Schufa: Datenschützer gehen gegen „Schattendatenbank“ vor - was das bedeutet

Was geschehen ist – die Kernmeldung

Die deutsche Auskunftei Schufa sieht sich mit massiver Kritik und drohenden juristischen Konsequenzen konfrontiert. Im Zentrum der Auseinandersetzung steht eine sogenannte „Schattendatenbank“, deren Existenz erst im Juli durch gemeinsame Recherchen von NDR und Süddeutscher Zeitung öffentlich bekannt wurde. Die Organisation Noyb, eine auf Datenschutz spezialisierte Vereinigung aus Österreich, wirft der Schufa vor, historische Finanzdaten von Millionen von Bürgern über einen Zeitraum von bis zu zehn Jahren zu speichern. Dies widerspreche den eigenen Datenschutzerklärungen und verstoße gegen die Datenschutzgrundverordnung (DSGVO). Noyb hat nun angekündigt, rechtliche Schritte einzuleiten, um diese Praxis zu beenden und gegebenenfalls Schadensersatz für die betroffenen Personen zu erwirken. Die Schufa hingegen weist die Vorwürfe zurück und betont, dass die Datenspeicherung rechtmäßig sei und primär der internen Produktentwicklung sowie der Validierung von Risikoberechnungsmodellen diene. Ein juristischer Schlagabtausch scheint unausweichlich, da die Schufa bereits signalisiert hat, den Fall notfalls bis vor den Bundesgerichtshof zu bringen.

Die Einzelheiten der Vorwürfe

Die Vorwürfe von Noyb sind präzise formuliert: Die Schufa speichere Informationen über längst abgeschlossene Zahlungsvorgänge, Kredite, Pfändungen oder Privatinsolvenzen deutlich länger, als es die offizielle Datenschutzerklärung vorsieht. Während die Schufa öffentlich kommuniziert, dass bezahlte Schulden und Kredite nach einer Frist von drei Jahren gelöscht werden, existieren diese Daten in besagter Datenbank weiter. Ein zentraler Kritikpunkt ist die mangelnde Transparenz: Selbst bei einem formellen Auskunftsersuchen, das jeder Verbraucher gemäß DSGVO stellen kann, verschweigt die Auskunftei die Existenz dieser historischen Datensätze. Noyb betont, dass diese Daten zwar nicht direkt in die Berechnung des aktuellen Bonitätsscores einfließen, jedoch für sogenannte „Score-Validierungen“ bei externen Unternehmen herangezogen werden. Die Schufa hält dagegen, dass die Daten ausschließlich intern genutzt würden, um neue Verfahren zur Risikobewertung zu testen. Laut Unternehmensangaben finden diese Vergleichstests ausschließlich innerhalb der Schufa statt, sodass keine detaillierten Informationen an externe Auftraggeber abfließen würden. Dennoch bleibt der Vorwurf bestehen, dass die Speicherdauer die gesetzlichen und internen Vorgaben weit überschreitet.

Hintergrund und bisheriger Verlauf

Die Schufa nimmt in Deutschland eine Schlüsselrolle ein. Mit Daten von rund 68 Millionen Menschen ist sie die größte Auskunftei des Landes. Für Verbraucher ist sie kaum zu umgehen, da ihre Bonitätsbewertungen über den Abschluss von Mobilfunkverträgen, Krediten oder die Anmietung von Wohnraum entscheiden. In der Vergangenheit war die Berechnungsmethode der Scores oft eine „Blackbox“, was zu zahlreichen Beschwerden und Gerichtsverfahren führte. Verbraucher kritisierten häufig unverständliche oder fehlerhafte Bewertungen. Als Reaktion darauf startete die Schufa eine Transparenzoffensive und stellte ihr Modell um: Statt rund 250 Einzelmerkmalen fließen nun nur noch zwölf klar definierte Kriterien in den Score ein. Die nun aufgedeckte „Schattendatenbank“ konterkariert diese Bemühungen jedoch massiv. Bereits seit dem Frühjahr des vergangenen Jahres prüft der hessische Landesdatenschutzbeauftragte den Sachverhalt, doch bis heute liegt kein abschließendes Ergebnis vor. Die Verzögerung bei dieser behördlichen Prüfung hat maßgeblich dazu beigetragen, dass Organisationen wie Noyb nun selbst das Heft in die Hand nehmen und den Druck auf die Auskunftei erhöhen.

