Urteile zu Auskunfteien und Bonität: die wichtigsten Entscheidungen

Kurz gesagt

Insolvenzdaten müssen weg, sobald die Insolvenzdatei sie nicht mehr zeigt. Das hat der Verwaltungsgerichtshof 2024 bestätigt.
Bei bezahlten Forderungen ist die Rechtsprechung gespalten: ein Jahr oder bis zu fünf Jahre.
Sie haben Anspruch auf eine verständliche Erklärung Ihres Scores und auf Kopien der Auskünfte, die an Kunden gingen.
Für unberechtigte Einträge haben Gerichte 750 € und 2.000 € Schadenersatz zugesprochen.

Seit 2023 hat sich bei den Bonitätsdaten mehr bewegt als in den zwanzig Jahren davor. Der Europäische Gerichtshof hat zwei Leitentscheidungen zur deutschen SCHUFA und zwei zu österreichischen Auskunfteien gefällt, und Verwaltungsgerichtshof, Bundesverwaltungsgericht und Datenschutzbehörde haben die Speicherfristen neu vermessen. Dieser Überblick zeigt, welche Entscheidungen Ihnen bei einem Lösch- oder Auskunftsantrag helfen und wo die Grenzen liegen.

Die wichtigsten Entscheidungen auf einen Blick

Entscheidung	Was sie Ihnen bringt
EuGH C-26/22 und C-64/22 (2023), VwGH Ro 2020/04/0031 und Ro 2022/04/0038 (2024)	Insolvenzdaten müssen gelöscht werden, sobald die Einsicht in die Insolvenzdatei endet
BVwG W298 2296144-1 (2025), Datenschutzbehörde (2026)	Bezahlte Forderungen grundsätzlich spätestens ein Jahr nach der Zahlung löschen (noch nicht höchstgerichtlich geklärt)
OGH 6 Ob 87/21v (2021)	Speicherdauer ist eine Einzelfallabwägung; Richtwert bisher rund fünf Jahre
EuGH C-634/21 (2023)	Ein maßgeblicher Score ist eine automatisierte Entscheidung und nur eingeschränkt erlaubt
EuGH C-203/22 Dun & Bradstreet Austria (2025)	Anspruch auf verständliche Erklärung, wie Ihr Score zustande kam
EuGH C-487/21 CRIF (2023), VwGH Ro 2024/04/0003 (2026)	Anspruch auf eine echte Kopie, auch der Bonitätsauskünfte, die an Kunden gingen
OGH 6 Ob 147/25y u. a. (August 2026)	Marketing-Adressdaten dürfen nicht für die Bonitätsprüfung verwendet werden
OLG Wien 3 R 11/26y (2026)	Die Bank kann verpflichtet sein, einen veralteten Warnlisten-Eintrag beim KSV1870 zu beenden
OGH 6 Ob 247/08d (2009), 6 Ob 217/19h (2019)	Schadenersatz für unberechtigte Einträge: 750 € und 2.000 €

Insolvenzdaten: der stärkste Hebel

Im Dezember 2023 hat der Europäische Gerichtshof entschieden, dass eine private Auskunftei Daten aus einem öffentlichen Insolvenzregister nicht länger speichern darf als das Register selbst (EuGH C-26/22 und C-64/22). Der Verwaltungsgerichtshof hat das 2024 für Österreich umgesetzt: Sobald das Insolvenzgericht die Einsicht in die Insolvenzdatei beendet, darf eine Kreditauskunftei die Daten nicht mehr verarbeiten (VwGH Ro 2020/04/0031). Das gilt für Schuldenregulierungs- und Sanierungsverfahren, auch von Unternehmern (VwGH Ro 2022/04/0038).

Zwei Folgeentscheidungen schärfen das nach: Wer zu lange gespeichert hat, verletzt das Recht auf Geheimhaltung auch rückwirkend (BVwG W292 2247003-1). Und mit der Insolvenz müssen auch Score und Textbewertungen verschwinden, die darauf beruhen. Im entschiedenen Fall verlangte ein Tankkartenanbieter wegen einer solchen Restbewertung noch eine Kaution (BVwG W298 2316016-1, Juli 2026). Im September 2026 hat das Bundesverwaltungsgericht ausdrücklich festgehalten, dass diese Rechtsprechung gefestigt ist (BVwG W298 2329166-1).

Bezahlte Forderungen: zwei Linien

Wie lange eine bezahlte Inkassoforderung gespeichert bleiben darf, ist die wichtigste offene Frage. Der Oberste Gerichtshof hat 2021 entschieden, dass es auf den Einzelfall ankommt: auf das Alter der Forderung, den Zeitpunkt der Tilgung und das Zahlungsverhalten seither. Rund fünf Jahre galten als Richtwert, drei Jahre jedenfalls als zulässig (OGH 6 Ob 87/21v, bestätigt in 6 Ob 102/22a). Die Bundesverwaltungsgerichte haben bis 2023 meist ebenso entschieden, auch bei Kleinstbeträgen.

