Der Oberste Gerichtshof hat als Revisionsgericht durch die Senatspräsidentin Dr. Hofer-Zeni-Rennhofer als Vorsitzende sowie die Hofrätinnen und Hofräte Hon.-Prof. Dr. Faber, Mag. Pertmayr, Dr. Weber und Mag. Nigl LL.M. als weitere Richter in der Rechtssache der klagenden Partei D*, vertreten durch Mag. Robert Haupt, LL.M., Rechtsanwalt in Wien, gegen die beklagte Partei C* GmbH, FN *, vertreten durch Baker McKenzie Rechtsanwälte LLP & Co KG in Wien, wegen Unterlassung, über die Revision der klagenden Partei gegen das Urteil des Oberlandesgerichts Wien als Berufungsgericht vom 30. August 2023, GZ 12 R 25/23v-32, womit das Urteil des Landesgerichts für Zivilrechtssachen Wien vom 28. Dezember 2022, GZ 2 Cg 112/21m-22, bestätigt wurde, in nichtöffentlicher Sitzung beschlossen und zu Recht erkannt:

1. Das mit Beschluss vom 27. August 2024 zu 6 Ob 217/23i unterbrochene Verfahren wird fortgesetzt.

2. Der Revision der klagenden Partei wird teilweise Folge gegeben.

Das angefochtene Urteil, das im Übrigen unverändert bleibt, wird dahin abgeändert, dass die Entscheidung betreffend Spruchpunkt 1. (2) des Erstgerichts zu lauten hat:

„Die beklagte Partei ist gegenüber der klagenden Partei schuldig, es ab sofort zu unterlassen, Dritten weiteren Zugriff auf die 'Identitäts- und Bonitätsdatenbank' hinsichtlich der Daten der klagenden Partei zu gewähren, solange die Daten der klagenden Partei unrechtmäßig verarbeitet werden, indem die Datenlieferanten der beklagten Partei zumindest Name, Adresse und Geburtsdatum (der klagenden Partei), die sie ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hatten, an die beklagte Partei übermitteln, die diese Daten in der Folge zu Bonitätsbeurteilungszwecken nach § 152 GewO 1994 verarbeitet.“„Die beklagte Partei ist gegenüber der klagenden Partei schuldig, es ab sofort zu unterlassen, Dritten weiteren Zugriff auf die 'Identitäts- und Bonitätsdatenbank' hinsichtlich der Daten der klagenden Partei zu gewähren, solange die Daten der klagenden Partei unrechtmäßig verarbeitet werden, indem die Datenlieferanten der beklagten Partei zumindest Name, Adresse und Geburtsdatum (der klagenden Partei), die sie ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hatten, an die beklagte Partei übermitteln, die diese Daten in der Folge zu Bonitätsbeurteilungszwecken nach Paragraph 152, GewO 1994 verarbeitet.“

4. Die Kostenaussprüche der Vorinstanzen werden aufgehoben.

Dem Berufungsgericht wird die Fällung der Entscheidung über die Kosten des erst- und zweitinstanzlichen Verfahrens aufgetragen.

Die beklagte Partei ist schuldig, der klagenden Partei die mit 381 EUR (nur Barauslagen) bestimmten Kosten des Revisionsverfahrens binnen 14 Tagen zu ersetzen.

Entscheidungsgründe:

[1]              Die Beklagte betreibt das Gewerbe eines Adressverlags gemäß § 151 GewO 1994 sowie einer Auskunftei über Kreditverhältnisse gemäß § 152 GewO 1994. Die A* GmbH (in der Folge: Datenlieferantin) betreibt das Gewerbe eines Adressverlags und Direktmarketingunternehmens gemäß § 151 GewO 1994. Die Beklagte hat von dieser Daten (unter anderem) des Klägers gekauft, nämlich Name, Adresse und Geburtsdatum des Klägers. Die Beklagte betreibt das Gewerbe eines Adressverlags gemäß Paragraph 151, GewO 1994 sowie einer Auskunftei über Kreditverhältnisse gemäß Paragraph 152, GewO 1994. Die A* GmbH (in der Folge: Datenlieferantin) betreibt das Gewerbe eines Adressverlags und Direktmarketingunternehmens gemäß Paragraph 151, GewO 1994. Die Beklagte hat von dieser Daten (unter anderem) des Klägers gekauft, nämlich Name, Adresse und Geburtsdatum des Klägers.

[2]              Die Beklagte verwendet die gekauften Adressdaten dafür, eine Identifikation der abgefragten Person herbeizuführen, indem sie bei Bonitätsanfragen ihrer Kunden einen Datenabgleich mit ihrer Adressdatenbank vornimmt, um sicherzustellen, dass die Datensätze der abgefragten Person überhaupt existent sind. Die Adressdaten dienen der Verifizierung der Identität der abgefragten Person, um zu überprüfen, ob es genau diesen Vornamen und Nachnamen in Kombination mit der Straße und der Postleitzahl an diesem Ort gibt. Für die im nächsten Schritt, nach Abschluss der Identifikation, vorzunehmende Berechnung des Bonitätsscores einer konkreten Person wird jedoch jene Anschrift herangezogen, welche vom Kunden der Beklagten (das ist jene Person, die die Bonitätsabfrage macht) an die Beklagte als Anschrift der Person übermittelt wird. Hinzu kommen unter anderem – sofern vorhanden – Daten von Inkassobüros als Informationsquellen, die zu ungefähr 10 % der Österreicher negative Zahlungserfahrungsdaten liefern können, sowie statistische Daten.

[3]              Zur Datenweitergabe traf die Beklagte mit ihrer Datenlieferantin eine Vereinbarung mit (auszugsweise) folgendem Inhalt:

„… [Die Beklagte] hat hinsichtlich dieser von [der Datenlieferantin] übermittelten Adressdaten ein beschränktes Nutzungsrecht für eigene Zwecke zum Datenabgleich, Adressidentifikation, Adresssuche, Adresskorrektur und Adressergänzung auf ihren eigenen Systemen und in ihren eigenen Interpretationsapplikationen, sei es in-house oder out-house. Die Verwendung dieser Daten zu anderen Tätigkeiten sowie die entgeltliche oder unentgeltliche Übermittlung oder Überlassung dieser Daten an Dritte ist unzulässig. [Die Beklagte] ist berechtigt, Adressen als Ergebnis von Einzelabfragen im Rahmen einer konkreten Bonitäts- oder Identitätsabfrage zu übermitteln. Falls es zu solch einer Übermittlung kommt, stellt [die Beklagte] vertraglich sicher, dass der Übermittlungsempfänger diese Adressen weder an Dritte weitergeben noch selbst zu Marketingzwecken verwenden darf. [...]“

[4]              In einem Nachtrag zu dieser Vereinbarung wurde (unter anderem) folgende Vereinbarung getroffen:

„[...]

2. Vertragsgegenstand

2.1 Gegenstand der Verarbeitung im Rahmen des Hauptvertrages

Zurverfügungstellung einer eingeschränkten Nutzung von bestimmten Datenmerkmalen bestimmter Personen für eine bestimmte Dauer von ihrer Datenbank [Bezeichnung der Datenbank] durch [die Datenlieferantin] zu folgenden Zwecken:

1. Marketingzwecken [der Beklagten] für eine Marketingmaßnahme und Marketingmaßnahmen, die [die Beklagte] für Dritte durchführt oder vorbereitet.

2. Referenzierungs- und Validierungszwecken, das sind solche der Feststellung der besseren Erreichbarkeit und Zustellbarkeit, zum Zweck der Korrektur und/oder Ergänzung der Datenbestände von [der Beklagten] oder deren Kunden samt Verwertung zur Verbesserung von analysierten Datensätzen von [der Beklagten].

3. Sonstige Zwecke, zu welchen [die Datenlieferantin] und/oder [die Beklagte] aufgrund gesetzlicher Bestimmungen berechtigt ist, die Daten zu verarbeiten. [...]“

[5]              Den Bonitätsauskünften der Beklagten, die diese über den Kläger erteilte, lagen keine Zahlungserfahrungsdaten zugrunde, das heißt, der Bonitätsscore wurde von der Beklagten allein aufgrund allgemeiner Daten wie Adresse, Alter und Geschlecht des Klägers ermittelt, ohne dass konkrete Daten über in der Vergangenheit nicht geleistete Zahlungen vorlagen. Die Beklagte fügt ihren Auskünften an die Kunden einen expliziten Texthinweis hinzu, wenn keine Zahlungserfahrungsdaten verarbeitet wurden.

[6]              Der Kläger begehrte zuletzt, es der Beklagten zu untersagen, Dritten weiteren Zugriff auf die „Identitäts- und Bonitätsdatenbank“ hinsichtlich der Daten des Klägers zu gewähren, solange die Daten des Klägers unrechtmäßig verarbeitet werden, weil insbesondere

(1) der Bonitätsscore ohne Zahlungserfahrungsdaten berechnet werde, ohne dass die Beklagte ihre Kunden darüber hinreichend in Kenntnis setze; oder

(2) die Datenlieferanten der Beklagten zumindest Name, Adresse und Geburtsdatum (des Klägers), die sie ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hätten, an die Beklagte übermittelten, die diese Daten in der Folge zu Bonitätsbeurteilungszwecken nach § 152 GewO 1994 verarbeite; oder aber(2) die Datenlieferanten der Beklagten zumindest Name, Adresse und Geburtsdatum (des Klägers), die sie ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hätten, an die Beklagte übermittelten, die diese Daten in der Folge zu Bonitätsbeurteilungszwecken nach Paragraph 152, GewO 1994 verarbeite; oder aber

(3) die Beklagte durch die Berechnung des Bonitätsscores allein an Hand von Alter und Wohnort des Klägers diesen direkt bzw unmittelbar statistisch diskriminiere, weil der Berechnung keine Zahlungserfahrungsdaten zugrunde lägen.

[7]              Der Kläger brachte – soweit im Revisionsverfahren noch von Relevanz – vor, die Beklagte habe gegen den Grundsatz der Zweckbindung gemäß Art 5 Abs 1 lit b DSGVO verstoßen und deshalb die Daten des Klägers unrechtmäßig entgegen Art 6 Abs 1 iVm Abs 4 DSGVO verarbeitet, indem sie zumindest Name, Adresse und Geburtsdatum des Klägers, die die Datenlieferantin ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben habe, in der Folge zu Bonitätsbeurteilungszwecken nach § 152 GewO 1994 verarbeitet habe. Der Kläger habe seine Einwilligung dafür nicht erteilt. Es liege auch keine gesetzliche Erlaubnisnorm vor und keine Vereinbarkeit des gewünschten Sekundärzwecks mit demjenigen, für den die Daten ursprünglich erhoben worden seien. Auch habe die Beklagte kein berechtigtes Interesse an der Verarbeitung ohne Zahlungserfahrungsdaten. Der Kläger brachte – soweit im Revisionsverfahren noch von Relevanz – vor, die Beklagte habe gegen den Grundsatz der Zweckbindung gemäß Artikel 5, Absatz eins, Litera b, DSGVO verstoßen und deshalb die Daten des Klägers unrechtmäßig entgegen Artikel 6, Absatz eins, in Verbindung mit Absatz 4, DSGVO verarbeitet, indem sie zumindest Name, Adresse und Geburtsdatum des Klägers, die die Datenlieferantin ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben habe, in der Folge zu Bonitätsbeurteilungszwecken nach Paragraph 152, GewO 1994 verarbeitet habe. Der Kläger habe seine Einwilligung dafür nicht erteilt. Es liege auch keine gesetzliche Erlaubnisnorm vor und keine Vereinbarkeit des gewünschten Sekundärzwecks mit demjenigen, für den die Daten ursprünglich erhoben worden seien. Auch habe die Beklagte kein berechtigtes Interesse an der Verarbeitung ohne Zahlungserfahrungsdaten.

