In einem Satz
Die Schufa ist kein Amt, sondern ein privates Unternehmen unter der DSGVO — daraus folgen drei durchsetzbare Rechte in fester Reihenfolge: erst Auskunft, dann sortieren, dann Berichtigung, Löschung oder Widerspruch.
Erst die kostenlose Datenkopie
Der erste Schritt wird häufig falsch gemacht. Verlangen Sie die Datenkopie nach Art. 15 Abs. 3 DSGVO, nicht die kostenpflichtige Bonitätsauskunft für Vermieter. Sie ist unentgeltlich, verlangt keine Begründung und enthält mehr: alle Einträge, ihre Herkunft, die Speicherdauer, die Empfänger. Die Herkunftsangabe ist der Hebel — ohne sie wissen Sie nicht, wem Sie widersprechen müssen, und viele Korrekturen laufen über das meldende Unternehmen.
Dann sortieren: drei Kategorien
Ordnen Sie jeden Eintrag zu — davon hängt ab, welches Recht passt:
- Sachlich falsch — nie erhoben, falsch beziffert, Namensverwechslung, längst bezahlt. Zuständig ist die Berichtigung nach Art. 16 DSGVO.
- Bestritten oder unwirksam — etwa aus einem widerrufenen Vertrag oder eine nie titulierte, stets bestrittene Forderung. Hier passt die Löschung nach Art. 17 DSGVO.
- Richtig, aber überfällig — der Eintrag stimmte, ist erledigt und hat seine Speicherdauer erreicht. Auch das ist ein Löschungsfall.
Daneben steht der Widerspruch nach Art. 21 DSGVO — er richtet sich nicht gegen die Richtigkeit, sondern gegen die Verarbeitung als solche. Stellen Sie jeden Antrag getrennt und mit Frist; ein pauschales „Bitte alles löschen" wird abgelehnt, weil es keinen prüfbaren Grund nennt.
Die Drei-Jahres-Frist steht nicht im Gesetz
Ein verbreiteter Irrtum: Die Löschfristen für erledigte Negativeinträge — bekannt sind drei Jahre nach Erledigung — stehen nicht im BDSG, sondern in den Verhaltensregeln der Wirtschaftsauskunfteien, einem brancheneigenen, aufsichtsbehördlich genehmigten Regelwerk. Das ist kein Formalismus: Selbstverpflichtungen sind änderbar und binden anders als Gesetze.
Gesetzlich geregelt ist etwas anderes: § 31 BDSG bestimmt, wann eine Auskunftei Forderungsdaten überhaupt in einen Wahrscheinlichkeitswert einrechnen darf — etwa bei rechtskräftigem Titel, ausdrücklichem Anerkenntnis oder zwei schriftlichen Mahnungen mit vorheriger Unterrichtung. Ob die Vorschrift mit dem Vorrang der DSGVO vereinbar ist, wird bestritten und ist ungeklärt.
Was der EuGH Ende 2023 entschieden hat
Zwei Entscheidungen vom 7. Dezember 2023 haben die Lage verschoben. In der Sache C-634/21 entschied der Gerichtshof, dass die Ermittlung eines Score-Werts eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO sein kann, wenn Dritte maßgeblich davon abhängig machen, ob sie einen Vertrag schließen. In den verbundenen Sachen C-26/22 und C-64/22 hielt er es für unionsrechtswidrig, dass private Auskunfteien Daten über eine erteilte Restschuldbefreiung länger speichern als das öffentliche Insolvenzregister — bleibt ein solcher Eintrag stehen, ist das ein begründbarer Löschungsantrag, keine Bitte um Kulanz.
Eskalation: erst zur Aufsichtsbehörde
Bleibt die Auskunftei bei ihrer Ablehnung, ist der nächste Schritt in aller Regel nicht die Kanzlei, sondern die Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO). Sie ist kostenlos, verlangt keinen Anwalt und verschiebt die Last — die Auskunftei muss der Behörde begründen, warum sie speichert. Erst bei bezifferbarem Schaden — abgelehnte Wohnung, gescheiterter Kredit — oder für Schadensersatz nach Art. 82 DSGVO lohnt anwaltliche Vertretung.
Was die Plattform kann — und was nicht
Sie können die Datenkopie hochladen und strukturieren lassen: welche Einträge es gibt, wer gemeldet hat, wie lange gespeichert wird, welcher Antrag passt. Daraus entsteht ein sachliches Anschreiben mit Frist. Nicht beurteilen kann sie, ob eine bestrittene Forderung wirklich unbegründet ist — daran hängt der Streit, und das bleibt eine Bewertung im Einzelfall.
→ DSGVO-Auskunft im Glossar · Anwendungsfall DSGVO-Auskunft · Datenschutzrecht · Systemgrenzen
