Automatisierte Entscheidung im KYC: Wo endet die Bewertung, wo beginnt die Entscheidung?

Kurz gesagt: Am 21. August 2026 hat die niederländische Datenschutzbehörde gegen Uber ein Bußgeld von 825 Millionen Euro verhängt, weil das Unternehmen Fahrerkonten auf Basis automatisierter Entscheidungen deaktiviert hatte, ohne echte menschliche Intervention. Artikel 22 DSGVO regelt vollständig automatisierte Entscheidungen mit erheblicher Wirkung für eine Person, und der EuGH hat Ende 2023 im deutschen SCHUFA-Fall entschieden, dass bereits ein Score eine solche Entscheidung darstellen kann. Für KYC-, Geldwäschepräventions- und Due-Diligence-Teams lautet die Frage nicht mehr, ob automatisiert werden soll, sondern wo die Grenze verläuft: zwischen der automatisierten Bewertung des Risikos und der automatisierten Entscheidung über eine Person. Die Antwort liegt in 4 Bedingungen, die eine menschliche Intervention zu einer echten machen, statt zu einem bloßen Bestätigungsklick.

‍

Der Fall Uber: Was tatsächlich passiert ist

‍

Zwischen 2018 und 2022 hat Uber Fahrerkonten auf Basis automatisierter Systeme deaktiviert, insbesondere bei Betrugsverdacht oder zu niedrigen Bewertungen. Wer den Zugang zur App verliert, verliert den Zugang zum Einkommen: Die Wirkung auf die Person ist erheblich, im konkretesten Sinn des Wortes.

‍

Am 21. August 2026 hat die Autoriteit Persoonsgegevens, die niederländische Datenschutzbehörde, ein Bußgeld von 825 Millionen Euro verhängt, das zweithöchste in der Geschichte der DSGVO. Der zentrale Vorwurf ist nicht der Einsatz von Algorithmen an sich, sondern das Fehlen einer ausreichenden menschlichen Intervention. Die Prüfungen, die diese Deaktivierungen absichern sollten, wurden als rein formal eingestuft, ohne echte Befassung mit den einzelnen Fällen. Uber bestreitet die Entscheidung und hat Berufung angekündigt: Der Fall ist also nicht rechtskräftig entschieden, das Signal an die Unternehmen ist aber schon jetzt unmissverständlich.

‍

Dieses Signal reicht weit über Fahrdienstplattformen hinaus. Jede Organisation, die Personen scort und auf dieser Basis Maßnahmen auslöst, steht vor derselben Governance-Frage.

‍

Was Artikel 22 DSGVO sagt und was der EuGH daraus gemacht hat

‍

Artikel 22 DSGVO stellt einen Grundsatz auf: Eine Person hat das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Einen Kredit ablehnen, eine Geschäftsbeziehung verweigern, den Zugang zu einem Dienst kündigen: Solche Wirkungen fallen typischerweise in den Anwendungsbereich.

‍

Das SCHUFA-Urteil des Europäischen Gerichtshofs (7. Dezember 2023, Rechtssache C-634/21) hat die Lesart dieses Artikels erheblich verschärft. Der Fall kommt aus Deutschland und betrifft mit der SCHUFA die Auskunftei, deren Score hierzulande über Kredite, Mietverträge und Mobilfunkverträge mitentscheidet, näher am eigenen Alltag geht es kaum. Der EuGH hat entschieden, dass bereits die automatisierte Erstellung eines Bonitätsscores für sich genommen eine automatisierte Entscheidung im Einzelfall darstellen kann, sobald sich der Empfänger des Scores maßgeblich darauf verlässt. Anders gesagt: Wenn Ihre Organisation dem Score eines Dienstleisters quasi systematisch folgt, fällt die automatisierte Entscheidung nicht in dem Moment, in dem Sie klicken, sondern in dem Moment, in dem der Score berechnet wird. Die Auslagerung der Berechnung verlagert nicht die Verantwortung.

