Automatisierte Entscheidungsfindung und Profiling nach DSGVO
Was Unternehmen bei automatisierten Entscheidungen nach Artikel 22 DSGVO beachten müssen
Lesedauer: 5 Minuten
Was bedeutet automatisierte Entscheidungsfindung und Profiling?
Beim Profiling werten Unternehmen personenbezogene Daten automatisch aus, um Eigenschaften oder Verhalten einer Person zu beurteilen oder vorherzusagen.
Ihr Unternehmen darf grundsätzlich Kundenprofile erstellen, die Bonität Ihrer Kund:innen prüfen, oder Ähnliches, wenn Sie dafür ein berechtigtes Interesse haben. Wichtig ist: Die Auswertung darf für die betroffenen Personen keine rechtliche Wirkung haben und sie nicht erheblich benachteiligen. Das wäre zum Beispiel der Fall, wenn bestimmte Kund:innen automatisch ausgeschlossen werden.
Eine automatisierte Einzelfallentscheidung hingegen liegt vor, wenn diese Entscheidung vollständig automatisiert, also ohne menschliches Eingreifen (z. B. durch Algorithmen oder KI), erfolgt, und eine rechtliche Wirkung gegenüber einer Person entfaltet, oder diese Person in ähnlicher Weise erheblich beeinträchtigt (siehe Begriffserklärungen Automatisierte Entscheidungsfindung). Liegt eine solche automatisierte Entscheidungsfindung einschließlich Profiling vor, müssen Sie besondere Maßnahmen prüfen und einhalten.
Zweck dieser besonderen Regelungen ist:
- der Schutz vor rein automatisierten Entscheidungen mit erheblichen Auswirkungen,
- die Gewährleistung fairer und transparenter Verarbeitung,
- die Verhinderung von Diskriminierung insbesondere im Hinblick auf vulnerable Gruppen sowie
- die Schaffung einer Balance zwischen Innovation und Schutz.
Welche Pflichten haben Verantwortliche in Bezug auf automatisierte Entscheidungsfindung und Profiling?
Menschen dürfen nicht ausschließlich einer automatisierten Entscheidung - einschließlich Profiling - unterworfen werden, wenn diese rechtliche Wirkung entfaltet oder sie in ähnlicher Weise beeinträchtigen würde. Nicht jeder automatisierte Vorgang ist davon erfasst, sondern nur solche, die eine Rechtswirkung oder eine vergleichbare Auswirkung auf einen Menschen haben. „Automatisiert“ bedeutet in diesem Fall, dass kein Mensch mehr in die Entscheidungsfindung eingebunden ist.
Beispiele für automatisierte Entscheidungen sind:
- Automatische Ablehnung eines Kreditantrags durch eine Software aufgrund der vorab berechneten Bonität
- Bewertung von Bewerber:innen durch ein KI-Tool hinsichtlich ihrer Eignung für eine bestimmte Stelle
- Automatisierte Kündigung eines Vertrags auf Grund von bestimmten vorgegebenen Parametern
Wann müssen Sie sich im Unternehmen mit dem Thema automatisierte Entscheidungsfindung und Profiling auseinandersetzen?
Diese Themen sind für Sie relevant, wenn Sie im Rahmen Ihres Geschäftsbetriebs automatisiert Entscheidungen treffen,
- die für natürliche Personen eine rechtliche Wirkung entfalten oder diese in gleicher Weise beeinträchtigen (z. B. durch Algorithmen oder KI-Tools) und
- auf die kein Mensch auf diesen Prozess maßgeblich Einfluss nimmt (kein „human in the loop“).
→ „human in the loop“: Ein E-Recruiting-Tool reiht Bewerberdaten nach bestimmten Kriterien. Der:die potenzielle Arbeitgeber:in trifft jedoch die Selektion für weitere Bewerbungsgespräche (keine ausschließlich automatisierte Entscheidungsfindung). Eine pro forma Zustimmung durch einen Menschen am Ende des Prozesses ist kein „human in the loop“.
Unter welchen Umständen ist eine automatisierte Entscheidungsfindung trotzdem erlaubt?
Es gibt drei Ausnahmefälle, bei deren Vorliegen eine automatisierte Entscheidung inkl. Profiling trotzdem vorgenommen werden kann:
- Die Vornahme ist für den Abschluss oder die Erfüllung eines Vertrags zwischen Ihnen als Verantwortlichen und der betroffenen Person erforderlich, oder
- es besteht eine gesetzliche Grundlage, welche angemessene Garantien für die Rechte und Freiheiten betroffener Personen enthält, oder
- die betroffene Person hat vorab in die Verarbeitung eingewilligt.
