SCHUFA-Schattendatenbank: Rechte und offene Fragen

Eine gemeinsame Recherche von NDR und Süddeutscher Zeitung hat im Juli 2026 einen umfangreichen historischen Datenbestand der SCHUFA öffentlich gemacht. In der Berichterstattung wird dafür der Begriff „Schattendatenbank“ verwendet. Die SCHUFA weist diese Bezeichnung zurück und spricht von historischen Archivdaten, die vom produktiven Datenbestand getrennt seien.

Ob und in welchem Umfang diese Speicherung, ihre Nutzung zu Testzwecken und die bisherige Auskunftspraxis mit der Datenschutz-Grundverordnung vereinbar sind, ist am 21. August 2026 nicht abschließend geklärt. Eine veröffentlichte abschließende Behördenentscheidung oder gerichtliche Entscheidung speziell zu diesem Archivbestand liegt bislang nicht vor. Dieser Beitrag trennt deshalb belegte Tatsachen, die Position der SCHUFA und die noch offenen Rechtsfragen.

Was ist über die sogenannte SCHUFA-Schattendatenbank bekannt?

Nach der Recherche von NDR und Süddeutscher Zeitung speichert die SCHUFA historische Bonitätsdaten, die im aktuellen Datenbestand nicht mehr erscheinen. Genannt werden unter anderem frühere Kredite und Kreditkarten, Pfändungen, erledigte Schulden, Privatinsolvenzen und frühere Scorewerte. Die Daten reichen der Berichterstattung zufolge teilweise Jahre zurück.

Der NDR spricht von Daten zu rund 68 Millionen Menschen. Daraus folgt jedoch nicht, dass zu jeder dieser Personen dieselben Datenarten, gleich alte Einträge oder überhaupt löschungsreife Negativmerkmale vorliegen. Der genaue Umfang des historischen Bestands je Person ist öffentlich nicht nachvollziehbar.

Die SCHUFA unterscheidet zwischen dem produktiven Datenbestand, der für aktuelle Auskünfte und Scores verwendet wird, und historischen Archivdaten. Nach ihrer Darstellung werden die Archivdaten insbesondere für Qualitätskontrollen, die Entwicklung und Überprüfung von Verfahren, datenschutzrechtliche Kontrollen und die Rechtsverteidigung benötigt. In einem eigenen Beitrag erläutert die SCHUFA, wie Unternehmen mit historischen Daten die Zuverlässigkeit des neuen SCHUFA-Scores testen. Sie hält eine Löschung des historischen Bestands für nachteilig und begründet ihre Position mit der notwendigen Validierung von Scoringmodellen.

Nach dem NDR-Bericht erhalten ausgewählte Unternehmenskunden für Testzwecke historische Scorewerte. Die SCHUFA erklärt, diese Nutzung sei vertraglich auf Test- und Kontrollzwecke beschränkt und die Unternehmen müssten die Daten nach Abschluss der Tests löschen. Ob alle beteiligten Unternehmen diese Vorgaben technisch und organisatorisch einhalten, lässt sich von außen nicht beurteilen.

Beeinflussen die Archivdaten den aktuellen SCHUFA-Score?

Hier ist eine wichtige Unterscheidung nötig: Historische Daten können zur Entwicklung oder nachträglichen Überprüfung eines Scoringmodells verwendet werden. Das bedeutet nicht automatisch, dass ein archivierter Eintrag zu einer bestimmten Person unmittelbar in deren aktuellen Score einfließt.

Für eine direkte Nutzung historischer Archivdaten bei aktuellen Einzelbewertungen gibt es bislang keine veröffentlichte behördliche Feststellung. Die SCHUFA erklärt, der historische Bestand sei vom produktiven Bestand getrennt. Offen bleibt gleichwohl, welche Daten in welchem Umfang zur Modellvalidierung eingesetzt werden, welche historischen Ergebnisse an Testkunden gelangen und welche Schutzmaßnahmen dabei greifen.

Wer wissen möchte, ob zu seiner Person Archivdaten vorhanden sind, ist daher auf eine konkrete Auskunft angewiesen. Eine bloße Abweichung des aktuellen Scores beweist weder die Existenz solcher Daten noch ihre Nutzung im Einzelfall.

Warum ist die rechtliche Bewertung noch offen?

Der Begriff „Archiv“ schafft keine eigene Ausnahme von der DSGVO. Solange Daten einer Person zugeordnet werden können, bleiben insbesondere die Grundsätze aus Art. 5 DSGVO und das Erfordernis einer Rechtsgrundlage nach Art. 6 DSGVO relevant.

