Datenschutz beim Kreditscoring
von Auskunfteien

Eine Untersuchung zum Profiling (mit hohem
Risiko) und zur automatisierten Entscheidung

Dissertation
der Rechtswissenschaftlichen Fakultät
der Universität Zürich
zur Erlangung der Würde eines Doktors der Rechtswissenschaft

vorgelegt von

Simon Henseler
von Udligenswil LU

genehmigt auf Antrag von

Prof. Dr. Florent Thouvenin
und
Prof. Dr. Rolf H. Weber

Die Rechtswissenschaftliche Fakultät der Universität Zürich gestattet hierdurch die Drucklegung der vorliegenden Dissertation, ohne damit zu den darin ausgesprochenen Anschauungen Stellung zu nehmen.

Zürich, den 02. April 2025

Der Dekan: Prof. Dr. Thomas Gächter

Datenschutz beim Kreditscoring von Auskunfteien Copyright © by Simon Henseler is licensed under a Creative Commons Attribution-NoDerivatives 4.0 International License, except where otherwise noted.

© 2025 – CC BY-NC-ND

Verlag: EIZ Publishing (eizpublishing.ch), Bellerivestrasse 49, 8008 Zürich, eizpublishing@europa-institut.ch
Autor: Simon Henseler
ISBN:
978-3-03994-019-6 (Print – Softcover)
978-3-03994-020-2 (Print – Hardcover)
978-3-03994-021-9 (ePub)
DOI: https://doi.org/10.36862/6MS3-EE1N
Version: 1.02 – 20250814

Die Dissertation wurde publiziert mit Unterstützung des Schweizerischen Nationalfonds zur Förderung der wissenschaftlichen Forschung.

Die vorliegende Dissertation wurde von Simon Henseler eingereicht und am 2. April 2025 von der Rechtswissenschaftlichen Fakultät der Universität Zürich auf Antrag von Herrn Professor Dr. Florent Thouvenin (erster Referent) und Herrn Professor Dr. Rolf H. Weber (zweiter Referent) genehmigt.

Dieses Werk ist als gedrucktes Buch sowie als E-Book (open access) in verschiedenen Formaten verfügbar. Weitere Informationen finden Sie unter der URL: https://eizpublishing.ch/publikationen/datenschutz-beim-kreditscoring-von-auskunfteien/.

1

Vorwort

Die vorliegende Arbeit entstand zwischen April 2019 und Dezember 2024. Sie wurde am 2. April 2025 von der Rechtswissenschaftlichen Fakultät der Universität Zürich als Dissertation abgenommen. Lehre und Rechtsprechung fanden bis Ende September 2024 Berücksichtigung.

In der Entstehungszeit war ich zunächst als wissenschaftlicher Mitarbeiter am Center for Information Technology, Society, and Law (ITSL) sowie am Universitären Forschungsschwerpunkt Finanzmarktregulierung (UFSP FinReg) und danach als Candoc-Stipendiat an der Universität Zürich angestellt (UZH Candoc Grant, Verfügung Nr. FK-20-008). Im Juni 2022 nahm ich meine Tätigkeit als Rechtsanwalt bei der Walder Wyss AG in Zürich auf. Für die Unterstützung durch die vorgenannten Institutionen und meine Arbeitgeberin bin ich sehr dankbar.

Meinem Doktorvater, Herrn Prof. Dr. Florent Thouvenin, gilt mein herzlicher Dank für die bei der Ausarbeitung dieser Dissertation gewährten Freiheiten sowie die lehrreiche Zeit am ITSL. Aufrichtig bedanke ich mich auch bei Prof. Dr. Rolf H. Weber für die zügige Erstellung des Zweitgutachtens sowie die wertvollen Erfahrungen am UFSP FinReg.

Für viele anregende Diskussionen und wertvolle kritische Impulse möchte ich Dr. David Vasella meinen Dank aussprechen. Der CRIF AG, der Intrum AG und der Schweizerischer Verband Creditreform Gen danke ich für die Bereitschaft, an der von mir durchgeführten Umfrage teilzunehmen und mir damit einen Zugang zur Praxis der Auskunfteien zu öffnen. Ein grosser Dank für die sorgfältige Lektüre und Korrektur der Arbeit gebührt Dr. Arno Burkart, Franziska Burkart, Benno Fischer-Siddiqui, Lena Götzinger, Dr. Hannes Meyle, Denis Parvex, Kento Reutimann, Ewa Szczogiel sowie insbesondere meinem lieben Bruder Dr. David Henseler.

Von ganzem Herzen danke ich (nochmals) meiner Partnerin, Ewa, die mir bewundernswerte Geduld entgegenbrachte und mir auch in herausfordernden Phasen des Dissertationsprojekts liebevoll Rückhalt gab. Das Doktorat und den Weg dorthin erst ermöglicht haben mir meine Eltern, Brigitte und Moritz, die mich auch sonst immer bedingungslos unterstützen. Ihnen beiden sei diese Arbeit in tiefer Dankbarkeit gewidmet.

Zürich, im Juli 2025 Simon Henseler

2

Inhaltsübersicht

Vorwort

Inhaltsübersicht

Inhaltsverzeichnis

Abkürzungsverzeichnis

Literaturverzeichnis

Materialienverzeichnis

Einleitung

Einführung in das Problemfeld

Ziel und Gegenstand der Untersuchung

Aufbau und Methodik der Untersuchung

Teil 1: Grundlagen des Kreditscorings

Was ist Kreditscoring?

Warum findet Kreditscoring statt?

Wer sind die Akteurinnen des Kreditscorings?

Wie funktioniert Kreditscoring?

Mit welchen Daten aus welchen Quellen erfolgt Kreditscoring?

Teil 2: Datenschutzrechtliche Vorbemerkungen

Anwendungsbereich des Datenschutzrechts

Datenschutzrechtliche Rollen

Rechtmässigkeit

Sanktionen

Teil 3: Berechnung des Kreditscores als Profiling

Einleitung

Begriffe

Bearbeitungsgrundsätze

Rechtmässigkeit i.w.S.

Teil 4: Berechnung des Kreditscores als automatisierte
Entscheidungsfindung?

Einleitung

Terminologische Vorbemerkungen

Zweck der Regelung

Elemente einer automatisierten Entscheidung

Berechtigter und Verpflichteter

Zusammenfassung in Thesen

Berechnung des Kreditscores als Profiling

Berechnung des Kreditscores als automatisierte Entscheidungsfindung?

Curriculum Vitae

3

Inhaltsverzeichnis

Vorwort

Inhaltsübersicht

Inhaltsverzeichnis

Abkürzungsverzeichnis

Literaturverzeichnis

Materialienverzeichnis

Einleitung

Einführung in das Problemfeld

Ziel und Gegenstand der Untersuchung

Ziel der Untersuchung

Eingrenzung und Abgrenzungen des Gegenstands

Beschränkung auf Kreditscoring natürlicher Personen

Ausklammerung der KIVO der EU

Ausklammerung der RL (EU) 2023/2225

Relevanz des Gegenstands

Wirtschaftliche Relevanz

Politische Relevanz

Rechtspraktische Relevanz

Aufbau und Methodik der Untersuchung

Aufbau

Methodik

Rechtswissenschaftliche Methoden

Klassischer Methodenpluralismus

Völker- und europarechtskonforme Auslegung

Völkerrechtskonforme Auslegung

Europarechtskonforme Auslegung

Methode der empirischen Sozialforschung

Teil 1: Grundlagen des Kreditscorings

Was ist Kreditscoring?

Warum findet Kreditscoring statt?

Wirtschaftlicher Anlass

Ausgangslage

Interessen der Kreditgeberin und der kreditinteressierten Person

Interessen der Öffentlichkeit

Vorteile des Kreditscorings

Rechtliche Pflichten

Pflicht zur Kreditfähigkeitsprüfung nach KKG

Anwendungsbereich der Pflicht

Anforderungen an die Kreditfähigkeitsprüfung

Weitere rechtliche Pflichten

Wer sind die Akteurinnen des Kreditscorings?

Hauptakteurinnen des Kreditscorings

Die Auskunftei im Besonderen

Tätigkeit und Begriff

Auskunfteien in der Schweiz

Abgrenzungen

Ratingagenturen

Zentralstelle für Kreditinformation (ZEK)

Informationsstelle für Konsumkredit (IKO)

Unternehmen mit eigenem Kreditscoring

Wie funktioniert Kreditscoring?

Phasen des Kreditscorings

Entwicklung eines Kreditscoring-Modells

Methoden der Modellentwicklung

Datenbasierte Methoden im Besonderen

Ablauf der Modellentwicklung

Verwendete Verfahren und Techniken

Mathematisch-statistische Verfahren

Machine Learning-Techniken

Mit welchen Daten aus welchen Quellen erfolgt Kreditscoring?

Verwendete Daten

Wissenschaftliche Studien zu den verwendeten Daten

Umfang der verwendeten Daten

Negative und positive Daten

Traditionelle und alternative Daten

Begriffe und Beispiele

Alternative Daten zusätzlich zu traditionellen Daten

Alternative Daten anstelle traditioneller Daten

Zwischenfazit

In der Schweiz verwendete Daten

Zur Identifikation der kreditinteressierten Person

Zur Beurteilung der Kreditwürdigkeit

In der Auskunft zuhanden der Kreditgeberin

Im Allgemeinen

Negative Haushaltstreffer im Besonderen

Nicht verwendete Personendaten

In der Schweiz verwendete Datenquellen

Öffentliche Datenquellen

Private Datenquellen

Nicht verwendete Datenquellen

Teil 2: Datenschutzrechtliche Vorbemerkungen

Anwendungsbereich des Datenschutzrechts

Sachlicher Anwendungsbereich

Personendaten

Begriffselemente

Angabe

Personenbezug

Bestimmtheit oder Bestimmbarkeit

Massgebende individualisierende Elemente

Massgebende Mittel und Perspektive

Anonymisierung und Pseudonymisierung

Besonders schützenswerte Personendaten

Legaldefinition

Rückschlussmöglichkeit und Bearbeitungskontext

Berücksichtigung von Rückschlussmöglichkeiten

Im europäischen Recht (DSGVO)

Im schweizerischen Recht (DSG)

Einschränkung durch den Bearbeitungskontext

Bearbeitung

Ausnahmen

Zwischenfazit

Zur sachlichen Anwendbarkeit des Datenschutzrechts

Zur Bearbeitung von besonders schützenswerten Personendaten

Räumlicher Anwendungsbereich

Im schweizerischen Recht (DSG)

Privatrechtliche Bestimmungen

Internationale Zuständigkeit

Anwendbares Recht

Öffentlich-rechtliche Bestimmungen

Strafrechtliche Bestimmungen

Zwischenfazit

Im europäischen Recht (DSGVO)

Niederlassungsprinzip

Marktortprinzip

Angebot von Waren und Dienstleistungen

Beobachtung von Verhalten

Zwischenfazit

Datenschutzrechtliche Rollen

Im Allgemeinen

Bei Kreditwürdigkeitsprüfungen im Besonderen

Rechtmässigkeit

Erlaubnisprinzip vs. Verbotsprinzip

Inhalt der unterschiedlichen Konzepte

Konsequenzen der unterschiedlichen Konzepte?

Unterschiedliche Begriffe der Rechtmässigkeit

Rechtmässigkeit i.w.S. und i.e.S.

Rechtmässigkeit i.e.S. in der DSGVO?

Sanktionen

Teil 3: Berechnung des Kreditscores als Profiling

Einleitung

Begriffe

Profiling

Vorbemerkungen

Terminologischer Hintergrund

Zweck der «Regelung»

Begriffselemente

Bewertung von persönlichen Aspekten

Begriff der Bewertung

Verwendung zur Bewertung

Persönlicher Aspekt

Automatisierte Bearbeitung

Massgebende Phase der Automatisierung

Massgebender Grad der Automatisierung

Weitere Elemente?

Zwischenfazit

Persönlichkeitsprofil (nur aDSG)

Im Allgemeinen

Legaldefinition und Zweck der Regelung

Einzelfallbeurteilung und Verwendungszusammenhang

Bei Kreditwürdigkeitsprüfungen im Besonderen

Konkretisierung insbesondere durch die Praxis

Würdigung

Profiling mit hohem Risiko (nur DSG)

Im Allgemeinen

Legaldefinition und Zweck der Regelung

Profiling, das zu einem Persönlichkeitsprofil «führt»

Element des Persönlichkeitsprofils

Element des Profilings

Weiteres Element?

Abstraktes hohes Risiko

Wortlaut und Systematik

Gesetzeshistorie

Zweck der Regelung

Zwischenfazit

Bei Kreditwürdigkeitsprüfungen im Besonderen

Bearbeitung ungeeigneter oder nicht erforderlicher Daten?

Wesentliche Aspekte der Persönlichkeit

Bewertung der Kreditwürdigkeit

Zwischenfazit

Bearbeitungsgrundsätze

Vorbemerkungen

Anwendbarkeit allgemeiner Zulässigkeitsvorgaben

Keine Pflicht zu bestimmten Verfahren oder Massnahmen

Kein besonderes Widerspruchsrecht

Kein Einwilligungserfordernis für Profiling mit hohem Risiko (nur DSG)

Keine generellen Vorgaben für Kreditwürdigkeitsprüfungen aus Art. 31 Abs. 2
lit. c DSG

Transparenz

Allgemeines

Umfang der zu schaffenden Transparenz

Im Allgemeinen

Im schweizerischen Recht (DSG)

Beschaffung, Bearbeitungszweck und einzelfallabhängig
weitere Parameter

Ausgewählte (nicht) transparent zu machende Parameter

Im europäischen Recht (DSGVO)

Tatsache und Umfang der Verarbeitung sowie Risiken,
Vorschriften, Garantien und Rechte

Einzelfallabhängig weitere Parameter

Bei Kreditwürdigkeitsprüfungen im Besonderen

Im schweizerischen Recht (DSG)

Im europäischen Recht (DSGVO)

Umsetzung der zu schaffenden Transparenz

Im schweizerischen Recht (DSG)

Im europäischen Recht (DSGVO)

«Ausnahmen» vom Transparenzgrundsatz

Analoge Anwendung der Ausnahmen von der Informationspflicht?

Gesetzlich vorgesehene Datenbearbeitungen als Ausnahme?

Durch Dritte geschaffene Transparenz

Im Allgemeinen

Bei Kreditwürdigkeitsprüfungen im Besonderen

Verhältnis zur Informationspflicht

Zwischenfazit

Zweckbindung

Allgemeines

Zweckbestimmung

Bestimmtheit bzw. Festlegung

Eindeutigkeit bzw. Transparenzvorgabe

Umsetzung der Zweckbestimmung

Legitimität des Zwecks

Erfordernis eines legitimen Zwecks

Tragweite des Erfordernisses in der DSGVO

Zweckbindung i.e.S.

Im Allgemeinen

Kriterium der Vereinbarkeit

Kompatibilitätstest

Bei Kreditwürdigkeitsprüfungen im Besonderen

Daten aus privaten Quellen

Daten aus amtlichen öffentlichen Quellen

Zwischenfazit

Verhältnismässigkeit

Allgemeines

Elemente der Verhältnismässigkeit

Eignung

Erforderlichkeit

Zumutbarkeit

Überschneidung mit der Rechtmässigkeit i.w.S.

Teilgehalte der Verhältnismässigkeit

Verhältnismässigkeit in prinzipieller Hinsicht

Im Allgemeinen

Bei Kreditwürdigkeitsprüfungen im Besonderen

Beschaffung und Speicherung auf Vorrat

Im schweizerischen Recht (DSG)

Im europäischen Recht (DSGVO)

Profiling und Bekanntgabe ohne Interesse der Kreditgeberin

Entscheidung über kreditorisches Risiko als Interesse
der Kreditgeberin

Verletzung des Verhältnismässigkeitsgrundsatzes bzw.
fehlende Rechtsgrundlage

Verhältnismässigkeit in materieller Hinsicht

Im Allgemeinen

Kreis der bearbeiteten Daten

Zur Identifikation der betroffenen Person

Verbot der Verwendung der AHV-Nummer

Zulässige Identifikationsdaten

Zur Beurteilung der Kreditwürdigkeit

Im schweizerischen Recht (DSG)

Kriterien (insbesondere) der Praxis

Würdigung der Kriterien

Im europäischen Recht (DSGVO)

Kriterien im Allgemeinen

Unterteilung in Negativ- und Positivdaten

Negativdaten

Positivdaten

Betrachtung ausgewählter Datenkategorien

Betreibungsvorgänge

Negative Zahlungserfahrungen

Geschlecht und Zivilstand

Wohngegend und statistische Umgebungsdaten

Spezialfall Daten minderjähriger Personen

Im schweizerischen Recht (DSG)

Im europäischen Recht (DSGVO)

Profiling zur Beurteilung der Kreditwürdigkeit (nur DSG)

Gesetzeshistorische und systematische Vorbemerkungen

Eignung

Erforderlichkeit

Zumutbarkeit

Im Allgemeinen

Profiling

Profiling mit hohem Risiko

Bei Kreditwürdigkeitsprüfungen im Besonderen

Profiling

Profiling mit hohem Risiko

Weitere Aspekte der Verhältnismässigkeit in materieller Hinsicht

Differenzierung der Gewichtung unterschiedlicher Merkmale

Unzulässige parallele Speicherung durch die Auskunftei?

Verhältnismässigkeit in zeitlicher Hinsicht

Im Allgemeinen

Aufbewahrungsdauer

Reduktion der Gewichtung

Bei Kreditwürdigkeitsprüfungen im Besonderen

Art. 31 Abs. 2 lit. c DSG als Aufbewahrungsfrist?

Ausrichtung an (anderen) gesetzlichen Fristen

Im schweizerischen Recht (DSG)

Suchzeitraum im Online-Archiv des SHAB nach VSHAB

Einsichtsrecht in Betreibungs- und Konkursregister
nach SchKG

Ordentliche Verjährungsfrist nach OR und
Beobachtungszeitraum nach Basler Mindeststandard

Im europäischen Recht (DSGVO)

Fristen des nationalen Zwangsvollstreckungsrechts und der
Kapitaladäquanzverordnung der EU

Nationalrechtliche Löschfrist für die Restschuldbefreiung

Würdigung

Ausrichtung an privatautonom geschaffenen Fristen

Betrachtung ausgewählter Datenkategorien

Zur Identifikation bearbeitete Daten

Zur Kreditwürdigkeitsprüfung bearbeitete Daten

Betreibungsvorgänge

Negative Zahlungserfahrungen

Sonderfragen

Vorzeitige Löschung nach Tilgung der
dazugehörigen Forderung?

Wechselwirkung zwischen Aufbewahrungsdauer und
Gewichtung

Zwischenfazit

Datenrichtigkeit

Allgemeines

Datenrichtigkeit als Pflicht zu angemessenen Massnahmen

Elemente der Richtigkeit

«Genauigkeit»

Vollständigkeit

Herleitung

Tragweite

Aktualität

Angemessene Massnahmen

Im Allgemeinen

Massnahmen

Angemessenheit

Bei Kreditwürdigkeitsprüfungen im Besonderen

Angemessenheit

Massnahmen

Auswahl und Absicherung der Datenquellen

Lehre und Praxis

Würdigung

Anwendung einer Matching-Logik

Stichprobenartige Überprüfung

Höhe der Überprüfungsquote

Praxis des Bundesverwaltungsgerichts und des EDÖB

Würdigung

Gegenstand und Modalitäten der Überprüfung

Gegenstand der Überprüfung

Modalitäten der Überprüfung

Sonderfall Werturteile

Anwendbarkeit des Grundsatzes

Werturteile

Wahrscheinlichkeitsaussagen

Bedeutung und Umsetzung des Grundsatzes

Im Allgemeinen

Bei Kreditwürdigkeitsprüfungen im Besonderen

Zwischenfazit

Datensicherheit

Allgemeines

Schutzziele

Klassische Schutzziele

Weitere Schutzziele

Massnahmen für eine angemessene Datensicherheit

Im Allgemeinen

Massnahmen

Angemessene Datensicherheit

Bei Kreditwürdigkeitsprüfungen im Besonderen

Schutzbedarf

Zugänglichkeit für Unbefugte als spezifisches Risiko

Massnahmen gegen die Zugänglichkeit für Unbefugte

Organisatorische Massnahmen

Technische Massnahmen

Besonderheiten bei automatisierten Systemen

Stichprobenartige Überprüfung des Interessennachweises
im Besonderen

Höhe der Überprüfungsquote

Im schweizerischen Recht (DSG)

Im europäischen Recht (DSGVO)

Gegenstand und Modalitäten der Überprüfung

Zwischenfazit

Treu und Glauben

Allgemeines

Bei Kreditwürdigkeitsprüfungen im Besonderen

Transparenzvorgaben?

Diskriminierungsverbot?

Vorbemerkungen

Als Teilgehalt von Treu und Glauben

Im schweizerischen Recht (DSG)

Im europäischen Recht (DSGVO)

Als Teilgehalt des Persönlichkeitsrechts (nur DSG)

Information über Unrichtigkeit bekanntgegebener Daten

Zwischenfazit

Rechtmässigkeit i.e.S.

Allgemeines

Missachtung von den Persönlichkeitsschutz bezweckenden Rechtsnormen
(nur DSG)

Zweck des Persönlichkeitsschutzes

Regelung ausserhalb des Datenschutzgesetzes

Persönlichkeitsschutz des ZGB?

Fernwirkung einer widerrechtlichen Datenbearbeitung

Im schweizerischen Recht (DSG)

Herleitung

Tragweite

Im europäischen Recht (DSGVO)

Bei Kreditwürdigkeitsprüfungen im Besonderen

Anderweitige Persönlichkeitsverletzung (nur DSG)

Begriff der Persönlichkeitsverletzung

Erfasste Persönlichkeitsgüter

Verletzung der Persönlichkeit

Profiling (mit hohem Risiko) als Persönlichkeitsverletzung?

Zwischenfazit

Rechtmässigkeit i.w.S.

Vorbemerkungen

Rechtfertigung von Grundsatzverletzungen (nur DSG)

Ausschluss der Rechtfertigung bei bestimmten Grundsätzen?

Überschneidung von Grundsatz und Rechtfertigung

Sonderfall allgemein zugänglich gemachter Daten

Im schweizerischen Recht (DSG)

Im europäischen Recht (DSGVO)

Gesetz

Im Allgemeinen

Bei Kreditwürdigkeitsprüfungen im Besonderen

Einwilligung

Im Allgemeinen

Bei Kreditwürdigkeitsprüfungen im Besonderen

Überwiegendes bzw. berechtigtes Interesse

Im schweizerischen Recht (DSG)

Allgemeines

Schützenswerte Interessen an der Bearbeitung

Gegen die Bearbeitung sprechende Interessen

Interessenabwägung

Besonders geregelte überwiegende Interessen

Bedeutung der besonders geregelten überwiegenden Interessen

Vertragszusammenhang

Prüfung der Kreditwürdigkeit

Vorbemerkungen

Voraussetzungen

Voraussetzungen an den Verantwortlichen?

Voraussetzungen an die Datenbearbeitungen

Allgemeines

Profiling (mit hohem Risiko) im Besonderen

Datenbekanntgabe im Besonderen

Voraussetzungen an die bearbeiteten Daten

Für die Kreditwürdigkeitsprüfung geeignete und
erforderliche Daten

Keine besonders schützenswerten Personendaten

Keine mehr als zehn Jahre alten Daten

Voraussetzungen an die betroffene Person

Subjekt der Kreditwürdigkeitsprüfung

Volljährigkeit der betroffenen Person

Rechtsfolgen

Bei gegebenen Voraussetzungen

Bei fehlenden Voraussetzungen

Anderweitiges überwiegendes Interesse

Vorbemerkungen

Aus dem Interesse an der Kreditwürdigkeitsprüfung
abgeleitete Interessen

Erfasste Datenbearbeitungen

Allgemeines

Profiling mit hohem Risiko im Besonderen

Erfasste Daten

Erfasste betroffene Personen

Nicht der Kreditwürdigkeitsprüfung unterliegende Personen

Minderjährige Personen

Wirtschaftliche Interessen der Auskunftei

Weitere Interessen

Zwischenfazit

Im europäischen Recht (DSGVO)

Auf ein Interesse abstellende Rechtsgrundlagen

Vertragszusammenhang

Schutz lebenswichtiger Interessen

Wahrnehmung einer Aufgabe im öffentlichen Interesse oder
Ausübung öffentlicher Gewalt

Wahrung berechtigter Interessen im Einzelnen

Im Allgemeinen

Berechtigtes Interesse

Erforderlichkeit

Interessenabwägung

Zu berücksichtigende Kriterien im Allgemeinen

Beim Profiling im Besonderen

Bei Kreditwürdigkeitsprüfungen im Besonderen

Berechtigtes Interesse

Erforderlichkeit

Interessenabwägung

Eigenschaften der Verarbeitung

Folgen der Verarbeitung

Vernünftige Erwartungen der betroffenen Person

Systematik der DSGVO

Grundsätze der Verarbeitung

Einstufung als (potenziell) besonders
riskante Verarbeitung?

Zwischenfazit

Teil 4: Berechnung des Kreditscores als automatisierte
Entscheidungsfindung?

Einleitung

Terminologische Vorbemerkungen

Übereinstimmender Begriff in DSG und DSGVO

Abgrenzung vom Profiling

Zweck der Regelung

Gesetzeshistorische Zwecke

Weitere denkbare Zwecke

Würdigung

Gesetzeshistorische Zwecke

Weitere denkbare Zwecke

Elemente einer automatisierten Entscheidung

Entscheidung im Einzelfall

Begriffsverständnis im Allgemeinen

Auswählender Charakter und abschliessende Wirkung im Besonderen

Kreditscore als Entscheidung?

Vorbemerkungen

Kreditscore unabhängig von einer Kreditentscheidung

Kreditscore als massgebliche Grundlage einer Kreditentscheidung

Voraussetzung der Massgeblichkeit

Kreditscore auch als massgebliche Grundlage keine Entscheidung

Anschlussfrage zum «Verantwortlichen»

Ausschliesslich automatisierte Datenbearbeitung

Bearbeitung von Personendaten

Phase und Grad der erforderlichen Automatisierung

Massgebende Phase der Automatisierung

Massgebender Grad der Automatisierung

Menschliche Beteiligung an der Entscheidung

Menschliche Überprüfung der Entscheidung

Menschliche Beurteilung von Entscheidungskriterien

Massgeblichkeit der Vorgaben an die natürliche Person

Zu unterscheidende Konstellationen

Anwendung auf gemischte und mehrstufige Entscheidungsprozesse

Relevante Auswirkung

Allgemeine Voraussetzungen an die Auswirkung

Tatsächliche, nicht potenzielle Auswirkung

Nachteilige, nicht beliebige Auswirkung

Herleitung

Grammatikalische Ausgangslage

Gesetzeshistorie und Systematik

Zweckausrichtung

Zwischenfazit

Bedeutung

Auswirkung, nicht Entscheidungsgrundlage

Rechtsfolge und erhebliche Beeinträchtigung im Einzelnen

Rechtsfolge

Erhebliche Beeinträchtigung

Betrachtung ausgewählter Entscheidungen

Verweigerung des Abschlusses eines Vertrags, insbesondere mit
kreditorischem Risiko

Rechtsfolge?

Erhebliche Beeinträchtigung

Verweigerung günstigerer Vertragskonditionen, insbesondere eines
Kaufs auf Rechnung

Rechtsfolge oder erhebliche Beeinträchtigung?

Verweigerung eines Kaufs auf Rechnung im Besonderen

Komplexität der Entscheidung

Bewertung von persönlichen Aspekten?

Anderweitiges Komplexitätserfordernis

Anknüpfung an Entscheidungsprozess oder -gegenstand?

Herleitung des Komplexitätserfordernisses

Zwischenfazit

Berechtigter und Verpflichteter

Überblick über die Rechte und Pflichten

Informationspflicht und Auskunftsrecht

Im schweizerischen Recht (DSG)

Im europäischen Recht (DSGVO)

Besondere Betroffenenrechte

Ausnahmekonstellationen

Ausnahmekonstellationen im Einzelnen

Angemessene Massnahmen und Verarbeitung besonderer
Kategorien personenbezogener Daten (nur DSGVO)

Berechtigter

Verpflichteter

Nicht der «Verantwortliche» gemäss Legaldefinition

Der «Verantwortliche» gemäss EuGH im SCHUFA-Fall

Schlussanträge des Generalanwalts

Urteil des EuGH

Würdigung

Verstärkung des wirksamen Schutzes der betroffenen Person

(Vermeintliche) Rechtsschutzlücken

Vermeintliche Rechtsschutzlücke beim Auskunftsrecht

Im europäischen Recht (DSGVO)

Im schweizerischen Recht (DSG)

Andere vermeintliche Rechtsschutzlücken

Durch die Rechtsprechung des EuGH verursachte
Rechtsschutzlücke

Hoheit über den Prozess und Inhalt der Kreditentscheidung

Zwischenfazit

Der «Verantwortliche» in einem anderen Sinne

Im Sinne einer Analogie zur Legaldefinition?

Im Sinne des «Entscheiders»

Äusserungen in der Lehre

Eigene Herleitung und Konkretisierung

Zwischenfazit

Zusammenfassung in Thesen

Berechnung des Kreditscores als Profiling

Begriff des Profilings (mit hohem Risiko)

Bearbeitungsgrundsätze

Rechtmässigkeit i.w.S.

Berechnung des Kreditscores als automatisierte Entscheidungsfindung?

Begriff der automatisierten Entscheidung

Berechtigter und Verpflichteter

Curriculum Vitae

4

Abkürzungsverzeichnis

a.M.

anderer Meinung / am Main

aArt.

alter Artikel (frühere Fassung)

aBDSG/DE

Bundesdatenschutzgesetz vom 20. Dezember 1990 (BGBl. I S. 2954), zuletzt geändert durch Gesetz vom 14. August 2009 (BGBl. I S. 2814) (nicht mehr in Kraft)

ABl.

Amtsblatt der Europäischen Union

Abs.

Absatz / Absätze

aDSG

Bundesgesetz über den Datenschutz vom 19. Juni 1992 (nicht mehr in Kraft)

ADM

automated decision making / automatisierte Entscheidung

AEPD

Agentia Española Protección Datos (Spanien)

AER

The American Economic Review (Pittsburgh)

AEUV

Vertrag über die Arbeitsweise der Europäischen Union, ABl. 2012 C 326/01

AG

Aktiengesellschaft

AGB

Allgemeine Geschäftsbedingungen

AHV

Alters- und Hinterlassenenversicherung

AHVG

Bundesgesetz über die Alters- und Hinterlassenenversicherung vom 20. Dezember 1946 (SR 831.10)

AI

artificial intelligence (= KI)

AIG

Bundesgesetz über die Ausländerinnen und Ausländer und über die Integration vom 16. Dezember 2005 (SR 142.20)

AJP

Aktuelle Juristische Praxis (Zürich)

Amtl. Bull. NR

Amtliches Bulletin der Bundesversammlung, Nationalrat

Amtl. Bull. SR

Amtliches Bulletin der Bundesversammlung, Ständerat

APARIUZ

Analysen und Perspektiven von Assistierenden des Rechtswissenschaftlichen Instituts der Universität Zürich

APD/GBA

Autorité de protection des données/Gegevensbeschermingsautoriteit (Belgien)

Appl. Soft Comput.

Applied Soft Computing Journal (Amsterdam)

Art.

Artikel

Art.-29-DSG

Artikel-29-Datenschutzgruppe

AT

Österreich

Aufl.

Auflage

BankG

Bundesgesetz über die Banken und Sparkassen vom 8. November 1934 (SR 952.0)

BankV

Verordnung über die Banken und Sparkassen vom 30. April 2014 (SR 952.02)

BBl

Bundesblatt der Schweizerischen Eidgenossenschaft

BDSG/DE

Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097), zuletzt geändert durch Art. 7 des Gesetzes vom 6. Mai 2024 (BGBl. 2024 I Nr. 149)

BDSG-RegE/DE

Entwurf eines Ersten Gesetzes zur Änderung des Bundesdatenschutzgesetzes (BT-Drucks. 20/10859)

BE

Kanton Bern

BeckRS

Beck-Rechtsprechung (München)

BehiG

Bundesgesetz über die Beseitigung von Benachteiligungen von Menschen mit Behinderungen vom 13. Dezember 2002 (SR 151.3)

BehiV

Verordnung über die Beseitigung von Benachteiligungen von Menschen mit Behinderungen vom 19. November 2003 (SR 151.31)

betr.

betreffend

BfDI

Der Bundesbeauftragte für den Datenschutz und die Informationssicherheit (Deutschland)

BGBl.

Bundesgesetzblatt (Deutschland)

BGE

Entscheidungen des Schweizerischen Bundesgerichts (Amtliche Sammlung)

BGer

Bundesgericht / Entscheidung des Schweizerischen Bundesgerichts (nicht amtlich publiziert)

BGH

Bundesgerichtshof (Deutschland)

BInBDI

Berliner Beauftragter für Datenschutz und Informationsfreiheit

BIZ

Bank für internationalen Zahlungsausgleich

BJ

Bundesamt für Justiz

BJM

Basler Juristische Mitteilungen (Basel)

BK

Berner Kommentar

BKR

Zeitschrift für Bank- und Kapitalmarktrecht (München)

BlSchK

Blätter für Schuldbetreibung und Konkurs (Wädenswil)

BPG

Bundespersonalgesetz vom 24. März 2000 (SR 172.220.1)

BSK

Basler Kommentar

Bst.

Buchstabe(n)

BStG

Bundesgesetz über die Biersteuer vom 6. Oktober 2006 (SR 641.411)

BT-Drucks.

Deutscher Bundestag Drucksache

BTLJ

Berkeley Technology Law Journal (Berkeley)

BV

Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 (SR 101)

BVGE

Entscheidungen des Bundesverwaltungsgerichts (Amtliche Sammlung)

BVGer

Bundesverwaltungsgericht / Entscheidung des Bundesverwaltungsgerichts (nicht amtlich publiziert)

bzw.

beziehungsweise

c.

contre

C.L.J.

The Cambridge Law Journal (Cambridge)

ca.

circa

CB

Compliance Berater (Frankfurt a.M.)

CBLR

Columbia Business Law Review (New York)

CHF

Schweizer Franken

CJEL

Columbia Journal of European Law (New York)

CLR

California Law Review (Berkeley)

CLSR

Computer Law & Security Review (Amsterdam)

CML Rev.

Common Market Law Review (Alphen aan den Rijn)

CNAI

Kompetenznetzwerk für künstliche Intelligenz

CNIL

Commission Nationale de l’Informatique et des Libertés (Frankreich)

CNN

Cable News Network (Atlanta)

Compet. Change

Competition & Change (Thousand Oaks)

Comput. Hum. Behav.

Computers in Human Behaviour (Amsterdam)

COVID-19

coronavirus disease 2019

CR

Computer und Recht (Köln) / Commentaire Romand

CRE

Basler Mindeststandard zur Berechnung der nach Risiko gewichteten Positionen für Kreditrisiken

CRi

Computer law review international (Köln)

CRIF

Centre for Research in International Finance

d.h.

das heisst

DANA

Datenschutznachrichten (Bonn)

DAPIX

Working Group on Information Exchange and Data Protection (EU)

DB

Der Betrieb (Düsseldorf)

DC

District of Columbia

DE

Deutschland

digma

Zeitschrift für Datenrecht und Informationssicherheit (Zürich)

Diss.

Dissertation

DLTR

Duke Law and Technology Review (Durham NC)

DPD

Data Protection Directive (= DSRL)

dRSK

Digitaler Rechtsprechungs-Kommentar (Bern)

DSAnpUG-EU

Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (BGBl. 2017 I Nr. 44)

DSB

Datenschutzbehörde (Österreich) / Datenschutz-Berater (Frankfurt a.M.)

DSFA

Datenschutz-Folgenabschätzung

DSG

Bundesgesetz über den Datenschutz vom 25. September 2020 (SR 235.1)

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. 2016 L 119/1

DSK

Datenschutzkonferenz (Deutschland)

DSRITB

Deutsche Stiftung für Recht und Informatik Tagungsband (Oldenburg)

DSRL

Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. 1995 L 281/1

DSV

Verordnung über den Datenschutz vom 31. August 2022 (SR 235.11)

DuD

Datenschutz und Datensicherheit (Berlin)

E.

Erwägung(en)

e.V.

eingetragener Verein

E-aDSG

Entwurf zum Bundesgesetz über den Datenschutz (BBl 1988 II 516 ff.)

EC

European Communities (= EG)

ECJ

European Court of Justice (= EuGH)

EDI Law Review

Electronic Data Interchange Law Review (Den Haag)

EDÖB

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

EDPB

European Data Protection Board (= EDSA)

EDPL

European Data Protection Law Review (Berlin)

EDSA

Europäischer Datenschutzausschuss

EDSB

Europäischer Datenschutzbeauftragter

E-DSG

Entwurf zum Bundesgesetz über den Datenschutz (BBl 2017 7206 ff.)

E-DSGVO EP

Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (allgemeine Datenschutzverordnung), ABl. 2017 C 378/399

E-DSGVO KOM

Vorschlag für Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) vom 25. Januar 2012

E-DSGVO Rat

Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) – Vorbereitung einer allgemeinen Ausrichtung vom 11. Juni 2015

EDSK

Eidgenössische Datenschutzkommission

EG

Europäische Gemeinschaft(en) / Erwägungsgrund / Erwägungsgründe

EGMR

Europäischer Gerichtshof für Menschenrechte

Eidg.

Eidgenössische(s)

EJLT

European Journal of Law and Technology (Birmingham)

EJRR

European Journal of Risk Regulation (Cambridge)

EMRK

Konvention zum Schutze der Menschenrechte und Grundfreiheiten vom 4. November 1950 (SR 0.101)

endg.

endgültig

EP

Europäisches Parlament

ERA Forum

Zeitschrift der Europäischen Rechtsakademie (Luxemburg)

ERV

Verordnung über die Eigenmittel und Risikoverteilung der Banken und Wertpapierhäuser vom 1. Juni 2012 (SR 952.03)

ESTV

Eidgenössische Steuerverwaltung

et al.

et alii / aliae

etc.

et cetera

Ethics Inf. Technol.

