Art. 22 DSGVO und automatisierte Entscheidungen: Was der Garante und der EuGH dazu sagen und warum es eine Frage des Risikomanagements ist

Ein in wenigen Sekunden abgelehnter Kredit, eine Bewerbung, die abgelehnt wird, bevor ein Mensch sie gelesen hat, das Konto eines Plattformarbeiters, das durch ein Punktesystem gesperrt wird, eine Energielieferung, die aufgrund eines Kredit-Scores abgelehnt wird. Automatisierte Entscheidungen sind kein reines Konferenzthema mehr: Sie sind die gängige Methode, mit der viele Organisationen Personen auswählen, bewerten, zulassen und ausschließen. Art. 22 der DSGVO, im Jahr 2016 verfasst, als generative künstliche Intelligenz noch nicht existierte, ist heute eine der aktuellsten Vorschriften der gesamten Verordnung: Der Gerichtshof hat ihren Anwendungsbereich erweitert, der Garante wendet sie zunehmend an und der AI Act ist um sie herum entstanden. Es lohnt sich wirklich zu verstehen, wie sie funktioniert, denn das Endergebnis ist immer dasselbe: Risikomanagement, die gleiche Logik, die der ISO 31000 und der ISO/IEC 27001 zugrunde liegt.

Was Art. 22 wirklich aussagt

Die Vorschrift ist kurz und wird oft missverstanden. Absatz 1 legt fest, dass die betroffene Person das Recht hat, keiner ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Die vom Art.-29-Datenschutzgruppe erstellten und vom EDPB übernommenen Leitlinien WP251 haben den entscheidenden Punkt klargestellt: Es handelt sich nicht um ein Recht, das die betroffene Person ausüben muss, sondern um ein allgemeines Verbot, das standardmäßig gilt. Fällt die Entscheidung in diesen Anwendungsbereich, ist sie grundsätzlich verboten, es sei denn, eine der drei Ausnahmen des Absatzes 2 liegt vor.

Der Anwendungsbereich wird durch zwei Bedingungen definiert. Die erste: Die Entscheidung muss ausschließlich automatisiert sein. Hier hat die Praxis den verbreitetsten Trick entlarvt, nämlich den oberflächlichen menschlichen Eingriff: Wenn eine Person das Ergebnis des Algorithmus ohne Kompetenz, Informationen und tatsächliche Befugnis zur Änderung lediglich bestätigt, bleibt die Entscheidung ausschließlich automatisiert. Der menschliche Eingriff, der eine Entscheidung aus dem Anwendungsbereich des Art. 22 herausführt, muss wesentlich sein: jemand, der die Daten prüfen, die Logik verstehen und das Ergebnis ändern kann. Die zweite Bedingung: Die Entscheidung muss rechtliche Wirkung entfalten oder in ähnlicher und erheblicher Weise beeinträchtigen. Dazu gehören die Ablehnung eines Kredits, der automatische Ausschluss aus einer Personalauswahl, die Sperrung eines Kontos, von dem das Einkommen einer Person abhängt, die Verweigerung einer wesentlichen Dienstleistung.

Die drei Ausnahmen des Absatzes 2 sind die Vertragserforderlichkeit (die automatisierte Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags mit der betroffenen Person erforderlich), die Genehmigung durch das Recht der Union oder der Mitgliedstaaten mit geeigneten Garantien und die ausdrückliche Einwilligung. In den ersten beiden Fällen und im dritten Fall schreibt Absatz 3 dennoch die Mindestgarantien vor, die den operativen Kern der Vorschrift bilden: das Recht, menschliches Eingreifen des Verantwortlichen zu erhalten, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten. Absatz 4 schließt den Kreis bezüglich besonderer Datenkategorien: Automatisierte Entscheidungen, die auf Daten gemäß Art. 9 beruhen, sind nur mit ausdrücklicher Einwilligung oder aus Gründen eines erheblichen öffentlichen Interesses zulässig, und immer mit spezifischen Schutzmaßnahmen.

Um Art. 22 herum wirkt dann das Transparenzpaket: Die Art. 13 Abs. 2 Buchst. f) und 14 Abs. 2 Buchst. g) verpflichten dazu, in der Datenschutzerklärung das Bestehen automatisierter Entscheidungsprozesse anzugeben und aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen für die betroffene Person zu übermitteln; Art. 15 Abs. 1 Buchst. h) macht dieselben Informationen mittels Zugangsantrag abrufbar. Auf diesem Terrain spielte sich die jüngste Auseinandersetzung vor dem Gerichtshof ab.

