Im September soll das neue Datenschutzgesetz nach drei Jahren Ratsdebatte verabschiedet werden. Die staatspolitische Kommission des Nationalrats hat allerdings anfangs Juli erneut einen Kompromiss‐vorschlag zum Profiling abgelehnt. Der Streit um das Profiling ist eine der letzten Differenzen zwischen den Räten. Die Mehrheit in der Kommission sieht im vorgeschlagenen Kompromiss einen unnötigen «Swiss Finish». Doch selbst dieser Kompromiss ist nicht ausreichend, um ein gleichwertiges Schutzniveau im Vergleich zur europäischen Datenschutz-Grundverordnung (DSGVO) zu schaffen, da ein Widerspruchsrecht fehlt. Dieses ist nötig, damit die Schweiz auch weiterhin einen angemessenen Datenschutz hat und Teil des europäischen Datenraums bleibt.
Einwilligung zum Profiling
Durch «Profiling» werden vollständig automatisiert – insbesondere durch einen Algorithmus – personenbezogene Daten ausgewertet, um daraus Persönlichkeitsmerkmale, Lebensumstände und Verhaltensweisen einer Person abzuleiten oder vorherzusagen. Dies betrifft beispielsweise die Arbeitsleistung, die Gesundheit, das Verhalten, die Vorlieben oder den Aufenthaltsort einer Person. Durch Profiling werden automatisiert Persönlichkeitsprofile erstellt. Im revidierten Datenschutzgesetz soll daher der Begriff «Persönlichkeitsprofil» durch «Profiling» ersetzt werden. Damit würde bereits der gesamte Prozess des Erstellens eines Persönlichkeitsprofils vom Gesetz erfasst.
Bereits im aktuellen Datenschutzgesetz gilt (Art. 4 Abs. 5 DSG): «Ist die Einwilligung der betroffenen Person in die Bearbeitung von besonders schützenswerten Daten oder Persönlichkeitsprofilen erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig und ausdrücklich erfolgt.» Freiwillig bedeutet, dass sich die betroffene Person ohne Druck für oder gegen die Datenbearbeitung entscheiden kann. Freiwillig ist eine Einwilligung daher nicht zustande gekommen, wenn eine Verweigerung einer solchen zu unverhältnismässigen Nachteilen führen würde. Die Einwilligung ist ausdrücklich erfolgt, wenn aus den konkreten Umständen eine klare Willensäusserung der betroffenen Person hervorgeht, die insbesondere nicht stillschweigend erfolgen kann (Stämpflis Handkommentar, DSG 4, 2015, Seite 64).
Koppelungsverbot
Hierbei darf unter Ausnutzung des Ungleichgewichts zwischen Unternehmen und Verbraucher eine Einwilligung zur Verwendung von Daten nicht dadurch abgenötigt werden, dass eine vertragliche Leistung nur erbracht wird, wenn in die Verwendung von Daten eingewilligt werden muss, die für die Vertragserfüllung nicht erforderlich sind (Koppelungsverbot, vgl. Domenig/Mitscherlich, Datenschutzrecht für Schweizer Unternehmen, Seite 21ff.; Hieke, in: Big Data, Zum gesetzlichen Schutz und der rechtlichen Zuordnung von Daten, InTeR 2017 S. 10, 19).
Dieses sogenannte Koppelungsverbot besteht jedoch in der schweizerischen Praxis faktisch nicht. Meist wird zudem eine Einwilligung durch das Akzeptieren der Allgemeinen Geschäftsbedingungen (AGB) und/oder der Datenschutzerklärung eingeholt, ohne dass betreffend dem Profiling – auch nachträglich für die weitere Verarbeitung der bereits erhobenen Daten – widersprochen werden könnte.
Risikobasierter Ansatz
In der aktuellen Parlamentsdebatte besteht die Mehrheit des Nationalrats zudem darauf, dass eine ausdrückliche Einwilligung nur noch bei der Bearbeitung von «besonders schützenswerten Personendaten» (wie Daten über religiöse, weltanschauliche oder politische Ansichten oder Tätigkeiten) zur Heilung einer andernfalls widerrechtlichen Persönlichkeitsverletzung (Art. 13 DSG) nötig sein soll. Beim Profiling soll in diesen Fällen also keine «ausdrückliche» Willenserklärung durch das Setzen eines Häkchens mehr nötig sein. Wie die weiterhin vorausgesetzte «Freiwilligkeit» der Einwilligung festgestellt werden kann, bleibt in der Debatte unklar. Neben dem faktisch nicht bestehenden Koppelungsverbot würde dadurch das Schutzniveau im Vergleich zum heutigen Datenschutzgesetz zusätzlich verringert.
