Die Datenschutzorganisation Noyb wirft der Schufa vor, Finanzdaten länger als erlaubt zu speichern. Eine Sammelklage ist angekündigt, doch die Schufa widerspricht. Was ist belegt, was bleibt offen
Die Schufa, Deutschlands größte Auskunftei für Bonitätsdaten, sieht sich mit einer angekündigten Sammelklage der österreichischen Datenschutzorganisation Noyb konfrontiert. Hintergrund ist der Vorwurf, dass die Schufa historische Finanzdaten von Millionen Menschen deutlich länger speichert, als es die eigene Datenschutzerklärung und die Vorgaben der Datenschutzgrundverordnung (DSGVO) vorsehen. Die Existenz einer sogenannten "Schattendatenbank" war im Juli 2025 durch Recherchen von NDR und Süddeutscher Zeitung öffentlich geworden. Dort sollen Informationen zu zurückliegenden Krediten, Pfändungen oder Privatinsolvenzen bis zu zehn Jahre lang gespeichert werden.
Vorwürfe und rechtliche Schritte
Noyb, ein Verein mit Sitz in Wien, sieht in der langen Speicherung einen klaren Verstoß gegen die DSGVO. Nach Angaben der Organisation werden bezahlte Schulden und Kredite bei der Schufa nicht wie angegeben nach drei Jahren gelöscht, sondern weiterhin verarbeitet. Besonders kritisch bewertet Noyb, dass die Schufa bei formellen Auskunftsersuchen keine Informationen über die Existenz dieser historischen Daten herausgibt. Die Organisation fordert die Schufa zunächst auf, die Praxis einzustellen, und kündigt an, im nächsten Schritt auch Schadensersatz für Betroffene einzufordern. Bis zum 9. September 2026 soll die Schufa eine Unterlassungserklärung abgeben. Das Unternehmen hat jedoch bereits signalisiert, dass es notfalls bis vor den Bundesgerichtshof ziehen will.
Schufa verteidigt Datenverarbeitung
Die Schufa bestreitet einen Verstoß gegen geltendes Datenschutzrecht. Nach Unternehmensangaben werden die historischen Daten nicht für die Berechnung aktueller Bonitätsscores genutzt. Vielmehr dienten sie der Weiterentwicklung von Produkten und der internen Validierung von Risikomodellen. Die Schufa betont, dass Vergleichstests ausschließlich intern stattfinden und keine Details an externe Auftraggeber weitergegeben werden. Die genaue technische und rechtliche Abgrenzung zwischen operativer Nutzung und interner Forschung bleibt jedoch Gegenstand der Auseinandersetzung.
Relevanz für Verbraucher und Märkte
Mit rund 68 Millionen erfassten Personen ist die Schufa ein zentraler Akteur im deutschen Finanzsystem. Bonitätsauskünfte der Schufa sind bei Kreditvergaben, Mobilfunkverträgen und Mietverhältnissen praktisch unumgänglich. Die Transparenz über die Berechnung der Bonitätsscores war in der Vergangenheit wiederholt Gegenstand von Kritik und gerichtlichen Auseinandersetzungen. Erst 2025 hatte die Schufa einen neuen Score eingeführt, der auf 12 klar definierten Kriterien basiert. Die aktuelle Debatte um die Speicherung historischer Daten wirft erneut Fragen nach Transparenz, Datenschutz und der Rolle privater Auskunfteien im europäischen Kontext auf. Auch andere Unternehmen im Finanzsektor stehen vor ähnlichen Herausforderungen, wie etwa die Integration neuer Technologien zur Risikobewertung zeigt - ein Beispiel dafür ist die technische Erweiterung von Circle zur automatisierten Zahlungsabwicklung.
Offene Fragen und regulatorische Dimension
Die zuständige Datenschutzbehörde in Hessen prüft den Fall nach eigenen Angaben bereits seit Frühjahr 2025, ein Ergebnis liegt bislang nicht vor. Sollte es zu einer Verbandsklage kommen, könnten sich betroffene Verbraucherinnen und Verbraucher anschließen und gemeinsam Schadensersatz fordern. Noyb ist als "qualifizierte Einrichtung" in der gesamten EU klageberechtigt. Die Auseinandersetzung könnte damit auch Signalwirkung für andere Auskunfteien und datenverarbeitende Unternehmen in Europa entfalten. Unklar bleibt, wie Gerichte die Abgrenzung zwischen interner Forschung und operativer Nutzung bewerten werden und ob die bisherige Praxis der Schufa mit den Anforderungen der DSGVO vereinbar ist.
Die Datenschutzgrundverordnung (DSGVO) ist seit Mai 2018 in der Europäischen Union verbindlich und regelt unter anderem, wie personenbezogene Daten gespeichert, verarbeitet und gelöscht werden müssen. Sie sieht vor, dass Daten nur so lange gespeichert werden dürfen, wie sie für den ursprünglichen Zweck erforderlich sind. Verstöße können zu erheblichen Bußgeldern führen. Die genaue Auslegung der Löschfristen und der Zweckbindung ist jedoch in vielen Fällen umstritten und wird regelmäßig vor Gerichten verhandelt.
