Art. 22 DSGVO und die KI-Verordnung: Wenn KI über Menschen entscheidet

Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat den Geltungsbeginn der Hochrisiko-Pflichten aus der KI-Verordnung (KI-VO, englisch AI Act) verschoben. Für Systeme nach Art. 6 Abs. 2 und Anhang III gilt der 02.12.2027, für Systeme nach Art. 6 Abs. 1 und Anhang I der 02.08.2028. Wer ein System einsetzt, das Bewerbungen filtert oder Bonität bewertet, prüft Art. 22 DSGVO unabhängig von diesen Fristen.

Was ist eine automatisierte Einzelentscheidung nach Art. 22 DSGVO?

Eine automatisierte Einzelentscheidung nach Art. 22 DSGVO beruht ausschließlich auf automatisierter Verarbeitung, Profiling eingeschlossen, und entfaltet rechtliche Wirkung oder beeinträchtigt die betroffene Person ähnlich erheblich. Nach dem EuGH-Urteil C-634/21 zählt dazu bereits der automatisiert erstellte Wahrscheinlichkeitswert einer Wirtschaftsauskunftei, wenn von ihm maßgeblich abhängt, ob ein Dritter ein Vertragsverhältnis begründet, durchführt oder beendet.

Das Verbot des Absatzes 1 wirkt objektiv, die betroffene Person muss es nicht erst geltend machen. Absatz 2 lässt drei abschließende Ausnahmen zu: Erforderlichkeit für Abschluss oder Erfüllung eines Vertrags mit dem Verantwortlichen, Rechtsvorschrift der Union oder eines Mitgliedstaats, ausdrückliche Einwilligung. Bei Vertrag und Einwilligung verlangt Absatz 3 angemessene Schutzmaßnahmen. Diese Prüfung läuft neben den übrigen Pflichten der DSGVO-Compliance im Unternehmen.

Schufa-Urteil des EuGH: Wann ein Score zur Entscheidung wird

Der Europäische Gerichtshof hat am 07.12.2023 in der Rechtssache C-634/21 über die Scores einer Wirtschaftsauskunftei entschieden. Eine automatisierte Entscheidung im Einzelfall liegt danach bereits bei der Erstellung des Wahrscheinlichkeitswerts vor. Das Urteil knüpft sie an eine Bedingung: „sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet".

Der Tenor betrifft eine Wirtschaftsauskunftei, die Übertragung auf KI-Systeme stammt von der Aufsicht.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit ordnete das Urteil am selben Tag für KI-Ausgaben ein. Entstehen vorbereitende Bewertungen auf Basis kaum nachvollziehbarer, von der KI eigenständig entwickelter Kriterien, ist die Nähe zur Auskunftei-Bewertung nach seiner Einschätzung groß. „Was also für Schufa-Scores gilt, gilt dann auch für den Output einer künstlichen Intelligenz."

Solche Bewertungen müssten mit einer menschlichen Beurteilung verknüpft werden. Die letztentscheidende Person benötigt dafür laut Pressemitteilung „Sachkunde und genug Zeit, um die maschinelle Vorentscheidung hinterfragen zu können".

Wie weit die Auskunft darüber reicht, hat der EuGH am 27.02.2025 in der Rechtssache C-203/22 geklärt. Der Verantwortliche muss Verfahren und angewandte Grundsätze so beschreiben, dass die betroffene Person die Verwendung ihrer Daten nachvollziehen kann. „Die bloße Übermittlung eines Algorithmus stellt jedoch keine ausreichend präzise und verständliche Erläuterung dar."

Geschäftsgeheimnisse beenden die Pflicht nicht: Der Verantwortliche legt die geschützten Informationen der Aufsichtsbehörde oder dem Gericht vor. Diese wägen dann die einander gegenüberstehenden Rechte und Interessen ab. Die Beschreibung von Verfahren und Grundsätzen gehört in die Dokumentation, die eine Datenschutzberatung für automatisierte Verfahren prüft.

Human Oversight: Wann die menschliche Prüfung zählt

Die Leitlinien WP251 rev.01 der Artikel-29-Datenschutzgruppe, bestätigt vom Europäischen Datenschutzausschuss, ziehen die Grenze. Dort heißt es: „Der Verantwortliche kann die Bestimmungen von Artikel 22 nicht umgehen, indem er eine Person in die Entscheidung einbezieht." Hat diese Person keinen tatsächlichen Einfluss auf das Ergebnis, bleibt es eine ausschließlich automatisierte Entscheidung.

