Automatisierte Entscheidungen und Profiling (Art. 22 DSGVO)

Kurz beantwortet: Vollautomatisierte Entscheidungen mit erheblichen Folgen für Personen sind grundsätzlich verboten (Art. 22 Abs. 1 DSGVO). Zulässig sind sie nur in drei eng begrenzten Ausnahmen, und selbst dann mit Pflicht zu Schutzmaßnahmen wie einer echten menschlichen Kontrolle.

KI entscheidet zunehmend über Menschen: Sie sortiert Bewerbungen vor, bewertet Kreditanträge, erkennt vermeintlichen Missbrauch und sperrt Konten. Für Unternehmen ist das effizient, rechtlich aber heikel, denn die DSGVO stellt vollautomatisierte Entscheidungen über Personen unter einen besonderen Vorbehalt. Wer das ignoriert, baut ein Compliance-Risiko direkt in sein Produkt ein.

Was besagt der Grundsatz: ein Verbot mit Vorbehalt?

Nach Art. 22 Abs. 1 DSGVO hat die betroffene Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung, einschließlich Profiling, beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. Die herrschende Auffassung liest das als grundsätzliches Verbot: Vollautomatisierte Entscheidungen mit erheblichen Folgen sind im Ausgangspunkt unzulässig. Ausschlaggebend sind zwei Merkmale: Die Entscheidung muss ausschließlich automatisiert erfolgen, ohne echte menschliche Beteiligung, und sie muss erhebliche Folgen haben, etwa Ablehnung, Kündigung, Sperre oder Kreditverweigerung.

Welche drei Ausnahmen lässt die DSGVO zu?

Art. 22 Abs. 2 DSGVO lässt die vollautomatisierte Entscheidung nur in drei Fällen zu:

• Vertragserforderlichkeit (lit. a): wenn die Entscheidung für Abschluss oder Erfüllung eines Vertrags erforderlich ist;
• gesetzliche Erlaubnis (lit. b): wenn Unions- oder mitgliedstaatliches Recht sie mit Schutzmaßnahmen zulässt;
• ausdrückliche Einwilligung (lit. c): der betroffenen Person.

Selbst in den Fällen von lit. a und c verlangt Art. 22 Abs. 3 DSGVO angemessene Schutzmaßnahmen, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Besondere Datenkategorien, etwa Gesundheit oder Herkunft, dürfen solchen Entscheidungen nach Abs. 4 nur unter engen Voraussetzungen zugrunde liegen.

Wie sieht der praktische Ausweg aus?

Der wichtigste Hebel steckt im Wort ausschließlich: Wird die KI-Entscheidung durch eine echte, inhaltliche menschliche Prüfung überlagert, nicht bloß ein formales Durchwinken, greift Art. 22 Abs. 1 DSGVO nicht. Ein Human in the Loop, der die Entscheidung tatsächlich bewerten und ändern kann, nimmt der Konstellation die Schärfe. Diese Kontrolle muss real sein: Wer den KI-Vorschlag nur abnickt, erfüllt die Anforderung nicht. Dieselbe Anforderung an eine echte menschliche Letztentscheidung stellt sich verschärft, wenn zugleich ein Diskriminierungsrisiko besteht: KI und Diskriminierung: das AGG-Risiko.

Was sollten Sie konkret umsetzen?

Die Transparenzpflicht reicht weit. Verlangt eine betroffene Person Auskunft über die involvierte Logik einer automatisierten Entscheidung, müssen Sie ihr in präziser, transparenter, verständlicher und leicht zugänglicher Form die Verfahren und Grundsätze erläutern, die bei der Verarbeitung ihrer Daten zur Gewinnung des konkreten Ergebnisses tatsächlich angewandt wurden (EuGH, Urt. v. 27.02.2025 – C-203/22, Art. 15 Abs. 1 lit. h DSGVO). Enthalten diese Informationen nach Ihrer Ansicht Geschäftsgeheimnisse oder geschützte Daten Dritter, schließt das die Auskunft nicht pauschal aus: Sie haben die Informationen dann der zuständigen Aufsichtsbehörde oder dem Gericht zu übermitteln, die die widerstreitenden Interessen abwägen.

