Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Der heutige Spaziergang betrifft automatisierte Entscheidungen im Einzelfall einschließlich Profiling, also einen Bereich im Datenschutz, der sich – anders als üblich – nicht in erster Linie damit befasst, dass möglichst wenige Daten in möglichst sicherer Weise verarbeitet werden. Der rechtspolitische Hintergrund für Artikel 22 DS-GVO ist vielmehr die Befürchtung, dass menschliches Leben durch Maschinen verwaltet und gestaltet wird. Diese Dystopie hat angesichts der KI-Entwicklung derzeit wieder an Aktualität gewonnen.

Artikel 22 beginnt in Absatz 1 radikal mit einem Verbot vollautomatisierter Verarbeitungen, wenn sie Menschen erheblich beeinträchtigen. Das wird dann in Absatz 2 und Absatz 3 durch weitgehende Ausnahmen eingeschränkt. Absatz 4 bringt Rück-Ausnahmen und Rück-Rück-Ausnahmen.

Absatz 1

Das radikale Verbot bezieht sich auf automatisierte Verarbeitung einschließlich Profiling. Für Profiling findet sich eine gesetzliche Definition in Art. 4 Nr. 4 DS-GVO: automatisierte Verarbeitung personenbezogener Daten zur Bewertung „bestimmter persönlicher Aspekte“. Die Verarbeitung ist in Art. 4 Nr. 2 DS-GVO sehr allgemein definiert und automatisierte Verarbeitung dürfte dann alle Fälle betreffen, in denen die Prozesse ohne menschliches Zutun ablaufen. Diese Verfahrensabschnitte können natürlich mehr oder weniger lang und umfangreich sein. Sie beginnen nach dem letzten menschlichen Zutun, z. B. manuelle Dateneingabe, und enden wiederum vor der ersten menschlichen Aktion, z. B. manuelle Durchsicht der Verarbeitungsergebnisse.

Wichtig und richtig ist in Absatz 1 zunächst die Grundentscheidung: Automatisierte Verarbeitungen sind nicht immer (ihrer Natur nach) für Betroffene problematisch. Zum Beispiel wird bei einer vollständig automatisierten Kreditantrags-Prüfung mit positivem Ergebnis (Kreditbewilligung) der Betroffene zufrieden sein. Den Wortlaut von Absatz 1 muss und darf man deshalb wohl etwas „zurechtstutzen“. Dort heißt es nämlich, die Entscheidung dürfe schon dann nicht automatisiert erfolgen, wenn sie Betroffenen gegenüber „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“. Dabei ist übersehen, dass „rechtliche Wirkung“ nicht immer „erhebliche Beeinträchtigung“ bedeutet. Bei vorteilhafter rechtlicher Wirkung greift Absatz 1 nicht ein. Verbesserungsvorschlag für den Gesetzestext: „[…] unterworfen zu werden, die sie erheblich beeinträchtigt“.

Absätze 2 und 3

Die Absätze 2 und 3 klären, wann vollautomatisierte Entscheidungen doch erlaubt sind: a) bei Erforderlichkeit vor Abschluss oder Erfüllung eines Vertrags, b) bei gesetzlicher Grundlage oder c) bei Einwilligung. In allen drei Ausnahmefällen müssen die Betroffenenrechte natürlich gewährleistet sein.

Bei Buchstaben b) wird das gleich im Absatz 2 geklärt. Für die Buchstaben a) und c) regelt es der Gesetzgeber – damit das Gesetz nicht zu leicht lesbar wird – gesondert in Absatz 3. Mindestens nötig ist nach Absatz 3 – das wird man auch auf Abs. 2 lit. b) übertragen können –, dass Betroffene sich über die automatisierte Entscheidung beschweren, ihren eigenen Standpunkt darlegen können und dann auf Seiten des Verantwortlichen ein Mensch eingreift – also die Entscheidung noch einmal prüft. Fast immer wird bei automatisierten Entscheidungen eine Datenschutz-Folgenabschätzung erforderlich sein. Am besten führt man sie bei „vollautomatisierten“ Verfahren immer durch.

