Datenstandort Schweiz

Profiling nach revDSG: Was es ist und wann es eine Einwilligung braucht

Für: Datenschutzverantwortliche, Marketing, HR und Produktverantwortliche, die Daten über Personen automatisiert auswerten.

Kurz erklärt

Profiling ist nach Art. 5 lit. f DSG jede automatisierte Bearbeitung, um persönliche Aspekte einer Person zu bewerten – etwa Arbeitsleistung, Interessen oder Verhalten. Profiling mit hohem Risiko verknüpft Daten so, dass wesentliche Aspekte der Persönlichkeit beurteilt werden können (Art. 5 lit. g). Ist eine Einwilligung nötig, muss sie dafür ausdrücklich sein (Art. 6 Abs. 7 DSG).

Personalisierte Werbung, Leistungsauswertungen, Risikobewertungen: Viele Anwendungen werten Daten über Personen automatisiert aus. Das revDSG nennt das Profiling und stellt besondere Anforderungen, wenn das Risiko hoch ist. Diese Seite erklärt die Begriffe und zeigt, wann Handlungsbedarf besteht.

Die Begriffe

Profiling ist die automatisierte Bearbeitung von Personendaten, um bestimmte persönliche Aspekte zu bewerten, insbesondere Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel zu analysieren oder vorherzusagen. Profiling mit hohem Risiko liegt vor, wenn durch die Verknüpfung von Daten eine Beurteilung wesentlicher Aspekte der Persönlichkeit möglich wird.

Typische Beispiele

Je nach Umfang und Verknüpfung:

Personalisierte Werbung auf Basis von Surf- und Kaufverhalten
Automatisierte Auswertung von Leistungsdaten von Mitarbeitenden
Bonitäts- oder Risikobewertungen von Kunden
Verknüpfung von Standort-, Kommunikations- und Nutzungsdaten
Einfache Segmentierung nach Branche oder Firmengrösse ist meist kein Profiling mit hohem Risiko

Pflichten bei hohem Risiko

Private Verantwortliche, die eine Einwilligung einholen, brauchen für Profiling mit hohem Risiko eine ausdrückliche Einwilligung. Zudem ist häufig eine Datenschutz-Folgenabschätzung nötig (Art. 22 DSG), und die Ausnahme vom Bearbeitungsverzeichnis für kleinere Unternehmen entfällt (Art. 24 DSV). Werden Entscheide ausschliesslich automatisiert getroffen, gilt zusätzlich die Informationspflicht nach Art. 21 DSG.

Häufige Fragen

Ist jede Datenauswertung Profiling?

Nein. Profiling setzt eine automatisierte Bewertung persönlicher Aspekte einer Person voraus. Statistische Auswertungen ohne Bezug zu einzelnen Personen sind kein Profiling.

Wann braucht Profiling eine ausdrückliche Einwilligung?

Wenn ein privater Verantwortlicher sich für Profiling mit hohem Risiko auf eine Einwilligung stützt, muss diese ausdrücklich erfolgen (Art. 6 Abs. 7 lit. b DSG).

Ist Profiling von Mitarbeitenden zulässig?

Nur eingeschränkt. Neben dem DSG gelten Art. 328b OR und das Verbot der Verhaltensüberwachung nach Art. 26 ArGV 3. Leistungsauswertungen sollten transparent, verhältnismässig und mit menschlicher Beurteilung erfolgen.