Inkasso und DSGVO
Darf ich Schuldnerdaten an ein Inkassobüro weitergeben?
Die Rechnung ist fällig, aber das Geld kommt nicht, auch nicht nach der Mahnung. Spätestens dann denken viele Unternehmen an ein Inkassobüro und fragen sich, ob sie Rechnung, Anschrift und Schriftwechsel überhaupt weitergeben dürfen. Dieser Beitrag gibt einen Überblick, was die DSGVO dazu sagt.
Schuldnerdaten an Inkasso weitergeben? – Ja, grundsätzlich schon
Gläubiger dürfen alle Daten weitergeben, die zwingend für die Eintreibung der Außenstände notwendig sind. Das bestätigt auch die Berliner Datenschutzbeauftragte in ihren Leitfäden zu Inkassobüros. Die DSGVO verbietet die Weitergabe an Dritte nicht generell. Unternehmen müssen aber erklären können, warum sie Daten verarbeiten und an wen sie diese geben. Bei einer offenen Forderung liegt der Grund meist auf der Hand: Das Unternehmen will ausstehendes Geld einfordern.
Braucht es eine Einwilligung des Schuldners?
Bei gewöhnlichen Forderungsdaten ist eine Einwilligung in der Regel nicht erforderlich, sofern eine passende Rechtsgrundlage nach Art. 6 DSGVO besteht. Bei Patientenforderungen gelten zusätzliche Anforderungen: Die Praxis muss neben dem Datenschutz auch die berufliche Schweigepflicht beachten. Ob eine Einwilligung mit Schweigepflichtentbindung erforderlich ist, hängt deshalb auch davon ab, ob eine andere rechtlich tragfähige Offenbarungsbefugnis besteht.
Die übrigen Anforderungen der DSGVO bleiben davon unberührt:
Welche Daten gehören in die Übergabe?
Als Maßstab dient die offene Forderung selbst. Das Inkassobüro muss den Schuldner zuordnen, den Anspruch nachvollziehen und den bisherigen Verlauf sehen können.
Typischerweise gehören dazu:
Ein Heizungsbauer wartet auf 1.200 Euro für eine Reparatur. Für das Inkassobüro sind dann typischerweise Kundendaten, Rechnung, Auftragsbestätigung oder Leistungsnachweis und die bisherigen Mahnungen relevant, bei einer Teilzahlung auch diese. Die Notiz zu einem Streit um einen früheren Auftrag und andere Unterlagen ohne Bezug zur Rechnung gehören in der Regel nicht in die Fallakte.
Als Faustformel gilt also: Was die Forderung belegt, ist für das Inkassobüro relevant, alles andere bleibt in der Regel beim Gläubiger.
Gelten andere Regeln für Geschäftskunden?
Teilweise. Informationen über eine juristische Person, etwa eine GmbH, sind als solche grundsätzlich keine personenbezogenen Daten im Sinne der DSGVO. Bei natürlichen Personen sieht das anders aus. Das betrifft zum Beispiel Verbraucher, Einzelunternehmer oder persönlich haftende Gesellschafter. Sogar Kontaktdaten von Ansprechpartnern zählen dazu – sobald klar ist, um welche Person es sich handelt. Selbst bei B2B-Forderungen können also einzelne Angaben unter die DSGVO fallen.
Welche Daten gehören nicht automatisch in die Übergabe?
Besonders bei umfangreichen Kundenakten, internen Gesprächsnotizen oder Zusatzinformationen zum Schuldner spielt die Datenminimierung eine Rolle. Nicht alles, was intern vorliegt, wird für die Forderungsdurchsetzung gebraucht. Angaben zu privaten Lebensumständen, zu Geschäftsbeziehungen ohne Bezug zur Forderung oder zu anderen Vorgängen gehören deshalb nicht ohne Weiteres in die Fallübergabe.
Bei sensiblen Informationen gelten höhere Hürden. Dazu zählen etwa Gesundheitsdaten, die im Zusammenhang mit medizinischen Leistungen oder Behandlungen verarbeitet werden. Für solche besonderen Kategorien personenbezogener Daten sieht Art. 9 DSGVO zusätzliche Anforderungen vor. Bei medizinischen Forderungen stellt sich daher die Frage, welche Angaben den Anspruch tatsächlich belegen. Vollständige Behandlungsunterlagen gehören nicht schon deshalb in die Übergabe, weil sie im Unternehmen vorliegen.
Hinzu kommt die Richtigkeit der Daten. Eine falsche Anschrift, ein bereits beglichener Rechnungsbetrag oder ein überholter Forderungsstand kann zu unnötigen Maßnahmen führen und die Rechte des Betroffenen beeinträchtigen.
Ein Sonderfall: Was gilt bei Patientenforderungen?
Bei Forderungen aus einer Behandlung gelten zwei Regelwerke nebeneinander: der Datenschutz und die berufliche Schweigepflicht. Schon die Tatsache, dass jemand Patient einer bestimmten Praxis ist, kann geschützt sein. Für die in § 203 StGB genannten Berufsgruppen, etwa Ärzte, Zahnärzte oder Psychotherapeuten, gelten deshalb zusätzliche Anforderungen.
Welche Informationspflichten gelten gegenüber dem Schuldner?
Unabhängig von einer möglichen Schweigepflicht sieht die DSGVO Informationspflichten vor. Erhebt ein Unternehmen Daten direkt beim Kunden, muss es ihn nach Art. 13 DSGVO unter anderem über Zweck, Rechtsgrundlage und Empfänger der Daten informieren. Das geschieht meist in den Datenschutzhinweisen, in denen in der Regel auch genannt wird, dass Daten zur Durchsetzung offener Forderungen an Dienstleister weitergegeben werden können.
Handelt das Inkassounternehmen als eigener Verantwortlicher, treffen auch dieses Informationspflichten. Weil es die Daten vom Gläubiger und nicht vom Schuldner erhält, gilt grundsätzlich Art. 14 DSGVO: Die Information muss innerhalb einer angemessenen Frist erfolgen, spätestens nach einem Monat. Findet vorher ein Kontakt zum Schuldner statt, ist spätestens dann zu informieren. Für bestimmte Fälle können gesetzliche Ausnahmen greifen.
Wer dabei welche Rolle hat, hängt davon ab, wie Gläubiger und Inkassounternehmen tatsächlich zusammenarbeiten. Ein Inkassounternehmen ist nicht automatisch nur Auftragsverarbeiter des Gläubigers. Je nach Rolle können beide Seiten eigene Pflichten treffen.
Was gilt, wenn der Schuldner die Forderung bestreitet?
Auch eine bestrittene Forderung steht der Übermittlung an ein Inkassounternehmen nicht per se entgegen. Sie verlangt aber mehr Sorgfalt. Ist die Rechnung laut Kunde bereits bezahlt, die Leistung mangelhaft oder der Betrag falsch, muss der Gläubiger die Einwände berücksichtigen. Eine solche Forderung ungeprüft als unbestritten darzustellen, gilt als heikel. In der Praxis klären Gläubiger den Sachverhalt meist vor der Übergabe und dokumentieren die Korrespondenz vollständig. Bei nachvollziehbaren Einwänden ist es für das Inkassounternehmen wichtig, davon zu erfahren: Nur so kann es den Fall sachgerecht prüfen und sein Vorgehen darauf abstimmen.
Zwei Fragen lassen sich dabei trennen. Die datenschutzrechtliche Frage lautet, ob die Daten übermittelt werden dürfen. Die zivilrechtliche Frage lautet, ob die Forderung besteht und ob Inkassokosten als Verzugsschaden verlangt werden können. Ein Inkassodienstleister kann aus einer unbegründeten Forderung keine berechtigte machen.
Wie gelangen Schuldnerdaten sicher zum Inkassounternehmen?
Neben der Rechtsgrundlage zählt die Sicherheit der Übermittlung. Unternehmen müssen geeignete technische und organisatorische Maßnahmen treffen, die personenbezogene Daten vor unbefugtem Zugriff, Verlust und unzulässiger Offenlegung schützen.
In der Praxis gehören dazu typischerweise:
Wie weit diese Maßnahmen gehen, richtet sich nach Art, Umfang und Risiko der Verarbeitung. Je sensibler die Unterlagen, desto höher der Schutzbedarf.
Checkliste:
Was vor der Übergabe an das Inkassobüro eine Rolle spielt
Eine kurze Vorprüfung deckt typische Fehler auf und erleichtert die Bearbeitung. Diese Fragen kommen dabei üblicherweise auf den Tisch:
Wer diese Fragen mit Ja beantworten kann, übergibt in der Regel eine saubere Akte: vollständig belegt, aktuell und ohne Ballast.
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Für konkrete Fälle können ein Rechtsanwalt oder der Datenschutzbeauftragte des Unternehmens weiterhelfen.
Offene Forderungen professionell bearbeiten lassen?
Culpa Inkasso unterstützt Unternehmen seit Jahren erfolgreich beim Forderungseinzug. Für eine persönliche Beratung geht es hier direkt zur Sofortanfrage.
