§ 37a BDSG: Neue Regeln für Scoring und Bo­ni­täts­prü­fung

Mit der Neufassung des § 37a BDSG gelten ab dem 20. November 2026 neue Regeln für Scoring und Bonitätsprüfung. Betroffen sind nicht nur Auskunfteien, sondern auch Unternehmen und Banken, die eigene Scoringmodelle einsetzen. Bestimmte Daten dürfen künftig nicht mehr in Scorewerte einfließen, zugleich steigen die Transparenz- und Dokumentationsanforderungen. Besonders anspruchsvoll ist das Verhältnis zwischen den neuen Scoringregeln und der Fraud-Prävention.

Scoring-Urteil des EuGH: Warum das Scoring neu geregelt wurde

Beim Scoring wird anhand bestimmter Daten ein Wahrscheinlichkeitswert über das künftige Verhalten einer Person berechnet. Solche Scorewerte werden beispielsweise genutzt, um über einen Kredit, einen Vertrag oder eine bestimmte Zahlungsart zu entscheiden. Es gehört seit Jahrzehnten zum Fundament der Wirtschaft – von der Kontoführung über Konsumentenkredite bis zur Zahlungsartenauswahl im Online-Handel. Der Europäische Gerichtshof hat diese Geschäftspraxis mit seinem Urteil vom 7. Dezember 2023 in der Rechtssache C-634/21 jedoch grundlegend erschüttert: Die automatisierte Erstellung eines Scorewerts durch eine Auskunftei kann danach selbst als automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 Datenschutzgrundverordnung (DSGVO) gelten, wenn der Empfänger – etwa eine Bank – seine Entscheidung maßgeblich auf diesen Score stützt. Der EuGH wollte damit nachvollziehbarerweise eine Schutzlücke schließen, denn sonst hätte der Betroffene weder gegenüber der Auskunftei noch gegenüber dem Score-Abnehmer einen wirksamen Auskunftsanspruch darüber gehabt, wie der Score beziehungsweise die darauf beruhende Entscheidung zustande gekommen ist. Für die alte Rechtsgrundlage des Scorings, § 31 Bundesdatenschutzgesetz (BDSG), hatte der EuGH durchgreifende Bedenken.

Der deutsche Gesetzgeber hat reagiert: Ein neuer § 37a BDSG-neu regelt das Scoring als Ausnahme vom Verbot automatisierter Entscheidungsfindung nach Art. 22 Abs. 2 lit. b DSGVO und ersetzt den als unionsrechtswidrig betrachteten § 31 BDSG. Die Norm ist bereits verkündet, tritt aber erst am 20. November 2026 in Kraft – genau jetzt ist also der richtige Zeitpunkt, um sich vorzubereiten.

§ 37a BDSG: Welche neuen Regeln gelten für das Scoring?Die neue Vorschrift geht deutlich über den bisherigen § 31 BDSG hinaus. Zunächst einmal erfasst sie nicht mehr nur die Verwendung von Wahrscheinlichkeitswerten, sondern ausdrücklich auch deren Erstellung. Das Scoring ist nur zulässig, wenn die verwendeten Daten für die Berechnung des Wahrscheinlichkeitswerts unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens relevant sind.

Der eigentliche Sprengstoff steckt in der Negativliste der Datenkategorien: Für die Scorewerterstellung dürfen künftig nämlich besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO (etwa Gesundheitsdaten), der Name der betroffenen Person, Anschriftendaten, Daten aus der Nutzung sozialer Netzwerke, Informationen über Zahlungsein- und -ausgänge von Bankkonten sowie Daten von Minderjährigen gerade nicht verwendet werden.

Mit dem Verbot der Anschriftendaten soll das sogenannte Geoscoring verhindert werden, bei dem Betroffene allein wegen ihres – möglicherweise einkommensschwachen – Wohnumfelds schlechter bewertet werden. Ergänzend regeln § 37a Absätze 4 bis 6 BDSG-neu weitreichende Transparenz- und Schutzvorschriften.

