Exklusiv
Die Schufa speichert unbemerkt von der Öffentlichkeit veraltete Daten von Millionen Verbrauchern auf längere Zeit. Das ergeben Recherchen von NDR und SZ. Alles rechtens, so die Schufa, doch Daten- und Verbraucherschützer sind alarmiert.
Es ist ein wahrer Schatz, den die Schufa besitzt, und er war bisher vielleicht ihr größtes Geheimnis. Denn neben der „offiziellen“ Schufa-Datenbank gibt es noch eine zweite Sammlung, von der selbst viele Fachleute nichts wussten: „Historische“ Daten von Millionen Verbraucherinnen und Verbrauchern, veraltete Informationen, die Jahre zurückreichen und von denen die Betroffenen bislang annahmen, dass sie längst gelöscht seien.
Alte Kredite und Kreditkarten, Pfändungen und Privatinsolvenzen, Schulden, die die Betroffenen oft schon vor Jahren beglichen haben. Sensible Informationen, die großen Schaden anrichten können, wenn sie in die falschen Hände geraten.
Im europäischen Datenschutzrecht gibt es deshalb ein „Recht auf Vergessenwerden“, eine gesetzliche Verpflichtung, alte Daten nach einer bestimmten Zeit zu löschen. Wer seine Schulden einmal beglichen hat, der soll nicht immer wieder von seiner Vergangenheit eingeholt werden können. Trotzdem glaubt die Schufa, auch solche Daten dauerhaft speichern und verwenden zu dürfen.
So berechnet sie auf Wunsch von Unternehmenskunden, zum Beispiel Banken, die Zahlungsfähigkeit von Verbrauchern für einen bestimmten Tag in der Vergangenheit – aber nur testweise, wie sie betont. Mit Hilfe solcher anhand historischer Daten berechneten Scores lasse sich den Kunden demonstrieren, wie zuverlässig der im Frühjahr mit großem Werbeaufwand vorgestellte neue Schufa-Score sei. Dieses neue Produkt will die Schufa nämlich gerade vermarkten – und dabei hilft der Datenschatz.
Juristin: „Datentests sind nicht zulässig“
Diese Datentests seien aus ihrer Sicht nicht zulässig, sagt Ruth Janal, Expertin für Datenschutzrecht und Professorin an der Uni Bayreuth. „Historische Scores geben einen gewissen Einblick in die finanzielle Situation der betroffenen Personen in der Vergangenheit. Das geht die Vertragspartnerinnen der Schufa schlichtweg überhaupt nichts an.“
Die Brisanz der Tests wird klarer, wenn man sieht, wer deren Ergebnisse bekommen kann: Neben Banken sind dies Telekommunikationsfirmen, Energieversorger, große Handelsunternehmen, eCommerce-Anbieter und Zahlungsdienstleister. NDR und SZ verschickten Dutzende Anfragen, doch nur drei Unternehmen – eine Bank, ein Zahlungsdienstleister und ein Energieversorger – räumten ein, solche historischen Schufa-Daten zu nutzen. Viele Firmen antworteten ausweichend, manche gar nicht. Und von einigen hieß es schlicht, man solle sich doch lieber direkt an die Schufa wenden.
Verbraucherschützer: Datenmissbrauch möglich
Die Schufa betont indes, dass der Umgang mit den Daten vertraglich „strikt auf Test- und Kontrollzwecke beschränkt“ sei. Sie müssten zudem „nach Abschluss der Tests bei den Banken und anderen Unternehmen gelöscht werden“. Trotzdem sei das Ganze problematisch, sagt Claudio Zeitz-Brandmeyer vom Verbraucherzentrale Bundesverband (VZBV), „weil es für die Unternehmen, die diese Daten bekommen, sehr verlockend ist, diese Daten nicht nur für Testzwecke zu verwenden, sondern sie auch tatsächlich beispielsweise für Kreditentscheidungen heranzuziehen“.
