Änderungen im BDSG zum 20. November 2026 insbesondere zum Verbraucherschutz und Scoring

Zum 20. November 2026 wurde das BDSG wieder geändert. Fast unbemerkt von der datenschutzrechtlichen Öffentlichkeit wurden geänderte Regelungen für Verbraucher, Auskunfteien und Datenbankbetreiber sowie geänderte Vorgaben zum Scoring (insbesondere die Ausweitung von verbotener Verarbeitung) ins BDSG eingefügt.

Auslöser war die EU-Richtlinie 2023/2225 vom 18. Oktober 2023 über Verbraucherkreditverträge (engl. credit agreements for consumers). In einem Artikelgesetz vom 12. Mai 2026 hat der Bundesgesetzgeber diese Richtlinie mit 14 Artikel in deutsches Recht umgesetzt (BGBl. 2016 Nr. 139). In letzter Minute, nämlich bei den Beratungen im Ausschusses für Recht und Verbraucherschutz“ wurden als Art. 3 auch BDSG-Änderungen eingefügt (BT-Drs. 21/5381 vom 15.04.2026). Das Artikelgesetz vom 12. Mai 2026 (BGBl. 2026 Nr.  139) enthält umfangreiche Änderungen im BGB (insbes. bei den besonderen Vorschriften für Verbraucherdarlehensverträge in den §§ 491 bis 515 BGB), sowie damit zusammenhängend im EGBGB, UWG, GewO, KWG und VVG. Datenschutzrechtlich wurden durch Art. 3 des Gesetzes die Regelungen für die §§ 30, 31, 37a und 43 BDSG geändert und durch Art. 4 die §§ 30 und 37a BDSG als Verbraucherschutzgesetze qualifiziert, womit bei einem Verstoß dagegen ein entsprechendes Vorgehen nach dem Unterlassungsklagengesetz möglich ist (siehe§ 2 Abs. 2 Nr. 14 UklaG). Die bislang erste und einzige Kommentierung der neuen Datenschutznormen findet sich bereits jetzt im Bergmann/Möhrle/Herb, Datenschutzrecht, Stand 70. EL, Juli 2026.

Änderungen im § 30 BDSG

§ 30 BDSG („Verbraucherkredite“) ist eigentlich eine Wettbewerbsregel und dient dem Verbraucherschutz. Darlehensgeber sind zur Gleichbehandlung von Auskunftsverlangen in der gesamten Europäischen Union verpflichtet und Betroffene sind über abgelehnte Verträge zu unterrichten.

Die Gesetzesänderung zum 22. November 2026 (BGBl. 2016 Nr. 139) hat § 30 BDSG um 7 Absätze erweitert und bezweckt damit insbesondere die Umsetzung der in Art. 18 und 19 der Richtlinie 2023/2225 enthaltenen Regelungen:

• Kreditgeber (engl. creditors) haben nach Art. 18 EU-RiLi Informationspflichten vor Abschluss eines Kreditvertrag und werden zur verstärkten und sorgfältigen Prüfungen der Kreditwürdigkeit eines Verbrauchers  (engl. consumer) angehalten.
• Art. 19 EU-RiLi enthält Vorschriften für die entsprechenden Datenbanken (engl. databases). Wenn ein Kreditgeber die Kreditwürdigkeit durch Abfrage aus (öffentlichen oder privaten) Datenbanken prüft, muss bei grenzüberschreitenden Krediten ein diskriminierungsfreier Zugang zu den jeweiligen (europäischen) Datenbanken gewährleistet werden und die Kreditgeber sind einer staatlichen Aufsichtsbehörde zu unterstellen.

Bei der Terminologie und den Begriffsbestimmungen ist zu beachten, dass die Richtlinie 2023/225 (vgl. dort die Definitionen in Art. 3) von Kreditgebern (engl. creditors) und Kreditvermittlern (engl. credit intermediaries) spricht, während im BDSG von Darlehensgebern und Darlehensvermittlern die Rede ist. Durch § 30 Abs. 9 BDSG werden die Regelungen des § 30 BDSG auf Finanzierungshilfen gemäß § 506 BGB erstreckt.

