Als junger Mensch mal pleite gewesen, aber heute finanziell alles okay? Der Schufa ist das offenbar egal, sie berechnet Scores aus historischen Daten – Kunden können die offiziell für Tests nutzen. NDR und SZ haben einen weiteren Datenskandal der Schufa aufgedeckt.

Die Schufa, die größte Wirtschaftsauskunftei des Landes, besitzt neben ihren aktuellen Daten eine Schattendatenbank mit historischen und veralteten Daten über Millionen von Menschen. Das hat eine gemeinsame Recherche von NDR und Süddeutscher Zeitung herausgefunden. Die Schufa bewertet die Kreditwürdigkeit von Menschen, zu ihren Kunden gehören unter anderem Banken, Energieversorger oder Telekommunikationsunternehmen.

Laut der Recherche handelt es sich bei den Daten um „alte Kredite und Kreditkarten, Pfändungen und Privatinsolvenzen, Schulden, die die Betroffenen oft schon vor Jahren beglichen haben“. Es seien Daten, die die Schufa schon längst gelöscht haben müsste, so der Bericht weiter. Die sensiblen Daten könnten großen Schaden anrichten.

Wenn Menschen bei der Schufa anfragen, welche Daten diese über sie gespeichert hat, gibt die Auskunftei diese historischen Informationen nicht an. In der Süddeutschen heißt es: „Auf der offiziellen Datenkopie, die Verbraucher bei der Schufa anfordern können, tauchen diese Informationen nicht auf.“ Laut der Datenschutzgrundverordnung müssen in der Regel alle, die Daten über Menschen bereithalten, diese bei Auskunftsersuchen auch offenlegen.

Die Schufa schreibt mittlerweile auf ihrer Website selbst: „Wir weisen historische Daten auf der Datenkopie nach Art. 15 DSGVO nicht gesondert aus.“ Das erfülle nach Rechtsauffassung der Schufa den Auskunftsanspruch. „Verbraucherinnen und Verbraucher wollen vor allem wissen, wie es aktuell um ihre Bonität steht und welche Daten Einfluss auf Ihren Score haben“, so die Auskunftei.

„Keine Rechtsgrundlage“

Laut der Süddeutschen Zeitung nutzt die Schufa die alten Daten, um ihren Kunden zu zeigen, wie gut der neue Schufa-Score funktioniert. Die Daten werden also zu Werbe- und Demonstrationszwecken genutzt. Dies widerspricht nach gängiger Ansicht von Datenschützer:innen dem Grundsatz der Datensparsamkeit, der in der DSGVO festgelegt ist. Mehrere Daten- und Verbraucherschützer:innen, mit denen NDR und Süddeutsche gesprochen haben, wie Ruth Janal, Expertin für Datenschutz und Professorin an der Universität in Bayreuth, sehen für die Praxis „keine Rechtsgrundlage“. Janal verweist in diesem Zusammenhang auch auf die Zweckbindung von Datenspeicherungen, die gesetzlich vorgeschrieben ist.

Gegenüber dem NDR sagt Janal: „Eine dauerhafte Speicherung solcher historischen Daten auf Vorrat für unbestimmte zukünftige Zwecke ist nach der Rechtsprechung des Europäischen Gerichtshofes nicht zulässig.“ Zwar könne es zulässig sein, dass alte Daten gespeichert werden, um die Zuverlässigkeit des Scores zu prüfen. „Aber das ließe sich auch mit einem deutlich kleineren Datensatz ermöglichen“, so Janal auf tagesschau.de.

Datenschutzbeauftragter eingeschaltet

Die Schufa hingegen sieht sich im Recht. Gegenüber SZ und NDR sagt sie, dass sie nicht mit einer „historischen Datenbank“ arbeite, sondern „historische Daten zu Datenschutzkontroll‑, Test‑, Entwicklungs- und Rechtsverteidigungszwecken“ speichere. Die Daten seien „archivierte Datensätze“ und die Schufa sei dazu verpflichtet, diese aufzubewahren.

Der Skandal geht noch über die Schattendatenbank hinaus. Laut der Recherche können Kunden der Schufa auch historische Schufa-Scores, also die Kreditwürdigkeit von Menschen zu einem Zeitpunkt in der Vergangenheit, abrufen. Laut der Recherche tun einige Kunden dies auch. Die Bayreuther Professorin Ruth Janal sagt zu dieser Praxis gegenüber der SZ, dass diese Daten „die Vertragspartnerinnen der Schufa schlicht überhaupt nichts angehen“. Die Schufa hingegen hält auch diese Praxis für legal.

Laut der Recherche ist der Hessische Datenschutzbeauftragte seit mehr als einem Jahr mit der Prüfung der Datentests und der Frage nach Auskunft über die alten Daten befasst. Die Prüfung dauert an.

