Mitte Juli wurde durch Recherchen des NDR und der SZ bekannt, dass die SCHUFA Millionen Datensätze speichert, die längst gelöscht sein müssten. Inzwischen steht fest: Die SCHUFA verarbeitet diese Daten sogar zu „Testzwecken“ ihrer Kunden. Betroffen sind potenziell alle 69 Millionen Menschen, zu denen die SCHUFA Daten hat. Und die SCHUFA mauert dabei weiterhin: Selbst bei formellen Auskunftsersuchen nach Artikel 15 DSGVO beauskunftet sie diese historischen Daten nicht. Angesichts der klaren DSGVO-Verstöße hat noyb die Wirtschaftsauskunftei nun abgemahnt und eine Unterlassungsklage angekündigt. Betroffene, denen die SCHUFA ihre historischen Daten vorenthalten hat, können außerdem ihr Interesse für eine zukünftige Sammelklage auf Schadenersatz melden.
- Recherche des NDR und der SZ: „Die Schattendatenbank der Schufa“
- Reaktion der SCHUFA: „Die Wahrheit über die vermeintliche ‚Schattendatenbank‘“
- Reaktion des SCHUFA-Anwalts Tim Wybitul auf LinkedIn
- Petition von Algorithm Watch: „Schufa-Skandal: Schattendatenbank sofort löschen!
Die SCHUFA und ihr Transparenzversprechen. In Deutschland führt kaum ein Weg an der SCHUFA vorbei. Wer einen Kredit, einen Mobilfunkvertrag oder eine Mietwohnung möchte, muss hoffen, dass die mächtige Wirtschaftsauskunftei eine ausreichende Bonität bescheinigt. Wie die SCHUFA zu ihren Bonitätscores gelangt, war jedoch seit jeher eine Blackbox – und entsprechend regelmäßig Gegenstand von Kritik und Gerichtsverfahren bis hin zum EuGH. Vor kurzem rief die SCHUFA dann eine „Transparenzoffensive“ aus und feiert sich seither dafür, „völlige Transparenz“ geschaffen zu haben.
Ein Keller voller „gelöschter“ Daten. Wie lange die in den Score einfließenden Daten gespeichert werden, soll sich laut der Datenschutzerklärung der SCHUFA auch nach selbst auferlegten Verhaltensregeln richten. Inkassoforderungen oder Daten über erledigte Kredite würden demnach beispielsweise drei Jahre nach deren Bezahlung gelöscht. Nur heißt „gelöscht“ bei der SCHUFA offenbar etwas ganz anderes, als die DSGVO – und jeder Mensch – darunter versteht: Die Daten werden wohl nur „ausgeblendet“ und verschwinden so aus dem Blickfeld der Verbraucher:innen, nicht aber aus den Systemen der SCHUFA. Ganz im Gegenteil: die Daten werden hinter den Kulissen weiterhin verarbeitet und sogar für „Score-Validierungen“ bei externen Unternehmen genutzt.
Martin Baumann, Datenschutzjurist bei noyb: „Die Schattendatenbank der SCHUFA ist geradezu ein Musterfall für eine rechtswidrige Datenverarbeitung. Die SCHUFA verarbeitet heimlich Daten, die laut eigenen Angaben längst gelöscht sein müssten und verdient damit letztlich Geld.“
Auskunftsrecht glatt verweigert. Endgültig inkonsistent wird die SCHUFA, wenn es um das gesetzliche Auskunftsrecht geht: Einerseits behauptet die SCHUFA, dass die bisher unbekannte „Schattendatenbank“ völlig transparent sei. An anderer Stelle räumt sie aber ein, dass Betroffene im Rahmen eines Auskunftsersuchens nach Artikel 15 DSGVO keine Kopie der weiterhin gespeicherten historischen Daten erhalten. Sinngemäß argumentiert die SCHUFA, dass sich Betroffene bei einer Auskunft ohnehin nur dafür interessieren würden, welche Daten aktuell in ihren Score einfließen. Die heimlich gespeicherten Daten müssten deshalb auch nicht herausgegeben werden. Rechtlich ist das eine völlig absurde Argumentation. Ein Unternehmen kann seine gesetzliche Auskunftspflicht nicht einfach auf Daten beschränken, die es selbst als für Betroffene „interessant“ befindet. Der EuGH hat längst klargestellt: die Datenkopie muss eine vollständige, originalgetreue Reproduktion aller verarbeiteten Daten sein.
Marco Blocher, Datenschutzjurist bei noyb: "Es ist schlicht rechtswidrig, dass die SCHUFA angeblich 'gelöschte' Daten in einer 'Schattendatenbank' speichert, aber nicht beauskunftet. Die SCHUFA begeht hier Rechtsbruch mit Ansage – und das wissen wohl auch die Verantwortlichen bei der SCHUFA."
