Profiling ist nach Artikel 3 Nummer 52 der KI-Verordnung das Profiling im Sinne von Artikel 4 Nummer 4 der Datenschutz-Grundverordnung. Anders als bei den meisten übernommenen Begriffen hat die KI-VO hier keinen eigenen Wortlaut formuliert, sondern verweist unverändert auf die DSGVO-Definition.
Dieser bewusste Verzicht auf eine KI-spezifische Neufassung ist selbst aufschlussreich: Der Verordnungsgeber stellt damit ausdrücklich Rechtseinheit mit dem bestehenden Datenschutzrecht her, statt einen Parallelbegriff zu schaffen.
Zusammenfassung
Artikel 4 Nummer 4 DSGVO definiert Profiling als jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, diese Daten zu verwenden, um bestimmte persönliche Aspekte einer natürlichen Person zu bewerten – insbesondere Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel zu analysieren oder vorherzusagen. Die KI-VO übernimmt diese acht Kategorien vollständig.
Die eigentliche Schaltstelle: Artikel 6 Absatz 3
Die praktisch wichtigste KI-spezifische Konsequenz von Profiling steht nicht in Artikel 3, sondern in Artikel 6 Absatz 3 Unterabsatz 2: Ein in Anhang III gelistetes KI-System gilt immer dann als hochriskant, wenn es Profiling natürlicher Personen vornimmt. Das ist bedeutsam, weil Artikel 6 Absatz 3 Unterabsatz 1 vier Ausnahmetatbestände vorsieht, die ein Anhang-III-System aus der Hochrisiko-Einstufung herausnehmen können – etwa wenn es nur eine eng gefasste Verfahrensaufgabe erfüllt. Diese Ausnahmen greifen nicht mehr, sobald das System profilt: Dann ist es zwingend Hochrisiko-KI, ohne Ausnahmemöglichkeit und ohne die Dokumentations-Erleichterung, die Artikel 6 Absatz 4 sonst vorsieht.
Konkrete Fundstellen im Anhang III: Kreditwürdigkeitsprüfung und Bonitätsbewertung (Nummer 5 Buchstabe b), Beförderungs-, Kündigungs- und Leistungsbewertungsentscheidungen im Arbeitsverhältnis (Nummer 4 Buchstabe b). Artikel 5 Absatz 1 Buchstabe d verbietet zusätzlich KI-Systeme zur Straftat-Risikobewertung, die ausschließlich auf Profiling oder der Bewertung persönlicher Merkmale beruhen (Predictive Policing). Artikel 26 Absatz 11 verpflichtet Betreiber, betroffene Personen zu informieren, wenn ein Hochrisiko-System Entscheidungen über sie trifft oder daran mitwirkt – bei profilenden Systemen greift diese Pflicht über die automatische Hochrisiko-Einstufung nach Artikel 6 Absatz 3.
Verhältnis zu Artikel 22 DSGVO: kumulativ, nicht verdrängend
Erwägungsgrund 26 der KI-VO stellt klar, dass die Pflichten von Anbietern und Betreibern nach dem Datenschutzrecht der Union von der KI-VO unberührt bleiben. Das Muster ist dasselbe wie bei anderen aus der DSGVO übernommenen Begriffen: Doppelregime statt Verdrängung. Ein Kreditscoring-System, das personenbezogene Daten profilt, unterliegt gleichzeitig der KI-VO (zwingende Hochrisiko-Pflichten über Artikel 6 Absatz 3) und Artikel 22 DSGVO – dem Recht, nicht einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden, vorbehaltlich enger Ausnahmen mit Mindestgarantien wie dem Recht auf menschliches Eingreifen.
Kontroversen und Kritik
Der Europäische Gerichtshof konkretisierte die Reichweite von Artikel 22 DSGVO am 7. Dezember 2023 im SCHUFA-Urteil (Rechtssache C-634/21). Die Vorlagefrage: Ist bereits die automatisierte Erstellung eines Bonitäts-Wahrscheinlichkeitswerts durch eine Wirtschaftsauskunftei eine „automatisierte Entscheidung im Einzelfall”, wenn ein Dritter – etwa eine Bank – diesen Wert maßgeblich seiner eigenen Vertragsentscheidung zugrunde legt? Der Gerichtshof bejahte dies: Sobald der Wahrscheinlichkeitswert maßgeblich darüber entscheidet, ob ein Dritter ein Vertragsverhältnis mit der betroffenen Person eingeht, durchführt oder beendet, liegt eine automatisierte Entscheidung im Sinne von Artikel 22 Absatz 1 DSGVO vor. Der Generalanwalt stellte zudem fest, dass die Scoring-Tätigkeit selbst der Profiling-Definition aus Artikel 4 Nummer 4 DSGVO entspricht. Das Urteil setzte das deutsche Scoring-Privileg in Paragraf 31 des Bundesdatenschutzgesetzes unter erheblichen Rechtfertigungsdruck, weil dessen Eignung als nationale Rechtsgrundlage für die Ausnahme vom grundsätzlichen Verbot seither umstritten ist. Für die KI-VO bedeutet das: Kreditscoring-Systeme, die Profiling betreiben, fallen zusätzlich als Hochrisiko-KI unter Anhang III Nummer 5 Buchstabe b – unabhängig davon, wie die datenschutzrechtliche Prüfung nach Artikel 22 DSGVO im Einzelfall ausgeht.
Verwandte Begriffe
- Personenbezogene Daten – die Datengrundlage, auf der Profiling aufsetzt
- Biometrisches Kategorisierungssystem – verwandte, aber eigenständig geregelte Zuordnungslogik
- EU AI Act – die Verordnung, deren Artikel 3, 5 und 6 diesen Begriff regeln
- Begriffsbestimmungen der KI-Verordnung – alle 68 Legaldefinitionen im Überblick
Quellenangaben
- Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 3 Nummer 52, Artikel 5 Absatz 1 Buchstabe d, Artikel 6 Absatz 3, Artikel 26 Absatz 11, Anhang III, Erwägungsgrund 26. Amtsblatt der Europäischen Union, 12. Juli 2024.
- Europäisches Parlament und Rat, 2016. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 4 Nummer 14, Artikel 9 Absatz 1. Amtsblatt der Europäischen Union, 4. Mai 2016.
- Gerichtshof der Europäischen Union, 2023. Urteil vom 7. Dezember 2023, SCHUFA Holding u. a. (Scoring), Rechtssache C-634/21. ECLI:EU:C:2023:957.