Bonitätsprüfung im Onlineshop: Zahlungsausfälle vermeiden, ohne Kunden zu verlieren

Bei einer Bonitätsprüfung im Onlineshop übergibt Ihr Shop während der Kaufabwicklung Identitätsdaten an eine Auskunftei und erhält einen Wahrscheinlichkeitswert zur Zahlungsfähigkeit zurück. Dieser Wert steuert, welche Zahlarten der Kunde sieht. Rechtlich gilt bis zum 19. November 2026 § 31 BDSG, danach der neue § 37a BDSG. Stand: 6. September 2026.

Status am 6. September 2026: § 31 BDSG („Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften") gilt unverändert; die Inhaltsübersicht des BDSG führt noch keinen § 37a. Artikel 3 des Gesetzes vom 12. Mai 2026 (BGBl. 2026 I Nr. 139) streicht § 31 BDSG, fügt § 37a BDSG „Scoring" ein und erweitert § 30 BDSG um die Absätze 2 bis 9. Nach Artikel 16 Absatz 1 desselben Gesetzes tritt das am 20. November 2026 in Kraft. Das ist verkündetes Recht, kein Entwurf. Dieser Kasten ist die einzige Stelle im Beitrag, an der der Rechtsstand gepflegt wird.

1. So läuft die Prüfung im Checkout ab

Eine Bonitätsprüfung ist kein Vorgang, den der Kunde bemerkt. Sie läuft zwischen Adresseingabe und Zahlartenanzeige, dauert nach Anbieterangaben Bruchteile eines Kaufvorgangs und endet mit einer einzigen Entscheidung: Welche Zahlarten darf dieser Warenkorb sehen? Die SCHUFA beschreibt die Einbindung als Plug-in „in Ihren bestehenden Check-out" und nennt dafür unter anderem Shopify Plus, Shopware 5 und 6, JTL 5, WooCommerce und OXID 7 sowie eine REST-Schnittstelle für Eigenentwicklungen (Quelle: SCHUFA, Shopintegrierte Bonitäts- und Betrugsprüfung, abgerufen am 6. September 2026, öffnet in neuem Tab).

Warum überhaupt geprüft wird, sagt derselbe Anbieter erfrischend direkt: Rechnungskauf und Lastschrift gehören zu den beliebtesten Zahlmethoden — und genau bei ihnen liegt das Risiko beim Händler. Wer die Ware vor dem Geld verschickt, finanziert seine Kundschaft vor. Das ist ein Verkaufsargument und eine Ausfallquelle zugleich.

Für den Einbau gibt es zwei Bauformen, und die Wahl entscheidet über die Abbruchquote. Variante A prüft vor der Zahlartenanzeige: Der Kunde sieht von vornherein nur, was für ihn freigegeben ist. Variante B prüft nach der Auswahl: Der Kunde entscheidet sich für Rechnungskauf und bekommt die Zahlart danach wieder entzogen. Variante B ist einfacher zu bauen und in unseren Projekten die häufigste Ursache für Abbrüche im letzten Schritt. Wir bauen deshalb Variante A, wo der Shop es hergibt.

Eine Zahl, die Sie in diesem Beitrag nicht finden werden, ist die Antwortzeit in Millisekunden. Die Anbieter sprechen von einer Prüfung „in Echtzeit", veröffentlichen aber keine belastbaren Werte. Klären Sie das deshalb vertraglich: zugesicherte Antwortzeit, Verfügbarkeit und — der wichtigste Punkt — was passiert, wenn die Auskunftei nicht antwortet. Ohne definiertes Verhalten bei Zeitüberschreitung bleibt Ihr Checkout genau dann stehen, wenn der Dienst ausfällt.

2. Welche Auskunfteien der Handel nutzt

Im deutschen Onlinehandel begegnen Ihnen im Wesentlichen vier Namen. Wir stellen sie hier so vor, wie sie sich selbst beschreiben — ohne Rangfolge, ohne Bewertung und ohne Zahlen. Der Grund ist schlicht: Keiner dieser Anbieter veröffentlicht Preise, Datenbestände oder Trefferquoten. Werte aus Vergleichsportalen geben wir nicht wieder, weil sie sich nicht an einer Primärquelle prüfen lassen.

