2026 hat dem deutschen Datenschutzrecht mehrere Änderungen gebracht — einige sind bereits in Kraft, andere gelten in Kürze und wieder andere werden noch diskutiert. Dieses Update fasst die wichtigsten zusammen.
1. Neuer § 37a BDSG zum Scoring — ab 20. November 2026
Das Gesetz zur Umsetzung der Verbraucherkreditrichtlinie (EU) 2023/2225 vom 12. Mai 2026 (BGBl. 2026 I Nr. 139) ändert das Bundesdatenschutzgesetz. Es streicht den bisherigen § 31 und fügt einen neuen § 37a „Scoring“ ein, der ab dem 20. November 2026 gilt. Die Regeln reagieren auf das SCHUFA-Urteil des EuGH und greifen, wenn Wahrscheinlichkeitswerte über das künftige Verhalten einer Person für Vertragsentscheidungen oder zur Bonitätsbeurteilung verwendet werden:
- Verbotene Daten: besondere Kategorien personenbezogener Daten, Alter, Geschlecht, Name, Daten aus sozialen Netzwerken, Zahlungsinformationen von Bankkonten und Anschriftendaten dürfen nicht verwendet werden; Scores dürfen sich nicht auf Minderjährige beziehen
- Methode: die Daten müssen nach einem wissenschaftlich anerkannten mathematisch-statistischen Verfahren nachweisbar erheblich sein, und die Werte dürfen nicht für andere Zwecke verwendet werden
- Transparenz: auf Verlangen muss der Verantwortliche erklären, welche Daten und Kriterien in welcher Gewichtung verwendet wurden und wer den Wert erhalten hat; diese Informationen sind ein Jahr aufzubewahren
- Menschliche Überprüfung: Betroffene können eine auf dem Score beruhende Entscheidung anfechten, ihren Standpunkt darlegen und eine Überprüfung durch eine natürliche Person verlangen
Das Gesetz überarbeitet außerdem § 30 BDSG zu Verbraucherkreditdatenbanken und ergänzt neue Bußgeldtatbestände. Banken, Kreditgeber, Auskunfteien, Onlinehändler mit Kauf auf Rechnung und Telekommunikationsanbieter sollten ihr Scoring jetzt prüfen.
2. Aufsicht über den Data Act: neue Rolle für die BfDI
Der EU Data Act gilt seit dem 12. September 2025. Das deutsche Durchführungsgesetz (DADG) ist am 30. Mai 2026 in Kraft getreten. Die Bundesnetzagentur ist die zentrale Behörde für den Data Act, die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beaufsichtigt ihn, soweit personenbezogene Daten betroffen sind. Hersteller vernetzter Produkte und Anbieter verbundener Dienste müssen Nutzern Zugang zu den erzeugten Daten geben — und wenn diese Daten personenbezogen sind, gelten DSGVO und Data Act nebeneinander.
3. Die Debatte um die BDSG-Reform
- DSK und nationaler One-Stop-Shop: ein Gesetzentwurf des Bundesrates (Bundestags-Drucksache 21/7732 vom 26. August 2026) sieht vor, die Datenschutzkonferenz (DSK) gesetzlich zu verankern, damit sie verbindliche Mehrheitsbeschlüsse fassen kann, sowie eine federführende Aufsichtsbehörde für Unternehmensgruppen und länderübergreifende Forschungsvorhaben.
- Benennungspflicht für Datenschutzbeauftragte: die Abschaffung oder Anhebung der nationalen Schwelle in § 38 BDSG wurde politisch angekündigt, ist aber nicht beschlossen. Die geltende Regel gilt weiter.
4. Entwicklungen in der EU
- DSGVO-Verfahrensverordnung (EU) 2025/2518: einheitliche Regeln für grenzüberschreitende Beschwerden und Untersuchungen, anwendbar ab dem 2. April 2027
- Digital Omnibus: die geplanten Änderungen an DSGVO und Cookie-Regeln stocken — im Oktober 2026 hat der Rat noch kein Verhandlungsmandat, es gilt also das bisherige Recht
- Koordinierte Prüfaktion des EDSA 2026: Aufsichtsbehörden in ganz Europa prüfen die Einhaltung der Transparenz- und Informationspflichten (Art. 12–14 DSGVO)
Ihre Checkliste
- Scoring-Modelle prüfen — anhand von § 37a BDSG vor dem 20. November 2026
- Data-Act-Pflichten prüfen für vernetzte Produkte und Dienste
- Datenschutzhinweise überarbeiten mit Blick auf die koordinierten Transparenzprüfungen
- Datenschutzbeauftragten beibehalten, bis sich das Gesetz tatsächlich ändert
Wie ResGuard unterstützt
Mit dem ResGuard Datenschutz-Manager dokumentieren Sie Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen und Datenschutzhinweise zentral, und unser externer Datenschutzbeauftragter unterstützt Sie bei den neuen Anforderungen.
Dieser Artikel enthält allgemeine Informationen mit Stand 20. Oktober 2026 und stellt keine Rechtsberatung dar. Quellen: BGBl. 2026 I Nr. 139, Pressemitteilung 7/2026 der BfDI, BT-Drucksache 21/7732, Verordnung (EU) 2025/2518 und veröffentlichte Fachbeiträge.