Wie reagieren Unternehmen, wenn Kunden einer automatisierten Entscheidung widersprechen?

Verlangt eine Person, dass ein Mensch eine automatisierte Entscheidung überprüft, müssen Sie das ermöglichen, wenn die Entscheidung ausschließlich automatisiert getroffen wurde und rechtliche oder ähnlich erhebliche Folgen hat (Art. 22 DSGVO). Die Person darf ihren Standpunkt darlegen und die Entscheidung anfechten. Sie antworten innerhalb eines Monats, erklären die Logik der Entscheidung verständlich und dokumentieren die Prüfung.

Wann gilt Art. 22 DSGVO?

Art. 22 Abs. 1 DSGVO betrifft Entscheidungen, die zwei Merkmale erfüllen:

• Ausschließlich automatisiert: Kein Mensch prüft den Einzelfall mit echter Entscheidungsbefugnis. Ein Sachbearbeiter, der das Ergebnis nur bestätigt, reicht nicht.
• Rechtliche Wirkung oder ähnlich erhebliche Beeinträchtigung: etwa die Ablehnung eines Vertrags, eine Kündigung oder deutlich schlechtere Konditionen.

Typische Fälle im Unternehmen sind die automatische Ablehnung eines Kaufs auf Rechnung, die Vorauswahl von Bewerbungen mit automatischer Absage, die Sperre eines Kundenkontos durch ein Betrugserkennungssystem oder Tarifentscheidungen einer Versicherung. Hängt die Entscheidung eines Händlers maßgeblich von einem Score ab, kann schon die Berechnung des Scores unter Art. 22 fallen. Mehr dazu im Artikel zu Scoring und automatisierten Entscheidungen.

Wann sind solche Entscheidungen erlaubt?

Grundsätzlich sind sie verboten. Erlaubt sind sie nur, wenn sie für einen Vertrag erforderlich sind, ein Gesetz sie zulässt oder die Person ausdrücklich eingewilligt hat (Art. 22 Abs. 2 DSGVO). In den Fällen Vertrag und Einwilligung müssen Sie mindestens drei Garantien bieten (Art. 22 Abs. 3 DSGVO):

1. das Recht auf Eingreifen einer Person auf Ihrer Seite,
2. das Recht, den eigenen Standpunkt darzulegen,
3. das Recht, die Entscheidung anzufechten.

Besondere Kategorien nach Art. 9 DSGVO dürfen nur mit ausdrücklicher Einwilligung oder aus erheblichem öffentlichem Interesse einfließen (Art. 22 Abs. 4 DSGVO). Für Versicherungen erlaubt § 37 BDSG zusätzliche Fälle.

So bearbeiten Sie einen Antrag auf menschliche Prüfung

1. Antrag erkennen: "Ich will mit einem Menschen sprechen" oder "Das ist ungerecht" kann schon ein Antrag nach Art. 22 Abs. 3 DSGVO sein.
2. Frist notieren: unverzüglich, spätestens einen Monat nach Eingang (Art. 12 Abs. 3 DSGVO).
3. Identität prüfen: nur bei begründeten Zweifeln, etwa über das Kundenkonto.
4. Echte Prüfung: Eine fachkundige Person mit Entscheidungsbefugnis sieht sich den Einzelfall an und berücksichtigt die Einwände.
5. Ergebnis mitteilen: Bestätigen oder ändern Sie die Entscheidung und begründen Sie sie.
6. Dokumentieren: Antrag, Prüfer, Gründe und Ergebnis festhalten.

Wie viel müssen Sie über die Logik verraten?

Betroffene haben ein Recht auf aussagekräftige Informationen über die involvierte Logik und die Tragweite (Art. 13 Abs. 2 lit. f, Art. 15 Abs. 1 lit. h DSGVO). Der EuGH verlangt eine Erklärung, die das tatsächlich angewandte Verfahren und die Grundsätze verständlich macht. Die Person soll nachvollziehen können, welche Daten wie in die Entscheidung eingeflossen sind (EuGH, Urteil vom 27.02.2025, C-203/22). Die bloße Übermittlung einer Formel oder eines Algorithmus genügt dafür nicht. Berufen Sie sich auf Geschäftsgeheimnisse, müssen Sie die Informationen im Streitfall der Behörde oder dem Gericht zur Abwägung vorlegen.

Wann dürfen Sie ablehnen?

• Die Entscheidung war nicht ausschließlich automatisiert, weil ein Mensch sie tatsächlich getroffen hat. Dann gilt Art. 22 nicht. Erklären Sie das in Ihrer Antwort.
• Die Entscheidung hat keine erheblichen Folgen, etwa eine personalisierte Produktempfehlung.
• Der Antrag ist offenkundig unbegründet oder exzessiv (Art. 12 Abs. 5 DSGVO).

Auch eine Ablehnung begründen Sie und weisen auf das Beschwerderecht hin (Art. 12 Abs. 4 DSGVO). Beruht ein Profiling auf berechtigtem Interesse, kann die Person außerdem nach Art. 21 DSGVO widersprechen.

Typische Fehler

• "Human in the loop" nur auf dem Papier: Der Prüfer darf nicht abweichen oder klickt nur auf Bestätigen.
• Die Absage enthält keinen Kontaktweg für Einwände.
• Die Datenschutzhinweise erwähnen die automatisierte Entscheidung nicht.
• Auf Nachfrage heißt es nur "Der Algorithmus ist ein Geschäftsgeheimnis".
• KI-Werkzeuge werden eingeführt, ohne vorher zu prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. Dient eine systematische und umfassende automatisierte Bewertung persönlicher Aspekte als Grundlage solcher Entscheidungen, ist sie Pflicht (Art. 35 Abs. 3 lit. a DSGVO).

Legen Sie vor dem Einsatz fest, wer Einwände prüft und wie schnell. Datenkodex unterstützt als externer Datenschutzbeauftragter bei der Bewertung solcher Verfahren.