§ 4 Rechtsgrundlagen der Verarbeitung / II. Automatisierte Entscheidungen im Einzelfall

Rz. 348

Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Die amtliche Überschrift des Art. 22 DSGVO spricht von "automatisierten Entscheidungen im Einzelfall".

Rz. 349

Damit unterfallen der Regelung automatisierte Verarbeitungen,^[420] wobei dies allein nicht ausreichend ist. Vielmehr muss die Verarbeitung in einer ausschließlich automatisiert gefällten Entscheidung über den Betroffenen münden. Dies bedeutet, dass die Entscheidung "ohne jegliches menschliche Eingreifen"^[421] gefällt wird, wie es z.B. im Fall der automatischen Ablehnung eines Online-Kreditantrags, die auf einer durch Software unter Verwendung von Algorithmen, Scores und sonstiger Informationen automatisch erfolgt.^[422]

Rz. 350

Im Umkehrschluss liegt eine automatisierte Entscheidung im Einzelfall nicht vor, wenn eine natürliche Person in den Entscheidungsvorgang einbezogen ist und diese inhaltlich zumindest mitverantwortet^[423] und "das Recht und die Möglichkeit hat" auf die Entscheidungsfindung einzuwirken.^[424] Eine automatisierte Entscheidungsunterstützung oder -vorbereitung ist damit nicht vom Anwendungsfall des Art. 22 DSGVO umfasst.^[425] Die Berechtigung derartiger Unterstützungs- und Vorbereitungshandlungen ergibt sich auch aus einer Zusammenschau des Art. 22 DSGVO mit den in Art. 25 DSGVO neu in die Verordnung aufgenommenen Aspekten der datenschutzfreundlichen Voreinstellungen (data protection by default) und des Datenschutzes durch Technikgestaltung (data protection by design), die gerade "in Bezug auf Entwicklung, Gestaltung, Auswahl und Nutzung von Anwendungen, Diensten und Produkten, die entweder auf der Verarbeitung von personenbezogenen Daten beruhen oder zur Erfüllung ihrer Aufgaben personenbezogene Daten verarbeiten, dazu ermutigen sollen, das Recht auf Datenschutz bei der Entwicklung und Gestaltung der Produkte, Dienste und Anwendungen zu berücksichtigen."^[426]

Rz. 351

Schließlich muss sich die Entscheidung – auch wenn dies in Art. 22 Abs. 1 DSGVO nicht explizit Erwähnung findet – auf die Bewertung persönlicher Aspekte in Bezug auf die betroffene Person beziehen. Dabei handelt es ich z.B. um die Analyse oder Prognose von Aspekten bezüglich der Arbeitsleistung, der wirtschaftlichen Lage, Gesundheit, persönlichen Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel.^[427]

[420] Zum Begriff oben § 2 Rdn 66 ff.

[421] Erwägungsgrund 71 DSGVO.

[422] "Ja" oder "Nein".

[423] Buchner, in: Kühling/Buchner, DS-GVO, 2017, Art. 22 Rn 19;

[424] Hierfür spricht auch Art. 22 Abs. 3 DSGVO. Der hier normierte Anspruch des Betroffenen auf "Eingreifen einer [natürlichen] Person" würde keinen Sinn machen, wenn ein solches Eingreifen bereits im Rahmen der automatisierten Entscheidungsfindung stattfinden könnte.

[425] So auch Martini, in: Paal/Pauly (Hrsg.), Datenschutz-Grundverordnung, 2017, Art. 22 Rn 20; siehe auch Roßnagel/Nebel/Richter, ZD 2015, 455, 459.

[426] Erwägungsgrund 78 DSGVO.

[427] Erwägungsgrund 71 DSGVO; in diesem Sinne auch Buchner, in: Kühling/Buchner, DS-GVO, 2017, Art. 22 Rn 19; zu früheren Fassungen der DSGVO ausführlich hierzu auch Savin, in: Nielsen/Schmidt/Dyppel/Weber (Hrsg.), Erhvervsretlige emne, 2015, S. 250, 263 ff., abrufbar unter: https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2697531.