Kurzdefinition: Art. 22 DSGVO schützt vor rein maschinellen Entscheidungen mit erheblicher Wirkung. Die betroffene Person hat das Recht, nicht einer allein durch automatisierte Verarbeitung getroffenen Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. [N-DSGVO-22]
Der Normwortlaut
Art. 22 Abs. 1 DSGVO gibt das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“. [N-DSGVO-22]
Was ist eine automatisierte Entscheidung?
Eine Entscheidung ohne menschliches Zutun. Erfasst ist die allein automatisierte Verarbeitung — einschließlich Profiling —, die eine rechtliche Wirkung entfaltet oder die Person ähnlich erheblich beeinträchtigt, etwa eine automatische Kreditablehnung oder Bewerberauswahl. Wirkt ein Mensch an der Entscheidung mit, greift Art. 22 DSGVO grundsätzlich nicht. [N-DSGVO-22]
Ist Profiling verboten?
Nein, aber begrenzt. Profiling ist nicht generell untersagt; erst wenn es Grundlage einer allein automatisierten Entscheidung mit erheblicher Wirkung ist, greift der Schutz des Art. 22 DSGVO. Das Recht richtet sich also gegen die automatisierte Entscheidung, nicht gegen die Analyse als solche. [N-DSGVO-22]
Welche Ausnahmen gibt es?
Drei. Nach Art. 22 Abs. 2 DSGVO ist die automatisierte Entscheidung zulässig, wenn sie für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, aufgrund von Rechtsvorschriften zulässig ist oder mit ausdrücklicher Einwilligung erfolgt. In den Fällen von Vertrag und Einwilligung muss der Verantwortliche angemessene Schutzmaßnahmen treffen — mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung. [N-DSGVO-22]
Wann greift das Recht des Art. 22 DSGVO?
Bei erheblicher Wirkung. Das Recht besteht, wenn eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. [N-DSGVO-22]
Zählt Profiling dazu?
Ja. Art. 22 Abs. 1 DSGVO nennt das Profiling ausdrücklich als möglichen Bestandteil der automatisierten Entscheidung. Eine profilbasierte automatisierte Entscheidung kann damit erfasst sein. [N-DSGVO-22]
Genügt eine teilweise menschliche Beteiligung?
Auf die Ausschließlichkeit kommt es an. Art. 22 DSGVO betrifft ausschließlich automatisierte Entscheidungen. Eine wesentliche, inhaltliche menschliche Beteiligung kann die Entscheidung aus dem Anwendungsbereich herausführen — eine bloß formale Beteiligung genügt dafür nicht. [N-DSGVO-22]
Häufige Fehlannahmen
- „Jede automatisierte Verarbeitung ist verboten.“ Nein. Erfasst ist die allein automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. [N-DSGVO-22]
- „Ein Score oder eine bloße ‚Empfehlung‘ fällt nicht unter Art. 22.“ Nicht zwingend. Ist ein Scoring faktisch entscheidungsleitend, kann es selbst eine automatisierte Entscheidung sein — auf die Bezeichnung kommt es nicht an. [N-DSGVO-22]
- „Profiling ist generell untersagt.“ Nein. Erst als Grundlage einer solchen Entscheidung greift der Schutz. [N-DSGVO-22]
- „Es gibt keine Ausnahmen vom Verbot.“ Doch. Art. 22 Abs. 2 DSGVO lässt drei Ausnahmen zu: Vertrag, Rechtsvorschrift und ausdrückliche Einwilligung. [N-DSGVO-22]
- „Mit Einwilligung entfallen alle Schutzpflichten.“ Nein. Es bleiben mindestens das Recht auf Eingreifen einer Person, auf Darlegung des Standpunkts und auf Anfechtung zu gewährleisten. [N-DSGVO-22]
Was die Geschäftsleitung tun sollte
- Automatik erkennen. Entscheidungsprozesse auf rein automatisierte Wirkung prüfen.
- Rechtsgrundlage sichern. Vertrag, Gesetz oder ausdrückliche Einwilligung nachweisen.
- Menschliches Eingreifen ermöglichen. Überprüfung durch eine Person vorsehen.
- KI-Bezug beachten. Bei Hochrisiko-KI treten die Pflichten der KI-VO hinzu.
Für die Geschäftsleitung
Art. 22 DSGVO zieht die Grenze für rein maschinelle Entscheidungen: Wo eine Automatik ohne menschliches Zutun erheblich in Rechte eingreift, braucht es eine tragfähige Grundlage und menschliche Kontrolle. Gerade beim Einsatz von KI im Personal- oder Kreditwesen ist das der Prüfstein — und es steht neben den Pflichten der KI-Verordnung.
Quellen
- [N-DSGVO-22] Art. 22 DSGVO (Automatisierte Entscheidungen im Einzelfall einschließlich Profiling). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
