In welchen Fällen sind sind Inkassobüros Auftragsverarbeiter?
Neben Steuerberatern und Rechtsanwälten legen häufig auch sog. Rechtsdienstleister – wie Inkassounternehmen – regelmäßig Wert darauf, nicht als Auftragsverarbeiter im Sinne des Art. 28 DSGVO bewertet zu werden. Je nach Ausgestaltung der Inkassodienstleistungen ist diese Haltung gelegentlich strittig.
Zulässigkeit von Dienstleistungen durch Inkassounternehmen
Die Zulässigkeit von Rechtsdienstleistungen bestimmt sich in Deutschland nach dem Rechtsdienstleistungsgesetz (RDG). Neben Tätigkeiten in konkreten fremden Angelegenheiten, sobald sie eine rechtliche Prüfung des Einzelfalls erfordert (§ 2 Abs. 1 RDG) gelten Inkassodienstleistungen nach § 10 Abs. 1 Nr. 1 RDG als Rechtsdienstleistungen auf Grund besondere Sachkunde. Diese dürfen nach § 10 Abs. 1 Satz 1 RDG nur von registrierten (natürliche oder juristischen) Personen erbracht werden.
Grundlage für eine solche Registrierung ist stets der sog. Sachkundenachweis. Neben der persönlichen Eignung und Zuverlässigkeit bedarf es insbesondere auch theoretischer und praktischer Kenntnisse in dem Bereich, in dem die Rechtsdienstleistung erbracht werden soll. Explizite Berufspflichten, wie bei Rechtsanwälten oder Steuerberatern sucht man hingegen vergebens. Diese sind weder im RDG, noch in einer anderen Vorschrift explizit vorgesehen.
Was sind Inkassodienstleistungen?
Der § 2 Abs. 2 RDG definiert Inkassodienstleistungen als „die Einziehung fremder oder zum Zweck der Einziehung auf fremde Rechnung abgetretener Forderungen, wenn die Forderungseinziehung als eigenständiges Geschäft betrieben wird“. In der Praxis werden dabei meist die folgenden Dienstleitungen umfasst:
- Mahnungen
- Abschluss von Ratenzahlungsvereinbarungen
- Ermittlung von Adressen oder dem Aufenthalt von Schuldnern
- Telefonische und postalische Zahlungsaufforderungen
- Vorbereitung gerichtlicher Durchsetzungsmöglichkeiten
- Abschluss außergerichtlicher Vergleiche
- Überwachung und Erfassung von Zahlungseingängen
- Laufende Kontrolle der Zahlungsfähigkeit von Schuldnern
- Ermittlung von etwaigen Erben
- Auffinden von vollstreckbaren Werten
- Betreuung des sog. Factoring
Wie wird von Inkassounternehmen argumentiert?
Mangels aktueller Rechtsprechung und Literatur berufen sich Inkassounternehmen häufig auf die frühere Unterscheidung zwischen Auftragsdatenverarbeitung und Funktionsübertragung. Dabei wird davon ausgegangen, dass aufgrund des eigenen Bewertungs- und Entscheidungsspielraums hinsichtlich der Wahl der Maßnahmen zur Einziehung der Forderungen keine reine Hilfeleistung, und damit keine Auftragsverarbeitung vorliegt. Zudem beschränke sich die Dienstleistung nicht nur auf vom Auftraggeber bereitgestellte Daten, sondern das Inkassounternehmen ergänzt diese durch Abfrage bei Behörden, Instituten oder weiteren Quellen.
Im Übrigen sei die Einordnung als Auftragsverarbeitung auch nicht wünschenswert, da ähnlich wie bei Rechtsanwälten und Steuerberatern die Kontrolle der technischen und organisatorischen Maßnahmen durch Audits aufgrund von Verschwiegenheitsverpflichtungen nicht durchzuführen sei.