Der zweite Weg führt gar nicht über eine eigene Auskunftei-Anbindung: Wer Rechnungskauf über einen spezialisierten Anbieter abwickelt, gibt Prüfung und Ausfallrisiko ab und zahlt dafür eine Gebühr. Was das kostet und wo die Grenzen liegen, haben wir im Beitrag zu Buy now pay later für Händler aufgeschrieben. Welcher Zahlungsdienstleister die passenden Zahlarten überhaupt mitbringt, ist die Frage davor.

3. Was ab dem 20. November 2026 nicht mehr in einen Score darf

Das ist der Teil, den heute noch kaum jemand auf dem Schirm hat. § 37a Absatz 2 BDSG in der ab dem 20. November 2026 geltenden Fassung zählt abschließend auf, welche Daten für die Erstellung eines Wahrscheinlichkeitswerts nicht genutzt werden dürfen. Bisher kennt § 31 BDSG nur eine einzige solche Schranke, und die ist weich formuliert.

Ab dem 20. November 2026 tabu:

• Besondere Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 DSGVO, also etwa Gesundheits-, Religions- oder Gewerkschaftsdaten.
• Alter, Geschlecht und Name der betroffenen Person sowie personenbezogene Daten aus der Nutzung sozialer Netzwerke.
• Informationen über Zahlungseingänge und Zahlungsausgänge auf und von Bankkonten, also die Auswertung von Kontobewegungen.
• Anschriftendaten. Damit endet das sogenannte Geoscoring, das heute noch als ergänzendes Merkmal erlaubt ist.
• Daten minderjähriger Personen. Für sie darf überhaupt kein Wahrscheinlichkeitswert erstellt oder verwendet werden.
• Jede Zweitverwertung: Die ermittelten Werte dürfen für keine anderen Zwecke verarbeitet werden als für die Entscheidung, für die sie erstellt wurden.

Praktisch folgenreich ist das Verbot der Anschriftendaten. Heute erlaubt § 31 Absatz 1 Nummer 3 BDSG die Nutzung von Anschriftendaten, solange sie nicht ausschließlich die Grundlage bilden und die betroffene Person vorab unterrichtet wurde. Ab dem Stichtag entfällt diese Einschränkung: Anschriftendaten sind vollständig verboten. Das Geoscoring, also der Rückschluss vom Wohnumfeld auf die Zahlungswahrscheinlichkeit, endet damit. Für Shops in Vierteln mit ungünstigem Ruf ist das eine gute Nachricht; für Scorecards, die daraus Trennschärfe gezogen haben, ein Umbau.

Unverändert bleibt der Forderungskatalog. Offene Rechnungen dürfen nur einfließen, wenn sie tituliert, zur Insolvenztabelle festgestellt, ausdrücklich anerkannt, fristlos kündbar oder zweimal schriftlich gemahnt sind — bei der Mahnvariante muss die erste Mahnung mindestens vier Wochen zurückliegen, die Kundschaft muss vorab über eine mögliche Meldung unterrichtet worden sein und darf die Forderung nicht bestritten haben. Diese Kette entsteht nicht von selbst; sie ist ein Prozess. Wie er sich in JTL-Wawi und DATEV automatisieren lässt, beschreibt unser Beitrag zum automatisierten Mahnwesen. Wer sein Mahnwesen nicht sauber führt, kann seine Ausfälle später auch nicht melden.

4. Was Ihre Kundschaft verlangen kann

Hier lohnt eine Unterscheidung, die im Gesetzestext leicht überlesen wird. § 37a Absatz 4 BDSG richtet sich an „Verantwortliche, die Wahrscheinlichkeitswerte … erstellen" — das ist in aller Regel die Auskunftei, nicht Ihr Shop. § 37a Absatz 5 BDSG dagegen richtet sich an den Verantwortlichen, der auf Grundlage des Werts entscheidet. Das sind Sie.

