Art. 22 DSGVO und KI: Pflichten für Unternehmen 2026

Art. 22 DSGVO gibt Menschen das Recht, keiner ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Für Unternehmen heißt das: Eine KI darf über Bewerber, Kredite oder Vertragskonditionen nicht allein entscheiden, solange kein Mensch das Ergebnis wirksam prüft. Der Europäische Gerichtshof hat die Regel im Dezember 2023 verschärft ausgelegt und trifft damit auch Mittelständler, die KI-Tools für Scoring oder Vorauswahl einsetzen.

Betroffen sind vor allem Unternehmen, die KI zum Vorsortieren, Bewerten oder Priorisieren von Menschen einsetzen, nicht nur Konzerne mit eigenen Data-Science-Teams. Auch ein zugekauftes Recruiting-Tool oder ein Scoring-Modul in der Warenwirtschaft kann die Vorgabe auslösen, sobald ein Ergebnis ohne echte menschliche Prüfung durchläuft.

Dieser Artikel erklärt, wann Art. 22 DSGVO für dein Unternehmen greift, welche drei Praxisfälle am häufigsten betroffen sind und wie du deinen KI-Einsatz in fünf Schritten prüfst. Er ergänzt unseren Leitfaden zu Hochrisiko-KI im EU AI Act, der die parallelen Pflichten der KI-Verordnung beschreibt.

Art. 22 DSGVO verbietet rein automatisierte Entscheidungen mit erheblicher Wirkung

Art. 22 Abs. 1 DSGVO ist ein Verbot mit Erlaubnisvorbehalt. Betroffene haben das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruht. Das gilt, wenn die Entscheidung rechtliche Wirkung entfaltet oder die Person in ähnlicher Weise erheblich beeinträchtigt. Profiling bezeichnet dabei jede automatisierte Auswertung persönlicher Aspekte wie Arbeitsleistung, wirtschaftliche Lage oder Verhalten (Art. 4 Nr. 4 DSGVO).

Drei Ausnahmen erlauben eine rein automatisierte Entscheidung trotzdem: Sie ist für einen Vertrag mit der betroffenen Person erforderlich, die Person hat ausdrücklich eingewilligt, oder ein Gesetz erlaubt sie ausdrücklich und sieht angemessene Schutzmaßnahmen vor (Art. 22 Abs. 2 DSGVO). Außerhalb dieser drei Fälle bleibt die rein automatisierte Entscheidung untersagt.

Art. 22 DSGVO steht nicht isoliert. Auch unterhalb der Schwelle einer automatisierten Entscheidung greift oft das allgemeine Widerspruchsrecht gegen Profiling nach Art. 21 DSGVO, etwa wenn eine KI Kundenprofile für Marketingzwecke erstellt, ohne über eine Person zu entscheiden. Wer beide Vorschriften kennt, erkennt schneller, welche Regel im konkreten Fall greift: Art. 22 für die Entscheidung selbst, Art. 21 für das zugrunde liegende Profiling.

Drei Voraussetzungen entscheiden, ob Art. 22 DSGVO greift

Art. 22 DSGVO greift nur, wenn drei Voraussetzungen gleichzeitig erfüllt sind:

1. Die Entscheidung beruht ausschließlich auf automatisierter Verarbeitung, ohne wirksame menschliche Beteiligung.
2. Sie entfaltet rechtliche Wirkung oder beeinträchtigt die Person in ähnlich erheblicher Weise.
3. Keine der drei Ausnahmen aus Art. 22 Abs. 2 DSGVO liegt vor.

Entscheidend ist die Qualität der menschlichen Beteiligung, nicht ihre bloße Existenz. Bestätigt eine Führungskraft eine KI-Empfehlung nur formal, ohne die Begründung zu prüfen und alternative Ergebnisse ernsthaft zu erwägen, gilt die Entscheidung weiterhin als ausschließlich automatisiert. Diese Auslegung vertritt bereits die Artikel-29-Datenschutzgruppe in ihren Leitlinien zu automatisierten Entscheidungen (WP251 rev.01), vom Europäischen Datenschutzausschuss bestätigt, und wurde durch die SCHUFA-Rechtsprechung des EuGH untermauert.

