Art. 22 DSGVO: Automatisierte Entscheidungen und Profiling

Was verbietet Art. 22 Abs. 1 DSGVO?

Art. 22 ist als Verbotsprinzip mit Erlaubnisvorbehalt konstruiert: Entscheidungen, die ohne jede echte menschliche Bewertung unmittelbar aus einer automatisierten Verarbeitung folgen und für die betroffene Person spürbare Folgen haben, sind grundsätzlich untersagt. Erwägungsgrund 71 nennt als Beispiele die automatische Ablehnung eines Online-Kreditantrags und E-Recruiting-Verfahren „ohne jegliches menschliches Eingreifen“. Entscheidend sind zwei kumulative Schwellen: Die Entscheidung muss ausschließlich automatisiert sein, und sie muss rechtliche Wirkung entfalten oder die betroffene Person in ähnlicher Weise erheblich beeinträchtigen.

Welche drei Ausnahmen erlauben automatisierte Entscheidungen dennoch?

In den Fällen der Vertragserforderlichkeit (lit. a) und der ausdrücklichen Einwilligung (lit. c) verlangt Art. 22 Abs. 3 DSGVO zwingende Mindestgarantien: „angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört“. Zusätzlich begrenzt Art. 22 Abs. 4 DSGVO die Verwendung besonderer Datenkategorien: Entscheidungen nach Abs. 2 dürfen grundsätzlich nicht auf Art.-9-Daten beruhen, außer bei ausdrücklicher Einwilligung oder einem erheblichen öffentlichen Interesse (Art. 9 Abs. 2 lit. a oder g) mit angemessenen Schutzmaßnahmen.

• lit. a: Erforderlich für Vertragsabschluss oder -erfüllung — mit Mindestgarantien nach Abs. 3
• lit. b: Zulässig aufgrund Unionsrecht/mitgliedstaatlichem Recht mit angemessenen Schutzmaßnahmen — Abs. 3 gilt hier nicht ausdrücklich
• lit. c: Ausdrückliche Einwilligung — mit Mindestgarantien nach Abs. 3
• Abs. 4: Zusätzliche Sperre für besondere Datenkategorien (Art. 9), eng gefasste Ausnahmen

Wann ist eine Entscheidung wirklich „ausschließlich automatisiert“?

Diese Auslegung stützt sich auf die Leitlinien der ehemaligen Art.-29-Datenschutzgruppe (WP251) zu automatisierten Entscheidungen und Profiling, die der Europäische Datenschutzausschuss (EDSA) übernommen hat — Art. 22 Abs. 1 DSGVO selbst verweist über Erwägungsgrund 72 auf die Leitlinienkompetenz der Aufsichtsbehörden und des EDSA zu Profiling. Praktisch heißt das: Ein bloßes „Freigabe“-Häkchen ohne inhaltliche Prüfung macht aus einer im Kern automatisierten Entscheidung keine menschliche. Dokumentierte Entscheidungsspielräume, klare Kriterien für ein Abweichen vom Systemvorschlag und geschulte Sachbearbeiter sind deshalb zentrale Nachweise für echtes menschliches Eingreifen.

Was hat der EuGH im SCHUFA-Urteil (C-634/21) entschieden?

Das ist die eigentliche Tragweite des Urteils: Nicht erst die Kreditablehnung durch die Bank, sondern schon die Score-Berechnung durch die Auskunftei selbst kann als „automatisierte Entscheidung im Einzelfall“ gelten, obwohl die Auskunftei selbst keinen Vertrag mit dem Betroffenen abschließt und formal nicht „entscheidet“. Für Auskunfteien bedeutet das: Sie benötigen eine eigene Rechtsgrundlage bzw. eine der drei Ausnahmen nach Art. 22 Abs. 2 für die Score-Berechnung selbst — es reicht nicht, sich darauf zu berufen, die eigentliche Entscheidung treffe ohnehin ein anderer.

Wie unterscheiden sich Profiling und eine Entscheidung nach Art. 22?

Praxisrelevant ist der Zusammenhang mit den Informationspflichten: Wird eine automatisierte Entscheidungsfindung eingesetzt, sind aussagekräftige Informationen über die involvierte Logik sowie Tragweite und angestrebte Auswirkungen für die betroffene Person mitzuteilen (Art. 13 Abs. 2 lit. f bzw. Art. 14 Abs. 2 lit. g DSGVO, siehe dazu auch unseren Beitrag zu den Informationspflichten nach Art. 13/14 DSGVO). Zudem nennt Art. 35 Abs. 3 lit. a DSGVO Profiling mit Rechtswirkung ausdrücklich als Regelbeispiel, das eine Datenschutz-Folgenabschätzung auslösen kann.

Weiterführend

• Betroffenenrechte nach der DSGVO im Überblick
• Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO
• Informationspflichten nach Art. 13/14 DSGVO
• Widerspruchsrecht nach Art. 21 DSGVO

Häufige Fragen

Fällt jedes Scoring automatisch unter Art. 22 DSGVO?

Nein. Art. 22 greift nur, wenn eine ausschließlich automatisierte Verarbeitung zu einer Entscheidung führt, die rechtliche Wirkung entfaltet oder die betroffene Person in ähnlicher Weise erheblich beeinträchtigt (Art. 22 Abs. 1 DSGVO). Reines Profiling ohne eine solche Entscheidung fällt nicht darunter, unterliegt aber weiterhin den allgemeinen Datenschutzpflichten.

Reicht ein kurzer Blick eines Mitarbeiters aus, um Art. 22 zu umgehen?

Nach der Systematik des Art. 22 muss der Mensch tatsächlich Entscheidungsspielraum haben und ihn auch nutzen. Ein rein formales Abzeichnen ohne echte Prüfung macht aus einer im Kern automatisierten Entscheidung keine menschliche Entscheidung — die Leitlinien der Art.-29-Datenschutzgruppe (WP251), die vom Europäischen Datenschutzausschuss übernommen wurden, stellen genau darauf ab (vgl. Erwägungsgrund 72 DSGVO).

Was hat der EuGH im SCHUFA-Urteil zu Art. 22 entschieden?

Der EuGH hat am 07.12.2023 in der Rechtssache C-634/21 entschieden, dass bereits die Erstellung eines Score-Werts durch eine Auskunftei wie die SCHUFA eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO sein kann — nicht erst die spätere Entscheidung eines Dritten, etwa einer Bank über einen Kreditantrag. Entscheidend ist, ob diese spätere Entscheidung maßgeblich auf dem Score beruht.

Welche Mindestrechte müssen Verantwortliche bei den Ausnahmen des Art. 22 Abs. 2 gewähren?

In den Fällen der Vertragserforderlichkeit (lit. a) und der ausdrücklichen Einwilligung (lit. c) muss der Verantwortliche mindestens das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gewährleisten (Art. 22 Abs. 3 DSGVO).

Stand: 08/2026 · Angaben nach der Datenschutz-Grundverordnung (DSGVO) und der zitierten Rechtsprechung. Keine Rechtsberatung.