Independent Transparency Report
April 2026
selbstauskunft-24.de
Investigative Analysis

SCHUFA-Transparenz-Report 2026: Eine datengestützte Analyse zu Dark Patterns, Tracking und Scoring-Intransparenz

Frank Drescher a,*
a NLTS Global Analytics s.r.o., Pilsen, Czech Republic
* Corresponding author. E-Mail: [email protected]
Article History
Received: 12. März 2026
Revised: 28. März 2026
Accepted: 1. April 2026
Published: 2. April 2026
Keywords
SCHUFA · Dark Patterns · DSGVO · Art. 15 DSGVO · Bonitäts-Scoring · Wirtschaftsauskunftei · Verbraucherrechte · Datenschutz · EuGH · Hotjar · Session Recording · Abo-Fallen · Datenkopie · Transparenz

Zusammenfassung

Die SCHUFA Holding AG speichert Daten von rund 68 Millionen Verbrauchern in Deutschland und verarbeitet jährlich etwa 165 Millionen Bonitätsanfragen. Sie kontrolliert damit 80 bis 90 Prozent des deutschen Kreditauskunftsmarktes. Trotz dieser marktbeherrschenden Stellung zeigt unsere Analyse: Verbraucherrechte werden systematisch erschwert, kostenlose Auskünfte hinter Dark Patterns versteckt und Tracking-Technologien ohne ausreichende Rechtsgrundlage eingesetzt. Gleichzeitig erzwingt eine Serie von Urteilen des EuGH und deutscher Gerichte schrittweise mehr Transparenz — zuletzt durch die Einführung eines neuen, vereinfachten Scoring-Modells im März 2026. Dieser Report dokumentiert den aktuellen Stand auf Basis öffentlich zugänglicher Quellen, eigener technischer Analysen und juristischer Einordnung.

1. Einleitung: SCHUFA in Zahlen — Marktstellung und Reichweite

1.1 Datenbasis und Marktdominanz

Die SCHUFA ist die mit Abstand größte Wirtschaftsauskunftei Deutschlands. Die zentralen Kennzahlen verdeutlichen ihre Reichweite. Nahezu jeder wirtschaftlich aktive Erwachsene in Deutschland ist bei der SCHUFA erfasst. Kein Mietvertrag, kein Handyvertrag, kein Kredit ohne SCHUFA-Abfrage.

Tabelle 1: Zentrale Kennzahlen der SCHUFA Holding AG

KennzahlWertQuelle
Gespeicherte Personenca. 67,7 Mio.SCHUFA Geschäftsbericht
Einzelne Datensätze943 Mio.SCHUFA Unternehmensseite
Gespeicherte Unternehmenca. 6 Mio.SCHUFA Unternehmensseite
Bonitätsanfragen pro Jahrca. 165 Mio.SCHUFA Geschäftsbericht
Anfragen pro Tagca. 280.000SCHUFA Geschäftsbericht
Marktanteil (Kreditauskünfte)80–90 %Branchenschätzung
Vertragspartnerca. 10.000SCHUFA Unternehmensseite

1.2 Umsatz und Eigentümerstruktur

Im Geschäftsjahr 2023 erzielte die SCHUFA Holding AG einen Gesamtumsatz von 276,1 Millionen Euro, ein Anstieg von 3,3 Prozent gegenüber dem Vorjahr (267,3 Mio. Euro) [19]. Das operative Ergebnis (EBIT) lag bei 78,1 Millionen Euro. Der Umsatz teilt sich auf in 197,2 Millionen Euro aus dem Geschäft mit Firmenkunden und 85,3 Millionen Euro aus dem Geschäft mit Privatkunden — also jenen Produkten, die Verbrauchern als Alternative zur kostenlosen Datenkopie verkauft werden.

Die Eigentümerstruktur der SCHUFA ist bemerkenswert: Sie gehört jenen Institutionen, die zugleich ihre größten Kunden sind. Volksbanken und Raiffeisenbanken halten 27,2 Prozent, die Sparkassen-Finanzgruppe 26,4 Prozent. Weitere Anteile liegen bei Deutsche Bank, Commerzbank und anderen Finanzdienstleistern. Diese Konstellation wirft Fragen zur Unabhängigkeit auf: Die Datenlieferanten sind gleichzeitig Eigentümer und Nutznießer des Systems.

1.3 Das Geschäftsmodell mit Verbraucher-Produkten

Ein beträchtlicher Teil des Umsatzes — 85,3 Millionen Euro — stammt aus dem Privatkundengeschäft. Die Produktpalette:

Tabelle 2: SCHUFA-Produktpalette für Privatkunden

ProduktPreisInhalt
Datenkopie (Art. 15 DSGVO)kostenlosBasisinformationen, ein Score-Wert
Bonitätsauskunft (Einzelabruf)29,95 €Formatiertes Zertifikat für Vermieter
meineSCHUFA kompakt4,95 €/MonatBasis-Monitoring, 30 Tage kostenlos testen
meineSCHUFA plus6,95 €/MonatIdentitätsschutz, Datenüberwachung
meineSCHUFA Premium9,95 €/MonatVollumfängliches Paket

Die kostenpflichtigen Abonnements binden Verbraucher mit einer Mindestlaufzeit von 12 Monaten. Nach der 30-tägigen Testphase von meineSCHUFA kompakt verlängert sich der Vertrag automatisch. Dieses Modell erzielt Millionenumsätze — während Verbraucher ein gesetzliches Recht auf kostenlose Einsicht in ihre Daten haben.