Der Verantwortliche muss gewährleisten, „dass es sich nicht nur um eine symbolische Geste handelt, sondern dass die Entscheidung einer echten Aufsicht unterliegt". Prüfen muss laut Leitlinie eine Person, die zur Änderung der Entscheidung befugt und befähigt ist. Die Datenschutzkonferenz formuliert es in ihrer Orientierungshilfe vom 06.05.2024 knapper: „Eine lediglich formelle Beteiligung eines Menschen im Entscheidungsprozess ist nicht ausreichend."

Von der Systemseite greift die KI-Verordnung denselben Punkt auf: Art. 14 Abs. 4 KI-VO knüpft an die Bereitstellung des Systems an. Sinngemäß übersetzt heißt das: Die aufsichtführende Person muss sich der möglichen Neigung bewusst bleiben können, den Ausgaben automatisch oder übermäßig zu vertrauen. Das gilt, soweit es angemessen und verhältnismäßig ist. Der Verordnungstext nennt das Automation Bias.

Im selben Rahmen muss die aufsichtführende Person im Einzelfall entscheiden können, das System nicht zu nutzen. Sie muss seine Ausgabe verwerfen, überstimmen oder rückgängig machen können. Der Europäische Datenschutzbeauftragte sieht diese Beteiligung in der Praxis häufig nur simuliert, wie dr-datenschutz.de anführt.

Die Bestätigung durch zwei Personen ist keine allgemeine Pflicht. Art. 14 Abs. 5 KI-VO schreibt sie nur für Systeme nach Anhang III Nr. 1 lit. a vor, also für die biometrische Fernidentifizierung. Für HR- und Scoring-Systeme gilt sie nicht.

Nach Art. 26 Abs. 2 KI-VO weist der Betreiber die menschliche Aufsicht natürlichen Personen zu. Diese Personen brauchen Kompetenz, Schulung, Befugnis und die nötige Unterstützung. Führt ein Unternehmen diese Rollen in einem ISMS nach ISO 27001, stehen Zuständigkeit und Kompetenznachweis an einer Stelle.

KI im Bewerbungsprozess: Wo die Grenze im Recruiting verläuft

Nicht jeder KI-Einsatz im Recruiting fällt unter Art. 22 DSGVO, wie Legal Tribune Online am 07.09.2026 einordnet. Fasst ein System nur Unterlagen zusammen und entscheidet die Personalabteilung danach selbst, bleibt der Mensch maßgeblich beteiligt. Anders kann es liegen, wenn ein System Kandidaten bewertet oder ein Ranking erstellt und die Empfehlung regelmäßig übernommen wird.

Den klaren Verstoß beschreibt die Datenschutzkonferenz an einem Beispiel: Eine KI-Anwendung wertet alle eingegangenen Bewerbungen aus und verschickt selbstständig die Einladungen zu den Vorstellungsgesprächen. „Dies stellt einen Verstoß gegen Art. 22 Abs. 1 DS-GVO dar."

Parallel dazu läuft die Einstufung nach der KI-Verordnung und ihren Risikoklassen. Anhang III Nr. 4 lit. a erfasst Systeme zur Einstellung oder Auswahl von Personen. Ausdrücklich genannt sind das Analysieren und Filtern von Bewerbungen und das Bewerten von Kandidaten.

Solche Systeme gelten nach Art. 6 Abs. 2 KI-VO grundsätzlich als Hochrisiko-KI. Legal Tribune Online verweist darauf, dass Art. 6 Abs. 3 KI-VO unter bestimmten Voraussetzungen Ausnahmen vorsieht. Die vorgelagerte Risikoprüfung beschreibt der Beitrag zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

Hochrisiko-KI nach dem AI Act: Welche Fristen jetzt gelten

Der zweite Anwendungsfall steht in Anhang III Nr. 5 lit. b: Systeme, die die Kreditwürdigkeit natürlicher Personen bewerten oder deren Kreditscore bilden sollen. Ausgenommen sind Systeme zur Erkennung von Finanzbetrug. Die Digital-Omnibus-Verordnung zur KI vom 08.07.2026 trat am 27.07.2026 in Kraft und verschob die Anwendung dieser Regeln. Erwägungsgrund 40 nennt als Grund die verzögerte Verfügbarkeit von Normen und Leitlinien und die verzögerte Einrichtung der zuständigen nationalen Behörden. Von der Verschiebung ausgenommen bleibt Art. 6 Abs. 5 KI-VO.

Die verschobenen Stichtage betreffen allein die Pflichten aus der KI-Verordnung.

Die Pflichten je Risikoklasse stehen im Beitrag zu den Risikoklassen und Pflichten der KI-Verordnung.

