1. Contexte et faits
L'affaire concerne Inkasso-Team AG, active dans le recouvrement de créances, contre le Préposé fédéral à la protection des données et à la transparence (PFPDT).
Inkasso-Team exploite les sites Internet https://inkasso-team.com/ et https://schuldner-finden.com/, sur lesquels elle publie des données personnelles de débiteurs présumés — nom, prénom, pseudonyme, adresse, origine, lieu de travail, activité professionnelle, indications relatives à des procédures civiles et pénales et à des jugements, photos des débiteurs présumés ou de leurs proches, enregistrements vocaux — sous des rubriques telles que « Demandes », « Avertissements » et « Enquêtes & Prévention, Fraude ». Les visiteurs sont invités à ne pas contracter avec ces personnes et à partager leurs propres expériences avec ces dernières.
Alertée dès 2021 par l'autorité bavaroise de protection des données (BayLDA), puis à nouveau en 2023, le PFPDT a ouvert une enquête et, par décision du 28 avril 2025, a ordonné à Inkasso-Team de cesser cette publication, de supprimer les données déjà publiées et de confirmer l'exécution de cette suppression, sous menace d'amende. La société a recouru au Tribunal administratif fédéral (Tribunal), invoquant une violation de son droit d'être entendue et affirmant elle avait respecté les principes de traitement prévus par la loi sur la protection des données et, dans la mesure où des droits de la personnalité seraient malgré tout violés, il existait des motifs justificatifs, notamment un intérêt privé ou public prépondérant.
2. Décision du Tribunal
Le TAF écarte le grief formel, c'est-à-dire une violation du droit d'être entendu. Ce qui est déterminant, c'est de savoir si la personne concernée a eu la possibilité de faire valoir utilement son point de vue. Il découle du droit d'être entendu (art. 29 al. 2 Cst.) l'obligation, pour les autorités, de motiver leurs décisions. La motivation doit être rédigée de telle manière que la personne concernée puisse se faire une idée de la portée de la décision et l'attaquer de manière appropriée. Elle peut se limiter aux aspects essentiels de la décision. Exposant clairement les faits retenus, les règles juridiques applicables ainsi que le raisonnement juridique, la décision attaquée satisfait à l'obligation de motiver, indépendamment du bien-fondé matériel de cette motivation.
S'agissant en particulier de l'établissement des faits, la recourante contestait le caractère général de l'analyse du PFPDT, estimant que toutes les sous-pages de son site ne présentaient pas le même contenu. Le Tribunal juge cet argument sans pertinence : ce qui importe ce n'est pas chaque page précise mais la pratique générale de la recourante ; des captures d'écran représentatives suffisent à établir un « schéma » qui contrevient aux principes du traitement des données, sans qu'un motif justificatif soit apparent.
Quant à la violation du droit matériel par la recourante, le TAF confirme une violation des principes de licéité, de finalité, de transparence et de proportionnalité (art. 6 al. 1 à 3 LPD). Les données provenant de tiers (et non des débiteurs eux-mêmes) exigent une information préalable et individualisée des personnes concernées. Le fait que la majorité des personnes concernées auraient été informées, ou se seraient elles-mêmes manifestées après coup, ne suffit pas. Une information ultérieure ne satisfait pas non plus aux exigences d'un traitement transparent des données. Le but poursuivi (prévention de la fraude, recouvrement) n'a pas de base légale permettant à des particuliers de s'y substituer à l'État ; des moyens légaux moins intrusifs existent (poursuite, procédure judiciaire, registres publics). La pesée des intérêts penche nettement en faveur des personnes concernées, compte tenu de « l'effet de pilori » et du caractère quasi permanent d'Internet.
Ces violations cumulées constituent une atteinte à la personnalité (art. 30 al. 2 let. a LPD), aggravée par le fait que certaines données (procédures civiles ou pénales, enregistrements vocaux) sont des données personnelles sensibles (art. 5 let. c LPD), dont la divulgation constitue une atteinte supplémentaire (art. 30 al. 2 let. c LPD).