2. Methodik

Dieser Report basiert auf der Auswertung öffentlich zugänglicher Quellen: Gerichtsurteile, Aufsichtsbehörden-Dokumente, Geschäftsberichte, Verbraucherschutz-Publikationen und investigative Recherchen. Die technische Analyse der SCHUFA-Websites (Abschnitt 3) wurde durch den Herausgeber eigenständig durchgeführt [27]. Die Chatbot-Analyse (Abschnitt 3.5) basiert auf einer Live-Interaktion mit dem moinAI-Chatbot auf meineschufa.de im April 2026 [26]. Der Auskunfteien-Vergleich (Abschnitt 3.8) basiert auf Recherchen der jeweiligen Unternehmenswebsites. Die Score-Statistiken (Abschnitt 5) stammen aus einer offiziellen SCHUFA-Kundeninformation vom 31. März 2026 [25]. Die Dark-Pattern-Klassifikation erfolgte auf Basis der Taxonomien von Brignull [29], der EDPB Guidelines 3/2022 [30] und des OECD Dark Commercial Patterns Report [31]. Alle Angaben wurden nach bestem Wissen und Gewissen recherchiert; dieser Report stellt keine Rechtsberatung dar.

3. Ergebnisse: Dark Patterns, Tracking und Datenschutz

3.1 Die systematische Verschleierung der Datenkopie

Seit Inkrafttreten der DSGVO am 25. Mai 2018 hat jeder Verbraucher das Recht, kostenlos eine vollständige Kopie aller über ihn gespeicherten Daten zu erhalten (Art. 15 DSGVO). Die SCHUFA ist verpflichtet, dieses Recht nicht nur zu gewähren, sondern aktiv zu erleichtern (Art. 12 Abs. 2 DSGVO).

Die Praxis sieht anders aus. Die Datenschutzorganisation noyb hat im Februar 2024 Beschwerde beim Hessischen Beauftragten für Datenschutz (HBDI) eingereicht [9] und dokumentiert, wie die SCHUFA dieses Recht systematisch untergräbt. Die Befunde im Einzelnen:

Befund 1 — Suchmaschinenoptimierung zugunsten kostenpflichtiger Produkte: Die SCHUFA optimiert ihre Webpräsenz so, dass bei Suchbegriffen wie „SCHUFA-Auskunft“ oder „Bonitätsauskunft“ vorrangig die kostenpflichtigen Angebote erscheinen. Der Begriff „Datenkopie“ — die offizielle Bezeichnung des kostenlosen Auskunftsrechts — ist den meisten Verbrauchern unbekannt.
Befund 2 — Versteckte Platzierung auf der Website: Auf meineschufa.de müssen Nutzer bis ins untere Drittel der Seite scrollen und dabei sämtliche prominent platzierten kostenpflichtigen Angebote ignorieren, um zur kostenlosen Datenkopie zu gelangen. Die kostenpflichtigen Produkte sind dagegen sofort sichtbar, farblich hervorgehoben und mit Handlungsaufforderungen versehen.
Befund 3 — Chatbot-Lenkung: Der Chatbot auf der SCHUFA-Website leitet Verbraucher konsequent zu kostenpflichtigen Produkten und stellt die kostenlose Datenkopie als ungeeignet oder unzureichend dar.
Befund 4 — Bewusste Begriffswahl: Die Umbenennung von „Selbstauskunft“ in „Datenkopie“ erzeugt zusätzliche Verwirrung. Verbraucher, die nach einer „Selbstauskunft“ suchen, werden zu kostenpflichtigen Produkten geleitet; der juristische Fachbegriff „Datenkopie“ ist im allgemeinen Sprachgebrauch nicht verankert.
Befund 5 — Unvollständige Informationen in der kostenlosen Version: Laut noyb enthält die kostenlose Datenkopie nur einen „Basisscore“, während die kostenpflichtige Bonitätsauskunft sechs branchenspezifische Scores anzeigt. Diese Branchenscores sind aber Teil der Informationen, auf die Verbraucher nach Art. 15 DSGVO einen Anspruch haben [9].

