Schufa-Streit um Datenspeicherung: Lehren für KMU
Worum es in dem Streit geht
Auslöser ist eine Beschwerde von Noyb, der Organisation des österreichischen Datenschutzaktivisten Max Schrems. Der Vorwurf: Die Schufa soll historische Verbraucherdaten auch dann noch vorhalten, wenn diese laut den eigentlich geltenden Fristen längst hätte gelöscht werden müssen. Noyb hatte der Schufa eine Frist gesetzt, um dazu Stellung zu beziehen. Diese Frist ist inzwischen abgelaufen, und die Schufa hat reagiert, allerdings nicht mit einer Entschuldigung oder einer Ankündigung, die Praxis zu ändern, sondern mit einer Rechtfertigung. Aus Sicht der Schufa ist die Speicherung der historischen Daten offenbar rechtmäßig und notwendig.
Was genau diese Rechtfertigung im Detail beinhaltet, ist öffentlich nicht bis in jede Einzelheit bekannt. Klar ist aber die Grundkonstellation: Eine der wichtigsten Auskunfteien Deutschlands steht im Verdacht, personenbezogene Daten länger zu speichern, als es die Betroffenen erwarten würden, und weist diesen Verdacht öffentlich zurück. Der Streit dürfte damit noch nicht beendet sein, denn Noyb ist bekannt dafür, solche Fälle notfalls vor Gericht oder vor die zuständigen Datenschutzbehörden zu bringen.
Warum Löschfristen überhaupt ein Streitthema sind
Die Datenschutz-Grundverordnung verlangt von jedem, der personenbezogene Daten verarbeitet, dass diese nicht länger aufbewahrt werden, als es für den jeweiligen Zweck erforderlich ist. Das klingt einfach, ist es in der Praxis aber selten. Denn viele Unternehmen, und dazu gehört auch eine Auskunftei wie die Schufa, haben mehrere Gründe, Daten aufzubewahren: die eigentliche Geschäftsgrundlage, gesetzliche Aufbewahrungspflichten, die Nachvollziehbarkeit früherer Entscheidungen und nicht zuletzt die eigene Absicherung gegenüber Rückfragen oder Beschwerden.
Genau in diesem Spannungsfeld bewegt sich der aktuelle Fall. Wenn eine Organisation Daten aufbewahrt, die aus ihrer Sicht noch gebraucht werden, aus Sicht der Betroffenen aber längst hätten gelöscht sein müssen, prallen zwei legitime Interessen aufeinander. Die Frage, wer hier im Recht ist, lässt sich oft nicht ohne Weiteres beantworten, sie hängt von der genauen Rechtsgrundlage, der Zweckbindung und im Zweifel von einer gerichtlichen oder behördlichen Klärung ab.
Für Unternehmen außerhalb der Auskunfteibranche ist das trotzdem relevant. Denn im Kern geht es um eine Frage, die praktisch jeder Betrieb beantworten muss, der irgendwann einmal Kundendaten, Bewerberdaten oder Vertragsdaten gespeichert hat: Wie lange darf, muss oder sollte ich diese Daten behalten, und wie stelle ich sicher, dass sie danach auch tatsächlich gelöscht werden?
Das Reputationsrisiko ist oft größer als das juristische Risiko
Ein Punkt, der bei solchen Fällen häufig unterschätzt wird: Selbst wenn sich am Ende herausstellt, dass die beanstandete Praxis rechtlich zulässig war, bleibt in der öffentlichen Wahrnehmung oft der Begriff hängen, mit dem der Vorwurf formuliert wurde, in diesem Fall das Wort Schattendatenbank. Ein solcher Begriff erzeugt sofort das Bild einer heimlichen, unkontrollierten Datensammlung, ganz unabhängig davon, ob das inhaltlich zutrifft.
Für ein mittelständisches Unternehmen ist die Lehre daraus eindeutig: Datenschutzfragen sind längst nicht mehr nur ein juristisches Thema, sondern ein Vertrauensthema. Kunden, Geschäftspartner und auch die eigene Belegschaft reagieren empfindlich, wenn der Eindruck entsteht, dass mit ihren Daten nicht sauber umgegangen wird. Ein Imageschaden lässt sich schwerer reparieren als ein Bußgeld, und er trifft kleinere Unternehmen oft härter als einen Konzern, weil das Vertrauen in einen lokalen Anbieter oder einen Dienstleister persönlicher ist.
