Bereits im Juli dieses Jahres hatten Recherchen des Norddeutschen Rundfunks (NDR) und der Süddeutschen Zeitung für Aufmerksamkeit gesorgt. Demnach soll die Wirtschaftsauskunftei SCHUFA historische Finanzdaten von Verbraucherinnen und Verbrauchern in einer zusätzlichen Datenbank speichern. Bis zu 69 Millionen Menschen könnten betroffen sein.
Nun verschärft die Datenschutzorganisation noyb den Druck. Sie hat die SCHUFA abgemahnt, eine Unterlassungsklage angekündigt und eine Interessenliste für eine mögliche Sammelklage veröffentlicht. Noyb wirft der Auskunftei insbesondere Verstöße gegen die Grundsätze der Speicherbegrenzung, Zweckbindung und Transparenz vor. Die SCHUFA weist die Vorwürfe weiterhin zurück. Auch ihr anwaltlicher Vertreter Tym Wybitul hat sich mit einem eigenen „Faktencheck“ zu den Vorwürfen geäußert und vertritt die Auffassung, dass kein Verstoß gegen die DSGVO vorliege.
Die „Schattendatenbank“
Die Recherchen von NDR und Süddeutscher Zeitung machten bekannt, dass die SCHUFA historische Finanzdaten von Verbraucherinnen und Verbrauchern weiterhin in einer bislang unbekannten Sammlung speichert und für interne Zwecke nutzt. Die SCHUFA bestätigt diese Speicherung. Nach Angaben des Unternehmens werden die Daten benötigt, um neue Verfahren zur Risikoberechnung zu entwickeln und zu überprüfen, etwa für Banken. Die Tests dienten dazu, die Richtigkeit von Scores zu überprüfen und verfolgten damit einen legitimen Zweck.
Kritisiert wird jedoch, ob die Verarbeitung mit den Grundsätzen der DSGVO vereinbar ist. Im Mittelpunkt stehen insbesondere Speicherbegrenzung, Zweckbindung und Transparenz. Problematisch ist vor allem, dass die weitere Speicherung historischer Daten für Betroffene bislang kaum erkennbar war.
Welche datenschutzrechtlichen Fragen sich daraus ergeben und warum die Verarbeitung besonders kritisch sein kann, haben wir bereits in unserem Beitrag vom 12. August näher erläutert.
Abmahnung und Vorbereitung einer Sammelklage
Mit ihrer Abmahnung fordert die Datenschutzorganisation noyb die SCHUFA dazu auf, personenbezogene Daten nicht länger als vorgesehen zu speichern. Zudem soll die Wirtschaftsauskunftei betroffenen Personen im Rahmen von Auskunftsersuchen nach Art. 15 DSGVO auch historische Daten offenlegen und transparenter darüber informieren, zu welchen Zwecken diese verarbeitet werden. Sollte die SCHUFA auf die Forderungen nicht reagieren, kündigt noyb als nächsten Schritt eine Unterlassungsklage an.
Außerdem hat noyb eine Interessenliste für eine mögliche Sammelklage veröffentlicht. Sollte sich im weiteren Verfahren ein Verstoß gegen die DSGVO bestätigen, könnten für betroffene Personen auch Schadensersatzansprüche in Betracht kommen. Mit der Sammelklage will noyb deren Durchsetzung erleichtern. Nach Angaben der Organisation könnten insbesondere Personen betroffen sein, deren Daten in der sogenannten „Schattendatenbank“ gespeichert sind oder waren und die in den vergangenen Jahren bereits eine Auskunft nach Art. 15 DSGVO bei der SCHUFA beantragt hatten. Wenn sie dabei keine Angaben über die Speicherung historischer Finanzdaten erhalten haben, könnte nach Auffassung von noyb ein immaterieller Schaden vorliegen. Die Organisation hält dabei einen Schadensersatz von etwa 500 Euro pro Person für denkbar.
Mit ihrem Vorgehen rückt noyb das Thema nun stärker in die Öffentlichkeit. Zugleich verweist die Organisation auf den Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI), der für die Datenschutzaufsicht über die SCHUFA zuständig ist. Die Behörde prüft derzeit ebenfalls die Zulässigkeit und Rechtsgrundlage der Datensammlung. Eine abschließende, veröffentlichte datenschutzrechtliche Bewertung liegt bislang nicht vor.
Wie reagiert die SCHUFA auf die Vorwürfe?
Die SCHUFA hält an ihrer bisherigen Position fest. Nach Auffassung des von SCHUFA beauftragten Anwalts, Tim Wybitul lassen sich sowohl der Zweck als auch die Rechtsgrundlage für die Speicherung und Nutzung historischer Daten datenschutzrechtlich verteidigen.
In seiner Einordnung auf LinkedIn argumentiert Wybitul, dass die Nutzung historischer Daten zu Testzwecken einem legitimen und wichtigen Zweck diene. Damit solle insbesondere überprüft werden, ob neue Score-Verfahren zuverlässig und richtig funktionieren. Aus seiner Sicht liege darin keine unzulässige Zweckänderung.
Auch die Kritik an fehlenden Angaben in Auskünften nach Art. 15 DSGVO weist er zurück. Zusätzliche Einzelinformationen etwa zu Dokumentations-, Verteidigungs-, Sicherungs- oder Testzwecken könnten Auskünfte unverhältnismäßig umfangreich und dadurch weniger verständlich machen. Das könne wiederum mit dem Transparenzgebot des Art. 12 Abs. 1 DSGVO kollidieren. Vergleichbar sei dies etwa mit Backups, die Unternehmen für Wiederherstellungszwecke nach Cybervorfällen vorhalten und ebenfalls nicht regelmäßig kommunizieren würden.
Zudem versichert Wybitul in seiner Stellungnahme, dass der HBDI nach seinen Angaben bereits seit Anfang 2025 mit der SCHUFA wegen der historischen Daten in Kontakt stehe und deren Zulässigkeit geprüft habe. Dass bislang kein Einschreiten erfolgt sei, bedeute nicht automatisch Untätigkeit. Die SCHUFA betont vielmehr, mit der Aufsichtsbehörde eng zusammenzuarbeiten und vollständig zu kooperieren.
Fazit
Eine abschließende Bewertung durch den HBDI steht weiterhin aus. Derzeit ist auch noch nicht bekannt, ob noyb tatsächlich eine Unterlassungs- und anschließend eine Sammelklage erheben wird. Datenschutzrechtlich bleibt die Verarbeitung jedoch sensibel. Entscheidend wird sein, ob sich die Speicherung und Nutzung historischer Finanzdaten zu Testzwecken noch auf die ursprüngliche Rechtsgrundlage stützen lässt und ob diese Verarbeitung gegenüber Betroffenen ausreichend transparent gemacht wurde. Gerade angesichts der potenziell großen Zahl Betroffener ist diese Frage von erheblicher Bedeutung.
Für Unternehmen zeigt der Fall, wie wichtig klare Speicherfristen, eindeutige Zwecke und Transparenz in der Datenverarbeitung sind. Werden Daten später für zusätzliche Zwecke genutzt, sollte sorgfältig geprüft werden, ob dies zulässig ist und ob Betroffene darüber informiert werden müssen. Besonders bei Finanzdaten sollten Zweck, Rechtsgrundlage und Speicherdauer nachvollziehbar offengelegt werden.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