3.2 UX-Vergleich: Kostenpflichtig vs. Kostenlos

Ein systematischer Test zeigt die Bevorzugung des Bezahlwegs:

Tabelle 3: Systematische Bevorzugung des Bezahlwegs

KriteriumKostenlose DatenkopieKostenpflichtige Auskunft
AuffindbarkeitUnteres Drittel der SeiteProminente Platzierung oben
LieferzeitPostalisch, 5–7 Tage (bis 4 Wochen)Sofort als Online-Download
Score-UmfangNur BasisscoreSechs Branchenscores
FormatEinfacher BriefFormatiertes Zertifikat
Chatbot-EmpfehlungWird nicht empfohlenAktiv beworben

Der Kontrast ist frappierend: Wer zahlt, erhält seine Auskunft in Minuten als digitales Dokument. Wer sein gesetzliches Recht wahrnimmt, wird auf den Postweg verwiesen — die SCHUFA verspricht „innerhalb 5–7 Tagen“, Erfahrungsberichte dokumentieren jedoch Wartezeiten von bis zu vier Wochen. Die technische Infrastruktur für einen digitalen Sofortzugang existiert nachweislich — sie wird dem kostenlosen Recht bewusst vorenthalten.

3.3 Vergleich mit anderen Auskunfteien

Die SCHUFA steht mit ihrem Vorgehen nicht allein, unterscheidet sich aber deutlich von der Konkurrenz:

Tabelle 4: Zugang zur kostenlosen Auskunft im Vergleich

AuskunfteiDatenbestandZugang kostenlose Auskunft
SCHUFAca. 68 Mio.Versteckt, erschwert, postalisch
Creditreform Boniversumca. 55 Mio.Online möglich, innerhalb von Minuten
CRIF Deutschlandca. 40 Mio.Unkomplizierter Online-Antrag
infoscore Consumer Dataca. 8 Mio.Dedizierter Link, einfacher Prozess

Besonders auffällig: Creditreform Boniversum ermöglicht die kostenlose Selbstauskunft online und innerhalb weniger Minuten. Die SCHUFA, der mit Abstand größte Anbieter, bietet diesen digitalen Sofortzugang für die kostenlose Variante nicht an — wohl aber für die kostenpflichtigen Abo-Produkte.

3.4 Psychologische Barrieren und systematisches Framing

Die in den vorangegangenen Abschnitten dokumentierte Versteckstrategie ist nur eine Dimension des Problems. Die zweite, subtilere Dimension betrifft die aktive Abwertung des kostenlosen Rechts durch ein seitenübergreifendes Framing-System. Eine Analyse aller relevanten Seiten auf meineschufa.de (Stand: April 2026) ergibt ein konsistentes Muster, das auf drei Mechanismen basiert: Abwertung der Datenkopie, Aufwertung der Bezahlprodukte und systematische Auslassung [27].

Mechanismus 1 — Abwertung durch Sprache: Überall dort, wo die kostenlose Datenkopie erwähnt wird, versieht die SCHUFA sie mit einschränkenden Attributen. Auf der Startseite heißt es: „Diese ist eine Momentaufnahme, die sensible Informationen enthält und Ihrer persönlichen Information dient.“ Auf der Datenkopie-Seite wird sie beschrieben als: „Sensible Daten und nur für die persönliche Information gedacht.“ Im Navigationsmenü erhält sie lediglich den juristischen Zusatz „(nach Art. 15 DS-GVO)“ — ohne jede positive Beschreibung. Drei Begriffe fallen auf: „Momentaufnahme“ (impliziert: veraltet), „sensible Informationen“ (impliziert: riskant zu teilen) und „persönliche Information“ (impliziert: nicht zur Weitergabe bestimmt).

Mechanismus 2 — Aufwertung der Bezahlprodukte durch Vermieter-Framing: Die kostenpflichtigen Produkte werden konsequent als das Gegenstück zur Datenkopie positioniert. Im Navigationsmenü steht die SCHUFA-Auskunft als „Ihr Original-Zertifikat zur Weitergabe“ — in direktem Kontrast zur Datenkopie, die „nur für die persönliche Information gedacht“ ist. Die Startseite bewirbt den BonitätsCheck als „für die Weiterleitung an Dritte geeignet.“ Die Auskunft-Seite trägt den Titel „SCHUFA-Auskunft zur Weitergabe“ und bewirbt das Produkt als „Die Nummer 1 bei Vermietern“. Besonders aufschlussreich ist das Privatsphäre-Argument: „Der Bonitätsnachweis enthält nur Informationen, die für einen Vertragsabschluss relevant sind. Ihre Privatsphäre bleibt geschützt.“ Im Umkehrschluss suggeriert dies: Die kostenlose Datenkopie enthält mehr als nötig und schützt die Privatsphäre nicht. Statt Verbrauchern zu empfehlen, die Datenkopie vor der Weitergabe zu schwärzen — oder eine datenschutzfreundliche Kurzversion kostenlos anzubieten —, nutzt die SCHUFA das berechtigte Privatsphäre-Bedürfnis als Verkaufsargument für ein 29,95-€-Produkt.

Mechanismus 3 — Auslassung: Die Produktübersicht — die zentrale Seite, auf der Verbraucher ihre Optionen vergleichen — listet sechs kostenpflichtige Produkte auf. Die kostenlose Datenkopie nach Art. 15 DSGVO wird dort nicht erwähnt. Auch auf der Auskunft-Seite und der Score-Monitoring-Seite fehlt jeder Hinweis auf die kostenlose Alternative. Die Datenkopie existiert auf der Website nur dort, wo der Verbraucher sie gezielt sucht — nicht dort, wo er Kaufentscheidungen trifft.

