Schufa und DSGVO: Welche Rechte haben Sie bei Auskunft, Score und Löschung?

Die Schufa darf personenbezogene Daten nur auf einer Rechtsgrundlage der DSGVO verarbeiten und muss auf Verlangen kostenlos Auskunft geben, welche Daten sie speichert und wie diese den Score beeinflussen. Der Europäische Gerichtshof hat am 7. Dezember 2023 entschieden, dass eine maßgeblich score-basierte Vertragsentscheidung als automatisierte Einzelfallentscheidung nach Art. 22 DSGVO gilt, und am 27. Februar 2025 nachgelegt, dass Betroffene eine verständliche Erklärung der Score-Logik verlangen können. Was das für Auskunft, Berichtigung, Löschung und Schadensersatz bedeutet, erklärt dieser Beitrag.

Was speichert die Schufa und auf welcher Rechtsgrundlage?

Die Schufa Holding AG ist eine private Wirtschaftsauskunftei, keine Behörde. Die Schufa Holding AG, wie sie im Themenüberblick zur Privatinsolvenz mehrfach eine Rolle spielt, ist eine private Wirtschaftsauskunftei, keine Behörde. Sie sammelt Daten von Vertragspartnern wie Banken, Versandhändlern und Telekommunikationsanbietern, etwa zu Kontoeröffnungen, Kreditverträgen oder Zahlungsstörungen, und errechnet daraus einen Score, der die Wahrscheinlichkeit künftigen Zahlungsverhaltens abbilden soll. Rechtsgrundlage dafür ist überwiegend Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse der Vertragspartner an einer Einschätzung des Ausfallrisikos. Dieses Interesse muss im Einzelfall gegen das Recht der betroffenen Person auf informationelle Selbstbestimmung abgewogen werden. Je länger und negativer ein Eintrag wirkt, desto strenger die Anforderungen an Richtigkeit, Aktualität und Verhältnismäßigkeit.

Ist der Schufa-Score eine automatisierte Entscheidung nach Art. 22 DSGVO?

Ja, jedenfalls mittelbar. Der Europäische Gerichtshof hat am 7. Dezember 2023 in der Rechtssache C-634/21 entschieden, dass bereits die Erstellung eines Wahrscheinlichkeitswerts durch die Schufa selbst eine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 Abs. 1 DSGVO darstellt, wenn Dritte, etwa eine Bank, ihre eigene Vertragsentscheidung maßgeblich auf diesen Score stützen. Der EuGH legt den Begriff der Ausschließlichkeit dabei bewusst weit aus. Es genügt, dass der Score im Ergebnis den Ausschlag gibt. Eine formal noch dazwischengeschaltete menschliche Prüfung der Bank ändert daran nichts, wenn diese den Score faktisch nur übernimmt.

Wie die Schufa auf dieses Urteil mit einer neuen Score-Architektur reagiert hat, steht weiter unten. Für die Löschungsfristen konkreter Einträge nach einer Privatinsolvenz, die von diesem EuGH-Urteil ebenfalls beeinflusst wurden, siehe den vertiefenden Beitrag Schufa-Eintrag nach Privatinsolvenz.

Welche Auskunft können Sie von der Schufa nach Art. 15 DSGVO verlangen?

Jede Person hat nach Art. 15 Abs. 1 DSGVO das Recht auf eine kostenlose Auskunft, welche personenbezogenen Daten die Schufa über sie verarbeitet, aus welcher Quelle sie stammen, wie lange sie gespeichert werden und an wen sie übermittelt wurden. Die Schufa stellt diese Auskunft als sogenannte Datenkopie kostenfrei online oder postalisch zur Verfügung. Kostenpflichtige Zusatzprodukte wie Bonitätsauskünfte für Dritte sind davon zu unterscheiden und für die reine Rechtswahrnehmung nicht nötig.

