Lesezeit: 8 Minuten
Zusammenfassung
Ein dokumentiertes Löschkonzept nützt wenig, wenn die Daten im Testsystem weiterleben. Der aktuelle Fall ist ein guter Anlass, eine unbequeme Frage zu stellen: Wo genau liegen unsere angeblich gelöschten Daten wirklich?
Zwischen dem dokumentierten Löschkonzept und der tatsächlichen Systemlandschaft kann eine erhebliche Lücke klaffen. Sie wird häufig erst sichtbar, wenn Nebenbestände, Testumgebungen, Backups oder Replikate gezielt geprüft werden. Der Vorwurf, den die Datenschutzorganisation noyb seit dem 26. August 2026 gegen die SCHUFA erhebt, macht genau diese Lücke zum Thema, und zwar in einer Größenordnung, die sich schwer beiseiteschieben lässt.
Für Unternehmen außerhalb der Auskunfteibranche liegt die praktische Bedeutung deshalb weniger im konkreten Geschäftsmodell der SCHUFA als im möglichen Risikomuster dahinter. Interessant ist das Muster dahinter, weil es in mittelständischen IT-Landschaften genauso vorkommt wie bei einem Konzern mit Daten zu 69 Millionen Menschen.
Was noyb der SCHUFA konkret vorwirft
noyb hat der SCHUFA am 26. August 2026 eine zivilrechtliche Abmahnung zugestellt und für den Fall, dass die Auskunftei nicht einlenkt, eine Unterlassungsklage angekündigt. Inhaltlich geht es um zwei Punkte: Daten sollen über die selbst gesetzten Speicherfristen hinaus vorgehalten und dort weiterhin verarbeitet werden, unter anderem für Testzwecke und Score-Validierungen bei Kunden. Außerdem sollen Betroffene bei einem Auskunftsersuchen nach Artikel 15 DSGVO keine Kopie dieser historischen Daten erhalten. noyb beziffert die Zahl der jährlich unvollständig beantworteten Auskunftsersuchen auf rund 1,6 Millionen und hat eine Interessentenliste für eine spätere Sammelklage auf immateriellen Schadenersatz eröffnet. Diese Angaben beruhen auf der Darstellung von noyb und sind nicht gerichtlich festgestellt.
Ausgangspunkt waren Recherchen von NDR und Süddeutscher Zeitung vom 15. Juli 2026, die den Begriff „Schattendatenbank“ geprägt haben. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit prüft den Sachverhalt nach Angaben der Behörde bereits seit dem Frühjahr 2025, ohne dass bislang ein Ergebnis vorliegt.
Zur sauberen Einordnung gehören drei Dinge. Es handelt sich um eine zivilrechtliche Abmahnung durch einen anerkannten Verbraucherschutzverband, nicht um ein Bußgeld und nicht um eine Maßnahme einer Aufsichtsbehörde. Die Vorwürfe sind Stand 26. August 2026 Behauptungen von noyb und weder aufsichtsbehördlich noch gerichtlich bestätigt. Die SCHUFA weist die Vorwürfe öffentlich zurück der: In ihrer Stellungnahme zum eigenen Datenbestand argumentiert sie, die historischen Daten seien vom produktiven Bestand getrennt und flössen nicht in die Bonitätsbewertung von Verbraucherinnen und Verbrauchern ein. Ihr Rechtsbeistand verweist darauf, dass die
Tests der Überprüfung der Richtigkeit der Scores dienen und damit einen legitimen Zweck verfolgen. Wie das rechtlich ausgeht, ist offen. Das zugrunde liegende Risikomuster ist davon unabhängig praxisrelevant.
„Ausblenden“ und „Kappen“ sind dasselbe Argument
Die SCHUFA beschreibt den Umgang mit abgelaufenen Datensätzen damit, dass diese ausgeblendet werden. Sie erscheinen danach nicht mehr in der Auskunft, bestehen aber im System fort. Fast wortgleich argumentierte die Deutsche Wohnen SE in ihrem Bußgeldverfahren: Die beanstandeten Mieterdaten seien im maßgeblichen Zeitraum bereits gekappt gewesen, also gesperrt und gegen unbefugten Zugriff gesichert.
