Datenschutz beim Inkasso: Was Unternehmen beachten müssen

Lesedauer ca. 9 Minuten

Das Wichtigste in Kürze

• Unternehmen dürfen erforderliche Schuldnerdaten grundsätzlich auch ohne Einwilligung an ein Inkassounternehmen weitergeben.
• Es dürfen nur solche Daten übermittelt werden, die für den Forderungseinzug erforderlich sind.
• Besondere Vorsicht ist bei unberechtigten oder bestrittenen Forderungen sowie bei Personenverwechslungen und Identitätsdiebstahl geboten.
• Für Meldungen an Wirtschaftsauskunfteien wie die SCHUFA gelten strengere Anforderungen.
• Eine SCHUFA-Meldung darf nicht allein automatisiert aufgrund einer bestimmten Mahnstufe erfolgen.

Datenschutz beim Inkasso wird relevant, sobald Unternehmen offene Forderungen an einen externen Inkassodienstleister übergeben. Dabei werden regelmäßig personenbezogene Daten des Schuldners übermittelt, etwa Name, Anschrift sowie Informationen zu Grund, Höhe und Fälligkeit der Forderung.

Die DSGVO verbietet eine solche Weitergabe nicht. Nach den Hinweisen der Berliner Datenschutzaufsicht müssen Unternehmen aber sicherstellen, dass die Forderung tatsächlich besteht, die Daten richtig sind und nur die für den Forderungseinzug erforderlichen Informationen weitergegeben werden.

Wann dürfen Daten an ein Inkassounternehmen weitergegeben werden?

Eine Einwilligung des Schuldners ist für die Datenübermittlung grundsätzlich nicht erforderlich.

Bei vertraglichen Forderungen kann die Übermittlung insbesondere auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden. Daneben kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht, weil die Durchsetzung einer offenen Forderung ein berechtigtes Interesse des Gläubigers darstellen kann. Die Berliner Datenschutzaufsicht nennt ausdrücklich beide Rechtsgrundlagen.

Vor der Übergabe müssen Unternehmen die Forderung sorgfältig prüfen. Bereits erfolgte Zahlungen, Gutschriften, Stornierungen oder Einwendungen des Kunden sind zu berücksichtigen.

Auch eine automatisierte Übergabe an das Inkasso ist nicht per se unzulässig. Problematisch wird sie insbesondere dann, wenn relevante Informationen – etwa eine bereits verbuchte Zahlung, ein Widerspruch oder Hinweise auf eine falsche Zuordnung – im Prozess nicht berücksichtigt werden. Die Verarbeitung muss stets für die konkrete Forderungseinziehung erforderlich sein.

Welche Daten dürfen beim Inkasso weitergegeben werden?

Nach dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO dürfen nur die für den Forderungseinzug erforderlichen Daten übermittelt werden.

Hierzu gehören nach den Hinweisen der Berliner Datenschutzaufsicht regelmäßig:

• Name und Anschrift,
• erforderliche Kontaktdaten,
• Grund und Höhe der Forderung sowie
• deren Fälligkeit.

Weitere Rechnungs-, Vertrags- oder Zahlungsdaten dürfen übermittelt werden, soweit sie im konkreten Fall erforderlich sind, um beispielsweise Bestand, Höhe oder Fälligkeit der Forderung nachzuweisen oder Einwendungen des Schuldners zu prüfen. Vollständige Kundenakten sollten dagegen nicht routinemäßig weitergegeben werden.

Enthalten die Unterlagen besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, reicht eine Rechtsgrundlage nach Art. 6 DSGVO allein nicht aus. Zusätzlich muss eine Ausnahme vom grundsätzlichen Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO vorliegen. Für den Forderungseinzug kann insbesondere Art. 9 Abs. 2 lit. f DSGVO relevant sein, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Nicht erforderliche medizinische Informationen sollten daher vor einer Übermittlung entfernt werden.

Was gilt bei bestrittenen oder unberechtigten Forderungen?

Das bloße Bestreiten einer Forderung verhindert ein Inkassoverfahren nicht automatisch. Ist die Forderung dagegen erkennbar unbegründet oder bestehen konkrete Hinweise auf eine falsche Person, gelten strengere Anforderungen.

Nach den Hinweisen der Berliner Datenschutzaufsicht fehlt regelmäßig bereits ein berechtigtes Interesse an der Durchsetzung, wenn dem Unternehmen bekannt ist, dass die Forderung überhaupt nicht besteht. Das gilt beispielsweise, wenn erkennbar eine Forderung gegenüber der falschen Person geltend gemacht wird.

