsprechende Fristen vorsieht. Dies aufgreifend sehen diese Verhaltensregeln daher Regelfristen für die Speicherung durch Auskunfteien vor, um ein einheitliches und hohes Datenschutzniveau für betroffene Personen zu erreichen.
II. Reichweite und Gegenstand dieser Verhaltensregeln
Diese Verhaltensregeln betreffen die in Abschnitt IV aufgeführten Verarbeitungen von personenbezogenen Daten durch die beigetretenen Auskunfteien in der Bundesrepublik Deutschland; sie enthalten keine Aussage zu Prüf- und Speicherfristen für die Verarbeitung personenbezogener Daten im Ausland.
Diese Verhaltensregeln finden nur Anwendung auf rechtmäßig verarbeitete personenbezogene Daten. Sie lassen jedoch Fragen zur materiellen Berechtigung der Speicherung personenbezogener Daten unberührt. Die Festlegung von Prüf- und Speicherfristen indiziert auch nicht die Rechtmäßigkeit deren Speicherung.
Die Festlegungen zu den Prüf- und Speicherfristen in diesen Verhaltensregeln schließen nicht aus, dass sich auf der Basis besonderer Rechtsgrundlagen – beispielsweise, weil die betroffene Person ihre Einwilligung dazu gegeben hat – auch abweichende (längere oder kürzere) Prüf- und Speicherfristen ergeben können.
Das Recht der betroffenen Person, die Zulässigkeit der Verarbeitung ihrer personenbezogenen Daten im Einzelfall auf Antrag überprüfen zu lassen (Art. 17, 21 DSGVO), bleibt von diesen Verhaltensregeln unberührt.
III. Glossar
Im Sinne dieser Verhaltensregeln bezeichnet der Ausdruck
1. „Auskunftei“ die Mitgliedsunternehmen des Verbands „Die Wirtschaftsauskunfteien e.V.“, sofern sie diesen Verhaltensregeln beigetreten sind. Welche Mitgliedsunternehmen dies sind, kann beim Verband erfragt oder auf dessen Internetseite (https://www.die-wirtschaftsauskunfteien.de/) eingesehen werden. Die Auskunfteien sind nicht-öffentliche Privatunternehmen, die personenbezogene Daten zu natürlichen Personen sowie Informationen zu Unternehmen verarbeiten und diese ihren Abnehmern zur Verfügung stellen, damit diese sich über die wirtschaftlichen Verhältnisse sowie die Kreditwürdigkeit der betreffenden Personen oder des Unternehmens informieren können;
2. „Anfrage“ die Abfrage eines Auskunfteikunden gegen den zur produktiven Verarbeitung im Auskunfteibetrieb zur Verfügung stehenden Datenbestand über eine betroffene Person bei Vorliegen eines berechtigten Interesses am Erhalt einer Information;
3. „Einmeldung“ das Übermitteln von Daten zu einer betroffenen Person oder einem Unternehmen an den Datenbestand einer Auskunftei;
4. „Forderung“ einen Zahlungsanspruch gegen einen Forderungsschuldner, der sich aus Gesetz oder aus einem Vertrag ergibt;
5. „Vertragsdaten“ Informationen zu ungestört laufenden sowie ordnungsgemäß beendeten Vertragsverhältnissen einer betroffenen Person;
6. „Negativdaten“ Informationen zu Störungen in Vertragsverhältnissen, beispielsweise über Zahlungsverzug, überfällige Forderungen oder vertragsverletzendes Verhalten (bspw. Identitätsbetrug);
7. „Speicherfrist“, dass nach Ablauf derselben die nach diesen Verhaltensregeln verarbeiteten Daten den Auskunfteien nicht mehr zur produktiven Verarbeitung im Auskunfteibetrieb zur Verfügung stehen, insbesondere nicht zur Verwendung im Scoring und bei Auskünften an Dritte. Für interne Zwecke (z.B. für Abrechnungszwecke, zur Datenschutzkontrolle, für Datensicherungszwecke sowie zu Zwecken der Rechtsverteidigung und zur Wahrung satzungsmäßiger oder gesetzlicher Aufbewahrungsfristen) können die Daten bis zum Wegfall des jeweiligen Verarbeitungszwecks weiter vorgehalten werden. Die Auskunfteien stellen dies durch entsprechende technisch-organisatorische Maßnahmen sicher. Fällt der letzte Tag der Speicherfrist auf einen Samstag, Sonntag oder Feiertag, erfolgt die die Tätigkeit spätestens am nächsten Arbeitstag;
8. „Schuldnerverzeichnis“ das durch die zentralen Vollstreckungsgerichte der Bundesländer nach § 882h Abs. 1 ZPO geführte Verzeichnis derjenigen Personen, deren Eintragung der Gerichtsvollzieher nach Maßgabe des § 882c ZPO oder die Vollstreckungsbehörde nach Maßgabe des § 284 Abs. 9 AO angeordnet hat oder die auf Grund einer gleichwertigen Regelung durch Bundesgesetz oder durch Landesgesetz ergangen ist.
