Rechtsfrage

Automatisierte Einzelentscheidungen nach Art. 22 DSGVO

Eine Vorauswahl ist keine Vorstufe der Entscheidung, wenn die Auswahl ihr maßgeblich folgt. Der Gerichtshof hat das für den Wahrscheinlichkeitswert einer Auskunftei entschieden. Die Begründung greift ebenso, wenn eine Software Bewerbungen bewertet und die Personalabteilung dem Ergebnis folgt.

Die Software sortiert, der Mensch bestätigt

Eine Software sichtet die eingehenden Bewerbungen und ordnet jeder einen Wert zu. Die Personalabteilung lädt die oberen zwanzig Prozent zum Gespräch. Wer darunter liegt, bekommt eine Absage. Die Auswahl treffe ein Mensch, heißt es, denn die Einladungen verschicke die Abteilung.

Die Vorauswahl ist die Entscheidung, wenn ihr die Auswahl folgt

Ob eine automatisierte Vorauswahl schon die Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO ist, hat der Gerichtshof am 07.12.2023 für einen anderen Sachverhalt beantwortet. Die Begründung reicht weiter. Es ging um den Wahrscheinlichkeitswert einer Wirtschaftsauskunftei.

Daraus folgt die eigentliche Prüffrage. Sie lautet nicht, ob ein Mensch beteiligt ist, sondern ob die beteiligte Person das Ergebnis inhaltlich prüfen kann und tatsächlich prüft.

Zwei Formen menschlicher Beteiligung

Nimmt die Entscheidung aus Art. 22 DSGVO heraus	Merkmal	Nimmt sie nicht heraus
Sieht die UnterlagenDie prüfende Person kennt die Bewerbung und nicht nur den Wert.	Kenntnis der Grundlage	Sieht nur das ErgebnisEine Rangliste ohne Zugriff auf das Zugrundeliegende.
Kann abweichenOhne Begründungszwang gegenüber dem System oder der Leitung.	Befugnis	Kann formal abweichenTut es aber praktisch nie, weil die Abweichung Aufwand oder Rechtfertigung kostet.
Reicht für eine PrüfungDie Zahl der Fälle je Person erlaubt eine inhaltliche Befassung.	Zeit	Reicht für eine BestätigungHunderte Vorgänge je Tag ergeben eine Freigabe und keine Prüfung.
Abweichungen sind belegbarEs lässt sich zeigen, dass tatsächlich geprüft wird.	Dokumentation	Keine Abweichung im BestandDann spricht die Praxis gegen die behauptete Prüfung.

Die Zeilen zwei und vier entscheiden. Eine Befugnis zur Abweichung, von der niemand Gebrauch macht, ist ein Vermerk im Handbuch und keine menschliche Beteiligung.

Von den drei Ausnahmen bleiben im Bewerbungsverfahren zwei

Auf welche Ausnahme sich der Einsatz im Bewerbungsverfahren stützen lässt, entscheidet sich an Art. 22 Abs. 2 DSGVO. Die Vorschrift nennt drei. Im Beschäftigungskontext sind sie unterschiedlich belastbar.

Die drei Ausnahmen und ihre Belastbarkeit hier

Erforderlich für den Vertrag, Buchst. a
Der Abschluss eines Vertrags ist ausdrücklich genannt. Erforderlich ist die Automatisierung allerdings nur, wo eine Einzelprüfung nicht leistbar wäre. Das ist eine Frage der Zahl der Bewerbungen und nicht der Bequemlichkeit.
Zulässig nach Rechtsvorschrift, Buchst. b
Eine solche Vorschrift für die Personalauswahl gibt es im deutschen Recht nicht. Diese Ausnahme scheidet im Bewerbungsverfahren regelmäßig aus.
Ausdrückliche Einwilligung, Buchst. c
Möglich, aber nach § 26 Abs. 2 BDSG besonders zu prüfen. Wer sich bewirbt, steht in einem Abhängigkeitsverhältnis. Eine Einwilligung, ohne die das Verfahren nicht weiterläuft, ist nicht freiwillig.

3 von 3

Greift eine Ausnahme, ist damit nur der erste Schritt getan. Art. 22 Abs. 3 DSGVO verlangt in den Fällen der Buchstaben a und c angemessene Maßnahmen. Er nennt drei Rechte als Mindestmaß.