Absatz 4

Der letzte Absatz klingt beim Überfliegen logisch und richtig: Besondere Kategorien personenbezogener Daten bekommen natürlich besonderen Schutz. Aber näher betrachtet ist Absatz 4 wahrscheinlich völlig überflüssig. Der besondere Schutz für solche Daten ist durch Art. 9 DS-GVO bereits gewährleistet. Wenn die dortigen Voraussetzungen eingehalten sind, ist gar nicht verständlich, weshalb bei automatisierten Entscheidungen nochmals spezielle Regeln gelten sollen.

Nach Art. 22 Abs. 4 DS-GVO wäre z. B. verboten, dass ein elektronisches Schließsystem automatisch Beschäftigten, die wegen Krankheit arbeitsunfähig sind oder wegen Schwangerschaft einem Beschäftigungsverbot unterliegen, den Zugang verweigert (Transponder, Schlüsselkarten etc. deaktiviert). Nötig und sinnvoll scheint das nicht. Außerdem sind die Rück-Rück-Ausnahmen in Absatz 4 – bezogen auf Art. 9 Abs. 2 Buchstaben a) und g) –praktisch deckungsgleich mit Art. 22 Abs. 2 lit. b) und c) DS-GVO. Die Rück-Ausnahme in Absatz 4 betrifft also letztlich nur die Ausnahme nach Absatz 2 lit. a). Einmal mehr gilt: Mit der DSGVO können wir Datenschützer niemandem erklären, wie klare und verständliche Texte aussehen.

Mitmach-Aufgaben zum Schluss der Etappe: Ein Anwendungsbeispiel für Art. 22 Abs. 2 lit. a) DS-GVO ist wahrscheinlich der Bargeld-Automat, wenn er kein Geld herausrückt. Fallen Ihnen noch andere ein?

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Im Weitergehen noch zwei Blicke zurück auf Artikel 3:

(1) Ein Beispiel zum kleinen Anwendungsbereich von Absatz 3 erhielt ich noch zugeschickt (Dank an artikel91.eu): Mitarbeiterexzess in einer EU/EWR-Botschaft. Fiktiver Fall: Das Botschafts-Einlasspersonal nimmt die Liste der Tagesbesucher und nutzt sie, um Werbeprospekte zu verschicken.

(2) Und auf meine Schlussfrage zu Artikel 3 Absatz 1 (Wo gilt die DS-GVO schon am längsten?) war die Antwort nicht korrekt. Sie haben es alle bemerkt, aber taktvoll geschwiegen? Richtig ist wohl: Diejenige Botschaft eines EU/EWR-Staates, die in östlicher Richtung der Datumsgrenze am nächsten liegt. Ziemlich wahrscheinlich in Neuseeland. Oder gibt es solche Botschaften auch in Kiribati? Samoa?

Beim Spazieren sieht man ihn langsam näher rücken: Artikel 4 liegt lang gestreckt mit 26 einzelnen Nummern vor uns. Die Begriffsdefinitionen für Zwecke dieser Verordnung habe ich – Entschuldigung – erstmals für diesen Blogbeitrag komplett gelesen. Natürlich gibt es alte Bekannte:

Nummer 1

Art. 4 Nr. 1 klärt die personenbezogenen Daten, also vielleicht den absoluten Grundbegriff des Datenschutzrechts überhaupt. Die Schweizer sprechen übrigens von Personendaten. Schön ist dieser Begriff auch nicht, aber vielleicht etwas kürzer und weniger sperrig?