1. Auskunft über die Berechnung (Absatz 4, Pflicht der erstellenden Stelle). Auf Antrag und innerhalb der Frist des Artikels 12 Absatz 3 DSGVO — also unverzüglich, spätestens binnen eines Monats — sind mitzuteilen: die genutzten Daten und Kriterien, die Gewichtung der Kriterienkategorien und der einzelnen Kriterien mit dem stärksten Einfluss, die Aussagekraft des konkreten Werts sowie die erstellten Werte und ihre Empfänger. Die dafür nötigen Informationen sind ein Jahr zu speichern.
2. Anfechtung und menschliche Entscheidung (Absatz 5, Ihre Pflicht). Die betroffene Person hat gegenüber Ihnen das Recht, die Entscheidung anzufechten, den eigenen Standpunkt darzulegen und eine Entscheidung durch eine natürliche Person zu verlangen. Sie brauchen dafür einen benannten Weg — eine E-Mail-Adresse, eine Zuständigkeit, eine Frist.
3. Auskunft über die Logik (Artikel 15 Absatz 1 Buchstabe h DSGVO). Der EuGH hat 2025 entschieden, dass „aussagekräftige Informationen über die involvierte Logik" bedeuten: Es sind die Verfahren und Grundsätze zu erläutern, die zur Gewinnung des Ergebnisses — „beispielsweise eines Bonitätsprofils" — konkret angewandt wurden (Quelle: EuGH, 27. Februar 2025, C-203/22, Dun & Bradstreet Austria, abgerufen am 6. September 2026, öffnet in neuem Tab).
4. Geschäftsgeheimnisse sind kein Ausweg. Beruft sich der Verantwortliche auf Drittdaten oder Geschäftsgeheimnisse, muss er diese Informationen laut demselben Urteil der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht übermitteln, die dann abwägen. Die Auskunft schlicht zu verweigern, ist nicht vorgesehen.

Für den Shop heißt das ganz praktisch: Sie müssen benennen können, welche Auskunftei Sie abgefragt haben, welcher Wert zurückkam und welche Regel daraus die Entscheidung gemacht hat. Wer nur das Ergebnis speichert und nicht die angewendete Schwelle, steht bei der ersten Anfrage ohne Antwort da.

5. Wann Artikel 22 DSGVO überhaupt greift

Artikel 22 Absatz 1 DSGVO gibt jedem das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder erheblich beeinträchtigt. Lange galt als offen, ob das schon für die Score-Berechnung einer Auskunftei gilt oder erst für die Entscheidung des Händlers. Der EuGH hat 2023 geantwortet — und zwar mit einem brauchbaren Test.

Eine automatisierte Entscheidung im Einzelfall liegt vor, wenn eine Wirtschaftsauskunftei automatisiert einen Wahrscheinlichkeitswert erstellt, „sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet" (Quelle: EuGH, 7. Dezember 2023, C-634/21, SCHUFA Holding, abgerufen am 6. September 2026, öffnet in neuem Tab).

Übersetzt in Ihren Checkout: Entscheidet der Score allein darüber, ob Rechnungskauf angeboten wird, hängt der Vertragsschluss maßgeblich von ihm ab. Dann liegt eine automatisierte Entscheidung vor — mit allen Folgen aus Artikel 22 Absatz 3 DSGVO, also mindestens dem Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung. Fließt der Wert dagegen nur als eines von mehreren Kriterien ein und schaut am Ende ein Mensch darauf, greift Artikel 22 nicht automatisch. Diese zweite Variante ist im Massengeschäft eines Onlineshops allerdings unrealistisch: Niemand prüft dreihundert Bestellungen am Tag von Hand.

Ab dem 20. November 2026 ändert sich die Rechtslage an dieser Stelle noch einmal. § 37a Absatz 1 BDSG erklärt das Verbot des Artikels 22 Absatz 1 DSGVO über die dort genannten Ausnahmen hinaus für nicht anwendbar, wenn Wahrscheinlichkeitswerte über künftiges Vertragsverhalten oder über Zahlungsfähigkeit durch Auskunfteien erstellt oder verwendet werden. Der Preis dafür sind die Merkmalsverbote aus Absatz 2 und die Rechte aus den Absätzen 4 und 5. Aus einem Grundsatzverbot mit Ausnahmen wird ein erlaubtes Verfahren mit harten Leitplanken.

6. Rechtsgrundlage und Informationspflichten

Eine Bonitätsprüfung braucht wie jede Verarbeitung eine Rechtsgrundlage. In der Praxis stützen Shops sie auf Artikel 6 Absatz 1 Buchstabe f DSGVO: die Wahrung berechtigter Interessen, „sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person … überwiegen". Das Interesse an Schutz vor Zahlungsausfall ist anerkannt; die Abwägung müssen Sie trotzdem führen und schriftlich festhalten. Eine Einwilligung ist hier meist der falsche Hebel, weil sie jederzeit widerrufbar wäre.

