CRIF-Urteil des OGH: Adressdaten aus der Werbung gehören nicht in die Bonitätsprüfung

Am 12. August 2026 hat der OGH drei CRIF-Verfahren entschieden

Wer in Österreich einen Kredit aufnimmt, einen Handyvertrag abschließt oder online auf Rechnung bestellt, kann im Hintergrund bei einer Kreditauskunftei abgefragt werden. Die CRIF GmbH in Wien ist eine davon. Der Oberste Gerichtshof (OGH) hat drei Verfahren gegen sie entschieden, und im entscheidenden Punkt zugunsten der Kläger: Adressdaten, die ein Adressverlag für Werbung gesammelt hat, haben in der Bonitätsprüfung nichts verloren.

Im RIS, dem Rechtsinformationssystem des Bundes, ist die Beklagte als „C* GmbH“ anonymisiert; dass es die CRIF ist, zeigen das Behördenverfahren, auf das der OGH selbst verweist, und die Berichterstattung.

Alle drei Urteile stammen vom 6. Senat des OGH und sind nahezu gleich begründet, die Volltexte sind im RIS frei abrufbar. Für Sie heißt das: Wurden Ihre Adressdaten auf diesem Weg für eine Bonitätsprüfung verwendet, ist dieses Urteil die Grundlage, um Schadenersatz geltend zu machen. Ob das bei Ihnen so war, klärt die Rechtsanwaltskanzlei an unserer Seite anhand Ihrer CRIF-Auskunft, und genau solche Fälle nehmen wir seit September 2026 auf. Wie das abläuft, lesen Sie auf der Seite CRIF-Datenschutzfall über uns geltend machen.

Die vier Kläger wollten ihre Daten aus der Bonitätsprüfung heraushalten

Geklagt haben vier Privatpersonen: zwei gemeinsam im Verfahren, das heute unter 6 Ob 147/25y geführt wird, die beiden anderen jeweils allein. Die CRIF sollte Dritten keinen weiteren Zugriff auf ihre Daten in der „Identitäts- und Bonitätsdatenbank“ geben, solange diese Daten unrechtmäßig verarbeitet werden. Schadenersatz verlangten sie in diesen Verfahren nicht.

Ausgangspunkt war ein Datenkauf. Die CRIF hatte bei einem Adressverlag Name, Adresse und Geburtsdatum der Kläger erworben. Nach den Feststellungen der Gerichte nutzte sie diese Angaben vor allem, um bei einer Bonitätsanfrage die richtige Person zu finden, auch wenn der Name falsch geschrieben war oder jemand umgezogen ist. Außerdem sollten die Adressen helfen zu erkennen, ob sich jemand mit ständig wechselnden Anschriften einer Identifizierung entzieht. Zahlungserfahrungen lagen zu keinem der Kläger vor; ihr Score beruhte auf allgemeinen Angaben wie Adresse, Alter und Geschlecht.

Begründet haben die Kläger ihr Verbotsbegehren mit drei Vorwürfen, über die die Gerichte getrennt entschieden haben:

• Der Score werde ohne Zahlungsdaten berechnet, ohne dass die Kunden der CRIF davon ausreichend erfahren. Dieser Punkt war schon nach der ersten Instanz erledigt, weil die CRIF ihren Auskünften inzwischen einen ausdrücklichen Hinweis beifügt.
• Die Daten stammten aus einem Adressverlag, der sie für Werbung erhoben hatte, und seien zweckwidrig in die Bonitätsprüfung gewandert. Mit diesem Punkt haben die Kläger beim OGH gewonnen.
• Ein Score allein nach Alter und Wohnort diskriminiere statistisch. Diesen Punkt haben sie verloren.

Rechtlich stützt der OGH das Verbot auf § 20 Abs. 1 ABGB. Diese Bestimmung gibt seit 1. Jänner 2021 jedem, der in einem Persönlichkeitsrecht verletzt wird, einen Anspruch auf Unterlassung. Datenschutz ist nach der Rechtsprechung des OGH ein solches Persönlichkeitsrecht, und das gilt ausdrücklich auch für Verstöße gegen die Zweckbindung.

Bis zum Urteil vergingen fünf Jahre, mit einem Umweg über Luxemburg

Durchgesetzt haben sich die Kläger erst in der letzten Instanz:

Spannend ist die Begründung des OLG Wien. In der Sache gab es den Klägern weitgehend recht: Die Gewerbeordnung erlaube die Zweckänderung nicht, und wessen Adresse für Werbung gesammelt werde, der rechne nicht mit einer Bonitätsbewertung. Trotzdem hielt das OLG die bloße Identifizierung einer Person mit den zugekauften Adressen für zulässig, solange diese nicht in die eigentliche Berechnung des Scores einfließen. Deshalb blieb es in zwei Verfahren bei der Abweisung, im dritten sollte das Erstgericht klären, welche Daten tatsächlich in den Score eingeflossen waren. Genau diese Lücke hat der OGH geschlossen.

Und der Umweg über Luxemburg? Bevor der OGH entschied, war offen, ob es bei Datenschutzverstößen überhaupt einen vorbeugenden Anspruch auf Unterlassung geben kann. Diese Frage hatte der deutsche Bundesgerichtshof dem EuGH vorgelegt, deshalb hat der OGH die drei Verfahren 2024 angehalten. Am 4. September 2025 kam die Antwort: Die DSGVO selbst sieht einen solchen Anspruch nicht vor, die Mitgliedstaaten dürfen ihn aber in ihrem eigenen Recht verankern. In Österreich bietet § 20 ABGB diese Grundlage, und damit war der Weg für die Urteile frei.

Der Knackpunkt: Schon der Identitätscheck zählt zur Bonitätsprüfung

Im Kern geht es um einen Grundsatz der DSGVO, die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO). Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden, oder für einen damit vereinbaren. Der OGH stellt klar, dass das auch für den Käufer gilt, der Daten von einem anderen Unternehmen übernimmt und weiterverarbeitet.

Der Adressverlag hatte die Daten für Marketing gesammelt, was ihm § 151 GewO in einem bestimmten Rahmen auch ohne Einwilligung erlaubt. Bei der CRIF landeten sie in der Bonitätsprüfung. Die CRIF hielt dagegen, sie nutze die Adressen nur zur Identifizierung und nicht für die Berechnung. Das ließ der OGH nicht gelten:

Damit lag eine Zweckänderung vor, und eine Erlaubnis dafür fand der OGH nirgends: Die Kläger hatten nicht eingewilligt, und auch die Gewerbeordnung deckt den Wechsel von der Werbung in die Bonitätsprüfung nicht (§§ 151, 152 GewO). Blieb nur noch die Frage, ob beides so eng zusammenhängt, dass die neue Verwendung trotzdem passt (Art. 6 Abs. 4 DSGVO). Auch hier ging jeder Punkt an die Kläger:

• Zwischen Werbung und Bonitätsbewertung besteht keine relevante Nahebeziehung.
• Die Kläger standen in keiner Geschäftsbeziehung zur CRIF.
• Die Daten sind zwar nicht sensibel, eine Bonitätsbewertung kann aber schwere Folgen haben, etwa wenn ein Vertrag oder ein Kredit abgelehnt wird.
• Schutzvorkehrungen wie eine Pseudonymisierung hat die CRIF weder behauptet, noch wurden sie festgestellt.
• Wessen Daten für Werbung erhoben werden, rechnet vernünftigerweise nicht damit, dass sie später in einer Kreditbewertung auftauchen.

Die Gefahr einer Wiederholung sah der OGH als gegeben an, und er entschied gleich selbst in der Sache. Für Betroffene heißt das: Unzulässig war schon der Abgleich mit den Werbe-Adressen, ob es Sie unter einer bestimmten Anschrift gibt, und nicht erst die Berechnung des Scores.

Was nicht im CRIF-Urteil steht und warum es für Schadenersatz trotzdem zählt

Seit September 2026 wird viel über das CRIF-Urteil geschrieben. Damit Sie genau wissen, worauf Sie bauen können:

Kein zugesprochener Schadenersatz. Schadenersatz war gar nicht Gegenstand der Verfahren. Die Begriffe Schadenersatz und Art. 82 DSGVO kommen in den drei Urteilen nicht vor, ein Schadenersatzbetrag ebenso wenig; Geld spielt darin nur beim üblichen Ersatz der Verfahrenskosten eine Rolle. Was der OGH geliefert hat, ist die Feststellung der Rechtswidrigkeit, und genau darauf lässt sich der Schadenersatz stützen, den wir für Betroffene geltend machen.