Ethics and Information Technology (Berlin)

EU

Europäische Union

EuGH

Europäischer Gerichtshof

EuGVVO

Verordnung (EU) 1215/2012 des Europäischen Parlaments und des Rates vom 12. Dezember 2012 über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen (Neufassung), ABl. 2012 L 351/1

EUR

Euro

EuR

Europarecht (Baden-Baden)

EUV

Vertrag über die Europäische Union, ABl. 2012 C 326/01

EuZ

Zeitschrift für Europarecht (Zürich)

EuZW

Europäische Zeitschrift für Wirtschaftsrecht (München)

E-VDSG

Entwurf für eine Verordnung zum Bundesgesetz über den Datenschutz vom 23. Juni 2021

EWR

Europäischer Wirtschaftsraum

EWR-Abkommen

Abkommen über den Europäischen Wirtschaftsraum, ABl. 1994 L 1/3

ex/ante

ex/ante – Zeitschrift der juristischen Nachwuchsforschung (Zürich)

f./ff.

folgende

FAZ

Frankfurter Allgemeine Zeitung (Frankfurt a.M.)

Fed. Res. Bull.

Federal Reserve Bulletin (Washington DC)

FIDIS

Future of Identity in the Information Society

FINIG

Bundesgesetz über die Finanzinstitute vom 15. Juni 2018 (SR 954.1)

FINMA

Eidgenössische Finanzmarktaufsicht

Fintech

Financial Technology

FL

Fürstentum Liechtenstein

FMG

Fernmeldegesetz vom 30. April 1997 (SR 784.10)

Fn.

Fussnote(n)

FR

Kanton Freiburg

FTC

Federal Trade Commission (USA)

GA

Generalanwalt (des EuGH)

GDPR

General Data Protection Regulation (= DSGVO)

gem.

gemäss

Gen

Genossenschaft

gen.

genannt

Geo. Wash. L. Rev.

The George Washington Law Review (Washington DC)

GG

Grundgesetz für die Bundesrepublik Deutschland, zuletzt geändert durch Art. 1 des Gesetzes zur Änderung des Grundgesetzes (Art. 82) vom 19. Dezember 2022 (BGBl. I S. 2478)

gl.M.

gleicher Meinung

GlG

Bundesgesetz über die Gleichstellung von Frau und Mann vom 24. März 1995 (SR 151.1)

GLJ

German Law Journal (Frankfurt a.M.)

GmbH

Gesellschaft mit beschränkter Haftung

GPDP

Garante per la protezione dei dati personali (Italien)

GPLR

Global Privacy Law Review (Alphen aan den Rijn)

GRCh

Charta der Grundrechte der Europäischen Union (Grundrechtecharta), ABl. 2000 C 364/1

GRUR Int.

GRUR International Journal of European and International IP law (Köln)

GRUR-RS

Gewerblicher Rechtsschutz und Urheberrecht Rechtsprechung (Köln)

Habil.

Habilitationsschrift

HAVE

Haftung und Versicherung (Zürich)

HBDI

DerHessische Beauftragte für Datenschutz und die Informationsfreiheit

HIV

Humanes Immundefizienz-Virus

HK

Handkommentar

HmbBfDI

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit

Hrsg.

Herausgeber/in

Hum. Factors

Human Factors: The Journal of the Human Factors and Ergonomics Society (Washington DC)

i.e.S.

im engeren Sinne

i.f.

in fine

i.S.v.

im Sinne von

i.Üe.

im Üechtland

i.V.m.

in Verbindung mit

i.w.S.

im weiteren Sinne

ICO

Information Commissioner’s Office (Vereinigtes Königreich)

iCS

Information, Communication & Society (Abingdon-on-Thames)

IDG/ZH

Gesetz über die Information und den Datenschutz vom 12. Februar 2008 (LS 170.4)

IDPL

International Data Privacy Law (Oxford)

IEC

International Electrotechnical Commission

IEEE

Institute of Electrical and Electronics Engineers

IEEE Secur. Priv.

IEEE Security & Privacy (Washington DC)

IG

Interessengemeinschaft

IJHCS

International Journal of Human-Computer Studies (Amsterdam)

IJLIT

International Journal of Law and Information Technology (Oxford)

IKO

Informationsstelle für Konsumkredit

ILSA

International Law Students’ Association

ILSA J. Int’l & Comp. L.

ILSA Journal of International & Comparative Law (Fort Lauderdale)

IMA

Institute of Mathematics and its Applications

IMA J. Math. Appl. Bus. Indust.

IMA Journal of Mathematics Applied in Business & Industry (Oxford)

IMF

International Monetary Fund

IMY

Integritetsskyddsmyndigheten (Schweden)

Inf. Commun. Technol. Law

Information & Communications Technology Law (London)

insb.

insbesondere

InsBekV/DE

Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren und Restrukturierungssachen im Internet vom 12. Februar 2002 (BGBl. I S. 677), zuletzt geändert durch Art. 7 des Gesetzes vom 22. Dezember 2020 (BGBl. I S. 3256)

InsO/DE

Insolvenzordnung vom 5. Oktober 1994 (BGBl. I S. 2866), zuletzt geändert durch Art. 6 des Gesetzes vom 15. Juli 2024 (BGBl. 2024 I Nr. 236)

Intell. Sys. Acc. Fin. Mgmt.

Intelligent Systems in Accounting, Finance and Management (Hoboken)

InTeR

Zeitschrift zum Innovations- und Technikrecht (Frankfurt a.M.)

Internet Policy Rev.

Internet Policy Review (Berlin)

IO/AT

Bundesgesetz über das Insolvenzverfahren vom 12. Dezember 1914 (RGBl. Nr. 337/1914)

IP-Adresse

Internetprotokoll-Adresse

IPRG

Bundesgesetz über das internationale Privatrecht vom 18. Dezember 1987 (SR 291)

IRB

internal ratings-based

IRLCT

International Review of Law, Computers & Technology (London)

irp&p

Journal of Information Rights, Policy and Practice (Winchester)

ISG

Bundesgesetz über die Informationssicherheit beim Bund vom 18. Dezember 2020 (SR 128)

ISMS

Informationssicherheitsmanagementsystem

ISO

International Organization for Standardization

IT

Informationstechnik

ITRB

IT-Rechtsberater, Informationsdienst für IT-Recht und Datenschutz (Köln)

J. Retail Bank.

Journal of Retail Banking (New York)

J.T.

Journal des tribunaux (Brüssel)

JBF

Journal of Banking & Finance (Amsterdam)

JdT

Journal des Tribunaux (Lausanne)

JF

The Journal of Finance (Hoboken)

JIPITEC

Journal of Intellectual Property, Information Technology and Electronic Commerce Law (Göttingen)

JIRL

Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, ABl. 2016 L 119/89

JMCQ

Journalism & Mass Communication Quarterly (Columbia)

JMLR

Journal of Machine Learning Research (Brookline)

JOLT

Harvard Journal of Law & Technology (Cambridge MA)

JStG

Bundesgesetz über das Jugendstrafrecht vom 20. Juni 2003 (SR 311.1)

Jusletter

Die grösste Schweizer Universalzeitschrift der Schweiz (Bern)

Jusletter IT

Die Zeitschrift für IT und Recht (Bern)

JZ

JuristenZeitung (Tübingen)

K&R

Kommunikation & Recht (Frankfurt a.M.)

Kap.

Kapitel

KG

Bundesgesetz über Kartelle und andere Wettbewerbsbeschränkungen vom 6. Oktober 1995 (SR 251) / Kammergericht

KGer

Kantonsgericht

KI

Künstliche Intelligenz

KI-Konv.

Rahmenübereinkommen des Europarats über künstliche Intelligenz und Menschenrechte, Demokratie und Rechtsstaatlichkeit vom 5. September 2024 (SEV Nr. 225)

KIR

Künstliche Intelligenz und Recht (München)

KIVO

Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz), ABl. 2024 L 12.7.2024

KKG

Bundesgesetz über den Konsumkredit vom 23. März 2001 (SR 221.214.1)

KMU

kleine und mittlere Unternehmen

KOM

Europäische Kommission

Konv. 108+

Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 28. Januar 1981 (SEV Nr. 108) in der durch Protokoll vom 10. Oktober 2018 (SEV Nr. 223) geänderten Fassung

KreV-FINMA

Verordnung der FINMA über die Kreditrisiken der Banken und Wertpapierhäuser vom 6. März 2024 (SR 952.033.21)

KRK

Übereinkommen über die Rechte des Kindes vom 20. November 1989 (SR 0.107)

KuKo

Kurzkommentar

KVAG

Bundesgesetz betreffend die Aufsicht über die soziale Krankenversicherung vom 26. September 2014 (SR 832.12)

KVG

Bundesgesetz über die Krankenversicherung vom 18. März 1994 (SR 832.10)

LDIP

Loi sur le droit international privé (= IPRG)

LfD

Landesbeauftragte/r für Datenschutz

LG

Landgericht

LIBE

Committee on Civil Liberties, Justice and Home Affairs

LIT

Law, Innovation and Technology (London)

lit.

litera

LPD

Loi sur la protection des données (= DSG)

LS

Loseblattsammlung des Kantons Zürich

LSR

Life Science Recht (Bern)

LU

Luzern

LugÜ

Übereinkommen über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen vom 30. Oktober 2007 (SR 0.275.12)

m

Meter

m.E.

meines Erachtens

m.w.H.

mit weiterem Hinweis / mit weiteren Hinweisen

MA

Massachusetts

medialex

Zeitschrift für Medienrecht (Freiburg i.Üe.)

Mia.

Milliarde(n)

MinöStG

Mineralölsteuergesetz vom 21. Juni 1996 (SR 641.61)

Mio.

Million(en)

MMR

MultiMedia und Recht (München)

mp

Mietrechtspraxis (Zürich)

N

Note(n) / Randnote(n)

N.Y.U. L. Rev.

New York University Law Review (New York)

NC

North Carolina

NE

Kanton Neuenburg

NJW

Neue Juristische Wochenschrift (München)

No.

number

NOSR

Nationales Organspenderegister

NR

Nationalrat

Nr.

Nummer

NSA

National Security Agency (USA) / Naczelny Sąd Administracyjny (Polen)

NZI

Neue Zeitschrift für Insolvenz- und Sanierungsrecht (München)

NZZ

Neue Zürcher Zeitung (Zürich)

o.S.

ohne Seitenangabe

OECD

Organization for Economic Co-operation and Development

OFJ

Office fédéral de la justice (= BJ)

OFK

Orell Füssli Kommentar

OGer

Obergericht

OK

Onlinekommentar

OLG

Oberlandesgericht

OR

Bundesgesetz betreffend die Ergänzung des Schweizerischen Zivilgesetzbuches (Fünfter Teil: Obligationenrecht) vom 30. März 1911 (SR 220)

P&I

Policy & Internet (Hoboken)

ParlVV

Verordnung der Bundesversammlung zum Parlamentsgesetz und über die Parlamentsverwaltung vom 3. Oktober 2003 (SR 171.115)

PC

Petit commentaire

PinG

Privacy in Germany: Datenschutz und Compliance (Berlin)

Plädoyer

Plädoyer Magazin für Recht und Politik (Zürich)

RDi

Recht Digital (München)

RDV

Recht der Datenverarbeitung, Zeitschrift für Datenschutz‑, Informations- und Kommunikationsrecht (München)

recht

Zeitschrift für juristische Weiterbildung und Praxis (Bern)

REPRAX

Zeitschrift zur Rechtsetzung und Praxis in Gesellschafts- und Handelsregisterrecht (Zürich)

Rev. Financ. Stud.

The Review of Financial Studies (Oxford)

RGBl.

Reichsgesetzblatt (Österreich)

RK-SR

Kommission für Rechtsfragen des Ständerates

RL (EU) 2023/2225

Richtlinie (EU) 2023/2225 des Europäischen Parlaments und des Rates vom 18. Oktober 2023 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 2008/48/EG, ABl. 2023 L 30. Oktober 2023

RL 2000/43/EG

Richtlinie 2000/43/EG des Rates vom 29. Juni 2000 zur Anwendung des Gleichbehandlungsgrundsatzes ohne Unterschied der Rasse oder der ethnischen Herkunft, ABl. 2000 L 180/22

RL 2000/78/EG

Richtlinie 2000/78/EG des Rates vom 27. November 2000 zur Festlegung eines allgemeinen Rahmens für die Verwirklichung der Gleichbehandlung in Beschäftigung und Beruf, ABl. 2000 L 303/16

RL 2004/113/EG

Richtlinie 2004/113/EG des Rates vom 13. Dezember 2004 zur Verwirklichung des Grundsatzes der Gleichbehandlung von Männern und Frauen beim Zugang zu und bei der Versorgung mit Gütern und Dienstleistungen, ABl. 2004 L 373/37

RL 2006/54/EG

Richtlinie 2006/54/EG des Europäischen Parlaments und des Rates vom 5. Juli 2006 zur Verwirklichung des Grundsatzes der Chancengleichheit und Gleichbehandlung von Männern und Frauen in Arbeits- und Beschäftigungsfragen, ABl. 2006 L 204/23

RL 2006/123/EG

Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates vom 12. Dezember 2006 über Dienstleistungen im Binnenmarkt, ABl. 2006 L 376/36

RL 2008/48/EG

Richtlinie 2008/48/EG des Europäischen Parlaments und des Rates vom 23. April 2008 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 87/102/EWG des Rates, ABl. 2008 L 133/66

RL 2013/36/EU

Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen, zur Änderung der Richtlinie 2002/87/EG und zur Aufhebung der Richtlinien 2006/48/EG und 2006/49/EG, ABl. 2013 L 176/338

RL 2014/17/ЕU

Richtlinie 2014/17/ЕU des Europäischen Parlaments und des Rates vom 4. Februar 2014 über Wohnimmobilienkreditverträge für Verbraucher und zur Änderung der Richtlinien 2008/48/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010, ABl. 2014 L 60/34

Rn.

Randnummer(n)

RPDG

Règlement général sur la protection des données (= DSGVO)

Rs.

Rechtssache(n)

S.

Seite(n)

SA

Société anonyme (= AG)

SAS

Statistical Analysis Systems

SA-BIZ

internationaler Standardansatz für Kreditrisiken

SARS-CoV-2

severe acute respiratory syndrome coronavirus type 2

Schengen-Assoziierungs-Abkommen

Abkommen zwischen der Schweizerischen Eidgenossenschaft, der Europäischen Union und der Europäischen Gemeinschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands vom 26. Oktober 2004 (SR 0.362.31)

SchKG

Bundesgesetz über Schuldbetreibung und Konkurs vom 11. April 1889 (SR 281.1)

SCHUFA

Schutzgemeinschaft für allgemeine Kreditsicherung

SCLR

Southern California Law Review (Los Angeles)

SDSG

Bundesgesetz über den Datenschutz im Rahmen der Anwendung des Schengen-Besitzstands in Strafsachen vom 28. September 2018 (SR 235.3)

Seton Hall L. Rev.

Seton Hall Law Review (Newark)

SEV

Sammlung Europäischer Verträge

SG

Kanton St. Gallen

SHAB

Schweizerisches Handelsamtsblatt

SHK

Stämpflis Handkommentar

sic!

Zeitschrift für Immaterialgüter‑, Informations- und Wettbewerbsrecht (Zürich)

SJ

La Semaine Judiciaire (Genf)

SJZ

Schweizerische Juristen-Zeitung (Zürich)

SK

Schulthess Kommentar

SL

Sociedad Limitada

SMS

Short Message Service

sog.

sogenannt

SPK-NR

Staatspolitische Kommission des Nationalrates

SPK-SR

Staatspolitische Kommission des Ständerates

SR

Systematische Sammlung des Bundesrechts / Ständerat

SRF

Schweizer Radio und Fernsehen

StGB

Schweizerisches Strafgesetzbuch vom 21. Dezember 1937 (SR 311.0)

SVAG

Bundesgesetz über eine leistungsabhängige Schwerverkehrsabgabe vom 19. Dezember 1997 (SR 641.81)

SZW

Schweizerische Zeitschrift für Wirtschafts- und Finanzmarktrecht (Zürich)

TA-SWISS

Stiftung für Technologiefolgen-Abschätzung

TechREG

Technology and Regulation (Tilburg)

Theory Pract. Legis.

The Theory and Practice of Legislation (London)

TOM

technische und organisatorische Massnahmen

TREX

Der Treuhandexperte (Zürich)

TStG

Bundesgesetz über die Tabakbesteuerung vom 21. März 1969 (SR 641.31)

TTDSG

Telekommunikations-Telemedien-Datenschutz-Gesetz, zuletzt geändert durch Art. 44 des Gesetzes vom 12. Juli 2024 (BGBl. 2024 I Nr. 234)

u.a.

unter anderem / und andere

U.C. Davis L. Rev.

University of California at Davis Law Review (Davis)

u.U.

unter Umständen

UAbs.

Unterabsatz / Unterabsätze

UCLA

University of California, Los Angeles

UCLA L. Rev.

UCLA Law Review (Los Angeles)

UID

Unternehmens-Identifikationsnummer

UIDG

Bundesgesetz über die Unternehmens-Identifikationsnummer vom 18. Juni 2010 (SR 431.03)

UK

United Kingdom

Univ. Pa. L. Rev.

University of Pennsylvania Law Review (Philadelphia)

UODO

Urząd Ochrony Danych Osobowych (Polen)

URL

uniform resource locator

USA

United States of America

UVEK

Eidgenössisches Departement für Umwelt, Verkehr, Energie und Kommunikation

VD

Kanton Waadt

VDSG

Verordnung zum Bundesgesetz über den Datenschutz vom 14. Juni 1993 (nicht mehr in Kraft)

VE-DSG

Vorentwurf für das Bundesgesetz über die Totalrevision des Datenschutzgesetzes und die Änderung weiterer Erlasse zum Datenschutz vom 21. Dezember 2016

VGer

Verwaltungsgericht

vgl.

vergleiche

VIA

Verbraucherinsolvenz aktuell (München)

VO (EU) 575/2013

Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012, ABl. 2013 L 176/1

vom 18. April 1999 (SR 101)

VO (EU) 2018/1725

Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG, ABl. 2018 L 295/39

Vorbem.

Vorbemerkungen

VPB

Verwaltungspraxis der Bundesbehörden (Bern)

VS

Kanton Wallis

VSHAB

Verordnung über das Schweizerische Handelsamtsblatt vom 15. Februar 2006 (SR 221.415)

VStrR

Bundesgesetz über das Verwaltungsstrafrecht vom 22. März 1974 (SR 313.0)

VuR

Zeitschrift für Wirtschafts- und Verbraucherrecht (Baden-Baden)

VVG

Bundesgesetz über den Versicherungsvertrag vom 2. April 1908 (SR 221.229.1)

VwGH

Verwaltungsgerichtshof (Österreich)

VwVG

Bundesgesetz über das Verwaltungsverfahren vom 20. Dezember 1968 (SR 172.021)

Wash. L. Rev.

Washington Law Review (Seattle)

WEF

World Economic Forum

WILJ

Wisconsin International Law Journal (Madison)

WM

Wertpapiermitteilungen, Zeitschrift für Wirtschafts- und Bankrecht (Frankfurt a.M.)

YJoLT

Yale Journal of Law & Technology (New Haven)

z.B.

zum Beispiel

ZBJV

Zeitschrift des Bernischen Juristenvereins (Bern)

ZD

Zeitschrift für Datenschutz (München)

ZEK

Zentralstelle für Kreditinformation

ZfDR

Zeitschrift für Digitalisierung und Recht (München)

ZG

Zollgesetz vom 18. März 2005 (SR 631.0)

ZGB

Schweizerisches Zivilgesetzbuch vom 10. Dezember 1907 (SR 210)

ZH

Kanton Zürich

Ziff.

Ziffer(n)

zit.

zitiert

ZJS

Zeitschrift für das Juristische Studium (Gießen)

ZPO/DE

Zivilprozessordnung vom 5. Dezember 2005 (BGBl. I S. 3202; 2006 I S. 431; 2007 I S. 1781), zuletzt geändert durch Art. 1 des Gesetzes vom 24. Oktober 2024 (BGBl. 2024 I Nr. 328)

ZRP

Zeitschrift für Rechtspolitik (München)

ZSR

Zeitschrift für Schweizerisches Recht (Basel)

ZStrR

Schweizerische Zeitschrift für Strafrecht (Bern)

ZStV

Zivilstandsverordnung vom 28. April 2004 (SR 211.112.2)

ZVI

Zeitschrift für Verbraucher‑, Privat‑, und Nachlassinsolvenz (Köln)

5

Literaturverzeichnis

Abel Ralf B., Automatisierte Entscheidungen im Einzelfall gem. Art. 22 DS-GVO, Anwendungsbereich und Grenzen im nicht-öffentlichen Bereich, ZD 2018, S. 304 ff. (zit. Abel, ZD 2018a)

Abel Ralf B., Einmeldung und Auskunfteitätigkeit nach DS-GVO und § 31 BDSG, Frage der Rechtssicherheit im neuen Recht, ZD 2018, S. 103 ff. (zit. Abel, ZD 2018b)

Abel Ralf B., Rechtsfragen von Scoring und Rating, RDV 2006, S. 108 ff. (zit. Abel, RDV 2006)

Adolff Johannes/Langenbucher Katja, Kreditscoring: von Auskunfteien zu künstlicher Intelligenz, in: Hoffmann-Becking/Hommelhoff (Hrsg.), Festschrift für Gerd Krieger zum 70. Geburtstag, München 2020, S. 1 ff.

Aebi-Müller Regina, Personenbezogene Informationen im System des zivilrechtlichen Persönlichkeitsschutzes, Unter besonderer Berücksichtigung der Rechtslage in der Schweiz und in Deutschland, Habil. Bern 2005, Bern 2005

Affolter-Fringeli Kurt/Vogel Urs, Berner Kommentar, Die elterliche Sorge/der Kindesschutz, Art. 296–317 ZGB, Das Kindesvermögen, Art. 318–327 ZGB, Minderjährige unter Vormundschaft, Art. 327a-327c ZGB, Bern 2016 (zit. BK ZGB-​Affolter-Fringeli/Vogel, Art. N)

Aggarwal Nikita, The Norms of Algorithmic Credit Scoring, C.L.J. 2021, S. 42 ff.

Ahrens Martin, Sechsmonatige Speicherung der Information über Restschuldbefreiung, NJW-Spezial 2024, S. 85 ff.

Aitken Rob, ‘All data is credit data’: Constituting the unbanked, Compet. Change 2017, S. 274 ff.

Albrecht Jan Philipp/Jotzo Florian, Das neue Datenschutzrecht der EU, Grundlagen – Gesetzgebungsverfahren – Synopse, Baden-Baden 2017

Anderson Atenas/Galetti Benedetta S., La conservation des données personnelles: comment déterminer sa durée?, sic! 2021, S. 103 ff.

Angwin Julia/Larson Jeff/Mattu Surya/Kirchner Lauren, Machine Bias, There’s software used across the country to predict future criminals. And it’s biased against blacks., Pro Publica, 23. Mai 2016 (zit. Angwin et al.)

Arnet Ruth, Freiheit und Zwang beim Vertragsabschluss, Eine Untersuchung zu den gesetzlichen Kontrahierungspflichten und weiteren Schranken der Vertragsabschlussfreiheit im schweizerischen Recht, Habil. Basel 2006, Bern 2008

Assion Simon/Hauck Daniel, Datenschutzrechtliche Zulässigkeit geschlossener Branchenpools, Beilage ZD 12/2020, S. 1 ff.

Auer-Reinsdorff Astrid/Conrad Isabell (Hrsg.), Handbuch IT- und Datenschutzrecht, 3. Aufl., München 2019 (zit. Bearbeiter/-in, in: Auer-Reinsdorff/Conrad)

Avery Robert B./Calem Paul S./Canner Glen B., Consumer credit scoring: Do situational circumstances matter?, JBF 2004, S. 835 ff. (zit. Avery et al., JBF 2004)

Avery Robert B./Calem Paul S./Canner Glen B./Bostic Raphael W., An Overview of Consumer Data and Credit Reporting, Fed. Res. Bull. 2004, S. 47 ff. (zit. Avery et al., Fed. Res. Bull. 2004)

Baeriswyl Bruno, Der «grosse Bruder» DSGVO und das revDSG: Ein vergleichender Überblick, SZW 2021, S. 8 ff.

Baeriswyl Bruno/Pärli Kurt (Hrsg.), Stämpflis Handkommentar Datenschutzgesetz (DSG), Bern 2015 (zit. SHK aDSG-Bearbeiter/-in, Art. N)

Baeriswyl Bruno/Pärli Kurt/Dominika Blonski (Hrsg.), Stämpflis Handkommentar Datenschutzgesetz, 2. Aufl., Bern 2023 (zit. SHK DSG-Bearbeiter/-in, Art. N)

Baesens Bart, Developing Intelligent Systems for Credit Scoring Using Machine Learning Techniques, Diss. Leuven 2003, Leuven 2003

Baesens Bart/Rösch Daniel/Scheule Harald, Credit Risk Analytics, Measurement Techniques, Applications and Examples in SAS, Hoboken 2016 (zit. Baesens et al.)

Baklouti Ibtissem, A Psychological Approach to Microfinance Credit Scoring via a Classification and Regression Tree, Intell. Sys. Acc. Fin. Mgmt. 2014, S. 193 ff.

Bamberger Kenneth A./Mulligan Deirdre K., Privacy in Europe: Initial Data on Governance Choices and Corporate Practices, Geo. Wash. L. Rev. 2013, S. 1529 ff.

Baratta Roberto, Complexity of EU Law in the Domestic Implementing Process, Theory Pract. Legis. 2014, S. 293 ff.

Barnikol Michael, Die Schutzinstrumente des schweizerischen Konsumkreditrechts, Diss. Bern 2013, Bern 2014

Barocas Solon/Selbst Andrew, Big Data’s Disparate Impact, CLR 2016, S. 671 ff.

Barron John M./Staten Michael, The Value of Comprehensive Credit Reports: Lessons from the U.S. Experience, in: Miller (Hrsg.), Credit Reporting Systems and the international Economy, Cambridge MA, S. 273 ff.

Basler Peter, Kredit-Datenbanken: Falsche Betreibung mit bösen Folgen, SRF 22. Februar 2022, abrufbar unter <https://www.srf.ch/news/panorama/crif-teledata-kredit-datenbanken-falsche-betreibung-mit-boesen-folgen?wt_mc_o=srf.share.​app.​srf-app.email>, zuletzt besucht am 30. September 2024

Baumgartner Ulrich/Brunnhauer Jonas H./Cross Samuel, Anforderungen der DS-GVO an den Einsatz von Künstlicher Intelligenz, Welche Regelungen gelten für Anbieter und Anwender?, MMR 2023, S. 543 ff. (zit. Baumgartner et al.)

Bayamlioğlu Emre, Contesting Automated Decisions: A View of Transparency Implications, EDPL 2018, S. 433 ff.

Becker Daniel/Feuerstack Daniel, Die EU-KI-Verordnung, Überblick und Bewertung der finalen Fassung der KI-VO, KIR 2024, S. 62 ff.

Belser Eva Maria/Epiney Astrid/Waldmann Bernhard, Datenschutzrecht: Grundlagen und öffentliches Recht, Bern 2011 (zit. Bearbeiter/-in, in: Belser et al., § N)

Benhamou Yaniv/Cottier Bertil (Hrsg.), Petit Commentaire LPD, Loi fédérale sur la protection des données, Basel 2023 (zit. PC LPD-Bearbeiter/in, Art. N)

Bensoussan Alain, Règlement européen sur la protection des données, Textes, commentaires et orientations pratiques, 2. Aufl., Brüssel 2018

Berg Tobias/Burg Valentin/Gombowić Ana/Puri Manju, On the Rise of FinTechs: Credit Scoring Using Digital Footprints, Rev. Financ. Stud. 2020, S. 2845 ff. (zit. Berg et al.)

Bergkamp Lucas/Dhont Jan, Data Protection in Europe and the Internet: An Analysis of the European Community’s Privacy Legislation in the Context of the World Wide Web, EDI Law Review 2000, S. 71 ff.

Biaggini Giovanni, Ein Personenidentifikator im Licht des verfassungsrechtlichen Persönlichkeitsschutzes (Art. 13 BV), Rechtsgutachten erstattet dem Eidgenössischen Datenschutzbeauftragten, Zürich 2002

Biega Asia/Finck Michèle, Reviving Purpose Limitation and Data Minimisation in Personalisation, Profiling and Decision-Making Systems, TechREG 2021, S. 44 ff.

Bieri Adrian/Powell Julian, Informationspflicht nach dem totalrevidierten Datenschutzgesetz, Bedeutung der erweiterten Transparenzvorschriften für private Verantwortliche, AJP 2020, S. 1533 ff.

Bieri Adrian/Powell Julian (Hrsg.), Kommentar zum Schweizerischen Datenschutzgesetz mit weiteren Erlassen, Zürich 2023 (zit. OFK DSG-Bearbeiter/-in, Art. N)

Bieri Laurent, La protection des locataires contre les discriminations, in: Bohnet/Carron (Hrsg.), 20e Séminaire sur le droit du bail, Basel 2018, S. 161 ff.

Binns Reuben/Veale Michael, Is that your final decision?, Multi-stage profiling, selective effects, and Article 22 of the GDPR, IDPL 2021, S. 319 ff.

Blasek Katrin, Auskunfteiwesen und Kredit-Scoring in unruhigem Fahrwasser, Ein Spagat zwischen Individualschutz und Rechtssicherheit, ZD 2022, S. 433 ff. (zit. Blasek, ZD 2022)

Blasek Katrin, Die Rolle von Scorewerten bei automatisierten Entscheidungen, Auswirkungen des EuGH-Urteils und der geplanten BDSG-Novelle, ZD 2024, S. 258 ff. (zit. Blasek, ZD 2024)

Blechta Gabor P./Vasella David (Hrsg.), Basler Kommentar, Datenschutzgesetz, Öffentlichkeitsgesetz, 4. Aufl., Basel 2024 (zit. BSK DSG-Bearbeiter/-in, Art. N)

Blocher Marco/Wieser Lukas B., Verarbeitung von Insolvenzdaten aus öffentlichen Registern durch Auskunfteien, Diskussion der Vorlagefragen zu EuGH C‑26/22 und C‑64/22, ZD 2023, S. 194 ff.

Bödi Richard, Scoring als Methode zur Entscheidfindung, Vor- und Nachteile eines auf mathematisch-statistischer Analyse von Erfahrungswerten basierenden Prognoseverfahrens, digma 2007, S. 68 ff.

Boot Arnoud/Hoffmann Peter/Laeven Luc/Ratnovski Lev, Financial Intermediation and Technology: What’s Old, What’s New?, IMF Working Paper No. 2020/161, Washington 2020 (zit. Boot et al.)

Born Tobias, Bonitätsprüfungen im Online-Handel, Scorewert-basierte automatisierte Entscheidung über das Angebot von Zahlungsmöglichkeiten, ZD 2015, S. 66 ff.

Bosco Francesca/Creemers Niklas/Ferraris Valeria/Guagnin Daniel/Koops Bert-​Jaap, Profiling Technologies and Fundamental Rights and Values: Regulatory Challenges and Perspectives from European Data Protection Authorities, in: Gutwirth/Leenes/de Hert (Hrsg.), Reforming European Data Protection Law, Dordrecht 2015, S. 3 ff. (zit. Bosco et al.)

Braun Binder Nadja, Als Verfügungen gelten Anordnungen der Maschinen im Einzelfall… – Dystopie oder künftiger Verwaltungsalltag?, ZSR 2020, S. 253 ff. (zit. Braun Binder, ZSR 2020)

Braun Binder Nadja, Automatisierte Entscheidungen: Perspektive Datenschutzrecht und öffentliche Verwaltung, SZW 2020, S. 27 ff. (zit. Braun Binder, SZW 2020)

Braun Binder Nadja/Burri Thomas/Lohmann Melinda Florina/Simmler Monika/Thouvenin Florent/Vokinger Kerstin Noëlle, Künstliche Intelligenz: Handlungsbedarf im Schweizer Recht, Jusletter 28. Juni 2021 (zit. Braun Binder et al., Jusletter 2021)

Braun Binder Nadja/Spielkamp Matthias/Egli Catherine/Freiburghaus Laurent/Kunz Eliane/Laukenmann Nina/Loi Michele/Mätzener Anna/Obrecht Liliane/Wulf Jessica, Einsatz künstlicher Intelligenz in der Verwaltung: rechtliche und ethische Fragen, Schlussbericht vom 28. Februar 2021 zum Vorprojekt IP6.4, abrufbar unter <https://www.zh.ch/content/dam/zhweb/bilder-dokumente/themen/politik-staat/kanton/digitale-verwaltung-und-e-government/projekte_digitale_​trans​for​mation/ki_einsatz_in_der_verwaltung_2021.pdf>, zuletzt besucht am 30. September 2024 (zit. Braun Binder et al., KI in der Verwaltung)

Brkan Maja, Do Algorithms Rule the World?, Algorithmic Decision-Making in the Framework of the GDPR and Beyond, IJLIT 2019, S. 91 ff.

Bucheli Bernadette, Datenschutz im Mietverhältnis: Ausgangslage und Revision des DSG, mp 2020, S. 383 ff.

Bucher Andreas, Le premier amendement de la LDIP, in: Dominicé/Patry/Reymond (Hrsg.), Etudes de droit international en l’honneur de Pierre Lalive, Basel 1993, S. 3 ff.

Büchi Moritz/Fosch-Villaronga Eduard/Lutz Christoph/Tamò-Larrieux Aurelia/Velidi Shruthi/Viljoen Salome, The chilling effects of algorithmic profiling: Mapping the issue, CLSR 2020, S. 105367 (zit. Büchi et al.)

Bühlmann Lukas/Lagler Marion, Informationspflichten und Auskunftsrecht nach dem neuen Datenschutzrecht, SZW 2021, S. 16 ff.

Bühlmann Lukas/Metin Hatun, Totalrevision des Schweizer Datenschutzgesetzes vor dem Hintergrund der DS-GVO, Reichweite der europarechtlichen Vorgaben in der Schweiz, ZD 2019, S. 356 ff.

Bühlmann Lukas/Schüepp Michael, Begriff und Rechtsfolgen des Profilings im nDSG und der DSGVO, Jusletter 12. September 2022 (zit. Bühlmann/Schüepp, Jusletter 2022)

Bühlmann Lukas/Schüepp Michael, Information, Einwilligung und weitere Brennpunkte im (neuen) Schweizer Datenschutzrecht, Jusletter 15. März 2021 (zit. Bühlmann/Schüepp, Jusletter 2021)

Burnier Michèle/Lappert Nando/Winkler Simon, Consumer manipulation through online behavioural advertising, Jusletter 2. August 2021

Büyüksagis Erdem, Décisions algorithmiques: mieux vaut responsabilisier qu’informer, HAVE 2020, S. 225 ff.

Bygrave Lee A., Automated Profiling: Minding the Machine, Article 15 of the EC Data Protection Directive and Automated Profiling, CLSR 2001, S. 17 ff. (zit. Bygrave, CLSR 2001)

Bygrave Lee A., Data Privacy Law, An International Perspective, Oxford 2014 (zit. Bygrave, Data Privacy Law)

Bygrave Lee A., Minding the Machine v2.0, The EU General Data Protection Regulation and Automated Decision-Making, in: Yeung/Lodge (Hrsg.), Algorithmic Regulation, Oxford 2019, S. 248 ff. (zit. Bygrave, Minding the Machine v2.0)

Caroni Pio/Schöbi Felix/Emmenegger Susan/Tschentscher Axel/Hausheer Heinz/Aebi-Müller Regina/Hofer Sibylle/Hrubesch-Millauer Stephanie/Wolf Stephan/Koller Thomas/Schmid-Tschirren Christian/Walter Hans Peter, Berner Kommentar, Einleitung und Personenrecht, Einleitung, Art. 1–9 ZGB, Bern 2012 (zit. BK ZGB-Bearbeiter/-in, Art. N)

Castelluccia Claude/Le Métayer Daniel, Understanding algorithmic decision-making: Opportunities and challenges, Study for the European Parliament, Brüssel 2019

Cellina Eva, La commercialisation des données personnelles, Aspects de droit contractuel et de protection des données, Diss. Genf 2020, Genf/Zürich/Basel 2020

Cellina Eva/Geissbühler Grégoire, Collecte et transmission de données relatives au crédit: cadre légal, validité et limites, Jusletter 13. Juli 2015 (zit. Cellina/ Geissbühler, Jusletter 2015)

Cellina Eva/Geissbühler Grégoire, Moneyhouse: une victoire d’étape, dRSK 30. August 2017 (zit. Cellina/Geissbühler, dRSK 2017)

Chandler Gary G./Johnson Robert W., The benefit to consumers from generic scoring models based on credit reports, IMA J. Math. Appl. Bus. Indust. 1992, S. 61 ff.

Chandler Gary G./Parker Lee E., Predictive Value of Credit Bureau Reports, J. Retail Bank. 1989, S. 47 ff.

Charlet François, Protection des données en entreprise, Basel 2023

Christen Markus/Mader Clemens/Čas Johann/Abou-Chadi Tarik/ Bernstein Abraham/Braun Binder Nadja/Dell’Aglio Daniele/Fábián Luca/George Damian/Gohdes Anita/Gilty Lorenz/Kneer Markus/Krieger-Lamina Jaro/Licht Hauke/Scherer Anne/Som Claudia/Sutter Pascal/Thouvenin Florent, TA-SWISS (Hrsg.), Wenn Algorithmen für uns entscheiden: Chancen und Risiken der künstlichen Intelligenz, Zürich 2020 (zit. Christen et al.)

Corbett-Davies Sam/Gaebler Johann D./Nilforoshan Hamed/Shroff Ravi/Goel Sharad, The Measure and Mismeasure of Fairness: A Critical Review of Fair Machine Learning, JMLR 2023, S. 1 ff. (zit. Corbett-Davies et al.)

Cottier Bertil, La révision de la loi fédérale sur la protection des données: mieux vaut tard que jamais, Jusletter 17. Dezember 2007

Culik Nicolai/Döpke Christian, Zweckbindungsgrundsatz gegen unkontrollierten Einsatz von Big Data-Anwendungen, Analyse möglicher Auswirkungen der DS-GVO, ZD 2017, S. 226 ff.

D’Avis Winfried/Giesen Thomas, Datenschutz in der EU – rechtsstaatliches Monster und wissenschaftliche Hybris, CR 2019, S. 24 ff.

Daedelow Romy, Wenn Algorithmen (unfair) über Menschen entscheiden…, Welchen Schutz bietet die Datenschutz-Grundverordnung?, Jusletter 26. November 2018

Dal Molin Luca/Wesiak-Schmidt Kirsten (Hrsg.), Datenschutz im Unternehmen, Praxishandbuch mit Beispielen und Checklisten, Zürich/St. Gallen 2023 (zit. Bearbeiter/-in, in: Dal Molin/Wesiak-Schmidt, § N)

Dallmann Michael/Busse Philipp, Verarbeitung von öffentlich zugänglichen personenbezogenen Daten, Datenschutzrechtliche Voraussetzungen und Grenzen, ZD 2019, S. 394 ff.

