Die Artikel – 29-Arbeitsgruppe hat einen auf den 3. Oktober 2017 datierten Leitfaden zu automatisierten Einzel(fall)entscheidungen (AEFE) als Entwurf veröffentlicht. Interessierte Kreise können bis am 27. November 2017 zum Entwurf Stellung nehmen.
Anforderungen an AEFE
Der Leitfaden enthält – neben Ausführungen zu den verwendeten Begriffen, z.B. dem Profiling – Erläuterungen zu Art. 22 DSGVO. Die Arbeitsgruppe interpretiert Art. 22 Abs. 1 DSGVO als Verbot von AEFE, sofern sie rechtliche oder andere, vergleichbare Auswirkungen auf die betroffene Person haben. Eine Rechtfertigung solcher AEFE sei nur im Rahmen von Art. 22 Abs. 2 DSGVO möglich, also, in der strengen Auslegung der Arbeitsgruppe,
- bei strikter Notwendigkeit für den Abschluss oder die Erfüllung eines Vertrags mit der betroffenen Person (Bsp.: Bonitätsbeurteilung);
- bei gesetzlicher Ermächtigung oder Verpflichtung (wobei nur das Recht der EU bzw. eines Mitgliedstaats in Frage kommen dürfte);
- mit ausdrücklicher Einwilligung.
Die anderen Rechtfertigungsgründe sind in dieser Lesart ausgeschlossen, insbesondere die berechtigten Interessen des Verantwortlichen.
Selbst bei Zulässigkeit der AEFE ist der Verantwortliche verpflichtet, den Betroffenen über die AEFE in Kenntnis zu setzen und ihr ein Eskalationsrecht einzuräumen. Der Betroffene hat mit anderen Worten das Recht, die AEFE wieder zu einer menschlichen Entscheidung zu machen.
Aufgrund dieser strengen Anforderungen rückt die Frage ins Zentrum, wann eine AEFE rechtliche oder vergleichbare Auswirkungen hat. Auch hier nimmt die Arbeitsgruppe eine strenge Haltung ein. Als Beispiele rechtlicher Auswirkungen nennt sie
- Einschränkungen in den Grundrechten, bspw. der Versammlungsfreiheit;
- eine Änderung in einer Rechtsposition oder in vertraglichen Rechten;
- die Entscheidung über gesetzliche Ansprüche, z.B. Wohnkostenzuschüsse (wobei auch die Gewährung solcher Ansprüche erwähnt wird);
- die Verweigerung der Einreise;
- die Entscheidung über Untersuchungs- oder Überwachungsmassnahmen durch Behörden;
- die Unterbrechung von Telekommunikationsleistungen aufgrund eines Zahlungsverzugs.
Vergleichbar seien andere (positive oder negative) Auswirkungen sodann, wenn sie das Potential haben, die Umstände, das Verhalten oder die Wahlmöglichkeiten einer Person erheblich zu beeinflussen. Es sei aber schwierig, diese Schwelle anzuwenden. Bspw. hat nicht jede Verweigerung einer Leistung “erhebliche” Auswirkungen. Wenn etwa die Miete eines Fahrrads in den Ferien verweigert wird, hat dies keine erheblichen Auswirkungen; anders wäre es, wenn eine Hypothek verweigert wird.
Interessant und potentiell von grosser Tragweite ist ein weiteres Beispiel: Unter Umständen könne gezielte Werbung (“targeted advertising”) erhebliche Auswirkungen haben. Dafür seien die Umstände des Einzelfalls massgeblich, etwa folgende:
- die Tragweite des Profiling;
- die Erwartungen und Wünsche der betroffenen Person;
- die Art und Weise der Werbung;
- eine allfällige besondere Verletzlichkeit der betroffenen Personen.
Als Beispiel einer Werbung mit erheblichen Auswirkungen nennt die Arbeitsgruppe die Werbung für Online-Gewinnspiele, die einer verschuldeten Person wiederholt gezeigt wird.
Auch die Anwendung differenzierter Preise könne potentiell erhebliche Auswirkungen haben, nämlich dann, wenn jemand aufgrund prohibitiv hoher Preise bestimmte Leistungen nicht in Anspruch nehmen kann.
Anforderungen an das Profiling
Das Profiling ist nicht als selbständiger Tatbestand erfasst. Art. 22 DSGVO erwähnt es nur als mögliches – aber nicht zwingendes – Element von AEFE. ErwG 71 hält aber fest, dass bei Profiling ausserhalb von AEFE nach allgemeinen Grundsätzen ebenfalls Anforderungen zu beachten sind:
[…] sollte der für die Verarbeitung Verantwortliche geeignete mathematische oder statistische Verfahren für das Profiling verwenden, technische und organisatorische Maßnahmen treffen, mit denen in geeigneter Weise insbesondere sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird, und […] verhindert wird, dass es gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung zu diskriminierenden Wirkungen […] kommt […].
Regelung in der Schweiz (E‑DSG)
Die in der Schweiz vorgeschlagene Regelung ist wesentlich liberaler. AEFE mit rechtlichen oder vergleichbaren Auswirkungen sind nicht verboten; die betroffene Person muss lediglich – vor oder nach der AEFE – informiert werden und hat das Recht, die AEFE an einen Menschen zu eskalieren. Der Zusammenhang mit einem Vertrag oder die ausdrückliche Einwilligung sind demzufolge auch nicht als Rechtfertigung beachtlich; sie lassen nur – anders als nach der DSGVO – die besonderen Anforderungen (Information und Eskalation) entfallen.