Sollte keine dieser Ausnahmen zutreffen, darf eine automatisierte Entscheidung (einschließlich Profiling) nicht erfolgen.
Werden sensible Daten im Rahmen von automatisierten Entscheidungen (einschließlich Profiling) verwendet, muss die betroffene Person ausdrücklich eingewilligt haben oder es muss ein erhebliches öffentliches Interesse vorliegen.
Welche Rechte haben betroffene Personen, wenn Sie als Verantwortlicher automatisierte Entscheidungen (einschließlich Profiling) verwenden?
Wenn die automatisierte Entscheidung einschließlich Profiling auf einem Vertrag oder der Einwilligung basiert, hat eine betroffene Person mindestens das Recht,
- dass seitens des Verantwortlichen eine Person in die Entscheidungsfindung eingreift,
- auf Darlegung des eigenen Standpunkts und
- auf Anfechtung der Entscheidung.
Diese Rechte stehen der betroffenen Person unmittelbar aus der DSGVO nicht zu, wenn die automatisierte Entscheidung einschließlich Profiling auf einer gesetzlichen Grundlage basiert, die angemessene Garantien für die Rechte und Freiheiten betroffener Personen enthält. Die gesetzlich vorgesehenen Garantien beinhalten dabei vergleichbare Schutzmechanismen, z. B. das Recht auf menschliches Eingreifen oder Anfechtung.
Was müssen Sie als Verantwortlicher beachten, wenn Sie automatisierte Entscheidungen einschließlich Profiling durchführen?
Dokumentieren Sie in Ihrem Verarbeitungsverzeichnis, ob Sie automatisierte Entscheidungen vornehmen und wenn ja, auf welche Ausnahme Sie sich stützen.
Passen Sie Ihre Datenschutzerklärung (siehe Informationspflichten) entsprechend an, sodass Sie Betroffene über das Bestehen einer automatisierten Entscheidung und deren Rechtsgrundlage sowie in nachvollziehbarer und verständlicherweise über die involvierte Logik, die möglichen Folgen und die verwendeten Parameter informieren können.
Treffen Sie angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren. Setzen Sie einen Prozess auf, der das Eingreifen eines Menschen in die Datenverarbeitung sowie die Möglichkeit der Betroffenen, die Entscheidung anzufechten, gewährleistet.
Vergewissern Sie sich, dass Sie einer betroffenen Person auf deren Antrag hin eine Auskunft über das Bestehen einer automatisierten Entscheidung und deren Rechtsgrundlage sowie in nachvollziehbarer und verständlicher Weise über die involvierte Logik, die möglichen Folgen und die verwendeten Parameter erteilen können.
Welche Rechte haben Sie, wenn Sie selbst als Unternehmer:in von einer automatisierten Entscheidung betroffen sind?
Alle natürlichen Personen (Menschen), auch Einzelunternehmer:innen, haben wie oben dargestellt das Recht, nicht einer solchen automatisierten Entscheidung einschließlich Profiling unterzogen zu werden. Das bedeutet, dass auch Unternehmer:innen gegenüber, die natürliche Personen sind, eine Ausnahme vorliegen muss und ihnen sämtliche Rechte zustehen.
Sollten Sie der Meinung sein, dass Ihre Rechte durch eine automatisierte Entscheidung einschließlich Profiling verletzt wurden, haben Sie die Möglichkeit, Beschwerde bei der Datenschutzbehörde einzulegen. Siehe dazu die Informationsseite Rechtsdurchsetzung und Strafen.
Welche Geldstrafen drohen bei Nichteinhaltung der Vorgaben zu automatisierten Entscheidungsfindung und Profiling?
Wenn Unternehmen die Vorgaben zur automatisierten Entscheidungsfindung einschließlich Profiling nicht einhalten, drohen Geldbußen von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes des Vorjahres.
Zum Nachschlagen: Gesetzliche Bestimmungen zur automatisierten Entscheidungsfindung einschließlich Profiling
- Artikel 22 DSGVO (Automatisierte Entscheidungen im Einzelfall einschließlich Profiling)
Kontakt für Rückfragen
Sie haben weitere Fragen? Wir unterstützen Sie gerne.