Die Schattendatenbank der SCHUFA: Was Sie über Ihre Daten wissen sollten

Sie haben Ihre Schulden beglichen. Die alte Privatinsolvenz liegt Jahre zurück. Alles erledigt, alles vorbei. So dachten Sie jedenfalls.

Aber irgendwo in einem Rechenzentrum existiert ein Datensatz über Sie. Mit Ihren alten Krediten. Ihrer damaligen Pfändung. Dem Bonitätswert von vor acht Jahren. Die Frist, nach der diese Daten hätten gelöscht werden müssen, ist längst abgelaufen. Trotzdem sind sie da.

Das ist keine Theorie. Am 15. Juli 2026 haben NDR und Süddeutsche Zeitung enthüllt, was die SCHUFA schon länger weiß und bis dahin nicht öffentlich gemacht hat: Sie betreibt neben ihrer bekannten Datenbank eine zweite, separate Sammlung. Historische Daten. Datensätze zu rund 68 Millionen Menschen in Deutschland, teils bis zu zehn Jahre alt. Und diese Daten tauchen in Ihrer regulären Auskunft nicht auf.

Ich erkläre Ihnen, was das bedeutet, warum es problematisch ist, und was Sie jetzt konkret tun können.

Was ist diese zweite Datenbank überhaupt?

Stellen Sie sich zwei Archive vor, die nebeneinander stehen.

Das erste kennen Sie. Es ist die reguläre Datenbank der SCHUFA, aus der Ihre Bonitätsauskunft kommt. Dort stehen aktuelle Informationen: laufende Kredite, offene Konten, aktuelle Einträge. Wenn Sie eine Selbstauskunft anfordern, bekommen Sie daraus einen Auszug.

Das zweite Archiv ist das, worüber NDR und Süddeutsche Zeitung berichtet haben. Es enthält historische Daten: alte Bonitätsscores und die Transaktionsdaten, auf denen sie basierten. Kredite, die längst abbezahlt sind. Pfändungen, die schon verjährt wären. Privatinsolvenzen, deren gesetzliche Löschfrist abgelaufen ist. Genau die Dinge, die nach den regulären Fristen weg sein müssten.

Die SCHUFA bestätigt die Existenz dieser Datenbank. Sie spricht von „archivierten Datensätzen”, die sie zu „Datenschutzkontroll-, Test-, Entwicklungs- und Rechtsverteidigungszwecken” vorhalte. Genutzt werden die Daten unter anderem, um Neukunden zu zeigen, wie gut der neue Score funktioniert. Und bei Auskunftsanfragen nach Artikel 15 der Datenschutzgrundverordnung weist die SCHUFA diese Daten nach eigener Aussage „nicht gesondert aus”, weil Verbraucher vor allem wissen wollten, wie es aktuell um ihre Bonität steht.

So formuliert klingt das fast fürsorglich. Und trotzdem ist es aus meiner Sicht rechtlich nicht haltbar.

Warum die Erklärung der SCHUFA nicht trägt

Fangen wir mit dem Grundsätzlichen an. Die Datenschutzgrundverordnung kennt einen Grundsatz, der sich Zweckbindung nennt. Artikel 5 Absatz 1 Buchstabe b. Die Regel besagt: Daten dürfen nur für den Zweck gespeichert und genutzt werden, für den sie ursprünglich erhoben wurden.

Die SCHUFA erhebt Bonitätsdaten, um die Kreditwürdigkeit von Personen zu beurteilen. Wenn die Frist dafür abläuft, fällt auch der Zweck weg. Dann dürfen die Daten nicht mehr gespeichert werden. Sie in einem historischen Archiv vorzuhalten, um damit Scoring-Algorithmen zu testen oder Verkaufsdemos zu betreiben, ist ein anderer Zweck. Ein neuer Zweck. Und für den braucht man eine neue Rechtsgrundlage.

