Kurz gesagt: Ja, Art. 22 DSGVO kann auch eine ganz normale Website betreffen — nicht nur Banken oder Versicherungen. Sobald eine Software auf deiner Seite ausschließlich automatisiert entscheidet und diese Entscheidung eine rechtliche Wirkung hat oder dich in ähnlicher Weise erheblich betrifft, greift Art. 22 Abs. 1 DSGVO. Typische Kandidaten: Bonitätsprüfung im Checkout, automatische Vertragsablehnung, Bewerber-Vorauswahl. Im Detail:
Was ist eine „automatisierte Entscheidung" nach Art. 22 DSGVO?
Art. 22 Abs. 1 DSGVO gibt der betroffenen Person das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt". Zwei Wörter entscheiden hier über alles: ausschließlich und erheblich.
„Ausschließlich" heißt: Kein Mensch schaut sich den Einzelfall an, bevor die Entscheidung wirksam wird. Prüft jemand aus deinem Team jede automatische Ablehnung nochmal von Hand, bevor sie rausgeht, greift Art. 22 in der Regel nicht — dann ist es keine ausschließlich automatisierte Entscheidung mehr. „Erheblich" heißt: Es muss um mehr gehen als eine personalisierte Werbeanzeige. Ein Vertrag, der nicht zustande kommt, ein Kredit, der abgelehnt wird, eine Bewerbung, die rausfliegt, bevor ein Mensch sie liest — das reicht.
Wichtig für die Abgrenzung: Profiling allein löst Art. 22 noch nicht aus. Nach Art. 4 Nr. 4 DSGVO ist Profiling jede automatisierte Auswertung persönlicher Aspekte, etwa um wirtschaftliche Lage, Verhalten oder Zuverlässigkeit einer Person zu bewerten. Das passiert auf vielen Websites längst — ein Score wird berechnet, ein Segment wird zugewiesen. Art. 22 greift erst, wenn aus diesem Profiling ohne menschliches Zutun eine Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung wird.
Wo das auf einer normalen Website entsteht
Die meisten Betreiber denken bei „automatisierter Entscheidung" an Banken-Scoring oder autonome Fahrzeuge. In der Praxis reicht ein gewöhnliches Formular:
- Bonitätsprüfung beim Ratenkauf oder Buy-now-pay-later-Checkout. Ein externer Score-Dienst gibt automatisch „Ja" oder „Nein" — ohne dass jemand aus deinem Team den Fall ansieht.
- Automatische Vertragsablehnung, etwa bei Versicherungs- oder Kreditantragsformularen, die sofort eine Absage ausspielen, wenn bestimmte Eingabewerte nicht passen.
- Bewerber-Vorauswahl-Software, die Lebensläufe automatisch filtert und Kandidaten aussortiert, bevor ein Mensch sie sieht.
- Chatbots, die abschließend entscheiden — nicht nur FAQ beantworten, sondern zum Beispiel automatisch eine Reklamation ablehnen oder einen Vertrag kündigen.
Gemeinsamer Nenner: Irgendwo im Hintergrund läuft eine Regel oder ein Modell, das eine Zahl oder ein Formularfeld nimmt und daraus ohne Zwischenschritt eine Entscheidung mit Konsequenz macht.
Wann Art. 22 DSGVO nicht greift
Art. 22 Abs. 2 DSGVO nennt drei Ausnahmen, in denen eine ausschließlich automatisierte Entscheidung trotzdem zulässig ist:
- Sie ist für den Abschluss oder die Erfüllung eines Vertrags mit der betroffenen Person erforderlich (Buchst. a).
- Sie ist durch EU- oder mitgliedstaatliches Recht ausdrücklich erlaubt, mit angemessenen Schutzmaßnahmen (Buchst. b).
- Die betroffene Person hat ausdrücklich eingewilligt (Buchst. c).
Auch dann ist die Sache nicht erledigt: Art. 22 Abs. 3 DSGVO verpflichtet dich in den Fällen a) und c), angemessene Maßnahmen zu treffen — mindestens das Recht der betroffenen Person, menschliches Eingreifen zu verlangen, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten. Eine automatisierte Ablehnung ohne jede Möglichkeit, sich dagegen zu wehren, ist damit auch in den Ausnahmefällen nicht sauber gelöst.
Verschärfung bei besonderen Kategorien personenbezogener Daten
Beruht die automatisierte Entscheidung auf besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO — Gesundheitsdaten, ethnische Herkunft, religiöse Überzeugung, Gewerkschaftszugehörigkeit und weitere —, zieht Art. 22 Abs. 4 DSGVO die Schwelle nochmal höher: Das ist nur erlaubt, wenn zusätzlich Art. 9 Abs. 2 Buchst. a (ausdrückliche Einwilligung) oder Buchst. g (erhebliches öffentliches Interesse, mit angemessenen Schutzmaßnahmen) vorliegt. Ein Formularfeld zu Gesundheitsangaben, das automatisch über Annahme oder Ablehnung entscheidet, braucht also eine deutlich stärkere Rechtsgrundlage als ein reiner Bonitätscheck.
