Der neue Paragraf 37a im Bundesdatenschutzgesetz ersetzt die bisherige Scoring-Regel: Welche Angaben Auskunfteien und Kreditgeber nicht mehr verrechnen dürfen, was du über deinen Wert erfahren kannst und was gleich bleibt. Stand: 1. November 2026.
Die Regeln gelten für jeden Wahrscheinlichkeitswert, mit dem über einen Vertrag mit dir entschieden wird – also nicht nur für die bekannteste deutsche Auskunftei, die Schufa, sondern auch für andere Auskunfteien, Banken, Versandhändler oder Mobilfunkanbieter, die mit einem Score arbeiten.
Ob du einen Ratenkredit, einen Handyvertrag oder einen Kauf auf Raten bekommst, hängt oft an einer einzigen Zahl: dem Bonitätsscore. Wie er entsteht, war für Verbraucher/-innen bislang kaum nachvollziehbar. Das ändert sich in knapp drei Wochen. Mit dem Gesetz zur Umsetzung der EU-Verbraucherkreditrichtlinie hat der Bundestag auch das Bundesdatenschutzgesetz (BDSG) geändert. Der bisherige § 31 entfällt, an seine Stelle tritt ein neuer § 37a mit der Überschrift „Scoring“. Er listet erstmals ausdrücklich, welche Daten tabu sind, und gibt dir ein Recht auf Erklärung.
Was das Gesetz regelt und seit wann es feststeht
Das Gesetz zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge wurde am 12. Mai 2026 ausgefertigt und am 18. Mai 2026 im Bundesgesetzblatt (BGBl. 2026 I Nr. 139) verkündet. Nach seinem Artikel 16 tritt es im Wesentlichen am 20. November 2026 in Kraft. Die Änderungen am Datenschutzrecht stehen in Artikel 3. Eine eigene Übergangsfrist für die neuen Scoring-Vorgaben enthält das Gesetz nicht; die Übergangsregel im Einführungsgesetz zum Bürgerlichen Gesetzbuch betrifft Kreditverträge, die vor dem Stichtag bestanden.
Die Scoring-Regeln hat der Bundestag erst im parlamentarischen Verfahren verändert. Das deutsche Bundesministerium der Justiz und für Verbraucherschutz (BMJV) schreibt in seinen Antworten auf häufige Fragen, das Scoring werde dadurch „verbraucherfreundlicher, transparenter und nachvollziehbarer“ ausgestaltet und an Entscheidungen des Europäischen Gerichtshofs (EuGH) angepasst. Gemeint ist vor allem das Urteil vom 7. Dezember 2023 (Rechtssache C-634/21): Danach ist schon die Erstellung eines Scorewerts eine automatisierte Einzelentscheidung im Sinne der Datenschutz-Grundverordnung (DSGVO), wenn eine Bank ihn maßgeblich für die Kreditvergabe heranzieht. Das Urteil des EuGH ist nicht anfechtbar.
Diese Daten zählen ab 20. November nicht mehr
Nach § 37a Absatz 2 BDSG in der neuen Fassung dürfen Wahrscheinlichkeitswerte nur noch erstellt oder verwendet werden, wenn dafür sieben Arten von Daten nicht genutzt werden. Außerdem dürfen sie keine minderjährige Person betreffen, und die verwendeten Daten müssen nach einem wissenschaftlich anerkannten mathematisch-statistischen Verfahren nachweisbar erheblich sein. Der Vergleich mit dem bisherigen § 31 BDSG, der bis zum 19. November gilt:
| Datenart (Deutschland) | Bisher (§ 31 BDSG) | Ab 20.11.2026 (§ 37a BDSG) |
|---|---|---|
| Anschrift | erlaubt, aber nicht als einzige Grundlage; vorherige Unterrichtung nötig | ausgeschlossen |
| Alter, Geschlecht, Name | in § 31 nicht ausdrücklich geregelt | ausgeschlossen |
| Zahlungseingänge und -ausgänge auf Bankkonten | in § 31 nicht ausdrücklich geregelt | ausgeschlossen |
| Daten aus sozialen Netzwerken | in § 31 nicht ausdrücklich geregelt | ausgeschlossen |
| Besonders sensible Daten (Art. 9 DSGVO, z. B. Gesundheit, Religion, Herkunft) | in § 31 nicht ausdrücklich geregelt | ausgeschlossen |
| Scores über Minderjährige | in § 31 nicht ausdrücklich geregelt | nicht zulässig |
| Offene Forderungen | nur in fünf Fallgruppen (z. B. Urteil, Anerkenntnis, zwei Mahnungen) | unverändert dieselben fünf Fallgruppen |
Quelle: Bundesgesetzblatt 2026 I Nr. 139, Artikel 3; § 31 BDSG in der bis 19. November 2026 geltenden Fassung. „Nicht ausdrücklich geregelt“ heißt: Es galten nur die allgemeinen Vorgaben des Datenschutzrechts. Stand: 1. November 2026.
Wichtig ist die Abgrenzung: § 37a betrifft den Scorewert, also die errechnete Wahrscheinlichkeit. Die gesetzlich vorgeschriebene Kreditwürdigkeitsprüfung bleibt davon getrennt. Nach dem neuen § 505b Absatz 2 Bürgerliches Gesetzbuch stützt sich der Kreditgeber dabei auf Informationen zu Einkommen, Ausgaben und weiteren finanziellen Umständen. Eine Bank darf also weiter nach Gehaltsnachweisen oder Kontoauszügen fragen, um zu prüfen, ob du die Raten tragen kannst – in den Score selbst dürfen Kontoumsätze aber nicht mehr eingerechnet werden.