So bleibt der Effizienzgewinn der KI erhalten, ohne die Rechte der Betroffenen und Ihre Compliance zu opfern.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Vermieter von Baumaschinen mit rund 45 Mitarbeitenden und Online-Buchung will Neukunden künftig von einem KI-Modell bewerten lassen. Unterhalb eines Schwellenwerts soll das System die Buchung ablehnen oder eine Kaution verlangen, ohne dass eine Person den Fall ansieht. Viele Kunden buchen als Einzelunternehmer. Zu klären ist, ob eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung vorliegt; eine Ablehnung kann darunter fallen. Solche Entscheidungen sind nur in drei Ausnahmen zulässig, darunter die Erforderlichkeit für einen Vertrag und die ausdrückliche Einwilligung.

Danach trennen sich die Wege. Prüft eine Mitarbeiterin jeden Ablehnungsvorschlag inhaltlich, mit den nötigen Informationen und der Befugnis, ihn zu ändern, entscheidet nicht mehr ausschließlich das System; bloßes Abnicken genügt nicht. Soll die Ablehnung vollautomatisch bleiben, muss die Ausnahme dokumentiert sein, und der Kunde braucht das Recht auf Eingreifen einer Person, auf Darlegung seines Standpunkts und auf Anfechtung. Auf Nachfrage sind dann auch die Verfahren und Grundsätze hinter dem Ergebnis zu erläutern. Am Ende steht ein Buchungsprozess mit festgelegtem Prüfpunkt. Den Freigabeweg dafür legt das Rechtssystem fest.

Häufige Fragen

Sind vollautomatisierte Entscheidungen über Personen erlaubt?

Im Ausgangspunkt nein. Nach Art. 22 Abs. 1 DSGVO hat die betroffene Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. Die herrschende Auffassung liest das als grundsätzliches Verbot.

Welche Ausnahmen lässt Art. 22 DSGVO zu?

Art. 22 Abs. 2 DSGVO lässt die vollautomatisierte Entscheidung nur zu, wenn sie für Abschluss oder Erfüllung eines Vertrags erforderlich ist, wenn Unions- oder mitgliedstaatliches Recht sie mit Schutzmaßnahmen zulässt oder wenn die betroffene Person ausdrücklich eingewilligt hat.

Was bedeutet „ausschließlich automatisiert“?

Ausschließlich automatisiert ist eine Entscheidung, die ohne echte, inhaltliche menschliche Beteiligung ergeht. Wird die KI-Entscheidung durch eine tatsächliche Prüfung überlagert, bei der eine Person sie bewerten und ändern kann, greift Art. 22 Abs. 1 DSGVO nicht. Ein bloßes formales Durchwinken des Vorschlags genügt dafür nicht.

Welche Rechte haben Betroffene bei automatisierten Entscheidungen?

In den Fällen der Vertragserforderlichkeit und der Einwilligung verlangt Art. 22 Abs. 3 DSGVO angemessene Schutzmaßnahmen, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Ergänzend sind die Betroffenen nach Art. 13 bis 15 DSGVO über Logik und Tragweite zu informieren.

Wie genau muss die Auskunft über die Logik einer automatisierten Entscheidung sein?

Nach dem Urteil des EuGH vom 27. Februar 2025 (C-203/22) sind die Verfahren und Grundsätze zu erläutern, die bei der Verarbeitung der Daten der betroffenen Person konkret angewandt wurden. Berufen Sie sich auf Geschäftsgeheimnisse, entscheiden Aufsichtsbehörde oder Gericht nach einer Abwägung über den Umfang der Auskunft.

Wo im Unternehmen KI über Menschen mitentscheidet, ist oft nirgends festgehalten. Das Rechtssystem legt KI-Richtlinie und Freigabeweg fest, damit solche Prozesse vor dem Einsatz geprüft werden und eine menschliche Kontrolle vorgesehen ist. Rechtssystem: KI-Entscheidungen mit klaren Regeln

Sie setzen KI für Entscheidungen über Personen ein? In einem 60-minütigen Strategiegespräch prüfen wir Art. 22 DSGVO für Ihren konkreten Prozess. Vertiefend zu allen Facetten des betrieblichen KI-Einsatzes: der Leitfaden KI im Unternehmen einsetzen. Fachliche Begleitung im IT-Recht: IT-Recht als Leistung.