Im Gegensatz zum Nationalrat setzt sich die Mehrheit im Ständerat für einen Kompromissvorschlag ein: Eine ausdrückliche Einwilligung soll bei einem Profiling mit «hohem Risiko» weiterhin nötig sein. Es soll also eine neue Kategorie des Profilings geschaffen werden, in dessen Folge sich die Räte nun streiten, was ein Profiling mit hohem Risiko sein soll. Der überzeugendste Vorschlag stammt aus dem Ständerat, der ein solches annimmt, wenn ein Profiling «ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt». Von einer solchen Unterscheidung möchte die zuständige Nationalratskommission jedoch partout nichts wissen und lehnt den Kompromissvorschlag weiterhin ab.
Fehlendes Widerspruchsrecht
Sollte sich das Parlament zu einem risikobasierten Ansatz entscheiden, wie es der Ständerat vorschlägt, muss jedoch ein Widerspruchsrecht geschaffen werden: Das Gesetz muss also als Ausgleich überall dort, wo keine ausdrückliche Einwilligung für ein Profiling vorgesehen ist, eine einfache «Opt-out»-Möglichkeit für die betroffenen Personen verankern. Dieses Widerspruchsrecht muss ohne Nachteile wahrgenommen werden können. Die Zustimmung zum Profiling darf – auch beim risikobasierten Ansatz – insbesondere nicht an die pauschale Zustimmung zu Allgemeinen Geschäftsbedingungen (AGB) oder gar einer Datenschutzerklärung gebunden sein. Das Widerspruchsrecht muss auch ohne aufwändige Klage zum Schutz der Persönlichkeit (Art. 28 Abs. 2 i.V.m. Art. 26 E-DSG) wahrgenommen werden können. Diese Forderung haben wir bereits vor einem Jahr erhoben.
Warum ist ein Widerspruchsrecht beim Profiling erforderlich?
Einige Stimmen sind der Ansicht, dass ein Widerspruchsrecht auch in Fällen des Profilings bestehe, sodass kein weiterer Regelungsbedarf bestehe. Auch werde nach Art. 17 Abs. 2 lit d E-DSG auf dieses Recht hingewiesen werden. Insoweit sei weder eine (erneute) Regelung eines Widerspruchsrechts erforderlich, noch auf diese hinzuweisen.
Diese Argumentation ist unzutreffend. Ein Widerspruchsrecht des Betroffenen besteht derzeit weder, noch würde ein solches durch einen neuen Art. 17 Abs. 2 lit. d E-DSG geschaffen werden.
- Art. 17 E-DSG bestimmt dem Wortlaut und der Systematik nach lediglich Informationspflichten (Überschrift). Art. 17 Abs. 2 lit. d E-DSG schafft keine neuen Rechte, sondern verweist lediglich auf andernorts begründete Rechte.
- Zur Zeit ist ein Widerspruchsrecht des Betroffenen jedoch andernorts im DSG nicht geregelt. Zwar sind in Art. 17 E-DSG Informationspflichten, und in Art. 28 E-DSG ein Berichtigungsanspruch sowie die Möglichkeit der Klage zum Schutz der Persönlichkeit vorgesehen. Ein Verweis auf die «Liste der Rechte» umfasst jedoch keinen Hinweis auf ein Widerspruchsrecht, da ein solches (bis jetzt) nicht geregelt ist.
Weder status quo noch der derzeit beabsichtigte Revisionsstand des DSG schaffen eine hinreichende Kompatibilität mit der europäischen Datenschutz-Grundverordnung (DSGVO). Das Schutzniveau ist nicht gleichwertig.
- Nach der EU DSGVO ist die Verarbeitung personenbezogener Daten grundsätzlich rechtswidrig, es sei denn, dass der Verarbeiter die Verarbeitung auf einen Rechtsgrund stützen kann, vgl. Art. 6 EU DSGVO. In der Schweiz ist eine Verarbeitung von Daten hingegen grundsätzlich immer zulässig, es sei denn es liegen Ausnahmetatbestände vor. Dennoch ist selbst in der DSGVO, die bereits aufgrund des unterschiedlichen Ansatzes ein abstrakt höheres Schutzniveau bietet, in Art. 21 DSGVO zusätzlich ein Widerspruchsrecht geregelt.
- Aus der Kombination des Verbotes mit Erlaubnisvorbehalt (Art. 6 EU-DSGVO) mit einem Widerspruchsrecht (Art. 21 EU-DSGVO) folgt, dass die Schweiz ein gleichwertiges Schutzniveau vis-à-vis der EU-DSGVO nur erreichen kann, wenn spiegelbildlich ein umfangreicheres Widerspruchsrecht als in der EU-DSGVO geschaffen wird.
