Neu­es DSG: kein grund­sätz­li­ches Ein­wil­li­gungs­er­for­der­nis beim Pro­filing, auch nicht bei hohem Risi­ko

Wie berich­tet hat das Par­la­ment das E‑DSG in der heu­ti­gen Schluss­ab­stim­mung ange­nom­men.

Eine Fra­ge, die die zähen Ver­hand­lun­gen der Räte beglei­tet hat, war jene nach der Ein­wil­li­gung beim Pro­filing. Der EDÖB hat schon wie­der­holt die Hal­tung ein­ge­nom­men (vgl. hier), die Bear­bei­tung von beson­ders schüt­zens­wer­ten Per­so­nen­da­ten und von Per­sön­lich­keits­pro­fi­len sei stets nur mit Ein­wil­li­gung zuläs­sig. Der EDÖB dürf­te die­se Hal­tung als Emp­feh­lung ver­stan­den wis­sen wol­len, nicht als Ergeb­nis zwin­gen­den Rechts, und in bestimm­ten Situa­tio­nen ist es sinn­voll frei­wil­lig eine Ein­wil­li­gung ein­zu­ho­len – recht­lich betrach­tet wäre die­se Hal­tung aber ein­deu­tig falsch.

Das DSG und das E‑DSG fol­gen im Pri­vat­be­reich kon­zep­tio­nell dem Per­sön­lich­keits­schutz des ZGB. Es ist nicht wider­recht­lich, sich über eine Per­son nega­tiv zu äussern, solan­ge die Schwel­le der Per­sön­lich­keits­ver­let­zung nicht erreicht wird, und genau­so­we­nig ist es wider­recht­lich, Per­so­nen­da­ten zu bear­bei­ten – wel­che Per­so­nen­da­ten und mit wel­cher Bear­bei­tungs­me­tho­de auch immer –, solan­ge die Bear­bei­tungs­grund­sät­ze nicht ver­letzt wer­den. Die DSGVO ver­folgt einen ande­ren Ansatz, das Ver­bots­prin­zip, das nur punk­tu­ell durch­bro­chen wird; aber dem schwei­ze­ri­schen Recht ist die­ser Ansatz fremd.

Das E‑DSG hat die­ses Kon­zept nicht geän­dert. Man muss das auch des­halb erwäh­nen, weil die Debat­te im Par­la­ment bis­wei­len den Ein­druck hät­te auf­kom­men las­sen kön­nen, zumin­dest für das Pro­filing mit hohem Risi­ko sei es anders, sei eine Ein­wil­li­gung immer und grund­sätz­lich eine Vor­aus­set­zung. Das ist falsch, und es wird aus den Voten in den Räten deut­lich, dass eine so grund­sätz­li­che Abkehr vom heu­ti­gen System nicht beab­sich­tigt war. Wie heu­te setzt das Pro­filing kei­ne Ein­wil­li­gung vor­aus, weder eine aus­drück­li­che noch eine kon­klu­den­te.

Auch die Histo­rie des E‑DSG zeigt dies. Im Vor­ent­wurf des neu­en DSG war noch vor­ge­se­hen, das Pro­filing ohne aus­drück­li­che Ein­wil­li­gung sei wider­recht­lich:

Art. 23 Per­sön­lich­keits­ver­let­zun­gen

1 Wer Per­so­nen­da­ten bear­bei­tet, darf die Per­sön­lich­keit der betrof­fe­nen Per­so­nen nicht wider­recht­lich ver­let­zen.

2 Eine Per­sön­lich­keits­ver­let­zung liegt ins­be­son­de­re vor:

[…]

d. durch Pro­filing ohne aus­drück­li­che Ein­wil­li­gung der betrof­fe­nen Per­son.

Falls der Bun­des­rat damals wirk­lich die Absicht hat­te, Pro­filing ohne Ein­wil­li­gung zu ver­bie­ten (was nicht sicher ist; aus dem Erläu­tern­den Bericht ging nicht her­vor, ob sich der Bun­des­rat über die Trag­wei­te sei­nes Vor­schlags im Kla­ren war), so hät­te er dies jeden­falls am rich­ti­gen Ort getan, näm­lich in der Bestim­mung zu den Per­sön­lich­keits­ver­let­zun­gen. Aller­dings stiess die­ses Ansin­nen in der Ver­nehm­las­sung auf brei­ten Wider­stand, und im Ent­wurf des DSG fand sich die­se Bestim­mung nicht mehr. Damit steht fest, dass das Ver­bot des ein­wil­li­gungs­lo­sen Pro­filings vor­ge­schla­gen, dis­ku­tiert und fal­len­ge­las­sen wor­den ist. Es bräuch­te eini­ge Ver­ren­kun­gen, es wie­der in das Gesetz hin­ein­zu­le­sen (auch wenn man­che Ver­nehm­las­sungs­teil­neh­mer damals sag­ten, es brau­che die­ses beson­de­re Ver­bot nicht, weil es schon vor­ne bei den Grund­sät­zen ste­he).

Wie ange­spro­chen ergibt sich auch aus der par­la­men­ta­ri­schen Debat­te nicht, dass ein Pro­filing stets eine Ein­wil­li­gung ver­lan­ge. Zwar fin­den sich Aus­sa­gen, die sich bei ent­spre­chend gutem – oder schlech­tem – Wil­len so lesen lie­ssen, etwa fol­gen­de:

  • SR Fäss­ler, AB 2019 S 1240:

    «Dass für die Bear­bei­tung von beson­ders schüt­zens­wer­ten Per­so­nen­da­ten immer eine aus­drück­li­che Ein­wil­li­gung vor­lie­gen muss, ist unbe­strit­ten»;

  • NR Flu­ri, AB 2019 N 1787:

    «Wir schla­gen Ihnen vor, in Absatz 7 für die Bear­bei­tung von beson­ders schüt­zens­wer­ten Per­so­nen­da­ten eine aus­drück­li­che Ein­wil­li­gung zu ver­lan­gen […] Die Min­der­heit I (Wer­muth) ver­langt beim Pro­filing, das ein hohes Risi­ko für die Per­sön­lich­keit oder die Grund­rech­te mit sich bringt, eine aus­drück­li­che Ein­wil­li­gung».

So las­sen ich die­se Aus­sa­gen aller­dings nicht ver­ste­hen. Im Gegen­teil, in den Räten herrsch­te offen­bar Ver­wir­rung, was das Kon­zept des DSG betrifft. Und die Stim­men, die nicht von einem grund­sätz­li­chen Ein­wil­li­gungs­er­for­der­nis aus­ge­hen, sind wesent­lich kla­rer, beson­ders jene von BR Som­ma­ru­ga:

  • BR Som­ma­ru­ga, AB 2019 N 1788:

    «Weder im gel­ten­den Daten­schutz­ge­setz noch im Ent­wurf des Bun­des­ra­tes ist für das Bear­bei­ten von Per­so­nen­da­ten grund­sätz­lich eine Ein­wil­li­gung erfor­der­lich; es gilt also kein soge­nann­tes Opt-in-System. Den­noch spielt die Ein­wil­li­gung für die pri­va­ten Daten­be­ar­bei­ter eine wich­ti­ge Rol­le. Mit der Ein­wil­li­gung kann näm­lich eine per­sön­lich­keits­ver­let­zen­de Daten­be­ar­bei­tung gerecht­fer­tigt wer­den. In die­sem Fall muss die Ein­wil­li­gung ver­schie­de­ne Vor­aus­set­zun­gen erfül­len: Die Ein­wil­li­gung muss nach einer ange­mes­se­nen Infor­ma­ti­on frei­wil­lig und ein­deu­tig erteilt wer­den; und wenn beson­ders schüt­zens­wer­te Per­so­nen­da­ten bear­bei­tet wer­den oder ein Pro­filing durch­ge­führt wird, muss die Ein­wil­li­gung aus­drück­lich erfol­gen»;

  • NR Wer­muth, AB 2019 N 1785:

    «Es geht schon um den Spe­zi­al­fall – wenn Sie so wol­len –, bei dem eine Ein­wil­li­gung über­haupt not­wen­dig ist. Dies betrifft bei­spiels­wei­se die Ein­wil­li­gung nach Arti­kel 27 Absatz 1, The­ma Recht­fer­ti­gungs­grün­de für Per­sön­lich­keits­ver­let­zun­gen – dann eben, wenn Sie in die Per­sön­lich­keits­ver­let­zung ent­spre­chend ein­wil­li­gen, die dann kei­ne mehr ist».

  • SR Fäss­ler (am 23. Sep­tem­ber 2020):

    Die Daten­schutz-Grund­ver­ord­nung der EU sieht vor, dass jede Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten rechts­wid­rig sei, es sei denn, die betrof­fe­ne Per­son habe der Daten­be­ar­bei­tung zuge­stimmt oder es lie­ge ein ande­rer Rechts­grund vor. Die Kon­zep­ti­on in unse­rem Recht ist umge­kehrt. Die Daten­ver­ar­bei­tung ist grund­sätz­lich zuläs­sig, sofern kein Aus­nah­me­tat­be­stand vor­liegt.

Und auch aus der Bot­schaft ergibt sich, dass mit dem E‑DSG kei­ne Abkehr vom heu­ti­gem System beab­sich­tigt war:

An die Ein­wil­li­gung für das Pro­filing wer­den eben­falls erhöh­te Anfor­de­run­gen gestellt, wie dies bereits im gel­ten­den Recht für die Bear­bei­tung von Per­sön­lich­keits­pro­fi­len der Fall ist.

