Automatisierte Entscheidung nach Art. 22 DSGVO
Eine automatisierte Entscheidung nach Art. 22 DSGVO ist eine ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruhende Entscheidung, die gegenüber einer Person rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. Betroffene haben grundsätzlich das Recht, einer solchen Entscheidung nicht unterworfen zu werden. Ausnahmen bestehen bei Erforderlichkeit für einen Vertrag, gesetzlicher Zulassung oder ausdrücklicher Einwilligung. Dann müssen regelmäßig Schutzmaßnahmen bestehen, insbesondere menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung.
Ausschließlich automatisiert
Art. 22 greift, wenn keine Person die Entscheidung tatsächlich überprüft und mit echter Änderungsbefugnis bewertet. Eine nur formale Bestätigung eines Algorithmusergebnisses genügt nicht als menschliche Beteiligung.
Erhebliche Wirkung
Rechtliche Wirkungen verändern Rechte oder Pflichten. Ähnlich erheblich können etwa automatische Kredit-, Versicherungs-, Leistungs- oder Bewerbungsentscheidungen sein. Bloße Sortierung ohne gewichtige Folgen reicht nicht stets aus.
Ausnahmen und Schutzmaßnahmen
Bei Vertragserforderlichkeit oder ausdrücklicher Einwilligung muss der Verantwortliche mindestens menschliches Eingreifen, Stellungnahme und Anfechtung ermöglichen. Entscheidungen auf Grundlage besonderer Datenkategorien sind nur unter zusätzlichen engen Voraussetzungen zulässig. Informationspflichten über Logik, Tragweite und Auswirkungen kommen hinzu.
Beispiel
Eine Bank lehnt einen Kredit allein aufgrund eines Scorewerts ab, ohne dass ein Mitarbeiter den Fall inhaltlich prüft. Art. 22 DSGVO kann eingreifen; der Kunde kann eine echte menschliche Überprüfung verlangen.
Häufige Fragen
Ist jede Softwareentscheidung erfasst?
Nein. Erforderlich sind Ausschließlichkeit und rechtliche oder ähnlich erhebliche Wirkung.
Genügt ein Mitarbeiter als „Stempelstelle“?
Nein. Er muss eigenständig prüfen und abweichen können.
Ersetzt Art. 22 das Antidiskriminierungsrecht?
Nein. Weitere Schutzvorschriften gelten parallel.
Verwandte Begriffe
Die Regelung ergänzt die allgemeinen Vorgaben der Datenschutz-Grundverordnung; häufig beruht die Entscheidung auf Profiling.
Quellen
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.