IV. Prüf- und Speicherfristen von personenbezogenen Daten
1. Personenbezogene Daten über bei Übermittlung an die Auskunftei fällige, offene und unbestrittene Forderungen (Negativdaten)
a) Nicht ausgeglichene Forderungen Personenbezogene Daten über fällige, offene und – bei Übermittlung an die Auskunftei – unbestrittene Forderungen werden grundsätzlich für drei Jahre gespeichert.
Der Dreijahreszeitraum beginnt mit Ersteinmeldung sowie jeweils neu mit jeder nachfolgenden Meldung zum aktuellen Stand der betreffenden Forderung (Veränderungsmitteilungen durch die einmeldende Stelle).
b) Ausgeglichene Forderungen
Personenbezogene Daten über ausgeglichene Forderungen werden grundsätzlich für drei Jahre gespeichert. Die Speicherung endet abweichend davon bereits nach 18 Monaten, wenn der
(1) Auskunftei bis zu diesem Zeitpunkt keine weiteren Negativdaten gemeldet worden sind,
(2) keine Informationen aus dem Schuldnerverzeichnis oder aus Insolvenzbekanntmachungen vorliegen und
(3) der Ausgleich der Forderung innerhalb von 100 Tagen nach Einmeldung erfolgte.
2. Personenbezogene Daten, denen Eintragungen in das Schuldnerverzeichnis oder Veröffentlichungen zu Verbraucher- oder Regelinsolvenzverfahren zugrunde liegen
a) Daten aus den Schuldnerverzeichnissen der zentralen Vollstreckungsgerichte darüber, dass:
− keine Vermögensauskunft abgegeben wurde (§§ 882c Abs. 1 S. 1 Nr. 1, 882e ZPO),
− die Vollstreckung nach dem Inhalt des Vermögensverzeichnisses nicht zur Befriedigung der Gläubiger geeignet war (§§ 882c Abs. 1 S. 1 Nr. 2, 882e ZPO) oder
− der Schuldner die vollständige Befriedigung des Gläubigers nicht innerhalb eines Monats nach Abgabe der Vermögensauskunft nachgewiesen hat (§§ 882c Abs. 1 S. 1 Nr. 3, 882e ZPO) werden nicht länger als im öffentlichen Verzeichnis gespeichert. Derzeit (Nach dem Stand von 05/2024) werden sie für einen Zeitraum von drei Jahren nach Eintragung im Schuldnerverzeichnis veröffentlicht. Die Speicherfrist endet vorzeitig, wenn der Auskunftei eine Löschung durch das zentrale Vollstreckungsgericht nachgewiesen beziehungsweise mitgeteilt wird (z.B. durch Löschbescheinigung der betroffenen Person).
