Gesetze wie die Datenschutzgrundverordnung (DSGVO) sollen eigentlich für strenge Regeln sorgen, wie persönliche Daten gesammelt und weitergegeben werden. Die Schutzgemeinschaft für allgemeine Kreditsicherung (Schufa) nimmt in dieser Hinsicht jedoch eine Sonderrolle ein. Das sehr undurchsichtige Vorgehen und die teils verheerenden Folgen eines negativen Eintrags lassen das Unternehmen aber immer wieder in der Kritik stehen. NDR und SZ haben kürzlich allerdings aufgedeckt, dass die Schufa noch eine Schatten-Datenbank besitzt, in der Daten gesammelt werden, die längst gelöscht gehören. Damit scheint die Auskunftei ihre Befugnisse massiv zu überspannen.

Wir erklären, warum die Schufa überhaupt eine Sonderrolle hat, was es mit dem neuen Schufa-Score auf sich hat und warum die Schufa allgemein in der Kritik steht. Natürlich geht es aber auch über die ominöse Schatten-Datenbank und wie die juristische Einordnung dieses Skandals im Netz ist.

Welche Funktion hat die Schufa? 

Die Aufgabe der Schutzgemeinschaft für allgemeine Kreditsicherung (Schufa) ist das sammeln von Informationen über das Zahlungsverhalten von Verbrauchern und die Auskunft über diese. Banken, Sparkassen, Versandhändler, Telekommunikationsunternehmen oder Energieversorger können vor dem Abschluss eines Vertrags eine Bonitätsauskunft einholen, um das Risiko eines Zahlungsausfalls besser einschätzen zu können. Die Schufa ist also ein Informationsdienstleister, der sowohl Unternehmen vor finanziellen Schäden schützen als auch Verbrauchern den Zugang zu Krediten oder Verträgen erleichtern soll.

Für ihre Bonitätsbewertungen verarbeitet die Schufa zahlreiche Informationen. Dazu gehören unter anderem Stammdaten wie Name, Geburtsdatum und Anschrift, aber auch Angaben über Girokonten, Kreditkarten, Ratenkredite oder Mobilfunkverträge. Kommt es zu Zahlungsstörungen oder titulierten Forderungen, können auch diese Informationen gespeichert werden und in die Bonitätsbewertung einfließen. Nicht gespeichert werden hingegen Daten über Einkommen, Vermögen oder den Kontostand einer Person.

Da für eine solche Auskunft rechtlich ein „berechtigtes Interesse“ vorliegt, umgeht die Schufa die Einwilligung zur Datenverarbeitung der DSGVO. Damit soll sichergestellt werden, dass Unternehmen ihre wirtschaftlichen Risiken besser einschätzen können und Kreditausfälle reduziert werden.

Das bedeutet allerdings nicht, dass die Schufa personenbezogene Daten beliebig sammeln oder unbegrenzt speichern darf. Auch Auskunfteien müssen die allgemeinen Grundsätze der DSGVO beachten. Dazu gehören insbesondere die Zweckbindung – Daten dürfen nur für den vorgesehenen Zweck verarbeitet werden – sowie die Speicherbegrenzung. Personenbezogene Daten müssen gelöscht werden, sobald sie für den ursprünglichen Zweck nicht mehr erforderlich sind. Genau an diesem Punkt setzen die aktuellen Vorwürfe rund um die mutmaßliche Schatten-Datenbank an.

Darum steht die Schufa bereits in der Kritik

Die Schufa genießt bei vielen Deutschen seit Jahren keinen guten Ruf. Das zuvor erwähnte „berechtigte Interesse“ ist einer der Gründe. Die Auskunftei darf personenbezogene Daten in vielen Fällen auch ohne ausdrückliche Einwilligung der Betroffenen verarbeiten.

Die gesellschaftliche Bedeutung der Bonitätsbewertung kann zudem ein richtiges Stigma für Verträge sein. Ein schlechter Schufa-Score hat nicht nur großen Einfluss auf Kredite, sondern ist mitunter auch ein starkes Ausschluss-Kriterium bei der ohnehin sehr schwierigen Wohnungssuche. Trotz dieser weitreichenden Rolle handelt es sich nicht um eine staatliche Einrichtung, sondern um ein privatwirtschaftlich organisiertes Unternehmen.

Das Unternehmen stand daher in den letzten Jahren stark im Fokus von Datenschützern, Verbraucherschützern und Gerichten. Die Kritik richtet sich dabei nicht nur gegen einzelne Datenspeicherungen, sondern gegen das Geschäftsmodell insgesamt: die Sammlung personenbezogener Daten und deren Nutzung zur Berechnung der Kreditwürdigkeit von Millionen Menschen. Auch verdient das Unternehmen Geld mit der Ausgabe dieser Daten an Unternehmen. Man kann sich selbst zwar auch eine kostenlose Auskunft bei der Schufa einholen, zahlt bei manchen Serviceanbietern dafür aber 30 Euro – für Daten über sich selbst.