Der Gerichtshof hat den Anwendungsbereich erweitert

Mit dem SCHUFA-Urteil (Rechtssache C-634/21, 7. Dezember 2023) hat der Gerichtshof ein Problem gelöst, das in der Praxis eine Schutzlücke schuf: Wer den Score berechnete, traf formal keine Entscheidung, und wer entschied (die Bank), behauptete, keine ausschließlich automatisierte Entscheidung zu treffen, weil der Score von außen kam. Der Gerichtshof hat den Knoten durchschlagen: Die Berechnung des Kreditwürdigkeitsscores selbst ist eine Entscheidung im Sinne des Art. 22, wenn der Empfänger sich maßgeblich darauf stützt, um einen Kredit zu gewähren oder zu verweigern. Der Begriff der Entscheidung ist weit gefasst und kann vorbereitende Handlungen umfassen, die de facto das Endergebnis bestimmen. Für diejenigen, die Scoring, Ratings und Punktzahlen für Dritte erstellen, bedeutet dies, selbst in den Anwendungsbereich des Art. 22 zu fallen, mit allen Konsequenzen hinsichtlich Rechtsgrundlage, Informationen und Garantien.

Die zweite Etappe ist das Urteil Dun & Bradstreet Austria (Rechtssache C-203/22, 27. Februar 2025), das aus einem fast banalen Fall entstand: Ein Telefonanbieter verweigert einer Verbraucherin einen Vertrag über wenige Euro pro Monat auf der Grundlage einer automatisierten Bewertung, und die Verbraucherin fordert zu verstehen, wie es zu diesem Urteil kam. Der Gerichtshof hat klargestellt, was die aussagekräftigen Informationen über die involvierte Logik bedeuten: nicht die Bereitstellung des Algorithmus oder der mathematischen Formel, die für die Durchschnittsperson unverständlich wäre, sondern eine prägnante, transparente und verständliche Erläuterung des Verfahrens und der konkret angewendeten Prinzipien, die es der betroffenen Person ermöglicht zu verstehen, welche ihrer Daten verwendet wurden und wie diese das Ergebnis beeinflusst haben. Und er hat den Punkt hinzugefügt, der jedes Unternehmen interessiert: Das Geschäftsgeheimnis ist kein absolutes Veto. Hält der Verantwortliche die Erklärung für eine Offenlegung von Betriebsgeheimnissen, kann er sie nicht einfach verweigern: Die Informationen sind der Aufsichtsbehörde oder dem Gericht zu übermitteln, die die betroffenen Rechte abwägen und festlegen, was der betroffenen Person mitzuteilen ist.

Die beiden Urteile, nacheinander betrachtet, sagen nur eines: Die Erklärbarkeit automatisierter Entscheidungen ist keine gute Praxis, sondern eine einklagbare rechtliche Anforderung. Wer Scoring-Systeme oder automatisierte Bewertungssysteme verwendet, muss heute in der Lage sein, in verständlicher Sprache zu erklären, wie das System zu seinen Ergebnissen gelangt. Wer dies nicht kann, hat ein Problem, das keine Vertragsklausel löst.

Die Linie des Garante: Kenntnisnahme, Nicht-Exklusivität, Nicht-Diskriminierung

Der italienische Garante war in diesem Bereich nicht nach dem Gerichtshof dran: Er arbeitete schon vorher daran. Seine Linie lässt sich in drei Prinzipien zusammenfassen, die die Behörde im Laufe der Zeit im Dialog mit der Verwaltungsrechtsprechung zu algorithmischen Entscheidungen der öffentlichen Verwaltung explizit gemacht hat: Kenntnisnahme (die Person hat das Recht zu wissen, dass ein automatisierter Entscheidungsprozess existiert und dessen Logik zu verstehen), Nicht-Exklusivität (im Prozess muss ein menschlicher Beitrag vorhanden sein, der das Ergebnis kontrollieren und umkehren kann) und algorithmische Nicht-Diskriminierung (das System muss überprüft und korrigiert werden, damit es keine verzerrten Auswirkungen auf Personengruppen hat).