[8]                 Die Beklagte hielt dem entgegen, verarbeitet würden zum Zwecke des § 152 GewO 1994 Name, Geburtsdatum und Adresse des Klägers sowie dessen auf Basis der in der Auskunft angeführten Parameter ermittelter Bonitätsscore, für den das Alter und Wohnort des Klägers herangezogen worden sei. Die Weitergabe von Adressdaten von der Datenlieferantin an die Beklagte sei zulässig, es handle sich bei diesen Daten um ohne Analysetätigkeit gewonnene Daten, die nicht der Zweckbindung des § 151 Abs 6 GewO 1994 unterlägen. Der gesetzlichen Tätigkeit als Adressverlag sei es immanent, dass der Adressverlag Daten an seinen Kunden zum Zweck der Ausübung seines Gewerbes übermittle. Dieser Zweck sei vielfältig und nicht auf Marketingzwecke beschränkt. Die Tätigkeit als Adressverlag im Allgemeinen und die Übermittlung von Adressdaten im Besonderen beruhe im Übrigen auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten iSd Art 6 Abs 4 DSGVO, nämlich auf der Vorschrift des § 151 GewO 1994. Damit sei eine Übermittlung durch einen Adressverlag an seine Kunden gemäß Art 6 Abs 4 DSGVO ex lege mit dem Zweckbindungsgrundsatz vereinbar. Die Zweckbindung beziehe sich wesensnotwendig auf die Zweckfestlegung durch den Verantwortlichen selbst. Die Erhebung der Adressdaten durch die Beklagte gehöre wesensnotwendig zur Kerntätigkeit einer Kreditauskunftei und beruhe auf § 152 GewO 1994. Bevor eine Bonitätsprüfung durchgeführt werden könne, müsse eine Kreditauskunftei eine Identitätsprüfung vornehmen, das heiße 1. prüfen, ob die abgefragte Person überhaupt real existiere und 2. prüfen, ob die abgefragte Person mit Personen übereinstimme, zu denen Zahlungserfahrungsdaten in der Datenbank der Kreditauskunftei vorhanden seien. Zu beiden Zwecken sei die Verarbeitung von Adressdaten, welche von namensgleichen Personen in der Vergangenheit im Geschäftsverkehr verwendet worden seien, unerlässlich. Die Datenverarbeitung sei jedenfalls zweckkompatibel. Dabei komme der Art der personenbezogenen Daten besondere Bedeutung zu, zumal es sich bei den Adressdaten um niederschwellige Daten handle. Weiters lägen die Folgen der Weiterverarbeitung überwiegend im Interesse des Betroffenen, weil sich die Nichtidentifizierbarkeit von Personen regelmäßig nachteilig auf den Bonitätsscore auswirke. Kreditauskunfteien würden auch eine essentielle Einrichtung der österreichischen Wirtschaft darstellen und nach den vernünftigen Erwartungen zumindest über Adressdaten aller Teilnehmer des Wirtschaftslebens verfügen. Die Datenerhebung und -verarbeitung der Beklagten könne sich auf ein überwiegendes berechtigtes Interesse iSd Art 6 Abs 1 lit f DSGVO stützen, weil die Erhebung der Adressdaten durch die Beklagte wesensnotwendig zur Kerntätigkeit einer Kreditauskunftei gehöre, sie im Rahmen der Gewerbeberechtigung der Beklagten und zu den von ihr transparent festgelegten Zwecken erfolge, denen ein hoher, vom Gesetzgeber anerkannter gesamtgesellschaftlicher Wert zukomme, die Verarbeitung grundsätzlich positive Folgen für den Betroffenen habe und die Verarbeitung der vernünftigen Erwartung eines mit den rechtlich geschützten Werten verbundenen Menschen entspreche und durch die bessere Beurteilung von Kreditrisiken zur Gewährleistung der Stabilität der Wirtschaft beitrage sowie den Konsumentenschutz im Bereich des Verbraucherkreditrechts fördere. Die Beklagte hielt dem entgegen, verarbeitet würden zum Zwecke des Paragraph 152, GewO 1994 Name, Geburtsdatum und Adresse des Klägers sowie dessen auf Basis der in der Auskunft angeführten Parameter ermittelter Bonitätsscore, für den das Alter und Wohnort des Klägers herangezogen worden sei. Die Weitergabe von Adressdaten von der Datenlieferantin an die Beklagte sei zulässig, es handle sich bei diesen Daten um ohne Analysetätigkeit gewonnene Daten, die nicht der Zweckbindung des Paragraph 151, Absatz 6, GewO 1994 unterlägen. Der gesetzlichen Tätigkeit als Adressverlag sei es immanent, dass der Adressverlag Daten an seinen Kunden zum Zweck der Ausübung seines Gewerbes übermittle. Dieser Zweck sei vielfältig und nicht auf Marketingzwecke beschränkt. Die Tätigkeit als Adressverlag im Allgemeinen und die Übermittlung von Adressdaten im Besonderen beruhe im Übrigen auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten iSd Artikel 6, Absatz 4, DSGVO, nämlich auf der Vorschrift des Paragraph 151, GewO 1994. Damit sei eine Übermittlung durch einen Adressverlag an seine Kunden gemäß Artikel 6, Absatz 4, DSGVO ex lege mit dem Zweckbindungsgrundsatz vereinbar. Die Zweckbindung beziehe sich wesensnotwendig auf die Zweckfestlegung durch den Verantwortlichen selbst. Die Erhebung der Adressdaten durch die Beklagte gehöre wesensnotwendig zur Kerntätigkeit einer Kreditauskunftei und beruhe auf Paragraph 152, GewO 1994. Bevor eine Bonitätsprüfung durchgeführt werden könne, müsse eine Kreditauskunftei eine Identitätsprüfung vornehmen, das heiße 1. prüfen, ob die abgefragte Person überhaupt real existiere und 2. prüfen, ob die abgefragte Person mit Personen übereinstimme, zu denen Zahlungserfahrungsdaten in der Datenbank der Kreditauskunftei vorhanden seien. Zu beiden Zwecken sei die Verarbeitung von Adressdaten, welche von namensgleichen Personen in der Vergangenheit im Geschäftsverkehr verwendet worden seien, unerlässlich. Die Datenverarbeitung sei jedenfalls zweckkompatibel. Dabei komme der Art der personenbezogenen Daten besondere Bedeutung zu, zumal es sich bei den Adressdaten um niederschwellige Daten handle. Weiters lägen die Folgen der Weiterverarbeitung überwiegend im Interesse des Betroffenen, weil sich die Nichtidentifizierbarkeit von Personen regelmäßig nachteilig auf den Bonitätsscore auswirke. Kreditauskunfteien würden auch eine essentielle Einrichtung der österreichischen Wirtschaft darstellen und nach den vernünftigen Erwartungen zumindest über Adressdaten aller Teilnehmer des Wirtschaftslebens verfügen. Die Datenerhebung und -verarbeitung der Beklagten könne sich auf ein überwiegendes berechtigtes Interesse iSd Artikel 6, Absatz eins, Litera f, DSGVO stützen, weil die Erhebung der Adressdaten durch die Beklagte wesensnotwendig zur Kerntätigkeit einer Kreditauskunftei gehöre, sie im Rahmen der Gewerbeberechtigung der Beklagten und zu den von ihr transparent festgelegten Zwecken erfolge, denen ein hoher, vom Gesetzgeber anerkannter gesamtgesellschaftlicher Wert zukomme, die Verarbeitung grundsätzlich positive Folgen für den Betroffenen habe und die Verarbeitung der vernünftigen Erwartung eines mit den rechtlich geschützten Werten verbundenen Menschen entspreche und durch die bessere Beurteilung von Kreditrisiken zur Gewährleistung der Stabilität der Wirtschaft beitrage sowie den Konsumentenschutz im Bereich des Verbraucherkreditrechts fördere.

[9]                 Das Erstgericht wies die Unterlassungsbegehren ab. Punkt (1) der Unterlassungsbegehren ziele darauf ab, der Beklagten die Datenverarbeitung insoweit zu untersagen, als der Bonitätsscore ohne Zahlungserfahrungsdaten berechnet werde, ohne dass die Beklagte ihre Kunden darüber hinreichend in Kenntnis setze. Dies sei aber nach den Feststellungen, wonach die Beklagte nunmehr bei ihren Auskünften explizite Textvermerke setze, dass der Berechnung keine Zahlungserfahrungsdaten zugrunde lägen, nicht der Fall.

[10]               Zu Punkt (2) der Unterlassungsbegehren führte das Erstgericht aus, die Beklagte verarbeite die Daten im Rahmen des im Vertrag mit der Datenlieferantin definierten Zwecks, sodass die Verarbeitung nach dem Grundsatz der Zweckbindung iSd Art 5 Abs 1 lit b DSGVO erfolge. Ungeachtet dessen liege auch eine kompatible und damit zulässige Datenverarbeitung iSd Art 6 Abs 4 DSGVO vor. Zu Punkt (2) der Unterlassungsbegehren führte das Erstgericht aus, die Beklagte verarbeite die Daten im Rahmen des im Vertrag mit der Datenlieferantin definierten Zwecks, sodass die Verarbeitung nach dem Grundsatz der Zweckbindung iSd Artikel 5, Absatz eins, Litera b, DSGVO erfolge. Ungeachtet dessen liege auch eine kompatible und damit zulässige Datenverarbeitung iSd Artikel 6, Absatz 4, DSGVO vor.

[11]               Zu Punkt (3) der Unterlassungsbegehren führte das Erstgericht aus, die Verarbeitung personenbezogener Daten zum Zweck der Erteilung von Bonitätsauskünften und die Speicherung solcher Daten stelle den Kernbereich der Tätigkeit der Beklagten dar und erfolge in Ausübung des Gewerbes des § 152 GewO 1994, also in Ausübung eines gesetzlich gebilligten und legitimen Zwecks. Die Berechnung eines Bonitätsscores auch ohne Zahlungserfahrungsdaten stelle grundsätzlich ein berechtigtes Interesse dar, da es die Beklagte ihren Kunden (letztlich also Gläubigern) auch in einer solchen Konstellation – immerhin lägen nur zu etwa 10 % der Österreicher (negative) Zahlungserfahrungsdaten vor – ermögliche, wirtschaftliche Entscheidungen (etwa im Hinblick auf Zahlungsmodalitäten wie Vorauskasse) auf einer hinreichenden Datengrundlage treffen zu können. In diesem Zusammenhang sei auch zu berücksichtigen, dass es insbesondere im Rahmen von e-Commerce (Onlinehandel) zu Betrugsversuchen kommen könne, die durch die Dienstleistung (und der damit verbundenen Datenverarbeitung) der Beklagten verhindert bzw reduziert werden könnten. Zu Punkt (3) der Unterlassungsbegehren führte das Erstgericht aus, die Verarbeitung personenbezogener Daten zum Zweck der Erteilung von Bonitätsauskünften und die Speicherung solcher Daten stelle den Kernbereich der Tätigkeit der Beklagten dar und erfolge in Ausübung des Gewerbes des Paragraph 152, GewO 1994, also in Ausübung eines gesetzlich gebilligten und legitimen Zwecks. Die Berechnung eines Bonitätsscores auch ohne Zahlungserfahrungsdaten stelle grundsätzlich ein berechtigtes Interesse dar, da es die Beklagte ihren Kunden (letztlich also Gläubigern) auch in einer solchen Konstellation – immerhin lägen nur zu etwa 10 % der Österreicher (negative) Zahlungserfahrungsdaten vor – ermögliche, wirtschaftliche Entscheidungen (etwa im Hinblick auf Zahlungsmodalitäten wie Vorauskasse) auf einer hinreichenden Datengrundlage treffen zu können. In diesem Zusammenhang sei auch zu berücksichtigen, dass es insbesondere im Rahmen von e-Commerce (Onlinehandel) zu Betrugsversuchen kommen könne, die durch die Dienstleistung (und der damit verbundenen Datenverarbeitung) der Beklagten verhindert bzw reduziert werden könnten.

