Wer als Selbständiger einen schlechten Creditreform-Bonitätsindex hat, kennt die Folgen: Der Leasingvertrag für das Firmenfahrzeug wird abgelehnt, der Lieferant verlangt Vorkasse, die Bank fordert zusätzliche Sicherheiten. Warum der Index so ausfällt, war bislang oft kaum zu erfahren. Auskunfteien beriefen sich auf ihr Geschäftsgeheimnis und teilten allenfalls die gespeicherten Daten mit, nicht deren Gewicht.
Das ändert sich mit dem Gesetz zur Umsetzung der Verbraucherkreditrichtlinie (EU) 2023/2225, verkündet im Bundesgesetzblatt (BGBl. 2026 I Nr. 139). Sein Artikel 3 ändert das Bundesdatenschutzgesetz und schafft mit § 37a BDSG eine neue, deutlich genauere Regelung des Scorings. Die wichtigsten Punkte:
- Erklärungsanspruch: Auf Antrag muss die Auskunftei Daten, Kriterien, deren Gewichtung und die Bedeutung des Werts verständlich mitteilen (§ 37a Abs. 4 BDSG).
- Verbotene Daten: Name, Alter, Geschlecht, Anschriftendaten, Daten aus sozialen Netzwerken und Kontobewegungen dürfen nicht in den Score einfließen (§ 37a Abs. 2 BDSG).
- Forderungskatalog: Offene Forderungen zählen nur unter engen, abschließend geregelten Voraussetzungen (§ 37a Abs. 3 BDSG).
- Geltungsbereich: Die Regeln gelten für Wahrscheinlichkeitswerte über natürliche Personen, also nicht für den Index der GmbH selbst.
Was regelt § 37a BDSG?
§ 37a BDSG regelt, unter welchen Voraussetzungen Wahrscheinlichkeitswerte über natürliche Personen erstellt und verwendet werden dürfen. Erfasst sind zwei Konstellationen: Prognosen über ein künftiges Verhalten für die Entscheidung über einen Vertrag, etwa durch eine Bank oder einen Leasinggeber, und die Bewertung der Zahlungsfähigkeit und Zahlungswilligkeit durch Auskunfteien unter Einbeziehung von Informationen über Forderungen.
Rechtstechnisch nutzt der Gesetzgeber die Öffnungsklausel des Art. 22 DSGVO. Der Europäische Gerichtshof hatte mit Urteil vom 7. Dezember 2023 (C-634/21) entschieden, dass bereits die Erstellung eines Scores eine automatisierte Entscheidung sein kann, wenn der Vertragspartner sich maßgeblich danach richtet. Der alte § 31 BDSG war seitdem in seiner Vereinbarkeit mit dem Unionsrecht umstritten. § 37a BDSG soll diese Lücke schließen und verbindet die Erlaubnis zum Scoring mit klaren Grenzen und Rechten der Betroffenen. Den Wortlaut der Vorschrift in der Fassung der Ausschussempfehlung enthält die Beschlussempfehlung des Ausschusses (BT-Drs. 21/5381).
Gilt das neue Scoring-Recht auch für Unternehmen?
Ja, soweit der Score eine natürliche Person betrifft. Bei Einzelunternehmen, eingetragenen Kaufleuten und Freiberuflern sind Unternehmen und Inhaber rechtlich dieselbe Person. Der Creditreform-Bonitätsindex eines Einzelunternehmens ist deshalb ein Wahrscheinlichkeitswert über eine natürliche Person, und § 37a BDSG gilt unmittelbar.
Anders bei der GmbH, der UG oder der AG: Daten einer juristischen Person sind keine personenbezogenen Daten. Für den Index der Gesellschaft selbst gilt § 37a BDSG nicht. Gesellschaften stützen sich weiterhin auf das Unternehmenspersönlichkeitsrecht und § 824 BGB, wenn die Bewertung auf falschen oder unvollständigen Tatsachen beruht. Personenbezogene Daten von Geschäftsführern und Gesellschaftern in der Firmenauskunft bleiben dagegen voll geschützt. Ob Gerichte die Wertungen des § 37a BDSG auch bei Gesellschaften heranziehen, deren Bewertung erkennbar an die Personen der Geschäftsführung anknüpft, ist offen.
Bei Personengesellschaften wie der GbR, der OHG oder der KG ist die Lage gemischt: Die Gesellschaft selbst ist nicht geschützt, die Daten der Gesellschafter schon.
Welche Daten dürfen nicht mehr in den Score einfließen?
Ein Wahrscheinlichkeitswert über eine natürliche Person darf nach § 37a Abs. 2 BDSG nur gebildet oder verwendet werden, wenn bestimmte Daten außen vor bleiben. Ausgeschlossen sind:
- besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten,
- Alter, Geschlecht und Name,
- Daten aus sozialen Netzwerken,
- Informationen über Zahlungseingänge und -ausgänge auf Bankkonten,
- Anschriftendaten.
