Stand: 26.08.2026. Die Datenschutzorganisation noyb hat die SCHUFA wegen der sogenannten Schattendatenbank abgemahnt und eine Interessentenliste für eine mögliche Sammelklage geöffnet. Der neue Punkt ist nicht nur die Frage, ob alte Daten noch irgendwo gespeichert sind. Laut noyb soll die SCHUFA solche historischen Datensätze auch für Kundentests nutzen und sie Betroffenen bei Auskunftsersuchen nach Art. 15 DSGVO nicht offenlegen. Für Unternehmen ist das ein praktischer Warnfall: Testdaten wirken intern harmlos, können aber dieselben Transparenz- und Löschpflichten auslösen wie produktive Daten.

Bild: Pexels, https://www.pexels.com/photo/669615/, CC0-Lizenz.

Warum der heutige Schritt den Fall verschärft

noyb teilt am 26. August 2026 mit, die Organisation habe der SCHUFA eine formale Abmahnung geschickt und eine Unterlassungsklage angekündigt. Nach Darstellung von noyb geht es um Datensätze, die eigentlich längst hätten gelöscht werden müssen oder Betroffenen jedenfalls nicht in der erwarteten Weise offengelegt wurden. Besonders brisant ist der Vorwurf, diese historischen Daten würden für Testing Purposes von Kunden eingesetzt. Damit steht nicht nur die Speicherung im Raum, sondern auch eine weitere Nutzung in Prüf- und Entwicklungsprozessen.

AlgorithmWatch berichtet, dass über ein bereitgestelltes Formular rund 22.000 Menschen Auskunft bei der SCHUFA verlangt hätten und verweist ebenfalls auf die heutige Abmahnung durch noyb. Die frühere Recherche von NDR und Süddeutscher Zeitung hatte den Begriff Schattendatenbank öffentlich gemacht. Die Tagesschau berichtete bereits über den Verdacht, dass Millionen Datensätze betroffen sein könnten. Die heutige Nachricht macht aus dieser Vorgeschichte einen konkreten Eskalationsschritt im Datenschutzrecht.

Was Testdaten rechtlich so heikel macht

Viele Organisationen trennen gedanklich zwischen produktiven Kundendaten und Testmaterial. Datenschutzrechtlich ist diese Trennung aber nur dann entlastend, wenn die Daten wirklich anonymisiert sind oder rechtmäßig weiterverarbeitet werden. Sobald historische Datensätze einer Person zugeordnet werden können, bleiben sie personenbezogene Daten. Dann greifen Zweckbindung, Speicherbegrenzung, Auskunft, Berichtigung und Löschung nicht deshalb weniger streng, weil die Daten in einem Testsystem, einer Score-Prüfung oder einem Kundenvergleich liegen.

Gerade Auskunfteidaten sind dafür sensibel. Sie können darüber mitentscheiden, ob Menschen Kredite, Verträge, Wohnungen oder andere Leistungen erhalten. Wenn alte Informationen in Tests einfließen, ist nicht nur die einzelne Tabellenzeile relevant. Entscheidend ist, ob solche Daten Modelle, Scores, Prüfverfahren oder Kundendemonstrationen beeinflussen. Ein Testbestand kann dadurch mittelbar wieder in reale Entscheidungen zurückwirken, auch wenn er auf dem Papier nicht als Produktivdatenbank geführt wird.

Für Verantwortliche entsteht damit eine einfache, aber unbequeme Prüfpflicht. Sie müssen wissen, welche Altbestände existieren, wofür sie genutzt werden, auf welcher Rechtsgrundlage sie bleiben und ob sie in Auskunftsprozessen vollständig berücksichtigt werden. Ein Systemname wie Archiv, Testbestand oder Schattenkopie ändert daran nichts. Wenn Betroffene ihre Daten anfragen, muss die Organisation nachvollziehen können, welche personenbezogenen Informationen noch vorhanden sind und welchen Zwecken sie dienen.

Welche Kontrolle Unternehmen jetzt nachziehen sollten

Der SCHUFA-Fall betrifft zwar eine Auskunftei, die Lehre reicht aber weiter. Unternehmen sollten ihre Test- und Analyseumgebungen nicht als Nebenraum behandeln. Wer Daten aus produktiven Systemen kopiert, braucht klare Löschfristen, eine dokumentierte Zweckbindung und eine technische Kontrolle, die Altbestände tatsächlich entfernt. Besonders kritisch sind Kopien in Data Warehouses, Qualitätssicherung, KI-Trainingsvorbereitung, Kundenpräsentationen und Migrationstests.

Praktisch helfen drei Fragen. Erstens: Können Datenschutzteam und Fachbereich heute belegen, welche personenbezogenen Daten in Testsystemen liegen? Zweitens: Werden diese Bestände bei Auskunfts- und Löschersuchen mitgeprüft oder fallen sie organisatorisch durch das Raster? Drittens: Ist die Anonymisierung belastbar genug, oder handelt es sich nur um umbenannte Echtdaten mit weiterem Personenbezug?

Die heutige Abmahnung zeigt, dass alte Daten nicht dadurch ungefährlich werden, dass sie intern alt, technisch nützlich oder für Kundenprozesse bequem sind. Wer personenbezogene Daten für Tests braucht, muss den Bedarf sauber begründen oder die Daten so verändern, dass kein Personenbezug mehr übrig bleibt. Andernfalls entsteht genau die Frage, die der SCHUFA-Fall jetzt öffentlich stellt: Dienen historische Datensätze noch einem legitimen Zweck, oder bleiben sie nur deshalb erhalten, weil niemand die Schattenkopien vollständig aufräumt?