DSGVO Artikel 22: Recht auf menschliche Prüfung

Eine Bank lehnt einen Kredit ab. Eine Software sortiert eine Bewerbung aus, bevor ein Mensch sie liest. Ein Algorithmus stuft eine Versicherungsprämie hoch. In all diesen Fällen entscheidet nicht ein Sachbearbeiter, sondern ein Rechenmodell – und genau hier setzt Artikel 22 der Datenschutz-Grundverordnung an. Er gibt Menschen ein Recht, das in der Praxis oft übersehen wird: das Recht, nicht allein einer Maschine ausgeliefert zu sein.

Dieser Beitrag erklärt nüchtern und genau, was Artikel 22 DSGVO regelt, wann er greift, welche Rechte Betroffene konkret haben, welche Ausnahmen gelten und was Organisationen technisch und organisatorisch umsetzen müssen. Am Ende beleuchten wir das Verhältnis zur KI-Verordnung (EU AI Act).

Was sagt DSGVO Artikel 22 in einem Satz?

Artikel 22 DSGVO gibt jeder betroffenen Person das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung – einschließlich Profiling – beruht und ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Greift dieses Recht, muss die verantwortliche Stelle ein menschliches Eingreifen ermöglichen, der Person die Gelegenheit zur Darlegung ihres Standpunkts geben und die Anfechtung der Entscheidung zulassen. Es geht also nicht um ein Verbot jeder Automatisierung, sondern um den Anspruch auf menschliche Kontrolle, wenn die Entscheidung schwer wiegt.

Wichtig ist die Abgrenzung gleich zu Beginn: Artikel 22 betrifft nur vollständig automatisierte Entscheidungen. Sobald ein Mensch die Entscheidung tatsächlich und eigenständig trifft und das Modell nur unterstützt, fällt der Vorgang nicht unter diese Norm – wohl aber unter die übrigen Pflichten der DSGVO.

Was sagt der Wortlaut von Artikel 22 genau?

Der Kern steht in Absatz 1: Die betroffene Person hat das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“.

Daraus ergeben sich drei Voraussetzungen, die gleichzeitig erfüllt sein müssen, damit das Recht überhaupt greift:

• Es liegt eine Entscheidung vor, nicht bloß eine Vorbereitung oder eine Analyse ohne Folge.
• Die Entscheidung beruht ausschließlich auf automatisierter Verarbeitung, also ohne maßgebliche menschliche Beteiligung.
• Die Entscheidung hat rechtliche Wirkung oder beeinträchtigt die Person in ähnlich erheblicher Weise.

Fehlt eine dieser Voraussetzungen, ist der Schutzmechanismus des Artikels 22 nicht einschlägig. Das macht die Norm präzise, aber auch anspruchsvoll in der Auslegung.

Was bedeutet „ausschließlich automatisiert“?

Entscheidend ist, ob ein Mensch die Entscheidung inhaltlich und eigenverantwortlich trifft. Eine reine Formalität genügt nicht. Wer einen vom System errechneten Vorschlag nur abnickt, ohne ihn prüfen zu können oder zu dürfen, erzeugt faktisch eine ausschließlich automatisierte Entscheidung – auch wenn am Ende formal eine Person unterschreibt. Aufsichtsbehörden und Gerichte schauen daher auf die Substanz: Hat der Mensch echten Entscheidungsspielraum, ausreichende Informationen und die Kompetenz, dem Modell zu widersprechen? Erst dann ist die Entscheidung nicht mehr „ausschließlich“ automatisiert.

Was ist Profiling im Sinne der DSGVO?

Profiling ist in Artikel 4 Nummer 4 DSGVO definiert als jede automatisierte Verarbeitung personenbezogener Daten, die darauf abzielt, persönliche Aspekte einer Person zu bewerten – etwa Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Interessen, Verhalten, Aufenthaltsort oder Zuverlässigkeit. Profiling ist nicht automatisch verboten. Es wird erst dann zum Gegenstand von Artikel 22, wenn auf seiner Grundlage eine ausschließlich automatisierte Entscheidung mit erheblicher Wirkung getroffen wird. Die Bonitätsbewertung ist das Lehrbuchbeispiel: Aus Daten wird ein Score gebildet, und dieser Score entscheidet über Zugang oder Ablehnung.