Le Tribunal confirme l'absence de motifs justificatifs (art. 31 LPD). Ni consentement, ni base légale, ni intérêt privé prépondérant de la recourante ou des créanciers, ni intérêt public prépondérant à la publication des données personnelles sur Internet ne sont retenus. Le Tribunal souligne que la répression de la fraude relève exclusivement des autorités pénales, que les créanciers disposent de voies légales dédiées (loi sur la poursuite, LP), et que l'intérêt économique de la recourante à monétiser cette activité pèse peu face aux droits fondamentaux des personnes visées. Les adaptations volontaires du site (transformation partielle en service d'information de crédit selon l'art. 31 al. 2 let. c LPD) sont jugées sans incidence sur la légalité de la décision querellée, puisque le contrôle judiciaire porte sur la situation au moment de son prononcé.
3. Commentaire
Le raisonnement du Tribunal est bien structuré, suivant scrupuleusement la grille d'analyse du droit suisse de la protection des données. La distinction entre l'obligation formelle de motiver et le bien-fondé de la motivation (aspect matériel) est juridiquement rigoureuse et évite une confusion fréquente en pratique. Le Tribunal développe aussi une réflexion substantielle sur le rôle subsidiaire de l'intérêt public en matière de traitement de données par des particuliers — un rappel utile face à la tentation croissante avec les plateformes de « name and shame » de justifier des pratiques privées de surveillance par un intérêt public mal défini.
L'arrêt évite toutefois de trancher certaines questions qui auraient mérité un examen plus approfondi. D'abord, le sort de la conformité à l'art. 19 LPD (devoir d'information) est expressément laissé ouvert, le Tribunal se contentant de fonder l'atteinte sur l'art. 6 al. 3 LPD — un choix pragmatique, mais qui prive la jurisprudence d'une clarification bienvenue sur la corrélation entre ces deux dispositions. De même, la question de savoir si le principe de la bonne foi (art. 6 al. 2 LPD) a été violé est laissée indécise dès lors que les autres griefs suffisent — ce qui est logique en termes d'économie de procédure.
Sur le fond, l'argumentation de la recourante — selon laquelle les voies légales de recouvrement seraient insuffisamment efficaces, justifiant un recours à la publication en ligne — est écartée avec une formule un peu courte : le Tribunal affirme qu'accepter cet argument neutraliserait la pesée des intérêts et, partant, viderait de sa substance la protection juridique en matière de protection des données, sans véritablement discuter, avec des données empiriques à l'appui, l'allégation, souvent avancée en pratique, que les registres publics et les procédures d'exécution forcée sont inefficaces ou peu accessibles. Une motivation plus circonstanciée sur ce point aurait renforcé la portée pédagogique de l'arrêt, notamment pour d'autres opérateurs tentés par des pratiques similaires (annuaires de « mauvais payeurs », plateformes d'avis consommateurs agressives, etc.).
L'argument de l'« effet de pilori » est en revanche particulièrement solide : le Tribunal relève à juste titre que même à supposer les créances fondées, la publication en ligne confère à un acteur privé une fonction quasi pénale (identification publique, incitation à la dénonciation) que le système juridique suisse réserve aux autorités. Ce raisonnement s'inscrit dans la ligne d'une jurisprudence européenne et suisse de plus en plus sensible aux effets de la viralité et de la pérennité numérique des publications ; « le web n'oublie pas ».
Sur le plan procédural, le fait que la recourante n'ait pas répliqué et n'ait donc pas véritablement contesté les arguments de l'autorité intimée dans un second échange d'écritures a sans doute facilité le rejet du recours ; l'arrêt aurait probablement été plus disputé si la recourante avait développé une argumentation économique et empirique plus fournie sur l'inefficacité alléguée des moyens légaux alternatifs.
Cet arrêt confirme, dans la ligne de la pratique antérieure du PFPDT, que la publication en ligne de données de débiteurs présumés par des sociétés de recouvrement privées est en principe illicite en droit suisse, faute de base légale, de proportionnalité et de motif justificatif suffisant — même lorsque les créances sont réelles. Il constitue un signal clair adressé aux plateformes de « shaming » de débiteurs ou de fraudeurs présumés, tout en laissant ouverte la possibilité, déjà évoquée par l'autorité elle-même, de reconvertir ce type de service en une activité de renseignement de solvabilité encadrée par l'art. 31 al. 2 let. c LPD.
1. Background and facts
The case concerns Inkasso-Team AG, a debt collection company, against the Federal Data Protection and Information Commissioner (FDPIC).