[12]               Das nur gegen die Abweisung der zu Punkt (2) und Punkt (3) gestellten Unterlassungsbegehren angerufene Berufungsgericht bestätigte die klagsabweisenden Entscheidungen des Erstgerichts. Zwar binde der Zweckbindungsgrundsatz bei einer Weiterverarbeitung von Daten durch einen anderen Verantwortlichen als den ursprünglichen auch diesen an die ursprüngliche Zweckfestsetzung, sodass die erhobenen Daten bei jeder weiteren Verarbeitung (auch durch einen anderen Verantwortlichen) grundsätzlich den gleichen rechtlichen Grenzen unterworfen seien, die auch für deren Erhebung gälten. §§ 151 oder 152 GewO 1994 stellten keine Rechtsvorschriften iSd Art 6 Abs 4 DSGVO dar. Zwischen den Verarbeitungszwecken eines Adressverlags nach § 151 GewO 1994 und einer Kreditauskunftei nach § 152 GewO 1994 bestehe weder Zweckidentität noch Zweckkompatibilität iSd Art 6 Abs 4 DSGVO. Eine Person, die ihre Adressdaten für Zwecke eines Adressverlags bzw für Marketingzwecke zur Verfügung stelle, müsse vernünftigerweise auch nicht damit rechnen, dass diese Daten ohne ihre Einwilligung für Bonitätsbeurteilungszwecke verwendet würden; auch könne die Ermittlung eines (schlechten) Bonitätswerts nachteilige Auswirkungen auf den Kläger haben. Jedoch sei die Verwendung von zu Zwecken des Adressverlags erhobenen Adressdaten zur bloßen Personenidentifikation, ohne dass diese Daten in den eigentlichen Bonitätsbeurteilungsprozess einflössen, von § 151 GewO 1994 als gedeckt anzusehen, sodass insoweit keine zweckändernde Datenverarbeitung vorläge. Das nur gegen die Abweisung der zu Punkt (2) und Punkt (3) gestellten Unterlassungsbegehren angerufene Berufungsgericht bestätigte die klagsabweisenden Entscheidungen des Erstgerichts. Zwar binde der Zweckbindungsgrundsatz bei einer Weiterverarbeitung von Daten durch einen anderen Verantwortlichen als den ursprünglichen auch diesen an die ursprüngliche Zweckfestsetzung, sodass die erhobenen Daten bei jeder weiteren Verarbeitung (auch durch einen anderen Verantwortlichen) grundsätzlich den gleichen rechtlichen Grenzen unterworfen seien, die auch für deren Erhebung gälten. Paragraphen 151, oder 152 GewO 1994 stellten keine Rechtsvorschriften iSd Artikel 6, Absatz 4, DSGVO dar. Zwischen den Verarbeitungszwecken eines Adressverlags nach Paragraph 151, GewO 1994 und einer Kreditauskunftei nach Paragraph 152, GewO 1994 bestehe weder Zweckidentität noch Zweckkompatibilität iSd Artikel 6, Absatz 4, DSGVO. Eine Person, die ihre Adressdaten für Zwecke eines Adressverlags bzw für Marketingzwecke zur Verfügung stelle, müsse vernünftigerweise auch nicht damit rechnen, dass diese Daten ohne ihre Einwilligung für Bonitätsbeurteilungszwecke verwendet würden; auch könne die Ermittlung eines (schlechten) Bonitätswerts nachteilige Auswirkungen auf den Kläger haben. Jedoch sei die Verwendung von zu Zwecken des Adressverlags erhobenen Adressdaten zur bloßen Personenidentifikation, ohne dass diese Daten in den eigentlichen Bonitätsbeurteilungsprozess einflössen, von Paragraph 151, GewO 1994 als gedeckt anzusehen, sodass insoweit keine zweckändernde Datenverarbeitung vorläge.

[13]               Hinsichtlich des zu Punkt (3) gestellten Unterlassungsbegehrens teilte das Berufungsgericht die Rechtsansicht des Erstgerichts, wonach eine Berechnung des Bonitätsscores allein anhand von Alter und Wohnort und ohne Vorliegen von Zahlungserfahrungsdaten nicht per se unzulässig sei, sondern sich in § 152 GewO 1994 ein diesbezügliches schützwürdiges Interesse manifestiere. Da nur zu einem geringen Teil der Bevölkerung Zahlungserfahrungsdaten vorlägen, würde ansonsten das Gewerbe der Kreditauskunftei nicht möglich erscheinen. Eine Beschränkung der Tätigkeit von Kreditauskunfteien auf die Bonitätsbewertung von Personen, zu denen bereits negative Zahlungserfahrungsdaten vorlägen, sei daher nicht anzunehmen. Die Verarbeitung von Daten zur Berechnung von Bonitätsscores auch ohne Zahlungserfahrungsdaten stelle somit ein berechtigtes Interesse iSd Art 6 Abs 1 lit f DSGVO dar, dem – bei Einhaltung des Zweckbindungsgrundsatzes und deutlichem Hinweis auf dem Bonitätsauszug, dass der darin enthaltene Bonitätsscore ohne Zahlungserfahrungsdaten ermittelt worden sei – auch keine überwiegenden Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person im Sinne dieser Bestimmung entgegenstünden. Hinsichtlich des zu Punkt (3) gestellten Unterlassungsbegehrens teilte das Berufungsgericht die Rechtsansicht des Erstgerichts, wonach eine Berechnung des Bonitätsscores allein anhand von Alter und Wohnort und ohne Vorliegen von Zahlungserfahrungsdaten nicht per se unzulässig sei, sondern sich in Paragraph 152, GewO 1994 ein diesbezügliches schützwürdiges Interesse manifestiere. Da nur zu einem geringen Teil der Bevölkerung Zahlungserfahrungsdaten vorlägen, würde ansonsten das Gewerbe der Kreditauskunftei nicht möglich erscheinen. Eine Beschränkung der Tätigkeit von Kreditauskunfteien auf die Bonitätsbewertung von Personen, zu denen bereits negative Zahlungserfahrungsdaten vorlägen, sei daher nicht anzunehmen. Die Verarbeitung von Daten zur Berechnung von Bonitätsscores auch ohne Zahlungserfahrungsdaten stelle somit ein berechtigtes Interesse iSd Artikel 6, Absatz eins, Litera f, DSGVO dar, dem – bei Einhaltung des Zweckbindungsgrundsatzes und deutlichem Hinweis auf dem Bonitätsauszug, dass der darin enthaltene Bonitätsscore ohne Zahlungserfahrungsdaten ermittelt worden sei – auch keine überwiegenden Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person im Sinne dieser Bestimmung entgegenstünden.

[14]               Das Berufungsgericht sprach aus, dass die ordentliche Revision zulässig sei, weil keine höchstgerichtliche Rechtsprechung dazu vorliege, ob die Verarbeitung und Speicherung von Daten zur Berechnung eines „Bonitätsscores“ allein anhand von Alter und Wohnort der Betroffenen auch ohne Zahlungserfahrungsdaten eine rechtmäßige Datenverarbeitung iSd Art 6 Abs 1 lit f DSGVO darstelle; ebenso wenig zur Frage, ob bei Verarbeitung von zu Zwecken des Adressverlags und Direktmarketings nach § 151 GewO 1994 erhobenen Adressdaten (Name, Geburtsdatum, Adresse) zu Zwecken einer Bonitätsbeurteilung nach § 152 GewO 1994 Zweckkompatibilität iSd Art 6 Abs 4 DSGVO vorliege, sowie dazu, ob schon die bloße Verarbeitung von zugekauften Adressdaten zur Personenidentifikation als Bestandteil der Bonitätsprüfung – und damit als zweckändernd – anzusehen sei. Das Berufungsgericht sprach aus, dass die ordentliche Revision zulässig sei, weil keine höchstgerichtliche Rechtsprechung dazu vorliege, ob die Verarbeitung und Speicherung von Daten zur Berechnung eines „Bonitätsscores“ allein anhand von Alter und Wohnort der Betroffenen auch ohne Zahlungserfahrungsdaten eine rechtmäßige Datenverarbeitung iSd Artikel 6, Absatz eins, Litera f, DSGVO darstelle; ebenso wenig zur Frage, ob bei Verarbeitung von zu Zwecken des Adressverlags und Direktmarketings nach Paragraph 151, GewO 1994 erhobenen Adressdaten (Name, Geburtsdatum, Adresse) zu Zwecken einer Bonitätsbeurteilung nach Paragraph 152, GewO 1994 Zweckkompatibilität iSd Artikel 6, Absatz 4, DSGVO vorliege, sowie dazu, ob schon die bloße Verarbeitung von zugekauften Adressdaten zur Personenidentifikation als Bestandteil der Bonitätsprüfung – und damit als zweckändernd – anzusehen sei.

[15]               Die dagegen gerichtete Revision des Klägers ist zulässig, weil die Beurteilung des Berufungsgerichts zur Frage der zweckändernden Datenverarbeitung einer Korrektur bedarf und zur Frage, ob die Ermittlung und Weitergabe eines „Bonitätsscores“ ohne Zahlungserfahrungsdaten eine unrechtmäßige Datenverarbeitung iSd Art 6 Abs 1 lit f DSGVO darstellt, höchstgerichtliche Rechtsprechung fehlt; sie ist auch teilweise berechtigt. Die dagegen gerichtete Revision des Klägers ist zulässig, weil die Beurteilung des Berufungsgerichts zur Frage der zweckändernden Datenverarbeitung einer Korrektur bedarf und zur Frage, ob die Ermittlung und Weitergabe eines „Bonitätsscores“ ohne Zahlungserfahrungsdaten eine unrechtmäßige Datenverarbeitung iSd Artikel 6, Absatz eins, Litera f, DSGVO darstellt, höchstgerichtliche Rechtsprechung fehlt; sie ist auch teilweise berechtigt.

I. Verfahrensfortsetzung:römisch eins. Verfahrensfortsetzung:

[16]               Das Revisionsverfahren wurde mit Beschluss vom 27. 8. 2024 zu 6 Ob 217/23i bis zum Vorliegen der Entscheidung des Gerichtshofs der Europäischen Union (EuGH) über das Vorabentscheidungsersuchen des Bundesgerichtshofs (Deutschland) vom 26. 9. 2023 zu VI ZR 97/22 (vom EuGH behandelt zu C-655/23) unterbrochen.

