Was ist «Profiling mit hohem Risiko»?

Das «Profiling mit hohem Risiko» wird in Artikel 5 (Begriffe) Buchstabe g nDSG wie folgt definiert:

« [...] g. Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt; [...] »

Diese Beschreibung ist quasi eine Erweiterung des in Artikel 5 Buchstabe f nDSG definierten Begriffs «Profiling», der besagt:

« [...] f. Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen; [...] »

«Profiling mit hohem Risiko» entspricht im Kern (sinngemäss) der Profiling-Definition unter Artikel 5 Buchstabe f nDSG, d. h. mit den gleichen dort gegebenen Definitionseigenschaften mit dem wesentlichen Unterschied, dass hier ggf. ein «ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person» bestehen kann.

Sofern feststeht, dass ein Profiling (gemäss Artikel 5 Buchstabe f nDSG) stattfindet, ist zu prüfen, ob die resultierende Profil-Bildung zu einem hohen Risiko für betroffene Personen führt bzw. führen kann, was konkret über eine Datenschutz-Folgenabschätzung (DSFA) festzustellen wäre.

Auf jeden Fall bedarf ein Profiling mit hohem Risiko einer ausdrücklichen Einwilligung betroffener Personen, wie es in Artikel 6 (Grundsätze) Absatz 7 nDSG aufgeführt ist:

«[...] 7 Die Einwilligung muss ausdrücklich erfolgen für:

1. die Bearbeitung von besonders schützenswerten Personendaten;
2. ein Profiling mit hohem Risiko durch eine private Person; [...]»

In Zusammenhang mit Kreditwürdigkeits- bzw. Bonitätsprüfungen bedarf es ausserdem eines Rechtsfertigungsgrundes des «Verantwortlichen», denn hier muss er gemäss Artikel 31 (Rechfertigungsgründe) Absatz 2 Buchstabe c Ziffer 1 nDSG ein überwiegendes Interesse an der Datenbearbeitung nachweisen, wenn Profiling mit hohem Risiko stattfindet. Dazu heisst es:

«[...] 2 Ein überwiegendes Interesse des Verantwortlichen fällt insbesondere in folgenden Fällen in Betracht:

[...] c. Der Verantwortliche bearbeitet Personendaten zur Prüfung der Kreditwürdigkeit der betroffenen Person, wobei die folgenden Voraussetzungen erfüllt sind:

1. Es handelt sich weder um besonders schützenswerte Personendaten noch um ein Profiling mit hohem Risiko. [...]»