Künstliche Intelligenz und der Anwendungsbereich des Art. 22 Abs. 1 DSGVO

Am 14. und 15. Februar 2019 fand das 8. Speyerer Forum zur digitalen Lebenswelt Künstliche Intelligenz und die Zukunft des Datenschutzrechts statt (wir berichteten). Die Bedeutung des Begriffs künstliche Intelligenz können Sie im Artikel unseres Mitarbeiters Christopher Schael „Künstliche Intelligenz in der modernen Gesellschaft“ nachlesen. Den Beitrag können Sie hier kostenfrei herunterladen. In Zuge des Forums wurde auch der Anwendungsbereich des Art. 22 Abs. 1 DSGVO diskutiert. Dort soll das Recht des Betroffenen gestärkt werden, keiner Entscheidung unterliegen zu müssen, die allein auf Grundlage seiner Persönlichkeitsmerkmale eine rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt. Es scheint also, dass Art. 22 DSGVO geradezu geschaffen wurde, um Systeme mit künstlicher Intelligenz zu beschränken bzw. dem Verantwortlichen zusätzliche Maßnahmen aufzuerlegen, soweit einer der Ausnahmetatbestände vorliegt.

Doch wann ist Art. 22 Abs. 1 DSGVO einschlägig? Folgende Tatbestände müssen vorliegen. Es muss eine „ausschließlich auf einer automatisierten Verarbeitung beruhende“ „Entscheidung“ getroffen werden, die eine „rechtliche Wirkung entfaltet oder [den Betroffenen] in ähnlicher Weise beeinträchtig.“

Entscheidung

Als Entscheidung ist das Endergebnis zu verstehen, nicht der Entscheidungsprozess an sich. Sie wird in der Literatur auch als gestaltender Akt mit in gewisser Weise abschließender Wirkung definiert.[1]

Rechtliche Wirkung entfaltet oder in ähnlicher Weise erheblich beeinträchtigt

Betrachten wir das Tatbestandsmerkmal „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“ scheint dies relativ eindeutig. Die Entscheidung muss sich in einer bestimmten Weise auf den Betroffenen auswirken. Dies kann vorteilhaft oder nachteilhaft sein. Hier wurde während des Fachvortrags diskutiert, ob personalisierte Werbung ebenfalls unter diesen Begriff fällt. Die Vortragende kam zu dem Ergebnis, dass personalisierte Werbung als bloße Belästigung zu sehen sei und damit grundsätzlich keine rechtliche Wirkung vorläge. Hier wurde allerdings auch deutlich gemacht, dass dieser Punkt weiterhin strittig ist.

Ausschließlich automatisierte Entscheidung

Schwieriger wird es zu bestimmen, wann eine ausschließlich automatisierte Entscheidung vorliegt. Der Erwägungsgrund 71 sagt, dass eine solche Entscheidung dann vorliege, wenn sie „ohne jegliches menschliches eingreifen“ getroffen wurde. Reicht hier also aus, wenn eine Person z.B. den Kreditantrag am Ende unterschreibt oder ist weiteres eingreifen erforderlich? Hier gab die Vortragende deutlich zu verstehen, dass ein ausschließlich automatisierter Prozess nur dann unterbrochen wird, wenn diese Person zum einen die Befugnis hat eigene Entscheidungen zu treffen und die Möglichkeit besitzt, diese durchzusetzen. Zusätzlich wird hier deutlich, dass eine ausschließlich automatisierte Entscheidung nur dann vorliegt, wenn der Entscheidungsprozess nicht durch „Wenn-Dann-Regeln“ erfolgt, die ein Mensch vorher definiert hat.

Fazit

Somit sind reine Assistenzsysteme noch nicht als Systeme zu sehen, die unter den Anwendungsbereich des Art. 22 Abs. 1 DSGVO fallen. Es gibt jedoch viele Prozesse, bei denen die Grenzen verschwimmen. Hat ein Unternehmen z.B. ein E-Recruiting-Tool eingeführt, welches automatisch ohne genaue Wenn-Dann-Regelungen entscheidet, ob ein Bewerber zum Vorstellungsgespräch eingeladen wird, wäre Art. 22 DSGVO einschlägig. Dies wäre nur dann rechtmäßig, wenn eine ausdrückliche Einwilligung des Betroffenen vorliegt (die Freiwilligkeit solch einer Einwilligung bleibt dabei mal dahingestellt). Der Verantwortliche müsste angemessene Maßnahmen ergreifen, z.B. weitere Informationspflichten nach Art. 13 Abs. 2 lit. f DSGVO, etc. Soweit das E-Recruiting-Tool allerdings lediglich eine Einstufung der Bewerbung vornimmt und dem Recruiter die Empfehlung vorlegt, diese Bewerber nicht einzuladen, der Recruiter die Entscheidung aber selbst durchführt, wäre Art. 22 Abs. 1 DSGVO nicht anwendbar. Doch wie wahrscheinlich ist es, dass der Recruiter eine andere Entscheidung trifft, als die, die das System vorgegeben hat? An dieser Stelle wird deutlich, dass erhebliches Diskussionspotenzial bleibt, ob der Anwendungsbereich des Art. 22 DSGVO nicht zu eng gefasst wurde.

Hinweis: Art. 22 DSGVO ist auch dann nicht anwendbar, wenn die Entscheidung zum Abschluss oder Erfüllung eines Vertrags erforderlich ist, die Entscheidung aufgrund von Rechtsvorschriften der Union oder Mitgliedsstaaten zulässig ist, wenn diese angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Personen enthalten oder die Entscheidung mit ausdrücklicher Einwilligung der betroffenen Person erfolgt. In dem Artikel sollten aber nur die Tatbestandsmerkmale nach Art. 22 Abs. 1 DSGVO beleuchtet werden.

[1] BeckOK DatenschutzR/von Lewinski DS-GVO Art. 22 Rn. 14