923 960 070 05.18
1. Name und Kontaktdaten der verantwortlichen Stelle sowie des
betrieblichen Datenschutzbeauftragten
SCHUFA Holding AG, Kormoranweg 5, 65201 Wiesbaden,
Tel.: +49 611 - 92780
Der betriebliche Datenschutzbeauftragte der SCHUFA ist unter der
o.g. Anschrift, zu Hd. Abteilung Datenschutz oder per E-Mail unter
datenschutz@schufa.de erreichbar.
2. Datenverarbeitung durch die SCHUFA
2.1 Zwecke der Datenverarbeitung und berechtigte Interessen, die
von der SCHUFA oder einem Dritten verfolgt werden
Die SCHUFA verarbeitet personenbezogene Daten, um berechtigten Emp-
fängern Informationen zur Beurteilung der Kreditwürdigkeit von natür-
lichen und juristischen Personen zu geben. Hierzu werden auch Scorewerte
errechnet und übermittelt. Sie stellt die Informationen nur dann zur Verfü-
gung, wenn ein berechtigtes Interesse hieran im Einzelfall glaubhaft darge-
legt wurde und eine Verarbeitung nach Abwägung aller Interessen zulässig
ist. Das berechtigte Interesse ist insbesondere vor Eingehung von Geschäf-
ten mit finanziellem Ausfallrisiko gegeben. Die Kreditwürdigkeitsprüfung
dient der Bewahrung der Empfänger vor Verlusten im Kreditgeschäft und
eröffnet gleichzeitig die Möglichkeit, Kreditnehmer durch Beratung vor
einer übermäßigen Verschuldung zu bewahren. Die Verarbeitung der Daten
erfolgt darüber hinaus zur Betrugsprävention, Seriositätsprüfung, Geld-
wäscheprävention, Identitäts- und Altersprüfung, Anschriftenermittlung,
Kundenbetreuung oder Risikosteuerung sowie der Tarifierung oder Kondi-
tionierung. Über etwaige Änderungen der Zwecke der Datenverarbeitung
wird die SCHUFA gemäß Art. 14 Abs. 4 DS-GVO informieren.
2.2 Rechtsgrundlagen für die Datenverarbeitung
Die SCHUFA verarbeitet personenbezogene Daten auf Grundlage der
Bestimmungen der Datenschutz-Grundverordnung. Die Verarbeitung
erfolgt auf Basis von Einwilligungen sowie auf Grundlage des Art. 6 Abs. 1
Buchstabe f DS-GVO, soweit die Verarbeitung zur Wahrung der berechtig-
ten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und
nicht die Interessen oder Grundrechte und Grundfrei heiten der betroffenen
Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Einwilligungen können jederzeit gegenüber dem betreffenden Vertrags-
partner widerrufen werden. Dies gilt auch für Einwilligungen, die bereits
vor Inkrafttreten der DS-GVO erteilt wurden. Der Widerruf der Einwilligung
berührt nicht die Rechtmäßigkeit der bis zum Widerruf verarbeiteten per-
sonenbezogenen Daten.
2.3 Herkunft der Daten
Die SCHUFA erhält ihre Daten von ihren Vertragspartnern. Dies sind im
europäischen Wirtschaftsraum und in der Schweiz sowie ggf. weiteren
Drittländern (sofern zu diesen ein entsprechender Angemessenheits-
beschluss der Europäischen Kommission existiert) ansässige Institute,
Finanzunternehmen und Zahlungsdienstleister, die ein finanzielles Ausfall-
risiko tragen (z.B. Banken, Sparkassen, Genossenschaftsbanken, Kreditkar-
ten-, Factoring- und Leasingunternehmen) sowie weitere Vertragspartner,
die zu den unter Ziffer 2.1 genannten Zwecken Produkte der SCHUFA nut-
zen, insbesondere aus dem (Versand-)Handels-, eCommerce-, Dienstleis-
tungs-, Vermietungs-, Energieversorgungs-, Telekommunikations-, Versiche-
rungs-, oder Inkassobereich. Darüber hinaus verarbeitet die SCHUFA
Informationen aus allgemein zugäng lichen Quellen wie öffentlichen Ver-
zeichnissen und amtlichen Bekanntmachungen (Schuldnerverzeichnisse,
Insolvenzbekanntmachungen).
