Was ist Profiling?

Wann wird Personalisierung zum Profiling?

Die DSGVO definiert Profiling als automatisierte Verarbeitung, die personenbezogene Daten nutzt, um persönliche Aspekte einer natürlichen Person zu bewerten – insbesondere Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel zu analysieren oder vorherzusagen. Im Marketing sind das zum Beispiel Affinitäts- und Lead-Scores oder Prognosen, wer wahrscheinlich kündigt.

Für Direktwerbung ist die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO oft die Rechtsgrundlage. Nach Auffassung der deutschen Aufsichtsbehörden sprechen eingriffsintensive Maßnahmen – automatisierte Selektionsverfahren zur Erstellung detaillierter Profile, Verhaltensprognosen oder Analysen, die zu zusätzlichen Erkenntnissen führen – jedoch eher dafür, dass die Interessen der Betroffenen überwiegen; dann wird in der Regel eine Einwilligung erforderlich (DSK-Orientierungshilfe Direktwerbung, Februar 2022).

Betroffene können der Verarbeitung für Direktwerbung jederzeit widersprechen; das gilt auch für damit verbundenes Profiling (Art. 21 Abs. 2 DSGVO). Art. 22 DSGVO schützt vor ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Bei systematischer und umfassender Bewertung persönlicher Aspekte ist eine Datenschutz-Folgenabschätzung zu prüfen (Art. 35 DSGVO).