[17]               Die Entscheidung des EuGH über dieses Vorabentscheidungsersuchen liegt vor. Das Verfahren ist daher fortzusetzen.

II. Zum von den Klägern formulierten Unterlassungsbegehren:römisch zwei. Zum von den Klägern formulierten Unterlassungsbegehren:

[18]               II.1. Der EuGH hat mit seinem Urteil C-655/23 (IP gegen Quirin Privatbank AG), die ihm vom Bundesgerichtshof (Deutschland) mit Vorabentscheidungsersuchen vom 26. 9. 2023 zu VI ZR 97/22 gestellten Fragen 1. bis 3., die auch für den Ausgang des vorliegenden Verfahrens präjudiziell waren (vgl 6 Ob 217/23i [Unterbrechungsbeschluss]), wie folgt beantwortet: römisch zwei.1. Der EuGH hat mit seinem Urteil C-655/23 (IP gegen Quirin Privatbank AG), die ihm vom Bundesgerichtshof (Deutschland) mit Vorabentscheidungsersuchen vom 26. 9. 2023 zu VI ZR 97/22 gestellten Fragen 1. bis 3., die auch für den Ausgang des vorliegenden Verfahrens präjudiziell waren vergleiche 6 Ob 217/23i [Unterbrechungsbeschluss]), wie folgt beantwortet:

„Die Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass sie zugunsten der von der unrechtmäßigen Verarbeitung personenbezogener Daten betroffenen Person für den Fall, dass diese Person nicht die Löschung ihrer Daten beantragt, keinen gerichtlichen Rechtsbehelf vorsehen, der es ihr ermöglicht, präventiv zu erwirken, dass dem Verantwortlichen auferlegt wird, künftig eine erneute unrechtmäßige Verarbeitung zu unterlassen. Allerdings hindern sie die Mitgliedstaaten nicht daran, einen solchen Rechtsbehelf in ihren jeweiligen Rechtsordnungen vorzusehen.“

[19]               Aus dieser Antwort folgt, dass die Voraussetzungen für die Berechtigung des hier vom Kläger gestellten Unterlassungsbegehrens nach österreichischem (nationalen) Recht zu beurteilen sind.

[20]               II.2.1. Das Recht auf Datenschutz ist ein Persönlichkeitsrecht (6 Ob 236/23h ErwGr 4.2. = RS0134717; 6 Ob 210/23k ErwGr III.3.). Seit 1. 1. 2021 normiert § 20 Abs 1 ABGB (idF des HiNBG BGBl I 2020/148) bei Persönlichkeitsrechtsverletzungen ausdrücklich einen Unterlassungsanspruch. Danach kann, wer in einem Persönlichkeitsrecht verletzt worden ist oder eine solche Verletzung zu besorgen hat, (unter anderem) auf Unterlassung klagen (vgl allg zu aus Persönlichkeitsrechten als absolute Rechte abzuleitenden Unterlassungsansprüchen schon RS0009003 [T2, T11]). römisch zwei.2.1. Das Recht auf Datenschutz ist ein Persönlichkeitsrecht (6 Ob 236/23h ErwGr 4.2. = RS0134717; 6 Ob 210/23k ErwGr römisch drei.3.). Seit 1. 1. 2021 normiert Paragraph 20, Absatz eins, ABGB in der Fassung des HiNBG BGBl I 2020/148) bei Persönlichkeitsrechtsverletzungen ausdrücklich einen Unterlassungsanspruch. Danach kann, wer in einem Persönlichkeitsrecht verletzt worden ist oder eine solche Verletzung zu besorgen hat, (unter anderem) auf Unterlassung klagen vergleiche allg zu aus Persönlichkeitsrechten als absolute Rechte abzuleitenden Unterlassungsansprüchen schon RS0009003 [T2, T11]).

[21]               II.2.2. Demgemäß hat der Fachsenat bereits ausgesprochen, dass den Verantwortlichen, der personenbezogene Daten nicht rechtmäßig iSd Art 5 Abs 1 lit a iVm Art 6 Abs 1 DSGVO verarbeitet, gegenüber dem Betroffenen eine materiell-rechtliche Unterlassungspflicht trifft, die – bei Vorliegen von Erstbegehungs- oder Wiederholungsgefahr – einen Unterlassungsanspruch nach nationalem Recht begründen kann (6 Ob 189/24y ErwGr A.5.3. ff; vgl Griebler, Unterlassungsansprüche bei Verletzung der DSGVO?, Zak 2026, 204 [205]). Das hat auch für eine nicht dem Grundsatz der Zweckbindung des Art 5 Abs 1 lit b iVm Art 6 Abs 4 DSGVO entsprechende Verarbeitung personenbezogener Daten zu gelten. römisch zwei.2.2. Demgemäß hat der Fachsenat bereits ausgesprochen, dass den Verantwortlichen, der personenbezogene Daten nicht rechtmäßig iSd Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, Absatz eins, DSGVO verarbeitet, gegenüber dem Betroffenen eine materiell-rechtliche Unterlassungspflicht trifft, die – bei Vorliegen von Erstbegehungs- oder Wiederholungsgefahr – einen Unterlassungsanspruch nach nationalem Recht begründen kann (6 Ob 189/24y ErwGr A.5.3. ff; vergleiche Griebler, Unterlassungsansprüche bei Verletzung der DSGVO?, Zak 2026, 204 [205]). Das hat auch für eine nicht dem Grundsatz der Zweckbindung des Artikel 5, Absatz eins, Litera b, in Verbindung mit Artikel 6, Absatz 4, DSGVO entsprechende Verarbeitung personenbezogener Daten zu gelten.

[22]               II.3.1. Ein Unterlassungsgebot hat sich in seinem Umfang stets am konkreten Verstoß zu orientieren (RS0037645). Einem Beklagten kann daher nicht ganz generell aufgetragen werden, sich rechtmäßig zu verhalten (RS0119807 [T3]); würde ihm eine gesetzwidrige Handlung schlechthin verboten, dann würde ein derartiger Titel dem Kläger die Exekutionsführung wegen jeglicher Handlung ermöglichen, die der verletzten Norm widerspricht (vgl RS0037581). römisch zwei.3.1. Ein Unterlassungsgebot hat sich in seinem Umfang stets am konkreten Verstoß zu orientieren (RS0037645). Einem Beklagten kann daher nicht ganz generell aufgetragen werden, sich rechtmäßig zu verhalten (RS0119807 [T3]); würde ihm eine gesetzwidrige Handlung schlechthin verboten, dann würde ein derartiger Titel dem Kläger die Exekutionsführung wegen jeglicher Handlung ermöglichen, die der verletzten Norm widerspricht vergleiche RS0037581).

[23]               II.3.2. Es ist zwar zulässig, die konkrete Verletzungshandlung zu nennen und das Verbot auf ähnliche Eingriffe zu erstrecken, oder das unzulässige Verhalten verallgemeinernd zu umschreiben und durch „insbesondere“ aufgezählte Einzelverbote zu verdeutlichen. Auch bei einer solchen allgemeineren Fassung des Unterlassungsbegehrens muss allerdings bereits der Spruch den Kern der Verletzungshandlung in geeigneter Form erfassen (vgl RS0133084). Der Zusatz „insbesondere“ schränkt das Unterlassungsgebot nicht ein, sondern verdeutlicht es nur (4 Ob 20/22b ErwGr 6.1. ff; RS0037461 [T1]). römisch zwei.3.2. Es ist zwar zulässig, die konkrete Verletzungshandlung zu nennen und das Verbot auf ähnliche Eingriffe zu erstrecken, oder das unzulässige Verhalten verallgemeinernd zu umschreiben und durch „insbesondere“ aufgezählte Einzelverbote zu verdeutlichen. Auch bei einer solchen allgemeineren Fassung des Unterlassungsbegehrens muss allerdings bereits der Spruch den Kern der Verletzungshandlung in geeigneter Form erfassen vergleiche RS0133084). Der Zusatz „insbesondere“ schränkt das Unterlassungsgebot nicht ein, sondern verdeutlicht es nur (4 Ob 20/22b ErwGr 6.1. ff; RS0037461 [T1]).

[24]               II.3.3. Der hier formulierte Obersatz des Unterlassungsbegehrens, Dritten (keinen) weiteren Zugriff auf die „Identitäts- und Bonitätsdatenbank“ hinsichtlich der Daten des Klägers zu gewähren, solange die Daten des Klägers unrechtmäßig verarbeitet werden, ist daher zu weit gefasst (vgl 4 Ob 20/22b ErwGr 6.1. f). römisch zwei.3.3. Der hier formulierte Obersatz des Unterlassungsbegehrens, Dritten (keinen) weiteren Zugriff auf die „Identitäts- und Bonitätsdatenbank“ hinsichtlich der Daten des Klägers zu gewähren, solange die Daten des Klägers unrechtmäßig verarbeitet werden, ist daher zu weit gefasst vergleiche 4 Ob 20/22b ErwGr 6.1. f).

[25]               II.3.4. Nach ständiger Rechtsprechung kann das Gericht dem Urteilsspruch eine klarere und deutlichere, auch vom Begehren abweichende Fassung geben, falls sich diese im Wesentlichen mit dem Begehren deckt (3 Ob 123/25x ErwGr 2.1.; RS0039357). Dabei ist nicht nur der Wortlaut des Begehrens, sondern auch das erkennbare Rechtsschutzziel der Klage zu beachten (RS0039357 [T44]; RS0039010 [T3]). Eine diesen Anforderungen genügende Neufassung des Urteilsspruchs kann auch von Amts wegen und im Rechtsmittelverfahren erfolgen (4 Ob 79/13s ErwGr 9; RS0039357 [T6]). Bei der Neufassung des Spruchs hat sich das Gericht im Rahmen des vom Kläger erkennbar Gewollten und damit innerhalb der von § 405 ZPO gezogenen Grenzen zu halten. Diese Grenze wird dann nicht überschritten, wenn der Spruch nur verdeutlicht, was nach dem Vorbringen ohnedies begehrt ist (RS0039357 [T27]). römisch zwei.3.4. Nach ständiger Rechtsprechung kann das Gericht dem Urteilsspruch eine klarere und deutlichere, auch vom Begehren abweichende Fassung geben, falls sich diese im Wesentlichen mit dem Begehren deckt (3 Ob 123/25x ErwGr 2.1.; RS0039357). Dabei ist nicht nur der Wortlaut des Begehrens, sondern auch das erkennbare Rechtsschutzziel der Klage zu beachten (RS0039357 [T44]; RS0039010 [T3]). Eine diesen Anforderungen genügende Neufassung des Urteilsspruchs kann auch von Amts wegen und im Rechtsmittelverfahren erfolgen (4 Ob 79/13s ErwGr 9; RS0039357 [T6]). Bei der Neufassung des Spruchs hat sich das Gericht im Rahmen des vom Kläger erkennbar Gewollten und damit innerhalb der von Paragraph 405, ZPO gezogenen Grenzen zu halten. Diese Grenze wird dann nicht überschritten, wenn der Spruch nur verdeutlicht, was nach dem Vorbringen ohnedies begehrt ist (RS0039357 [T27]).

