Kurz beantwortet: Vollautomatisierte Entscheidungen mit erheblichen Folgen für Personen sind grundsätzlich verboten (Art. 22 Abs. 1 DSGVO). Zulässig sind sie nur in drei eng begrenzten Ausnahmen, und selbst dann mit Pflicht zu Schutzmaßnahmen wie einer echten menschlichen Kontrolle.

KI entscheidet zunehmend über Menschen: Sie sortiert Bewerbungen vor, bewertet Kreditanträge, erkennt vermeintlichen Missbrauch und sperrt Konten. Für Unternehmen ist das effizient, rechtlich aber heikel, denn die DSGVO stellt vollautomatisierte Entscheidungen über Personen unter einen besonderen Vorbehalt. Wer das ignoriert, baut ein Compliance-Risiko direkt in sein Produkt ein.

Das Wichtigste in Kürze

  • Vollautomatisierte Entscheidungen mit erheblichen Folgen für Personen sind nach Art. 22 Abs. 1 DSGVO grundsätzlich verboten.
  • Zulässig sind sie nur in den drei Ausnahmen des Art. 22 Abs. 2 DSGVO: Vertragserforderlichkeit, gesetzliche Erlaubnis und ausdrückliche Einwilligung.
  • Selbst dann verlangt Art. 22 Abs. 3 DSGVO Schutzmaßnahmen, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.
  • Der wichtigste Hebel liegt im Wort „ausschließlich“: Eine echte, inhaltliche menschliche Prüfung nimmt der Entscheidung den Charakter der ausschließlichen Automatisierung.

Was besagt der Grundsatz: ein Verbot mit Vorbehalt?

Nach Art. 22 Abs. 1 DSGVO hat die betroffene Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung, einschließlich Profiling, beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. Die herrschende Auffassung liest das als grundsätzliches Verbot: Vollautomatisierte Entscheidungen mit erheblichen Folgen sind im Ausgangspunkt unzulässig. Ausschlaggebend sind zwei Merkmale: Die Entscheidung muss ausschließlich automatisiert erfolgen, ohne echte menschliche Beteiligung, und sie muss erhebliche Folgen haben, etwa Ablehnung, Kündigung, Sperre oder Kreditverweigerung.

Welche drei Ausnahmen lässt die DSGVO zu?

Art. 22 Abs. 2 DSGVO lässt die vollautomatisierte Entscheidung nur in drei Fällen zu:

  • Vertragserforderlichkeit (lit. a): wenn die Entscheidung für Abschluss oder Erfüllung eines Vertrags erforderlich ist;
  • gesetzliche Erlaubnis (lit. b): wenn Unions- oder mitgliedstaatliches Recht sie mit Schutzmaßnahmen zulässt;
  • ausdrückliche Einwilligung (lit. c): der betroffenen Person.

Selbst in den Fällen von lit. a und c verlangt Art. 22 Abs. 3 DSGVO angemessene Schutzmaßnahmen, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Besondere Datenkategorien, etwa Gesundheit oder Herkunft, dürfen solchen Entscheidungen nach Abs. 4 nur unter engen Voraussetzungen zugrunde liegen.

Wie sieht der praktische Ausweg aus?

Der wichtigste Hebel steckt im Wort ausschließlich: Wird die KI-Entscheidung durch eine echte, inhaltliche menschliche Prüfung überlagert, nicht bloß ein formales Durchwinken, greift Art. 22 Abs. 1 DSGVO nicht. Ein Human in the Loop, der die Entscheidung tatsächlich bewerten und ändern kann, nimmt der Konstellation die Schärfe. Diese Kontrolle muss real sein: Wer den KI-Vorschlag nur abnickt, erfüllt die Anforderung nicht. Dieselbe Anforderung an eine echte menschliche Letztentscheidung stellt sich verschärft, wenn zugleich ein Diskriminierungsrisiko besteht: KI und Diskriminierung: das AGG-Risiko.

Was sollten Sie konkret umsetzen?

Schritt Worauf es ankommt
Automatisierte Entscheidungen identifizieren Wo trifft Ihre KI Entscheidungen mit erheblichen Folgen für Personen?
Menschliche Kontrolle einbauen Ein echter Prüf- und Eingriffspunkt statt Scheinkontrolle.
Rechtsgrundlage und Schutzmaßnahmen Falls doch vollautomatisiert, die Ausnahme sauber dokumentieren und die Rechte aus Abs. 3 umsetzen.
Transparenz Betroffene Personen über die Logik und Tragweite informieren (Art. 13 bis 15 DSGVO).

So bleibt der Effizienzgewinn der KI erhalten, ohne die Rechte der Betroffenen und Ihre Compliance zu opfern.

Häufige Fragen

Sind vollautomatisierte Entscheidungen über Personen erlaubt?

Im Ausgangspunkt nein. Nach Art. 22 Abs. 1 DSGVO hat die betroffene Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. Die herrschende Auffassung liest das als grundsätzliches Verbot.

Welche Ausnahmen lässt Art. 22 DSGVO zu?

Art. 22 Abs. 2 DSGVO lässt die vollautomatisierte Entscheidung nur zu, wenn sie für Abschluss oder Erfüllung eines Vertrags erforderlich ist, wenn Unions- oder mitgliedstaatliches Recht sie mit Schutzmaßnahmen zulässt oder wenn die betroffene Person ausdrücklich eingewilligt hat.

Was bedeutet „ausschließlich automatisiert“?

Ausschließlich automatisiert ist eine Entscheidung, die ohne echte, inhaltliche menschliche Beteiligung ergeht. Wird die KI-Entscheidung durch eine tatsächliche Prüfung überlagert, bei der eine Person sie bewerten und ändern kann, greift Art. 22 Abs. 1 DSGVO nicht. Ein bloßes formales Durchwinken des Vorschlags genügt dafür nicht.

Welche Rechte haben Betroffene bei automatisierten Entscheidungen?

In den Fällen der Vertragserforderlichkeit und der Einwilligung verlangt Art. 22 Abs. 3 DSGVO angemessene Schutzmaßnahmen, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Ergänzend sind die Betroffenen nach Art. 13 bis 15 DSGVO über Logik und Tragweite zu informieren.

Quellen & Rechtsgrundlagen

Sie setzen KI für Entscheidungen über Personen ein? In einem 30-minütigen Erstgespräch prüfen wir Art. 22 DSGVO für Ihren konkreten Prozess. Vertiefend zu allen Facetten des betrieblichen KI-Einsatzes: der Leitfaden KI im Unternehmen einsetzen. Fachliche Begleitung im IT-Recht: IT-Recht als Leistung.

→ Erstgespräch anfragen