In einem Satz. DSGVO Artikel 22 gewährt der betroffenen Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt — mit drei engen Ausnahmen: (a) für die Vertragserfüllung erforderlich, (b) gesetzlich zugelassen, © auf ausdrücklicher Einwilligung beruhend. Für Vertrags- und Einwilligungsfälle verlangt Artikel 22 Absatz 3 mindestens menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung. Bei gesetzlich zugelassenen Entscheidungen muss die Rechtsgrundlage geeignete Schutzmaßnahmen vorsehen.
Artikel 22 DSGVO ist für KI/ML-Einsätze relevant, wenn die konkreten Voraussetzungen einer ausschließlich automatisierten Entscheidung mit rechtlichen oder ähnlich erheblichen Folgen erfüllt sind. Der EuGH hat in SCHUFA (C-634/21, 7. Dezember 2023) entschieden, dass bereits die automatisierte Ermittlung eines Bonitätswahrscheinlichkeitswerts durch eine Auskunftei erfasst sein kann, wenn der Empfänger diesem Wert eine maßgebliche Rolle bei seiner Vertragsentscheidung beimisst. Das EU-KI-Gesetz (Verordnung 2024/1689) trat am 1. August 2024 in Kraft; die Anwendbarkeit seiner Pflichten erfolgt gestaffelt, wie die Europäische Kommission erläutert. Artikel 22 bleibt daneben für die datenschutzrechtliche Prüfung automatisierter Einzelentscheidungen maßgeblich.
Wichtige Punkte
- Artikel 22 Absatz 1: Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung mit rechtlichen oder ähnlich erheblichen Folgen beruht.
- Drei Ausnahmen in Artikel 22 Absatz 2: Vertragserfüllung, Gesetz, ausdrückliche Einwilligung.
- Vertrags- und Einwilligungsfälle erfordern mindestens die Rechte aus Artikel 22 Absatz 3. Für gesetzlich zugelassene Entscheidungen muss das Gesetz geeignete Garantien vorsehen.
- Artikel 22 Absatz 4: Entscheidungen nach Absatz 2 dürfen auf besonderen Datenkategorien nur beruhen, wenn Artikel 9 Absatz 2 Buchstabe a oder g gilt und geeignete Schutzmaßnahmen bestehen.
- Das EuGH-Urteil SCHUFA (2023) erfasst unter den genannten Voraussetzungen bereits die Score-Ermittlung als Entscheidung; echte menschliche Beteiligung ist anhand des tatsächlichen Verfahrens zu beurteilen.
1. Artikel 22 Absatz 1 — das Verbot
Drei kumulative Bedingungen lösen das Verbot aus:
- Es liegt eine Entscheidung vor.
- Sie beruht ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling.
- Sie entfaltet gegenüber der betroffenen Person rechtliche Wirkung oder beeinträchtigt sie in ähnlicher Weise erheblich.
Sind diese Voraussetzungen erfüllt, gilt ein grundsätzliches Verbot; die Person muss es nicht erst durch einen Widerspruch auslösen. Erst danach werden die abschließenden Ausnahmen in Absatz 2 geprüft. Eine fehlende Einwilligung ist keine zusätzliche Tatbestandsvoraussetzung des Absatzes 1.
“Ausschließlich auf” — die SCHUFA-Klarstellung
Die Leitlinien WP251rev.01 zu automatisierten Entscheidungen verlangen eine inhaltlich relevante menschliche Beteiligung; bloßes formales Abzeichnen genügt nicht. Die prüfende Person benötigt Kompetenz und Befugnis, das Ergebnis tatsächlich zu ändern. Das SCHUFA-Urteil behandelt zusätzlich die vorgelagerte Score-Ermittlung: Ein Unternehmen kann sich nicht allein darauf berufen, dass formal erst sein Kunde den Vertragsschluss entscheidet.
Für Betroffene konkretisiert der Ablauf zum Anfechten einer SCHUFA-gestützten Entscheidung, welche Informationen beim entscheidenden Unternehmen und welche bei der Auskunftei angefordert werden. So bleiben eine unrichtige Datengrundlage, die Rolle des Scores und eine mögliche menschliche Neubewertung unterscheidbar.