Der Europäische Gerichtshof hat diesen Auskunftsanspruch am 27. Februar 2025 in der Rechtssache C-203/22 erheblich gestärkt. Im Ausgangsfall ging es um die österreichische Auskunftei Dun & Bradstreet; die Grundsätze gelten für die SCHUFA gleichermaßen. Danach umfasst Art. 15 Abs. 1 lit. h DSGVO bei einer automatisierten Entscheidung im Sinne von Art. 22 DSGVO nicht nur eine abstrakte Beschreibung der verwendeten Logik, sondern eine aussagekräftige, nachvollziehbare Erläuterung, warum genau dieses Ergebnis zustande kam. Eine Auskunftei kann sich dabei nicht pauschal auf ein Geschäftsgeheimnis berufen, um die Erklärung zu verweigern. Eine solche Abwägung darf nach dem Urteil nur eine unabhängige Stelle wie eine Aufsichtsbehörde oder ein Gericht vornehmen.

Wie lassen sich fehlerhafte Schufa-Einträge berichtigen oder löschen?

Zeigt die Selbstauskunft einen fehlerhaften Eintrag, greift der Berichtigungsanspruch aus Art. 16 DSGVO. Die Schufa muss unrichtige Daten unverzüglich korrigieren, etwa wenn eine bereits beglichene Forderung noch als offen geführt wird. Ist ein Eintrag zwar richtig, aber nicht mehr rechtmäßig gespeichert, weil zum Beispiel die Speicherfrist abgelaufen ist, greift der Löschungsanspruch aus Art. 17 DSGVO.

Wie lange ein Eintrag rechtmäßig gespeichert bleiben darf, hängt stark von seiner Art ab. Der Bundesgerichtshof hat dazu am 18. Dezember 2025 (Az. I ZR 97/25) ein Urteil des OLG Köln aufgehoben und klargestellt, dass gewöhnliche, von Vertragspartnern gemeldete Zahlungsstörungsdaten nicht denselben kurzen Löschregeln unterliegen wie Einträge im öffentlichen Schuldnerverzeichnis nach § 882e ZPO. Für ausgeglichene Forderungen billigte der BGH die von der Aufsichtsbehörde genehmigte Verhaltensregel der Auskunfteien: grundsätzlich drei Jahre Speicherfrist, verkürzt auf 18 Monate, wenn die Forderung innerhalb von 100 Tagen nach der Meldung ausgeglichen wurde und keine weiteren Negativdaten hinzukamen. Eine schematisch kürzere Frist lehnte der BGH ab, ließ aber zu, dass Betroffene besondere Umstände vortragen können, die ihr Löschinteresse überdurchschnittlich stärken und im Einzelfall zu einer kürzeren Speicherdauer führen.

Für die Restschuldbefreiung nach einer Privatinsolvenz gilt dagegen eine deutlich kürzere, eigene Frist von 6 Monaten, die dieses BGH-Urteil unberührt lässt. Details und eine Musterformulierung für den Löschantrag liefert der Beitrag Restschuldbefreiung Schufa nach 6 Monaten: Musterbrief zur Löschung.

Was zeigt der Fall vor dem OLG Köln zur wiederholten Falscheintragung?

Das gerade beschriebene BGH-Urteil hob eine Entscheidung des OLG Köln vom 10. April 2025 (Az. 15 U 249/24) auf, die zuvor bundesweit Aufmerksamkeit erregt hatte. Ein Verbraucher hatte drei längst beglichene Forderungen (150 Euro, 428,27 Euro und 160,99 Euro) trotz vollständiger Zahlung weiter bei der Auskunftei gespeichert gefunden und war damit zunächst vor dem Landgericht Bonn gescheitert. Das OLG Köln gab ihm in der Berufung recht, sprach 500 Euro immateriellen Schadensersatz zu und begründete dies unter Verweis auf den EuGH (Urteil vom 7.12.2023, C-26/22) mit einer Wertung aus § 882e Abs. 3 Nr. 1 ZPO: Wie im öffentlichen Schuldnerverzeichnis dürfe auch eine private Auskunftei erledigte Forderungen nicht schematisch drei Jahre speichern. Der BGH hat diese Übertragung der 3-Jahres-Grenze im Dezember 2025 wieder zurückgenommen und die reguläre Speicherfrist bestätigt, das Signal des OLG-Köln-Falls bleibt aber bestehen: Wer eine besonders lange oder für ihn spürbar nachteilige Speicherung nachweisen kann, hat im Einzelfall bessere Chancen auf eine vorzeitige Löschung.

