Die Schufa will notfalls bis zum BGH — in Österreich ist genau dieser Streit schon weiter

Seit dem Sommer steht die Schufa unter Druck: Sie bewahrt alte Kreditdaten deutlich länger auf, als viele Verbraucher vermuten. Die Datenschutzorganisation noyb hat sie abgemahnt, die Schufa weigert sich — und kündigt an, notfalls bis zum Bundesgerichtshof zu gehen. Was dabei herauskommt, lässt sich erstaunlich gut abschätzen. Denn dieselbe Organisation führt denselben Streit in Österreich, und dort läuft er seit fünf Jahren.

Worum es in Deutschland geht

Im Juli 2026 wurde durch eine gemeinsame Recherche von Süddeutscher Zeitung, NDR und WDR bekannt, dass die Schufa historische Daten — etwa zu abgeschlossenen Krediten, Pfändungen oder Privatinsolvenzen — bis zu zehn Jahre lang aufbewahrt. Betroffene erfahren davon in der Regel nichts, auch nicht in ihrer Datenkopie.

Die europäische Datenschutzorganisation noyb mahnte die Schufa daraufhin im August ab und forderte eine Unterlassungserklärung. Die Schufa lehnte ab — mit einem 26 Seiten langen Anwaltsschreiben. Ihre Begründung: Sie speichere die Daten gerade deshalb, um gesetzliche und regulatorische Anforderungen zu erfüllen, und benötige sie, um Bonitätsbewertungen wissenschaftlich zu überprüfen. Die Fristen seien mit den Datenschutzbehörden abgestimmt. noyb wiederum hält die Argumente für abwegig und hat eine Unterlassungsklage angekündigt. Eine spätere Sammelklage auf Schadenersatz schließt die Organisation ausdrücklich nicht aus; Interessierte können sich dafür vormerken lassen.

Welche Aufbewahrungspflicht ist eigentlich gemeint?

An dieser Begründung fällt etwas auf: Eine konkrete Vorschrift nennt die Schufa nicht. Es bleibt bei „gesetzlichen und regulatorischen Anforderungen“ und bei Fristen, die man mit den Aufsichtsbehörden abgestimmt habe.

Die Aufbewahrungspflichten, die den meisten Unternehmen geläufig sind, helfen hier nicht weiter. Handelsgesetzbuch und Abgabenordnung verlangen, Handelsbücher, Inventare, Jahresabschlüsse und Buchungsbelege zehn Jahre lang aufzubewahren — also die eigenen kaufmännischen Unterlagen eines Unternehmens. Eine Datenbank mit Bonitätsmerkmalen von Millionen Verbrauchern gehört nicht dazu.

Auch der Verweis auf die mit den Datenschutzbehörden abgestimmten Fristen trägt nicht ohne Weiteres: Die Verhaltensregeln der deutschen Wirtschaftsauskunfteien legen fest, wann Daten gelöscht werden müssen — etwa drei Jahre nach Erledigung einer Forderung. Das sind Obergrenzen, keine Verpflichtungen zur Speicherung.

Das zweite Argument der Schufa ist gewichtiger: Wer Bonitätsbewertungen erstellt, muss nach dem Bundesdatenschutzgesetz ein wissenschaftlich anerkanntes Verfahren verwenden — und um ein solches Modell zu überprüfen, braucht man Daten darüber, wie sich Kreditverhältnisse tatsächlich entwickelt haben. Das ist allerdings keine Aufbewahrungspflicht, sondern die Behauptung, die Speicherung sei erforderlich. Und daran schließt die eigentliche Frage an, die Gerichte zu klären haben werden: Ließen sich Scoring-Modelle nicht ebenso gut mit anonymisierten Daten überprüfen? Wenn ja, wäre eine personenbezogene Speicherung nach dem Grundsatz der Datenminimierung nicht zu rechtfertigen.

Dass ein „wir brauchen diese Daten“ nicht automatisch überzeugt, hat die Schufa bereits erfahren: Der Europäische Gerichtshof entschied 2023, dass sie Informationen über eine erteilte Restschuldbefreiung nicht länger speichern darf als das öffentliche Insolvenzregister — dort sind es sechs Monate.

Beide Seiten steuern also auf ein Verfahren zu, das Jahre dauern kann.

Dieselbe Organisation, dieselben Vorwürfe — in Österreich seit 2021

Was in Deutschland gerade beginnt, hat in Österreich eine lange Vorgeschichte. noyb hat seinen Sitz in Wien und geht dort seit 2021 gegen die beiden großen Auskunfteien vor: den Kreditschutzverband KSV1870 und CRIF.

