Die Schufa-Schattendatenbank: Datenschutzskandal oder Bedürfnis der Kreditwirtschaft?

Schufa-Schattendatenbank: Was NDR und Süddeutsche Zeitung aufgedeckt haben

Neben ihrer regulären Bonitätsdatenbank speichert die Schufa, in der Öffentlichkeit unbekannt, persönliche Daten über die offiziellen Löschfristen hinaus. Das berichten NDR und Süddeutsche Zeitung (SZ) am 15. Juli 2026.¹ Diese „historischen Daten“ umfassen Informationen zu Krediten, Kreditkarten, Pfändungen, Insolvenzen und Schulden von Millionen Verbraucherinnen und Verbrauchern, die nach den gesetzlichen Löschfristen der DSGVO möglicherweise hätten entfernt werden müssen. Die Schufa bestreitet die Existenz dieser Datenbank nicht. Sie begründet die Speicherung mit einem klar umrissenen Zweck: Unternehmenskunden wie Banken, Telekommunikationsanbieter, Energieversorger und Handelsunternehmen können damit testen, wie der aktuelle Schufascore rückwirkend auf einen bestimmten Tag in der Vergangenheit ausgefallen wäre. Ziel ist laut Schufa der Nachweis der Zuverlässigkeit ihres Scoring-Verfahrens, insbesondere seit im März 2026 ein neuer Score eingeführt wurde.

Die Kritik daran fällt unterschiedlich scharf aus. Rechtsanwalt Hendrik Frank sieht laut Handwerksblatt² mehrere Grundsätze der DSGVO verletzt: die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e, das Recht auf Löschung nach Art. 17 sowie – wegen des Kontrollverlusts über die eigenen Daten – einen möglichen Anspruch auf immateriellen Schadensersatz nach Art. 82. Matthias Spielkamp von AlgorithmWatch geht weiter und fordert die sofortige Löschung der Datenbank: Er wirft der Schufa vor, sich die Frage nach dem „Maß an Verantwortungslosigkeit“ gefallen lassen zu müssen. Der Bundesverband der Verbraucherzentralen argumentiert laut heise online³ vorsichtiger über die Anreizstruktur: Claudio Zeitz-Brandmeyer weist darauf hin, dass es für die datenempfangenden Unternehmen verlockend sein könnte, die eigentlich nur für Tests überlassenen historischen Werte auch tatsächlich für Kreditentscheidungen heranzuziehen. Über die Rechtmäßigkeit insgesamt wacht der Hessische Landesdatenschutzbeauftragte, der seine Prüfung bereits seit Frühjahr 2025 führt, ohne dass bislang ein Ergebnis vorliegt.

Die überraschendste Position der Schufa

Der Punkt, der bei der Lektüre am meisten irritiert, betrifft nicht die Speicherung selbst, sondern deren Auskunftsbehandlung. Wörtlich erklärt die Schufa gegenüber NDR und SZ:

Seit Ende März 2026 können Verbraucher ihren Schufascore kostenfrei einsehen. Nach eigener Aussage schließt diese Selbstauskunft die historischen Daten jedoch nicht ein.

Die Einordnung der Schufa überrascht, weil sie sich schwer mit dem Wortlaut von Art. 15 DSGVO vereinbaren lässt. Ruth Janal, Professorin für Wirtschaftsrecht an der Universität Bayreuth, folgt der Schufa nicht: Das Auskunftsrecht der DSGVO umfasse „natürlich auch diese von der Schufa als historische Daten bezeichneten Daten“. Die Vorschrift gewährt ein Recht auf Auskunft über sämtliche gespeicherten personenbezogenen Daten, unabhängig davon, ob diese Daten aktuell gegenüber der betroffenen Person genutzt werden oder nicht.

Würde man eine Kategorie von Daten allein deshalb aus der Selbstauskunft ausklammern dürfen, weil sie derzeit „nur“ für interne Tests und nicht für die unmittelbare Score-Bildung verwendet wird, öffnete das aus Sicht des Autors Tür und Tor für beliebige Ausnahmen: Jede speichernde Stelle könnte dann interne Verwendungszwecke definieren, die eine vollständige Auskunft aushebeln. Ob Gerichte diese Sichtweise teilen, ist offen. Als naheliegende Grundhaltung sollte aber gelten: Der Umfang eines Auskunftsanspruchs richtet sich nach dem, was gespeichert ist, nicht danach, wofür die speichernde Stelle die Daten gerade einsetzt.

Die Sicht der Bank: Warum historische Score-Daten kein Selbstzweck sind

Aus der öffentlichen Debatte, die sich fast ausschließlich auf das Verhältnis zwischen Schufa und Verbraucher konzentriert, fällt eine dritte Perspektive komplett heraus: die der Unternehmen, vor allem Banken und Finanzinstitute, die den Schufascore als Risikotreiber etwa in einem aufsichtsrechtlich anerkannten Ratingverfahren nutzen. Aus dieser Perspektive ist die „historische Anreicherung“ kein Selbstzweck der Schufa, sondern eine Voraussetzung dafür, dass Banken den Score überhaupt regelkonform einsetzen können.

