Vertragsfalle · Datenschutz
Automatisches Profiling ohne Überprüfung
Der Betreiber darf Profile bilden, sensible Merkmale ableiten, Ihren Datensatz aus Datenhändlern und „öffentlich zugänglichen Quellen“ anreichern, zu Sicherheitszwecken erhobene Daten anders verwenden und automatisierte Entscheidungen treffen (Preise, Kredit, Kontosperren, Betrugsscores) ohne menschliche Prüfung.
- Schwere
- Ernst
- Wie oft sie vorkommt
- Regelmäßig
- Hält sie?
- Hängt vom Land ab
- Formulierungen
- 23
So steht es im Vertrag
Redline gleicht diese Formulierungen wörtlich mit Ihrem Dokument ab. Verwender erfinden selten neue Sätze — sie kopieren sie, deshalb tauchen dieselben Formulierungen in völlig verschiedenen Verträgen auf.
In englischsprachigen Verträgen
- profiling
- we may infer
- automated decision-making
- risk score
- fraud score
- personalized pricing
- information from data brokers and other third-party sources
- publicly available sources
- we combine information we collect with information from third parties
- we may use information collected for security purposes to
- eligibility determinations
- credit decisions
In russischsprachigen Verträgen
- профилирование
- автоматизированная обработка персональных данных
- решения, порождающие юридические последствия
- скоринг
- оценка платёжеспособности
- из общедоступных источников
- данные, полученные от третьих лиц (партнёров)
- обогащение данных
- формирование профиля Пользователя
- анализ поведения и предпочтений
- определение индивидуальных предложений и цен
Prüfen Sie Ihren eigenen Vertrag
Fügen Sie eine Klausel, eine Seite oder das ganze Dokument ein. Nichts verlässt Ihren Browser: der Abgleich läuft hier auf dieser Seite gegen die Formulierungen oben.
Warum das wehtut
Sie werden nach Scores beurteilt, die Sie nicht sehen und die aus Daten gebaut sind, die Sie nie gegeben haben; Sicherheitsdaten werden zu Werbedaten (Twitter zahlte dafür 150 Millionen Dollar); Fehler und Diskriminierung sind ohne Anspruch auf Erklärung kaum anzugreifen.
Ist das bei Ihnen wirksam
Dieselbe Klausel kann im einen Land üblich und im anderen unwirksam sein. Es folgt, was das Recht dort sagt, wo Sie sind — keine Beurteilung Ihres konkreten Vertrags.
Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage (Art. 6), verbietet die Kopplung von Leistung und überschießender Einwilligung (Art. 7 Abs. 4) und gibt Ihnen Auskunft und Löschung (Art. 15, 17); besondere Kategorien sind nach Art. 9 grundsätzlich untersagt.
USA
- Fundstelle
- CCPA
- FCRA
- FTC
Europäische Union
- Fundstelle
- GDPR Art 22
Vereinigtes Königreich
- Fundstelle
- CMA37
- DUA Act 2025
- GDPR Art 22
- ICO
Russland
- Fundstelle
- 152-ФЗ
- 218-ФЗ
- ст. 10.1
Wo das tatsächlich passiert ist
Behördenverfahren, Gerichtsentscheidungen und die Verträge, um die gestritten wurde.
- FTC/DOJ v. Twitter (2022) — $150M, security phone numbers repurposed for ad targeting
- ICO enforcement notice against Experian (Oct 2020) over data-broking marketing profiles
- FTC v. General Motors/OnStar (2025) — driving scores fed to consumer reporting agencies used by insurers
- FTC v. Rite Aid (2023) — automated facial-recognition flags led to false accusations
- California CPPA regulations on ADMT, risk assessments and cybersecurity audits — adopted Sept 2025
Was zu tun ist
Der Reihe nach: von der Sache einer Minute bis zu der, für die ein Brief nötig ist.
- Die Logik, die Kategorien und die Quellen des Profilings anfordern (Art. 15 Abs. 1 Buchst. h DSGVO)
- Dem Profiling zu Werbezwecken widersprechen (Art. 21 Abs. 2 DSGVO)
- Menschliche Prüfung erheblicher automatisierter Entscheidungen verlangen (Art. 22 DSGVO)
- Nach der Formulierung „wir kombinieren Informationen von Dritten“ suchen und die Namen der Datenhändler erfragen
- Der EuGH hat in der SCHUFA-Entscheidung C-634/21 klargestellt, dass schon ein Score eine automatisierte Entscheidung sein kann, wenn Dritte ihm maßgeblich folgen.
Klauseln, die meist mitkommen
Wer eine dieser Klauseln verwendet, verwendet meist gleich mehrere.