Inkasso-Team operates the websites https://inkasso-team.com/ and https://schuldner-finden.com/, on which it publishes personal data of alleged debtors — first name, surname, pseudonym, address, origin, place of work, professional activity, information relating to civil and criminal proceedings and judgments, photographs of alleged debtors or their relatives, voice recordings — under headings such as "Enquiries", "Warnings" and "Investigations & Prevention, Fraud". Visitors are invited not to enter into contracts with these individuals and to share their own experiences of dealing with them.
Having been alerted as early as 2021 by the Bavarian data protection authority (BayLDA), and again in 2023, the FDPIC opened an investigation and, by decision of 28 April 2025, ordered Inkasso-Team to cease this publication, delete the data already published, and confirm the completion of that deletion, under threat of a fine. The company appealed to the Federal Administrative Tribunal, alleging a violation of its right to be heard and arguing that it had complied with the processing principles provided by data protection law and that, to the extent personal rights were nonetheless infringed, there were justifying grounds, in particular an overriding private or public interest.
2. The Tribunal's decision
The FAT dismissed the formal ground, i.e. the alleged violation of the right to be heard. What is decisive is whether the party concerned had a genuine opportunity to put forward its point of view. The right to be heard (Art. 29(2) Federal Constitution) entails an obligation on authorities to give reasons for their decisions. The reasoning must be drafted in such a way that the party concerned can understand the scope of the decision and challenge it appropriately. It may be confined to the essential aspects of the decision. Since the contested decision clearly sets out the established facts, the applicable legal rules and the legal reasoning, it satisfies the obligation to give reasons, independently of the substantive merits of that reasoning.
On the establishment of the facts in particular, the appellant contested the general nature of the FDPIC's analysis, arguing that not all sub-pages of its website contained the same content. The Tribunal found this argument immaterial: what matters is not each specific page but the appellant's general practice; representative screenshots suffice to establish a "pattern" that contravenes the data processing principles, with no apparent justifying ground.
As regards the appellant's violation of substantive law, the FAT confirmed a violation of the principles of lawfulness, purpose limitation, transparency and proportionality (Art. 6(1) to (3) FADP). Data obtained from third parties (rather than from the debtors themselves) requires prior and individualised information to the data subjects. The fact that the majority of the data subjects were informed, or came forward themselves after the fact, does not suffice. Subsequent information also fails to meet the requirements of transparent data processing. The purpose pursued (fraud prevention, debt collection) has no legal basis allowing private parties to substitute themselves for the State; less intrusive legal means exist (enforcement proceedings, court proceedings, public registers). The weighing of interests falls clearly in favour of the data subjects, taking into account the "pillory effect" and the quasi-permanent nature of Internet publications.
These cumulative violations constitute an infringement of personal rights (Art. 30(2)(a) FADP), aggravated by the fact that certain data (civil or criminal proceedings, voice recordings) constitute sensitive personal data (Art. 5(c) FADP), whose disclosure constitutes a further infringement (Art. 30(2)(c) FADP).
The Tribunal confirmed the absence of justifying grounds (Art. 31 FADP). Neither consent, nor a legal basis, nor an overriding private interest of the appellant or creditors, nor an overriding public interest in publishing personal data on the Internet were established. The Tribunal emphasised that the prosecution of fraud falls exclusively within the remit of criminal authorities, that creditors have dedicated legal avenues available to them (Debt Enforcement and Bankruptcy Act, DEBA), and that the appellant's economic interest in monetising this activity carries little weight against the fundamental rights of the persons targeted. The voluntary adjustments to the website (partial transformation into a credit information service under Art. 31(2)(c) FADP) were found to have no bearing on the legality of the contested decision, since judicial review concerns the situation at the time the decision was issued.
3. Commentary
The Tribunal's reasoning is well-structured, meticulously following the analytical framework of Swiss data protection law. The distinction between the formal obligation to give reasons and the substantive merits of those reasons is legally rigorous and avoids a confusion that is common in practice. The Tribunal also develops a substantive reflection on the subsidiary role of the public interest in data processing by private parties — a useful reminder in the face of the growing temptation of "name and shame" platforms to justify private surveillance practices on the basis of an ill-defined public interest.