Wer bis hierhin mitspaziert ist, hat bemerkt, dass die DS-GVO durchaus ein beachtliches, oft unterschätztes Erholungs- und Heiterkeitspotenzial besitzt, auf das wir uns konzentrieren. Schließlich gehen wir spazieren und arbeiten nicht. In diesem Sinne: Art. 4 Nr. 1 ist ein wunderschönes Beispiel für die klare und einfache Sprache, in der wir Datenschutzrechtler uns bemühen, Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form […] zu übermitteln„: Beraubt man den zweiten Halbsatz seiner Füllung ergibt sich die Aussage: „Als identifizierbar wird eine natürliche Person angesehen, die […] identifiziert werden kann.“ Das ist … naja. Logisch richtig und einwandfrei.

Die Informationen aus der soeben weggelassenen Satz-Füllung bei Nr. 1 sind wenig hilfreich: Wenn direkte oder indirekte Identifikation genügt, dann heißt das: Es genügt jede Identifizierung. Auch die beispielhafte Aufzählung der Identifizierungsmöglichkeiten schafft eher Verwirrung – warum wird physisch und physiologisch unterschieden?

Die wichtige Information, dass nur lebende Menschen als Betroffene geschützt werden sollen (Erwägungsgrund 27) fehlt, ebenso die noch wichtigere Abgrenzung, wann von einer Identifizierbarkeit auszugehen ist. Dazu äußert sich Erwägungsgrund 26, vor allem in Sätzen 3 und 4: „Um festzustellen, ob eine [natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die […] wahrscheinlich genutzt werden […]. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich […] genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.“ Wäre das nicht schön in Nr. 1?

Stattdessen bringt Nr. 1 in der deutschen Sprache noch einen Übersetzungsfehler mit. Bei „im Folgenden ,betroffene Person´“ fehlt in anderen Sprachen das im Folgenden – und zwar zu Recht, weil der Begriff betroffene Person ja schon in Artikel 3 benutzt wird.

Nummer 2

Aber schlimmer geht immer, bemerkt man bei der Definition für den Begriff Verarbeitung: Streicht man alles Überflüssige und Inhaltslose, dann bezeichnet „Verarbeitung jeden […] Vorgang oder jede […] Vorgangsreihe im Zusammenhang mit personenbezogenen Daten“. Das ist wenig Inhalt in einem verwirrenden, langen Satz. So dürfen wir bitte keine Datenschutzinformationen schreiben.

Nummer 3

Sogar eindeutig falsch ist dann die Begriffsdefinition in Nr. 3: Eine Einschränkung der Verarbeitung ist natürlich nicht die Markierung von Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Wer in einer Karteikiste die Karteikarten zu ausgeschiedenen Mitarbeitern mit roten Klebezetteln versieht, hat die Verarbeitung der entsprechenden Daten noch nicht eingeschränkt. Merke: Man hat Ziele noch nicht erreicht, wenn man sie sich setzt.

Nummer 4

Auch bei Nr. 4 ist die Definition schiefgegangen. Profiling kann sinnvoll verwendet werden für die „Verarbeitung personenbezogener Daten mit dem Ziel, künftiges Verhalten vorherzusagen“. Der zweite Satzteil in Nr. 4 ist also korrekt. Der erste jedoch nicht: Profiling ist nicht schon die „Datenverarbeitung zur Bewertung persönlicher Aspekte“: Person A misst 1,95 m; das finde ich groß.

Nummer 7

Beim Verantwortlichen ist momentan der zweite Teil der Definition noch nicht abschließend sicher: Könnten die Europäische Union oder der Mitgliedstaat wirklich Verantwortliche nach Belieben festlegen? Kann zum Beispiel die Bundesrepublik gesetzlich bestimmen, dass für alle Datenverarbeitungen deutscher Zollbehörden das Hauptzollamt Dresden verantwortliche Stelle ist?

Nummer 12

Die Verletzung des Schutzes personenbezogener Daten hat bei den Artikeln 33 und 34 Bedeutung. Nach der Definition in Nr. 12 liegt eine solche Verletzung nur vor, wenn es tatsächlich „zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten“ kommt. Verdachtsfälle sind nach dieser Definition keine Verletzung, also auch nicht meldepflichtig.

