Die Schufa kennt fast jeder. Sie sammelt Informationen über das Zahlungsverhalten von rund 68 Millionen Menschen und berechnet daraus Bonitätswerte. Diese Scores können darüber mitentscheiden, ob jemand einen Kredit, einen Mobilfunkvertrag oder einen Kauf auf Rechnung erhält. Gerade weil die wirtschaftlichen Folgen erheblich sind, versucht die Auskunftei seit einiger Zeit, ihr lange als undurchsichtig geltendes Verfahren transparenter zu machen.

Seit dem 17. März 2026 können Verbraucher einen neuen Schufa-Score einsehen. Er beruht nach Angaben des Unternehmens auf zwölf offengelegten Kriterien und soll die bisherigen, schwer verständlichen Branchenscores schrittweise ersetzen. Die Schufa präsentiert die Reform als Ausdruck eines grundlegenden Kulturwandels: einfacher, nachvollziehbarer und verbraucherfreundlicher. (Schufa)

Recherchen von NDR und Süddeutscher Zeitung lassen an diesem Transparenzversprechen jedoch erhebliche Zweifel aufkommen. Danach bewahrt die Schufa in großem Umfang historische personenbezogene Daten auf, obwohl diese aus der aktuellen Datenbank und aus der für Verbraucher bestimmten Datenkopie bereits verschwunden sind. Die betreffenden Informationen fließen offenbar nicht mehr unmittelbar in den aktuellen Score ein, sind aber weiterhin vorhanden. (tagesschau.de)

Die Schufa widerspricht der Bezeichnung „Schattendatenbank“. Sie spricht von archivierten Datensätzen, die unter anderem für Datenschutzkontrollen, Tests, die Entwicklung neuer Modelle und zur Rechtsverteidigung benötigt würden. Außerdem verweist sie auf regulatorische Anforderungen ihrer Kunden aus der Finanzwirtschaft. Nach ihrer Darstellung stützt sich die Verarbeitung auf mehrere datenschutzrechtliche Erlaubnistatbestände. (tagesschau.de)

Grundsätzlich ist nachvollziehbar, dass ein Unternehmen die Qualität eines neuen Scoringmodells überprüfen muss. Wer behauptet, Kreditrisiken zuverlässig prognostizieren zu können, benötigt historische Vergleichsdaten. Die entscheidende Frage lautet jedoch nicht, ob Tests sinnvoll sind. Es geht darum, welche Daten dafür tatsächlich erforderlich sind, wie lange sie gespeichert werden dürfen und ob personenbezogene Originaldaten nicht durch anonymisierte Datensätze, kleinere Stichproben oder synthetische Testdaten ersetzt werden könnten.

Hier setzt die Kritik der Datenschützer an. Die Datenschutz-Grundverordnung folgt dem Prinzip der Zweckbindung und Datenminimierung. Personenbezogene Daten sollen nur in dem Umfang und so lange gespeichert werden, wie es für einen rechtlich zulässigen Zweck erforderlich ist. AlgorithmWatch fordert deshalb die Löschung der historischen Datensammlung und bezweifelt, dass die von der Schufa genannten Zwecke eine Speicherung von Millionen vollständiger Datensätze rechtfertigen. (AlgorithmWatch)

Besonders problematisch erscheint die Weitergabe historischer Scores an Unternehmenskunden. Banken, Energieversorger, Händler oder Telekommunikationsanbieter können damit rückwirkend prüfen, wie gut ein neues Bewertungsmodell in der Vergangenheit funktioniert hätte. Die Schufa betont, dass solche Informationen nur für Tests verwendet, nicht für konkrete Vertrags- oder Kreditentscheidungen herangezogen und anschließend gelöscht werden dürfen. Dennoch bleibt ein Missbrauchsrisiko: Sind sensible Bonitätsinformationen erst einmal an Unternehmen übermittelt worden, ist ihre tatsächliche Verwendung für die Betroffenen kaum kontrollierbar. (tagesschau.de)

Auch die Rechtsprechung setzt der Speicherung Grenzen. Der Europäische Gerichtshof entschied 2023, dass Informationen über eine Restschuldbefreiung nicht länger gespeichert werden dürfen als im öffentlichen Insolvenzregister. Rechtswidrig gespeicherte Daten müssen gelöscht werden. Das Urteil lässt sich nicht automatisch auf jede historische Schufa-Information übertragen, zeigt aber deutlich: Ein mögliches wirtschaftliches Interesse an Daten begründet noch kein unbegrenztes Aufbewahrungsrecht. (Infocuria)

Ob die aktuelle Praxis rechtswidrig ist, steht noch nicht fest. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit befasst sich bereits mit dem Vorgang; das Verfahren ist offen. (tagesschau.de)

Unabhängig vom juristischen Ergebnis liegt das eigentliche Problem im Widerspruch zwischen Anspruch und Wirklichkeit. Wer Transparenz zu seinem Markenzeichen erklärt, darf nicht nur zeigen, wie der aktuelle Score berechnet wird. Er muss auch offenlegen, welche älteren Daten weiterhin gespeichert sind, zu welchen Zwecken sie genutzt werden, wer sie erhält und wann sie endgültig gelöscht werden.

Daten sind für die Schufa der zentrale Produktionsfaktor. Gerade deshalb darf Datensparsamkeit nicht als lästige Einschränkung betrachtet werden. Vertrauen entsteht nicht dadurch, dass ein Unternehmen erklärt, sein Vorgehen sei legal. Vertrauen entsteht, wenn die Betroffenen vollständig nachvollziehen können, was mit ihren Daten geschieht.

Quellen

NDR/Tagesschau: „Die Schattendatenbank der Schufa“, 15. Juli 2026. (tagesschau.de)

Schufa: „Historische Daten: So testen Firmen den neuen Score“, 29. Juni 2026. (Schufa)

Schufa: „100-Tage-Bilanz neuer Schufa-Score“, 3. Juli 2026. (Schufa)

AlgorithmWatch: „Schufa-Skandal: Schattendatenbank sofort löschen!“, 16. Juli 2026. (AlgorithmWatch)

Europäischer Gerichtshof: Urteile vom 7. Dezember 2023, verbundene Rechtssachen C-26/22 und C-64/22. (Infocuria)

Landesbeauftragter für den Datenschutz Niedersachsen: Einordnung der EuGH-Urteile zum Schufa-Scoring und zu den Speicherfristen, 8. Dezember 2023. (lfd.niedersachsen.de)