Ob einzelne Auskunfteien oder Banken ihre Verfahren deshalb umstellen müssen, hängt davon ab, welche Daten sie bislang verwenden. Das ist öffentlich nicht für jedes Unternehmen belegt. Die Schufa etwa hat nach Angaben der Verbraucherzentrale am 17. März 2026 einen neuen Score mit zwölf festgelegten Kriterien und einer Skala von 100 bis 999 Punkten vorgestellt.
Unverändert: Wann eine offene Rechnung in den Score darf
Bei den Zahlungsstörungen übernimmt § 37a Absatz 3 die bisherige Regel wortgleich. Eine unbezahlte Forderung darf eine Auskunftei nur berücksichtigen, wenn sie durch Urteil oder Vollstreckungstitel festgestellt ist, im Insolvenzverfahren festgestellt und nicht bestritten wurde, von dir ausdrücklich anerkannt ist, wenn ein Vertrag wegen Zahlungsrückständen fristlos gekündigt werden kann – oder wenn du nach Fälligkeit mindestens zweimal schriftlich gemahnt wurdest, die erste Mahnung mindestens vier Wochen zurückliegt, du vorher auf die mögliche Meldung an eine Auskunftei hingewiesen wurdest und die Forderung nicht bestritten hast. Wer eine Rechnung für unberechtigt hält, sollte ihr deshalb schriftlich widersprechen.
Neu: Dein Recht auf Erklärung und auf einen Menschen
Wer Scorewerte erstellt, muss dir nach § 37a Absatz 4 auf Antrag in klarer und einfacher Sprache mitteilen:
- welche deiner Daten und welche Kriterien genutzt wurden,
- wie die Kriterien gewichtet sind und welche den Wert am stärksten beeinflussen,
- wie aussagekräftig der konkrete Wert ist,
- welche Werte erstellt wurden und an wen sie gingen.
Die Frist richtet sich nach Artikel 12 Absatz 3 DSGVO: grundsätzlich unverzüglich, spätestens innerhalb eines Monats; in begründeten Fällen ist eine Verlängerung möglich. Die nötigen Informationen müssen ein Jahr lang gespeichert werden. Nach Absatz 5 kannst du eine auf dem Score beruhende Entscheidung anfechten, deinen Standpunkt darlegen und verlangen, dass ein Mensch entscheidet.
Für Kredite kommen Pflichten aus dem neuen § 30 BDSG hinzu: Lehnt ein Kreditgeber deinen Antrag wegen einer Auskunft ab, muss er dich unverzüglich informieren – künftig auch über die abgefragte Datenbank und die berücksichtigten Datenkategorien. Bisher verlangte der geltende § 30 BDSG nur die Unterrichtung über Ablehnung und Auskunft. Wird ein Rückstand bei einem Allgemein-Verbraucherdarlehen in eine Auskunftei-Datenbank eingetragen, muss die Auskunftei dich innerhalb von 30 Tagen darüber informieren. Verstöße gegen diese Informationspflichten sind nach § 43 BDSG Ordnungswidrigkeiten; Verbraucherverbände können Verstöße gegen §§ 30 und 37a nach dem Unterlassungsklagengesetz verfolgen.
Unser Fazit
Für Kreditnehmer/-innen ist § 37a die wichtigste Datenschutzänderung des Verbraucherkredit-Pakets. Wohnort, Kontobewegungen, Alter und Geschlecht dürfen nicht mehr in den Scorewert einfließen, und der Score muss erklärbar sein. Die eigentliche Prüfung, ob du dir einen Kredit leisten kannst, bleibt dagegen Sache des Kreditgebers – mit Blick auf Einkommen und Ausgaben. Wie gut das in der Praxis funktioniert, zeigt sich erst, wenn die ersten Auskünfte nach dem 20. November vorliegen. Wer einen größeren Kredit oder eine Baufinanzierung plant, kann vorher die eigenen gespeicherten Daten prüfen und Fehler korrigieren lassen. Ein Anspruch auf einen Kredit entsteht durch die neuen Regeln nicht.
Die Datenkopie nach Artikel 15 DSGVO ist bei der Schufa nach Angaben der Verbraucherzentrale kostenlos. Kostenpflichtige Bonitätsprodukte brauchst du dafür nicht. Andere Auskunfteien sind ebenfalls zur Auskunft verpflichtet; die Anfrage richtest du direkt an das jeweilige Unternehmen.
Häufige Fragen
Gilt das nur für die Schufa?
Nein. § 37a BDSG gilt für alle, die Wahrscheinlichkeitswerte über dein künftiges Verhalten erstellen oder verwenden, um über einen Vertrag zu entscheiden, und für Auskunfteien, die deine Zahlungsfähigkeit bewerten. Das können auch Banken, Händler oder Telekommunikationsanbieter sein.
Wird mein Score jetzt automatisch besser?
Das lässt sich nicht pauschal sagen. Fallen Merkmale wie die Wohnadresse weg, kann sich ein Wert in beide Richtungen verändern. Entscheidend bleiben vor allem Zahlungsstörungen und bestehende Kredite, soweit sie nach den Regeln berücksichtigt werden dürfen.
Was kann ich tun, wenn ich wegen des Scores abgelehnt werde?
Ab dem 20. November kannst du eine Erklärung der wichtigsten Kriterien verlangen, deinen Standpunkt darlegen und eine Entscheidung durch einen Menschen fordern. Hilft das nicht, kannst du dich an die zuständige Datenschutz-Aufsichtsbehörde wenden.
