Profiling ist nach Artikel 3 Nummer 52 der KI-Verordnung das Profiling im Sinne von Artikel 4 Nummer 4 der Datenschutz-Grundverordnung. Anders als bei den meisten übernommenen Begriffen hat die KI-VO hier keinen eigenen Wortlaut formuliert, sondern verweist unverändert auf die DSGVO-Definition.
Dieser bewusste Verzicht auf eine KI-spezifische Neufassung ist selbst aufschlussreich: Der Verordnungsgeber stellt damit ausdrücklich Rechtseinheit mit dem bestehenden Datenschutzrecht her, statt einen Parallelbegriff zu schaffen.
Zusammenfassung
Artikel 4 Nummer 4 DSGVO definiert Profiling als jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, diese Daten zu verwenden, um bestimmte persönliche Aspekte einer natürlichen Person zu bewerten.
Dazu zählen insbesondere Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel. Die KI-VO übernimmt diese acht Kategorien vollständig.
Die eigentliche Schaltstelle: Artikel 6 Absatz 3
Die praktisch wichtigste KI-spezifische Konsequenz von Profiling steht nicht in Artikel 3, sondern in Artikel 6 Absatz 3 Unterabsatz 2: Ein in Anhang III gelistetes KI-System gilt immer dann als hochriskant, wenn es Profiling natürlicher Personen vornimmt.
Das ist bedeutsam, weil Artikel 6 Absatz 3 Unterabsatz 1 vier Ausnahmetatbestände vorsieht, die ein Anhang-III-System aus der Hochrisiko-Einstufung herausnehmen können – etwa wenn es nur eine eng gefasste Verfahrensaufgabe erfüllt.
Diese Ausnahmen greifen nicht mehr, sobald das System profilt: Dann ist es zwingend Hochrisiko-KI, ohne Ausnahmemöglichkeit und ohne die Dokumentations-Erleichterung, die Artikel 6 Absatz 4 sonst vorsieht.
Konkrete Fundstellen im Anhang III: Kreditwürdigkeitsprüfung und Bonitätsbewertung (Nummer 5 Buchstabe b), Beförderungs-, Kündigungs- und Leistungsbewertungsentscheidungen im Arbeitsverhältnis (Nummer 4 Buchstabe b).
Artikel 5 Absatz 1 Buchstabe d verbietet zusätzlich KI-Systeme zur Straftat-Risikobewertung, die ausschließlich auf Profiling oder der Bewertung persönlicher Merkmale beruhen (Predictive Policing).
Artikel 26 Absatz 11 verpflichtet Betreiber, betroffene Personen zu informieren, wenn ein Hochrisiko-System Entscheidungen über sie trifft oder daran mitwirkt – bei profilenden Systemen greift diese Pflicht über die automatische Hochrisiko-Einstufung nach Artikel 6 Absatz 3.
Verhältnis zu Artikel 22 DSGVO: kumulativ, nicht verdrängend
Erwägungsgrund 26 der KI-VO stellt klar, dass die Pflichten von Anbietern und Betreibern nach dem Datenschutzrecht der Union von der KI-VO unberührt bleiben. Das Muster ist dasselbe wie bei anderen aus der DSGVO übernommenen Begriffen: Doppelregime statt Verdrängung.
Ein Kreditscoring-System, das personenbezogene Daten profilt, unterliegt gleichzeitig der KI-VO (zwingende Hochrisiko-Pflichten über Artikel 6 Absatz 3) und Artikel 22 der DSGVO. Dieser gewährt das Recht, nicht einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden, vorbehaltlich enger Ausnahmen mit Mindestgarantien wie dem Recht auf menschliches Eingreifen.
Kontroversen und Kritik
Der Europäische Gerichtshof konkretisierte die Reichweite von Artikel 22 DSGVO am 7. Dezember 2023 im SCHUFA-Urteil (Rechtssache C-634/21). Die Vorlagefrage: Ist bereits die automatisierte Erstellung eines Bonitäts-Wahrscheinlichkeitswerts durch eine Wirtschaftsauskunftei eine „automatisierte Entscheidung im Einzelfall”, wenn ein Dritter – etwa eine Bank – diesen Wert maßgeblich seiner eigenen Vertragsentscheidung zugrunde legt?
Der Gerichtshof bejahte dies: Sobald der Wahrscheinlichkeitswert maßgeblich darüber entscheidet, ob ein Dritter ein Vertragsverhältnis mit der betroffenen Person eingeht, durchführt oder beendet, liegt eine automatisierte Entscheidung im Sinne von Artikel 22 Absatz 1 DSGVO vor. Der Generalanwalt stellte zudem fest, dass die Scoring-Tätigkeit selbst der Profiling-Definition aus Artikel 4 Nummer 4 DSGVO entspricht.
Das Urteil setzte das deutsche Scoring-Privileg in Paragraf 31 des Bundesdatenschutzgesetzes unter erheblichen Rechtfertigungsdruck, weil dessen Eignung als nationale Rechtsgrundlage für die Ausnahme vom grundsätzlichen Verbot seither umstritten ist.
Eine Anschlussfrage ist beim Bundesgerichtshof anhängig: Ob Betroffene gegenüber der SCHUFA einen umfassenden Auskunftsanspruch zu den Scoring-Faktoren haben – insbesondere zur Gewichtung einzelner Daten und zur Aussagekraft des errechneten Scores –, ist offen. Das gilt bereits bei der bloßen Score-Berechnung oder erst, wenn ein Dritter darauf eine automatisierte Entscheidung stützt.
Der I. Zivilsenat verhandelte am 18. Juni 2026 vier Revisionen gegen Urteile des OLG Dresden (Az. I ZR 227/25 u. a.), das den Klägern zuvor teilweise recht gegeben hatte; die Verkündung ist für den 21. Oktober 2026 angekündigt (Legal Tribune Online 2026).
Für die KI-VO bedeutet das: Kreditscoring-Systeme, die Profiling betreiben, fallen zusätzlich als Hochrisiko-KI unter Anhang III Nummer 5 Buchstabe b – unabhängig davon, wie die datenschutzrechtliche Prüfung nach Artikel 22 DSGVO im Einzelfall ausgeht.
Welche Folgen ein Verstoß gegen das Verbot vollautomatisierter Entscheidungen haben kann, zeigte am 21. August 2026 die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens: Sie verhängte gegen Uber ein Bußgeld von 824.990.000 Euro (Autoriteit Persoonsgegevens 2026). Uber hatte zwischen 2018 und 2022 das Fahrverhalten und die Kundenbewertungen seiner Fahrer:innen per Software ausgewertet und deren Konten bei Betrugsverdacht oder zu niedrigen Bewertungen ohne menschliche Prüfung vorübergehend oder dauerhaft deaktiviert. Die Behörde beanstandete zudem, dass die Betroffenen über die automatisierte Entscheidungsfindung nicht ausreichend informiert worden waren; Uber legte gegen den Bescheid Rechtsmittel ein (Autoriteit Persoonsgegevens 2026).
Verwandte Begriffe
- Personenbezogene Daten – die Datengrundlage, auf der Profiling aufsetzt
- Biometrisches Kategorisierungssystem – verwandte, aber eigenständig geregelte Zuordnungslogik
- Begriffsbestimmungen der KI-Verordnung – alle 68 Legaldefinitionen im Überblick
Quellenangaben
- Autoriteit Persoonsgegevens, 2026. Uber fined nearly 825 million euros for automated driver blocking. Autoriteit Persoonsgegevens, 21. August 2026. autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking.
- Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 3 Nummer 52, Artikel 5 Absatz 1 Buchstabe d, Artikel 6 Absatz 3, Artikel 26 Absatz 11, Anhang III, Erwägungsgrund 26. Amtsblatt der Europäischen Union, 12. Juli 2024.
- Europäisches Parlament und Rat, 2016. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 4 Nummer 4, Artikel 22. Amtsblatt der Europäischen Union, 4. Mai 2016.
- Gerichtshof der Europäischen Union, 2023. Urteil vom 7. Dezember 2023, SCHUFA Holding u. a. (Scoring), Rechtssache C-634/21. ECLI:EU:C:2023:957.
- Legal Tribune Online, 2026. BGH-Verhandlung: Schufa vor Erfolg in Karlsruhe. lto.de, 18. Juni 2026. Az. I ZR 227/25 u. a.