Wann beeinträchtigt eine Entscheidung „erheblich“?

Eine rechtliche Wirkung liegt vor, wenn die Entscheidung Rechte oder Pflichten der Person berührt – die Kündigung eines Vertrags, die Ablehnung einer Sozialleistung, der Ausschluss aus einem Verfahren. Die „ähnlich erhebliche Beeinträchtigung“ ist breiter und erfasst Folgen, die das Leben der Person spürbar prägen, ohne formal ein Recht zu verändern. Dazu zählen typischerweise die automatische Ablehnung eines Kredits, die algorithmische Vorauswahl im Bewerbungsprozess oder eine deutlich erhöhte Versicherungsprämie. Eine personalisierte Produktempfehlung im Online-Handel erreicht diese Schwelle in aller Regel nicht – sie verändert das Angebot, nicht aber die Lebenssituation der Person.

Der Europäische Gerichtshof hat den Anwendungsbereich in der Rechtssache SCHUFA (C-634/21, Urteil vom Dezember 2023) ausgeweitet: Schon die automatisierte Erstellung eines Wahrscheinlichkeitswerts zur Kreditwürdigkeit kann eine Entscheidung im Sinne von Artikel 22 darstellen, wenn ein Dritter – etwa eine Bank – maßgeblich auf diesen Wert abstellt. Damit reicht der Schutz weiter, als viele Unternehmen lange annahmen.

Welche Rechte haben Betroffene konkret?

Greift Artikel 22, sind drei Garantien zu gewährleisten, die zusammen den menschlichen Kern der Norm bilden:

• Recht auf menschliches Eingreifen: Die Person kann verlangen, dass ein Mensch die Entscheidung überprüft. Dieser Mensch muss befugt und fachlich in der Lage sein, das Ergebnis zu ändern – eine bloße Bestätigung des Systems genügt nicht.
• Recht, den eigenen Standpunkt darzulegen: Die Person darf ihre Sicht, zusätzliche Umstände oder fehlerhafte Daten vorbringen, bevor die Entscheidung endgültig wird.
• Recht, die Entscheidung anzufechten: Die Person kann der Entscheidung widersprechen und eine erneute, individuelle Prüfung verlangen.

Hinzu treten die Informationspflichten aus den Artikeln 13, 14 und 15 DSGVO. Bei automatisierten Entscheidungen muss die verantwortliche Stelle aussagekräftige Informationen über die involvierte Logik sowie über Tragweite und angestrebte Auswirkungen bereitstellen. Das verlangt keine Offenlegung des gesamten Quellcodes, wohl aber eine verständliche Erklärung, welche Kriterien wie ins Gewicht fallen.

Welche Ausnahmen erlaubt Artikel 22?

Das Recht aus Absatz 1 gilt nicht uneingeschränkt. Absatz 2 nennt drei Konstellationen, in denen eine ausschließlich automatisierte Entscheidung zulässig ist. Auch dann bleiben jedoch Schutzpflichten bestehen.

Ausnahme (Art. 22 Abs. 2)	Bedingung	Erforderliche Schutzmaßnahmen
Vertrag	Entscheidung ist für Abschluss oder Erfüllung eines Vertrags erforderlich	Eingreifen, Standpunkt, Anfechtung (Abs. 3)
Gesetzliche Erlaubnis	Unions- oder mitgliedstaatliches Recht lässt die Entscheidung zu	Im jeweiligen Gesetz festzulegende Garantien
Ausdrückliche Einwilligung	Person willigt ausdrücklich ein	Eingreifen, Standpunkt, Anfechtung (Abs. 3)

In den Fällen Vertrag und Einwilligung schreibt Absatz 3 ausdrücklich vor, dass mindestens das Recht auf menschliches Eingreifen, auf Darlegung des Standpunkts und auf Anfechtung gewährleistet sein muss. Die Ausnahme befreit also von dem Verbot, nicht von der menschlichen Kontrolle.

Besonders streng ist Absatz 4: Beruht die Entscheidung auf besonderen Kategorien personenbezogener Daten nach Artikel 9 – etwa Gesundheit, ethnische Herkunft, religiöse oder weltanschauliche Überzeugungen, biometrische Daten zur Identifizierung –, ist sie nur unter sehr engen Voraussetzungen zulässig: bei ausdrücklicher Einwilligung oder bei erheblichem öffentlichem Interesse, und stets mit angemessenen Schutzmaßnahmen. Bei sensiblen Daten ist die Hürde damit deutlich höher.