Dazu kommen fünf Punkte, die in unseren Projekten regelmäßig fehlen:

1. Datenschutzerklärung. Nach Artikel 13 DSGVO gehören Zweck, Rechtsgrundlage, Empfänger und — falls einschlägig — das Bestehen einer automatisierten Entscheidungsfindung samt Logik hinein. Nennen Sie die Auskunftei beim Namen.
2. Verzeichnis von Verarbeitungstätigkeiten. Artikel 30 DSGVO verlangt unter anderem Zwecke, Kategorien betroffener Personen und Kategorien von Empfängern. Die Bonitätsprüfung ist ein eigener Eintrag, kein Nebensatz im Bestellprozess.
3. Datenschutz-Folgenabschätzung prüfen. Artikel 35 Absatz 3 Buchstabe a DSGVO nennt die systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung ausdrücklich als Fall, in dem eine Folgenabschätzung erforderlich ist. Ob Ihr Volumen das erreicht, ist eine Einzelfallfrage — die Prüfung selbst sollten Sie dokumentieren.
4. Rolle der Auskunftei vertraglich klären. Ob der Anbieter als Auftragsverarbeiter oder als eigener Verantwortlicher handelt, entscheidet darüber, welchen Vertrag Sie brauchen. Lassen Sie sich das schriftlich geben, statt es anzunehmen.
5. Datenminimierung. Artikel 5 Absatz 1 Buchstabe c DSGVO verlangt eine Beschränkung auf das notwendige Maß. Wer jede Bestellung über zwanzig Euro prüft, obwohl das Risiko erst bei dreistelligen Warenkörben beginnt, verarbeitet mehr als nötig — und zahlt für Abfragen, die nichts entscheiden.

7. Zahlarten nach Risiko steuern

Jetzt der Teil, der über Geld entscheidet. Eine Bonitätsprüfung ist nur so gut wie die Regeln, die aus ihrem Ergebnis eine Zahlartenliste machen. Zu streng eingestellt kostet sie Umsatz, zu lax eingestellt zahlt sie sich nicht aus. Und weil es dazu keine belastbaren, öffentlich nachprüfbaren Zahlen gibt, nennen wir hier bewusst keine Prozentwerte für Conversion-Gewinne oder Ausfallreduktion — sondern die Stellschrauben, an denen Sie selbst messen können.

Was sich in der Praxis bewährt hat:

• Prüfen Sie vor der Zahlartenanzeige, nicht danach. Wer eine bereits gewählte Zahlart wieder entzieht, erzeugt einen Abbruch mitten im Kauf.
• Formulieren Sie das Ergebnis als Angebot: „Für diese Bestellung stehen Ihnen folgende Zahlarten zur Verfügung." Eine Ablehnungsmeldung im Checkout hilft niemandem.
• Halten Sie immer eine sichere Zahlart offen. Vorkasse, Karte oder Wallet müssen bleiben, sonst endet der Kauf in einer Sackgasse.
• Prüfen Sie nicht jede Bestellung. Eine Schwelle nach Warenkorbwert oder Zahlart spart Abfragen und erfüllt zugleich die Datenminimierung nach Artikel 5 Absatz 1 Buchstabe c DSGVO.
• Belohnen Sie Stammkunden. Wer mehrfach pünktlich gezahlt hat, braucht keine erneute Vollprüfung; JTL-Shop kennt dafür die Einstellung „Anzahl nötiger Bestellungen".
• Definieren Sie das Verhalten bei Zeitüberschreitung. Antwortet die Auskunftei nicht, muss der Checkout weiterlaufen, nicht stehenbleiben.
• Protokollieren Sie Schwelle, Ergebnis und Entscheidung. Ohne Protokoll können Sie weder Auskunft geben noch beurteilen, ob Ihre Regeln zu streng sind.

Technisch brauchen Sie dafür weniger, als viele erwarten. JTL-Shop 5 bringt die wichtigsten Hebel schon mit: Je Zahlungsart lassen sich laut Herstellerdokumentation die erlaubten Kundengruppen, die Anzahl nötiger Bestellungen, ein Mindestbestellwert und ein maximaler Bestellwert festlegen; setzen Sie die Anzahl nötiger Bestellungen über null, wird die Zahlungsart keinem unangemeldeten Kunden mehr angeboten (Quelle: JTL-Guide, Allgemeine Einstellungen für Zahlungsarten, abgerufen am 6. September 2026, öffnet in neuem Tab). Damit bauen Sie eine Grundstaffel, bevor überhaupt eine Auskunftei im Spiel ist.