Artikel 5 Absatz 1 Buchstabe e, der Grundsatz der Speicherbegrenzung, macht das noch deutlicher. Mit Ablauf der Löschfrist ist die Rechtsgrundlage für die Speicherung weg. Punkt. Nicht „die Frist ist abgelaufen, aber wir nennen die Daten jetzt Archiv und behalten sie trotzdem.”

Und dann gibt es noch den Grundsatz der Datensparsamkeit, Artikel 5 Absatz 1 Buchstabe c. Professorin Ruth Janal, Datenschutzrechtlerin an der Universität Bayreuth, hat es in der Berichterstattung deutlich gesagt: „Eine dauerhafte Speicherung solcher historischen Daten auf Vorrat für unbestimmte zukünftige Zwecke ist nach der Rechtsprechung des Europäischen Gerichtshofes nicht zulässig.” Und für Tests wären deutlich kleinere Datensätze ausreichend. Man braucht keine 68 Millionen Datensätze echter Menschen, um einen Algorithmus zu testen. Jedenfalls nicht in Originalform.

Die SCHUFA beruft sich auf eine verpflichtende Aufbewahrung. Eine gesetzliche Aufbewahrungspflicht für abgelaufene Bonitätsdaten in dieser Form und Menge ist mir nicht bekannt. Die Rechtsgrundlage, auf die sich die SCHUFA für die reguläre Bonitätsauskunft beruft, ist Artikel 6 Absatz 1 Buchstabe f der DSGVO, das berechtigte Interesse. Nach Einschätzung der bislang öffentlich zu Wort gekommenen Fachleute trägt dieses Interesse für eine Schattendatenbank zu Test- und Demonstrationszwecken nicht. Ich teile diese Einschätzung.

Was das Datenschutzrecht konkret vorschreibt

Nun zur Frage, die viele zuerst stellen: Was kann man dagegen tun?

Bevor wir zu den Schritten kommen, möchte ich die rechtliche Grundlage kurz sortieren, damit Sie verstehen, warum die Schritte rechtlich belastbar sind und nicht nur ein Bittgesuch.

Das Auskunftsrecht, Artikel 15 DSGVO. Sie haben das Recht zu wissen, welche personenbezogenen Daten ein Unternehmen über Sie speichert. Dieses Recht erfasst alle gespeicherten Daten. Ohne Ausnahme für „historische Bestände” oder „Archive”. Professorin Janal hat das in der NDR-Berichterstattung klar formuliert: Das Auskunftsrecht umfasst auch diese historischen Daten.

Wenn die SCHUFA die Daten ihrer Schattendatenbank bei Auskunftsanfragen nicht mitteilt, verstößt sie damit gegen Artikel 15 DSGVO. Das ist keine schwierige juristische Wertung. Das folgt direkt aus dem Gesetzeswortlaut.

Das Urteil des BGH vom 12. Mai 2026, VI ZR 375/24. Der Bundesgerichtshof hat in diesem Urteil entschieden, dass die Meldung bestrittener, nicht titulierter Forderungen an Auskunfteien unzulässig ist. Wer einer Forderung mit nachvollziehbarer Begründung widersprochen hat, darf deswegen nicht bei der SCHUFA eingemeldet werden, und hat einen Anspruch darauf, dass der Eintrag beseitigt wird. Zugleich hat der BGH klargestellt: Eine rechtswidrige Meldung kann einen Anspruch auf Ersatz des immateriellen Schadens nach Artikel 82 DSGVO begründen. Schon die Beeinträchtigung der wirtschaftlichen Reputation und der Verlust der Kontrolle über die eigenen Daten wiegen dabei als Schaden. Auf den Nachweis, dass gerade dieser eine Eintrag eine konkrete Absage verursacht hat, kommt es für den Anspruch dem Grunde nach nicht an. Die tatsächlichen Auswirkungen spielen dann bei der Höhe eine Rolle.

