2026 ha traído varios cambios al derecho alemán de protección de datos: algunos ya están vigentes, otros se aplicarán en breve y otros siguen en discusión. Esta actualización resume los más importantes.
1. Nuevo artículo 37a BDSG sobre scoring, desde el 20 de noviembre de 2026
La ley de 12 de mayo de 2026 que transpone la Directiva de crédito al consumo (UE) 2023/2225 (BGBl. 2026 I n.º 139) modifica la Ley Federal de Protección de Datos (BDSG). Suprime el antiguo artículo 31 e introduce un nuevo artículo 37a sobre scoring, aplicable desde el 20 de noviembre de 2026. Las reglas responden a la sentencia SCHUFA del TJUE y se aplican cuando se usan valores de probabilidad para predecir el comportamiento de una persona en decisiones contractuales o para evaluar la solvencia:
- Datos prohibidos: no pueden usarse categorías especiales de datos, edad, sexo, nombre, datos de redes sociales, información de pagos de cuentas bancarias ni datos de dirección, y los scores no pueden referirse a menores
- Método: los datos deben ser demostrablemente relevantes según un método estadístico científicamente reconocido, y los valores no pueden usarse para otros fines
- Transparencia: a petición, el responsable debe explicar qué datos y criterios se usaron, su ponderación y quién recibió el score; esta información debe conservarse un año
- Revisión humana: la persona puede impugnar una decisión basada en el score, exponer su punto de vista y obtener la revisión por una persona
La ley también revisa el artículo 30 BDSG sobre bases de datos de crédito al consumo y añade nuevas multas administrativas. Bancos, entidades de crédito, agencias de información crediticia, comercios electrónicos con pago a cuenta y operadores de telecomunicaciones deberían revisar ya sus modelos de scoring.
2. Supervisión de la Data Act: nuevo papel del BfDI
La Data Act de la UE se aplica desde el 12 de septiembre de 2025. La ley alemana de aplicación (DADG) entró en vigor el 30 de mayo de 2026. La Agencia Federal de Redes es la autoridad central de la Data Act, mientras que el Comisionado Federal de Protección de Datos (BfDI) la supervisa cuando hay datos personales. Los fabricantes de productos conectados y los proveedores de servicios relacionados deben dar a los usuarios acceso a los datos generados; cuando esos datos son personales, el RGPD y la Data Act se aplican en paralelo.
3. El debate sobre la reforma de la BDSG
- DSK y ventanilla única nacional: un proyecto del Bundesrat (documento del Bundestag 21/7732, de 26 de agosto de 2026) propone dar a la Conferencia de Protección de Datos (DSK) una base legal para adoptar decisiones vinculantes por mayoría y una autoridad principal para grupos de empresas y proyectos de investigación entre varios Länder.
- Umbral del DPO: la supresión o el aumento del umbral de la obligación nacional de designar un delegado de protección de datos (artículo 38 BDSG) se ha anunciado políticamente, pero no se ha aprobado. La regla actual sigue vigente.
4. Novedades de la UE
- Reglamento procedimental del RGPD (UE) 2025/2518: reglas armonizadas para reclamaciones e investigaciones transfronterizas, aplicable desde el 2 de abril de 2027
- Digital Omnibus: los cambios propuestos al RGPD y a las cookies están estancados; a octubre de 2026 el Consejo no tiene mandato de negociación, por lo que siguen vigentes las reglas actuales
- Acción coordinada del CEPD 2026: las autoridades europeas revisan el cumplimiento de las obligaciones de transparencia e información (artículos 12 a 14 RGPD)
Su lista de verificación
- Revise sus modelos de scoring frente al artículo 37a BDSG antes del 20 de noviembre de 2026
- Compruebe las obligaciones de la Data Act para productos y servicios conectados
- Revise sus avisos de privacidad ante las comprobaciones coordinadas de transparencia
- Mantenga la designación de su DPO hasta que la ley cambie realmente
Cómo puede ayudar ResGuard
Con el Gestor de Protección de Datos de ResGuard documenta de forma centralizada sus tratamientos, evaluaciones de impacto y avisos de privacidad, y nuestro servicio de DPO externo le acompaña con los nuevos requisitos.
Este artículo ofrece información general a 20 de octubre de 2026 y no constituye asesoramiento jurídico. Fuentes: BGBl. 2026 I n.º 139, nota de prensa 7/2026 del BfDI, documento del Bundestag 21/7732, Reglamento (UE) 2025/2518 y comentarios publicados.