Wie berichtet hat das Parlament das E‑DSG in der heutigen Schlussabstimmung angenommen.
Eine Frage, die die zähen Verhandlungen der Räte begleitet hat, war jene nach der Einwilligung beim Profiling. Der EDÖB hat schon wiederholt die Haltung eingenommen (vgl. hier), die Bearbeitung von besonders schützenswerten Personendaten und von Persönlichkeitsprofilen sei stets nur mit Einwilligung zulässig. Der EDÖB dürfte diese Haltung als Empfehlung verstanden wissen wollen, nicht als Ergebnis zwingenden Rechts, und in bestimmten Situationen ist es sinnvoll freiwillig eine Einwilligung einzuholen – rechtlich betrachtet wäre diese Haltung aber eindeutig falsch.
Das DSG und das E‑DSG folgen im Privatbereich konzeptionell dem Persönlichkeitsschutz des ZGB. Es ist nicht widerrechtlich, sich über eine Person negativ zu äussern, solange die Schwelle der Persönlichkeitsverletzung nicht erreicht wird, und genausowenig ist es widerrechtlich, Personendaten zu bearbeiten – welche Personendaten und mit welcher Bearbeitungsmethode auch immer –, solange die Bearbeitungsgrundsätze nicht verletzt werden. Die DSGVO verfolgt einen anderen Ansatz, das Verbotsprinzip, das nur punktuell durchbrochen wird; aber dem schweizerischen Recht ist dieser Ansatz fremd.
Das E‑DSG hat dieses Konzept nicht geändert. Man muss das auch deshalb erwähnen, weil die Debatte im Parlament bisweilen den Eindruck hätte aufkommen lassen können, zumindest für das Profiling mit hohem Risiko sei es anders, sei eine Einwilligung immer und grundsätzlich eine Voraussetzung. Das ist falsch, und es wird aus den Voten in den Räten deutlich, dass eine so grundsätzliche Abkehr vom heutigen System nicht beabsichtigt war. Wie heute setzt das Profiling keine Einwilligung voraus, weder eine ausdrückliche noch eine konkludente.
Auch die Historie des E‑DSG zeigt dies. Im Vorentwurf des neuen DSG war noch vorgesehen, das Profiling ohne ausdrückliche Einwilligung sei widerrechtlich:
Art. 23 Persönlichkeitsverletzungen
1 Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen.
2 Eine Persönlichkeitsverletzung liegt insbesondere vor:
[…]d. durch Profiling ohne ausdrückliche Einwilligung der betroffenen Person.
Falls der Bundesrat damals wirklich die Absicht hatte, Profiling ohne Einwilligung zu verbieten (was nicht sicher ist; aus dem Erläuternden Bericht ging nicht hervor, ob sich der Bundesrat über die Tragweite seines Vorschlags im Klaren war), so hätte er dies jedenfalls am richtigen Ort getan, nämlich in der Bestimmung zu den Persönlichkeitsverletzungen. Allerdings stiess dieses Ansinnen in der Vernehmlassung auf breiten Widerstand, und im Entwurf des DSG fand sich diese Bestimmung nicht mehr. Damit steht fest, dass das Verbot des einwilligungslosen Profilings vorgeschlagen, diskutiert und fallengelassen worden ist. Es bräuchte einige Verrenkungen, es wieder in das Gesetz hineinzulesen (auch wenn manche Vernehmlassungsteilnehmer damals sagten, es brauche dieses besondere Verbot nicht, weil es schon vorne bei den Grundsätzen stehe).
Wie angesprochen ergibt sich auch aus der parlamentarischen Debatte nicht, dass ein Profiling stets eine Einwilligung verlange. Zwar finden sich Aussagen, die sich bei entsprechend gutem – oder schlechtem – Willen so lesen liessen, etwa folgende:
- SR Fässler, AB 2019 S 1240:
«Dass für die Bearbeitung von besonders schützenswerten Personendaten immer eine ausdrückliche Einwilligung vorliegen muss, ist unbestritten»;
- NR Fluri, AB 2019 N 1787:
«Wir schlagen Ihnen vor, in Absatz 7 für die Bearbeitung von besonders schützenswerten Personendaten eine ausdrückliche Einwilligung zu verlangen […] Die Minderheit I (Wermuth) verlangt beim Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringt, eine ausdrückliche Einwilligung».
So lassen ich diese Aussagen allerdings nicht verstehen. Im Gegenteil, in den Räten herrschte offenbar Verwirrung, was das Konzept des DSG betrifft. Und die Stimmen, die nicht von einem grundsätzlichen Einwilligungserfordernis ausgehen, sind wesentlich klarer, besonders jene von BR Sommaruga:
- BR Sommaruga, AB 2019 N 1788:
«Weder im geltenden Datenschutzgesetz noch im Entwurf des Bundesrates ist für das Bearbeiten von Personendaten grundsätzlich eine Einwilligung erforderlich; es gilt also kein sogenanntes Opt-in-System. Dennoch spielt die Einwilligung für die privaten Datenbearbeiter eine wichtige Rolle. Mit der Einwilligung kann nämlich eine persönlichkeitsverletzende Datenbearbeitung gerechtfertigt werden. In diesem Fall muss die Einwilligung verschiedene Voraussetzungen erfüllen: Die Einwilligung muss nach einer angemessenen Information freiwillig und eindeutig erteilt werden; und wenn besonders schützenswerte Personendaten bearbeitet werden oder ein Profiling durchgeführt wird, muss die Einwilligung ausdrücklich erfolgen»;
- NR Wermuth, AB 2019 N 1785:
«Es geht schon um den Spezialfall – wenn Sie so wollen –, bei dem eine Einwilligung überhaupt notwendig ist. Dies betrifft beispielsweise die Einwilligung nach Artikel 27 Absatz 1, Thema Rechtfertigungsgründe für Persönlichkeitsverletzungen – dann eben, wenn Sie in die Persönlichkeitsverletzung entsprechend einwilligen, die dann keine mehr ist».