Schließlich sei auch die Datenschutzkonferenz im Kurzpapier Nr. 13 in Anhang B nicht von einer Auftragsverarbeitung ausgegangen. Dort heißt es: „Keine Auftragsverarbeitung, sondern die Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen, für die bei der Verarbeitung (einschließlich Übermittlung) personenbezogener Daten eine Rechtsgrundlage gemäß Art. 6 DSGVO gegeben sein muss, sind beispielsweise in der Regel die Einbeziehung eines (…) Inkassobüros mit Forderungsübertragung“
Warum überzeugen diese Argumente nicht in jedem Fall?
Dass wegen des eigenen Entscheidungsspielraums keine Auftragsverarbeitung vorliege, trifft so nicht zu.
Verantwortlicher ist gemäß Art. 4 Nr. 7 DSGVO derjenige, der über die Mittel und Zwecke der Verarbeitung personenbezogener Daten entscheidet. Dabei kommt es vorrangig auf die Zwecke an, wohingegen die Wahl der Mittel, z. B. bei den technisch organisatorischen Maßnahmen, teilweise durchaus an den Auftragnehmer übertragen werden kann. Aus dem Blickwinkel des Dienstleisters ist also entscheidend, ob es ihm eher auf die Verarbeitung personenbezogener Daten für einen anderen oder auf die Dienstleistung an sich ankommt.
Dazu muss festgestellt werden, ob der Dienstleister eher „verlängerter Arm“ des Verantwortlichen ist (was für eine Auftragsverarbeitung spricht), oder ob er die Dienstleistung eher im eigenen Interesse und in eigener Gestaltung erbringt (was gegen eine Auftragsverarbeitung spricht). Dabei wird der Verantwortliche bei Inkassounternehmen zum einen regelmäßig sehr genauen Rahmen für die Vorgehensweise vorgeben, und zum anderen ändert die Entscheidung des Inkassounternehmens, welche Maßnahmen in welchem Zeitstadium getroffen werden, nichts an der grundsätzlichen Weisungsgebundenheit.
Der Vergleich mit Rechtsanwälten und Steuerberatern trifft ebenfalls nicht zu. Diese Berufsgruppen sind rechtlich zur Verschwiegenheit verpflichtet und müssen bei unbefugter Offenbarung mit einer strafrechtlichen Verfolgung nach § 203 StGB rechnen. Zu den in § 203 StGB aufgeführten Berufsgruppen gehören Inkassounternehmen aber nicht. Eine berufsrechtliche Verschwiegenheitsverpflichtung existiert ebenfalls nicht. Neben den gegebenen technischen und vertraglichen Möglichkeiten ein Audit Recht ohne Verletzung einer Geheimhaltungspflicht zu ermöglichen, ist das Risiko demnach viel geringer.
Im Kurzpapier Nr. 13 der Datenschutzkonferenz ist von „Inkassobüros mit Forderungsübertragung“ die Rede. Wird eine Forderung an den Dienstleister übertragen, legt dieser Zwecke und Mittel und des Forderungsmanagement selbst fest und ist daher als eigener Verantwortlicher anzusehen.
Wie ist damit in der Praxis umzugehen?
Es ist denkbar, dass ein Verantwortlicher einem Inkassounternehmen für das Forderungsmanagement einen so weiten Spielraum lässt, dass von einer Auftragsverarbeitung nicht mehr auszugehen ist.
Entscheidend sollte daher eine Untersuchung der tatsächlichen vertraglichen Vereinbarungen zwischen Auftraggeber und Inkassobüro sein. Je enger und präziser der vorgegebene Rahmen des Forderungsmanagements definiert ist, umso mehr spricht für eine Einstufung des Vertragsverhältnisses als Auftragsverarbeitung.
Liegt eine solche vor, sollten Inkassounternehmen Ihre Verträge entsprechend anpassen. So dürfte eine Änderung der Geheimhaltungsklausel dahingehend notwendig sein, dass keine Audits betroffen sind, bei denen die Prüfer Ihrerseits Geheimhaltungsklauseln unterschrieben haben. Auf technischer Seite kann aber auch eine saubere Mandantentrennung helfen, so dass auch bei Audits die Möglichkeit zur Einsicht in fremde Kundendaten ausgeschlossen bleibt.