[26]               II.3.5. Aus dem erstinstanzlichen Vorbringen des Klägers kann nicht abgeleitet werden, dass er den Zuspruch eines Unterlassungsgebots (auch) wegen anderer konkreter Verletzungshandlungen begehrte als jener drei (behauptetermaßen) unrechtmäßigen Datenverarbeitungshandlungen, die in den mit „oder“ verknüpften „insbesondere“-Zusätzen des Unterlassungsbegehrens aufgezählt worden sind. römisch zwei.3.5. Aus dem erstinstanzlichen Vorbringen des Klägers kann nicht abgeleitet werden, dass er den Zuspruch eines Unterlassungsgebots (auch) wegen anderer konkreter Verletzungshandlungen begehrte als jener drei (behauptetermaßen) unrechtmäßigen Datenverarbeitungshandlungen, die in den mit „oder“ verknüpften „insbesondere“-Zusätzen des Unterlassungsbegehrens aufgezählt worden sind.

[27]               Diese sind daher jeweils als gesonderte Begehren zu beurteilen, weshalb der klagsstattgebende Urteilsspruch umzuformulieren war, ohne den im Klagebegehren angeführten Zusatz „insbesondere“ zu verwenden (vgl 4 Ob 20/22b ErwGr 6.1. f; idS auch 4 Ob 104/20b ErwGr 1.1.; 6 Ob 149/21m ErwGr 1.1.). Diese sind daher jeweils als gesonderte Begehren zu beurteilen, weshalb der klagsstattgebende Urteilsspruch umzuformulieren war, ohne den im Klagebegehren angeführten Zusatz „insbesondere“ zu verwenden vergleiche 4 Ob 20/22b ErwGr 6.1. f; idS auch 4 Ob 104/20b ErwGr 1.1.; 6 Ob 149/21m ErwGr 1.1.).

[28]               Ob die gegenständliche Verarbeitung personen-
bezogener Daten der Kläger (auch) wegen anderer Verletzungshandlungen zu untersagen wäre, ist im vorliegenden Fall daher nicht zu beurteilen. Eine Erweiterung des Klagebegehrens konnte im Rechtsmittelverfahren nicht mehr erfolgen (§§ 483 Abs 4, 504 Abs 2 ZPO; RS0039377 [T2, T13]). Ob die gegenständliche Verarbeitung personen-, bezogener Daten der Kläger (auch) wegen anderer Verletzungshandlungen zu untersagen wäre, ist im vorliegenden Fall daher nicht zu beurteilen. Eine Erweiterung des Klagebegehrens konnte im Rechtsmittelverfahren nicht mehr erfolgen (Paragraphen 483, Absatz 4, 504, Absatz 2, ZPO; RS0039377 [T2, T13]).

III. Zur zweckändernden Datenverarbeitung:römisch drei. Zur zweckändernden Datenverarbeitung:

[29]               III.1. Nach dem Grundsatz der Zweckbindung (Art 5 Abs 1 lit b DSGVO), dürfen personenbezogene Daten (nur) für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Nach Art 6 Abs 4 DSGVO hat der Verantwortliche, sofern die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, erfolgt und nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Art 23 Abs 1 DSGVO genannten Ziele darstellt, eine Abwägungsentscheidung nach den in Art 6 Abs 4 lit a–e DSGVO (demonstrativ) aufgezählten Kriterien zu treffen, um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist. römisch drei.1. Nach dem Grundsatz der Zweckbindung (Artikel 5, Absatz eins, Litera b, DSGVO), dürfen personenbezogene Daten (nur) für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Nach Artikel 6, Absatz 4, DSGVO hat der Verantwortliche, sofern die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, erfolgt und nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23, Absatz eins, DSGVO genannten Ziele darstellt, eine Abwägungsentscheidung nach den in Artikel 6, Absatz 4, lit a–e DSGVO (demonstrativ) aufgezählten Kriterien zu treffen, um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist.

[30]               III.2. Auch der bloße Weiterverarbeiter als Verantwortlicher unterliegt dem Zweckbindungsgrundsatz nach Art 5 Abs 1 lit b, Art 6 Abs 4 DSGVO (vgl EuGH C-268/21, Norra Stockholm Bygg AB, Rn 28 ff; Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm [85. Lfg Dezember 2025] Art 5 DSGVO Rz 28). Wie das Berufungsgericht zutreffend dargelegt hat, ist daher die Beklagte an den ursprünglichen Zweck der Datenerhebung durch die Datenlieferantin gebunden. römisch drei.2. Auch der bloße Weiterverarbeiter als Verantwortlicher unterliegt dem Zweckbindungsgrundsatz nach Artikel 5, Absatz eins, Litera b,, Artikel 6, Absatz 4, DSGVO vergleiche EuGH C-268/21, Norra Stockholm Bygg AB, Rn 28 ff; Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm [85. Lfg Dezember 2025] Artikel 5, DSGVO Rz 28). Wie das Berufungsgericht zutreffend dargelegt hat, ist daher die Beklagte an den ursprünglichen Zweck der Datenerhebung durch die Datenlieferantin gebunden.

III.3. Durch die Verwendung der Daten des Klägers durch die Beklagte kam es zu einer Zweckänderung:römisch drei.3. Durch die Verwendung der Daten des Klägers durch die Beklagte kam es zu einer Zweckänderung:

[31]               III.3.1. Die Datenlieferantin der Beklagten hatte die Daten des Klägers ursprünglich im Rahmen der gesetzlichen Ermächtigung nach § 151 Abs 3 GewO 1994 erhoben. römisch drei.3.1. Die Datenlieferantin der Beklagten hatte die Daten des Klägers ursprünglich im Rahmen der gesetzlichen Ermächtigung nach Paragraph 151, Absatz 3, GewO 1994 erhoben.

[32]               § 151 GewO 1994 ermöglicht es Adressverlagen und Direktmarketingunternehmen in einem gewissen Rahmen, bestimmte personenbezogene Daten unabhängig von einer Einwilligung der betroffenen Personen für Marketingzwecke zu ermitteln und zu verwenden (Knyrim, Zur Zulässigkeit des Adresshandels der Österreichischen Post AG, ecolex 2019, 715 [715]; Scheichenbauer/Wirthensohn, Der österreichische Adresshandel in Zeiten der DS-GVO – eine kritische Analyse des § 151 GewO, jusIT 2020/5, 12 [13]). Der Begriff „Marketing“ umfasst grundsätzlich alle modernen Werbe-, Verkaufs- und Kommunikationsmaßnahmen (Gruber/Paliege-Barfuß, GewO7 [Stand 22. 9. 2018, rdb.at] § 151 Anm 5). Paragraph 151, GewO 1994 ermöglicht es Adressverlagen und Direktmarketingunternehmen in einem gewissen Rahmen, bestimmte personenbezogene Daten unabhängig von einer Einwilligung der betroffenen Personen für Marketingzwecke zu ermitteln und zu verwenden (Knyrim, Zur Zulässigkeit des Adresshandels der Österreichischen Post AG, ecolex 2019, 715 [715]; Scheichenbauer/Wirthensohn, Der österreichische Adresshandel in Zeiten der DS-GVO – eine kritische Analyse des Paragraph 151, GewO, jusIT 2020/5, 12 [13]). Der Begriff „Marketing“ umfasst grundsätzlich alle modernen Werbe-, Verkaufs- und Kommunikationsmaßnahmen (Gruber/Paliege-Barfuß, GewO7 [Stand 22. 9. 2018, rdb.at] Paragraph 151, Anmerkung 5, ).

[33]               III.3.2. Die Beklagte verwendet nach den Feststellungen die gekauften Adressdaten dafür, eine Identifikation der abgefragten Person herbeizuführen, indem sie bei Bonitätsanfragen ihrer Kunden einen Datenabgleich mit ihrer Adressdatenbank vornimmt, um sicherzustellen, dass die Datensätze der abgefragten Person überhaupt existent sind. römisch drei.3.2. Die Beklagte verwendet nach den Feststellungen die gekauften Adressdaten dafür, eine Identifikation der abgefragten Person herbeizuführen, indem sie bei Bonitätsanfragen ihrer Kunden einen Datenabgleich mit ihrer Adressdatenbank vornimmt, um sicherzustellen, dass die Datensätze der abgefragten Person überhaupt existent sind.

[34]               III.3.3. Bereits daraus ergibt sich, dass die Beklagte diese Daten nicht zu Marketingzwecken verarbeitet, sondern im Rahmen der Bonitätsprüfung aufgrund von Anfragen ihrer Kunden. Dies tritt insbesondere auch durch die Differenzierung zwischen „Marketingzwecken“ auf der einen Seite sowie „Referenzierungs- und Validierungszwecken“ auf der anderen Seite in der „Nachtragsvereinbarung“ zwischen der Beklagten und der Datenlieferantin zu Tage. Die bei der Bonitätsprüfung vorgenommene „Identitätsprüfung“ ist als Teil des Bonitätsscorings zu betrachten, auch wenn die zugekauften Adressdaten nicht unmittelbar in den von der Beklagten verwendeten Berechnungsalgorithmus einfließen. römisch drei.3.3. Bereits daraus ergibt sich, dass die Beklagte diese Daten nicht zu Marketingzwecken verarbeitet, sondern im Rahmen der Bonitätsprüfung aufgrund von Anfragen ihrer Kunden. Dies tritt insbesondere auch durch die Differenzierung zwischen „Marketingzwecken“ auf der einen Seite sowie „Referenzierungs- und Validierungszwecken“ auf der anderen Seite in der „Nachtragsvereinbarung“ zwischen der Beklagten und der Datenlieferantin zu Tage. Die bei der Bonitätsprüfung vorgenommene „Identitätsprüfung“ ist als Teil des Bonitätsscorings zu betrachten, auch wenn die zugekauften Adressdaten nicht unmittelbar in den von der Beklagten verwendeten Berechnungsalgorithmus einfließen.

[35]               Nur ergänzend sei darauf hingewiesen, dass die Beklagte nach ihrem eigenen Vorbringen die gekauften Adressen auch dazu verwendet, zu erkennen, wenn sich ein Betroffener der Identifikation zu entziehen sucht, etwa durch sich ständig ändernde Adressen, die der Betroffene im Geschäftsverkehr verwendet; auch dies ist als Teil des Bonitätsscorings zu betrachten (vgl 6 Ob 147/25y ErwGr III.3.3.). Nur ergänzend sei darauf hingewiesen, dass die Beklagte nach ihrem eigenen Vorbringen die gekauften Adressen auch dazu verwendet, zu erkennen, wenn sich ein Betroffener der Identifikation zu entziehen sucht, etwa durch sich ständig ändernde Adressen, die der Betroffene im Geschäftsverkehr verwendet; auch dies ist als Teil des Bonitätsscorings zu betrachten vergleiche 6 Ob 147/25y ErwGr römisch drei.3.3.).

[36]               III.3.4. Es liegt somit eine zweckändernde Weiterverarbeitung durch die Beklagte von initial zu einem anderen Zweck erhobenen Daten vor. römisch drei.3.4. Es liegt somit eine zweckändernde Weiterverarbeitung durch die Beklagte von initial zu einem anderen Zweck erhobenen Daten vor.

