noyb hat eine Klage gegen die Kreditauskunftei CRIF GmbH und den Adresshändler AZ Direct eingereicht. Die Unternehmen handeln still und heimlich mit den Adressdaten fast aller volljährigen Menschen in Österreich. CRIF gelangt auf diesem Weg an Informationen, die eigentlich zu Werbezwecken erhoben wurden – um daraus Bonitätswerte zu errechnen. Das verstößt gegen die DSGVO, wie die Datenschutzbehörde in zwei Bescheiden bestätigt hat. noyb klagt nun unter anderem auf Unterlassung und Schadenersatz.
Datenschutzverletzungen als Geschäftsmodell. Der Adressverlag AZ Direct (Teil der Bertelsmann-Gruppe) gibt regelmäßig persönliche Informationen wie Name, Anschrift, Geburtsdatum und Geschlecht von Österreicher:innen an die Kreditauskunftei CRIF weiter. Das ist rechtswidrig, da Adressverlage diese Daten nur zu Werbezwecken weitergeben dürfen. In Wirklichkeit nutzt CRIF die Daten allerdings zur Berechnung der (vermeintlichen) Kreditwürdigkeit von Menschen. Das kann weitreichende Konsequenzen, wie die Ablehnung von Vertragsabschlüssen oder schlechtere Konditionen bei der Kreditvergabe haben.
Rechtswidriger Datenhandel ging einfach weiter. Die Datenschutzbehörde (DSB) hat in zwei Bescheiden (in Folge einer noyb-Beschwerde) entschieden, dass dieses Vorgehen rechtswidrig ist: Der heimliche Datenhandel ist nicht mit dem datenschutzrechtlichen Prinzip der Zweckbindung vereinbar und erfolgt ohne geeignete Rechtsgrundlage gemäß DSGVO. Trotz dieser klaren Positionierung hat die Behörde bislang keine Maßnahmen gesetzt, um die illegale Datenverarbeitung zu stoppen. noyb hat deshalb im Namen von vorerst sieben betroffenen Personen eine Klage beim Landesgericht für Zivilsachen Wien eingereicht.
Max Schrems, Vorsitzender von noyb: „AZ Direct und CRIF bereichern sich weiterhin illegal an den Daten von Millionen Menschen in Österreich - und die Datenschutzbehörde hat bisher nichts unternommen, um den illegalen Datenhandel dauerhaft zu unterbinden. Wir sehen deshalb keine andere Möglichkeit, als uns an die Zivilgerichte zu wenden.”
Unterlassung, Schadenersatz und Herausgabe der Bereicherung gefordert. Die Klage zielt darauf ab, eine Unterlassung zu erwirken. CRIF und AZ Direct soll also verboten werden, mit der illegalen Datenverarbeitung fortzufahren. Darüber hinaus fordert noyb immateriellen Schadenersatz für die betroffenen Personen, deren Daten über Jahre hinweg heimlich und rechtswidrig verarbeitet wurden. Nicht zuletzt haben sich die beiden Unternehmen durch die Datenverarbeitungen unrechtmäßig bereichert. CRIF und AZ Direct müssen deshalb darlegen, wie viel Geld sie pro betroffener Person verdient haben und dieses Geld dann herausgeben.
Max Schrems: "CRIF und AZ Direct handeln hinter dem Rücken der betroffenen Personen mit Millionen Datensätzen, ohne die dafür notwendigen Einwilligungen einzuholen. Wir sind überzeugt, dass hier ein angemessener Schadenersatz zuzusprechen sein wird."
Nur der erste Schritt. Die nun eingebrachte Klage mit sieben Betroffenen ist erst der Anfang. CRIF verfügt über die Daten von Millionen Menschen in Österreich, die größtenteils von Adressverlagen wie AZ Direct stammen. Betroffene Personen wissen in den meisten Fällen nichts davon, da weder AZ Direct noch CRIF ihren datenschutzrechtlichen Informationspflichten nachkommen.
Max Schrems, Vorsitzender von noyb: “Aus dem Verfahren vor der Behörde wissen wir, dass AZ Direct die Daten von mehr als 7 Millionen Menschen in Österreich an CRIF übermittelt hat. All diese Personen haben die Möglichkeit, gegen die rechtswidrigen Verarbeitungen zu klagen. Wir prüfen derzeit die Möglichkeiten, solche Ansprüche in einem Sammelklageverfahren geltend zu machen.”
Nimm deine Rechte wahr! Auch du kannst herausfinden, ob CRIF deine Daten unzulässiger Weise bei einem Adressverlag wie AZ Direct erhoben hat. Richte hierfür ein Auskunftsbegehren gemäß Artikel 15 DSGVO an CRIF (auskunft@crif.com) und frage insbesondere nach der Herkunft der verarbeiteten Daten. Achtung: CRIF hält gewisse Daten von Konsument:innen systematisch zurück, hier kann es nötig sein, nachzubohren. Nähere Infos gibt es hier. CRIF ist verpflichtet, dir sämtliche Informationen spätestens binnen eines Monats zu erteilen.