Welche Schadensersatzansprüche bestehen bei einem DSGVO-Verstoß der Schufa?

Wer durch eine rechtswidrige Verarbeitung seiner Daten einen materiellen oder immateriellen Schaden erleidet, kann diesen nach Art. 82 DSGVO ersetzt verlangen. Der Europäische Gerichtshof hat am 25. Januar 2024 in der Rechtssache C-687/21 klargestellt, dass Art. 82 DSGVO keine Bagatellgrenze kennt und ausschließlich eine Ausgleichsfunktion hat, keine Straf- oder Abschreckungsfunktion. Ein rein hypothetisches Missbrauchsrisiko, das sich nicht realisiert hat, reicht für einen Ersatzanspruch aber nicht aus. Es braucht einen tatsächlichen Schaden, etwa einen nachweisbaren Kontrollverlust über die eigenen Daten. Diese Linie hat der EuGH später bestätigt, in der Rechtssache C-200/23 vom 4. Oktober 2024 zu einem zeitlich begrenzten Kontrollverlust durch eine Registerveröffentlichung.

Für Schufa-Fälle bedeutet das: Wer allein einen niedrigen Score oder eine abgelehnte Kreditanfrage beklagt, hat noch keinen Anspruch. Wer aber darlegen kann, dass die Schufa unrichtige oder unrechtmäßig gespeicherte Daten trotz Kenntnis nicht korrigiert oder gelöscht hat und dadurch ein spürbarer, individueller Nachteil entstanden ist, etwa eine wiederholte Kreditablehnung wegen eines objektiv falschen Eintrags, hat eine deutlich bessere Ausgangslage.

Was ändert sich mit dem neuen Schufa-Score seit März 2026?

Am 17. März 2026 hat die Schufa einen neuen, einheitlichen Score eingeführt, der den bisherigen Basisscore und alle branchenspezifischen Einzelscores ablöst. Statt bislang über 250 möglicher Kriterien fließen nur noch zwölf klar benannte Kriterien ein, bewertet auf einer Punkteskala von 100 bis 999 statt der bisherigen Prozentwerte. Über ein Erklärungs-Tool im kostenlosen Schufa-Konto können Verbraucher einsehen, welche der zwölf Kriterien ihren persönlichen Score wie beeinflussen. Die Schufa selbst nennt das EuGH-Urteil vom Februar 2025 als einen Auslöser für diesen Umbau: Die alte, unternehmensintern gehaltene Score-Logik hielt dem gestärkten Erklärungsanspruch nicht mehr stand.

Der Auskunftsanspruch aus Art. 15 DSGVO lässt sich dadurch leichter durchsetzen, weil die Schufa selbst ein Werkzeug bereitstellt, das die Anforderungen aus dem EuGH-Urteil C-203/22 abbilden soll. Das ersetzt aber nicht die Prüfung im Einzelfall, ob die zugrunde liegenden Daten überhaupt korrekt und noch rechtmäßig gespeichert sind.

Rechtsstand: Juli 2026.

Für eine individuelle Prüfung Ihres Schufa-Eintrags erreichen Sie unsere Kanzlei unter 04202 / 6 38 37 0 oder per E-Mail an info@rechtsanwaltkaufmann.de.

Jetzt individuell beraten lassen

Die Informationen in diesem Artikel dienen allgemeinen Informationszwecken und ersetzen keine rechtliche Beratung im Einzelfall.