Algorithmische Entscheidungen in der Verwaltung: KI-Verordnung, Verwaltungsrecht und Art. 22 DSGVO

Kurze Antwort: Trifft eine Behörde eine Entscheidung (auch) auf Grundlage eines Algorithmus, gelten drei Regime zugleich. Die KI-Verordnung stellt Anforderungen an das System, wenn es Hochrisiko ist. Das Verwaltungsrecht verlangt eine sorgfältig vorbereitete und ordnungsgemäß begründete Entscheidung. Und Art. 22 DSGVO untersagt im Grundsatz eine ausschließlich automatisierte Entscheidung mit Rechtswirkung. Diese Schichten stapeln sich — eine zu erfüllen heißt nicht, die anderen zu erfüllen.

Drei Regime, drei Fragen

Jedes Regime stellt eine eigene Frage. Die KI-Verordnung: Ist das System selbst sicher und konform? Das Verwaltungsrecht: Ist diese Entscheidung sorgfältig getroffen und kann der Bürger sie nachvollziehen? Die DSGVO: Darf eine Maschine diese Entscheidung überhaupt allein treffen, und welche Rechte hat die betroffene Person? Ein konformes KI-System kann dennoch eine mangelhaft begründete Entscheidung hervorbringen. Behandeln Sie die Regime daher getrennt und stapeln Sie sie.

Art. 22 DSGVO als Untergrenze

Artikel 22 DSGVO untersagt eine Entscheidung, die ausschließlich auf automatisierter Verarbeitung beruht und den Bürger erheblich beeinträchtigt, es sei denn, es besteht eine gesetzliche Grundlage oder Einwilligung — mit geeigneten Garantien. In der Praxis bedeutet das: ein bedeutsames menschliches Eingreifen, ein Recht auf Erläuterung sowie die Möglichkeit, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten. Ein Sachbearbeiter, der ein Systemergebnis bloß abstempelt, gilt nicht als bedeutsames Eingreifen.

Das Verwaltungsrecht: Sorgfalt und Begründung

Das Verwaltungsrecht fügt Anforderungen hinzu, die unabhängig vom Datenschutz bestehen. Eine Entscheidung muss sorgfältig vorbereitet und ordnungsgemäß begründet sein. Bei einer algorithmisch unterstützten Entscheidung bedeutet das, dass die Behörde erklären können muss, warum das Ergebnis zustande kam — nicht bloß, dass ein Modell es so sagte. Eine nicht nachvollziehbare „Blackbox" lässt sich nicht begründen und hält vor Gericht nicht stand.

Menschliche Aufsicht ist mehr als ein Knopf

Die KI-Verordnung verlangt bei Hochrisiko-Systemen eine wirksame menschliche Aufsicht (Art. 14): Der Mensch muss das Ergebnis verstehen, ignorieren und außer Kraft setzen können. Das fügt sich an Art. 22 DSGVO und an das Verwaltungsrecht an, ist aber keine Formalität. Aufsicht ist nur wirksam, wenn die prüfende Person Zeit, Befugnis und Einsicht hat, um wirklich abzuweichen. Siehe den breiteren Kontext in KI in der öffentlichen Verwaltung und die Anforderungen bei Hochrisiko-Pflichten.

Was zu tun ist

• Erfassen Sie pro Entscheidungsprozess die drei Regime: KI-Verordnung, Verwaltungsrecht und Art. 22 DSGVO, jeweils getrennt.
• Sichern Sie ein bedeutsames menschliches Eingreifen: kein Abstempeln, sondern Zeit und Befugnis zum Abweichen.
• Machen Sie die Begründung reproduzierbar: Das System muss erklären, warum, damit die Entscheidung verwaltungsrechtlich haltbar ist — siehe Erklärbarkeit von Behördenalgorithmen.
• Führen Sie eine Grundrechtsprüfung durch vor der Inbetriebnahme — siehe FRIA.
• Registrieren Sie das System im Algorithmenregister.

Eine automatisierte Behördenentscheidung ist erst rechtmäßig, wenn sie auf allen drei Ebenen standhält. Konformität ist die Grundlage, nicht der Endpunkt.