Schufa, Banken und 68 Millionen geheime Datensätze

Wer bei der Schufa Auskunft über seine gespeicherten Daten beantragt, bekommt eine unvollständige Antwort: Die historischen Finanzdaten fehlen. Eine Schattendatenbank mit Einträgen über alte Kredite, längst beglichene Schulden und abgeschlossene Privatinsolvenzen, teilweise bis zu zehn Jahre alt, bleibt in der offiziellen Datenkopie unsichtbar, während die Schufa dieselben Daten an Geschäftspartner weitergibt. Eine gemeinsame Recherche von NDR und Süddeutscher Zeitung hat diese Praxis 2026 öffentlich gemacht. Doch der Schufa-Skandal ist nur ein Symptom eines viel älteren Problems: Deutschlands Banken und Auskunfteien vermarkten seit Jahrzehnten Kundendaten durch eine strukturelle Lücke im Datenschutzrecht. Der Staat schaut dabei nicht nur weg, er kauft dieselben Daten auch noch heimlich ein.

Wie Banken Daten in Umlauf bringen

Wer in Deutschland ein Konto eröffnet, einen Kredit beantragt oder eine Kreditkarte bestellt, hinterlässt automatisch Spuren in einer weitverzweigten Dateninfrastruktur. Deutsche Bank, Commerzbank und die Sparkassen geben Kundendaten systematisch an Auskunfteien weiter: als Gegenleistung dafür, dass sie selbst Scorewerte für ihre Kunden abrufen können, wie Business Insider bereits 2018 recherchiert hat. Das Modell ist simpel und lukrativ: Die Bank meldet, wer einen Kredit aufgenommen hat, wie er zurückgezahlt wird, ob es Pfändungen oder Insolvenzen gibt. Die Auskunftei berechnet daraus einen Score und verkauft ihn zurück, an Banken, an Versicherungen, an Vermieter und Arbeitgeber.

Die Schufa speichert nach eigenen Angaben Daten von rund 68 Millionen Privatpersonen und sechs Millionen Unternehmen in Deutschland. Boniversum, die Auskunfteitochter der Creditreform-Gruppe, hält Finanzprofile von über 50 Millionen Deutschen. Wer einen schlechten Score hat, bekommt keinen Kredit, keine günstige Versicherung, manchmal auch keine Wohnung. Die Datenweitergabe läuft in der Regel ohne aktive Einwilligung der Betroffenen: Banken und Auskunfteien berufen sich auf ein sogenanntes berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f der Datenschutzgrundverordnung, eine juristische Generalklausel, die weite Teile der Branche abschirmt.

Dass diese Praxis an der Grenze zur Rechtswidrigkeit operiert, hat das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein bereits vor Jahren dokumentiert. Die Sparkasse Duisburg wurde von der Berliner Datenschutzbehörde dabei erwischt, wie sie Kunden mit manipulativen Formularen zur Einwilligung in die Weitergabe ihrer Zahlungsverkehrsdaten drängte, vorausgefüllte Felder, psychologisch ausgeklügelte Farbgebung, verklausulierter Einwilligungstext. Die Berliner Behörde erklärte die Einwilligungen für ungültig. Grundlegendes änderte sich nicht.

Die geheime Schattendatenbank der Schufa

Was NDR und Süddeutsche Zeitung enthüllten, geht weit über das bekannte System hinaus. Die Schufa betreibt eine separate Datenbank mit historischen Finanzdaten von rund 68 Millionen Menschen: Einträge, die seit Jahren nicht mehr aktuell sind, die gesetzlichen Löschfristen längst überschritten haben sollten, die aber intern weiterverwendet werden, um neue Scoring-Modelle zu testen und zu validieren. Diese historischen Scores werden an Geschäftspartner weitergegeben, damit diese prüfen können, wie gut ein neues Berechnungsmodell in der Vergangenheit funktioniert hätte.

