Was Art. 22 DSGVO verlangt
Art. 22 Abs. 1 DSGVO gibt betroffenen Personen ein Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Das betrifft klassische Anwendungsfälle wie automatisierte Kreditwürdigkeitsprüfungen, algorithmisches Bewerber-Scoring oder automatisiertes Pricing – also alle Fälle, in denen ein System ohne menschliches Eingreifen eine Entscheidung trifft, die spürbare Folgen für die betroffene Person hat.
Entscheidend ist das Wort „ausschließlich“. Sobald ein Mensch die Entscheidung tatsächlich prüft und eigenständig trifft, greift Art. 22 Abs. 1 nicht. Eine bloß formale Zwischenschaltung – ein Mitarbeiter klickt Vorschläge des Systems durch, ohne inhaltliche Prüfung – reicht dafür nicht aus. Genau hier liegt die erste typische Fehlvorstellung in der Praxis: Viele Unternehmen gehen davon aus, ein „Vier-Augen-Prinzip“ genüge automatisch, ohne dass die menschliche Prüfung inhaltlich substanziell ist.
Wann greift das Verbot – und wann nicht
Art. 22 Abs. 2 DSGVO nennt drei Ausnahmen, unter denen eine ausschließlich automatisierte Entscheidung zulässig ist:
- Sie ist für den Abschluss oder die Erfüllung eines Vertrags erforderlich (Buchstabe a),
- sie ist durch Unions- oder mitgliedstaatliches Recht zugelassen, das angemessene Schutzmaßnahmen vorsieht (Buchstabe b), oder
- sie beruht auf ausdrücklicher Einwilligung der betroffenen Person (Buchstabe c).
Diese Ausnahmen werden in der Praxis häufig zu großzügig ausgelegt. „Erforderlich für die Vertragserfüllung“ ist etwa keine pauschale Rechtfertigung für jedes Scoring-Modell, sondern verlangt eine echte Notwendigkeit – nicht bloß Zweckmäßigkeit oder Kosteneffizienz. Bei der Einwilligung nach Buchstabe c gilt zudem der strenge DSGVO-Maßstab der Ausdrücklichkeit: ein versteckter Passus in den AGB genügt nicht.
Angemessene Maßnahmen: Die konkrete Pflicht
Art. 22 Abs. 3 DSGVO verpflichtet Verantwortliche in den Fällen der Buchstaben a und c, angemessene Maßnahmen zur Wahrung der Rechte und Interessen der betroffenen Person zu treffen. Das Gesetz nennt ein Mindestprogramm: das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.
Praktisch bedeutet das: Es braucht einen definierten, tatsächlich funktionierenden Prozess, über den Betroffene eine automatisierte Entscheidung anfechten können, und eine Stelle, die die Entscheidung dann mit fachlicher Kompetenz und Entscheidungsspielraum überprüft – nicht nur formal bestätigt. Fehlt dieser Prozess oder existiert er nur auf dem Papier, liegt ein Verstoß gegen Abs. 3 vor, selbst wenn die Ausnahme nach Abs. 2 an sich greift.
Zusätzlich verschärft Art. 22 Abs. 4 DSGVO die Anforderungen, wenn besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO betroffen sind, etwa Gesundheitsdaten in einem automatisierten Risikoscoring. Solche Entscheidungen sind nur zulässig, wenn zusätzlich Art. 9 Abs. 2 Buchstabe a oder g erfüllt ist und angemessene Schutzmaßnahmen bestehen.
Schnittstelle zum EU AI Act
Viele Systeme, die unter Art. 22 DSGVO fallen – etwa Kreditscoring, Bewerber-Vorauswahl oder Risikobewertung – sind zugleich im Anhang III der KI-Verordnung als Hochrisiko-Anwendungsfälle gelistet. Nach dem aktuellen, durch den Digital Omnibus geänderten Fristenplan gelten die entsprechenden Hochrisiko-Pflichten aus Anhang III ab dem 02.12.2027. Wer ein solches System betreibt, muss also DSGVO- und KI-Act-Anforderungen parallel im Blick behalten – die DSGVO-Pflicht zur Anfechtungsmöglichkeit ersetzt keine KI-Act-Konformitätsbewertung, und umgekehrt.
Unabhängig davon greifen bereits ab dem 02.08.2026 die Transparenzpflichten aus Art. 50 KI-VO, mit einer Schonfrist bis 02.12.2026 für Systeme, die vorher in Verkehr gebracht wurden. Wer betroffene Personen im Rahmen automatisierter Entscheidungen über den Einsatz von KI informieren muss, sollte diese Informationspflicht mit der Auskunfts- und Anfechtungslogik aus Art. 22 DSGVO inhaltlich verzahnen, statt zwei getrennte, widersprüchliche Prozesse zu pflegen.
Typische Lücken in der Praxis
Drei Muster tauchen in Prüfungen immer wieder auf: Erstens wird die „ausschließlich automatisiert“-Schwelle unterschätzt – Systeme, die de facto Entscheidungen vorwegnehmen, werden als „unterstützend“ deklariert. Zweitens fehlt ein belastbarer Anfechtungsprozess nach Abs. 3, obwohl auf dem Papier eine Ausnahme nach Abs. 2 genutzt wird. Drittens werden besondere Datenkategorien nach Art. 9 in automatisierten Modellen verarbeitet, ohne dass die verschärften Voraussetzungen aus Abs. 4 geprüft wurden.
Ob Ihre automatisierten Entscheidungsprozesse unter Art. 22 DSGVO fallen und welche zusätzlichen Pflichten aus dem EU AI Act sich daraus ergeben, lässt sich mit unserem kostenlosen Risiko-Check unter /einstufung in wenigen Minuten einordnen.