Artificial Friction — kalkulierte Entscheidungsmüdigkeit: Zusätzlich zum sprachlichen Framing erzeugt die SCHUFA eine bewusste Reibung im kostenlosen Prozess bei gleichzeitiger Optimierung des Bezahlwegs. Auf der Startseite steht: „In wenigen Minuten als Download verfügbar“ (für den BonitätsCheck). Die kostenlose Datenkopie wird „Postalisch innerhalb 5-7 Tagen“ zugestellt und bietet keinen digitalen Zugang. Verbraucher unter Zeitdruck werden durch dieses Gefälle systematisch zum Bezahlprodukt gedrängt.

Score-Aktualität als Upselling-Hebel: Die Datenkopie-Seite beschreibt den enthaltenen Score als „Quartalsweise* berechneter SCHUFA-Score“, während die Bezahlprodukte einen „tagesaktuellen“ Score versprechen. Recherchen ergeben: Der SCHUFA-Score wird grundsätzlich „jeweils zu Beginn eines neuen Quartals aktualisiert“. Was als „tagesaktuell“ beworben wird, ist der tagesaktuelle Abruf eines quartalsweise aktualisierten Scores — nicht eine tägliche Neuberechnung.

Einordnung: Die drei Mechanismen — Abwertung, Aufwertung, Auslassung — bilden ein geschlossenes Framing-System. Es wird durch Artificial Friction im Bestellprozess verstärkt. Das Ergebnis: Ein Grundrecht (Art. 15 DSGVO) wird sprachlich als minderwertig, riskant und unpraktisch gerahmt, während kostenpflichtige Produkte als sicher, akzeptiert und sofort verfügbar beworben werden. Im Licht des Privatkundenumsatzes von 85,3 Millionen Euro wird deutlich: Die Erschwerung der kostenlosen Datenkopie ist kein Versehen. Sie ist ein Geschäftsmodell.

3.5 Chatbot als Vertriebskanal

Der meineSCHUFA-Chatbot (Anbieter: moinAI) ist auf der Startseite über ein gelbes Icon am unteren rechten Bildschirmrand erreichbar. Eine Live-Analyse im April 2026 zeigt, wie er Verbraucher systematisch zu kostenpflichtigen Produkten lenkt [26].

Test 1 — Eingabe: „Ich möchte eine kostenlose Datenkopie“

Der Chatbot beantwortet die Frage nicht direkt. Stattdessen fragt er zurück: „Möchten Sie wissen, welche SCHUFA-Auskünfte Sie bestellen können?“ Erst nach Bestätigung bietet er drei Optionen an: „Auskunft – kostenlos“, „Einmal-Auskunft – kostenpflichtig“ und „Dauerhafter Dateneinblick – kostenpflichtig“. Die kostenlose Option steht neben zwei kostenpflichtigen — obwohl der Nutzer ausdrücklich nur nach der kostenlosen Variante gefragt hat. Der gesamte Pfad erfordert mindestens drei Interaktionen statt einer direkten Antwort mit Link.

Test 2 — Quick-Reply-Button: „Auskunft für Vermieter“

Der Button führt sofort zu einer Produktempfehlung: „Der digitale SCHUFA-BonitätsCheck zum Preis von 29,99 € ist speziell für anstehende Mietverträge gedacht“ und „die SCHUFA-BonitätsAuskunft zum Preis von 29,95 €“. Die kostenlose Datenkopie wird in dieser Antwort mit keinem Wort erwähnt.

Quick-Reply-Reihenfolge: „Auskunft für Vermieter“ | „SCHUFA-Auskunftsprodukte“ | „Kontaktdaten digital“ | „Lieferzeit SCHUFA-Auskunft“ | „Login-Daten vergessen“ | „Speicherfristen“ | „Scoring“. Die kostenlose Datenkopie erscheint in keinem der sieben Vorschläge.

Tracking-Befund: Die URL, über die der Chatbot Nutzer zur Datenkopie-Seite leitet, enthält die Tracking-Parameter etcc_med=chatbot und etcc_cmp=dk-verlinkung. Dies belegt, dass die SCHUFA genau misst, wie viele Nutzer über den Chatbot auf der Datenkopie-Seite landen.

3.6 Checkout-Prozess und Abo-Fallen

Auch der Kaufprozess für kostenpflichtige Produkte enthält manipulative Elemente.

Upselling im Warenkorb: Beim Kauf des einmaligen BonitätsChecks (29,95 €) erscheint auf der Checkout-Seite ein prominentes Upselling-Angebot für das Abo-Produkt „meineSCHUFA kompakt“ (4,95 €/Monat). Das Angebot erscheint zweifach auf derselben Seite.

Versteckte Mindestlaufzeit: Die Abo-Produkte haben eine 12-monatige Mindestlaufzeit. Diese Information steht ausschließlich in Fußnoten auf der Checkout-Seite. Wer „meineSCHUFA plus“ für 6,95 €/Monat bestellt, verpflichtet sich faktisch zu 83,40 €.