Die Kür ist die Verzahnung mit der Warenwirtschaft. Ein Kunde, der dreimal pünktlich gezahlt hat, gehört in eine Kundengruppe mit freiem Rechnungskauf; ein Kunde mit offener Mahnung gehört dort heraus. Diese Zuordnung sauber und automatisch zu halten, ist eine Aufgabe für JTL-Wawi und den JTL-Shop gemeinsam — nicht für eine Liste im Kopf. Wo im Checkout darüber hinaus Reibung entsteht, zeigt unser Beitrag zu Warenkorbabbrüchen.

8. Drei Regelwerke, ein Vorgang

Wer im Herbst 2026 zum Thema recherchiert, stößt auf drei Normenkomplexe, die alle denselben Kaufvorgang betreffen und trotzdem verschiedene Fragen beantworten. Diese Trennung sauber zu ziehen erspart viel Verwirrung.

Bemerkenswert ist, dass alle drei aus demselben Gesetz vom 12. Mai 2026 stammen und am selben Tag in Kraft treten. Was das Kreditrecht für Rechnungskauf, Ratenkauf und Buy-now-pay-later konkret bedeutet — Informationspflichten im Checkout, Werbung, Registrierung, Ausnahmen —, behandelt unser Schwesterbeitrag zur Verbraucherkreditrichtlinie CCD2 im Checkout. Hier geht es ausschließlich um die datenschutzrechtliche Seite: womit ein Wert berechnet werden darf und was die betroffene Person dagegen unternehmen kann.

9. Fazit: ein Regelwerk, kein Bauchgefühl

Eine Bonitätsprüfung ersetzt keine Entscheidung, sie macht sie nur belastbarer. Der Wert der Auskunftei ist eine Prognose über eine Vergleichsgruppe; was daraus wird, bestimmen Ihre Schwellen. Genau deshalb lohnt sich die Arbeit an den Regeln mehr als die Suche nach dem besten Anbieter: Der Score ist überall ähnlich, die Steuerung im Checkout ist Ihre.

Der 20. November 2026 ist der Termin, an dem sich das Umfeld verändert. Anschriftendaten, Alter, Geschlecht, Name, Social-Media-Daten und Kontobewegungen verschwinden aus der Berechnung, die Auskunftsrechte werden konkreter, und Ihre Kundschaft bekommt einen ausdrücklichen Anspruch auf eine menschliche Entscheidung. Wer bis dahin protokolliert, wer wann welchen Wert geliefert hat und welche Regel daraus die Zahlartenliste gemacht hat, ist vorbereitet. Wer das nicht tut, merkt es bei der ersten Auskunftsanfrage.

Alle Rechtsstände, Fristen und Paragraphen wurden am 6. September 2026 an der jeweiligen Primärquelle geprüft: § 31 BDSG bei gesetze-im-internet.de, § 30, § 37a und § 43 BDSG im amtlichen Volltext des BGBl. 2026 I Nr. 139, die DSGVO-Artikel und beide EuGH-Urteile bei EUR-Lex. Anbieterangaben stammen von den jeweiligen Unternehmensseiten. Die vollständige Liste steht am Ende des Beitrags.

Hinweis: Dieser Beitrag gibt den Rechtsstand vom 6. September 2026 wieder und ersetzt keine Rechtsberatung. Er ordnet die Regeln allgemein ein; ob und wie sie auf Ihren Shop, Ihre Zahlarten und Ihr Vertragsverhältnis zur Auskunftei anzuwenden sind, klären Sie bitte mit einer auf IT- und Datenschutzrecht spezialisierten Kanzlei oder Ihrem Datenschutzbeauftragten.

10. Häufige Fragen zur Bonitätsprüfung

Wie läuft eine Bonitätsprüfung im Onlineshop ab?

Der Shop übergibt während der Kaufabwicklung Name, Anschrift und meist das Geburtsdatum an eine Auskunftei. Diese liefert einen Wahrscheinlichkeitswert zur Zahlungsfähigkeit zurück. Ein Regelwerk im Shop übersetzt den Wert in erlaubte Zahlarten. Die SCHUFA beschreibt diesen Ablauf als Prüfung in Echtzeit, eingebunden per Plug-in in den bestehenden Check-out.

