Datenschutz beim Inkasso: Was Unternehmen beachten müssen

Das Wichtigste in Kürze

• Schuldnerdaten dürfen grundsätzlich ohne Einwilligung an ein Inkassounternehmen übermittelt werden, soweit sie für die Forderungsdurchsetzung erforderlich sind.
• Es gilt der Grundsatz der Datenminimierung: Übermittelt werden sollten nur die tatsächlich benötigten Informationen.
• Eine bestrittene Forderung schließt Inkasso nicht automatisch aus. Bei Zweifeln an Forderung oder Identität ist jedoch eine genauere Prüfung erforderlich.
• Für Meldungen an Wirtschaftsauskunfteien gelten strengere Anforderungen als für die reine Forderungsdurchsetzung.
• Seit dem BGH-Urteil vom 12. Mai 2026 ist die SCHUFA-Meldung besonders aktuell. Zudem wird § 31 BDSG zum 20. November 2026 durch § 37a BDSG ersetzt.

Wann dürfen Unternehmen Schuldnerdaten an ein Inkassounternehmen weitergeben?

Damit ein Inkassounternehmen eine Forderung geltend machen kann, benötigt es Informationen über den Schuldner und die zugrunde liegende Forderung.

Bei einer vertraglichen Forderung kann die Übermittlung der hierfür erforderlichen Daten je nach Ausgestaltung insbesondere auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden. Daneben kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht. Das berechtigte Interesse liegt dabei grundsätzlich in der Durchsetzung der offenen Forderung. Eine zusätzliche Einwilligung des Schuldners ist regelmäßig nicht notwendig.

Das bedeutet allerdings nicht, dass jede im System als offen gekennzeichnete Forderung automatisiert an einen externen Dienstleister übertragen werden sollte.

Vor der Übergabe sollte insbesondere geklärt sein:

• Besteht die Forderung tatsächlich?
• Ist sie fällig?
• Wurden bereits eingegangene Zahlungen berücksichtigt?
• Gibt es Gutschriften, Stornierungen oder andere Korrekturen?
• Hat der Kunde Einwendungen erhoben?
• Gibt es Hinweise auf eine Personenverwechslung oder einen Identitätsdiebstahl?

Gerade bei automatisierten Forderungsprozessen ist deshalb entscheidend, dass relevante Informationen aus Kundenservice, Buchhaltung und Forderungsmanagement zuverlässig zusammengeführt werden.

Welche Daten dürfen an ein Inkassounternehmen übermittelt werden?

Auch beim Inkasso gilt der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.

Nach den Hinweisen der Berliner Datenschutzaufsicht gehören zum typischerweise erforderlichen Datenumfang insbesondere:

• Name,
• Anschrift,
• gegebenenfalls weitere erforderliche Kontaktdaten,
• Grund der Forderung,
• Höhe der Forderung und
• Fälligkeit.

Weitere Vertrags-, Rechnungs-, Zahlungs- oder Mahndaten können hinzukommen, soweit sie für die konkrete Forderungsdurchsetzung tatsächlich benötigt werden.

Daraus folgt jedoch keine pauschale Berechtigung, sämtliche zum Kunden gespeicherten Informationen weiterzugeben.

Ist ein Inkassounternehmen Auftragsverarbeiter?

Die Weitergabe personenbezogener Daten an einen externen Dienstleister bedeutet nicht automatisch, dass eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt.

Die Berliner Datenschutzaufsicht behandelt das Inkassounternehmen bei der eigenständigen Forderungsbearbeitung selbst als verantwortliche Stelle. Dazu passt, dass Inkassodienstleister nicht lediglich technische Verarbeitungsschritte ausführen, sondern Forderungen bearbeiten und sich auch mit Einwendungen der Schuldner auseinandersetzen.

Für Unternehmen bedeutet das: Ein AV-Vertrag sollte nicht vorsorglich allein deshalb abgeschlossen werden, weil personenbezogene Daten an den Inkassodienstleister übermittelt werden.

Entscheidend sind die tatsächlichen Aufgaben, Entscheidungskompetenzen und Datenverarbeitungen. Die datenschutzrechtliche Rollenverteilung sollte deshalb für das konkrete Dienstleistungsmodell geprüft und dokumentiert werden.

Was gilt bei bestrittenen Forderungen?

Eine wichtige Unterscheidung im Forderungsmanagement lautet:

Eine bestrittene Forderung ist nicht automatisch eine unberechtigte Forderung.

Bestreitet ein Kunde beispielsweise die Höhe einer Rechnung oder behauptet, bereits gezahlt zu haben, kann grundsätzlich weiterhin ein berechtigtes Interesse daran bestehen, zu klären, ob und in welcher Höhe die Forderung tatsächlich besteht. Nach der Berliner Aufsichtspraxis verhindert das bloße Bestreiten daher nicht automatisch die Weitergabe an oder Bearbeitung durch ein Inkassounternehmen.