“Rechtliche oder ähnlich erhebliche Folgen”
Die folgende Tabelle nennt mögliche Anwendungsfälle und typischerweise weniger erhebliche Vorgänge. Entscheidend bleiben die drei Voraussetzungen im Einzelfall; nicht jedes Bewerber-Screening oder jede Empfehlung erfüllt sie automatisch.
| Mögliche Fälle bei erfüllten Voraussetzungen | Häufig weniger erhebliche Vorgänge; Kontext prüfen |
|---|---|
| Kreditgenehmigung/-ablehnung | Personalisierte Produktempfehlungen |
| Versicherungsprämienberechnung | Suchergebnis-Reihenfolge |
| Bewerber-Screening | Filmempfehlungen |
| Visa-/Einwanderungsentscheidungen | Newsletter-Inhaltsauswahl |
| Anspruch auf Sozialleistungen | A/B-Test-Variantenzuweisung |
| Beschäftigungs-Leistungsbewertung | UI-Anpassung |
| Kreditscoring (SCHUFA) | Allgemeines Werbe-Targeting |
2. Die drei Ausnahmen (Artikel 22 Absatz 2)
(a) Vertragserfüllung
Die Entscheidung ist erforderlich für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen.
(b) Gesetzlich zugelassen
Spezifisches Recht erlaubt die automatisierte Entscheidung und sieht Garantien vor.
© Ausdrückliche Einwilligung
Die betroffene Person hat ausdrücklich eingewilligt. Unterliegt den Artikel 7-Bedingungen + muss unmissverständlich + freiwillig erteilt sein.
3. Erforderliche Garantien (Artikel 22 Absatz 3)
In den Fällen von Artikel 22 Absatz 2 Buchstabe a und c, also Vertrag und ausdrücklicher Einwilligung, muss der Verantwortliche nach Absatz 3 mindestens folgende Rechte gewährleisten:
- Recht auf Erwirkung menschlichen Eingreifens (ein echter Mensch mit Befugnis zur Aufhebung)
- Recht auf Darlegung des eigenen Standpunkts
- Recht auf Anfechtung der Entscheidung
Bei Absatz 2 Buchstabe b müssen geeignete Maßnahmen bereits in der zulassenden Rechtsgrundlage vorgesehen sein. Die Rechtsprechung zu SCHUFA erläutert die erforderlichen Garantien auch für diesen gesetzlichen Erlaubnisweg; eine pauschale gesetzliche Erlaubnis ohne angemessenen Schutz genügt nicht.
4. Besondere Kategorien (Artikel 22 Absatz 4)
Automatisierte Entscheidungen, die besondere Kategorien personenbezogener Daten betreffen (Artikel 9: Gesundheit, Biometrie usw.), sind nur zulässig, wenn:
- Ausdrückliche Einwilligung (Artikel 9 Absatz 2 Buchstabe a), ODER
- Wesentliches öffentliches Interesse nach EU-/Mitgliedstaatsrecht (Artikel 9 Absatz 2 Buchstabe g)
Zusätzlich müssen geeignete Maßnahmen zum Schutz der Rechte, Freiheiten und berechtigten Interessen bestehen. Nicht jede Ausnahme des Artikels 9 genügt: Absatz 4 nennt ausdrücklich nur Buchstabe a oder g. Die weiteren Voraussetzungen aus Artikel 22 Absatz 2 sowie Artikel 5 und 6 bleiben zu prüfen.
5. Informationspflichten
Die Artikel 13 Absatz 2 Buchstabe f und 14 Absatz 2 Buchstabe g verlangen, dass der Verantwortliche die betroffene Person informiert über:
- Das Bestehen einer automatisierten Entscheidungsfindung (einschließlich Profiling)
- Aussagekräftige Informationen über die involvierte Logik
- Die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung
Die Auskunft über die konkrete automatisierte Verarbeitung folgt zusätzlich aus Artikel 15 Absatz 1 Buchstabe h. Im Urteil Dun & Bradstreet Austria (C-203/22, 27. Februar 2025) verlangt der EuGH eine verständliche Erklärung des tatsächlich angewandten Verfahrens und seiner Grundsätze: Die Person muss nachvollziehen können, welche ihrer Daten wie zum Ergebnis beigetragen haben. Die bloße Übermittlung eines Algorithmus ersetzt diese Erklärung nicht. Werden Geschäftsgeheimnisse oder Rechte Dritter geltend gemacht, sind die geschützten Informationen der zuständigen Aufsichtsbehörde oder dem Gericht zur Abwägung vorzulegen; daraus folgt keine pauschale Verweigerung sämtlicher Auskunft.
6. Schnittstelle zum KI-Gesetz
Das EU-KI-Gesetz (Verordnung 2024/1689) klassifiziert viele automatisierte Entscheidungssysteme als “Hochrisiko-KI”. Die Verpflichtungen aus Artikel 22 DSGVO sind kumulativ mit den Verpflichtungen aus dem KI-Gesetz.
7. DSFA-Pflicht
Artikel 35 Absatz 3 Buchstabe a verlangt eine DSFA für die systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, wenn sie als Grundlage für Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dient. Zusätzlich ist die allgemeine voraussichtliche Hochrisikoschwelle aus Artikel 35 Absatz 1 zu prüfen. Nicht jede Automatisierung löst allein eine DSFA-Pflicht aus.
8. Durchsetzung
| Jahr | Entscheidung | Datenschutzrechtlicher Bezug |
|---|---|---|
| 2023 | SCHUFA (EuGH) — Vorabentscheidung | Kreditscoring als Artikel 22 |
| 2025 | Dun & Bradstreet Austria (C-203/22, EuGH) — Vorabentscheidung | Verständliche Erklärung der konkret angewandten automatisierten Verarbeitung |
8a. Was das SCHUFA-Urteil praktisch verändert hat
Vor dem EuGH-Urteil C-634/21 argumentierten viele Anbieter, ihre Scores seien bloße “Vorbereitungshandlungen” — die eigentliche Entscheidung treffe ja ein Mensch (die Bank, der Vermieter). Der EuGH hat diesen Ausweg geschlossen: Wenn ein Empfänger dem automatisiert ermittelten Bonitätswert eine maßgebliche Rolle beim Begründen, Durchführen oder Beenden eines Vertragsverhältnisses beimisst, kann bereits die Score-Erstellung selbst eine automatisierte Einzelentscheidung nach Artikel 22 DSGVO sein. Damit trägt der Score-Anbieter — nicht nur der score-nutzende Kunde — die Pflichten aus Artikel 22.
Für den betrieblichen Einsatz von KI-Tools ist zunächst zu prüfen, ob eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung vorliegt. Sind die Voraussetzungen des Artikels 22 erfüllt, folgen daraus drei konkrete Konsequenzen. Erstens: Neben der allgemeinen Rechtsgrundlage muss eine anwendbare Ausnahme nach Artikel 22 Absatz 2 dokumentiert werden — Details dazu im Leitfaden zum Datenschutz bei KI-Tools wie ChatGPT und Copilot. Zweitens: Verarbeitet das System besondere Datenkategorien, greifen die verschärften Anforderungen aus Artikel 22 Absatz 4 in Verbindung mit Artikel 9 DSGVO (besondere Kategorien). Drittens: Die “menschliche Überprüfung” muss echt sein — der prüfende Mensch braucht Zugang zu den Entscheidungsgrundlagen, Zeit und die tatsächliche Befugnis zur Abweichung. Ein formales Abnicken genügt nach den Leitlinien zu automatisierten Entscheidungen nicht.
Wer solche Systeme betreibt, sollte den tatsächlichen Prüfprozess samt Befugnissen der prüfenden Person festhalten und seine Wirksamkeit kontrollieren. Die Vertragsbezeichnung oder eine vorgesehene menschliche Freigabe allein belegen noch keine inhaltliche Prüfung.
9. Implementierungs-Checkliste
Zunächst für jedes automatisierte Entscheidungssystem die Anwendbarkeit von Artikel 22 anhand seiner drei Voraussetzungen prüfen. Die nachstehenden Punkte zur Ausnahme und zu den Garantien nach Artikel 22 gelten bei erfülltem Anwendungsbereich; Rechtsgrundlage und eine mögliche DSFA-Pflicht sind unabhängig davon zu prüfen.
