Recht auf Schutz vor automatisierten Entscheidungen nach Art. 22 DSGVO (S)

Künstliche Intelligenz, Algorithmen und automatisierte Bewertungssysteme spielen in vielen Bereichen des modernen Lebens eine immer größere Rolle. Unternehmen nutzen automatisierte Verfahren beispielsweise bei Kreditentscheidungen, Bewerbungen, Versicherungsbewertungen oder personalisierten Angeboten. Solche Technologien können Prozesse effizienter machen, bergen jedoch auch Risiken für die Rechte und Freiheiten von Menschen.

Um Betroffene vor nachteiligen Entscheidungen ohne menschliche Kontrolle zu schützen, enthält die Datenschutz-Grundverordnung (DSGVO) in Art. 22 DSGVO ein besonderes Schutzrecht. Danach haben Personen grundsätzlich das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Für Unternehmen bedeutet dies, dass automatisierte Entscheidungsprozesse transparent gestaltet, rechtliche Voraussetzungen geprüft und geeignete Kontrollmechanismen eingerichtet werden müssen. Betroffene erhalten dagegen die Möglichkeit, menschliche Überprüfung und eine Erklärung zu verlangen, wenn eine automatisierte Entscheidung erhebliche Auswirkungen auf sie hat.

Was regelt Art. 22 DSGVO?

Art. 22 DSGVO schützt Personen vor Entscheidungen, die ausschließlich durch automatisierte Verarbeitung getroffen werden.

Eine Entscheidung fällt unter Art. 22 DSGVO, wenn drei Voraussetzungen erfüllt sind:

  1. Es liegt eine Entscheidung vor.
  2. Die Entscheidung beruht ausschließlich auf automatisierter Verarbeitung.
  3. Die Entscheidung hat rechtliche oder ähnlich erhebliche Auswirkungen auf die betroffene Person.

Ein Beispiel:

Eine Bank lehnt einen Kreditantrag ausschließlich aufgrund eines Algorithmus ab, ohne dass ein Mitarbeiter den Antrag prüft. Eine solche Entscheidung kann unter Art. 22 DSGVO fallen.

Dagegen liegt nicht zwingend eine automatisierte Entscheidung vor, wenn ein System lediglich eine Empfehlung oder Vorprüfung erstellt und anschließend ein Mensch die Entscheidung trifft.

Was bedeutet „ausschließlich automatisierte Entscheidung“?

Eine Entscheidung ist ausschließlich automatisiert, wenn keine menschliche Beteiligung erfolgt.

Eine echte menschliche Kontrolle setzt voraus, dass eine Person:

  • die automatisierte Entscheidung kritisch überprüft,
  • eigene Bewertungen vornimmt,
  • die Möglichkeit hat, die Entscheidung zu ändern.

Eine rein formale Bestätigung durch Mitarbeitende reicht nicht aus.

Beispiel:

Ein Mitarbeiter klickt lediglich auf „Bestätigen“, ohne die vom System berechneten Ergebnisse zu prüfen. Dies gilt in der Regel nicht als ausreichende menschliche Beteiligung.

Welche Entscheidungen können betroffen sein?

Art. 22 DSGVO betrifft insbesondere Entscheidungen mit erheblichen Auswirkungen.

Dazu gehören beispielsweise:

  • Ablehnung eines Kreditantrags,
  • automatische Auswahl oder Ablehnung von Bewerbern,
  • Bewertung der Kreditwürdigkeit,
  • automatische Versicherungsentscheidungen,
  • bestimmte Betrugspräventionssysteme,
  • Entscheidungen über Vertragsabschlüsse.

Nicht jede automatisierte Entscheidung fällt jedoch darunter. Reine Komfortfunktionen oder geringfügige Entscheidungen ohne erhebliche Folgen sind häufig nicht erfasst.

Beispiele:

  • automatische Sortierung von E-Mails,
  • Vorschläge für Produkte,
  • personalisierte Inhalte ohne erhebliche Auswirkungen.

Welche Ausnahmen erlaubt Art. 22 DSGVO?

Art. 22 DSGVO enthält bestimmte Ausnahmen. Eine ausschließlich automatisierte Entscheidung ist zulässig, wenn sie:

1. Für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist

Beispiel:

Ein Online-Dienst nutzt automatisierte Prüfungen, um bestimmte Vertragsbedingungen festzulegen, sofern dies erforderlich und rechtlich zulässig ist.