„30 Tage kostenlos testen“-Landingpage: Die URL meineschufa.de/de/schufa-auskunft-kostenlos leitet nicht zur kostenlosen Datenkopie, sondern auf eine Werbung für die Testphase. Im Kleingedruckten: Nach der Testphase schließt sich ein Vertrag mit 12 Monaten Mindestlaufzeit zu 4,95 €/Monat an [28].

Upselling per E-Mail: Eine Kundeninformation vom 31. März 2026 enthält die Passage: „Ihr meineSCHUFA-Paket bietet Ihnen deutlich mehr Leistungen als der SCHUFA-Account“ — eine Kundenbindungsmaßnahme, die zugleich den kostenlosen Zugang abwertet [25].

3.7 SEO-Befund: Was Verbraucher bei Google finden

Eine Analyse der häufigsten Suchanfragen (Stand April 2026) zeigt, dass Verbraucher selbst bei gezielter Suche nach der kostenlosen Option auf irreführende Ergebnisse stoßen [28]. Bei der Suche nach „SCHUFA Auskunft kostenlos“ erscheint auf Position 6 die oben beschriebene Abo-Falle. Bei „SCHUFA Auskunft beantragen“ rankt die kostenlose Datenkopie-Seite erst auf Position 7.

3.8 Vergleich: Datenkopie-Handhabung anderer Auskunfteien

Tabelle 5: Datenkopie-Vergleich deutscher Wirtschaftsauskunfteien

AuskunfteiDigital?LieferzeitKlicksUpsellingDark Patterns
SCHUFANein (postalisch)5–7 Tage (bis 4 Wochen)2–3 + ChatbotMassivJa — mehrere
Creditreform BoniversumJa (online)Minuten bis Stunden1–2MinimalKeine erkannt
CRIF BürgelNein (postalisch)10–14 Tage2–3GeringKeine erkannt
infoscore (Experian)Nein (postalisch)bis 30 Tage1MinimalKeine erkannt
Regis24Ja (digital)Einige Tage2–3KeineKeine erkannt

Die SCHUFA ist die einzige Auskunftei, die ein systematisches Framing-System einsetzt, um Verbraucher vom kostenlosen Angebot auf Bezahlprodukte umzulenken.

3.9 Einordnung in die Dark-Pattern-Taxonomie

Die dokumentierten Praktiken lassen sich in etablierte Klassifikationssysteme einordnen [29][30][31].

Tabelle 6: Dark-Pattern-Taxonomie — Zuordnung der Kernbefunde

BefundBrignull-TypEDPB-KategorieSchweregrad
Datenkopie hinter Navigation verstecktHidden InformationHinderingHoch
Datenkopie als „sensibel“ gerahmtConfirmshamingStirringHoch
Datenkopie fehlt auf ProduktseiteHidden InformationHinderingSehr hoch
Postalisch vs. Sofort-DownloadObstructionHinderingHoch
Versteckte 12-Mon.-MindestlaufzeitHidden CostsSneakingSehr hoch
„30 Tage kostenlos“ = Abo-FalleBait & SwitchSkippingSehr hoch
Chatbot empfiehlt nur BezahlprodukteMisdirectionSteeringHoch
Upselling im CheckoutForced ContinuityOverloadingMittel

Drei Befunde erreichen den Schweregrad „sehr hoch“: die versteckte 12-Monats-Mindestlaufzeit, die Bait-and-Switch-Landingpage und die vollständige Auslassung der Datenkopie von der Produktvergleichsseite. In der Systematik der EDPB Guidelines 3/2022 fallen die meisten Praktiken unter „Hindering“ und „Stirring“ [30].

3.10 Tracking: Der Hotjar-Befund auf meineschufa.de

Eine technische Analyse der Website meineschufa.de ergab einen bemerkenswerten Befund: Die SCHUFA setzt das Session-Recording-Tool Hotjar (Site-ID 6613050) auf ihrer Plattform ein — jener Website, auf der Verbraucher sensible Bonitätsdaten einsehen und verwalten.

Hotjar zeichnet Nutzersitzungen auf: Mausbewegungen, Klicks, Scrollverhalten und teilweise Tastatureingaben werden erfasst und als Session-Replays gespeichert.

Consent-Steuerung vorhanden, DSE-Dokumentation fehlt: Der Hotjar-Tracking-Code (Site-ID 6613050) ist über Usercentrics consent-gesteuert eingebunden (type="text/plain", data-usercentrics="Hotjar") und wird erst nach Einwilligung geladen. Die Datenschutzinformation nach Art. 13 DSGVO enthält jedoch keinen Hinweis auf den Einsatz von Hotjar. Besonders bemerkenswert: Das KI-Chat-Widget moin.ai lädt hingegen als type="text/javascript" ohne data-usercentrics-Attribut — also ohne jede Consent-Steuerung bei jedem Seitenaufruf. Auch moin.ai fehlt in der DSE.
Keine Erwähnung in der Datenschutzinformation: Die Datenschutzinformation von meineschufa.de enthielt zum Zeitpunkt der Analyse keinen Hinweis auf den Einsatz von Hotjar. Art. 13 DSGVO verpflichtet den Verantwortlichen, Betroffene über alle Datenverarbeitungen zu informieren.
Sensibilität der betroffenen Daten: Hotjar-Session-Recordings können auf einer Bonitätsplattform besonders schützenswerte Informationen erfassen: Score-Werte, Navigationsmuster bei der Einsichtnahme in Kreditdaten und Interaktionsdaten mit sensiblen Formularen.