- Bezogen auf das Profiling bedeutet dies nach der EU-DSGVO:
- In den meisten Fällen wird ein Profiling mangels Einwilligung – oder anderes Rechtfertigungsgrunds – rechtswidrig sein.
- Das Widerspruchsrecht nach Art. 21 Abs. 1 EU-DSGVO bezieht dezidiert auf die Fälle des Art. 6 Abs. 1 lit. e EU-DSGVO (Verarbeitung zur Wahrnehmung einer öffentlichen Aufgabe) und lit. f (Wahrung berechtigter Interessen mit Grundrechtsabwägung).
- Folge des Widerspruchs ist es, dass Daten nicht weiter verarbeitet werden dürfen, es sei denn, dass eine Verarbeitung aus zwingenden schutzwürdigen Gründen weiterhin erforderlich ist (vgl. Art. 21 Abs. 1 Satz 2 EU-DSGVO).
- Um ein gleichwertiges Schutzniveau in der Schweiz zu erreichen, wären daher folgende Anpassungen erforderlich:
- Ein (näher auszugestaltendes) Widerspruchsrecht kann die Grundrechte der Betroffenen in einem der EU DSGVO vergleichbaren Weise schützen. Die – derzeit – einzige Möglichkeit der Klageerhebung stellt eine wesentliche Erschwerung der Geltendmachung der Betroffenen dar. Es besteht die Gefahr, dass allein aus Kostengründen von einer Klageerhebung Abstand genommen werden könnte, was faktisch einem Rechtsverzicht gleich käme. Die Kompatibilität mit der DSGVO erfordert es, dass dem Betroffenen einfache Möglichkeiten geschaffen werden müssen, seine Rechte geltend zu machen.
- Dem risikobasierten Ansatz beim Profiling folgend sollte in Fällen des erhöhten Risikos ein materielles Widerspruchsrecht mit Interessenabwägung, in Fällen ohne erhöhtes Risiko ein materielles Widerspruchsrecht ohne Interessenabwägung geschaffen werden.
- Ist der Verarbeitung widersprochen, und fiel eine ggf. vorzunehmende Interessenabwägung zugunsten der Rechtsgüter des Betroffenen aus, so dürfen die Daten nicht weiter verarbeitet werden.
Es besteht weiterhin Handlungsbedarf, um die Kompatibilität des DSG mit der EU-DSGVO beim Profiling herzustellen.
- Notwendig dürfte eigentlich sein, dass ein separater Artikel im DSG geschaffen wird, der ein Widerspruchsrecht allgemein, d.h. über den Unterfall des Profilings hinaus, begründet.
- Entgegen der üblichen Systematik wäre – jedoch dem Zustand des fortgeschrittenen Bearbeitungsstands der Revision Rechnung tragend – erforderlich, dass zumindest in die revidierten Grundsätze ein Widerspruchsrecht betreffend dem Profiling geschaffen wird.
Antrag der Kommissions-Minderheit zuhanden des Nationalrats
Eine Minderheit in der zuständigen Staatspolitischen Kommission des Nationalrats schlägt eine entsprechende Ergänzung durch Art. 5 Abs. 8 vor:
Gegen jede Form des Profilings steht der betroffenen Person ein Widerspruchsrecht zu. Die betroffene Person muss auf dieses Widerspruchsrecht hingewiesen werden. Ist Widerspruch eingelegt, dürfen die Daten nicht weiter verarbeitet werden; im Einzelfall kann die Verarbeitung fortgesetzt werden, wenn bei erhöhtem Risiko zwingende schutzwürdige Gründe die weitere Verarbeitung erfordern. Entscheidung und Gründe sind der betroffenen Person mitzuteilen.
Der Vorschlag wird im Nationalrat in der Herbstsession ab dem 7. September diskutiert.
Fazit
Mit der Revision muss der Datenschutz für die Menschen in der Schweiz dringend gestärkt werden. Eine neue Regelung muss zudem kompatibel zur europäischen Datenschutz-Grundverordnung (DSGVO) und zur Europarats-Konvention 108 sein, damit die Schweiz weiterhin zum europäischen Datenraum zählt und die Daten-Freizügigkeit nicht gefährdet ist. Die EU-Kommission will demnächst den betreffenden Angemessenheitsbeschluss neu beurteilen. Um auch weiterhin über einen angemessenen Datenschutz zu verfügen, muss das Parlament ein Widerspruchsrecht schaffen.
(Mitarbeit am Text: Erik Schönenberger, Viktor Györffy, Martin Steiger)