Die Schufa-Datenspeicherung sorgt erneut für datenschutzrechtliche Diskussionen. Nach aktuellen Recherchen unterhält die Wirtschaftsauskunftei neben ihrer regulären Datenbank eine weitere Sammlung mit historischen Finanzdaten. Darin sollen unter anderem Informationen über alte Kredite, Kreditkarten, Pfändungen, Privatinsolvenzen und bereits beglichene Schulden enthalten sein.
Einige Datensätze sollen bis zu zehn Jahre alt sein. Nach Angaben eines Schufa-Sprechers könnte die Sammlung rund 68 Millionen Menschen betreffen. Viele Betroffene dürften bislang davon ausgegangen sein, dass entsprechende Informationen nach Ablauf der regulären Speicherfristen vollständig gelöscht wurden.
Historische Schufa-Daten für interne Tests
Die Schufa bestätigt die Speicherung historischer Daten. Nach ihrer Darstellung werden diese benötigt, um neue Verfahren zur Berechnung der Kreditwürdigkeit zu überprüfen. Die historischen Informationen sollen ausschließlich für interne Vergleichstests eingesetzt und nicht an Banken oder andere Vertragspartner weitergegeben werden.
Die Schufa möchte damit nach eigenen Angaben feststellen, ob neue Scoring-Verfahren zuverlässige Ergebnisse liefern. Ein von ihr beauftragter Datenschutzexperte hält diesen Zweck grundsätzlich für legitim, weil die Richtigkeit von Bonitätsbewertungen regelmäßig geprüft werden müsse.
Ob dafür allerdings personenbezogene Finanzdaten von Millionen Verbraucherinnen und Verbrauchern über Jahre gespeichert werden dürfen, ist umstritten.
Zweckbindung und Speicherbegrenzung nach der DSGVO
Datenschutzrechtlich sind insbesondere die Grundsätze der Zweckbindung und Speicherbegrenzung relevant. Nach der Datenschutz-Grundverordnung (DSGVO) dürfen personenbezogene Daten grundsätzlich nur für festgelegte, eindeutige und legitime Zwecke verarbeitet werden. Zudem dürfen sie nicht länger gespeichert werden, als es für diese Zwecke erforderlich ist.
Wurden Daten ursprünglich erhoben, um die aktuelle Kreditwürdigkeit einer Person zu bewerten, stellt sich daher die Frage, ob ihre spätere Nutzung für interne Modelltests noch vom ursprünglichen Zweck umfasst ist. Andernfalls wäre zu prüfen, ob die Weiterverarbeitung mit diesem Zweck vereinbar ist oder eine eigenständige Rechtsgrundlage benötigt.
Auch die Dauer der Speicherung muss erforderlich und verhältnismäßig sein. Eine langfristige Vorratsspeicherung für lediglich mögliche zukünftige Tests wäre datenschutzrechtlich besonders kritisch. Entscheidend dürfte deshalb sein, ob die Schufa konkret begründen kann, welche Daten für welche Testverfahren benötigt werden und warum anonymisierte oder stärker begrenzte Datensätze nicht ausreichen.
Transparenz gegenüber den Betroffenen
Ein weiterer zentraler Punkt ist die Transparenz. Betroffene müssen grundsätzlich nachvollziehen können, welche personenbezogenen Daten ein Unternehmen über sie verarbeitet, zu welchen Zwecken dies geschieht und wie lange die Daten gespeichert werden.
Nach der Berichterstattung sollen die historischen Informationen nicht ohne Weiteres in der regulären Datenkopie erscheinen, die Verbraucher nach Art. 15 DSGVO verlangen können. Sollte dies zutreffen, stellt sich die Frage, ob die erteilten Auskünfte vollständig sind.
Das Auskunftsrecht beschränkt sich grundsätzlich nicht auf Daten, die unmittelbar in den aktuellen Bonitätsscore einfließen. Auch zu Test-, Dokumentations- oder Entwicklungszwecken gespeicherte personenbezogene Informationen können vom Auskunftsanspruch umfasst sein.
Hessische Datenschutzaufsicht prüft die Rechtsgrundlage
Zuständig für die Datenschutzaufsicht über die Schufa ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit. Die Behörde prüft nach aktuellen Berichten bereits seit dem Frühjahr 2025 die Rechtsgrundlage der Datensammlung. Untersucht wird demnach auch, ob Verbraucher über die historischen Daten im Rahmen einer Datenkopie informiert werden müssen.
Eine abschließende datenschutzrechtliche Bewertung liegt bislang nicht vor. Daher lässt sich derzeit noch nicht feststellen, ob die Speicherung tatsächlich gegen die DSGVO verstößt. Die laufende Prüfung wird insbesondere klären müssen, ob ein legitimer Zweck, eine tragfähige Rechtsgrundlage und angemessene Speicherfristen vorliegen.
Neuer Score verspricht mehr Transparenz
Die Diskussion fällt in eine Phase, in der die Schufa ihr Scoring transparenter gestalten möchte. Seit März 2026 verwendet sie ein neues Verfahren, das auf zwölf offengelegten Kriterien basiert. Verbraucher sollen dadurch besser nachvollziehen können, wie ihr Bonitätsscore zustande kommt.
Die parallele Speicherung einer weitgehend unbekannten historischen Datensammlung wirft jedoch neue Transparenzfragen auf. Auch wenn diese Daten nicht direkt in den aktuellen Score einfließen, bleibt ihre Verarbeitung datenschutzrechtlich erklärungsbedürftig.
Fazit
Die Speicherung historischer Schufa-Daten berührt zentrale Grundsätze der DSGVO. Besonders relevant sind die Rechtsgrundlage, die Zweckbindung, die Erforderlichkeit der langen Speicherdauer und die vollständige Information der betroffenen Personen.
Interne Testzwecke können grundsätzlich legitim sein. Sie rechtfertigen jedoch nicht automatisch die langfristige Speicherung umfangreicher personenbezogener Finanzdaten. Bis zum Abschluss der Prüfung durch die hessische Datenschutzaufsicht bleibt offen, ob die Schufa ihre Testdatenbank in der aktuellen Form weiterführen darf.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
