1Problemstellung

Die Digitalisierung der Verwaltung wird überwiegend als Effizienzfrage verhandelt: Wie werden Verfahren schneller, günstiger, zugänglicher? Diese Perspektive ist berechtigt und unvollständig. Sie übergeht eine Veränderung, die mit der Automatisierung von Entscheidungen strukturell eintritt und die kein Effizienzmaß erfasst — die Verschiebung der Zurechnung.

Verwaltungsrecht setzt voraus, dass eine Entscheidung jemandem zugerechnet werden kann. Daran hängen Begründungspflicht, Rechtsmittel, Aufsicht und, im Schadensfall, Haftung. Diese Voraussetzung ist im klassischen Verwaltungsakt unproblematisch: Es gibt eine handelnde Person, eine Behörde, eine Akte.

Bei automatisierten Entscheidungen zerfällt diese Einheit. Die Wirkung entsteht im Einzelfall, die Entscheidung wurde aber zuvor getroffen — bei der Spezifikation, bei der Auswahl der Indikatoren, bei der Implementierung, bei der Beschaffung. Sie wurde von mehreren Stellen arbeitsteilig getroffen, zu unterschiedlichen Zeitpunkten, ohne Kenntnis des späteren Einzelfalls. Formal bleibt die Behörde zuständig. Materiell ist die Entscheidung an einem Ort gefallen, an dem niemand einen Bescheid unterschreibt.

Dieses Papier nennt die Differenz zwischen formaler und materieller Zurechnung Zurechnungslücke. Es argumentiert, dass sie kein Übergangsproblem unreifer Technik ist, sondern eine strukturelle Eigenschaft arbeitsteilig erzeugter Entscheidungssysteme — und dass sie deshalb nicht technisch, sondern nur institutionell geschlossen werden kann.

2Forschungsstand und Abgrenzung

Die Arbeit knüpft an vier Stränge an und grenzt sich von ihnen ab.

Erstens die Forschung zur Verwaltungsautomatisierung. Bovens und Zouridis haben 2002 die Entwicklung von der street-level über die screen-level zur system-level bureaucracy beschrieben: Ermessen wandert von der Sachbearbeitung in die Systemarchitektur. Diese Beschreibung ist präzise, bleibt aber deskriptiv. Sie benennt die Verschiebung, ohne eine Zurechnungsordnung für den neuen Ort zu entwickeln.

Zweitens die rechtswissenschaftliche Debatte zu Art. 22 DSGVO. Der Gerichtshof der Europäischen Union hat mit dem SCHUFA-Urteil (C-634/21, 7. Dezember 2023) klargestellt, dass bereits ein maschinell erzeugter Wert eine automatisierte Entscheidung sein kann, wenn er die nachfolgende Entscheidung maßgeblich determiniert. Die Rechtsprechung arbeitet damit an der Grenze zwischen automatisierter und menschlicher Entscheidung. Sie beantwortet nicht, wem die Entscheidung zuzurechnen ist, wenn sie als automatisiert gilt.

Drittens die menschenrechtliche Literatur zum digitalen Wohlfahrtsstaat, für die der Bericht des UN-Sonderberichterstatters Alston (A/74/493, 2019) steht. Sie dokumentiert Schäden und benennt Grundrechtsverletzungen. Ihre Stoßrichtung ist Begrenzung, nicht Konstruktion.

Viertens die Rules-as-Code-Forschung, methodisch am weitesten entwickelt in der Arbeit an der Sprache Catala (Merigoux, Chataing, Protzenko 2021). Bemerkenswert ist, dass aus diesem Umfeld selbst die Warnung kommt, Recht nicht als ausführbaren Code für verbindlich zu erklären (Merigoux, Alauzen, Slimani 2023): Die Übersetzung einer Norm in Code ist eine Auslegungsentscheidung. Genau diese Einsicht ist der Ansatzpunkt dieser Arbeit — sie wird hier zurechnungstheoretisch weitergeführt.

Der Beitrag dieses Papiers liegt in der Verbindung: Es überträgt ein bereits andernorts formuliertes Asymmetrie-Theorem auf die Verwaltungsautomatisierung und gewinnt daraus konstruktive Bedingungen statt nur Begrenzungen.

