Half juli, bleek uit onderzoek van de NDR en de SZ aan het licht gebracht dat het kredietinformatiebureau SCHUFA miljoenen gegevensrecords opslaat die al lang geleden hadden moeten worden verwijderd. Inmiddels is duidelijk geworden dat SCHUFA deze gegevens ook gebruikt voor „testdoeleinden” van haar klanten. In principe zijn alle 69 miljoen mensen van wie SCHUFA gegevens bewaart, hierdoor getroffen. En SCHUFA blijft zich afzijdig houden: zelfs in reactie op verzoeken om inzage op grond van artikel 15 van de AVG weigert het bedrijf deze historische gegevens vrij te geven. Gezien de duidelijke schendingen van de AVG, heeft noyb heeft het kredietinformatiebureau nu een formele waarschuwing gegeven en een voorlopige voorziening aangekondigd. Betrokkenen van wie de historische gegevens door SCHUFA worden achtergehouden, kunnen ook hun interesse kenbaar maken voor een toekomstige collectieve schadevergoedingsprocedure.
- Onderzoek door NDR en de SZ: “De ‘schaduwdatabase’ van Schufa”
- Reactie van SCHUFA: “De waarheid over de vermeende ‘schaduwdatabase’”
- Reactie van de advocaat van SCHUFA Tim Wybitul op LinkedIn
- Petitie van Algorithm Watch: “SCHUFA-schandaal: verwijder de schaduwdatabase onmiddellijk!”
SCHUFA en haar belofte van transparantie. InDuitsland kun je vrijwel niet om SCHUFA heen. Iedereen die een lening, een mobielabonnement of een huurwoning wil, moet erop vertrouwen dat het machtige kredietinformatiebureau bevestigt dat hij of zij over een voldoende kredietwaardigheid beschikt. De manier waarop SCHUFA tot zijn kredietscores komt, is echter altijd een ‘black box’ geweest – en daardoor regelmatig het onderwerp geweest van kritiek en juridische procedures, tot aan het Europees Hof van Justitie toe. Onlangs lanceerde SCHUFA een ‘transparantiecampagne’ en prijst zichzelf sindsdien omdat het ‘volledige transparantie’.
Een kelder vol ‘verwijderde’ gegevens. Volgens het privacybeleid van SCHUFAwordt de bewaartermijn voor gegevens die worden gebruikt om de kredietscore te berekenen ook bepaald door zelfopgelegde gedragscodes. Vorderingen van incassobureaus of gegevens over afgeloste leningen zouden bijvoorbeeld drie jaar na betaling worden verwijderd. ‘Verwijderd’ betekent voor de SCHUFA blijkbaar echter iets heel anders dan in de AVG – en dan voor het grote publiek: de gegevens zijn blijkbaar alleen ‘verborgen’ en verdwijnen ze dus uit het zicht van consumenten, maar niet uit de systemen van SCHUFA. Integendeel: de gegevens worden achter de schermen nog steeds verwerkt en worden zelfs gebruikt voor ‘kredietwaardigheidsbeoordelingen’ door derden.
Martin Baumann, advocaat op het gebied van gegevensbescherming bij noyb: „De ‘schaduwdatabase’ van SCHUFA is een schoolvoorbeeld van onrechtmatige gegevensverwerking. SCHUFA verwerkt in het geheim gegevens die volgens haar eigen verklaringen allang hadden moeten worden verwijderd, en verdient daar uiteindelijk geld mee.”
Recht op inzage wordt categorisch geweigerd. SCHUFA is volkomen tegenstrijdig als het gaat om het recht op inzage: enerzijds beweert SCHUFA dat de voorheen onbekende ‘schaduwdatabase’ volledig transparant is. Anderzijds geeft het toe dat betrokkenen bij een verzoek om inzage op grond van artikel 15 AVG geen kopie ontvangen van de historische gegevens die nog steeds zijn opgeslagen. In wezen stelt SCHUFA dat betrokkenen alleen geïnteresseerd zijn in welke gegevens momenteel in hun score worden meegenomen. De in het geheim opgeslagen gegevens hoeven daarom niet te worden vrijgegeven. Juridisch gezien is dit een volstrekt absurde redenering. Een bedrijf kan zijn informatieplicht niet zomaar beperken tot gegevens die het zelf ‘van belang’ acht voor betrokkenen. Het Europees Hof van Justitie heeft al lang geleden duidelijk gemaakt: een kopie van de gegevens moet een volledige, getrouwe weergave zijn van alle verwerkte gegevens.
Marco Blocher, advocaat op het gebied van gegevensbescherming bij noyb: „Het is duidelijk onrechtmatig dat SCHUFA gegevens die zogenaamd ‘verwijderd’ zijn, in een ‘schaduwdatabase’ opslaat maar deze niet openbaar maakt. SCHUFA overtreedt hier op flagrante wijze de wet – en de verantwoordelijken bij SCHUFA zijn zich daar waarschijnlijk terdege van bewust.”