Ausnahmen gab es schon damals: Ein einzelner Eintrag über 42,70 € musste bei nachgewiesenem festem Einkommen nach zwei Jahren und acht Monaten gelöscht werden (BVwG W245 2239715-1). Eine Forderung über 497 €, die fast neun Jahre zuvor bezahlt worden war, ebenfalls (BVwG W101 2213581-1).

Seit 2025 ist die Linie gespalten. Ein Senat des Bundesverwaltungsgerichts und die Datenschutzbehörde übertragen die Wertung des SCHUFA-Urteils auf alle Zahlungsdaten: speichern, solange die Forderung offen ist, danach spätestens ein Jahr (BVwG W298 2296144-1, DSB 2026-0.084.179). Ein anderer Senat hält für die Bankdatenbank KKE weiter fünf Jahre für zulässig (BVwG W292 2316014-1). Der Verwaltungsgerichtshof hat noch nicht entschieden.

Score: automatisch, erklärungspflichtig, angreifbar

Der Europäische Gerichtshof hat 2023 entschieden: Wenn ein Unternehmen seine Entscheidung maßgeblich auf den Score einer Auskunftei stützt, ist schon die Berechnung des Scores eine automatisierte Entscheidung (EuGH C-634/21). Die ist nur in engen Ausnahmen erlaubt. Österreich hat dafür keine gesetzliche Grundlage, § 152 GewO reicht nicht. In mehreren Fällen wurden Scores deshalb als rechtswidrig eingestuft, etwa als ein Energieversorger einen Vertrag nach einem mittleren Score ohne jede Zahlungserfahrung storniert hatte (BVwG W292 2248672-1) oder eine Minute nach der automatischen Abfrage ablehnte (DSB 2025-0.355.103, nicht rechtskräftig).

Im österreichischen Fall Dun & Bradstreet hat der Gerichtshof 2025 festgehalten, dass Sie eine verständliche Erklärung bekommen müssen, welche Ihrer Daten wie in den Score eingeflossen sind (EuGH C-203/22). Die Formel selbst müssen Auskunfteien nicht offenlegen. Berufen sie sich auf ein Geschäftsgeheimnis, entscheiden Behörde oder Gericht im Einzelfall. Ein pauschaler Ausschluss, wie ihn § 4 Abs. 6 DSG vorsah, ist damit nicht vereinbar. Der Verwaltungsgerichtshof hat das umgesetzt (VwGH Ro 2020/04/0010).

Eine Einschränkung: Der Anspruch auf die Logik-Erklärung setzt voraus, dass der Score tatsächlich an jemanden ging und dort maßgeblich war (VwGH Ro 2023/04/0029). Fragen Sie deshalb immer auch nach den Empfängern und den übermittelten Werten.

Auskunft und Kopie

In einem Verfahren gegen CRIF hat der Europäische Gerichtshof 2023 definiert, was eine Kopie ist: eine originalgetreue und verständliche Wiedergabe aller Daten, wo nötig mit Auszügen aus Dokumenten (EuGH C-487/21). Das Bundesverwaltungsgericht hat CRIF daraufhin verpflichtet, Kopien der an Kunden übermittelten Bonitätsberichte herauszugeben, nicht aber einzelne Teilscores (BVwG W214 2222613-2, bestätigt durch VwGH Ro 2024/04/0003). Wer eng fragt, bekommt allerdings auch nur eine enge Antwort. Verlangen Sie die Auskunft daher ausdrücklich in vollem Umfang (BVwG W298 2322178-1).

Ein Verfahren des VKI gegen den KSV1870 hat zudem geklärt, dass die kostenlose Auskunft und der kostenpflichtige InfoPass unterschiedlichen Zwecken dienen dürfen. Laut den Feststellungen lag die Bearbeitungszeit der kostenlosen Auskunft seit Oktober 2024 im Schnitt unter fünf Tagen (OGH 4 Ob 4/26f).

Adressdaten aus dem Marketing

Im August 2026 hat der Oberste Gerichtshof in drei gleichlautenden Entscheidungen einer Auskunftei, laut Medienberichten CRIF, untersagt, zugekaufte Marketing-Adressdaten für die Bonitätsprüfung zu verwenden. Schon die Identitätsprüfung mit solchen Daten ist eine unzulässige Zweckänderung (OGH 6 Ob 147/25y, 6 Ob 148/25w, 6 Ob 151/25m). Einen Score ohne Zahlungsdaten hat der OGH aber nicht grundsätzlich verboten. Der Unterlassungsanspruch folgt aus dem österreichischen Persönlichkeitsschutz (§ 20 ABGB), nachdem der Europäische Gerichtshof klargestellt hatte, dass die Mitgliedstaaten einen solchen Anspruch vorsehen dürfen (EuGH C-655/23).

