Jusletter IT

Profiling ist ein datenschutzrechtliches Reizwort. Im Rahmen der Revision des Datenschutzgesetzes war Profiling der letzte Zankapfel, der die Verabschiedung des revidierten Datenschutzgesetzes in die Länge zog. Dabei ist Profiling heute ein alltäglicher Vorgang, den sich viele Kund*innen wünschen, auch wenn sie einen anderen Begriff dafür verwenden würden. Viele der heute beliebtesten Angebote würden ohne Profiling nicht funktionieren.

Profiling bezeichnet die automatisierte Analyse des Verhaltens, um Annahmen über Interessen und Präferenzen zu treffen oder voraussichtliches Verhalten vorherzusagen. Für viele Befürworter eines sog. starken Datenschutzes darf eine solche «Schubladisierung» nur unter strengen Voraussetzungen hingenommen werden.¹ Idealisiert wird der datensparsame «Tante Emma» Laden, der Produkte für alle gleich präsentiert und in dem Kund*innen frei von jeder Beeinflussung jene Produkte auswählen, die ihren Bedürfnissen entsprechen. Kund*innen wissen schliesslich selbst am besten, welche Produkte sie möchten oder brauchen.

Mit der heutigen Realität hat diese Vorstellung nur wenig zu tun. Vor allem online dominieren heute auf Personalisierung aufbauende Geschäftsmodelle: Auf Streamingplattformen werden basierend auf dem bisherigen Nutzungsverhalten Inhalte empfohlen. In Online-Stores werden auf der Startseite jene Produkte angezeigt, die zum bisherigen Kaufverhalten passen und deshalb für die betreffende Kundin oder den betreffenden Kunden voraussichtlich interessant sind. Im Online-Lebensmittelhandel werden die von der betreffenden Kundin bzw. vom betreffenden Kunden häufig gekauften Produkte prominent platziert, damit Kund*innen sie nicht erst mühsam zusammensuchen müssen. Aber nicht nur online, auch offline sind personalisierte Angebote weit verbreitet, z.B. wenn Teilnehmer*innen eines Loyalitätsprogramms auf sie zugeschnittene Angebote oder Vergünstigungen erhalten.

Oft würde es ohne solche Personalisierung gar nicht mehr gehen: Schätzungen zufolge hat z.B. Amazon mehr als 12 Millionen Produkte im Sortiment – Bücher und Medien nicht mitgezählt.² Auch der Schweizer Online-Store Digitec Galaxus hat bereits rund 3 Millionen Produkte im Angebot.³ Und die über 50’000 Titel auf Netflix reichen aus für mehr als vier Jahre «Binge-Watching» – rund um die Uhr.⁴ Sich in dieser Vielfalt ohne gezielte Hilfe zu orientieren, ist unmöglich. Kund*innen setzen eine personalisierte Präsentation deshalb zu Recht voraus und hätten wenig Verständnis, würde man sie mit dem riesigen Angebot ohne Hilfestellung alleine lassen. Solche Personalisierungen setzen aber ein Profiling im Sinne des Datenschutzrechts⁵ voraus. Ohne Profiling keine Personalisierung.

Das Datenschutzrecht definiert den Begriff des Profiling ausführlich, hält aber kaum Rechtsfolgen dafür parat. Dies überrascht angesichts der bis zuletzt intensiv geführten Debatten. Tatsache ist aber, dass Profiling in fast jeder Hinsicht eine ganz «normale» Bearbeitung von Personendaten ist, bei der die üblichen Vorschriften zu beachten sind, allen voran die Bearbeitungsgrundsätze wie Transparenz, Zweckbindung und Verhältnismässigkeit. Wie jede andere Bearbeitung von Personendaten muss auch ein Profiling nur dann speziell gerechtfertigt werden, wenn die Bearbeitungsgrundsätze nicht eingehalten werden können oder anderweitig eine Persönlichkeitsverletzung vorliegt.⁶ Im Anwendungsbereich der DSGVO, wo jede Datenbearbeitung gerechtfertigt werden muss, stehen für die Rechtfertigung eines Profiling sämtliche Rechtsfertigungsgründe von Art. 6 DSGVO zur Verfügung.

