Am 23.05.2001 trat das novellierte Bundesdatenschutzgesetz (BDSG) in Kraft. Zweck dieser Novellierung war überwiegend die Umsetzung der EU-Datenschutzrichtlinie 95/46/EG vom 24.10.1995 durch den Bundesgesetzgeber. Im Zuge dieser Novellierung wurde dem BDSG auch der § 6a - automatisierte Einzelentscheidung hinzugefügt, nach dem belastende Entscheidungen, die aufgrund von Persönlichkeitsprofilen ohne zusätzliche Überprüfung durch einen Menschen erfolgen, grundsätzlich zunächst verboten sind 1.
Inhaltsverzeichnis
1 Einleitung
2 § 6a BDGS „Automatisierte Einzelentscheidungen“
2.1 Die Vorlage: Artikel 15 der EG-Datenschutzrichtlinie
2.2 Die Begründung für § 6a BDSG
2.3 §§ 19 und 34 BDSG “Recht des Betroffenen auf Auskunft“
3 Checkliste für die Anwendung des § 6a BDSG
4 Aktuelle Beispiele
4.1 Scoring
4.1.1 Hausinternes Scoring
4.1.2 Externes Scoring
4.1.3 Die SCHUFA-Holding
4.2 Informa Unternehmensberatung GmbH
4.3 Direktwerbung
4.4 Personalmanagement
5 Konsequenzen
Literaturverzeichnis
Anlagen
__________
Michaela Runge: 4. | 5.
Michael Voß: 1. | 2. | 3.
1 Einleitung
Am 23.05.2001 trat das novellierte Bundesdatenschutzgesetz (BDSG) in Kraft. Zweck dieser Novellierung war überwiegend die Umsetzung der EU-Datenschutzrichtlinie 95/46/EG vom 24.10.1995 durch den Bundesgesetzgeber.
Im Zuge dieser Novellierung wurde dem BDSG auch der § 6a - automatisierte Einzelentscheidung hinzugefügt, nach dem belastende Entscheidungen, die aufgrund von Persönlichkeitsprofilen ohne zusätzliche Überprüfung durch einen Menschen erfolgen, grundsätzlich zunächst verboten sind[1].
2 § 6a BDGS „Automatisierte Einzelentscheidungen“
Die Maschine darf nicht über den Menschen entscheiden![2]
Diesen Grundsatz setzt das BDSG in der Regelung zur automatisierten Einzelentscheidung in § 6a BDSG um. Im Unterschied zu den sonstigen Regelungen des Gesetzes geht es hier nicht um die Begrenzung der Verarbeitung personenbezogener Daten, sondern um ihre Verwendung gegenüber den Betroffenen in Form automatisierter Entscheidungen.[3]
Normadressaten sind die für die Verarbeitung verantwortlichen Stellen[4]. Von Bedeutung ist diese Regelung gleichermaßen sowohl für die öffentlichen Stellen, wie auch für die nicht-öffentlichen Stellen im Sinne von §1 Abs. 2 Nr.1 und Nr. 3.
Absatz 1 des § 6a enthält ein grundsätzliches Verbot bestimmter Entscheidungen („… dürfen nicht …“). Ausnahmen hiervon regelt dann der Absatz 2. Im 3. Absatz schließlich ist der datenschutzrechtliche Auskunftsanspruch geregelt.
Der Anwendungsbereich dieser Vorschrift ist dadurch eingeengt, dass es sich um eine Entscheidung handeln muss, die ausschließlich aufgrund einer automatisierten Verarbeitung erfolgt[5], und die rechtliche Folgen für den Betroffenen nach sich zieht oder zumindest eine erhebliche beeinträchtigende Wirkung hat[6]. D. h. eine erneute Prüfung durch einen Menschen darf bei der Entscheidung nicht vorgesehen sein.
Sobald aber ein Mensch die letzte Entscheidung trifft, welche sich nur auf einen automatisiert erzeugten Entscheidungsvorschlag stützt, findet der § 6a BDSG keine Anwendung.
Absatz 1 setzt Artikel 15 Absatz 1 der EU-Datenschutzrichtlinie um. Danach dürfen Entscheidungen, nicht ausschließlich auf automatisierte Verarbeitung personenbezogener Daten gestützt werden, wenn sie den Betroffenen belasten. D. h. wenn Entscheidungen entweder eine rechtliche Wirkung nach sich ziehen oder den Betroffenen erheblich beeinträchtigen.
Rechtliche Folgen[7]:
Im öffentlichen Bereich haben i. d. R. Verwaltungsakte rechtliche Folgen. Das können z. B. sein:
- Die Erteilung einer Erlaubnis,
- die Bewilligung,
- die Verweigerung,
- die Rücknahme oder
- der Widerruf
einer Leistung.