Rechtliche Wirkung entfaltet zum Beispiel die automatisierte Kündigung eines Vertrags. Ähnlich erheblich wirken Entscheidungen, die den Zugang zu Krediten, Jobs oder Leistungen spürbar beeinflussen, etwa eine automatisierte Absage im Bewerbungsprozess oder eine abgelehnte Ratenzahlung.

Diese drei Praxisfälle betreffen den Mittelstand am häufigsten

Drei Anwendungsfälle tauchen in der Praxis von KMU regelmäßig auf und lösen die Prüfpflicht nach Art. 22 DSGVO aus.

Automatisiertes Bewerber-Screening

Stell dir vor, ein KI-Tool sortiert eingehende Bewerbungen automatisch aus, sobald der errechnete Score unter einen festgelegten Schwellenwert fällt, ohne dass ein Mensch die aussortierten Profile ansieht. Diese Konstellation fällt unter Art. 22 DSGVO, denn die Absage beeinflusst die berufliche Chance der Bewerber erheblich. Erlaubt bleibt der Einsatz als Vorsortierung, wenn ein Mensch jede Absage vor dem Versand tatsächlich prüft.

In der Praxis reicht die Bandbreite von einfachem Keyword-Matching im Lebenslauf bis zu KI-Modellen, die Video-Interviews auswerten. Je tiefer das System in die Auswahl eingreift, desto höher das Risiko: Ein Tool, das nur Duplikate erkennt, berührt Art. 22 DSGVO kaum. Ein Tool, das automatisch eine Rangliste erstellt und die unteren Plätze automatisch absagt, berührt ihn direkt.

Bonitäts- und Kreditwürdigkeitsprüfung

Automatisierte Bonitätsprüfungen zählen zu den am häufigsten diskutierten Fällen von Art. 22 DSGVO, weil Auskunfteien Score-Werte liefern, auf deren Basis Banken und Händler automatisiert über Kredite oder Ratenkäufe entscheiden. Wie weit diese Praxis reicht, hat der EuGH im SCHUFA-Verfahren geklärt.

Auch ein Mittelständler, der Ratenzahlung oder Rechnungskauf im eigenen Online-Shop anbietet, kann betroffen sein, sobald ein automatisiertes Bonitäts-Plugin ohne Sichtprüfung über die Zahlungsart entscheidet. Der Zahlungsdienstleister liefert dabei häufig nur den Score, die Verantwortung für den DSGVO-konformen Einsatz bleibt beim Händler.

Dynamisches Pricing und Kundenscoring

Auch die automatisierte Zuteilung individueller Preise oder Zahlungsbedingungen anhand eines Kundenprofils kann unter Art. 22 DSGVO fallen, wenn die Auswirkung für die Person erheblich ist, etwa bei spürbar unterschiedlichen Zahlungszielen für einzelne Kundengruppen ohne sachlichen Bezug zur Zahlungshistorie.

Weniger offensichtlich, aber ebenso relevant: KI-gestützte Priorisierung im Kundenservice. Stell dir vor, ein System stuft Support-Anfragen automatisch nach einem Umsatz-Score ein und lässt Anfragen mit niedrigem Score unbeantwortet in der Warteschlange liegen. Sobald diese Einstufung den Zugang zu einer Leistung spürbar verzögert, rückt auch dieser Fall in die Nähe von Art. 22 DSGVO.

