Was ist Profiling?
Dein Shop zeigt einer Kundin Laufschuhe, weil sie letzte Woche Sporthosen angesehen hat. Dein CRM gibt einem Kontakt 80 Punkte, weil er dreimal die Preisseite geöffnet hat. Beides ist Profiling im Sinne der DSGVO.
Art. 4 Nr. 4 DSGVO beschreibt Profiling als jede Art der automatisierten Verarbeitung personenbezogener Daten, mit der persönliche Aspekte eines Menschen bewertet werden — vor allem, um Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben, Interessen, Zuverlässigkeit, Verhalten oder Aufenthaltsort zu analysieren oder vorherzusagen.
Die Leitlinien der europäischen Datenschutzbehörden (WP251, vom Europäischen Datenschutzausschuss übernommen) nennen drei Merkmale: Die Verarbeitung ist automatisiert, sie betrifft personenbezogene Daten, und ihr Ziel ist die Bewertung persönlicher Aspekte. Wichtig: Das Gesetz sagt „jede Art“ automatisierter Verarbeitung. Ein Mensch im Prozess macht aus Profiling also kein Nicht-Profiling.
Keine Profilbildung ist laut WP251 dagegen eine reine Einteilung nach Alter oder Geschlecht für Statistiken, ohne Aussagen über einzelne Personen.
Profiling ist nicht gleich verboten
Der häufigste Irrtum: „Profiling ist nach der DSGVO verboten.“ Stimmt nicht. Die Leitlinien unterscheiden drei Stufen:
Stufe
Was gilt
Profiling allgemein
erlaubt mit Rechtsgrundlage und Transparenz
Mensch entscheidet anhand des Profils
wie oben, plus echte menschliche Prüfung
Maschine entscheidet allein
bei erheblicher Wirkung grundsätzlich verboten
Die dritte Stufe regelt Art. 22 DSGVO: Niemand muss sich einer ausschließlich automatisierten Entscheidung unterwerfen, die ihm gegenüber rechtliche Wirkung entfaltet oder ihn ähnlich erheblich beeinträchtigt. Ausnahmen gibt es nur, wenn die Entscheidung für einen Vertrag nötig ist, ein Gesetz sie erlaubt oder eine ausdrückliche Einwilligung vorliegt. Erwägungsgrund 71 nennt als Beispiele die automatische Ablehnung eines Online-Kreditantrags oder Bewerbungsverfahren ohne menschliches Zutun.
Ein Mensch, der nur abnickt, reicht nicht: WP251 verlangt echte Aufsicht durch jemanden, der befugt und fähig ist, die Entscheidung zu ändern, keine „symbolische Geste“. Der Europäische Gerichtshof hat 2023 im SCHUFA-Urteil (C-634/21) außerdem entschieden, dass schon ein Score selbst eine solche Entscheidung sein kann, wenn Banken ihm eine maßgebliche Rolle beimessen.
Profiling in der Werbung
Personalisierte Werbung erreicht die Schwelle von Art. 22 in vielen typischen Fällen nicht. WP251 nennt als Beispiel Modewerbung an Frauen zwischen 25 und 35 in einer Stadt. Erheblich kann es werden bei eingriffsintensivem Tracking über viele Websites und Geräte oder wenn Schwächen ausgenutzt werden — etwa teure Kredite für Menschen in Geldnot. Bei Kindern sollen Unternehmen generell auf Werbe-Profiling verzichten.
Spannender für dich ist die Frage der Rechtsgrundlage. Die deutschen Datenschutzbehörden (DSK) sagen in ihrer Orientierungshilfe zur Direktwerbung von 2022:
- Werbung an alle Kunden oder nach grober Auswahl wie Postleitzahl, ohne zusätzlichen Erkenntnisgewinn: in der Regel über berechtigtes Interesse möglich.
- Detaillierte Profile und Verhaltensprognosen für Werbung: nach Auffassung der Behörden nur mit ausdrücklicher Einwilligung. Der Verweis auf das Widerspruchsrecht reicht dann nicht.
- Werbescores mit Daten aus externen Quellen wie sozialen Netzwerken: überwiegen in der Regel die Interessen der Betroffenen.
