Clef · Live-Demo ausprobieren →
Heabsy
DSGVO · Artikel 22

Der Mensch dazwischen — und ob er wirklich entscheidet

Artikel 22 verbietet im Grundsatz Entscheidungen, die allein eine Maschine trifft und die rechtliche Wirkung entfalten oder erheblich beeinträchtigen. Die Vorschrift wird meist zu weit gelesen — die meisten Unternehmensanwendungen fallen gar nicht darunter — und an einer Stelle zu eng: Ein Freigabeknopf, den niemand inhaltlich betätigen kann, macht eine automatisierte Entscheidung nicht zu einer menschlichen.

3
Voraussetzungen, alle nötig
«ausschließlich»
das tragende Wort
Art. 14 KI-VO
verlangt etwas anderes

Wann greift Artikel 22 überhaupt?

Drei Voraussetzungen, und sie müssen alle zusammen vorliegen. Fällt eine weg, ist die Vorschrift nicht einschlägig — was für die meisten Anwendungen im Betrieb gilt.

01

Es liegt eine Entscheidung vor

Nicht jede Auswertung ist eine Entscheidung. Ein Ranking, das ein Mensch danach frei verwendet, ist eine Vorbereitung; die Aussortierung, nach der niemand mehr hinsieht, ist eine Entscheidung.

02

Sie beruht ausschließlich auf automatisierter Verarbeitung

Das Wort «ausschließlich» trägt die Norm. Sobald ein Mensch inhaltlich mitentscheidet, greift Artikel 22 nicht — aber dieser Mensch muss tatsächlich entscheiden können, nicht nur bestätigen.

03

Sie entfaltet rechtliche Wirkung oder beeinträchtigt erheblich

Kreditablehnung, Absage im Bewerbungsverfahren, Vertragskündigung, Preisaufschlag. Nicht erfasst: eine Produktempfehlung, eine Sortierreihenfolge im Postfach, ein Vorschlag ohne Außenwirkung.

Der Mensch, der nur bestätigt

Die verbreitetste Gestaltung lautet: Das System schlägt vor, ein Mitarbeiter klickt auf «Freigeben», damit ist die Entscheidung nicht mehr ausschließlich automatisiert. Diese Konstruktion hält der Prüfung nur stand, wenn der Mensch tatsächlich anders entscheiden kann — und das heißt: er sieht die Grundlage, er hat Zeit, und er hat die Befugnis.

Woran es in der Praxis scheitert, ist fast immer eines von dreien.Die Grundlage fehlt — die Oberfläche zeigt das Ergebnis, nicht die Begründung. Die Zeit fehlt — vierzig Freigaben in der Stunde sind keine Prüfung, und die Bearbeitungszeiten stehen im Protokoll. Die Befugnis fehlt — eine abweichende Entscheidung müsste begründet, eskaliert oder gerechtfertigt werden, und wird deshalb nicht getroffen.

Umgekehrt ist der Nachweis leicht zu führen, wenn die Gestaltung stimmt: Wenn in den Protokollen Fälle stehen, in denen Menschen dem Vorschlag widersprochen haben, ist die Frage praktisch beantwortet. Eine Quote von null Abweichungen über Monate ist dagegen kein Beleg für Modellgüte, sondern für fehlende Aufsicht.

Zwei Regelwerke, zwei verschiedene Anforderungen

An dieser Stelle treffen DSGVO und KI-Verordnung am schärfsten zusammen, und sie verlangen Unterschiedliches. Artikel 22 DSGVO gibt der betroffenen Person Rechte: Eingreifen eines Menschen, Darlegung des eigenen Standpunkts, Anfechtung. Diese Rechte muss jemand ausüben können, also müssen sie bekannt und erreichbar sein.

Artikel 14 der KI-Verordnung verlangt eine Eigenschaft des Systems: Hochrisiko-Systeme müssen so gebaut sein, dass eine befähigte Person sie wirksam beaufsichtigen kann — mit Verständnis für Fähigkeiten und Grenzen, mit Bewusstsein für die Neigung, maschinellen Ausgaben zu vertrauen, und mit der Möglichkeit einzugreifen.

