Automatisierte Entscheidungen: Auf das Wie kommt es an

Sehr geehrte Leserinnen und Leser,

wer online einkauft, erfährt häufig erst unmittelbar vor Abschluss des Bestellvorgangs, welche Zahlungsarten ihm tatsächlich zur Verfügung stehen. Nur Kreditkarte oder auch Kauf auf Rechnung und Ratenzahlung? Hinter dieser alltäglichen Auswahl steht häufig eine vollständig automatisierte Bonitätsentscheidung. Genau um einen solchen Bestellvorgang geht es in den Schlussanträgen der Generalanwältin Medina vom 15. Oktober 2026 in der Rechtssache Universal Versand (C-568/25). Die Bedeutung dieses Falls dürfte weit über den Onlinehandel hinausreichen und wichtige Weichenstellungen für die Praxis mit sich bringen.

Nach Auffassung der Generalanwältin soll Art. 22 Abs. 1 DSGVO auch dann eingreifen können, wenn einem Kunden aufgrund einer automatisierten Bonitätsprüfung lediglich einzelne Zahlungsarten verweigert werden. Sie zieht dabei eine Parallele zur Ablehnung eines Kredits. Dies würde nach meiner Auffassung einen Nachweis des Betroffenen verlangen, dass ein Kauf nur abgebrochen wurde, weil der Kauf auf Rechnung nicht möglich war. Was der Maßstab für einen solchen Nachweis sein soll, dürfte noch einige Diskussionen auslösen. Zugleich würde die Sichtweise der Generalanwältin den Anwendungsbereich des Verbots automatisierter Entscheidungen gegenüber dem bisherigen Verständnis der überwiegenden Literatur erheblich erweitern.

Noch interessanter sind aus meiner Sicht jedoch die Ausführungen zu den Ausnahmen – insbesondere zu Art. 22 Abs. 2 lit. a DSGVO. Bei der Frage, wann eine automatisierte Entscheidung für einen Vertragsschluss erforderlich ist, orientiert sich die Generalanwältin ausdrücklich am Erforderlichkeitsmaßstab des Art. 6 Abs. 1 lit. b DSGVO. Im Wege einer „analoge[n] Auslegung“ verlangt sie einen unmittelbaren sachlichen Zusammenhang zwischen der Entscheidung und dem Vertragsgegenstand (Vertragskonnexität). Vor allem aber müssen die verarbeiteten Daten objektiv geeignet und erforderlich sein, um den verfolgten Zweck zu erreichen. Im Kern rückt damit auch die Qualität der Datengrundlage in den Mittelpunkt. Nach meiner Ansicht müsste die Datengrundlage wohl eine möglichst fehlerfreie und diskriminierungsfreie Entscheidung ermöglichen – also repräsentativ sein.

Zwar verlangt die Generalanwältin darüber hinaus, dass gerade die automatisierte Entscheidungsfindung erforderlich ist. Dabei berücksichtigt sie jedoch ausdrücklich praktische Gesichtspunkte und gelangt damit nach meinem Empfinden zu einem durchaus praxistauglichen Ansatz. So können etwa das Bestellvolumen, die Erwartung einer unmittelbaren Rückmeldung und wirtschaftliche Faktoren für die Beurteilung der Erforderlichkeit maßgeblich sein. Eine automatisierte Entscheidung wäre demnach nur dann ausgeschlossen, wenn tatsächlich praktikable, weniger einschneidende Alternativen bestünden. Die bloß theoretische Möglichkeit, eine Entscheidung auch durch einen Menschen treffen zu lassen, würde damit richtigerweise einer automatisierten Entscheidungsfindung nicht zwangsläufig entgegenstehen.

Passend dazu tritt kurz nach Erscheinen dieses Hefts am 20. November 2026 mit § 37a BDSG in Deutschland eine neue Regelung zum Scoring in Kraft. Sie ersetzt den bisherigen § 31 BDSG und schafft auf Grundlage von Art. 22 Abs. 2 lit. b DSGVO endlich einen eigenständigen Ausnahmetatbestand für bestimmte automatisierte Entscheidungen. Auch hier stehen die Voraussetzungen und Grenzen der Datenverarbeitung im Mittelpunkt: Bestimmte Datenkategorien dürfen nach § 37a Abs. 2 BDSG nicht für die Scoreberechnung verwendet werden. Die eingesetzten Daten müssen zudem unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar erheblich für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens sein. Beides ist Voraussetzung für die Zulässigkeit. Der deutsche Gesetzgeber konkretisiert damit selbst die Anforderungen an die Eignung der Datengrundlage und die angewandten Verfahren.

Beide Entwicklungen beruhen damit zwar auf unterschiedlichen rechtlichen Wegen, verdeutlichen aber einen gemeinsamen Gedanken: Automatisierte Entscheidungen sollen grundsätzlich möglich sein. Und für ihre sachliche Rechtfertigung kommt es entscheidend auf die Eignung und Erforderlichkeit der Datengrundlage sowie angemessene Schutzvorkehrungen an. Mit § 37a BDSG und einer praxisgerechten Auslegung des Art. 22 Abs. 2 lit. a DSGVO stehen nach meiner Auffassung durchaus Wege offen, weitere Automatisierungen voranzutreiben. Wichtig ist dabei, die Prozesse von Anfang an entsprechend auszugestalten. Im Mittelpunkt sollte stets die Frage stehen, ob die Entscheidung auf einer tragfähigen Datengrundlage beruht, sachlich Sinn ergibt und ein entsprechender Prozess nach Maßgabe von Art. 22 Abs. 3 DSGVO bzw. § 37a Abs. 5 BDSG für die besonderen Betroffenenrechte aufgesetzt ist. Wenn das sauber gemacht wird, sehe ich ziemlich viel Spielraum.

In diesem Sinne wünsche ich Ihnen eine spannende Lektüre der neuen Ausgabe des Datenschutz-Berater.

Ihr

Laurenz Strassemeyer

Dieser Beitrag erschien als Editorial in der Ausgabe 11/2026 des Datenschutz-Berater.