Im nicht-öffentlichen Bereich haben vor allem Willenserklärungen rechtliche Folgen. Hier sind das z. B.:
- die Annahme eines Vertragsangebotes oder
- die Kündigung eines Vertrages.
Erhebliche Beeinträchtigung[8]:
Eine bloße Belästigung reicht nicht aus. Vielmehr muss die Entscheidung eine nachhaltige Beeinträchtigung bspw. Der wirtschaftlichen oder persönlichen Entfaltung des Betroffenen bewirken. Beispiele sind
- die Ablehnung eines Kreditvertrages oder
- einer Stellenbewerbung.
Absatz 2 setzt Artikel 15 Absatz 2 Buchstabe a der EU-Datenschutzrichtlinie um und beinhaltet Ausnahmen von Absatz 1.
Das Verbot der automatisierten Entscheidung gilt nicht:
- Wenn die Entscheidung im Sinne des Betroffenen gefällt wird.
- Wenn der Betroffene von der verantwortlichen Stelle über die Tatsache des Vorliegens einer automatisierten Entscheidung (nach § 6a Abs. 1) verständlich und für ihn nachvollziehbar informiert wird. Er muss der Mitteilung auch entnehmen können, auf welche Weise er eine Wahrung seiner berechtigten Interessen bewirken kann.
- Und wenn er seinen Standpunkt zum Sachverhalt geltend machen kann und die verantwortliche Stelle daraufhin ihre Entscheidung erneut überprüft, wobei die erneute Überprüfung dann nicht in ausschließlich automatisierter Form erfolgen darf.
Absatz 3 setzt Artikel 12 Buchstabe a, dritter Spiegelstrich der EU-Datenschutzrichtlinie um. Damit bezieht sich das Recht des Betroffenen auf Auskunft nach § 19 gegenüber öffentlichen Stellen und § 34 gegenüber nicht-öffentlichen Stellen auch auf den logischen Aufbau des Verfahrens, also nach welchen logischen Kriterien die automatisierte Entscheidung letztlich getroffen wird.
Die Ausweitung des Auskunftsanspruches durch Abs. 3 soll dem Betroffenen veranschaulichen, auf welche Weise seine Daten zu einer Entscheidung verarbeitet werden. Er muss der Auskunft entnehmen können, welche Daten und Bewertungsmaßstäbe zugrunde liegen, um die Richtigkeit der Entscheidung überprüfen und letztlich auch bestreiten zu können[9].
2.1 Die Vorlage: Artikel 15 der EG-Datenschutzrichtlinie
Die Regelung des § 6a BDSG geht unmittelbar auf Artikel 15 EG-Datenschutzrichtlinie vom 24. November 1995 zurück und übernimmt diese Vorschrift fast wörtlich.
In ihrer Begründung zur EG-Richtlinie bringt die Europäische Kommission sehr deutlich zum Ausdruck, was sie mit diesem Artikel bezwecken will. Dort heißt es, dass die Gefahr einer missbräuchlichen Verwendung der Informatik bei der Entscheidungsfindung eine der Hauptgefahren der Zukunft ist; maschinell generierte Entscheidungen einen scheinbar objektiven und unbestreitbaren Charakter haben, dem ein menschlicher Entscheidungsträger leicht übermäßige Bedeutung zumessen kann.
2.2 Die Begründung für § 6a BDSG
§6a BDSG soll in Umsetzung des Artikel 15 der EG-Datenschutzrichtlinie verhindern, das für den Betroffenen bedeutsame Negativentscheidungen ergehen, die ausschließlich auf automatisiert erstellten Persönlichkeitsprofilen beruhen, ohne dass er die Möglichkeit hat, die zugrunde liegenden Angaben und Bewertungsmaßstäbe zu erfahren und seinen Standpunkt geltend zu machen.
Letztlich sollen Entscheidungen von Tragweite – zumindest soweit sie für den Betroffenen nachteilig sind – nicht allein von Maschinen, sondern immer noch unter Würdigung der Einzelfallumstände vomnMenschen getroffen werden. Nur so kann den berechtigten Interessen der Betroffenen angemessen Rechnung getragen werden.[10]
2.3 §§ 19 und 34 BDSG “Recht des Betroffenen auf Auskunft“
Die §§ 19 und 34 wurden unter Beachtung der EG-Datenschutzrichtlinie verändert. Vor allem der Artikel 12 Buchstabe a erster Spiegelstrich und der Artikel 13 Abs. 1 Buchstabe g waren hier von Bedeutung.
Es wurde der Umfang des Auskunftsrechts erweitert und zwar um die Information über Empfänger oder Kategorien von Empfängern. Eine Ausnahme wurde aber auch hinzugefügt. Dabei geht es um den Schutz der „Rechte und Freiheiten anderer Personen“.
Im § 34 Abs.1 Satz 3 und Abs. 2 Satz 2 ist daher geregelt, dass die Wahrung des Geschäftsgeheimnisses das Auskunftsrecht des Betroffenen überwiegen kann.