b) Informationen aus den Insolvenzbekanntmachungen über
− die Aufhebung der Sicherungsmaßnahmen (§§ 25 Abs. 1, § 23 Abs. 1, Abs. 2 InsO § 3 InsBekV),
− die Aufhebung des Insolvenzverfahrens (§§ 285, 9 InsO, § 3 InsBekV) oder
− die Erteilung der Restschuldbefreiung (§§ 300, 9 InsO, § 3 InsBekV)
werden nicht länger als im öffentlichen Verzeichnis gespeichert. Eine Veröffentlichung erfolgt derzeit für einen Zeitraum von sechs Monaten. Mit Ablauf der Speicherfrist der Information über die Erteilung der Restschuldbefreiung endet auch die Speicherfrist der erkennbar von dem Verfahren umfassten Forderungen.
c) Informationen über
− die Eröffnung des Insolvenzverfahrens eröffnet (§§ 30, 9 InsO, § 3 InsBekV) oder
− die Ankündigung der Restschuldbefreiung (§§ 287a, 9 InsO, § 3 InsBekV)
werden nicht länger als im öffentlichen Verzeichnis gespeichert.
d) Informationen über
− die Abweisung eines Insolvenzantrages mangels Masse (§ 26 Abs. 2 InsO, §§ 882b, 882e ZPO),
− die Versagung der Restschuldbefreiung (§ 303a Nr. 1 InsO, §§ 882b, 882e ZPO) oder
− den Widerruf der Restschuldbefreiung (§ 303a Nr. 2 InsO, §§ 882b, 882e ZPO)
werden nicht länger als im öffentlichen Verzeichnis gespeichert. Derzeit werden sie für einen Zeitraum von drei Jahren veröffentlicht.
3. Vertragsdaten
a) Zur Unterstützung von Pflichten zur Prüfung der Kreditwürdigkeit nach dem Kreditwesengesetz werden Informationen über störungsfreie Verträge und Konten (z.B. Girokonten, Kreditkarten, Mobilienleasing, (Verbraucher-)Darlehen, Finanzierungshilfen, Teilzahlungen, Bürgschaften) für einen Zeitraum von drei Jahren nach Erledigung gespeichert. Nach Erledigung wird die Speicherung auf Antrag der betroffenen vorzeitig beendet.
b) Sofern Informationen über störungsfreie Verträge einwilligungsbasiert zum Zweck der Kreditwürdigkeitsprüfung verarbeitet werden, bleiben diese gespeichert, bis die Einwilligung widerrufen wird.
c) Informationen über Verträge, bei denen keine Bonitätsprüfung, jedoch die Evidenzprüfung gesetzlich vorgesehen ist (wie bei Pfändungsschutzkonten gemäß § 850k Abs., § 909 ZPO oder Basiskonten gemäß § 35 Abs. 2 ZKG), bleiben gespeichert, solange sie bestehen; wird deren Beendigung bekannt gegeben, endet auch die Speicherfrist.
4. Anschriftendaten
a) Weitere Anschriften von betroffenen Personen bleiben gespeichert, solange eine fortwährende Speicherung zum Zwecke der Zuordnung bzw. Identifizierung erforderlich und angemessen ist. Dies kann insbesondere aufgrund von Aktivität innerhalb der zurückliegenden drei Jahre auf der jeweiligen Anschrift der Fall sein. Weitere Anschriften können Zweitwohnsitze, Lieferanschriften, frühere Anschriften oder vorübergehende Anschriften sein. Eine Aktivität im Sinne dieser Regelung liegt vor bei Anfragen, Meldungen unter der jeweiligen Anschrift, dem Vorhandensein von laufenden Geschäftsbeziehungen oder Negativdaten sowie Bestätigungen der Anschrift von Kunden der Auskunftei oder der betroffenen Person. Die Ausübung eines Betroffenenrechts (z.B. Beantragung einer Selbstauskunft nach Art. 15 DSGVO) gilt nicht als Aktivität in diesem Sinne und verlängert damit nicht die Speicherdauer.
b) Die Speicherung dieser Anschriften endet, sofern
− keine Aktivität im vorgenannten Sinne innerhalb der zurückliegenden drei Jahre festgestellt werden kann und
− zum Zwecke der Identifizierung (z.B. zur Zuordnung von Anfragen und Meldungen) eine weitere Speicherung nicht erforderlich ist.