Nach § 30 Abs. 4 BDSG dürfen nur aktuelle und zutreffende Informationen, also personenbezogene Daten über Verbraucher verarbeitet werden. Diese Anforderung ergibt sich bereits aus Art. 5, 24 und 32 DSGVO.

Neu und wesentlich sind dagegen die in § 30 Abs. 5 BDSG enthaltenen Verarbeitungsverbote im Hinblick auf sensitive Daten (nach Art. 9 Abs. 1 DSGVO) und solche aus sozialen Netzwerken. Diese Verbote gelten nur für Allgemein-Verbraucherdarlehensverträge (und nicht Immobiliar-Verbraucherdarlehensverträgen) und richten sich sowohl an Darlehensgeber als auch Darlehensvermittler. Der pauschale Verweis auf sensitive Daten, also Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO ist indessen kritisch zu sehen; dasselbe gilt für das Verbot, Daten aus sozialen Netzwerken zu verwenden, also Daten aus digitalen Plattformen über die insbesondere eine Kommunikation und der Austausch von Inhalten möglich ist (siehe dazu Bergmann/Möhrle/Herb, § 30 BDSG, RN 26 und 27).

• 30 Abs. 6 setzt Art. 18 Abs. 8 der Verbraucherkredit-Richtlinie 2023/2225 um und enthält Rechte für die Darlehensnehmer. Für den Fall, dass die Kreditwürdigkeitsprüfung eine automatisierte Verarbeitung personenbezogener Daten beinhaltet, trifft Abs. 6 drei Regelungen:
• Nach Abs. 6 Satz 1 kann das Eingreifen einer natürlichen Person (also nicht künstlicher Intelligenz) verlangt werden.
• Durch Abs. 6 Satz 2 wird zwecks Transparenz und Nachvollziehbarkeit dieses Recht in einzelne Unterpunkte (z.B. Erläuterung der Logik, der Risiken, der Bedeutung und der Auswirkungen) aufgegliedert.
• Die größte praktische Bedeutung liegt in Abs. 6 Satz 3, weil danach der Darlehensgeber verpflichtet ist, den Darlehensnehmer über seine Rechte nach Abs. 6 Sätze 1 und 2 zu unterrichten. Dies hat bereits „nach Abschluss der automatisierten Datenverarbeitung“ zu erfolgen (BT-Drs. 21/1851, S. 152).

Die Informationspflicht hat eine eigenständige Bedeutung neben der Informationspflicht aus § 30 Abs. 7 Satz 2 (wegen Ablehnung eines Vertragsschlusses) und gilt nur, wenn die Kreditwürdigkeitsprüfung selbst (und nicht nur die Vorbereitungshandlungen) automatisiert erfolgt (BT-Drs. 21/1851, S. 152). Ergänzend gilt § 30 Abs. 8 BDSG, wonach Verbrauchern eine Beschwerde zu erleichtern ist.

Für die Form der Unterrichtung nach Abs. 6 Satz 3 gibt es keine Vorgaben, so dass auch eine Information per Telefon oder E-Mail möglich ist. Dies kann auch automatisiert z.B. mit Hilfe künstlicher Intelligenz erfolgen. Wenn ein Darlehensgeber dann aber seine Rechte nach Abs. 6 Satz 1 oder Satz 2 geltend macht, dann muss eine natürliche Person handeln.

Durch § 30 Abs. 7 bleibt die Informationspflicht bei der Ablehnung eines Vertragsschlusses nach wie vor bestehen und gilt nur, wenn die Kreditwürdigkeitsprüfung selbst (und nicht nur die Vorbereitungshandlungen) automatisiert erfolgt (BT-Drs. 21/1851, S. 152).

