Profiling bezeichnet jede Form der automatisierten Verarbeitung personenbezogener Daten, bei der diese Daten genutzt werden, um bestimmte persönliche Aspekte einer Person zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben oder Verhalten zu analysieren oder vorherzusagen.
Beim Profiling werden einzelne Datenpunkte zu einem Bild zusammengesetzt, aus dem automatisiert Rückschlüsse auf eine Person gezogen werden – etwa ihre voraussichtliche Kreditwürdigkeit, ihr Kaufverhalten oder ihr Krankheitsrisiko. Die Datenschutz-Grundverordnung definiert Profiling als eigenständigen Rechtsbegriff, weil solche Bewertungen erhebliche Auswirkungen auf Betroffene haben können, auch wenn kein Mensch jeden Einzelfall prüft.
Grundlage ist ein Algorithmus, der aus vorhandenen Datenpunkten – etwa Einkaufshistorie, Standortdaten oder Nutzungsverhalten – statistische Muster ableitet und daraus eine Bewertung, einen Score oder eine Vorhersage für eine konkrete Person erstellt. Die DSGVO verlangt dafür eine geeignete Rechtsgrundlage und räumt Betroffenen besondere Rechte ein, etwa auf Information über die beteiligte Logik. Führt das Profiling zu einer Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung, die ausschließlich automatisiert getroffen wird, gelten zusätzliche Schutzvorgaben nach Artikel 22 DSGVO.
Eine Bank nutzt ein automatisiertes Verfahren, das aus Einkommen, Zahlungsverhalten und weiteren Merkmalen einen Bonitäts-Score berechnet. Dieser Score fließt in die Entscheidung über eine Kreditvergabe ein – ein klassischer Fall von Profiling mit potenziell erheblicher Wirkung für die betroffene Person.
Profiling wird unter anderem für Bonitätsprüfungen, personalisierte Werbung, Betrugserkennung, Risikobewertungen in Versicherungen und die Segmentierung von Kundengruppen eingesetzt. Es bildet damit die rechtliche Klammer um viele datengetriebene Entscheidungsprozesse.
Profiling ist nicht per se verboten, unterliegt aber strengen Transparenz- und Rechtsgrundlagenanforderungen; besonders strikt geregelt sind ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung, die grundsätzlich nur in engen Ausnahmefällen zulässig sind. Häufig wird zudem übersehen, dass bereits die Erstellung eines Profils – unabhängig davon, ob es tatsächlich für eine Entscheidung genutzt wird – als Profiling im Sinne der DSGVO gilt.
Nicht zu verwechseln mit Tracking: Tracking beschreibt die technische Erfassung von Nutzungsdaten, während Profiling die darauf aufbauende Auswertung und Bewertung einer Person ist. Ebenfalls abzugrenzen ist Microtargeting: Microtargeting nutzt Profile, um Werbung gezielt auszuspielen, ist also eine konkrete Anwendung, nicht der Bewertungsprozess selbst.