Anders liegt der Fall, wenn dem Unternehmen bekannt ist, dass überhaupt keine Forderung besteht. Dann fehlt regelmäßig bereits das berechtigte Interesse an ihrer Durchsetzung.

Dazwischen liegen Fälle, in denen konkrete Zweifel entstehen. Hier kommt es besonders auf die Qualität der Vorprüfung an.

Besondere Vorsicht bei Identitätsdiebstahl

Besonders kritisch sind Fälle, in denen eine betroffene Person nachvollziehbar erklärt, den zugrunde liegenden Vertrag überhaupt nicht abgeschlossen zu haben.

Beispiel: Eine fremde Person bestellt unter den Daten eines Dritten. Die Rechnung wird nicht bezahlt. Der vermeintliche Kunde wird gemahnt und der Vorgang anschließend an ein Inkassounternehmen übergeben.

Wird eine mögliche Personenverwechslung oder ein Identitätsbetrug schlüssig dargelegt, verlangt die Berliner Datenschutzaufsicht eine weitergehende Prüfung. Das Inkassounternehmen muss das Verfahren zunächst zur Klärung aussetzen und dies auch in seinen IT-Systemen technisch-organisatorisch abbilden. Weitere Zahlungsaufforderungen und Auskunfteimeldungen müssen bis zur Klärung unterbleiben.

Konsequenz für Unternehmen

Ein Hinweis auf Identitätsdiebstahl sollte deshalb nicht lediglich als Freitextnotiz im Kundenservice gespeichert werden.

Er sollte einen definierten Prozess auslösen, der beispielsweise:

• die weitere Forderungsübergabe stoppt,
• zuständige Stellen informiert,
• eine Prüfung von Identität und Vertragsdaten auslöst und
• eine mögliche Auskunfteimeldung blockiert.

Gerade an dieser Stelle zeigt sich, dass Datenschutz im Forderungsmanagement nicht nur eine Frage der Rechtsgrundlage, sondern auch der Prozessgestaltung ist.

Inkasso und SCHUFA: Warum gelten strengere Anforderungen?

Die Übergabe einer Forderung an ein Inkassounternehmen und die Meldung einer Zahlungsstörung an eine Wirtschaftsauskunftei sind datenschutzrechtlich zu unterscheiden.

Beim Inkasso werden personenbezogene Daten weiterhin zur Durchsetzung einer konkreten Forderung verarbeitet. Die Meldung an eine Wirtschaftsauskunftei soll dagegen auch Dritten Informationen für zukünftige wirtschaftliche Entscheidungen zur Verfügung stellen.

Die Datenschutzkonferenz stellt für eine solche Einmeldung auf Art. 6 Abs. 1 lit. f DSGVO ab. Wegen des weiteren Verarbeitungszwecks ist zudem die Kompatibilitätsprüfung nach Art. 6 Abs. 4 DSGVO zu berücksichtigen.

Die DSK hat fünf Fallgruppen formuliert, die bei der Einzelfallprüfung eine Indizwirkung für eine zulässige Einmeldung haben können. Dazu zählen unter anderem titulierte Forderungen, ausdrücklich anerkannte Forderungen sowie bestimmte nicht titulierte Forderungen, bei denen unter anderem mindestens zweimal schriftlich gemahnt wurde, die erste Mahnung mindestens vier Wochen zurückliegt, zuvor auf eine mögliche Auskunfteimeldung hingewiesen wurde und die Forderung nicht bestritten ist.

Zusätzliche Umstände können dennoch zu einem anderen Ergebnis der Interessenabwägung führen.

Aktuelle Rechtsprechung 2026: BGH zur SCHUFA-Meldung

Mit Urteil vom 12. Mai 2026 – VI ZR 375/24 hat sich der Bundesgerichtshof mit der Meldung behaupteter offener Forderungen durch ein Inkassounternehmen an die SCHUFA beschäftigt.

Für die Praxis besonders wichtig: Der BGH stellt klar, dass § 31 BDSG nicht unmittelbar die Übermittlung von Forderungsdaten an eine Wirtschaftsauskunftei regelt. Entscheidend bleibt für die Einmeldung die Prüfung nach Art. 6 Abs. 1 lit. f DSGVO.

Im entschiedenen Fall ging es um nicht titulierte, bestrittene Forderungen. Die Entscheidung verdeutlicht, dass eine Auskunfteimeldung eine belastbare Tatsachengrundlage benötigt und nicht allein daran anknüpfen kann, dass ein Betrag im Inkassosystem weiterhin als offen geführt wird.