Nur ganz vereinzelt finden sich im Datenschutzrecht Vorschriften, die sich spezifisch auf Profiling beziehen. Erwähnenswert ist insbesondere das in der DSGVO vorgesehene jederzeitige und unbedingte Widerspruchsrecht gegen Profiling, soweit es mit Direktmarketing in Verbindung steht.⁷ In der Schweiz wurde ein ähnliches Widerspruchsrecht gegen Profiling ebenfalls vorgeschlagen, in den parlamentarischen Beratungen aber verworfen.⁸

Nur wenn bestimmte qualifizierende Merkmale hinzutreten, sieht das Datenschutzrecht ein paar Sondervorschriften vor, die es neben den üblichen Vorgaben zu beachten gilt. Im Anwendungsbereich der DSGVO liegt ein qualifiziertes Profiling dann vor, wenn das Profiling als Grundlage für Entscheidungen dient, die rechtliche Konsequenzen für die betroffene Person haben oder sie in anderer Weise erheblich beeinträchtigen.⁹ Das ist in der Unternehmenspraxis aber nur selten der Fall, jedenfalls im Zusammenhang mit Marketingzwecken. Unter dem revidierten DSG liegt die Schwelle für ein qualifiziertes Profiling – genannt «Profiling mit hohem Risiko» – tiefer: Es liegt schon dann vor, wenn es eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt.¹⁰ Das wird häufiger der Fall sein.¹¹ Weshalb der Schweizer Gesetzgeber ohne Not einen «Swiss Finish» geschaffen hat und nicht einfach das Kriterium der DSGVO übernommen hat, ist unverständlich.¹²

Liegt ein qualifiziertes Profiling vor, bedeutet dies vor allem, dass eine formalisierte Datenschutz-Folgenabschätzung durchgeführt werden muss, in deren Rahmen die Risiken für betroffene Personen systematisch bewertet und ggf. Abhilfemassnahmen definiert werden.¹³ Diese Rechtsfolge greift gleichermassen unter der DSGVO wie unter dem revidierten DSG. Unter dem revidierten DSG gilt bei einem qualifizierten Profiling zusätzlich, dass eine ggf. eingeholte Einwilligung ausdrücklich erfolgen muss, sich die Einwilligung also auf das Profiling als solches beziehen muss.¹⁴ Was manchem Parlamentarier wohl nicht bewusst war, sich aus der Systematik des Gesetzes aber klar ergibt: Das Erfordernis der Ausdrücklichkeit gilt nur, wenn das Profiling effektiv auf eine Einwilligung gestützt wird. Es bedeutet aber nicht, dass in jedem Fall eines Profiling mit hohem Risiko auch tatsächlich eine Einwilligung eingeholt werden muss.¹⁵ Auch bei einem Profiling mit hohem Risiko gilt vielmehr, dass eine Einwilligung nur erforderlich ist, wenn die Bearbeitungsgrundsätze nicht erfüllt werden können und kein anderer Rechtfertigungsgrund greift.

Das Datenschutzrecht enthält noch einzelne weitere Sondervorschriften für ein qualifiziertes Profiling, auf die vorliegend aber nicht weiter eingegangen wird.¹⁶

Um die vorstehend skizzierten datenschutzrechtlichen Vorgaben an Profiling in der Unternehmenspraxis zu navigieren, empfiehlt sich eine Orientierung an folgenden Handlungsempfehlungen:

Erstens sollte in Geschäftsbedingungen, Datenschutzhinweisen sowie weiteren Angebotsbeschreibungen deutlich gemacht werden, dass die Personalisierung ein wesentlicher Leistungsbestandteil ist und in erster Linie im Interesse der Kund*innen ist. Dies stellt einerseits die Transparenz gegenüber Kund*innen sicher, stärkt andererseits aber auch das Argumentarium in der Frage des Rechtfertigungsgrunds der Bearbeitung (soweit ein solcher ausserhalb des Anwendungsbereichs der DSGVO überhaupt erforderlich ist). Nicht nur erschliesst es die Vertragserfüllung als möglichen Rechtfertigungsgrund, sondern hilft auch bei der Begründung eines berechtigten Interesses für die Bearbeitung.¹⁷

