Beitrag · DSGVO
Artikel 22 DSGVO: automatisierte Entscheidungen und ihre Ausnahmen
Artikel 22 DSGVO gibt jeder Person das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruht und ihr gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. Erlaubt ist eine solche Entscheidung nur, wenn sie für einen Vertrag erforderlich ist, ein Gesetz sie zulässt oder die Person ausdrücklich eingewilligt hat, und in zwei dieser Fälle muss der Verantwortliche das Eingreifen eines Menschen ermöglichen.
In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.
Die Zahl dahinter
Artikel 22 DSGVO hat 4 Absätze und lässt vom Verbot in Absatz 1 genau 3 Ausnahmen zu; für 2 davon schreibt Absatz 3 Mindestrechte der betroffenen Person vor. Quelle: Verordnung (EU) 2016/679, Artikel 22 (von Rekvira am 24. September 2026 geliefert)
Die Artikeltexte, Absatzzahlen und Verweise auf dieser Seite hat Rekvira am 24. September 2026 aus dem EUR-Lex-Text der DSGVO und der KI-Verordnung geliefert. Die wörtlichen Zitate stammen aus den deutschen Fassungen im Amtsblatt (EUR-Lex, abgerufen am 4. November 2026).
Was verbietet Artikel 22 Absatz 1?
Die Norm ist als Recht der betroffenen Person formuliert, wirkt aber wie ein Verbot für den Verantwortlichen. Drei Merkmale müssen zusammenkommen:
| Merkmal | Wortlaut | Was das in der Prüfung heißt |
|---|---|---|
| Entscheidung | eine Entscheidung, „was eine Maßnahme einschließen kann“ (Erwägungsgrund 71) | Auch eine Sperre oder Einstufung kann eine Entscheidung sein, eine bloße Analyse ohne Folge nicht |
| ausschließlich automatisiert | „ausschließlich auf einer automatisierten Verarbeitung“ beruhend, Profiling eingeschlossen | Prüft ein Mensch nur formal ab, bleibt die Entscheidung automatisiert |
| Wirkung | „ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“ | Ablehnung, Kündigung, Preis- oder Zugangsentscheidung |
Erwägungsgrund 71 nennt zwei Beispiele, die die meisten Fälle aus der Praxis abdecken: „die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen“. Derselbe Erwägungsgrund zählt zu den angemessenen Garantien auch den Anspruch „auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung“. Im verbindlichen Artikeltext steht dieses Recht nicht; dort nennt Absatz 3 nur Eingreifen, Standpunkt und Anfechtung.
Welche Ausnahmen lässt Absatz 2 zu?
Genau drei. Für jede gilt ein anderer Schutz:
| Ausnahme (Abs. 2) | Wortlaut | Schutzmaßnahmen |
|---|---|---|
| a) Vertrag | „für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich“ | Abs. 3: Eingreifen einer Person, eigener Standpunkt, Anfechtung |
| b) Gesetz | „aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten“ zulässig | Das Gesetz selbst muss angemessene Maßnahmen enthalten |
| c) Einwilligung | „mit ausdrücklicher Einwilligung der betroffenen Person“ | Abs. 3: Eingreifen einer Person, eigener Standpunkt, Anfechtung |
Das Wort „erforderlich“ in Buchstabe a trägt viel Gewicht. Dass eine Automatisierung für den Vertrag bequem ist, genügt dem Wortlaut nach nicht.
Was gilt für Gesundheitsdaten und andere besondere Kategorien?
Absatz 4 zieht eine zweite Grenze. Entscheidungen nach Absatz 2 „dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen“, außer Artikel 9 Absatz 2 Buchstabe a (ausdrückliche Einwilligung) oder g (erhebliches öffentliches Interesse) greift und es gibt angemessene Schutzmaßnahmen. Eine Vertragsausnahme allein trägt eine Entscheidung auf Basis von Gesundheitsdaten also nicht.
Wie hängt Artikel 22 mit der KI-Verordnung zusammen?
Die KI-Verordnung ersetzt Artikel 22 nicht, sie legt ein eigenes Recht daneben. Artikel 86 gibt Personen, die von einer Entscheidung eines Betreibers auf Grundlage eines Hochrisiko-KI-Systems aus Anhang III betroffen sind, das Recht auf eine „klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der getroffenen Entscheidung“. Systeme aus Nummer 2 des Anhangs III sind ausgenommen.