Lange Zeit war der Schufa Score dabei eine Blackbox, bei der Betroffene keine Nachvollziehbarkeit hatten, wie ihr Score eigentlich zustande kam. Durch mehrere Urteile des Europäischen Gerichtshofs (EuGH) musste die Schufa die Berechnung des Schufa-Scores transparenter machen. Als Reaktion darauf gibt es seit März 2026 einen neuen Schufa-Score. Statt bislang rund 250 Merkmale, basiert dieser neue Score auf 12 klar benannte Kriterien. Diese ergeben zusammen einen Wert zwischen 100 und 999 Punkten.

Das Problem: Der neue Schufa-Score bezieht auch die Dauer von Wohnsitz, Bankkonto und Mobilvertrag ein. Wer keine Kreditkarte besitzt, vor kurzem umgezogen ist und dabei auch noch seine Bank gewechselt hat kann einen ähnlich hohen Punkteabzug erhalten wie bei eklatanten Zahlungsstörungen. Ein zuvor ausgezeichneten Schufa-Score droht nun wegen vermeintlicher Kleinigkeiten abzustürzen.

Wer überwacht die Schufa?

Ein weiterer Kritikpunkt betrifft die Überwachung der Schufa. Obwohl es sich um ein Unternehmen handelt, dass sensible Daten aller Bürger handelt ist keine Bundesbehörde zuständig, sondern wird vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) kontrolliert. Die DSGVO regelt, dass Unternehmen von der Behörde des Bundeslandes kontrolliert wird, in dem sie ihren Firmensitz haben.

In einem Artikel des Bayerischen Rundfunk aus 2018, wird die Überwachung der Auskunfteien durch den HBDI genauer beleuchtet. Nach deren Recherchen geschieht die Überprüfung der Aukunfteien zum wesentlichen Teil auf Basis von Gutachten, welche die Auskunfteien selbst bei Universitäten und Wissenschaftler*innen in Auftrag geben und auch bezahlen. Das Gutachten bewertet zudem auch nur, ob die Kriterien eine Aussage über die Kreditwürdigkeit einer Person erlauben. Hier besteht akute Gefahr eines Interessenskonflikts.

Seitens des HBDI sah man in der Praxis kein Problem und berief sich darauf, im Zweifel auch ein eigenes Gutachten beauftragen und bezahlen zu können. Von dieser Möglichkeit wurde bis zum Zeitpunkt des Artikels aber noch kein Gebrauch gemacht. Etwas kritischer fällt im Artikel die Aussage der Datenschutzbehörde in Nordrhein-Westphalen aus. Diese gestand, dass den Behörden für viele wichtige Aspekte die Fachkunde fehl und man die Gutachten nur auf Plausibilität prüfen kann. Wegen fehlender Mittel selbst Prüfungsaufträge zu erteilen, forderte die Behörde, Scoring-Verfahren durch unabhängige Stellen zu überprüfen.

Was ist die Schatten-Datenbank der Schufa?

Eine gemeinsame Recherche vom NDR und der Süddeutschen Zeitung entdeckte, dass es neben der bekannten Schufa-Datenbank noch eine zweite, sogenannte „Schatten-Datenbank“ gibt. Diese wird nicht für die Berechnung des eigentlichen Scores genutzt, enthält aber historische Daten von Millionen Verbraucher*innen. Daten, von denen man auch in der Selbstauskunft nichts erfährt.

In der Datenbank sollen unter anderem Informationen über frühere Kredite, Kreditkarten, Pfändungen, Privatinsolvenzen oder bereits beglichene Forderungen gespeichert sein. Die sind teils bereits seit Jahren aus der offiziellen Datenbank gelöscht.

Vorwürfen unzulässiger Vorratsdatenspeicherung widerspricht die Schufa allerdings, gesteht jedoch die Existenz dieser Datensätze. Diese nutzt die Schufa nicht produktiv für die Bonitätsbewertung, sondern um neue Scoring-Modelle zu testen. So kann die Schufa testen, ob neue Scoring-Modelle bereits geschehene Szenarien realistisch eingestuft hätten. Die Datensätze der Schatten-Dankenbank gelangen zudem auch nicht an Vertragspartner.  

Datenschutz- und Verbraucherschützer halten diese Begründung jedoch für problematisch. Sie bezweifeln, dass eine Speicherung personenbezogener Daten über viele Jahre hinweg allein zur Validierung neuer Scoring-Modelle tatsächlich erforderlich ist. Kritisiert wird außerdem, dass Betroffene weder über die Existenz der historischen Daten informiert wurden noch nachvollziehen können, welche Informationen dort gespeichert sind. Gerade diese mangelnde Transparenz könnte mit den Informationspflichten der DSGVO kollidieren.

