Was ist eine automatisierte Einzelentscheidung?
Dein Kreditkartenantrag wird in Sekunden abgelehnt, und niemand hat ihn je gesehen. Das ist der klassische Fall einer automatisierten Einzelentscheidung. Artikel 22 DSGVO sagt dazu: Niemand muss sich so einer Entscheidung unterwerfen, wenn sie ihn stark trifft.
Drei Bedingungen müssen zusammenkommen:
- Es geht um eine Entscheidung über eine einzelne Person.
- Sie beruht ausschließlich auf automatisierter Verarbeitung, Profiling eingeschlossen.
- Sie hat rechtliche Wirkung oder beeinträchtigt die Person ähnlich erheblich.
Die DSGVO nennt in Erwägungsgrund 71 zwei Beispiele: die automatische Ablehnung eines Online-Kreditantrags und Online-Bewerbungsverfahren ohne jedes menschliche Eingreifen.
Wann ist sie trotzdem erlaubt?
Artikel 22 Absatz 2 kennt genau drei Ausnahmen:
- Vertrag: Die Entscheidung ist für Abschluss oder Erfüllung eines Vertrags erforderlich.
- Gesetz: Eine Rechtsvorschrift erlaubt sie und schützt die Betroffenen angemessen.
- Einwilligung: Die Person hat ausdrücklich zugestimmt.
Bei Vertrag und Einwilligung muss das Unternehmen Schutz bieten. Die Person muss mindestens einen Menschen einschalten, ihren Standpunkt darlegen und die Entscheidung anfechten können.
Was gilt für Scoring und Lead-Scoring?
Der Europäische Gerichtshof hat das Thema 2023 deutlich verschärft. Im Urteil SCHUFA Holding (C-634/21, 7. Dezember 2023) stellte er klar: Schon das Berechnen eines Scores kann die verbotene Entscheidung sein, wenn der Empfänger dem Wert eine maßgebliche Rolle beimisst. Wer nur den Score liefert, ist also nicht automatisch raus.
Im Februar 2025 legte der Gerichtshof nach (C-203/22, Dun & Bradstreet Austria). Betroffene müssen verständlich erfahren, wie eine Entscheidung zustande kam. Eine komplexe Formel reicht nicht. Den Algorithmus musst du aber nicht offenlegen.
Neu in Deutschland: Ab dem 20. November 2026 regelt § 37a BDSG das Scoring, der bisherige § 31 BDSG fällt weg. Bestimmte Daten dürfen dann nicht mehr einfließen, darunter Name, Alter, Geschlecht, Anschrift und Daten aus sozialen Netzwerken. Dazu kommen Auskunftspflichten und das Recht, eine Entscheidung durch einen Menschen zu verlangen.
Und im Marketing?
Zu Lead-Scoring gibt es weder ein Urteil noch eine Behördenaussage, die wir gefunden haben. Unsere Einschätzung: Sortiert ein Score nur, wen dein Vertrieb zuerst anruft, dürfte das die Schwelle meist nicht erreichen. Heikel wird es, wenn der Score automatisch über Vertrag, Preis oder Zahlungsart entscheidet, zum Beispiel über Kauf auf Rechnung im Shop.
Personalisierte Werbung hat laut den Leitlinien der europäischen Datenschutzbehörden in vielen typischen Fällen keine ähnlich erhebliche Wirkung. Das kann kippen: bei sehr tiefem Tracking oder wenn Schwächen ausgenutzt werden, etwa mit Hochzinskredit-Werbung an Menschen in finanziellen Schwierigkeiten.
Beispiele aus der Praxis
Zwei echte Fälle deutscher Datenschutzbehörden. Beide stammen aus der Finanzbranche, Bußgelder aus dem Marketing haben wir nicht gefunden. In beiden war die Kernfrage dieselbe: Warum wurde abgelehnt?
Fall A · Hamburg 2025
Finanzunternehmen, Kreditkartenanträge
492.000 €
Bußgeld
akzeptiert
Bescheid
Trotz guter Bonität automatisch abgelehnt, Auskunft unzureichend.
Kooperation mit der Behörde wirkte erheblich mildernd.
Fall B · Berlin 2023
Bank, Online-Kreditkartenantrag
300.000 €
Bußgeld
akzeptiert
Bescheid
Guter Schufa-Score, hohes Einkommen, trotzdem Nein und nur pauschale Angaben.
Nicht die Ablehnung war das Problem, sondern die fehlende Erklärung.
Häufige Fehler
Fehler 1 · „Bei uns klickt ja jemand drüber“
Durchwinken zählt nicht. Die Aufsicht muss echt sein: Jemand mit Befugnis und Fachwissen muss die Entscheidung auch ändern können.
Fehler 2 · „Wir liefern nur den Score“
Seit dem SCHUFA-Urteil schützt das nicht mehr, wenn sich der Empfänger maßgeblich auf deinen Wert stützt.
Fehler 3 · Nur pauschal antworten
„Unser System hat das so ermittelt“ reicht nicht. Genau daran scheiterten die Unternehmen in Hamburg und Berlin.
Fehler 4 · Eigene Scorecards übersehen
Auch ein internes Modell für die Zahlungsart im Shop kann unter die neuen Regeln fallen, so die Einschätzung der Kanzlei CMS. Prüfe auch die Scores, die in deinem CRM oder Shop mitlaufen.
Was du konkret tun kannst
- Inventur machen: Wo entscheidet bei dir ein System ohne Menschen über Kunden oder Bewerber?
- Wirkung prüfen: Ist es nur Sortieren oder ein echtes Ja oder Nein?
- Menschen einbauen: Abgelehnte Fälle gehen an jemanden, der wirklich prüfen darf.
- Erklären können: Halte fest, welche Kriterien zählen und wie stark.
- Dokumentieren: Trag die Verarbeitung ins Verzeichnis ein und nenn die Logik in der Datenschutzerklärung.
Häufige Fragen
Ist Lead-Scoring eine automatisierte Einzelentscheidung?
Meist vermutlich nicht, solange der Score nur die Reihenfolge im Vertrieb bestimmt. Eine Entscheidung dazu gibt es nicht. Heikel wird es, wenn der Score ohne Menschen über Vertrag, Preis oder Zahlungsart entscheidet.
Fällt personalisierte Werbung unter Art. 22?
In vielen typischen Fällen nicht, weil die Wirkung nicht erheblich genug ist. Bei sehr tiefem Tracking oder dem Ausnutzen von Schwächen kann das anders aussehen.
Reicht es, wenn ein Mensch die Entscheidung bestätigt?
Nur wenn die Prüfung echt ist. Die Person braucht Befugnis und Fachwissen, um das Ergebnis zu ändern. Reines Abnicken gilt weiter als ausschließlich automatisiert.
Muss ich meinen Algorithmus offenlegen?
Nein. Du musst aber verständlich erklären, wie die Entscheidung zustande kam. Nach dem EuGH kann es etwa reichen zu zeigen, wie andere Daten das Ergebnis verändert hätten.
Ändert der Digital-Omnibus der EU etwas an Art. 22?
Die EU verhandelt über Änderungen, entschieden ist nichts. Es gilt der heutige Art. 22. Wenn du das hier liest, prüfe kurz den aktuellen Stand.
