Kurzdefinition: Profiling ist die automatisierte Bewertung persönlicher Aspekte einer Person. Art. 4 Nr. 4 DSGVO definiert den Begriff, der etwa Scoring, Tracking und Prognosen erfasst. [N-DSGVO-4]
Der Normwortlaut
Art. 4 Nr. 4 DSGVO definiert Profiling als „jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen“. [N-DSGVO-4]
Was ist Profiling?
Die automatisierte Bewertung von Personen anhand ihrer Daten. Erfasst ist jede automatisierte Verarbeitung, die persönliche Aspekte bewertet — von der Kreditwürdigkeitsprüfung über Werbe-Tracking bis zur Verhaltensprognose. Entscheidend ist der bewertende, vorhersagende Charakter: Aus vorhandenen Daten werden Rückschlüsse auf Merkmale, Verhalten oder Entwicklung einer Person gezogen. [N-DSGVO-4]
Ist Profiling erlaubt?
Ja, aber nur nach den allgemeinen Regeln der DSGVO. Profiling ist keine verbotene Verarbeitung, benötigt aber wie jede Verarbeitung eine Rechtsgrundlage, Transparenz und die Wahrung der Betroffenenrechte. Besondere Grenzen gelten, wenn das Profiling in eine allein automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung mündet — dann ist zusätzlich Art. 22 DSGVO zu prüfen. [N-DSGVO-4] [N-DSGVO-22]
Wann ist eine Datenschutz-Folgenabschätzung nötig?
Bei systematischer, umfangreicher Bewertung. Führt das Profiling zu einer systematischen und umfassenden Bewertung persönlicher Aspekte, auf die sich Entscheidungen mit erheblicher Wirkung stützen, kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein. Wer intensiv profiliert, sollte das Risiko vorab strukturiert bewerten. [N-DSGVO-4] [N-DSGVO-35]
Welche Rolle spielt die IT-Sicherheit beim Profiling?
Sie schützt besonders sensible Auswertungsergebnisse. Profiling erzeugt aussagekräftige Persönlichkeitsprofile, deren Missbrauch erhebliche Folgen hätte. Angemessene technische und organisatorische Maßnahmen — Zugriffsschutz, Pseudonymisierung, Verschlüsselung — sind daher gerade beim Profiling wichtig, um die Ergebnisse vor unbefugtem Zugriff zu schützen. [N-DSGVO-4]
Welche Aspekte bewertet Profiling typischerweise?
Persönliche Merkmale. Art. 4 Nr. 4 DSGVO nennt beispielhaft die Analyse oder Vorhersage von Aspekten bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel einer natürlichen Person. [N-DSGVO-4]
Ist Profiling dasselbe wie eine automatisierte Entscheidung?
Nein. Profiling ist die automatisierte Bewertung persönlicher Aspekte. Die ausschließlich automatisierte Einzelentscheidung mit rechtlicher oder ähnlich erheblicher Wirkung regelt zusätzlich Art. 22 DSGVO. Profiling kann Grundlage einer solchen Entscheidung sein, ist mit ihr aber nicht gleichzusetzen. [N-DSGVO-4] [N-DSGVO-22]
Häufige Fehlannahmen
- „Profiling ist grundsätzlich verboten.“ Nein. Es ist zulässig, unterliegt aber den allgemeinen DSGVO-Regeln. [N-DSGVO-4]
- „Nur Scoring ist Profiling.“ Nein. Erfasst ist jede automatisierte Bewertung persönlicher Aspekte, auch Tracking und Prognosen. [N-DSGVO-4]
- „Profiling und automatisierte Entscheidung sind dasselbe.“ Nein. Profiling ist die Bewertung; die automatisierte Einzelentscheidung mit rechtlicher oder ähnlich erheblicher Wirkung regelt zusätzlich Art. 22 DSGVO. [N-DSGVO-4] [N-DSGVO-22]
- „Profiling ist jede beliebige Datenauswertung.“ Nein. Erfasst ist die automatisierte Verarbeitung personenbezogener Daten zur Bewertung bestimmter persönlicher Aspekte, etwa Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben oder Verhalten. [N-DSGVO-4]
- „Jede automatisierte Entscheidung ist unzulässig.“ Nicht pauschal. Das Verbot des Art. 22 DSGVO greift nur, wenn eine ausschließlich automatisierte Entscheidung rechtliche Wirkung entfaltet oder die Person in ähnlicher Weise erheblich beeinträchtigt. [N-DSGVO-22]
Was die Geschäftsleitung tun sollte
- Profiling erkennen. Automatisierte Bewertungen im Unternehmen identifizieren.
- Rechtsgrundlage sichern. Zulässigkeit und Transparenz jeder Auswertung klären.
- DSFA prüfen. Bei umfangreichem Profiling eine Folgenabschätzung erwägen.
- Ergebnisse schützen. Profile technisch und organisatorisch absichern.
Für die Geschäftsleitung
Art. 4 Nr. 4 DSGVO fasst unter Profiling jede automatisierte Bewertung von Personen — von Scoring bis Verhaltensprognose. Es ist erlaubt, aber anspruchsvoll: Rechtsgrundlage, Transparenz, gegebenenfalls Folgenabschätzung und ein wirksamer Schutz der Profile gehören zusammen.
Quellen
- [N-DSGVO-4] Art. 4 Nr. 4 DSGVO (Begriffsbestimmung Profiling). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-22] Art. 22 DSGVO (Automatisierte Entscheidungen im Einzelfall einschließlich Profiling), konsolidierte Zitierstelle in `DSGVO_konsolidiert_02016R0679_Zitierstellen.md`. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-35] Art. 35 DSGVO (Datenschutz-Folgenabschätzung), Abs. 1 und 3, konsolidierte Zitierstelle in `DSGVO_konsolidiert_02016R0679_Zitierstellen.md`. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