3Theoretischer Rahmen: Risiko-Verfügungs-Asymmetrie

Das Papier stützt sich auf ein vom Verfasser in anderem Zusammenhang entwickeltes Rahmenwerk (FORSCH-0083). Dessen Grundfigur lässt sich knapp fassen.

Die Übertragung auf die automatisierte Verwaltung ergibt eine klare Zuordnung. Die Risikotragung ρ liegt vollständig bei der betroffenen Person: Sie verliert die Leistung, zahlt zurück, wird als Betrügerin geführt, verliert im äußersten Fall die Existenzgrundlage. Die Verfügung δ verteilt sich auf mehrere Träger, von denen keiner die Risikotragung teilt.

Tabelle 1: Verteilung von Verfügung und Risikotragung bei automatisierten Verwaltungsentscheidungen. Die Asymmetrie ist maximal: Der einzige Träger mit vollständiger Risikotragung hat keinerlei Verfügung.

Daraus folgt die zentrale These dieses Papiers:

Automatisierte Verwaltung verschärft die Risiko-Verfügungs-Asymmetrie nicht graduell, sondern strukturell — weil sie die Verfügung über eine Entscheidung zeitlich und organisatorisch von ihrer Wirkung trennt.

Die zeitliche Trennung ist dabei wesentlich. Im klassischen Verfahren fallen Entscheidung und Wirkung zusammen; die entscheidende Person sieht den Fall. Im automatisierten Verfahren liegt zwischen der Entscheidung (Spezifikation) und ihrer Wirkung (Bescheid) ein Zeitraum von Monaten bis Jahren und eine Vielzahl nicht vorhergesehener Einzelfälle. Rückkopplung findet nur statt, wenn sie eigens organisiert wird.

4Empirische Prüfung an vier Fällen

Die These wird an vier Fällen geprüft, die wegen ihrer Untersuchungsdichte ausgewählt wurden. Alle vier sind durch Gerichte, Untersuchungskommissionen oder Aufsichtsbehörden dokumentiert.

4.1SyRI (Niederlande, 2020)

Das Risikoerkennungssystem SyRI verknüpfte Registerdaten zur Betrugserkennung, eingesetzt schwerpunktmäßig in benachteiligten Stadtvierteln. Die Rechtbank Den Haag erklärte die Rechtsgrundlage am 5. Februar 2020 wegen Verstoßes gegen Art. 8 Abs. 2 EMRK für unverbindlich (ECLI:NL:RBDHA:2020:1878). Tragend war die fehlende Transparenz: Weder Betroffene noch Öffentlichkeit konnten nachvollziehen, welche Indikatoren wie gewichtet wurden.

Asymmetrie-Befund: δ war nicht einmal identifizierbar. Die Verfügung über die Indikatoren war so verteilt und so wenig dokumentiert, dass das Gericht die Verhältnismäßigkeit nicht prüfen konnte. Wo δ nicht bestimmbar ist, ist A nicht messbar und die Korrektur nur durch Abschaltung des Gesamtsystems möglich — was das Gericht faktisch anordnete.

4.2Toeslagenaffaire (Niederlande)

Über Jahre wurden Eltern, die Kinderbetreuungsbeihilfe bezogen, als Betrüger eingestuft und zur vollständigen Rückzahlung verpflichtet. Ab April 2013 war ein selbstlernendes Risikoklassifizierungsmodell im Einsatz, zu dessen Indikatoren die Staatsangehörigkeit gehörte. Der parlamentarische Untersuchungsbericht („Ongekend onrecht", Kamerstuk 35 510, 17. Dezember 2020) stellte einen schwerwiegenden Verstoß gegen rechtsstaatliche Grundprinzipien fest. Die meistzitierte Größenordnung des Kernskandals beträgt rund 26.000 zu Unrecht beschuldigte Eltern (2005–2019); die spätere Wiedergutmachungsoperation arbeitet mit weiterer Abgrenzung. Die Datenschutzaufsicht verhängte 2021 und 2022 Geldbußen von 2,75 und 3,7 Mio. Euro. Das Kabinett trat am 15. Januar 2021 zurück.

