DSGVO - BDSG - TTDSG

114

Der Begriff „Profiling“ umfasst gem. Art. 4 Nr. 4 DSGVO jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen. Bei dieser Begriffsdefinition, die erst durch einen Änderungsantrag des EU-Parlaments mit in die DSGVO aufgenommen wurde,231 handelt es sich um eine Neuerung. So enthielt die DSRl keine Definition des Begriffs „Profiling“.232 Die Art.-29-Datenschutzgruppe nimmt zu diesem Begriff in ihren Leitlinien zu automatisierten Einzelfallentscheidungen und Profiling Stellung.233

115

In der DSGVO wird der Begriff im Rahmen des Widerspruchsrechts in Art. 21 Abs. 1 und 2 DSGVO sowie im dazugehörigen ErwG 70 verwendet. Allerdings besitzt die Verwendung des Begriffs in den genannten Vorschriften keine besondere Relevanz, weil durch die Nennung des Begriffs in der jeweiligen Vorschrift nur klargestellt wird, dass sie unter den dort genannten Voraussetzungen auch das Profiling erfassen. Hierfür wäre eine ausdrückliche Nennung des Begriffs aber rechtlich nicht zwingend erforderlich gewesen, weil diese Vorschriften das Profiling auch ohne die ausdrückliche Nennung des Begriffs (schon) erfasst hätten. Lediglich in ErwG 60 könnte die Verwendung des Begriffs eine rechtliche Bedeutung haben, als hieraus folgen könnte, dass betroffene Personen auch über Profiling zu informieren sind, obwohl Art. 13 und 14 DSGVO dies nicht ausdrücklich vorschreiben (siehe Art. 13 Rn. 27 und Art. 14 Rn. 9).234 In ErwG 72 wird sodann noch klargestellt, dass Profiling den Vorschriften dieser Verordnung für die Verarbeitung personenbezogener Daten unterliegt und der Europäische Datenschutzausschuss Leitlinien hierfür herausgeben kann.

116

Häufiger wird der Begriff im Rahmen der Regelungen zu automatisierten Einzelfallentscheidungen verwendet, so in den ErwG 63, 71 und 91 sowie in Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g,235 Art. 15 Abs. 1 lit. h,236 Art. 22,237 Art. 35 Abs. 3 lit. a,238 Art. 47 Abs. 2 lit. e239 und Art. 70 Abs. 1 lit. f240 DSGVO. Der Verordnungsgeber verwendet in diesen Vorschriften die Formulierung „automatisierte Entscheidung im Einzelfall einschließlich Profiling“, teilweise auch in leicht abgewandelter Form. Allerdings ist zu beachten, dass sich der Begriff des Profiling vom Begriff der automatisierten Einzelfallentscheidung unterscheidet.241 So ist eine automatisierte Entscheidung im Einzelfall gem. Art. 22 Abs. 1 DSGVO eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Mithin setzt eine solche Entscheidung also nicht zwingend ein Profiling voraus, sondern kann auch auf Basis einer anders gearteten („normalen“) Datenverarbeitung ergehen. Und auch wenn die datenverarbeitende Stelle Profiling einsetzt, müssen gem. Art. 22 Abs. 1 DSGVO noch weitere Voraussetzungen erfüllt sein, damit eine automatisierte Einzelfallentscheidung vorliegt. So muss z.B. noch eine Entscheidung getroffen werden und diese muss der betroffenen Person gegenüber auch rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

117

Damit ist also nicht jedes Profiling automatisch eine automatisierte Einzelfallentscheidung i.S.d. Art. 22 DSGVO. Dies ist nur der Fall, wenn die in Art. 22 Abs. 1 DSGVO genannten Bedingungen erfüllt sind. Wenn der Verordnungsgeber also die Formulierung „automatisierte Entscheidung im Einzelfall einschließlich Profiling“ verwendet, soll dadurch nur klargestellt werden, dass auch Profiling unter den in Art. 22 DSGVO genannten Voraussetzungen eine automatisierte Einzelfallentscheidung sein kann. Mithin handelt es sich bei Art. 22 DSGVO nicht um eine Vorschrift, die das Profiling generell regelt (siehe Art. 22 Rn. 40ff.).242 Die Zulässigkeit des Profiling richtet sich – auch ausweislich des ErwG 72 – nach den allgemeinen Regeln der DSGVO.243

118

Die Definition des Profiling in Art. 4 Nr. 4 DSGVO beinhaltet drei Voraussetzungen: 1. Die Datenverarbeitung muss automatisiert erfolgen, 2. die Verarbeitung muss sich auf personenbezogene Daten beziehen, 3. die Verarbeitung muss erfolgen, um bestimmte persönliche Aspekte zu bewerten, die sich auf die betroffene Person beziehen.244

119

Automatisiert erfolgt die Datenverarbeitung, wenn die Daten durch automatisierte Mittel, also rechnergestütztverarbeitet werden (siehe Art. 2 Rn. 9).245 Allerdings bedeutet dies nicht, dass jede menschliche, also manuelle Tätigkeit im Rahmen des Profiling gleich dazu führen würde, dass die Tätigkeit kein Profiling i.S.d. Art. 4 Nr. 4 DSGVO mehr darstellen kann.246

120

Dass sich die Datenverarbeitung auf personenbezogene Dateni.S.d. Art. 4 Nr. 1 DSGVO beziehen muss, ist evident, da sonst der sachliche Anwendungsbereich der DSGVO gem. Art. 2 Abs. 1 DSGVO schon gar nicht eröffnet wäre. Für den Begriff des personenbezogenen Datums kann auf die Kommentierung zu Art. 4 Nr. 1 DSGVO oben unter Rn. 2ff. verwiesen werden.

121

Entscheidend für die Qualifikation eines Datenverarbeitungsvorgangs als „Profiling“ ist ganz regelmäßig der Zweck, der mit der jeweiligen Datenverarbeitung verfolgt wird. Damit ein Profiling i.S.d. Art. 4 Nr. 4 DSGVO vorliegt, muss der Zweck der Datenverarbeitung in der Bewertung bestimmter persönlicher Aspektebestehen, die sich auf eine natürliche Person beziehen. Solche persönlichen Aspekte können nach Art. 4 Nr. 4 DSGVO z.B. die Arbeitsleistung, die wirtschaftliche Lage, die Gesundheit, persönliche Vorlieben, Interessen, die Zuverlässigkeit, das Verhalten, der Aufenthaltsort oder Ortswechsel dieser natürlichen Person sein, die im Rahmen des Profilings analysiert oder vorhergesagt werden. Diese Auflistung ist aber nicht abschließend. So können auch andere persönliche Aspekte, wie z.B. die DNA, die (ethnische) Herkunft oder die Körpersprache, im Rahmen eines Profilings bewertet werden. Oftmals werden für eine solche Bewertung Daten aus verschiedenen Quellen zusammengeführt und ausgewertet,247 so z.B. oftmals beim Scoring, bei bestimmten Online Behavioral Advertising-Diensten oder im Rahmen von Big Data.

122

Die Bewertung bestimmter persönlicher Aspekte erfordert eine Einschätzung bzw. Beurteilung/Wertung der Persönlichkeitder betroffenen Person.248 Deshalb stellt die reine Segmentierung von Listen anhand bestimmter Kriterien zu statistischen Zwecken oder um einen aggregierten Überblick zu erhalten, kein Profiling i.S.d. Art. 4 Nr. 4 DSGVO dar, so z.B. die Analyse von Käufer- oder Nutzergruppen anhand bestimmter Kriterien wie Alter, Geschlecht etc.249 Demgegenüber wird z.B. regelmäßig im Rahmen des Kredit-Scorings, des Online Behavioral Advertisings, des Direktmarketings oder teilweise auch im Rahmen von Bewerbermanagement-Tools die Persönlichkeit der betroffenen Person bewertet.