Das ist der eigentliche Kern des Themas. In sehr vielen Unternehmen bedeutet „gelöscht“ im Sprachgebrauch der IT: nicht mehr sichtbar. Ein Datensatz bekommt ein Kennzeichen, verschwindet aus der Anwendungsoberfläche und aus allen Auswertungen, die auf dieser Oberfläche aufsetzen. Physisch liegt er weiter in der Datenbank, in jedem Backup dieser Datenbank und in jeder Kopie, die daraus einmal gezogen wurde.
Die DSGVO kennt diesen Zustand durchaus, aber unter einem anderen Namen. Die Einschränkung der Verarbeitung nach Artikel 18 DSGVO ist ein eigenes, zulässiges Instrument, etwa während einer laufenden Richtigkeitsprüfung oder solange Aufbewahrungspflichten der Löschung entgegenstehen. Sie ist nur unter bestimmten Voraussetzungen zulässig, muss dokumentiert werden und darf nur so lange fortbestehen, wie der zugrunde liegende Zweck besteht. Sie ist daher kein Dauerzustand, der die Löschung nach Artikel 17 DSGVO ersetzt, sobald der Verarbeitungszweck entfallen ist.
Wer im eigenen Haus prüfen will, wie belastbar das Löschkonzept ist, stellt am besten diese Frage: Für welche Datenarten haben wir eine echte Löschroutine, und für welche haben wir nur ein Sichtbarkeitskennzeichen? Erfahrungsgemäß fällt die Antwort deutlich unangenehmer aus als erwartet, und zwar nicht wegen fehlender Sorgfalt, sondern weil Löschkonzepte meist entlang von Datenarten und Aufbewahrungsfristen geschrieben werden, während gelöscht werden muss entlang von Systemen. Die DIN 66398 sieht genau deshalb zwei Arbeitsschritte vor: Löschklassen bilden und diese Löschklassen anschließend den einzelnen Systemen zuordnen. Der zweite Schritt bleibt in der Praxis regelmäßig liegen.
Was der Fall Deutsche Wohnen für die Bewertung zeigt
Die Berliner Datenschutzaufsicht stellte 2017 bei einer Vor-Ort-Prüfung fest, dass das Archivsystem der Deutsche Wohnen SE keine Möglichkeit vorsah, nicht mehr benötigte Mieterdaten zu entfernen. Bei der Nachprüfung im März 2019 hatte sich daran nichts geändert, im Oktober 2019 folgte ein Bußgeldbescheid über rund 14,5 Millionen Euro.
Nach einer zwischenzeitlichen Befassung des EuGHs mit den Voraussetzungen einer unmittelbaren Verbandshaftung reduzierte das Landgericht Berlin I mit Urteil vom 9. Juni 2026 das ursprünglich festgesetzte Bußgeld auf 900.000 Euro (Az. 526 OWi LG 1/20). Das Urteil ist noch nicht rechtskräftig.
Die deutliche Reduzierung betraf die Bemessung, nicht den Befund. Das Gericht sah einen Verstoß gegen die DSGVO als gegeben an. Für die Praxis bleibt daraus die Erkenntnis, die unabhängig vom weiteren Verfahrensgang trägt:
Ein System, das keine Löschung vorsieht, ist selbst dann ein struktureller Verstoß gegen Datenminimierung und Speicherbegrenzung, wenn die Daten nachweislich niemandem geschadet haben und gegen Zugriffe abgesichert waren. Das Argument, die Daten seien gesperrt gewesen, hat den Verstoß nicht ausgeräumt.
Das Auskunftsrecht ist ein zweites, eigenständiges Risiko
Die Speicherfrage und der Auskunftsanspruch sind rechtlich getrennt zu prüfen. Eine Auskunft nach Artikel 15 DSGVO muss sämtliche verarbeiteten personenbezogenen Daten umfassen, die der Verantwortliche über die betroffene Person verarbeitet. Der EuGH hat in seinem Urteil vom 4. Mai 2023 in der Rechtssache C-487/21 klargestellt, dass die Kopie nach Artikel 15 Absatz 3 DSGVO eine originalgetreue und verständliche Reproduktion der verarbeiteten Daten sein muss.
