Big Data, Profiling, Scoring, Industrie 4.0: Anforderungen nach der DSGVO

• Welche datenschutzrechtlichen Fragestellungen sind bei Big Data-Verfahren zu beachten? »

• Gibt es Ausnahmen vom Gebot der menschlichen Intervention? »

• Gelten die Ausnahmen für jede Art personenbezogener Daten? »

• Gibt es besondere Anforderungen für das Profiling? »

• Was bedeutet dies in der praktischen Umsetzung? »

• Was gilt für das Scoring? »

• Fazit »

Welche datenschutzrechtlichen Fragestellungen sind bei Big Data-Verfahren zu beachten?

Big Data-Verfahren erheben, speichern und werten personenbezogene Daten aus. Deshalb gelten für sämtliche Verfahren die allgemeinen Grundsätze zur Erhebung, Speicherung und Vorhaltung von Daten ebenso wie die Grundsätze der Datensparsamkeit, der Zweckbindung und des grundsätzlichen Verbotes mit Erlaubnis­vorbe­halt. Die Auswertung der Daten erfolgt automatisiert, sodass weiter die Regelungen über automatisierte Ent­scheidungen im Einzelfall nach Art. 22 DSGVO zu beachten sind.

Sie sehen vor, dass eine betroffene Person das Recht hat, nicht ausschließlich einer auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, wenn sie ihr gegenüber rechtliche Wirkungen entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, Art. 22 Abs. 1 DSGVO. Hierzu zählen die auto­matische Ablehnung eines Online-Kreditantrages ebenso wie ein Online-Einstellungsverfahren ohne jegliches menschliches Eingreifen (Erwägungsgrund 71, S. 1 DSGVO). Demnach bedarf es im Regelfall bei automatisierten Einzelentscheidungen einer menschlichen Intervention.
 

Gibt es Ausnahmen vom Gebot der menschlichen Intervention?

Ausnahmen sind nach Art. 22 Abs. 2 DSGVO möglich für den Abschluss oder die Erfüllung eines Vertrages mit der betroffenen Person oder bei deren ausdrücklicher Einwilligung. In diesen Fällen muss jedoch das Unter­nehmen angemessene Maßnahmen treffen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren. Hierzu zählen neben einer Verarbeitung mit angemessenen Garantien die spezifische Unterrichtung der betroffenen Person sowie deren Recht auf Erwirkung des Eingreifens, Beschwer­de und Anfechtung einer Entscheidung. Der deutsche Gesetzgeber hat von der Öffnungsklausel des Art. 22 Abs. 2 b) DSGVO Gebrauch gemacht und durch § 37 BDSG weitere Ausnahmetatbestände im Bereich der Ver­sicherungsverträge vorgesehen.

Gelten die Ausnahmen für jede Art personenbezogener Daten?

Die Ausnahmen vom Gebot der menschlichen Intervention gelten weder für besondere Kategorien personen­bezogener Daten, es sei denn es ist gesetzlich vorgesehen und es werden angemessene Maßnahmen zu deren Schutz getroffen, Art. 22 Abs. 4 DSGVO. Zudem sollen personenbezogene Daten von Kindern ausgenommen bleiben (Erwägungsgrund 71, letzter HS).

Gibt es besondere Anforderungen für das Profiling?

Nach Art. 4 Nr. 4 DSGVO ist Profiling jede Art der automatisierten Verarbeitung personenbezogener Daten, die verwendet werden, um persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten – ins­besondere um Aspekte bzgl. Arbeitsleistungen, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Inter­essen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