2.4 Kategorien personenbezogener Daten, die verarbeitet werden
(Personendaten, Zahlungsverhalten und Vertragstreue)
• Personendaten, z.B. Name (ggf. auch vorherige Namen, die auf gesonder-
ten Antrag beauskunftet werden), Vorname, Geburtsdatum, Geburtsort,
Anschrift, frühere Anschriften
• Informationen über die Aufnahme und vertragsgemäße Durchführung
eines Geschäftes (z.B. Girokonten, Ratenkredite, Kreditkarten, Pfändungs-
schutzkonten, Basiskonten)
• Informationen über unbestrittene, fällige und mehrfach angemahnte oder
titulierte Forderungen sowie deren Erledigung
• Informationen zu missbräuchlichem oder sonstigen betrügerischem Ver-
halten wie Identitäts- oder Bonitätstäuschungen
• Informationen aus öffentlichen Verzeichnissen und amtlichen Bekannt-
machungen
• Scorewerte
2.5 Kategorien von Empfängern der personenbezogenen Daten
Empfänger sind im europäischen Wirtschaftsraum, in der Schweiz sowie
ggf. weiteren Drittländern (sofern zu diesen ein entsprechender Angemes-
senheitsbeschluss der Europäischen Kommission existiert) ansässige Ver-
tragspartner gem. Ziffer 2.3. Weitere Empfänger können externe Auftrag-
nehmer der SCHUFA nach Art. 28 DS-GVO sowie externe und interne
SCHUFA-Stellen sein. Die SCHUFA unterliegt zudem den gesetzlichen Ein-
griffsbefugnissen staatlicher Stellen.
2.6 Dauer der Datenspeicherung
Die SCHUFA speichert Informationen über Personen nur für eine bestimmte
Zeit.
Maßgebliches Kriterium für die Festlegung dieser Zeit ist die Erforderlich-
keit. Im Einzelnen sind die Speicherfristen in einer freiwilligen Selbstver-
pflichtung des Verbandes „Die Wirtschaftsauskunfteien“ festgelegt, die im
Internet einsehbar ist unter www.schufa.de. Danach beträgt die grundsätz-
liche Speicherdauer von personenbezogenen Daten jeweils drei Jahre tag-
genau nach deren Erledigung. Davon abweichend werden z.B. gelöscht:
• Angaben über Anfragen nach zwölf Monaten taggenau
• Informationen über störungsfreie Vertragsdaten über Konten, die ohne
die damit begründete Forderung dokumentiert werden (z.B. Girokonten,
Kreditkarten, Telekommunikationskonten oder Energiekonten), Informati-
onen über Verträge, bei denen die Evidenzprüfung gesetzlich vorgesehen
ist (z.B. Pfändungsschutzkonten, Basiskonten) sowie Bürgschaften und
Handelskonten, die kreditorisch geführt werden, unmittelbar nach
Bekanntgabe der Beendigung.
• Daten aus den Schuldnerverzeichnissen der zentralen Vollstreckungs-
gerichte nach drei Jahren taggenau, jedoch vorzeitig, wenn der SCHUFA
eine Löschung durch das zentrale Vollstreckungsgericht nachgewiesen
wird
• Informationen über Verbraucher-/Insolvenzverfahren oder Restschuldbe-
freiungsverfahren taggenau drei Jahre nach Beendigung des Insolvenzver-
fahrens oder Erteilung der Restschuldbefreiung. In besonders gelagerten
Einzelfällen kann auch abweichend eine frühere Löschung erfolgen.
• Informationen über die Abweisung eines Insolvenzantrages mangels
Masse, die Aufhebung der Sicherungsmaßnahmen oder über die Versa-
gung der Restschuldbefreiung taggenau nach drei Jahren
• Personenbezogene Voranschriften bleiben taggenau drei Jahre gespei-
chert; danach erfolgt die Prüfung der Erforderlichkeit der fortwährenden
Speicherung für weitere drei Jahre. Danach werden sie taggenau
gelöscht, sofern nicht zum Zwecke der Identifizierung eine länger wäh-
rende Speicherung erforderlich ist.