Damit dürf­te klar sein:

  • Der Wort­laut des DSG wie auch des E‑DSG spricht dafür, dass eine Ein­wil­li­gung bei beson­ders schüt­zens­wer­ten Daten und beim Pro­filing bzw. der Bear­bei­tung von Per­sön­lich­keits­pro­fi­len nicht stets erfor­der­lich ist. Die mass­geb­li­che Bestim­mung ist jeweils gleich auf­ge­baut: “Bei [bzw. für] die Bear­bei­tung von [beson­ders schüt­zens­wer­ten Personendaten/Persönlichkeitsprofile/Profiling] muss die Ein­wil­li­gung aus­drück­lich erfol­gen”. Das ist etwas ande­res als “Die Bear­bei­tung von […] setzt eine aus­drück­li­che Ein­wil­li­gung vor­aus” und macht deut­lich, dass hier ein etwai­gs, andern­orts fest­ge­leg­tes Ein­wil­li­gungs­er­for­der­nis auf­ge­grif­fen und prä­zi­siert, aber nicht sta­tu­iert wird.
  • Aus der Syste­ma­tik ergibt sich in dop­pel­ter Hin­sicht das­sel­be: Erstens wird die Aus­drück­lich­keit nicht – wie ande­re Ver­bots­prin­zi­pe, etwa die Bear­bei­tung gegen den Wil­len des Betrof­fe­nen – bei den Per­sön­lich­keits­ver­let­zun­gen erwähnt (in Art. 12 DSG oder Art. 26 E‑DSG), son­dern vor­ne, in den all­ge­mei­nen Bestim­mun­gen. Zwei­tens ergibt sich aus den Recht­fer­ti­gungs­be­stim­mun­gen (Art. 13 DSG und Art. 27 E‑DSG), dass die Ein­wil­li­gung gleich­be­rech­tigt neben den ande­ren Recht­fer­ti­gungs­grün­den steht. Für bestimm­te Bear­bei­tun­gen nur die Ein­wil­li­gung, aber kei­ne ande­re Recht­fer­ti­gungs­grün­de zuzu­las­sen, wäre dem DSG fremd.
  • Die Gesetz­ge­bungs­hi­sto­rie zeigt, dass das Ver­bot des Pro­filings ohne Ein­wil­li­gung erwo­gen, im Gesetz aber nicht auf­ge­nom­men wur­de.
  • Die Voten in der Bera­tung machen deut­lich, dass die Räte für das Pro­filing kein Ver­bots­prin­zip ein­füh­ren woll­ten.

Es bleibt des­halb dabei, dass das Pro­filing, ob mit nied­ri­gem oder mit hohem Risi­ko, kei­ne Ein­wil­li­gung erfor­der­lich ist, sofern dabei nicht ein Bear­bei­tungs­grund­satz ver­letzt wird.

Umge­kehrt ist eine Ein­wil­li­gung für Pro­filing dann erfor­der­lich, wenn

  • ein Bear­bei­tungs­grund­satz ver­letzt wird, z.B.
    • der Grund­satz der Trans­pa­renz (was sich aber nicht schon aus einer Ver­let­zung der Infor­ma­ti­ons­pflicht nach Art. 17 E‑DSG ablei­ten lässt, denn Art. 17 E‑DSG ist weder ein Bear­bei­tungs­grund­satz noch eine Kon­kre­ti­sie­rung des Trans­pa­renz­grund­sat­zes),
    • der Grund­satz der Zweck­bin­dung (wobei das Pro­filing als sol­ches kein Zweck ist, son­dern eine Bear­bei­tungs­mo­da­li­tät, ein “Mit­tel” der Bear­bei­tung. Wer zu einem bis­he­ri­gen, erlaub­ten Zweck neu Pro­filing durch­führt, ver­letzt daher nicht den Grund­satz der Zweck­bin­dung),
    • der Grund­satz der Ver­hält­nis­mä­ssig­keit (wobei sich die Ver­hält­nis­mä­ssig­keit am Zweck der Bear­bei­tung aus­rich­tet; Pro­filing ist daher ver­hält­nis­mä­ssig, soweit es für einen Zweck geeig­net und erfor­der­lich ist, selbst wenn es – z.B. für den Zweck der Mar­ke­ting­per­so­na­li­sie­rung – umfas­send ist; der Zweck sei­ner­seits unter­steht nicht dem Grund­satz der Ver­hält­nis­mä­ssig­keit, son­dern jenem der Wirt­schafts­frei­heit);
  • und zugleich kein ande­rer Recht­fer­ti­gungs­grund besteht.