SKANDAL - SCHUFA-Schattendatenbank

Update: SCHUFA-Schattendatenbank – ich hatte bereits im März 2025 auf einen möglichen verborgenen Datenbestand hingewiesen

Am 15. Juli 2026 haben NDR und Süddeutsche Zeitung über einen schwerwiegenden Vorgang bei der SCHUFA berichtet: Neben den Daten, die Verbraucherinnen und Verbraucher in ihrer regulären Datenkopie sehen, soll die SCHUFA in einem gesonderten Bestand sogenannte „historische Daten“ von Millionen Menschen speichern.

Nach den Recherchen gehören dazu unter anderem alte Kredite, Kreditkarten, Pfändungen, Insolvenzangaben und bereits beglichene Forderungen. Diese Daten sollen teilweise noch Jahre nach ihrer vermeintlichen Löschung für Test- und Validierungszwecke verwendet werden. Die SCHUFA bestreitet die Speicherung nicht, hält sie jedoch nach eigener Darstellung für rechtmäßig. Betroffene sollen über diese historischen Daten bislang auch in der regulären Datenkopie nicht vollständig informiert worden sein. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit prüft die Rechtsgrundlage dieses Datenbestands nach Medienangaben bereits seit dem Frühjahr 2025; das Verfahren war am 15. Juli 2026 noch nicht abgeschlossen.

Diese Berichte betreffen unmittelbar die Themen meiner Petitionen: die tatsächliche Löschung personenbezogener Daten, die Transparenz der SCHUFA und die Frage, auf welcher Datengrundlage Bonitätsscores entwickelt, überprüft und gegenüber Unternehmen vermarktet werden.

Besonders brisant ist für mich, dass ich bereits am 23. März 2025 in meiner eigenen Beschwerde gegen die SCHUFA ausdrücklich auf die Möglichkeit eines solchen verborgenen oder historischen Datenbestands hingewiesen hatte.

Auslöser war ein Vorgang in meinen persönlichen SCHUFA-Datenkopien:

Ein Anschriftendatensatz mit dem Speicherdatum November 2023 war seit Dezember 2023 in meinen Datenkopien nicht mehr enthalten. Auch in den nachfolgenden Auskünften bis einschließlich 10. Februar 2025 wurde dieser Datensatz nicht beauskunftet. Am 19. Februar 2025 tauchte dieselbe Anschrift jedoch plötzlich erneut in meiner kostenlosen Datenkopie auf – weiterhin mit dem alten Speicherdatum November 2023.

Für mich stellte sich deshalb bereits damals die entscheidende Frage:

Wie kann ein zuvor aus den Datenkopien verschwundener und von mir als gelöscht angesehener Datensatz nach mehr als einem Jahr plötzlich wieder auftauchen, ohne dass eine neue Speicherung oder eine nachvollziehbare Herkunft erkennbar ist?

Dieser Vorgang war aus meiner Sicht ein konkreter Hinweis darauf, dass Daten möglicherweise weiterhin außerhalb des in der regulären Datenkopie sichtbaren Bestands vorgehalten und später wieder in den aktiven Datenbestand übernommen werden könnten. Er ist für sich allein noch kein abschließender Beweis für einen Zusammenhang mit der nun öffentlich bekannt gewordenen Schattendatenbank. Er hätte jedoch aus meiner Sicht zwingend umfassend untersucht werden müssen.

Der Hessische Datenschutzbeauftragte ging in seinem Bescheid vom 18. Mai 2026 nach meiner Auffassung nicht ausreichend auf diesen konkreten Widerspruch und meinen Hinweis auf einen möglichen verborgenen Datenbestand ein. Stattdessen wurde die Speicherung der Anschrift unter Bezugnahme auf die Speicherregeln des Code of Conduct als rechtmäßig bewertet.

Dabei blieb aus meiner Sicht die entscheidende Frage unbeantwortet: Wo befand sich dieser Datensatz zwischen Dezember 2023 und Februar 2025, weshalb wurde er in zahlreichen Datenkopien nicht beauskunftet und auf welcher technischen und rechtlichen Grundlage konnte er später mit seinem ursprünglichen Speicherdatum wieder erscheinen?

Umso problematischer ist, dass derselbe Hessische Datenschutzbeauftragte nach den aktuellen Recherchen bereits seit dem Frühjahr 2025 ein grundsätzliches Prüfverfahren zur Rechtsgrundlage der historischen SCHUFA-Datenbestände führt.

Ich fordere daher:

Die SCHUFA muss vollständig offenlegen, welche aktiven, historischen, archivierten oder sonstigen personenbezogenen Datenbestände sie führt und ob Daten zwischen diesen Beständen verschoben oder wiederhergestellt werden können.

Verbraucherinnen und Verbraucher müssen im Rahmen ihres Auskunftsrechts über sämtliche zu ihrer Person verarbeiteten Daten informiert werden – unabhängig davon, ob die SCHUFA diese als aktiv, historisch, archiviert oder nur zu Testzwecken gespeichert bezeichnet.

Der Hessische Datenschutzbeauftragte muss das seit dem Frühjahr 2025 laufende Prüfverfahren unverzüglich und transparent abschließen. Bereits entschiedene Beschwerden müssen erneut geprüft werden, wenn konkrete Hinweise auf nicht beauskunftete historische Daten oder wieder aufgetauchte Datensätze vorlagen.

Daten, für deren weitere Speicherung keine tragfähige Rechtsgrundlage besteht, müssen tatsächlich, vollständig und unumkehrbar gelöscht werden. Eine bloße Entfernung aus der für Verbraucher sichtbaren Datenkopie darf nicht als Löschung dargestellt werden, wenn die Daten an anderer Stelle weiterhin gespeichert und genutzt werden.

Ich unterstütze deshalb auch die Petition von AlgorithmWatch und Campact:

„SCHUFA-Skandal: Schattendatenbank sofort löschen!“

https://weact.campact.de/petitions/schufa-skandal-schattendatenbank-sofort-loschen

Bitte unterstützt auch diese Petition und teilt sie weiter.

Denn die aktuellen Enthüllungen zeigen erneut: Bei der SCHUFA geht es nicht nur um einzelne fehlerhafte Einträge. Es geht um die grundsätzliche Frage, ob Millionen Menschen tatsächlich erfahren, welche Daten über sie gespeichert, ausgewertet und für die Entwicklung weitreichender Bonitätsentscheidungen verwendet werden.

Löschung muss Löschung bedeuten. Auskunft muss vollständig sein. Und eine geheime Weiterverarbeitung personenbezogener Daten darf es nicht geben.