Die Parallelen sind auffällig. 2023 untersagte die österreichische Datenschutzbehörde dem KSV1870, Daten aus Auskunftsersuchen von Verbrauchern und aus dem Melderegister in die eigene Wirtschaftsdatenbank zu übernehmen — im Kern derselbe Vorwurf wie hierzulande: Daten, die zu einem anderen Zweck angefallen sind, landen in der Bonitätsbewertung. Im September 2025 untersagte dieselbe Behörde dem KSV1870 zusätzlich die vollautomatisierte Bonitätsbewertung.

Klingt nach einer Serie von Niederlagen für die Auskunfteien. Das Bild trügt.

Was nach fünf Jahren tatsächlich feststeht

Rechtskräftig entschieden ist in Österreich bis heute erstaunlich wenig.

Die Untersagung der vollautomatisierten Bonitätsbewertung von 2025 ist nicht rechtskräftig: Beide Seiten haben sie angefochten, das Verfahren liegt beim Bundesverwaltungsgericht. Ein ganzer Strang von Verfahren rund um das Auskunftsrecht gegenüber CRIF wurde im Juni 2026 vom Verwaltungsgerichtshof an die Vorinstanz zurückverwiesen und beginnt dort praktisch von vorn. Und in einem weiteren Fall entschied das Bundesverwaltungsgericht im März 2026 sogar gegen den betroffenen Verbraucher: Eine rein intern berechnete Bonitätsbewertung, die nach außen keine Wirkung entfaltet, sei keine automatisierte Entscheidung im Sinne der Datenschutz-Grundverordnung — der Verwaltungsgerichtshof wies die Revision dagegen im Mai zurück.

Der Weg über die Datenschutzbehörde hat also in acht Jahren DSGVO kaum ein endgültiges Ergebnis gebracht.

Das eine höchstrichterliche Urteil — und warum es in beide Richtungen schneidet

Anders sieht es auf dem Zivilrechtsweg aus. Am 12. August 2026 entschied der österreichische Oberste Gerichtshof gleich in drei Verfahren gegen CRIF. Das Unternehmen hatte Namen, Adressen und Geburtsdaten von einem Adressverlag zugekauft — Daten, die ursprünglich für Werbezwecke erhoben worden waren — und sie für Bonitätsbewertungen verwendet. Das, so der Gerichtshof, ist mit dem ursprünglichen Zweck nicht vereinbar. Damit rechne niemand vernünftigerweise. CRIF darf Dritten insoweit keinen Zugriff mehr auf diese Daten gewähren.

In den Schlagzeilen kam das als klarer Sieg der Datenschützer an. Der Volltext erzählt eine zweite Hälfte, die seltener zitiert wird: Die Kläger hatten außerdem angegriffen, dass CRIF überhaupt Bonitätsbewertungen erstellt, ohne über konkrete Zahlungserfahrungen zu verfügen. Damit kamen sie nicht durch. Der Gerichtshof hält dieses Geschäftsmodell für zulässig — unter anderem mit dem Argument, dass nur ein sehr kleiner Teil der Bevölkerung überhaupt negative Zahlungserfahrungen aufweist und für alle übrigen sonst gar keine Auskunft möglich wäre.

Das Ergebnis ist also kein Verbot des Scorings, sondern eine Korrektur bei der Datenbeschaffung. CRIF selbst erklärt, die beanstandete Praxis bereits im Oktober 2023 beendet zu haben.

Und die Sammelklage?

noyb hat im Juni 2026 eine Unterlassungsklage gegen CRIF eingebracht; sie liegt in erster Instanz. Die eigentliche Sammelklage auf Schadenersatz — im Gespräch sind rund 500 Euro pro Person — ist bisher nicht eingebracht. Betroffene können sich registrieren, die Teilnahme kostet vorab eine Gebühr. noyb selbst kündigt einen längeren Rechtsstreit über mehrere Instanzen an.

Was das für Verbraucher in Deutschland bedeutet

Aus Österreich lässt sich keine Vorhersage über den Ausgang des deutschen Verfahrens ableiten. Österreichische Entscheidungen binden deutsche Gerichte nicht, und die Fälle unterscheiden sich in Details.

Was sich ableiten lässt, ist etwas anderes: Diese Verfahren dauern. Fünf Jahre nach der ersten Beschwerde ist in Österreich ein einziges Urteil rechtskräftig, und es fällt differenzierter aus, als die Schlagzeilen vermuten lassen. Wer darauf wartet, dass Gerichte klären, was über ihn gespeichert werden darf, wartet vermutlich sehr lange.

Die praktische Konsequenz ist unspektakulär, aber wirksam: selbst nachsehen. Die Datenkopie nach Artikel 15 DSGVO steht jedem zu, sie ist kostenlos, und sie zeigt, welche Einträge tatsächlich vorliegen. Erst wer weiß, was gespeichert ist, kann falsche oder veraltete Einträge überhaupt beanstanden — und braucht dafür kein laufendes Verfahren abzuwarten.