Schufa
Die SCHUFA Holding AG ist als private Wirtschaftsauskunftei Teil eines kreditwirtschaftlichen Frühwarnsystems. Ihre Tätigkeit besteht in der Speicherung und Übermittlung bonitätsrelevanter Daten, die Grundlage von Scoring-Verfahren zur Einschätzung der Kreditwürdigkeit natürlicher Personen sind, (LG Karlsruhe, 02.08.2019, Az.: 8 O 26/19). Rechtsgrundlage für die Datenverarbeitung ist primär die Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 5 und Art. 6 DSGVO, ergänzt durch das Bundesdatenschutzgesetz (§ 31 BDSG), sowie branchenspezifische Verhaltensregeln nach Art. 40 DSGVO, (BGH, 18.12.2025, Az.: I ZR 97/25).
I. Rechtsgrundlagen und Grundvoraussetzungen des SCHUFA-Vorgangseintrags
Ein SCHUFA-Vorgangseintrag ist rechtlich eine Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 1 und 2 DSGVO, (BGH, 18.12.2025, Az.: I ZR 97/25). Seine Zulässigkeit richtet sich nach drei kumulativen Grundvoraussetzungen des Art. 6 Abs. 1 lit. f DSGVO:
Erstens muss ein berechtigtes Interesse der SCHUFA oder ihrer Vertragspartner an der Datenverarbeitung bestehen. Als solche gelten insbesondere das Interesse an Schutz vor zahlungsunfähigen oder zahlungsunwilligen Schuldnern, an einem funktionierenden Kreditinformationssystem und an der Vermeidung von Überschuldung, (LG Wiesbaden, 19.02.2025, Az.: 3 O 269/24).
Zweitens muss die Datenverarbeitung zur Verwirklichung dieses Interesses erforderlich sein. Gefordert wird, dass kein gleich geeignetes, die Betroffenen weniger belastendes Mittel zur Verfügung steht, und dass insbesondere der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) gewahrt bleibt, (BGH, 18.12.2025, Az.: I ZR 97/25).
Drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. Diese Abwägung bildet den Kern der Zulässigkeitsprüfung
II. Löschfristen für SCHUFA-Einträge und „Kulanzregelungen“
Während das alte Bundesdatenschutzgesetz noch konkrete Löschfristen von drei Jahren für bestimmte Negativeinträge vorsah, enthält die DSGVO – wie die Rechtsprechung betont – keine ausdrücklichen Speicherfristen für Wirtschaftsauskunfteien, (VG Karlsruhe, 06.07.2017, Az.: 10 K 7698/16). Art. 5 Abs. 1 lit. e DSGVO statuiert lediglich den Grundsatz der Speicherbegrenzung, wonach personenbezogene Daten nicht länger als erforderlich für die Zwecke, für die sie verarbeitet werden, gespeichert werden dürfen, (BGH, 18.12.2025, Az.: I ZR 97/25). Der Erwägungsgrund 39 DSGVO verlangt vom Verantwortlichen eine Datenlöschkonzeption mit angemessenen Fristen für Löschung oder regelmäßige Überprüfung, (VG Karlsruhe, 06.07.2017, Az.: 10 K 7698/16).
Vor diesem Hintergrund haben die deutschen Wirtschaftsauskunfteien unter Federführung des Verbandes der Wirtschaftsauskunfteien e.V. Verhaltensregeln für Prüf- und Löschfristen („Code of Conduct“) nach Art. 40 DSGVO entwickelt, (LG Hagen, 26.08.2025, Az.: 4 O 349/24). Diese Verhaltensregeln sehen für Negativeinträge über Zahlungsstörungen in der Regel eine dreijährige Speicherdauer nach Erledigung der Forderung vor, (LG Hagen, 26.08.2025, Az.: 4 O 349/24). Die Rechtsprechung erkennt diese Fristen weitgehend als angemessenen typisierten Interessenausgleich an und lässt sie als Orientierung für die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO zu, (BGH, 18.12.2025, Az.: I ZR 97/25).