Daraus folgt eine unangenehme Konsequenz: Selbst wenn sich die Speicherung historischer Daten am Ende als rechtmäßig erweist ,kann ihr Fehlen in einer Auskunft nach Art. 15 DSGVO zu einer Unvollständigkeit führen. Der Auskunftsverstoß steht rechtlich auf eigenen Füßen. In der Praxis kann der Auskunftsprozess auf produktive Systeme beschränkt sein, obwohl weitere relevante Bestände existieren.
Beim Schadenersatz ist Zurückhaltung angebracht, auch wenn die Zahlen in den Schlagzeilen groß klingen. noyb hält nach eigener Darstellung einen immateriellen Schadenersatz im Bereich von 500 Euro pro Person für denkbar. Der EuGH hat mit Urteil vom 4. Mai 2023 (Rechtssache C-300/21) entschieden, dass ein Verstoß gegen die DSGVO allein keinen Schadenersatzanspruch begründet, sondern ein tatsächlich eingetretener Schaden dargelegt werden muss. Die praktische Relevanz für Unternehmen liegt deshalb weniger im einzelnen Anspruch als im Multiplikator, sobald ein Verband die Fälle bündelt.
Am Rande und für die Planung nicht unwichtig: Der Datenschutzteil des Digital Omnibus, der unter anderem eine Missbrauchsklausel für Auskunftsersuchen in Artikel 12 DSGVO vorsieht, befindet sich Stand 26. August 2026 noch im Gesetzgebungsverfahren. Rat und die federführenden Ausschüsse des Parlaments haben Positionen beschlossen, geltendes Recht ist die Änderung nicht. Und selbst wenn sie kommt, zielt sie auf zweckwidrig gestellte Anfragen, nicht auf systematisch unvollständige Antworten.
Was Unternehmen prüfen sollten
Löschkonzept gegen die reale Systemlandschaft abgleichen
Nehmen Sie das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO und die Liste der tatsächlich betriebenen Systeme nebeneinander, ausdrücklich einschließlich Test-, Entwicklungs-, Backup- und Analyseumgebungen. Für jedes System braucht es eine Antwort auf die Frage, welche Löschklasse dort greift und ob sie technisch implementiert oder nur beschrieben ist. Systeme ohne belegbare Löschroutine gehören auf eine Liste mit Verantwortlichem und Termin, nicht in eine Fußnote.
Test- und Trainingsdatenbestände inventarisieren
Klären Sie, ob in Test-, Schulungs- oder Modellierungsumgebungen produktive personenbezogene Daten über die Löschfrist hinaus liegen, und wie diese Bestände entstanden sind. In vielen Häusern gibt es dafür keinen dokumentierten Prozess,
sondern eine gewachsene Praxis einzelner Teams. Falls Pseudonymisierung oder Anonymisierung im Raum steht, ist sorgfältig zu prüfen, ob die Daten den Personenbezug wirklich verloren haben oder ob nur ein Klarname durch eine ID ersetzt wurde.
Auskunftsprozess auf Vollständigkeit prüfen
Der schnellste Test dauert einen Nachmittag: Nehmen Sie die letzte erteilte Auskunft nach Artikel 15 DSGVO und rekonstruieren Sie, welche Systeme dafür abgefragt wurden. Vergleichen Sie das Ergebnis mit der Systemliste aus dem ersten Schritt. Jede Differenz ist ein potenzieller Auskunftsverstoß, und zwar unabhängig davon, ob die Speicherung in dem betreffenden System rechtmäßig ist oder nicht.
Wo es um konkrete Aufbewahrungspflichten, Löschfristen einzelner Datenarten oder um die Bewertung eines bereits eingetretenen Auskunftsfehlers geht, sollte die Einschätzung anwaltlich abgesichert werden. Für die drei Schritte oben braucht es das nicht, sondern Zugriff auf die eigene Systemlandschaft und die Bereitschaft, eine unbequeme Antwort auszuhalten.
Der SCHUFA-Fall wird die Gerichte noch eine Weile beschäftigen. Die Frage, die er aufwirft, lässt sich im eigenen Haus deutlich schneller beantworten.