Dammann Ulrich, Erfolge und Defizite der EU-Datenschutzgrundverordnung, Erwarteter Fortschritt, Schwächen und überraschende Innovationen, ZD 2016, S. 307 ff.

Dastile Xolani/Celik Turgay/Potsane Moshe, Statistical and machine learning models in credit scoring: A systematic literature survey, Appl. Soft Comput. 2020, S. 106263

De Hert Paul/Papakonstantinou Vagelis, The new General Data ProtectionRegulation: Still a sound system for the protection of individuals?, CLSR 2016, S. 179 ff.

Debet Anne/Massot Jean/Metallinos Nathalie, Informatique et libertés, La protection des données à caractère personnel en droit français et européen, Issy-les-Moulineaux 2015 (zit. Debet et al.)

Decker Darvin/Mitzscherlich Johann, Die Speicherung von Schuldnerdaten bei Auskunfteien nach Erteilung der Restschuldbefreiung, VIA 2022, S. 73 ff.

Depierre Olivier, Automated decisions, smart contracts and AI: is there really a «decision»?, Jusletter 6. Februar 2023

Di Tria Livio/Lubishtani Kastriot, Étude empirique du droit d’accès à ses données personnelles, in: Métille (Hrsg.), Le droit d’accès, Bern 2021, S. 29 ff.

Dimitrova Diana, The rise of the personal data quality principle: Is it legal and does it have an impact on the right to rectification?, EJLT 3/2021

Dinant Jean-Marc/Lazaro Christophe/Poullet Yves/Lefever Nathalie/Rouvroy Antoinette, L’application de la Convention 108 au mécanisme de profilage, Eléments de réflexion destinés au travail futur du Comité consultatif, Strassburg 2008 (zit. Dinant et al.)

Domenig Benjamin/Mitscherlich Christian/Lutz Chantal, Datenschutzrecht für Schweizer Unternehmen, Stiftungen und Vereine, 2. Aufl., Bern 2022 (zit. Domenig et al.)

Domurath Irina/Neubeck Irene, Verbraucher-Scoring aus Sicht des Datenschutzrechts, Berlin 2018

Drechsler Christian, Die Revision des Datenschutzrechts, AJP 2007, S. 1471 ff. (zit. Drechsler, AJP 2007)

Drechsler Christian, Die schleichende Emanzipation des Datenschutzrechts, Eine Spurensuche und ein Ausblick, medialex 05/2022 vom 8. Juni 2022 (zit. Drechsler, medialex 05/2022)

Dreyer Stephan/Schulz Wolfgang, Was bringt die Datenschutz-Grundverordnung für automatisierte Entscheidungssysteme?, Potenziale und Grenzen der Absicherung individueller, gruppenbezogener und gesellschaftlicher Interessen, Gütersloh 2018

Drittenbass Joel, Regulierung von autonomen Robotern, Angewendet auf den Einsatz von autonomen Medizinrobotern: Eine datenschutzrechtliche und medizinalprodukterechtliche Untersuchung, Diss. St. Gallen 2021, Zürich/St. Gallen/Baden-Baden 2021

Dubey Jacques/Zufferey Jean-Baptiste, Droit administratif général, Basel 2014

Duhr Elisabeth, 7.5 Datenschutz in Auskunfteien, in: Roßnagel (Hrsg.), Handbuch Datenschutzrecht, München 2003, S. 1157 ff.

Ebers Martin, Truly Risk-based Regulation of Artificial Intelligence, How to Implement the EU’s AI Act, EJRR 2024, S. 1 ff.

Edwards Lilian/Veale Michael, Enslaving the Algorithm: From a «Right to an Explanation» to a «Right to Better Decisions»?, IEEE Secur. Priv. 3/2018, S. 46 ff. (zit. Edwards/Veale, IEEE Secur. Priv. 3/2018)

Edwards Lilian/Veale Michael, Slave to the Algorithm?, Why a ‘Right to an Explanation’ Is Probably Not the Remedy You Are Looking For, DLTR 2017, S. 18 ff. (zit. Edwards/Veale, DLTR 2017)

Egeli Raoul, Bonitätsrisiken – Erkennen, Bewerten, Vermeiden, 3. Aufl., Zürich/Genf 2022

Eggen Mirjam/Stokar Eva, § 7 Schutz vor inadäquaten Verbindlichkeiten, in: Heiss/Loacker (Hrsg.), Grundfragen des Konsumentenrechts, Zürich 2020, S. 206 ff.

Ehmann Eugen/Selmayr Martin (Hrsg.), Datenschutz-Grundverordnung, Kommentar, 3. Aufl., München 2024 (zit. Bearbeiter/-in, in: Ehmann/Selmayr, Art. N)

Eichberger Michael, Kommentar zu Art. 2 GG, in: Huber/Voßkuhle (Hrsg.), Grundgesetz, Band 1: Präambel, Artikel 1–19, Kommentar, 8. Aufl., München 2024

Eichler Carolyn, Zulässigkeit der Tätigkeit von Auskunfteien nach der DS-GVO, RDV 2017, S. 10 ff.

El Emam Khaled/Álvarez Cecilia, A critical appraisal of the Article 29 Working Party Opinion 05/2014 on data anonymization techniques, IDPL 2015, S. 73 ff.

Emmenegger Susan (Hrsg.), Banken und Datenschutz, Beiträge zur Schweizerischen Bankrechtstagung 2019, Basel 2019 (zit. Bearbeiter/-in, in: Emmenegger)

Epiney Astrid/Hehemann Lena (Hrsg.), Schweizerisches Jahrbuch für Europarecht / Annuaire suisse de droit européen 2017/2018, Zürich 2018 (zit. Bearbeiter/-in, in: Epiney/Hehemann)

Epiney Astrid/Moser Sophie/Rovelli Sophia (Hrsg.), Die Revision des Datenschutzgesetzes des Bundes/La révision de la loi fédérale sur la protection des données, Zürich 2022 (zit. Bearbeiter/-in, in: Epiney et al. 2022)

Epiney Astrid/Probst Thomas/Gammenthaler Nina (Hrsg.), Datenverknüpfung, Problematik und rechtlicher Rahmen / L’interconnexion des données, Problématique et cadre juridique, Zürich 2011 (zit. Bearbeiter/-in, in: Epiney et al. 2011)

Epiney Astrid/Rovelli Sophia (Hrsg.), Datenschutzgrundverordnung (DSGVO): Tragweite und erste Erfahrungen / Le Règlement général sur la protection des données (RPDG): portée et premières expériences, Zürich 2020 (zit. Bearbeiter/-in, in: Epiney/Rovelli)

Epiney Astrid/Sangsue Déborah (Hrsg.), Datenschutz und Gesundheitsrecht / Protection des données et droit de la santé, Zürich/Basel/Genf 2019 (zit. Bearbeiter/-in, in: Epiney/Sangsue)

Eschholz Stefanie, Big Data-Scoring unter dem Einfluss der Datenschutz-Grundverordnung, DuD 2017, S. 180 ff.

Eßer Martin/Kramer Philipp/von Lewinski Kai (Hrsg.), Auernhammer, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz und Nebengesetze, Kommentar, 8. Aufl., Hürth 2024 (zit. Bearbeiter/-in, in: Auernhammer, Art. N)

Ettlinger Claudius, Die Informationspflicht gemäss neuem Datenschutzgesetz, Eine Orientierungshilfe zur Umsetzung, Jusletter IT 16. Dezember 2021

Everling Oliver (Hrsg.), Social Credit Rating, Reputation und Vertrauen beurteilen, Wiesbaden 2020 (zit. Bearbeiter/-in, in: Everling)

Facincani Nicolas/Hirzel Monika/Sutter Reto/Wetzstein Simone (Hrsg.), Stämpflis Handkommentar Gleichstellungsgesetz (GlG), Bern 2022 (zit. SHK GlG-​Bearbeiter/-in, Art. N)

Fanger Reto, Auswirkungen des revidierten Datenschutzgesetzes auf Cloudanbieter in der Schweiz, Jusletter IT 22. April 2022

Féral-Schuhl Christiane, Cyberdroit, le droit à l’épreuve de l’internet, 8. Aufl., Paris 2020

Finck Michèle, Smart Contracts as a Form of Solely Automated Processing under the GDPR, Max Planck Institute for Innovation and Competition Research Paper No. 19-01, München 2019

Finck Michèle/Pallas Frank, They who must not be identified – distinguishing personal from non-personal data under the GDPR, IDPL 2020, S. 11 ff.

Fontana Katharina, Bundesverwaltungsgericht: Moneyhouse werden Grenzen gesetzt, NZZ vom 12. Mai 2017, S. 16 ff.

Franzius Claudio, Das Recht auf informationelle Selbstbestimmung, ZJS 2015, S. 259 ff.

Freund Bernhard/Schmidt Bernd/Heep Sebastian/Roschek Anna-Kristina (Hrsg.), Praxis-Kommentar DSGVO, Frankfurt a.M. 2023 (zit. Bearbeiter/-in, in: Freund et al., Art. N)

Frigo Patrick, Kommentar zu Art. 46 FINIG, in: Sethe/Bösch/Favre/Schott (Hrsg.), Kommentar zum Finanzinstitutsgesetz, Zürich 2021 (zit. SK FINIG-Frigo, Art. N)

Gauch Peter/Schluep Walter R./Schmid Jörg, Schweizerisches Obligationenrecht, Allgemeiner Teil, Band I, 11. Aufl., Zürich 2020 (zit. Gauch et al.)

Geiser Thomas/Fountoulakis Christiana (Hrsg.), Basler Kommentar, Zivilgesetzbuch I, Art. 1–456 ZGB, 7. Aufl., Basel 2022 (zit. BSK ZGB I-Bearbeiter/-in, Art. N)

Gellert Raphaël, Data protection: a risk regulation?, Between the Risk management of everything and the precautionary alternative, IDPL 2015, S. 3 ff. (zit. Gellert, IDPL 2015)

Gellert Raphaël, We Have Always Managed Risks in Data Protection Law: Understanding the Similarities and Differences Between the Rights-Based and the Risk-Based Approaches to Data Protection, EDPL 2016, S. 481 ff. (zit. Gellert, EDPL 2016)

Genicot Nathan, To Score Is to Decide: About the SCHUFA case, Verfassungsblog 14. Dezember 2023, abrufbar unter <https://verfassungsblog.de/to-score-is-to-decide/>, zuletzt besucht am 30. September 2024

George Damian, Prinzipien und Rechtmässigkeitsbedingungen im privaten Datenschutzrecht, Kritische Betrachtungen zu Geschichte und Gegenwart eines Schutzkonzepts in der Schweiz und der Europäischen Union, Diss. Zürich 2021, Zürich 2021

George Damian/Reutimann Kento/Tamò-Larrieux Aurelia, GDPR Bypass by Design?, Transient processing of data under the GDPR, IDPL 2019, S. 285 ff. (zit. George et al.)

Geslevich Packin Nizan/Lev-Aretz Yafit, On Social Credit and the Right to be Unnetworked, CBLR 2016, S. 340 ff.

Gierschmann Sibylle/Schlender Katharina/Stentzel Rainer/Veil Winfried (Hrsg.), Kommentar Datenschutz-Grundverordnung, 2. Aufl., Köln 2021 (zit. Bearbeiter/-in, in: Gierschmann et al., Art. N)

Gil González Elena/de Hert Paul, Understanding the legal provisions that allow processing and profiling of personal data – an analysis of GDPR provisions and principles, ERA Forum 2019, S. 597 ff.

Gilliéron Philippe, Google Street View et le droit à l’image: l’épisode final, medialex 2012, S. 133 ff.

Glass Philip, Die rechtsstaatliche Bearbeitung von Personendaten in der Schweiz, Regulierungs- und Begründungsstrategien des Datenschutzrechts mit Hinweisen zu den Bereichen Polizei, Staatsschutz, Sozialhilfe und elektronische Informationsverarbeitung, Diss. Basel 2016, Zürich 2017

Glatthaar Matthias, Keine Angst vor Profiling, Handlungsempfehlungen für die Unternehmenspraxis, Jusletter IT 30. September 2021

Göksu Tarkan, Gedanken zur Kontrahierungspflicht anlässlich von BGE 129 III 35, ZBJV 2004, S. 35 ff. (zit. Göksu, ZBJV 2004)

Göksu Tarkan, Rassendiskriminierung beim Vertragsabschluss als Persönlichkeitsverletzung, Diss. Freiburg i.Üe. 2003, Freiburg i.Üe. 2003 (zit. Göksu, Rassendiskriminierung)

Gola Peter, Aus den aktuellen Berichten der Aufsichtsbehörden (31): Auswirkungen der DS-GVO auf Auskunfteien, Inkassounternehmen und Kreditwesen, RDV 2017, S. 187 ff.

Gola Peter/Heckmann Dirk (Hrsg.), Datenschutz-Grundverordnung Bundesdatenschutzgesetz Kommentar, 3. Aufl., München 2022 (zit. Bearbeiter/-in, in: Gola/Heckmann, Art. N)

Golla Sebastian, Abgenickt von Algorithmik: Aktuelles zum Verbot automatisierter Entscheidungen, PinG 2014, S. 61 ff.

Golland Alexander, Datenverarbeitung in sozialen Netzwerken, Diss. Bochum 2018, Frankfurt a.M. 2019

Grolimund Pascal/Loacker Leander D./Schnyder Anton K. (Hrsg.), Basler Kommentar, Internationales Privatrecht, 4. Aufl., Basel 2021 (zit. BSK IPRG-Bearbeiter/-in, Art. N)

Gutowski Mario, Rechtmäßigkeit der Verarbeitung von Insolvenzinformationen durch Staat und Wirtschaftsauskunfteien unter Geltung der DSGVO, ZVI 2020, S. 291 ff.

Hacker Philipp, Teaching Fairness to Artificial Intelligence: Existing and Novel Strategies Against Algorithmic Discrimination Under EU Law, CML Rev. 2018, S. 1143 ff.

Häfelin Ulrich/Müller Georg/Uhlmann Felix, Allgemeines Verwaltungsrecht, 8. Aufl., Zürich/St. Gallen 2020 (zit. Häfelin et al.)

Hallinan Dara/Zuiderveen Borgesius Frederik, Opinions can be incorrect (in our opinion)! On data protection law’s accuracy principle, IDPL 2020, S. 1 ff.

Hammersen Jens/Eisenried Ulrich, Ist «Redlining» in Deutschland erlaubt?, Plädoyer für eine weite Auslegung des Auskunftsanspruchs, ZD 2014, S. 342 ff.

Hänold Stefanie, Profiling and Automated Decision-Making: Legal Implications and Shortcomings, in: Corrales/Fenwick/Forgó (Hrsg.), Robotics, AI and the Future of Law, Business and Innovation, Singapur 2018, S. 123 ff.

Hanson Jon D./Kysar Douglas A., Taking Behavioralism Seriously: The Problem of Market Manipulation, N.Y.U. L. Rev. 1999, S. 630 ff.

Hardekopf Bill, Your Social Media Posts May Soon Affect Your Credit Score, Forbes 23. Oktober 2015, abrufbar unter <https://www.forbes.com/sites/moneybuilder/2015/10/23/your-social-media-posts-may-soon-affect-your-credit-score-2/>, zuletzt besucht am 30. September 2024

Härting Niko, Anonymität und Pseudonymität im Datenschutzrecht, NJW 2013, S. 2065 ff. (zit. Härting, NJW 2013)

Härting Niko, Big Data und Profiling nach der DSGVO, ITRB 2016, S. 209 ff. (zit. Härting, ITRB 2016)

Härting Niko, Profiling: Vorschläge für eine intelligente Regulierung, Was aus der Zweistufigkeit des Profilings für die Regelung des nicht-öffentlichen Datenschutzbereichs folgt, CR 2014, S. 528 ff. (zit. Härting, CR 2014)

Härting Niko, Was ist eigentlich eine «Kopie»?, Zur Auslegung des Art. 15 Abs. 3 Satz 1 DSGVO, CR 2019, S. 219 ff. (zit. Härting, CR 2019)

Hartmann Frank/Kriebel Lennart, Art. 22 DSGVO, Art. 1 GRCh und HAL 9000, DSRITB 2021, S. 129 ff.

Häuselmann Andreas, The ECJ’s First Landmark Case on Automated Decision-Making – a Report from the Oral Hearing before the First Chamber, European Law Blog 20. Februar 2023, abrufbar unter <https://www.europeanlawblog.eu/pub/the-ecjs-first-landmark-case-on-automated-decision-making-a-report-from-the-oral-hearing-before-the-first-chamber/release/1>, zuletzt besucht am 30. September 2024 (zit. Häuselmann, ECJ)

Häuselmann Andreas Nicolas, Profiling and the GDPR: Harmonised Confusion, Jusletter 12. Februar 2018 (zit. Häuselmann, Jusletter 2018)

Hausheer Heinz/Aebi-Müller Regina E., Das Personenrecht des Schweizerischen Zivilgesetzbuches, 5. Aufl., Bern 2020

Heberlein Horst, Datenschutz und Meinungsfreiheit. Der Regelungsauftrag der Datenschutz-Grundverordnung für den nationalen Gesetzgeber, EuR 2021, S. 672 ff.

Heinemann Oliver, Stichprobenpflicht bei automatisierten Datenabrufen, Prüfung und Glaubhaftmachung des berechtigten Interesses, ZD 2014, S. 291 ff.

Heinemann Oliver/Wäßle Florian, Datenschutzrechtlicher Auskunftsanspruch bei Kreditscoring, Inhalt und Grenzen des Auskunftsanspruchs nach § 34 BDSG, MMR 2010, S. 600 ff.

Helfrich Marcus, Kreditscoring und Scorewertbildung der SCHUFA: datenschutzrechtliche Zulässigkeit im Rahmen der praktischen Anwendungen, Diss. Frankfurt 2009, Baden-Baden 2010 (zit. Helfrich, Kreditscoring)

Helfrich Marcus, Teil IX. E-Commerce Kapitel 3. Bonitätsbewertung, in: Forgó/Helfrich/Schneider (Hrsg.), Betrieblicher Datenschutz, 3. Aufl., München 2019, S. 1082 ff. (zit. Helfrich, Bonitätsbewertung)

Hense Peter, Vom Dunkelnebel zum Leitstern: Art. 22 DS-GVO im Zeitalter «Künstlicher Intelligenz», RDi 2024, S. 192 ff.

Henseler David, Datenschutz bei drohnengestützter Datenbearbeitung durch Private, Diss. Zürich 2020, Zürich 2020 (zit. Henseler, Datenschutz)

Henseler David, Von Drohnen und anderen Baupolizisten, Verfassungsrechtliche Überlegungen zum Einsatz von Drohnen zur Baukontrolle, Jusletter 25. Juni 2018 (zit. Henseler, Jusletter 2018)

Henseler Simon, EuGH C‑184/20: Verarbeitung besonderer Kategorien personenbezogener Daten auch bei möglichen Schlüssen auf sensible Informationen, datenrecht.ch 2. August 2022, abrufbar unter <https://datenrecht.ch/eugh-c-​184-​20-verarbeitung-besonderer-kategorien-personenbezogener-daten-auch-bei-moeglichen-schluessen-auf-sensible-informationen/>, zuletzt besucht am 30. September 2024 (zit. Henseler, EuGH C‑184/20)

Henseler Simon, EuGH C‑634/21 – Anträge GA: Kreditscore (der SCHUFA) als automatisierte Entscheidung, datenrecht.ch 17. März 2023, abrufbar unter <https://datenrecht.ch/eugh-c-634-21-antraege-ga-kreditscore-der-schufa-als-automatisierte-entscheidung/>, zuletzt besucht am 30. September 2024 (zit. Henseler, GA EuGH C‑634/21)

Henseler Simon, EuGH C‑634/21: Kreditscore (der SCHUFA) als automatisierte Entscheidung, datenrecht.ch 8. Dezember 2023, abrufbar unter <https://​daten​recht.​ch/eugh-c-634-21-kreditscore-der-schufa-als-automatisierte-entscheidung/>, zuletzt besucht am 30. September 2024 (zit. Henseler, EuGH C‑634/21)

Henseler Simon, Was ist eine automatisierte Entscheidung?, Zum Tatbestand von Art. 22 Abs. 1 DSGVO, in: Zurkinden/Staffler/Meier (Hrsg.), Recht und Innovation, APARIUZ Band XXI, Zürich 2020, S. 301 ff. (zit. Henseler, automatisierte Entscheidung)

Henseler Simon, Zulässigkeit der Speicherung von Daten aus öffentlichen Registern durch eine Kreditauskunftei unter der DSGVO, swissprivacy.law 4. Mai 2023, abrufbar unter <https://swissprivacy.law/224/>, zuletzt besucht am 30. September 2024 (zit. Henseler, Zulässigkeit der Speicherung)

Herzig Christophe A., Das Kind im familienrechtlichen Verfahren, Diss. Freiburg i.Üe. 2012, Zürich 2012

Heuberger Olivier, Profiling im Persönlichkeits- und Datenschutzrecht der Schweiz, Diss. Luzern 2019, Zürich/Basel/Genf 2020

Heyer Hans-Ulrich, Anspruch auf aufsichtsbehördliches Einschreiten nach DSGVO, NZI 2021, S. 844 ff. (zit. Heyer, NZI 2021)

Heyer Hans-Ulrich, Entscheidung des EuGH zu überlangen Speicherfristen, ZVI 2024, S. 37 ff. (zit. Heyer, ZVI 2024)

Hildebrandt Mireille/Backhouse James, D7.2.: Descriptive analysis and inventory of profiling practices, FIDIS 29. Juni 2005, abrufbar unter <http://www.fidis.net/fileadmin/fidis/deliverables/fidis-wp7-del7.2.profiling_practices.pdf>, zuletzt besucht am 30. September 2024

Hildebrandt Mireille/Gutwirth Serge (Hrsg.), Profiling the European Citizen, Cross-Disciplinary Perspectives, Dordrecht 2008 (zit. Bearbeiter/-in, in: Hildebrandt/Gutwirth)

Hirsch Célian, Intelligence artificielle et automatisation des décisions dans le secteur bancaire et financier: application de la LPD et du RGPD, SZW 2024, S. 113 ff. (Hirsch, SZW 2024)

Hirsch Célian, Le devoir d’informer lors d’une violation de la sécurité des données, Avec un regard particulier sur les données bancaires, Diss. Genf 2023, Genf/Zürich 2023 (zit. Hirsch, Le devoir d’informer)

Hirsch Célian/Jacot-Guillarmod Emilie, Les données bancaires pseudonymisées – Du secret bancaire à la protection des données, SZW 2020, S. 151 ff.

Hirsch Célian/Merlino Nastassia, Do Robots Rule Wealth Management?, A Brief Legal Analysis of Robo-Advisers, SZW 2022, S. 33 ff.

Hoeren Thomas, Big data and the legal framework for data quality, IJLIT 2017, S. 26 ff. (zit. Hoeren, IJLIT 2017)

Hoeren Thomas, Big Data und Datenqualität – ein Blick auf die DS-GVO, Annäherungen an Qualitätsstandards und deren Harmonisierung, ZD 2016, S. 459 ff. (zit. Hoeren, ZD 2016)

Hoeren Thomas, Rechtliche Grundlagen des SCHUFA-Scoring-Verfahrens, in: SCHUFA Holding AG (Hrsg.), SCHUFA-Grundlagenschrift, Wiesbaden 2007, S. 63 ff. (zit. Hoeren, SCHUFA-Scoring-Verfahren)

Hoffmann Hanna/Kevekordes Johannes, Das Right to Explanation, DuD 2021, S. 609 ff.

Hofmann Johanna M./Johannes Paul C., DS-GVO: Anleitung zur autonomen Auslegung des Personenbezugs, Begriffserklärung der entscheidenden Frage des sachlichen Anwendungsbereichs, ZD 2017, S. 221 ff.

Hoofnagle Chris Jay/van der Sloot Bart/Zuiderveen Borgesius Frederik, The European Union general data protection regulation: what it is and what it means, Inf. Commun. Technol. Law 2019, S. 65 ff. (zit. Hoofnagle et al.)

Horstmann Jan/Dalmer Stefan, Automatisierte Kreditwürdigkeitsprüfung, Externes Kreditscoring im Lichte des Verbots automatisierter Einzelfallentscheidungen, ZD 2022, S. 260 ff.

Huber Hans, Das Recht im technischen Zeitalter: Rektoratsrede, Bern 1960 (zit. Huber H.)

Huber René, Die Teilrevision des Eidg. Datenschutzgesetzes – ungenügende Pinselrenovation, recht 2006, S. 205 ff. (zit. Huber R.)

Hunkeler Daniel (Hrsg.), Kurzkommentar Schuldbetreibungs- und Konkursgesetz, 2. Aufl., Basel 2014 (zit. KuKo SchKG-Bearbeiter/-in, Art. N)

Hurley Mikella/Adebayo Julius, Credit Scoring in the Era of Big Data, YJoLT 2017, S. 148 ff.

Hürlimann Daniel, Suchmaschinenhaftung, Zivilrechtliche Verantwortlichkeit der Betreiber von Internet-Suchmaschinen aus Urheber‑, Marken‑, Lauterkeits‑, Kartell- und Persönlichkeitsrecht, Diss. Bern 2012, Bern 2012

Hürlimann Daniel/Steiger Martin, Auf dem Weg zur digitalen Anwaltskanzlei trotz Berufsgeheimnis und Datenschutz, Anwaltsrevue 2021, S. 199 ff.

Husi-Stämpfli Sandra/Morand Anne-Sophie, Datenschutzrecht, 2. Aufl., Zürich 2024

Iraschko-Luscher Stephanie, Der «gläserne» Schuldner, DuD 2005, 467 ff.

Jacot-Guillarmod Emilie, Le profilage à risque élevé de la nLPD: réflexions autour d’un monstre de Frankenstein, swissprivacy.law 24. August 2021, abrufbar unter <https://swissprivacy.law/86/>, zuletzt besucht am 30. September 2024

Jaun Manuel, Diskriminierungsschutz durch Privatrecht – Die Schweiz im Schatten der europäischen Rechtsentwicklung, ZBJV 2007, S. 457 ff.

Jervis Claire, The curious case of Article 3(3) of the GDPR and its application to diplomatic missions, IDPL 2020, S. 107 ff.

Johannes Paul C., Änderung des BDSG – Gegenüberstellung von § 37a BDSG-RegE und § 31 BDSG, ZD-Aktuell 2024, 01613

Joos Daniel/Meding Kristofer, Künstliche Intelligenz und Datenschutz im Human Resource Management, Technisch Organisatorische Maßnahmen (TOMs) bei «intelligenten» Arbeitgeberentscheidungen, CR 2020, S. 834 ff.

Jotterand Alexandre, Personal Data or Anonymous Data: where to draw the lines (and why)?, Jusletter 15. August 2022

Kalchev Tsanko, Das Verhältnis des KI-VO-Entwurfs zu Art. 22 DSGVO im Lichte des Schlussantrags des Generalanwalts zum Scoring der SCHUFA (RS. C 634/21), DSRITB 2023, S. 417 ff.

Kälin Walter/Locher Reto, Der Zugang zur Justiz in Diskriminierungsfällen, Synthesebericht, Bern 2015

Kaltheuner Frederike/Bietti Elettra, Data is Power: Towards additional guidance on profiling and automated decision-making in the GDPR, irp&p 2/2018, S. 1 ff.

Kamara Irene/Kosta Eleni, Do Not Track initiatives: regaining the lost user control, IDPL 2016, S. 276 ff.

Kamarinou Dimitra/Millard Christopher/Singh Jatinder, Machine Learning with Personal Data, Queen Mary University of London, School of Law, Legal Studies Research Paper No. 247/2016, London 2016 (zit. Kamarinou et al.)

Kaminski Margot E., Binary Governance: Lessons from the GDPR’s Approach to Algorithmic Accountability, SCLR 2019, S. 1530 ff. (Kaminski, SCLR 2019)

Kaminski Margot E., The Right to Explanation, Explained, BTLJ 2019, S. 189 ff. (Kaminski, BTLJ 2019)

Kamp Meike/Weichert Thilo, Scoringsysteme zur Beurteilung der Kreditwürdigkeit – Chancen und Risiken für Verbraucher, Kiel 2005

Kargl Rolf-Dieter/Hötzendorfer Walter, Kreditwürdigkeitsprüfung und Rechtsentwicklung des Datenschutzes, Unter besonderer Berücksichtigung der EU-Datenschutz-Grundverordnung, Jusletter IT 22. September 2016

Kastelitz Markus, Grundsätze und Rechtmäßigkeit der Verarbeitung personenbezogener Daten (Art. 5–11 DSGVO), in: Knyrim (Hrsg.), Datenschutz-Grundverordnung, Das neue Datenschutzrecht in Österreich und der EU, Wien 2016, S. 99 ff.

Keats Citron Danielle/Pasquale Frank, The Scored Society: Due Process for Automated Predictions, Wash. L. Rev. 2014, S. 1 ff.

Kennedy Kenneth, Credit Scoring Using Machine Learning, Diss. Dublin 2013, Dublin 2013

Kevekordes Johannes/Hauer Marc/Amir Haeri Maryam, Rechtliche Bewertung möglicher Fairnessmaße, in: Hoeren/Pinelli (Hrsg.), Künstliche Intelligenz – Ethik und Recht, München 2022, S. 141 ff. (zit. Kevekordes et al.)

King Hope, This startup uses battery life to determine credit scores, CNN 24. August 2016, abrufbar unter <https://money.cnn.com/2016/08/24/technology/lenddo-smartphone-battery-loan/>, zuletzt besucht am 30. September 2024

Klimas Tadas/Vaičiukaitė Jūratė, The Law of Recitals in European Community Legislation, ILSA J. Int’l & Comp. L. 2008, S. 61 ff.

Koning Merel Elize, The purpose and limitations of purpose limitation, Diss. Nijmegen 2020, Nijmegen 2020

Korch Stefan/Chatard Yannick, Der Missbrauchseinwand gegen Betroffenenrechte, Eine Standortbestimmung zum Umgang mit datenschutzfremden Motiven, ZD 2022, S. 482 ff.

Korczak Dieter/Wilken Michael, Scoring im Praxistest: Aussagekraft und Anwendung von Scoringverfahren in der Kreditvergabe und Schlussfolgerungen, München 2008

Kosta Eleni/Leenes Ronald (Hrsg.), Research Handbook on EU Data Protection Law, Cheltenham 2022 (zit. Bearbeiter/-in, in: Kosta/Leenes)

Kostka Genia/Antoine Lukas, Fostering Model Citizenship: Behavioral Responses to China’s Emerging Social Credit Systems, P&I 2019, S. 256 ff.

Kramer Ernst A./Arnet Ruth, Juristische Methodenlehre, 7. Aufl., München/Wien/Bern 2024

Krämer Walter, Die Rechtmässigkeit der Nutzung von Scorewerten, NJW 2020, S. 497 ff. (zit. Krämer, NJW 2020)

Krämer Walter, Die Verarbeitung personenbezogener Daten durch Inkassounternehmen und Auskunfteien nach der DS-GVO, NJW 2018, S. 347 ff. (zit. Krämer, NJW 2018)

Krämer Walter, Die Verarbeitung personenbezogener Daten durch Wirtschaftsauskunfteien, NJW 2012, S. 3201 ff. (zit. Krämer, NJW 2012)

Krämer Walter, Scoring – solide Prognose oder miese Nummer?, herausgegeben vom Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg, Stuttgart 2021 (zit. Krämer, Scoring)

Krättli Nicole, Kein Kredit, weil der Nachbar keinen hat, Beobachter 10. November 2015, abrufbar unter <https://www.beobachter.ch/konsum/konsu​men​ten​schutz/​intrum-justitia-kein-kredit-weil-der-nachbar-keinen-hat>, zuletzt besucht am 30. September 2024

Kremer Sascha, Querschläger SCHUFA-Urteil: Auswirkungen auf Affinitätenanalyse, Kundensegmentierung und KI, Was der EuGH neben dem Scoring für Kredite mitentschieden hat, CR 2024, S. 50 ff.

Kren Kostkiewicz Jolanta, IPRG/LugÜ Kommentar, Bundesgesetz über das Internationale Privatrecht, Lugano-Übereinkommen und weitere Erlasse, 2. Aufl., Bern 2019 (zit. OFK IPRG/LugÜ-Kren Kostkiewicz, Art. N)

Kren Kostkiewicz Jolanta, Schweizerisches Internationales Privatrecht, 2. Aufl., Bern 2018 (zit. Kren Kostkiewicz, Internationales Privatrecht)

Kren Kostkiewicz Jolanta/Vock Dominik (Hrsg.), Kommentar zum Bundesgesetz über Schuldbetreibung und Konkurs, 4. Aufl., Zürich/Basel/Genf 2017 (zit. SK SchKG-Bearbeiter/-in, Art. N)

Kroll Joshua A./Huey Joanna/Barocas Solon/Felten Edward W./Reidenberg Joel R./Robinson David G./Yu Harlan, Accountable Algorithms, Univ. Pa. L. Rev. 2017, S. 633 ff. (zit. Kroll et al.)

Krügel Tina/Pfeiffenbring Julia, § 11 Datenschutzrechtliche Herausforderungen von KI, in: Ebers/Heinze/Krügel/Steinrötter (Hrsg.), Künstliche Intelligenz und Robotik, München 2020, S. 413 ff.

Krüger Ulrich, Der SCHUFA Score als grundsätzlich verbotene, automatisierte Entscheidung gem. Art. 22 DS-GVO, VuR 2022, S. 70 ff.

Kuch Paweł, Taming the algorithm, The right not to be subject to an automated decision in the General Data Protection Regulation, Diss. Zürich 2022, Zürich 2022

Kühling Jürgen/Buchner Benedikt (Hrsg.), Datenschutz-Grundverordnung BDSG Kommentar, 4. Aufl., München 2024 (zit. Bearbeiter/-in, in: Kühling/Buchner, Art. N)

Kuhn Hans, Schweizerisches Kreditsicherungsrecht, 2. Aufl., Bern 2023 (zit. Kuhn, Kreditsicherungsrecht)

Kuhn Hans, Vertrauen, Kredit und Kreditsicherheiten, SZW 2017, S. 792 ff. (zit. Kuhn, SZW 2017)

Kumkar Katharina/Roth-Isigkeit David, Erklärungspflichten bei automatisierten Datenverarbeitungen nach der DSGVO, JZ 6/2020, S. 277 ff.

Kuner Christopher/Bygrave Lee A./Docksey Christopher (Hrsg.), The EU General Data Protection Regulation (GDPR): a commentary, Oxford 2020 (zit. Bearbeiter/-in, in: Kuner et al.)

Kuner Christopher/Bygrave Lee A./Docksey Christopher (Hrsg.), The EU General Data Protection Regulation (GDPR): a commentary, Update of Selected Articles, Oxford 2021 (zit. Bearbeiter/-in, in: Kuner et al. [Update])

Langenbucher Katja, Die Schufa vor dem EuGH, BKR 2024, S. 66 f.

Lehr David/Ohm Paul, Playing with the Data: What Legal Scholars Should Learn About Machine Learning, U.C. Davis L. Rev. 2017, S. 653 ff.

Lenaerts Koen/Gutiérrez-Fons José A., To Say What the Law of the EU Is: Methods of Interpretation and the European Court of Justice, CJEL 2014, S. 3 ff.

Lieber Ron, American Express Kept a (Very) Watchful Eye on Charges, The New York Times 30. Januar 2009, abrufbar unter <https://www.nytimes.com/2009/01/31/your-money/credit-and-debit-cards/31money.html>, zuletzt besucht am 30. September 2024

Lobsiger Adrian, Hohes Risiko – kein Killerargument gegen Vorhaben der digitalen Transformation, SJZ 2023, S. 311 ff.

Lohbeck Anna-Katharina, Die Informationspflichten der DSGVO im Geschäftskundenumfeld der Kredit- und Finanzdienstleistungsinstitute, WM 2019, S. 2050 ff.

Lohmann Melinda F., Mobilität von morgen – Die Zulässigkeit automatisierter Fahrzeuge im Ländervergleich, AJP 2021, S. 617 ff.

Lorentz Nora, Profiling – Persönlichkeitsschutz durch Datenschutz?, Eine Standortbestimmung nach Inkrafttreten der DSGVO, Diss. Köln 2019, Tübingen 2020

Lorenz Bernd, Datenschutzrechtliche Informationspflichten, VuR 2019, S. 213 ff.

Lynskey Orla, The Foundations of EU Data Protection Law, Oxford 2015

Maamar Niklas, Social Scoring, Eine europäische Perspektive auf Verbraucher-Scores zwischen Big Data und Big Brother, CR 2018, S. 820 ff.

Mäder Lukas, Das Profiling bleibt der letzte grosse Streitpunkt im Datenschutzgesetz, NZZ 20. September 2019, abrufbar unter <https://www.nzz.ch/schweiz/das-profiling-bleibt-der-letzte-grosse-streitpunkt-im-datenschutzgesetz-ld.1509781>, zuletzt besucht am 30. September 2024

Mahlmann Matthias, Die Garantie der Menschenwürde in der Schweizerischen Bundesverfassung, AJP 2013, S. 1307 ff.

Malgieri Gianclaudio/Comandé Giovanni, Why a Right to Legibility of Automated Decision-Making Exists in the General Data Protection Regulation, IDPL 2017, S. 243 ff.

Manthey Benjamin, Das datenschutzrechtliche Transparenzgebot, Die Grenzen des individuellen Datenschutzes anhand verdeckter Datenverarbeitungen im Internet, Diss. Regensburg 2019, Baden-Baden 2020

Marder Ben/Joinson Adam/Shankar Avi/Houghton David, The extended ‘chilling’ effect of Facebook: The cold reality of ubiquitous social networking, Comput. Hum. Behav. 2016, S. 582 ff. (zit. Marder et al.)

Markus Alexander R., Internationales Zivilprozessrecht, 2. Aufl., Bern 2020

Markwalder Nora/Täuber Eliane, Bestellbetrug im Onlinehandel, Charakterisierung eines unscheinbaren Delikts, ZStrR 2021, S. 385 ff.

Marsch Nikolaus/Kratz Alexander, Schufa-Scoring und Datenschutzaufsicht vor dem Aus?, NJW 2024, S. 392 ff.