Der bekannteste Bereich ist der der Plattformarbeit. Mit der im Juni 2021 erlassenen Anordnung gegen Foodinho (Glovo-Gruppe), die mit 2,6 Millionen Euro sanktioniert wurde, hat der Garante ein Managementsystem für Rider beanstandet, das auf Punktzahlen und der automatischen Zuweisung von Aufträgen basierte, ohne ausreichende Informationen, ohne Garantien für menschliches Eingreifen und ohne Überprüfung der Richtigkeit und Korrektheit der Ergebnisse, mit dem daraus resultierenden Diskriminierungsrisiko. Wenige Wochen später folgte die 2,5-Millionen-Euro-Sanktion gegen Deliveroo, nach dem gleichen Schema: Der Algorithmus, der die Arbeit zuweist, darf keine unbestreitbare Blackbox sein. Im November 2024 kehrte der Garante mit einer Sanktion von 5 Millionen Euro zu Foodinho zurück: Rider-Konten wurden durch automatisierte Systeme, einschließlich Gesichtserkennung, blockiert oder deaktiviert, ohne dass die Sperrmeldungen über die Möglichkeit informierten, die Entscheidung anzufechten und eine menschliche Überprüfung zu erhalten. Die auferlegten Korrekturmaßnahmen sind eine kleine Lektion in Compliance: Die Kommunikation neu formulieren, die menschliche Überprüfung algorithmischer Entscheidungen gewährleisten, Reputationsmechanismen kontrollieren, die diskriminieren können.

Außerhalb der Plattformarbeit ist die Linie dieselbe. Im Fall Mevaluate, der vom Garante blockierten Reputations-Rating-Plattform, hat der Kassationsgerichtshof (Beschluss Nr. 14381/2021) einen Grundsatz festgelegt, der für jedes auf Einwilligung basierende System gilt: Die Einwilligung ist nicht gültig, wenn das Funktionsschema des Algorithmus für die betroffene Person nicht erkennbar ist. Im September 2023 veröffentlichte der Garante einen Zehn-Punkte-Plan für die Bereitstellung nationaler Gesundheitsdienste mittels Systemen künstlicher Intelligenz, der die drei Prinzipien zu Entwurfskriterien erhob: tatsächliche menschliche Aufsicht, Transparenz über die Systemlogik, präventive Folgenabschätzung und spezifische Berücksichtigung von Bias, in einem Bereich, in dem eine falsche algorithmische Entscheidung die Gesundheit von Personen beeinträchtigt.

Der neueste Baustein ist sehr aktuell und betrifft einen sehr gewöhnlichen Sektor: die Energieversorgung. Mit der Anordnung vom 3. Juli 2026 hat der Garante Hera Comm mit 5,8 Millionen Euro sanktioniert, wegen des Systems zur Überprüfung der Kreditwürdigkeit, das bei etwa einer Million potenzieller Kunden angewendet wurde: unzureichende Informationen über das Bestehen und die Logik des Scorings, unvollständige Antworten auf Zugriffsanfragen, Daten, die über die angegebenen Zwecke hinaus zur Verfeinerung des Ratingsystems wiederverwendet wurden. Und der explizite Verweis auf die Garantien des Art. 22 Abs. 3: Wer aufgrund eines Scores abgelehnt wird, hat Anspruch auf menschliches Eingreifen und Anfechtung. Es ist die SCHUFA-Logik, die in Italien auf einem Massenmarkt mit den Zahlen eines Versorgungsunternehmens angewendet wird.

Der risikobasierte Ansatz: Wo DSGVO und ISO dieselbe Sprache sprechen

Soweit die Vorschrift und ihre Anwendung. Doch für Unternehmensleiter stellt sich eine andere, zentrale Frage: Wie lässt sich all dies steuern, ohne es zu einer bürokratischen Pflicht verkommen zu lassen? Die Antwort liegt im Aufbau der DSGVO selbst, die von Grund auf eine risikobasierte Verordnung ist. Art. 24 stimmt die Rechenschaftspflichtmaßnahmen auf Art, Umfang, Umstände und Zwecke der Verarbeitung sowie auf die Risiken für die Rechte und Freiheiten der Personen ab. Art. 25 wendet dieselbe Logik auf die Gestaltung an. Art. 32 fordert risikogerechte Sicherheitsmaßnahmen, keine Standardmaßnahmen. Und Art. 35 schreibt eine Folgenabschätzung vor, wenn das Risiko hoch ist, und nennt explizit unter Absatz 3 Buchst. a) den für uns interessanten Fall: die systematische und umfassende Bewertung persönlicher Aspekte, die auf einer automatisierten Verarbeitung – einschließlich Profiling – beruht und auf der Entscheidungen mit rechtlicher Wirkung oder ähnlicher Beeinträchtigung gründen. Eine relevante automatisierte Entscheidung nach Art. 22 bringt fast per Definition die Pflicht zur DPIA mit sich. Die Erwägungsgründe 75 und 76 vervollständigen das Bild: Das Risiko ist hinsichtlich der Eintrittswahrscheinlichkeit und der Schwere für die Rechte und Freiheiten der betroffenen Person objektiv zu beurteilen.