- SR Fässler (am 23. September 2020):
Die Datenschutz-Grundverordnung der EU sieht vor, dass jede Verarbeitung personenbezogener Daten rechtswidrig sei, es sei denn, die betroffene Person habe der Datenbearbeitung zugestimmt oder es liege ein anderer Rechtsgrund vor. Die Konzeption in unserem Recht ist umgekehrt. Die Datenverarbeitung ist grundsätzlich zulässig, sofern kein Ausnahmetatbestand vorliegt.
Und auch aus der Botschaft ergibt sich, dass mit dem E‑DSG keine Abkehr vom heutigem System beabsichtigt war:
An die Einwilligung für das Profiling werden ebenfalls erhöhte Anforderungen gestellt, wie dies bereits im geltenden Recht für die Bearbeitung von Persönlichkeitsprofilen der Fall ist.
Damit dürfte klar sein:
- Der Wortlaut des DSG wie auch des E‑DSG spricht dafür, dass eine Einwilligung bei besonders schützenswerten Daten und beim Profiling bzw. der Bearbeitung von Persönlichkeitsprofilen nicht stets erforderlich ist. Die massgebliche Bestimmung ist jeweils gleich aufgebaut: “Bei [bzw. für] die Bearbeitung von [besonders schützenswerten Personendaten/Persönlichkeitsprofile/Profiling] muss die Einwilligung ausdrücklich erfolgen”. Das ist etwas anderes als “Die Bearbeitung von […] setzt eine ausdrückliche Einwilligung voraus” und macht deutlich, dass hier ein etwaigs, andernorts festgelegtes Einwilligungserfordernis aufgegriffen und präzisiert, aber nicht statuiert wird.
- Aus der Systematik ergibt sich in doppelter Hinsicht dasselbe: Erstens wird die Ausdrücklichkeit nicht – wie andere Verbotsprinzipe, etwa die Bearbeitung gegen den Willen des Betroffenen – bei den Persönlichkeitsverletzungen erwähnt (in Art. 12 DSG oder Art. 26 E‑DSG), sondern vorne, in den allgemeinen Bestimmungen. Zweitens ergibt sich aus den Rechtfertigungsbestimmungen (Art. 13 DSG und Art. 27 E‑DSG), dass die Einwilligung gleichberechtigt neben den anderen Rechtfertigungsgründen steht. Für bestimmte Bearbeitungen nur die Einwilligung, aber keine andere Rechtfertigungsgründe zuzulassen, wäre dem DSG fremd.
- Die Gesetzgebungshistorie zeigt, dass das Verbot des Profilings ohne Einwilligung erwogen, im Gesetz aber nicht aufgenommen wurde.
- Die Voten in der Beratung machen deutlich, dass die Räte für das Profiling kein Verbotsprinzip einführen wollten.
Es bleibt deshalb dabei, dass das Profiling, ob mit niedrigem oder mit hohem Risiko, keine Einwilligung erforderlich ist, sofern dabei nicht ein Bearbeitungsgrundsatz verletzt wird.
Umgekehrt ist eine Einwilligung für Profiling dann erforderlich, wenn
- ein Bearbeitungsgrundsatz verletzt wird, z.B.
- der Grundsatz der Transparenz (was sich aber nicht schon aus einer Verletzung der Informationspflicht nach Art. 17 E‑DSG ableiten lässt, denn Art. 17 E‑DSG ist weder ein Bearbeitungsgrundsatz noch eine Konkretisierung des Transparenzgrundsatzes),
- der Grundsatz der Zweckbindung (wobei das Profiling als solches kein Zweck ist, sondern eine Bearbeitungsmodalität, ein “Mittel” der Bearbeitung. Wer zu einem bisherigen, erlaubten Zweck neu Profiling durchführt, verletzt daher nicht den Grundsatz der Zweckbindung),
- der Grundsatz der Verhältnismässigkeit (wobei sich die Verhältnismässigkeit am Zweck der Bearbeitung ausrichtet; Profiling ist daher verhältnismässig, soweit es für einen Zweck geeignet und erforderlich ist, selbst wenn es – z.B. für den Zweck der Marketingpersonalisierung – umfassend ist; der Zweck seinerseits untersteht nicht dem Grundsatz der Verhältnismässigkeit, sondern jenem der Wirtschaftsfreiheit);
- und zugleich kein anderer Rechtfertigungsgrund besteht.