Marthews Alex/Tucker Catherine E., Government Surveillance and Internet Search Behavior, 17. Februar 2017, abrufbar unter <https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2412564>, zuletzt besucht am 30. September 2024

Martini Mario, Algorithmen als Herausforderung für die Rechtsordnung, JZ 2017, S. 1017 ff. (Martini, JZ 2017)

Martini Mario, Blackbox Algorithmus – Grundfragen einer Regulierung Künstlicher Intelligenz, Berlin 2019 (zit. Martini, Blackbox)

Matejek Michael/Mäusezahl Steffen, Gewöhnliche vs. sensible personenbezogene Daten, Abgrenzung und Verarbeitungsrahmen von Daten gem. Art. 9 DS-GVO, ZD 2019, S. 551 ff.

Mathys Roland, Was bedeutet Big Data für die Qualifikation als besonders schützenswerte Personendaten?, Das Beispiel der Gesundheitsdaten, Jusletter IT 21. Mai 2015

Mathys Roland/Reinhart Helen, Bestimmung von Vertragskonditionen im Rahmen automatisierter Entscheidungen, SZW 2020, S. 35 ff.

Maurer-Lambrou Urs/Blechta Gabor P. (Hrsg.), Basler Kommentar, Datenschutzgesetz, Öffentlichkeitsgesetz, 3. Aufl., Basel 2014 (zit. BSK aDSG-Bearbeiter/-in, Art. N)

Mayer Dirk, Retail-Online: Von der Bonitätsprüfung zur Betrugserkennung, CB 2018, S. 324 ff.

Mehmedovic Senida, Le droit d’accès à une décision individuelle automatisée, Jusletter 19. September 2022

Meier Philippe, Protection des données: Fondements, principes généraux et droit privé, Bern 2011

Mendoza Isak/Bygrave Lee A., The Right Not to be Subject to Automated Decisions Based on Profiling, in: Synodinou/Jougleux/Markou/Prastitou (Hrsg.), EU Internet Law – Regulation and Enforcement, Cham 2017, S. 77 ff.

Métille Sylvain, Le traitement de données personnelles sous l’angle de la (nouvelle) loi fédérale sur la protection des données du 25 septembre 2020, SJ 2021 II, S. 1 ff.

Métille Sylvain/Meier Philippe (Hrsg.), Commentaire Romand, Loi fédérale sur la protection des données, Basel 2023 (zit. CR LPD-Bearbeiter/in, Art. N)

Métille Sylvain/Meyer Pauline, Annonce des violations de la sécurité des données: une nouvelle obligation de la nLPD, SZW 2021, S. 23 ff.

Métille Sylvain/Nguyen Xuan Nadja, Un profil de personnalité n’est pas nécessaire pour juger de la solvabilité d’une personne, medialex 2017, S. 176 ff.

Meyle Hannes/Morand Anne-Sophie/Vasella David, DSV: keine Mindestanforderungen an die Datensicherheit, keine entsprechende Strafbarkeit, weitere Anmerkungen, datenrecht.ch 19. September 2022, abrufbar unter <https://datenrecht.ch/dsv-keine-mindestanforderungen-an-die-datensicherheit-keine-entsprechende-strafbarkeit-weitere-anmerkungen/>, zuletzt besucht am 30. September 2024 (zit. Meyle et al.)

Michel Charlotte, Inkassofirma Intrum drückt Familie Sippenhaftung auf, SRF 17. November 2020, abrufbar unter <https://www.srf.ch/news/schweiz/aerger-mit-kreditrating-firma-inkassofirma-intrum-drueckt-familie-sippenhaftung-auf>, zuletzt besucht am 30. September 2024

Möhle Jan-Peter, Totalrevision des Schweizer Datenschutzgesetzes – Ende gut, alles gut?, DuD 2021, S. 598 ff.

Möller Jan/Florax Björn-Christoph, Datenschutzrechtliche Unbedenklichkeit des Scoring von Kreditrisiken?, NJW 2003, S. 2724 ff. (zit. Möller/Florax, NJW 2003)

Möller Jan/Florax Björn-Christoph, Kreditwirtschaftliche Scoring-Verfahren, Verbot automatisierter Einzelentscheidungen gem. § 6a BDSG, MMR 2002, S. 806 ff. (zit. Möller/Florax, MMR 2002)

Monreal Manfred, Weiterverarbeitung nach einer Zweckänderung in der DS-GVO, Chancen nicht nur für das europäische Verständnis des Zweckbindungsgrundsatzes, ZD 2016, S. 507 ff.

Montavon Michael, Cyberadministration et protection des données, Étude théorique et pratique de la transition numérique en Suisse du point de vue de l’État, des citoyen-ne-s et des autorités de contrôle, Diss. Freiburg i.Üe. 2021, Genf/Zürich/Basel 2021

Montavon Michael/Forowicz Magdalena, Les décisions automatisées et semi-automatisées en droit administratif suisse, Jusletter 23. September 2024

Moos Flemming, Unzulässiger Handel mit Persönlichkeitsprofilen?, Erstellung und Vermarktung kommerzieller Datenbanken mit Personenbezug, MMR 2006, S. 718 ff.

Moos Flemming/Rothkegel Tobias, Nutzung von Scoring-Diensten im Online-Versandhandel, Scoring-Verfahren im Spannungsfeld von BDSG, AGG und DS-GVO, ZD 2016, S. 561 ff.

Moos Flemming/Schefzig Jens/Arning Marian Alexander, Praxishandbuch DSGVO, 2. Aufl., Frankfurt a.M. 2021 (zit. Bearbeiter/-in, in: Moos et al.)

Morand Anne-Sophie, A WEIRD AI system?, Inequalities and power asymmetries in the context of Health Tech, Jusletter 20. September 2021

Müller Angela, Der Artificial Intelligence Act der EU: Ein risikobasierter Ansatz zur Regulierung von Künstlicher Intelligenz, EuZ 2022, S. A 1 ff. (zit. Müller A.)

Müller Marian, Die Öffnungsklauseln der Datenschutzgrundverordnung, Ein Beitrag zur Europäischen Handlungsformenlehre, Diss. Münster 2018, Münster 2018 (zit. Müller Marian)

Müller Martin, § 8 Datenschutz in der Wirtschaft, V. Auskunfteien, Bonitätsauskünfte, Scoring, in: Roßnagel (Hrsg.), Das neue Datenschutzrecht, Baden-Baden 2018, S. 385 ff. (zit. Müller Martin)

Muñoz Cecilia/Smith Megan/Patil DJ, Big Data: A Report on Algorithmic Systems, Opportunity, and Civil Rights, Executive Office of the President, Mai 2016, abrufbar unter <https://obamawhitehouse.archives.gov/sites/default/ files/microsites/ostp/2016_0504_data_discrimination.pdf>, zuletzt besucht am 30. September 2024 (zit. Muñoz et al.)

Murphy Kevin P., Machine Learning, A Probabilistic Perspective, Cambridge MA 2012

Naguib Tarek, Diskriminierende Verweigerung des Vertragsabschlusses über Dienstleistungen Privater: Diskriminierungsschutzrecht zwischen Normativität, Realität und Identität, AJP 2009, S. 993 ff.

Naguib Tarek/Fuchs Tiziana, Teil 3: Rechtslage nach Themen / Wohnen, in: Naguib/Pärli/Copur/Studer (Hrsg.), Diskriminierungsrecht, Bern 2014, S. 163 ff.

Niggli Marcel Alexander/Wiprächtiger Hans (Hrsg.), Basler Kommentar, Strafrecht (StGB/JStGB), 4. Aufl., Basel 2018 (zit. BSK StGB-Bearbeiter/-in, Art. N)

Nišević Maja, Profiling Consumers Through Big Data Analytics: Strengths and Weaknesses of Article 22 GDPR, GPLR 2020, S. 104 ff.

Nobel Peter/Weber Rolf H., Medienrecht, 4. Aufl., Bern 2021

Noto La Diega Guido, Against the Dehumanisation of Decision-Making – Algorithmic Decisions at the Crossroads of Intellectual Property, Data Protection, and Freedom of Information, JIPITEC 2018, S. 3 ff.

Obar Jonathan A./Oeldorf-Hirsch Anne, The biggest lie on the Internet: ignoring the privacy policies and terms of service policies of social networking services, iCS 2020, S. 128 ff.

Obrecht Liliane, Verfügung und automatisierte Einzelentscheidung – same same but different?, ex/ante 2022, S. 38 ff.

Oesch Matthias, Europarecht, Band I, Grundlagen, Institutionen, Verhältnis Schweiz-EU, 2. Aufl., Bern 2019

Oetiker Christian/Weibel Thomas/Fountoulakis Christiana (Hrsg.), Basler Kommentar, Lugano Übereinkommen, 3. Aufl., Basel 2024 (zit. BSK LugÜ-Bearbeiter/-in, Art. N)

Ohm Paul, Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization, UCLA L. Rev. 2010, S. 1701 ff.

Oostveen Manon, Identifiability and the applicability of data protection to big data, IDPL 2016, S. 299 ff.

Óskarsdóttir María/Bravo Cristián/Sarraute Carlos/Vanthienen Jan/Baesens Bart, The value of big data for credit scoring: Enhancing financial inclusion using mobile phone data and social network analytics, Appl. Soft Comput. 2019, S. 26 ff. (zit. Óskarsdóttir et al.)

Overbeck Alice, Datenschutz und Verbraucherschutz bei Bonitätsprüfungen durch Wirtschaftsauskunfteien mittels Scoring, Diss. Münster 2016, Münster 2017

Paal Boris P., Art. 22 DS-GVO: Kreditscoring vor dem EuGH, ZfDR 2023, S. 114 ff. (zit. Paal, ZfDR 2023)

Paal Boris P., Schufa-Scoring und Schadenersatz bei Übermittlung von Positivdaten, NJW 2024, S. 1689 ff. (zit. Paal, NJW 2024)

Paal Boris P./Pauly Daniel A. (Hrsg.), Datenschutz-Grundverordnung, Beck’sche Kompakt-Kommentare, 3. Aufl., München 2021 (zit. Bearbeiter/-in, in: Paal/Pauly, Art. N)

Pagano Marco/Jappelli Tullio, Information Sharing in Credit Markets, JF 1993, S. 1693 ff.

Parasuraman Raja/Riley Victor, Humans and Automation: Use, Misuse, Disuse, Abuse, Hum. Factors 1997, S. 230 ff.

Pärli Kurt/Meier Pia, Anstellungsdiskriminierung, in: Portmann/Aubert/Müller/Rudolph (Hrsg.), Festschrift für Adrian von Kaenel, Zürich 2022, S. 363 ff.

Pasquale Frank, The Black Box Society, The Secret Algorithms That Control Money, Cambridge/London 2015

Passadelis Nicolas/Rosenthal David/Thür Hanspeter (Hrsg.), Datenschutzrecht, Beraten in Privatwirtschaft und öffentlicher Verwaltung, Basel 2015 (zit. Bearbeiter/-in, in: Passadelis et al.)

Penney Jonathon, Internet surveillance, regulation, and chilling effects online: a comparative case study, Internet Policy Rev. 2/2017, S. 1 ff.

Peter Claudia/Mohagheghi Ramin/Marti Michael/Niklaus Cordula, Analyse zu den Tätigkeiten der Wirtschaftsauskunfteien, Zuhanden des Bundesamts für Justiz (BJ), Bern 2018 (zit. Peter et al.)

Peter James Thomas, Das Datenschutzgesetz im Privatbereich, Unter besonderer Berücksichtigung seiner motivationalen Grundlage, Diss. Zürich 1994, Zürich 1994

Pfaffinger Monika, Das Recht auf informationellen Systemschutz, Plädoyer für einen Paradigmenwechsel im Datenschutzrecht, Habil. Basel 2022, Baden-Baden 2022

Pfeil Werner, «Der Mensch steht höher als Technik und Maschine», Benötigen wir ein Grundrecht zum Schutz vor Künstlicher Intelligenz?, InTeR 2020, S. 82 ff.

Pfister Jonas, Automation Bias & the Proposal of the EU-Regulation on AI, Jusletter IT 24. Februar 2022, S. 81 ff.

Piltz Carlo, Die Datenschutz-Grundverordnung – Teil 2: Rechte der Betroffenen und korrespondierende Pflichten des Verantwortlichen, K&R 2016, S. 629 ff.

Piltz Gisela/Holländer Corinna, Scoring als modernes Orakel von Delphi, Wie die geplante Änderung des Bundesdatenschutzgesetzes (BDSG) Transparenz und Rechtssicherheit schaffen will, ZRP 2008, S. 143 ff

Plath Kai-Uwe (Hrsg.), DSGVO/BDSG/TTDSG, Kommentar zu DSGVO, BDSG und TTDSG, 4. Aufl., Köln 2023 (zit. Bearbeiter/-in, in: Plath, Art. N)

Plattner Roger, Digitales Verwaltungshandeln, Rechtliche Aspekte der Digitalisierung in der öffentlichen Verwaltung, Diss. Zürich 2020, Zürich 2021

Ponsart Chloé/Robert Romain, Le règlement européen de protection des données personnelles, J.T. 2018, S. 421 ff.

Portmann Wolfgang/Heiss Helmut/Isler Peter R./Thouvenin Florent (Hrsg.), Gedenkschrift für Claire Huguenin, Zürich 2020 (zit. Bearbeiter/-in, in: Portmann et al.)

Powell Andrew/Mylenko Nataliya/Miller Margaret/Majnoni Giovanni, Improving Credit Information, Bank Regulation, and Supervision: On the Role and Design of Public Credit Registries, World Bank Policy Research Working paper No. 3443, Washington DC 2004 (zit. Powell et al.)

Probst Thomas, Die unbestimmte «Bestimmbarkeit» der von Daten betroffenen Personen im Datenschutzrecht, Personendaten und anonymisierte Einzeldaten in der globalisierten Informationsgesellschaft – Quo vaditis?, AJP 2013, S. 1423 ff.

Purtova Nadezhda, The law of everything. Broad concept of personal data and future of EU data protection law, LIT 2018, S. 40 ff.

Quinn Paul/Malgieri Gianclaudio, The Difficulty of Defining Sensitive Data – The Concept of Sensitive Data in the EU Data Protection Framework, GLJ 2021, S. 1583 ff.

Radtke Tristan, Scoring-Wert der SCHUFA als automatisierte Entscheidung nach Art. 22 DS-GVO, MMR 2024, S. 153 ff.

Rechsteiner David, Der Algorithmus verfügt, Verfassungs- und verwaltungsrechtliche Aspekte automatisierter Einzelentscheidungen, Jusletter 26. November 2018

Reill-Ruppe Nicole, Die erteilte Restschuldbefreiung – Negativmerkmal mit Warnfunktion?, VIA 2023, S. 57 ff.

Reudt-Demont Janine/Gordon Clara-Ann/Egli Luisa, Das revidierte Datenschutzgesetz, Wichtigste Neuigkeiten mit Fokus auf Gesundheitsdaten, LSR 2021, S. 264 ff. (zit. Reudt-Demont et al.)

Richter Philip, Datenschutz zwecklos?, Das Prinzip der Zweckbindung im Ratsentwurf der DSGVO, DuD 2015, S. 735 ff.

Rieger Frank, Kredit auf Daten, FAZ 9. Juni 2012, abrufbar unter <https://www.faz.net/aktuell/feuilleton/schufa-facebook-kredit-auf-daten-11779657.html>, zuletzt besucht am 30. September 2024

Robrahn Rasmus/Bremert Benjamin, Interessenskonflikte im Datenschutzrecht, Rechtfertigung der Verarbeitung personenbezogener Daten über eine Abwägung nach Art. 6 Abs. 1 lit. f DS-GVO, ZD 2018, S. 291 ff.

Rosenthal David, Controller oder Processor: Die datenschutzrechtliche Gretchenfrage, Jusletter 17. Juni 2019 (zit. Rosenthal, Jusletter 2019)

Rosenthal David, Das neue Datenschutzgesetz, Jusletter 16. November 2020 (zit. Rosenthal, Jusletter 2020)

Rosenthal David, Datenschutz beim Einsatz generativer künstlicher Intelligenz, Jusletter 6. November 2023 (zit. Rosenthal, Jusletter 2023)

Rosenthal David, Datenschutz und KI: Worauf in der Praxis zu achten ist, Jusletter IT 22. April 2022 (zit. Rosenthal, Jusletter IT 2022)

Rosenthal David, Der Entwurf für ein neues Datenschutzgesetz, Was uns erwartet und was noch zu korrigieren ist, Jusletter 27. November 2017 (zit. Rosenthal, Jusletter 2017a)

Rosenthal David, Der EU AI Act – Verordnung über künstliche Intelligenz, Jusletter 5. August 2024 (zit. Rosenthal, Jusletter 2024)

Rosenthal David, Der Vorentwurf für ein neues Datenschutzgesetz: Was er bedeutet, Jusletter 20. Februar 2017 (zit. Rosenthal, Jusletter 2017b)

Rosenthal David, Die rechtlichen und gefühlten Grenzen der Zweitnutzung von Personendaten, sic! 2021, S. 168 ff. (zit. Rosenthal, sic! 2021)

Rosenthal David, Personendaten ohne Identifizierbarkeit?, Das Zauberwort «Singularisierung» ist seit der DSGVO in aller Munde. Ändert sich nun der Begriff des Personendatums?, digma 2017, S. 198 ff. (zit. Rosenthal, digma 2017)

Rosenthal David/Dal Molin Luca, Entwicklungen im privaten Datenschutzrecht (April 2011 bis März 2013), in: Furrer (Hrsg.), Aktuelle Anwaltspraxis/La pratique de l’avocat 2013, S. 707 ff.

Rosenthal David/Gubler Seraina, Die Strafbestimmungen des neuen DSG, SZW 2021, S. 52 ff.

Rosenthal David/Jöhri Yvonne, Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, Zürich 2008 (zit. HK aDSG-Bearbeiter/-in, Art. N)

Rösler Hannes, Interpretation of EU Law, in: Basedow/Hopt/Zimmermann (Hrsg.), The Max Planck Encyclopedia of European Private Law, Oxford 2012, S. 979 ff.

Roßnagel Alexander, Big Data – Small Privacy?, Konzeptionelle Herausforderungen für das Datenschutzrecht, ZD 2013, S. 562 ff. (zit. Roßnagel, ZD 2013)

Roßnagel Alexander, Datenschutzgrundsätze – unverbindliches Programm oder verbindliches Recht?, Bedeutung der Grundsätze für die datenschutzrechtliche Praxis, ZD 2018, S. 339 ff. (zit. Roßnagel, ZD 2018)

Roßnagel Alexander, Kein «Verbotsprinzip» und kein «Verbot mit Erlaubnisvorbehalt», Zur Dogmatik der Datenverarbeitung als Grundrechtseingriff, NJW 2019, S. 1 ff. (zit. Roßnagel, NJW 2019)

Roßnagel Alexander/Nebel Maxi/Richter Philipp, Was bleibt vom Europäischen Datenschutzrecht?, Überlegungen zum Ratsentwurf der DS-GVO, ZD 2015, S. 455 ff. (zit. Roßnagel et al.)

Roth Simon, Das Profiling im neuen Datenschutzrecht, SZW 2021, S. 34 ff. (zit. Roth, SZW 2021)

Roth Simon, Die automatisierte Einzelentscheidung, Analyse der Vorschläge des Vorentwurfs zum Datenschutzgesetz im Gefüge des Schweizer Rechts, digma 2017, S. 104 ff. (zit. Roth, digma 2017)

Rudin Beat, Scoring: Den Kunden «berechnen», Wenn das Individuum statistisch bewertet wird: Ausgewählte datenschutzrechtliche Aspekte des Kredit-Scorings, digma 2007, S. 50 ff. (zit. Rudin, digma 2007)

Rudin Beat, Verhältnismässigkeit der Bonitätsdatenbearbeitung am Beispiel der Personendatenbearbeitung, Gutachten erstellt im Auftrag des EDÖB, Basel 2008 (zit. Rudin, Verhältnismässigkeit)

Ruggli Monika/Ruggli Sandro, Marktortprinzip, Verarbeitungstätigkeit, digma 2019, S. 48 ff.

Rustici Chiara, GDPR Profiling and Business Practice, Squaring the circle: How to apply the GDPR rules to the commercial and technological realities of profiling?, CRi 2018, S. 34 ff.

Sancho Diana, Automated Decision-Making under Article 22 GDPR, Towards a More Substantial Regime for Solely Automated Decision-Making, in: Ebers/Navas (Hrsg.), Algorithms and Law, Cambridge 2020, S. 136 ff.

Savin Andrej, Profiling and Automated Decision Making in the Present and New EU Data Protection Frameworks, 7th International Conference Computers, Privacy & Data Protection, Brussels 2014

Schaefer Rupert, Internationale Standards in der schweizerischen Finanzmarktaufsicht, SZW 2015, S. 607 ff.

Schäfer Marc-Frédéric, Vorsorgliche Massnahmen des EDÖB, digma 2009, S. 78 ff.

Schäfer Marc-Frédéric/Dordi Elsa, Über die Rechtfertigung von Persönlichkeitsverletzungen, Das Logistep-Urteil des Bundesgerichts (BGE 136 II 508), medialex 2011, S. 142 ff.

Schantz Peter, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, S. 1841 ff.

Schantz Peter/Wolff Heinrich Amadeus, Das neue Datenschutzrecht, Datenschutz-Grundverordnung und Bundesdatenschutzgesetz in der Praxis, München 2017 (zit. Bearbeiter/-in, in: Schantz/Wolff)

Schauer Frederick, Profiles, Probabilities, and Stereotypes, Cambridge MA 2003

Schild Hans-Hermann, EuGH: Scorewert der SCHUFA als automatisierte Entscheidung nach Art. 22 DS-GVO, ZD 2024, S. 157 ff.

Schmidlin Remo R., Voice Recognition im Arbeitsverhältnis – eine datenschutzrechtliche Analyse, sui generis 2022, S. 25 ff.

Schneider Jochen, Schließt Art. 9 DS-GVO die Zulässigkeit der Verarbeitung bei Big Data aus?, Überlegungen, wie weit die Untersagung bei besonderen Datenkategorien reicht, ZD 2017, S. 303 ff. (zit. Schneider J.)

Schneider Ruben, Gemeinsame Verantwortlichkeit, Entstehung, Ausgestaltung und Rechtsfolgen des Innenverhältnisses gemäss Art. 26 DSGVO, Diss. Bonn 2021, Wiesbaden 2021 (zit. Schneider R.)

Schröder Michael/Taeger Jürgen (Hrsg.), Scoring im Fokus: Ökonomische Bedeutung und rechtliche Rahmenbedingungen im internationalen Vergleich, Oldenburg 2014 (zit. Bearbeiter/-in, in: Schröder/Taeger)

Schulz Sebastian, Verarbeitung von Positivdaten durch Auskunfteien – Wirklich nur mit Einwilligung?, RDV 2022, S. 117 ff.

Schweikard Christine/Vasella David, Datenschutzerklärungen und AGB, digma 2020, S. 88 ff.

Seiler Daniel W./Griesinger Marcel, Anforderungen an die Datensicherheit nach dem revidierten Datenschutzgesetz unter besonderer Berücksichtigung der Cyber-Sicherheit, Jusletter IT 22. April 2022

Selbst Andrew D./Powles Julia, Meaningful information and the right to explanation, IDPL 2017, S. 233 ff.

Sesing Andreas, Grenzen systemischer Transparenz bei automatisierter Datenverarbeitung, Umfang und Grenzen der Pflicht zur Bereitstellung aussagekräftiger Informationen über die involvierte Logik, MMR 2021, S. 288 ff.

Siddiqi Naeem, Intelligent Credit Scoring, Building and Implementing Credit Risk Scorecards, 2. Aufl., Hoboken 2017

Siffert Rino, Handelsregisterdaten und Datenschutz, Reprax 2005, S. 1 ff.

Simitis Spiros (Hrsg.), NomosKommentar, Bundesdatenschutzgesetz, 8. Aufl., Baden-Baden 2014 (Bearbeiter/-in, in: Simitis, § N)

Simitis Spiros/Hornung Gerrit/Spiecker gen. Döhmann Indra (Hrsg.), NomosKommentar, Datenschutzrecht, DSGVO mit BDSG, Baden-Baden 2019 (Bearbeiter/-in, in: Simitis et al., Art. N)

Skitka Linda J./Mosier Kathleen L./Burdick Mark, Does automation bias decision-making?, IJHCS 1999, S. 991 ff. (zit. Skitka et al.)

Specht Louisa, Das Verhältnis möglicher Datenrechte zum Datenschutzrecht, GRUR Int. 2017, S. 1040 ff.

Specht-Riemenschneider Louisa/Buchner Benedikt/Heinze Christian/Thomsen Oliver (Hrsg.), IT-Recht in Wissenschaft und Praxis, Festschrift für Jürgen Taeger, Frankfurt a.M. 2020 (zit. Bearbeiter/-in, in: Specht-Riemenschneider et al.)

Spiecker gen. Döhmann Indra, Profiling, Big Data, Artificial Intelligence und Social Media – Gefahren für die Gesellschaft ohne effektiven Datenschutz, Jusletter IT 21. Dezember 2020

Spiecker gen. Döhmann Indra/Tambou Olivia/Bernal Paul/Hu Margaret/Molinar Carlos Alberto/Negre Elsa/Sarlet Ingo Wolfgang/Schertel Mendes Laura/Witzleb Normann/Yger Florian, The Regulation of Commercial Profiling – A Comparative Analysis, EDPL 2016, S. 535 ff. (zit. Spiecker gen. Döhmann et al.)

Stach Sheila Amanda, Die Totalrevision des Datenschutzgesetzes, Eine Analyse unter besonderer Berücksichtigung des Profilings, Bern 2022

Staehelin Daniel/Bauer Thomas/Lorandi Franco (Hrsg.), Basler Kommentar, Bundesgesetz über Schuldbetreibung und Konkurs, 3. Aufl., Basel 2021 (zit. BSK SchKG-​Bearbeiter/-in, Art. N)

Stalla-Bourdillon Sophie/Knight Alison, Anonymous Data v. Personal Data – False Debate: An EU Perspective on Anonymization, Pseudonymization and Personal Data, WILJ 2016, S. 284 ff.

Staub Christian, Kreditrisikotransfer – Schweizerisches Aufsichtsrecht im Wandel, Diss. St. Gallen 2009, Zürich 2009

Stauder Bernd, Der Grundsatz der verantwortungsvollen Kreditvergabe, in: Reifenstein/Blaschek/Enthofer-Stoisser/Medwed/Perz/Pirker-Hörmann (Hrsg.), Konsumentenpolitik im Spannungsfeld von Liberalisierung und sozialer Verantwortung, Festschrift für Gottfried Mayer, Wien/Graz 2004, S. 193 ff.

Steege Hans/Kuß Christian, § 2 C. Datenschutzrecht, in: Chibanguza/Kuß/Steege (Hrsg.), Künstliche Intelligenz, Recht und Praxis automatisierter und autonomer Systeme, Baden-Baden 2022, S. 129 ff.

Steinauer Paul-Henri/Fountoulakis Christiana, Droit des personnes physiques et de la protection de l’adulte, Bern 2014

Steinbach Kathrin, Regulierung algorithmenbasierter Entscheidungen, Grundrechtliche Argumentation im Kontext von Artikel 22 DSGVO, Diss. Münster 2021, Berlin 2021

Steiner Thomas, Zwischen Autonomie und Angleichung, Eine Analyse zur Anwendung des neuen DSG im Lichte der DSGVO, in: Widmer (Hrsg.), Datenschutz, Rechtliche Schnittstellen, Zürich 2023, S. 51 ff.

Steiner Thomas/Morand Anne-Sophie/Hürlimann Daniel, Onlinekommentar Datenschutzgesetz, abrufbar unter <https://onlinekommentar.ch/de/kommentare/dsg>, zuletzt besucht am 30. September 2024 (zit. OK DSG-Bearbeiter/-in, Art. N)

Stengel Cornelia, Anwendungsbereich des Konsumkreditgesetzes, Kredit und Leasing, Kredit- und Kundenkarten sowie Überziehungskredite für Konsumenten, Diss. Zürich 2014, Zürich 2014

Stengel Cornelia/Stäuble Luca, Vom Persönlichkeitsprofil zum Profiling mit hohem Risiko, Ein Beitrag zur Begriffsabgrenzung im Differenzbereinigungsverfahren für ein totalrevidiertes Datenschutzgesetz, Jusletter 20. Januar 2020

Stengel Cornelia/Wirthensohn Gino/Stäuble Luca, Regulierung von künstlicher Intelligenz für FinTech-Anwendungen, Stand der Diskussion in der Schweiz und im Ausland, SZW 2021, S. 395 ff. (zit. Stengel et al.)

Stiemerling Oliver, Kapitel 2.1 Technische Grundlagen, in: Kaulartz/Braegelmann (Hrsg.), Rechtshandbuch Artificial Intelligence und Machine Learning, München 2020, S. 15 ff.

Stiglitz Joseph E./Weiss Andrew, Credit Rationing in Markets with Imperfect Information, AER 1981, S. 393 ff.

Stoycheff Elizabeth, Under Surveillance: Examining Facebook’s Spiral of Silence Effects in the Wake of NSA Internet Monitoring, JMCQ 2016, S. 296 ff.

Strassemeyer Laurenz, Externes Scoring kann, muss aber nicht unter Art. 22 Abs. 1 DSGVO fallen, DSB 2023, S. 102 ff.

Strasser Othmar, Datenschutz und Bankgeschäft am Beispiel der Bonitätsprüfung bei Krediten, SJZ 1997, S. 449 ff.

Streinz Rudolf, Die Auslegung des Gemeinschaftsrechts bzw. Unionsrechts durch den EuGH, Eine kritische Betrachtung, in: Griller/Rill (Hrsg.), Rechtstheorie: Rechtsbegriff – Dynamik – Auslegung, Wien 2011, S. 233 ff.

Streinz Rudolf/Michl Walther, Die Drittwirkung des europäischen Datenschutzgrundrechts (Art. 8 GRCh) im deutschen Privatrecht, EuZW 2011, S. 384 ff.

Sury Ursula, Digital in Law, Informatikrecht, 2. Aufl., Bern 2021

Suter David, Anforderungen an die Kreditfähigkeitsprüfung nach KKG, Umfang und Grenzen der privatrechtlichen Informationsermittlung, Jusletter 20. Dezember 2021 (zit. Suter D.)

Suter Fabienne, Automatisierte Einzelentscheidungen im (Schweizer) Datenschutzrecht, Phänomen, Entstehungsgeschichte, Regelungsziele und Begriffe, Diss. Zürich 2023, Zürich 2024 (zit. Suter F.)

Sydow Gernot/Marsch Nikolaus (Hrsg.), Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, Handkommentar, 3. Aufl., Baden-Baden 2022 (zit. Bearbeiter/-in, in: Sydow/Marsch, Art. N)

Taeger Jürgen, Externes Scoring als «automatisierte Entscheidung im Einzelfall» über eine Kreditgewährung – zugleich Besprechung von EuGH, Urt. v. 7.12.2023 – C-634/21, BKR 2024, S. 41 ff. (zit. Taeger, BKR 2024)

Taeger Jürgen, Scoring in Deutschland nach der EU-Datenschutzgrundverordnung, ZRP 2016, S. 72 ff. (zit. Taeger, ZRP 2016)

Taeger Jürgen, Verbot des Profiling nach Art. 22 DS-GVO und die Regulierung des Scoring ab Mai 2018, RDV 2017, S. 3 ff. (zit. Taeger, RDV 2017)

Taeger Jürgen/Gabel Detlev (Hrsg.), DSGVO, BDSG, TTDSG, Kommentar, 4. Aufl., Frankfurt a.M. 2022 (zit. Bearbeiter/-in, in: Taeger/Gabel, Art. bzw. § N)

Tamò-Larrieux Aurelia, Designing for Privacy and its Legal Framework, Data Protection by Design and Default for the Internet of Things, Diss. Zürich 2018, Cham 2018

Temme Merle, Algorithms and Transparency in View of the New General Data Protection Regulation, EDPL 2017, S. 473 ff.

Thalmann André, Zur Anwendung des schweizerischen Datenschutzgesetzes auf internationale Sachverhalte, sic! 2007, S. 337 ff.

Thomas Lyn/Crook Jonathan/Edelman David, Credit Scoring and Its Applications, 2. Aufl., Philadelphia 2017 (zit. Thomas et al.)

Thouvenin Florent, Datenschutz auf der Intensivstation, digma 2019, S. 206 ff. (zit. Thouvenin, digma 2019)

Thouvenin Florent, Dynamische Preise, Eine Herausforderung für das Datenschutz‑, Wettbewerbs- und Vertragsrecht, Jusletter IT 22. September 2016 (zit. Thouvenin, Jusletter IT 2016)

Thouvenin Florent, Erkennbarkeit und Zweckbindung: Grundprinzipien des Datenschutzrechts auf dem Prüfstand von Big Data, in: Weber/Thouvenin (Hrsg.), Big Data und Datenschutz – Gegenseitige Herausforderungen, Zürich 2014, S. 61 ff. (zit. Thouvenin, Grundprinzipien)

Thouvenin Florent, Forschung im Spannungsfeld von Big Data und Datenschutzrecht: eine Problemskizze, in: Boehme-Nessler/Rehbinder (Hrsg.), Big Data: Ende des Datenschutzes?, Bern 2017, S. 27 ff. (zit. Thouvenin, Forschung)

Thouvenin Florent, Informational Self-Determination: A Convincing Rationale for Data Protection Law?, JIPITEC 2021, S. 246 ff. (zit. Thouvenin, JIPITEC 2021)

Thouvenin Florent, Wem gehören meine Daten?, Zu Sinn und Nutzen einer Erweiterung des Eigentumsbegriffs, SJZ 2017, S. 21 ff. (zit. Thouvenin, SJZ 2017)

Thouvenin Florent/Braun Binder Nadja, Transparenz durch Datenschutzerklärungen von Behörden, ZSR 2022, S. 5 ff.

Thouvenin Florent/Christen Markus/Bernstein Abraham/Braun Binder Nadja/Burri Thomas/Donnay Karsten/Jäger Lena/Jaffé Mariela/Krauthammer Michael/Lohmann Melinda/Mätzener Anna/Mützel Sophie/Obrecht Liliane/Ritter Nicole/Spielkamp Matthias/Volz Stephanie, Positionspapier, Ein Rechtsrahmen für Künstliche Intelligenz, Zürich 2021, abrufbar unter <https://www.dsi.uzh.ch/dam/jcr:3a0cb402-c3b3-4360-9332-f800895fdc58/dsi-strategy-lab-21-de.pdf>, zuletzt besucht am 30. September 2024 (zit. Thouvenin et al., Künstliche Intelligenz)

Thouvenin Florent/Frueh Alfred/Rudolph Teresa/Henseler Simon/Bayamlioğlu Emre/Braun Binder Nadja/Katzenbach Christian/Kroll Joshua/Malik Momin/Spielkamp Matthias, Towards Principled Regulation of Automated Decision-Making (ADM) – A Workshop Report, Zürich 2019, abrufbar unter <https://​www.​itsl.​uzh.ch/dam/jcr:edba006c-8452-4ffc-bbb0-fd8fde62d114/Work​shop​%20​Report​%20​Lavin.pdf>, zuletzt besucht am 30. September 2024 (zit. Thouvenin et al., ADM)

Thouvenin Florent/Früh Alfred, Automatisierte Entscheidungen: Grundfragen aus der Perspektive des Privatrechts, SZW 2020, S. 3 ff.

Thouvenin Florent/Früh Alfred/George Damian, Datenschutz und automatisierte Entscheidungen, Jusletter 26. November 2018 (Thouvenin et al., Jusletter 2018)

Thouvenin Florent/Früh Alfred/Henseler Simon, Article 22 GDPR on Automated Individual Decision-Making: Prohibition or Data Subject Right?, EDPL 2022, S. 183 ff. (Thouvenin et al., EDPL 2022)

Thouvenin Florent/Glatthaar Matthias/Hotz Juliette/Ettlinger Claudius/Tschudin Michael, Privacy Icons: Transparenz auf einen Blick, Jusletter 30. November 2020 (zit. Thouvenin et al., Jusletter 2020)

Thouvenin Florent/Suter Fabienne/George Damian/Weber Rolf H., Big Data in the Insurance Industry, Leeway and Limits for Individualising Insurance Contracts, JIPITEC 2019, S. 209 ff. (zit. Thouvenin et al., JIPITEC 2019)

Thouvenin Florent/Volz Stephanie, White Paper Datenschutz, Zürich 2024, abrufbar unter <https://www.itsl.uzh.ch/dam/jcr:537f9483-f387-4046-b104-226fe3​460​280/​2024_ITSL__UniBas_WhitePaper_​Daten​schutz.​pdf>, zuletzt besucht am 30. September 2024

Thür Hanspeter, Aktuelle Fragen rund um den Datenschutz, BJM 2010, S. 225 ff. (zit. Thür, BJM 2010)

Thür Hanspeter, Die Privatsphäre im Zeitalter von Big Data, Jusletter IT 21. Mai 2015 (zit. Thür, Jusletter IT 2015)

Thurnherr Daniela, Automatisierte Verwaltungsverfahren auf Bundesebene, in: Braun Binder/Bussjäger/Eller (Hrsg.), Auswirkungen der Digitalisierung auf die Erlassung und Zuordnung behördlicher Entscheidungen, Wien/Hamburg 2021, S. 133 ff.

Thüsing Gregor, Scoring in einem neuen § 37a BDSG, Der Gesetzgeber schafft Verbraucherschutz, wo der EuGH ihn gefährdet, CB 2024, S. 45 ff.

Thüsing Gregor/Flink Maike/Rombey Sebastian, Europarechtskonforme Regelung der Speicherung von Informationen über Restschuldbefreiungsverfahren durch Auskunfteien, Eine kritische Stellungnahme zum Entwurf eines neuen § 301 V InsO, NZI 2020, S. 611 ff. (zit. Thüsing et al., NZI 2020)

Thüsing Gregor/Flink Maike/Rombey Sebastian, Keine Löschpflicht für Insolvenz- und Restschuldbefreiungsdaten aus § 3 InsoBekV für Auskunfteien, Anmerkung zu OLG Schleswig, NZI 2021, S. 951 ff. (zit. Thüsing et al., NZI 2021)

Thüsing Gregor/Peisker Yannick/Musiol Philip, Scoring und Restschuldbefreiung in der Datenverarbeitung der Kreditauskunfteien vor dem EuGH, Ein Erfahrungsbericht zur mündlichen Verhandlung und den Schlussanträgen des Generalanwalts Pikamäe, RDV 2023, S. 82 ff. (zit. Thüsing et al., RDV 2023)

Toneatti Michael, Löschungsanspruch von personenbezogenen Daten des Arbeitnehmers gegenüber der Arbeitgeberin, Zürich 2019

Toren Naomi, Drei wesentliche Veränderungen im Datenschutzrecht der Schweiz, Jusletter IT 5. Dezember 2019

Tosoni Luca, The Right to Object to Automated Individual Decisions: Resolving the Ambiguity of Article 22(1) of the General Data Protection Regulation, IDPL 2021, S. 145 ff.

Tschannen Pierre/Müller Markus/Kern Markus, Allgemeines Verwaltungsrecht, 5. Aufl., Bern 2022 (zit. Tschannen et al.)

Turner Michael A., The Consequences of Prohibiting Credit Inquiry Data in Chilean Credit Files, März 2010, abrufbar unter <https://www.perc.net/wp-content/uploads/2013/09/Chile-White-Paper_web.pdf>, zuletzt besucht am 30. September 2024

Tversky Amos/Kahneman Daniel, Judgement under Uncertainty: Heuristics and Biases, Science 1974, S. 1124 ff.

Uhlmann Felix/Stalder Beat, «Unverhältnismässig, weil unwirksam»?, Zur Verhältnismässigkeit von Zugangssperren im Internet, sic! 2018, S. 365 ff.

Uttinger Ursula/Geiser Thomas, Das neue Datenschutzrecht, Basel 2023

Van Alsenoy Brendan, Reconciling the (extra)territorial Reach of the GDPR with Public International Law, in: Vermeulen/Lievens (Hrsg.), Data Protection and Privacy under Pressure: Transatlantic Tensions, EU Surveillance, and Big Data, Antwerpen/Apeldoorn/Portland 2017, S. 77 ff.

Van Beek Quentin, Personendaten – der digitale Kraftstoff für intelligente Fahrzeuge?, Aufzeichnungen und Bekanntgabe von in Fahrzeugen gesammelten Personendaten, in: Schaffhauser (Hrsg.), Jahrbuch zum Strassenverkehrsrecht 2016, S. 183 ff.

Vasella David, Das neue Datenschutzgesetz und seine Umsetzung, TREX 2021, S. 272 ff. (zit. Vasella, TREX 2021)

Vasella David, Der EDÖB in «10vor10» zur Stimmerkennung bei PostFinance, datenrecht.ch 20. Mai 2019, abrufbar unter <https://datenrecht.ch/der-edoeb-in-10vor10-zur-stimmerkennung-bei-postfinance/>, zuletzt besucht am 30. September 2024 (zit. Vasella, Stimmerkennung)

Vasella David, Die Haftung von Ratingagenturen, Ein Beitrag zur Expertenhaftung, Diss. Zürich 2011, Zürich/Basel/Genf 2011 (zit.  Vasella, Ratingagenturen)

Vasella David, EDÖB i.S. Digitec Galaxus: Sehr strenge Transparenzanforderungen, aber Gastkauf nicht zwingend, datenrecht.ch 17. April 2024, abrufbar unter <https://datenrecht.ch/edoeb-i-s-digitec-galaxus-sehr-strenge-trans​pa​renz​an​for​de​run​gen-aber-gastkauf-nicht-zwingend/>, zuletzt besucht am 30. September 2024 (zit. Vasella, Digitec Galaxus)

Vasella David, HGer ZH: Pseudonymisierung wirkt für den Empfänger wie Anonymisierung, datenrecht.ch 7. Oktober 2019, abrufbar unter <https://datenrecht.ch/hger-zh-pseudonymisierung-wirkt-fuer-den-empfaenger-wie-anonymsierung/>, zuletzt besucht am 30. September 2024 (zit. Vasella, Pseudonymisierung)

Vasella David, Kapitel 7: Social Media und Datenschutz, in: Staffelbach/Keller (Hrsg.), Social Media und Recht für Unternehmen, Zürich 2015, S. 241 ff. (zit. Vasella, Social Media)

Vasella David, Neues DSG: kein grundsätzliches Einwilligungserfordernis beim Profiling, auch nicht bei hohem Risiko, datenrecht.ch 25. September 2020, abrufbar unter <https://datenrecht.ch/neues-dsg-kein-grundsaetzliches-ein​wil​li​gungs​er​for​der​nis-beim-profiling-auch-nicht-bei-hohem-risiko/>, zuletzt besucht am 30. September 2024 (zit. Vasella, Neues DSG)

Vasella David, Überlegungen zum Profiling mit hohem Risiko, datenrecht.ch 23. November 2020, abrufbar unter <https://datenrecht.ch/ueberlegungen-zum-pro​fil​ing-mit-hohem-risiko/>, zuletzt besucht am 30. September 2024 (zit. Vasella, Profiling mit hohem Risiko)

Vasella David, Widersprüche im Datenschutzrecht, Prinzipien- und Risikoorientierung im neuen Datenschutzrecht, digma 2020, S. 174 ff. (zit. Vasella, digma 2020)

Vasella David, Zum Entwurf der revidierten VDSG: eine verpasste Chance, datenrecht.ch 17. Juli 2021, abrufbar unter <https://datenrecht.ch/zum-entwurf-der-revidierten-vdsg-eine-verpasste-chance/>, zuletzt besucht am 30. September 2024 (zit. Vasella, E-VDSG)

Vasella David, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, Jusletter 16. November 2015 (zit. Vasella, Jusletter 2015)

Veale Michael/Edwards Lilian, Clarity, surprises, and further questions in the Article 29 Working Party draft guidance on automated decision-making and profiling, CLSR 2018, S. 398 ff.

Vedder Anton, KDD: The challenge to individualism, Ethics Inf. Technol. 1999, S. 275 ff.

Vedder Anton/Naudts Laurens, Accountability for the use of algorithms in a big data environment, IRLCT 2017, S. 206 ff.

Voigt Paul/Drexler Niklas, EU- und UK-Datenschutzvertreter nach dem Brexit, Pflichten für Verantwortliche und Auftragsverarbeiter nach Art. 27 DS-GVO und UK-GDPR, ZD 2021, S. 409 ff.

Voigt Paul/Hullen Nils, Handbuch KI-Verordnung, FAQ zum EU AI Act, Berlin 2024

von Lewinski Kai/Pohl Dirk, Auskunfteien nach der europäischen Datenschutzreform, Brücke und Kontinuität der Rechtslage, ZD 2018, S. 17 ff.

von Lewinski Kai/Rüpke Giselher/Eckhardt Jens, Datenschutzrecht: Grundlagen und europäische Neugestaltung, 2. Aufl., München 2022 (zit. von Lewinski et al.)

Voskamp Friederike/Klein David, Kapitel 7. Datenschutz, in: Kipker (Hrsg.), Cybersecurity, 2. Aufl., München 2023, S. 270 ff.

Wachter Sandra, Affinity Profiling and Discrimination by Association in Online Behavioural Advertising, BTLJ 2020, S. 367 ff.

Wachter Sandra/Mittelstadt Brent/Floridi Luciano, Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation, IDPL 2017, S. 76 ff. (zit. Wachter et al., IDPL 2017)

Wachter Sandra/Mittelstadt Brent/Russel Chris, Counterfactual explanations without opening the black box: automated decisions and the GDPR, JOLT 2018, S. 841 ff. (zit. Wachter et al., JOLT 2018)

Wachter Sandra/Mittelstadt Brent/Russel Chris, Why fairness cannot be automated: Bridging the gap between EU non-discrimination law and AI, CLSR 2021, 105567 (zit. Wachter et al., CLSR 2021)

Waldmann Bernhard/Belser Eva Maria/Epiney Astrid (Hrsg.), Basler Kommentar, Bundesverfassung, Basel 2015 (zit. BSK BV-Bearbeiter/-in, Art. N)

Walter Stefan, Die datenschutzrechtlichen Transparenzpflichten nach der Europäischen-Grundverordnung, DSRITB 2016, S. 367 ff.

Weber Rolf H., Berner Kommentar, Allgemeine Bestimmungen: Die Erfüllung der Obligation, Art. 68–96 OR, 2. Aufl., Bern 2004 (zit. BK OR-Weber)

Weber Rolf H., Dürfen Maschinen über Menschen entscheiden?, Eine rechtliche Auslegeordnung im Lichte neuer Technologien, Schweizer Monat Februar 2019, S. 72 ff. (zit. Weber, Schweizer Monat Februar 2019)

Weber Rolf H., Information und Schutz Privater, ZSR 1999 II, S. 1 ff. (zit. Weber, ZSR 1999 II)

Weber Rolf H., Künstliche Intelligenz: Regulatorische Überlegungen zum «Wie» und «Was», EuZ 2022, S. B 1 ff. (zit. Weber, EuZ 2022)

Weber Rolf H./Henseler Simon, Daten-Governance und Cloud Banking im neuen Datenschutzrechtsumfeld, SZW 2020, S. 604 ff. (zit. Weber/Henseler, SZW 2020)

Weber Rolf H./Henseler Simon, Regulierung von Algorithmen in der EU und in der Schweiz, Überlegungen zu ausgewählten Regulierungsthemen, EuZ 2020, S. 28 ff. (zit. Weber/Henseler, EuZ 2020)

Weber Rolf H./Yildiz Okan, Cybersicherheit und Cyber-Resilienz in den Finanzmärkten, Zürich 2022

Weichert Thilo, Big Data und Datenschutz, Chancen und Risiken einer neuen Form der Datenanalyse, ZD 2013, S. 251 ff. (zit. Weichert, ZD 2013)

Weichert Thilo, Der Löschanspruch gegenüber Auskunfteien, Löschpraxis zu Negativdaten – vor allem zur Restschuldbefreiung, ZD 2021, S. 554 ff. (zit. Weichert, ZD 2021)

Weichert Thilo, Die verfassungsrechtliche Dimension der Algorithmenkontrolle, DANA 2018, S. 132 ff. (zit. Weichert, DANA 2018)

Weichert Thilo, Kredit-Scoring und Datenschutz, Datenschutzbewertung statistischer Vorurteile: Die wesentlichen Ergebnisse einer Begutachtung von Scoring-Systemen, digma 2007, S. 58 ff. (zit. Weichert, digma 2007)

Weichert Thilo, Scoring in Zeiten von Big Data, ZRP 2014, S. 168 ff. (zit. Weichert, ZRP 2014)

Wendehorst Christiane/Graf von Westphalen Friedrich, Das Verhältnis zwischen Datenschutz-Grundverordnung und AGB-Recht, NJW 2016, S. 3745 ff.

Wenhold Céline, Nutzerprofilbildung durch Webtracking, Zugleich eine Untersuchung zu den Defiziten des Datenschutzrechts im Zeitalter von Big Data-Anwendungen, Diss. Göttingen 2018, Baden-Baden 2018

Wermelinger Amédéo, Bonitätsbeurteilung und datenschutzrechtlich hohes Risiko, Jusletter 22. Januar 2024 (zit. Wermelinger, Jusletter 2024)

Wermelinger Amédéo, Vernehmlassungsvorlage Verordnung zum Bundesgesetz über den Datenschutz, Kritische Beurteilung mit Schwerpunkt auf die privatrechtlichen Bestimmungen, Jusletter 22. November 2021 (zit. Wermelinger, Jusletter 2021)

Widmer Lüchinger Corinne/Oser David (Hrsg.), Basler Kommentar, Obligationenrecht I, Art. 1–529 OR, 7. Aufl., Basel 2020 (zit. BSK OR I-Bearbeiter/-in, Art. N)

Widmer Ursula/Bühlmann Lukas/Schüepp Michael/Königseder Max, Gutachten Sekundärnutzung Gesundheitsdaten, im Auftrag von Interpharma – Verband der forschenden pharmazeutischen Firmen der Schweiz, Zürich 2022 (zit. Widmer et al.)

Wiedemann Ulrich, Die Schufa-Bonitätsauskunft, Die rechtliche Stellung der Verbraucher unter Berücksichtigung der jüngsten Rechtsprechung des Europäischen Gerichtshofs, VuR 2024, S. 174 ff.

Wiederkehr René/Meyer Christian, Schranken, Ausnahmen und Relativierungen des rechtlichen Gehörs, Insbesondere mit Blick auf automatisierte Verwaltungsverfahren, AJP 2022, S. 1092 ff.

Wildhaber Isabelle, Eine Einführung in die ausservertragliche Haftung für Künstliche Intelligenz (KI), in: Fellmann (Hrsg.), Haftpflichtprozess 2021, Haftung für Künstliche Intelligenz, (teil‑)automatisierte Fahrzeuge, Drohnen und Software, Entwicklungen im Dienstleistungs‑, Privatversicherungs‑, Prozess‑, Staatshaftungs‑, und Haftpflichtrecht, Zürich 2021, S. 15 ff.

Wildhaber Isabelle/Lohmann Melinda F./Kasper Gabriel, Diskriminierung durch Algorithmen – Überlegungen zum schweizerischen Recht am Beispiel prädiktiver Analytik am Arbeitsplatz, ZSR 2019, S. 459 ff. (zit. Wildhaber et al.)

Winkler Markus, Credit Scoring, AML Software & Risk Profiling: Automatisierte Entscheidungen im Rahmen von Finanzdienstleistungen, SZW 2020, S. 62 ff.

Winterberger-Yang Martin, Kommentar zu Art. 130/139 IPRG, in: Maurer-Lambrou/Vogt (Hrsg.), Basler Kommentar, Datenschutzgesetz, 2. Aufl., Basel/Genf/München 2006

Wolff Heinrich Amadeus/Brink Stefan/von Ungern-Sternberg Antje (Hrsg.), Beck’scher Online-Kommentar Datenschutzrecht, 49. Aufl., Stand: 1. August 2024 (zit. Bearbeiter/-in, in: Wolff et al., Art. N)

Wuermeling Ulrich, Scoring rechtmäßig gestalten, in: Sokol (Hrsg.), Living by numbers, Leben zwischen Statistik und Wirklichkeit, Düsseldorf 2005, S. 98 ff. (zit. Wuermeling, Scoring)

Wuermeling Ulrich, Scoring von Kreditrisiken, NJW 2002, S. 3508 ff. (zit. Wuermeling, NJW 2002)

Wuermeling Ulrich, Umsetzung der Europäischen Datenschutzrichtlinie, Konsequenzen für die Privatwirtschaft, DB 1996, S. 663 ff. (zit. Wuermeling, DB 1996)

Zahariev Martin, The evolution of EU data protection law on automated profiling, PinG 2017, S. 73 ff.

Zarsky Tal Z., Incompatible: The GDPR in the Age of Big Data, Seton Hall L. Rev. 2017, S. 995 ff.

Ziegenhorn Gero, Wer ist Adressat des Art. 22 DSGVO?, Zur Abgrenzung des Entscheiders vom Verantwortlichen, CR 2024, S. 586 ff.

Ziegler Noémi, DSG-Revision: Beratung abgeschlossen – Schlussabstimmung folgt voraussichtlich Ende der Woche, datenrecht.ch 23. September 2020, abrufbar unter <https://datenrecht.ch/dsg-revision-beratungen-abgeschlossen-schluss​ab​stim​mung-folgt-voraussichtlich-ende-der-woche/>, zuletzt besucht am 30. September 2024

Ziegler Noémi/Vasella David, Informationelle Selbstbestimmung, Was leistet das Datenschutzrecht für die Selbstbestimmung der Betroffenen?, digma 2019, S. 158 ff.

Zuiderveen Borgesius Frederik, Discrimination, artificial intelligence, and algorithmic decision-making, Strassburg 2018

Zwanziger Bertram, Informationsspeicherung von Schuldnerdaten nach der «Schufa-Entscheidung» des EuGH, VIA 2024, S. 17 ff. (zit. Zwanziger, VIA 2024)

Zwanziger Bertram, Zur Speicherung der Information über die erteilte Restschuldbefreiung durch Wirtschaftsauskunfteien – Altes und Neues, ZVI 2022, S. 327 ff. (zit. Zwanziger, ZVI 2022)

Zweig Katharina A., Wo Maschinen irren können, Fehlerquellen und Verantwortlichkeiten in Prozessen algorithmischer Entscheidungsfindung, Gütersloh 2018

6

Materialienverzeichnis

Anfrage Raphaël Comte (12.1084) «Private Auskunfteien. Welche Handlungsmöglichkeiten gibt es?» vom 25. September 2012 (zit. Anfrage Comte [12.1084])

Article 29 Data Protection Working Party, Advice paper on essential elements of a definition and a provision on profiling within the EU General Data Protection Regulation, Adopted on 13 May 2013 (zit. Art.-29-DSG, Advice paper profiling)

Article 29 Data Protection Working Party, Opinion 03/2013 on purpose limitation, WP 203 adopted on 2 April 2013 (zit. Art.-29-DSG, Opinion purpose limitation)

Artikel-29-Datenschutzgruppe, Leitlinien für Transparenz gemäss der Verordnung 2016/679, WP 260 rev.01 vom 11. April 2018 (zit. Art.-29-DSG, Leitlinien Transparenz)

Artikel-29-Datenschutzgruppe, Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, WP251 vom 3. Oktober 2017 (zit. Art.-29-DSG, Leitlinien ADM und Profiling [WP 251])

Artikel-29-Datenschutzgruppe, Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, WP251rev.01 vom 6. Februar 2018 (zit. Art.-29-DSG, Leitlinien ADM und Profiling)

Artikel-29-Datenschutzgruppe, Leitlinien zum Recht auf Datenübertragbarkeit, WP 242 rev.01 vom 5. April 2017 (zit. Art.-29-DSG, Leitlinien Datenübertragbarkeit)

Artikel-29-Datenschutzgruppe, Stellungnahme 4/2007 zum Begriff «personenbezogene Daten», WP 136 vom 20. Juni 2007 (zit. Art.-29-DSG, Stellungnahme personenbezogene Daten)

Artikel-29-Datenschutzgruppe, Stellungnahme 5/2014 zu Anonymisierungstechniken, WP 216 vom 10. April 2014 (zit. Art.-29-DSG, Stellungnahme Anonymisierungstechniken)

Artikel-29-Datenschutzgruppe, Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäss Artikel 7 der Richtlinie 95/46/EG, WP 217 vom 9. April 2014 (zit. Art.-29-DSG, Stellungnahme berechtigtes Interesse)

Berichtigung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. 2018 L 127/2 (zit. Berichtigung DSGVO)

Berliner Beauftragter für Datenschutz und Informationsfreiheit, Datenschutz und Informationsfreiheit, Bericht 2013, Berlin 2014 (zit. BInBDI)

Botschaft betreffend die Änderung des Bundesgesetzes über den Konsumkredit vom 14. Dezember 1998, BBl 1998 3155 ff. (zit. Botschaft Revision KKG 1998)

Botschaft über die Änderung des Bundesgesetzes über Schuldbetreibung und Konkurs (SchKG) vom 8. Mai 1991, BBl 1991 III 1 ff. (zit. Botschaft Revision SchKG 1991)

Botschaft zum Bundesgesetz über den Datenschutz (DSG) vom 23. März 1988, BBl 1988 II 413 ff. (zit. Botschaft DSG 1988)

Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941 ff. (zit. Botschaft Totalrevision DSG)

Botschaft zur Änderung des Bundesgesetzes über den Datenschutz (DSG) und zum Bundesbeschluss betreffend den Beitritt der Schweiz zum Zusatzprotokoll vom 8. November 2001 zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Aufsichtsbehörden und grenzüberschreitende Datenübermittlung vom 19. Februar 2003, BBl 2003 2101 ff. (zit. Botschaft Revision DSG 2003)

Botschaft zur Änderung des Bundesgesetzes über die Alters- und Hinterlassenenversicherung (Systematische Verwendung der AHV-Nummer durch Behörden) vom 30. Oktober 2019, BBl 2019 7359 ff. (zit. Botschaft Revision AHVG 2019)

Botschaft zur Änderung des Bundespersonalgesetzes vom 28. August 2024, BBl 2024 2316 (zit. Botschaft Revision BPG 2024)

Botschaft zur Genehmigung des Protokolls vom 10. Oktober 2018 zur Änderung des Übereinkommens zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 6. Dezember 2019, BBl 2020 565 ff. (zit. Botschaft Konv. 108+)

Botschaft zur Revision des Fernmeldegesetzes vom 6. September 2017, BBl 2017 6559 ff. (zit. Botschaft Revision FMG 2017)

Botschaft zur Volksinitiative «Gleiche Rechte für Behinderte» und zum Entwurf eines Bundesgesetzes über die Beseitigung von Benachteiligungen behinderter Menschen vom 11. Dezember 2000, BBl 2000 1715 ff. (zit. Botschaft BehiG)

Bundesamt für Justiz, Änderung von Art. 12 Abs. 2 Bst. a DSG: Auslegungshilfe, 10. Oktober 2006 (zit. BJ, Auslegungshilfe)

Bundesamt für Justiz, Erläuternder Bericht zum Bundesgesetz über den Allgemeinen Teil der Abgabenerhebung und die Kontrolle des grenzüberschreitenden Waren- und Personenverkehrs durch das Bundesamt für Zoll und Grenzsicherheit (BAZG-Vollzugsaufgabengesetz, BAZG-VG) sowie zur Totalrevision des Zollgesetzes (ZG) zum neuen Zollabgabengesetz (ZoG) vom 11. September 2020 (zit. Erläuternder Bericht Zollgesetzrevision)

Bundesamt für Justiz, Erläuternder Bericht zum Bundesgesetz über die Umsetzung der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (Weiterentwicklung des Schengen-Besitzstands), Oktober 2018 (zit. Erläuternder Bericht SDSG)

Bundesamt für Justiz, Erläuternder Bericht zum Vorentwurf für das Bundesgesetz über die Totalrevision des Datenschutzgesetzes und die Änderung weiterer Erlasse zum Datenschutz, 21. Dezember 2016 (zit. Erläuternder Bericht VE-DSG)

Bundesamt für Justiz, Erläuternder Bericht zur Verordnung über den Datenschutz (Datenschutzverordnung, DSV), 31. August 2022 (zit. Erläuternder Bericht DSV)

Bundesamt für Justiz, Normkonzept zur Revision des Datenschutzgesetzes, Bericht der Begleitgruppe Revision DSG, 29. Oktober 2014 (zit. Normkonzept Revision DSG)

Bundesamt für Justiz, Totalrevision des Datenschutzgesetzes (DSG), Übersicht zu den wichtigsten Änderungen für die Erarbeitung der Rechtsgrundlagen betreffend Datenbearbeitungen durch Bundesorgane, Oktober 2022 (zit. BJ, Totalrevision)

Bundesamt für Justiz, Totalrevision des Datenschutzgesetzes: Häufig gestellte Fragen, Februar 2024 (zit. BJ, Fragen)

Bundesamt für Justiz, Vorentwurf für das Bundesgesetz über die Totalrevision des Datenschutzgesetzes und die Änderung weiterer Erlasse zum Datenschutz, Zusammenfassung der Ergebnisse des Vernehmlassungsverfahrens, 10. August 2017 (zit. Ergebnisse Vernehmlassungsverfahren VE-DSG)

Bundesamt für Justiz, Weisung der Dienststelle Oberaufsicht für Schuldbetreibung und Konkurs Nr. 4 (Betreibungsauszug 2016), Bern 2016 (zit. BJ, Weisung SchKG Nr. 4)

Bundeskartellamt, Sektoruntersuchung, Scoring beim Online-Shopping, Abschlussbericht, Bonn Juni 2024 (zit. Bundeskartellamt)

Commission Nationale de l’Informatique et des Libertés, Guide pratique, Les durées de conservation, Juli 2020 (zit. CNIL)

Commission of the European Communities, Amended proposal for a Council Directive on the protection of individuals with regard to the processing of personal data and on the free movement of such data, COM(92) 422 final – SYN 287, Brüssel 15. Oktober 1992 (zit. EC Commission, Amended Proposal DPD)

Committee of Ministers of the Council of Europe, The protection of individuals with regard to automatic processing of personal data in the context of profiling, Recommendation CM/Rec(2010)13 and explanatory memorandum, Strassburg 2011 (zit. Committee of Ministers)

Council of Europe, Explanatory Report to the Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, Strasbourg 10. Oktober 2018 (zit. Explanatory Report Convention 108)

Council of the European Union, Note by the German and Austrian delegation to the Working Group on Information Exchange and Data Protection (DAPIX) on the Proposal for a Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) – Chapters I and III, 8089/15, Brüssel 22. April 2015 (zit. German and Austrian delegation, Note to DAPIX)

CRIF AG, Datenschutzerklärung der CRIF AG, abrufbar unter <https://www.crif.ch/datenschutz/>, zuletzt besucht am 30. September 2024 (zit. CRIF AG, Datenschutzerklärung)

CRIF GmbH (Deutschland), Datenschutz, Informationen nach Art. 13 DSGVO der CRIF GmbH, Stand 07/2024, abrufbar unter <https://www.crif.de/datenschutz/>, zuletzt besucht am 30. September 2024 (zit. CRIF GmbH [Deutschland], Datenschutzerklärung)

CRIF AG, Umfrageergebnisse Betrug im Online-Handel, Zürich 2020 (zit. CRIF, Online-Handel)

Datatilsynet – The Norwegian Data Protection Authority, Artificial intelligence and privacy, Report, Oslo Januar 2018 (zit. Datatilsynet)

Datenschutzkonferenz, Beschluss der DSK vom 23.03.2018, Einmeldung offener und unbestrittener Forderungen in eine Wirtschaftsauskunftei unter Geltung der DS-GVO (zit. DSK, Einmeldung)

Datenschutzkonferenz, Beschluss der DSK vom 23.03.2018, Keine fortlaufenden Bonitätsauskünfte an den Versandhandel (zit. DSK, Bonitätsauskünfte)

Datenschutzkonferenz, Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 22. September 2021, Verarbeitung von Positivdaten von Privatpersonen aus Verträgen über Mobilfunkdienste und Dauerhandelskonten durch Auskunfteien (zit. DSK, Positivdaten)

Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der Datenschutz-Grundverordnung (DS-GVO), Ansbach Februar 2022 (zit. DSK, Direktwerbung)

Datenschutzkonferenz, Stellungnahme der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 11. Mai 2023, Vorschläge für Handlungsempfehlungen an die Bundesregierung zur Verbesserung des Datenschutzes bei Scoringverfahren (zit. DSK, Scoringverfahren)

Datenschutzstelle Fürstentum Liechtenstein, Tätigkeitsbericht 2021, Vaduz 2022 (zit. Datenschutzstelle FL)

Der Hessische Beauftragte für Datenschutz und die Informationsfreiheit, Auskunfteien, Häufig gestellte Fragen, Stand: Juli 2022, abrufbar unter <https://​daten​schutz.​hessen.de/sites/datenschutz.hessen.de/files/2022-11/faq-aus​kunf​tei​en_​2022​07​28.​pdf>, zuletzt besucht am 30. September 2024 (zit. HBDI, Auskunfteien)

Der Hessische Beauftragte für Datenschutz und die Informationsfreiheit, 25. Tätigkeitsbericht 2016, Wiesbaden 2016 (zit. HBDI, Tätigkeitsbericht 2016)

Deutscher Bundestag, Gesetzentwurf der Bundesregierung, Entwurf eines Ersten Gesetzes zur Änderung des Bundesdatenschutzgesetzes, BT-Drucks. 20/10859, 27. März 2024 (zit. Gesetzesbegründung Änderung BDSG/DE)

Deutscher Bundestag, Gesetzentwurf der Bundesregierung, Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG‑EU), BT-Drucks. 18/11325, 24. Februar 2017 (zit. Gesetzesbegründung DSAnpUG‑EU)

Die Landesbeauftragte für den Datenschutz Niedersachsen, 23. Tätigkeitsbericht 2015–2016, Hannover 2016 (zit. LfD Niedersachsen)

Die Wirtschaftsauskunfteien e.V., Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien vom 25.05.2018 (in der Fassung vom 01.01.2020), abrufbar unter <https://cdn.website-editor.net/96dce389751a4dd4a8108607b15e857b/files/uploaded/DW_CoC_LoeschfrLoesc_010120_final.pdf>, zuletzt besucht am 30. September 2024 (zit. Die Wirtschaftsauskunfteien e.V. Verhaltensregeln 2018)

Die Wirtschaftsauskunfteien e.V., Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien vom 25. Mai 2024, abrufbar unter <https://cdn.website-editor.net/96d​ce3​897​51a​4dd​4a8108607b15e857b/files/uploaded/240517_​CoC_​DW_​FINAL.pdf>, zuletzt besucht am 30. September 2024 (zit. Die Wirtschaftsauskunfteien e.V. Verhaltensregeln)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 7. Tätigkeitsbericht 1999/2000, Bern 2000 (zit. EDÖB, Tätigkeitsbericht 1999/2000)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 14. Tätigkeitsbericht 2006/2007, Bern 2007 (zit. EDÖB, Tätigkeitsbericht 2006/2007)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 15. Tätigkeitsbericht 2007/2008, Bern 2008 (zit. EDÖB, Tätigkeitsbericht 2007/2008)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 16. Tätigkeitsbericht 2008/2009, Bern 2009 (zit. EDÖB, Tätigkeitsbericht 2008/2009)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 17. Tätigkeitsbericht 2009/2010, Bern 2010 (zit. EDÖB, Tätigkeitsbericht 2009/2010)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 19. Tätigkeitsbericht 2011/2012, Bern 2012 (zit. EDÖB, Tätigkeitsbericht 2011/2012)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 21. Tätigkeitsbericht 2013/2014, Bern 2014 (zit. EDÖB, Tätigkeitsbericht 2013/2014)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 26. Tätigkeitsbericht 2018/2019, Bern 2019 (zit. EDÖB, Tätigkeitsbericht 2018/2019)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 27. Tätigkeitsbericht 2019/2020, Bern 2020 (zit. EDÖB, Tätigkeitsbericht 2019/2020)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 28. Tätigkeitsbericht 2020/2021, Bern 2021 (zit. EDÖB, Tätigkeitsbericht 2020/2021)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Empfehlung vom 16. Dezember 2008 betreffend die Dienstleistung «Auskunftservice A» der Firma X (zit. EDÖB, Mietercheck)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Empfehlung vom 15. November 2012 im Zusammenhang mit der Veröffentlichung von Adressdaten im Internet durch die itonex AG (zit. EDÖB, Adressdaten im Internet)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Empfehlung vom 6. November 2014 betreffend die von itonex AG angebotenen Dienstleistungen unter www.moneyhouse.ch (zit. EDÖB, Moneyhouse)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Erläuterungen zu den Anmeldeformularen für Mietwohnungen, Dezember 2017 (zit. EDÖB, Erläuterungen Mietwohnungen)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Leitfaden für die Bearbeitung von Personendaten im Arbeitsbereich, Bearbeitung durch private Personen, Oktober 2014 (zit. EDÖB, Leitfaden Arbeitsbereich)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Leitfaden zu den technischen und organisatorischen Massnahmen des Datenschutzes (TOM), 15. Januar 2024 (zit. EDÖB, Leitfaden TOM)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Liste Auskunfteien und Inkassobüros, 21. Mai 2014 (zit. EDÖB, Liste Auskunfteien und Inkassobüros)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Merkblatt zu Anmeldeformularen für Mietwohnungen, 19. Juni 2024 (zit. EDÖB, Merkblatt Mietwohnungen)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Merkblatt zur Datenschutz-Folgenabschätzung (DSFA) nach den Art. 22 und 23 DSG, Stand: August 2023 (zit. EDÖB, Merkblatt DSFA)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht und Empfehlung vom 8. November 2018 betreffend Sachverhaltsabklärung in Sachen Zentralstelle für Kreditinformation (ZEK) mit Anpassungen vom 14. Juni 2019 (zit. EDÖB, ZEK)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht und Empfehlung vom 17. Juni 2022 mit Ergänzungen vom 13. Oktober 2022 betreffend das von der Stiftung Swisstransplant mit Sitz in Bern betriebene Nationale Organspenderegister (NOSR) (zit. EDÖB, NOSR)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht und Empfehlung vom 3. März 2023 mit Ergänzungen vom 17. Mai 2023 betreffend die Sachverhaltsabklärung in Sachen Once Dating AG (zit. EDÖB, Once Dating)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht und Empfehlung vom 17. März 2023 mit Ergänzungen vom 3. Mai 2023 betreffend die Sachverhaltsabklärung in Sachen Bonitäts- und Inkassounternehmen (zit. EDÖB, Bonitäts- und Inkassounternehmen)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht und Empfehlung vom 25. April 2024 in Sachen Xplain AG aufgrund Ransomware-Vorfall (zit. EDÖB, Xplain)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht vom 15. Februar 2011 mit Anhang vom 23. Dezember 2011 betreffend Abklärung im Zusammenhang mit der Dienstleistung und Datensammlung TELEDATA von Orell Füssli Wirtschaftsinformationen AG (zit. EDÖB, Teledata)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht vom 1. Juni 2015 betreffend Abklärung im Zusammenhang mit E-Cockpit und Bicicletta von PostFinance (zit. EDÖB, PostFinance)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht vom 19. August 2016 betreffend Abklärung im Zusammenhang mit der Datenbearbeitung von Microsoft Corporation im Rahmen von Windows 10 (zit. EDÖB, Windows 10)

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Schlussbericht vom 30. Januar 2024 in Sachen Digitec Galaxus AG (zit. EDÖB, Digitec Galaxus)

Europäische Kommission, Bericht der Kommission an das Europäische Parlament und den Rat über die erste Überprüfung der Wirkungsweise der Angemessenheitsfeststellungen gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG, COM(2024) 7 final, Brüssel 15. Januar 2024 (zit. Europäische Kommission, Bericht Angemessenheitsfeststellung)

Europäische Kommission, Vorschlag für einen Beschluss des Rates zur Ermächtigung der Mitgliedstaaten, im Interesse der Europäischen Union das Protokoll zur Änderung des Übereinkommens des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (SEV Nr. 108) zu unterzeichnen, COM(2018) 449 final, Brüssel 5. Juni 2018 (zit. Europäische Kommission, Vorschlag Beschluss Konv. 108+)

Europäische Kommission, Vorschlag für Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung), KOM(2012) 11 endgültig, Brüssel 25. Januar 2012 (zit. Europäische Kommission, Vorschlag DSGVO)

Europäischer Datenschutzausschuss, Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO (Artikel 3), Version 2.0 vom 12. November 2019 (zit. EDSA, Leitlinien räumlicher Anwendungsbereich)

Europäischer Datenschutzausschuss, Leitlinien 07/2020 zu den Begriffen «Verantwortlicher» und «Auftragsverarbeiter» in der DSGVO, Version 2.0 vom 7. Juli 2021 (zit. EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter)

Europäischer Datenschutzausschuss, Leitlinien 8/2020 über die gezielte Ansprache von Nutzer:innen sozialer Medien, Version 2.0 vom 13. April 2021 (zit. EDSA, Leitlinien Soziale Medien)

Europäischer Datenschutzausschuss, Leitlinien 01/2022 zu den Rechten der betroffenen Person – Auskunftsrecht, Version 2.1 angenommen am 28. März 2023 (zit. EDSA, Leitlinien Auskunftsrecht)

Europäischer Datenschutzbeauftragter, Stellungnahme 11/2021 zu dem Vorschlag für eine Richtlinie über Verbraucherkredite, 26. August 2021 (zit. EDSB)

European Data Protection Board, Report of the work undertaken by the ChatGPT Taskforce, 23. Mai 2024 (zit. EDPB, Report ChatGPT)

Expertengruppe zur Zukunft der Datenbearbeitung, Bericht der Expertengruppe zur Zukunft der Datenbearbeitung und Datensicherheit, 17. August 2018, abrufbar unter <https://www.newsd.admin.ch/newsd/message/attachments/53591.pdf>, zuletzt besucht am 30. September 2024 (zit. Expertengruppe Datenbearbeitung)

Fahne Entwurf 3 Frühjahrssession 2020 Nationalrat, 17.059n Datenschutzgesetz. Totalrevision und Änderungen weiterer Erlasse zum Datenschutz, 20. Februar 2020 (zit. Fahne Entwurf 3 Frühjahrssession 2020 NR)

Fahne Entwurf 3 Herbstsession 2020 Nationalrat, 17.059n Datenschutzgesetz. Totalrevision und Änderungen weiterer Erlasse zum Datenschutz, 18. September 2020 (zit. Fahne Entwurf 3 Herbstsession 2020 NR)

Fahne Herbstsession 2020 Nationalrat/Ständerat, 17.059n Datenschutzgesetz. Totalrevision und Änderungen weiterer Erlasse zum Datenschutz, 23. September 2020 (zit. Fahne Herbstsession 2020 NR/SR)

Federal Trade Commission, Protecting Consumer Privacy in an Era of Rapid Change, Recommendations for Businesses and Policymakers, FTC Report, März 2012 (zit. FTC)

FINMA, Anerkannte Ratingagenturen, abrufbar unter <https://www.finma.ch/de/​~/​media/finma/dokumente/finmapublic/bewilligungstraebew/rating​agen​tu​ren.pdf>, zuletzt besucht am 30. September 2023 (zit. FINMA, Anerkannte Ratingagenturen)

FINMA, Rundschreiben 2012/1 Ratingagenturen, Anerkennung von Instituten zur Bonitätsbeurteilung (Ratingagenturen), 29. Juni 2011, abrufbar unter <https://​www.​finma.ch/de/bewilligung/ratingagenturen/>, zuletzt zuletzt besucht am 30. September 2023 (zit. FINMA, Rundschreiben Ratingagenturen)

Frage Martin Candinas (12.5478) «Korrekte Informationen von Kreditinformationsgesellschaften für Kunden sicherstellen» vom 4. Dezember 2012 (zit. Frage Candinas [12.5478])

Geschäftsstelle CNAI, Terminologie Kompetenznetzwerk CNAI, Version 2.0, Neuchâtel 21. Dezember 2023 (zit. Geschäftsstelle CNAI)

Gesellschaft für Informatik, Technische und rechtliche Betrachtungen algorithmischer Entscheidungsverfahren, Studien und Gutachten im Auftrag des Sachverständigenrats für Verbraucherfragen, Berlin 2018 (zit. Gesellschaft für Informatik)

Gutachten der Datenethikkommission der Bundesregierung, Berlin Oktober 2019, abrufbar unter <https://www.bmi.bund.de/SharedDocs/downloads/DE/publi​ka​tio​nen/themen/it-digitalpolitik/gutachten-datenethikkommission.html>, zuletzt besucht am 30. September 2024 (zit. Datenethikkommission)

Hamburgischer Datenschutzbeauftragter, 10. Tätigkeitsbericht 1991, Hamburg 1992 (zit. HmbBfDI, Tätigkeitsbericht 1991)

Hamburgischer Datenschutzbeauftragter, 11. Tätigkeitsbericht 1992, Hamburg 1993 (zit. HmbBfDI, Tätigkeitsbericht 1992)

Handelsverband.swiss/Schweizerische Post/GfK Switzerland AG, Onlinehandelsmarkt Schweiz 2023, 12. März 2024, abrufbar unter <https://handelsverband.swiss/wp-content/uploads/2024/03/Onlinehandelsmarkt-Schweiz-2023-Medien-Stand-​13.​3.​2024.pdf>, zuletzt besucht am 30. September 2024 (zit. Handelsverband.swiss et al.)