Die Anforderungen überschneiden sich, decken sich aber nicht. Ein System, das Anfechtung ermöglicht, aber seine Grundlage nicht offenlegt, erfüllt die eine und verfehlt die andere. Praktisch löst dieselbe Gestaltung beides: die Begründung sichtbar machen, die Abweichung erlauben, beides protokollieren.

KI-Verordnung und DSGVO im Überblick Hochrisiko nach Anhang III KI in der Personalabteilung

Häufige Fragen

Was besagt Artikel 22 DSGVO?+
Betroffene haben das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Praktisch wirkt die Vorschrift wie ein Verbot mit Ausnahmen: zulässig ist eine solche Entscheidung nur, wenn sie für einen Vertrag erforderlich ist, durch Rechtsvorschrift erlaubt wird oder auf ausdrücklicher Einwilligung beruht — und selbst dann sind Schutzmaßnahmen vorgeschrieben.
Wann ist eine Entscheidung «ausschließlich» automatisiert?+
Wenn kein Mensch inhaltlich mitwirkt. Entscheidend ist die Qualität der Mitwirkung, nicht ihre Existenz: Wer eine Vorschlagsliste durchwinkt, ohne die Grundlage prüfen zu können oder zu dürfen, wirkt nicht mit. Die Aufsichtsbehörden sehen darin seit langem einen Umgehungsversuch, und die Argumentation ist in Prüfungen leicht zu entkräften — weil sich an Bearbeitungszeiten ablesen lässt, ob jemand geprüft hat.
Betrifft das unseren Dokumentenassistenten?+
In aller Regel nicht. Ein System, das Unterlagen durchsucht, zusammenfasst oder einen Entwurf vorlegt, trifft keine Entscheidung über eine Person. Die Schwelle wird erst dort überschritten, wo das Ergebnis unmittelbar eine Rechtsfolge auslöst — und das ist bei den typischen Anwendungsfällen im Mittelstand die Ausnahme, nicht die Regel.
Welche Schutzmaßnahmen sind vorgeschrieben?+
Mindestens das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Dazu kommen die Informationspflichten aus den Artikeln 13 und 14, die aussagekräftige Informationen über die involvierte Logik sowie Tragweite und Auswirkungen verlangen. «Ein Algorithmus entscheidet» genügt dafür nicht.
Was verlangt die KI-Verordnung zusätzlich?+
Etwas anderes, und das wird regelmäßig verwechselt. Artikel 22 DSGVO gibt der betroffenen Person ein Recht. Artikel 14 der KI-Verordnung verlangt eine Eigenschaft des Systems: Es muss so gebaut sein, dass eine befähigte Person es wirksam beaufsichtigen kann. Ein System kann die eine Anforderung erfüllen und die andere verfehlen — eine Oberfläche mit einem Bestätigungsknopf etwa erzeugt keine Aufsicht, sondern deren Anschein.
Reicht eine Einwilligung als Grundlage?+
Sie ist eine der drei Ausnahmen, aber die unzuverlässigste. Eine Einwilligung muss freiwillig sein, und im Beschäftigungsverhältnis sowie gegenüber Bewerbern ist die Freiwilligkeit strukturell fraglich. Wer seine Bewerberauswahl auf eine Einwilligung stützt, stützt sie auf die schwächste verfügbare Grundlage.
Woran erkennen wir, ob wir betroffen sind?+
An einer Frage: Gibt es einen Fall, in dem ein Mensch das Ergebnis des Systems nicht mehr sieht, bevor jemand eine Folge spürt? Wenn ja, liegt Artikel 22 nahe. Wenn nein — wenn in jedem Fall jemand mit Entscheidungsspielraum dazwischensteht —, ist die Frage meist erledigt, und der Aufwand liegt darin, diesen Zwischenschritt auch nachweisbar zu machen.

Die Frage, die Ihren Fall entscheidet

Gibt es bei Ihnen einen Fall, in dem ein Mensch das Ergebnis nicht mehr sieht, bevor jemand eine Folge spürt? Wenn nein, ist Artikel 22 meist erledigt und es geht nur noch darum, den Zwischenschritt nachweisbar zu machen. Schildern Sie den Ablauf — das ist in zehn Minuten geklärt.

Fall beschreibenKI und DSGVO im Überblick

Zuletzt aktualisiert: