Wann ein Inkassobüro personenbezogene Daten verarbeiten darf
Die österreichische Datenschutzbehörde (DSB) hat am 19. Dezember 2025 über die Beschwerde einer Frau entschieden, deren Daten von einem Inkassounternehmen im Rahmen eines Mahnverfahrens verarbeitet wurden. Sie sah sich in ihrem Recht auf Geheimhaltung, auf Löschung und auf Information verletzt. Die DSB wies die Beschwerde in allen Punkten als unbegründet ab (GZ 2025-1.043.098).
Der Fall zeigt, unter welchen Voraussetzungen Inkassounternehmen Forderungen rechtmäßig eintreiben dürfen und wie weit die Pflicht zur Datenrichtigkeit tatsächlich reicht.
Eine Versicherungsnehmerin hatte eine Prämie für ihre Haushaltsversicherung nicht bezahlt. Das Versicherungsunternehmen beauftragte daraufhin ein Inkassoinstitut mit der Eintreibung der Forderung. Am 15. Juli 2025 verschickte das Inkassounternehmen ein erstes Mahnschreiben. Darin informierte es die Betroffene auch über die Verarbeitung ihrer Daten gemäß Art. 14 DSGVO: über den Verantwortlichen, den Zweck der Verarbeitung, die Rechtsgrundlage, die Kategorien der verarbeiteten Daten, mögliche Empfänger und die Speicherdauer.
Die Betroffene zahlte die offene Hauptforderung einen Tag später direkt an das Versicherungsunternehmen. Die zusätzlich verlangten Mahnkosten, Zinsen und Inkassogebühren bestritt sie und zahlte sie nicht.
Am 7. August 2025 erhielt sie ein zweites Mahnschreiben, obwohl die Hauptforderung bereits beglichen war. Ursache war eine falsche Buchung: Eine dritte Person hatte bei einer eigenen Zahlung versehentlich die Inkassonummer der Betroffenen angegeben. Das Inkassounternehmen korrigierte den Fehler, sobald er auffiel.
Die Betroffene beschwerte sich bei der DSB. Sie warf dem Unternehmen vor, ihre Daten trotz Zahlung ohne Rechtsgrundlage weiterverarbeitet, falsche Daten verwendet und sie nicht ausreichend informiert zu haben. Außerdem vermutete sie eine Weitergabe ihrer Daten zu Bonitätszwecken und eine verletzte Meldepflicht.
Die DSB prüfte jeden Punkt einzeln und kam zu folgendem Ergebnis:
Keine Weitergabe zu Bonitätszwecken: Die DSB stellte fest, dass die Daten der Betroffenen tatsächlich nicht an Dritte zur Bonitätsbeurteilung weitergegeben wurden. Eine bloß befürchtete, aber nicht eingetretene Verletzung reicht für eine Beschwerde nicht aus.
Rechtmäßige Verarbeitung beim ersten Mahnschreiben: Das Inkassounternehmen stützte die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, also auf ein berechtigtes Interesse. Die DSB bestätigte das nach der dreistufigen Prüfung des EuGH: Das Inkassounternehmen übt mit der Forderungseintreibung eine gesetzlich vorgesehene Gewerbetätigkeit aus, die Verarbeitung war zur Durchsetzung der Forderung notwendig, und bei Zahlungsverzug überwiegt regelmäßig das Interesse des Gläubigers an einer wirksamen Eintreibung gegenüber dem Geheimhaltungsinteresse der schuldenden Person. Wer eine Zahlung schuldig bleibt, muss mit der Einschaltung eines Inkassounternehmens rechnen.
Kein Verstoß gegen die Datenrichtigkeit beim zweiten Mahnschreiben: Die DSB verwies auf den Grundsatz aus Art. 5 Abs. 1 lit. d DSGVO, wonach Daten sachlich richtig sein müssen. Die Pflicht dazu ist aber nicht grenzenlos. Verantwortliche müssen angemessene Maßnahmen treffen, um Fehler zu erkennen und zu korrigieren, sie müssen aber nicht jede Verwechslung in Echtzeit verhindern. Die Fehlbuchung ging auf das Versehen einer dritten Person zurück, lag außerhalb des Einflussbereichs des Inkassounternehmens und wurde nach Bekanntwerden umgehend berichtigt. Damit sah die DSB die Pflicht zur Datenrichtigkeit als erfüllt an.
