# Datenschutz Debitorendaten Dsgvo Informationspflichten > Für Datenschutz Debitorendaten DSGVO Informationspflichten: ordnet Norm, Beweislast und Gegenargument; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt. - Skill: `klotzkette/datenschutz-debitorendaten-dsgvo-informationspflichten` (Agent Skill) - Install (CLI): `npx skillmds@latest add klotzkette/datenschutz-debitorendaten-dsgvo-informationspflichten` - Raw SKILL.md: https://api.skillmd.com/api/skills/klotzkette/datenschutz-debitorendaten-dsgvo-informationspflichten/raw - Safety review: pending (external: skill-scanner PASS, skillspector PASS) - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Coding & Dev Tools - Author: Klotzkette (https://skillmd.com/u/klotzkette) - Updated: 2026-09-08 - Page: https://skillmd.com/skills/klotzkette/datenschutz-debitorendaten-dsgvo-informationspflichten --- # Datenschutz Debitorendaten DSGVO Informationspflichten ## Arbeitsbereich Datenschutz Debitorendaten DSGVO Informationspflichten: prüft die einschlägigen Voraussetzungen, Dokumente, Risiken und Ausnahmen. Norm-/Quellenanker: KWG § 1 Abs. 1a Satz 2 Nr. 9, § 32 KWG, BaFin-Merkblatt Factoring, BGB §§ 398 ff., HGB § 354a, ZAG, GwG, DSGVO. Arbeite entlang dieser konkreten Prüfungslinie und trenne Rolle, Frist, Zuständigkeit, Beweislast und gewünschten Output. ## Arbeitsweg - Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht? - Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen. - Tragende Normen verifizieren: StaRUG §§ 1, 29, 31, 39, 49-55, 84, 102, IDW S 6, IDW S 11, InsO § 270 — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate. - Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail). - Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis. ## Fachkern: Datenschutz Debitorendaten DSGVO Informationspflichten - **Normen-/Quellenanker:** BGB Forderungsabtretung, HGB, KWG/ZAG-Erlaubnisfragen, InsO-Anfechtung, Factoringvertrag, Debitorenmanagement, Datenschutz und Geldwäsche. - **Entscheidende Weiche:** Echtes/unechtes Factoring, Forderungsbestand, Abtretbarkeit, Einwendungen, Debitoreninformation, Insolvenzrisiko und Refinanzierung trennen. - **Arbeitsprodukt:** Erzeuge eine konkrete Prüf- oder Entscheidungsmatrix mit Norm, Tatbestand, Beleg, Einwand, Risikoampel und nächstem Schritt; Anschluss-Skills nur bei echter Vertiefung nennen. ## Worum geht es konkret Beim Forderungsverkauf werden **personenbezogene Daten** der Debitoren mit übertragen: Name, Adresse, Bankverbindung, Zahlungsverhalten, gegebenenfalls Krankendaten (bei Gesundheits-Factoring), Sozialdaten. Diese Datenweitergabe ist eine **Verarbeitung im Sinne der DSGVO** und benötigt eine Rechtsgrundlage. Häufig genutzt: Art. 6 Abs. 1 lit. b (Vertragsdurchführung) und Art. 6 Abs. 1 lit. f (berechtigtes Interesse). Beim Factor entsteht eine **neue Verantwortlichkeit** im Sinne von Art. 4 Nr. 7 DSGVO – mit eigenen Informationspflichten gegenüber dem Debitor (Art. 14 DSGVO). Behandle: Rechtsgrundlagen, Informationspflichten, Auftragsverarbeitung versus Joint Controllership, Datenexport bei Auslandsfactoring, Löschpflichten, Betroffenenrechte