Im Mittelpunkt stehen mehrere Fragen:

Zweckbindung: Ist die Nutzung für Tests, Entwicklung, Kontrollen oder Rechtsverteidigung mit dem ursprünglichen Erhebungszweck vereinbar oder besteht für den neuen Zweck eine tragfähige Rechtsgrundlage?
Datenminimierung: Werden personenbezogene Originaldaten in diesem Umfang benötigt, oder könnten kleinere, anonymisierte oder synthetische Datensätze den Zweck ebenso erfüllen?
Speicherbegrenzung: Ist für jede Datenart und jeden Zweck eine überprüfbare Speicherdauer festgelegt?
Transparenz: Wurden Betroffene verständlich über Archivierung, Zwecke, Empfänger und Speicherdauer informiert?
Sicherheit und Zugriff: Wer kann die Daten intern oder bei Testkunden einsehen, und wie werden Zweckbeschränkung und Löschung kontrolliert?

Diese Fragen müssen für die einzelnen Verarbeitungszwecke und Datenarten beantwortet werden. Dass ein Eintrag aus dem produktiven Bestand entfernt wurde, macht jede weitere Speicherung nicht automatisch rechtswidrig. Umgekehrt genügt die bloße Benennung eines Test- oder Rechtsverteidigungszwecks nicht: Die SCHUFA muss die Rechtmäßigkeit, Erforderlichkeit und Begrenzung der Verarbeitung nachweisen können.

Welche Speicherfristen gelten bei der SCHUFA?

Es gibt keine einheitliche Löschfrist für sämtliche SCHUFA-Daten. Datenart, Herkunft, Zweck und besondere Umstände des Einzelfalls sind entscheidend.

Der Bundesgerichtshof hat am 18. Dezember 2025 in der Sache I ZR 97/25 entschieden, dass von Vertragspartnern gemeldete Daten über eine ausgeglichene Zahlungsstörung nicht zwingend sofort nach Begleichung der Forderung gelöscht werden müssen. Nach der amtlichen BGH-Mitteilung können die von der Datenschutzaufsicht genehmigten Verhaltensregeln grundsätzlich einen angemessenen Interessenausgleich bilden. Sie sehen regelmäßig 36 Monate und unter bestimmten Voraussetzungen 18 Monate vor. Besondere Umstände können im Einzelfall dennoch für eine kürzere Speicherung sprechen.

Für Informationen über eine Restschuldbefreiung aus öffentlichen Insolvenzbekanntmachungen gilt etwas anderes. Der EuGH entschied 2023 in den verbundenen Rechtssachen C-26/22 und C-64/22, dass eine private Auskunftei diese Information nicht länger speichern darf als das öffentliche Register. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit erläutert hierzu eine Speicherdauer von sechs Monaten.

Beide Entscheidungen betreffen den produktiven Bonitätsbestand und konkrete Datenarten. Sie beantworten nicht abschließend, ob dieselben Informationen anschließend in einem getrennten Archiv zu Test-, Kontroll- oder Rechtsverteidigungszwecken weiter personenbezogen vorgehalten werden dürfen.

Umfasst die DSGVO-Auskunft auch historische Daten?

Art. 15 DSGVO erfasst grundsätzlich alle personenbezogenen Daten, die ein Verantwortlicher über die anfragende Person verarbeitet. Dazu können auch historische oder archivierte Daten gehören. Die Auskunft beschränkt sich nicht auf Daten, die aktuell den Score beeinflussen.

Die SCHUFA beschreibt ihre kostenlose Datenkopie als Auskunft über die zur Person gespeicherten Daten, deren Herkunft und Weitergabe. Nach der NDR-Recherche wurden historische Archivdaten bislang jedoch nicht gesondert ausgewiesen. Ob die konkrete Auskunftspraxis die Anforderungen aus Art. 15 DSGVO vollständig erfüllt, ist Teil der offenen aufsichtsrechtlichen Prüfung.

Eine Auskunftsanfrage kann beispielsweise ausdrücklich so gefasst werden:

Bitte erteilen Sie mir Auskunft nach Art. 15 DSGVO über sämtliche zu meiner Person verarbeiteten Daten. Dies umfasst ausdrücklich historische oder archivierte Daten sowie Daten, die zu Test-, Entwicklungs-, Kontroll- oder Rechtsverteidigungszwecken vorgehalten werden. Bitte teilen Sie mir außerdem die Verarbeitungszwecke, Datenkategorien, Empfänger oder Empfängerkategorien, Herkunft und vorgesehene Speicherdauer mit und stellen Sie mir eine Kopie der Daten zur Verfügung.

