Nach der DSGVO hat die betroffene Person grundsätzlich das Recht, keiner Entscheidung ausgesetzt zu sein, die ausschließlich auf einer automatisierten Verarbeitung (einschließlich Profiling) basiert und rechtliche Auswirkungen auf sie hat oder sie in ähnlicher Weise erheblich beeinträchtigt. In der rechtswissenschaftlichen Literatur wird derzeit debattiert, ob diese Bestimmung lediglich ein eigenständiges Recht für die betroffene Person begründet oder ob sie möglicherweise ein generelles Verbot oder eine zusätzliche Voraussetzung für die Rechtmäßigkeit von Datenverarbeitungen gemäß Artikel 6 der DSGVO darstellt. Dies ist in dem Art. 22 der DSGVO geregelt, welcher verschiedene Bedingungen und Ausnahmen festlegt. Grundsätzlich sollten die Bestimmungen in Art. 22 der DSGVO so interpretiert werden, dass sie den gezielten Einsatz bestimmter Merkmale einer Person schützen soll und nicht automatisch jeden technischen Vorgang erfasst, wie beispielsweise das automatische Öffnen einer Tür oder das Ausgeben von Geld am Geldautomaten. Andernfalls würde dies zu einer unangemessenen Ausweitung des Anwendungsbereichs führen. Um Artikel 22 der DSGVO anzuwenden, muss eine Entscheidung im Sinne dieser Bestimmung getroffen werden. Dies bedeutet in der Regel einen aktiven abschließenden Schritt wie zum Beispiel den Abschluss eines Vertrags oder die Einstellung oder die Entlassung eines Mitarbeiters. Technische Prozesse, die Sachverhalte prüfen, individuelle Preise berechnen oder allgemeine interne geschäftliche Berechnungen durchführen, stellen noch keine derartige Entscheidung dar. Diese Systeme können die Grundlage bilden, aber sie führen noch zu keiner endgültigen Handlung mit konkreten rechtlichen Folgen. Darüber hinaus muss die getroffene Entscheidung eine rechtliche Wirkung haben oder die Person in ähnlicher Weise erheblich beeinträchtigen. Eine rechtliche Wirkung tritt in der Regel auf, wenn sich die rechtliche Position einer Person ändert, beispielsweise durch die Begründung oder Aufhebung eines Rechts oder Rechtsverhältnisses. Eine ähnliche erhebliche Beeinträchtigung kann gravierende Nachteile für eine Person bedeuten wie die Verweigerung eines Kredits bei allen Banken, die Nichtaufnahme in ein Vertragsverhältnis etc. Es wird auch darüber diskutiert, ob personalisierte Werbung und personalisierte Versicherungsprämien beispielsweise bei höheren Zinssätzen im Vergleich zu öffentlich beworbenen Konditionen aufgrund von Profiling oder Online-Verhalten unter diese Bestimmung fallen könnten.