und die DSGVO-Spezialfälle Bonitätsbewertung und Inkasso. ## Wann dieses Modul hilft / Kaltstart-Fragen - Sie strukturieren ein neues Factoring und müssen das DSGVO-Konzept aufsetzen. - Ein Debitor verlangt nach Abtretungsanzeige Auskunft nach Art. 15 DSGVO. - Bei Auslandsfactoring stellt sich die Frage Datentransfer in Drittländer (Art. 44 ff. DSGVO). - Bei Gesundheits-Factoring greifen besondere Datenkategorien nach Art. 9 DSGVO. Fragen zum Einstieg: - Welche Daten werden übertragen (Stammdaten, Bonität, sensible Daten)? - Sind Debitoren natürliche Personen (DSGVO greift) oder juristische Personen (eingeschränkt)? - Erfolgt ein Datentransfer ins Ausland? - Gibt es schon Datenschutzhinweise des Kunden, die den Factor erwähnen? - Ist ein Datenschutzbeauftragter beim Factor bestellt? ## Rechtlicher Rahmen - **DSGVO Art. 4 Nr. 7**: Verantwortlicher – natürliche oder juristische Person, die über Zwecke und Mittel der Verarbeitung entscheidet. Factor ist eigenständig verantwortlich. - **DSGVO Art. 6 Abs. 1 lit. b**: Verarbeitung zur Vertragserfüllung. - **DSGVO Art. 6 Abs. 1 lit. f**: Verarbeitung aufgrund berechtigter Interessen (Forderungsdurchsetzung). - **DSGVO Art. 9**: Besondere Kategorien (Gesundheitsdaten beim Forderungskauf von Ärzten, Krankenhäusern). - **DSGVO Art. 13, 14**: Informationspflichten – bei Erhebung beim Betroffenen (Art. 13), bei Erhebung aus Dritter Quelle (Art. 14, also typische Factor-Konstellation). - **DSGVO Art. 15**: Auskunftsrecht des Betroffenen. - **DSGVO Art. 17**: Recht auf Löschung. - **DSGVO Art. 28**: Auftragsverarbeitung (bei Inkasso-Dienstleistern). - **DSGVO Art. 44 ff.**: Drittlandtransfer. - **BDSG § 31**: Scoring – Voraussetzungen für Bonitätsbewertung. - **§ 203 StGB**: Geheimnisschutz bei Berufsgeheimnisträgern (Ärzte, Anwälte) – bei Factoring von Honorarforderungen relevant. ## / Schritt für Schritt 1. **Datenkatalog erstellen**: Welche Datenkategorien werden vom Kunden auf den Factor übertragen? 2. **Verantwortlichkeit klären**: Verkäufer und Factor sind in der Regel jeweils eigenständig Verantwortliche, keine Auftragsverarbeitung. 3. **Rechtsgrundlage festlegen**: Art. 6 Abs. 1 lit. b/f; bei sensiblen Daten Art. 9. 4. **Informationspflichten erfüllen**: Art. 14 DSGVO – binnen vier Wochen nach Datenerhebung Information an Debitor (typischerweise integriert in Abtretungsanzeige). 5. **Betroffenenrechte abbilden**: Prozess für Auskunft, Berichtigung, Löschung, Widerspruch. 6. **Auftragsverarbeitung prüfen**: Inkassobüro, IT-Hoster – AVV nach Art. 28 erforderlich. 7. **Drittlandtransfer**: Bei Auslandsfactoring SCC nach Art. 46 oder Angemessenheitsbeschluss prüfen. ## Trade-off-Matrix | Konstellation | DSGVO-Lösung | Risiko | |---|---|---| | Debitor = Unternehmen | DSGVO greift nur für natürliche Daten dahinter | Beschränkte Pflichten | | Debitor = Verbraucher | Volle DSGVO-Pflichten | Hoher Informationsaufwand | | Stille Zession | Information dennoch nach Art. 14 erforderlich | Konflikt mit "still" | | Auslandsfactoring (Drittland) | SCC / Angemessenheitsbeschluss | Risiko Bußgeld DSGVO | | Gesundheits-Factoring | Art. 9 plus berufsrechtliche Sondervorgaben | Sehr hoch | | Anwalt/StB-Forderungen | § 203 StGB plus DSGVO | Mandantengeheimnis | ## Praxistipps - **Information schon in Notifikation integrieren**: Die Abtretungsanzeige enthält ohnehin Pflichtangaben – Art. 14-Information dort verarbeiten. - **Stille Zession ist DSGVO-kritisch**: Wenn der Debitor nicht informiert wird, ist Art. 14 schwer einzuhalten – ggf. Berufung auf Art. 14 Abs. 5 (unverhältnismäßiger Aufwand) prüfen. - **AVV mit Inkassopartnern**: Wenn ein externes Inkassobüro tätig wird, AVV nach Art. 28 ist Pflicht. - **Datenschutzfolgenabschätzung**: Bei groß angelegter Verarbeitung von Bonitätsdaten ist DSFA nach Art. 35 möglich. - **Datenschutzbeauftragten benennen**: Bei Factor mit mehr als 20 Mitarbeitern in datenintensiven Tätigkeiten Pflicht (§ 38 BDSG). ## Mustertexte **Information nach Art. 14 DSGVO (in Notifikation integriert)** "Information nach Art. 14 DSGVO: Wir haben Ihre personenbezogenen Daten (Name, Anschrift, Bankverbindung, Forderungsdaten) von [Kunde] erhalten. Verantwortlicher: [Factor], …, Datenschutzbeauftragter: …, Verarbeitungszwecke: Forderungseinzug und -verwaltung, Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Speicherdauer: bis zur vollständigen Abwicklung der Forderung und Ablauf der gesetzlichen Aufbewahrungsfristen. Ihre Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Beschwerde bei der Datenschutzaufsicht." **Klausel im Factoringvertrag (DSGVO)** "Die Parteien sind im Hinblick auf die Verarbeitung von Debitorendaten jeweils eigenständig Verantwortliche im Sinne der DSGVO. Der Kunde gewährleistet, dass die Übermittlung der Daten an den Factor auf Art. 6 Abs. 1 lit. b oder f DSGVO gestützt ist und dass die Debitoren entsprechend Art. 13 DSGVO informiert wurden. Der Factor wird seinerseits die Information nach Art. 14 DSGVO erfüllen." **Auskunftsantwort (Art. 15 DSGVO)** "Sehr geehrte Damen und Herren, in Beantwortung Ihres Auskunftsersuchens vom … teilen wir mit: 1. Welche Daten wir verarbeiten: Name, Anschrift, Geburtsdatum, Bankverbindung, Forderungsbetrag, Zahlungseingänge, Mahnstand. 2. Zwecke: Forderungseinzug. 3. Empfänger: Inkassopartner, Rechtsanwälte. 4. Speicherdauer: 10 Jahre nach vollständiger Abwicklung. 5. Herkunft: [Kunde]. Anlage: Kopie der zu Ihnen gespeicherten Daten." ## Typische Fehler - Verkennen, dass Factor eigenständig Verantwortlicher ist (nicht nur Auftragsverarbeiter). - Vernachlässigung der Art. 14-Information bei stiller Zession. - AVV mit Inkassopartner fehlt – Datenschutzaufsicht stuft als DSGVO-Verstoß ein. - Auslandstransfer ohne SCC oder Angemessenheitsbeschluss. - Übersehen des § 203 StGB bei Factoring ärztlicher/anwaltlicher Honorarforderungen. ## Quellen Stand 06/2026 - DSGVO Art. 4, 6, 9, 13, 14, 15, 17, 28, 35, 44 ff. - BDSG §§ 31, 38, 39 (Scoring, Datenschutzbeauftragter, Aufsicht). - StGB § 203 zum Geheimnisschutz Berufsgeheimnisträger. - EuGH zu Standard Contractual Clauses und Schrems-II-Folgen (jeweils aktueller Stand). - BfDI- und Landesdatenschutzbehörden, Veröffentlichungen zur Verarbeitung im Factoring.