Ist eine Bonitätsprüfung schlecht für die SCHUFA?

Eine Abfrage ist etwas anderes als ein Negativeintrag. Ob und wie eine Auskunftei Anfragen selbst gewichtet, entscheidet sie; deshalb nennen wir dazu keine Zahl. Klar geregelt ist der Gegenpol: Offene Forderungen dürfen nach § 31 Absatz 2 BDSG, ab dem 20. November 2026 nach § 37a Absatz 3 BDSG, nur in fünf genau beschriebenen Fällen einfließen.

Sind Bonität und SCHUFA-Score das Gleiche?

Nein. Bonität beschreibt die Zahlungsfähigkeit und die Zahlungswilligkeit einer Person. Ein Score ist nur ein Wahrscheinlichkeitswert, den eine Auskunftei daraus berechnet. Die SCHUFA ist eine von mehreren Auskunfteien; CRIF, Creditreform und Regis24 bieten dem Handel ebenfalls Bonitätsinformationen an. Welches Verfahren dahintersteckt, muss ab dem 20. November 2026 auf Antrag erläutert werden.

Was sagt der Bonitätscheck aus?

Er sagt nichts über den einzelnen Menschen, sondern über eine Gruppe: Wie wahrscheinlich zahlt jemand mit vergleichbaren Merkmalen? Der Wert ist eine Entscheidungshilfe, kein Urteil. Deshalb verlangt das Gesetz ein wissenschaftlich anerkanntes mathematisch-statistisches Verfahren und ab dem 20. November 2026 zusätzlich Auskunft über die Gewichtung der wichtigsten Kriterien.

Ab welcher Bonität liefern Sie auf Rechnung?

Diese Schwelle legen Sie selbst fest, nicht die Auskunftei. Üblich ist eine Staffel: Rechnungskauf erst ab einem bestimmten Wahrscheinlichkeitswert, zusätzlich begrenzt durch Warenkorbhöhe und Bestellhistorie. Halten Sie die Schwelle schriftlich fest und protokollieren Sie Änderungen. Sonst können Sie später weder Auskunft geben noch die Wirkung Ihrer Regeln nachvollziehen.

Darf ich als Händler die Bonität ohne Einwilligung prüfen?

In der Praxis stützen Shops die Prüfung auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO und dokumentieren die Abwägung. Eine Einwilligung ist dann nicht der Hebel. Informieren müssen Sie trotzdem: Zweck, Empfänger und automatisierte Entscheidungen gehören nach Artikel 13 DSGVO in die Datenschutzerklärung. Den Einzelfall klärt Ihre Rechtsberatung.

Was ändert sich am 20. November 2026?

§ 31 BDSG wird gestrichen, § 37a BDSG tritt an seine Stelle, und § 30 BDSG bekommt neue Absätze für Auskunfteien bei Verbraucherdarlehen. Grundlage ist Artikel 3 des Gesetzes vom 12. Mai 2026; das Inkrafttreten regelt dessen Artikel 16 Absatz 1. Neu sind vor allem harte Merkmalsverbote und erweiterte Auskunftsrechte.

Dürfen Anschriftendaten weiter in den Score einfließen?

Bis zum 19. November 2026 ja, solange sie nicht die einzige Grundlage sind und die betroffene Person vorab unterrichtet wurde. So steht es in § 31 Absatz 1 Nummer 3 und 4 BDSG. Ab dem 20. November 2026 verbietet § 37a Absatz 2 BDSG Anschriftendaten vollständig, ebenso Alter, Geschlecht, Name, Social-Media-Daten und Kontobewegungen.

Was kostet eine Bonitätsprüfung im Shop?

SCHUFA, CRIF, Creditreform und Regis24 veröffentlichen keine Preislisten. Beträge aus Vergleichsportalen geben wir deshalb nicht wieder. Aus unseren Projekten kennen wir als Verhandlungsgrößen das Abfragevolumen, die Auskunftstiefe und die Vertragslaufzeit. Fragen Sie zusätzlich nach zugesicherter Antwortzeit und Verfügbarkeit; beides entscheidet, wie ein Ausfall auf Ihren Checkout wirkt.