| Artikel 22 DSGVO | Artikel 86 KI-Verordnung | |
|---|---|---|
| Wen es schützt | jede betroffene Person | Personen, die von der Entscheidung eines Betreibers betroffen sind |
| Auslöser | Entscheidung ausschließlich automatisiert | Entscheidung auf Grundlage der Ausgabe eines Hochrisiko-KI-Systems aus Anhang III, auch mit menschlicher Beteiligung |
| Wirkung | rechtliche Wirkung oder ähnlich erhebliche Beeinträchtigung | rechtliche Auswirkungen oder erhebliche Beeinträchtigung von Gesundheit, Sicherheit oder Grundrechten nach Ansicht der Person |
| Recht | nicht unterworfen werden; bei Ausnahmen Eingreifen, Standpunkt, Anfechtung | Erläuterung der Rolle des KI-Systems und der wichtigsten Entscheidungselemente |
| Verhältnis | gilt immer | gilt nur, soweit das Recht „nicht anderweitig im Unionsrecht festgelegt ist“ (Abs. 3) |
Der wichtigste Unterschied steht in der zweiten Zeile. Artikel 22 greift nur, wenn kein Mensch substanziell mitentscheidet. Artikel 86 knüpft an die Ausgabe des KI-Systems an, und zwar ausdrücklich bei einer Entscheidung, die der Betreiber trifft. Ob und ab wann Artikel 86 auf ein bestimmtes System anwendbar ist, hängt an der Einstufung nach Artikel 6 und am Geltungsbeginn, den KI-Verordnung: Pflichten nach Rolle mit den Daten nach der Änderung vom Juli 2026 aufschlüsselt.
Und das SCHUFA-Urteil?
Zur Frage, ob schon ein Score eine „Entscheidung“ im Sinne von Artikel 22 sein kann, hat der Gerichtshof der Europäischen Union mit Urteil vom 7. Dezember 2023 (Rechtssache C-634/21, SCHUFA Holding) Stellung genommen. Rekvira hält keine Rechtsprechung. Lesen Sie das Urteil selbst auf curia.europa.eu, bevor Sie sich darauf stützen.
4
Absätze in Artikel 22 DSGVO
3
Ausnahmen vom Verbot (Abs. 2 Buchstaben a bis c)
3
Mindestrechte bei Vertrag und Einwilligung (Abs. 3)
Aufgezeichneter Lauf
Die Frage:Was verbietet Art. 22 DSGVO bei automatisierten Entscheidungen, welche Ausnahmen gibt es, und was sagt die KI-Verordnung dazu?
list_regulations()Prüfen, dass DSGVO und KI-Verordnung geladen sind, und den Textstand lesen.
read_unit(regulation="gdpr", kind="article", number="22")Artikel 22 vollständig lesen.
Artikel 22 in 4 Absätzen, darunter "at least the right to obtain human intervention on the part of the controller, to express his or her point of view and to contest the decision"
read_unit(regulation="gdpr", kind="recital", number="71")Der Erwägungsgrund mit den Beispielen und dem Recht auf Erläuterung.
"automatic refusal of an online credit application or e-recruiting practices without any human intervention" und "to obtain an explanation of the decision reached after such assessment"
verify_citation(regulation="gdpr", citation="Article 22(1)", quote="The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling")Fundstelle und Wortlaut prüfen, bevor zitiert wird.
Wortlaut gefunden: "Article 22(1)"
search_regulation(regulation="eu-ai-act", query="right to explanation of individual decision-making")Wo die KI-Verordnung an Artikel 22 anschließt.
Erster Treffer: "Article 86(1)"
read_unit(regulation="eu-ai-act", kind="article", number="86")Das Recht auf Erläuterung der Entscheidungsfindung im Einzelfall vollständig lesen.
"the right to obtain from the deployer clear and meaningful explanations of the role of the AI system in the decision-making procedure"
search_regulations(query="automated decision profiling legal effects", regulations=["gdpr", "eu-ai-act"])Beide Verordnungen in einer Abfrage durchsuchen.
In beiden Verordnungen zugleich gesucht: "Article 22(1)" der DSGVO an erster Stelle, "Article 86(1)" der KI-Verordnung unter den ersten vier
Echte Aufrufe an Rekviras Produktionsserver, aufgezeichnet am 24. September 2026. Textstand des Korpus: 24. September 2026. Rekvira liefert den englischen EUR-Lex-Text; die deutschen Zitate auf dieser Seite stammen aus der deutschen Fassung im Amtsblatt.
Grenzen
Rekvira liefert den Text von DSGVO und KI-Verordnung mit Fundstelle und Textstand. Ob Ihre Entscheidung ausschließlich automatisiert ist und ob eine Ausnahme trägt, beurteilen Sie oder Ihr Datenschutzbeauftragter. Rechtsprechung, § 37 BDSG und Leitlinien der Aufsichtsbehörden sind nicht im Korpus.
So geht es in Ihrem Assistenten
Lies mit Rekvira Artikel 22 DSGVO, Erwägungsgrund 71 und Artikel 86 der KI-Verordnung.
Für den Entscheidungsprozess, den ich dir beschreibe: Sag mir, ob die drei Merkmale aus
Artikel 22 Absatz 1 vorliegen, welche Ausnahme aus Absatz 2 in Betracht kommt und welche
Rechte dann gelten, jeweils mit Fundstelle.Fügen Sie dies in Claude, ChatGPT, Cursor oder einen anderen MCP-Client ein, der mit https://mcp.rekvira.com/mcp verbunden ist. Zum Start melden Sie sich einmal mit Ihrer E-Mail an (kostenlos).Einrichtung je Client (Englisch)
Fundstellen in Ihrer KI.
Mit Ihrer E-Mail anmelden, ohne Schlüssel; während der Founding Beta wird nichts berechnet.
https://mcp.rekvira.com/mcp