Der EDÖB hat Anforderungen an den “Einsatz digitaler Kampagnentools zu politischen Zwecken” formuliert. Dabei geht es um
[…] digitale[n] Applikationen, die politische Gruppierungen und Interessenverbände dazu verwenden, um Aktionen beispielsweise in ihre Webseiten-Umgebung zu integrieren und deren Planung und Durchführung gezielt auf Interaktionen mit bestimmten Personengruppen ausrichten. Die dazu erforderlichen Daten stammen von Personen, welche ein Interesse für gewisse Inhalte manifestiert haben. Indem die Kampagnenverantwortlichen Informationen wie Name oder Emailadresse erfassen und diese mit deren Verhalten als Nutzer von Social-Media-Plattformen algorithmisch abgleichen, ziehen sie Schlüsse auf politische Interessen und Neigungen.
Der Einsatz solcher Tools sei nur zulässig, wenn eine Einwilligung vorliege, die insbesondere ausdrücklich erfolgen müsse; zudem sei eine Information über bestimmte Punkte erforderlich.
Der EDÖB wiederholt dabei seine Auffassung, die Bearbeitung besonders schützenswerter Personendaten oder von Persönlichkeitsprofilen erfordere einen Rechtfertigungsgrund:
Durch die Verknüpfung der Daten, welche die betroffenen Personen auf Webseiten und Social-Media-Plattformen zurücklassen, können zudem Persönlichkeitsprofile entstehen. Liegt weder ein Rechtfertigungsgrund durch Gesetz noch ein überwiegendes privates oder öffentliches Interesse im Sinne von Artikel 13 des Bundesgesetzes über den Datenschutz (DSG) vor, setzt die Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen gemäss Artikel 4 Absatz 5 DSG eine ausdrückliche Einwilligung der betroffenen Personen voraus.
Diese Haltung widerspricht nicht nur dem Konzept, sondern auch dem klaren Wortlaut des DSG (Art. 12, insb. Art. 12 Abs. 2 lit. c DSG). Die Datenbearbeitung ist grundsätzlich zulässig und nur bei Verletzung eines Bearbeitungsgrundsatzes (Art. 4, 5 und 7) oder bei Widerspruch (Art. 12 Abs. 2 lit. b) unzulässig. Das gilt auch für sensitive Daten. Eine punktuelle Ausnahme sieht Art. 12 Abs. 2 lit. c vor: (Nur) die Drittweitergabe von sensitiven Daten ist rechtfertigungsbedürftig. An der grundsätzlichen Bearbeitungsfreiheit auch sensitiver Daten ändert auch der Entwurf des revidierten DSG nichts (Art. 26 E‑DSG).