Source: https://www.pingdigital.de/blog/2019/02/05/profiling-und-automatisierte-entscheidungsfindung-im-lichte-des-art-22-dsgvo/1548
Timestamp: 2019-02-16 20:39:55
Document Index: 206051367

Matched Legal Cases: ['Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22', 'Art. 22']

Profiling und automatisierte Entscheidungsfindung nach Art. 22 DSGVO - PinG Privacy in Germany
Profiling und automatisierte Entscheidungsfindung nach Art. 22 DSGVO
Autor: Pauline Engels Erstellt am: 5. Februar 2019 Rubrik: Datenschutzrecht, Profiling
Durch die automatisierte Entscheidungsfindung im Online-Bereich werden Verarbeitungsprozesse effizienter und lästige Verzögerungen durch lange Bearbeitungszeiten geringer. Mitarbeiter können sich endlich auf weniger einseitige Tätigkeitsfelder konzentrieren und die eigene Leistung dort einbringen, wo es sinnvoll ist.
Aber bringen automatisierte Entscheidungen, an denen kein Mensch mehr beteiligt ist, wirklich nur Vorteile mit sich? Oder ist es vielleicht auch gefährlich, wenn über persönliche Schicksale nur noch mit technischen Mechanismen und künstlicher Intelligenz geurteilt wird?
Mit Art. 22 DSGVO wurde ein neues Instrumentarium geschaffen, um Personen vor dieser rein automatisierten Entscheidungsfindung zu schützen. Doch wie genau ist Art. 22 zu verstehen? Was ist mit den „rechtlichen Wirkungen“ gemeint, die eine automatisierte Entscheidung entfaltet? Und in welchen Fällen ist gegen eine solche Entscheidung nichts einzuwenden?
I. Begriffliche Unklarheiten
Unter „Profiling“ im Sinne des Art. 22 I DSGVO versteht man eine automatisierte Verarbeitung von personenbezogenen Daten, die die mit der Person verbundenen persönlichen Aspekte bewertet. Darunter fallen nicht nur der Aufenthaltsort und Fähigkeiten der Person, sondern auch Informationen über ihre Gesundheit und Arbeitsleistung.
2) Rechtliche Wirkung, Art. 22 I Alt. 1 DSGVO
Auch der Begriff der rechtlichen Wirkung bedarf der weiteren Auslegung. Er ist zunächst als „Rechtsfolge“ zu verstehen. Die Frage, ob nur nachteilige oder auch begünstigende Rechtsfolgen von der Norm erfasst werden, ist nicht eindeutig zu beantworten. Zumindest geht aus dem Wortlaut der Norm nicht hervor, dass begünstigende Regelungen von den Rechtsfolgen iSd Art. 22 DSGVO von vorneherein ausgeschlossen sind. Allerdings lässt der Wortlaut darauf schließen, dass nur solche rechtlichen Wirkungen erfasst sein sollen, die die Rechtsposition der betroffenen Person in negativer Weise beeinflussen.
Die Formulierung „in ähnlicher Weise … beeinträchtigen“ legt ebenfalls nahe, dass mit rechtlichen Wirkungen eher benachteiligende Entscheidungen gemeint sind. Eine gänzlich begünstigende Entscheidung ist jedenfalls nicht erfasst. Vor einer solchen müsste die betroffene Person nicht geschützt werden und der Sinngehalt des Art. 22 DSGVO liefe ins Leere. Daher ist der überwiegenden Ansicht in der Literatur zu folgen. Demnach werden von der Norm ausschließlich negative Rechtsfolgen abgedeckt.
Weiterhin ist fraglich, welche „rechtlichen Wirkungen“ mit der gleichlautenden Formulierung gemeint sind. Rechtliche Wirkungen, die allein durch den Abschluss bzw. Nicht-Abschluss eines Vertrages entstehen, fallen nicht unter den Art. 22 DSGVO. Diese rechtlichen Wirkungen sind lediglich Folge der Vertragsfreiheit des Verantwortlichen.
Sich entfaltende rechtliche Wirkungen gehen allerdings von einseitigem hoheitlichen Handeln aus, beispielsweise bei einer Kündigung. Dazu genügt aber noch nicht, wenn ein Vertragsschluss z.B. nur zu bestimmten Konditionen angeboten wird.
Auch nicht unter Art. 22 DSGVO fallen Verträge, die dem Kunden gewährt werden- selbst wenn sie mit rechtlichen Folgen verbunden sind. Sämtliche durch Vertragsabschluss entstehende Rechtsfolgen werden somit nicht von Art. 22 I Alt. 1 DSGVO erfasst.