Die Beteiligten im Überblick

Auf der Seite der Kritiker steht der Verein Noyb, kurz für „none of your business“, der unter anderem durch den bekannten Juristen und Aktivisten Max Schrems mitbegründet wurde. Schrems erlangte internationale Bekanntheit, indem er das Privacy-Shield-Abkommen zwischen der EU und den USA vor dem Europäischen Gerichtshof zu Fall brachte und hohe Strafen gegen Tech-Giganten wie Google und Meta erwirkte. Noyb agiert als qualifizierte Einrichtung, die in allen EU-Ländern kollektive Verbraucherinteressen vertreten kann. Auf der Gegenseite steht die Schufa, die ihre Geschäftspraktiken verteidigt. Die Auskunftei argumentiert, dass die Daten für die Weiterentwicklung ihrer Dienstleistungen essenziell seien. Eine weitere wichtige Akteurin ist die zuständige Datenschutzbehörde in Hessen, deren bisherige Untätigkeit von Noyb scharf kritisiert wird. Die Medienhäuser NDR und Süddeutsche Zeitung fungieren als Aufdecker, die durch ihre Recherchen die Debatte erst in Gang gesetzt haben. Diese Akteure bilden das Spannungsfeld, in dem nun über die Zukunft der Datenspeicherung bei der Schufa entschieden wird.

Einordnung der Situation

Einzuordnen ist das Vorgehen von Noyb als massiver Angriff auf die bisherige Datenpraxis der Schufa. Sollte sich der Vorwurf bestätigen, dass die Auskunftei Daten entgegen ihrer eigenen Datenschutzerklärung speichert und bei Auskunftsersuchen verschweigt, könnte dies weitreichende Konsequenzen für das gesamte Geschäftsmodell haben. Die Argumentation der Schufa, die Daten dienten lediglich internen Testzwecken, steht im direkten Konflikt mit den strengen Vorgaben der DSGVO zur Datensparsamkeit und Zweckbindung. Den Berichten zufolge könnte die geplante Verbandsklage dazu führen, dass sich betroffene Verbraucher anschließen, um Schadensersatz einzufordern. Dies würde nicht nur finanzielle Risiken für die Schufa bedeuten, sondern auch den Vertrauensverlust in die Institution weiter verschärfen. Die Tatsache, dass die Schufa bereit ist, den Rechtsweg bis zum Bundesgerichtshof zu beschreiten, zeigt, wie hoch der Stellenwert dieser historischen Daten für ihre internen Validierungsprozesse ist. Es geht hierbei um den fundamentalen Konflikt zwischen dem Bedürfnis von Unternehmen nach großen Datenmengen zur Modelloptimierung und dem Recht der Bürger auf informationelle Selbstbestimmung.

Offene Fragen und Lücken

Der vorliegende Quelltext lässt einige entscheidende Fragen unbeantwortet. So bleibt unklar, welche konkreten „historischen Daten“ in der Datenbank in welchem Umfang gespeichert werden und ob diese Daten jemals in irgendeiner Form – auch indirekt – die Bonitätsscores der betroffenen Personen beeinflusst haben könnten. Zudem ist nicht geklärt, warum die zuständige hessische Datenschutzbehörde seit über einem Jahr keine Entscheidung oder Zwischenmeldung zu diesem Fall getroffen hat. Auch die genaue technische Umsetzung der „Score-Validierungen“ bleibt vage; es ist nicht ersichtlich, ob externe Unternehmen bei diesen Validierungen tatsächlich keinerlei Rückschlüsse auf die historischen Daten ziehen können, wie die Schufa behauptet. Schließlich bleibt offen, wie viele Verbraucher insgesamt betroffen sind und ob es neben der Schufa noch weitere Auskunfteien gibt, die ähnliche „Schattendatenbanken“ führen, ohne dass dies bislang öffentlich bekannt geworden ist. Die rechtliche Bewertung der „internen Produktentwicklung“ als Rechtfertigungsgrund für die Speicherung bleibt ebenfalls ein Punkt, der erst durch eine gerichtliche Klärung präzisiert werden kann.

Wie es weitergeht

Die nächsten Schritte sind bereits terminiert. Noyb hat der Schufa eine Frist bis zum 9. September gesetzt, um eine Unterlassungserklärung zu unterzeichnen und die Speicherung der umstrittenen historischen Daten einzustellen. Sollte die Schufa dieser Forderung nicht nachkommen, was das Unternehmen bereits angedeutet hat, plant Noyb im zweiten Schritt die Forderung von Schadensersatz für die Betroffenen. Die Schufa hat ihrerseits klargestellt, dass sie nicht bereit ist, ihre Praxis zu ändern. Sie bereitet sich darauf vor, die Rechtmäßigkeit ihres Vorgehens gerichtlich zu verteidigen. Da beide Seiten eine kompromisslose Haltung einnehmen, ist davon auszugehen, dass der Streit über mehrere Instanzen gehen wird. Die Auskunftei hat bereits angekündigt, den Rechtsstreit bis zum Bundesgerichtshof zu führen, falls dies notwendig sein sollte. Damit steht ein langwieriger Prozess bevor, der die Grenzen der Datenspeicherung in der Finanzbranche neu definieren könnte. Parallel dazu bleibt abzuwarten, ob die hessische Datenschutzbehörde ihre Prüfung vor dem Hintergrund der angekündigten Verbandsklage beschleunigt oder ob sie die Entscheidung den Gerichten überlässt.