Bestehen konkrete Hinweise auf eine Personenverwechslung oder einen Identitätsdiebstahl, müssen diese sorgfältig geprüft werden. Wird eine Verwechslung plausibel dargelegt, muss das Inkassounternehmen das Forderungseinzugsverfahren zunächst zur Klärung aussetzen und dies auch technisch abbilden. Bis zur Klärung dürfen insbesondere keine weiteren Zahlungsaufforderungen versandt und keine Meldungen an Wirtschaftsauskunfteien vorgenommen werden. Bestätigt sich die Verwechslung, sind nicht aufbewahrungspflichtige Daten zu löschen und die übrigen Daten entsprechend zu sperren.

Wird die Forderung dagegen lediglich dem Grunde oder der Höhe nach bestritten, kann weiterhin ein berechtigtes Interesse daran bestehen, ihre Berechtigung zu klären. Entscheidend ist, dass der Gläubiger nach sorgfältiger Prüfung weiterhin von einer möglichen Forderung ausgehen darf. Weiß er dagegen, dass keine Forderung besteht, oder hätte sich dies bei sorgfältiger Prüfung aufdrängen müssen, kann die Interessenabwägung anders ausfallen.

Anders ist die Situation bei einer zusätzlichen Meldung an eine Wirtschaftsauskunftei.

Wann dürfen Forderungsdaten an die SCHUFA gemeldet werden?

Die Übergabe an ein Inkassounternehmen und eine Meldung an die SCHUFA sind datenschutzrechtlich nicht dasselbe.

Beim Inkasso geht es um die Durchsetzung einer konkreten Forderung. Eine Wirtschaftsauskunftei verwendet Forderungsinformationen dagegen insbesondere für Bonitätsbewertungen. Für die Einmeldung kommt Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage in Betracht; wegen des neuen Verarbeitungszwecks ist zusätzlich Art. 6 Abs. 4 DSGVO zu berücksichtigen. Art. 6 Abs. 4 DSGVO ist dabei keine eigenständige Rechtsgrundlage, sondern betrifft die Prüfung, ob die Verarbeitung zu dem neuen Zweck mit dem ursprünglichen Zweck vereinbar ist. Der DSK-Beschluss vom 23. März 2018 ordnet die gesetzlichen Fallgruppen dabei als Indizien innerhalb der erforderlichen Einzelfallabwägung ein.

Für offene, nicht titulierte Forderungen enthält derzeit § 31 Abs. 2 BDSG wichtige Kriterien. Hierzu gehören insbesondere zwei schriftliche Mahnungen nach Fälligkeit, ein Zeitraum von mindestens vier Wochen seit der ersten Mahnung, die vorherige Information über eine mögliche Berücksichtigung durch eine Auskunftei und das Nichtbestreiten der Forderung.

Mit Wirkung zum 20. November 2026 wird § 31 BDSG durch den bereits beschlossenen § 37a BDSG ersetzt. Die für offene Forderungen wesentlichen Kriterien werden dabei im neuen Regelungssystem fortgeführt.

Was hat der BGH 2026 zu bestrittenen Forderungen entschieden?

Besonders relevant ist das Urteil des Bundesgerichtshofs vom 12. Mai 2026 – VI ZR 375/24.

Der BGH befasste sich mit einer nicht titulierten Forderung, die bestritten und nicht hinreichend plausibel dargelegt worden war. Die konkrete Übermittlung an die SCHUFA war rechtswidrig.

Für Unternehmen und Inkassodienstleister folgt daraus vor allem: Vor einer SCHUFA-Meldung müssen die Voraussetzungen der Einmeldung tatsächlich geprüft werden. Eine Meldung darf nicht allein deshalb ausgelöst werden, weil eine bestimmte Mahnstufe erreicht wurde. Insbesondere muss berücksichtigt werden, ob die Forderung nachvollziehbar ist und ob sie bestritten wurde.

Bei einer rechtswidrigen Einmeldung kann ein Anspruch auf Widerruf der Meldung bestehen. Unter den Voraussetzungen des Art. 82 DSGVO kommt zudem ein Anspruch auf immateriellen Schadensersatz in Betracht.

Ist das Inkassounternehmen Auftragsverarbeiter?