Werte über Minderjährige sind unzulässig. Die verwendeten Daten müssen nach einem wissenschaftlich anerkannten statistischen Verfahren nachweislich erheblich sein, und der Wert darf nur zu diesem Zweck verarbeitet werden.
Für Selbständige ist vor allem das Verbot der Anschriftendaten wichtig. Scores, die das Wohnumfeld oder die Lage einer Adresse berücksichtigen, belasten Unternehmer in bestimmten Stadtteilen oder ländlichen Regionen, ohne dass dies etwas über die eigene Zahlungsmoral aussagt. Ob das Verbot auch die Geschäftsanschrift eines Einzelunternehmers erfasst, die zugleich seine Anschrift ist, wird sich in der Praxis zeigen. Der Wortlaut spricht dafür.
Welche offenen Forderungen darf die Auskunftei noch berücksichtigen?
Nach § 37a Abs. 3 BDSG dürfen bei der Bonitätsbewertung nur fällige, nicht bezahlte Forderungen berücksichtigt werden, die eine der folgenden Voraussetzungen erfüllen:
- Sie sind durch ein rechtskräftiges oder vorläufig vollstreckbares Urteil festgestellt oder es liegt ein Schuldtitel nach § 794 ZPO vor.
- Sie sind im Insolvenzverfahren festgestellt und vom Schuldner im Prüfungstermin nicht bestritten worden.
- Der Schuldner hat sie ausdrücklich anerkannt.
- Der Schuldner ist nach Eintritt der Fälligkeit mindestens zweimal schriftlich gemahnt worden, zwischen der ersten Mahnung und der Übermittlung liegen mindestens vier Wochen, er wurde vorher über die mögliche Berücksichtigung durch eine Auskunftei unterrichtet, und er hat die Forderung nicht bestritten.
- Das Vertragsverhältnis kann wegen Zahlungsrückständen fristlos gekündigt werden, und der Schuldner wurde über die mögliche Meldung unterrichtet.
Der Katalog entspricht in der Sache dem bisherigen § 31 Abs. 2 BDSG. Neu ist, dass der Gesetzgeber ihn auf die Öffnungsklausel des Art. 22 DSGVO stützt. Die Diskussion, ob § 31 BDSG neben der DSGVO überhaupt anwendbar war, sollte sich damit erledigen. Für Betroffene heißt das: Fehlt eine dieser Voraussetzungen, etwa weil es nur eine Mahnung gab oder der Hinweis auf die Auskunftei fehlte, darf die Forderung den Score nicht verschlechtern.
Was muss die Creditreform künftig erklären?
Auf Antrag muss der Verantwortliche innerhalb der Frist des Art. 12 Abs. 3 DSGVO, in der Regel also binnen eines Monats, in klarer und einfacher Sprache mitteilen:
- welche personenbezogenen Daten und Kriterien in den Wert eingeflossen sind,
- wie die Kriteriengruppen und die einzelnen Kriterien gewichtet wurden, mit Schwerpunkt auf den einflussreichsten,
- was der konkrete Wert bedeutet und wie aussagekräftig er ist,
- welche Werte erstellt wurden und an welche Empfänger sie gegangen sind.
Die dafür nötigen Informationen muss die Auskunftei ein Jahr lang speichern. Den Algorithmus selbst muss sie nicht offenlegen. Das entspricht der Linie des EuGH, der schon für den allgemeinen Auskunftsanspruch nach Art. 15 Abs. 1 lit. h DSGVO eine nachvollziehbare Erläuterung von Verfahren und Grundsätzen verlangt, nicht aber die Herausgabe der Formel (Urteil vom 27. Februar 2025, C-203/22).
Gegenüber einer Bank oder einem Leasinggeber, der eine Entscheidung auf den Score stützt, gibt § 37a Abs. 5 BDSG ein weiteres Recht: Betroffene können die Entscheidung anfechten, ihren Standpunkt darlegen und eine Überprüfung durch einen Menschen verlangen.
Welche Rolle spielen die BGH-Urteile zur SCHUFA?
Der Bundesgerichtshof hat am 12. Mai 2026 (VI ZR 375/24) entschieden, dass sich die Einmeldung einer Forderung durch den Gläubiger an Art. 6 Abs. 1 lit. f DSGVO messen lassen muss und § 31 BDSG dafür nicht einschlägig ist. Eine nicht titulierte Forderung, die der Schuldner vor der Einmeldung mit sachlichem Grund bestritten hat und die der Gläubiger nicht plausibel dargelegt hat, liefert keine belastbare Bonitätsinformation. Daran ändert § 37a BDSG nichts. Die neue Vorschrift setzt eine Stufe später an: Sie regelt, welche Forderungen die Auskunftei bei der Berechnung des Werts berücksichtigen darf. Beide Prüfungen laufen nebeneinander.