§ 37a BDSG: Was Unternehmen und Banken beim Scoring ändern müssen

Unternehmen dürfen den Anpassungsbedarf nicht auf die Auskunfteien abwälzen. Die allgemeinen Vorgaben der Norm beschränken sich nämlich nicht auf das Scoring durch Auskunfteien, sondern erfassen ausdrücklich auch das interne Scoring, sodass in der Praxis eine Vielzahl von Unternehmen – allen voran Banken – betroffen sein dürften. Konkret bedeutet das: Jede Scorecard, also jedes interne Bonitäts- und Entscheidungsmodell, muss auf die unzulässigen Datenkategorien hin überprüft werden. Fließen heute Anschriftendaten, Social-Media-Daten oder die Analyse des Zahlungsverkehrs auf einem Konto in die Berechnung ein, müssen diese Parameter ersetzt und die Modelle neu kalibriert werden.

Dazu kommt eine erhebliche Dokumentations- und Transparenzlast. Die für die Auskunft erforderlichen Daten sind dafür ein Jahr zu speichern. Eine Berufung auf Geschäftsgeheimnisse ist insoweit ausgeschlossen. Unternehmen müssen künftig lückenlos dokumentieren können, welche Parameter mit welcher Gewichtung in welchen Score eingeflossen sind. Der EuGH hat hierfür im Februar 2025 die Messlatte präzisiert: Zwar besteht keine Pflicht zur Offenlegung des Algorithmus, doch müssen Betroffene erfahren, in welchem Maße eine Abweichung bei den berücksichtigten personenbezogenen Daten zu einem anderen Ergebnis geführt hätte.

Erleichterung könnte die neue Verbraucherkreditrichtlinie bringen, die ohnehin vorsieht, dass Kreditnehmer informiert werden müssen, wenn ein Vertrag wegen eines schlechten Scorewerts abgelehnt wird – die damit ohnehin erforderlichen Prozesse lassen sich für die Umsetzung des § 37a nutzen.

Scoring und Fraud-Prävention: Wie lässt sich der Konflikt lösen?

Hier liegt der eigentlich heikle Punkt: Das Scoring-Verbot bestimmter Datenkategorien kollidiert mit den Erfordernissen der Betrugsprävention. Anschriftendaten spielen in der Betrugsprävention eine sehr wichtige Rolle. Die Begehung von Bestellbetrugstaten im elektronischen Handel wird durch Bestellungen an anonyme Einrichtungen wie Paketshops erheblich erleichtert – gegen die Nutzung sogenannter „Warnadressen“ hatte der Düsseldorfer Kreis daher schon zur Vorgängernorm entschieden, dass sie den Schutzzweck des Geoscoring-Verbots nicht berührt. Darüber hinaus werden Anschriftendaten in der Betrugsprävention zusammen mit anderen Daten zum Zweck der Bildung von Fraud-Scores genutzt. Da das Verbot der Anschriftendaten nach § 37a Abs. 2 BDSG-neu nicht auf Zwecke der Bonitätsprüfung beschränkt ist, könnte es auch die Bildung solcher Fraud-Scores erfassen.

Unternehmen stehen damit in einem echten Dilemma: Einerseits schulden sie ihren Kunden und sich selbst einen wirksamen Schutz vor Identitätsdiebstahl, Account-Takeover, synthetischen Identitäten und Zahlungsbetrug; die Unterscheidung von Bonitätsausfall und Betrugsprävention ist dabei praktisch bedeutsam, weil Betrug nicht die fehlende Zahlungsfähigkeit, sondern die fehlende Zahlungsabsicht adressiert. Andererseits dürfen Betrugspräventionssysteme nach der Rechtsprechung das Verhalten der Kunden datenschutzrechtlich ohnehin nur soweit überwachen, wie dies der Schutzzweck des jeweils einschlägigen Gesetzes erfordert – eine flächendeckende aufsichtsrechtliche Pflicht zur Erstellung umfangreicher Kundenprofile existiert nach geltendem Recht nicht.

