Die Datenschutzorganisation noyb erhöht den Druck auf die SCHUFA. Am 26. August 2026 hat die Organisation die Wirtschaftsauskunftei wegen ihres Umgangs mit historischen personenbezogenen Daten abgemahnt. noyb fordert unter anderem, bestimmte Daten nach Ablauf der vorgesehenen Speicherfristen nicht weiter vorzuhalten und Betroffenen bei Auskunftsersuchen auch historische Informationen zugänglich zu machen. Für den Fall, dass die SCHUFA den Forderungen nicht nachkommt, kündigt noyb eine Unterlassungsklage an. Zusätzlich hat die Organisation eine Interessentenliste für eine mögliche spätere Sammelklage auf Schadenersatz eröffnet.
Die rechtliche Auseinandersetzung dreht sich um Daten, die nach Darstellung der SCHUFA nicht mehr zum aktuellen produktiven Bonitätsbestand gehören, aber weiterhin für bestimmte Zwecke gespeichert werden. Kritiker sprechen deshalb von einer Schattendatenbank. Die SCHUFA weist diese Bezeichnung zurück und spricht von historischen Archivdaten. Eine gerichtliche Entscheidung darüber, ob die konkrete Speicherung und Nutzung gegen die Datenschutz-Grundverordnung verstößt, liegt bislang nicht vor.
noyb verlangt von der SCHUFA, personenbezogene Informationen nicht über die jeweils geltenden Speicherfristen hinaus aufzubewahren. Außerdem soll die Auskunftei nach Auffassung der Datenschutzorganisation bei Auskunftsersuchen nach Artikel 15 der Datenschutz-Grundverordnung auch solche historischen Daten nennen, die weiterhin in ihren Systemen verarbeitet werden.
Die Organisation stützt ihren Vorstoß insbesondere auf das europäische Auskunftsrecht und die Grundsätze der Zweckbindung, Datenminimierung und Speicherbegrenzung. Nach Artikel 15 DSGVO können Betroffene erfahren, welche personenbezogenen Daten über sie verarbeitet werden. Der Europäische Gerichtshof hat bereits 2023 in einem Verfahren gegen die österreichische Auskunftei CRIF entschieden, dass eine Datenkopie grundsätzlich eine vollständige und verständliche Wiedergabe der verarbeiteten personenbezogenen Daten ermöglichen muss.
Ob daraus unmittelbar folgt, dass sämtliche von der SCHUFA als historisch bezeichneten Daten in jeder Auskunft enthalten sein müssen, dürfte ein zentraler Punkt eines möglichen Verfahrens werden. Ebenso offen ist die Frage, auf welcher Rechtsgrundlage und für welche Dauer die SCHUFA diese Daten zu Testzwecken weiterverarbeiten darf.
Die SCHUFA hält die Speicherung historischer Daten grundsätzlich für zulässig. Nach ihrer Darstellung sind diese Informationen von dem Datenbestand zu unterscheiden, der für die aktuelle Bonitätsbewertung von Verbraucherinnen und Verbrauchern verwendet wird. Historische Daten würden unter anderem benötigt, um Scoringmodelle zu entwickeln, zu prüfen und deren Aussagekraft zu validieren.
Bereits im Juli hatte die SCHUFA erklärt, dass solche Daten auch genutzt werden können, um Unternehmenskunden die Zuverlässigkeit neuer Bewertungsmodelle anhand zurückliegender Zeiträume zu demonstrieren. Die Auskunftei beruft sich dafür nach eigenen Angaben auf verschiedene datenschutzrechtliche Erlaubnistatbestände und auf Anforderungen an die Prüfung von Risikomodellen. Insbesondere Unternehmen aus der Finanzwirtschaft müssen die Aussagekraft bestimmter Verfahren zur Risikobewertung kontrollieren.
Die SCHUFA betont zugleich, dass historische Informationen nicht mit dem aktuellen Bonitätsdatenbestand gleichgesetzt werden dürften. Die rechtliche Bewertung dieser Trennung ist umstritten. Entscheidend ist unter anderem, ob personenbezogene Daten nach Ablauf ihres ursprünglichen Speicherzwecks für neue Zwecke weiterverarbeitet werden dürfen und ob dafür sämtliche historischen Datensätze erforderlich sind.