Hotjar selbst stellt in seiner DSGVO-Dokumentation klar, dass Website-Betreiber für die ordnungsgemäße Einwilligungseinholung verantwortlich sind [24].

3.10a Der moin.ai-Befund: KI-Chat ohne Consent

Das KI-Chat-Widget moin.ai wird auf meineschufa.de als type="text/javascript" ohne data-usercentrics-Attribut geladen — es lädt bei jedem Seitenaufruf ohne Consent-Steuerung. Im Gegensatz zu Hotjar, AB Tasty und Google Tag Manager, die korrekt über Usercentrics consent-gesteuert sind, umgeht moin.ai die CMP komplett. In der Datenschutzinformation wird moin.ai nicht erwähnt. (Verifiziert am 29.03., 01.04. und 02.04.2026)

3.11 Tracker-Landschaft auf SCHUFA-Domains

Die SCHUFA betreibt mehrere Webdomains (schufa.de, meineschufa.de). Neben Hotjar umfasst die Tracking-Infrastruktur weitere Analyse- und Marketing-Tools, deren vollständige Auflistung mangels öffentlicher Transparenzberichte nicht möglich ist.

3.12 Datenschutz-Vergleich der Auskunfteien

Tabelle 7: Datenschutz-Vergleich der Auskunfteien

AuskunfteiTracking-TransparenzBesonderheiten
SCHUFAHotjar consent-gesteuert aber nicht in DSE, moin.ai ohne Consent, lückenhaftes TransparenzniveauSession-Recording auf Bonitätsplattform, KI-Chat ohne Consent-Steuerung
CreditreformSession-Cookies, Opt-in für TrackingKeine Datenweitergabe an Dritte (laut DSE)
CRIFStandard-DSGVO-KonformitätEigene DSGVO-Verstöße dokumentiert
infoscore/ExperianRegistrierung bei DatenschutzbehördenStrikte Opt-in-Anforderungen

3.13 Warum Tracking auf Bonitätsportalen besonders problematisch ist

Die SCHUFA verarbeitet Daten, die existenzielle Auswirkungen auf das Leben von Verbrauchern haben: Zugang zu Wohnraum, Krediten, Mobilfunkverträgen und Versicherungen. Wenn dieselbe Institution, die diese Daten verwaltet, auf ihrer Website Session-Recording-Tools einsetzt, ohne diese in der Datenschutzinformation zu dokumentieren, und ein KI-Chat-Widget gänzlich ohne Consent-Steuerung lädt, untergräbt das das Vertrauen in die gesamte Kreditauskunfts-Infrastruktur.

4. Juristische Analyse

4.1 Rechtliche Einordnung der Dark Patterns

Die Verbraucherzentrale NRW hat die Praxis der SCHUFA öffentlich kritisiert [14][15]. Der vzbv hat Klage gegen die SCHUFA Holding AG erhoben [13]. Die noyb-Beschwerde argumentiert, dass die SCHUFA gegen Art. 12 Abs. 2 DSGVO verstößt [9].

4.2 Die EuGH-Wende: Scoring als automatisierte Einzelentscheidung

Am 7. Dezember 2023 fällte der EuGH ein Urteil, das den Datenschutz bei Kreditauskunfteien grundlegend veränderte.

EuGH, Rs. C-634/21: Der EuGH entschied, dass die Erstellung eines Bonitäts-Scores eine „automatisierte Entscheidung im Einzelfall“ im Sinne von Art. 22 DSGVO darstellt — bereits dann, wenn Dritte diesen Score als maßgeblichen Faktor für Vertragsabschlüsse heranziehen [1]. Die Pflicht zur Einhaltung von Art. 22 DSGVO trifft die Auskunftei selbst [10].

EuGH, Rs. C-203/22 (27. Februar 2025): Auskunfteien müssen offenlegen, wie Bonitätsbewertungen zustande kommen. Die Berufung auf „Geschäftsgeheimnisse“ genügt nicht mehr als pauschale Rechtfertigung [2].

4.3 BGH-Rechtsprechung zur Scoreformel

BGH, VI ZR 156/13 (28. Januar 2014): Die SCHUFA-Scoreformel ist als Geschäftsgeheimnis geschützt [3]. Offengelegt werden müssen dagegen die gespeicherten personenbezogenen Daten und welche kreditrelevanten Daten in die Score-Berechnung einfließen. Diese Zweiteilung war der Status quo bis 2023.