Zweitens sollte die Nutzung der mittels Profiling abgeleiteten Präferenzdaten möglichst auf leistungs- und vertragsnahe Zwecke begrenzt bleiben. Dazu gehören neben der Erbringung der Leistung selbst auch andere mit der Leistungserbringung oder der Vertragsabwicklung zusammenhängende Vorgänge, z.B. die Entscheidung, welche Zahlungsmöglichkeiten und andere Vertragsmodalitäten beim Vertragsschluss zur Verfügung stehen, sowie Marketingzwecke. Eine personenbezogene Nutzung für sachfremde Zwecke ohne jeden Zusammenhang mit der Kernleistung sollte hingegen unterbleiben.¹⁸

Drittens empfiehlt es sich, Nutzern wo sinnvoll und technisch möglich ein Opt-out-Recht einzuräumen – also die Möglichkeit, Personalisierung mitsamt des vorgelagerten Profiling «auszuschalten». Dafür sprechen zunächst rechtliche Überlegungen: Einerseits wird damit im Anwendungsbereich der DSGVO dem jederzeitigen Widerspruchsrecht gegen Profiling mit Direktmarketingbezug entsprochen.¹⁹ Andererseits operationalisiert ein Opt-out-Recht in Fällen, in denen das Profiling auf eine Einwilligung gestützt wird, das Recht auf Widerruf der Einwilligung.²⁰ Zudem trägt ein Opt-out-Recht dem Leitgedanken des «Privacy by Design» Rechnung.²¹ Aber auch nicht-rechtliche Überlegungen legen ein solches Recht nahe: Kund*innen erwarten heute einfach, auf die Bearbeitung ihrer Daten in relevanter Weise Einfluss nehmen zu können. Idealerweise sollte das Opt-out über Profileinstellungen einfach ausübbar zugänglich gemacht werden.

Viertens, schliesslich, sollte in Fällen, in denen das Profiling eine gewisse Intensität erreicht oder dafür Daten aus unterschiedlichen Quellen verknüpft werden, eine Datenschutz-Folgenabschätzung durchgeführt werden. Wie gesehen ist eine Datenschutz-Folgenabschätzung jedenfalls dann obligatorisch, wenn die Schwelle des qualifizierten Profiling überschritten wird. Eine Datenschutz-Folgenabschätzung ist aber generell empfehlenswert, um in einem formalisierten Prozess die Risiken für betroffene Personen systematisch zu bewerten und Massnahmen zu ihrer Mitigierung zu definieren.

Der schlechte Ruf, den das Profiling hat, ist in vielen Fällen nicht berechtigt. Häufig ist Profiling eine notwendige Voraussetzung, um Kund*innen die nötige Orientierung gewährleisten und die gewünschte Ausrichtung auf individuelle Bedürfnisse bieten zu können. Hinzu kommt, dass Profiling zunehmend auch für den Schutz von Kund*innen vor Betrug und Cyberkriminalität eingesetzt wird. Wenn ein paar Handlungsempfehlungen berücksichtigt werden, können die an ein Profiling gestellten datenschutzrechtlichen Anforderungen insgesamt recht gut gemeistert werden.

Der Umgang mit Profiling sollte aber nicht auf eine juristische Betrachtung beschränkt bleiben. Neben dem rechtlichen Datenschutz zählt auch der gefühlte Datenschutz.²² Auch wenn eine Bearbeitung rechtskonform ist, kann die Reputation eines Unternehmens Schaden nehmen, wenn dem Vorgang aus Sicht von Kund*innen etwas Anstössiges anhaftet. Ein Fokus sollte deshalb auf die Kundenkommunikation und die Medienarbeit gelegt werden.²³ Wem es nicht gelingt, Kund*innen den Nutzen eines Profiling zu vermitteln, muss über die Bücher gehen.

Matthias Glatthaar, Dr. iur., LL.M. (Harvard), Rechtsanwalt, CIPP/E, CIPM. Der Autor ist Leiter Datenschutz & Digitalisierung beim Migros-Genossenschafts-Bund, Zürich. Er gibt seine persönliche Meinung wieder.