Kein Verbot des Scorings. Eine Bonitätsbewertung ohne Zahlungserfahrungsdaten, also nur aus Angaben wie Alter, Adresse und Geschlecht, hält der OGH grundsätzlich für zulässig (Art. 6 Abs. 1 lit. f DSGVO). Seine Überlegung: Negative Zahlungserfahrungen liegen nur zu einem sehr kleinen Teil der Menschen in Österreich vor. Würde man sie verlangen, könnten Auskunfteien über die meisten Verbraucher gar keine Auskunft geben (OGH 6 Ob 147/25y, Rz 57). Ein generelles Verbot solcher Scores hat der OGH deshalb abgelehnt, die genauen Anforderungen an sie hat er offengelassen. Wie ein Score entsteht und welche Angaben einfließen, erklärt der Ratgeber zum CRIF-Score.

Keine Vorlage an den EuGH. Die Kläger hatten angeregt, dem Gerichtshof der Europäischen Union eine Frage vorzulegen. Der OGH lehnte das unter Verweis auf seine eigene Begründung ab und fügte hinzu, die Abwägung im Einzelfall sei ohnehin Sache der nationalen Gerichte.

Und noch ein Punkt zur Reichweite: Das ausgesprochene Verbot gilt nur gegenüber den vier Klägern, so wirkt ein Zivilurteil. Die Begründung ist aber eine klare Aussage des Höchstgerichts, an der sich Gerichte in gleich gelagerten Fällen orientieren.

Parallel läuft ein zweiter Strang bei Behörde und Verwaltungsgerichten

Neben den Zivilklagen läuft seit 2021 ein eigenes Verfahren bei der Datenschutzbehörde (DSB). Mit den OGH-Urteilen hat es formal nichts zu tun, es betrifft aber denselben Datenfluss. Am 18. März 2021 brachte die Datenschutzorganisation noyb für einen Betroffenen Beschwerden gegen die CRIF und gegen die AZ Direct Österreich GmbH ein, die die Behörde als den Adressverlag nennt, von dem die Daten stammten.

Endgültig abgeschlossen ist dieser Strang also nicht. Für Geld ist die Behörde ohnehin der falsche Ort, denn über Schadenersatz entscheiden in Österreich die Zivilgerichte. Dort ist das OGH-Urteil der Anker; die Entscheidungen von DSB und Bundesverwaltungsgericht sind die Vorgeschichte, die das Bild abrundet.

Laut CRIF ist die Praxis seit 2023 beendet, für Schadenersatz zählt die Zeit davor

In einer Stellungnahme, über die help.ORF.at am 1. September 2026 berichtete, sagt die CRIF: Die Entscheidungen beträfen eine Datenverarbeitung aus dem Jahr 2020. Die Verwendung der Adressdaten von AZ Direct für die Bewertung der Zahlungsausfallswahrscheinlichkeit sei im Oktober 2023 eingestellt worden, die heute angewandten Verfahren seien nicht betroffen.

Beim genauen Datum weichen die eigenen Angaben leicht voneinander ab: Die Datenschutzerklärung der CRIF nennt für diesen Zweck den 27. September 2023, eine Stellungnahme vom Dezember 2023 den 17. Oktober 2023.

Für Sie zählt etwas anderes: Ein Schadenersatz betrifft das, was mit Ihren Daten in der Zeit davor geschehen ist. Ob Ihre Angaben aus einem Adressverlag stammen und wer Ihre Bonität abgefragt hat, zeigt die Auskunft der CRIF. Wie Sie diese selbst anfordern, erklärt der Ratgeber CRIF-Auskunft anfordern; wer seine Daten löschen lassen möchte, liest vorher im Ratgeber CRIF-Daten löschen, was eine Löschung bewirkt. Bequemer geht es über uns: Wenn Sie sich eintragen, holt die Rechtsanwaltskanzlei die Auskunft mit Ihrer Vollmacht ein.

Mit dem OGH-Urteil im Rücken lässt sich jetzt Schadenersatz geltend machen

Der OGH hat geklärt, dass die Verwendung von Werbe-Adressdaten in der Bonitätsprüfung rechtswidrig war. Für Menschen, deren Daten so verwendet wurden, ist das die Grundlage, um Ersatz für einen immateriellen Schaden nach Art. 82 DSGVO zu verlangen. Die Kläger der drei Verfahren sind diesen Schritt dort nicht gegangen. Sie können ihn jetzt gehen, mit uns an Ihrer Seite.

Wir machen für Sie 500 Euro geltend. Diese Größenordnung nennt die Berichterstattung über das Urteil, und denselben Betrag hat der OGH 2021 in einem anderen Datenschutzfall bestätigt (6 Ob 56/21k). Ob die CRIF am Ende zahlt und wie viel, klärt ein Vergleich oder ein Gericht. Ihr Kostenrisiko dabei: null. Bezahlt wird die Koptimal GmbH nur im Erfolgsfall, mit 42 Prozent des Nettoerlöses inklusive Umsatzsteuer, also dessen, was nach den vorfinanzierten Fallkosten bleibt; 58 Prozent davon gehen an Sie.

