Profiling

Umfang

Die DSGVO definiert Profiling als jede Art der automatisierten Verarbeitung personenbezogener Daten, die dazu verwendet wird, bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser Person zu analysieren oder vorherzusagen (Art. 4 Nr. 4). Dieselbe Verordnung räumt der Person das Recht ein, keiner ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, und sieht Ausnahmen wie Vertrag, Rechtsordnung oder ausdrückliche Einwilligung vor (Art. 22). Im Gesetz Nr. 6698 ist das Profiling nicht gesondert geregelt; da Profiling eine Tätigkeit der Verarbeitung personenbezogener Daten ist, gelten die allgemeinen Grundsätze und Verarbeitungsvoraussetzungen des Gesetzes, und die betroffene Person kann einem Ergebnis widersprechen, das sich aus einer ausschließlich automatisierten Analyse zu ihrem Nachteil ergibt (Art. 4, 5, 11/1-g). Art. 25/A der Verordnung über kommerzielle Werbung und unlautere Geschäftspraktiken, der am 1. August 2026 in Kraft getreten ist, untersagt zielgerichtete Werbung mittels auf personenbezogenen Daten beruhender Profiling-Methoden, wenn bekannt ist oder vernünftigerweise erwartet werden kann, dass der Verbraucher ein Kind ist.

Bedeutung in der Praxis

Kreditbewertung, Versicherungstarifierung, Personaleinstellung, Betrugserkennung und zielgerichtete Werbung sind verbreitete Einsatzfelder des Profilings. Ein Verantwortlicher, der Profiling betreibt, muss diesen Zweck im Datenschutzhinweis bestimmt und klar angeben, die Verarbeitungsvoraussetzung benennen, auf die er sich stützt, und prüfen, ob durch das Profiling mittelbar besondere Kategorien personenbezogener Daten (z. B. Gesundheitsinformationen) entstehen. Für in der EU tätige Unternehmen stuft die EU-KI-Verordnung KI-Systeme, die in den in Anhang III der Verordnung aufgeführten Bereichen Profiling natürlicher Personen vornehmen, in jedem Fall als Hochrisiko-Systeme ein (Art. 6 Abs. 3).

Häufig verwechselte Begriffe

Profiling und automatisierte Entscheidungsfindung sind nicht dasselbe: Profiling ist eine Verarbeitungstätigkeit, die eine Person bewertet; die auf dieser Bewertung beruhende Entscheidung ohne menschliches Eingreifen ist eine eigene Stufe, und das Widerspruchsrecht ist gerade im Hinblick auf dieses Ergebnis von Bedeutung. Profiling ist auch nicht mit zielgerichteter Werbung identisch; zielgerichtete Werbung ist eine der Anwendungen, bei denen Profiling eingesetzt werden kann. Der beim Profiling verwendete Algorithmus wiederum ist das technische Mittel der Tätigkeit.