Hinzu kommt: Anders als die Schufa, die über eine eigene Rechtsabteilung und jahrelange Erfahrung im Umgang mit Datenschutzbeschwerden verfügt, haben die meisten kleinen und mittleren Unternehmen weder die Ressourcen noch die Routine, um im Ernstfall schnell und überzeugend Stellung zu beziehen. Wer im eigenen Betrieb nicht genau weiß, welche Daten wie lange gespeichert werden, gerät bei einer Beschwerde oder Prüfung schnell in eine schwache Verteidigungsposition.
Wie Bonitätsdaten und Kundendaten im Mittelstand typischerweise entstehen
Viele Mittelständler denken bei Bonitätsprüfung zunächst nur an den B2C-Handel oder an Vermieter, die vor Vertragsabschluss eine Schufa-Auskunft einholen. Tatsächlich betrifft das Thema deutlich mehr Betriebe: Handwerksbetriebe, die auf Rechnung liefern, Onlineshops mit Ratenkaufoptionen, B2B-Händler, die Zahlungsziele einräumen, oder Dienstleister, die vor größeren Aufträgen die Bonität eines neuen Geschäftspartners prüfen lassen.
In all diesen Fällen entstehen Datensätze, die personenbezogene oder unternehmensbezogene Informationen enthalten, oft über Jahre hinweg gesammelt aus Anfragen, abgeschlossenen Verträgen, Mahnverfahren oder eben Bonitätsauskünften Dritter. Und genau hier liegt die Parallele zum Schufa-Fall: Wer diese Daten sammelt, muss auch wissen, wann sie gelöscht werden müssen, und muss diesen Prozess technisch und organisatorisch tatsächlich umsetzen, nicht nur auf dem Papier in der Datenschutzerklärung.
Die Erfahrung aus vielen Projekten zeigt, dass genau an dieser Stelle die größte Lücke klafft. Eine Datenschutzerklärung, die Löschfristen nennt, findet sich fast überall. Ob diese Fristen aber tatsächlich technisch durchgesetzt werden, also ob alte Datensätze nach Ablauf der Frist automatisch oder zumindest regelmäßig gelöscht oder anonymisiert werden, ist in vielen Betrieben ungeklärt. Häufig liegen Kundendaten seit Jahren unangetastet in CRM-Systemen, Warenwirtschaftslösungen oder alten Excel-Listen, ohne dass jemals eine Löschprüfung stattgefunden hat.
Was das für den Mittelstand bedeutet
Der Schufa-Fall ist ein guter Anlass, die eigene Datenhaltung einmal grundsätzlich zu prüfen, statt nur darauf zu warten, dass eine Behörde oder ein Kunde eine Anfrage stellt. Konkret bedeutet das:
Zunächst sollte jedes Unternehmen einen Überblick darüber haben, welche personenbezogenen Daten überhaupt an welcher Stelle gespeichert werden. Das betrifft nicht nur die offensichtlichen Systeme wie das CRM oder die Buchhaltung, sondern auch E-Mail-Postfächer, Cloud-Speicher, alte Backups und mitunter auch Systeme, die schon lange nicht mehr aktiv genutzt werden, aber weiterlaufen. Wer hier den Überblick verloren hat, sollte eine strukturierte Bestandsaufnahme machen, bevor irgendetwas gelöscht oder verändert wird.
Darauf aufbauend braucht es klare, dokumentierte Löschfristen für jede Datenkategorie, orientiert an den tatsächlichen gesetzlichen Vorgaben und dem konkreten Verarbeitungszweck. Diese Fristen sollten nicht nur in der Datenschutzerklärung stehen, sondern intern als verbindliche Regel hinterlegt sein, idealerweise mit einem Verantwortlichen, der die Umsetzung überwacht.
Ein wichtiger Schritt danach ist, diese Löschfristen technisch umzusetzen, statt sich auf manuelle Kontrolle zu verlassen. Viele Systeme bieten automatische Archivierungs- oder Löschfunktionen, die schlicht nicht aktiviert sind, weil sich noch niemand mit der Konfiguration beschäftigt hat. Wer unsicher ist, wie die eigene Software-Landschaft in diesem Punkt aufgestellt ist, sollte das im Rahmen einer Prüfung der eigenen IT-Sicherheit klären lassen, denn Löschkonzepte hängen eng mit dem Thema Zugriffsschutz und Datenklassifizierung zusammen.