Herausforderungen der künstlichen Intelligenz, Bericht der interdepartementalen Arbeitsgruppe «Künstliche Intelligenz» an den Bundesrat, 13. Dezember 2019 (zit. Bericht Arbeitsgruppe KI)

IG Wirtschaftsauskunfteien, Verhaltensregeln für die Bearbeitung von Daten über natürliche Personen durch Wirtschaftsauskunfteien in der Schweiz, St. Gallen 21. April 2020 (zit. IG Wirtschaftsauskunfteien Verhaltensregeln 2020)

IG Wirtschaftsauskunfteien, Verhaltensregeln für die Bearbeitung von Daten über natürliche Personen durch Wirtschaftsauskunfteien in der Schweiz, St. Gallen 25. August 2023, abrufbar unter <https://ig-wa.ch/wp-content/uploads/2022/05/202308-Verhaltensregeln-IGWA-Final-D.pdf>, zuletzt besucht am 30. September 2024 (zit. IG Wirtschaftsauskunfteien Verhaltensregeln)

IKO, Statuten Verein zur Führung einer Informationsstelle für Konsumkredit (IKO), 30. Mai 2002, abrufbar unter <https://www.iko-info.ch/getattachment/510​3fd​78-​3098-4e64-8317-c3a54e963c78/DD-013-I-IKO-Statuten-V1-​1-​2010-​03-​31.​aspx>, zuletzt besucht am 30. September 2024 (zit. Statuten IKO)

Information Commissioner’s Office, Guidance on AI and data protection, 15. März 2023, abrufbar unter <https://ico.org.uk/media/for-organisations/guide-to-data-pro​tec​tion/key-dp-themes/guidance-on-ai-and-data-protection-2-0.pdf>, zuletzt besucht am 30. September 2024 (zit. ICO, AI)

Information Commissioner’s Office, Guide to the General Data Protection Regulation (GDPR), 14. Oktober 2022, abrufbar unter <https://ico.org.uk/media/for-or​gani​sa​tions/guide-to-data-protection/guide-to-the-general-data-protection-regu​la​tion-​gdpr-1-1.pdf>, zuletzt besucht am 30. September 2024 (zit. ICO, GDPR)

Interpellation Hans-Ueli Vogt (20.4701) «Dynamische Rechtsübernahme geht viel weiter als autonomer Nachvollzug von EU Recht» vom 18. Dezember 2020 (zit. Interpellation Vogt [20.4701])

Interpellation Min Li Marti (23.4133) «Algorithmische Diskriminierung. Ist der gesetzliche Diskriminierungsschutz ausreichend?» vom 28. September 2023 (zit. Interpellation Marti [23.4133])

Intrum AG, Datenschutzerklärung für Konsumenten und Konsumentinnen, abrufbar unter <https://www.intrum.ch/de/konsumenten/uber-intrum/datenschutz/da​ten​schutz​er​klarung/>, zuletzt besucht am 30. September 2024 (zit. Intrum AG, Datenschutzerklärung)

Kantar, Special Eurobarometer 487a, Summary, The General Data Protection Regulation, Survey at the request of the European Commission, Directorate-General for Justice and Consumers, Juni 2019 (zit. Kantar, Special Eurobarometer 487a)

Kommission der Europäischen Gemeinschaften, Geänderter Vorschlag für eine Richtlinie des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, KOM(92) 422 endg. – SYN 287, Brüssel 15. Oktober 1992 (zit. EG Kommission, Geänderter Vorschlag DSRL)

Kommission der Europäischen Gemeinschaften, Vorschlag für eine Richtlinie des Rates zum Schutz von Personen bei der Verarbeitung personenbezogener Daten, KOM(90) 314 endg. – SYN 287–288, Brüssel 13. September 1990 (zit. EG Kommission, Vorschlag DSRL)

Leitlinien «Künstliche Intelligenz» für den Bund, Orientierungsrahmen für den Umgang mit künstlicher Intelligenz in der Bundesverwaltung, 25. November 2020 (zit. Leitlinien «Künstliche Intelligenz» Bundesverwaltung)

Motion Benjamin Roduit (23.4389) «Inkassounternehmen: Für eine bessere Information der Konsumentinnen und Konsumenten» vom 19. Dezember 2023 (zit. Motion Roduit [23.4389])

Motion Géraldine Savary (12.3578) «Bonitätsdatenbanken – Ein Problem, das gelöst werden muss» vom 14. Juni 2012 (zit. Motion Savary [12.3578])

Motion Kommission für Rechtsfragen des Ständerates (00.3000) «Erhöhte Transparenz bei der Erhebung von Personendaten» vom 28. Januar 2000 (zit. Motion RK-SR [00.3000])

Parlamentarische Initiative Grüne Fraktion (23.438) «Datenschutzgesetzgebung anpassen und um teilautomatisierte Entscheide aufgrund künstlicher Intelligenz ergänzen» vom 15. Juni 2023 (zit. Parlamentarische Initiative Grüne Fraktion [23.438])

Postulat Jean Christoph Schwaab (16.3682) «Die Tätigkeit von Wirtschaftsauskunfteien einschränken» vom 21. September 2016 (zit. Postulat Schwaab [16.3682])

Rat der Europäischen Union, Richtlinie zur Anwendung des Grundsatzes der Gleichbehandlung (Artikel 19) – Fortschrittsbericht, 10817/24, Brüssel 14. Juni 2024 (zit. Rat der EU, Fortschrittsbericht)

Recht auf Schutz vor Diskriminierung, Bericht des Bundesrates in Erfüllung des Postulats Naef 12.3543 vom 14. Juni 2012, Bern 25. Mai 2016 (zit. Bericht Diskriminierungsschutz)

Rechtsrahmen der Praktiken von Wirtschaftsauskunfteien, Bericht des Bundesrates in Erfüllung des Postulats 16.3682 Schwaab vom 21. September 2016, Bern 19. Mai 2021 (zit. Bericht Wirtschaftsauskunfteien)

Schweizerische Bankiervereinigung, Leitfaden «Umgang mit Daten im Geschäftsalltag», Mai 2021, abrufbar unter <https://www.swissbanking.ch/de/medien/news/sbvg-veroeffentlicht-leitfaden-zum-umgang-mit-daten-im-geschaeftsalltag>, zuletzt besucht am 30. September 2024 (zit. Schweizerische Bankiervereinigung)

Schweizerischer Verband Creditreform Gen, Datenschutzerklärung CH-DSG, September 2024, abrufbar unter <https://www.creditreform.ch/fileadmin/user_upload/central_files/_documents/03_ihr_recht/31_datenschutz/01_Daten​schutz​er​klae​rung_​2024_​CH-​DSG_DE.pdf>, zuletzt besucht am 30. September 2024 (zit. Schweizerischer Verband Creditreform Gen, Datenschutzerklärung CH-DSG)

Schweizerischer Verband Creditreform Gen, Datenschutzerklärung EU-DSGVO, September 2024, abrufbar unter <https://www.creditreform.ch/fileadmin/user_​upload/​central_files/_documents/03_ihr_recht/31_datenschutz/02_​Daten​schutz​er​klae​rung_2024_EU-DSGVO_DE.pdf>, zuletzt besucht am 30. September 2024 (zit. Schweizerischer Verband Creditreform Gen, Datenschutzerklärung EU-DSGVO)

Schweizweite Betreibungsauskunft, Bericht des Bundesrates in Erfüllung des Postulats 12.3957 Candinas vom 4. Juli 2018 (zit. Bericht schweizweite Betreibungsauskunft)

Staatspolitische Kommission des Nationalrates, Protokolle, 17.059 Datenschutzgesetz. Totalrevision und Änderung weiterer Erlasse zum Datenschutz, Bern 2017–2020 (zit. SPK-NR vom [Datum])

Staatspolitischen Kommission des Ständerates, Protokolle, 17.059 Datenschutzgesetz. Totalrevision und Änderung weiterer Erlasse zum Datenschutz, Bern 2019/2020 (zit. SPK-SR vom [Datum])

Team Dokumentation und Steuerinformation Eidg. Steuerverwaltung, Öffentlichkeit der Steuerregister, Stand der Gesetzgebung: 1. Januar 2019, Bern 2019 (zit. ESTV)

World Bank Group, Credit Reporting Knowledge Guide 2019, Washington DC 2019 (zit. World Bank Group)

World Economic Forum, Rethinking Personal Data: A New Lens for Strengthening Trust, Mai 2014, abrufbar unter <https://www3.weforum.org/docs/WEF_​Re​thinking​Personal​Data_ANewLens_Report_2014.pdf>, zuletzt besucht am 30. September 2024 (zit. WEF)

ZEK, Reglement I betreffend der Abwicklung des Geschäfts- und Transaktionsverkehrs mit der Zentralstelle für Kreditinformation (ZEK), 10. Juli 2020, abrufbar unter <https://www.zek.ch/getattachment/6b3cf7d8-4db9-4b9b-af45-381c87fcebc9/ZEK-Reglement-I-(DE).aspx>, zuletzt besucht am 30. September 2024 (zit. ZEK, Reglement I)

ZEK, Statuten Verein zur Führung einer Zentralstelle für Kreditinformation (ZEK), 5. Dezember 1968, abrufbar unter <https://www.zek.ch/getattachment/be5​163​8d-73a4-4323-a472-0d5ad67d6b5c/ZEK-Statuten-(DE).aspx>, zuletzt besucht am 30. September 2024 (zit. Statuten ZEK)

I

Einleitung

II

Einführung in das Problemfeld

Fidelia Zahler ist Kosmetikerin und wohnt an der Baselstrasse in Luzern. Da sie mit ihrem Kosmetikstudio ein regelmässiges Einkommen erwirtschaftet und keine nennenswerten Schulden hat, denkt sie sich nichts dabei, als sie bei einem neuen Lieferanten Waren auf Rechnung bestellen möchte. Als der Lieferant ihr den Rechnungskauf in seinem Online-Shop automatisiert verweigert und ihr wegen schlechter Kreditwürdigkeit ausschliesslich die sonst unübliche Vorkasse anbietet, staunt sie nicht schlecht. Wie sich für Fidelia Zahler erst später herausstellt, hat der zuletzt von vielen Zahlungsausfällen geplagte Lieferant eine Auskunftei, eine Dienstleisterin für Kreditwürdigkeitsauskünfte, beigezogen, welche die Wahrscheinlichkeit eines Zahlungsausfalls bei Fidelia Zahler als hoch beurteilt hat. Ausschlaggebend für den niedrigen Kreditscore, eine oft zu einer Zahl verdichtete Aussage über die Kreditwürdigkeit, war, dass sie an der Baselstrasse wohnt, einem Ort, der einen hohen Anteil an Personen mit schlechter Kreditwürdigkeit aufweist.

Dieses Szenario ist von einem Beispiel inspiriert, das die Staatspolitische Kommission des Nationalrates anlässlich der Totalrevision des Datenschutzgesetzes (DSG) im Zusammenhang mit den hochpolitischen Kreditwürdigkeitsprüfungen diskutiert hat.[1] Es illustriert das Spannungsfeld, in dem sich das Kreditscoring, eine Form der automatisierten Kreditwürdigkeitsprüfung, generell bewegt: Der Datenschutz und der Schutz der Persönlichkeit, insbesondere das Interesse an Transparenz und der Verwendung geeigneter, angemessener Informationen, stehen dem Schutz der kreditgebenden Wirtschaft, namentlich dem Interesse, kreditorische Risiken einschätzen und Zahlungsausfälle verhindern zu können,[2] gegenüber.[3] Diesem Spannungsfeld nehmen sich das DSG und die Datenschutzgrundverordnung der EU (DSGVO) an, indem sie etwa Vorgaben an Profilings (mit hohem Risiko), also automatisierte Bewertungen von persönlichen Aspekten wie der Kreditwürdigkeit, und an automatisierte Entscheidungen, allenfalls jene über die Verweigerung eines Kredits (betreffend Waren), machen. Die sich daraus ergebenden, vielfach neuen datenschutzrechtlichen Fragestellungen untersucht die vorliegende Arbeit.

SPK-NR vom 9./10. November 2017, S. 6. ↵

Daneben sind noch weitere Interessen, etwa jenes der Öffentlichkeit an der Funktionsfähigkeit der Kreditmärkte oder jenes der kreditinteressierten Person am Schutz vor Überschuldung, tangiert (vgl. dazu unten Teil 1, B.I.2. und B.I.3.). ↵

Vgl. Peter et al., S. 8; Rudin, digma 2007, S. 52. ↵

III

Ziel und Gegenstand der Untersuchung

1

Ziel der Untersuchung

Gegenstand der Untersuchung bilden die Rahmenbedingungen des schweizerischen und des europäischen Datenschutzrechts für das Kreditscoring durch Auskunfteien[1] in der Schweiz. Dabei liegt der Fokus auf einer bestimmten Phase im Verlauf des Kreditscorings,[2] nämlich der Berechnung des Kreditscores, die regelmässig als Profiling qualifiziert und – je nach Ansicht – unter Umständen eine automatisierte Entscheidung darstellt.

Ziel der Untersuchung ist es, die Vorgaben und Einschränkungen der einschlägigen Datenschutzerlasse für die Berechnung des Kreditscores und insbesondere die (zumindest für das schweizerische Recht) neuen Begriffe des Profilings und der automatisierten Entscheidung besser fassen zu können und einer dogmatisch möglichst fundierten und rechtssichereren Praxis zuzuführen. Gleichzeitig soll im Rahmen der gegenüberstellenden Darstellung von schweizerischem und europäischem Recht ein Beitrag zum vergleichenden Datenschutzrecht und dem besseren Verständnis des Einflusses des europäischen auf das schweizerische Recht geleistet werden.

Vgl. dazu unten Teil 1, C.II.1. ↵

Vgl. dazu unten Teil 1, D.I. ↵

2

Eingrenzung und Abgrenzungen des Gegenstands

Die vorliegende Untersuchung betrachtet das Kreditscoring,[1] also das Scoring zur Prüfung und Beurteilung der Kreditwürdigkeit. Scoringsysteme, die andere Zwecke wie beispielsweise die Betrugsbekämpfung, das Assessment von Bewerbenden oder die Personalisierung von Marketing verfolgen,[2] werden nicht thematisiert. Ferner richtet sich die Betrachtung auf die Praxis der schweizerischen Auskunfteien aus. Interne Kreditscorings, die etwa Banken oder Online-Shops für ihre eigene Verwendung betreiben,[3] werden nicht explizit behandelt, obschon sich viele Überlegungen dieser Untersuchung darauf übertragen lassen.

Die Untersuchung beschränkt sich auf das Datenschutzrecht, weshalb Vorgaben anderer Rechtsgebiete, namentlich des Konsumentenschutz-[4] und Lauterkeitsrechts,[5] nur am Rande thematisiert werden. Im Zentrum stehen das totalrevidierte DSG,[6] das am 1. September 2023 gemeinsam mit der dazugehörigen DSV in Kraft getreten ist (vgl. Art. 74 DSG), und die seit dem 25. Mai 2018 geltende DSGVO (Art. 99 DSGVO). Der Fokus liegt dabei auf den Vorgaben an ein Profiling und dem spezifischen Pflichtenprogramm bei einer automatisierten Entscheidung. Entsprechend werden die (allgemeinen) Betroffenenrechte, z.B. auf Auskunft oder Berichtigung,[7] höchstens beiläufig und die «Governance-Pflichten»,[8] also etwa jene zur Erstellung eines Bearbeitungsverzeichnisses, einer Datenschutz-Folgenabschätzung oder eines Bearbeitungsreglements,[9] gar nicht besprochen.

Beschränkung auf Kreditscoring natürlicher Personen

Auskunfteien spezialisieren ihre Angebote, bieten aber in aller Regel sowohl Kreditwürdigkeitsprüfungen von natürlichen als auch von juristischen Personen an.[10] Die vorliegende Untersuchung beschränkt sich auf die Kreditwürdigkeitsprüfung von natürlichen Personen. Grund dafür ist zunächst, dass das Datenschutzrecht die Daten juristischer Personen nicht (mehr) erfasst.[11] Viele der Daten, welche die Auskunfteien zur Beurteilung der Kreditwürdigkeit von juristischen Personen verwenden,[12] fallen (nunmehr) aus dem Anwendungsbereich der hier interessierenden Datenschutzerlasse.[13]

Freilich bearbeiten Auskunfteien für Kreditwürdigkeitsbeurteilungen von juristischen Personen auch Daten von natürlichen Personen, etwa der Geschäftsleitung der betreffenden juristischen Personen, um daraus Rückschlüsse auf die Bonität zu ziehen.[14] Bearbeitungen dieser Daten unterstehen dem Datenschutzrecht. Allerdings stellen sich bei juristischen Personen in Kernpunkten der vorliegenden Untersuchung andere Fragen. So fällt etwa das besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen (Art. 31 Abs. 2 lit. c DSG) bei der Beurteilung der Bonität von juristischen Personen grundsätzlich ausser Betracht, nachdem die Bestimmung eine Kreditwürdigkeitsprüfung einer betroffenen Person,[15] mithin einer natürlichen Person, verlangt.[16] Die Frage eines Profilings (mit hohem Risiko) stellt sich bei juristischen Personen nicht, weil ein Profiling begriffsnotwendig die Bewertung persönlicher Aspekte einer natürlichen Person verlangt (Art. 5 lit. f DSG; Art. 4 Ziff. 4 DSGVO), und eine automatisierte Entscheidung muss sich (zumindest auch) auf eine betroffene, also natürliche Person auswirken (vgl. Art. 21 Abs. 1 DSG; Art. 22 Abs. 1 DSGVO).[17]

Hinzu kommt, dass sich auch in der Praxis die (allfälligen) datenschutzrechtlichen Auseinandersetzungen auf Kreditwürdigkeitsprüfungen von natürlichen Personen zu konzentrieren scheinen. Gemäss einer neueren, aber unter der Geltung des aDSG erfolgten Erhebung stammen die 100–160 Meldungen, die der EDÖB pro Jahr in Bezug auf die Praktiken der schweizerischen Auskunfteien erhält, allesamt von natürlichen Personen.[18] Auch der Schweizerische Gewerbeverband hielt für diese Erhebung fest, keine Beschwerden von juristischen Personen oder Personengesellschaften zu erhalten.[19]

Ausklammerung der KIVO der EU

Nach mehrjährigen Vorarbeiten hat die EU im Mai 2024 – nahezu zeitgleich mit der Verabschiedung der KI-Konv. durch den Europarat[20] – eine Verordnung «zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz» erlassen. Die KIVO verfolgt einen risikobasierten Ansatz, indem sie mehrere Kategorien von KI-Systemen[21] definiert und unterschiedlich einschränkt.[22] Neben dem Verbot ausgewählter Praktiken[23] sieht die Verordnung insbesondere technische und organisatorische Anforderungen sowie eine ex ante-Konformitätsbewertung für sog. Hochrisiko-Systeme vor.[24] Zu dieser Kategorie gehören etwa KI-Systeme, die bestimmungsgemäss für die Kreditwürdigkeitsprüfung und Kreditpunktebewertung natürlicher Personen verwendet werden sollen, mit Ausnahme von KI-Systemen, die zur Aufdeckung von Finanzbetrug verwendet werden.[25] Aufgrund des vorgeschlagenen extraterritorialen Anwendungsbereichs wird die Verordnung in bestimmten Konstellationen wohl auch für die schweizerischen Auskunfteien relevant sein.[26]

In der Schweiz kam im Dezember 2019 eine interdepartementale Arbeitsgruppe des Bundes in ihrem Bericht zu den Herausforderungen von Künstlicher Intelligenz zum Schluss, dass hierzulande zum aktuellen Zeitpunkt kein regulatorischer Handlungsbedarf in diesem Bereich bestehe.[27] Der Bericht veranlasste den Bundesrat in regulatorischer Hinsicht einzig dazu, Leitlinien für den Umgang mit Künstlicher Intelligenz in der Bundesverwaltung erarbeiten zu lassen.[28] Für Private bestehen derzeit weder besondere Vorgaben für den Einsatz von Techniken aus dem Bereich der Künstlichen Intelligenz noch liegt ein entsprechendes Gesetzgebungsprojekt vor.[29] An seiner Sitzung vom 22. November 2023 hat der Bundesrat allerdings vor dem Hintergrund der geschilderten europäischen Entwicklungen entschieden, beim UVEK eine Auslegeordnung zu den möglichen Regulierungsansätzen von Künstlicher Intelligenz in Auftrag zu geben, die bis Ende 2024 hätte vorliegen sollen.[30] Die schweizerische Lehre lehnt eine umfassende, horizontale Regelung in der Form eines Gesetzes nach Vorbild der KIVO (bisher) ab, anerkennt aber einen Handlungsbedarf im schweizerischen Recht und schlägt dafür punktuelle Anpassungen primär in bestehenden Gesetzen vor.[31]

Obwohl die KIVO der EU nach dem Gesagten auch gewisse Formen des Kreditscorings (der schweizerischen Auskunfteien) normiert, wird sie im Folgenden ausgeklammert, zumal es sich vorliegend um eine datenschutzrechtliche Untersuchung handelt. Aktuell ist zudem noch unklar, ob, wann und wie die Schweiz KI-Systeme bzw. deren Herausforderungen spezifisch adressieren wird, und es erscheint unwahrscheinlich, dass der Gesetzgeber in absehbarer Zeit ein mit der KIVO vergleichbares Gesetz erlassen wird. Dementsprechend wäre auch eine Gegenüberstellung des schweizerischen und des europäischen Rechts, wie sie im Folgenden vorgenommen wird, (noch) nicht sinnvoll möglich.

Ausklammerung der RL (EU) 2023/2225

Mit der im Herbst 2023 verabschiedeten (neuen) RL (EU) 2023/2225 betreffend Verbraucherkredite hat die EU (auch) die Vorgaben an die Kreditwürdigkeitsprüfung im Vorfeld bestimmter Kreditverträge im Konsumbereich weiter konkretisiert.[32] Hervorzuheben ist für den vorliegenden Kontext Art. 18 RL (EU) 2023/2225. Dessen Abs. 3 schränkt die Informationen, die der Kreditwürdigkeitsprüfung zugrunde gelegt werden dürfen, ein und hält explizit fest, dass dafür weder besondere Kategorien personenbezogener Daten i.S.v. Art. 9 Abs. 1 DSGVO[33] wie etwa Gesundheitsdaten noch soziale Netzwerke als externe Quellen verwendet werden dürfen.[34] Dessen Abs. 8 sieht zudem vor, dass der Verbraucher bei einer Kreditwürdigkeitsprüfung, die eine automatisierte Verarbeitung personenbezogener Daten beinhaltet, neu über das Recht verfügt, das Eingreifen einer Person aufseiten der Kreditgeberin zu verlangen.[35]

Diese Vorgaben haben zweifellos eine datenschutzrechtliche Dimension,[36] sind aber nicht Teil des unmittelbar anwendbaren europäischen Datenschutzrechts und ausschliesslich im Zusammenhang mit bestimmten Kreditverträgen zu berücksichtigen. Hinzu kommt, dass im schweizerischen Recht kein Äquivalent zu den angesprochenen Vorgaben der RL (EU) 2023/2225 besteht und derzeit (noch) unklar ist, ob ein Nachvollzug erfolgen wird. Zwar hatte dem geltenden Konsumkreditgesetz (KKG) bei dessen Erlass die erste Verbraucherkreditrichtlinie der EU als Vorbild gedient, die Schweiz vollzog aber bereits die 2008 durchgeführte Revision der Richtlinie nicht nach.[37] Aus diesen Gründen verzichtet die vorliegende Untersuchung auf eine nähere Betrachtung dieser Vorgaben.

Vgl. dazu unten Teil 1, A. ↵

Vgl. Keats Citron/Pasquale, S. 2, betr. das Assessment von Bewerbenden; Peter et al., S. 30, betr. Betrugsbekämpfung; Weichert, ZRP 2014, S. 168, betr. personalisierte Marketing-Massnahmen. ↵

Vgl. Schweizerische Bankiervereinigung, S. 17 ff., betr. Banken; EDÖB, Digitec Galaxus, Rn. 58, betr. einen Online-Shop; ferner dazu auch unten Teil 1, C.II.3.4. ↵

Zum europäischen Recht vgl. Overbeck, S. 207 ff. ↵

Vgl. Peter et al., S. 46 f.; Bericht Wirtschaftsauskunfteien, S. 21 f. ↵

Trotz der Bezeichnung «Totalrevision» blieb das DSG im Wesentlichen konzeptionell unverändert, weshalb die Rechtsprechung zum aDSG (regelmässig) auch für das DSG relevant bleibt (Bühlmann/Schüepp, Jusletter 2021, Rn. 1; vgl. auch Weber/Henseler, SZW 2020, S. 604). ↵

Vgl. Art. 25 ff. und Art. 32 DSG; Art. 15 f. DSGVO. ↵

Die «Governance-Pflichten» werden zuweilen auch als «flankierende Massnahmen» bezeichnet (zum DSG vgl. Rosenthal, Jusletter 2020, Rn. 142 ff.; Vasella, TREX 2021, S. 273). ↵

Vgl. Art. 12 und 22 f. DSG sowie Art. 5 DSV; Art. 30 und 35 f. DSGVO. ↵

Unter den schweizerischen Auskunfteien beschränkt sich die Intrum AG auf Auskünfte über natürliche Personen, während sich die Dun & Bradstreet Schweiz AG (vormals Bisnode D&B Schweiz AG) auf solche über juristische Personen fokussiert (Peter et al., S. 15). ↵

Art. 2 Abs. 1 DSG (anders noch Art. 2 Abs. 1 aDSG); Art. 2 Abs. 1 i.V.m. Art. 4 Ziff. 1 DSGVO. ↵

Z.B. vorrechtliche und rechtliche Inkassodaten, Betreibungsauskünfte und Konkursmeldungen von juristischen Personen (vgl. EDÖB, Teledata, S. 22). ↵

Vgl. dazu unten Teil 2, A.I. ↵

Z.B. berücksichtigen Auskunfteien die Bonität der Unternehmensvertreter bei Auskünften über juristische Personen und bearbeiten dafür etwa deren Namen, Jahrgang, Anzahl aktiver Firmenmandate, Mandate in konkursiten Firmen etc. (vgl. EDÖB, Teledata, S. 23). ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c. ↵

Die betroffene Person ist die natürliche Person, über die Personendaten bearbeitet werden (Art. 5 lit. b DSG; vgl. Art. 4 Ziff. 1 DSGVO); vgl. dazu auch unten Teil 2, B.I. ↵

Vgl. dazu unten Teil 4, D.III.1. ↵

Peter et al., S. 38 und 40; vgl. auch Bericht Wirtschaftsauskunfteien, S. 9. ↵

Peter et al., S. 37; vgl. auch Bericht Wirtschaftsauskunfteien, S. 9. ↵

Das Rahmenübereinkommen des Europarates legt Standards hinsichtlich Menschenrechte, Demokratie und Rechtstaatlichkeit beim Einsatz von KI-Systemen fest (vgl. Art. 1 KI-Konv.). Es verpflichtet die Unterzeichnerstaaten die vorgesehenen Prinzipien und Pflichten in innerstaatliches Recht zu überführen. Dabei genügen hinsichtlich Risiken und Auswirkungen, die sich aus den hier besonders interessierenden Tätigkeiten privater Akteure ergeben, angemessene, mit Ziel und Zweck der KI-Konv. vereinbare Massnahmen (Art. 3 Ziff. 1 lit. b KI-Konv.). Die Schweiz hat das Rahmenübereinkommen derzeit noch nicht unterzeichnet. ↵

Der weit gefasste Begriff ist in Art. 3 Abs. 1 KIVO wie folgt definiert: «ein maschinengestütztes System, das für einen in wechselndem Maße autonomen Betrieb ausgelegt ist, das nach seiner Einführung anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ergebnisse wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen hervorgebracht werden, die physische oder virtuelle Umgebungen beeinflussen können.» ↵

Statt vieler Becker/Feuerstack, S. 62 f.; Ebers, S. 1 f.; Voigt/Hullen, S. 3. ↵

So verbietet die KIVO beispielsweise das Inverkehrbringen oder die Verwendung von bestimmten KI-Systemen, die Risikobewertungen über natürliche Personen hinsichtlich der Wahrscheinlichkeit ihrer Straffälligkeit vornehmen oder die Emotionen einer natürlichen Person am Arbeitsplatz oder in Bildungseinrichtungen ableiten (Art. 5 Abs. 1 lit. d und f KIVO). ↵

Die KIVO enthält etwa Anforderungen an die Datenqualität, die technische Dokumentation und die Transparenz (vgl. Art. 8 ff. KIVO). Ausserdem setzt das Inverkehrbringen oder Inbetriebnehmen eine Konformitätsbewertung hinsichtlich der Anforderungen der Verordnung voraus (vgl. Art. 43 ff. KIVO). ↵

Die Einstufung von KI-Systemen als Hochrisiko-Systeme ist in Art. 6 f. KIVO geregelt. Gemäss Art. 6 Abs. 2 i.V.m. Ziff. 5 lit. b Anhang III KIVO gelten die erwähnten KI-Systeme als Hochrisiko-Systeme. ↵

Die Verordnung gilt etwa auch für Anbieter und Betreiber von KI-Systemen, die ihren Sitz in einem Drittland wie der Schweiz haben, wenn das vom System hervorgebrachte Ergebnis in der EU verwendet wird (Art. 2 Abs. 1 lit. c KIVO). Es erscheint denkbar, dass es für eine Verwendung in der EU bereits ausreicht, dass das Ergebnis eine Wirkung auf eine Person in der EU hat (vgl. Rosenthal, Jusletter 2024, Rn. 32). ↵

Bericht Arbeitsgruppe KI, S. 10 ff. ↵

Vgl. Leitlinien «Künstliche Intelligenz» Bundesverwaltung. ↵

Als einzige Ausnahme lassen sich (vorgeschlagene) Bestimmungen über den Einsatz von Künstlicher Intelligenz in der automatisierten Mobilität nennen (vgl. eingehend Lohmann, S. 620 ff.). ↵

Medienmitteilung vom 22. November 2023, Bundesrat prüft Regulierungsansätze für Künstliche Intelligenz, abrufbar unter <https://www.admin.ch/gov/de/start/doku​men​ta​tion/medienmitteilungen.msg-id-98791.html>, zuletzt besucht am 30. September 2024. ↵

Braun Binder et al., Jusletter 2021, Rn. 56 ff.; Morand, Rn. 48; Rosenthal, Jusletter IT 2022, Rn. 38; Thouvenin et al., Künstliche Intelligenz, S. 2 f.; Weber, EuZ 2022, S. B 6 ff.; vgl. auch Müller A., S. A 22 f.; Stengel et al., S. 399, insb. in Bezug auf die Fintech-Branche; Wildhaber, S. 35 ff., insb. S. 62, in Bezug auf das ausservertragliche Haftpflichtrecht. ↵

Die Mitgliedstaaten müssen zur Umsetzung der Richtlinie bis am 20. November 2025 Vorschriften erlassen und veröffentlichen sowie ab dem 20. November 2026 anwenden (Art. 48 Abs. 1 RL [EU] 2023/2225). Mit Wirkung ab letzterem Datum wird auch die Vorgängerrichtlinie aufgehoben (Art. 47 RL [EU] 2023/2225). ↵

Vgl. dazu unten Teil 2, A.I.1.2. ↵

Daran dürften sich die schweizerischen Auskunfteien ohnehin halten, nachdem sie sich darauf in ihren Verhaltensregeln selbst verpflichtet haben (IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 8); vgl. dazu auch unten Teil 1, E.I.2.4 und E.II.3. ↵

Die Richtlinie sieht insb. die Rechte vor, «a) von de[r] Kreditgeber[in] klare und verständliche Erläuterungen zu der Kreditwürdigkeitsprüfung zu verlangen und zu erhalten, einschließlich der Logik und der Risiken der automatisierten Verarbeitung personenbezogener Daten sowie ihrer Bedeutung für die Entscheidung und ihrer Auswirkungen auf sie; b) gegenüber de[r] Kreditgeber[in] den eigenen Standpunkt […] darzulegen und c) eine Überprüfung der Kreditwürdigkeitsprüfung und der Entscheidung über die Kreditgewährung durch d[ie] Kreditgeber[in] zu verlangen» (Art. 18 Abs. 8 RL [EU] 2023/2225). ↵

Vgl. eingehend EDSB, passim. ↵

Kuhn, Kreditsicherungsrecht, Rn. 227; vgl. auch Barnikol, S. 40 und 46 f. ↵

3

Relevanz des Gegenstands

Wirtschaftliche Relevanz

Die schweizerische Wirtschaft erleidet jährlich Verluste aus unbezahlten Forderungen in Milliardenhöhe. Allein die Verluste aus erledigten Konkursverfahren betrugen gemäss Bundesamt für Statistik im Jahr 2023 über CHF 2 Mia.[1] Dabei errechnet sich diese Summe anhand der in sämtlichen schweizerischen Konkursen angemeldeten Forderungen; nicht berücksichtigt sind damit die Verluste aus eingestellten Konkursverfahren, Pfändungen und Nachlassverträgen sowie nicht weiterverfolgten Zahlungsbefehlen.[2] Die Schweizerischer Verband Creditreform Gen, die ein Inkasso- und Auskunfteigeschäft betreibt, schätzt den effektiven wirtschaftlichen Schaden auf über CHF 11 Mia.[3] Diese Verluste – auch wenn sie sich auf natürliche und vor allem auf (vorliegend ausgeklammerte[4]) juristische Personen als Schuldnerinnen verteilen – vermögen das grosse Bedürfnis von Kreditgeberinnen zu veranschaulichen, vor dem Eingehen kreditorischer Risiken die Kreditwürdigkeit ihres Gegenübers zu überprüfen.[5]

Da den Kreditgeberinnen vielfach die für eine Kreditwürdigkeitsprüfung erforderlichen Informationen fehlen, beanspruchen sie gerne das Angebot von Auskunfteien,[6] und zwar nicht nur bei der Vergabe eines Darlehens oder des in der Praxis wichtigen[7] Kaufs auf Rechnung.[8] Vielmehr bieten Auskunfteien etwa auch Auskünfte und Kreditscores zur Einschätzung von (potenziellen) Mietparteien von Immobilien an,[9] und zumindest zwischenzeitlich plante eine Auskunftei ein Angebot betreffend Bewerbende.[10] Dabei gehören die Kundinnen der Auskunfteien den unterschiedlichsten Branchen an, wie Finanzdienstleistungen, Online-Handel, Telekommunikation, Logistik, Gastronomie, Gesundheit und Bau. Auch die öffentliche Hand sowie staatliche und staatsnahe Akteure, namentlich die Zollverwaltung oder die Schweizerische Post AG, zählen zu den Kundinnen.[11]

Insgesamt führt dies zu einer hohen Nachfrage nach Auskünften und einem beeindruckenden Jahresumsatz bei den grossen vier schweizerischen Auskunfteien, was ebenfalls die wirtschaftliche Bedeutung dieses Dienstleistungszweigs unterstreicht. Die vier grossen schweizerischen Auskunfteien allein erteilen pro Jahr über 70 Mio. Auskünfte und generieren einen Jahresumsatz[12] von rund CHF 100 Mio.[13] Nicht zuletzt aufgrund der Zunahme des Online-Handels[14] und des elektronischen Zahlungsverkehrs ist der Markt der Bonitätsauskünfte in den letzten beiden Jahrzehnten stark gewachsen und dürfte sich dieses Wachstum – wenn auch nicht gleich wie während der COVID-19-Pandemie – fortsetzen;[15] die vier grossen Auskunfteien gingen jedenfalls im Jahr 2018 von einem jährlichen Umsatzwachstum von drei bis fünf Prozent aus.[16]

Politische Relevanz

Die Relevanz des Themas zeigt sich auch in der politischen Diskussion in der Schweiz.[17] Bereits das aDSG kannte mit Art. 13 Abs. 2 lit. c eine Bestimmung, welche die Geschäftspraxis von Auskunfteien ermöglichen sollte,[18] und schon deren Erlass sorgte für einigen Gesprächsstoff: Strittig war zunächst, weshalb überhaupt ein besonders geregeltes überwiegendes Interesse erforderlich sei, wenn doch für Kreditwürdigkeitsprüfungen eine Einwilligung eingeholt werden könne.[19] Nach dem Grundsatzentscheid zugunsten eines überwiegenden Interesses gab es weitere Streitpunkte, insbesondere ob – wie vom Bundesrat vorgeschlagen – das besonders geregelte überwiegende Interesse auf Kreditwürdigkeitsbeurteilungen von kaufmännischen Unternehmen, also im Handelsregister eingetragenen Personen, zu beschränken ist[20] oder in welchem Umfang es Datenbekanntgaben an Dritte zu rechtfertigen vermag.[21]

Auch seither war die Tätigkeit von Auskunfteien im Bundesparlament immer wieder ein Thema; insbesondere Fragen zur Erkennbarkeit für die betroffene Person, zur Datenrichtigkeit und zum Löschungsrecht standen dabei im Fokus.[22] Die ständerätliche Motion Savary beabsichtigte 2012 sogar, die Bearbeitung von Bonitätsdaten explizit zu verbieten und auf das Betreibungsregister und die Datenbank der Informationsstelle für Konsumkredit (IKO)[23] zu beschränken.[24] Doch der Bundesrat erachtete ein solches vollständiges Verbot als zu weitgehend und stellte die Prüfung des gesetzgeberischen Handlungsbedarfs im Rahmen der Totalrevision des DSG in Aussicht.[25] Der Ständerat lehnte die Motion in der Folge ab.[26]