‍

Artikel 22 sieht Ausnahmen vor: die Entscheidung, die für den Abschluss eines Vertrags erforderlich ist, die durch Unionsrecht oder das Recht eines Mitgliedstaats zugelassene Entscheidung und die ausdrückliche Einwilligung. Keine dieser Ausnahmen hebt jedoch die Garantien auf: Information der betroffenen Person, Anspruch auf menschliche Intervention, Recht auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

‍

KYC und Due Diligence sind nicht aus dem Spiel

‍

Der natürliche Reflex von Compliance-Teams ist die Annahme, ihre Verarbeitungen seien vom Thema nicht betroffen, weil sie gesetzlich vorgeschrieben sind. Das stimmt zum Teil, und genau hier zählt die Nuance.

‍

Die Sorgfaltspflichten der Geldwäscheprävention beruhen auf Unionsrecht und nationalem Recht: Ein KYC-Verfahren kann sich also auf die Ausnahme des Artikels 22 stützen. Auch die Bewertung von Geschäftspartnern und Lieferanten folgt einer gesetzlichen Pflicht, etwa im Rahmen der Sorgfaltspflichten des LkSG. Aber eine Rechtsgrundlage für das Bewerten ist kein Freibrief für das automatische Ablehnen. 3 Situationen verdienen einen ehrlichen Blick auf Ihre Prozesse:

• Die automatische Ablehnung beim Onboarding. Eine Scoring-Engine analysiert Identität, Risikosignale und Sanktionslisten, der Score überschreitet einen Schwellenwert, und die Geschäftsbeziehung wird verweigert, ohne dass je ein Analyst den Fall geöffnet hätte. Die Bewertung war Pflicht; die Ablehnung ohne Prüfung ist dagegen eine organisatorische Entscheidung.
• Die Lieferanten-Due-Diligence, die einen Dritten per Score aussortiert. Ein Solo-Selbstständiger wird automatisch analysiert (wirtschaftlich Berechtigte, Sanktionen, negative Presse) und allein auf Basis eines hohen Scores nicht gelistet. Die Wirkung auf seine Tätigkeit ist erheblich, und die natürliche Person hinter dem Einzelunternehmen ist sehr wohl eine betroffene Person.
• Der blind übernommene externe Score. Seit SCHUFA funktioniert das Argument "das ist der Score des Dienstleisters" nicht mehr, wenn dieser Score für Ihre Entscheidung maßgeblich ist.

Die Trennlinie lautet also nicht "Compliance oder keine Compliance". Sie lautet: Steuern Ihre Schwellenwerte die Fälle in die richtige Bearbeitungsstufe, oder sprechen sie die Ablehnung selbst aus?

‍

Der AI Act fügt eine zweite Ebene hinzu

‍

Die DSGVO ist nicht mehr der einzige Text, der diese Frage stellt. Die europäische KI-Verordnung, die Verordnung (EU) 2024/1689, stuft die Bewertung der Kreditwürdigkeit natürlicher Personen als Hochrisiko-System ein, mit Anforderungen an Transparenz, Dokumentation und wirksame menschliche Aufsicht. Der Text ist in einem Punkt explizit, der sich mit dem Fall Uber deckt: Die Aufsicht muss es einem Menschen ermöglichen, die Fähigkeiten und Grenzen des Systems zu verstehen, sich des Automatisierungsbias bewusst zu bleiben und einzugreifen oder das System zu stoppen. Eine Aufsicht, die sich darauf beschränkt, die Ausgaben der Maschine abzunicken, erfüllt diese Definition nicht. Die Pflichten und den Zeitplan im Detail finden Sie in unserer Analyse zum AI Act für Scoring, Identität und Betrugserkennung.

‍

Human in the Loop: die 4 Bedingungen einer echten Intervention

‍

Das ist der Kern des Themas, und der Punkt, in dem der Fall Uber, die europäischen Leitlinien zu automatisierten Entscheidungen und der AI Act zusammenlaufen: Eine menschliche Intervention ist nur dann echt, wenn sie substanziell ist und von einer Person ausgeübt wird, die die Befugnis und die Kompetenz hat, die Entscheidung zu ändern. Konkret setzt das 4 Bedingungen voraus.

