Die Kreditauskunftei CRIF soll jahrelang illegal Daten von Privatpersonen erworben haben. Zu diesem Schluss kam nun der Oberste Gerichtshof. Die Betroffenen könnten Anspruch auf bis zu 500 Euro Schadenersatz haben.
Unzählige Österreicherinnen und Österreicher könnten Anspruch auf Schadenersatz haben. Die Kreditauskunftei CRIF hat jahrelang gegen Datenschutzrichtlinien verstoßen. Das bestätigt nun der Oberste Gerichtshof. Damit steigen die Erfolgschancen einer erfolgreichen Sammelklage der gemeinnützigen Datenschutzorganisation noyb von Max Schrems gegen CRIF.
Was wird CRIF vorgeworfen?
CRIF arbeitet jahrelang mit Adressverlagen zusammen. Diese sammeln Adressdaten für Marketingzwecke. So wird unter anderem entschieden, wer einen Flyer ins Postfach bekommt. Diese Daten werden jedoch nicht ausschließlich für die intendierten Zwecke genutzt. Trotzdem wurden diese Adressdaten ungefragt als Bonitätsdaten verwendet und laut Datenschutzjurist Marco Blocher „jahrelang gewinnbringend an Auskunfteien verkauft“.
“Der Grundsatz der Zweckbindung (Artikel 5(1)(b) DSGVO) verbietet es Unternehmen grundsätzlich, Daten, die zu einem Zweck verarbeitet werden für andere Zwecke weiterzuverwenden”, betont noyb.
Das Urteil bestätigt bereits einen Punkt der Unterlassungsklage von noyb gegen CRIF, die bereits im Juni 2026 eingebracht wurde. Obwohl das Verfahren dazu noch nicht begonnen hat, fühlt sich noyb durch das nunmehrige Urteil bestätigt.
Langer Rechtsstreit – Schadenersatz möglich
Bereits im März 2021 legte noyb Beschwerde gegen CRIF und den Adressverlag AZ Direct ein. Die Datenschutzbehörde und später auch das Bundesverwaltungsgericht sahen noyb im Recht. Konsequenzen daraus zogen jedoch weder CRIF noch AZ Direct. Daten wurden weiterhin unrechtmäßig verwendet. Fest steht: Auskunfteien dürfen personenbezogene Daten nicht bei einem Adressverlag erheben, wenn dieser die Daten ausschließlich zu Marketingzwecken verarbeitet. Im Erfolgsfall der Sammelklage geht noyb von rund 500 Euro Schadenersatz pro betroffener Person aus.
Kein österreichischer Einzelfall
Erst kürzlich wurde bekannt, dass der deutschen Auskunftei SCHUFA ebenfalls eine Unterlassungsklage von noyb droht. Auch hier geht es um Datenschutz. SCHUFA soll jahrelang Millionen Datensätze gespeichert haben, die offiziell gelöscht werden sollten. Auf Nachfrage soll SCHUFA keine Auskunft zu diesen Datensätzen gegeben haben, obwohl sie laut Artikel 15 der Datenschutz-Grundverordnung verpflichtet sind diese Daten an die Betroffenen herauszugeben.
Wie das aktuelle Beispiel SCHUFA zeigt, scheint der sorglose Umgang mit personenbezogenen Daten bei Auskunfteien kein Einzelfall zu sein. Im Fall CRIF sieht noyb nun jedoch bessere Chancen für die eigene Unterlassungsklage.
Woher weiß ich, dass ich betroffen bin?
Zusatz 02.09.2026: Laut noyb sei die Wahrscheinlichkeit, dass man betroffen ist, sehr hoch. Die CRIF habe Daten zu fast allen Erwachsenen in Österreich. Für gut 90% der Menschen in ihrer Datenbank verfüge CRIF jedoch über keine Zahlungserfahrungsdaten. “Ihr Kreditscore basiert daher vor allem auf Adresse, Geschlecht und Alter – obwohl diese Daten gar keinen echten Rückschluss auf die Bonität ermöglichen.”
“Auf der Anmeldeseite zur Sammelklage (crif.noyb.eu) fragen wir deshalb auch ein paar Informationen ab, um sicherzugehen, dass Teilnehmer:innen einen Anspruch haben. Man muss unter anderem volljährig sein, in den letzten 7 Jahren mindestens 2 Jahre in Österreich gelebt haben, darf keinen Inkassofall haben oder sich selbst in die CRIF-Datenbank eingetragen haben. Interessent:innen wird dann gleich mitgeteilt, ob sie sich zur Klage anmelden können oder nicht.“
