Schufa-Skandal: 68 Millionen Datensätze in Schattendatenbank

Gemeinsame Recherchen von NDR und Süddeutscher Zeitung haben eine umfangreiche historische Datensammlung bei der Wiesbadener Auskunftei aufgedeckt. Die Schufa bewahrt demnach in einer separaten Datenbank Datensätze von rund 68 Millionen Menschen auf – teilweise bis zu zehn Jahre alt. Die Praxis steht in krassem Gegensatz zur kürzlich gestarteten Transparenzoffensive.

Transparenzversprechen und dunkle Datenbestände

Die Schufa hatte im März 2026 eine Transparenzoffensive gestartet, um das Vertrauen der Öffentlichkeit zu stärken. Die nun bekannt gewordene Schattendatenbank belastet dieses Vorhaben erheblich. Gespeichert werden Informationen über alte Kredite, Pfändungen und Privatinsolvenzen – weit über die üblichen Löschfristen hinaus.

Das Problem: In der regulären Datenkopie nach der DSGVO, die Bürger zur Selbstauskunft anfordern können, tauchen diese historischen Bestände nicht auf. Verbraucherschützer kritisieren die mangelnde Sichtbarkeit der Daten scharf. IT-Rechtsexperten sehen darin einen möglichen Verstoß gegen das Auskunftsrecht, das grundsätzlich alle verarbeiteten Daten umfassen müsse.

Die Schufa bestätigt die Existenz der Datenbank, hält die Speicherung zu Test- und Kontrollzwecken jedoch für rechtmäßig.

Der Fall zeigt, wie komplex die Dokumentationspflichten der DSGVO selbst für Großunternehmen sind. Eine kostenlose Excel-Vorlage hilft Verantwortlichen dabei, ihr eigenes Verarbeitungsverzeichnis rechtssicher und zeitsparend zu erstellen. DSGVO-Pflichten mit kostenloser Muster-Vorlage erfüllen

Testdaten fließen an Geschäftspartner

Die historischen Datensätze dienen nach Unternehmensangaben vor allem der Entwicklung neuer Risikoberechnungsverfahren. Seit dem 17. März 2026 setzt die Schufa ein neues Score-Modell ein, das auf zwölf Kriterien basiert und eine Skala von 100 bis 999 nutzt. Zur Validierung greift das Unternehmen auf die langjährigen Bestände zurück.

Besonders brisant: Aus diesen historischen Daten generierte Scores werden offenbar an Geschäftspartner weitergegeben. Banken, Versicherungen und Energieversorger können die Test-Scores abrufen, um die Wirksamkeit neuer Berechnungsmodelle zu prüfen. Für die betroffenen Verbraucher bleibt dieser Vorgang in der Regel verborgen – ein Verstoß gegen den Grundsatz der Datensparsamkeit, so Juristen.

Wer als Unternehmer unsicher ist, ob die eigene Datenverarbeitung wirklich alle Mindestanforderungen erfüllt, sollte proaktiv handeln. Dieser kostenlose Basis-Check deckt auf, wo im Betrieb unbewusst gegen die Datenschutzgrundverordnung verstoßen wird. 7 Datenschutz-Checklisten jetzt kostenlos herunterladen

Aufsichtsbehörden prüfen den Fall

Der Hessische Datenschutzbeauftragte befasst sich bereits seit dem Frühjahr 2025 mit dem Vorgang. Eine abschließende Bewertung steht noch aus, doch die Kritik von Fachleuten nimmt zu.

Eine Datenschutzexpertin betont: Für eine derartige Speicherung auf Vorrat gebe es keine ausreichende Rechtsgrundlage. Die Aufbewahrung sensibler Finanzdaten über ein Jahrzehnt sei mit den strengen Löschpflichten der DSGVO schwer vereinbar.

Während die Schufa ihre Praxis als notwendiges Instrument für präzise Bonitätsbewertungen verteidigt, fordern Verbraucherschützer eine konsequente Durchsetzung der Löschfristen und vollständige Offenlegung aller gespeicherten Informationen.