Schufa-Schattendatenbank: Das können Betriebe tun

Eine geheime Datensammlung der Schufa verstößt laut Experten gegen Datenschutzrecht. Ein Anwalt erklärt, wie man vorgehen sollte, wenn man von der Auskunftei mehr über die eigenen Daten wissen will.

Eine öffentlich bislang unbekannte Datenbank der Schufa mit alten Daten wirft Fragen zum Datenschutz und zur Transparenz bei der Verarbeitung von Informationen auf: Millionen Daten werden über Löschfristen hinaus gespeichert und für Testzwecke verwendet. Betroffene erfahren bislang nichts von der Existenz dieser Datenbank – selbst dann nicht, wenn sie eine Auskunftsanfrage stellen.

Datensammlung trotz Transparenzversprechen

Nach aktuellen Recherchen des Norddeutschen Rundfunks und der Süddeutschen Zeitung führt die Schufa neben ihrer regulären Datenbank offenbar eine bisher unbekannte Sammlung historischer Verbraucherdaten. Millionen Bürgerinnen und Bürger sind betroffen, deren ehemals zu löschende Daten – etwa zu beglichenen Krediten, Pfändungen oder Privatinsolvenzen – offenbar über die gesetzlich vorgegebenen Fristen hinaus gespeichert bleiben.

Die Schufa hatte im März 2026 ihren neuen Bonitätsscore mit dem Anspruch eingeführt, die bisher intransparente Methodik durch nachvollziehbare Kriterien zu ersetzen. Nun zeigt sich, dass offenbar weiterhin eine zusätzliche, der Öffentlichkeit bislang verschwiegene Datensammlung existiert. Dies widerspricht dem eigenen Transparenzanspruch des Unternehmens. Wer Transparenz verspricht, muss diese auch bei der Nutzung und Speicherung der Daten gewährleisten.

Daten für Unternehmenskunden 

Laut Recherche verwendet die Schufa diese historischen Daten, um für Unternehmenskunden wie Banken, Telekommunikationsanbieter, Energieversorger und Handelsunternehmen zu testen, wie der neue Bonitätsscore rückwirkend auf einen bestimmten Tag in der Vergangenheit ausgefallen wäre. Ziel sei es, die Zuverlässigkeit des neuen Schufa-Scores zu belegen. Die Schufa gibt an, diese Nutzung sei vertraglich auf Test- und Kontrollzwecke beschränkt. Vertragspartner müssten die Daten nach Gebrauch löschen.

Das könnte Sie auch interessieren:

Betriebsführung

Optiker gewinnt gegen Datenschutz-Hop­per

Mobilität

Hightech hinter Glas

Betriebsführung

Friseure: Geschlechterneutrale Preise sind Pflicht

Datenschutzrecht verletzt

Diese Schattendatenbank verletzt laut Rechtsanwalt Hendrik Frank mehrere Grundsätze der Datenschutzgrundverordnung (DSGVO). 

• Speicherbegrenzung (Artikel 5 Absatz 1 Buchstabe e DSGVO):
  Personenbezogene Daten dürfen grundsätzlich nur so lange gespeichert werden, wie es für den ursprünglichen Zweck erforderlich ist. Die anlasslose Speicherung für künftige Testzwecke entspricht nicht den Vorgaben.
  
  
• Recht auf Löschung / Recht auf Vergessenwerden (Art. 17 DSGVO):
  Nach Begleichung einer Forderung sollen personenbezogene Daten nach Ablauf der Fristen gelöscht werden. Das Fortbestehen in einer verborgenen Datenbank widerspricht diesem Grundsatz.
  
  
• Transparenz- und Auskunftsrecht (Art. 15 DSGVO):
  Betroffene erhalten selbst bei einer angeforderten Datenkopie keine Informationen zu den existierenden historischen Daten. "Das ist aus Datenschutz-Aspekten besonders problematisch", betont der Anwalt.
  
  
• Kontrollverlust als immaterieller Schaden:
  Nach gefestigter höchstrichterlicher Rechtsprechung kann bereits der Verlust der Kontrolle über die eigenen Daten einen ersatzfähigen immateriellen Schaden nach Art. 82 DSGVO begründen – unabhängig davon, ob es zusätzlich zu einem konkreten Missbrauch kommt.

Rechte der Verbraucherinnen und Verbraucher

"Sollte sich bestätigen, dass persönliche Daten entgegen den gesetzlichen Löschfristen fortgeführt und für Zwecke verwendet werden, die vom ursprünglichen Erhebungszweck nicht mehr gedeckt sind, haben Betroffene grundsätzlich Rechte nach der DSGVO", erklärt Rechtsanwalt Frank. "Dabei handelt es sich um den Auskunftsanspruch nach Art. 15 DSGVO, der sich ausdrücklich auch auf solche "historische" Daten erstrecken müsste, den Löschungsanspruch nach Art. 17 DSGVO, sowie – je nach Einzelfall – den Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO wegen des Kontrollverlusts über die eigenen Daten."

Wie Sie am besten reagieren

Wer erfahren möchte, ob und in welchem Umfang die Schufa historische Daten zur eigenen Person gespeichert hat, kann eine vollständige Datenkopie nach Art. 15 DSGVO anfordern und gezielt nach der Speicherung sowie der Verwendung historischer oder bereits als gelöscht angenommener Daten fragen. 

Quelle: De Backer & Frank Rechtsanwälte

DHB jetzt auch digital!Einfach hier klicken und für das digitale Deutsche Handwerksblatt (DHB) registrieren!