Automatisierte Entscheidung

Eine automatisierte Entscheidung im Sinn des Art. 22 DSGVO liegt vor, wenn ein System eine Entscheidung ausschließlich auf Grundlage automatisierter Verarbeitung einschließlich Profiling trifft und diese Entscheidung gegenüber einer natürlichen Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Das kann etwa bei einer vollständig automatisierten Ablehnung eines Kreditantrags oder bei einer automatisierten Auswahlentscheidung im Bewerbungsverfahren relevant werden.

Nicht jede Softwareentscheidung fällt darunter. Entscheidend ist, ob eine Person tatsächlich und wirksam in den Entscheidungsprozess eingreift. Art. 22 DSGVO sieht Ausnahmen vor, unter anderem bei der Erforderlichkeit für einen Vertrag, einer ausdrücklichen gesetzlichen Zulassung oder einer ausdrücklichen Einwilligung. Wo eine Ausnahme greift, müssen geeignete Schutzmaßnahmen vorgesehen werden. Dazu gehören jedenfalls die Möglichkeit menschlichen Eingreifens, die eigene Sicht darzulegen und die Entscheidung anzufechten. Für besondere Kategorien personenbezogener Daten gelten zusätzliche Voraussetzungen.

Unternehmen sollten deshalb vor dem Einsatz eines solchen Systems den Zweck, die Daten, die Entscheidungskriterien, die menschliche Kontrolle und die Informationswege nachvollziehbar festlegen. Die Datenschutz-Governance hilft bei Verantwortlichkeiten und Nachweisen. Bei Entscheidungen über Beschäftigte ist auch der Bereich Beschäftigtendatenschutz einzubeziehen. Für die Kommunikation mit betroffenen Personen und ihre Rechte bietet der Beitrag zu Betroffenenrechten und Auskunft eine erste Orientierung.