Was das für deine Datenschutzerklärung bedeutet
Trifft Art. 22 Abs. 1 oder 4 DSGVO zu, ist das kein rein internes Thema — es wird zur Informationspflicht. Art. 13 Abs. 2 Buchst. f DSGVO verlangt, dass du betroffene Personen bereits bei der Datenerhebung über das Bestehen einer automatisierten Entscheidungsfindung informierst, inklusive „aussagekräftiger Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen". Das heißt nicht, den Quellcode offenzulegen — wohl aber, in verständlichen Worten zu erklären, welche Faktoren in die Entscheidung einfließen und was sie für die Person bedeutet.
| Situation | Art. 22 DSGVO greift? | Was zusätzlich zu tun ist |
|---|---|---|
| Bonitätscheck entscheidet automatisch, kein Mensch prüft | Ja (Abs. 1) | Informationspflicht Art. 13 Abs. 2 lit. f + Widerspruchs-/Eingreifrecht |
| Score wird berechnet, Mitarbeiter entscheidet final | Nein (nicht „ausschließlich") | Trotzdem: allgemeine Informationspflichten zur Verarbeitung prüfen |
| Automatische Ablehnung, notwendig für Vertragsabschluss | Ja, aber Ausnahme Abs. 2 lit. a | Recht auf menschliches Eingreifen sicherstellen (Abs. 3) |
| Entscheidung stützt sich auf Gesundheitsdaten | Ja, mit verschärfter Hürde (Abs. 4) | Zusätzlich Rechtsgrundlage nach Art. 9 Abs. 2 lit. a oder g |
Was ein automatischer Scan davon findet — und was nicht
Ein Website-Scanner kann prüfen, ob deine Datenschutzerklärung überhaupt existiert, ob Pflichtangaben fehlen oder ob Formulare offensichtliche Lücken haben. Ob eine konkrete Formular-Logik „ausschließlich automatisiert" entscheidet, lässt sich von außen nicht zuverlässig erkennen — das steckt in deiner Backend-Logik, nicht im HTML. Diese Einschätzung musst du selbst treffen, am besten zusammen mit der Person, die das Formular oder den Score-Dienst eingerichtet hat.
Was ein Scan trotzdem leistet: prüfen, ob die allgemeinen Informationspflichten und deine Datenschutzerklärung überhaupt vorhanden und vollständig sind — die Grundlage, auf der ein Hinweis zu Art. 22 DSGVO aufbauen würde. Prüfe in 2 Minuten, ob deine Website die Grundlagen erfüllt — kostenlos.
Den vollständigen Gesetzestext zu Art. 22 DSGVO findest du bei uns: Art. 22 DSGVO im Volltext.
Häufige Fragen
Betrifft Art. 22 DSGVO auch kleine Websites, nicht nur Banken?
Ja. Die Vorschrift stellt nicht auf die Unternehmensgröße ab, sondern darauf, ob eine Entscheidung ausschließlich automatisiert getroffen wird und rechtliche oder vergleichbar erhebliche Wirkung hat. Ein kleiner Online-Shop mit automatischer Bonitätsprüfung fällt genauso darunter wie eine Bank.
Reicht Profiling allein schon für Art. 22 DSGVO?
Nein. Profiling nach Art. 4 Nr. 4 DSGVO ist die automatisierte Bewertung persönlicher Aspekte — das allein löst Art. 22 nicht aus. Erst wenn daraus ohne menschliches Zutun eine Entscheidung mit rechtlicher oder erheblicher Wirkung wird, greift Art. 22 Abs. 1 DSGVO.
Reicht es, wenn theoretisch ein Mensch die Entscheidung noch prüfen könnte?
Nein, entscheidend ist die Praxis. Prüft in der Realität niemand den Einzelfall, bevor die automatische Entscheidung wirksam wird, gilt sie als „ausschließlich automatisiert" — auch wenn ein manueller Eingriff theoretisch möglich wäre.
Was muss ich tun, wenn Art. 22 DSGVO auf mein Formular zutrifft?
Mindestens: in der Datenschutzerklärung nach Art. 13 Abs. 2 lit. f DSGVO über die automatisierte Entscheidung informieren und der betroffenen Person die Möglichkeit geben, menschliches Eingreifen zu verlangen, ihren Standpunkt darzulegen und die Entscheidung anzufechten (Art. 22 Abs. 3 DSGVO).
Gilt bei Gesundheitsdaten oder ähnlichen Angaben eine strengere Regel?
Ja. Stützt sich die automatisierte Entscheidung auf besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO, ist sie nach Art. 22 Abs. 4 DSGVO nur mit ausdrücklicher Einwilligung oder aus erheblichem öffentlichem Interesse mit zusätzlichen Schutzmaßnahmen zulässig.