Für die Schattendatenbank ist das aus zwei Gründen relevant. Erstens zeigt das Urteil, dass die Gerichte die Datenhygiene der Auskunfteien ernst nehmen: Was nicht gespeichert werden darf, muss weg, samt Folgenbeseitigung. Zweitens senkt es die Hürde für Schadensersatz, wenn rechtswidrig gespeicherte Daten Sie beeinträchtigen.

Das Scoring-Urteil des EuGH vom 7. Dezember 2023, C-634/21 (ECLI:EU:C:2023:957). Das ist der wichtigste Baustein. Der Europäische Gerichtshof hat entschieden: Das Ermitteln eines Scores bei einer Auskunftei ist eine automatisierte Entscheidung im Sinne von Artikel 22 DSGVO, wenn der Score in der Praxis maßgeblich über Kreditvergabe oder ähnliche erhebliche Folgen entscheidet. Nicht erst die Entscheidung der Bank, die auf den Score schaut. Schon der Score selbst.

Was heißt das für die Schattendatenbank? Wenn historische Daten, die eigentlich hätten gelöscht werden müssen, in die Berechnung oder Entwicklung von Scores einfließen, dann ist das ein Problem auf mehreren Ebenen gleichzeitig. Die Speicherung selbst dürfte rechtswidrig sein. Die Nutzung für das Scoring wäre es ebenfalls. Und für Sie ergibt sich daraus möglicherweise ein Schadensersatzanspruch nach Artikel 82 DSGVO, wenn Sie dadurch konkret benachteiligt wurden.

Was Sie jetzt tun können

Hier sind fünf konkrete Schritte, die sofort möglich sind. Musterformulierungen und das Vorgehen im Detail habe ich auf meiner Schwerpunktseite Schufa & Auskunfteien zusammengefasst.

Erster Schritt: Fordern Sie eine vollständige Auskunft an, nicht die Standard-Bonitätsauskunft.

Das ist der entscheidende Unterschied. Die Selbstauskunft, die viele kennen, zeigt Ihnen den aktuellen Bonitätswert. Die vollständige Auskunft nach Artikel 15 DSGVO ist etwas anderes. Sie müssen ausdrücklich verlangen, dass Ihnen alle über Sie gespeicherten personenbezogenen Daten mitgeteilt werden, einschließlich historischer und archivierter Daten. Formulieren Sie das explizit. Nur dann können Sie sehen, ob und welche Daten in der Schattendatenbank über Sie liegen.

Die SCHUFA ist verpflichtet, innerhalb eines Monats zu antworten.

Zweiter Schritt: Verlangen Sie die Löschung nach Artikel 17 DSGVO.

Daten, die nicht mehr für den ursprünglichen Erhebungszweck notwendig sind, müssen gelöscht werden. Ist die reguläre Löschfrist abgelaufen, fehlt aus meiner Sicht auch für eine weitere Vorhaltung die tragfähige Rechtsgrundlage. Sie können die Löschung konkret benennen: „Ich verlange die Löschung aller Daten, deren reguläre Aufbewahrungsfrist abgelaufen ist, insbesondere der in Ihrer historischen Datenbank gespeicherten Datensätze zu meiner Person.” Wie Sie bei falschen oder veralteten Einträgen im Übrigen vorgehen, habe ich hier beschrieben.

Dritter Schritt: Widersprechen Sie der Verarbeitung nach Artikel 21 DSGVO.

Wenn ein Unternehmen Ihre Daten auf Basis eines berechtigten Interesses nach Artikel 6 Absatz 1 Buchstabe f verarbeitet, haben Sie das Recht, dieser Verarbeitung zu widersprechen. Das gilt für die Schattendatenbank, wenn die SCHUFA sich darauf beruft. Einen solchen Widerspruch schriftlich zu erheben, ist sinnvoll, auch wenn die SCHUFA ihn zunächst zurückweist. Der Widerspruch dokumentiert Ihre Rechtslage für einen möglichen späteren Schritt.