Bei klassischen Inkassodienstleistungen ist das Inkassounternehmen regelmäßig nicht bloßer Auftragsverarbeiter, sondern eigenständig Verantwortlicher im Sinne der DSGVO.

Die Unterscheidung ist praktisch wichtig: Sie entscheidet unter anderem darüber, wer eigenständig für die Rechtmäßigkeit der Datenverarbeitung verantwortlich ist und ob zwischen Gläubiger und Dienstleister ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich ist.

Bei der klassischen Inkassotätigkeit entscheidet der Dienstleister regelmäßig selbst darüber, wie die Forderung verfolgt und wie mit Einwendungen des Schuldners umgegangen wird. Auch die Berliner Datenschutzaufsicht behandelt ihn in diesem Fall als eigenständig Verantwortlichen. Maßgeblich ist nach den EDSA-Leitlinien 07/2020 jedoch stets die tatsächliche Aufgaben- und Entscheidungsverteilung.

Erhält das Inkassounternehmen die Schuldnerdaten vom Gläubiger, sind daneben grundsätzlich die Informationspflichten nach Art. 14 DSGVO zu berücksichtigen.

Wie lange dürfen Inkassodaten gespeichert werden?

Inkassodaten dürfen so lange verarbeitet werden, wie sie für das laufende Inkassoverfahren oder die Geltendmachung und Verteidigung von Rechtsansprüchen erforderlich sind. Danach müssen sie nach Art. 17 DSGVO grundsätzlich gelöscht werden, soweit kein andererAufbewahrungsgrund besteht.

Nach Abschluss eines Inkassoverfahrens können insbesondere handels- und steuerrechtliche Aufbewahrungspflichten einer sofortigen Löschung bestimmter Unterlagen entgegenstehen. So können beispielsweise Zahlungsaufforderungen als Handelsbriefe einer Aufbewahrungspflicht nach § 257 HGB unterliegen; daneben kann § 147 AO einschlägig sein. Je nach Dokumentenart gelten unterschiedliche Aufbewahrungsfristen.

Die Berliner Datenschutzaufsicht empfiehlt, nicht mehr für das operative Inkasso benötigte, aber weiterhin aufbewahrungspflichtige Daten zu archivieren und die Zugriffsrechte einzuschränken.

Was sollten Unternehmen praktisch beachten?

Unternehmen sollten insbesondere sicherstellen, dass:

1. Forderung, Schuldner, Höhe und Fälligkeit vor der Übergabe geprüft werden,
2. nur erforderliche und aktuelle Daten an das Inkassounternehmen gelangen,
3. Zahlungen, Stornierungen und Widersprüche unverzüglich weitergegeben werden,
4. Hinweise auf Personenverwechslungen oder Identitätsmissbrauch zu einer Prüfung und gegebenenfalls zur Aussetzung des Verfahrens führen und
5. vor einer SCHUFA-Meldung gesondert geprüft wird, ob deren Voraussetzungen tatsächlich erfüllt sind.

Gerade der Informationsfluss zwischen Gläubiger und Inkassounternehmen ist entscheidend. Arbeitet der Dienstleister auf Grundlage veralteter oderfalscher Daten weiter, kann aus einem zunächst zulässigen Inkassoverfahren eine unzulässige Datenverarbeitung werden. Das entspricht dem Grundsatz der Richtigkeit aus Art. 5 Abs. 1 lit. d DSGVO, auf den auch die Berliner Datenschutzaufsicht für Inkassodaten hinweist.

Über den Autor

Vadim Friedinger · Rechtsanwalt und Partner │ gunnercooke Germany

Vadim Friedinger berät Unternehmen umfassend und praxisnah im Datenschutzrecht, IT-Recht und Outsourcing – auch bei grenzüberschreitenden Fragestellungen sowie bei der Gestaltung und Verhandlung entsprechender Verträge. Weitere Schwerpunkte seiner Beratung sind KI-Compliance und Informationssicherheits-Compliance. Als externer Datenschutzbeauftragter prüft er die Datenschutz- und Informationssicherheits-Compliance und begleitet Unternehmen bei der Einführung und Optimierung von Datenschutzmanagementsystemen. Er ist zertifizierter ISO/IEC-27001-Auditor (TÜV).

Spezialisierungen: Datenschutzrecht, IT-Recht, KI-Compliance, Informationssicherheits-Compliance, Outsourcing, Vertragsgestaltung, AGB, Datenschutzmanagementsysteme