Bei einer rechtswidrigen Einmeldung können zudem Ansprüche auf Widerruf der Meldung bestehen. Der BGH hat außerdem Schadensersatz nach Art. 82 DSGVO behandelt und eine Beeinträchtigung des wirtschaftlichen Rufes als möglichen immateriellen Schaden berücksichtigt, wenn rechtswidrige Meldungen den Score beeinträchtigen und sich dies bei Vertragsanbahnungen auswirkt.

Für Unternehmen folgt daraus: Die Prüfung vor einer Auskunfteimeldung sollte organisatorisch deutlich stärker ausgestaltet sein als die bloße Entscheidung, eine Forderung an ein Inkassounternehmen zu übergeben.

Rechtsänderung zum 20. November 2026: § 37a BDSG ersetzt § 31 BDSG

Zum Stand dieses Beitrags gilt noch § 31 BDSG. Das bereits verkündete Gesetz zur Umsetzung der Verbraucherkreditrichtlinie sieht jedoch vor, § 31 BDSG zum 20. November 2026 zu streichen und den neuen § 37a BDSG „Scoring“ einzuführen.

Die bisher bekannten Fallgruppen zu Forderungen verschwinden dadurch nicht vollständig. § 37a Abs. 3 BDSG n. F. übernimmt für die Berücksichtigung von Forderungen beim Scoring wiederum entsprechende Konstellationen, darunter titulierte, anerkannte und unter bestimmten Voraussetzungen unbestrittene gemahnte Forderungen.

Wichtig für die Einordnung: § 37a BDSG wird die Anforderungen an Scoring und die Berücksichtigung von Forderungsinformationen neu regeln. Die Rechtsgrundlage für die eigentliche Übermittlung an eine Wirtschaftsauskunftei ist damit aber nicht automatisch § 37a BDSG; hierfür bleibt die Prüfung nach der DSGVO maßgeblich.

Darf eine bestrittene Forderung an die SCHUFA gemeldet werden?

Eine bestrittene Forderung darf nicht allein deshalb an eine Wirtschaftsauskunftei gemeldet werden, weil sie weiterhin im Inkassoverfahren verfolgt wird.

Hier liegt ein wesentlicher Unterschied zur normalen Inkassobearbeitung: Während ein Inkassounternehmen eine bestrittene Forderung grundsätzlich weiter prüfen kann, setzt eine zentrale Fallgruppe für nicht titulierte Auskunfteimeldungen gerade voraus, dass die Forderung nicht bestritten wurde.

Das BGH-Urteil vom Mai 2026 unterstreicht zusätzlich, dass bei nicht titulierten und bestrittenen Forderungen eine belastbare Tatsachengrundlage und eine konkrete Interessenabwägung erforderlich sind.

Ein Prozess nach dem Muster „zweite Mahnung erreicht = SCHUFA-Meldung“ ist deshalb ohne Berücksichtigung von Einwendungen und weiteren Umständen nicht ausreichend.

Typische Datenschutzfehler im Forderungsmanagement

Datenschutzprobleme entstehen in der Praxis häufig weniger durch die grundsätzliche Einschaltung eines Inkassodienstleisters als durch schlecht abgestimmte Prozesse.

1. Vollständige Kundenakten werden ungeprüft übertragen

Statt der für die Forderung erforderlichen Informationen werden sämtliche im CRM gespeicherten Daten weitergegeben.

Besser: Festlegen, welche Datenfelder und Dokumenttypen für die Inkassobearbeitung tatsächlich erforderlich sind.

2. Zahlungen und Gutschriften erreichen den Inkassodienstleister nicht

Der Kunde zahlt oder erhält eine Gutschrift. Beim Inkassounternehmen bleibt jedoch der vorherige Forderungsstand gespeichert.

Besser: Änderungen des Forderungsstatus müssen zuverlässig zwischen den beteiligten Systemen übermittelt werden.

3. Hinweise auf Identitätsdiebstahl lösen keinen Sperrprozess aus

Der Kundenservice dokumentiert den Hinweis, während der automatisierte Mahn- oder Inkassoprozess weiterläuft.

Besser: Kritische Einwendungen sollten einen systemseitigen Prüf- und Sperrstatus auslösen.

4. Bestrittene Forderungen laufen automatisch in den Auskunfteiprozess

Mahnstufe und SCHUFA-Meldung sind technisch gekoppelt, ohne Einwendungen zu berücksichtigen.

Besser: Vor einer Auskunfteimeldung einen eigenständigen Prüf- und Freigabeschritt vorsehen.

5. Die Rollenverteilung mit dem Dienstleister ist nicht geklärt

Mit jedem externen Anbieter wird vorsorglich ein Auftragsverarbeitungsvertrag abgeschlossen.

Besser: Tatsächliche Aufgaben und Entscheidungskompetenzen prüfen und die datenschutzrechtliche Einordnung dokumentieren.

6. Lösch- und Aufbewahrungsregeln fehlen

Abgeschlossene Inkassovorgänge verbleiben unbegrenzt im operativen System.