Hinweis 14:40 Uhr: 
Im Teaser konkretisiert, dass aus den historischen Alt-Daten Schufa-Scores errechnet werden, welche die Kunden der Schufa nutzen können.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Schufa möchte transparenter werden. Nach jahrelanger Kritik wie dem Vorwurf von manipulativen Geschäftspraktiken soll ein neuer, nachvollziehbarer Score die gewünschte Durchsicht für Nutzer*innen bringen.

Die Schutzgemeinschaft für allgemeine Kreditsicherung, besser bekannt unter seiner Abkürzung Schufa, führt ab März 2026 einen neuen Score ein. Dieser soll für mehr Transparenz sorgen. Seit dem 3. Dezember gibt es außerdem in einer Beta-Phase die Möglichkeit eines „Dateneinblicks“ in die bonitätsrelevanten Daten, die der Schufa vorliegen. Die Auskunftei stand bislang in der Kritik, Verbraucherschützer bezeichneten sie als „Blackbox“.

Die SCHUFA Holding AG ist ein privates Unternehmen mit Sitz in Wiesbaden, das Auskünfte über die Kreditwürdigkeit von über 65 Millionen Deutschen anbietet. Dritte wie Banken und Online-Händler können sich so über die prognostizierte Zahlungsmoral von möglichen Kund*innen informieren. Die Daten dafür erhält die Schufa ebenfalls von Banken, Kreditkartenunternehmen und Co., ihren rund 10.000 Vertragspartnern.

Eine entscheidende Rolle für diese Bonitätsabfrage spielt der Schufa-Score, der die Kreditwürdigkeit von Verbraucher*innen in einer Zahl zusammenfasst. Ursprünglich setzte sich die Punktzahl aus 250 Kriterien zusammen und ihre Berechnung blieb als Geschäftsgeheimnis unter Verschluss. Der neue Score soll nun auf nur noch zwölf Kriterien beruhen und für alle Verbraucher*innen nachvollziehbar sein. Zu den Kriterien gehören etwa das Alter der ältesten Kreditkarte oder Zahlungsstörungen. Zwischen 100 und 999 Punkte kann man dann bekommen.

„Automatisierte Entscheidung im Einzelfall“ ist grundsätzlich verboten

Im Dezember 2023 stufte der Europäische Gerichtshof das vorherige Scoring der Schufa als „eine von der DSGVO grundsätzlich verbotene ‚automatisierte Entscheidung im Einzelfall’“ ein, „sofern die Kunden der SCHUFA, wie beispielsweise Banken, ihm eine maßgebliche Rolle im Rahmen der Kreditgewährung beimessen“. Außerdem entschied der Gerichtshof, dass private Auskunfteien wie die Schufa Daten aus öffentlichen Insolvenzregistern nicht länger als die Insolvenzregister selbst speichern dürfen, wie es vorher die Praxis war.

Die frühere Ampel-Regierung nahm Anfang 2024 neue Regeln zum Scoring durch Auskunfteien in ihre geplante Reform des Bundesdatenschutzgesetzes auf. Der Paragraph 37a sollte die Nutzung von Namen, Anschriften, personenbezogenen Daten aus Sozialen Netzwerken und die Aktivitäten von Bankkonten durch Scoringunternehmen unterbinden. Die Datenschutz-Novelle schaffte es vor dem Ende der Ampel-Koalition allerdings nicht durch den Bundestag. Eine Neuauflage der Reform durch die aktuelle Regierung steht noch aus.

Jahrelange Kritik

Neben Bedenken an der Schufa aus der Politik sind auch Datenschützer unzufrieden mit den Geschäftspraktiken der Schufa. Im Februar 2024 reichte die österreichische Nichtregierungsorganisation noyb eine Beschwerde und Anzeige gegen die Schufa bei der hessischen Datenschutzbehörde ein. Das Unternehmen manipuliere Kunden, die eine Datenauskunft wollen, zu einer kostenpflichtigen Variante, so der Vorwurf der Datenschützer damals. Martin Baumann, Datenschutzjurist bei noyb, fand dazu klare Worte:

Die DSGVO verlangt, dass Unternehmen alle Daten sofort, kostenlos, leicht zugänglich und transparent zur Verfügung stellen. Diese Anforderungen stehen im deutlichen Widerspruch zur aktuellen Geschäftspraxis, betroffenen Personen Ihre eigenen Daten zu verkaufen.

Die Schufa indes wies diese Vorwürfe immer zurück und betonte, die Vorgaben für die Erstellung von Datenkopien sogar überzuerfüllen.

Ab Ende März 2026 sollen alle Interessierten über einen Account ihren vereinfachten Score kostenlos abrufen und nachvollziehen können. Eine Sprecherin der Schufa bestätigte gegenüber der Süddeutschen Zeitung jedoch auch Pläne des Scoring-Dienstleisters, „meineSchufa-Abonnements“ und andere monetarisierbare Angebote in den neuen Schufa-Account einzubinden.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.