Eine Sammelklage gegen die SCHUFA ist derzeit noch nicht eingereicht. noyb hat zunächst eine Interessentenliste eröffnet. Angesprochen werden insbesondere Menschen, die in den vergangenen Jahren eine Auskunft nach Artikel 15 DSGVO bei der SCHUFA angefordert haben und deren historische Daten nach Darstellung von noyb dabei nicht mitgeteilt wurden.
Die Organisation hält in solchen Fällen Schadenersatzansprüche grundsätzlich für denkbar. noyb nennt dabei als mögliche Größenordnung rund 500 Euro pro Person. Dabei handelt es sich nicht um einen gerichtlich festgestellten Anspruch und auch nicht um eine bereits zugesprochene Entschädigung. Ob überhaupt ein ersatzfähiger immaterieller Schaden vorliegt und wie hoch dieser gegebenenfalls wäre, müsste im Streitfall von den zuständigen Gerichten geprüft werden.
Auch die Zahl möglicher Betroffener steht nicht mit der Zahl potenzieller Kläger gleich. noyb verweist darauf, dass die SCHUFA Daten zu mehr als 69 Millionen Menschen vorhalte und jährlich eine große Zahl von Auskunftsersuchen bearbeite. Daraus lässt sich jedoch nicht ableiten, dass sämtliche gespeicherten Personen von dem konkret beanstandeten Vorgang betroffen sind oder einen Anspruch auf Schadenersatz hätten.
Für die Datenschutzaufsicht über die SCHUFA ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig. Die Behörde beschäftigt sich bereits seit 2025 mit Fragen zur Nutzung historischer Daten für Testzwecke. Ein abschließendes Ergebnis dieses Prüfprozesses war bis zum 26. August 2026 nicht bekannt.
Die hessische Datenschutzaufsicht hat für Auskunfteien gemeinsam mit weiteren Behörden Verhaltensregeln zu Speicherfristen genehmigt. Danach dürfen beispielsweise bestimmte ausgeglichene Forderungen grundsätzlich bis zu 36 Monate gespeichert werden, unter bestimmten Voraussetzungen nur 18 Monate. Für Informationen im Zusammenhang mit einer Restschuldbefreiung gelten deutlich kürzere Fristen. Diese Regeln betreffen jedoch nicht automatisch jede denkbare Weiterverarbeitung bereits aus dem aktuellen Bonitätsbestand entfernter Informationen.
Gerade diese Abgrenzung dürfte im Konflikt zwischen noyb und der SCHUFA eine zentrale Rolle spielen. Während die Datenschutzorganisation davon ausgeht, dass Daten nach dem Ende zulässiger Speicherfristen nicht einfach als historische Bestände weiterverarbeitet werden dürfen, sieht die SCHUFA für bestimmte Test-, Kontroll- und Entwicklungszwecke weiterhin eine rechtliche Grundlage.
Die rechtlichen Auseinandersetzungen um Wirtschaftsauskunfteien reichen über Deutschland hinaus. Der Europäische Gerichtshof hat in mehreren Verfahren die Anforderungen der DSGVO an Scoring, Speicherfristen und Auskunftsrechte konkretisiert. Im Dezember 2023 entschied das Gericht in Verfahren zur SCHUFA unter anderem, dass Informationen über eine Restschuldbefreiung von privaten Auskunfteien nicht länger gespeichert werden dürfen als im öffentlichen Insolvenzregister.
Der Gerichtshof stellte außerdem klar, dass automatisiertes Scoring unter bestimmten Voraussetzungen als automatisierte Entscheidung im Sinne der DSGVO gelten kann, wenn Unternehmen dem errechneten Wert eine maßgebliche Bedeutung für einen Vertragsabschluss beimessen. Diese Entscheidungen zeigen, dass die Verarbeitung von Bonitätsdaten nicht allein nach wirtschaftlichen Interessen beurteilt werden kann, sondern an den Vorgaben des europäischen Datenschutzrechts gemessen werden muss.
Mit der Abmahnung vom 26. August erreicht der Streit über die historischen SCHUFA-Daten nun eine neue rechtliche Stufe. Zunächst erhält die Auskunftei Gelegenheit, auf die Forderungen von noyb zu reagieren. Eine Unterlassungsklage soll nach Angaben der Organisation folgen, falls keine Einigung zustande kommt. Die angekündigte Sammelklage befindet sich dagegen noch in der Vorbereitungsphase.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu