Profiling

Nach Art. 4 Z 4 DSGVO bedeutet Profiling jede Art der automatisierten Verarbeitung personenbezogener Daten, bei der diese Daten verwendet werden, um bestimmte persönliche Aspekte einer natürlichen Person zu bewerten oder vorherzusagen. Dazu können etwa Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel gehören. Entscheidend ist nicht die Bezeichnung des Systems, sondern sein Zweck und die Art der Auswertung.

Profiling ist nicht automatisch eine automatisierte Entscheidung. Ein Unternehmen kann ein Profil erstellen, ohne daraus unmittelbar eine rechtlich verbindliche Entscheidung abzuleiten. Umgekehrt kann eine ausschließlich automatisierte Entscheidung im Sinn des Art. 22 DSGVO Profiling einschließen. Dann sind insbesondere die erheblichen Auswirkungen, eine allfällige menschliche Prüfung und die gesetzlich vorgesehenen Schutzmaßnahmen zu untersuchen. Für Direktwerbung können betroffene Personen nach Art. 21 DSGVO jederzeit auch dem damit verbundenen Profiling widersprechen.

In der Praxis sollten Unternehmen Zweck, Datenquellen, Merkmale, Auswertungslogik, Empfänger und Auswirkungen des Profilings nachvollziehbar dokumentieren. Die Schwerpunktseite zu Marketing, Cookies und Tracking ordnet Werbeprofile und Einwilligungsfragen ein. Für Verantwortlichkeiten und Nachweise bietet die Datenschutz-Governance einen passenden Rahmen. Bei Entscheidungen über Beschäftigte ist zusätzlich der Beschäftigtendatenschutz zu berücksichtigen.