Informationspflicht erfüllt: Die im Mahnschreiben vom 15. Juli 2025 enthaltenen Angaben genügten den Anforderungen aus Art. 14 DSGVO, unter anderem zur Herkunft der Daten.
Keine verletzte Meldepflicht: Aus einer möglichen Verletzung der Meldepflicht bei Datenschutzverletzungen nach Art. 33 DSGVO lässt sich ohnehin kein eigenes Beschwerderecht für Betroffene ableiten. Ein solcher Verstoß lag im vorliegenden Fall zudem nicht vor.
Keine Löschpflicht: Da die Verarbeitung insgesamt rechtmäßig war, bestand auch keine Pflicht zur Löschung. Die DSB verwies zusätzlich auf die siebenjährige gesetzliche Aufbewahrungspflicht für Geschäftsunterlagen, die eine Löschung ohnehin ausschließt, solange sie läuft.
Im Ergebnis wies die DSB die Beschwerde vollständig ab. Der Bescheid zeigt, dass Inkassounternehmen sich auf ein berechtigtes Interesse berufen können, solange die Verarbeitung zur Forderungseintreibung erforderlich bleibt und die Betroffenenrechte, insbesondere die Informationspflicht, gewahrt werden. Einzelne, rasch korrigierte Fehler begründen für sich genommen noch keinen Verstoß gegen den Grundsatz der Datenrichtigkeit.
Unsere Empfehlungen
Unternehmen/KMU
Wer offene Forderungen an ein Inkassounternehmen übergibt, sollte sicherstellen, dass Kundinnen und Kunden bereits im Vertrag oder in der ersten Zahlungserinnerung über eine mögliche Weitergabe an ein Inkassobüro informiert werden. Das schafft Transparenz und reduziert Beschwerden.
Prüfen Sie bei der Auswahl eines Inkassopartners, ob dieser seine Informationspflichten nach Art. 13 und Art. 14 DSGVO tatsächlich erfüllt, etwa durch vollständige Angaben im Mahnschreiben.
Behörden/öffentliche Stellen
Auch öffentliche Stellen geben offene Forderungen, etwa Gebühren oder Beiträge, gelegentlich an Inkassodienstleister weiter. Dokumentieren Sie in diesen Fällen die Rechtsgrundlage der Datenweitergabe und stellen Sie sicher, dass der beauftragte Dienstleister die Betroffenenrechte einhält.
Legen Sie interne Prozesse fest, wie mit Fehlbuchungen oder Zuordnungsfehlern umgegangen wird, damit solche Fälle nachvollziehbar und zeitnah korrigiert werden.
Gesundheitseinrichtungen
Bei unbezahlten Rechnungen für Behandlungen oder Leistungen außerhalb der gesetzlichen Krankenversicherung kommt ebenfalls Inkasso infrage. Da hier sensible Gesundheitsdaten im Hintergrund stehen, sollte an das Inkassounternehmen ausschließlich das für die Forderungseintreibung notwendige Minimum übermittelt werden, etwa Rechnungsbetrag und Fälligkeitsdatum, nicht die medizinische Diagnose.
Vereinbaren Sie mit dem Inkassopartner vertraglich, welche Datenkategorien konkret übermittelt werden dürfen.
Kanzleien/Freiberufler
Der Bescheid liefert eine klare Argumentationslinie für die Beratung von Mandantinnen und Mandanten, die selbst Inkassounternehmen beauftragen oder betreiben: Die dreistufige Interessenabwägung des EuGH aus Art. 6 Abs. 1 lit. f DSGVO bleibt der zentrale Prüfmaßstab.
Weisen Sie Mandantinnen und Mandanten darauf hin, dass eine einmalige, rasch korrigierte Fehlbuchung nicht automatisch eine Datenschutzverletzung begründet, solange angemessene Kontrollmechanismen bestehen.
Quelle: Datenschutzbehörde Österreich (DSB), Bescheid vom 19. Dezember 2025, GZ 2025-1.043.098
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks