Profiling nach DSGVO – Was Unternehmen beachten müssen

Inhalt in Kürze

• Profiling ist nach DSGVO jede automatisierte Datenverarbeitung, die persönliche Aspekte wie Kaufverhalten oder Bonität bewertet – und betrifft auch einfache Kundensegmentierungen.
• Unternehmen brauchen eine Rechtsgrundlage, müssen Betroffene transparent informieren und das Profiling im Verarbeitungsverzeichnis dokumentieren.
• Automatisierte Einzelentscheidungen auf Basis von Profiling sind nach Art. 22 DSGVO grundsätzlich verboten – es sei denn, eine Ausnahme greift.
• Wer die Pflichten ignoriert, riskiert Bußgelder bis 20 Mio. Euro oder 4 % des Jahresumsatzes.

Kundendaten auswerten, Zielgruppen segmentieren, Kaufverhalten analysieren – das gehört zum Alltag vieler Unternehmen. Ob Newsletter-Personalisierung, Bonitätsprüfung oder dynamische Preisgestaltung: Sobald personenbezogene Daten automatisiert verarbeitet werden, um persönliche Merkmale zu bewerten, sprechen wir von Profiling. Und genau hier setzt die DSGVO klare Grenzen.

Trotzdem ist Profiling nicht verboten. Es muss nur richtig gemacht werden. Dieser Artikel zeigt Ihnen, was Profiling rechtlich bedeutet, welche Pflichten Sie als Unternehmen haben und wie Sie Kundendatenanalyse DSGVO-konform umsetzen.

Was ist Profiling – und was nicht?

Art. 4 Nr. 4 DSGVO definiert Profiling als jede automatisierte Verarbeitung personenbezogener Daten, die darin besteht, persönliche Aspekte einer natürlichen Person zu bewerten. Dazu zählen Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben, Interessen, Zuverlässigkeit, Verhalten oder Aufenthaltsort.

Typische Profiling-Beispiele im Unternehmensalltag:

• Kundensegmentierung nach Kaufverhalten für gezieltes Marketing
• Scoring zur Bewertung von Kreditwürdigkeit oder Zahlungsmoral
• Verhaltensbasierte Produktempfehlungen im Online-Shop
• Leistungsbewertung und Potenzialanalyse von Mitarbeitenden
• Betrugserkennung durch Analyse von Transaktionsmustern

Kein Profiling liegt vor, wenn Sie Daten rein manuell auswerten – etwa wenn ein Sachbearbeiter Kundenakten durchsieht. Entscheidend ist die automatisierte Verarbeitung.

Rechtsgrundlagen für Profiling im Unternehmen

Profiling ist nicht per se verboten. Sie brauchen aber eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO. Welche passt, hängt vom konkreten Einsatzzweck ab.

Bei automatisierten Einzelentscheidungen nach Art. 22 DSGVO gelten strengere Voraussetzungen: Hier reicht ein berechtigtes Interesse nicht aus. Sie brauchen entweder eine ausdrückliche Einwilligung, eine vertragliche Erforderlichkeit oder eine gesetzliche Grundlage.

Die 5 DSGVO-Pflichten beim Profiling

1. Rechtsgrundlage festlegen: Bestimmen Sie für jedes Profiling-Verfahren die passende Rechtsgrundlage nach Art. 6 DSGVO. Dokumentieren Sie Ihre Abwägung – besonders beim berechtigten Interesse.
2. Betroffene transparent informieren: Nach Art. 13/14 DSGVO müssen Sie über das Profiling, die verwendete Logik und die Tragweite für Betroffene aufklären. Verstecken Sie diese Angaben nicht in den Tiefen Ihrer Datenschutzerklärung.
3. Widerspruchsrecht sicherstellen: Betroffene haben nach Art. 21 DSGVO das Recht, dem Profiling jederzeit zu widersprechen. Stellen Sie sicher, dass dieser Widerspruch technisch und organisatorisch umsetzbar ist.
4. Datenschutz-Folgenabschätzung (DSFA) prüfen: Bei systematischem und umfassendem Profiling ist eine DSFA nach Art. 35 DSGVO Pflicht. Das BfDI stellt Orientierungshilfen bereit.
5. Im Verarbeitungsverzeichnis dokumentieren: Jedes Profiling-Verfahren gehört ins Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO – mit Zweck, Rechtsgrundlage, betroffenen Datenkategorien und Löschfristen.