Für eine Zahlung braucht es neben dem Verstoß auch einen persönlichen Schaden, und der darf klein sein: Eine Mindestschwelle gibt es nicht. Schon begründete Sorge oder Ärger darüber, keine Kontrolle mehr über die eigenen Angaben gehabt zu haben, kann genügen, wenn das nachgewiesen wird (EuGH C-300/21 und C-655/23). Diesen Teil arbeitet die Rechtsanwaltskanzlei gemeinsam mit Ihnen heraus, den Schriftverkehr mit der CRIF übernimmt sie. Wie Gerichte solche Schäden bisher bewertet haben, erklärt unser Ratgeber zum Schadenersatz nach der DSGVO.

Warum nicht allein? Eine Klage nach Art. 82 DSGVO gehört vor das Landesgericht, dort herrscht Anwaltspflicht, und wer verliert, zahlt auch die Anwaltskosten der Gegenseite. Nach unserer eigenen Überschlagsrechnung kann eine verlorene Einzelklage über 500 Euro rund 1.530 Euro kosten, etwa das Dreifache der Forderung. Gehen Sie den Weg über uns, liegt dieses Risiko bei der Koptimal GmbH und nicht bei Ihnen.

Ein Grund, nicht zu lange zu warten: Für Schadenersatz gilt grundsätzlich eine Verjährungsfrist von drei Jahren ab dem Zeitpunkt, zu dem man Schaden und Schädiger kennt (§ 1489 ABGB). Ab wann diese Frist im CRIF-Fall läuft, ist höchstgerichtlich noch offen. Besser also, Sie lassen Ihren Fall bald prüfen und Schadenersatz bei der CRIF geltend machen.

Wir sind seit September 2026 dabei und nehmen Ihnen den Weg ab

Wir sind schon mitten in der Arbeit: Betroffene tragen sich bei uns ein, und die Rechtsanwaltskanzlei an unserer Seite holt für sie laufend Auskünfte bei der CRIF ein. Das Geld für die Durchsetzung stellt die Koptimal GmbH bereit, die zur selben Unternehmensgruppe gehört wie Fixkostenreduzierer.at.

Von Ihnen brauchen wir nur wenig: online eintragen, eine Ausweiskopie hochladen und den Prozessfinanzierungsvertrag samt Vollmacht für die Kanzlei digital unterschreiben. Mit der Vollmacht fordert die Kanzlei Ihre CRIF-Auskunft an und sieht nach, woher Ihre Daten stammen. Sind sie betroffen, macht sie den Schadenersatz für Sie bei der CRIF geltend, zuerst mit dem Ziel eines Vergleichs und wenn nötig vor Gericht. Ein praktischer Grund, früh anzufangen: Für die Auskunft hat die CRIF in der Regel einen Monat Zeit (Art. 12 Abs. 3 DSGVO), und erst mit ihr steht fest, ob Ihre Daten betroffen sind.

Vorab zahlen Sie nichts, und ein verlorener Fall kostet Sie ebenfalls nichts. Im Erfolgsfall gleicht der Erlös zuerst die tatsächlich vorfinanzierten Fallkosten aus; vom Nettoerlös danach erhält die Koptimal GmbH 42 Prozent inklusive Umsatzsteuer als Erfolgsbeteiligung, die übrigen 58 Prozent gehen an Sie. Zum Vorstellen, ohne Zusage: Bleiben nach den Fallkosten 500 Euro, sind das 290 Euro für Sie und 210 Euro für die Koptimal. Rechnen Sie mit mehreren Monaten; wie viele es werden, entscheidet sich vor allem daran, ob eine Einigung ohne Gericht gelingt. Die Aufgaben sind dabei klar getrennt: Wir organisieren und finanzieren, die Rechtsanwaltskanzlei prüft Ihren Fall und vertritt Sie.

Sie möchten vorher mit jemandem reden? Wir sind gebührenfrei unter 0800 88 44 92 und per E-Mail an backoffice@fixkostenreduzierer.at für Sie erreichbar. Wie eine Prozessfinanzierung grundsätzlich funktioniert, erklärt der Ratgeber Prozessfinanzierung; alle Einzelheiten zu Vertrag und Ablauf stehen auf der Seite CRIF-Schadenersatz ohne Kostenrisiko.