Warnliste und Kreditevidenz der Banken

Für die Bankdatenbanken des KSV1870 gilt die SCHUFA-Logik nach bisheriger Rechtsprechung nicht, weil die Daten von den Banken selbst stammen. Die Zivilgerichte prüfen im Einzelfall:

Kein Anspruch auf vorzeitige Löschung nach einer Restschuldbefreiung mit hohem Ausfall der Bank (OGH 5 Ob 34/23w; OLG Wien 5 R 118/25x).
Erfolg dagegen in einem Fall mit zwölf Jahren Eintrag und nur 178 € tatsächlichem Ausfall: Die Bank muss gegenüber dem KSV1870 erklären, dass die Voraussetzungen der Eintragung weggefallen sind (OLG Wien 3 R 11/26y, Mai 2026).
Für die Warnliste hält der Verwaltungsgerichtshof mindestens fünf Jahre für rechtmäßig (VwGH Ro 2020/04/0037).

Bestrittene Forderungen und fehlende Vorwarnung

Wer in eine Bonitätsdatenbank eingetragen wird, muss vorher davon erfahren. Eine Eintragung in die Warnliste ohne Vorwarnung verstößt gegen Treu und Glauben (OGH 6 Ob 275/05t). Eine bestrittene 100-€-Forderung ohne Verständigung einzutragen, kostete eine Auskunftei 750 € Schadenersatz (OGH 6 Ob 247/08d). Auskunfteien müssen Betroffene spätestens bei der ersten Weitergabe aktiv informieren, ein Hinweis auf der Website reicht nicht (VwGH Ro 2021/04/0030).

Allerdings führt eine fehlende Information allein meist nicht zur Löschung eines sonst richtigen Eintrags. Für Schadenersatz und die Feststellung einer Rechtsverletzung ist sie dagegen ein starkes Argument. Schon 2007 hielt die Datenschutzkommission fest, dass bei sofortiger Zahlung oder einer Zahlung in zwei Raten gar nicht gemeldet werden soll und nur der offene Betrag gemeldet werden darf.

Schadenersatz

Fall	Ergebnis
Bestrittene Forderung ohne Vorwarnung eingetragen (OGH 6 Ob 247/08d)	750 € immaterieller Schaden
Inkassomerkmal einer anderen Person in der Auskunft (LG Feldkirch, OGH 6 Ob 217/19h)	2.000 € immateriell; 8.271 € für einen teureren Kredit abgewiesen, weil Schaden und Ursache nicht bewiesen
Warnlisten-Eintrag nach Kontoüberziehung (OGH 6 Ob 57/21g)	60.000 € abgewiesen, Eintrag war rechtmäßig
Allgemeine Datenschutzverstöße zum Vergleich	meist rund 500 €

Seit 2023 gibt es keine Erheblichkeitsschwelle mehr, ein bloßer Verstoß reicht aber nicht: Sie müssen einen Schaden nachweisen (EuGH C-300/21). Dokumentieren Sie deshalb jede Ablehnung, jede Kaution und jede zusätzliche Belastung.

Was noch offen ist

Die Ein-Jahres-Frist für bezahlte Forderungen liegt beim Verwaltungsgerichtshof.
Rechnungskauf: Der OGH hat dem Europäischen Gerichtshof vorgelegt, ob ein Versandhändler den Kauf auf Rechnung automatisch verweigern darf, weil eine Auskunftei den Kunden nicht kennt oder schlecht bewertet (EuGH C-568/25, Verfahren des VKI). Die Schlussanträge der Generalanwältin stehen für den 15. Oktober 2026 im Kalender des Gerichtshofs, das Urteil folgt meist einige Monate später.
Sammelklage: Die Datenschutzorganisation noyb hat 2026 eine Unterlassungsklage gegen CRIF eingebracht und eine Sammelklage auf Schadenersatz angekündigt.

Zum Vergleich: Deutschland

Der deutsche Bundesgerichtshof hat im Dezember 2025 entschieden, dass die SCHUFA erledigte Forderungen nicht sofort löschen muss. Die genehmigten Verhaltensregeln der deutschen Auskunfteien mit drei Jahren, bei rasch bezahlten Einzelfällen 18 Monaten, hält er für angemessen (BGH I ZR 97/25). Ab 20. November 2026 regelt ein neuer § 37a BDSG das Scoring in Deutschland ausdrücklich und verbietet unter anderem, Name, Anschrift oder Daten aus sozialen Netzwerken einzurechnen. Am 21. Oktober 2026 will der BGH außerdem über den Auskunftsanspruch gegen eine Wirtschaftsauskunftei entscheiden (I ZR 227/25 bis 230/25). Österreich hat weder genehmigte Verhaltensregeln noch eine solche Scoring-Regel, deshalb bleibt es hier bei der Einzelfallabwägung.

Wie Sie die Entscheidungen in einem Antrag einsetzen, zeigt der Artikel Eintrag löschen lassen. Die Vorlagen im Leitfaden „Bonität in Österreich“ enthalten die passenden Fundstellen bereits.

Quellen

Stand Oktober 2026. Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Vertretung vor Gericht übernehmen Rechtsanwälte.

Was Gerichte entschieden haben