Und abgesehen von einem möglichen Missbrauch der Daten gebe es für Verbraucher auch dadurch einen Schaden, dass sie die Kontrolle über ihre Daten verloren hätten, so Datenschutzjuristin Janal. Nach höchstrichterlichen Urteilen könne „auch ein solcher Kontrollverlust einen immateriellen Schaden bilden, der zu Schadensersatz verpflichtet“.
Schufa sieht sich im Recht
Alles ist rechtens, das ist hingegen die Kernbotschaft der Schufa. „Die Speicherung und Weiterverarbeitung von historischen Daten stützt sich insgesamt auf mehrere, sich gegenseitig ergänzende datenschutzrechtliche Erlaubnistatbestände“, heißt es in einer Antwort an NDR und SZ. Besonders Banken seien gesetzlich verpflichtet, die Aussagekraft von Scores zu gewährleisten – und deshalb sei „die Schufa gehalten, historische Daten zu Testzwecken zu speichern“.
Auch andere Unternehmen brauchten zuverlässige Verbraucherbewertungen, die vorher getestet sein müssten, und hätten deshalb „berechtigte Interessen“. Datenschutzexpertin Janal aber stellt auch die Rechtmäßigkeit der Schattendatenbank an sich infrage – zumindest in diesem Umfang.
„Eine dauerhafte Speicherung solcher historischen Daten auf Vorrat für unbestimmte zukünftige Zwecke ist nach der Rechtsprechung des Europäischen Gerichtshofes nicht zulässig“, sagt Janal. Wenn man die Zuverlässigkeit von Scores prüfen wolle, seien alte Daten zwar sinnvoll. „Aber das ließe sich auch mit einem deutlich kleineren Datensatz ermöglichen“, so Janal. Dafür brauche die Schufa nicht die Daten von zig Millionen deutscher Bürger.
Kein Interesse der Verbraucher?
Die betroffenen Verbraucherinnen und Verbraucher erfahren bislang nichts. Weder, dass ihre veralteten Daten noch gespeichert sind, noch von den Experimenten, die die Schufa und Ihre Kunden damit machen. Selbst dann nicht, wenn sie eine Schufa-Auskunft, die sogenannte Datenkopie, anfordern.
Für diese alten Daten interessiere sich ohnehin keiner, so die Botschaft: „Verbraucherinnen und Verbraucher wollen vor allem wissen, wie es aktuell um ihre Bonität steht und welche Daten Einfluss auf Ihren Score haben. Das ist bei historischen Daten nicht der Fall.“ Das schrieb die Schufa vor einigen Tagen auf ihrer Website und machte damit selbst die Existenz solcher historischen Daten erstmals öffentlich – ganz offenbar eine Reaktion auf vorige Anfragen von NDR und SZ zu diesem Thema.
Dass Verbraucher nicht von der Speicherung solcher Daten erfahren müssten, „ist aus meiner Sicht Quatsch“, sagt Janal. Das in der europäischen Datenschutzgrundverordnung verankerte Auskunftsrecht umfasse „natürlich auch diese von der Schufa als historische Daten bezeichneten Daten“.
Datenschutzexperte fordert Untersuchung
Der Datenschutzexperte Matthias Spielkamp von der Nichtregierungsorganisation AlgorithmWatch glaubt, „dass der Vorgang in seinem Ausmaß gar nicht zu überschätzen“ sei. „Die Schufa muss sich schon die Frage stellen lassen, welches Maß an Verantwortungslosigkeit hier herrscht.“ Es müsse nun dringend untersucht werden, was mit den Daten geschehe.
Tatsächlich beschäftigt sich schon seit Frühjahr 2025 der für die Schufa zuständige Hessische Landesdatenschutzbeauftragte mit den Datentests. Man prüfe deren Rechtsgrundlage und auch die Frage, ob Verbraucher mittels Datenkopie informiert werden müssten, hieß es auf Anfrage. Das Verfahren sei aber noch nicht abgeschlossen.