Und im § 19 Abs. 2 Satz 1 fallen unter den Schutz der „Rechte und Freiheiten anderer Personen“ die Speicherung personenbezogener Daten aufgrund gesetzlicher, satzungsmäßiger oder vertraglicher Aufbewahrungsvorschriften, sowie aufgrund der Datensicherung oder Datenschutzkontrolle. Außerdem gilt dieser Schutz auch dann, wenn eine Auskunftserteilung einen unverhältnismäßig hohen Aufwand erfordern würde.
Im Bezug auf § 6a Absatz 3 müssen dem Betroffenen demnach nicht alle Einzelheiten der verwandten Software mitgeteilt werden. Er hat aber einen Anspruch, über die tragenden Funktionsprinzipien der Programme informiert zu werden. Wenn Standardsoftware verwandt wird, genügt auch deren genaue Bezeichnung[11].
Der § 19 aus dem zweiten Abschnittdes BDSG regelt das Recht des Betroffenen auf Auskunft gegenüber öffentlichen Stellen. Wo hingegen der § 34 aus dem dritten Abschnitt des BDSG das Recht des Betroffenen auf Auskunft gegenüber nicht-öffentlichen Stellen und öffentlich-rechtlichen Wettbewerbsunternehmen regelt.
3 Checkliste für die Anwendung des § 6a BDSG
1. Werden personenbezogene Daten verarbeitet, die der Bewertung einzelner Persönlichkeitsmerkmale dienen?
Nein:
Ende der Prüfung, das Verbot der automatisierten Einzelentscheidung gilt nicht.
Ja:
Weiter mit Frage 2.
2. Werden auf der Basis dieser Daten Entscheidungen gefällt, die für den Betroffenen rechtlich relevant sind?
Nein:
Weiter mit Frage 3;
Ja:
Weiter mit Frage 4.
3. Werden auf der Basis dieser Daten Entscheidungen gefällt, die den Betroffenen erheblich beeinträchtigen?
Nein:
Ende der Prüfung, das Verbot der automatisierten Einzelentscheidung gilt nicht.
Ja:
Weiter mit Frage 4.
4. Besteht zwischen der automatisierten Datenauswertung und der Entscheidung ein Automatismus?
Nein:
Ende der Prüfung, das Verbot der automatisierten Einzelentscheidung gilt nicht.
Ja:
Weiter mit Frage 5.
5. Fehlt vor der Entscheidung eine ergänzende Prüfung durch eine Person?
Nein:
Ende der Prüfung, es handelt sich nicht um eine automatisierte Einzelentscheidung.
Ja:
Weiter mit Frage 6.
6. Ergeht die Entscheidung im Rahmen des Abschlusses oder der Erfüllung eines Vertragsverhältnisses oder eines sonstigen Rechtsverhältnisses und wird dem Begehren der Betroffenen stattgegeben?
Nein:
Weiter mit Frage 7.
Ja:
Kein Verbot der autom. Einzelentscheidung.
7. Wird die Wahrung der berechtigten Interessen der Betroffenen durch geeignete Maßnahmen gewährleistet und wird den Betroffenen von der verantwortlichen Stelle die Tatsache des Vorliegens einer rechtlich relevanten oder erheblich beeinträchtigenden Entscheidung mitgeteilt?
Nein:
Dann ist die beabsichtigte Nutzung des Verfahrens unzulässig.
Ja:
Kein Verbot der autom. Einzelentscheidung.
[...]
[1] Vgl. http://www.datenschutz-berlin.de/recht/de/ggebung/bdsg_neu/bdsgbref.htm
[2] Siehe auch 2.2 Die Begründung für § 6a BDSG
[3] Vgl. Simitis, 2003, S. 559
[4] Vgl. §3 Abs. 7 BDSG
[5] Vgl. § 3 Abs. 2 BDSG
[6] Vgl. Klug, Christoph, 2004, S.189
[7] Vgl. Simitis, 2003, S. 561
[8] Vgl. Simitis, 2003, S. 562
[9] Vgl. Simitis, 2003, S. 567
[10] Vgl. Klug, Christoph, 2004, S.135
[11] Vgl. Erwägungsgrund 41, EU-Datenschutzrichtlinie
-
-
-
-
Téléchargez vos propres textes! Gagnez de l'argent et un iPhone X. -
-
Téléchargez vos propres textes! Gagnez de l'argent et un iPhone X. -
-
Téléchargez vos propres textes! Gagnez de l'argent et un iPhone X. -
-
Téléchargez vos propres textes! Gagnez de l'argent et un iPhone X. -
-
Téléchargez vos propres textes! Gagnez de l'argent et un iPhone X. -
-
Téléchargez vos propres textes! Gagnez de l'argent et un iPhone X. -
-
Téléchargez vos propres textes! Gagnez de l'argent et un iPhone X.