3. Betroffenenrechte
Jede betroffene Person hat gegenüber der SCHUFA das Recht auf Auskunft
nach Art. 15 DS-GVO, das Recht auf Berichtigung nach Art. 16 DS-GVO,
das Recht auf Löschung nach Art. 17 DS-GVO und das Recht auf Einschrän-
kung der Verarbeitung nach Art. 18 DS-GVO. Die SCHUFA hat für Anliegen
von betroffenen Personen ein Verbraucherservicezentrum eingerichtet, das
schriftlich, telefonisch und über ein Internet-Formular erreichbar ist unter
www.schufa.de. Darüber hinaus besteht die Möglichkeit, sich an die für die
SCHUFA zuständige Aufsichtsbehörde, den Hessischen Datenschutzbeauf-
tragten, zu wenden. Einwilligungen können jederzeit gegenüber dem
betreffenden Vertragspartner widerrufen werden.
4. Profilbildung (Scoring)
Die SCHUFA-Auskunft kann um sogenannte Scorewerte ergänzt werden.
Beim Scoring wird anhand von gesammelten Informationen und Erfahrun-
gen aus der Vergangenheit eine Prognose über zukünftige Ereignisse
erstellt. Die Berechnung aller Scorewerte erfolgt bei der SCHUFA grund-
sätzlich auf Basis der zu einer betroffenen Person bei der SCHUFA gespei-
cherten Informationen, die auch in der Datenübersicht gemäß Art. 15
DS-GVO ausgewiesen werden. Darüber hinaus berücksichtigt die SCHUFA
beim Scoring die Bestimmungen § 31 BDSG. Anhand der zu einer Person
gespeicherten Einträge erfolgt eine Zuordnung zu statistischen Personen-
gruppen, die in der Vergangenheit ähnliche Einträge aufwiesen. Das ver-
wendete Verfahren wird als „logistische Regression“ bezeichnet und ist
eine fundierte, seit langem praxiserprobte, mathematisch-statistische
Methode zur Prognose von Risikowahrscheinlichkeiten. Folgende Daten-
arten werden bei der SCHUFA zur Scoreberechnung verwendet, wobei
nicht jede Datenart auch in jede einzelne Score berechnung mit einfließt:
Allgemeine Daten (z.B. Geburtsdatum, Geschlecht oder Anzahl im
Geschäftsverkehr verwendeter Anschriften), bisherige Zahlungsstörungen,
Kreditaktivität letztes Jahr, Kredit nutzung, Länge Kredithistorie sowie
Anschriftendaten (nur wenn wenige personenbezogene kreditrelevante
Informationen vorliegen). Bestimmte Informationen werden weder gespei-
chert noch bei der Berechnung von Scorewerten berücksichtigt, z.B.: Anga-
ben zur Staatsangehörigkeit oder besondere Kategorien personenbezoge-
ner Daten wie ethnische Herkunft oder Angaben zu politischen oder
religiösen Einstellungen nach Art. 9 DS-GVO. Auch die Geltendmachung
von Rechten nach der DS-GVO, also z.B. die Einsichtnahme in die bei der
SCHUFA gespeicherten Informationen nach Art. 15 DS-GVO, hat keinen
Einfluss auf die Scoreberechnung.
Die übermittelten Scorewerte unterstützen die Vertragspartner bei der Ent-
scheidungsfindung und gehen dort in das Risikomanagement ein. Die Risi-
koeinschätzung und Beurteilung der Kreditwürdigkeit erfolgt allein durch
den direkten Geschäftspartner, da nur dieser über zahlreiche zusätzliche
Informationen – zum Beispiel aus einem Kreditantrag – verfügt. Dies gilt
selbst dann, wenn er sich einzig auf die von der SCHUFA gelieferten Infor-
mationen und Scorewerte verlässt. Ein SCHUFA-Score alleine ist jedenfalls
kein hinreichender Grund einen Vertragsabschluss abzulehnen.
Weitere Informationen zum Kreditwürdigkeitsscoring oder zur Erkennung
auffälliger Sachverhalte sind unter www.scoring-wissen.de erhältlich.
SCHUFA-Information nach Art. 14 DS-GVO
Nach Art. 21 Abs. 1 DS-GVO kann der Datenverarbeitung aus
Gründen, die sich aus der besonderen Situation der betroffenen
Person ergeben, widersprochen werden.
Der Widerspruch kann formfrei erfolgen und ist zu richten an
SCHUFA Holding AG, Privatkunden ServiceCenter,
Postfach 10 34 41, 50474 Köln