Im Rahmen der Totalrevision des DSG übernahm der Gesetzgeber mit Art. 31 Abs. 2 lit. c DSG den altrechtlichen Rechtfertigungsgrund für Auskunfteien in den wesentlichen Zügen ins neue Recht und anerkannte damit abermals die Notwendigkeit von Auskunfteien für das Wirtschaftsleben.[27] Jedoch war die Bestimmung im Einzelnen in verschiedener Hinsicht, gerade unter dem Aspekt des Profilings mit hohem Risiko,[28] bis zuletzt umstritten.[29] In der nationalrätlichen Kommission wurde sogar der Antrag gestellt, dass (wie bereits von der Motion Savary angeregt) Datenbearbeitungen für Kreditwürdigkeitsprüfungen ausdrücklich zu untersagen seien, unter Vorbehalt von Informationen aus Registern mit einer rechtlichen Grundlage wie der Datenbank der IKO und dem Betreibungsregister.[30] Die Kommission verwarf den Antrag, der die Tätigkeit von Auskunfteien verunmöglicht hätte, in der Folge deutlich.[31] Ebenso wenig konnten sich ausdrücklich Kreditwürdigkeitsprüfungen adressierende (zusätzliche) Transparenzvorgaben durchsetzen, die der Ständerat zwischenzeitlich noch befürwortet hatte.[32]

Kurz nach Abschluss der Totalrevision hatte der Bundesrat zur Beantwortung des Postulats Schwaab aus dem Jahr 2016 (erneut) zu untersuchen,[33] ob – auch unter Berücksichtigung des neuen DSG – eine stärkere Regulierung der Praktiken von Wirtschaftsauskunfteien erforderlich ist.[34] Namentlich war der Bundesrat aufgefordert zu prüfen, ob nicht «klare Grenzen» für die Informationsbeschaffung über Privatpersonen und Unternehmen einzuführen seien und welche rechtliche Konsequenzen die Nutzung von unvollständigen oder fehlerhaften Informationen über die Zahlungsfähigkeit habe. Dafür holte der Bundesrat eine externe Studie ein, die den Markt und das Geschäftsmodell der schweizerischen Auskunfteien analysierte sowie eine Beurteilung des Regulierungsbedarfs vornahm.[35]

In seinem stark auf die externe Studie abgestützten Bericht anerkannte der Bundesrat zunächst das erhebliche Interesse der am Wirtschaftsleben beteiligten Personen an der Durchführung von Kreditwürdigkeitsprüfungen.[36] Er stellte sodann fest, dass ein genügender Rechtsrahmen vorliege und die datenschutzrechtlichen Vorgaben sowie der Schutz betroffener Personen mit dem neuen DSG noch weiter verschärft würden; ein Bedarf an neuen (staatlichen) Regelungen bestehe nicht.[37] Der Bundesrat regte lediglich zusätzliche Massnahmen auf freiwilliger und selbstregulierender Basis zur Stärkung der Transparenz an, insbesondere Ergänzungen der (damaligen) Verhaltensregeln (vgl. Art. 11 DSG),[38] welche sich die schweizerischen Auskunfteien selbst auferlegt haben.[39]

Zuletzt forderte Ende 2023 Nationalrat Roduit in einer Motion die Schaffung einer beim EDÖB angegliederten Einrichtung, die Beschwerden von Konsumentinnen gegen Datenbearbeitungen durch private Inkassounternehmen und Kreditauskunfteien entgegennehmen und in diesem Bereich Sensibilisierungs- und Informationsarbeit leisten würde.[40] Nach Ansicht des Bundesrates sind die Ziele der Motion mit dem neuen DSG bereits weitgehend erfüllt und würde die angeregte Einrichtung keinen Mehrwert bringen, weshalb er die Motion zur Ablehnung empfahl.[41]

Rechtspraktische Relevanz

Die Tätigkeit der schweizerischen Auskunfteien und das Kreditscoring beschäftigen neben der Politik auch die Rechtspraxis,[42] oftmals ausgelöst durch Meldungen von betroffenen Personen. Pro Jahr gehen bei den Konsumentenschutzorganisationen Stiftung für Konsumentenschutz und Fédération romande des consommateurs zusammen rund 30 Meldungen ein.[43] Beim EDÖB sind es jährlich zwischen 100 und 160 Meldungen.[44] Sowohl bei den Konsumentenschutzorganisationen als auch beim EDÖB blieb die Anzahl der Meldungen über die letzten Jahre mehr oder weniger konstant.[45] Gewinnt das Thema zwischenzeitlich an Aktualität und medialer Aufmerksamkeit, so nehmen die Meldungen zahlenmässig zu.[46] Angesichts der Menge der erteilten Auskünfte in demselben Zeitraum handelt es sich bei dieser Anzahl freilich um verhältnismässig wenige Meldungen.[47]

Inhaltlich monieren die Meldungen insbesondere die Intransparenz der Datenbearbeitung oder Defizite bei der Datenrichtigkeit.[48] Den betroffenen Personen sei häufig unbekannt, dass Wirtschaftsauskunfteien existieren und Daten über sie gesammelt würden.[49] Ein Transparenzdefizit bestehe auch hinsichtlich der Erstellung der Kreditwürdigkeitsbeurteilung und der Datenweitergabe.[50] Bei der Datenrichtigkeit gilt als grösste Fehlerquelle die Falschidentifikation der betroffenen Personen.[51] Diese kann zu falschen oder unvollständigen Auskünften und in der Folge etwa dazu führen, dass eine betroffene Person zu Unrecht keinen Kredit erhält oder einen Vertrag nur mit Vorauszahlung schliessen kann.[52] Als weiteren Problemkreis bezeichnete der EDÖB bereits 2012, dass er seit längerem die Tendenz beobachte, dass Kredit- und Wirtschaftsauskunfteien immer mehr Daten über Personen bearbeiten würden.[53] 2018 sah er (noch immer) eine Gefahr, dass die Auskunfteien auch Daten sammeln würden, die zur Beurteilung der Kreditwürdigkeit nicht notwendig seien.[54]

Mit diesen und weiteren Problemkreisen befasste sich der EDÖB in den besonders erwähnenswerten Verfahren im Zusammenhang mit dem sog. Mietercheck[55] der Firma X (2008), der Datensammlung Teledata der damaligen Orell Füssli Wirtschaftsinformationen AG (2011) und den Datenbeständen der Zentralstelle für Kreditinformation (ZEK)[56] (2018).[57] Zuletzt leitete der EDÖB im Februar 2020 eine Sachverhaltsabklärung betreffend ein Unternehmen ein, das neben Bonitäts- und Kreditauskünften auch Inkassodienstleistungen anbietet. Grund dafür war, dass es angeblich aufgrund fehlerhafter Datenbankeinträgen zu Verwechslungen von Personen mit gleichen oder ähnlichen Namen bzw. Adressen gekommen sei.[58] Später erweiterte der EDÖB die Sachverhaltsabklärung um die Zulässigkeit der «negativen Haushaltstreffer»,[59] welche diese Auskunftei anbot.[60] Mit Schlussbericht und Empfehlung vom 17. März 2023 schloss der EDÖB die Sachverhaltsabklärung ab und verzichtete auf Empfehlungen hinsichtlich der Verwechslungen und fehlerhaften Datenbankeinträgen. Er empfahl aber die Einstellung der negativen Haushaltstreffer, woraufhin die Auskunftei diese Praxis beendete.[61]

Zu einem Verfahren vor Bundesverwaltungsgericht kam es betreffend das Angebot von Moneyhouse,[62] das eine umfassende Personen- und Firmensuche erlaubte und bei natürlichen Personen Zugriff auf systematisch verknüpfte Informationen zu deren privaten Wohn- und Lebenssituation gewährte.[63] Nachdem die Betreiberin von Moneyhouse die betreffende Empfehlung des EDÖB abgelehnt hatte,[64] erhob dieser Klage[65] vor dem Bundesverwaltungsgericht. In einem vielbeachteten[66] Entscheid konstatierte das Bundesverwaltungsgericht widerrechtliche Persönlichkeitsverletzungen seitens der Betreiberin von Moneyhouse und verpflichtete sie (unter Vorbehalt einer Einwilligung der betroffenen Personen), verschiedene Daten zu löschen sowie geeignete Massnahmen zur Datenrichtigkeit und Datensicherheit zu treffen.[67] Wie sich im Rahmen dieser Untersuchung zeigen wird, handelt es sich dabei aus datenschutzrechtlicher Sicht um den noch heute zentralen Leitentscheid für die Praxis der schweizerischen Auskunfteien.

Medienmitteilung vom 9. April 2024, Betreibungs- und Konkursstatistik 2023, Die Konkurse haben erstmals seit Beginn der Zeitreihe in drei aufeinanderfolgenden Jahren zugenommen, abrufbar unter <https://www.bfs.admin.ch/bfs/de/home/aktuell/neue-veroeffentlichungen.assetdetail.31186339.html>, zuletzt besucht am 30. September 2024; vgl. auch Egeli, S. 37, der auf die Verluste von 2021 im Betrag von über CHF 4 Mia. verweist. ↵

Egeli, S. 37. ↵

Vgl. Egeli, S. 37, wobei unklar ist, ob diese Schätzung generell oder lediglich für das Jahr 2021 gelten soll, in dem auch die Verluste aus erledigten Konkursverfahren mit CHF 4.1 Mia. höher lagen als jene im Jahr 2023; ferner Wermelinger, Jusletter 2024, Rn. 15, der ebenso annimmt, dass der reelle gesamtwirtschaftliche Schaden mehrfach höher liege als der Verlust aus den erledigten Konkursverfahren. ↵

Vgl. dazu oben Einleitung, B.II.1. ↵

Vgl. SHK aDSG-Wermelinger, Art. 13 N 23. ↵

Es handelt sich in der Schweiz im Wesentlichen um die Dun & Bradstreet Schweiz AG (vormals Bisnode D&B Schweiz AG), die Schweizerischer Verband Creditreform Gen, die CRIF AG und die Intrum AG; vgl. dazu unten Teil 1, D.II.2. ↵

Gemäss Aussage des Geschäftsführers von Handelsverband.swiss im Jahr 2020 ist die Rechnung die beliebteste Zahlungsmodalität im Online-Handel (Michel, o.S.). Auch nach einem 2018 zuhanden des Bundesamts für Justiz verfassten Berichts erfolgen Zahlungen im Online-Handel zu 80 % auf Rechnung (Peter et al., S. 18). ↵

Ohne eine Abklärung der Kreditwürdigkeit, wie sie Bonitätsauskünfte ermöglichen, dürften viele Online-Shops ihr Angebot nur noch gegen Vorauszahlung oder mit einem Preisaufschlag bereithalten (Peter et al., S. 18; vgl. auch Schröder et al., in: Schröder/Taeger, S. 27). ↵

EDÖB, Mietercheck, Rn. 1 ff.; EDÖB, Tätigkeitsbericht 2008/2009, S. 73 ff.; EDÖB, Tätigkeitsbericht 2009/2010, S. 76 f. ↵

Eine schweizerische Auskunftei wollte eine «Mitarbeiter-Check» genannte Dienstleistung anbieten, mit der Personalverantwortliche Bonitäts- und Adressdaten von Bewerbenden zwecks Beurteilung von deren Eignung für die Arbeitsstelle hätten beziehen können. Nachdem der EDÖB beim BVGer erfolgreich die Untersagung dieser Dienstleistung im Sinne einer vorsorglichen Massnahme beantragt hatte (BVGer, A‑8028/2008 vom 14. Januar 2009), verzichtete die Auskunftei darauf, die Dienstleistung tatsächlich anzubieten (EDÖB, Tätigkeitsbericht 2009/2010, S. 70; vgl. auch Schäfer, in: Epiney et al. 2011, S. 61; Schäfer, S. 78 f.). ↵

Peter et al., S. 2, 17 und 21 ff.; vgl. auch Bericht Wirtschaftsauskunfteien, S. 8 und 10. ↵

Für einen Grossteil des Umsatzes sind Finanzdienstleister wie Banken und Kreditversicherungen verantwortlich, die als Grundlage für ihre Entscheidungen über oft hohe Kreditbeträge auf detaillierte Auskünfte angewiesen sind und entsprechend höhere Preise dafür bezahlen (Peter et al., S. 20 und 22). ↵

Bericht Wirtschaftsauskunfteien, S. 10; Peter et al., S. 2, 19 und 23. Bei der Anzahl Auskünfte sprechen Peter et al., S. 2, 20 und 23, von rund 57 Mio. pro Jahr. ↵

Von den täglich rund 100’000 durch die schweizerische Auskunftei CRIF AG erteilten Auskünfte entfallen 80 % auf den Online-Handel (Peter et al., S. 21). ↵

Peter et al., S. 18 und 21; vgl. auch Bericht Wirtschaftsauskunfteien, S. 10. Nachdem das Marktvolumen des Online-Handels in der Schweiz 2020 um beachtliche 27.2 % und 2021 um 10 % wuchs, sank es 2022 um 2 %. Im Jahr 2023 stellte sich wieder ein Wachstum gegenüber dem Vorjahr ein, und zwar um 3 % auf CHF 14.4 Mia. (Handelsverband.swiss et al., S. 11). ↵

Peter et al., S. 21; vgl. auch Bericht Wirtschaftsauskunfteien, S. 10. ↵

Auf der Ebene der EU stand soweit ersichtlich die datenschutzrechtliche Regelung von Kreditwürdigkeitsprüfungen (ausserhalb der Bereiche der Konsumkredite und der KI; vgl. dazu oben Einleitung, B.II.2. und B.II.3.) bisher weniger im Fokus der Politik. Zu erwähnen ist etwa, dass die Materialien zur DSRL, dem Vorgängererlass der DSGVO, darauf hinweisen, dass die Tätigkeit der Kreditauskunfteien von der DSRL «ganz besonders […] betroffen sein» werde und die auf Kreditscoring gestützte Kreditvergabe den Vorgaben von Art. 15 DSRL zu den automatisierten Entscheidungen unterstehen könne (EG Kommission, Geänderter Vorschlag DSRL, S. 27 und 126). Art. 15 DSRL setzte für eine solche Entscheidung die Bewertung eines persönlichen Aspekts voraus und nannte als Beispiel dafür die Kreditwürdigkeit. Die DSGVO adressiert nirgends ausdrücklich die Kreditwürdigkeit oder deren Prüfung; einzig EG 71 Satz 1 DSGVO führt die automatische Ablehnung eines Online-Kreditantrags als Beispiel einer automatisierten Entscheidung auf (vgl. dazu unten Teil 4, D.). Wie vereinzelte parlamentarische Anträge zeigen, gab es indes Diskussionen darüber, einerseits Profiling zum Zweck der Kreditwürdigkeitsprüfung zu privilegieren, andererseits Kreditscoring, dessen Methoden sowie die für Kreditwürdigkeitsprüfungen verwendbaren Daten einzuschränken (Amendments LIBE, S. 49 und 55 [Amendments 1587 und 1602]). ↵

Vgl. Amtl. Bull. SR 1990 S. 144 (Votum Danioth); BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5; Hofer, in: Passadelis et al., Rn. 16.41. ↵

Vgl. Amtl. Bull. NR 1991 S. 1283 (insb. Voten Vollmer und Nabholz). ↵

Botschaft DSG 1988, S. 461. Später strich das Parlament diese Einschränkung (vgl. Art. 13 Abs. 2 lit. c aDSG). ↵

Vgl. Amtl. Bull. NR 1991 S. 1282 ff. (insb. Voten Nebiker und Koller); Amtl. Bull. SR 1990 S. 143 ff. (insb. Votum Danioth). ↵

Frage Candinas (12.5478); Anfrage Comte (12.1084); Motion Savary (12.3578). ↵

Vgl. dazu unten Teil 1, C.II.3.3. ↵

Motion Savary (12.3578). ↵

Stellungnahme des Bundesrates zur Motion Savary (12.3578). ↵

Vgl. Amtl. Bull. SR 2012 S. 924 f. ↵

Die Forderungen einzelner Vernehmlassungsteilnehmer nach einem Verbot von Bonitätsdatensammlungen zum einen und einer Überprüfung einer Verschärfung des DSG gegenüber solche Sammlungen betreibenden Unternehmen zum anderen liess der Bundesrat im E-DSG unberücksichtigt, da die Beantwortung des Postulats Schwaab (16.3682) noch ausstand (vgl. Botschaft Totalrevision DSG, S. 6982). ↵

Vgl. dazu unten Teil 3, B.III. ↵

Art. 27 Abs. 2 lit. c Fahne Herbstsession 2020 NR/SR. ↵

SPK-NR vom 23./24. Mai 2019, S. 39 ff. ↵

SPK-NR vom 23./24. Mai 2019, S. 47. ↵

Gemäss seinem Beschluss vom 18. Dezember 2019 wollte der Ständerat Verantwortliche verpflichten, die betroffene Person über eine allfällige Absicht zu informieren, Personendaten zur Prüfung ihrer Kreditwürdigkeit zu bearbeiten und Dritten bekannt zu geben (vgl. Art. 17 Abs. 2 lit. e Fahne Entwurf 3 Frühjahrssession 2020 NR). Auf Gesuch hin sollte die betroffene Person zudem Auskunft über das allfällige Vorliegen einer Datenbearbeitung zur Prüfung ihrer Kreditwürdigkeit sowie die Logik, auf der diese Bearbeitung beruht, erhalten (vgl. Art. 23 Abs. 2 lit. h Fahne Entwurf 3 Frühjahrssession 2020 NR). Angesichts Art. 19 Abs. 2 lit. b und c sowie Art. 25 Abs. 2 lit. c DSG hätten diese Bestimmungen – abgesehen von der Auskunft über die Logik – ohnehin über keine eigenständige Bedeutung verfügt (vgl. SPK-SR vom 18./19. November 2019, Beilage «3. Commentaires de l’OFJ»). ↵

Postulat Schwaab (16.3682), das der Nationalrat auf Antrag des Bundesrates am 16. Dezember 2016 annahm (Amtl. Bull. NR 2016 S. 2287). ↵

Bericht Wirtschaftsauskunfteien, S. 4 ff. ↵

Die 2018 veröffentlichte Studie des Beratungs- und Forschungsbüros Ecoplan und der Anwaltskanzlei niclaw (zit. als Peter et al.) stellt u.a. auf Befragungen von Auskunfteien, Konsumentenschutzorganisationen, des Schweizerischen Gewerbeverbands und des EDÖB sowie auf Internet- und Literaturrecherche ab (Peter et al., S. 11 f.). ↵

Bericht Wirtschaftsauskunfteien, S. 7. ↵

Der Bundesrat lehnte insb. die Schaffung einer zusätzlichen Aufsichtsbehörde, die Pflicht zur Erstellung von Reportings und Gutachten sowie auch eine Bewilligungspflicht und eine regelmässige Überprüfung der Bonitätsberechnung durch eine unabhängige Behörde ab (Bericht Wirtschaftsauskunfteien, S. 34 f.). ↵

Die damaligen IG Wirtschaftsauskunfteien Verhaltensregeln 2020 wurden in der Zwischenzeit revidiert (vgl. IG Wirtschaftsauskunfteien Verhaltensregeln). ↵

Konkret empfahl der Bundesrat, (i) zusätzliche Regelungen zur Information über die Datenbeschaffung und Datenbekanntgabe, insb. Kontrollmassnahmen für den Fall, dass die Auskunfteien ihre Informationspflicht durch ihre Kundinnen erfüllen lassen, (ii) eine Präzisierung, welche Arten von Daten mit welcher ungefähren Gewichtung in die Berechnung des Scorewerts einfliessen, oder eine ausdrückliche Verpflichtung der Auskunfteien, die Grundzüge der Berechnung – unter Einhaltung des Geschäftsgeheimnisses – zu veröffentlichen sowie (iii) ein ausdrückliches Verbot, persönliche Merkmale wie z.B. das Geschlecht oder die Wohngegend, die nicht auf die individuelle Zahlungsfähigkeit bzw. -willigkeit der betroffenen Person zugeschnitten sind, in die Berechnung miteinzubeziehen (Bericht Wirtschaftsauskunfteien, S. 37 ff.). Die revidierten Verhaltensregeln setzen diese Empfehlungen teilweise um; neu findet sich darin etwa eine Regelung zur Information der betroffenen Person und eine ausdrückliche Verpflichtung der Auskunfteien, die Grundzüge der Berechnung des Bonitätsscores zu veröffentlichen (IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 9 und 16). ↵

Motion Roduit (23.4389). ↵

Stellungnahme des Bundesrates zur Motion Roduit (23.4389). ↵

Zu datenschutzrechtlichen Verfahren vor ausländischen Behörden oder Gerichten ist es gegen schweizerische Auskunfteien soweit ersichtlich noch nicht gekommen. Ausserhalb der Schweiz beschäftigen indes immer wieder die lokalen Auskunfteien die Rechtspraxis, wofür sich stellvertretend als «Spitze des Eisbergs» auf die Verfahren vor dem EuGH zur Praxis der deutschen Auskunftei SCHUFA, der österreichischen Niederlassung der CRIF bzw. jener der Dun & Bradstreet verweisen lässt (EuGH, Rs. C‑26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. [Restschuldbefreiung]; EuGH, Rs. C‑634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. [Scoring]; EuGH, Rs. C‑487/21 vom 4. Mai 2023, Österreichische Datenschutzbehörde; GA de la Tour, Rs. C‑203/22 vom 12. September 2024, Dun & Bradstreet Austria). ↵

Peter et al., S. 38 und 40. Eine besondere Betroffenheit spezifischer – etwa nach Geschlecht, Herkunft oder Alter definierter – Gruppen ergibt sich aus den Meldungen bei den Konsumentenschutzorganisationen nicht (Peter et al., S. 37). ↵

Peter et al., S. 38 und 40; vgl. auch EDÖB, Tätigkeitsbericht 2011/2012, S. 82. ↵

Peter et al., S. 38. ↵

Peter et al., S. 38. ↵

Peter et al., S. 3 und 40; zur Anzahl erteilter Auskünfte pro Jahr vgl. oben Einleitung, B.III.1. Selbst bei Annahme einer Dunkelziffer nicht gemeldeter Probleme in hundertfacher Höhe der erfolgten Meldungen, hielte sich der Anteil Meldungen an den erteilten Auskünften noch immer im Promillebereich (Peter et al., S. 40 [Fn. 47]). ↵

Peter et al., S. 37 f. ↵

Bericht Wirtschaftsauskunfteien, S. 16; Peter et al., S. 37 f., 54 und 65. ↵

Bericht Wirtschaftsauskunfteien, S. 16; Peter et al., S. 37 f., 54 und 65. ↵

Bericht Wirtschaftsauskunfteien, S. 14; Peter et al., S. 31, 53 und 65; vgl. auch Buchner, in: Specht-Riemenschneider et al., S. 102 f., zur deutschen Auskunftei SCHUFA. ↵

Bericht Wirtschaftsauskunfteien, S. 15; Peter et al., S. 64 und 67. ↵

EDÖB, Tätigkeitsbericht 2011/2012, S. 82. ↵

Peter et al., S. 38. ↵

Die Empfehlung des EDÖB spricht vom «Auskunftservice A»; im Übrigen verwendet der EDÖB den sprechenderen Namen «Mietercheck» (EDÖB, Tätigkeitsbericht 2008/2009, S. 73 und 142; Thür, BJM 2010, S. 238). ↵

Bei der ZEK handelt es sich nicht um eine Auskunftei, sie stellt aber ebenfalls bestimmten Kreditgeberinnen Bonitätsdaten für Kreditwürdigkeitsprüfungen bereit (vgl. dazu unten Teil 1, C.II.3.2). ↵

EDÖB, Mietercheck; EDÖB, Teledata; EDÖB, ZEK. ↵

EDÖB, Tätigkeitsbericht 2019/2020, S. 37. ↵

Bei negativen Haushaltstreffern gibt die Auskunftei der Kreditgeberin negative Bonitätsdaten über eine Person bekannt, die (vermutlich) im selben Haushalt lebt wie die auf ihre Kreditwürdigkeit hin zu beurteilende Person (vgl. dazu unten Teil 1, E.I.2.3.b). ↵

EDÖB, Tätigkeitsbericht 2020/2021, S. 34. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 99. ↵

Bereits vor dem hier angesprochenen Verfahren hatte sich das Bundesverwaltungsgericht mit Moneyhouse zu befassen. Im betreffenden Entscheid ging es allerdings um die Veröffentlichung von Handelsregisterdaten, die mit verschiedenen Suchfunktionen «veredelt» wurden (BVGE 2008/16). ↵

BVGer, A-4232/2015 vom 18. April 2017, insb. E. 5.2.5.1 ff. ↵

EDÖB, Moneyhouse, Rn. 1 ff. ↵

Vor Inkrafttreten des neuen DSG fehlte dem EDÖB die Kompetenz zum Erlass von Verfügungen; es stand ihm vielmehr einzig zu, Empfehlungen auszusprechen (Art. 29 Abs. 3 aDSG). Wurde eine solche nicht befolgt oder abgelehnt, konnte er die Angelegenheit mittels Klage vor das Bundesverwaltungsgericht bringen (Art. 29 Abs. 4 aDSG). ↵

Cellina/Geissbühler, dRSK 2017, Rn. 1 ff.; Fontana, S. 16 ff.; Kern/Egli, in: Epiney/Sangsue, S. 130 ff.; Métille/Nguyen Xuan, S. 176 ff. ↵

BVGer, A-4232/2015 vom 18. April 2017. ↵

IV

Aufbau und Methodik der Untersuchung

4

Aufbau

Der Hauptteil der vorliegenden Untersuchung gliedert sich in vier Teile. Der erste Teil arbeitet die Grundlage des Kreditscorings – insbesondere mit Blick auf die Praxis der schweizerischen Auskunfteien – auf und beleuchtet unter anderem den wirtschaftlichen oder rechtlichen Anlass, die involvierten Akteurinnen und die Funktionsweise des Kreditscorings. Der zweite Teil umreisst den Anwendungsbereich des Datenschutzrechts, skizziert die datenschutzrechtlichen Rollen, insbesondere jene der Auskunftei, klärt die (unterschiedlichen) Begriffe der Rechtmässigkeit im schweizerischen bzw. europäischen Recht und geht kurz auf die Sanktionen bei Datenschutzverletzungen ein. Der dritte Teil adressiert darauf aufbauend die Berechnung des Kreditscores als Profiling und die diesbezüglichen datenschutzrechtlichen Vorgaben, bevor sich der vierte Teil der Frage widmet, ob und gegebenenfalls unter welchen Umständen die Berechnung des Kreditscores (auch) als automatisierte Entscheidung einzustufen ist und eine Auskunftei die in diesem Zusammenhang geltenden Einschränkungen und Pflichten zu beachten hat. Der Schlussteil fasst die Erkenntnisse in Thesen zusammen.

Die Untersuchung behandelt das schweizerische und europäische Recht im Sinne einer synoptischen Gegenüberstellung, um Gemeinsamkeiten hervorzuheben und allfällige Unterschiede herauszuarbeiten. Bestehen konzeptionelle Unterschiede zwischen den einschlägigen Datenschutzerlassen, wird grundsätzlich die Rechtslage nach schweizerischem Recht für die Strukturierung als massgebend betrachtet.[1] Verunmöglichen allerdings solche Unterschiede eine synoptische Darstellung, handelt die Untersuchung das schweizerische und das europäische Recht unter separaten Titeln ab.

Auch bei begrifflichen Unterschieden wie etwa bei Bearbeiten statt Verarbeitung oder Personendaten statt personenbezogene Daten (vgl. Art. 5 lit. a und d DSG; Art. 4 Ziff. 1 und 2 DSGVO) bedient sich die Untersuchung der Terminologie des DSG, sofern die Aussage für beide Rechtsordnungen gilt. ↵

5

Methodik

Bei der vorliegenden Untersuchung handelt es sich um eine Arbeit der Rechtswissenschaft, weshalb (primär) deren Methodik zur Anwendung kommt. Gleichwohl greift die Dissertation auf Erkenntnisse aus den Wirtschaftswissenschaften zurück, um beispielsweise den wirtschaftlichen Anlass für das Kreditscoring anhand der Interessen der Kreditgeberinnen, der kreditinteressierten Person und der Öffentlichkeit zu erörtern.[1] Ebenfalls um die Grundlagen des Kreditscorings zu erarbeiten, zieht die Untersuchung auch Literatur aus den Bereichen der Statistik, Datenwissenschaften und Informatik zurate. In diesen Bereichen leistet die Untersuchung indes keinen Beitrag an die Forschung.

Rechtswissenschaftliche Methoden

Klassischer Methodenpluralismus

Für den Erkenntnisgewinn steht die klassische juristische Methodenlehre im Vordergrund, wonach Gesetzestexte analysiert und Gerichtsentscheide, Materialien sowie juristische Literatur studiert und reflektiert werden.[2] Der klassische Kanon der Auslegungselemente umfasst in der Schweiz die grammatikalische, systematische, historische und teleologische Methode, anhand derer ein Gesetzestext zu interpretieren ist.[3] Dabei gilt es, der bundesgerichtlichen Rechtsprechung folgend, einen pragmatischen Methodenpluralismus anzuwenden, der keinem der einzelnen Elemente a priori eine übergeordnete Stellung einräumt.[4]

Der Ausgangspunkt jeder Auslegung ist nach der grammatikalischen Methode der Wortlaut der zu interpretierenden Norm.[5] Gemäss der systematischen Methode ist die Norm ausserdem in ihrem normativen Kontext zu betrachten und ihr ein möglichst widerspruchsfreier Sinn zuzuweisen.[6] Weiter zu berücksichtigen ist nach der historischen Auslegung die Entstehungsgeschichte des betreffenden Erlasses;[7] die Gesetzesmaterialien sind zwar nicht unmittelbar entscheidend, dienen aber als Hilfsmittel zur Erkennung des Normsinnes und verfügen über eine besondere Stellung bei der Auslegung neuerer Bestimmungen.[8] Auszurichten hat sich eine Auslegung schliesslich, wie es die teleologische Methode verlangt, am Zweck der Norm.[9]

Für die Auslegung des Sekundärrechts[10] der EU sind im Wesentlichen dieselben Methoden massgebend.[11] Nach ständiger Rechtsprechung des EuGH sind die Bedeutung und Tragweite von nicht legaldefinierten Begriffen unter Berücksichtigung ihrer üblichen Bedeutung in der Alltagssprache zu bestimmen,[12] wobei auch der Kontext, in dem sie vorkommen, und der Zweck der Vorschriften, zu denen sie gehören, zu beachten sind.[13] Ebenso wendet der EuGH die historische Methode an, wenn auch im Vergleich zur schweizerischen Methodenpraxis etwas weniger oft, da die Materialien zuweilen schlechter zugänglich sind.[14] Gerade zur Auslegung der hier besonders interessierenden DSGVO hat sich der EuGH allerdings auch schon unter Beizug der Materialien massgeblich auf die Entstehungsgeschichte abgestützt.[15] Im Übrigen stellt der Gerichtshof häufig auf den sog. «effet utile» ab, wonach eine Bestimmung so auszulegen ist, dass die praktische Wirksamkeit der Bestimmung und des EU-Rechts im Allgemeinen gewährleistet ist.[16]

Völker- und europarechtskonforme Auslegung

Völkerrechtskonforme Auslegung

Innerstaatliches Recht ist gemäss bundesgerichtlicher Rechtsprechung im Zweifel völkerrechtskonform, also in grösstmöglicher Übereinstimmung mit einschlägigen Staatsverträgen, auszulegen, insbesondere wenn letztere jüngeren Datums als die auszulegende Bestimmung sind.[17] Vorliegend steht als Staatsvertrag die revidierte Konvention 108 (Konv. 108+)[18] des Europarates im Vordergrund, die bisher einzige verbindliche internationale Konvention zum Datenschutz,[19] deren Vorgaben mangels unmittelbarer Anwendbarkeit im nationalen Recht umzusetzen sind.[20] Sofern also eine zu interpretierende Bestimmung des DSG die Vorgaben der Konv. 108+ direkt oder indirekt zu verwirklichen bezweckt, ist sie bei sonst unklarem Auslegungsergebnis im Einklang mit der Konv. 108+ auszulegen,[21] zumal es auch ausdrückliches Ziel der Totalrevision des DSG war, die revidierte Konvention ratifizieren zu können.[22]

Die Revision der Konvention 108 wurde parallel zur DSGVO ausgehandelt, um die Vereinbarkeit der Konvention mit dem Datenschutzrecht der EU zu gewährleisten.[23] Nach Ansicht der EU steht die Konv. 108+ «in vollem Einklang» mit der DSGVO, «wodurch ausgeschlossen wird, dass die Mitgliedstaaten unterschiedlichen oder sogar widersprüchlichen Verpflichtungen nach dem Unionsrecht und dem Recht des Europarates unterliegen».[24] Demzufolge lässt sich auch hinsichtlich der DSGVO festhalten, dass diese im Zweifel soweit möglich übereinstimmend mit der Konv. 108+ auszulegen ist.[25]

Europarechtskonforme Auslegung

Das Recht der EU entfaltet grundsätzlich keine unmittelbaren verbindlichen Auswirkungen auf das schweizerische Recht.[26] Der Beizug des europäischen Rechts als Auslegungshilfe drängt sich aber auf, sofern der schweizerische Gesetzgeber eine Koordination bezweckt hat und sich die Regelungen auch inhaltlich entsprechen.[27] Nach der Rechtsprechung ist insbesondere autonom nachvollzogenes EU-Recht europarechtskonform auszulegen.[28] Rein formelle oder terminologische Angleichungen des schweizerischen an das europäische Recht verlangen hingegen keine europarechtskonforme Auslegung.[29] Liegt der erforderliche gesetzgeberische Wille vor, bleibt eine solche Auslegung dennoch den Zweifelsfällen vorbehalten,[30] also Situationen, in denen das Verständnis nach Anwendung der klassischen Auslegungselemente[31] unklar bleibt. Gegebenenfalls ist die dazugehörige europäische Gerichts- und Behördenpraxis autoritativ mitzuberücksichtigen[32] und lässt sich auch die entsprechende Lehre heranziehen.[33]

Anders als die JIRL[34] ist die DSGVO für die Schweiz nicht unmittelbar verbindlich.[35] Auch wollte der schweizerische Gesetzgeber die DSGVO nicht als Ganzes autonom nachvollziehen,[36] sondern vielmehr bloss sicherstellen, dass die EU-Kommission die Angemessenheit des schweizerischen Datenschutzrechts bestätigen würde.[37] Gleichzeitig bemühte sich der Gesetzgeber, im DSG keine strengeren bzw. weitergehenden Vorgaben als jene der DSGVO (sog. «Swiss Finish») vorzusehen.[38] Diese gesetzgeberischen Absichten sind bei der Auslegung des DSG zu berücksichtigen. Die DSGVO ist nur, aber immerhin teilweise samt dazugehöriger Lehre und insbesondere Praxis als Auslegungshilfe heranzuziehen. Dafür ist jeweils im Einzelfall zu prüfen, ob der Gesetzgeber bei der zu interpretierenden Bestimmung eine materielle Angleichung beabsichtigt hat.[39] Im Verneinungsfall lässt sich Lehre und Praxis zur DSGVO nicht ohne Weiteres für die Auslegung des DSG übernehmen.[40] Eine Plausibilisierung des Auslegungsergebnisses durch eine rechtsvergleichende, Lehre und Praxis einbeziehende Betrachtung bleibt aber zulässig[41] und findet sich auch schon verschiedentlich in der schweizerischen Rechtsprechung.[42]

Methode der empirischen Sozialforschung

Um die vorliegende Untersuchung möglichst praxisnah zu gestalten, wurden Erhebungen durchgeführt, die methodologisch der empirischen Sozialforschung zuzuordnen sind. Ziel der Erhebungen war es, ausgewählte, für die datenschutzrechtliche Untersuchung relevante Aspekte der Praxis des Kreditscorings in der Schweiz in Erfahrung zu bringen. Insbesondere ging es darum, die von den Auskunfteien für das Kreditscoring beschafften und verwendeten Daten, die von ihnen benutzten Datenquellen sowie die (für die Entwicklung der Scoring-Modelle) eingesetzten Verfahren und Techniken zu erheben. Zu diesem Zweck war die Durchführung einer Online-Umfrage bei den vier schweizerischen Auskunfteien (Dun & Bradstreet Schweiz AG, Schweizerischer Verband Creditreform Gen, CRIF AG und Intrum AG) geplant.

Nach der Absage der Dun & Bradstreet Schweiz AG (damals Bisnode D&B Schweiz AG), die sich ohnehin auf Auskünfte über hier nicht relevante juristische Personen fokussiert,[43] erfolgten die beschriebenen Erhebungen mit den verbleibenden drei Auskunfteien im Frühjahr 2021. Der Fragebogen enthielt 29 Fragen zu den genannten Themenkreisen und wurde jeweils von Mitgliedern der Geschäftsleitung bzw. Verantwortlichen für Data & Analytics beantwortet. Den Auskunfteien wurde zugesichert, dass die Verwendung der Antworten in der vorliegenden Untersuchung keine Rückschlüsse auf die Praxis einer bestimmten Auskunftei zulässt (soweit die Antwort nicht auf alle Auskunfteien zutrifft). Das Ergebnis floss insbesondere in den ersten Teil der vorliegenden Untersuchung zu den Grundlagen des Kreditscorings ein. Dabei fand keine wertende Interpretation der Antworten statt; sie wurden vielmehr zur deskriptiven Darstellung der Praxis der schweizerischen Auskunfteien übernommen. Wo im Folgenden eine Aussage auf die Umfrage abstellt, ist letztere (mit dem Hinweis «Ergebnis eigene Umfrage») als Beleg ausgewiesen.

