§ 4 Rechtsgrundlagen der Verarbeitung / III. Ausnahmen vom Verbot des Profiling und automatisierter Einzelfallentscheidungen

1. Abschluss oder die Erfüllung eines Vertrags

Rz. 352

Das Verbot nach Art. 22 Abs. 1 DSGVO soll nach § 22 Abs. 2 Nr. 1 DSGVO nicht gelten, wenn die Maßnahmen für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist. Dieser Erlaubnistatbestand gleicht nur augenscheinlich der in Art. 6 Abs. 1 lit. b) DSGVO beschriebenen Verarbeitungsbefugnis, denn letztere setzt gerade nicht voraus, dass der Verantwortliche Vertragspartner der dort beschriebenen vertraglichen Vereinbarung ist. Dies ist im Rahmen des Art. 22 Abs. 1 DSGVO wesentlich enger und zwingende Voraussetzung der Erlaubnisnorm.

Rz. 353

Hinsichtlich der Reichweite des Abschlusses oder der Erfüllung eines Vertrages kann auf das zu Art. 6 Abs. 1 lit. b) Gesagte verwiesen werden.^[428] Die Erforderlichkeit kann sich aus einer Verringerung von Prozesskosten, dem Schutz des Wirtschaftsverkehrs im Rahmen der Abwendung wirtschaftlicher Risiken, der Betrugsvorbeugung, oder einer Beschleunigung von Entscheidungsfindungen ergeben.^[429] Sie ist nicht im Sinne eines "Müssens" zu verstehen.

[428] Oben Rdn 131 ff.

[429] So auch Kamlah, in: Plath (Hrsg.), BDSG/DSGVO, 2. Aufl. 2017, Art. 22 Rn 8.

2. Ausdrückliche Einwilligung der betroffenen Person

Rz. 354

Weiterhin greift das Verbot nach Abs. 22 Abs. 1 DSGVO nach Art. 22 Abs. 3 DSGVO nicht, soweit eine ausdrückliche Einwilligung der betroffenen Person vorliegt. Die Anforderungen an die Einwilligung sind insoweit gleichlaufend zu denen, die an die "ausdrückliche Einwilligung" in die Verarbeitung besonderer Kategorien personenbezogener Daten gestellt werden, so dass die hierzu getätigten Ausführungen^[430] entsprechend Anwendung finden.

[430] Oben Rdn 67 ff.

3. Zulässigkeit im Rahmen der Leistungserbringung nach einem Versicherungsvertrag, § 37 BDSG-Neu

Rz. 355

Mit § 37 BDSG-Neu normiert der deutsche Gesetzgeber partiell einen Anwendungsfall des Art. 22 Abs. 2 lit. a) DSGVO und gestattet, automatisierte Entscheidungen im Einzelfall im Rahmen der Leistungserbringung nach einem Versicherungsvertrag. Die Regelung stellt sich deshalb nur als "partiell" von Art. 22 Abs. 2 lit. a) DSGVO umfasst dar, weil dort ein Vertragsverhältnis "mit der betroffenen Person" gefordert wird, während § 37 Abs. 1 BDSG-Neu lediglich die Leistungserbringung nach einem Versicherungsvertrag voraussetzt. Damit stellt er gerade nicht darauf ab, dass der Vertrag auch mit der betroffenen Person "als Vertragspartner" abgeschlossen wurde. Insoweit kann die betroffene Person zwar zugleich Vertragspartner des Versicherungsunternehmens sein, muss es aber nicht.^[431] Gerade im Versicherungsrecht wird die betroffene Person oft eine vom Vertragspartner verschiedene Person sein, so im Rahmen der Schadensregulierung von Haftpflichtschäden oder auch der Leistungserbringung innerhalb der Privaten Krankenversicherung gegenüber mitversicherten Familienangehörigen des Vertragspartners. § 37 BDSG-Neu trägt daher den spezifischen Belangen der Versicherungswirtschaft Rechnung.

Rz. 356

Nach heute gültiger Rechtslage sind automatisierte Einzelentscheidungen gemäß § 6a Abs. 2 S. 1 Nr. 1 BDSG generell zulässig, sofern im Rahmen eines Vertragsverhältnisses dem Begehren der betroffenen Person stattgegeben wird. Eine Beschränkung auf Fälle der Leistungserbringung in einem Versicherungsvertrag bestand bisher nicht. Der Bundesrat hatte eine Öffnung des § 37 Abs. 1 Nr. 1 BDSG-Neu und die generelle Zulässigkeit positiver automatisierter Einzelentscheidungen für alle Vertragsarten eingefordert.^[432] Er konnte sich im Rahmen des Gesetzgebungsverfahrens jedoch (noch) nicht durchsetzen.^[433]

[431] BT- Drucks 18/11325, S. 106.

[432] BT-Drucks 18/11655, S. 40.

[433] Die Bundesregierung behält sich eine Prüfung der generellen Zulässigkeit positiver automatisierter Einzelentscheidungen aber ausdrücklich vor, BT-Drucks 18/11655, S. 57.

a) Vollumfänglich stattgebende Entscheidung über eine Leistungsantrag der betroffenen Person, § 37 Abs. 1 Nr. 1 BDSG-Neu

Rz. 357

Nach § 37 Abs. 1 Nr. 1 BDSG-Neu soll die automatisierte Entscheidung im Einzelfall im Rahmen der Leistungserbringung nach einem Versicherungsvertrag zulässig sein, wenn dem Begehren der betroffenen Person stattgegeben wurde. Die Ausnahmeregelungen findet sich bereits in § 6a Abs. 2 Nr. 1 BDSG.^[434] Voraussetzung für die Anwendung der Ausnahmeregelung ist neben der Leistungserbringung nach einem Versicherungsvertrag, ein an den Verantwortlichen gerichteter Leistungsantrag (=Begehren) der von der Entscheidungsfindung betroffenen Person. § 37 Abs. 1 Nr. 1 BDSG-Neu ermöglicht z.B. die automatisierte Schadensregulierung zwischen der Kfz-Haftpflichtversicherung des Schädigers und dem Geschädigten. Voraussetzung ist, dass dem Begehren des Antragstellers, der gleichzeitig datenschutzrechtlich die betroffene Person ist, vollumfänglich und nicht bloß teilweise entsprochen wird. Kommt es zu einer Ablehnung des Leistungsbegehrens ist der Verantwortliche dazu angehalten, die Entscheidungsfindung erneut durch einen Mitarbeiter des Versicherungsunternehmens aktiv im Rahmen der Einzelfallprüfung vorzunehmen. Eine Zurückweisung der Leistung auf Grundlage einer automatisierten Entscheidung darf daher nicht erfolgen; sie darf der betroffenen Person auch nicht übermittelt oder in sonstiger Weise mitgeteilt w...