3) Erhebliche Beeinträchtigung, Art. 22 I Alt. 2 DSGVO
Interessant bleibt jedoch weiterhin die Frage, welche Einschränkungen der Art. 22 DSGVO für die Kreditvergabe bedeutet. Unumstritten ist, dass die automatische Ablehnung eines Kreditvertrags eine „erhebliche Beeinträchtigung“ im Sinne des Art. 22 I Alt. 2 DSGVO darstellt.
Eine eindeutige erhebliche Beeinträchtigung ist nach überwiegender Ansicht die Ablehnung eines Online-Kreditantrags, wenn es sich um eine vollautomatisierte Kreditentscheidung handelt. Vor einer solchen Entscheidung muss der Verbraucher geschützt werden, da sie weitreichende sozioökonomische Auswirkungen auf ihn haben kann.
Von der Geltung des Art. 22 DSGVO ausgenommen sind die in Abs. 2 der Norm aufgeführten Fälle, in denen eine automatisierte Entscheidung getroffen wird. Auch hier müssen allerdings ausreichende Vorkehrungen getroffen werden, um die Rechte und Freiheiten der betroffenen Person zu wahren; Verantwortliche sind aufgefordert, erweiterte und gestärkte Schutzmaßnahmen zu treffen. Mitunter soll der Betroffene das Recht haben, die entsprechende Entscheidung anzufechten und seinen Standpunkt geltend zu machen, den der Verantwortliche dann bei seiner Entscheidungsfindung zu berücksichtigen hat.
Nach Abs. 1 fallen darunter solche Entscheidungen, die für den Abschluss oder die Erfüllung eines Vertrages erforderlich sind, so zum Beispiel die erfolgreiche Durchführung bestimmter Liquiditätsprüfungen durch Verantwortliche in E-Commerce-Unternehmen, um ein Insolvenzrisiko zu vermeiden.
Ferner zählen zu den Ausnahmen solche Entscheidungen, die nach dem Recht der Union oder der EU-Mitgliedsstaaten zulässig sind und dazu dienen, Betrug und Steuerhinterziehung zu verhindern.
Sofern die betroffene Person ausdrücklich in die automatisierte Entscheidungsfindung einwilligt, entfällt das Verbot des Art. 22 auch. Dabei muss der Nutzer jedoch über die Zwecke der Verarbeitung (wie das Profiling) aufgeklärt werden. Der Europäische Datenschutzausschuss ist außerdem ermächtigt, durch Festlegung von Leitlinien an den Kriterien mitzuwirken, die eine auf Profiling basierende Entscheidung erfüllen muss.
Grundsätzlich gewährleistet Art. 22 DSGVO auch weiterhin den Schutz, der dort geboten ist, wo eine Entscheidung auf der Grundlage von Profiling die persönlichen Rechte des Betroffenen verletzt. Die genauen Vorhersagen über eine Person, die durch das Profiling getroffen werden können, haben nicht selten auch entscheidende rechtliche Konsequenzen.
Zu Recht wird eingewendet, dass die Norm zahlreiche Ausnahmen auf dem Gebiet gewährt. Vor allem eine Einwilligung ist durch das einfache Setzen eines Häkchens schnell erteilt, ohne dass der Nutzer sich ein Bild von der tatsächlichen Rolle machen konnte, die Profiling bei Entscheidungen über seine Person spielt. Die Erlaubnistatbestände, nach denen Profiling zulässig ist, wurden im Vergleich zum BDSG sogar noch erweitert.
Dennoch bedarf es dieser Erlaubnistatbestände, um beispielsweise Unternehmen weiterhin ermöglichen zu können, Kundenprofile zu erstellen und ein effektives Marketing durchzuführen. Die Informationspflichten und neu definierte Auskunfts- und Anfechtungsrechte der Betroffenen stärken deren Autonomie und Persönlichkeitsrechte. Sie selbst können auf die von den Verantwortlichen getroffene Entscheidung korrigierend einwirken. Und auch weiterhin ist die strenge Zweckbindung bei der Einwilligung eine Hürde für die Verantwortlichen. Es besteht demnach kein Anlass zur Sorge, dass Art. 22 nicht genügend Schutz vor Entscheidungen bietet, die die Betroffenen benachteiligen.
Rubrik: Datenschutzrecht, Profiling Stichwörter: Automatisierte Einzelentscheidung