Profiling im Persönlichkeits- und Datenschutzrecht der Schweiz
Schulthess Juristische Medien AG, Zürich 2020, LBR, Bd. 144, 320 Seiten, CHF 79,
ISBN 978-3-7255-8137-5
Profiling ist einer der meistdiskutierten Begriffe im Rahmen der Revision des schweizerischen Datenschutzgesetzes. Mit dem Begriff des Profilings im geltenden wie auch im revidierten Datenschutzgesetz (vor den parlamentarischen Diskussionen im Jahr 2020) setzt sich der Autor intensiv auseinander und zieht dabei auch Vergleiche mit der europäischen Datenschutz-Grundverordnung (DSGVO). Aufgrund der zeitlichen Komponente (die Dissertation wurde im November 2019 eingereicht) sind die Diskussionen im Parlament im Jahr 2020 zum Begriff des Profilings und der damit verbundenen Einwilligungsfragen nicht berücksichtigt.
Was ist im zukünftigen Datenschutz unter «Profiling» zu verstehen? Als Profiling i.S. von Art. 5 lit. f E-DSG versteht sich «jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen».
Der Begriff des Profiling wird in der Dissertation denn auch in den Kontext gesetzt: Profiling bedeutet die Verknüpfung von Daten – Personen- und Sachdaten – mit der Zeitkomponente, dem Zweck und/oder den Auswirkungen. Genau diese Komponenten bilden die Grundlage für die Fragen des Rechtfertigungsgrundes und der Zweckbindung, die ausführlich behandelt werden. Der Autor beleuchtet die heutigen Technologien, bei denen Sach- und Personendaten als Quelle für die Erkenntnis neuer Dienstleistungen und neuer Zwecke dienen, im Gegensatz zu früher, als Daten gesammelt wurden, um einen vorgegebenen Zweck zu erfüllen. Vor diesem Hintergrund wird aufgezeigt, wie schwierig es ist und sein wird, mit den Rechtfertigungsgründen – insbesondere demjenigen der Einwilligung – und der Zweckbindung umzugehen: Datenanalysen durch Algorithmen, durch Technologien der künstlichen Intelligenz (KI), können durchgeführt werden, bevor der Zweck klar und eindeutig ist: Gerade KI wird eingesetzt, um neue Verknüpfungen zu erzeugen, neue Verbindungen zu sehen und neue Muster oder Kompetenten zu entwickeln, und weniger, um bestehende Muster und Zwecke zu erfüllen.
Der Autor beleuchtet die verschiedenen Stadien der Zweckbindung und die damit verbundenen juristischen Hürden insbesondere der Einwilligung und analysiert ebenfalls die möglichen und notwendigen Rechtfertigungsgründe (soweit ein Rechtfertigungsgrund überhaupt notwendig ist). Insbesondere hinsichtlich des Rechtfertigungsgrunds der Einwilligung setzt sich der Autor – nach Ausführungen über die Form der Einwilligung sowie deren Inhalt – mit deren Umfang als solchem auseinander.
Das zwingende Einholen einer Einwilligung fällt dann weg, wenn keine Personendaten mehr vorliegen, sondern die Daten anonymisiert bearbeitet und weitergegeben werden können. Fragen der Anonymisierung sowie der Pseudonymisierung werden ebenfalls thematisiert mit dem bekannten Dilemma, dass in der heutigen, techonologie-behafteten Wirtschaft fast alle anonymen Daten durch weitere Analysen und die Zugabe von weiteren Daten mindestens pseudonymisiert werden können.
Personendatenbearbeitungen in komplexen Systemen zu erklären, die oft auch für die Beteiligten bereits schwierig durchschaubar sind, bedeutet für Datensubjekte ein Buch mit sieben Siegeln. Wie in der praktischen Umsetzung das Prinzip der Verhältnismässigkeit, die Ädäquanz, aussehen könnte, ist noch offen.
Die Dissertation zeigt die verschiedenen Schritte des Profilings und die damit verbundenen praktischen Schwierigkeiten in der Umsetzung der datenschutzrechtlichen Vorgaben auf. Wer sich mit Profiling beschäftigen darf und muss – und dies sind doch viele Praktiker im datenschutzrechtlichen Alltag –, dem dient die Dissertation als Anhaltspunkt und Leitlinie, welche Fragestellungen zu beachten und zu lösen sind im Umgang mit bestehenden und neuen Technologien.
Datenschutz und Profiling sind eine moderne Herausforderung für Unternehmen und Datenschützer. Die bisherigen Ansätze, die in der Dissertation aufgezeigt werden, lösen diese Heraus- | forderungen in herkömmlicher Weise und sind stark einzelfallbezogen.
Dass die bestehenden Lösungsansätze überdacht werden sollten, ist vordringlich und der aufgezeigte Weg der Anwendung der Verhältnismässigkeit ein möglicher, aber in der Praxis mit Unsicherheiten behafteter Weg. Es bleibt zu hoffen, dass die aufgezeichneten Lösungsansätze vermehrt den Weg in die Praxis finden und insbesondere noch stärker konkretisiert werden, um in den datenschutzrechtlichen Alltag Eingang zu finden.