Wer mit Managementsystemen arbeitet, erkennt dieses Schema sofort. Die ISO 31000 definiert Risiko als Auswirkung von Ungewissheit auf Ziele und strukturiert den Prozess in Phasen, die jede gut durchgeführte DPIA durchläuft: Kontextdefinition, Risikoidentifizierung, Analyse, Bewertung, Behandlung, Überwachung und Kommunikation. Die ISO/IEC 27001 wendet denselben Prozess auf die Informationssicherheit an: Die Punkte 6.1.2 und 6.1.3 fordern eine Bewertungsmethodik mit definierten Akzeptanzkriterien, die Identifizierung von Risiken, die Analyse von Wahrscheinlichkeit und Auswirkungen, einen Behandlungsplan und die Anwendbarkeitserklärung; die Punkte 8.2 und 8.3 schreiben vor, den Zyklus in geplanten Intervallen und bei jeder wesentlichen Änderung zu wiederholen. Der Zyklus ist derselbe wie bei der DPIA: Das Objekt ändert sich, nicht die Methode.

Es gibt jedoch einen konzeptionellen Unterschied, der festzuhalten ist, denn hier scheitern viele Integrationen zwischen Datenschutz und Managementsystemen. In der ISO 31000 und der ISO 27001 wird das Risiko an den Zielen der Organisation gemessen: Betriebsfortführung, Vertraulichkeit von Assets, Compliance, Reputation. In der DSGVO wird das Risiko an den Rechten und Freiheiten natürlicher Personen gemessen: Der Risikoträger ist nicht das Unternehmen, sondern die betroffene Person. Die praktische Konsequenz ist deutlich: Ein Restrisiko, das das Unternehmen für sich selbst ohne Weiteres akzeptieren könnte (z. B. ein Prozentsatz von Fehlalarmen in einem Betrugserkennungssystem), kann inakzeptabel sein, wenn es die Person trifft, die ungerechtfertigt von einem Dienst ausgeschlossen wird. Die Akzeptanzkriterien sind nicht übertragbar: Man kann die Risiken anderer nicht mit derselben Beiläufigkeit akzeptieren, mit der man die eigenen akzeptiert. Das ist der Grund, warum ein nach 27001 zertifiziertes ISMS die DPIA nicht allein abdeckt und eine DPIA die Risikobewertung des ISMS nicht ersetzt.

Die gute Nachricht ist, dass sich die beiden Welten gut integrieren lassen, wenn der Unterschied klar ist. In der Praxis funktioniert es so: ein einziges Risikoverzeichnis mit zwei unterschiedlichen Auswirkungsdimensionen (Auswirkung auf die Organisation und Auswirkung auf die betroffenen Personen), die DPIA als obligatorische Vertiefung in den Risikobewertungsprozess des ISMS integriert, wenn die Verarbeitung Art. 35 berührt, die ISO/IEC 27701 als Datenschutzerweiterung des 27001-Systems, und für diejenigen, die künstliche Intelligenz nutzen, die ISO/IEC 42001, die genau die Folgenabschätzung für Personen von KI-Systemen in das Managementsystem einbringt. In diesem Konzept hört Art. 22 auf, eine exotische Vorschrift zu sein, und wird zu einer zu überwachenden Kontrolle: Bestandsaufnahme automatisierter Entscheidungen, rechtliche Qualifizierung, DPIA, Maßnahmen menschlichen Eingreifens, Erklärbarkeit, Antidiskriminierungstests, Protokollierung und regelmäßige Überprüfung.

