Nächstes Jahr im September soll das revidierte Datenschutzgesetz in Kraft treten. In diesem Zusammenhang stösst man immer wieder auf die Begriffe «Persönlichkeitsprofil» und «Profiling». Im Folgenden soll als Erstes auf die jeweiligen Definitionen der Begriffe eingegangen werden und in einem nächsten Blogbeitrag erläutert werden, wo die Unterschiede liegen und weshalb diese wichtig sind.
Persönlichkeitsprofil
Bei besonders schützenswerten Personendaten handelt es sich um sensible Daten, wobei durch Zusammenstellung solcher die Möglichkeit besteht, ein Persönlichkeitsprofil zu erstellen. Gemeint ist damit, dass eine Zusammenstellung von Daten die Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.[1] Dieser Begriff wird im revidierten Datenschutzgesetz allerdings nicht mehr zu finden sein, sondern durch das sog. «Profiling» ersetzt werden, weshalb folgend näher auf diesen Begriff eingegangen wird.
Profiling
Beim Profiling handelt es sich nicht um ein Synonym zum Persönlichkeitsprofil, sondern vielmehr um eine Erweiterung des Begriffs. Während das Persönlichkeitsprofil das Ergebnis eines Bearbeitungsprozesses darstellt, umschreibt das Profiling eine Art bzw. Methode der Datenbearbeitung. Definiert wird das Profiling in Art. 5 Bst. f nDSG wie folgt: «jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen».
Daraus kann geschlossen werden, dass es sich bei der Methode des Profilings um eine automatisierte Bewertung bestimmter Aspekte einer natürlichen Person handelt, d.h. aus eine Unmenge von Daten (Stichwort «Big Data»), die für sich allein wenig aufschlussreich sind, können anhand statistisch-mathematischer Verfahren neue Informationen über eine Person generiert werden. Allerdings muss die Datenbearbeitung nicht vollständig automatisiert sein, sondern nur im Wesentlichen, womit das Eingreifen eines Menschen die Aktivität der Profiling-Definition nicht ausschliesst.
Ziel der Datenbearbeitung muss allerdings die Bewertung bestimmter persönlicher Aspekte einer natürlichen Person sein, um so z.B. zu ermitteln, ob die Person für eine bestimmte Tätigkeit geeignet ist oder nicht. Die Grundannahme des Profilings basiert darauf, dass sich eine Person «in der Zukunft gleich oder ähnlich verhält wie in der Vergangenheit oder das sich eine Person mit einem bestimmten Profil gleich verhält wie andere Personen mit einem gleichen oder ähnlichen Profil»[2] – es werden also Wahrscheinlichkeitsaussagen getroffen. Ist der Grund für die Einteilung einer Person anhand bestimmter Merkmale allerdings rein, dass ein Überblick geschaffen werden kann, ohne eine Vorhersage oder Schlussfolgerung zu treffen oder die Person individuell zu bewerten, kann nicht von Profiling gesprochen werden.
Profiling mit hohem Risiko
In Art. 5 Bst. g nDSG wird sich zukünftig auch der Begriff des Profiling mit hohem Risiko finden lassen. Ein solches legt dann vor, wenn das Profiling, d.h. die Verknüpfung von Daten, ein Persönlichkeitsprofil nach geltendem DSG zum Ergebnis hat. Im Gegensatz zum normalen begriff des Profilings liegt der Schwerpunkt hier nicht allein auf der Datenbearbeitungsmethode, sondern vielmehr in der Kombination dieser und dem Resultat der Datenbearbeitung in einem Persönlichkeitsprofil. Daher ergibt es auch Sinn, dass die Umschreibung des Begriffs in Art. 5 Bst. g nDSG der des heutigen Persönlichkeitsprofils entspricht, die «Zusammenstellung von Daten» allerdings durch «Verknüpfung der Daten» ersetzt wurde, um den neuen technischen Möglichkeiten Rechnung zu tragen.
[1] Art. 3 lit. d DSG.
[2] Bundesamt für Justiz (BJ), Totalrevision des Datenschutzgesetzes (DSG). Übersicht zu den wichtigsten Änderungen für die Erarbeitung der Rechtsgrundlage betreffend Datenbearbeitung durch Bundesorgane, September 2022, S. 14.