The ruling nonetheless avoids resolving certain questions that would have warranted more thorough examination. First, the question of compliance with Art. 19 FADP (duty to inform) is expressly left open, the Tribunal confining itself to founding the infringement on Art. 6(3) FADP — a pragmatic choice, but one that deprives the case law of a welcome clarification on the correlation between these two provisions. Similarly, the question of whether the principle of good faith (Art. 6(2) FADP) was violated is left undecided since the other grounds suffice — which is logical in terms of procedural economy.
On the merits, the appellant's argument — that the legal avenues for debt collection are insufficiently effective, justifying resort to online publication — is dismissed with a somewhat brief formula: the Tribunal states that accepting this argument would neutralise the balancing of interests and, consequently, empty the legal protection afforded by data protection law of its substance, without genuinely discussing, with empirical evidence, the allegation, frequently advanced in practice, that public registers and enforcement proceedings are ineffective or inaccessible. More detailed reasoning on this point would have reinforced the pedagogical impact of the ruling, in particular for other operators tempted by similar practices ("bad payer" directories, aggressive consumer review platforms, etc.).
The "pillory effect" argument is, by contrast, particularly robust: the Tribunal rightly observes that even assuming the debts to be well-founded, online publication confers on a private actor a quasi-criminal function (public identification, encouragement of denunciation) that the Swiss legal system reserves for the authorities. This reasoning is consistent with a line of European and Swiss case law increasingly sensitive to the effects of virality and the digital permanence of publications: "the web does not forget".
From a procedural standpoint, the fact that the appellant did not reply and therefore did not genuinely contest the respondent authority's arguments in a second round of written submissions undoubtedly facilitated the dismissal of the appeal; the ruling would probably have been more contested had the appellant developed a more substantial economic and empirical argument on the alleged ineffectiveness of alternative legal means.
This ruling confirms, in line with the FDPIC's prior practice, that the online publication of data of alleged debtors by private debt collection companies is in principle unlawful under Swiss law, for lack of a legal basis, proportionality and sufficient justifying grounds — even where the underlying debts are genuine. It constitutes a clear signal to platforms that "shame" alleged debtors or fraudsters, while leaving open the possibility, already mentioned by the authority itself, of reconverting this type of service into a credit information activity governed by Art. 31(2)(c) FADP.
1. Kontext und Sachverhalt
Der Fall betrifft Inkasso-Team AG, ein im Schuldeninkasso tätiges Unternehmen, gegen den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).
Inkasso-Team betreibt die Websites https://inkasso-team.com/ und https://schuldner-finden.com/, auf denen sie Personendaten mutmasslicher Schuldner veröffentlicht — Vor- und Nachname, Pseudonym, Adresse, Herkunft, Arbeitsort, berufliche Tätigkeit, Angaben zu Zivil- und Strafverfahren und Urteilen, Fotos der mutmasslichen Schuldner oder ihrer Angehörigen, Sprachaufnahmen — unter Rubriken wie „Anfragen", „Warnungen" und „Ermittlungen & Prävention, Betrug". Die Besucher werden aufgefordert, keine Verträge mit diesen Personen abzuschliessen und ihre eigenen Erfahrungen mit ihnen zu teilen.
Nachdem sie bereits 2021 vom Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) und erneut 2023 auf das Vorgehen hingewiesen worden war, eröffnete der EDÖB eine Untersuchung und ordnete mit Entscheid vom 28. April 2025 an, dass Inkasso-Team diese Veröffentlichung einstellt, die bereits veröffentlichten Daten löscht und die Durchführung dieser Löschung bestätigt, unter Androhung einer Busse. Das Unternehmen erhob Beschwerde beim Bundesverwaltungsgericht (Gericht) und rügte eine Verletzung des rechtlichen Gehörs sowie die Behauptung, sie habe die im Datenschutzrecht vorgesehenen Bearbeitungsgrundsätze eingehalten und, soweit Persönlichkeitsrechte trotzdem verletzt sein sollten, lägen Rechtfertigungsgründe vor, insbesondere ein überwiegendes privates oder öffentliches Interesse.
