SCHUFA-„Schattendatenbank“ 2026: Was wirklich dahintersteckt — und welche Rechte du hast

Millionen Menschen vertrauen darauf, dass Negativeinträge bei der SCHUFA nach festen Fristen verschwinden. Ein Bericht von NDR und Süddeutscher Zeitung hat dieses Vertrauen ins Wanken gebracht — die SCHUFA hält mit einer ausführlichen Gegendarstellung dagegen, und seit dem 26. August 2026 landet der Streit vor Gericht. Wir ordnen beide Seiten ein und zeigen, welches Recht in dieser Debatte wirklich zählt.

Was der Bericht ausgelöst hat

Am 15. Juli 2026 berichteten NDR und Süddeutsche Zeitung, die SCHUFA speichere Daten deutlich länger als bislang bekannt. Die Süddeutsche titelte vom „fast geheimen Archiv der SCHUFA“, andere Medien sprachen von einer „Schattendatenbank“. Im Kern geht es um historische Bonitätsdaten — etwa zu Krediten, Kreditkarten, Pfändungen und Insolvenzen —, die über die Löschfristen des laufenden Datenbestands hinaus aufbewahrt werden. Das Fachportal heise online und weitere Medien griffen die Recherche kurz darauf auf.

Wichtig zur Einordnung: Die SCHUFA bestreitet die Existenz dieses Archivs nicht. Der Streit dreht sich nicht um das Ob, sondern um das Wie — und um zwei rechtliche Fragen, die noch offen sind.

Was die SCHUFA offiziell dazu sagt

In einer Stellungnahme vom 24. Juli 2026 weist die SCHUFA den Begriff Schattendatenbank ausdrücklich zurück und erklärt den Unterschied zwischen zwei Datenbeständen:

Den produktiven Datenbestand mit den aktuellen Bonitätsinformationen — dieser umfasst nach SCHUFA-Angaben Daten zu rund 69 Millionen Personen in Deutschland und ist die Grundlage der laufenden Bonitätsbewertung. Diese Daten kannst du in der SCHUFA-App und in der Datenkopie nach Art. 15 DSGVO einsehen; ein zurückgezahlter Kredit wird hier drei Jahre nach Erledigung gelöscht.

Und den archivierten Datenbestand mit den historischen Daten. Dieser liege getrennt vom produktiven Bestand und diene laut SCHUFA vor allem, um rechtliche Nachweispflichten erfüllen zu können — etwa gegenüber einer Datenschutzbehörde belegen zu können, welcher Score zu einem bestimmten Zeitpunkt auf welcher Datengrundlage berechnet wurde. Die SCHUFA nennt dafür diese Eckpunkte:

• Zweckbindung: Archivierung für regulatorische Nachweispflichten, gesetzliche Anforderungen an die Scoreentwicklung (§ 31 BDSG, Art. 5 DSGVO), Qualitätssicherung sowie die aufsichtsrechtlich vorgeschriebene Validierung neuer Score-Modelle durch Banken.
• Speicherfristen: zweckgebunden und auf maximal zehn Jahre begrenzt; im Beispiel der SCHUFA werden übermittelte Daten und Score spätestens nach fünf Jahren gelöscht, sobald der Zweck entfällt.
• Kein Einfluss auf deinen Score: Die Archivdaten seien vom produktiven Bestand getrennt und wirkten sich nicht auf die aktuelle Bonitätsbewertung aus.
• Kein Zugriff durch Externe: Zugriff habe allein die SCHUFA. Der einzige Fall, in dem ein historischer, personenbezogener Wert nach außen gelange, sei der Score, den Banken für die vorgeschriebenen Backtestings neuer Modelle erhalten.

Aus SCHUFA-Sicht ist das Archiv also keine geheime Zweitdatenbank, sondern ein revisionssicherer, zweckgebundener Datenspeicher, wie ihn die Nachweispflichten der DSGVO gerade verlangten.

Der eigentliche Streitpunkt: die Selbstauskunft

So plausibel die Trennung klingt — ein Punkt bleibt umstritten, und er betrifft dich direkt. Die SCHUFA stellt in der Datenkopie nach Art. 15 DSGVO die aktuellen Bonitätsdaten aus dem produktiven Bestand bereit. Die archivierten historischen Daten werden dort nach der ursprünglichen Berichterstattung nicht gesondert ausgewiesen.