Ist eine Anschrift zwar seit drei Jahren inaktiv, ihre Verarbeitung aber für Identifizierungszwecke weiterhin erforderlich, bleibt sie abweichend von Satz 1 für weitere drei Jahre gespeichert.
c) Die Speicherung weiterer Anschriften, mit Ausnahme von Zweitwohnsitzen, endet in jedem Fall, wenn innerhalb von sechs Jahren keine Aktivität verzeichnet werden konnte.
5. Betrugsverdachtsinformationen
Informationen zu zweifelhaften oder ungewöhnlichen Sachverhalten, die im Rahmen der Geldwäsche- und Betrugsprävention gemäß § 25 h Abs. 3 KWG, § 27 Abs. 1 Nr. 5 ZAG sowie § 53 Abs. 1 VAG und § 47 Abs. 5 GwG zu prüfen und zu überwachen sind und bei denen die Prüfung ergibt, dass nicht nur ein reiner Verdachtsfall gegeben ist, sondern hinreichend nachvollziehbare Anhaltspunkte dafür vorliegen, dass ein Geldwäsche- oder betrugsrelevanter Sachverhalt auch tatsächlich vorliegt, bleiben für einen Zeitraum von drei Jahren, ausgehend von dem Datum des Auftretens des auffälligen oder ungewöhnlichen Sachverhalts, gespeichert.
6. Anfragedaten
Angaben über Anfragen Dritter bleiben mindestens für ein Jahr, längstens bis zu drei Jahre gespeichert. Auf Antrag der betroffenen Person wird nach Ablauf eines Jahres die Speicherung vorzeitig beendet.
7. Daten aus sonstigen amtlichen Registern
Die Erforderlichkeit der fortwährenden Speicherung von aus sonstigen, in den vorstehenden Regelungen nicht genannten amtlichen Registern entnommenen Daten, die einen Personenbezug aufweisen, wird spätestens nach drei Jahren überprüft (z.B. weiterhin bestehende Veröffentlichung in der jeweiligen Quelle). Im Falle der Erledigung (wenn z.B. die betreffenden Daten im amtlichen Register nicht mehr verfügbar sind) endet die Speicherfrist der personenbezogenen Daten nach drei Jahren.
V. Prüfung der Einhaltung der hier niedergelegten Löschfristen
1. Anforderungen an die Überwachungsstelle
Die diesen Verhaltensregeln beigetretenen Auskunfteien gewährleisten, dass die Einhaltung der hier niedergelegten Prüf- und Speicherfristen jederzeit überprüft werden kann. Der Verband DW wird – unbeschadet der Aufgaben und Befugnisse der jeweiligen betrieblichen Datenschutzbeauftragten und zuständigen Aufsichtsbehörden – für die Überwachung der Einhaltung dieser Verhaltensregeln eine externe, von der zuständigen Aufsichtsbehörde zu akkreditierende Stelle gemäß Art. 41 Abs. 1 DSGVO benennen.
Die mit der Überwachung dieser Verhaltensregeln beauftragte Überwachungsstelle hat die sich aus den Akkreditierungsanforderungen vom 23. November 2023 niedergelegten Anforderungen und Aufgaben zu erfüllen und ggf. die dort beschriebenen Maßnahmen zu ergreifen. Die Geeignetheit der Überwachungsstelle wird innerhalb eines gesonderten Akkreditierungsverfahrens überprüft.
2. Benennung der Überwachungsstelle
Mit Bescheid der zuständigen Datenschutzbehörde LDI NRW vom 7. Juli 2022 erhielt die vom Verband DW benannte externe und unabhängige Überwachungsstelle TIG-GES DCO GmbH, Düsseldorf, die Akkreditierung zur Überwachung dieser Verhaltensregeln.