Vierter Schritt: Verlangen Sie die Einschränkung der Verarbeitung nach Artikel 18 DSGVO.

Solange die Rechtmäßigkeit der Verarbeitung strittig ist, können Sie verlangen, dass die SCHUFA Ihre historischen Daten nicht weiter nutzt. Das ist keine Löschung, sperrt aber die aktive Verwendung. Diesen Schritt sollten Sie gleichzeitig mit dem Löschverlangen erheben.

Fünfter Schritt: Beschwerde beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit.

Die SCHUFA hat ihren Sitz in Wiesbaden. Zuständige Datenschutzbehörde ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, kurz HBDI. Dort können Sie kostenlos Beschwerde einlegen. Der HBDI prüft die Rechtsgrundlage der Schattendatenbank bereits seit Frühjahr 2025, wie der Bericht von NDR und SZ zeigt. Eine Beschwerde stärkt das laufende Verfahren und Ihre eigene Dokumentation.

Was am 21. Oktober 2026 beim BGH auf dem Spiel steht

An diesem Tag verkündet der Bundesgerichtshof seine Entscheidung zur Frage, wie weit das Auskunftsrecht nach Artikel 15 Absatz 1 Buchstabe h DSGVO beim Scoring reicht. Der I. Zivilsenat hat dazu am 18. Juni 2026 vier Verfahren verhandelt. Wie viel muss die SCHUFA über die Logik hinter Ihrem Score verraten? Nur eine Liste der einbezogenen Datenkategorien? Oder eine echte, nachvollziehbare Erklärung samt Gewichtung? Was der EuGH von einer solchen Erklärung erwartet, hatte er im Februar 2025 bereits in einem österreichischen Fall konkretisiert.

Ich halte das für einen wichtigen Termin, aber ich muss ehrlich sein: Die Tendenz in der Verhandlung am 18. Juni 2026 war eher zurückhaltend. Der Senat hat angedeutet, dass die weitgehende Auskunftspflicht nach Artikel 15 Absatz 1 Buchstabe h eine automatisierte Entscheidungsfindung voraussetzt, und dass die bloße Berechnung eines Scores dafür möglicherweise nicht genügt. Wer Ihnen sagt, wie der BGH entscheiden wird, rät. Der Ausgang ist offen.

Was ich aber sagen kann: Der EuGH hat mit dem Urteil vom 7. Dezember 2023 (C-634/21) eine Linie gezogen, an der sich auch Karlsruhe messen lassen muss. Misst ein Unternehmen dem Score bei seiner Entscheidung maßgebliche Bedeutung bei, ist bereits die Score-Ermittlung eine automatisierte Entscheidung, mit allen Transparenz- und Schutzpflichten der DSGVO.

Wenn der BGH das Auskunftsrecht stärkt, wird es deutlich leichter, eine Auskunft über die Logik des eigenen Scores durchzusetzen, und damit auch, fehlerhafte oder rechtswidrig gespeicherte Daten aufzuspüren. Fällt das Urteil zurückhaltend aus, ändert das nichts an den Löschungs- und Widerspruchsrechten, die heute schon bestehen. Ich verfolge das Verfahren und berichte nach dem 21. Oktober.

Häufige Fragen zur Schattendatenbank

Bin ich betroffen, wenn ich nie eine Insolvenz hatte?

Möglicherweise ja. Die Schattendatenbank enthält nach den Berichten historische Bonitätsscores und Transaktionsdaten. Das können auch ältere Kreditdaten, frühere Konten oder historische Zahlungsmuster sein. Nicht nur Insolvenzen oder Pfändungen. Ob und welche Daten zu Ihrer Person dort gespeichert sind, erfahren Sie nur über eine vollständige Auskunft nach Artikel 15 DSGVO, in der Sie ausdrücklich nach historischen und archivierten Daten fragen.

Muss ich Angst haben, dass mein aktueller Score dadurch schlechter ist?