Das Besondere daran: Diese Schattendatenbank erscheint nicht in der offiziellen Datenkopie, die Bürger nach Artikel 15 DSGVO von der Schufa anfordern können. Wer wissen will, was die Schufa über ihn gespeichert hat, bekommt eine unvollständige Antwort. Die Schattendaten fehlen. Ruth Janal, Professorin für Datenschutz an der Universität Bayreuth, sagte NDR und SZ, sie sehe für diese Praxis keine Rechtsgrundlage. Der Hessische Landesdatenschutzbeauftragte, der für die in Wiesbaden ansässige Schufa zuständig ist, prüft den Fall seit Frühjahr 2025. Eine Entscheidung steht noch aus.

Die Schufa selbst bestätigt die Existenz der Datenbank und hält die Speicherung für rechtmäßig: zu Testzwecken, wie es heißt, für interne Qualitätskontrollen. AlgorithmWatch hat eine Petition gestartet und hilft Betroffenen, ihre Rechte auf Auskunft durchzusetzen. Für die 68 Millionen ändert das vorläufig nichts: Sie wissen weiterhin nicht, welche historischen Finanzdaten über sie vorliegen und wer darauf zugreifen kann.

Das Gesetz, das den Handel freilässt

Der Schufa-Skandal hat einen strukturellen Grund, der weit über das Unternehmen hinausgeht. Die Datenschutzgrundverordnung reguliert die Verarbeitung personenbezogener Daten, aber nicht den Handel mit ihnen. Wer Daten nicht selbst verarbeitet, sondern nur als Marktplatz Käufer und Verkäufer zusammenbringt, fällt in eine juristische Grauzone.

Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider hat diese Lücke 2025 offen benannt: Die DSGVO beziehe sich auf Datenverarbeitung, nicht auf die Vermittlung durch Datenhändler. Sie sprach von einer Rechtsschutzlücke. Die Berliner Datenschutzbeauftragte Meike Kamp ergänzte: Gegen Datenmarktplätze wie das Portal Datarade habe sie auf Grundlage der DSGVO keine Handhabe, da der Marktplatz selbst keine Daten verarbeite, sondern nur Kontakt herstelle.

Das Gutachten des Netzwerk Datenschutzexpertise, im März 2025 unter dem Titel Datenhändler: juristisch unbekannte Wesen? veröffentlicht, kommt zu einem anderen Ergebnis: Datenbroker trügen durchaus Verantwortung für die Rechtmäßigkeit der von ihnen vermittelten Daten, sowohl nach Datenschutzrecht als auch nach Strafrecht. Konsequenzen hat diese Einschätzung bis heute kaum gezeitigt.

Wie weit die Lücke reicht, zeigt ein konkreter Vorfall aus Juli 2024: Ein Nachrichtenportal erhielt als kostenloses Muster von einem US-Datenbroker 3,6 Milliarden Mobilfunk-Standortdatensätze aus Deutschland, aus zwei Monaten im Jahr 2023, mit rund elf Millionen Werbe-IDs von Mobilfunknutzern. Der Datenbroker operierte dabei legal. Die Daten stammten aus der Onlinewerbewirtschaft, waren aber geeignet, Bewegungsprofile von Bundeswehrangehörigen, Verfassungsschutzbeamten und BND-Mitarbeitern zu erstellen, wie Netzpolitik.org bei seinen Databroker Files dokumentiert hat.

Was der EuGH entschied und was noch fehlt

Der Europäische Gerichtshof hat die Rechtslage beim Credit-Scoring bereits verschärft. Am 7. Dezember 2023 entschied er im Verfahren C-634/21, dass das Schufa-Scoring eine automatisierte Einzelfallentscheidung im Sinne von Artikel 22 DSGVO darstellt, wenn der Score maßgeblich dafür ist, ob ein Kredit gewährt wird oder nicht. Die Begründung des Gerichts war eindeutig: Ein unzureichender Schufa-Score führt in der Praxis in nahezu allen Fällen zur Kreditablehnung. Damit handelt die Bank faktisch auf Basis einer automatisierten Entscheidung der Schufa, auch wenn formal ein Mitarbeiter unterschreibt.

Die Schufa hat daraufhin Mitte März 2026 ein überarbeitetes Scoring-System auf einer Skala von 100 bis 999 eingeführt. Zum ersten Mal können Verbraucher ihren aktuellen Score und die Berechnungsgrundlage online einsehen. Das ist ein Fortschritt. Was es nicht löst: Die vorgelagerte Frage, auf welcher Rechtsgrundlage Banken Daten überhaupt an Auskunfteien weitergeben, bleibt ungeklärt.