Was müssen Organisationen praktisch umsetzen?

Wer automatisierte Entscheidungen einsetzt, sollte die Anforderungen nicht als juristische Fußnote, sondern als Bestandteil des Prozessdesigns begreifen. In der Praxis bewährt haben sich folgende Schritte:

• Anwendungsfälle erfassen: Prüfen Sie systematisch, welche Entscheidungen ausschließlich automatisiert ablaufen und ob sie erhebliche Wirkung haben. Diese Bestandsaufnahme ist die Grundlage für alles Weitere.
• Rechtsgrundlage klären: Stützt sich die Entscheidung auf Vertrag, gesetzliche Erlaubnis oder ausdrückliche Einwilligung? Ohne tragfähige Grundlage ist die ausschließlich automatisierte Entscheidung unzulässig.
• Menschliche Überprüfung verankern: Richten Sie einen Prozess ein, in dem eine fachlich befugte Person Entscheidungen prüfen und ändern kann – mit Zugang zu den relevanten Daten und genügend Zeit. Eine reine Pro-forma-Kontrolle hält der Prüfung nicht stand.
• Transparent informieren: Erklären Sie verständlich, dass automatisiert entschieden wird, welche Logik dahintersteht und welche Folgen zu erwarten sind. Halten Sie ein einfaches Verfahren bereit, über das Betroffene Eingreifen verlangen, ihren Standpunkt darlegen und anfechten können.
• Dokumentieren und absichern: Führen Sie eine Datenschutz-Folgenabschätzung durch, wenn das Profiling ein hohes Risiko birgt, und protokollieren Sie Entscheidungen so, dass sie nachvollziehbar und überprüfbar bleiben.

Der rote Faden ist der gleiche wie im gesamten Datenschutzrecht: Verantwortung lässt sich nicht an ein Modell delegieren. Die Organisation bleibt rechenschaftspflichtig.

Wie verhält sich Artikel 22 zur KI-Verordnung?

DSGVO und KI-Verordnung (EU AI Act) regeln unterschiedliche Ebenen und ergänzen sich. Artikel 22 DSGVO schützt das Individuum vor einer einzelnen automatisierten Entscheidung über die eigene Person. Die KI-Verordnung adressiert demgegenüber das System und seinen Anbieter beziehungsweise Betreiber. Beide gelten parallel – die Einhaltung der einen Norm ersetzt nicht die andere.

Zwei Bezugspunkte sind besonders relevant. Erstens die menschliche Aufsicht (Artikel 14 KI-Verordnung): Hochrisiko-KI-Systeme müssen so gestaltet sein, dass natürliche Personen sie wirksam beaufsichtigen können. Das entspricht dem Grundgedanken des Rechts auf menschliches Eingreifen aus Artikel 22 DSGVO, setzt aber beim Systemdesign an, nicht bei der Einzelentscheidung. Nach den Anpassungen im Zuge des Digital-Omnibus-Pakets greifen wesentliche Pflichten für Hochrisiko-Systeme erst ab Dezember 2027 – ein Zeitfenster, das Organisationen für die Vorbereitung nutzen sollten, ohne die schon heute geltenden DSGVO-Pflichten zu vernachlässigen.

Zweitens die Transparenzpflichten (Artikel 50 KI-Verordnung), die ab dem 2. August 2026 gelten. Sie verlangen unter anderem, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren oder wenn Inhalte künstlich erzeugt oder verändert wurden. Auch das verstärkt den Gedanken, der Artikel 22 zugrunde liegt: Wer einer Maschine gegenübersteht, soll das wissen – und einen Weg zum Menschen haben.

Für die Praxis heißt das: Eine Organisation, die ein KI-gestütztes Entscheidungssystem betreibt, muss beide Rahmen zusammen denken. Die DSGVO sichert die Rechte der einzelnen betroffenen Person, die KI-Verordnung die Qualität, Aufsicht und Transparenz des Systems. Erst beides zusammen ergibt einen verantwortungsvollen Einsatz – mit dem Menschen nicht als Feigenblatt, sondern als ernst gemeinter Kontrollinstanz.