Wenn die Software entscheidet: Automatisierte Entscheidungsfindung und Profiling nach Art. 22 DSGVOAutomatisierte Entscheidungsfindung dsgvo

Ein Kunde bestellt seit Jahren regelmäßig bei einem Online-Händler und hat jede Rechnung pünktlich bezahlt. Trotzdem zeigt das System beim nächsten Einkauf plötzlich „Rot“ – Rechnungskauf ausgeschlossen, nur noch Vorkasse. Der Kundenservice kann nicht erklären, warum. Man teilt nur mit, die Entscheidung sei „vom System“ getroffen worden.

Was hier auf den ersten Blick wie eine banale technische Unterstützung des Bestellprozesses wirkt, wirft tatsächlich eine Reihe datenschutzrechtlicher Fragen auf: Liegt Profiling vor? Wurde eine automatisierte Entscheidung getroffen? Ist der Kunde erheblich beeinträchtigt, obwohl er noch per Vorkasse bestellen kann? Diese Fragen führen unmittelbar zu Art. 22 DSGVO – einer Vorschrift, die in der Praxis erstaunlich oft übersehen oder falsch angewendet wird.

Kein reines KI-Thema

Viele denken bei automatisierten Entscheidungen zuerst an künstliche Intelligenz oder selbstlernende Systeme. Tatsächlich ist Art. 22 DSGVO deutlich älter als der aktuelle Einsatz generativer KI und setzt auch keine besonders fortschrittliche Technik voraus. Schon eine einfache Wenn-dann-Regel reicht aus: Liegt der Bonitätswert unter einem bestimmten Schwellenwert, wird der Rechnungskauf nicht angeboten. Auch eine Excel-Tabelle, ein Warenwirtschaftssystem oder ein Bewerbermanagementsystem kann eine automatisierte Entscheidung im Sinne der Vorschrift treffen. Auf die technische Komplexität oder darauf, ob ein Anbieter mit Begriffen wie „Machine Learning“ oder „Smart Analytics“ wirbt, kommt es nicht an.

Profiling, Entscheidung, ausschließlich automatisiert – die Grundbegriffe

Eine automatisierte Verarbeitung liegt vor, sobald personenbezogene Daten mithilfe technischer Systeme verarbeitet werden – etwa beim Berechnen eines Bonitätswerts, beim Sortieren von Bewerbungen oder beim automatischen Sperren eines Kundenkontos. Das allein ist noch nicht problematisch, nahezu jedes Unternehmen verarbeitet Daten automatisiert.

Profiling beginnt dort, wo aus vorhandenen Daten eine Aussage über eine Person abgeleitet wird – etwa wenn aus dem bisherigen Zahlungsverhalten die Wahrscheinlichkeit eines künftigen Zahlungsausfalls ermittelt wird. Werden Kunden dagegen lediglich alphabetisch sortiert, ist das kein Profiling, weil kein persönlicher Aspekt bewertet wird. Profiling ist damit weiter gefasst als die automatisierte Entscheidungsfindung nach Art. 22 DSGVO – es kann Profiling geben, ohne dass anschließend eine Entscheidung mit erheblicher Wirkung getroffen wird.

Der Begriff der Entscheidung wiederum ist funktional zu verstehen. Er erfasst nicht nur einen förmlichen Bescheid, sondern jede Maßnahme, die das Verhalten des Unternehmens gegenüber einer Person tatsächlich festlegt: die Auswahl der angebotenen Zahlungsarten, die Sperrung eines Kontos, die Ablehnung eines Bewerbers.

Damit Art. 22 Abs. 1 DSGVO überhaupt greift, müssen drei Merkmale kumulativ vorliegen:

1. Es muss eine Entscheidung vorliegen,
2. sie muss ausschließlich auf automatisierter Verarbeitung beruhen und
3. sie muss rechtliche Wirkung entfalten oder die betroffene Person in ähnlich erheblicher Weise beeinträchtigen.

Fehlt eines dieser Merkmale, greift das besondere Verbot nicht, die übrigen Vorschriften der DSGVO bleiben aber vollständig anwendbar.

Der Mensch darf nicht nur als Feigenblatt dienen

Besonders praxisrelevant ist die Frage, wann eine Entscheidung noch als „ausschließlich automatisiert“ gilt. Viele Unternehmen versuchen, Art. 22 DSGVO dadurch zu umgehen, dass sie formal einen Mitarbeiter „in den Prozess einbauen“. Datenschutzrechtlich kommt es aber auf die Qualität dieser Beteiligung an. Ein Mitarbeiter ist nicht wirksam eingebunden, wenn er das Systemergebnis nur zur Kenntnis nimmt, es lediglich weiterleitet, grundsätzlich nicht davon abweichen darf oder aus Zeitdruck praktisch jeden Vorschlag übernimmt. Ein vorgeschalteter „Bestätigen“-Button macht aus einer automatisierten Entscheidung noch keine menschliche Entscheidung. Ein wirksamer Prüfer muss die relevanten Informationen kennen, den Fall eigenständig beurteilen und tatsächlich befugt sein, das Ergebnis zu ändern.

Das grundsätzliche Verbot und seine drei Ausnahmen

Der Europäische Gerichtshof versteht Art. 22 Abs. 1 DSGVO nicht als bloßes Widerspruchsrecht, sondern als grundsätzliches Verbot. Ein Unternehmen kann also nicht einfach automatisiert entscheiden und abwarten, ob sich jemand beschwert – es braucht von vornherein eine der drei gesetzlich vorgesehenen Ausnahmen:

• Die Entscheidung ist für einen Vertrag mit der betroffenen Person erforderlich,
• sie ist durch eine konkrete Rechtsvorschrift ausdrücklich erlaubt oder
• die betroffene Person hat ausdrücklich eingewilligt.

Dabei bedeutet „erforderlich“ mehr als praktisch oder kostengünstig: Ein Unternehmen muss darlegen können, warum das Ziel nicht auch mit einer weniger eingriffsintensiven Lösung – etwa einer automatisierten Vorprüfung mit anschließender menschlicher Entscheidung – erreichbar wäre. Und eine Einwilligung in versteckten AGB-Klauseln oder über ein vorangekreuztes Kästchen genügt den Anforderungen an Freiwilligkeit, Informiertheit und Ausdrücklichkeit nicht.

Wichtig zusätzlich: Art. 22 DSGVO ersetzt nicht die allgemeine Rechtsgrundlage der Datenverarbeitung. Es sind stets zwei Ebenen zu prüfen – die allgemeine Rechtmäßigkeit nach Art. 6 DSGVO und, sofern einschlägig, zusätzlich eine der Ausnahmen nach Art. 22 Abs. 2 DSGVO.

Ausgelagerte Scores bleiben Teil der Entscheidungskette

Lange wurde argumentiert, ein externer Auskunftei-Score sei nur eine vorbereitende Bewertung, während die eigentliche Entscheidung erst beim Unternehmen liege, das den Wert nutzt. Der EuGH hat diese Sichtweise im SCHUFA-Urteil vom 7. Dezember 2023 deutlich eingeschränkt: Bereits die automatisierte Ermittlung eines Wahrscheinlichkeitswerts kann selbst eine Entscheidung nach Art. 22 DSGVO sein, wenn der Empfänger bei seiner eigenen Entscheidung maßgeblich darauf zurückgreift. Für Unternehmen bedeutet das: Die Verantwortung lässt sich nicht vollständig auf die Auskunftei oder den Softwareanbieter abwälzen. Entscheidend ist, wie stark der Score die endgültige Entscheidung tatsächlich bestimmt – eine scheinbar manuelle Entscheidung bleibt automatisiert, wenn der Mitarbeiter praktisch immer dem Score folgen muss.

„Unser System verwendet einen Algorithmus“ reicht nicht

Betroffene Personen müssen nachvollziehen können, wie eine automatisierte Entscheidung zustande gekommen ist. Art. 13, 14 und 15 DSGVO verlangen aussagekräftige Informationen über die involvierte Logik, die Tragweite und die Auswirkungen der Verarbeitung. Der EuGH hat diese Anforderung im Urteil Dun & Bradstreet Austria vom 27. Februar 2025 konkretisiert: Weder eine komplizierte mathematische Formel noch eine pauschale Aussage wie „wir nutzen moderne Algorithmen“ genügt. Die Erklärung muss das tatsächlich angewandte Verfahren verständlich darstellen – welche Daten eingeflossen sind, welche Merkmale positiv oder negativ gewirkt haben, welche Faktoren im konkreten Fall ausschlaggebend waren. Geschäftsgeheimnisse rechtfertigen dabei keine vollständige Verweigerung der Auskunft. Im Zweifel kann eine Offenlegung gegenüber der Aufsichtsbehörde oder einem Gericht erforderlich werden.

Wie teuer mangelhafte Transparenz und fehlende menschliche Kontrolle werden können, zeigt der Fall Foodinho: Die italienische Datenschutzaufsicht verhängte 2021 ein Bußgeld von 2,6 Millionen Euro gegen den Lieferdienst, unter anderem wegen unzureichender Informationen über das eingesetzte Bewertungssystem und fehlender wirksamer Möglichkeiten menschlichen Eingreifens.

Zusammenfassung

Für Unternehmen, die automatisierte Bewertungssysteme einsetzen – ob im Vertrieb, im Bewerbermanagement oder im Zahlungsverkehr – lohnt sich ein nüchterner Blick auf den tatsächlichen Ablauf, nicht auf die Marketingbezeichnung der Software. Sinnvoll ist es, für jeden relevanten Prozess zu klären:

• Welche persönlichen Aspekte werden bewertet, und welche Entscheidung löst das Ergebnis aus?
• Kann tatsächlich noch ein Mensch eingreifen, oder wird das Ergebnis faktisch immer übernommen?
• Auf welcher der drei Ausnahmen nach Art. 22 Abs. 2 DSGVO beruht der Einsatz – und lässt sich das auch begründen?
• Können Betroffene verständlich erklärt bekommen, wie das Ergebnis zustande kam, und eine menschliche Überprüfung verlangen?

Automatisierte Entscheidungen sind nicht grundsätzlich unzulässig – sie beschleunigen Abläufe und können Entscheidungen sogar objektivieren. Problematisch wird es erst, wenn ein System über Menschen entscheidet, ohne dass der Ablauf verstanden, kontrolliert und erklärt werden kann. Wer sich frühzeitig mit dieser Frage auseinandersetzt, erspart sich nicht nur aufsichtsbehördlichen Ärger, sondern schafft auch Vertrauen bei Kunden und Bewerbern.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.