Die Schufa, Deutschlands größte Wirtschaftsauskunftei, betreibt einer gemeinsamen Recherche von NDR und Süddeutscher Zeitung zufolge neben ihrer offiziellen Datenbank eine zweite Sammlung mit historischen Finanzdaten von rund 68 Millionen Menschen. Betroffen ist damit praktisch jede Person, über die jemals eine Schufa-Auskunft eingeholt wurde. Die Recherche wurde am 15. Juli 2026 veröffentlicht und wirft grundsätzliche Fragen zur Datenschutzpraxis des Unternehmens auf.
Was wurde aufgedeckt?
Laut NDR und SZ speichert die Schufa in dieser zusätzlichen Datenbank unter anderem Informationen zu alten Krediten und Kreditkarten, Pfändungen, Privatinsolvenzen sowie Schulden, die Betroffene teils schon vor Jahren beglichen haben. Ein Teil dieser Daten soll bis zu zehn Jahre alt sein – deutlich länger, als reguläre Löschfristen es eigentlich vorsehen würden. Wenn Verbraucher:innen bei der Schufa eine Selbstauskunft anfordern, taucht diese sogenannte Schattendatenbank nicht auf: Die offizielle Datenkopie, die jede Person nach Artikel 15 der Datenschutz-Grundverordnung (DSGVO) anfordern kann, enthält die historischen Datensätze nicht.
Die Schufa selbst begründet das auf ihrer Website damit, dass sie „historische Daten auf der Datenkopie nach Art. 15 DSGVO nicht gesondert“ ausweise. Nach eigener Rechtsauffassung erfüllt das Unternehmen damit dennoch den gesetzlichen Auskunftsanspruch, da Verbraucher:innen vor allem an ihrer aktuellen Bonität und den Faktoren interessiert seien, die den heutigen Score beeinflussen.
Wofür werden die alten Daten genutzt?
Der Recherche zufolge nutzt die Schufa die historischen Datensätze unter anderem, um Geschäftskunden zu demonstrieren, wie zuverlässig der im März 2026 eingeführte, überarbeitete Schufa-Score mit seinen zwölf neuen Bewertungskriterien funktioniert. Die alten Daten dienen damit auch Werbe- und Demonstrationszwecken gegenüber Vertragspartnern wie Banken, Energieversorgern oder Telekommunikationsunternehmen.
Kritik von Datenschützer:innen
Mehrere Rechtsexpert:innen sehen für diese Praxis keine ausreichende Rechtsgrundlage. Ruth Janal, Professorin für Datenschutzrecht an der Universität Bayreuth, verweist gegenüber NDR und SZ auf den in der DSGVO verankerten Grundsatz der Zweckbindung: Eine dauerhafte Speicherung historischer Daten „auf Vorrat für unbestimmte zukünftige Zwecke“ sei nach der Rechtsprechung des Europäischen Gerichtshofs nicht zulässig. Zwar könne es grundsätzlich legitim sein, alte Daten zur Überprüfung der Score-Zuverlässigkeit zu nutzen – dafür wäre laut Janal aber auch ein deutlich kleinerer Datensatz ausreichend.
Auch Matthias Spielkamp von der Nichtregierungsorganisation AlgorithmWatch äußerte sich kritisch gegenüber heise online und stellte die Frage nach dem „Maß an Verantwortungslosigkeit“, das die Schufa hier an den Tag lege. Ein weiterer, in der Berichterstattung zitierter Kritikpunkt betrifft historische Schufa-Scores: Geschäftskunden können demnach auch abrufen, wie kreditwürdig eine Person zu einem früheren Zeitpunkt eingeschätzt wurde. Janal hält auch diese Praxis für problematisch, da solche Informationen die Vertragspartner der Schufa „schlichtweg überhaupt nichts“ angingen.
Die Position der Schufa
Das Unternehmen weist die Vorwürfe zurück und betont, keine „historische Datenbank“ im eigentlichen Sinne zu betreiben. Stattdessen handle es sich um „archivierte Datensätze“, die zu „Datenschutzkontroll-, Test-, Entwicklungs- und Rechtsverteidigungszwecken“ gespeichert würden – wozu das Unternehmen nach eigener Auffassung sogar verpflichtet sei. Auch die Weitergabe historischer Scores an Geschäftskunden hält die Schufa für rechtmäßig.
Wie geht es weiter?
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit prüft laut der Recherche bereits seit mehr als einem Jahr sowohl die Datentests als auch die Frage, ob die Schufa ihrer Auskunftspflicht nach Artikel 15 DSGVO in vollem Umfang nachkommt. Diese Prüfung dauert nach aktuellem Stand weiter an, ein Ergebnis liegt bislang nicht vor.
Einordnung: Was das für Verbraucher:innen bedeutet
Wichtig zum Verständnis: Die Schufa ist keine Behörde, sondern ein privates Unternehmen und eine von mehreren Wirtschaftsauskunfteien in Deutschland. Ihre Bewertungen entscheiden im Alltag trotzdem häufig mit darüber, ob jemand einen Kredit, einen Handyvertrag oder eine Mietwohnung bekommt. Wer bislang davon ausging, dass eine bei der Schufa angeforderte Selbstauskunft sämtliche über die eigene Person gespeicherten Daten zeigt, muss diese Annahme nach aktuellem Stand relativieren: Historische Datensätze bleiben demnach auch dann unsichtbar, wenn sie möglicherweise indirekt in Score-Tests oder interne Auswertungen einfließen. Solange die Prüfung der hessischen Aufsichtsbehörde nicht abgeschlossen ist, bleibt offen, ob und in welchem Umfang die Schufa ihre Praxis anpassen muss.
Wer mehr zum Umgang mit persönlichen Daten in Deutschland nachlesen möchte, findet auch in unseren Berichten zur EUDI Wallet und zur geplanten Deutschland-App weiterführende Einordnungen zum Thema digitale Datenspeicherung hierzulande.