Besser: Aufbewahrungs- und Löschfristen nach Dokumenttyp festlegen und nach Wegfall des operativen Zwecks Zugriffe entsprechend beschränken oder Daten archivieren.

Was Unternehmen organisatorisch sicherstellen sollten

Ein datenschutzkonformes Forderungsmanagement benötigt nicht nur die richtige Rechtsgrundlage. Die Anforderungen müssen sich auch in den tatsächlichen Abläufen und IT-Systemen wiederfinden.

Unternehmen sollten insbesondere sicherstellen, dass:

• Schuldner und Forderung korrekt zugeordnet sind,
• Forderungsgrund, Höhe und Fälligkeit aktuell sind,
• Zahlungen, Gutschriften und Stornierungen berücksichtigt werden,
• Einwendungen systematisch erfasst werden,
• Hinweise auf Identitätsdiebstahl oder Personenverwechslungen einen Prüf- und Sperrprozess auslösen,
• nur erforderliche Daten an den Inkassodienstleister übertragen werden,
• sensible Unterlagen nicht ungeprüft weitergegeben werden,
• die datenschutzrechtliche Rollenverteilung mit dem Dienstleister dokumentiert ist,
• Datenschutzhinweise die Datenübermittlung im Forderungsmanagement angemessen abbilden,
• Auskunfteimeldungen einen eigenständigen Prüf- und Freigabeprozess besitzen und
• Lösch- und Aufbewahrungsregeln dokumentiert und technisch umsetzbar sind.

Besonders wichtig ist der Informationsfluss zwischen den beteiligten Stellen. Zahlungen, Stornierungen, Einwendungen oder Hinweise auf Personenverwechslungen dürfen nicht ausschließlich im System des Gläubigers verbleiben, während der Inkassodienstleister auf Grundlage veralteter Informationen weitere Maßnahmen einleitet.

FAQ

Darf ein Unternehmen Schuldnerdaten ohne Einwilligung an ein Inkassounternehmen weitergeben?

Grundsätzlich ja. Eine Einwilligung ist regelmäßig nicht erforderlich. Je nach Sachverhalt kommen insbesondere Art. 6 Abs. 1 lit. b oder lit. f DSGVO als Rechtsgrundlage in Betracht. Übermittelt werden dürfen aber nur die für die konkrete Forderungsdurchsetzung erforderlichen Daten.

Braucht das Unternehmen mit dem Inkassodienstleister einen AV-Vertrag?

Nicht automatisch. Inkassounternehmen können bei der eigenständigen Forderungsbearbeitung selbst Verantwortliche sein. Entscheidend sind die konkrete Aufgabenverteilung und die tatsächlichen Entscheidungskompetenzen.

Was muss bei Identitätsdiebstahl beachtet werden?

Wird eine Personenverwechslung oder ein Identitätsbetrug plausibel vorgetragen, muss der Sachverhalt besonders sorgfältig geprüft werden. Nach der Berliner Aufsichtspraxis ist das Forderungseinzugsverfahren bis zur Klärung auszusetzen; auch Auskunfteimeldungen müssen währenddessen verhindert werden.

Was ändert sich durch § 37a BDSG?

§ 31 BDSG wird zum 20. November 2026 gestrichen und durch den neuen § 37a BDSG zum Scoring ersetzt. Die bekannten Fallgruppen für die Berücksichtigung bestimmter Forderungen finden sich künftig in § 37a Abs. 3 BDSG. Die Rechtmäßigkeit einer Datenübermittlung an eine Wirtschaftsauskunftei muss dennoch anhand der DSGVO geprüft werden.

Datenschutz im Inkasso

Datenschutz im Forderungsmanagement strukturiert umsetzen

Externe Inkassodienstleister, automatisierte Mahnprozesse und unterschiedliche Unternehmenssysteme führen schnell zu komplexen Datenflüssen. Datenschutzanforderungen sollten deshalb nicht isoliert dokumentiert, sondern in die tatsächlichen Prozesse integriert werden.

Datenschutzprozesse prüfen

DataProtected unterstützt Unternehmen dabei, Datenschutzanforderungen systematisch in bestehende Abläufe zu integrieren – beispielsweise durch die Analyse von Datenflüssen und Dienstleisterrollen, die Strukturierung von Datenschutz- und Löschprozessen sowie die Entwicklung geeigneter organisatorischer Kontrollen.

Weiterführende Quellen

• Berliner Beauftragte für Datenschutz und Informationsfreiheit: Inkassounternehmen
• Datenschutzkonferenz: Einmeldung offener und unbestrittener Forderungen in eine Wirtschaftsauskunftei
• BGH, Urteil vom 12. Mai 2026 – VI ZR 375/24
• Bundesgesetzblatt 2026 I Nr. 139: Änderung des Bundesdatenschutzgesetzes