2. Entscheid des Gerichts
Das BVGer weist die formelle Rüge der Verletzung des rechtlichen Gehörs ab. Massgebend ist, ob die betroffene Partei die Möglichkeit hatte, ihren Standpunkt wirksam geltend zu machen. Aus dem Anspruch auf rechtliches Gehör (Art. 29 Abs. 2 BV) ergibt sich die Pflicht der Behörden, ihre Entscheide zu begründen. Die Begründung muss so abgefasst sein, dass die betroffene Partei die Tragweite des Entscheids erkennen und ihn sachgerecht anfechten kann. Sie darf sich auf die wesentlichen Aspekte des Entscheids beschränken. Da der angefochtene Entscheid die festgestellten Sachverhalte, die anwendbaren Rechtsregeln und die rechtliche Begründung klar darlegt, genügt er der Begründungspflicht, unabhängig von der materiellen Richtigkeit dieser Begründung.
Hinsichtlich der Sachverhaltsermittlung bestritt die Beschwerdeführerin den allgemeinen Charakter der Analyse des EDÖB und machte geltend, nicht alle Unterseiten ihrer Website hätten denselben Inhalt. Das Gericht erachtet dieses Argument als unerheblich: Massgebend ist nicht jede einzelne Seite, sondern die allgemeine Praxis der Beschwerdeführerin; repräsentative Screenshots genügen, um ein „Schema" zu belegen, das gegen die Grundsätze der Datenbearbeitung verstösst, ohne dass ein Rechtfertigungsgrund erkennbar wäre.
Was die materielle Rechtsverletzung durch die Beschwerdeführerin betrifft, bestätigt das BVGer eine Verletzung der Grundsätze der Rechtmässigkeit, der Zweckbindung, der Transparenz und der Verhältnismässigkeit (Art. 6 Abs. 1–3 DSG). Daten, die von Dritten (und nicht von den Schuldnern selbst) stammen, erfordern eine vorgängige und individualisierte Information der betroffenen Personen. Der Umstand, dass die Mehrheit der betroffenen Personen informiert worden sein soll oder sich nachträglich selbst gemeldet habe, genügt nicht. Eine nachträgliche Information genügt ebenfalls nicht den Anforderungen einer transparenten Datenbearbeitung. Der verfolgte Zweck (Betrugsbekämpfung, Inkasso) hat keine gesetzliche Grundlage, die es Privatpersonen erlauben würde, sich an die Stelle des Staates zu setzen; es bestehen weniger einschneidende Rechtsmittel (Betreibung, Gerichtsverfahren, öffentliche Register). Die Interessenabwägung fällt angesichts des „Prangereffekts" und des quasi permanenten Charakters von Internetveröffentlichungen klar zugunsten der betroffenen Personen aus.
Diese kumulierten Verletzungen stellen eine Persönlichkeitsverletzung dar (Art. 30 Abs. 2 lit. a DSG), die dadurch verschärft wird, dass bestimmte Daten (Zivil- oder Strafverfahren, Sprachaufnahmen) besonders schützenswerte Personendaten sind (Art. 5 lit. c DSG), deren Offenbarung eine zusätzliche Verletzung darstellt (Art. 30 Abs. 2 lit. c DSG).
Das Gericht bestätigt das Fehlen von Rechtfertigungsgründen (Art. 31 DSG). Weder Einwilligung, noch eine gesetzliche Grundlage, noch ein überwiegendes privates Interesse der Beschwerdeführerin oder der Gläubiger, noch ein überwiegendes öffentliches Interesse an der Veröffentlichung von Personendaten im Internet sind gegeben. Das Gericht betont, dass die Strafverfolgung ausschliesslich in die Zuständigkeit der Strafbehörden fällt, dass den Gläubigern dedizierte Rechtsmittel zur Verfügung stehen (Schuldbetreibungs- und Konkursgesetz, SchKG), und dass das wirtschaftliche Interesse der Beschwerdeführerin an der Monetarisierung dieser Tätigkeit gegenüber den Grundrechten der betroffenen Personen wenig wiegt. Die freiwilligen Anpassungen der Website (teilweise Umwandlung in einen Kreditauskunftsdienst gemäss Art. 31 Abs. 2 lit. c DSG) sind ohne Einfluss auf die Rechtmässigkeit des angefochtenen Entscheids, da die richterliche Kontrolle auf die Situation zum Zeitpunkt seines Erlasses abstellt.
