Die Vergangenheit reist mit Ihnen

Ich fahre selbst regelmäßig Bahn. Das ist wichtig, weil man auf deutschen Bahnsteigen viel Zeit zum Nachdenken bekommt. Inzwischen kann man dort sogar über Bonität nachdenken, denn der Zugang zu einem Deutschlandticket-Abo kann an einer Bonitätsprüfung scheitern. Deutschland digitalisiert eben konsequent: Erst wird die Mobilität zum Abo, dann bekommt das Abo eine Prüfung.

68 Millionen und ein sehr langer Schatten

Die Tagesschau berichtete heute um 6.02 Uhr über die geplanten rechtlichen Schritte. Im Zentrum stehen historische Daten über alte Kredite, Pfändungen und Privatinsolvenzen. Die SCHUFA räumt ein, bestimmte historische Daten bis zu zehn Jahre vorzuhalten und begründet das mit Produktentwicklung, Modelltests und der Qualität ihrer Scores.

noyb sieht darin eine ganz andere Geschichte. Die Organisation wirft der SCHUFA vor, Daten nach dem Ende regulärer Speicherfristen weiterzuverarbeiten und dass diese historischen Bestände bei Auskunftsersuchen nach Artikel 15 DSGVO nach Darstellung von noyb fehlten. Der Vorwurf ist juristisch erheblich. Er trifft genau den Punkt, an dem eine Datenbank von einem nützlichen Archiv zu einer Machtfrage wird.

Die Größenordnung hilft beim Wachwerden. Die SCHUFA selbst spricht auf ihrer Verbraucherseite von bonitätsrelevanten Informationen zu rund 68 Millionen Menschen. Praktisch sitzt damit ein privates Bewertungssystem bei einem sehr großen Teil der erwachsenen Bevölkerung mit am Tisch. Man kann diesen Tisch Bank nennen, Vermieterbüro, Mobilfunkshop oder Leasinggesellschaft.

Transparenz mit Kellerabteil

Die SCHUFA verteidigt den historischen Datenbestand. Sie argumentiert, dass Modelle nur dann geprüft und verbessert werden können, wenn genügend Daten aus der Vergangenheit vorhanden sind. Statistisch ist das nachvollziehbar: Wer Zukunft prognostizieren will, braucht Vergangenheit. Datenschutzrechtlich beginnt die interessante Frage eine Etage tiefer: Welche Vergangenheit darf wie lange weiterleben, zu welchem Zweck und mit welcher Auskunft an den Betroffenen?

Genau hier wird der Begriff „gelöscht“ plötzlich philosophisch. Die Verhaltensregeln der deutschen Wirtschaftsauskunfteien definieren Speicherfristen so, dass mit ihrem Ablauf produktives Scoring und Auskünfte an Dritte enden. Für bestimmte interne Zwecke dürfen Daten weiter vorgehalten werden. Der aktuelle Streit dreht sich deshalb auch um die Grenze zwischen internem Archiv, Modellvalidierung und tatsächlicher weiterer Verarbeitung.

Das ist ungefähr so, als würde ein Hotel sagen: Ihr Zimmer ist geräumt, Ihre Sachen liegen nur noch zu Forschungszwecken im Keller. Beruhigend. Besonders, wenn der Keller anschließend hilft zu berechnen, ob Sie beim nächsten Besuch ein Zimmer bekommen.

Das Auskunftsrecht ist ziemlich wörtlich gemeint

Der Europäische Gerichtshof hat zum Auskunftsrecht nach Artikel 15 DSGVO bereits 2023 deutlich formuliert, dass eine Datenkopie eine originalgetreue und verständliche Wiedergabe der verarbeiteten personenbezogenen Daten ermöglichen muss. Das klingt beinahe altmodisch: Wer Daten über einen Menschen verarbeitet, soll diesem Menschen sagen können, welche Daten das sind. Bürokratie kann manchmal erstaunlich romantische Vorstellungen von Klarheit entwickeln.

