Automatisierte Entscheidungen und Profiling: Pflichten für KMU nach DSGVO Artikel 22

Gemäß DSGVO Artikel 22 müssen europäische KMU, die algorithmische Bewertungen, Kundenfilter oder automatisierte Einstufungen einsetzen, aussagekräftige Informationen über die involvierte Logik bereitstellen, eine explizite gesetzliche Ausnahme nachweisen und wirksame menschliche Eingriffsmöglichkeiten garantieren, sobald Entscheidungen rechtliche oder ähnlich erhebliche Wirkungen entfalten. Ohne dokumentierte menschliche Übersteuerungsmöglichkeiten führen automatisierte Profiling-Systeme zu massiven aufsichtsbehördlichen Risiken.

Automatisierte Systeme beschränken sich längst nicht mehr auf globale Großkonzerne. Europäische B2B-SaaS-Plattformen, Fintech-Start-ups und HR-Tech-Anbieter nutzen täglich Algorithmen, um Kunden zu bewerten, Bonitätsprüfungen durchzuführen, Supportanfragen zuzuweisen und Bewerberprofile zu filtern. Die europäischen Datenschutzbehörden haben intransparentes Profiling und automatisierte Entscheidungen jedoch in den Mittelpunkt ihrer Durchsetzung gestellt. Wer Entscheidungen ohne nachvollziehbare Logik und echte menschliche Kontrolle trifft, riskiert behördliche Sanktionen.

Wer fällt unter den Anwendungsbereich von Artikel 22?

Artikel 22 Absatz 1 findet Anwendung, wenn eine Entscheidung ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruht und der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Viele Gründer glauben fälschlicherweise, dass ein einfacher Klick eines Mitarbeiters auf 'Bestätigen' im internen Admin-Dashboard die Vorschrift umgeht. Die Datenschutzbehörden und der Europäische Datenschutzausschuss (EDSA) lehnen diese formale Auslegung ausdrücklich ab. Ist die menschliche Prüfung rein pro forma – nickt der Prüfer die algorithmische Empfehlung also ohne inhaltliche Detailprüfung, ohne Kontextdaten oder ohne reale Befugnis zur Ablehnung ab –, bleibt die Entscheidung rechtlich vollautomatisiert.

Typische Auslöser bei europäischen KMU sind:

• Automatisierte Bonitäts- und Kreditentscheidungen: Algorithmische Scoring-Tools, die Finanzierungen ablehnen oder Konditionen basierend auf Transaktionshistorien festlegen.
• Recruiting- und HR-Software: Softwarelösungen, die Lebensläufe filtern, Bewerber einstufen oder Absagen ohne manuelle Nachprüfung versenden.
• Kontosperrungen und Betrugserkennung: Automatisierte Plattformmechanismen, die Händlerkonten einfrieren oder Auszahlungen blockieren.
• Dynamische Preisgestaltung: Anpassung von Vertragskonditionen oder Ausschluss von Produktstufen basierend auf Risikoprofilen.

Welche Dokumentation verlangen Artikel 22 und Artikel 13?

Um automatisierte Entscheidungen rechtskonform zu betreiben, müssen europäische Unternehmen drei zentrale Dokumentationssäulen nachweisen:

1. Nachweis einer gesetzlichen Ausnahmegrundlage (Art. 22 Abs. 2)

Automatisierte Entscheidungen mit erheblicher Wirkung sind grundsätzlich untersagt, es sei denn, es greift eine von drei engen Ausnahmen:

• Erforderlichkeit zur Vertragserfüllung (Art. 22 Abs. 2 lit. a): Die automatisierte Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags zwingend erforderlich.
• Ausdrückliche Einwilligung (Art. 22 Abs. 2 lit. c): Die betroffene Person hat eine ausdrückliche, informierte und jederzeit widerrufbare Einwilligung erteilt.
• Rechtsvorschrift der Union oder der Mitgliedstaaten (Art. 22 Abs. 2 lit. b): Gesetzlich zugelassen unter Verankerung angemessener Schutzmaßnahmen.

2. Aussagekräftige Informationen über die Logik (Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g)

Datenschutzerklärungen dürfen sich nicht hinter Geschäftsgeheimnissen oder proprietärem Code verstecken. Bereitzustellen sind verständliche Angaben zu:

• Den vom Algorithmus verarbeiteten Datenkategorien.
• Den maßgeblichen Faktoren und Gewichtungen, die zum Ergebnis führen.
• Den praktischen Konsequenzen und erwarteten Auswirkungen für die betroffene Person.

3. Dokumentierte Schutzmaßnahmen für menschliches Eingreifen (Art. 22 Abs. 3)

Bei Entscheidungen auf Basis von Vertrag oder Einwilligung müssen konkrete technische und organisatorische Maßnahmen greifen:

• Das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen.
• Ein barrierefreier Weg zur Darlegung des eigenen Standpunkts.
• Ein geregeltes Verfahren zur Anfechtung der Entscheidung vor qualifiziertem Fachpersonal.

Im internen Verzeichnis von Verarbeitungstätigkeiten (VVT) müssen diese Prozesse vollständig erfasst sein. Vor Inbetriebnahme ist zudem eine obligatorische Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 Absatz 3 Buchstabe a durchzuführen.

Welche Bußgelder drohen bei Verstößen?

Verstöße gegen Artikel 22 und die damit verbundenen Transparenzpflichten fallen unter den höchsten Sanktionsrahmen nach DSGVO Artikel 83 Absatz 5. Aufsichtsbehörden können Bußgelder von bis zu 20.000.000 EUR oder bis zu 4 % des gesamten weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist.

Neben Geldbußen erlassen Aufsichtsbehörden regelmäßig verbindliche Anordnungen, die den sofortigen Stopp der algorithmischen Systeme, die Neuberechnung von Modellen oder die manuelle Neuprüfung aller bisherigen Entscheidungen fordern.

Was sollten KMU jetzt konkret unternehmen?

Europäische Technologieunternehmen sollten vier operative Schritte sofort umsetzen:

1. Algorithmische Bestandsaufnahme durchführen: Identifizieren Sie alle Workflows, in denen Algorithmen, KI-Tools oder Scoring-Modelle Entscheidungen beeinflussen.
2. Wirksamkeit menschlicher Kontrollen überprüfen: Stellen Sie sicher, dass überprüfende Mitarbeiter Zeit, Kontextdaten und reale Entscheidungsbefugnisse haben, um Systementscheidungen zu revidieren.
3. Datenschutzerklärungen präzisieren: Dokumentieren Sie die Systemlogik verständlich und nachvollziehbar in Ihren Onboarding-Strecken und Datenschutzhinweisen.
4. Abgleich mit der KI-Verordnung: Prüfen Sie parallel, ob Ihr System als Hochrisiko-System nach dem EU AI Act Guide Anhang III (insbesondere im HR- oder Kreditbereich) eingestuft wird.

Strukturierte Nachweisdokumente schützen Ihr Unternehmen verlässlich vor behördlichen Beanstandungen.

Haftungsausschluss: EuroComply bietet Tools und Nachweisentwürfe zur Vorbereitung auf die EU-Compliance. Dieser Leitfaden dient ausschließlich Informationszwecken und stellt keine rechtliche, regulatorische oder steuerliche Beratung dar. Technische Dokumentationen und Bewertungen sollten von qualifizierten Rechtsanwälten geprüft werden.