Kurze Antwort: Automatisierte Entscheidungsfindung bedeutet, dass eine Software – zum Beispiel ein Algorithmus oder ein KI-Modell – über eine Person entscheidet, ohne dass dabei ein Mensch eingreift oder das Ergebnis vorher prüft. Für KMU ist das vor allem dann relevant, wenn eine solche Entscheidung rechtliche Folgen hat oder die betroffene Person spürbar benachteiligt – etwa bei einer automatischen Kreditablehnung, einer automatisierten Vorauswahl von Bewerber:innen oder einem dynamischen Preismodell. Genau für diesen Fall gibt es mit Art. 22 DSGVO eine eigene Schutzvorschrift, die ihr kennen solltet, sobald ihr Kund:innen, Bewerber:innen oder Nutzer:innen ganz ohne menschliche Beteiligung automatisiert bewertet.
Was bedeutet automatisierte Entscheidungsfindung?
Automatisierte Entscheidungsfindung liegt vor, wenn ein System – etwa eine Scoring-Software, ein Regelwerk oder ein KI-Modell – aus Daten einer Person selbstständig eine Entscheidung ableitet, ohne dass ein Mensch diese Entscheidung inhaltlich beeinflusst. Wichtig ist dabei die Abgrenzung: Nicht jede Software, die euch bei einer Entscheidung unterstützt, fällt darunter. Solange am Ende ein Mensch die Empfehlung des Systems tatsächlich prüft, bewertet und eigenständig entscheidet, kann es sich um eine „nur unterstützte” Entscheidung handeln, bei der die strengeren DSGVO-Regeln nicht greifen. Ein bloßes Abnicken reicht dafür nicht. Das Schufa-Urteil des EuGH (Rechtssache C-634/21, 7. Dezember 2023) zeigt außerdem, wie eng diese Grenze ist: Schon ein automatisiert erstellter Wahrscheinlichkeitswert kann als Entscheidung im Sinne von Art. 22 DSGVO gelten, wenn davon maßgeblich abhängt, ob ein Dritter einen Vertrag mit der Person schließt, durchführt oder beendet. Rechtlich relevant wird es erst, wenn die Entscheidung ausschließlich automatisiert getroffen wird und rechtliche Wirkung entfaltet oder die Person „in ähnlicher Weise erheblich beeinträchtigt”. Dazu zählt oft auch Profiling: das automatisierte Auswerten persönlicher Aspekte wie Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Verhalten, um daraus Prognosen oder Bewertungen abzuleiten.
Automatisierte Entscheidungsfindung in der Praxis
Stellt euch ein KMU vor, das einen Online-Shop mit Kauf-auf-Rechnung-Option betreibt. Ein externer Dienst prüft bei jeder Bestellung automatisch die Bonität anhand von Adress- und Zahlungsdaten und lehnt Bestellungen bei einem zu niedrigen Score automatisch ab – ohne dass jemand aus eurem Team den Einzelfall ansieht. Das ist ein klassisches Beispiel für automatisierte Entscheidungsfindung: Die Person kann in diesem Moment nicht auf Rechnung kaufen, allein aufgrund einer Algorithmus-Entscheidung. Ob das im Einzelfall eine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 DSGVO hat, hängt vom Fall ab. Anders kann es aussehen, wenn das System dem Team lediglich einen Risikohinweis anzeigt und eine Mitarbeiterin am Ende selbst entscheidet, ob die Bestellung angenommen wird. Dann liegt möglicherweise keine ausschließlich automatisierte Entscheidung vor, auch wenn im Hintergrund dieselbe Software läuft. Voraussetzung ist, dass die Mitarbeiterin die Entscheidung wirklich selbst trifft und den Score nicht nur übernimmt. Ähnliche Konstellationen findet ihr bei der automatisierten Vorauswahl von Bewerbungen, bei dynamischer Preisgestaltung oder bei automatisierten Vertragskündigungen aufgrund von Verhaltensdaten.
Automatisierte Entscheidungsfindung und die DSGVO
Art. 22 Abs. 1 DSGVO gibt betroffenen Personen grundsätzlich das Recht, nicht einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Das heißt in der Praxis: Ihr dürft solche vollautomatisierten Entscheidungen grundsätzlich nur treffen, wenn eine der in Art. 22 Abs. 2 DSGVO genannten Ausnahmen vorliegt – etwa weil die Entscheidung für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, weil eine spezielle gesetzliche Grundlage sie erlaubt, oder weil die betroffene Person ausdrücklich eingewilligt hat. Liegt eine dieser Ausnahmen vor, müsst ihr laut Art. 22 Abs. 3 DSGVO trotzdem angemessene Maßnahmen zum Schutz der Betroffenen vorsehen: mindestens das Recht auf Eingreifen einer Person auf eurer Seite, das Recht, den eigenen Standpunkt darzulegen, und das Recht, die Entscheidung anzufechten. Besonders sensible Daten – etwa zu Gesundheit, ethnischer Herkunft oder politischer Meinung – dürfen nach Art. 22 Abs. 4 DSGVO nur in engen Ausnahmefällen Grundlage einer solchen automatisierten Entscheidung sein. Wenn euer Verfahren ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt, kommt zusätzlich häufig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ins Spiel. Setzt ihr dafür einen externen Dienstleister ein, dürfen personenbezogene Daten grundsätzlich nur verarbeitet werden, wenn die datenschutzrechtlichen Voraussetzungen erfüllt sind – dazu gehört, sofern eine Auftragsverarbeitung vorliegt, insbesondere ein AVV nach Art. 28 DSGVO. Ob und in welcher Form eure konkrete Software unter Art. 22 DSGVO fällt, hängt stark vom Einzelfall ab – im Zweifel lohnt sich dazu eine rechtliche Einschätzung, etwa mit Blick auf Orientierungshilfen der Aufsichtsbehörden.
Weiterführendes
Automatisierte Entscheidungsfindung hängt eng mit Profiling zusammen, da viele automatisierte Entscheidungen auf einem vorherigen Profiling-Schritt aufbauen. Wenn ihr prüfen wollt, ob ein möglicher KI-Bias eure automatisierten Entscheidungen verzerrt, oder wie ihr die passende Rechtsgrundlage für den Einsatz solcher Systeme findet, schaut auch in unsere Methodik zur Tool-Bewertung.
Häufige Fragen
Ist ein Chatbot, der Kundenanfragen automatisch beantwortet, schon automatisierte Entscheidungsfindung im Sinne der DSGVO?
Nicht automatisch. Art. 22 DSGVO greift nur, wenn die Entscheidung ausschließlich automatisiert erfolgt und rechtliche oder ähnlich erhebliche Wirkung für die Person hat. Beantwortet ein Chatbot nur allgemeine Fragen ohne verbindliche Entscheidung über die Person, liegt in der Regel keine automatisierte Entscheidungsfindung in diesem Sinne vor. Sobald der Chatbot aber zum Beispiel eigenständig über eine Vertragskündigung oder Rückerstattung entscheidet, kann das anders aussehen.
Brauche ich für ein automatisiertes Bewerber-Scoring die Einwilligung der Bewerber:innen?
Eine ausdrückliche Einwilligung ist eine von mehreren möglichen Grundlagen nach Art. 22 Abs. 2 DSGVO, aber nicht die einzige. Ob ihr stattdessen auf die Vertragsanbahnung oder eine andere Rechtsgrundlage stützen könnt, hängt vom konkreten Verfahren ab. In jedem Fall müsst ihr Betroffenen mindestens das Recht auf menschliches Eingreifen, auf Stellungnahme und auf Anfechtung der Entscheidung einräumen.
Muss ich eine Datenschutz-Folgenabschätzung durchführen, wenn ich automatisierte Entscheidungen treffe?
Häufig ja. Systematisches und umfangreiches Profiling mit automatisierten Entscheidungen, die rechtliche Wirkung entfalten, zählt zu den typischen Fällen, für die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO in Betracht kommt. Ob sie in eurem konkreten Fall verpflichtend ist, solltet ihr anhand der Kriterien der zuständigen Aufsichtsbehörde prüfen.
Gilt Art. 22 DSGVO auch für kleine Unternehmen ohne eigene IT-Abteilung?
Ja. Die DSGVO unterscheidet bei Art. 22 nicht nach Unternehmensgröße, sondern danach, ob eine ausschließlich automatisierte Entscheidung mit entsprechender Wirkung vorliegt. Auch wenn ihr nur ein Drittanbieter-Tool einsetzt, bleibt euer Unternehmen als Verantwortlicher in der Pflicht, die Vorgaben einzuhalten.
Weiterführende Artikel
Lead-Scoring ist Profiling, bleibt aber meist erlaubt, wenn Rechtsgrundlage, Informationspflicht und UWG-Vorgaben bei der Akquise eingehalten werden.