Das ist die entscheidende Frage, auf die es noch keine endgültige Antwort gibt. Nach den Berichten nutzt die SCHUFA die historischen Daten für Tests neuer Score-Modelle, deren Ergebnisse an Unternehmen weitergegeben werden. Ob und wie sich das auf Bewertungen zu Ihrer Person auswirkt, lässt sich von außen schwer überprüfen, solange die Logik des Scores nicht offengelegt wird. Wenn Sie den Verdacht haben, dass Ihr Score ohne nachvollziehbaren Grund schlecht ist, lohnt sich ein genauer Blick auf Ihre Daten.

Was kostet mich die Auskunft nach Artikel 15 DSGVO?

Nichts. Die Auskunft nach Artikel 15 DSGVO ist kostenlos. Erst wenn Sie sie offenkundig exzessiv oft anfordern, darf ein Entgelt verlangt werden. Achten Sie darauf, die Datenschutzauskunft (Datenkopie) zu beantragen und nicht das kostenpflichtige Bonitäts-Abo, das die SCHUFA auf ihrer Website bewirbt.

Was passiert, wenn die SCHUFA meine Löschanfrage ablehnt?

Sie hat einen Monat Zeit zu antworten. Lehnt sie ab, ist das keine Sackgasse. Sie können Beschwerde beim HBDI einlegen, notfalls auch gerichtlich vorgehen. Gerade im Licht der aktuellen Berichterstattung und des laufenden Aufsichtsverfahrens halte ich die Chancen für nicht schlecht, dass eine begründete Anfrage sorgfältig geprüft wird.

Gibt es schon Bußgelder oder Klagen?

Stand Juli 2026: Bußgelder gibt es noch nicht. Die WeAct-Petition von AlgorithmWatch fordert die sofortige Löschung der Schattendatenbank und, sollte sie rechtswidrig sein, das Höchstbußgeld von 20 Millionen Euro; sie hatte innerhalb kürzester Zeit über 100.000 Unterschriften. Der HBDI prüft seit Frühjahr 2025, bislang ohne Ergebnis. Klagen auf Löschung und Schadensersatz nach Artikel 82 DSGVO sind rechtlich möglich, aber der Weg dahin führt über eine vollständige Auskunft als ersten Schritt.

Kann ich Schadensersatz verlangen?

Das hängt vom Einzelfall ab. Der BGH hat in seinem Urteil vom 12. Mai 2026 (VI ZR 375/24) die Hürden für den Ersatz des immateriellen Schadens gesenkt: Schon die Beeinträchtigung der wirtschaftlichen Reputation und der Kontrollverlust über die eigenen Daten können als Schaden genügen, ohne dass ein konkreter Missbrauch nachgewiesen werden muss. Ob das in Ihrem Fall trägt, lässt sich nur beurteilen, wenn man weiß, welche Daten tatsächlich gespeichert und genutzt wurden. Auch das beginnt mit der Auskunft.

Ein Gedanke zum Schluss

Was mich an diesem Fall beschäftigt, ist nicht nur die rechtliche Frage. Es ist das Prinzip dahinter.

Die Löschfristen im Datenschutzrecht sind kein bürokratisches Detail. Sie sind eine bewusste Entscheidung: Nach einer bestimmten Zeit hat ein Mensch das Recht, dass seine Vergangenheit nicht mehr gegen ihn verwendet wird. Dass ein Unternehmen diese Fristen umgeht, indem es die Daten schlicht in ein zweites Archiv verschiebt und dieses Archiv bei Auskunftsanfragen nicht mitteilt, ist genau das, was das Datenschutzrecht verhindern soll.

Haben Sie den Verdacht, dass in Ihrer Akte Daten stecken, die dort nicht mehr sein dürften? Oder haben Sie eine Absage bekommen, die Sie sich nicht erklären können?

Schildern Sie mir Ihren Fall in zwei Sätzen. Ich sage Ihnen ehrlich, ob genaueres Hinschauen sich lohnt.