2. Aufgrund einer Rechtsvorschrift erlaubt ist

Eine gesetzliche Regelung kann automatisierte Entscheidungen ausdrücklich zulassen. Dabei müssen geeignete Schutzmaßnahmen für die Rechte der Betroffenen vorgesehen sein.

3. Mit ausdrücklicher Einwilligung erfolgt

Betroffene können einer automatisierten Entscheidungsfindung ausdrücklich zustimmen.

Auch dann müssen Unternehmen angemessene Schutzmaßnahmen gewährleisten.

Besondere Schutzmaßnahmen für Betroffene

Wenn eine automatisierte Entscheidung zulässig ist, müssen Unternehmen nach Art. 22 Abs. 3 DSGVO geeignete Maßnahmen treffen.

Dazu gehören insbesondere:

  • das Recht auf menschliches Eingreifen,
  • das Recht, den eigenen Standpunkt darzulegen,
  • das Recht, die Entscheidung anzufechten.

Betroffene dürfen also nicht vollständig einem Algorithmus ausgeliefert sein.

Informationspflichten von Unternehmen

Unternehmen müssen transparent darüber informieren, wenn automatisierte Entscheidungsprozesse eingesetzt werden.

Nach Art. 13 und Art. 14 DSGVO müssen Betroffene insbesondere erfahren:

  • dass automatisierte Entscheidungsfindung stattfindet,
  • welche Logik grundsätzlich dahintersteht,
  • welche Bedeutung und Auswirkungen die Verarbeitung hat.

Eine vollständige Offenlegung komplexer Algorithmen ist nicht zwingend erforderlich. Dennoch müssen die wesentlichen Funktionsweisen verständlich erklärt werden.

So können Betroffene ihre Rechte ausüben

Betroffene sollten zunächst prüfen, ob tatsächlich eine automatisierte Entscheidung vorliegt.

Folgende Schritte sind empfehlenswert:

1. Informationen zur Verarbeitung prüfen

Die betroffene Person sollte die Datenschutzerklärung oder andere Datenschutzinformationen prüfen.

Dort finden sich Hinweise auf:

  • automatisierte Entscheidungsprozesse,
  • Profiling,
  • verwendete Zwecke,
  • Rechtsgrundlagen.

2. Unternehmen kontaktieren

Besteht der Verdacht, dass eine Entscheidung ausschließlich automatisiert getroffen wurde, sollte die betroffene Person das Unternehmen kontaktieren.

Der Antrag kann beispielsweise enthalten:

  • Name und Kontaktdaten,
  • Beschreibung der Entscheidung,
  • Bitte um Information über die Entscheidungsgrundlage,
  • Verlangen nach menschlicher Überprüfung.

3. Menschliche Überprüfung verlangen

Betroffene können verlangen, dass eine Person die Entscheidung überprüft.

Dabei sollten sie ihren eigenen Standpunkt darstellen und zusätzliche Informationen vorbringen können.

4. Entscheidung anfechten

Ist die Entscheidung weiterhin nachteilig oder fehlerhaft, können Betroffene eine erneute Prüfung verlangen.

Zusätzlich können weitere Rechte geltend gemacht werden, beispielsweise:

  • Auskunft nach Art. 15 DSGVO,
  • Berichtigung nach Art. 16 DSGVO,
  • Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO.

Welche Fristen gelten?

Für Anfragen nach Art. 22 DSGVO gelten grundsätzlich die allgemeinen Fristen des Art. 12 DSGVO.

Unternehmen müssen:

  • unverzüglich reagieren,
  • spätestens innerhalb eines Monats antworten,
  • bei komplexen Fällen eine Verlängerung um bis zu zwei weitere Monate mitteilen.

Die betroffene Person muss über Verzögerungen und Gründe informiert werden.

Wie setzen Unternehmen Art. 22 DSGVO um?

Unternehmen sollten automatisierte Entscheidungsprozesse sorgfältig kontrollieren und dokumentieren.