Asymmetrie-Befund: Der Fall zeigt die zeitliche Trennung in Reinform. Die folgenschwerste Verfügungsentscheidung — die Aufnahme der Staatsangehörigkeit als Indikator — lag Jahre vor den Schäden und wurde von Personen getroffen, die die späteren Einzelfälle nie sahen. Die politische Zurechnung erfolgte am Ende kollektiv (Rücktritt des Kabinetts), also gerade nicht als Zurechnung zu den Verfügungsträgern.

4.3Robodebt (Australien)

Die Sozialverwaltung errechnete Rückforderungen, indem sie Jahreseinkommensdaten rechnerisch auf Zwei-Wochen-Zeiträume herunterbrach und daraus Überzahlungen ableitete. Die Royal Commission (Bericht vom 7. Juli 2023, Commissioner Catherine Holmes, drei Bände, 57 Empfehlungen) bezeichnete das Schema als grob und grausam und stufte es als rechtswidrig ein. Ein Vergleich belief sich auf rund 1,8 Mrd. australische Dollar.

Asymmetrie-Befund: Der Fall widerlegt die verbreitete Annahme, das Zurechnungsproblem hänge an der Komplexität des Systems. Robodebt war keine künstliche Intelligenz, sondern eine arithmetische Annahme. Die Annahme war prüfbar und wurde nicht geprüft, weil niemand mit Verfügung über sie ein Risiko trug. Die Asymmetrie erzeugt den Schaden, nicht die Komplexität.

4.4AMAS (Österreich)

Das Arbeitsmarktservice entwickelte ein Modell zur Einstufung Arbeitsuchender nach prognostizierten Integrationschancen. Die Datenschutzbehörde untersagte den Einsatz im August 2020. Das Bundesverwaltungsgericht hob diesen Bescheid mit Erkenntnis vom 1. September 2025 auf (W256 2235360-1); maßgeblich war die Erwägung, die menschliche Letztentscheidung bleibe gewahrt. Das Projekt wurde nach der Datenlöschung 2020 nicht fortgeführt.

Asymmetrie-Befund: Der Fall markiert die Grenze der formalen Zurechnung. Rechtlich entscheidet ein Mensch; die Kritik richtete sich darauf, dass die verfügbare Beratungszeit eine eigenständige Prüfung des Vorschlags kaum zulässt. Formale Zurechnung ohne Prüfkapazität erzeugt eine Zurechnungsfiktion: Es gibt eine verantwortliche Person, aber keine wirksame Verfügung. Das ist der ungünstigste Fall — die Asymmetrie bleibt bestehen und wird zusätzlich unsichtbar.

Tabelle 2: Vergleich der vier Fälle. In keinem Fall bestand eine funktionierende Rückkopplung zwischen Schadenseintritt und Verfügungsträgern; in allen vier Fällen erfolgte die Korrektur von außen.

Die Auswertung stützt die These. In keinem der vier Fälle wurde der Fehler durch das System oder die verfügende Organisation selbst entdeckt und behoben. Die Korrektur kam in allen Fällen von außen — durch Gerichte, Untersuchungskommissionen oder Aufsichtsbehörden — und setzte jeweils voraus, dass Betroffene, Anwältinnen oder Journalisten den Fall zuvor öffentlich gemacht hatten.

5Acht Architekturbedingungen

Aus dem Befund werden acht Bedingungen abgeleitet. Sie sind so formuliert, dass ihre Einhaltung überprüfbar ist und in Beschaffungs- oder Genehmigungsverfahren abgefragt werden kann. Sie zielen sämtlich darauf, A zu verringern — entweder durch Erhöhung von ρ bei den Verfügungsträgern oder durch Erhöhung von δ bei den Risikoträgern.

Tabelle 3: Acht Architekturbedingungen zur Verringerung der Zurechnungslücke.

5.1Verhältnis zu bestehenden Regelungen

Mehrere Bedingungen haben Anknüpfungspunkte im geltenden Recht. Z2 und Z8 lassen sich auf das Transparenzargument des SyRI-Urteils und auf Informationsfreiheitsrecht stützen. Z4 und Z5 konkretisieren, was menschliche Beteiligung im Sinne von Art. 22 DSGVO in der Praxis erfordert, und knüpfen an die Determinierungsprüfung des SCHUFA-Urteils an. Die Grundrechte-Folgenabschätzung nach Art. 27 der KI-Verordnung ist der naheliegende Ort, an dem Z1 bis Z5 verfahrensmäßig abgefragt werden können.