Auch beim SCHUFA-Scoring selbst hat der EuGH Grenzen markiert. Wenn ein Score bei einer Entscheidung eines Vertragspartners eine maßgebliche Rolle spielt, kann das unter die Regeln zu automatisierten Entscheidungen nach Artikel 22 DSGVO fallen. Im selben Urteilskomplex stellte der Gerichtshof außerdem fest, dass die Speicherdauer von Informationen über eine Restschuldbefreiung in privaten Auskunfteien an die Dauer im öffentlichen Register gebunden ist. Vergangenheit besitzt also ein Verfallsdatum. Zumindest gelegentlich.

Wer kontrolliert den Kontrolleur?

Der zweite Teil der Geschichte sitzt in Hessen. Nach Angaben der Tagesschau prüft der zuständige Hessische Datenschutzbeauftragte den historischen Datenbestand bereits seit Frühjahr 2025. Ein abschließendes Ergebnis steht dem Bericht zufolge weiterhin aus. noyb reagiert darauf mit ausgesprochen wenig diplomatischer Geduld und greift die Aufsicht scharf an.

Damit wird die Sache interessanter als eine gewöhnliche Datenschutzbeschwerde. Eine private Auskunftei besitzt Daten über zig Millionen Menschen. Eine staatliche Aufsicht soll diese Auskunftei kontrollieren. Eine private Datenschutzorganisation zieht nun vor Gericht, weil ihr die staatliche Kontrolle zu langsam erscheint. Deutsche Gewaltenteilung trifft auf deutsche Wartezeit.

noyb spricht außerdem von rund 1,6 Millionen Auskunftsersuchen pro Jahr, bei denen historische Daten nach ihrer Darstellung fehlten. Die Organisation hält bei einer späteren Sammelklage immateriellen Schadenersatz in einer Größenordnung von 500 Euro pro Person für denkbar. Rein rechnerisch ergeben 1,6 Millionen mal 500 Euro 800 Millionen Euro. Zwischen Rechenaufgabe und zugesprochenem Schadenersatz stehen selbstverständlich Gerichte. Auch sie mögen Daten.

Der Score als Türsteher

Die SCHUFA betont, dass die konkrete Vertragsentscheidung beim jeweiligen Geschäftspartner liegt. Das Unternehmen liefert Informationen und Scores. Formal ist das sauber. Praktisch kann eine Zahl trotzdem Türen öffnen oder schließen, sobald Bank, Händler, Vermieter oder Telekommunikationsanbieter ihr erhebliches Gewicht geben.

Genau deshalb ist Transparenz bei solchen Systemen mehr als ein hübsches Wort für den Jahresbericht. Wer von einer Bewertung betroffen ist, braucht eine realistische Möglichkeit zu verstehen, welche Daten vorhanden sind, wie aktuell sie sind und für welchen Zweck sie verarbeitet werden. Sonst entsteht eine moderne Variante des alten Dorfgerüchts. Nur mit Servern, Statistik und besserer Skalierbarkeit.

Und dann kommt die Bahn

Damit zurück zum Bahnsteig. Die Deutsche Bahn schreibt selbst, dass eine Bestellung des Deutschlandtickets abgelehnt werden kann, wenn die Bonitätsprüfung scheitert. In ihren Datenschutzhinweisen nennt die Bahn für Bonitätsprüfungen beim Lastschriftverfahren die Experian Solutions GmbH. Der aktuelle SCHUFA-Streit betrifft also die SCHUFA; der Bahn-Punkt zeigt den größeren Markt, in dem Bonitätsdaten längst in alltägliche Zugangsentscheidungen hineinreichen.

Das hat eine hübsche ökologische Note. Das Umweltbundesamt weist für das Bezugsjahr 2024 im Fernverkehr durchschnittlich 26 Gramm Treibhausgase pro Personenkilometer für die Eisenbahn aus. Beim Pkw sind es 164 Gramm, beim Inlandsflug 290 Gramm. Wer den Bürger aus Klimagründen in Bus und Bahn bekommen möchte, hat also gute Zahlen auf seiner Seite.