1. Automatisierte Entscheidungen identifizieren

Zunächst muss geprüft werden:

  • Welche Systeme treffen automatisierte Entscheidungen?
  • Werden personenbezogene Daten verarbeitet?
  • Haben die Entscheidungen erhebliche Auswirkungen?

2. Rechtsgrundlage prüfen

Für jeden automatisierten Prozess muss geklärt werden:

  • Welche Rechtsgrundlage besteht?
  • Liegt eine Ausnahme nach Art. 22 Abs. 2 DSGVO vor?
  • Sind zusätzliche Schutzmaßnahmen erforderlich?

3. Menschliche Kontrolle ermöglichen

Unternehmen müssen Verfahren schaffen, damit Entscheidungen überprüft werden können.

Dazu gehören:

  • zuständige Mitarbeitende,
  • klare Prüfprozesse,
  • Dokumentation von Überprüfungen,
  • Möglichkeit zur Korrektur fehlerhafter Ergebnisse.

4. Transparenz gewährleisten

Betroffene müssen verständliche Informationen erhalten.

Unternehmen sollten erklären:

  • welche Daten verwendet werden,
  • welchen Zweck die Verarbeitung verfolgt,
  • welche Auswirkungen die Entscheidung haben kann.

5. Systeme regelmäßig überprüfen

Algorithmen können fehlerhafte oder diskriminierende Ergebnisse erzeugen.

Deshalb sollten Unternehmen regelmäßig prüfen:

  • Datenqualität,
  • Genauigkeit der Ergebnisse,
  • mögliche Benachteiligungen,
  • Funktionsweise der Systeme.

Technische und organisatorische Maßnahmen

Zur Umsetzung von Art. 22 DSGVO gehören insbesondere:

  • dokumentierte Prozesse für automatisierte Entscheidungen,
  • Datenschutz-Folgenabschätzungen bei hohem Risiko,
  • Zugriffskontrollen,
  • Qualitätsprüfungen von Algorithmen,
  • Schulungen von Mitarbeitenden,
  • regelmäßige Systemaudits.

Besonders bei KI-basierten Entscheidungen ist eine kontinuierliche Kontrolle entscheidend.

Häufige Fehler in der Praxis

Typische Fehler bei automatisierten Entscheidungen sind:

  • fehlende Information der Betroffenen,
  • keine menschliche Kontrollmöglichkeit,
  • unklare Entscheidungslogik,
  • ungeprüfte Algorithmen,
  • fehlende Dokumentation,
  • Diskriminierung durch fehlerhafte Daten.

Unternehmen sollten automatisierte Systeme daher nicht nur technisch, sondern auch rechtlich und organisatorisch überwachen.

Zusammenhang mit anderen Betroffenenrechten

Art. 22 DSGVO steht in Verbindung mit zahlreichen weiteren Datenschutzrechten:

  • Auskunftsrecht (Art. 15 DSGVO): Betroffene erfahren, welche Daten verarbeitet werden.
  • Berichtigungsrecht (Art. 16 DSGVO): Fehlerhafte Daten können korrigiert werden.
  • Löschungsrecht (Art. 17 DSGVO): Unzulässig gespeicherte Daten können gelöscht werden.
  • Widerspruchsrecht (Art. 21 DSGVO): Bestimmte Verarbeitungen können abgelehnt werden.

Diese Rechte ermöglichen gemeinsam eine wirksame Kontrolle über automatisierte Datenverarbeitung.

Das Recht auf Schutz vor automatisierten Entscheidungen in Kürze:

Das Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden, nach Art. 22 DSGVOschützt Menschen vor Entscheidungen, die allein durch Algorithmen getroffen werden und erhebliche Auswirkungen haben können.

Unternehmen dürfen automatisierte Entscheidungsprozesse einsetzen, müssen dabei jedoch Transparenz, rechtliche Voraussetzungen und angemessene Schutzmaßnahmen gewährleisten. Besonders wichtig sind menschliche Kontrollmöglichkeiten und nachvollziehbare Entscheidungsprozesse.

Betroffene sollten ihre Rechte aktiv wahrnehmen, Informationen über automatisierte Entscheidungen einholen und gegebenenfalls eine menschliche Überprüfung verlangen. Auf diese Weise stellt Art. 22 DSGVO sicher, dass technologische Effizienz nicht zulasten individueller Rechte geht.

Quellen

Beliebteste Artikel