DSGVO-Bußgeld und KI-Verordnung: die Rahmen im Vergleich

Art. 99 Abs. 3 und Abs. 4 KI-VO stellen jeweils auf den höheren der beiden Beträge ab, bezogen auf das vorangegangene Geschäftsjahr. Für kleine und mittlere Unternehmen einschließlich Start-ups kehrt Art. 99 Abs. 6 KI-VO das um: dort gilt der niedrigere Betrag. Art. 14 KI-VO steht nicht selbst im Bußgeldkatalog des Art. 99, beim Betreiber greift die Sanktion über die Pflichten nach Art. 26 KI-VO. Das Verhältnis beider Regelwerke beschreibt dr-datenschutz.de als „kein Verdrängungsverhältnis, sondern eines der Komplementarität".

Automatisierte Entscheidungsfindung prüfen: sechs Schritte

1. Systeme erfassen. Welche Werkzeuge erzeugen Scores, Rankings oder Vorauswahlen über Personen? Bewerbermanagement und Bonitätsprüfung gehören auf dieselbe Liste.
2. Entscheidungswirkung bestimmen. Beim Wahrscheinlichkeitswert einer Wirtschaftsauskunftei greift Art. 22 DSGVO nach C-634/21 bereits bei der Erstellung, wenn die Entscheidung eines Dritten maßgeblich davon abhängt.
3. Menschliche Prüfung belastbar machen. Die prüfende Person muss zur Änderung der Entscheidung befugt und befähigt sein, dazu Sachkunde und genug Zeit haben. Unterstützung kommt aus der internen Datenschutzorganisation oder von einem externen Datenschutzbeauftragten.
4. Betroffenenrechte einrichten. Eingreifen einer Person, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung sind die Mindestgarantien aus Art. 22 Abs. 3 DSGVO für Vertrag und ausdrückliche Einwilligung.
5. Erklärbarkeit vorbereiten. Verfahren und angewandte Grundsätze müssen so beschrieben sein, dass die betroffene Person die Verwendung ihrer Daten nachvollziehen kann.
6. Rollen und Kompetenz dokumentieren. Die Zuweisung nach Art. 26 Abs. 2 KI-VO gehört in dieselbe Nachweisführung wie die technischen und organisatorischen Maßnahmen nach der DSGVO.

Einordnung

Die beiden Regelwerke stellen verschiedene Fragen. Art. 22 DSGVO fragt, ob eine Entscheidung über einen Menschen ohne Menschen zustande kam. Die KI-Verordnung fragt, ob das System, das die Entscheidung vorbereitet, beherrschbar gebaut und betrieben wird. Die Digital-Omnibus-Verordnung verschiebt die zweite Frage nach hinten, die erste bleibt unberührt.

Es zählt, ob die Person, die am Ende freigibt, die Vorentscheidung tatsächlich ändern kann. Thomas Helbing zieht in seinem DSGVO-Hub daraus den Schluss: „Wer organisatorisch und technisch sicherstellt, dass ein Mensch an entscheidender Stelle tatsächlich prüfend eingreift, überschreitet die Schwelle des Art. 22 Abs. 1 DSGVO gar nicht erst." Diese Einordnung ersetzt keine Prüfung des Einzelfalls.

Quellen

• EuGH, Urteil vom 07.12.2023, C-634/21 (SCHUFA Holding), ECLI:EU:C:2023:957
• EuGH, Urteil vom 27.02.2025, C-203/22 (Dun & Bradstreet Austria), Pressemitteilung des Gerichtshofs (PDF)
• Artikel-29-Datenschutzgruppe: Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling, WP251 rev.01 (PDF)
• Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz, Fassung vom 06.05.2024 (PDF)
• HmbBfDI: EuGH-Urteil zur Schufa und seine Auswirkungen auf KI, Pressemitteilung vom 07.12.2023 (PDF)
• Europäische Kommission, EU AI Act Service Desk: Article 14, Human oversight
• Europäische Kommission, EU AI Act Service Desk: Article 26, Obligations of deployers of high-risk AI systems
• Europäische Kommission, EU AI Act Service Desk: Annex III
• Europäische Kommission, EU AI Act Service Desk: Article 99, Penalties
• Europäische Kommission, EU AI Act Service Desk: Timeline for the Implementation of the EU AI Act
• Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI)
• Legal Tribune Online: Bewerbungen: Die KI darf nicht allein entscheiden (07.09.2026)
• dr-datenschutz.de: Art. 22 DSGVO & AI Act: Automatische Entscheidungsfindung (10.09.2026)
• Thomas Helbing, DSGVO-Hub: Automatisierte Einzelentscheidung (Art. 22 DSGVO)