KI-Kundenscoring und automatisierte Entscheidungen: wo Art. 22 DSGVO die Bremse zieht

Immer mehr Mittelständler lassen eine KI ihre Kunden bewerten. Bonität, Kaufwahrscheinlichkeit, Betrugsrisiko, Kündigungsgefahr. Das ist verlockend, weil es schnell geht und oft besser trifft als das Bauchgefühl. Der Haken liegt selten in der Technik. Er liegt in einem einzigen Artikel der DSGVO, den viele übersehen: Artikel 22. Der zieht eine klare Grenze, sobald eine Maschine allein über einen Menschen entscheidet. Ich zeige an einem konkreten Beispiel, wo diese Grenze verläuft und wie Sie auf der sicheren Seite bleiben.

Darstellung des beispielhaften KI-Prozesses

Stellen wir uns einen regionalen Online-Händler vor, der Kauf auf Rechnung anbietet. Ein Neukunde legt Waren in den Warenkorb und wählt beim Bezahlen Rechnungskauf. In diesem Moment startet im Hintergrund ein KI-gestütztes Scoring.

Hinein gehen die Daten, die der Kunde gerade eingibt: Name, Adresse, Geburtsdatum, E-Mail. Dazu kommen Signale aus dem Bestellvorgang: Warenkorbwert, Uhrzeit, verwendetes Gerät, ob Liefer- und Rechnungsadresse übereinstimmen. Viele Systeme reichern das an mit einem Bonitätswert von einer Auskunftei und mit Erfahrungswerten aus früheren Bestellungen an dieselbe Adresse.

Die KI verrechnet all das zu einem Score, zum Beispiel einem Wert zwischen null und hundert. Ein Machine-Learning-Modell hat vorher an vielen tausend abgeschlossenen Fällen gelernt, welche Muster mit Zahlungsausfall zusammenhingen. Es rechnet nicht mit festen Wenn-dann-Regeln, sondern mit Wahrscheinlichkeiten.

Heraus kommt eine Entscheidung, und zwar in Sekundenbruchteilen. Liegt der Score über einer Schwelle, wird Rechnungskauf angeboten. Liegt er darunter, verschwindet die Option und dem Kunden bleibt nur Vorkasse oder Zahlung per PayPal. Der Kunde merkt vom Scoring nichts. Für ihn sieht es aus, als gäbe es den Rechnungskauf für ihn einfach nicht. Genau an diesem Punkt wird es datenschutzrechtlich interessant.

Datenschutzrechtliche Einordnung

Hier arbeiten wir durchgehend mit personenbezogenen Daten. Name, Adresse, Geburtsdatum, das Kaufverhalten und der berechnete Score selbst sind alle einer bestimmten Person zuzuordnen. Der Score ist dabei nicht nur ein Ergebnis, er ist selbst ein personenbezogenes Datum. Das wird oft vergessen.

Der entscheidende Punkt ist Artikel 22. Er sagt vereinfacht: Ein Mensch hat das Recht, nicht einer rein automatisierten Entscheidung unterworfen zu werden, die ihm gegenüber rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt. Der Ausschluss eines Zahlungsmittels beim Onlinekauf kann genau so eine erhebliche Beeinträchtigung sein. Trifft die KI diese Entscheidung allein, ohne dass ein Mensch sie wirklich prüft, greift das Verbot aus Artikel 22.

Von diesem Verbot gibt es drei Ausnahmen: Die Entscheidung ist für den Vertrag erforderlich, sie ist durch Gesetz erlaubt, oder die Person hat ausdrücklich eingewilligt. Beim Rechnungskauf lässt sich argumentieren, dass die automatisierte Bonitätsprüfung zur Anbahnung des Vertrags erforderlich ist. Aber Achtung: Auch wenn eine Ausnahme greift, sind Sie nicht fein raus. Sie müssen dann Schutzmaßnahmen anbieten. Der Kunde muss die Entscheidung anfechten können, seinen Standpunkt darlegen können und vor allem eine Überprüfung durch einen echten Menschen verlangen können. Ein Mensch, der nur auf Bestätigen klickt, reicht dafür nicht. Es muss eine echte inhaltliche Prüfung möglich sein.

Dazu kommt die Frage der Rechtsgrundlage für die Datenverarbeitung an sich, in der Regel Artikel 6. Beim Scoring stützt man sich meist auf die Vertragserfüllung oder auf ein berechtigtes Interesse, das gegen die Interessen des Kunden abgewogen wird. Verarbeiten Sie besondere Kategorien von Daten, etwa Gesundheitsdaten, wird es deutlich enger und Artikel 9 kommt ins Spiel. Solche Daten haben in einem Kundenscoring nichts verloren.

Transparenz ist der nächste Stolperstein. Der Kunde muss vorher wissen, dass ein automatisiertes Scoring stattfindet. Er hat ein Recht auf aussagekräftige Informationen über die Logik dahinter. Das heißt nicht, dass Sie Ihren Algorithmus offenlegen müssen, aber Sie müssen die wesentlichen Kriterien verständlich erklären. Ein versteckter Satz in der Datenschutzerklärung genügt hier oft nicht.

Setzen Sie einen externen Dienstleister für das Scoring ein, was der Normalfall ist, brauchen Sie einen Vertrag zur Auftragsverarbeitung. Sitzt dieser Dienstleister oder dessen Server außerhalb der EU, kommt das Thema Drittlandtransfer dazu, mit den passenden Garantien. Auch der AI Act wird hier langsam relevant: Scoring-Systeme, die über den Zugang zu Leistungen entscheiden, können als risikoreicher eingestuft werden und höhere Anforderungen an Dokumentation, Datenqualität und menschliche Aufsicht auslösen. Für die meisten Bonitätsprüfungen im Handel bleibt der Schwerpunkt aber bei der DSGVO.

Der typische Fehler in der Praxis: Die KI läuft vollautomatisch, niemand hat an Artikel 22 gedacht, es gibt keine echte menschliche Prüfmöglichkeit und die Transparenzinformationen fehlen. Der saubere Weg ist überschaubar. Prüfen Sie, ob überhaupt eine erhebliche Beeinträchtigung vorliegt. Klären Sie die passende Ausnahme. Bauen Sie eine echte menschliche Überprüfung ein. Informieren Sie transparent und verständlich. Und schließen Sie die Verträge mit Ihren Dienstleistern sauber ab.

Fazit

KI-Kundenscoring lohnt sich. Es senkt Ausfälle, beschleunigt Prozesse und ist für viele Geschäftsmodelle inzwischen Standard. Rechtlich ist es kein Minenfeld, sondern eine Frage der sauberen Umsetzung. Der Kern ist fast immer derselbe: Lassen Sie die Maschine vorbereiten, aber sorgen Sie dafür, dass bei erheblichen Folgen ein Mensch eingreifen kann, und sagen Sie Ihren Kunden ehrlich, was im Hintergrund passiert. Wer das beachtet, nutzt die Technik voll aus, ohne Artikel 22 zu reißen. Ob in Ihrem konkreten Fall eine erhebliche Beeinträchtigung vorliegt und welche Ausnahme trägt, ist eine Einzelfallfrage. Genau dafür ist das kostenlose Erstgespräch da.