Kurz gesagt: Ab dem 20. November 2026 dürfen Bonitäts-Scores nur noch erstellt oder verwendet werden, wenn bei ihrer Erstellung keine Adressdaten, kein Alter, kein Geschlecht, kein Name, keine Social-Media-Daten und keine Kontobewegungen genutzt wurden. Das Verbot trifft damit nicht nur Auskunfteien, sondern auch Unternehmen, die einen fremden Score einsetzen. Der neue § 37a BDSG ("Scoring") ersetzt den bisherigen § 31 BDSG, der Adressdaten noch erlaubte – solange die betroffene Person vorher informiert wurde. Diese Ausnahme fällt ersatzlos weg. Im Detail: Was sich ändert, wen es betrifft, was für einen Online-Shop mit Kauf auf Rechnung oder Ratenkauf praktisch zählt und welche Folgen ein Verstoß haben kann.
Was sich am 20. November 2026 konkret ändert
Der bisherige § 31 BDSG erlaubte die Berechnung eines Wahrscheinlichkeitswerts (Scoring) über künftiges Zahlungsverhalten unter vier Bedingungen: Datenschutzrecht eingehalten, wissenschaftlich anerkanntes Verfahren, nicht ausschließlich Adressdaten – und im Fall von Adressdaten eine vorherige Unterrichtung. Der neue § 37a BDSG streicht diese letzte Tür komplett.
| Bisher (§ 31 BDSG) | Neu (§ 37a BDSG, ab 20.11.2026) | |
|---|---|---|
| Adressdaten | erlaubt, wenn vorher informiert | komplett verboten, keine Ausnahme |
| Alter, Geschlecht, Name | nicht ausdrücklich geregelt | ausdrücklich verboten |
| Social-Media-Daten | nicht ausdrücklich geregelt | ausdrücklich verboten |
| Kontobewegungen (Ein-/Ausgänge) | nicht ausdrücklich geregelt | ausdrücklich verboten |
| Besondere Kategorien (Art. 9 DSGVO) | über allgemeines Datenschutzrecht | zusätzlich hier ausdrücklich verboten |
| Minderjährige | nicht erwähnt | ausdrücklich ausgeschlossen |
| Auskunftsrecht zum Score | allgemein über die DSGVO | eigener, detaillierter Anspruch in Abs. 4 |
Der Wegfall der Adressdaten-Ausnahme ist die inhaltlich größte Änderung. Wohngegend- oder PLZ-basiertes Scoring – lange eine Standardzutat vieler Bonitätsmodelle – ist ab dem Stichtag ohne Wenn und Aber untersagt, nicht nur informationspflichtig.
Wen § 37a BDSG betrifft – und wen nicht
Das Gesetz unterscheidet nicht zwischen Erstellen und Einkaufen, wenn es um das Verbot geht: Nach § 37a Abs. 1 und 2 BDSG dürfen Wahrscheinlichkeitswerte nur erstellt oder verwendet werden, wenn bei der Erstellung die verbotenen Daten nicht genutzt wurden. Zwei Rollen sind zu trennen:
- Wer den Score erstellt – klassische Auskunfteien wie Schufa, CRIF Bürgel, Boniversum oder Creditreform, aber auch jedes Unternehmen, das für eine eigene Vertragsentscheidung selbst einen Score berechnet, etwa ein Sofortkredit-Rechner oder ein internes Bonitätsmodell im Checkout. Nur diese Stellen müssen die Auskunft nach § 37a Abs. 4 BDSG geben.
- Wer den Score verwendet – etwa ein Online-Shop, der eine fertige Bonitätsauskunft einkauft und damit über Kauf auf Rechnung oder Ratenkauf entscheidet. Er darf den Wert ab dem 20. November 2026 nur einsetzen, wenn dessen Erstellung ohne die verbotenen Daten auskam. Zusätzlich gilt für ihn als Verantwortlichen, der aufgrund des Werts entscheidet, § 37a Abs. 5 BDSG (Anfechtung, Darlegung des eigenen Standpunkts, Entscheidung durch einen Menschen) sowie weiterhin Art. 22 DSGVO.