Hessische Aufsichtsbehörde schlummert weiter. Eigentlich sollte die Hessische Datenschutzbehörde (HBDI) die SCHUFA kontrollieren. Und tatsächlich scheint sie bereits seit Frühjahr 2025 von der „Schattendatenbank“ zu wissen. Allerdings schützt die (notorisch inaktive) Behörde die SCHUFA offenbar weiterhin. noyb ist daher als staatlich anerkannte, gemeinnützige Qualifizierte Einrichtung aktiv geworden, um Verbraucher:innen vor der ungehemmten Speicherwut und Heimlichtuerei der SCHUFA zu schützen. In mehreren Schritten soll nun die Einhaltung der DSGVO wiederhergestellt werden:
Schritt 1: Abmahnung und Unterlassungsklage: noyb hat heute eine Abmahnung an die SCHUFA geschickt. Damit fordert noyb die Auskunftei dazu auf, Daten nicht mehr über die festgelegten Speicherfristen hinaus zu speichern. Zusätzlich hat noyb die SCHUFA aufgefordert, betroffenen Personen im Rahmen einer Auskunft auch historische Daten bereitzustellen und ihre Angaben zur Datenverarbeitung transparent zu gestalten. Sollte sich die Auskunftei weigern, diesen Aufforderungen nachzukommen, wird noyb eine Unterlassungsklage einbringen, um die rechtswidrigen Praktiken der SCHUFA gerichtlich unterbinden zu lassen.
Max Schrems, Vorsitzender von noyb: „Leider sehen wir in Deutschland zunehmend einen Zusammenbruch der staatlichen Datenschutzbehörden. Daher müssen wir hier als gemeinnütziger Verein im öffentlichen Interesse klagen.“
Möglicher Schritt 2: Sammelklage: Betroffene, die in der „Schattendatenbank“ gespeichert sind (oder waren) und in den letzten Jahren eine Auskunft nach Artikel 15 DSGVO bei der SCHUFA beantragt haben, könnten einen immateriellen Schaden erlitten haben. Laut eigenen Angaben speichert die SCHUFA Daten zu mehr als 69 Millionen Menschen – was fast alle erwachsenen Personen in Deutschland sind. Dabei haben wohl jährlich 1,6 Millionen Menschen unvollständige Antworten auf ihre Auskunftsersuchen erhalten: Historische Daten wurden niemandem bereitgestellt. Ein immaterieller Schadenersatz im Bereich von € 500 pro Person ist hier denkbar.
Eine Sammelklage erfordert deutlich mehr Vorbereitung als eine Unterlassungsklage; dennoch hat noyb bereits jetzt eine Online-Interessentenliste freigeschaltet. Hier kann sich jede:r eintragen, um später über eine Klage informiert zu werden. Als spendenfinanzierter Verein klagt noyb allein im Interesse von Betroffenen.
Max Schrems, Vorsitzender von noyb: „Die SCHUFA hat nicht nur das Recht gebrochen, sie hat Betroffene angelogen und geschädigt. Wir wollen diese Schäden auf gemeinnütziger Basis einklagen.“
Breite zivilgesellschaftliche Front. Auch andere NGOs und Datenschutzexpert:innen üben massive Kritik an der SCHUFA und verlangen eine Löschung der „Schattendatenbank“. Die NGO AlgorithmWatch hat eine Petition gegen die SCHUFA und die tatenlos zusehende Datenschutzbehörde in Hessen gestartet. Sie stellt auch ein Formular bereit, mit dem Betroffene gezielt Auskunft der historischen Daten von der SCHUFA verlangen können.
Matthias Spielkamp, AlgorithmWatch: „Wir und fast 145.000 Unterstützer:innen unserer Petition fordern: Die SCHUFA muss den Betroffenen vollständige Auskunft erteilen; der Hessische Datenschutzbeauftragte muss endlich handeln und die SCHUFA zur endgültigen Löschung der ‚Schattendatenbank‘ verpflichten und das höchstmögliche Bußgeld verhängen.“
Zuletzt melden sich auch mehrere Rechtsanwälte kritisch zu Wort und weisen auch auf mögliche weitere Konsequenzen hin:
Raphael Rohrmoser, Partner bei AdvoAdvice Rechtsanwälte: „Es gab schon unzählige Gerichtsverfahren gegen die SCHUFA, zum Auskunftsrecht und zum Recht auf Löschung. Jetzt stellt sich heraus, dass ‚gelöschte‘ Daten doch noch umfassend vorhanden sind und niemand informiert wurde. Da stellt sich die zentrale Frage, ob die Angaben der SCHUFA in den Gerichtsverfahren immer zutreffend waren.“
Peter Hense, Partner bei Spirit Legal Rechtsanwälte: "Gibt eine Auskunftei als gelöscht bezeichnete Daten gegen Bezahlung an Dritte weiter, kommt auch eine gerichtliche Strafbarkeit in Betracht. Vielleicht braucht es Staatsanwaltschaft und Gerichte, um den Datensumpf der SCHUFA endlich trockenzulegen.“