Die Berliner Datenschutzbeauftragte Meike Kamp verhängte im Juni 2023 ein Bußgeld von 300.000 Euro gegen die Deutsche Kreditbank (DKB), weil das Institut Kreditanträge vollautomatisch über einen Algorithmus ablehnte, ohne den Antragstellern eine Erklärung zu geben, ein klarer Verstoß gegen die DSGVO-Transparenzpflichten nach Artikel 22. Das war für Deutschland ein Präzedenzfall, allerdings ein bescheidener: Zum Vergleich verhängte die italienische Datenschutzbehörde Garante im März 2026 ein Bußgeld von 17,6 Millionen Euro gegen Intesa Sanpaolo, weil das Institut Finanzdaten von 2,4 Millionen Kunden ohne ausreichende Rechtsgrundlage profiliert hatte. Das ist der Faktor 59 gegenüber dem deutschen DKB-Fall, bei einem Institut von vergleichbarer Größe.

Der Staat als stiller Datenkäufer

Ausgerechnet jener Staat, der Bürger seit Jahren mit DSGVO-Formularen konfrontiert, kauft dieselben Daten offenbar selbst heimlich ein. Am 19. Dezember 2025 verweigerte die Bundesregierung auf eine parlamentarische Anfrage hin jede Auskunft darüber, ob Behörden wie das Bundeskriminalamt (BKA) oder der Bundesnachrichtendienst (BND) kommerzielle Standort- und Bewegungsdaten von Datenbroker-Marktplätzen erwerben. Netzpolitik.org berichtete, dass das Bundeskabinett diese Information als Staatsgeheimnis eingestuft hat.

Bemerkenswert ist das nicht nur wegen der Intransparenz. Ein Gutachten des Wissenschaftlichen Dienstes des Bundestages kommt zu dem Schluss, dass für Bundespolizei und BKA ohnehin keine Rechtsgrundlage für solche Datenkäufe bestehe. Selbst für nachrichtendienstliche Behörden mit weitreichenderen Befugnissen sei die Rechtslage unklar. Ob der Staat also Daten kauft, die er rechtlich möglicherweise gar nicht erwerben darf, weigert er sich offenzulegen. Für die Bürger, deren Bankdaten, Standortdaten und Konsumprofile in diesem System zirkulieren, ist das ein weiterer Grund zur Sorge.

Was der Hessische Datenschutzbeauftragte jetzt entscheiden muss

Der Hessische Landesdatenschutzbeauftragte muss in den kommenden Monaten entscheiden, ob die Schufa ihre Schattendatenbank löschen muss. Stellt die Behörde eine Löschpflicht fest, wäre das ein Präzedenzfall: Zum ersten Mal wäre die größte Auskunftei Deutschlands gezwungen, historische Finanzdaten tatsächlich zu vernichten, nicht nur aus dem offiziellen Auskunftssystem zu entfernen.

Auf EU-Ebene läuft eine Debatte, ob die DSGVO um explizite Regeln für Datenhändler ergänzt werden soll. Großbritannien ist mit dem Data Use and Access Act 2025 vorangegangen, der Datenbroker erstmals explizit definiert und zu Transparenz verpflichtet. Deutschland hat keine vergleichbare Regelung. Dass die Bundesregierung selbst Datenbrokerkäufe zum Staatsgeheimnis erklärt hat, lässt wenig Spielraum für Optimismus.

Das Geschäftsmodell, das dahintersteht, ist denkbar simpel: Banken liefern Daten, Auskunfteien und Datenbroker vermarkten sie, Versicherungen, Vermieter und Arbeitgeber kaufen sie. Die Betroffenen zahlen die Kosten, in Form höherer Prämien, abgelehnter Kredite, verpasster Wohnungen und häufig ohne zu wissen, dass ihre Bankdaten dabei eine Rolle spielen. Für 68 Millionen Menschen bedeutet das: Eine Akte über ihre Kreditvergangenheit existiert, wird genutzt, wird weitergegeben. Sie wissen es nicht.