Genau hier setzt die Kritik an. Das Auskunftsrecht nach Art. 15 DSGVO ist umfassend angelegt. Die Rechtswissenschaftlerin Ruth Janal (Universität Bayreuth) vertritt die Auffassung, es erstrecke sich selbstverständlich auch auf die archivierten Daten — unabhängig davon, ob sie aktuell für die Score-Bildung genutzt werden. Der Umfang der Auskunft richtet sich nach dieser Logik danach, was gespeichert ist, nicht danach, wofür es gerade verwendet wird.

Was Kritiker und Aufsicht sagen

Die Bewertungen fallen unterschiedlich scharf aus:

• Datenschutzrechtlich werden mögliche Konflikte mit der Speicherbegrenzung (Art. 5), dem Recht auf Löschung (Art. 17) und gegebenenfalls ein Anspruch auf immateriellen Schadensersatz (Art. 82 DSGVO) diskutiert.
• Die Organisation AlgorithmWatch fordert, die Datenbank sofort zu löschen.
• Der Bundesverband der Verbraucherzentralen argumentiert über die Anreizstruktur: Es könne für datenempfangende Unternehmen verlockend sein, historische Werte doch für konkrete Entscheidungen zu nutzen.

Über die Rechtmäßigkeit wacht der Hessische Landesdatenschutzbeauftragte — die SCHUFA sitzt in Wiesbaden. Die Prüfung läuft bereits seit Frühjahr 2025, ein Ergebnis liegt bislang nicht vor. Damit gilt: Der von der SCHUFA beschriebene Nutzen des Archivs beantwortet noch nicht die eigenständige Frage, ob Speicherdauer und Auskunftspraxis mit der DSGVO vereinbar sind. Das ist offen und wird von der Aufsicht und womöglich von Gerichten geklärt.

Aktuell (September 2026): noyb reicht Unterlassungsklage ein

Update, 12. September 2026: Die von noyb gesetzte Frist ist am 9. September 2026 abgelaufen. Die SCHUFA hat keine der geforderten Unterlassungserklärungen abgegeben und weist die Vorwürfe in einer öffentlichen Stellungnahme zurück. Damit steht fest: noyb reicht die Unterlassungsklage ein. Die Interessentenliste für eine mögliche Sammelklage läuft weiter. Ein Gerichtsurteil zur DSGVO-Konformität gibt es weiterhin nicht — mit der nun sicheren Klage rückt die gerichtliche Klärung aber näher.

Was vorausging: Aus der Debatte um das von NDR und Süddeutscher Zeitung aufgedeckte Datenarchiv ist ein konkreter Rechtsstreit geworden. Am 26. August 2026 hat die Datenschutzorganisation noyb (None of Your Business) die SCHUFA förmlich abgemahnt und angekündigt, andernfalls eine Unterlassungsklage zu erheben. noyb verlangt dreierlei: die SCHUFA solle Daten nicht länger als über die festgelegten Fristen hinaus speichern, historische Daten im Rahmen von Auskunftsersuchen nach Art. 15 DSGVO vollständig herausgeben und ihre Verarbeitung transparent machen.

Zusätzlich hat noyb eine Interessentenliste für eine Sammelklage auf Schadensersatz eröffnet. Betroffene, deren historische Daten bei einer Auskunft nicht offengelegt wurden, können sich dort unverbindlich registrieren; den immateriellen Schaden je Person beziffert noyb mit rund 500 €. noyb tritt dabei als staatlich anerkannte Qualified Entity für Verbandsklagen auf. Wichtig zur Einordnung: Eine Abmahnung ist noch kein Urteil — ob und in welchem Umfang Ansprüche bestehen, müssten Gerichte klären.

Rückendeckung bekommt noyb aus der Zivilgesellschaft: Die NGO AlgorithmWatch fordert per Petition (nach eigenen Angaben rund 145.000 Unterschriften) die sofortige Löschung des Archivs und stellt ein Formular bereit, mit dem Betroffene gezielt Auskunft über ihre historischen Daten verlangen können. noyb kritisiert zudem, die zuständige hessische Datenschutzaufsicht sei bereits seit Frühjahr 2025 informiert, aber untätig geblieben.

Die SCHUFA bleibt bei ihrer Position (siehe oben): Sie hält die zweckgebundene Archivierung für rechtlich zulässig und weist den Begriff „Schattendatenbank“ zurück.