3. Kommentar
Die Begründung des Gerichts ist gut strukturiert und folgt sorgfältig dem Analyseraster des schweizerischen Datenschutzrechts. Die Unterscheidung zwischen der formellen Begründungspflicht und der Richtigkeit der Begründung (materieller Aspekt) ist rechtlich präzise und vermeidet eine in der Praxis häufige Verwechslung. Das Gericht entwickelt auch eine substantielle Überlegung zur subsidiären Rolle des öffentlichen Interesses bei der Datenbearbeitung durch Privatpersonen — eine nützliche Erinnerung angesichts der wachsenden Versuchung bei „Name and shame"-Plattformen, private Überwachungspraktiken mit einem schlecht definierten öffentlichen Interesse zu rechtfertigen.
Das Urteil vermeidet es jedoch, bestimmte Fragen zu entscheiden, die eine eingehendere Prüfung verdient hätten. Zunächst wird die Frage der Einhaltung von Art. 19 DSG (Informationspflicht) ausdrücklich offengelassen, da das Gericht die Verletzung lediglich auf Art. 6 Abs. 3 DSG stützt — eine pragmatische Wahl, die die Rechtsprechung jedoch einer willkommenen Klärung des Zusammenhangs zwischen diesen beiden Bestimmungen beraubt. Ebenso wird die Frage, ob der Grundsatz von Treu und Glauben (Art. 6 Abs. 2 DSG) verletzt wurde, offengelassen, da die anderen Rügen ausreichen — was in Bezug auf Prozessökonomie logisch ist.
In der Sache wird das Argument der Beschwerdeführerin — wonach die gesetzlichen Inkassomittel unzureichend wirksam seien, was den Rückgriff auf Online-Veröffentlichungen rechtfertige — mit einer etwas knappen Formel zurückgewiesen: Das Gericht stellt fest, dass die Annahme dieses Arguments die Interessenabwägung neutralisieren und damit den Rechtsschutz im Bereich des Datenschutzes seines Gehalts berauben würde, ohne die in der Praxis häufig vorgebrachte Behauptung, dass öffentliche Register und Zwangsvollstreckungsverfahren unwirksam oder schwer zugänglich seien, mit empirischen Daten zu widerlegen. Eine detailliertere Begründung in diesem Punkt hätte die pädagogische Tragweite des Urteils gestärkt, insbesondere für andere Betreiber, die ähnliche Praktiken in Betracht ziehen (Verzeichnisse von „schlechten Zahlern", aggressive Verbraucherbewertungsplattformen usw.).
Das Argument des „Prangereffekts" ist dagegen besonders stark: Das Gericht stellt zu Recht fest, dass selbst wenn die Forderungen begründet wären, die Online-Veröffentlichung einem privaten Akteur eine quasi strafrechtliche Funktion (öffentliche Identifizierung, Anreiz zur Denunziation) verleiht, die das schweizerische Rechtssystem den Behörden vorbehält. Diese Argumentation entspricht einer europäischen und schweizerischen Rechtsprechungslinie, die zunehmend sensibel für die Auswirkungen der Viralität und der digitalen Dauerhaftigkeit von Veröffentlichungen ist: „Das Internet vergisst nicht".
Auf verfahrensrechtlicher Ebene hat der Umstand, dass die Beschwerdeführerin keine Replik eingereicht und die Argumente der Vorinstanz in einem zweiten Schriftenwechsel daher nicht wirklich bestritten hat, die Abweisung der Beschwerde zweifellos erleichtert; das Urteil wäre wohl umstrittener ausgefallen, wenn die Beschwerdeführerin eine ausführlichere wirtschaftliche und empirische Argumentation zur behaupteten Unwirksamkeit der alternativen Rechtsmittel entwickelt hätte.
Dieses Urteil bestätigt, in der Linie der bisherigen Praxis des EDÖB, dass die Online-Veröffentlichung von Daten mutmasslicher Schuldner durch private Inkassounternehmen nach schweizerischem Recht grundsätzlich unzulässig ist, da es an einer gesetzlichen Grundlage, der Verhältnismässigkeit und einem ausreichenden Rechtfertigungsgrund fehlt — selbst wenn die Forderungen real sind. Es stellt ein klares Signal an Plattformen dar, die mutmassliche Schuldner oder Betrüger an den „Pranger" stellen, und lässt gleichzeitig die Möglichkeit offen, die von der Behörde selbst bereits erwähnt wurde, diese Art von Dienstleistung in eine Kreditauskunftstätigkeit umzuwandeln, die von Art. 31 Abs. 2 lit. c DSG erfasst wird.