3. Aufgaben und Befugnisse der Überwachungsstelle
a) Die Überwachungsstelle erfüllt folgende Aufgaben:
− Initiale Prüfung, ob ein Unternehmen, das den Verhaltensregeln beitreten will,in der Lage ist, deren Einhaltung sicherzustellen;
− fortlaufende Überwachung sowie jährliche rotierende Überprüfung der Einhaltung der Verhaltensregeln einer angemessenen Anzahl der beigetretenen Unternehmen in Abhängigkeit vom Risikogehalt der Datenverarbeitung und identifizierter Beschwerdeschwerpunkte sowie anlassbezogene Überprüfung des beigetretenen Unternehmens (insbesondere bei Beschwerden bezüglich einer vermeintlichen Nichteinhaltung dieser Verhaltensregeln durch ein beigetretenes Unternehmen);
− regelmäßige sowie anlassbezogene Überwachung der Geeignetheit dieser Verhaltensregeln. Dies umfasst die konzeptionelle Überprüfung, ob diese Verhaltensregeln praxistauglich, hinreichend präzise und verständlich formuliert sind, den Regelungsbedarf abdecken und von der Praxis akzeptiert werden;
− Mitteilung von Defiziten gegenüber dem Verband DW sowie der für die Überwachungsstelle zuständigen Aufsichtsbehörde und in Abstimmung mit dem Verband DW Identifizierung eines Anpassungsbedarfs zur Weiterentwicklung dieser Verhaltensregeln;
− Dokumentation der Überwachungstätigkeit. Hierbei nutzt die Überwachungsstelle ein vollständig revisionssicheres und manipulationssicheres System zur Sicherung relevanter Dokumente.
− Die Überwachungsstelle wird sämtliche Informationen über Unternehmen und natürliche Personen (einschließlich betroffener bzw. beschwerdeführender Personen) vertraulich behandeln.
− Der Überwachungsstelle wird ein unmittelbarer Berichtsweg zur Geschäftsleitung der beigetretenen Unternehmen ermöglicht.
b) Befugnisse
Zur Erfüllung dieser Aufgaben verfügt die Überwachungsstelle über nachfolgende Untersuchungsbefugnisse und das Recht, gegenüber den beigetretenen Unternehmen geeignete Maßnahmen zu ergreifen. Hierdurch soll die Einhaltung dieser Verhaltensregeln sichergestellt und gefördert werden:
− Der Überwachungsstelle stehen alle zur Aufgabenerfüllung erforderlichen Untersuchungsbefugnisse zu. Die beigetretenen Unternehmen stellen ihr die hierfür erforderlichen Informationen auf Verlangen zur Verfügung. Sie erhält Zugang zu allen personenbezogenen Daten, Verarbeitungsvorgängen und sonstigen Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind. Außerdem ermöglichen ihr die beigetretenen Unternehmen den Zugang zu den Geschäftsräumen, einschließlich aller Datenverarbeitungsanlagen. Die Überwachungsstelle kann auch Untersuchungen in Form von Datenschutzüberprüfungen durchführen. Die Untersuchungsbefugnisse bestehen auch gegenüber Auftragsverarbeitern der beigetretenen Unternehmen sowie Dritten im Sinne von Art. 4 Nr. 10 DSGVO. Die beigetretenen Unternehmen stellen im Innenverhältnis zu Auftragsverarbeitern und weiteren Dritten sicher, dass die Überwachungsstelle die Einhaltung der Verhaltensregeln überprüfen kann.
− Die Überwachungsstelle ergreift bei Verletzungen dieser Verhaltensregeln gegenüber den betreffenden Unternehmen geeignete Maßnahmen mit dem Ziel, den identifizierten Verstoß zu unterbinden und eine Wiederholung zu vermeiden. Geeignete Maßnahmen sind u.a. Schulungsmaßnahmen, förmliche Aufforderung zur Umsetzung bestimmter Maßnahmen zur Abstellung des Verstoßes, Meldung des Verstoßes bei der Geschäftsleitung, Androhung des Ausschlusses von diesen Verhaltensregeln.
