noyb mahnt SCHUFA ab: „gelöschte“ Daten fließen in die Prüfung neuer Score-Modelle

noyb hat am 26.08.2026 eine Abmahnung an die SCHUFA geschickt und für den Fall, dass die Auskunftei nicht einlenkt, eine Unterlassungsklage angekündigt. Es geht um Daten, die nach den eigenen Regeln der SCHUFA längst gelöscht sein müssten, aber weiterhin gespeichert und verarbeitet werden. Parallel hat der Verein eine Interessentenliste für eine spätere Sammelklage auf Schadenersatz geöffnet.

Bekannt wurde der archivierte Datenbestand Mitte Juli durch Recherchen von NDR und Süddeutscher Zeitung. Die SZ titelte am 15.07.2026 vom „fast geheimen Archiv“, andere Medien sprachen von einer Schattendatenbank.

Was die SCHUFA selbst bestätigt

Bemerkenswert an dem Fall ist, wie wenig streitig der Sachverhalt ist. Die SCHUFA hat auf eigene Faust eine ausführliche Erklärung veröffentlicht, und darin steht im Kern dasselbe, was noyb vorwirft.

Der produktive Datenbestand umfasst laut Unternehmen Daten zu rund 69 Millionen Personen in Deutschland, aus dem täglich etwa 350.000 Auskünfte erteilt werden. Erledigte Kredite verschwinden dort drei Jahre nach Bezahlung. Sie verschwinden aber nicht aus dem Haus: Die SCHUFA archiviert sie getrennt, mit zweckgebundenen Fristen von maximal zehn Jahren.

Zur Weitergabe schreibt die Auskunftei, es gebe genau einen Fall, in dem ein personenbezogenes historisches Datum das Archiv verlässt. Banken und andere Unternehmen prüften die Prognosegüte eines neuen Score-Modells, bevor es in den Einsatz geht, und erhielten dafür auf historischen Daten berechnete Scores. Zu solchem Backtesting seien Banken aufsichtsrechtlich verpflichtet.

Auch beim Auskunftsrecht deckt sich die Darstellung. Die SCHUFA stellt in der Datenkopie nach Artikel 15 DSGVO die aktuellen Bonitätsdaten bereit. Historische Datensätze sind nicht dabei, weil Betroffene nach Lesart des Unternehmens ohnehin nur wissen wollen, was gerade in ihren Score einfließt.

Wo der Streit beginnt

Genau an diesem Punkt setzt noyb an. Der Datenschutzjurist Marco Blocher hält es für rechtswidrig, angeblich gelöschte Daten zu speichern und dann nicht zu beauskunften; der EuGH habe längst klargestellt, dass die Datenkopie eine vollständige Reproduktion aller verarbeiteten Daten sein muss. Sein Kollege Martin Baumann formuliert den zweiten Vorwurf schärfer: Die SCHUFA verarbeite heimlich Daten, die laut eigenen Angaben gelöscht sein müssten, und verdiene damit Geld.

Zuständig für die Aufsicht wäre der Hessische Datenschutzbeauftragte. Nach Darstellung von noyb weiß die Behörde seit dem Frühjahr 2025 von dem Archiv und ist bisher nicht eingeschritten. Der Verein klagt deshalb als staatlich anerkannte Qualifizierte Einrichtung im Verbandsinteresse, Max Schrems begründet das mit einem Zusammenbruch der staatlichen Datenschutzaufsicht in Deutschland.

Der zweite Schritt wäre die Sammelklage. Wer in den vergangenen Jahren ein Auskunftsersuchen gestellt und die historischen Daten nicht erhalten hat, könnte einen immateriellen Schaden erlitten haben; noyb hält rund 500 Euro pro Person für denkbar und nennt 1,6 Millionen Datenkopien pro Jahr, von denen keine einzige die archivierten Daten enthielt. Die NGO AlgorithmWatch sammelt parallel Unterschriften für die Löschung des Archivs, nach Angaben von Matthias Spielkamp knapp 145.000.

Warum das hier steht

Die SCHUFA rechnet, soweit öffentlich bekannt, nicht mit neuronalen Netzen, und Scoring ist älter als jeder Chatbot. Der Vorgang zeigt trotzdem etwas, das jedes lernende System in regulierten Branchen betrifft: Ein Modell lässt sich nur an Fällen prüfen, deren Ausgang bekannt ist. Wer Modellqualität will, braucht Vergangenheit, und je länger die aufbewahrte Vergangenheit, desto besser das Modell. Löschfristen und Prognosegüte ziehen in entgegengesetzte Richtungen.

Rechtlich ist der Bonitätsscore in Europa bereits eingeordnet. Der EuGH hat am 07.12.2023 in der Rechtssache C-634/21 entschieden, dass die automatisierte Berechnung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine automatisierte Einzelentscheidung nach Artikel 22 DSGVO ist, sobald ein Dritter seine Vertragsentscheidung maßgeblich davon abhängig macht.

Dazu kommt die zweite Ebene. Die Kreditwürdigkeitsprüfung steht im AI Act unter den Hochrisiko-Anwendungen des Anhangs III, deren Pflichten zu Datenqualität, Risikomanagement und menschlicher Aufsicht nach der Verschiebung durch den Digital Omnibus ab dem 02.12.2027 greifen. Ob ein Archiv, das der Modellvalidierung dient, damit zur dokumentationspflichtigen Datengrundlage wird oder eine reine Datenschutzfrage bleibt, ist bisher von niemandem beantwortet worden.

Die SCHUFA hat auf die Abmahnung bis zum Abend des 27.08.2026 nicht öffentlich reagiert; ihre Erklärung zum Datenbestand stammt aus der Zeit vor dem noyb-Schreiben.