草率或无依据的 SCHUFA 记录能否引发损害赔偿请求？
德国联邦最高法院（BGH）在一项原则性判决中裁定：可以，前提是该记录造成了可证明的不利后果，或者仅仅已经导致当事人失去对自身数据的控制。2025年5月13日的这项判决（案号：VI ZR 67/23）降低了数据主体的维权门槛，并显著提高了报送数据的企业的责任风险。
案情：草率报送 SCHUFA 导致严重后果
一家催收公司在债务人的异议期限尚未届满时，就向 SCHUFA 报送了一项已取得执行名义的债权。当事人主张，由此产生的 SCHUFA 负面记录给他造成了严重的经济后果，包括信用卡被取消以及房产融资失败。他依据 GDPR 第82条起诉，要求5,000 欧元的损害赔偿。科布伦茨州高等法院驳回其诉讼后，他上诉至联邦最高法院。
联邦最高法院的裁决：失去对数据的控制本身即构成损害
联邦最高法院撤销了科布伦茨州高等法院的判决，并明确指出，对 GDPR 意义上非物质损害的认定要求不得设得过高。联邦最高法院的核心观点具有指导意义：
- 损害不必“严重”，但必须具体： 原告以信用卡被取消以及业务关系面临被终止的风险，已充分说明了具体的不利后果。州高等法院所设定的高门槛并无必要。
- 失去对数据的“控制”本身即构成独立的损害： 这是该判决的关键所在。联邦最高法院强调，仅凭个人数据被非法传递给第三方（此处为 SCHUFA）这一事实，就可能构成“失去控制”形式的非物质损害。因此，数据主体不一定要证明贷款因此告吹。非法报送 本身 就是损害。
对企业的意义
SCHUFA 记录与 GDPR 损害赔偿 – 您需要了解的要点
总结：联邦最高法院加强消费者权利，企业压力增大
联邦最高法院的判决释放了一个明确信号：向征信机构报送数据时的草率或错误做法将不再被容忍。将“失去控制”认定为独立的损害，为新一轮 GDPR 损害赔偿诉讼打开了大门。对企业而言，这意味着遵守严格的报送条件并准确记录流程，比以往任何时候都更加重要。
常见问题解答
错误或草率的 SCHUFA 记录能否引发 GDPR 规定的损害赔偿请求？
可以。根据本文介绍的联邦最高法院判决，如果非法报送造成了具体的不利后果，或者已经导致失去对个人数据的控制，即可主张损害赔偿。
失去对个人数据的“控制”是什么意思？
指个人数据被非法传递给第三方，导致数据主体因此失去对其数据使用的控制。根据本文所述，这种失去控制本身即可构成 GDPR 第82条意义上的非物质损害。
数据主体是否必须证明遭受了特别严重的损害？
不必。根据本文介绍的判决，无须达到较高的严重程度门槛，但必须具体说明损害。在该案中，当事人列举了信用卡被取消以及业务关系可能受到不利影响等情况。
向 SCHUFA 非法报送数据，由谁承担责任？
根据本文所述，对于非法传递数据，原则上由作为数据保护法意义上控制者的报送企业负责。这可能涉及银行、电信企业、能源供应商或网店等。
何时可以向 SCHUFA 报送未付债权？
条件十分严格。本文特别指出：该债权原则上必须无争议，债务人必须已多次收到催告，并且必须满足特定的时间要求。每次报送之前，都应认真审核相关法律要求。
企业在向 SCHUFA 报送数据时，应在组织上注意什么？
企业应建立明确的审核和审批流程，并以可追溯的方式记录每一次报送。传递数据之前，尤其必须审核是否满足所有法定条件，以及相关债权是否确实可以报送。