- ☐ DSFA-Pflicht nach Artikel 35 geprüft und erforderliche DSFA vor Beginn durchgeführt
- ☐ Rechtsgrundlage dokumentiert (Artikel 6)
- ☐ Für Entscheidungen nach Artikel 22 Absatz 2 auf Basis besonderer Kategorien: Artikel 9 Absatz 2 Buchstabe a oder g und geeignete Schutzmaßnahmen geprüft
- ☐ Artikel 22-Ausnahme anwendbar: dokumentiert
- ☐ Rechte nach Artikel 22 Absatz 3 in Vertrags- und Einwilligungsfällen umgesetzt; bei gesetzlicher Zulassung die vorgeschriebenen Garantien geprüft
- ☐ Erforderliche menschliche Prüfung und Anfechtungsmöglichkeiten praktisch überprüft
- ☐ Datenschutzerklärung (Artikel 13/14) offenbart: Bestehen, Logik, Tragweite, Folgen
- ☐ Algorithmus-Erklärbarkeit dokumentiert
- ☐ KI-Gesetz-Konformitätsbewertung wenn Hochrisiko
10. Werkzeuge
Ein geeignetes Werkzeug sollte die dokumentierte Prüfung des Anwendungsbereichs, die herangezogene Ausnahme und die erforderlichen Schutzmaßnahmen nachvollziehbar zusammenführen. Prüfen Sie anhand eines konkreten Vorgangs, ob sich Entscheidungsgrundlagen, menschliche Prüfungen und Änderungen verständlich belegen lassen. Eine automatisch ausgefüllte Vorlage ersetzt weder die rechtliche Bewertung noch die tatsächlich wirksamen Garantien.
Für verwandte Vertiefungen: Datenschutz-Folgenabschätzung, DSGVO Artikel 6 Rechtsgrundlagen, DSGVO Artikel 7 Einwilligung.
Fazit
Artikel 22 ist die DSGVO-Antwort auf algorithmische Entscheidungsfindung. Entscheidend sind die tatsächliche Entscheidung und ihre Auswirkungen. Das SCHUFA-Urteil zeigt, dass auch ein vorgelagerter Score erfasst sein kann, wenn er beim Empfänger eine maßgebliche Rolle spielt. Die Prüfung des konkreten Verfahrens und der einschlägigen Garantien bleibt erforderlich.
FAQ
Wann gilt DSGVO Artikel 22?
Wenn eine Entscheidung ausschließlich auf einer automatisierten Verarbeitung (einschließlich Profiling) beruht und rechtliche Wirkungen entfaltet oder die betroffene Person in ähnlicher Weise erheblich beeinträchtigt. Kredite, Versicherungen, Bewerber-Screening und Scoring können darunterfallen, wenn die genannten Voraussetzungen tatsächlich erfüllt sind.
Was bedeutet “ausschließlich auf automatisierter Verarbeitung beruhend” nach SCHUFA?
Im SCHUFA-Fall kann bereits die automatisierte Score-Ermittlung erfasst sein, wenn der Empfänger dem Wert eine maßgebliche Rolle bei seiner Vertragsentscheidung beimisst. Eine behauptete menschliche Beteiligung muss außerdem inhaltlich relevant sein; bloßes Abzeichnen genügt nach den einschlägigen Leitlinien nicht.
Kann ich automatisierte Entscheidungen für die Einstellung verwenden?
Nur wenn (a) für die Vertragserfüllung erforderlich (selten — manuelle Überprüfung ist meist möglich), (b) gesetzlich zugelassen oder © ausdrückliche Einwilligung (selten im Beschäftigungskontext). In Vertrags- und Einwilligungsfällen gelten die Mindestgarantien aus Absatz 3; bei gesetzlicher Zulassung müssen geeignete Schutzmaßnahmen in der Rechtsgrundlage vorgesehen sein.
Welche Informationen muss ich über den Algorithmus bereitstellen?
Artikel 13 Absatz 2 Buchstabe f und 14 Absatz 2 Buchstabe g erfordern “aussagekräftige Informationen über die involvierte Logik” plus die Tragweite und die angestrebten Auswirkungen.
Ersetzt das KI-Gesetz Artikel 22?
Nein — beide gelten kumulativ. Artikel 22 schützt einzelne betroffene Personen über die DSGVO; das KI-Gesetz reguliert das KI-System selbst mit Anforderungen an Konformitätsbewertung, Dokumentation und Aufsicht.