Praktisch kommen für Institute mehrere Wege in Betracht: Sie können Anschriftendaten künftig nicht mehr als Scoringparameter, sondern als eigenständiges Prüfkriterium – etwa im Rahmen einer konkreten Adressprüfung oder Sperrlistenabgleich – einsetzen. Für Fraud-Scores in Massengeschäften, die wegen der Vielzahl der Vorgänge nicht manuell überprüft werden können, kommt zudem eine Berufung auf die Ausnahme des Art. 22 Abs. 2 lit. a DSGVO in Betracht, wonach die automatisierte Entscheidung für den Vertragsschluss erforderlich ist. Zu beachten ist indes die von der Literatur herausgearbeitete Gefahr, dass Aufsichtsbehörden das Anschriftendaten-Verbot „systemwidrig“ auch im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO berücksichtigen, obwohl die Verbotsnorm für sich genommen keine allgemeine Rechtsgrundlage ersetzt. Institute tun daher gut daran, Bonitäts- und Fraud-Scoring strikt zu trennen, getrennte Rechtsgrundlagen und Zweckbindungen zu dokumentieren und die Erforderlichkeit automatisierter Prüfungen im Massengeschäft nachweisbar zu begründen. Letztlich ist das Spannungsverhältnis auch kein neuartiges Phänomen: Der EuGH selbst hat auf die große sozioökonomische Bedeutung des Bonitätswesens als Fundament des Kreditwesens hingewiesen, und die Vorzüge von Scorewerten für schnelle, unbürokratische Prüfungen sind anerkannt.

§ 37a BDSG: Was gilt für Geldwäscheprävention und Compliance?

Die Neuregelung des Scorings berührt die geldwäscherechtlichen und aufsichtsrechtlichen Pflichten der Institute nicht. Das BDSG ist nach § 1 Abs. 3 BDSG ohnehin nur anwendbar, soweit keine anderen bereichsspezifischen Rechtsvorschriften des Bundes den betroffenen Sachverhalt abweichend regeln; für Kreditinstitute wird § 10 Abs. 2 KWG vielfach als bereichsspezifische Spezialnorm angesehen, die den datenschutzrechtlichen Vorschriften vorgeht. § 25h KWG schreibt Instituten Systeme zur Verhinderung von strafbaren Handlungen vor, die zu einer Gefährdung des Institutsvermögens führen können. Das Geldwäschegesetz verlangt zudem Identifizierung, Risikomanagement und Verdachtsmeldung, unabhängig davon, welche Daten die Institute ihren Bonitäts- oder Fraud-Scores zugrunde legen; ein individualisierter Schutzzweck des Geldwäschegesetzes zugunsten einzelner Kunden wurde vom Bundesgerichtshof ausdrücklich abgelehnt. Die neuen Scoring-Parameter schmälern also weder die Pflichten aus dem Geldwäschegesetz (etwa bei Identifizierung und Screening der Kunden), noch aus § 25h KWG oder dem Risikomanagement nach § 25a Abs. 1 KWG. § 37a BDSG-neu betrifft allein die Erstellung und Verwendung von Wahrscheinlichkeitswerten für Vertragsentscheidungen – die Aufsichts- und Compliance-Welt des Geldwäschegesetzes (GwG) bleibt davon unangetastet. Freilich wird auch der umgekehrte Weg versperrt: Aus aufsichtsrechtlichen Pflichten lässt sich keine datenschutzrechtliche Rechtfertigung für eine weitergehende individuelle Überwachung des Kundenverhaltens ableiten.

Scoring nach § 37a BDSG: Die wichtigsten Folgen für die Praxis

• § 37a BDSG zwingt Unternehmen und Institute, ihre Scoringmodelle zu überprüfen. Unzulässige Datenkategorien – insbesondere Anschriftendaten und Informationen über Zahlungsein- und -ausgänge – müssen aus den Scorecards entfernt und die Modelle gegebenenfalls neu kalibriert werden.
• Die Transparenz- und Dokumentationsanforderungen steigen. Unternehmen müssen nachvollziehbar dokumentieren können, welche Parameter mit welcher Gewichtung in einen Score eingeflossen sind.
• Bonitätsprüfung und Fraud-Prävention sollten klar voneinander getrennt werden. Für Betrugsprüfungen sind eigenständige Verfahren, Zweckbindungen und tragfähige Rechtsgrundlagen erforderlich.
• Geldwäscherechtliche, aufsichtsrechtliche und sonstige Compliance-Pflichten bleiben bestehen. Die neuen Scoringregeln relativieren oder erweitern diese Anforderungen nicht.
• Unternehmen sollten die verbleibende Zeit bis zum Inkrafttreten am 20. November 2026 für eine Bestandsaufnahme nutzen. Scorecards, Datenquellen, Dokumentation und Prozesse sollten frühzeitig auf Anpassungsbedarf geprüft werden.