Was sich mit dem AI Act ändert und was sich mit dem Digital Omnibus ändern könnte

Der AI Act ersetzt Art. 22 nicht: Er ergänzt ihn. Die Verordnung über künstliche Intelligenz klassifiziert viele der Systeme, die relevante Entscheidungen nach Art. 22 generieren – vom Credit Scoring über die Personalverwaltung bis zur Personalauswahl – als Hochrisikosysteme und schreibt für ihren Lebenszyklus ein Risikomanagementsystem, Transparenzanforderungen und eine effektive menschliche Überwachung vor. Die Logik ist komplementär: Die DSGVO schützt die einzelne Entscheidung über die einzelne Person, der AI Act regelt das System, das sie hervorbringt. Für Unternehmen bedeutet dies, dass die Maßnahmen zusammenlaufen: Die vom AI Act geforderte menschliche Überwachung und das nach Art. 22 Abs. 3 geforderte menschliche Eingreifen werden gemeinsam und einmalig konzipiert.

Auf der anderen Seite steht das von der Kommission am 19. November 2025 vorgelegte Digital-Omnibus-Paket, das unter den vorgeschlagenen Änderungen der DSGVO auch in die vertragliche Ausnahme des Art. 22 eingreift und diese zugunsten der Verantwortlichen permissiver gestaltet. Der Vorschlag steht am Anfang des Gesetzgebungsverfahrens, EDPB und EDPS haben im gemeinsamen Gutachten 1/2026 bereits erhebliche Vorbehalte gegen das Paket geäußert, und der endgültige Text kann sich stark ändern. Der operative Punkt ist nur einer: Heute ist davon nichts in Kraft. Entscheidungen werden auf der Grundlage des aktuellen, oben beschriebenen Rahmens getroffen, und wer heute Garantien lockert und auf den Ausgang einer legislativen Verhandlung spekuliert, übernimmt ein regulatorisches Risiko, anstatt es zu managen.

In der Praxis: Wo anfangen

• automatisierte Entscheidungen erfassen, einschließlich solcher, die von Anbietern bezogen wurden: Scoring, automatische Auswahlfilter, Betrugserkennungssysteme, automatische Sperrungen von Konten und Diensten;
• sie qualifizieren: Sind sie ausschließlich automatisiert? Haben sie rechtliche oder erhebliche Auswirkungen? Wenn ja, die anwendbare Ausnahme identifizieren und dokumentieren;
• eine DPIA durchführen, wenn die Verarbeitung unter Art. 35 Abs. 3 Buchst. a) fällt, und diese in den unternehmensweiten Risikobewertungsprozess mit der doppelten Auswirkungsdimension integrieren;
• die Informationen aktualisieren: Existenz der automatisierten Entscheidung, Logik, Bedeutung und Folgen, wie es die Art. 13 und 14 fordern;
• ein echtes menschliches Eingreifen gestalten: Personen mit Kompetenz, Datenzugriff und tatsächlicher Befugnis zur Änderung des Ergebnisses, mit Nachverfolgung der Überarbeitungen;
• die Erklärbarkeit vorbereiten: in der Lage sein, einer betroffenen Person in verständlicher Sprache zu erklären, wie das System zum Ergebnis gelangt, ohne sich hinter dem Geschäftsgeheimnis zu verstecken;
• regelmäßig die Genauigkeit und Nicht-Diskriminierung der Ergebnisse überprüfen und die Überprüfungen dokumentieren: Dies ist der Nachweis der Rechenschaftspflicht, den die Behörde zuerst verlangt.

Genauer betrachtet ist die Regelung automatisierter Entscheidungen kein Korsett: Sie ist ein Test organisatorischer Reife. Unternehmen, die ihre Algorithmen erklären, korrigieren und eine kompetente Person an der richtigen Stelle im Prozess einsetzen können, sind auch diejenigen, die diesen Algorithmen am meisten vertrauen, weil sie sie kennen. PL Consulting unterstützt Organisationen bei der Folgenabschätzung und der Governance automatisierter Verarbeitungen: Entdecken Sie den Dienst speziell für die DPIA und kontaktieren Sie uns, um ein System zu schaffen, das DSGVO, AI Act und Managementsysteme miteinander verbindet.

Hinweis: Jedes automatisierte Entscheidungssystem erfordert eine spezifische Bewertung des Kontexts, der Rechtsgrundlagen und der Risiken. Dieser Artikel dient allgemeinen Informationszwecken und ersetzt keine professionelle Bewertung des Einzelfalls. Artikel aktualisiert im August 2026.