Der Hintergrund liegt im Zusammenspiel von zwei Anforderungen, die für interne Ratingverfahren gelten: dem Nachweis der Trennschärfe eines Risikotreibers und der vorgeschriebenen Mindestlänge der Datenhistorie. Führt die Schufa, wie aktuell geschehen, eine neue Scoreversion ein, liegt in den eigenen Datenbeständen der Bank zunächst nur die alte Scoreversion vor. Will die Bank den neuen Score als Risikotreiber übernehmen, kann sie sich nicht auf pauschale Aussagen der Schufa zur Güte des neuen Verfahrens verlassen. Sie muss für das eigene Portfolio nachweisen, dass der neue Score eine gute, im Anspruch typischerweise eine bessere Trennschärfe aufweist als der bisherige. Ein solcher Nachweis setzt voraus, dass der neue Score auf denselben historischen Ratingzeitpunkten und Kunden berechnet werden kann wie der alte. Da die zugrundeliegende Datenhistorie der Risikotreiber des Schufascores nicht bei der Bank liegt, sondern ausschließlich bei der Schufa, ist die Bank darauf angewiesen, dass die Schufa ihre Kunden erkennt und das neue Verfahren rückwirkend auf deren vergangene Datenstände anwenden kann.

Hinzu kommt die aufsichtlich geforderte Mindestlänge der Datenhistorie. Für interne Ratingverfahren verlangt die Aufsicht im Regelfall einen mindestens fünfjährigen Beobachtungszeitraum. Ohne die Möglichkeit, den neuen Score rückwirkend auf historische Datenstände anzuwenden, könnte eine Bank diesen Zeitraum mit dem neuen Score gar nicht abdecken. Sie müsste über Jahre hinweg neue Daten sammeln, während der alte, weniger aussagekräftige Score faktisch weiterverwendet werden müsste. Dieselbe Logik gilt, wenn eine Bank ein komplett neues Ratingverfahren entwickeln will und bislang noch gar keine Schufa-Daten in ihren eigenen Beständen vorliegen hat: Auch hier ist sie auf die historische Zeitreihe der Schufa angewiesen, um das Verfahren zu entwickeln und zu validieren, bevor es aufsichtlich abgenommen werden kann.

Ist die Kritik an dieser Nutzung berechtigt?

Aus dieser Warte ist der von der Schufa genannte Zweck – „Qualitätssicherung, Datenschutzkontrolle, Dokumentation und Weiterentwicklung unserer Verfahren und Scores“ – nicht bloß eine interne Rechtfertigung, sondern deckt sich mit einem tatsächlichen, regulatorisch begründeten Bedürfnis ihrer Bankkunden. Wichtig ist dabei die Unterscheidung zum reinen Modellbau der Schufa selbst: Für die eigene Modellentwicklung könnte die Schufa ihre historischen Daten anonymisiert vorhalten und hätte damit die beschriebenen datenschutzrechtlichen Probleme nicht. Der Nachweis, dass ein Score für die Kunden einer bestimmten Bank funktioniert, erfordert dagegen die konkrete, personenbezogene Anwendung des neuen Verfahrens auf historischen Ratingzeitpunkten.

Auf Grundlage der Einwilligung („Schufa-Klausel“) verarbeitet die Schufa personenbezogene Daten grundsätzlich rechtmäßig und ist damit auch berechtigt, die relevanten Daten für Weiterentwicklung, Validierung und Tests zu speichern. Ob das Überprüfen der Qualität des Schufascores als Risikotreiber in den Ratingverfahren der Kunden dabei zu den von der Einwilligung gedeckten Verwendungszwecken zählt, wird rechtlich noch zu klären sein. Aus Sicht des Autors trifft jedoch der von AlgorithmWatch⁴ – gestützt auf eine Aussage von Ruth Janal – geäußerte Verdacht nicht zu, die Schufa speichere die historischen Daten „auf Vorrat für unbestimmte zukünftige Zwecke“:

Auch der Verdacht des Bundesverbands der Verbraucherzentralen, dass es für ein Institut „verlockend sein könnte“, die historischen Werte auch tatsächlich für Kreditentscheidungen heranzuziehen, geht aus Sicht des Autors an der Realität vorbei:

Fazit: Nutzen begründet keine Rechtmäßigkeit

Aus Sicht des Autors überzeugt insbesondere die Begründung der Schufa nicht, warum sie historische Daten nicht in der Selbstauskunft nach Art. 15 DSGVO ausweist. Das ist jedoch nur die eine Seite. Die andere Seite ist, dass die Speicherung der historischen Daten der Schufa dem konkreten, nachvollziehbaren Zweck des Einführens und Testens neuer Scoreversionen für die Kunden dient.

Der regulatorische Nutzen für die Kreditwirtschaft ändert jedoch nichts daran, dass die DSGVO eigenständiges Recht ist und eine Verletzung der Speicherbegrenzung oder des Löschungsanspruchs sich nicht damit rechtfertigen lässt, dass die Daten an anderer Stelle – hier bei den Bankkunden der Schufa – sinnvoll verwendet werden. Ob die Speicherung und Weitergabe der historischen Daten in der von der Schufa praktizierten Form mit der DSGVO vereinbar ist, bleibt damit offen und wird sich erst durch die laufende Prüfung des Hessischen Landesdatenschutzbeauftragten und, falls es dazu kommt, durch Gerichte klären.

Für Institute, die den Umstieg auf den neuen Score bereits mit Unterstützung der historischen Anreicherung vollzogen haben, stellt sich damit aktuell kein Problem: Die Validierung ist erfolgt, das Verfahren ist im Einsatz.