Automatisierte Entscheidungen DSGVO können über Kreditbedingungen, Vertragszugang, Leistungen und andere Lebensbereiche mitentscheiden. Art. 22 DSGVO schützt unter bestimmten Voraussetzungen davor, einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Der EuGH hat insbesondere die Rolle von Scoring-Dienstleistern und das Recht auf aussagekräftige Erklärungen konkretisiert.
NoDSB-Fachanalyse · Stand: 7. November 2026 · Fachliche Einordnung der genannten Gerichtsentscheidungen; Einzelfälle erfordern eine gesonderte rechtliche Prüfung.
Das Wichtigste im Überblick
Art. 22 DSGVO schützt vor ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Die SCHUFA-Rechtsprechung zeigt, dass auch vorgelagerte Scores darunterfallen können, wenn sie maßgeblich Entscheidungen bestimmen.
1. Automatisierte Entscheidungen: Wann greift Art. 22 DSGVO?
Art. 22 Abs. 1 DSGVO betrifft grundsätzlich Entscheidungen, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruhen und gegenüber der betroffenen Person rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen. Formale Anwesenheit eines Menschen reicht nicht aus, wenn dessen Beitrag die automatisierte Entscheidung tatsächlich nicht beeinflusst. Zulässigkeitsausnahmen sind in Art. 22 Abs. 2 geregelt; Art. 22 Abs. 3 und 4 verlangen je nach Konstellation weitere Garantien. Daneben bleiben die allgemeinen Grundsätze und Rechte der DSGVO anwendbar.
2. EuGH C-634/21: SCHUFA-Scoring kann selbst Entscheidung sein
Der EuGH entschied am 7. Dezember 2023 in C-634/21 (SCHUFA Holding), dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts eine automatisierte Einzelentscheidung darstellen kann, wenn ein Dritter diesen Wert maßgeblich für die Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertrags verwendet. Entscheidend ist die tatsächliche Wirkung des Scores im konkreten Entscheidungsprozess, nicht allein die organisatorische Rollenverteilung zwischen Auskunftei und Vertragspartner.
3. EuGH C-203/22: Recht auf nachvollziehbare Erläuterung
Im Urteil C-203/22 (Dun & Bradstreet Austria) vom 27. Februar 2025 konkretisierte der EuGH die Pflicht, aussagekräftige Informationen über die involvierte Logik bereitzustellen. Die Erläuterung muss die betroffene Person in die Lage versetzen, das Ergebnis zu verstehen und wirksam anzufechten. Eine rein abstrakte Darstellung der Systemarchitektur oder die bloße Mitteilung des Scores reicht nicht notwendigerweise. Der Schutz von Geschäftsgeheimnissen und Rechten Dritter ist zu berücksichtigen, führt aber nicht automatisch dazu, dass eine prüfbare Erklärung entfällt.
4. Bedeutung von Profiling und KI-Systemen
Profiling im Sinne von Art. 4 Nr. 4 DSGVO umfasst automatisierte Bewertungen persönlicher Aspekte, etwa Arbeitsleistung, wirtschaftliche Situation, Gesundheit oder Verhalten. Nicht jedes Profiling fällt automatisch unter das spezifische Verbot beziehungsweise Schutzregime des Art. 22; maßgeblich ist die Qualität der darauf beruhenden Einzelentscheidung. Auch generative KI oder algorithmische Empfehlungssysteme sind nicht allein wegen ihres Technikeinsatzes solche Entscheidungen. Die Einordnung verlangt eine funktionale Betrachtung des Gesamtverfahrens.
5. Verfahren mit menschlicher Entscheidung
Eine wirksame menschliche Beteiligung setzt qualifizierte Prüfung, reale Entscheidungsmacht und die Möglichkeit voraus, dem automatisierten Vorschlag zu widersprechen. Verantwortliche sollten dokumentieren, welche Daten die Entscheidung beeinflussen, wer die Ergebnisse überprüft und wie Fehler korrigiert werden. Bei hohem Risiko ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen; die KI-Verordnung kann je nach Einsatzgebiet zusätzliche Pflichten begründen, ersetzt aber die DSGVO nicht.
6. Kommunale Anwendungsfelder
In der Verwaltung sind automatisierte Priorisierungen, Missbrauchserkennung, Leistungsentscheidungen, Bewerbervorauswahl und Bürgerkontakt-Scoring denkbare Anwendungsfälle. Bereits vor der Beschaffung sind Datenquellen, Bias-Risiken, Nachvollziehbarkeit, Betroffenenrechte und Eingriffstiefe zu bestimmen. Für Entscheidungen mit Rechtswirkung müssen Zuständigkeiten, tatsächliche menschliche Prüfung und gesetzliche Zulässigkeit besonders sorgfältig festgelegt werden. Ein bloßes Hersteller-Versprechen „Human in the Loop“ genügt nicht.
7. NoDSB-Einordnung
Algorithmische Systeme dürfen die rechtliche Verantwortung nicht in eine undurchsichtige technische Blackbox verlagern. Maßstab ist nicht, ob ein Ergebnis technisch effizient erzeugt wird, sondern ob die betroffene Person die Entscheidung verstehen, überprüfen und gegebenenfalls wirksam anfechten kann. Transparente Verfahren, fachlich qualifizierte menschliche Kontrolle und prüfbare Datenmodelle sind daher zentrale Anforderungen verantwortlicher Digitalisierung.
Häufige Fragen
Ist jeder SCHUFA-Score nach Art. 22 DSGVO verboten?
Nein. Das Urteil betrifft die rechtliche Einordnung und die Zulässigkeitsvoraussetzungen, insbesondere bei maßgeblicher Verwendung für Vertragsentscheidungen.
Reicht ein Mensch, der den KI-Vorschlag nur bestätigt?
Nicht unbedingt. Die menschliche Mitwirkung muss tatsächlich relevant sein und eine eigenständige Entscheidung ermöglichen.
Gerichtsentscheidungen und amtliche Quellen
Verwandte Rechtsprechung auf NoDSB
Vertiefend: Beschäftigtendatenschutz · DSGVO-Schadensersatz.
Weiterlesen auf NoDSB
Die Entscheidungen lassen sich im Zusammenhang der Rechtsprechungsdatenbank · Social Media und Datenschutz · Internationaler Datentransfer einordnen. Weiterführende Primärquellen werden bei der Übernahme in die NoDSB-Fachbibliothek nach Entscheidungen und Dokumenttypen klassifiziert.