Z6 und Z7 gehen über geltendes Recht hinaus und erfordern gesetzgeberisches Handeln. Sie sind der Kern des Vorschlags, weil sie als einzige die Asymmetrie an ihrer Wurzel angehen: Sie verschieben Risikotragung dorthin, wo Verfügung liegt.

5.2Einwand und Erwiderung

Gegen Z7 wird regelmäßig eingewandt, persönliche Haftung erzeuge Entscheidungsvermeidung: Wer haftet, entscheidet nicht mehr. Der Einwand ist ernst zu nehmen und in der Reichweite zu begrenzen.

Die hier vorgeschlagene Zurechnung knüpft nicht an die Entscheidung an, sondern an die Fortsetzung des Betriebs nach belegtem systemischem Fehler. Sanktioniert wird nicht das Entscheiden, sondern das Unterlassen der Korrektur. Damit entsteht kein Anreiz, Entscheidungen zu vermeiden, sondern einer, Fehlermeldungen ernst zu nehmen. In allen vier untersuchten Fällen lagen Hinweise auf systemische Fehler vor, bevor der Schaden sein volles Ausmaß erreichte.

6Grenzen

7Schluss

Die Zurechnungslücke ist keine Übergangserscheinung. Sie entsteht, sobald Entscheidungen arbeitsteilig und im Voraus getroffen werden, und sie wächst mit dem Automatisierungsgrad. Technikfolgenabschätzung, Datenschutzprüfung und Grundrechte-Folgenabschätzung sind notwendige Instrumente, schließen die Lücke aber nicht: Sie prüfen die Gestaltung, ohne die Zurechnung zu verschieben.

Geschlossen wird die Lücke nur, wenn Verfügung wieder mit Risikotragung verbunden wird. Das ist keine technische, sondern eine institutionelle Aufgabe — und sie ist, anders als die Technik, nicht delegierbar.

Ein System, dessen Fehler niemandem zurechenbar sind, korrigiert sich nicht. Es wird korrigiert — von außen, spät und teuer.

8Literatur und Quellen

• Alston, Philip (2019): Report of the Special Rapporteur on extreme poverty and human rights, UN-Dokument A/74/493.
• Autoriteit Persoonsgegevens (2021, 2022): Bußgeldbescheide vom 7. Dezember 2021 und 12. April 2022 (Belastingdienst/Toeslagen).
• Bovens, Mark / Zouridis, Stavros (2002): From street-level to system-level bureaucracies. Public Administration Review.
• Bundesverwaltungsgericht Österreich (2025): Erkenntnis vom 1. September 2025, W256 2235360-1.
• EuGH (2023): Urteil vom 7. Dezember 2023, Rechtssache C-634/21 (SCHUFA), ECLI:EU:C:2023:957.
• Herd, Pamela / Moynihan, Donald P. (2018): Administrative Burden. Policymaking by Other Means. Russell Sage Foundation.
• Merigoux, Denis / Chataing, Nicolas / Protzenko, Jonathan (2021): Catala: A Programming Language for the Law, arXiv:2103.03198.
• Merigoux, Denis / Alauzen, Marie / Slimani, Lilya (2023): Beitrag zur Kritik an Recht als ausführbarem Code. Journal of Cross-disciplinary Research in Computational Law.
• Parlementaire ondervragingscommissie Kinderopvangtoeslag (2020): Ongekend onrecht. Tweede Kamer, Kamerstuk 35 510.
• Rechtbank Den Haag (2020): Urteil vom 5. Februar 2020, ECLI:NL:RBDHA:2020:1878 (SyRI).
• Royal Commission into the Robodebt Scheme (2023): Abschlussbericht vom 7. Juli 2023, Commissioner C. Holmes.
• Schüller, Thomas (2026a): Risiko-Verfügungs-Asymmetrie (ρ/δ), FORSCH-0083. Syntagma Forschung, Wien.
• Schüller, Thomas (2026b): Digitales Amt Österreich. Ein Reformkonzept, Fassung v9.0. Syntagma Forschung, Wien. CC BY-SA 4.0.
• Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 22 und Art. 35.
• Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Anhang III und Art. 27.