Verstößt die Schatten-Datenbank gegen die DSGVO?

Ob die Schatten-Datenbank der Schufa tatsächlich gegen europäisches Datenschutzrecht verstößt, ist noch nicht abschließend geklärt.

Die Schufa beruft sich darauf, dass die historischen Datensätze ausschließlich genutzt werden, um neue Scoring-Modelle zu entwickeln, zu testen und deren Aussagekraft nachzuweisen. Da Banken zu regelmäßigen Tests ihrer Risikomodelle verpflichtet und die historischen Daten für die Tests an realen Bonitätsverläufen bei der Validierung hilft, handelt es sich mutmaßlich um eine Speicherung durch berechtigtes Interesse laut DSGVO.

Viele Experten sind davon allerdings weniger bezogen. Dabei beziehen sie sich insbesondere darauf, dass personenbezogene Daten laut DSGVO nur so lange gespeichert werden dürfen, wie sie für den ursprünglichen Zweck erforderlich sind.

Ruth Janal, Expertin für Datenschutzrecht von der Uni Bayreuth, äußerte sich gegenüber NDR und SZ wie folgt: „Eine dauerhafte Speicherung solcher historischen Daten auf Vorrat für unbestimmte zukünftige Zwecke ist nach der Rechtsprechung des Europäischen Gerichtshofes nicht zulässig“. Zur Nutzung, um neue Score-Methoden zu prüfen merkt sie an, dass sich das auch mit einem deutlich kleineren Datensatz umsetzen ließe.

In Artikel 5 der DSGVO heißt es unter anderem: „Eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken“.

Auf der anderen Seite steht im selben Artikel aber auch: „Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“)“

Ein weiterer Kritikpunkt betrifft die Transparenz gegenüber den Betroffenen. Nach Art. 15 DSGVO haben Verbraucher das Recht zu erfahren, welche personenbezogenen Daten über sie verarbeitet werden. Nach den Recherchen von NDR und Süddeutscher Zeitung tauchen die historischen Datensätze jedoch nicht in der kostenlosen Datenkopie auf, die Verbraucher bei der Schufa anfordern können.

Algorithmwatch mit Petition gegen die Schatten-Datenbank der Schufa

Nachdem der neue Schufa-Score zwar nicht unbedingt mit seinen Kriterien begeisterte, aber zumindest deutlich mehr Transparenz für die Verbraucher*innen brachte, schien zumindest dieser Kritikpunkt an der Schufa abgehakt. Die Schatten-Datenbank hat das das Vertrauen jedoch erneut stark erschüttert.

Algorithmwatch, eine in Berlin ansässige NGO, die algorithmische Prozesse auf ethische Konflikte prüft, ist bereits mit einer neuen Petition aktiv geworden. Die Forderung umfasst dabei nicht nur die augenblickliche Löschung der Schattendatenbank, sondern auch die höchstmögliche Strafe von 20 Millionen Euro, wenn die Prüfung durch die hessischen Datenschutzbeauftragten die Datenbank als rechtswidrig einstufen.

Matthias Spielkamp, Geschäftsführer von AlgorithmWatch schrieb dazu: „Der hessische Datenschutzbeauftragte muss die seit mehr als einem Jahr laufende Prüfung nun unverzüglich abschließen – und sollte sich herausstellen, dass die Schattendatenbank illegal ist, muss er nicht nur anordnen, dass die Schufa sie sofort löscht, er muss auch die höchstmögliche Strafe von 20 Millionen Euro verhängen.“

Die Petition hat bereits über 137.000 Unterzeichner. Zusätzlich bietet Algorithmwatch auch ein Formular an, mit dem ihr Informationen zu Daten aus der Schatten-Datenbank beantragen könnt. Das Formular erfordert die Daten, welche die Schufa auch für eine normale Selbstauskunft anfordert. Zusätzlich leitet Algorithmwatch diese mit einer Aufforderung zur Herausgabe aller sonst versteckter Daten weiter. Dieses Formular könnte den Druck auf die Schufa jedoch stärker erhöhen als die Petition, weil sie dem Unternehmen bereits zusätzlichen Aufwand verursacht.

Algorithmwatch beobachtet die Schufa schon seit langem und führte auch die Kampagne OpenSCHUFA, die zum Ziel hatte, das Scoring-Verfahren aus seiner vorigen Blackbox zu holen. OpenSCHUFA erhielt 2019 eine Nominierung für den Grimme Online Award.

---

Image via ChatGPT (KI-generiert)

Artikel per E-Mail verschicken