11. Quellen & offizielle Informationen

Alle Angaben in diesem Beitrag stützen sich auf die folgenden Quellen. Alle wurden am 6. September 2026 abgerufen und im Text gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• § 31 BDSG — Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften — Die vier Zulässigkeitsvoraussetzungen des Scorings und die fünf Fälle, in denen offene Forderungen berücksichtigt werden dürfen; am 6. September 2026 unverändert in Kraft.
• Bundesdatenschutzgesetz — Inhaltsübersicht und Vollzitat — Die Inhaltsübersicht führt am 6. September 2026 noch keinen § 37a; Vollzitat mit der letzten Änderung durch Artikel 3 des Gesetzes vom 3. Juli 2026.
• BGBl. 2026 I Nr. 139 — Gesetz vom 12. Mai 2026 (Umsetzung der Richtlinie (EU) 2023/2225) — Artikel 3: Streichung des § 31 BDSG, neuer § 37a BDSG „Scoring" mit Merkmalsverboten und Auskunftspflichten, neue Absätze 2 bis 9 des § 30 BDSG, Bußgeldtatbestände in § 43. Artikel 16 Absatz 1: Inkrafttreten am 20. November 2026.
• EuGH, Urteil vom 7. Dezember 2023, C-634/21 (SCHUFA Holding) — Tenor: Eine automatisierte Entscheidung im Einzelfall nach Artikel 22 Absatz 1 DSGVO liegt vor, sofern von dem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter ein Vertragsverhältnis begründet, durchführt oder beendet.
• EuGH, Urteil vom 27. Februar 2025, C-203/22 (Dun & Bradstreet Austria) — Tenor 1: Anspruch auf Erläuterung der Verfahren und Grundsätze, die zur Gewinnung eines Bonitätsprofils angewandt wurden. Tenor 2: Geschäftsgeheimnisse sind der Aufsichtsbehörde oder dem Gericht zu übermitteln, nicht einfach zurückzuhalten.
• Datenschutz-Grundverordnung (Verordnung (EU) 2016/679), konsolidierter Text — Artikel 5 Absatz 1 Buchstabe c (Datenminimierung), Artikel 6 Absatz 1 Buchstabe f (berechtigte Interessen), Artikel 12 Absatz 3 (Monatsfrist), Artikel 15 Absatz 1 Buchstabe h (Logik der automatisierten Entscheidung), Artikel 22 (automatisierte Entscheidungen), Artikel 30 (Verarbeitungsverzeichnis), Artikel 35 Absatz 3 Buchstabe a (Datenschutz-Folgenabschätzung).
• SCHUFA — Shopintegrierte Bonitäts- und Betrugsprüfung in Echtzeit — Rechnungskauf und Lastschrift als beliebte, aber riskante Zahlarten; Integration per Plug-in in den bestehenden Check-out; genannte Shopsysteme Shopify Plus, Shopware 5 und 6, JTL 5, WooCommerce, OXID 7 sowie REST-Schnittstelle für Eigenentwicklungen.
• SCHUFA — Branchenseite eCommerce & Payment — Absicherung unsicherer Zahlarten über eine per Plug-in durchgeführte Bonitätsprüfung; Informationen zu Bonität und Identität direkt beim Check-out.
• CRIF Deutschland — Startseite — Lösungsbereiche Risikomanagement und Bonitätsinformationen, Fraud Prevention und Forderungsmanagement; ausgewiesene Branche E-Commerce und Payment.
• Creditreform — Startseite — Lösungsbereich Bonität und Risikobewertung, daneben Inkasso, Forderungsverkauf und Mahnwesen.
• Regis24 — Startseite — Selbstbeschreibung als Auskunftei und Data-Tech aus Deutschland; Lösung CreditCheck Bonitätsprüfung; Branchen FinTech und E-Commerce sowie Payment Service Provider.
• JTL-Guide — Allgemeine Einstellungen für Zahlungsarten (JTL-Shop 5) — Die Stellschrauben der Zahlartensteuerung: erlaubte Kundengruppen, Anzahl nötiger Bestellungen, Mindestbestellwert und maximaler Bestellwert je Zahlungsart.
• Bundesbeauftragter für den Datenschutz und die Informationsfreiheit — Anlaufstelle für Beschwerden und aufsichtsbehördliche Hinweise. Eine Bewertung des § 37a BDSG lag am 6. September 2026 nicht vor.