4.4 Die 100-Tage-Regel und Löschfristen

Die Löschfristen für SCHUFA-Einträge befinden sich in einer Phase tiefgreifender Veränderung. Auf Initiative des HBDI wurde ein neuer Verhaltenskodex verabschiedet [8]: Wird eine Zahlungsstörung innerhalb von 100 Tagen beglichen, wird der Eintrag nach 18 Monaten statt 36 Monaten gelöscht [23].

Tabelle 8: Aktuelle Löschfristen im Überblick

EintragsartLöschfristRechtsgrundlage
Erledigte Forderung (Standard)36 Monate nach ErledigungVerhaltenskodex der Auskunfteien
Erledigte Forderung (100-Tage-Regel)18 Monate nach ErledigungNeuer Verhaltenskodex (ab 01/2025)
Anfragen (Kreditkonditionsanfragen)12 MonateSCHUFA-interne Regelung
Insolvenzverfahren36 Monate nach AufhebungVerhaltenskodex
Restschuldbefreiung6 Mon. (öffentl.) / 36 Mon. (SCHUFA)EuGH Rs. C-634/21 (umstritten)

4.5 Schadensersatz-Urteile

BGH VI ZR 10/24 (November 2024): 500 Euro immaterieller Schadensersatz wegen rechtswidriger SCHUFA-Meldung [4].

LG Bayreuth (April 2025): 3.000 Euro Schadensersatz wegen intransparenter Score-Berechnung [7].

VG Wiesbaden (November 2025): Verpflichtung der SCHUFA zu detaillierten Score-Erklärungen. Die pauschale Mitteilung eines Score-Werts ohne Erklärung verstößt gegen Art. 15 DSGVO [6].

OLG Köln (April 2025): Bezahlte Negativeinträge müssen sofort gelöscht werden. Der BGH hat dieses Urteil im Dezember 2025 aufgehoben und zurückverwiesen [5].

4.6 Beschwerden und die Rolle der Aufsichtsbehörde

Der HBDI unter Prof. Dr. Alexander Roßnagel ist seit Juli 2011 zuständig [8]. Der vzbv erfasste 2024 insgesamt 317 Beschwerden zu Bonitätsbewertungen, davon geschätzt 79 Prozent zu SCHUFA-Scoring-Problemen.

5. Reform 2026: Das neue Scoring-Modell

5.1 Der neue SCHUFA-Score (März 2026)

Unter dem Druck der EuGH-Rechtsprechung führte die SCHUFA am 17. März 2026 ein grundlegend neues Scoring-Modell ein [20][21][22].

Tabelle 9: Altes vs. neues Scoring-Modell

MerkmalAltes SystemNeues System (ab März 2026)
Anzahl der Kriterienca. 25012
Skala0–100 % (Branchenscores)100–999 Punkte
Anzahl der Scores6 branchenspezifische Scores1 einheitlicher Score
NachvollziehbarkeitNicht gegebenVerbraucher kann Score selbst berechnen
AktualisierungQuartalsweiseQuartalsweise
VerfügbarkeitNur teilweise in DatenkopieApp, Web, Datenkopie

Das neue 12-Faktoren-Modell soll ohne statistische Vorkenntnisse verständlich sein. Stand April 2026 haben etwa 25 Prozent der Unternehmenskunden auf den neuen Score umgestellt.

5.2 Score-Klassen-Verschiebung

Laut einer SCHUFA-Kundeninformation vom 31. März 2026 bleiben 83 Prozent der Verbraucher in derselben Score-Klasse. Neun Prozent werden höher eingestuft, acht Prozent niedriger [25].

5.3 Konkrete Änderungen

Die Anzahl der Girokonten und Kreditkarten hat im neuen Score keinen Einfluss mehr. Anfragen und Vertragsabschlüsse werden nicht mehr doppelt gezählt. Mehrere Anfragen innerhalb von 28 Tagen bleiben ohne negativen Einfluss. Zuverlässiges Zahlungsverhalten verbessert den Score schneller als zuvor. Langfristige Vertragsbeziehungen wirken sich positiv aus.

5.4 Was bleibt intransparent

Trotz der Fortschritte: Die Auswahl der 12 Kriterien aus den ursprünglich 250 Faktoren ist nicht im Detail dokumentiert. Ein unabhängiges Peer Review liegt nicht vor. Die Übergangsphase erzeugt temporäre Unklarheiten — insbesondere für die acht Prozent, die sich nun in einer niedrigeren Klasse befinden.

Aktualisierungsfrequenz — Fakt vs. Marketing: Der neue Score wird weiterhin quartalsweise aktualisiert. Die Formulierung „tagesaktueller Score“ ist im besten Fall irreführend, im schlechtesten Fall bewusst täuschend.

5.5 OpenSCHUFA: Was die Zivilgesellschaft aufgedeckt hat

Die Open Knowledge Foundation und AlgorithmWatch starteten 2018 mit OpenSCHUFA die erfolgreichste Datenspende-Kampagne Deutschlands [11][12]. Über 100.000 Bürger forderten ihre Datenkopie an. Die Analyse belegte systematische demografische Verzerrungen: Junge Männer erhielten durchgehend schlechtere Scores — unabhängig von ihrem Zahlungsverhalten. Das Projekt gewann den Data Journalism Award [18].