In der Fachliteratur ist diese strenge Linie umstritten. Der EuGH hat 2023 im Verfahren Meta gegen Bundeskartellamt (C-252/21) aber ebenfalls entschieden, dass personalisierte Werbung allein keine Datenverarbeitung ohne Einwilligung über berechtigtes Interesse rechtfertigt.
Häufige Fehler
Fehler 1 · „Profiling ist verboten, also machen wir keins“
Dann machst du es trotzdem — nur ohne es zu wissen. Lead Scoring, Retargeting-Listen und Produktempfehlungen erfüllen meist die Definition. Besser: erkennen, dokumentieren, Rechtsgrundlage klären.
Fehler 2 · Abmelde-Link statt Einwilligung
Wer detaillierte Verhaltensprofile für Werbung baut und sich nur auf berechtigtes Interesse plus Widerspruchsmöglichkeit stützt, steht nach Ansicht der deutschen Aufsichtsbehörden auf dünnem Eis.
Fehler 3 · Den Widerspruchshinweis verstecken
Ein Satz tief in der Datenschutzerklärung erfüllt Art. 21 Abs. 4 nicht. Der Hinweis muss verständlich und getrennt kommen — und ein Widerspruch muss unverzüglich umgesetzt werden.
Fehler 4 · Segmente mit Profilen verwechseln
Umgekehrt gilt: Eine fiktive Buyer Persona oder eine grobe Statistik ohne Aussage über einzelne Menschen ist kein Profiling. Nicht jede Zielgruppe macht dich zum Datenschutzfall.
So gehst du mit Profiling sauber um
- Bestandsaufnahme: Wo bewerten deine Tools Menschen automatisch? CRM, E-Mail-Tool, Shop, Werbekonten.
- Stufe einordnen: Entscheidet am Ende ein Mensch oder die Maschine, und wie erheblich ist die Wirkung?
- Rechtsgrundlage klären: grobe Selektion oder detailliertes Profil? Im Zweifel Einwilligung, zum Beispiel über deine Consent-Management-Plattform.
- Transparent informieren: in der Datenschutzerklärung und mit gesondertem Widerspruchshinweis.
- Widersprüche technisch umsetzen: Kontakt sofort aus Scoring und Werbe-Segmenten nehmen.
- Bei erheblicher Wirkung eine Datenschutz-Folgenabschätzung prüfen (Art. 35 DSGVO).
Häufige Fragen
Ist Profiling nach der DSGVO erlaubt?
Ja, grundsätzlich schon. Es braucht eine Rechtsgrundlage, muss transparent sein und unterliegt dem Widerspruchsrecht. Grundsätzlich verboten ist nur die ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO.
Was ist der Unterschied zwischen Profiling und automatisierter Entscheidung?
Profiling ist die Bewertung eines Menschen anhand seiner Daten. Eine automatisierte Entscheidung ist das, was danach ohne menschliches Zutun passiert, etwa die Ablehnung eines Kreditantrags. Art. 22 regelt nur diese Entscheidung, und auch nur, wenn sie erheblich wirkt.
Brauche ich für Lead Scoring eine Einwilligung?
Pauschal lässt sich das nicht sagen. Lead Scoring erfüllt meist die Definition von Profiling. Nach Auffassung der deutschen Datenschutzbehörden brauchen detaillierte Profile und Verhaltensprognosen für Direktwerbung eine ausdrückliche Einwilligung. Lass deinen Fall prüfen.
Kann ich dem Profiling widersprechen?
Gegen Profiling für Direktwerbung ja, jederzeit und ohne Begründung (Art. 21 Abs. 2 DSGVO). Das Unternehmen darf deine Daten danach nicht mehr für diesen Zweck nutzen.
Was hat das SCHUFA-Urteil mit Profiling zu tun?
Der EuGH hat im Dezember 2023 entschieden, dass ein Score selbst schon eine automatisierte Entscheidung im Sinne von Art. 22 sein kann, wenn die Empfänger ihn maßgeblich für ihre Entscheidung nutzen. Das betrifft vor allem Bonitäts-Scores, zeigt aber, dass ein Mensch am Ende nicht automatisch alles heilt.