Am 21. Oktober 2026 will der I. Zivilsenat des BGH in zwei Verfahren (I ZR 227/25 und I ZR 230/25) über den Umfang des Auskunftsanspruchs zum SCHUFA-Score nach Art. 15 Abs. 1 lit. h DSGVO entscheiden. Nach Berichten über die mündliche Verhandlung vom 18. Juni 2026 neigt der Senat dazu, den weitreichenden Anspruch, den das OLG Dresden zugesprochen hatte, nicht zu bestätigen (LTO). Für die Zeit ab dem 20. November 2026 verliert diese Frage an Gewicht, weil § 37a Abs. 4 BDSG den Erklärungsanspruch für Scores über natürliche Personen ausdrücklich regelt.
Offen bleibt, ob § 37a BDSG in allen Teilen mit dem Unionsrecht vereinbar ist. Eine ausdrückliche Übergangsregel für bereits gespeicherte Daten enthält die Vorschrift nicht. Für Berechnungen ab dem 20. November 2026 sind die neuen Grenzen aber zu beachten.
Was bedeutet das für Selbständige und Geschäftsführer?
Die neuen Rechte helfen nur, wenn Sie sie ausüben. Wir empfehlen:
- Eigenauskunft anfordern: Fordern Sie jetzt Ihre Creditreform-Eigenauskunft an. Nur sie zeigt Inkassovorgänge und Zahlungserfahrungen, die Firmenauskunft für Dritte nicht.
- Erklärung beantragen: Beantragen Sie ab dem 20. November 2026 die Erläuterung nach § 37a Abs. 4 BDSG, insbesondere zur Gewichtung der einflussreichsten Kriterien. Antwortet die Auskunftei nicht oder nur formelhaft, ist die Beschwerde bei der zuständigen Datenschutzaufsicht möglich.
- Forderungen gegenprüfen: Gleichen Sie jeden Inkassovorgang mit dem Katalog des § 37a Abs. 3 BDSG ab. Gab es zwei schriftliche Mahnungen, vier Wochen Abstand und den Hinweis auf die Auskunftei? Haben Sie die Forderung vorher bestritten?
- Anschrift ansprechen: Fragen Sie als Einzelunternehmer ausdrücklich nach, ob Anschriften- oder Wohnumfelddaten in den Index einfließen, und verlangen Sie eine Neuberechnung ohne diese Daten.
- Entscheidungen anfechten: Lehnt eine Bank oder ein Leasinggeber wegen des Scores ab, machen Sie das Recht auf menschliche Überprüfung nach § 37a Abs. 5 BDSG geltend und legen Sie aktuelle Zahlen vor.
- Als Geschäftsführer auch die eigene Person prüfen: Bei kleineren Gesellschaften verlangen Banken häufig persönliche Sicherheiten und prüfen dann auch die private Bonität der Geschäftsführung.
Entstehen durch eine fehlerhafte Bewertung konkrete Nachteile, kommen Ansprüche auf Schadensersatz nach Art. 82 DSGVO in Betracht, bei Gesellschaften nach § 824 BGB.
Häufige Fragen zu § 37a BDSG und Creditreform
Ab wann gilt § 37a BDSG?+
Gilt § 37a BDSG auch für meine GmbH?+
Muss die Creditreform ihren Algorithmus offenlegen?+
Darf meine Adresse den Bonitätsindex verschlechtern?+
Dürfen bestrittene Forderungen den Score belasten?+
Drückt eine falsche Creditreform-Auskunft Ihre Bonität?
Laden Sie Ihre Creditreform-Eigenauskunft in unseren kostenlosen Crefo-Check hoch. Sie sehen sofort, welche Einträge angreifbar sind und ob die neuen Rechte aus § 37a BDSG für Sie gelten.
Weiterführende Informationen
- BGH zu SCHUFA-Meldungen: Bestrittene Forderung ist keine belastbare Bonitätsinformation
- EuGH-Urteil: SCHUFA & Creditreform – Welche Rechte Sie jetzt haben und wie Sie sie durchsetzen
- Neuer SCHUFA-Score: Mehr Transparenz – und neue rechtliche Fragen
- OLG Köln: Wer seine Schulden begleicht, darf nicht noch jahrelang unter alten Negativeinträgen leiden
- Schuldnerverzeichnis-Eintrag löschen lassen: So funktioniert die vorzeitige Löschung nach § 882e Abs. 3 ZPO
- Der LHR Crefo-Check – Creditreform-Bonität kostenlos prüfen
Related posts