6. Fazit und Forderungen

6.1 Bestandsaufnahme

Die SCHUFA befindet sich im Umbruch — gezwungen durch EuGH- und BGH-Urteile, aufsichtsbehördliches Handeln und zivilgesellschaftlichen Druck. Das neue Scoring-Modell ist ein beachtlicher Schritt. Gleichzeitig bestehen gravierende Missstände fort: Die kostenlose Datenkopie wird durch Dark Patterns benachteiligt. Die fehlende Dokumentation von Session-Recording-Tools in der Datenschutzinformation und der Einsatz eines KI-Chat-Widgets ohne jede Consent-Steuerung sind mit den Anforderungen an eine vertrauenswürdige Kreditauskunftei unvereinbar. Die Eigentümerstruktur bleibt ein strukturelles Transparenzproblem.

6.2 Forderungen

An die SCHUFA: Gleichwertige digitale Bereitstellung der kostenlosen Datenkopie. Bereitstellung einer kostenlosen Kurzversion zur Weitergabe an Dritte. Offenlegung aller Tracking-Technologien. Veröffentlichung der Scoring-Methodik zur unabhängigen Überprüfung.

An den HBDI: Prüfung der fehlenden DSE-Dokumentation von Hotjar und des consent-losen Einsatzes von moin.ai auf meineschufa.de. Durchsetzung der Gleichbehandlung von Datenkopie und Bezahlprodukten nach Art. 12 Abs. 2 DSGVO.

An den Gesetzgeber: Gesetzliche Verankerung eines Rechts auf digitale Echtzeit-Einsicht in Bonitätsdaten. Prüfung der Eigentümerstruktur. Einführung verpflichtender Algorithmen-Audits.

Quellenverzeichnis

[1] EuGH, Rs. C-634/21 (SCHUFA Holding — Scoring), 7. Dezember 2023. gdprhub.eu

[2] EuGH, Rs. C-203/22 (Dun & Bradstreet Austria), 27. Februar 2025. lhr-law.de

[3] BGH, VI ZR 156/13 (SCHUFA-Scoreformel), 28. Januar 2014. lto.de

[4] BGH, VI ZR 10/24 (Immaterieller Schadensersatz), November 2024. gdprhub.eu

[5] OLG Köln (Sofortlöschung bezahlter Einträge), 10. April 2025. anwalt.de

[6] VG Wiesbaden (Transparenzpflicht), November 2025. ppc.land

[7] LG Bayreuth (Schadensersatz), April 2025. dr-schulte.de

[8] HBDI — Verkürzung der Speicherfristen, Mai 2024. datenschutz.hessen.de

[9] noyb — Beschwerde gegen SCHUFA, Februar 2024. noyb.eu

[10] noyb — EuGH-Urteile zu Credit-Ranking. noyb.eu

[11] AlgorithmWatch — OpenSCHUFA-Ergebnisse, 2018. algorithmwatch.org

[12] OpenSCHUFA — GitHub-Repository. github.com

[13] vzbv — Klage gegen SCHUFA Holding AG. verbraucherzentrale.de

[14] VZ NRW — EuGH-Urteil zu Scoring. verbraucherzentrale.nrw

[15] VZ NRW — Kostenfreie SCHUFA-Auskunft. verbraucherzentrale.nrw

[16] Peeking Inside the Schufa Blackbox (arXiv), 2023. arxiv.org

[17] Columbia Journalism Review — Investigating Algorithms. cjr.org

[18] Data Journalism Awards — Black Box Schufa. datajournalismawards.org

[19] SCHUFA — Umsatzsteigerung 2024. schufa.de

[20] FEBIS — SCHUFA New Score, März 2026. febis.org

[21] PwC Legal — SCHUFA Score Reforms 2026. legal.pwc.de

[22] BANKINGCLUB — Der neue SCHUFA-Score. bankingclub.de

[23] SCHUFA — 100-Tage-Regel. schufa.de

[24] Hotjar — GDPR Compliance. hotjar.com

[25] SCHUFA-Serviceteam — Kundeninformation zum neuen Score, E-Mail vom 31. März 2026.

[26] Live-Analyse des meineSCHUFA-Chatbots (moinAI), April 2026.

[27] Systematische Framing-Analyse von meineschufa.de, April 2026.

[28] Google-Suchergebnis-Analyse für SCHUFA-Datenkopie, April 2026.

[29] Harry Brignull — Deceptive Patterns. deceptive.design

[30] EDPB Guidelines 3/2022 on Dark Patterns. edpb.europa.eu

[31] OECD — Dark Commercial Patterns, 2022. oecd.org

© 2026 Frank Drescher / NLTS Global Analytics s.r.o. · CC BY 4.0
Kontakt: [email protected] · Letzte Aktualisierung: April 2026