Das SCHUFA-Urteil des EuGH setzte den Maßstab

Der EuGH entschied am 7. Dezember 2023 im Verfahren C-634/21: Bereits ein Score-Wert selbst kann eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO darstellen. Voraussetzung ist, dass Dritte wie Banken dem Score eine maßgebliche Rolle bei ihrer eigenen Entscheidung einräumen. Auslöser war ein Verbraucher, dem eine Bank einen Kredit auf Basis eines SCHUFA-Scores verweigert hatte, woraufhin er Auskunft über die Berechnungslogik verlangte.

Für die Praxis bedeutet das Urteil: Wer automatisierte Scores von Dritten übernimmt und zur alleinigen Entscheidungsgrundlage macht, unterliegt Art. 22 DSGVO, auch wenn die eigentliche Berechnung woanders stattfindet. Wer ein Scoring-System einkauft, kann sich also nicht darauf berufen, den Algorithmus nicht selbst entwickelt zu haben.

Mit KI erstellt

Diese Pflichten gelten, wenn eine automatisierte Entscheidung erlaubt ist

Nutzt du eine der drei Ausnahmen, entstehen zusätzliche Pflichten aus Art. 13, 14, 15 und 22 Abs. 3 DSGVO:

1. Du informierst Betroffene proaktiv über die automatisierte Entscheidungsfindung und die involvierte Logik.
2. Du gewährst auf Anfrage aussagekräftige Informationen über Tragweite und Auswirkungen der Verarbeitung.
3. Du ermöglichst das Eingreifen einer Person, das Darlegen des eigenen Standpunkts und die Anfechtung der Entscheidung.

Die letzte Pflicht klingt einfach, ist es in der Praxis aber selten: Moderne Machine-Learning-Modelle sind oft schwer nachvollziehbar, das sogenannte Black-Box-Problem. Wer Betroffenen eine verständliche Erklärung schuldet, muss diese Erklärbarkeit schon bei der Auswahl des KI-Systems mitdenken, nicht erst bei der ersten Anfrage.

„Aussagekräftige Informationen über die involvierte Logik" bedeutet nach der Rechtsprechung nicht die Offenlegung des Quellcodes oder des Trainingsdatensatzes. Ausreichend, aber auch nötig ist eine verständliche Beschreibung, welche Datenkategorien einfließen, wie stark einzelne Faktoren gewichtet werden und welche Tragweite das Ergebnis für die betroffene Person hat. Bei einem Bonitäts-Score heißt das konkret: Zahlungshistorie, Wohnadresse oder Vertragsart als Einflussfaktoren benennen, ohne die exakte Berechnungsformel preiszugeben.

In der Regel ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht, denn automatisierte Entscheidungen mit rechtlicher Wirkung zählen ausdrücklich zu den Verarbeitungen mit hohem Risiko. Achte dabei auch auf Verzerrungen im Trainingsmaterial: Ein Scoring-Modell, das historische Daten mit diskriminierenden Mustern fortschreibt, verletzt neben Art. 22 DSGVO häufig auch das Antidiskriminierungsrecht.

So prüfst du, ob dein KI-Einsatz betroffen ist

Die Prüfung ist für einen typischen Mittelständler mit einer Handvoll KI-Anwendungen in fünf Schritten machbar.

Human-in-the-Loop richtig umsetzen, nicht nur simulieren

Ein häufiger Fehler: Unternehmen lassen Mitarbeiter KI-Empfehlungen absegnen, ohne Zeit, Zugriff auf die Rohdaten oder das Mandat, das Ergebnis tatsächlich zu ändern. Diese Konstruktion schützt nicht vor Art. 22 DSGVO. Wirksame menschliche Beteiligung braucht drei Voraussetzungen: Zugriff auf alle relevanten Informationen, die fachliche Befugnis, von der KI-Empfehlung abzuweichen, und die Zeit, das im Einzelfall auch zu tun.