Streichung § 31 BDSG und Einfügung eines § 37a BDSG

§ 31 („Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften“) wurde aufgehoben und durch § 37 a BDSG ersetzt. § 37 a BDSG ist wie § 37 BDSG (der für Versicherungsverträge gilt) eine Ausnahme vom europarechtlichen Verbot der automatisierter Verarbeitung von Daten nach Art. 22 DSGVO. Durch neue Vorgaben zur Berechnung eines Wahrscheinlichkeitswertes und damit zur Erstellung eines Scores wurden umfangreiche und einschränkende Vorgaben gemacht.

Geänderte Scoring-Regelungen im neuen § 37 a BDSG

Scoring ist ein statistisches Verfahren mit dem Ziel, eine Prognose über ein zukünftiges Verhalten zu erhalten und zu ermöglichen. Aufgrund bestimmter Merkmale werden Wahrscheinlichkeitswerte gebildet, damit eine Entscheidung getroffen werden kann, ob beispielsweise eine Kreditvergabe oder die Aufnahme von Kundenbeziehungen sinnvoll ist (Bergmann/Möhrle/Herb, § 37 a BDSG, RN 8 sowie die Darstellung der verschiedenen Anwendungsbereiche in RN 10).  Bislang war bei den Scoring-Verfahren insbesondere europarechtlich kritisch, ob der alte § 31 BDSG eine hinreichende Rechtsgrundlage bot. § 37a BDSG soll nach dem Willen des Gesetzgebers eine bestimmte und normenklare Rechtsgrundlage für die Verwendung von Wahrscheinlichkeitswerten,  insbesondere Scoring schaffen. Damit soll sowohl bei den Verbrauchern als auch Auskunfteien (z.B. SCHUFA), Banken, Versandhändlern und Energieversorgern eine rechtssichere Behandlung möglich werden.

Wie bislang beim alten § 31 BDSG dürfen für die Berechnung des Wahrscheinlichkeitswertes nach § 37 a Abs. 2 Nr. 3 BDSG nur „wissenschaftlich anerkannte mathematisch-statistischen Verfahren“ verwendet werden und die verwendeten Merkmale müssen nachweisbar erheblich sein. Durch § 37 a Abs. 2 BDSG erfährt jedoch die Erstellung und Verwendung von Wahrscheinlichkeitswerten eine erhebliche Beschränkung:

• Für die Erstellung dürfen weder personenbezogene Daten im Sinne von Art. 9 DSGVO, noch das Alter, Geschlecht und der Name genutzt werden (§ 37a Abs. 2 Nr. 1a und b BDSG).
• Nach § 37 a Abs. 2 Nr. 1 BDSG dürfen keine Wahrscheinlichkeitswerte erstellt oder verwendet werde, die eine „minderjährige Person betreffen“. Damit ist die Verwendung von Daten ausgeschlossen, die vor der Volljährigkeit entstanden sind. Dies dürfte sachgerecht sein, zumal z.B. auch Art. 8 DSGVO für unter 18-jährige Personen besondere Regelungen für die Einwilligung aufstellt und dieser Personenkreis zu Beginn des Eintritts in die Geschäftswelt besonders schutzbedürftig im Hinblick auf seine zukünftige Entwicklung und Leben ist (Bergmann/Möhrle/Herb, § 37 a BDSG, RN 40).
• Bei der in § 37a Abs. 2 Nr. 1 d BDSG geregelten Verwendung von Anschriftendaten hat der Gesetzgeber gegenüber § 31 Abs. 1 Nr. 3a BDSG a.F. eine Änderung im Sinne eines Nutzungsverbots vorgenommen, weil Anschriftendaten jetzt ausnahmslos nicht mehr genutzt werden dürfen. Mit dieser kategorischen Aussage verkennt der Gesetzgeber die gesellschaftlichen und wirtschaftlichen Realitäten. Es gibt in der Praxis Wohnanschriften, die für Verantwortliche erhebliche Risiken für einen Vertragsabschluss oder eine Kreditierung darstellen. Man wird § 37a Abs. 2 Nr. 1 d jedoch so auslegen müssen, dass zwar nicht einzelne Anschriften, aber ein Konglomerat von Anschriften, also z.B. einem Wohngebiet oder einer Mikroregion Eingang in die Berechnung von Wahrscheinlichkeitswerten finden darf.
• Auch personenbezogene Daten aus der Nutzung sozialer Netzwerke dürfen nicht herangezogen werden (was kritisch gesehen wird: Bergmann/Möhrle/Herb, § 37 a BDSG, RN 32).
• Nach § 37 a Abs. 2 Nr. 1c BDSG dürfen für die Erstellung von Wahrscheinlichkeitswerten auch keine „Informationen über Zahlungseingänge und -ausgänge auf und von Bankkonten“ genutzt werden. Zumindest die Nutzung für ein bankinternes Scoring wird man hingegen annehmen müssen (Bergmann/Möhrle/Herb, § 37 a BDSG, RN 35).