De Hessische toezichthoudende autoriteit blijft passief. In theorie hoort de Hessische gegevensbeschermingsautoriteit (HBDI) toezicht te houden op SCHUFA. In feite lijkt de toezichthoudende autoriteit al sinds het voorjaar van 2025 op de hoogte te zijn van de ‘schaduwdatabase’. De (notoir passieve) autoriteit lijkt SCHUFA echter nog steeds te beschermen. Als door de staat erkende gekwalificeerde entiteit, heeft noyb heeft daarom maatregelen genomen om consumenten te beschermen tegen het ongebreidelde verzamelen van gegevens en de geheimzinnigheid van SCHUFA. De naleving van de AVG moet nu in verschillende fasen worden hersteld:
Stap 1: Aanmaningsbrief en gerechtelijk bevel: noyb heeft vandaag een sommatiebrief naar SCHUFA gestuurd. Daarmee verzoekt noyb dat het kredietinformatiebureau stopt met het opslaan van gegevens na afloop van de vastgestelde bewaartermijnen. Daarnaast verzoekt noyb dat SCHUFA de betrokken personen historische gegevens verstrekt in het kader van hun verzoeken om inzage en zorgt voor transparantie met betrekking tot haar gegevensverwerkingspraktijken. Mocht het kredietinformatiebureau weigeren aan deze verzoeken te voldoen, zal noyb een vordering tot verbod indienen om de onrechtmatige praktijken van SCHUFA door de rechtbank te laten verbieden.
Max Schrems, voorzitter van noyb: „Helaas zien we steeds vaker dat de openbare gegevensbeschermingsautoriteiten in Duitsland hun taak niet meer vervullen. Daarom moeten wij als non-profitorganisatie die in het algemeen belang handelt, juridische stappen ondernemen.”
Mogelijke stap 2: Collectieve rechtszaak: Betrokkenen van wie de gegevensin de ‘schaduwdatabase’ zijn (of werden) opgeslagen en die de afgelopen jaren op grond van artikel 15 AVG een verzoek om inzage bij SCHUFA hebben ingediend, hebben mogelijk immateriële schade geleden. Volgens eigen opgave slaat SCHUFA gegevens van meer dan 69 miljoen mensen – dat is bijna de gehele volwassen bevolking van Duitsland. Het lijkt erop dat 1,6 miljoen mensen per jaar onjuiste antwoorden op hun verzoeken om inzage hebben ontvangen: historische gegevens werden aan niemand verstrekt. Doorgaans kan immateriële schade worden geschat op ongeveer € 500 per persoon.
Een collectieve rechtszaak vereist aanzienlijk meer voorbereiding dan een voorlopige voorziening. Niettemin, heeft noyb heeft al een online interesselijst opgezet. Iedereen kan zich hier aanmelden om later op de hoogte te worden gebracht, mochten er juridische stappen worden ondernomen. Als organisatie die draait op donaties, ondernemt noyb juridische stappen uitsluitend in het belang van de getroffenen.
Max Schrems, voorzitter van noyb: „SCHUFA heeft niet alleen de wet overtreden, maar heeft de betrokkenen ook voorgelogen en schade berokkend. Wij zijn van plan om op non-profitbasis schadevergoeding te eisen voor deze schade.”
Een breed front van maatschappelijke organisaties.Ookanderengo’s en gegevensbeschermingsdeskundigen uiten massaal kritiek op SCHUFA en eisen dat de ‘schaduwdatabase’ wordt gewist. De ngo AlgorithmWatch heeft een petitie tegen SCHUFA en de gegevensbeschermingsautoriteit in Hessen, die heeft nagelaten actie te ondernemen. Daarnaast biedt de organisatie een formulier waarmee getroffenen specifieke informatie over hun historische gegevens bij SCHUFA kunnen opvragen.
Matthias Spielkamp, AlgorithmWatch: „Wij en bijna 145.000 ondertekenaars van onze petitie eisen: SCHUFA moet de betrokkenen volledige informatie verstrekken; de Hessische gegevensbeschermingsautoriteit moet eindelijk actie ondernemen en SCHUFA verplichten de ‘schaduwdatabase’ definitief te verwijderen, en de hoogst mogelijke boete opleggen.”
Onlangs hebben ook verschillende advocaten kritische standpunten naar voren gebracht en gewezen op mogelijke verdere gevolgen:
Raphael Rohrmoser, partner bij AdvoAdvice Rechtsanwälte: “Er zijn al talloze rechtszaken tegen SCHUFA gevoerd met betrekking tot het recht op inzage en het recht op verwijdering. Nu is gebleken dat ‘verwijderde’ gegevens in feite nog steeds op grote schaal beschikbaar zijn en dat niemand hiervan op de hoogte is gesteld. Dit roept de cruciale vraag op of de informatie die SCHUFA tijdens de gerechtelijke procedures heeft verstrekt, altijd juist was.”
Peter Hense, partner bij Spirit Legal Rechtsanwälte: „Als een kredietinformatiebureau gegevens die als ‘verwijderd’ zijn aangemerkt tegen betaling aan derden doorgeeft, kan dit een strafbaar feit vormen. Misschien hebben we het Openbaar Ministerie en de rechtbanken nodig om eindelijk het SCHUFA-gegevensmoeras droog te leggen.”