Zusätzlich kann nach der Rechtsgrundlage der einzelnen Archivzwecke und nach bereits erfolgten Übermittlungen gefragt werden. Die Anfrage sollte nachweisbar übermittelt werden. Die SCHUFA darf zur sicheren Identifizierung erforderliche Informationen verlangen, sollte dabei aber nicht mehr Daten erheben als nötig.

Nach Art. 12 Abs. 3 DSGVO ist grundsätzlich innerhalb eines Monats zu reagieren. Bei komplexen oder zahlreichen Anträgen kann die Frist um bis zu zwei weitere Monate verlängert werden; darüber und über die Gründe muss der Verantwortliche innerhalb des ersten Monats informieren.

Löschung, Einschränkung und Widerspruch: keine Automatismen

Je nach Antwort und Einzelfall kommen mehrere Betroffenenrechte in Betracht:

Berichtigung nach Art. 16 DSGVO: wenn gespeicherte Daten objektiv falsch oder unvollständig sind,
Löschung nach Art. 17 DSGVO: insbesondere wenn Daten nicht mehr erforderlich oder unrechtmäßig verarbeitet sind und keine Ausnahme greift,
Einschränkung nach Art. 18 DSGVO: etwa solange die Richtigkeit bestrittener Daten geprüft wird, bei rechtswidriger Verarbeitung auf Wunsch anstelle einer Löschung, zur Sicherung eigener Rechtsansprüche oder nach einem Widerspruch während der Interessenabwägung,
Widerspruch nach Art. 21 DSGVO: wenn die Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO gestützt wird und Gründe aus der besonderen persönlichen Situation geltend gemacht werden.

Ein Widerspruch stoppt die Verarbeitung nicht in jedem Fall endgültig. Der Verantwortliche kann bei Art. 21 Abs. 1 DSGVO zwingende schutzwürdige Gründe nachweisen, die die Interessen der betroffenen Person überwiegen. Auch ein Löschungsanspruch hängt davon ab, welche Daten aus welchem Grund und wie lange gespeichert werden. Pauschale Musterschreiben ohne Bezug zur konkreten Auskunft können deshalb zu kurz greifen.

Was bedeuten die jüngsten Gerichtsentscheidungen?

EuGH zum SCHUFA-Scoring

Der EuGH entschied in der Rechtssache C-634/21, dass die automatisierte Ermittlung eines Wahrscheinlichkeitswerts durch eine Auskunftei als automatisierte Entscheidung im Sinne von Art. 22 DSGVO einzustufen sein kann, wenn ein Vertragspartner diesem Wert bei seiner Entscheidung eine maßgebliche Rolle beimisst. Das Urteil erklärt weder jedes Scoring noch den historischen Archivbestand pauschal für unzulässig.

BGH zu einer bestrittenen Forderung

Im Urteil vom 12. Mai 2026, VI ZR 375/24, ging es um die Meldung einer nicht titulierten, bestrittenen und nicht hinreichend plausibel erläuterten Forderung durch ein Inkassounternehmen. Der BGH hielt die Übermittlung in dieser konkreten Konstellation für rechtswidrig. Nach dem amtlichen BGH-Urteil kann dann ein Anspruch auf Widerruf der Einmeldung bestehen.

Für Schadensersatz nach Art. 82 DSGVO bleibt ein tatsächlich eingetretener materieller oder immaterieller Schaden erforderlich. Im entschiedenen Fall war der wirtschaftliche Ruf beeinträchtigt, weil die Meldung den Score verschlechtert hatte und der Score bei gescheiterten Vertragsanbahnungen tatsächlich berücksichtigt worden war. Der BGH verwies die Sache unter anderem zur weiteren Behandlung des Schadensersatzes zurück. Das Urteil ist daher keine automatische Anspruchsgrundlage für jede historische Speicherung.

BGH-Verfahren zur Score-Auskunft noch nicht entschieden

Der I. Zivilsenat hat am 18. Juni 2026 mehrere Verfahren zur Reichweite der Auskunft über Scorewerte verhandelt. Nach Rücknahme eines Verfahrens betrifft der angekündigte Verkündungstermin die Verfahren I ZR 227/25 bis I ZR 230/25. Laut amtlichem Terminhinweis des BGH ist die Verkündung für den 21. Oktober 2026 vorgesehen.