Wie § 37a Abs. 1 BDSG im Einzelnen mit Art. 22 DSGVO zusammenspielt, erläutert das Gesetz selbst nicht. Wenn dein Checkout automatisiert ablehnt, lass diese Frage im Zweifel juristisch prüfen.
Nicht betroffen ist ein Shop, der gar keine Wahrscheinlichkeitswerte über Kundinnen und Kunden erstellt oder einsetzt – etwa weil er nur gegen Vorkasse oder mit Sofortzahlung verkauft.
Was das für deinen Shop praktisch bedeutet
Für jeden Shop mit Kauf auf Rechnung oder Ratenkauf, der Score-Werte von einem Zahlungsdienstleister oder einer Auskunftei bezieht, hat das ab dem 20. November 2026 zwei Seiten: Die Werte dürfen nicht mehr auf Adresse, Alter, Geschlecht, Name, Social-Media-Daten oder Kontobewegungen beruhen – und du bist als Anwender mitverantwortlich, dass du nur solche Werte einsetzt. Das kann außerdem die Annahmequoten verschieben; in welche Richtung, hängt vom jeweiligen Scoring-Modell des Anbieters ab, dazu macht das Gesetz keine Aussage.
Vier Punkte für die Praxis:
- Frage bei deinem Zahlungsdienstleister oder deiner Auskunftei schriftlich nach, ob und wie sich das genutzte Scoring-Modell zum 20.11.2026 ändert, und lass dir bestätigen, dass die verbotenen Daten nicht in die Berechnung einfließen.
- Prüfe, ob dein Checkout selbst – nicht die Auskunftei – automatisiert über Annahme oder Ablehnung entscheidet. Falls ja, brauchst du einen Weg, wie Kundinnen und Kunden die Entscheidung anfechten, ihren Standpunkt darlegen und eine Entscheidung durch einen Menschen verlangen können (§ 37a Abs. 5 BDSG, daneben Art. 22 DSGVO).
- Kommt eine Ablehnung zustande, weil eine Stelle nach § 30 Abs. 1 BDSG (eine klassische Auskunftei) konsultiert wurde, greift zusätzlich die Unterrichtungspflicht aus § 30 Abs. 7 BDSG n.F. – sie gilt für "wer den Abschluss eines Verbraucherdarlehensvertrags ablehnt", nicht pauschal für jeden Online-Kauf.
- Wenn du selbst einen Score berechnest, kommen die Auskunftspflicht aus Abs. 4 (Daten, Gewichtung, Aussagekraft, Empfänger – und die dafür nötigen Informationen sind ein Jahr aufzubewahren) und der Ausschluss Minderjähriger hinzu.
Was das neue Auskunftsrecht für Verbraucher bedeutet
§ 37a Abs. 4 BDSG gibt jeder betroffenen Person einen eigenen, konkreten Anspruch gegenüber der score-erstellenden Stelle: welche eigenen Daten und Kriterien genutzt wurden, wie die Kriterien gewichtet sind, wie aussagekräftig der konkrete Wert ist und wer den Score erhalten hat. Die Frist dafür ist die aus Art. 12 Abs. 3 DSGVO – ein Monat, in begründeten Fällen verlängerbar. Zusätzlich verankert Abs. 5 ein Recht auf Anfechtung, auf Darlegung des eigenen Standpunkts und auf Entscheidung durch eine natürliche Person. Anders als die Auskunft nach Abs. 4 richtet sich dieses Recht gegen jeden Verantwortlichen, der auf Grundlage eines Wahrscheinlichkeitswerts entscheidet – also auch gegen einen Shop, der einen fremden Score einsetzt.