− Die Überwachungsstelle hat das Recht, beigetretene Unternehmen bei wiederholten Verstößen oder im Fall der Nichtabhilfe festgestellter Verstöße gegen diese Verhaltensregeln von diesen Verhaltensregeln auszuschließen.
− Zur Weitergabe von Informationen an die zuständige Aufsichtsbehörde ist die Überwachungsstelle berechtigt, soweit die Weitergabe zur Erfüllung ihrer Aufgaben und Pflichten erforderlich ist. Hinsichtlich einer getroffenen Maßnahme und deren Begründung besteht für die Überwachungsstelle eine anlassbezogene unverzügliche Unterrichtungspflicht sowohl gegenüber der Geschäftsleitung des betroffenen Unternehmens als auch gegenüber der für das betroffene Unternehmen zuständigen Datenschutzaufsichtsbehörde.
4. Beschwerdeverfahren bei der Überwachungsstelle
Bei Unstimmigkeiten zur Datenspeicherung oder der Einhaltung von Speicherfristen können betroffene Personen sich direkt an die Überwachungsstelle wenden.
Die Inanspruchnahme der Überwachungsstelle ist für die Betroffenen kostenneutral möglich; anwaltliche Vertretung ist dafür nicht erforderlich.
Die den Verhaltensregeln unterliegenden Auskunfteien sind dazu verpflichtet, die Überwachungsstelle auf der eigenen Internetpräsenz an geeigneter Stelle zu benennen. Hierbei ist sicherzustellen, dass die Überwachungsstelle getrennt von weiteren Beschwerdemöglichkeiten aufgeführt ist. Ebenfalls sollen Betroffene mit der Art der Darstellung darüber informiert werden, dass die Überwachungsstelle nicht Ansprechpartner für die datenschutzrechtlichen Betroffenenrechte, insbesondere Datenauskunft und -korrektur, ist. Die Kontaktdaten der Überwachungsstelle lauten:
TIGGES DCO GmbH
– Beschwerde Auskunfteien –
Postanschrift: Zollhof 8, 40221 Düsseldorf
Telefon: +49 211 819982-70
E-Mail: beschwerde-auskunfteien@tigges-dco.de
Onlineportal: https://auskunfteien.beschwerdestelle-tigges-dco.de/
Die Überwachungsstelle ist verpflichtet, Betroffenenanliegen zur Datenspeicherung oder der Einhaltung der Prüf- und Speicherfristen zu bearbeiten. Dabei korrespondiert die Überwachungsstelle zwecks Aufklärung und Erledigung des Sachverhalts mit Betroffenen. Der Beschwerdeprozess läuft insoweit wie folgt ab:
Nach Eingang qualifiziert die Überwachungsstelle Beschwerden und prüft eigenständig und unabhängig die Einhaltung der Vorgaben der Verhaltensregeln. Die Überwachungsstelle prüft hierbei zunächst, ob der Sachverhalt in den Anwendungsbereich der Verhaltensregeln fällt. Ist dies der Fall, können weitere Informationen beim Betroffenen abgefragt werden. Ist der Sachverhalt für eine Bewertung ausreichend und stellt die Überwachungsstelle einen Verstoß gegen die Verhaltensregeln fest, steht ihr das Recht zu, die betroffene Auskunftei zur Abgabe einer Stellungnahme innerhalb einer angemessenen Frist aufzufordern. Die Auskunfteien sind gehalten, dieser Aufforderung der Überwachungsstelle fristgerecht nachzukommen, ggf. eine interne Aufklärung anzustoßen und die Tätigkeit der Überwachungsstelle so zu unterstützen. Dieses Recht besteht auch bei Unklarheiten bezüglich der Auslegung der Verhaltensregeln oder anderen Beschwerdesachverhalten, die eine Stellungnahme im Hinblick auf die Durchsetzung der Verhaltensregeln erfordern. Wird ein Verstoß gegen die Verhaltensregeln festgestellt, erhalten Betroffene hierüber eine postalische Mitteilung der Überwachungsstelle, dass der Vorgang an die betroffene Auskunftei zur Stellungnahme weitergeleitet wird. Die betroffene Auskunftei muss sich zum Verstoß erklären und Maßnahmen zur Abhilfe ergreifen.