Beide Seiten auf einen Blick

Was das konkret für dich bedeutet

Für den Moment ändert sich an deiner Bonität nichts: Nach übereinstimmender Darstellung fließen die Archivdaten nicht in deinen laufenden Score ein. Der Fall ist trotzdem ein guter Anlass, ein Recht zu nutzen, das dir ohnehin zusteht.

1. Selbstauskunft anfordern. Du hast Anspruch auf eine kostenlose Datenkopie nach Art. 15 DSGVO. Wie das geht, erklärt unser Ratgeber zur Selbstauskunft.
2. Gezielt nach historischen Daten fragen. Formuliere ausdrücklich, dass die Auskunft sämtliche über dich gespeicherten Daten umfassen soll — auch etwaige archivierte oder „historische“ Daten.
3. Berichtigen und löschen lassen. Ist ein Eintrag falsch, verlange die Berichtigung (Art. 16). Ist etwas veraltet oder über die Frist hinaus gespeichert, verlange die Löschung (Art. 17).
4. Beschwerde einlegen. Reagiert die SCHUFA nicht angemessen, kannst du dich kostenlos bei der zuständigen Datenschutzaufsicht beschweren.

Wie SCHUFA-Score und Löschfristen grundsätzlich funktionieren, liest du im Ratgeber SCHUFA & Bonität verstehen; wie du deinen Score aktiv verbesserst, im Ratgeber Bonität verbessern. Welche acht Rechte du gegenüber der SCHUFA hast und welche Löschfristen gelten, vertieft unser Schwestermagazin FLORIN+ in Die Wahrheit über die SCHUFA.

Unsere Einordnung

Zwei Dinge lassen sich schon jetzt nüchtern festhalten. Erstens: Die Aufregung um eine „geheime“ Datenbank verliert an Schärfe, wenn man die Unterscheidung zwischen laufendem und archiviertem Datenbestand ernst nimmt — Nachweis- und Dokumentationspflichten sind real, und dass Archivdaten den aktuellen Score nicht beeinflussen, ist eine wichtige Entwarnung. Zweitens bleibt der harte Kern der Kritik bestehen: Verbraucher können nur dann Vertrauen fassen, wenn sie wissen, was über sie gespeichert ist — und ob das Auskunftsrecht auch das Archiv umfasst, ist rechtlich noch nicht geklärt — und nachdem die SCHUFA die noyb-Frist am 9. September 2026 verstreichen ließ und die Vorwürfe zurückwies, reicht noyb die Unterlassungsklage ein; die Frage wird damit vor Gericht geklärt. Bis die Datenschutzaufsicht bzw. die Gerichte entschieden haben, ist die beste Reaktion keine Aufregung, sondern ein Recht: die eigene Auskunft einfordern und die Daten prüfen.

Quellen

• NDR / Süddeutsche Zeitung — Ausgangsrecherche (15. Juli 2026): tagesschau.de
• SCHUFA — Stellungnahme „Alle Informationen über den SCHUFA-Datenbestand mit historischen Daten” (24. Juli 2026): schufa.de
• heise online — „Schufa speichert veraltete Daten von Millionen Verbrauchern” (Juli 2026): heise.de
• noyb — „‚Shadow database‘ scandal: cease-and-desist letter” (26. August 2026): noyb.eu
• noyb — „SCHUFA beharrt auf Schattendatenbank. noyb-Klage nun sicher” (10. September 2026): noyb.eu
• SCHUFA — Stellungnahme zur angekündigten Unterlassungsklage von noyb (September 2026): schufa.de
• noyb — Interessentenliste zur möglichen Sammelklage: schufa.noyb.eu
• AlgorithmWatch — Petition „Schattendatenbank sofort löschen”: algorithmwatch.org
• Rechtliche Einordnung u. a. von Prof. Dr. Ruth Janal (Universität Bayreuth), zitiert in der Berichterstattung von NDR und Süddeutscher Zeitung.

Dieser Beitrag gibt den Stand der öffentlichen Berichterstattung sowie die offizielle Stellungnahme der SCHUFA (Juli 2026) wieder und ordnet beide ein; er ersetzt keine Rechtsberatung. Die datenschutzrechtliche Bewertung ist Gegenstand einer laufenden aufsichtsbehördlichen Prüfung.

Häufige Fragen

Über den Autor

Johann Müller

Kredit- & Bonitäts-Redaktion · umsgeld

Ratenkredit und Umschuldung, Kredit trotz oder ohne SCHUFA, Schuldnerberatung und Ratenkauf — Johann zeigt ehrliche Optionen statt Lockangebote.

Profil & Redaktion ›