‍

• Das Ergebnis verstehen. Der Analyst muss wissen, warum der Score so ausfällt, wie er ausfällt: welche Signale gewirkt haben, in welche Richtung, mit welchem Gewicht. Ein opaker Score macht die menschliche Intervention schon konstruktionsbedingt zur Formalie: Was man nicht erklären kann, kann man nicht in Frage stellen. Genau das garantiert eine erklärbare KI, die ihre Gründe Entscheidung für Entscheidung offenlegt.
• Über die Informationen verfügen, um ihn anzuzweifeln. Den Score zu sehen genügt nicht: Man braucht Zugriff auf die zugrunde liegenden Daten, ihre Quelle und ihre Aktualität, um einen Fehler oder einen Kontext zu erkennen, den das Modell nicht kennt.
• Die Zeit haben, ein eigenes Urteil zu fällen. Wenn die Organisation pro Analyst ein Fallvolumen vorgibt, das mit einer echten Prüfung der markierten Fälle unvereinbar ist, existiert die menschliche Intervention im Organigramm, nicht in der Praxis. Das ist ein Parameter der Arbeitslast, also eine Führungsentscheidung.
• Die Befugnis haben, anders zu entscheiden. Der Analyst muss eine vom Score abweichende Entscheidung treffen können, in beide Richtungen, und diese Entscheidung muss mit ihrer Begründung dokumentiert werden. Wenn das System das nicht erlaubt, oder wenn es nie jemand tut, ist die menschliche Prüfung ein Stempel.

‍

Diese 4 Bedingungen haben eine praktische Konsequenz: Der Human in the Loop lässt sich nicht per interner Richtlinie verordnen, er muss sich im Tooling und in den Zahlen nachweisen lassen. Eine Aufsichtsbehörde, die Ihr Verfahren prüft, liest nicht Ihre Prozessbeschreibung. Sie schaut auf den Anteil der Entscheidungen, bei denen Ihre Analysten eingegriffen haben, auf Ihre Prüfzeiten und auf die Nachvollziehbarkeit Ihrer Entscheidungen.

‍

Was das für Auswahl und Konfiguration Ihrer Tools bedeutet

‍

Die Analyse zu automatisieren bleibt unverzichtbar: Niemand kehrt zur manuellen Prüfung jedes einzelnen Falls zurück, und das wäre weder für die Betrugserkennung noch für die Erfahrung legitimer Kunden wünschenswert. Es geht darum, die Automatisierung so zu konfigurieren, dass sie schnell und gut bewertet und die Entscheidung in Fällen mit erheblicher Wirkung gesteuert bleibt. 4 konkrete Kriterien, die schon in die Ausschreibung gehören:

‍

• Native Erklärbarkeit. Legt der Score seine Gründe für jede Entscheidung offen, in einer Sprache, mit der ein Analyst arbeiten kann, oder muss man der Maschine aufs Wort glauben?
• Die Schwellenwert-Architektur. Erlaubt das Tool die Unterscheidung zwischen reibungsloser Freigabe der unauffälligen Fälle, menschlicher Prüfung der mehrdeutigen Fälle und Blockierung nur dort, wo das Gesetz es verlangt (zum Beispiel bei Sanktionstreffern)? Ein System, das nur "angenommen oder abgelehnt" kennt, drängt Sie mechanisch in die automatisierte Entscheidung.
• Die dokumentierte Übersteuerung. Kann der Analyst eine vom Score abweichende Entscheidung treffen, mit Pflichtbegründung, Zeitstempel und Ablage in der Akte? Das ist der materielle Beweis Ihrer menschlichen Intervention.
• Der vollständige Audit-Trail. Können Sie bei einer Kontrolle oder einer Beschwerde der betroffenen Person die Entscheidung vollständig rekonstruieren: herangezogene Daten, Modellversion, ausschlaggebende Signale, etwaige menschliche Intervention? Diese Anforderungen decken sich mit denen aus unserem Leitfaden zur Auswahl einer KYC-Lösung, und sie werden strukturprägend, je weiter AML6 die Kontrollen europaweit harmonisiert.