Zitationsvorschlag

1Problem

Administrative digitalisation is predominantly discussed as a question of efficiency. That perspective is legitimate and incomplete. It overlooks a change that occurs structurally with the automation of decisions and that no efficiency measure captures: the displacement of attribution.

Administrative law presupposes that a decision can be attributed to someone. Duty to give reasons, legal remedies, supervision and, in cases of damage, liability all depend on this. In the classical administrative act the presupposition is unproblematic: there is an acting person, an authority, a file.

In automated decisions this unity dissolves. The effect arises in the individual case, but the decision was made earlier — in specification, in the selection of indicators, in implementation, in procurement. It was made by several bodies in a division of labour, at different times, without knowledge of the later individual case. Formally the authority remains competent. Materially the decision was made in a place where nobody signs a notice.

This paper calls the difference between formal and material attribution the attribution gap. It argues that this is not a transitional problem of immature technology but a structural property of decision systems produced through a division of labour — and that it therefore cannot be closed technically, only institutionally.

2State of research

The paper builds on four strands and delimits itself from each.

First, research on administrative automation. Bovens and Zouridis described in 2002 the development from street-level through screen-level to system-level bureaucracy: discretion migrates from case handling into system architecture. The description is precise but remains descriptive. It names the displacement without developing an attribution order for the new location.

Second, the legal debate on Art. 22 GDPR. In the SCHUFA judgment (C-634/21, 7 December 2023) the Court of Justice clarified that a machine-generated value may itself constitute an automated decision where it substantially determines the subsequent decision. Case law thus works on the boundary between automated and human decision. It does not answer to whom the decision is attributable once it counts as automated.

Third, human rights scholarship on the digital welfare state, represented by the report of the UN Special Rapporteur Alston (A/74/493, 2019). It documents harm and identifies rights violations. Its thrust is limitation, not construction.

Fourth, rules-as-code research, methodologically most advanced in work on the Catala language (Merigoux, Chataing, Protzenko 2021). Notably, the warning against declaring law binding in the form of executable code comes from that same environment (Merigoux, Alauzen, Slimani 2023): translating a norm into code is itself an act of interpretation. That insight is the point of departure here; it is developed further in terms of attribution theory.

The contribution of this paper lies in the combination: it transfers an asymmetry theorem formulated elsewhere to administrative automation and derives constructive conditions from it rather than limitations alone.

3Theoretical framework

The paper draws on a framework developed by the author in another context (FORSCH-0083). Its basic figure can be stated briefly.

Applied to automated administration, the allocation is clear. Risk bearing ρ lies entirely with the affected person: they lose the benefit, repay, are recorded as a fraudster, and in extreme cases lose their livelihood. Disposition δ is distributed across several bearers, none of whom shares the risk.

Table 1: Distribution of disposition and risk bearing in automated administrative decisions. The asymmetry is maximal: the only bearer with complete risk bearing has no disposition whatsoever.

Automated administration does not aggravate the risk–disposition asymmetry gradually but structurally — because it separates disposition over a decision from its effect, in time and in organisation.

The temporal separation is essential. In the classical procedure, decision and effect coincide; the deciding person sees the case. In the automated procedure, months or years and a multitude of unforeseen individual cases lie between the decision (specification) and its effect (notice). Feedback occurs only if it is deliberately organised.

4Empirical testing: four cases

The thesis is tested against four cases selected for their density of documentation. All four are documented by courts, commissions of inquiry or supervisory authorities.

4.1SyRI (Netherlands, 2020)

The risk indication system SyRI linked register data for fraud detection, deployed primarily in disadvantaged neighbourhoods. On 5 February 2020 the District Court of The Hague declared the legal basis non-binding for violation of Art. 8(2) ECHR (ECLI:NL:RBDHA:2020:1878). The lack of transparency was decisive: neither those affected nor the public could reconstruct which indicators were weighted how.

Asymmetry finding: δ was not even identifiable. Disposition over the indicators was so distributed and so poorly documented that the court could not examine proportionality. Where δ cannot be determined, A cannot be measured and correction is possible only by shutting the entire system down — which the court effectively ordered.

4.2Childcare benefits scandal (Netherlands)

Over years, parents receiving childcare benefits were classified as fraudsters and required to repay in full. From April 2013 a self-learning risk classification model was in use, among whose indicators was nationality. The parliamentary inquiry report ("Ongekend onrecht", Kamerstuk 35 510, 17 December 2020) found a serious violation of fundamental rule-of-law principles. The most frequently cited magnitude of the core scandal is some 26,000 wrongly accused parents (2005–2019); the later redress operation uses a different delimitation. The data protection authority imposed fines of EUR 2.75 million and EUR 3.7 million in 2021 and 2022. The cabinet resigned on 15 January 2021.

Asymmetry finding: the case displays temporal separation in pure form. The most consequential act of disposition — including nationality as an indicator — preceded the damage by years and was taken by people who never saw the later individual cases. Political attribution ultimately occurred collectively (cabinet resignation), that is, precisely not as attribution to the bearers of disposition.

4.3Robodebt (Australia)

The social administration calculated debts by averaging annual income data across fortnightly periods and inferring overpayments. The Royal Commission (report of 7 July 2023, Commissioner Catherine Holmes, three volumes, 57 recommendations) called the scheme crude and cruel and found it unlawful. A settlement amounted to approximately AUD 1.8 billion.

Asymmetry finding: the case refutes the widespread assumption that the attribution problem depends on system complexity. Robodebt was not artificial intelligence but an arithmetic assumption. The assumption was checkable and was not checked, because nobody with disposition over it bore any risk. Asymmetry produces the harm, not complexity.

4.4AMAS (Austria)

The Public Employment Service developed a model classifying job seekers by predicted labour market integration prospects. The Data Protection Authority prohibited deployment in August 2020. The Federal Administrative Court set that decision aside on 1 September 2025 (W256 2235360-1), reasoning that human final decision-making remained intact. The project was not continued after data deletion in 2020.

Asymmetry finding: the case marks the limit of formal attribution. Legally a human decides; criticism focused on whether the available consultation time permits independent examination of the proposal. Formal attribution without examination capacity produces an attribution fiction: there is a responsible person but no effective disposition. This is the least favourable case — the asymmetry persists and additionally becomes invisible.

Table 2: Comparison of the four cases. In no case did functioning feedback exist between the occurrence of harm and the bearers of disposition; in all four, correction came from outside.

5Eight architectural conditions

Eight conditions are derived from the findings. They are formulated so that compliance is verifiable and can be required in procurement or authorisation procedures. All aim to reduce A — either by increasing ρ for bearers of disposition or by increasing δ for bearers of risk.

Table 3: Eight architectural conditions for reducing the attribution gap.

Several conditions have anchors in existing law. Z2 and Z8 can rest on the transparency reasoning of the SyRI judgment and on freedom of information law. Z4 and Z5 specify what human involvement under Art. 22 GDPR requires in practice and connect to the determination test of the SCHUFA judgment. The fundamental rights impact assessment under Art. 27 of the AI Regulation is the obvious procedural place to require Z1 to Z5.

Z6 and Z7 go beyond existing law and require legislative action. They are the core of the proposal because they alone address the asymmetry at its root: they move risk bearing to where disposition lies.

Against Z7 it is regularly objected that personal liability produces decision avoidance. The objection must be taken seriously and the scope limited accordingly. The attribution proposed here attaches not to the decision but to the continuation of operation after an established systemic error. What is sanctioned is not deciding but failing to correct. This creates no incentive to avoid decisions, but an incentive to take error reports seriously. In all four cases examined, indications of systemic error existed before the damage reached its full extent.

6Limitations

7Conclusion

The attribution gap is not a transitional phenomenon. It arises as soon as decisions are made in advance and through a division of labour, and it grows with the degree of automation. Technology assessment, data protection impact assessment and fundamental rights impact assessment are necessary instruments but do not close the gap: they examine design without shifting attribution.

The gap closes only where disposition is reconnected with risk bearing. That is not a technical task but an institutional one — and unlike the technology, it cannot be delegated.

A system whose errors are attributable to no one does not correct itself. It gets corrected — from outside, late and expensively.