DSGVO Art. 22 — automatisierte Entscheidungen und Profiling in der Mandatsträger-Pipeline

Art. 22 DSGVO gibt jeder natürlichen Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder ähnlich erheblich beeinträchtigt.^[1] Beispiele für solche Wirkungen sind nach EDPB-Leitfaden u.a. die Beeinträchtigung der Vereinigungsfreiheit, des Wahl-Verhaltens oder vertraglicher Rechte.^[2] Für Mandatsträger-Pipelines mit KI-Komponenten ist Art. 22 eine kritische Schicht — insbesondere bei Wahlkreis-Targeting, Bürger-Anfragen-Bearbeitung und Sentiment-Analyse.

Was hier untersucht wird

Dieser Tiefe-2-Artikel zerlegt Art. 22 DSGVO im Kontext der Mandatsträger-Pipeline-Praxis 2026. Die Tiefe-1-Architektur in T1-C20 — DSGVO und KI hat die generelle Verordnungs-Lage beschrieben. Hier wird die konkrete Frage zu automatisierten Entscheidungen detailliert.

Wann Art. 22 greift

Drei Voraussetzungen müssen kumulativ erfüllt sein:^[2]

— Voraussetzung eins: ausschließlich automatisierte Verarbeitung. Wenn ein Mensch substantiell in die Entscheidung eingebunden ist (mehr als rubber-stamping), greift Art. 22 typisch nicht.

— Voraussetzung zwei: rechtliche oder ähnlich erhebliche Wirkung. Eine Marketing-Empfehlung erfüllt das nicht; eine Kredit-Ablehnung schon. Politisch: Wahl-Beeinflussung wird vom EDPB-Leitfaden explizit als “ähnlich erhebliche Wirkung” eingestuft.

— Voraussetzung drei: kein gesetzlicher oder vertraglicher Ausnahme-Tatbestand. Art. 22 hat Ausnahmen, aber nicht für politische Kommunikation.

Anwendungs-Felder in der Mandatsträger-Pipeline 2026

Drei Kategorien.

Kategorie eins: typisch nicht Art.-22-relevant. Die meisten Pipeline-Komponenten erfüllen die “ausschließlich automatisiert”-Voraussetzung nicht. Beispiele:

— Whisper-Transkription mit menschlicher Korrektur (siehe T2-C09-04). — LLM-Scoring mit Editor-Review (siehe T2-C09-05). — Plenarrede-Cuts mit menschlicher Schnitt-Entscheidung.

In diesen Fällen ist die menschliche Beteiligung substantiell — Art. 22 greift nicht.

Kategorie zwei: potenziell Art.-22-relevant. Wenn die Pipeline KI-Komponenten enthält, die ohne menschliche Beteiligung Entscheidungen über Personen treffen, mit rechtlicher oder erheblicher Wirkung. Beispiele:

— Automatisiertes Wahlkreis-Targeting auf individuelle Wähler (siehe T1-B06). — Automatisierte Bürger-Anfragen-Klassifikation mit automatisierter Antwort-Weiterleitung. — Automatisierte Sentiment-Analyse von Wähler-Audience mit personalisierter Kommunikations-Ableitung.

In diesen Fällen ist Art.-22-Prüfung erforderlich.

Kategorie drei: klar Art.-22-relevant. Automatisierte Kampagnen-Tools, die ohne menschliche Beteiligung Wahl-Beeinflussungs-Entscheidungen pro Person treffen. Diese Tools sind 2026 in deutschen Mandatsträger-Pipelines typisch nicht im Einsatz — sie kollidieren auch mit TTPA-Verordnung 2024/900 und ggf. EU-AI-Act-Hochrisiko-Klassifikation.

Die EDPB-Opinion 28/2024

Das European Data Protection Board hat im Dezember 2024 Opinion 28/2024 zu KI-Modellen und Personen-Daten publiziert.^[3] Kernpunkte:

— Anwendbarkeit der DSGVO auf KI-Modelle auch im Trainings-Stadium. — Lawful-Basis-Anforderungen für Personen-Daten in KI-Trainings-Daten. — Anonymisierungs-Standards für KI-Outputs.

Für Mandatsträger-Pipelines hat die Opinion indirekte Bedeutung — sie prägt die Provider-Pflichten von OpenAI, Anthropic, Google und damit die Tool-Verfügbarkeit.

Die operativen Pflichten für Mandatsträger-Pipelines

Drei Pflichten als Mindest-Compliance.

Pflicht eins: Human-in-the-Loop. KI-Komponenten werden so designt, dass eine substantielle menschliche Beteiligung in der Pipeline-Stufe vorhanden ist. Das vermeidet “ausschließlich automatisiert”-Klassifikation.

Pflicht zwei: keine personalisierten Wahl-Beeinflussungs-Tools. Wenn die Pipeline KI nutzt: nicht für individuelle Wähler-Verhaltens-Beeinflussung. Sondern für Pipeline-Effizienz (Transkription, Schnitt-Vorschläge, Caption-Bearbeitung).

Pflicht drei: Auskunfts-Recht respektieren. Bürger haben nach Art. 15 DSGVO das Recht zu erfahren, ob ihre Daten in einer automatisierten Entscheidung verarbeitet wurden. Die Pipeline-Dokumentation muss diese Auskunft ermöglichen.

Operative Konsequenzen

Drei priorisierte Empfehlungen.

— Priorität A: Human-in-the-Loop-Audit der Pipeline. Pro Stufe prüfen: ist eine substantielle menschliche Beteiligung vorhanden? Aufwand: vier Stunden.

— Priorität B: Wahl-Beeinflussungs-Tool-Vermeidung. Keine KI-Tools mit personalisiertem Wahl-Targeting in der Pipeline. Vor Tool-Einführung: §22-Prüfung.

— Priorität C: Pipeline-Dokumentation für Auskunfts-Anfragen. Wenn die Pipeline Personen-Daten verarbeitet: Dokumentation, die eine Art.-15-Auskunft ermöglicht.

Empfehlungen mit Priorität

— Priorität A: Human-in-the-Loop-Audit. — Priorität B: Wahl-Beeinflussungs-Tool-Vermeidung. — Priorität C: Pipeline-Dokumentation für Art.-15-Auskunft.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen. Die DSGVO-KI-Schnittstelle ist 2026 in der Rechtsprechung in Entwicklung. Vor operativen KI-Entscheidungen ist Datenschutz-Beauftragter-Konsultation empfohlen.

Wo das hingehört

Tiefe-1 DSGVO und KI: T1-C20. EU AI Act-Schnittstelle: T2-C19-01. Wahlkreis-Targeting-Praxis: T1-B06. Folge: T2-C20-02 — KI-Auftragsverarbeitung.

Codex AI-Automation Sektion 13.

Quellen

1. DSGVO, Art. 22 — Automatisierte Entscheidungen einschließlich Profiling, Permalink, Abruf 18.05.2026.

2. EDPB, Guidelines on Automated Decision-Making and Profiling, Permalink, Abruf 18.05.2026.

3. EDPB, Opinion 28/2024 on AI Models and Personal Data, Permalink, Abruf 18.05.2026.

4. StreamLex, GDPR Guidelines on Automated Decision-Making and Profiling, Permalink, Abruf 18.05.2026