Was die Verwendung eines Wahrscheinlichkeitswertes durch Auskunfteien für die Beurteilung der Zahlungsfähigkeit und -willigkeit anbelangt, verbleibt es hingegen infolge § 37 a Abs. 3 BDSG bei den schon in § 31 Abs. 2 BDSG a.F. aufgestellten Voraussetzungen (z.B. fehlende Zahlung nach rechtskräftig festgestelltem Urteil).

Mitteilungspflichten von Wahrscheinlichkeitswert-Verantwortlichen

Weil nach Art. 22 Abs. 2 Ziff. b DSGVO Ausnahmen vom Verbot automatisierter Einzeleinscheidungen „angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Personen enthalten“ müssen, bestehen auch nach § 37a Abs. 4 BDSG für Verantwortliche, die Wahrscheinlichkeitswerte erstellen, bestimmte Mitteilungspflichten, was zudem der Transparenz dienen soll (BT-Drs. 12/5381 vom 15.04.2026, Seite 21). Es sind die für die Erstellung genutzten Daten der betroffenen Person sowie die Kriterien einschließlich deren Gewichtung und die erstellten Wahrscheinlichkeitswerte sowie deren Aussagekraft mitzuteilen; dazu die Mitteilung des konkreten Wahrscheinlichkeitswerts und ihre Empfänger (§ 37a Abs. 4 Nr. 1 bis 4 BDSG). Dies muss in Form und Frist den Anforderungen des Art. 12 Abs. 3 DSGVO genügen.

Rechte von Wahrscheinlichkeitswerten betroffenen Personen

Beruht eine Entscheidung gegenüber einer betroffenen Person auf einem Wahrscheinlichkeitswert entstehen durch § 37a Abs. 5 BDSG spezielle Rechte. Ein Betroffener hat gegenüber derjenigen Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet, die bereits in Art. 22 Abs. 3 DSGVO aufgeführten Rechte und damit das Recht auf Anfechtung, das Recht auf Darlegung des eigenen Standpunkts und das Recht auf eine Entscheidung einer natürlichen Person. Dies bedeutet insbesondere dass einem Betroffenen nicht ausschließlich automatisiert oder über künstliche Intelligenz geantwortet werden darf, sondern notwendig ist, dass der Standpunkt von einem Menschen gelesen, also zur Kenntnis genommen wird (Bergmann/Möhrle/Herb, Art. 22 DSGVO, RN 54 b) .

Erweiterung der Bußgeldvorschrift (§ 43 BDSG)

Wie bislang sind nur Verstöße gegen Art. 30 BDSG bußgeldbewehrt; Verstöße gegen § 37 a BDSG können nur bei gegebenenfalls gleichzeitigen Verstößen gegen DSGVO-Normen über Art. 83 sanktioniert werden.