Was bei einem Verstoß droht
Eine eigene Bußgeldvorschrift für § 37a BDSG enthält die Gesetzesänderung nicht: Die neuen Nummern 2 und 3 in § 43 Abs. 1 BDSG betreffen nur § 30. Ob und wie Aufsichtsbehörden Verstöße gegen § 37a anderweitig sanktionieren, lässt sich dem Gesetzestext nicht entnehmen.
Ausdrücklich aufgenommen hat der Gesetzgeber § 37a dagegen in das Unterlassungsklagengesetz (Art. 4 Nr. 1 des Gesetzes: § 2 Abs. 2 Nr. 14 UKlaG nennt künftig "die §§ 30 und 37a des Bundesdatenschutzgesetzes"). Damit gehört die Vorschrift zu den Verbraucherschutzgesetzen, bei deren Verletzung nach dem UKlaG auf Unterlassung geklagt werden kann. Das Risiko liegt für Anwender daher weniger in einem Bußgeldbescheid als in einer Unterlassungsklage oder Abmahnung durch dazu berechtigte Stellen.
Häufige Fragen
Ab wann gilt § 37a BDSG?
Ab dem 20. November 2026. Die Übergangsvorschrift des Gesetzes (Art. 16 Abs. 1 BGBl. I 2026 Nr. 139) setzt dieses Datum für die BDSG-Änderung fest; nur wenige andere Teile desselben Gesetzes traten bereits am Tag nach der Verkündung im Mai 2026 in Kraft, die Scoring-Regeln gehören nicht dazu.
Muss mein Online-Shop selbst § 37a BDSG einhalten?
Ja, wenn dein Shop Wahrscheinlichkeitswerte über Kundinnen und Kunden erstellt oder verwendet – auch wenn du den Score nur bei Schufa, CRIF Bürgel oder einer vergleichbaren Stelle einkaufst. § 37a Abs. 2 BDSG erlaubt das Verwenden nur, wenn bei der Erstellung keine Adressdaten, kein Alter, Geschlecht, Name, keine Social-Media-Daten und keine Kontobewegungen genutzt wurden. Die Auskunftspflicht aus Abs. 4 trifft dagegen nur, wer den Score selbst erstellt. Entscheidest du automatisiert aufgrund des Werts, gilt für dich außerdem Abs. 5 und weiterhin Art. 22 DSGVO. Verkaufst du ausschließlich gegen Vorkasse oder Sofortzahlung und setzt keinen Score ein, ist § 37a für dich nicht einschlägig.
Was ändert sich konkret gegenüber § 31 BDSG?
Der wichtigste Unterschied: Adressdaten durften bisher mit vorheriger Information genutzt werden, jetzt sind sie für die Score-Berechnung komplett verboten. Zusätzlich verbietet das Gesetz jetzt ausdrücklich die Nutzung von Alter, Geschlecht, Namen, Social-Media-Daten und Kontobewegungen.
Was passiert mit Score-Entscheidungen, die vor dem 20.11.2026 getroffen wurden?
Das Gesetz regelt das nicht ausdrücklich als Übergangsfall für einzelne Score-Berechnungen. Ab dem Stichtag zählt für neue Berechnungen die neue Rechtslage; ob und wie Auskunfteien ältere Score-Modelle rückwirkend anpassen, ist eine Frage an den jeweiligen Anbieter, nicht am Gesetzestext ablesbar.
Wo finde ich den aktuellen Wortlaut von § 31 BDSG, solange er noch gilt?
Auf der BDSG-Gesetzesseite von dsgvo.pro – dort steht die aktuell noch gültige Fassung, bis sie am 20.11.2026 durch § 37a ersetzt wird.
Ob dein Shop selbst automatisierte Entscheidungen trifft und wo die Grenzen zwischen Auskunftei-Pflicht und eigener Verantwortung liegen, zeigt dir oft erst ein Blick von außen. Prüfe in 2 Minuten kostenlos, wie dein Online-Shop bei Datenschutz-Grundpflichten dasteht: dsgvo.pro.