‍

Fazit

‍

Das Uber-Bußgeld verurteilt nicht die Automatisierung: Es verurteilt Automatisierung ohne Governance. Die Grenze zwischen einem Tool, das bewertet, und einem System, das entscheidet, verläuft nicht durch die Technologie, sondern durch die Organisation: Schwellenwerte, die steuern statt zu urteilen, Analysten, die verstehen, was sie freigeben, die Zeit und die Befugnis, anders zu entscheiden, und die Dokumentation von alledem. Die Texte laufen zusammen, von der DSGVO über die SCHUFA-Rechtsprechung bis zum AI Act: Die Bewertung darf automatisch sein, die Entscheidung über eine Person muss gesteuert bleiben. Organisationen, die das jetzt in die Auswahl ihrer Tools einfließen lassen, verwandeln ein regulatorisches Risiko in einen Vorteil: Entscheidungen, die schneller UND verteidigungsfähig sind. Um zu sehen, wie ein erklärbares Scoring aussieht, bei dem der Analyst das letzte Wort behält, getestet an Ihren eigenen Fällen, planen Sie eine Demo.

‍

FAQ

‍

Was ist eine vollständig automatisierte Entscheidung im Sinne der DSGVO?

‍

Eine Entscheidung, die ohne substanzielle menschliche Intervention getroffen wird und rechtliche Wirkung für eine Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt: Kreditablehnung, verweigertes Onboarding, Deaktivierung eines Kontos. Artikel 22 DSGVO gewährt das Recht, ihr nicht unterworfen zu werden, vorbehaltlich von Ausnahmen (Vertrag, gesetzliche Zulassung, ausdrückliche Einwilligung), die stets an Garantien gebunden sind.

‍

Fällt ein KYC-Scoring unter Artikel 22?

‍

Nicht automatisch: Die Einordnung hängt von der Art der Verarbeitung, der betroffenen Person und den Wirkungen der Entscheidung ab. Die Pflichten der Geldwäscheprävention bieten eine Rechtsgrundlage für die Bewertung. Löst der Score aber eine Ablehnung ohne echte menschliche Prüfung aus, oder wird ein externer Score maßgeblich übernommen (SCHUFA-Rechtsprechung), nähert sich das Verfahren der vollständig automatisierten Entscheidung und ihren Pflichten.

‍

Was ist eine echte menschliche Intervention?

‍

Eine Intervention durch eine Person, die das Ergebnis versteht (Gründe des Scores), über die Informationen verfügt, um es anzuzweifeln, die Zeit hat, den Fall zu prüfen, und die Befugnis, eine abweichende Entscheidung zu treffen, dokumentiert mit ihrer Begründung. Ein Bestätigungsklick auf einer Maske "hohes Risiko, Ablehnung" erfüllt keine dieser Bedingungen.

‍

Was ändert der AI Act gegenüber der DSGVO bei diesem Thema?

‍

Die DSGVO schützt die Person vor der automatisierten Entscheidung; der AI Act reguliert das System selbst. Für Hochrisiko-Anwendungen wie die Bewertung der Kreditwürdigkeit natürlicher Personen verlangt er Transparenz, technische Dokumentation und wirksame menschliche Aufsicht, mit ausdrücklichem Blick auf den Automatisierungsbias. Beide Texte gelten kumulativ.

‍

Darf man einen Kunden aus Compliance-Gründen automatisch ablehnen?

‍

Die automatische Blockierung lässt sich dort am besten verteidigen, wo das Gesetz sie direkt vorschreibt, etwa bei einem bestätigten Treffer auf einer Sanktionsliste. Für alles andere besteht die robuste Praxis darin, die Steuerung der Fälle zu automatisieren (reibungslose Freigabe, verstärkte Prüfung) und die Ablehnung mehrdeutiger Fälle einer dokumentierten menschlichen Entscheidung vorzubehalten.

‍

Quellen: Autoriteit Persoonsgegevens, Sanktion vom 21. August 2026 (825 Millionen Euro, Berufung angekündigt); EuGH, 7. Dezember 2023, SCHUFA Holding, C-634/21; DSGVO, Artikel 22; Leitlinien des Europäischen Datenschutzausschusses zur automatisierten Entscheidungsfindung im Einzelfall (WP251); Verordnung (EU) 2024/1689 (AI Act), Anhang III und Artikel 14.

‍