Für Unternehmen, deren Server und Datenbanken nicht mehr im eigenen Haus stehen, lohnt sich außerdem ein Blick darauf, wie der Hosting-Partner mit Backups und Datenaufbewahrung umgeht. Über Managed Hosting lässt sich sicherstellen, dass Löschprozesse nicht nur in der Live-Datenbank greifen, sondern auch in Backup-Zyklen berücksichtigt werden, denn eine gelöschte Kundenakte, die in einem drei Jahre alten Backup weiterlebt, ist im Streitfall genauso ein Problem wie eine gar nicht gelöschte.
Wer im Zuge der EU-Richtlinie NIS2 ohnehin gerade seine IT-Prozesse überarbeitet, sollte das Thema Datenlöschung direkt mitdenken. Unsere Einordnung unter NIS2 & IT-Sicherheit für KMU zeigt, welche organisatorischen Pflichten damit verbunden sind und wie sich Datenschutz und IT-Sicherheit sinnvoll gemeinsam angehen lassen, statt sie als zwei getrennte Baustellen zu behandeln.
Schließlich hilft ein regelmäßiger, unabhängiger Blick von außen. Ein Website-Audit deckt zum Beispiel häufig auf, dass alte Kontaktformulare, Newsletter-Anmeldungen oder Bestellhistorien Daten sammeln, die nirgendwo dokumentiert sind und entsprechend auch nicht in einem Löschkonzept auftauchen. Solche blinden Flecken sind in der Praxis viel häufiger als bewusst falsches Verhalten, aber die Konsequenzen im Ernstfall sind ähnlich unangenehm.
Die Kommunikation im Ernstfall vorbereiten
Neben der technischen und organisatorischen Seite lohnt sich ein Blick auf die Kommunikation. Der Schufa-Fall zeigt, dass eine öffentliche Rechtfertigung nur dann glaubwürdig wirkt, wenn sie auf einer nachvollziehbaren, konsistenten Praxis beruht. Ein Unternehmen, das im Ernstfall erklären muss, warum bestimmte Daten noch gespeichert sind, sollte diese Erklärung nicht erst im Moment der Beschwerde erfinden, sondern bereits vorher wissen, warum welche Daten wie lange aufbewahrt werden.
Das gilt besonders für Betriebe, die mit sensiblen Daten arbeiten, etwa im Gesundheitswesen, in der Finanzberatung oder im Handel mit personalisierten Kundenkonten. Wer hier schon einmal eine Anfrage einer Aufsichtsbehörde oder eine Beschwerde eines Kunden erhalten hat, weiß, wie viel Zeitdruck in solchen Situationen entsteht. Eine vorbereitete, dokumentierte Löschlogik erspart in diesem Moment sehr viel Stress und verhindert, dass improvisiert Ausreden formuliert werden, die im Zweifel schlechter wirken als eine ehrliche, vorbereitete Antwort.
Ein weiterer praktischer Aspekt betrifft die technische Absicherung der Systeme, in denen diese Daten liegen. Wenn im Rahmen einer Prüfung oder eines Rechtsstreits plötzlich der Zugriff auf historische Datensätze notwendig wird, sollte sichergestellt sein, dass diese Daten überhaupt noch zuverlässig verfügbar sind. Eine funktionierende Datenrettung ist zwar in erster Linie für den Notfall gedacht, wenn Systeme ausfallen, sie hängt aber eng mit der Frage zusammen, wie strukturiert Backups und Archive überhaupt organisiert sind, was wiederum Grundvoraussetzung für ein sauberes Löschkonzept ist.