Profiling wird zum Produktabsatz sowie zu anderen Zwecken, wie Angaben zur Gewohnheit und Interessen von Kunden eingesetzt. Beispiele sind Smart Home, Smart Traffic, Smart Pricing sowie Smart Maintenance. Der Verantwortliche soll für diese Verfahren geeignete mathematische oder statistische Verfahren verwenden sowie technische und organisatorische Maßnahmen ergreifen, um unrichtige personenbezogene Daten zu vermeiden oder zumindest korrigieren zu können (Erwägungsgrund 71, S. 6 DSGVO). Zudem unterliegt das Profiling sämt­lichen Anforderungen der DSGVO (Erwägungsgrund 72 DSGVO). Hierzu zählt auch der eingangs erwähnte Zweck­bindungsgrundsatz. Danach dürfen personenbezogene Daten grund­sätzlich nur für die Zwecke verar­beitet werden, für die sie erhoben wurden, Art. 6 Abs. 3 DSGVO. Eine Zweckänderung ist nach Art. 6 Abs. 4 DSGVO bei Fehlen einer Einwilligung der betroffenen Personen nur zulässig, wenn das Unternehmen eine umfassende Interesseabwägung zwischen dem neuen Verarbeitungszweck – also Auswertung – und dem ur­sprünglichen Zweck vornimmt, und sie zugunsten der Änderung ausfällt.

Was bedeutet dies in der praktischen Umsetzung?

Das Unternehmen muss überlegen, ob personenbezogene Daten von vornherein zu Big Data-Analysen, nament­lich Profiling erhoben, gespeichert oder verarbeitet werden sollen. In vielen Fällen stellen Unternehmen jedoch erst während der Datenverarbeitung fest, dass eine Auswertung Sinn machen könnte oder haben bereits so viele Datenbestände gespeichert, dass eine Auswertung Sinn machen würde. In diesen Fällen sind die Interes­senabwägung oder ggf. Anonymisierung in Betracht zu ziehen.
 

Was gilt für das Scoring?

Scoring sind Angaben zu den persönlichen und wirtschaftlichen Verhältnissen eines möglichen Kunden unter Verwendung mathematisch-statistischer Verfahren, deren Auswertung eine Prognose über die Wahrschein­lichkeit gibt, ob der Kunde eine Forderung begleichen oder einen Kredit bedienen würde. Demnach dürfte das Scoring unter den Begriff des „Profilings” nach Art. 4 Nr. 4 DSGVO fallen und somit den selben Anforderungen wie dieses unterliegen. Anders als bislang in § 28 b BDSG alt sieht die DSGVO keine besondere Regelung für das Scoring vor. Der deutsche Gesetzgeber hat mit § 31 BDSG die Regelungen für Scoring und Bonitätsaus­künfte aus den §§ 28a und 28b BDSG alt übernommen, um den materiellen Schutzstandard letzterer Vorschrif­ten auch unter der DSGVO zu gewährleisten. Diese Spezialvorschrift erklärt das Scoring unter folgenden Vor­aussetzungen für zulässig: Die Vorschriften des Datenschutzrechts wurden eingehalten; die zur Berechnung des Wahrscheinlichkeitswerts genutzten Daten sind unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des be­stimmten Verhaltens erheblich; es wurden für die Berechnung des Wahrscheinlichkeitswerts nicht ausschließ­lich Anschriftendaten genutzt und im Fall der Nutzung von Anschriften wurde die betroffene Person vor Be­rechnung des Wahrschein­lichkeitswerts über die vorgesehene Nutzung dieser Daten unterrichtet; die Unter­richtung ist dabei zu dokumentieren. Problematisch ist dabei, dass die DSGVO dahin gehend abschließend ist und keine Öffnungsklauseln vorsieht. Hierbei gilt es die Rechtspraxis abzuwarten und in der Zwischenzeit mög­lichst auf die Anwendung des § 31 BDSG zu verzichten.

Fazit

Moderne Big Data-Verfahren (einschließlich Profiling und Scoring) unterliegen den Anforderungen der DSGVO – insbesondere denjenigen zur automatisierten Einzelentscheidungen. Unternehmen können solche Verfahren einsetzen, müssen hierbei jedoch neben dem Gebot der menschlichen Intervention die Anforderung an eine Zweckänderung der Datenverarbeitung ebenso beachten, wie eine vorherige Zweckfestlegung oder den Einsatz von Pseudonymisierungsverfahren.