Mit einem kurzen Überblick über wesentliche Formulierungen aus Artikel 4 ist das kurze erste Kapitel der DS-GVO schon abgewandert. Auf zu Kapitel 2!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Unternehmen stehen im betrieblichen Alltag vor einer zunehmenden Anzahl an Einzelentscheidungen. Jede dieser Entscheidung ist wichtig und muss getroffen werden, um den Betrieb aufrecht zu erhalten. Ein Bereich, welcher Unternehmen sehr viel Zeit, Personal und damit Ressourcen kostet, ist die Suche nach geeigneten Mitarbeiter:innen. Auf eine Stellenanzeige treffen teilweise Tausende Bewerbungen ein. In solchen Fällen ist es wohl keinem Unternehmen möglich, sämtliche Bewerbungen einzeln und individuell gründlich zu sichten. Selbst wenn die Auswahl geeigneter Bewerber:innen getroffen ist, bleiben sogar bei den aussagekräftigsten Bewerbungsunterlagen viele Fragen offen: Ist die Person wirklich stressresistent? Stimmen die Angaben bezüglich der Zuverlässigkeit? Passt die Person charakterlich ins Team? Um diese Ungewissheiten zumindest teilweise zu eliminieren, gibt es psychologische Testverfahren, die berufsrelevante Persönlichkeitsmerkmale systematisch und automatisiert erfassen.

Die Nutzung dieser Dienste ist für Unternehmen heute gängig und Jobsuchende nehmen diese regelmäßig unkritisch in Anspruch, um keinen negativen Eindruck im Bewerbungsgeschehen zu hinterlassen. Dennoch gibt es in der Praxis einige datenschutzrechtliche Stolpersteine, über die Unternehmen im Rahmen der Nutzung fallen können. Dieser Beitrag widmet sich der Frage, ob das automatisierte psychologische Testverfahren als Profiling bzw. als automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling zu werten ist.

PROFILING UND AUTOMATISIERTE ENTSCHEIDUNGSFINDUNG?

Eine weitere Fragestellung ergibt sich aus Art. 22 DS-GVO. Dieser regelt das Recht des Betroffenen, keiner ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden. Gemäß Art. 4 Nr. 4 DS-GVO fällt unter den Begriff des Profilings jede automatisierte Verarbeitung personenbezogener Daten zur Bewertung bestimmter persönlicher Aspekte natürlicher Personen. Hierzu gehören Faktoren wie Arbeitsleistung, Gesundheit, Interessen, Zuverlässigkeit, Verhalten usw.

Per Definition umfasst das Profiling lediglich die Datenanalyse einer individuellen Verhaltensbewertung. Als Profiling werden Techniken erfasst, mit deren Hilfe auf Grundlage des analytischen Verhaltens unter Zugrundelegung statistisch-mathematischer Verfahren, Prognosen über das mögliche künftige Verhalten einer Person erstellt werden können. Dies kann eine Vielzahl verschiedener Prognosen sein, wie beispielsweise und in diesem Kontext besonders relevant, Einschätzungen von Fehler- und Ermüdungsrisiken im Zusammenhang mit der Bedienung komplexer Maschinen. Die Funktionsweise psychologischer Testverfahren entspricht somit der Definition des Profilings. Das bedeutet jedoch nur, dass keine automatische Entscheidung ausschließlich auf Basis der Ergebnisse automatisierter psychologischer Testverfahren gefällt werden darf. In der Praxis bedeutet das, dass wenn Sie eine Software für psychologische Gutachten im Bewerbungsmanagement einsetzen, Sie den Prozess insgesamt so gestalten sollten, dass Sie Bewerber:innen nicht allein aufgrund des psychologischen Gutachtens „herausfiltern“.

