Darf eine KI über Anträge und Schäden entscheiden? DSGVO Artikel 22 in der Versicherungspraxis

Nein – jedenfalls nicht allein. Artikel 22 der Datenschutz-Grundverordnung gibt betroffenen Personen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Die Ablehnung eines Antrags und die Ablehnung einer Schadenleistung fallen regelmäßig darunter. Zulässig bleibt automatisierte Entscheidung nur in engen Ausnahmefällen und immer mit Schutzmaßnahmen – am wichtigsten davon: dem Anspruch auf Eingreifen eines Menschen.

Dieser Beitrag ist keine Rechtsberatung. Er beschreibt, welche Fragen ein Versicherer beantworten muss, und wie sich die Prozessgestaltung so wählen lässt, dass die Frage gar nicht scharf wird.

Worum es in Artikel 22 geht

Der Grundsatz lautet: Ausschließlich automatisierte Einzelentscheidungen mit erheblicher Wirkung sind unzulässig. Als Ausnahmen nennt die Vorschrift die ausdrückliche Einwilligung der betroffenen Person, die Erforderlichkeit für den Abschluss oder die Erfüllung eines Vertrags sowie eine gesetzliche Erlaubnis.

Auch in diesen Fällen müssen angemessene Maßnahmen getroffen werden, insbesondere das Recht auf Darlegung des eigenen Standpunkts, auf Erläuterung der Entscheidung und auf Eingreifen einer Person. Bei besonderen Kategorien von Daten – etwa Gesundheitsdaten – sind die Anforderungen zusätzlich verschärft.

Für Versicherer sind zwei Punkte entscheidend. Erstens: Es kommt nicht darauf an, ob KI im Spiel ist, sondern ob die Entscheidung ausschließlich automatisiert ergeht. Zweitens: Eine formale Freigabe durch einen Menschen genügt nicht, wenn sie in der Praxis nur ein Klick ist. Verlangt wird eine inhaltliche Befassung mit eigener Entscheidungsmöglichkeit.

Wo die Grenze im Versicherungsprozess verläuft

Unkritisch sind Verarbeitungen, die vorbereiten, ohne zu entscheiden: Erkennen des Anliegens, Zuordnung zu Vertrag und Team, Extraktion von Daten aus Dokumenten, Prüfung der Vollständigkeit, Anfordern fehlender Unterlagen, Priorisierung, Zusammenfassung für den Sachbearbeiter, Vorschlag einer Handlungsoption. All das trifft keine Entscheidung über die betroffene Person.

Kritisch wird es, sobald ein Ergebnis unmittelbar rechtlich wirkt: Ablehnung oder Annahme eines Antrags, Zuschlag oder Ausschluss, Ablehnung einer Leistung, Kürzung einer Zahlung, Kündigung. Hier entscheidet die Prozessgestaltung darüber, ob Artikel 22 überhaupt einschlägig ist.

Ein Zwischenfall verdient besondere Aufmerksamkeit: die automatisierte Genehmigung einfacher Fälle. Wird ein Kleinschaden vollautomatisch reguliert und ausgezahlt, ist die Entscheidung für die betroffene Person positiv – die Ausnahmeprüfung fällt dann anders aus als bei einer Ablehnung. Wer Dunkelverarbeitung einführt, sollte deshalb genau festlegen, welche Ergebnisse automatisch ergehen dürfen und welche nicht. Die übliche und tragfähige Lösung: Zustimmung ja, Ablehnung nein.

Wie sich die Frage praktisch entschärfen lässt

Vier Festlegungen genügen in den meisten Häusern.

Erstens: Automatisierung endet vor der Entscheidung. Das System stellt her, dass entschieden werden kann – vollständige Unterlagen, geprüfte Angaben, Zusammenfassung – und legt vor. Die Entscheidung liegt beim Menschen.

Zweitens: Wo automatisiert entschieden wird, nur zugunsten der betroffenen Person und nur in eng definierten, dokumentierten Fallgruppen.

Drittens: Das Eingreifen eines Menschen wird nicht behauptet, sondern gestaltet. Die Person, die freigibt, sieht die Eingabedaten, den Vorschlag, die Begründung und die Möglichkeit abzuweichen – und ihre Abweichungen werden erfasst. Eine Freigabequote von 100 Prozent ohne jede Abweichung ist ein Warnsignal, kein Erfolg.

Viertens: Auskunftsfähigkeit herstellen. Verlangt eine betroffene Person eine Erläuterung, muss das Haus sagen können, welche Angaben verwendet wurden und welche Kriterien zur Bewertung geführt haben. Das setzt Protokollierung mit Modell- und Anweisungsversion voraus – dieselbe Grundlage, die auch Revision und Aufsicht brauchen.

Verhältnis zur KI-Verordnung

Artikel 22 DSGVO und die KI-Verordnung stehen nebeneinander und ersetzen sich nicht. Die KI-Verordnung regelt Anforderungen an das System – Risikomanagement, Dokumentation, Protokollierung, menschliche Aufsicht – und stuft Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung in Anhang III als Hochrisiko ein; diese Pflichten gelten nach der Verschiebung durch den Digital Omnibus ab dem 2. Dezember 2027.

Artikel 22 DSGVO gilt dagegen schon heute und knüpft nicht an die Technik an, sondern an die Wirkung der Entscheidung. Ein Vorhaben kann also KI-Verordnungs-konform aufgesetzt sein und trotzdem an Artikel 22 scheitern – und umgekehrt.

Wie 9elf26.ai damit umgeht

Die Prozesse sind so ausgelegt, dass die Automatisierung vor der Entscheidung endet. Anliegen werden erkannt, Vollständigkeit wird geprüft, fehlende Angaben werden nach den Regeln und mit den Textvorlagen des Hauses nachgefordert, der Vorgang wird verfolgt und mit Zusammenfassung zur Bearbeitung übergeben.

Entschieden wird durch den Fachbereich – außer in einfachen, ausdrücklich definierten Fallgruppen, in denen ein Haus Dunkelverarbeitung bewusst zulässt. Eingabedaten, angewendete Regeln, Ergebnisse, versandte Nachrichten und Freigaben werden protokolliert und sind prüfbar.

Damit ist die Antwort auf Artikel 22 keine juristische Konstruktion, sondern eine Eigenschaft des Ablaufs.

Stand August 2026. Dieser Beitrag ist keine Rechtsberatung; die Bewertung konkreter Prozesse gehört in die Hände der eigenen Datenschutz- und Rechtsabteilung.

9elf26.ai ist die zentrale KI-Plattform für Versicherer – einsatzbereit in Schadenmanagement, Underwriting, Kundenservice und Vertragsprozessen.