Die in der Praxis häufig diskutierten „Kulanzregelungen“ der SCHUFA – etwa die vorzeitige Löschung bestimmter erledigter Forderungen nach 6 oder 12 Monaten – besitzen keine ausdrückliche gesetzliche Grundlage, sondern beruhen auf unternehmensinternen Richtlinien und Selbstverpflichtungen im Rahmen des Code of Conduct. Gerichte behandeln solche Kulanzlösungen als faktische Praxis, jedoch nicht als rechtlich durchsetzbare Ansprüche, (LG Hagen, 26.08.2025. Az.: 4 O 349/24).
III. Güter- und Interessenabwägung: Datenschutz vs. Kreditwirtschaft
Kern jeder Entscheidung über SCHUFA-Einträge ist die Güter- und Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO. Auf Seite der Betroffenen steht das durch Art. 7 und 8 der EU-Grundrechtecharta gewährleistete Recht auf Achtung des Privatlebens und Schutz personenbezogener Daten, in Deutschland als Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG konkretisiert. Auf der Gegenseite befinden sich die wirtschaftlichen Interessen der SCHUFA und ihrer Vertragspartner sowie öffentliche Interessen an einem funktionierenden Kreditwesen. Auf der Ebene des Einzelfalls hängt das Ergebnis der Abwägung jedoch maßgeblich von folgenden Faktoren ab:
Art der Daten: Positivdaten greifen weniger schwer in die Rechte der Betroffenen ein als Negativdaten über Zahlungsstörungen. Daher wird deren Übermittlung häufiger als zulässig angesehen, (LG Oldenburg, 03.07.2024, Az.: 5 O 2960/23). Negativdaten wiegen besonders schwer und können schneller zu einem Überwiegen der Betroffeneninteressen führen, insbesondere nach Tilgung oder Restschuldbefreiung.
Dauer der Speicherung: Je länger ein Eintrag gespeichert bleibt, desto stärker wiegt der Eingriff. Zwar gelten dreijährige Speicherfristen im Lichte des Code of Conduct vielfach als noch angemessen, (OLG Brandenburg, 26.05.2023, Az.: 7 U 166/22).
Verhalten des Schuldners: Die Gerichte berücksichtigen, ob der Betroffene nur einmalig und geringfügig in Verzug geraten oder ob über längere Zeiträume wiederholt nicht gezahlt hat, (OLG Frankfurt am Main, 18.06.2008, Az.: 23 U 221/07).
Transparenz und Betroffenenrechte: Auskunfteien müssen die Betroffenen informieren und ihnen nach Art. 15 DSGVO Auskunft sowie nach Art. 16, 17 DSGVO Anspruch auf Berichtigung und Löschung unrichtiger oder unrechtmäßig verarbeiteter Daten einräumen, (LG Oldenburg, 03.07.2024, Az.: 5 O 2960/23).
IV. Rechtsfolgen rechtswidriger SCHUFA-Einträge
Primäre Anspruchsgrundlage ist Art. 17 Abs. 1 lit. d DSGVO, der einen Löschungsanspruch vorsieht, wenn die Datenverarbeitung unrechtmäßig ist, (OLG Stuttgart, 16.04.2025, AZ.: 9 U 138/24).
Daneben wird das Datenschutzrecht häufig mit zivilrechtlichen Ansprüchen kombiniert. In älterer und auch neuerer Rechtsprechung werden §§ 823, 1004 BGB analog i.V.m. dem allgemeinen Persönlichkeitsrecht und den datenschutzrechtlichen Normen als Grundlage für Unterlassungs- und Beseitigungsansprüche herangezogen, (OLG Frankfurt am Main, 18.06.2008, Az.: 23 U 221/07).
Daneben bestehen Ansprüche auf immateriellen Schadensersatz gemäß Art. 82 DSGVO, wenn die unzulässige Datenverarbeitung zu einem persönlichen, wirtschaftlichen oder reputationsbezogenen Schaden führt, (LG Oldenburg, 03.07.2024, Az.: 5 O 2960/23).
Eine besondere Rolle spielt schließlich der Anspruch auf Berichtigung (Art. 16 DSGVO) bei inhaltlich falschen Einträgen, (OLG Braunschweig, 12.02.2016, Az.: 2 U 59/15).