Art. 22 Abs. 2 kennt drei Ausnahmetatbestände. Relevant könnte zum einen Abs. 2 lit. a sein, wenn die Entscheidung für den Abschluss oder Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist. Ob dieser Ausnahmetatbestand greift, ist hinsichtlich der Vielzahl an Stadien eines Bewerbungsprozesses fraglich. Unklar bleibt, ob die Ausnahme des Abs. 2 lit. a einschlägig ist, wenn ein derart generiertes psychologisches Gutachten in die Entscheidung einbezogen wird, einen Bewerber lediglich zu einem Bewerbungsgespräch einzuladen. Es handelt sich nur um eine Einladung zum Gespräch, auf dessen Basis die finale Entscheidung getroffen werden soll. Demnach könnte man argumentieren, dass der Bewerber keiner auf einer automatischen Verarbeitung beruhenden Entscheidung unterworfen war, sondern auf eine von Menschen getroffene Einzelentscheidung, beruhend auf das Bewerbungsgespräch. Dem steht jedoch das im Schrifttum häufig aufgeführte Argument entgegen, dass eine (negative) rechtliche Wirkung oder sonstige ähnliche, erhebliche Beeinträchtigung ausreicht, um den Tatbestand des Art. 22 Abs. 1 DS-GVO auszulösen. Demzufolge, so die Argumentation, reicht es aus Bewerber nicht zum Bewerbungsgespräch einzuladen, um eine rechtliche Wirkung zu entfalten. Der Bewerber hätte im persönlichen Gespräch vielleicht doch überzeugen können.

Einzige weitere Ausnahme findet sich in lit. c. Demnach wäre die automatische Entscheidung basierend auf den Ergebnissen des psychologischen Testverfahrens mit einer ausdrücklichen Einwilligung der betroffenen Person zulässig. Doch auch diese Variante ist problematisch, da die Einwilligung gemäß § 26 Abs. 2 S. 1 BDSG freiwillig erfolgen muss. Eine rechtsgültige Einwilligung der Bewerber:innen wäre allerdings kaum durchsetzbar, denn es gibt keine „echte Wahl“. Bei Widerruf oder Verweigerung wäre die logische Konsequenz, dass die Bewerber:innen aus dem Verfahren ausgeschlossen werden. Das führte das Bewerbungsverfahren ad absurdum.

Die Art. 29 Datenschutzgruppe sieht eine rein maschinelle Entscheidung als erforderlich an, wenn auf eine Stellenanzeige derartig viele Bewerbungen eingeschickt werden, dass die manuelle Sichtung und die darauf basierende Entscheidung für das Unternehmen nicht tragbar ist. Da die Durchsicht der Bewerbungen für Unternehmen bei einer derart hohen Zahl nicht zumutbar ist, muss die Auslese folglich durch automatisierte Prozesse erfolgen, um einen Überblick über die am meisten infrage kommenden Bewerber zu erlangen.

ERGEBNIS

Unternehmen haben ein Interesse daran, den Bewerbungsprozess so zu gestalten, dass die finale Entscheidung, wen sie einstellen, einerseits mit einem möglichst geringen Risiko behaftet ist, andererseits sollte die Entscheidungsphase schnell und kostengünstig vonstattengehen. Psychologische Gutachten minimieren das Risiko eines „Fehlgriffs“ bei der Auswahl. Automatische Entscheidungsprozesse, die die Ergebnisse solcher Gutachten mit einbeziehen, können das Verfahren enorm beschleunigen.

Für die Praxis können wir in diesem Kontext folgenden Raten geben: Nutzen Sie die Gutachten solcher Testverfahren grundsätzlich nur bei einer eher überschaubaren Anzahl von Bewerber:innen und allein zur Risikominimierung. So ist es im Notfall einfacher nachzuweisen, dass Ihre Entscheidung ausschließlich von Menschen getroffen wurde und das Gutachten hierbei eine rein unterstützende Funktion hatte. Die rechtssichere Einbeziehung solcher Testverfahren ist schwierig, da die Ausnahmen des Art. 22 Abs. 2 lit. a und c möglicherweise nicht einschlägig sind. Insbesondere wird es, aufgrund der wahrscheinlichen Konsequenzen bei Widerspruch, kaum möglich sein, Bewerber:innen freiwillig einwilligen zu lassen.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.