Die Schufa ist schon länger Dauergast in unserer Vorlesung zum Datenschutzrecht. Ursprünglich vor allem mit der Frage, ob der ermittelte Score-Wert bereits für sich eine automatisierte „Entscheidung“ im Sinne von Art. 22 Abs. 1 DSGVO darstellt. Der EuGH entschied dies Ende 2023 positiv, was in der Rechtsfolge u.a. bedeutet, dass die Schufa nach Art. 15 Abs. 1 lit h) DSGVO „aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person“ erteilen muss.
Anfang diesen Jahres stellte die Schufa dann ihren neuen Score vor: „Die SCHUFA setzt mit ihrem neuen Bonitätsscore – als weltweit erste Auskunftei – auf völlige Transparenz und macht ihn für Verbraucherinnen und Verbraucher verständlich und nachvollziehbar.“ [2] Leider ist der Schufa bei dieser „völligen Transparenzinitiative“ scheinbar ihre historische Datenbank mit den bisherigen Score-Werten entfallen. [3] Diese besteht nämlich fort. Fairerweise sei angemerkt, dass auch auf der bereits zitieren Webseite [2] eine Übergangsfrist für den neuen Score bis Ende 2028 genannt wird. Allerdings bestehen an der Rechtskonformität der Weiterverarbeitung dieser (historischen) Daten bis zu diesem Zeitpunkt erhebliche Zweifel: Offensichtlich wird die Weiterverarbeitung maßgeblich auf berechtigte Interessen geschützt (Art. 6 Abs. 1 lit f) DSGVO), wobei insbesondere „Testzwecke“ angeführt werden. Vorgetragen wird, man müsse insbesondere testen, ob der neue Score genauso zuverlässig sei wie der bisherige. Deswegen werden teilnehmenden Banken auch historische Score-Werte zur Verfügung gestellt. [4]
Hier stellt sich mit Blick auf die Erforderlichkeit zunächst die Frage, ob sich überhaupt jede Bank oder sonstige Schufa-Kunde selbst von der Zuverlässigkeit des neuen Scores überzeugen muss. Ein Test durch EINE dritte vertrauenswürdige Prüforganisation mit einer entsprechenden Zertifizierung wäre wesentlich datenschutzfreundlicher gewesen. Durch diese zahlreichen Datenempfänger ist hingegen außerdem das Missbrauchspotential entsprechend hoch.
Noch bemerkenswerter ist aber der zweite Punkt: Diese Weiterverarbeitung historischer Daten wurde von der Schufa nicht kommuniziert. Wird das Auskunftsrecht nach Art. 15 DSGVO geltend gemacht (was die Schufa prägnant selbst als „Datenkopie nach Art. 15 [Abs. 3] DSGVO“ benennt) [5], werden diese Daten nicht genannt. Als Begründung kommt von der Schufa etwas, was ich in einer Datenschutzklausur definitiv mit 0 Punkten bewerten müsste: „Verbraucherinnen und Verbraucher wollen vor allem wissen, wie es aktuell um ihre Bonität steht und welche Daten Einfluss auf Ihren Score haben. Das ist bei historischen Daten nicht der Fall.“ [4] Diese Begründung ist offensichtlich rechtlich völlig unhaltbar, da sich das Auskunftsrecht selbstverständlich nicht durch die aktuelle Dienstgestaltung (hier die Ermittlung des aktuellen Schufa-Scores) limitiert. Das Auskunftsrecht dient der betroffenen Person vielmehr dazu, „sich der [ganzen] Verarbeitung bewusst zu sein und [Aufgepasst!] deren Rechtmäßigkeit überprüfen zu können.“ (EG 63 DSGVO).
Aktuell läuft dementsprechend auch beim hessischen Datenschutzbeauftragten ein Verfahren wegen dieser Datentests. Insofern bin ich gespannt und freue mich, aus rechtswissenschaftlicher Sicht, über neue praktische Beispiele für die Vorlesung. Aus gesellschaftlicher Sicht ist es hingegen sehr bedenklich, dass eine Auskunftei mit monopolartiger Stellung das Datenschutzrecht offensichtlich nicht ernst nimmt: Über die eingangs genannte Frage des Vorliegens einer automatisierten Entscheidung konnte man seinerzeit sicherlich noch diskutieren. Aber dieser heimliche Umgang mit den historischen Datensätzen ist mindestens mit Blick auf die Transparenzpflichten so offensichtlich rechtswidrig, dass hier realistisch betrachtet von einem vorsätzlichen Rechtsbruch ausgegangen werden muss.
Nachweise:
- [1] Entscheidung EuGH v. 07.12.2023, Az. C-634/21, NZA 2024, 45
- [2] https://www.schufa.de/scoring-daten/neuer-score/, zuletzt abgerufen am 17.07.2026
- [3] https://www.heise.de/news/Schufa-speichert-veraltete-Daten-von-Millionen-Verbrauchern-in-Schattendatenbank-11366566.html
- [4] https://www.tagesschau.de/investigativ/ndr/schufa-verbraucher-daten-100.html
- [5] https://www.meineschufa.de/service/datenkopie, zuletzt abgerufen am 17.07.2026.