Der EuGH hatte 2025 in der Rechtssache C-203/22 bereits konkretisiert, dass bei einer automatisierten Entscheidung aussagekräftige Informationen über das tatsächlich angewandte Verfahren und die Grundsätze so verständlich sein müssen, dass die betroffene Person das Ergebnis nachvollziehen und anfechten kann. Das laufende BGH-Verfahren wird klären, wie diese Vorgaben in den dortigen SCHUFA-Fällen anzuwenden sind. Es entscheidet jedoch nicht unmittelbar über die Zulässigkeit des historischen Archivbestands.

Was können Betroffene jetzt sinnvoll tun?

Datenkopie und gezielte Auskunft anfordern. Fragen Sie ausdrücklich nach historischen und archivierten Daten, Zwecken, Empfängern und Speicherdauern.
Antwort vollständig aufbewahren. Sichern Sie Anfrage, Versandnachweis, Datenkopie und weitere Korrespondenz.
Konkrete Punkte beanstanden. Bezeichnen Sie unrichtige Daten, abgelaufene Fristen oder fehlende Auskunftsteile möglichst genau.
Passendes Betroffenenrecht wählen. Berichtigung, Löschung, Einschränkung und Widerspruch haben unterschiedliche Voraussetzungen.
Auswirkungen dokumentieren. Falls ein Vertrag abgelehnt oder nur zu schlechteren Konditionen angeboten wurde, bewahren Sie die Mitteilung und Hinweise auf die Rolle des Scores auf.
Beschwerde prüfen. Wenn die SCHUFA nicht oder unvollständig reagiert, können Betroffene sich nach Art. 77 DSGVO an den HBDI wenden. Dessen Hinweise zu Beschwerden empfehlen, vorher die eigenen Rechte gegenüber dem Unternehmen geltend zu machen und die einschlägigen Unterlagen beizufügen.

Weitere Hinweise zu falschen und veralteten Einträgen finden Sie auf der Schwerpunktseite SCHUFA und Bonität und im Beitrag zum Löschen eines SCHUFA-Eintrags.

Häufige Fragen zur SCHUFA-Schattendatenbank

Bin ich von dem historischen Datenbestand betroffen?

Die Berichterstattung nennt Daten zu einem sehr großen Teil der Bevölkerung. Ob zu Ihrer Person tatsächlich historische oder archivierte Daten vorhanden sind und welche Datenarten das betrifft, lässt sich daraus nicht ableiten. Dafür ist eine individuelle Auskunft erforderlich.

Ist die Auskunft nach Art. 15 DSGVO kostenlos?

Die erste Datenkopie ist grundsätzlich kostenlos. Bei offenkundig unbegründeten oder insbesondere wegen häufiger Wiederholung exzessiven Anträgen kann unter den Voraussetzungen des Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden.

Muss die SCHUFA meine Archivdaten sofort löschen?

Nicht automatisch. Ein Löschungsanspruch hängt von Datenart, Zweck, Rechtsgrundlage, Erforderlichkeit, Speicherdauer und möglichen Ausnahmen ab. Gerade die rechtliche Zulässigkeit des beschriebenen historischen Bestands ist derzeit noch nicht abschließend entschieden.

Gibt es bereits ein Bußgeld wegen der Schattendatenbank?

Eine veröffentlichte abschließende Sanktion speziell wegen dieses Archivbestands ist bis zum 21. August 2026 nicht ersichtlich. Nach Angaben von NDR und SZ prüfte der HBDI im Juli 2026 weiterhin die Rechtsgrundlage der Datentests und die Auskunftspraxis. Ein späterer Ausgang sollte vor weiteren Schritten erneut geprüft werden.

Kann ich Schadensersatz verlangen?

Ein Anspruch nach Art. 82 DSGVO setzt einen DSGVO-Verstoß, einen materiellen oder immateriellen Schaden und den ursächlichen Zusammenhang voraus. Eine bloße Vermutung, dass Archivdaten vorhanden sein könnten, genügt dafür nicht. Ob ein nachweisbarer Kontrollverlust, eine Rufbeeinträchtigung oder eine konkrete wirtschaftliche Folge vorliegt, ist im Einzelfall zu prüfen.

Ausgangspunkt: vollständige SCHUFA-Auskunft

Eine vollständige Auskunft ist meist der sinnvollste Ausgangspunkt. Erst daraus lässt sich beurteilen, ob Daten falsch, zu lange gespeichert oder unvollständig beauskunftet wurden und welcher nächste Schritt passt.

Hinweis zum Rechtsstand: Das für den 21. Oktober 2026 angekündigte BGH-Verfahren und die aufsichtsrechtliche Prüfung können eine erneute Aktualisierung erforderlich machen.