[37]               III.3.5. Angemerkt sei, dass – ausgehend von dem soeben unter Punkt III.3.3 wiedergegebenen Vorbringen der Beklagten, sowie jenem, das dem unter Punkt III.3.2. referierten Sachverhalt entsprach – die Beurteilung des Berufungsgerichts nicht zu beanstanden ist, wonach die Feststellungen zur Berechnung des Bonitätsscores mit jener Anschrift, welche der Beklagten von ihren Kunden übermittelt wurde, sowohl im Parteivorbringen als auch in den Einwendungen der Beklagten Deckung finden und damit nicht als „überschießend“ anzusehen sind (vgl RS0037972 [insb T15]). An der dargelegten Zweckänderung ändert das jedoch nichts. römisch drei.3.5. Angemerkt sei, dass – ausgehend von dem soeben unter Punkt römisch drei.3.3 wiedergegebenen Vorbringen der Beklagten, sowie jenem, das dem unter Punkt römisch drei.3.2. referierten Sachverhalt entsprach – die Beurteilung des Berufungsgerichts nicht zu beanstanden ist, wonach die Feststellungen zur Berechnung des Bonitätsscores mit jener Anschrift, welche der Beklagten von ihren Kunden übermittelt wurde, sowohl im Parteivorbringen als auch in den Einwendungen der Beklagten Deckung finden und damit nicht als „überschießend“ anzusehen sind vergleiche RS0037972 [insb T15]). An der dargelegten Zweckänderung ändert das jedoch nichts.

[38]               III.4. Die §§ 151 und 152 GewO 1994 enthalten keine Regelungen über die Verarbeitung von Dritten erhobener Adressdaten zum Zwecke der Bonitätsprüfung: römisch drei.4. Die Paragraphen 151 und 152 GewO 1994 enthalten keine Regelungen über die Verarbeitung von Dritten erhobener Adressdaten zum Zwecke der Bonitätsprüfung:

[39]               III.4.1. § 151 GewO 1994 regelt – wie bereits dargelegt (Punkt III.3.1.) – die Ermittlung und Verwendung von Daten durch Adressverlage und Direktmarketingunternehmen für Marketingzwecke. § 152 Abs 1 GewO 1994 sieht nur ein Verbot der Erteilung von Auskünften über private Verhältnisse vor, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen; keinesfalls kann diese Bestimmung als gesetzlicher Auftrag zur Datensammlung verstanden werden (RS0124264). römisch drei.4.1. Paragraph 151, GewO 1994 regelt – wie bereits dargelegt (Punkt römisch drei.3.1.) – die Ermittlung und Verwendung von Daten durch Adressverlage und Direktmarketingunternehmen für Marketingzwecke. Paragraph 152, Absatz eins, GewO 1994 sieht nur ein Verbot der Erteilung von Auskünften über private Verhältnisse vor, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen; keinesfalls kann diese Bestimmung als gesetzlicher Auftrag zur Datensammlung verstanden werden (RS0124264).

[40]               Regelungen über die Verarbeitung von Dritten erhobener Adressdaten zum Zwecke der Bonitätsprüfung sind in diesen Bestimmungen hingegen nicht enthalten.

[41]               III.4.2. Damit stellen die §§ 151 und 152 GewO 1994 keine inländischen Rechtsvorschriften iSd Art 6 Abs 4 DSGVO dar, die die Erlaubnis der Verarbeitung der zugekauften Daten des Klägers durch die Beklagte zum Zwecke der Bonitätsprüfung enthielten. Ob die Gewerbeberechtigung der Beklagten oder der Datenlieferantin eine solche Tätigkeit – unter Beachtung der DSGVO (vgl dazu die erst im Rechtsmittelverfahren vorgelegte Mitteilung des Bundesministeriums für Arbeit und Wirtschaft vom 29. 11. 2022) – grundsätzlich umfasst, ist dafür nicht entscheidend. römisch drei.4.2. Damit stellen die Paragraphen 151 und 152 GewO 1994 keine inländischen Rechtsvorschriften iSd Artikel 6, Absatz 4, DSGVO dar, die die Erlaubnis der Verarbeitung der zugekauften Daten des Klägers durch die Beklagte zum Zwecke der Bonitätsprüfung enthielten. Ob die Gewerbeberechtigung der Beklagten oder der Datenlieferantin eine solche Tätigkeit – unter Beachtung der DSGVO vergleiche dazu die erst im Rechtsmittelverfahren vorgelegte Mitteilung des Bundesministeriums für Arbeit und Wirtschaft vom 29. 11. 2022) – grundsätzlich umfasst, ist dafür nicht entscheidend.

[42]               III.5. Die Verarbeitung der personenbezogenen Daten des Klägers zum Zweck der Bonitätsprüfung ist mit den ursprünglichen Marketingzwecken nicht vereinbar: römisch drei.5. Die Verarbeitung der personenbezogenen Daten des Klägers zum Zweck der Bonitätsprüfung ist mit den ursprünglichen Marketingzwecken nicht vereinbar:

[43]               III.5.1. Liegt – wie hier – keine Einwilligung der betroffenen Person oder keine Rechtsvorschrift vor, die die Zweckänderung legitimiert, so ist anhand des Kriterienkatalogs des Art 6 Abs 4 DSGVO ein „Kompatibilitätstest“ durchzuführen. Danach sind dabei unter anderem zu berücksichtigen: 1. Jede Verbindung zwischen dem Erhebungszweck und den Zwecken der beabsichtigten Weiterverarbeitung; 2. der Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen; 3. die Art der personenbezogenen Daten, insbesondere ob Daten gemäß Art 9 oder Art 10 DSGVO verarbeitet werden; 4. die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen und 5. das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören können. Das nationale Gericht hat anhand dieser Kriterien und sämtlicher Umstände des Einzelfalls zu prüfen, ob die Weiterverarbeitung der Daten mit den Zwecken der ursprünglichen Erhebung vereinbar ist (EuGH C-77/21, Digi Távközlési és Szolgáltató Kft., Rn 38). römisch drei.5.1. Liegt – wie hier – keine Einwilligung der betroffenen Person oder keine Rechtsvorschrift vor, die die Zweckänderung legitimiert, so ist anhand des Kriterienkatalogs des Artikel 6, Absatz 4, DSGVO ein „Kompatibilitätstest“ durchzuführen. Danach sind dabei unter anderem zu berücksichtigen: 1. Jede Verbindung zwischen dem Erhebungszweck und den Zwecken der beabsichtigten Weiterverarbeitung; 2. der Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen; 3. die Art der personenbezogenen Daten, insbesondere ob Daten gemäß Artikel 9, oder Artikel 10, DSGVO verarbeitet werden; 4. die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen und 5. das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören können. Das nationale Gericht hat anhand dieser Kriterien und sämtlicher Umstände des Einzelfalls zu prüfen, ob die Weiterverarbeitung der Daten mit den Zwecken der ursprünglichen Erhebung vereinbar ist (EuGH C-77/21, Digi Távközlési és Szolgáltató Kft., Rn 38).

[44]               III.5.2. Ausgangspunkt der Vereinbarkeitsprüfung ist der Zweck der Datenerhebung durch die Datenlieferantin der Beklagten, hier also Marketingzwecke (oben Punkt III.3.1.). römisch drei.5.2. Ausgangspunkt der Vereinbarkeitsprüfung ist der Zweck der Datenerhebung durch die Datenlieferantin der Beklagten, hier also Marketingzwecke (oben Punkt römisch drei.3.1.).

[45]               III.5.3. Eine relevante Nahebeziehung (Art 6 Abs 4 lit a DSGVO) zwischen Marketingzwecken Dritter iSd § 151 GewO 1994 und Bonitätsbeurteilungszwecken iSd § 152 GewO 1994 liegt nicht vor. Weshalb sich aus einer von der Beklagten ins Treffen geführten allfälligen Prüfung, ob einer bestimmten zu bewerbenden Person Werbematerial an einer bestimmten Adresse zugestellt werden kann, eine solche Nahebeziehung ergeben sollte, ist nicht erkennbar. römisch drei.5.3. Eine relevante Nahebeziehung (Artikel 6, Absatz 4, Litera a, DSGVO) zwischen Marketingzwecken Dritter iSd Paragraph 151, GewO 1994 und Bonitätsbeurteilungszwecken iSd Paragraph 152, GewO 1994 liegt nicht vor. Weshalb sich aus einer von der Beklagten ins Treffen geführten allfälligen Prüfung, ob einer bestimmten zu bewerbenden Person Werbematerial an einer bestimmten Adresse zugestellt werden kann, eine solche Nahebeziehung ergeben sollte, ist nicht erkennbar.

[46]               III.5.4. Mangels geschäftlicher oder sonstiger Verhältnisse des Klägers zur Beklagten, kann auch ein Erhebungszusammenhang iSd Art 6 Abs 4 lit b DSGVO nicht zugunsten der Beklagten berücksichtigt werden. römisch drei.5.4. Mangels geschäftlicher oder sonstiger Verhältnisse des Klägers zur Beklagten, kann auch ein Erhebungszusammenhang iSd Artikel 6, Absatz 4, Litera b, DSGVO nicht zugunsten der Beklagten berücksichtigt werden.

[47]               III.5.5. Zwar wurden gegenständlich keine sensiblen oder strafrechtsbezogenen Daten (weiter-)verarbeitet (vgl Art 6 Abs 4 lit c DSGVO). Durch die Bonitätsbeurteilung sind aber – mitunter gravierende – nachteilige Folgen für den Kläger möglich, etwa bei Ablehnung zukünftiger Vertragsabschlüsse oder Kredite (vgl zur möglichen Beeinträchtigung der Interessen der betroffenen Person durch negative Faktoren bei der Bonitätsprüfung EuGH C-26/22 und C-64/22, UF und AB gegen Land Hessen, Rn 94). römisch drei.5.5. Zwar wurden gegenständlich keine sensiblen oder strafrechtsbezogenen Daten (weiter-)verarbeitet vergleiche Artikel 6, Absatz 4, Litera c, DSGVO). Durch die Bonitätsbeurteilung sind aber – mitunter gravierende – nachteilige Folgen für den Kläger möglich, etwa bei Ablehnung zukünftiger Vertragsabschlüsse oder Kredite vergleiche zur möglichen Beeinträchtigung der Interessen der betroffenen Person durch negative Faktoren bei der Bonitätsprüfung EuGH C-26/22 und C-64/22, UF und Ausschussbericht gegen Land Hessen, Rn 94).

[48]               III.5.6. Die Implementierung von Garantien iSd Art 6 Abs 4 lit e DSGVO hat die Beklagte weder behauptet noch wurden solche festgestellt. römisch drei.5.6. Die Implementierung von Garantien iSd Artikel 6, Absatz 4, Litera e, DSGVO hat die Beklagte weder behauptet noch wurden solche festgestellt.

[49]               III.5.7. Der von einer zu Marketingzwecken erfolgten Datenerhebung Betroffene erwartet auch vernünftigerweise nicht (vgl dazu ErwGr 50 DSGVO; EuGH C-77/21, Digi Távközlési és Szolgáltató Kft., Rn 44), dass die zu diesem Zweck erhobenen Daten für Bonitätsbeurteilungszwecke (weiter-)verarbeitet werden. Weshalb allen solcherart betroffenen Personen klar sein solle, dass „alle großen Kreditauskunfteien von allen großen Adressverlagen Österreichs Adressdaten erheben“ – wie die Beklagte in ihrer Revisionsbeantwortung meint – vermag sie nicht nachvollziehbar darzulegen. römisch drei.5.7. Der von einer zu Marketingzwecken erfolgten Datenerhebung Betroffene erwartet auch vernünftigerweise nicht vergleiche dazu ErwGr 50 DSGVO; EuGH C-77/21, Digi Távközlési és Szolgáltató Kft., Rn 44), dass die zu diesem Zweck erhobenen Daten für Bonitätsbeurteilungszwecke (weiter-)verarbeitet werden. Weshalb allen solcherart betroffenen Personen klar sein solle, dass „alle großen Kreditauskunfteien von allen großen Adressverlagen Österreichs Adressdaten erheben“ – wie die Beklagte in ihrer Revisionsbeantwortung meint – vermag sie nicht nachvollziehbar darzulegen.