Stellt sich im Zuge der Prüfung heraus, dass kein Verstoß gegen die Verhaltensregeln vorliegt, die Betroffenen aber ihr Recht auf individuelle Prüfung der weiteren Vorhaltung eines personenbezogenen Datums geltend machen, muss die Überwachungsstelle Beschwerden dieser Art an die Auskunfteien weiterleiten. Dieses Recht besteht nur, sofern die Betroffenen in eine Weitergabe ausdrücklich eingewilligt haben.
Die Informationen zu den in dieser Ziffer geregelten Beschwerdeverfahren und der Überwachungsstelle werden auf den Webseiten der Auskunfteien und der Webseite der Überwachungsstelle veröffentlicht. Betroffenen soll dabei ermöglicht werden, den in dieser Ziffer der Verhaltensregeln skizzierten Ablauf des Beschwerdeverfahrens zur Kenntnis zu nehmen. Die Möglichkeit zur Kenntnisnahme kann dabei im Wege einer Veröffentlichung der Information auf die Verhaltensregeln und einem konkreten Verweis auf dieses Kapitel V. 4. erfüllt werden.
VI. Verfahren für Änderungen dieser Verhaltensregeln (Art. 40 Abs. 5 S. 1 DSGVO)
Änderungen an diesen Verhaltensregeln unterliegen der Genehmigung der zuständigen Aufsichtsbehörde. Ausgenommen hiervon sind unwesentliche oder geringfügige Änderungen, die sich nicht auf die Anwendung der Verhaltensregeln oder die in diesen Verhaltensregeln beschriebenen Prüf- und Speicherfristen von personenbezogenen Daten auswirken (beispielsweise die Umfirmierung oder Sitzverlegung einer Auskunftei). Der Verband DW informiert die zuständige Aufsichtsbehörde über diese Änderungen.
1. Evaluierung
Diese Verhaltensregeln gelten bis zum 25. Mai 2030. Spätestens zwei Jahre vor Ablauf legt der Verband DW der zuständigen Aufsichtsbehörde einen schriftlichen Evaluationsbericht vor. Sofern die Aufsichtsbehörde keine Beanstandungen erhebt, verlängern sich diese Verhaltensregeln um jeweils weitere sechs Jahre.
2. Änderungsverfahren
Ergeben sich durch gesetzliche Bestimmungen oder höchstrichterliche Entscheidungen Zweifel an der Zulässigkeit oder Rechtswirksamkeit dieser Verhaltensregeln, evaluiert der Verband DW innerhalb von drei Monaten ab Kenntniserlangung der geänderten rechtlichen Rahmenbedingungen einen möglichen Anpassungsbedarf und gibt gegenüber der zuständigen Aufsichtsbehörde eine Stellungnahme dazu ab.
Die Aufsichtsbehörde prüft die Stellungnahme und leitet gegebenenfalls Gespräche mit dem Verband DW über eine Änderung dieser Verhaltensregeln ein.
3. Inkrafttreten, Außerkrafttreten, aktuelle Fassung
Diese Verhaltensregeln treten zum 25. Mai 2024 in Kraft.
Die aktuelle Fassung der Verhaltensregeln ist einsehbar auf den Internetseiten des Verbands DW (https://www.die-wirtschaftsauskunfteien.de/code-of-conduc) und wird zusätzlich über die Internetseiten der jeweils beigetreten Verbandsmitglieder zugänglich gemacht.