Und dann stellt man vor das Bahn-Abo eine Bonitätsprüfung. Das ist deutsche Verwaltungslyrik in Reinform. Der ökologisch erwünschte Verkehrsträger bleibt grün, der Fahrgast bekommt zusätzlich eine wirtschaftliche Farbskala.

Vom Klimaschutz zum Bonitätsschutz

Für Freunde des groben politischen Schlagworts „Klimafaschismus“ liefert der Alltag damit wenigstens eine trockene Pointe. Die politisch gewünschte Mobilität kann an einer privaten Risikoprüfung hängen. Man soll klimafreundlich fahren, digital buchen, ein Konto nutzen, ein Abo abschließen und wirtschaftlich in das vorgesehene Raster passen. Sehr frei. Sehr modern. Daten sind dabei reichlich vorhanden.

Ich freue mich als Bahnfahrer schon auf die nächste Evolutionsstufe. Vielleicht braucht der Zug irgendwann weniger Verspätungsminuten als der Fahrgast Bonitätspunkte. Das wäre ein Fortschritt, den sogar die Anzeigetafel zuverlässig darstellen könnte.

Die 15-Minuten-Stadt kommt vielleicht anders

Und plötzlich denke ich an die berühmte 15-Minuten-Stadt. Der urbanistische Begriff beschreibt kurze Wege zu Arbeit, Einkauf, Bildung und Alltag. Meine satirische Variante wäre noch effizienter: Genügend Abos, Prüfungen und digitale Zugangshürden verkürzen den persönlichen Aktionsradius ganz von selbst. Stadtplanung per Risikomodell. Man spart sogar neue Radwege.

Genau deshalb verdient die SCHUFA-Debatte einen Blick über die einzelne Datenbank hinaus. Es geht um die Infrastruktur des Vertrauens in einer digitalisierten Gesellschaft. Wer Menschen bewertet, beeinflusst ihre Möglichkeiten. Wer diese Bewertung beaufsichtigt, trägt deshalb ebenso viel Verantwortung wie derjenige, der den Score berechnet.

Die SCHUFA hat ein legitimes Interesse an guten Prognosemodellen. Unternehmen haben ein legitimes Interesse daran, Zahlungsausfälle zu vermeiden. Bürger haben ein ebenso legitimes Interesse daran, dass erledigte Vergangenheit tatsächlich irgendwann Vergangenheit wird und dass sie vollständig erfahren, welche personenbezogenen Daten verarbeitet werden. Genau an dieser Schnittstelle entscheidet sich, ob Digitalisierung als Dienstleistung oder als stilles Machtgefälle erlebt wird.

Die Vergangenheit fährt weiter mit

Die Ironie ist fast zu ordentlich. Wir sollen transparent gegenüber Banken, Plattformen, Vermietern, Mobilfunkanbietern und Abo-Systemen werden. Von den Institutionen erwarten wir im Gegenzug dieselbe Transparenz über das, was sie über uns speichern und wie sie es verwenden. Das ist ein überraschend konservativer Gedanke: gleiche Regeln für beide Seiten.

Vielleicht wird die geplante Klage zeigen, dass die SCHUFA mit ihrer Rechtsauffassung richtig liegt. Vielleicht werden Gerichte Grenzen ziehen. Bis dahin bleibt eine einfache Frage stehen: Wenn eine Zahl über Kredit, Wohnung, Vertrag und gelegentlich sogar über den bequemsten Zugang zum Zug mitentscheidet, wer bewertet dann eigentlich die Zuverlässigkeit derjenigen, die diese Zahl erzeugen und beaufsichtigen?

Ich nehme für morgen vorsichtshalber wieder den Zug. Er verursacht laut Umweltbundesamt deutlich weniger Treibhausgase als Auto oder Inlandsflug. Falls die Bonität passt, komme ich damit sogar klimafreundlich von A nach B. Und falls irgendwann wirklich alles in 15 Minuten erreichbar ist, wissen wir wenigstens, dass Deutschland auch dieses Problem datenbasiert gelöst hat.