Branchenspezifische Besonderheiten nicht vergessen
Nicht jedes Unternehmen betrifft das Thema Bonitätsdaten gleich stark. Wer im Warenhandel mit angebundener Warenwirtschaft arbeitet, etwa über eine JTL-Anbindung, speichert häufig über Jahre hinweg detaillierte Kundenhistorien, inklusive Zahlungsverhalten, Mahnstufen und teilweise auch Bonitätsvermerken aus externen Auskunfteien. Gerade in diesem Umfeld lohnt sich ein genauer Blick darauf, wie lange solche Informationen in der Datenbank verbleiben und ob sie beim Löschen eines Kundenkontos tatsächlich vollständig entfernt werden, statt nur in der Oberfläche unsichtbar zu sein. Wer seine Warenwirtschaft extern betreiben lässt, sollte dieses Thema aktiv mit dem Anbieter von JTL-Hosting klären.
Auch bei der Neugestaltung oder Überarbeitung einer Website lohnt es sich, das Datenschutzthema von Anfang an mitzudenken, statt es als lästige Pflichtübung am Ende anzuhängen. Ein neues Webdesign ist der ideale Zeitpunkt, um alte Formulare, veraltete Tracking-Skripte oder ungenutzte Datenfelder zu entfernen, die im Laufe der Jahre angesammelt wurden und die niemand mehr wirklich braucht.
Fazit
Der Streit zwischen Noyb und der Schufa ist noch nicht entschieden, und es ist offen, wie er juristisch ausgeht. Für den Mittelstand ist er trotzdem schon jetzt lehrreich, weil er ein Grundproblem sichtbar macht, das viele Betriebe im Kleinen genauso haben: Daten werden gesammelt, weil sie einmal gebraucht wurden, und bleiben liegen, weil niemand sich konsequent um ihre Löschung kümmert. Wer diesen blinden Fleck in der eigenen IT beseitigt, reduziert nicht nur ein rechtliches Risiko, sondern schützt vor allem das Vertrauen, das Kunden und Partner in den eigenen Umgang mit ihren Daten setzen.
Häufige Fragen
Muss jedes Unternehmen Bonitätsdaten löschen, auch wenn es keine Auskunftei ist?
Ja, die Löschpflicht der DSGVO gilt unabhängig von der Unternehmensgröße oder Branche. Jeder, der personenbezogene Daten speichert, muss sie löschen, sobald der Zweck der Speicherung entfallen ist oder gesetzliche Aufbewahrungsfristen abgelaufen sind.
Reicht es, Löschfristen in der Datenschutzerklärung zu nennen?
Nein, die Datenschutzerklärung beschreibt nur die Absicht. Entscheidend ist, dass die genannten Fristen auch technisch und organisatorisch tatsächlich umgesetzt werden, zum Beispiel durch automatisierte Löschroutinen oder regelmäßige manuelle Prüfungen.
Was ist der Unterschied zwischen Löschen und Anonymisieren?
Beim Löschen wird der Datensatz vollständig entfernt, beim Anonymisieren bleibt er erhalten, verliert aber jeden Bezug zu einer bestimmten Person. Für statistische Auswertungen oder historische Nachweise kann Anonymisieren manchmal eine sinnvolle Alternative zur vollständigen Löschung sein.
Was droht einem Unternehmen, wenn Löschfristen nicht eingehalten werden?
Neben möglichen Bußgeldern durch die Datenschutzaufsichtsbehörden entsteht vor allem ein Reputationsrisiko, wie der Schufa-Fall zeigt. Kunden und Geschäftspartner reagieren sensibel auf den Eindruck, dass persönliche Daten unkontrolliert oder länger als nötig gespeichert werden.
Wie finde ich heraus, welche alten Kundendaten in meinem Unternehmen noch gespeichert sind?
Am Anfang steht eine strukturierte Bestandsaufnahme aller Systeme, in denen personenbezogene Daten liegen können, von der Warenwirtschaft über das CRM bis zu alten Backups und E-Mail-Postfächern. Eine externe Prüfung, etwa im Rahmen eines Audits, deckt dabei häufig Datenquellen auf, die intern längst vergessen wurden.
Betrifft das Thema auch kleine Betriebe ohne eigene IT-Abteilung?
Ja, gerade kleinere Betriebe ohne eigene IT-Abteilung übersehen das Thema oft, weil niemand explizit dafür zuständig ist. Ein externer Dienstleister, etwa über IT-Service Friesland, kann helfen, ein einfaches, praxistaugliches Löschkonzept aufzusetzen, das auch ohne eigenes IT-Personal dauerhaft funktioniert.