Mit KI erstellt

Diese Fehler machen Unternehmen am häufigsten

Bei der Einführung von KI-gestützten Bewertungssystemen wiederholen sich fünf Fehler:

1. Ein Schwellenwert entscheidet automatisch, ohne dass jemand die Grenzfälle ansieht.
2. Die Freigabe durch einen Menschen ist im Prozess vorgesehen, findet im Alltag aber aus Zeitdruck nicht statt.
3. Niemand dokumentiert, warum eine Empfehlung übernommen oder abgelehnt wurde.
4. Die Datenschutzerklärung erwähnt die automatisierte Entscheidungsfindung nicht, obwohl sie eingesetzt wird.
5. Ein zugekauftes Scoring-Tool wird ohne Prüfung der Berechnungslogik in einen Geschäftsprozess mit rechtlicher Wirkung integriert.

Jeder dieser Fehler lässt sich mit der Checkliste aus dem vorigen Abschnitt vermeiden. Der teuerste Fehler ist dabei selten die Technik, sondern die fehlende Dokumentation: Ohne Nachweis, dass ein Mensch tatsächlich geprüft hat, wiegt im Streitfall die Vermutung einer rein automatisierten Entscheidung schwerer.

Art. 22 DSGVO und der EU AI Act ergänzen sich

Die KI-Verordnung ordnet viele der hier beschriebenen Fälle zusätzlich als Hochrisiko-KI ein, etwa Recruiting-Systeme und Bonitätsprüfung im Verbrauchergeschäft. Für diese Anhang-III-Systeme gelten zusätzliche Pflichten wie menschliche Aufsicht und technische Dokumentation ab dem 2. Dezember 2027: Der EU-Rat hat die ursprüngliche Frist vom 2. August 2026 im Rahmen des Digital-Omnibus-Pakets am 29. Juni 2026 um 16 Monate verschoben. Art. 22 DSGVO gilt davon unberührt schon heute, denn die DSGVO-Pflicht ist von der Fristverschiebung der KI-Verordnung unabhängig. Art. 22 DSGVO und der AI Act ergänzen sich: Die DSGVO schützt die einzelne Entscheidung über eine Person, der AI Act reguliert das System, das diese Entscheidungen trifft.

Betrifft die Entscheidung eigene Beschäftigte, etwa bei interner Leistungsbewertung, hat zusätzlich der Betriebsrat ein Mitbestimmungsrecht. Beziehst du Score-Werte oder KI-Bewertungen von einem externen Anbieter, regelt zusätzlich der AVV mit dem KI-Anbieter die Verantwortlichkeiten zwischen dir und dem Dienstleister.

Aus knapp 20 Jahren Digital-Erfahrung von Gründer Jannis Gerlinger, heute mit Fokus auf KI-Systeme für den Mittelstand, zeigt sich ein wiederkehrendes Muster: Betriebe stolpern seltener über die Technik als über die Dokumentation. Wer von Anfang an festhält, warum ein Mensch eine KI-Empfehlung bestätigt oder korrigiert hat, besitzt im Ernstfall genau den Nachweis, den Art. 22 DSGVO verlangt.

Fazit: Prüfen, dokumentieren, KI als Assistenz gestalten

Art. 22 DSGVO verbietet rein automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung, außer bei Vertrag, Einwilligung oder gesetzlicher Erlaubnis. Am häufigsten betroffen sind Bewerber-Screening, Bonitätsprüfung und individuelles Pricing. Das SCHUFA-Urteil des EuGH vom 7. Dezember 2023 zeigt, wie weit die Regel reicht: Schon ein zugekaufter Score-Wert kann eine automatisierte Entscheidung sein.

Der pragmatische Weg für die meisten KMU: KI als Assistenz gestalten, nicht als alleinigen Entscheider. Ein Mensch prüft jede Einzelentscheidung mit spürbarer Wirkung inhaltlich, das Ergebnis wird dokumentiert, und Betroffene erfahren auf Anfrage, wie die Entscheidung zustande kam. Diese Struktur erfüllt Art. 22 DSGVO und schafft gleichzeitig die Dokumentation, die der AI Act für Hochrisiko-Systeme ohnehin verlangt.