[50]               III.5.8. Insgesamt folgt aus diesen Erwägungen, dass nach dem Kriterienkatalog des Art 6 Abs 4 DSGVO die Verarbeitung der personenbezogenen Daten des Klägers zum Zweck der Bonitätsprüfung mit den ursprünglichen Marketingzwecken nicht vereinbar ist (idS auch BVwG W605 2271598-1 ua; Blocher, Creditscoring unter der DSGVO, VbR 2021/110, 200 [204]). römisch drei.5.8. Insgesamt folgt aus diesen Erwägungen, dass nach dem Kriterienkatalog des Artikel 6, Absatz 4, DSGVO die Verarbeitung der personenbezogenen Daten des Klägers zum Zweck der Bonitätsprüfung mit den ursprünglichen Marketingzwecken nicht vereinbar ist (idS auch BVwG W605 2271598-1 ua; Blocher, Creditscoring unter der DSGVO, VbR 2021/110, 200 [204]).

[51]               III.5.9. In der Rechtsprechung ist zwar anerkannt, dass es für das Geschäftsfeld der Wirtschaftsauskunftei nach § 152 GewO 1994 unabdingbar ist, eine objektive, transparente und vor allem wahrheitsgemäße Auskunft über die Zahlungsfähigkeit und -schwierigkeit von Schuldnern zu gewährleisten (6 Ob 87/21v ErwGr 3.3.; vgl auch EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 93). Soweit die Beklagte darauf Bezug nimmt, dass die Verarbeitung von Adressdaten des Klägers für die – legitimen – Zwecke der Bonitätsprüfung erforderlich sei, ist jedoch festzuhalten, dass im vorliegenden Fall lediglich über die Zulässigkeit der gegenständlichen Zweckänderung zu entscheiden ist, nicht aber über allfällige Alternativen der Beklagten zur Beschaffung von Adressdaten (etwa ohne Eintritt einer Zweckänderung). römisch drei.5.9. In der Rechtsprechung ist zwar anerkannt, dass es für das Geschäftsfeld der Wirtschaftsauskunftei nach Paragraph 152, GewO 1994 unabdingbar ist, eine objektive, transparente und vor allem wahrheitsgemäße Auskunft über die Zahlungsfähigkeit und -schwierigkeit von Schuldnern zu gewährleisten (6 Ob 87/21v ErwGr 3.3.; vergleiche auch EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 93). Soweit die Beklagte darauf Bezug nimmt, dass die Verarbeitung von Adressdaten des Klägers für die – legitimen – Zwecke der Bonitätsprüfung erforderlich sei, ist jedoch festzuhalten, dass im vorliegenden Fall lediglich über die Zulässigkeit der gegenständlichen Zweckänderung zu entscheiden ist, nicht aber über allfällige Alternativen der Beklagten zur Beschaffung von Adressdaten (etwa ohne Eintritt einer Zweckänderung).

[52]               III.6. Für das Bestehen der Wiederholungsgefahr spricht die Vermutung, dass derjenige, welcher gegen eine bestimmte Rechtspflicht verstoßen hat, hiezu neuerlich geneigt sein wird. Er hat daher jene besonderen Umstände darzutun, die eine Wiederholung seiner Handlung als völlig ausgeschlossen oder doch äußerst unwahrscheinlich erscheinen lassen (vgl RS0080065). Bestreitet der Beklagte im Prozess seine Unterlassungspflicht, so ist dies als Indiz für das Vorhandensein von Wiederholungsgefahr zu werten (6 Ob 189/24y ErwGr 5.3.1.; RS0012055 [T3]). römisch drei.6. Für das Bestehen der Wiederholungsgefahr spricht die Vermutung, dass derjenige, welcher gegen eine bestimmte Rechtspflicht verstoßen hat, hiezu neuerlich geneigt sein wird. Er hat daher jene besonderen Umstände darzutun, die eine Wiederholung seiner Handlung als völlig ausgeschlossen oder doch äußerst unwahrscheinlich erscheinen lassen vergleiche RS0080065). Bestreitet der Beklagte im Prozess seine Unterlassungspflicht, so ist dies als Indiz für das Vorhandensein von Wiederholungsgefahr zu werten (6 Ob 189/24y ErwGr 5.3.1.; RS0012055 [T3]).

[53]               Die Wiederholungsgefahr liegt hier aufgrund des festgestellten Verstoßes und der im Verfahren von der Beklagten vertretenen Rechtsposition vor.

[54]               III.7. Die Revision ist daher insoweit berechtigt. Dem diesbezüglichen Unterlassungsbegehren ist stattzugeben. römisch drei.7. Die Revision ist daher insoweit berechtigt. Dem diesbezüglichen Unterlassungsbegehren ist stattzugeben.

IV. Zur Ermittlung und Weitergabe eines „Bonitätsscores“ ohne Zahlungserfahrungsdaten:römisch vier. Zur Ermittlung und Weitergabe eines „Bonitätsscores“ ohne Zahlungserfahrungsdaten:

[55]          IV.1. Die Beklagte stützt sich zur Rechtfertigung der Erstellung eines Bonitätsscorings ohne Zahlungserfahrungsdaten auf Art 6 Abs 1 lit f DSGVO. Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig. Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 75; RS0133919; vgl auch RS0133890). In Betracht kommen rechtliche, wirtschaftliche oder ideelle Interessen des Verantwortlichen; sein „Interesse“ ist grundsätzlich weit zu verstehen. Ist das Interesse ermittelt, so ist normativ zu bestimmen, ob dieses Interesse gegen die Rechtsordnung der Union, des jeweiligen Mitgliedstaats oder gegen datenschutzrechtliche Grundsätze, einschließlich des Erforderlichkeitsgrundsatzes und des Gebots von Treu und Glauben, verstößt. In einem letzten Schritt ist zu prüfen, ob die Schutzwürdigkeit der betroffenen Person überwiegt. Ein Indiz für das Überwiegen der Interessen, Grundrechte und Grundfreiheiten des Betroffenen gegenüber dem Verarbeitungsinteresse des Verantwortlichen kann insbesondere darin zu erkennen sein, dass die Datenverarbeitung in einem Kontext erfolgt, in dem ein Betroffener vernünftigerweise nicht mit einer Verarbeitung rechnen muss (6 Ob 87/21v ErwGr 4.3.). römisch vier.1. Die Beklagte stützt sich zur Rechtfertigung der Erstellung eines Bonitätsscorings ohne Zahlungserfahrungsdaten auf Artikel 6, Absatz eins, Litera f, DSGVO. Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig. Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 75; RS0133919; vergleiche auch RS0133890). In Betracht kommen rechtliche, wirtschaftliche oder ideelle Interessen des Verantwortlichen; sein „Interesse“ ist grundsätzlich weit zu verstehen. Ist das Interesse ermittelt, so ist normativ zu bestimmen, ob dieses Interesse gegen die Rechtsordnung der Union, des jeweiligen Mitgliedstaats oder gegen datenschutzrechtliche Grundsätze, einschließlich des Erforderlichkeitsgrundsatzes und des Gebots von Treu und Glauben, verstößt. In einem letzten Schritt ist zu prüfen, ob die Schutzwürdigkeit der betroffenen Person überwiegt. Ein Indiz für das Überwiegen der Interessen, Grundrechte und Grundfreiheiten des Betroffenen gegenüber dem Verarbeitungsinteresse des Verantwortlichen kann insbesondere darin zu erkennen sein, dass die Datenverarbeitung in einem Kontext erfolgt, in dem ein Betroffener vernünftigerweise nicht mit einer Verarbeitung rechnen muss (6 Ob 87/21v ErwGr 4.3.).

[56]          IV.2.1. Dass Unternehmen, die Bonitätsauskünfte erstellen, grundsätzlich ein legitimes Interesse verfolgen, hat der EuGH in seiner Entscheidung vom 7. 12. 2023 zu C-26/22 und C-64/22, UF/AB gegen Land Hessen (Rn 83), klargestellt und dargelegt, dass die Verarbeitung personenbezogener Daten zur Beurteilung der Bonität einer Person („Bonitätsprüfung“) nicht nur den wirtschaftlichen Interessen der Unternehmen im Sektor der Kreditauskunftei dient, sondern auch der Wahrung des berechtigten Interesses der Vertragspartner dieser Unternehmen, die kreditrelevante Verträge mit Personen abschließen wollen, an der Bewertung der Kreditwürdigkeit dieser Personen und damit insgesamt den sozioökonomischen Interessen des Kreditsektors (vgl Schulz in Gola/Heckmann/Rost, DSGVO BDSG4 [2026] Art 6 DS-GVO Rn 100 f). Eine Analyse einer Wirtschaftsauskunftei, die eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, kann Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 93). Diese Erwägungen gelten auch für die von der Beklagten im Rahmen ihrer Kreditauskunftei verarbeiteten Daten des Klägers zur Ermittlung dessen Bonität. römisch vier.2.1. Dass Unternehmen, die Bonitätsauskünfte erstellen, grundsätzlich ein legitimes Interesse verfolgen, hat der EuGH in seiner Entscheidung vom 7. 12. 2023 zu C-26/22 und C-64/22, UF/AB gegen Land Hessen (Rn 83), klargestellt und dargelegt, dass die Verarbeitung personenbezogener Daten zur Beurteilung der Bonität einer Person („Bonitätsprüfung“) nicht nur den wirtschaftlichen Interessen der Unternehmen im Sektor der Kreditauskunftei dient, sondern auch der Wahrung des berechtigten Interesses der Vertragspartner dieser Unternehmen, die kreditrelevante Verträge mit Personen abschließen wollen, an der Bewertung der Kreditwürdigkeit dieser Personen und damit insgesamt den sozioökonomischen Interessen des Kreditsektors vergleiche Schulz in Gola/Heckmann/Rost, DSGVO BDSG4 [2026] Artikel 6, DS-GVO Rn 100 f). Eine Analyse einer Wirtschaftsauskunftei, die eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner der Wirtschaftsauskunftei ermöglicht, kann Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 93). Diese Erwägungen gelten auch für die von der Beklagten im Rahmen ihrer Kreditauskunftei verarbeiteten Daten des Klägers zur Ermittlung dessen Bonität.