Aus der Praxis

Viele Geschäftsführer unterschätzen, wie schnell alltägliche Datenanalysen unter den Profiling-Begriff fallen. Schon eine einfache Newsletter-Segmentierung nach Kaufhistorie kann Profiling sein. Das muss kein Problem werden – wenn Sie die Spielregeln kennen.

„Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen."

Nils OehmichenDatenschutzberater bei frag.hugo

Wir sehen das bei unseren Mandanten regelmäßig: Ein mittelständischer Online-Shop segmentiert seine Kunden nach Kaufverhalten, um gezieltere Newsletter zu versenden. Rechtlich ist das unproblematisch – solange die Datenschutzerklärung darüber informiert, ein Widerspruchsweg existiert und das Verfahren dokumentiert ist. Kritisch wird es erst, wenn auf Basis dieser Daten automatisiert Entscheidungen getroffen werden – etwa die Ablehnung eines Ratenkaufs ohne menschliche Prüfung.

Der Unterschied zwischen „erlaubt mit wenig Aufwand" und „hochriskant" liegt oft nur in einem Schritt: ob ein Mensch die finale Entscheidung trifft oder nicht.

Fazit: Profiling ja – aber mit klaren Regeln

Profiling ist ein wertvolles Instrument für Marketing, Risikomanagement und Produktentwicklung. Die DSGVO verbietet es nicht. Sie verlangt aber Transparenz, eine saubere Rechtsgrundlage und den Schutz der Betroffenenrechte.

Starten Sie mit einer Bestandsaufnahme: Welche Ihrer Datenverarbeitungen sind Profiling? Gibt es automatisierte Entscheidungen? Ist alles im Verarbeitungsverzeichnis erfasst? Wenn Sie bei einer dieser Fragen unsicher sind, holen Sie sich Unterstützung – etwa durch einen externen Datenschutzbeauftragten.

Nutzen Sie auch unseren kostenlosen DSGVO-Website-Check, um einen ersten Eindruck zu bekommen, wie es um den Datenschutz auf Ihrer Website steht. Einen Überblick über alle Datenschutzleistungen finden Sie auf unserer Leistungsseite.

Häufige Fragen (FAQ)

Was ist Profiling nach DSGVO?

Jede automatisierte Verarbeitung personenbezogener Daten zur Bewertung persönlicher Aspekte einer natürlichen Person. Art. 4 Nr. 4 DSGVO nennt als Beispiele die Analyse von Kaufverhalten, Kreditwürdigkeit, Arbeitsleistung oder Interessen.

Wann ist Profiling erlaubt?

Profiling ist erlaubt, wenn eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt – etwa eine Einwilligung, die Erforderlichkeit zur Vertragserfüllung oder ein berechtigtes Interesse. Voraussetzung ist, dass die Rechte der Betroffenen nicht überwiegen.

Müssen Unternehmen über Profiling informieren?

Ja. Art. 13 und 14 DSGVO verlangen, dass Sie Betroffene über das Profiling, die verwendete Logik und die Tragweite der Verarbeitung informieren. Diese Angaben gehören in Ihre Datenschutzerklärung.

Was ist der Unterschied zwischen Profiling und automatisierter Entscheidung?

Profiling analysiert Daten, um persönliche Merkmale zu bewerten – etwa die Einteilung in Kundensegmente. Eine automatisierte Einzelentscheidung trifft darauf basierend eine Entscheidung ohne menschliche Beteiligung, die rechtliche oder vergleichbar erhebliche Wirkung hat. Nur Letzteres fällt unter das Verbot des Art. 22 DSGVO.