§ 4 Rechtsgrundlagen der Verarbeitung / I. Profiling

1. Legaldefinition, Art. 4 Nr. 4 DSGVO und Anwendungsbereich

Rz. 333

Nach der Legaldefinition in Art. 4 Nr. 4 DSGVO ist unter Profiling

Zitat

"jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen,"

zu verstehen.

Rz. 334

In den Erwägungsgründen^[399] heißt es hierzu:

Zitat

"Zu einer derartigen Verarbeitung zählt auch das "Profiling", das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt."

Rz. 335

Dies könnte leicht dahingehend missverstanden werden, dass der europäische Gesetzgeber mit der Aufnahme einer Legaldefinition des Begriffes "Profiling" in die Verordnung und seiner Erwähnung im Zusammenhang mit den "automatisierten Entscheidungen im Einzelfall" in Art. 22 Abs. 1 DSGVO das Profiling generell unter ein "Verbot mit Erlaubnisvorbehalt" stellen wollte. Wie oben^[400] bereits ausgeführt, ist dem nicht so, vielmehr sollte lediglich das Profiling im Rahmen konkreter Entscheidungsfindungsprozesse einem solchen Verbot unterworfen werden.^[401]

Rz. 336

Die Bedeutung der Legaldefinition bedarf zur besseren Einordnung einer weiteren Konkretisierung, die nachfolgend anhand ausgewählter Anwendungsfälle erfolgt.^[402]

[399] Erwägungsgrund 71 DSGVO.

[400] Rdn 234 ff.

[401] So auch Albrecht/Lotzo, Das neue Datenschutzrecht der EU, 2016, S. 60; siehe auch Taeger, RDV 2017, 1, 6.

[402] Speziell zum Profiling unter Art. 22 DSGVO auch Taeger, RDV 2017, 1 ff.

2. Anwendungsbeispiele

a) Big Data, Data Mining

Rz. 337

Profiling ist eng mit dem Themenkomplex des sog. "Big Data" verknüpft. Der Begriff^[403] ist für sich genommen inhaltlich unscharf und kann neben einer Datenmenge,^[404] "die zu groß, zu komplex, zu schnelllebig und/oder zu schwach strukturiert sind, um sie mit manuellen und herkömmlichen Methoden der Datenverarbeitung auszuwerten“^[405] auch "deren Analyse und Auswertung""^[406] umfassen. Im Zusammenhang mit dem "Profiling" ist "Big Data" vor allem im letzteren Sinne^[407] von Bedeutung, soweit hierfür personenbezogene Daten eingesetzt werden^[408] und die daraus gewonnenen Erkenntnisse im Zusammenhang mit automatisierten Entscheidungen im Hinblick auf den Betroffenen im Einzelfall Verwendung finden und/oder finden sollen.

Rz. 338

Ein anschauliches Praxisbeispiel einer Big Data Analyse im Anwendungsbereich des Art. 22 Abs. 1 DSGVO beschreibt Christl^[409] unter Verweis auf einen Beitrag in der New York Times^[410] aus dem Jahre 2012. Eine US-Supermarktkette hatte den Versuch unternommen, schwangere Kundinnen anhand ihres Einkaufsverhaltens zu identifizieren, um gezielt individuelle Werbung für Babybedarf und solche Produkte zu unterbreiten, von denen die Supermarktkette annahm, dass sie gerade kurz vor oder nach der Geburt von Müttern regelmäßig erworben werden. Hierzu hatte der Supermarktbetreiber allen Kundinnen eine Identifikationsnummer zugewiesen, sobald sie – wie auch immer mit ihm in Kontakt traten. Über die ID wurden alle Einkäufe und Interaktionen protokolliert und mit zugekauften Informationen angereichert.

Rz. 339

Christl^[411] verweist außerdem auf eine US-Studie, die gezeigt hat, dass die Analyse von Facebook-Likes sichere Rückschlüsse auf die ethnische Zugehörigkeit, die politische Einstellung, die Religion, den Beziehungsstatus, das Geschlecht, die sexuelle Orientierung und/oder den Nikotin-, Alkohol und Drogenkonsum“ einer identifizierbarer natürlicher Person ermöglicht.^[412] Dass auch derartige Analysen in Entscheidungen münden können, die gegenüber einem Betroffenen rechtliche Wirkung entfalten^[413] oder ihn in ähnlicher Weise erheblich beeinträchtigt, steht außer Frage.

Rz. 340

Soweit Big Data Analysen^[414] der vorstehenden Art im Zusammenhang mit einer konkreten Entscheidungsfindung erfolgen, ist der Anwendungsbereich des Art. 22 DSGVO grundsätzlich eröffnet.

[403] Hierzu DATENSCHUTZSTELLE FÜRSTENTUM LIECHTENSTEIN, Richtlinie Big Data, 2015, abrufbar unter: http://www.llv.li/files/dss/pdf-llv-dss-richtlinie-big-data.pdf; siehe auch Wissenschaftlicher Dienst des Bundestages, Nr. 37/13 v. 6.11.2013, abrufbar unter: https://www.bundestag.de/blob/194790/c44371b1c740987a7f6fa74c06f518c8/big_data-data.pdf; Art. 29-Datenschutzgruppe, Erklärung der nach Artikel 29 eingesetzten Datenschutzgruppe über die Auswirkungen der Entwicklung von Big-Data-Technologien auf den S...