Die drei Rechte aus Art. 22 Abs. 3 DSGVO

Das Eingreifen einer Person seitens des Verantwortlichen zu erwirken, und zwar einer Person, die abweichen kann
Den eigenen Standpunkt darzulegen, also vor der endgültigen Entscheidung gehört zu werden
Die Entscheidung anzufechten, mit einer Stelle, die den Fall erneut prüft

Aussagekräftige Informationen über die Logik sind mehr als ein Herstellername

Was über die Bewertung zu sagen ist, ergibt sich aus Art. 15 Abs. 1 Buchst. h DSGVO und aus der gleichlautenden Vorschrift in Art. 13 Abs. 2 Buchst. f DSGVO. Verlangt sind aussagekräftige Informationen über die involvierte Logik sowie über Tragweite und angestrebte Auswirkungen.

Was aussagekräftig bedeutet und was nicht genügt

Welche Merkmale einfließen

Die Kategorien der berücksichtigten Angaben, also etwa Abschluss, Berufserfahrung, Wohnort, Lücken im Lebenslauf. Nicht verlangt ist die Offenlegung des Modells, verlangt ist die Nachvollziehbarkeit der Eingaben.

Wie sie gewichtet werden

In welchem Verhältnis die Merkmale zueinander stehen, wenigstens der Größenordnung nach. Ein Verweis auf das Betriebsgeheimnis des Anbieters entbindet nicht, denn die Auskunftspflicht trifft die verantwortliche Stelle und nicht ihn.

Was das Ergebnis auslöst

Welche Folge sich an welchen Wert knüpft, also die Schwelle für Einladung, Wiedervorlage und Absage. Das ist die Tragweite im Sinne der Vorschrift und der Teil, den Anbieter am ehesten liefern.

Eine Bewertung, die sich nicht in dieser Tiefe beschreiben lässt, ist zugleich nicht überprüfbar. Damit fällt die menschliche Beteiligung aus dem ersten Abschnitt aus. Die Ausnahme des Art. 22 Abs. 2 DSGVO steht ohne die Maßnahmen des Absatzes 3 da.

So unterstützen wir Sie bei automatisierten Entscheidungen

Vor dem Einsatz gehört eine Folgenabschätzung nach Art. 35 Abs. 3 Buchst. a DSGVO dazu, denn die Vorschrift nennt die systematische Bewertung persönlicher Aspekte als Regelbeispiel. Sie klärt zugleich, ob die menschliche Beteiligung tragfähig ist. Zugleich liefert sie die Angaben, die für die Auskunft gebraucht werden.

Zwei Anforderungen liegen daneben und nicht im Datenschutzrecht. Ein System zur Auswahl von Bewerbenden ist nach Anhang III Nr. 4 Buchst. a KI-VO ein Hochrisikosystem. Art. 26 Abs. 7 KI-VO verlangt die Information der Arbeitnehmervertreter und der betroffenen Beschäftigten vor der Verwendung. Dazu tritt die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Die Konformitätsbewertung, die Pflichten als Anbieter oder Betreiber und die arbeitsrechtliche Durchsetzung laufen über die angegliederte Kanzlei.

Häufige Fragen

Wann ist eine Entscheidung ausschließlich automatisiert?

Wenn kein Mensch sie inhaltlich prüft. Eine Beteiligung, die das Ergebnis nur bestätigt, ohne es überprüfen zu können, nimmt der Entscheidung diese Eigenschaft nicht. Der Gerichtshof hat für einen automatisiert erstellten Wahrscheinlichkeitswert entschieden, dass es genügt, wenn die spätere Entscheidung maßgeblich von ihm abhängt.

Greift Art. 22 DSGVO auch vor dem Vertragsschluss?

Ja. Die Vorschrift erfasst Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung. Der Ausschluss aus einem Bewerbungsverfahren ist eine solche Beeinträchtigung. Art. 22 Abs. 2 Buchst. a DSGVO nennt den Abschluss eines Vertrags ausdrücklich.

Welche Maßnahmen verlangt Art. 22 Abs. 3 DSGVO?

Mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Diese drei Rechte sind zu ermöglichen und nicht nur zu erwähnen.

Dürfen besondere Kategorien einfließen?

Nach Art. 22 Abs. 4 DSGVO nur, wenn Art. 9 Abs. 2 Buchst. a oder g DSGVO greift und angemessene Maßnahmen getroffen sind. Zu bedenken ist, dass solche Daten auch mittelbar einfließen können, etwa über Lücken im Lebenslauf oder über den Wohnort.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.