[57]          IV.2.2. Die Ermittlung der Bonität ohne Vorliegen von Zahlungserfahrungsdaten ist auch „erforderlich“ im Sinne des Art 6 Abs 1 lit f DSGVO. Nach den von den Vorinstanzen ihrer Entscheidung zugrunde gelegten Tatsachengrundlagen liegen nur zu einem sehr geringen Prozentsatz der Österreicher (negative) Zahlungserfahrungsdaten vor. Würde man Zahlungserfahrungsdaten für die Zulässigkeit einer Bonitätsauskunft voraussetzen, könnten damit für einen Großteil der Verbraucher keine Bonitätsauskünfte erteilt werden. Im vorliegenden Fall wurde auch weder behauptet noch festgestellt, dass solche Daten über den Kläger vorhanden gewesen seien. römisch vier.2.2. Die Ermittlung der Bonität ohne Vorliegen von Zahlungserfahrungsdaten ist auch „erforderlich“ im Sinne des Artikel 6, Absatz eins, Litera f, DSGVO. Nach den von den Vorinstanzen ihrer Entscheidung zugrunde gelegten Tatsachengrundlagen liegen nur zu einem sehr geringen Prozentsatz der Österreicher (negative) Zahlungserfahrungsdaten vor. Würde man Zahlungserfahrungsdaten für die Zulässigkeit einer Bonitätsauskunft voraussetzen, könnten damit für einen Großteil der Verbraucher keine Bonitätsauskünfte erteilt werden. Im vorliegenden Fall wurde auch weder behauptet noch festgestellt, dass solche Daten über den Kläger vorhanden gewesen seien.

[58]          IV.2.3. Ob im Einzelfall die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, überwiegen, ist durch eine Abwägung der Interessen der Beteiligten und der konkreten Umstände zu bestimmen (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen Rn 79; 6 Ob 87/21v ErwGr 4.4.). Bei der entsprechenden Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, das heißt derjenigen des Verantwortlichen und der beteiligten Dritten einerseits und der betroffenen Person andererseits, sind insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 87). römisch vier.2.3. Ob im Einzelfall die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, überwiegen, ist durch eine Abwägung der Interessen der Beteiligten und der konkreten Umstände zu bestimmen (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen Rn 79; 6 Ob 87/21v ErwGr 4.4.). Bei der entsprechenden Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, das heißt derjenigen des Verantwortlichen und der beteiligten Dritten einerseits und der betroffenen Person andererseits, sind insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 87).

[59]          IV.2.4. Die Verarbeitung von Erkenntnissen zur Kreditwürdigkeit einschließlich deren Analyse und Weitergabe durch eine Wirtschaftsauskunftei stellt grundsätzlich einen Eingriff in die in den Art 7 und 8 GRC verankerten Grundrechte des Klägers dar. Dabei ist zu berücksichtigen, dass sich ein „schlechter“ Scorewert nachteilig auf die Kreditwürdigkeit auswirken und den Interessen der betroffenen Person beträchtlich schaden kann, da die Nutzung eines solchen Scorewerts geeignet ist, die Ausübung der Freiheitsrechte erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken (vgl Krämer in Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR [56. Ed. 1. 5. 2026] § 31 BDSG Rn 13; EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 94). römisch vier.2.4. Die Verarbeitung von Erkenntnissen zur Kreditwürdigkeit einschließlich deren Analyse und Weitergabe durch eine Wirtschaftsauskunftei stellt grundsätzlich einen Eingriff in die in den Artikel 7, und 8 GRC verankerten Grundrechte des Klägers dar. Dabei ist zu berücksichtigen, dass sich ein „schlechter“ Scorewert nachteilig auf die Kreditwürdigkeit auswirken und den Interessen der betroffenen Person beträchtlich schaden kann, da die Nutzung eines solchen Scorewerts geeignet ist, die Ausübung der Freiheitsrechte erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken vergleiche Krämer in Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR [56. Ed. 1. 5. 2026] Paragraph 31, BDSG Rn 13; EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 94).

[60]          Diese Interessen des Klägers überwiegen aber regelmäßig nicht die dargelegten Interessen der beklagten Kreditauskunftei im Rahmen ihrer Tätigkeit der Unterstützung anfragender Kunden im Zusammenhang mit dem Abschluss von Verträgen zum Schutz der Gläubiger (vgl 6 Ob 87/21v ErwGr 4.10; Krämer in Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR [56. Ed. 1. 5. 2026] § 31 BDSG Rn 22 f; Schulz in Gola/Heckmann/Rost, DSGVO BDSG4 [2026] Art 6 DS-GVO Rn 106 f). Diese Interessen des Klägers überwiegen aber regelmäßig nicht die dargelegten Interessen der beklagten Kreditauskunftei im Rahmen ihrer Tätigkeit der Unterstützung anfragender Kunden im Zusammenhang mit dem Abschluss von Verträgen zum Schutz der Gläubiger vergleiche 6 Ob 87/21v ErwGr 4.10; Krämer in Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR [56. Ed. 1. 5. 2026] Paragraph 31, BDSG Rn 22 f; Schulz in Gola/Heckmann/Rost, DSGVO BDSG4 [2026] Artikel 6, DS-GVO Rn 106 f).

[61]          Angesichts der Vielzahl an Vertragsabschlüssen, bei denen Unternehmer in Vorleistung gehen, ist für vernünftige Betroffene erwartbar, dass dies in vielen Branchen mit einer Abschätzung der Bonität verbunden sein wird, auch wenn keine konkrekten Zahlungserfahrungsdaten vorliegen.

[62]          Weitere Gründe, warum die Interessen des Klägers jene der Beklagten überwiegen sollten, insbesondere konkrete nachteilige Folgen der inkriminierten Datenverarbeitung für den Kläger, stehen nicht fest und sind nicht ersichtlich.

[63]          IV.2.5. Weshalb an der Verarbeitung von Namen, Geburtsdatum und Adresse zur Ermittlung (auch) von Bonitätsbeurteilungen grundsätzlich kein berechtigtes Interesse der Kreditauskunftei bestehen sollte, vermag die Revision nicht nachvollziehbar zu begründen (vgl zur Zulässigkeit der Übermittlung/Verwendung von „Positivdaten“ jüngst BGH VI ZR 431/24 Rn 50 und Rn 52 f [Betrugsprävention]). Eine individuelle Bonitätsbeurteilung wäre ohne Verarbeitung dieser Daten kaum möglich. Die Ausführungen der Revision zur „heimlichen“ Erhebung dieser Daten bei der Datenlieferantin der Beklagten und zur Zweckänderung (dazu Punkt II. dieses Urteils) übergehen hinsichtlich der Beurteilung des gegenständlichen Unterlassungsbegehrens, dass die Beklagte diese Daten auch von ihren Kunden, also jenen Unternehmen, die die Anfrage zur Bonitätsprüfung stellten, erhielt. römisch vier.2.5. Weshalb an der Verarbeitung von Namen, Geburtsdatum und Adresse zur Ermittlung (auch) von Bonitätsbeurteilungen grundsätzlich kein berechtigtes Interesse der Kreditauskunftei bestehen sollte, vermag die Revision nicht nachvollziehbar zu begründen vergleiche zur Zulässigkeit der Übermittlung/Verwendung von „Positivdaten“ jüngst BGH VI ZR 431/24 Rn 50 und Rn 52 f [Betrugsprävention]). Eine individuelle Bonitätsbeurteilung wäre ohne Verarbeitung dieser Daten kaum möglich. Die Ausführungen der Revision zur „heimlichen“ Erhebung dieser Daten bei der Datenlieferantin der Beklagten und zur Zweckänderung (dazu Punkt römisch zwei. dieses Urteils) übergehen hinsichtlich der Beurteilung des gegenständlichen Unterlassungsbegehrens, dass die Beklagte diese Daten auch von ihren Kunden, also jenen Unternehmen, die die Anfrage zur Bonitätsprüfung stellten, erhielt.

[64]          Alleine aus der Ermittlung des Bonitätsscores ohne Zahlungserfahrungsdaten – worauf das gegenständliche Unterlassungsbegehren im Sinne eines „per-se-Verbots“ abzielt – kann kein Verstoß gegen den Grundsatz der Rechtmäßigkeit nach Art 5 Abs 1 lit a iVm Art 6 Abs 1 lit f DSGVO abgeleitet werden. Eine nähere Beurteilung, welche Anforderungen in diesem Zusammenhang an die Ermittlung von Bonitätsscores ohne Zahlungserfahrungsdaten zu stellen sind (vgl zur Scorewertberechnung etwa Krämer in Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR [56. Ed. 1. 5. 2026] § 31 BDSG Rn 42 ff), kann im vorliegenden Fall offen bleiben. Alleine aus der Ermittlung des Bonitätsscores ohne Zahlungserfahrungsdaten – worauf das gegenständliche Unterlassungsbegehren im Sinne eines „per-se-Verbots“ abzielt – kann kein Verstoß gegen den Grundsatz der Rechtmäßigkeit nach Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, Absatz eins, Litera f, DSGVO abgeleitet werden. Eine nähere Beurteilung, welche Anforderungen in diesem Zusammenhang an die Ermittlung von Bonitätsscores ohne Zahlungserfahrungsdaten zu stellen sind vergleiche zur Scorewertberechnung etwa Krämer in Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR [56. Ed. 1. 5. 2026] Paragraph 31, BDSG Rn 42 ff), kann im vorliegenden Fall offen bleiben.

[65]          Nach den Feststellungen hat die Beklagte den Bonitätsscore nicht alleine anhand von Alter und Wohnort des Klägers berechnet. Soweit das Klagebegehren dahin verstanden werden könnte, dass die Berechnung des Bonitätsscores ausschließlich mittels dieser zwei Parameter untersagt werden sollte, wäre es daher ebenfalls nicht berechtigt.

[66]          IV.2.6. Aus diesen Gründen ist auch dem vom Revisionswerber angeregten Vorabentscheidungsersuchen an den Gerichtshof der Europäischen Union (EuGH) nicht näher zu treten. Im Übrigen ist es nach der Rechtsprechung des EuGH Sache des nationalen Gerichts abzuwägen, ob im Einzelfall die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, überwiegen (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 79). römisch vier.2.6. Aus diesen Gründen ist auch dem vom Revisionswerber angeregten Vorabentscheidungsersuchen an den Gerichtshof der Europäischen Union (EuGH) nicht näher zu treten. Im Übrigen ist es nach der Rechtsprechung des EuGH Sache des nationalen Gerichts abzuwägen, ob im Einzelfall die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, überwiegen (EuGH C-26/22 und C-64/22, UF/AB gegen Land Hessen, Rn 79).

[67]          IV.3. Die Revision bleibt somit insoweit erfolglos. römisch vier.3. Die Revision bleibt somit insoweit erfolglos.

V. Kosten:römisch fünf. Kosten:

[68]          Die Kostenentscheidung über das erst- und zweitinstanzliche Verfahren war dem Berufungsgericht vorzubehalten (vgl RS0124588 [T14, T15]). Die Kostenentscheidung über das erst- und zweitinstanzliche Verfahren war dem Berufungsgericht vorzubehalten vergleiche RS0124588 [T14, T15]).

[69]               Die Entscheidung über die Kosten des Verfahrens dritter Instanz beruht auf §§ 50, 43 Abs 1 ZPO. Das gleichteilige Obsiegen bzw Unterliegen führt im Verfahren dritter Instanz zur Kostenaufhebung. Die Beklagte hat dem Kläger daher die Hälfte der verzeichneten Pauschalgebühren der Revision zu ersetzen. Die Entscheidung über die Kosten des Verfahrens dritter Instanz beruht auf Paragraphen 50, 43, Absatz eins, ZPO. Das gleichteilige Obsiegen bzw Unterliegen führt im Verfahren dritter Instanz zur Kostenaufhebung. Die Beklagte hat dem Kläger daher die Hälfte der verzeichneten Pauschalgebühren der Revision zu ersetzen.