Vgl. dazu unten Teil 1, B.I.2. und B.I.3. ↵

Vgl. Henseler, Datenschutz, S. 10. ↵

Vgl. dazu ausführlich Kramer/Arnet, S. 63 ff. m.w.H. ↵

Statt vieler BGE 145 III 63 E. 2.1; BGE 143 I 272 E. 2.2.3; BGE 140 II 495 E. 2.3.3. ↵

Statt vieler BGE 147 V 174 E. 6.2.2; BGE 143 I 272 E. 2.2.3; BGE 142 V 402 E. 4.1. ↵

Statt vieler BGE 147 III 218 E. 3.3.2.1; BGE 142 I 135 E. 1.1.1; BGE 139 II 404 E. 4.2. ↵

Statt vieler BGE 143 I 272 E. 2.2.3; BGE 142 I 135 E. 1.1.1; BGE 139 II 404 E. 4.2. ↵

Statt vieler BGE 140 III 206 E. 3.5.4; BGE 139 III 98 E. 3.1; BGE 133 III 497 E. 4.1. ↵

Statt vieler BGE 143 I 272 E. 2.2.3; BGE 142 I 135 E. 1.1.1; BGE 141 II 57 E. 3.2. ↵

Beim Sekundärrecht handelt es sich um die Rechtsakte, die auf der Grundlage und nach Massgabe des Primärrechts, also insb. der EU-Verträge wie des EUV und des AEUV, erlassen werden. Unter den in Art. 288 AEUV aufgezählten sekundärrechtlichen Handlungsformen sind die generell-abstrakten und verbindlichen Verordnungen und Richtlinien hervorzuheben (Oesch, Rn. 417 f.). ↵

Oesch, Rn. 461; Streinz, S. 242; vgl. auch Lenaerts/Gutiérrez-Fons, S. 6; Rösler, S. 979. ↵

Dabei sind alle 24 Sprachfassungen des EU-Rechts gleichermassen verbindlich (vgl. Lenaerts/Gutiérrez-Fons, S. 8). ↵

Statt vieler EuGH, Rs. C‑476/17 vom 29. Juli 2019, Pelham u.a., Ziff. 28; EuGH, Rs. C-12/11 vom 31. Januar 2013, McDonagh, Ziff. 28; EuGH, Rs. C-336/03 vom 10. März 2005, easyCar, Ziff. 21. ↵

Oesch, Rn. 460; Rösler, S. 979; vgl. auch Streinz, S. 242. ↵

EuGH, Rs. C-439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 77. ↵

Oesch, Rn. 472; Rösler, S. 979; vgl. auch EuGH, Rs. C-6/90 und C-9/90 vom 19. November 1991, Francovich und Bonifaci / Italien, Ziff. 33. ↵

BGE 141 II 436 E. 4.1; BGE 130 I 312 E. 1.1; BGE 94 I 669 E. 6a. ↵

Die Konvention wurde 2018 einer Revision unterzogen, die indes noch nicht in Kraft getreten ist. Das Änderungsprotokoll wurde von der Schweiz am 21. November 2019 unterzeichnet und am 7. September 2023 vom Bundesrat ratifiziert. Die Konv. 108+ tritt in Kraft, wenn das Änderungsprotokoll von allen Vertragsparteien der ursprünglichen Konvention ratifiziert wurde, oder nach einem Zeitraum von fünf Jahren, nachdem es zur Unterzeichnung aufgelegt wurde (d.h. 11. Oktober 2023), sofern dem Protokoll mindestens 38 Vertragsparteien angehören (Art. 37 Protokoll zur Änderung des Übereinkommens zum Schutz des Menschen bei der automatisierten Verarbeitung personenbezogener Daten vom 10. Oktober 2018 [SEV Nr. 223]; vgl. auch Botschaft Konv. 108+, S. 587). ↵

Baeriswyl, S. 9; de Terwangne, in: Epiney et al. 2022, S. 49. ↵

SHK DSG-Baeriswyl/Pärli, DSG und europäisches Datenschutzrecht N 17; OFK DSG-Epiney/Frei, Die völker- und europarechtliche Einbettung des DSG N 4 f. ↵

BSK DSG-Vasella, Einleitung N 89; vgl. auch Baeriswyl, S. 10; CR LPD-Flueckiger, Intro. aux Art. 19–21 N 38. ↵

Botschaft Totalrevision DSG, S. 6970, vgl. auch S. 6995; vgl. auch Amtl. Bull. NR 2019 S. 1782 (Votum Keller-Sutter); Amtl. Bull. SR 2019 S. 1237 f. (Votum Fässler). ↵

Explanatory Report Convention 108, Rn. 3; vgl. auch Botschaft Totalrevision DSG, S. 6966. ↵

Europäische Kommission, Vorschlag Beschluss Konv. 108+, S. 3. ↵

Tosoni, S. 159, vgl. auch S. 160, in Bezug auf Art. 22 Abs. 1 DSGVO. ↵

BGE 129 III 335 E. 6; BGE 125 II 293 E. 4e; BGer, 2A.503/2000 vom 3. Oktober 2001, E. 9b. ↵

BGE 137 II 199 E. 4.3.1; vgl. auch BGer, 2A.503/2000 vom 3. Oktober 2001, E. 9b. ↵

BGE 137 II 199 E. 4.3.1; BGE 130 III 182 E. 5.5.1; BGE 129 III 335 E. 6. ↵

BGE 137 II 199 E. 4.3.2; vgl. auch BSK DSG-Vasella, Einleitung N 92. ↵

BGE 130 III 182 E. 5.5.1; BGE 129 III 335 E. 6. ↵

Vgl. dazu oben Einleitung, C.II.1.1. ↵

Steiner, S. 73; vgl. auch BGE 129 III 335 E. 6. ↵

Vgl. BGE 130 III 182 E. 5.5.1; BGE 129 III 335 E. 6. ↵

Aufgrund des Schengen-Assoziierungs-Abkommens ist die Schweiz verpflichtet, die JIRL umzusetzen (Botschaft Totalrevision DSG, S. 6964 und 6969 f.; OFK-Epiney/Frei, Die völker- und europarechtliche Einbettung des DSG N 40). Ihr Anwendungsbereich beschränkt sich auf vorliegend nicht interessierende Verarbeitungen personenbezogener Daten durch Behörden zum Zweck der Verhütung, Ermittlung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (Art. 1 Abs. 1 JIRL). ↵

Botschaft Totalrevision DSG, S. 6964, vgl. auch S. 6998; Amtl. Bull. SR 2019 S. 1238 (Votum Keller-Sutter); OFK-Epiney/Frei, Die völker- und europarechtliche Einbettung des DSG N 40 f. ↵

Vgl. Botschaft Totalrevision DSG, S. 6943 und 6970, wonach die schweizerische Gesetzgebung an die DSGVO angenähert werden soll ohne deren vollständige Umsetzung; ähnlich Amtl. Bull. NR 2019 S. 1238 f. (Votum Keller-Sutter); ferner Steiner, S. 84 ff., insb. S. 88; BSK DSG-Vasella, Einleitung N 91. ↵

Vgl. statt vieler Botschaft Totalrevision DSG, S. 6943, 6965, 6970 und 6998; Amtl. Bull. NR 2019 S. 1774 und 1790 (Voten Jauslin); Amtl. Bull. SR 2019 S. 1238 f. (Voten Fässler und Keller-Sutter); Amtl. Bull. SR 2020 S. 990 (Votum Fässler); Stellungnahme des Bundesrates zur Interpellation Vogt (20.4701). In der Zwischenzeit hat die EU-Kommission geprüft, ob die Schweiz vor dem Hintergrund des europäischen Datenschutzrechts, insb. der DSGVO, über ein angemessenes Datenschutzniveau verfügt, und dies in einem im Januar 2024 veröffentlichten Bericht bestätigt (Europäische Kommission, Bericht Angemessenheitsfeststellung, S. 15). Damit ist es ohne besondere Genehmigung erlaubt, personenbezogene Daten aus dem EWR an die Schweiz als Drittland zu übermitteln (vgl. Art. 45 DSGVO). ↵

Vgl. statt vieler Botschaft Totalrevision DSG, S. 6977; Amtl. Bull. NR 2019 S. 1815 (Votum Keller-Sutter); Amtl. Bull. NR 2020 S. 142 und 149 ff. (Voten Silberschmidt und Cottier); Amtl. Bull. SR 2020 S. 1026 (Votum Fässler). ↵

Steiner, S. 73 f. und 88 ff.; BSK DSG-Vasella, Einleitung N 91 f.; vgl. auch Baeriswyl, S. 9, wonach eine autonome Auslegung von Bestimmungen, welche die Schweiz indirekt aus der DSGVO übernommen habe, unzulässig sei. ↵

Vgl. Rosenthal, Jusletter 2020, Rn. 11; BSK DSG-Vasella, Einleitung N 95; a.M. George, S. 90, wonach bei einer auslegungsbedürftigen Norm mit äquivalenter Entsprechung im EU-Recht die europäische Praxis zur DSGVO zu berücksichtigen und eine abweichende Auslegung zu begründen sei. ↵

Steiner, S. 73; BSK DSG-Vasella, Einleitung N 95, der eine Plausibilisierung allerdings ablehnt, da sie entweder nutzlos oder eine verdeckte europarechtskonforme Auslegung sei. ↵

BGE 136 II 508 E. 3.6, wo das Bundesgericht seine Auslegung mit jener der Art.‑29‑Datenschutzgruppe vergleicht (Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 19 f.) und feststellt, dass sein Begriffsverständnis mit jenem der personenbezogenen Daten im EU-Recht im Einklang stehe; BVGer, A-4873/2021 vom 11. April 2024, E. 6.4.7 f., wo das Bundesverwaltungsgericht seine Auslegung des Auskunftsrechts (nach Art. 8 aDSG) anhand der Praxis des EuGH zu Art. 15 DSGVO plausibilisiert; vgl. auch BGE 137 II 199 E. 4.3.2, zu Art. 7 Abs. 2 lit. c KG. ↵

Vgl. Peter et al., S. 15. ↵

V

Teil 1:
Grundlagen des Kreditscorings

VI

Was ist Kreditscoring?

Gewährt eine Bank ein Darlehen oder verkauft ein Online-Shop Waren auf Rechnung, besteht das Risiko, dass der Borger bzw. Käufer seiner Leistungspflicht gar nicht, nicht vollständig oder nicht rechtzeitig nachkommt. Diese Unsicherheit nennt sich Kreditrisiko oder kreditorisches Risiko.[1] Ein solches Risiko besteht bei den beispielhaft genannten Geld- und Warenkrediten, aber auch etwa bei Dienstleistungsverträgen, bei denen der Schuldner der Geldleistung in den Genuss einer Vorleistungspflicht seiner Vertragspartnerin kommt, beispielsweise bei Telekommunikationsverträgen, bei denen Leistungen nicht selten im Nachhinein abgerechnet werden. Wer in einer der genannten oder einer anderen Konstellation[2] einem kreditorischen Risiko ausgesetzt ist oder dessen Eingehung in Betracht zieht, hat ein Interesse, dieses Risiko einschätzen zu können. Wie gross dieses Risiko im Einzelfall ist, hängt nicht zuletzt von der Zahlungsfähigkeit und dem Zahlungswillen des Schuldners, also seiner Kreditwürdigkeit,[3] ab.[4]

Eine Methode, um die Kreditwürdigkeit des (potenziellen) Schuldners zu prüfen, und damit das kreditorische Risiko beurteilen zu können, liegt im Kreditscoring. Dabei wird die Kreditwürdigkeit anhand eines – zumeist mit mathematisch-statistischen Verfahren[5] entwickelten – Modells bewertet, dessen Beurteilungskriterien, die Merkmale und ihre Gewichtungen, auf die Erfahrungen mit früheren Kreditnehmern abstellen.[6] Als Merkmal kommen z.B. negative Zahlungserfahrungen in Frage, lassen sich doch verpasste Zahlungsfristen, Betreibungen und dergleichen als Hinweise auf die verminderte Kreditwürdigkeit deuten. Je schwerwiegender, aktueller und häufiger die negativen Zahlungserfahrungen sind, desto stärker trägt das Modell diesem Merkmal Rechnung und fällt dasselbe damit bei der Beurteilung ins Gewicht. Ein Konkurs etwa wiegt schwerer als eine Betreibung, und ein Zahlungsverzug im vergangenen Halbjahr verschlechtert die Beurteilung mehr als einer von vor zwei Jahren.[7]

Das Ergebnis der Kreditwürdigkeitsbeurteilung mittels Kreditscorings ist der Kreditscore. Er stellt in der Regel eine absolute Zahl dar, die umso höher ausfällt, je besser die Kreditwürdigkeit einer betroffenen Person (gemäss dem Modell) einzustufen ist.[8] Während etwa in der Finanzbranche ein exakter Scorewert in der Form einer ganzen Zahl gefragt ist, lässt er sich für andere Branchen, beispielsweise im Online-Handel, auch vereinfacht darstellen, namentlich als Ampelfarben.[9] Gestützt auf den Kreditscore fällt die Kreditgeberin sodann ihren Entscheid über das kreditorische Risiko, z.B. ermöglicht sie den Kauf auf Rechnung, verweigert ein Darlehen, gewährt eine längere Kreditlaufzeit oder verlangt einen höheren Zins.[10]

Abzugrenzen vom so verstandenen Kreditscoring ist das Scoring zu anderen Zwecken als der Kreditwürdigkeitsbeurteilung.[11] Ein Beispiel dafür ist das Social Scoring, das insbesondere im Zusammenhang mit dem von China geplanten und teilweise bereits eingeführten Social Credit System ein Diskussionsthema ist.[12] Es unterscheidet sich zum einen durch die verwendete Datengrundlage, die wesentlich umfassender ist und nicht nur bonitätsrelevante Informationen enthält, und zum anderen durch die möglichen, breiteren Anwendungsbereiche wie etwa die Job- oder Partnersuche, den Zugang zu Bildungs- und sozialen Einrichtungen etc., die sich aus dem Verständnis des Social Scores als allgemeine Reputationsbewertung ergeben.[13]

Vgl. Egeli, S. 144; Kuhn, Kreditsicherungsrecht, Rn. 10 und 14, der den Begriff auf vertragliche Leistungspflichten beschränkt. ↵

Vgl. dazu unten Teil 3, C.IV.2.2.b. ↵

Baumgartner, in: Portmann et al., S. 37; Hofer, in: Passadelis et al., Rn. 16.1; BSK SchKG-Peter, Art. 8a N 1. ↵

Egeli, S. 144; vgl. auch Schröder et al., in: Schröder/Taeger, S. 13. ↵

Vgl. dazu unten Teil 1, D.II.2. ↵

Vgl. Baesens et al., S. 93; Schröder et al., in: Schröder/Taeger, S. 26 f.; Thomas et al., S. 6. ↵

Peter et al., S. 33; vgl. auch EDÖB, Mietercheck, Rn. 32; IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 16. ↵

Bericht Wirtschaftsauskunfteien, S. 13; Peter et al., S. 3 und 33. Bei dem vom EDÖB untersuchten Mietercheck stellte der Score einen numerischen Wert zwischen 250 und 700 Punkten dar (EDÖB, Mietercheck, Rn. 11). Ein anderer Kreditscore einer schweizerischen Auskunftei liegt auf einer Skala von 250 bis 600 Punkten (vgl. Di Tria/Lubishtani, S. 58). ↵

Peter et al., S. 3 und 25; vgl. auch Bericht Wirtschaftsauskunfteien, S. 11; Egeli, S. 95. Möglich ist auch eine Bewertung auf einer alphabetischen Skala von z.B. dem besten Score «A» bis zum schlechtesten «E» (vgl. Rudin, Verhältnismässigkeit, S. 6). ↵

Vgl. Kamp/Weichert, S. 19; Weichert, digma 2007, S. 58. ↵

Unter Scoring lässt sich ein standardisiertes, auf statistisch-mathematischen Analysen von Erfahrungswerten basierendes Verfahren zur Prognose des Verhaltens von Personengruppen und potenziellen oder tatsächlichen Einzelpersonen mit bestimmten Merkmalen verstehen (Paal, in: Specht-Riemenschneider et al., S. 331 f.; Schulz, in: Gola/Heckmann, Art. 6 N 94). Es lässt sich in verschiedenen Bereichen verwenden, etwa auch für (personalisiertes) Marketing, Rekrutierungsprozesse oder (strafprozessuale) Gefährlichkeitsbeurteilungen (vgl. Keats Citron/Pasquale, S. 2 f.; Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 8; Weichert, ZRP 2014, S. 168 f.). ↵

Vgl. Hoffrage/Marewski, in: Everling, S. 305 ff.; Maamar, Rn. 4 ff. ↵

Dai, in: Everling, S. 148; Maamar, Rn. 3 ff.; vgl. auch Conrad, in: Auer-Reinsdorff/Conrad, § 34 N 793. ↵

VII

Warum findet Kreditscoring statt?

6

Wirtschaftlicher Anlass

Ausgangslage

Das Verhältnis zwischen einer Kreditgeberin und einer kreditinteressierten Person[1] ist grundsätzlich durch eine asymmetrische Informationsverteilung geprägt. Während eine Kreditgeberin das künftige Verhalten der kreditinteressierten Person nur unvollständig einschätzen kann, bezieht letztere den Kredit im Wissen um ihre Handlungsabsichten und (aktuellen) persönlichen Risiken.[2] Ohne Informationen über die Kreditwürdigkeit der kreditinteressierten Person vermag die Kreditgeberin gute von schlechten Kreditrisiken daher kaum zu unterscheiden. Dies führt zunächst zu höheren Ausfallraten und damit zu einer Verschlechterung der Profitabilität der Kreditgeberin.

In der Folge wird die Kreditgeberin den Preis für Kredite,[3] in der Regel den Zinssatz, erhöhen und den Zugang zu Krediten einschränken.[4] Solange die Kreditgeberin die Ausfallwahrscheinlichkeit unzureichend einschätzen kann, wird sie ihre Kredite nur zu einem Preis anbieten,[5] der das durchschnittliche Ausfallrisiko abdeckt. Da dieser Preis für bonitätsstarke Kreditinteressierte wenig attraktiv ist, werden vornehmlich Personen mit hohem Ausfallrisiko Kredite beziehen. Dies führt zu einer adversen Selektion, d.h. einer systematischen Negativauslese von Kreditrisiken.[6] Daraus ergeben sich weitere Ausfälle, die ihrerseits eine Rationierung oder gar Einstellung der Kreditvergabe verursachen dürften.[7]

Interessen der Kreditgeberin und der kreditinteressierten Person

Mithilfe von Kreditwürdigkeitsprüfungen wie einem Kreditscoring können Kreditgeberinnen Kreditrisiken besser einschätzen und mithin Ausfälle durch die gezielte Auswahl ihrer Kreditnehmer reduzieren. Wie empirische Studien verschiedentlich nachwiesen, erlaubt die Verwendung von bonitätsrelevanten Daten und Kreditscores, Kreditausfälle erheblich zu senken.[8] Gerade Kreditwürdigkeitsbeurteilungen von Drittanbieterinnen wie Auskunfteien verringern die Ungleichheit des Informationsstands von Kreditgeberin und kreditinteressierter Person und verbessern die Vorhersehbarkeit der Ausfallwahrscheinlichkeit,[9] was zugleich das Risiko einer adversen Selektion minimiert. Die Prüfung der Kreditwürdigkeit der kreditinteressierten Personen erlaubt Kreditgeberinnen nicht nur ihre Profitabilität zu verbessern, sondern ist für sie betriebswirtschaftlich unabdingbar.[10]

Neben den Interessen der Kreditgeberin sprechen auch Interessen der kreditinteressierten Person für eine Kreditwürdigkeitsprüfung.[11] Insbesondere vermag eine solche Prüfung die kreditinteressierte Person vor für sie untragbaren Verpflichtungen und dadurch vor einer Überschuldung zu schützen. Dies anerkennen neben der Literatur[12] und dem EuGH[13] zumindest im Grundsatz auch schweizerische Konsumentenschutzorganisationen.[14] Bei der Kreditwürdigkeitsbeurteilung durch eine Auskunftei tritt ferner das Interesse der kreditinteressierten Person an einem verbesserten Zugang zu Krediten hinzu. Da eine Kreditvergabe ohne ausreichende Informationen ein nicht kalkulierbares Risiko darstellt, würde eine Kreditgeberin ohne externe Beurteilung vermehrt darauf verzichten oder dafür (eventuell) einen – angesichts des tatsächlichen Risikos – zu hohen Preis verlangen.[15]

Interessen der Öffentlichkeit

Erleidet die Wirtschaft durch unbezahlte Forderungen Verluste, werden diese in Form von höheren Preisen an die Konsumentinnen und Unternehmen überbunden und müssen dafür allenfalls zuletzt die Steuerpflichtigen aufkommen.[16] Indem Kreditwürdigkeitsprüfungen Ausfälle verhindern, verringern sie auch die durch unbezahlte Forderungen verursachten Verluste. Dies hat zur Folge, dass der durchschnittlich geforderte Kreditzins bzw. anderweitige Preis für ein Kreditgeschäft sinkt.[17] Auf diese Weise wird – wie auch der EuGH festhält[18] – im Interesse der Öffentlichkeit der Zugang zu Krediten erweitert und erleichtert.[19]

Kreditwürdigkeitsprüfungen (gerade von Auskunfteien) tragen so zur Funktionsfähigkeit der Kreditmärkte bei.[20] Dies anerkennen auch Behörden und Gerichte. Das Landgericht Frankfurt führte etwa aus, dass die Auskunfteien durch die Verhinderung von Kreditvergaben an zahlungsunfähige oder -unwillige Personen einerseits und durch die Beschleunigung erfolgreicher Kreditvergaben andererseits zu einem stabilen Finanzmarktsystem beitragen würden.[21] Auch der EuGH hielt fest, dass nach dem Sekundärrecht der EU erforderliche Kreditwürdigkeitsbeurteilungen das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten sollen und anerkannte dabei das sozioökonomische Interesse des Kreditsektors an den Bonitätsprüfungen der Auskunfteien.[22] Ähnlich bestätigte der EDÖB in einem Tätigkeitsbericht die wichtige Funktion der Auskunfteien im Dienste der kreditgebenden Wirtschaft.[23] Gemäss dem deutschen Gesetzgeber bilden die Ermittlung der Kreditwürdigkeit und die Erteilung von Bonitätsauskünften sogar das Fundament des Kreditwesens und damit auch der Funktionsfähigkeit der Wirtschaft.[24]

Darüber hinaus hat der EuGH dem Betrieb eines Kreditinformationssystems, wie es eine Auskunftei führt, eine verbraucher- und wettbewerbsschützende Funktion attestiert.[25] Indem nämlich ein Kreditinformationssystem die Bedeutung der Informationen vermindere, die den Kreditgeberinnen über ihre eigenen Kunden zur Verfügung stünden, könne es die Mobilität von Kreditnehmern erhöhen und sei es geeignet, den Markteintritt neuer Wettbewerber zu erleichtern.[26]

Vorteile des Kreditscorings

Die meisten der zuvor angesprochenen Interessen lassen sich auch mit anderen Formen der Kreditwürdigkeitsprüfung und -beurteilung verfolgen. Das Kreditscoring verspricht indes verschiedene Vorteile – insbesondere gegenüber einer manuellen Prüfung durch einen menschlichen Experten[27] –, aufgrund deren Kreditgeberinnen bzw. Auskunfteien auf das Kreditscoring zurückgreifen. Im Vordergrund stehen dabei die folgenden Vorteile:

Ein statistisch hergeleitetes Modell, wie es dem Kreditscoring in aller Regel zugrunde liegt,[28] stellt (über eine Vielzahl von Fällen betrachtet) üblicherweise bessere Ausfallprognosen als Experten.[29]

Der modellbasierte Ansatz des Kreditscorings sorgt für eine einheitliche Beurteilung, die nicht vom konkreten Erfahrungsschatz und der Intuition eines Experten abhängt.[30]

Die Programmierbarkeit eines Modells erspart den arbeitsintensiven Einsatz von Experten und führt zu entsprechenden Kosteneinsparungen und Effizienzgewinnen.[31]

Die Automatisierung des Kreditscorings ermöglicht eine Schnelligkeit, die gerade im Online-Bereich essenziell ist; z.B. Online-Shops sind auf eine Kreditwürdigkeitsbeurteilung in Echtzeit angewiesen.[32]

Vgl. dazu unten Teil 1, C.I. ↵

Schröder et al., in: Schröder/Taeger, S. 11; vgl. auch Kuhn, SZW 2017, S. 795 f.; Peter et al., S. 17. ↵

Die meisten Studien zu den hier erwähnten wirtschaftlichen Phänomenen beziehen sich zwar auf Bankkredite; ihre Ergebnisse lassen sich aber im Grossen und Ganzen auch auf andere Kredite wie Warenkredite im Handel oder Kreditkarten übertragen (Schröder et al., in: Schröder/Taeger, S. 13). ↵

World Bank Group, S. 3; vgl. auch EuGH, Rs. C-238/05 vom 23. November 2006, Asnef-Equifax/Ausbanc, Ziff. 55. ↵

Die Einpreisung des Risikos erfolgt etwa bei einem Gelddarlehen durch die Erhöhung des Zinses und bei Warenkrediten durch die Erhöhung des Kaufpreises (vgl. Taeger, RDV 2017, S. 5). ↵

Schröder et al., in: Schröder/Taeger, S. 11; Stiglitz/Weiss, S. 393; vgl. auch Peter et al., S. 17. ↵

Schröder et al., in: Schröder/Taeger, S. 11; Stiglitz/Weiss, S. 408 f.; vgl. auch Kuhn, SZW 2017, S. 796. ↵

Schröder et al., in: Schröder/Taeger, S. 16 f., die auf verschiedene (empirische) Studien hinweisen. ↵

EuGH, Rs. C-238/05 vom 23. November 2006, Asnef-Equifax/Ausbanc, Ziff. 47; vgl. auch EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 93. ↵

Taeger, RDV 2017, S. 4 f.; Taeger, ZRP 2016, S. 73; von Lewinski/Pohl, S. 19. ↵

Freilich sprechen auch Interessen der kreditinteressierten Person gegen eine Kreditwürdigkeitsprüfung, insb. ihr Interesse am Schutz ihrer Persönlichkeit und ihrer Daten. Diesen Interessen dient der im Folgenden betrachtete Datenschutz. ↵

Piltz/Holländer, S. 144; Taeger, ZRP 2016, S. 73; vgl. auch Hofer, in: Passadelis et al., Rn. 16.3. ↵

EuGH, Rs. C-238/05 vom 23. November 2006, Asnef-Equifax/Ausbanc, Ziff. 67. ↵

Vgl. Peter et al., S. 39 und 41. ↵

Vgl. Schulz, in: Gola/Heckmann, Art. 6 N 99; Thüsing et al., NZI 2020, S. 615. ↵

Hofer, in: Passadelis et al., Rn. 16.3. ↵

Pagano/Jappelli, S. 1694 und 1700; Schröder et al., in: Schröder/Taeger, S. 11 ff.; Taeger, RDV 2017, S. 5. ↵

EuGH, Rs. C-238/05 vom 23. November 2006, Asnef-Equifax/Ausbanc, Ziff. 47, 55 und 67. ↵

Vgl. Schröder et al., in: Schröder/Taeger, S. 12; Taeger, ZRP 2016, S. 73. ↵

Schröder et al., in: Schröder/Taeger, S. 11 f. und 13; vgl. auch Kuhn, SZW 2017, S. 797 f.; Peter et al., S. 17 f. ↵

LG Frankfurt, 2–05 O 151/18 vom 20. Dezember 2018, in: BeckRS 2018, 37433, Rn. 25. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 83 ff. ↵

EDÖB, Tätigkeitsbericht 2007/2008, S. 77. ↵

Gesetzesbegründung DSAnpUG-EU, S. 101. Auch der BGH, VI ZR 120/10 vom 22. Februar 2011, in: BeckRS 2011, 7276, Rn. 21, hielt fest, dass Bonitätsauskünfte für das Funktionieren der Wirtschaft von erheblicher Bedeutung seien. ↵

So von Lewinski/Pohl, S. 19. ↵

EuGH, Rs. C-238/05 vom 23. November 2006, Asnef-Equifax/Ausbanc, Ziff. 56. ↵

Im Wesentlichen gibt es (noch heute) zwei Ansätze der Kreditwürdigkeitsprüfung: Die manuelle Expertenbeurteilung einerseits und den statistischen, in der Regel automatisierten Ansatz wie das Kreditscoring andererseits (Baesens et al., S. 94). ↵

Vgl. dazu unten Teil 1, D.II.2.2. ↵

Baesens et al., S. 95; vgl. auch Schröder et al., in: Schröder/Taeger, S. 15. ↵

Baesens et al., S. 95; vgl. auch Bödi, S. 70; Hurley/Adebayo, S. 155. ↵

Vgl. Hurley/Adebayo, S. 155; Schröder et al., in: Schröder/Taeger, S. 9; Weichert, digma 2007, S. 59. ↵

Vgl. Baesens et al., S. 95; ferner Bödi, S. 70; Egeli, S. 103; Peter et al., S. 27. ↵

7

Rechtliche Pflichten

Pflicht zur Kreditfähigkeitsprüfung nach KKG

Anwendungsbereich der Pflicht

Zur Vermeidung einer Überschuldung der Konsumentin oder des Konsumenten[1] infolge eines Konsumkreditvertrags hat die gewerbsmässig tätige Kreditgeberin[2] oder die Schwarmkredit-Vermittlerin[3] vor Vertragsabschluss eine durch das KKG definierte Kreditfähigkeitsprüfung durchzuführen (Art. 27a KKG).

Gemäss seiner Legaldefinition ist der Konsumkreditvertrag ein Vertrag, durch den einer Konsumentin oder einem Konsumenten ein Kredit in Form eines Zahlungsaufschubs, eines Darlehens oder einer ähnlichen Finanzierungshilfe gewährt oder versprochen wird (Art. 1 Abs. 1 KKG). Ein Zahlungsaufschub liegt dabei immer dann vor, wenn die Fälligkeit einer Zahlungsverpflichtung der Konsumentin oder des Konsumenten, die grundsätzlich sofort zu erfüllen ist (vgl. Art. 75 OR), einvernehmlich verschoben wird.[4] Als Konsumkreditvertrag gelten, wie Art. 1 Abs. 2 KKG ergänzend festhält, auch bestimmte Leasingverträge sowie Kredit- und Kundenkarten und Überziehungskredite mit Kreditoption.

Gleichzeitig schliesst das KKG verschiedene Kredite und Verträge aus seinem Anwendungsbereich aus. So unterliegen etwa bestimmte gesicherte Kredite wie solche mit Grundpfandsicherung oder hinterlegten banküblichen Sicherheiten nicht dem KKG (Art. 7 Abs. 1 lit. a und b KKG). Ebenso ausgenommen sind zins- und gebührenfreie Kredite (Art. 7 Abs. 1 lit. c und d KKG), Kredite von weniger als CHF 500 oder mehr als CHF 80’000 (Art. 7 Abs. 1 lit. e KKG) sowie Verträge mit einer Laufzeit bis höchstens drei Monate (Art. 7 Abs. 1 lit. f KKG).

Dies bedeutet, dass ein Kauf oder eine andere Leistungsvereinbarung auf Rechnung regelmässig einen Zahlungsaufschub und damit einen Konsumkreditvertrag darstellt. Allerdings ist das KKG auch auf einen solchen Zahlungsaufschub zufolge der erwähnten Bereichsausnahmen nur anwendbar, wenn er unter anderem entgeltlich, also gegen Zinsen oder Gebühren, erfolgt und den Zeitraum von drei Monaten bzw. den Betrag von CHF 500 übersteigt (vgl. Art. 7 Abs. 1 lit. c–f KKG).[5]

Anforderungen an die Kreditfähigkeitsprüfung

Eine Konsumentin oder ein Konsument gilt nach KKG grundsätzlich als kreditfähig, wenn sie oder er den Konsumkredit (innerhalb von 36 Monaten) zurückzahlen kann, ohne den nicht pfändbaren Teil des Einkommens nach Art. 93 SchKG beanspruchen zu müssen. Der pfändbare Teil des Einkommens wird nach den Richtlinien über die Berechnung des Existenzminimums des Wohnsitzkantons ermittelt, wobei in jedem Fall der tatsächlich geschuldete Mietzins, die nach Quellsteuertabelle geschuldeten Steuern und die bei der Informationsstelle für Konsumkredit (IKO)[6] gemeldeten Verpflichtungen zu berücksichtigen sind (Art. 28 KKG).

Obschon das KKG der Kreditgeberin bzw. Schwarmkredit-Vermittlerin damit noch immer einen gewissen Spielraum belässt, sind sie in der Ausgestaltung der Kreditfähigkeitsprüfung nicht frei.[7] Massgebend sind die konkreten wirtschaftlichen Verhältnisse der Konsumentin bzw. des Konsumenten, insbesondere das Einkommen einerseits und die Ausgaben andererseits.[8] Eine mathematisch-statistische Beurteilung der Kreditwürdigkeit, wie sie das Kreditscoring üblicherweise darstellt,[9] genügt daher den Vorgaben des KKG nicht.[10] Der Kreditgeberin bzw. der Schwarmkredit-Vermittlerin bleibt es aber natürlich auch im Anwendungsbereich des KKG unbenommen, mit der Einholung einer Auskunft allenfalls samt Kreditscore zusätzliche Abklärungen über die Kreditwürdigkeit der kreditinteressierten Person zu treffen.[11]

Verstösst die Kreditgeberin in schwerwiegender Weise gegen die Pflicht zur Kreditfähigkeitsprüfung, verliert sie die von ihr gewährte Kreditsumme samt Zinsen und Kosten; ein geringfügiger Verstoss führt nur, aber immerhin zum Verlust von Zinsen und Kosten (Art. 32 KKG). Keine Sanktionen sieht das KKG hingegen vor, wenn die Kreditgeberin ausschliesslich gestützt auf einen Kreditscore einen Kreditantrag ablehnt, für den sie eine Kreditfähigkeitsprüfung hätte vornehmen müssen. Einer Schwarmkredit-Vermittlerin droht demgegenüber bei einem Verstoss gegen die Pflicht zur Kreditfähigkeitsprüfung eine Busse von bis zu CHF 100’000 (Art. 32a Abs. 1 KKG).

Weitere rechtliche Pflichten

Auch andere Bestimmungen des schweizerischen Rechts können die Kreditgeberin zur Prüfung der Kreditfähigkeit bzw. -würdigkeit anhalten. So setzt etwa Art. 3 Abs. 2 lit. c BankG für die Bewilligung zur Aufnahme der Geschäftstätigkeit voraus, dass die mit der Verwaltung und Geschäftsführung betrauten Personen einer Bank einen guten Ruf geniessen und Gewähr für eine einwandfreie Geschäftstätigkeit bieten. Daraus leitet die Lehre zuweilen eine Pflicht für Banken ab, ihre (potenziellen) Kreditnehmer auf ihre Kreditwürdigkeit und -fähigkeit hin zu prüfen.[12] Ohnehin verlangt Art. 12 Abs. 2 BankV, der die Voraussetzungen der besagten Bewilligung weiter konkretisiert, dass eine Bank im Rahmen ihres Risikomanagements unter anderem Kreditrisiken – also insbesondere die Gefahr, dass eine Gegenpartei ihren vertraglich vereinbarten Verpflichtungen nicht nachkommt – erfasst, begrenzt und überwacht.

Überdies müssen Banken nach dem BankG und kontoführende Wertpapierhäuser nach dem FINIG im Zusammenhang mit der Berechnung der erforderlichen Eigenmittel ihre Kreditrisiken berücksichtigen (Art. 1 Abs. 2 und Art. 3 ERV). Auch hier interessierende Forderungen gegenüber natürlichen Personen, die zusammen mit jenen gegenüber kleinen und mittleren Unternehmen (KMU) die Retailpositionen bilden (vgl. Art. 71 Abs. 1 ERV), müssen nach ihrem Risiko gewichtet werden. Diese Risikogewichtung erfolgt gemäss Art. 50 ERV entweder nach dem internationalen Standardansatz (SA-BIZ) oder dem auf internen Ratings basierenden Ansatz («internal ratings based [IRB] approach»).[13] Banken und kontoführende Wertpapierhäuser, die sich für den letzteren Ansatz entscheiden, beurteilen die Risikokomponenten, die insbesondere die Ausfallwahrscheinlichkeit und die Verlustquote bei gegebenem Ausfall umfassen,[14] selbst (vgl. Art. 77 ERV).

Eine Pflicht zur Durchführung des Kreditscorings als besondere Art der Kreditwürdigkeitsprüfung und -beurteilung kennt das schweizerische Recht hingegen (auch sonst) nicht.[15] Ob das Kreditscoring eine allfällige gesetzliche Pflicht zur Prüfung der Kreditwürdigkeit zu erfüllen vermag, ist jeweils vor dem Hintergrund der einschlägigen gesetzlichen Vorgaben zu beurteilen.

Als Konsumentin oder Konsument gilt jede natürliche Person, die einen Konsumkreditvertrag zu einem Zweck abschliesst, der nicht ihrer beruflichen oder gewerblichen Tätigkeit zugerechnet werden kann (Art. 3 KKG). ↵

Als Kreditgeberin gilt jede natürliche oder juristische Person, die gewerbsmässig Konsumkredite gewährt oder unter Mitwirkung einer Schwarmkredit-Vermittlerin nicht gewerbsmässig Konsumkredite gewährt (Art. 2 KKG). ↵

Als Schwarmkredit-Vermittlerin gilt jede natürliche oder juristische Person, die für einzelne Konsumentinnen und Konsumenten gewerbsmässig eine koordinierte Konsumkreditvergabe organisiert, an der sich mehrere nicht gewerbsmässig tätige Kreditgeberinnen beteiligen können (Art. 4 Abs. 2 KKG). ↵

Stengel, Rn. 153; vgl. auch Kuhn, Kreditsicherungsrecht, Rn. 1024. ↵

Stengel, Rn. 154; vgl. auch Kuhn, Kreditsicherungsrecht, Rn. 252 ff. ↵

Vgl. dazu unten Teil 1, C.II.3.3. ↵

Suter D., Rn. 43 ff.; strenger Barnikol, S. 115. ↵

Botschaft Revision KKG 1998, S. 3167; vgl. auch Suter D., Rn. 43 ff. ↵

Vgl. dazu oben Teil 1, A. ↵

Barnikol, S. 115; Stauder, S. 198; vgl. auch Suter D., Rn. 49 (Fn. 86). ↵

SHK aDSG-Wermelinger, Art. 13 N 23. ↵

BSK aDSG-Maurer-Lambrou/Steiner, Art. 4 N 11; Strasser, S. 450 m.w.H. ↵

Vgl. eingehend SK FINIG-Frigo, Art. 46 N 88 ff.; ferner Staub, S. 81 ff. ↵

SK FINIG-Frigo, Art. 46 N 128 ff.; vgl. auch Staub, S. 84. ↵

Zum deutschen Recht vgl. Overbeck, S. 28 m.w.H. ↵

VIII

Wer sind die Akteurinnen des Kreditscorings?

8

Hauptakteurinnen des Kreditscorings

Das Kreditscoring spielt sich zwischen drei Hauptakteurinnen[1] ab: der kreditinteressierten Person, der Kreditgeberin und der Auskunftei.[2] Ausgangspunkt ist dabei eine (im hier interessierenden Kontext) natürliche Person, von der (potenziell) ein kreditorisches Risiko[3] ausgeht, weil sie beispielsweise ein Darlehen aufnehmen, ein Mobiltelefonabonnement abschliessen, eine Wohnungsmiete vereinbaren oder einen Kauf auf Rechnung tätigen möchte.[4] Sie kann entsprechend etwa eine (potenzielle) Borgerin, Abonnentin, Mieterin oder Konsumentin sein und lässt sich gemeinhin als kreditinteressierte Person bezeichnen.

Dieser Person steht die Akteurin gegenüber, die (potenziell) das kreditorische Risiko trägt und in der vorliegenden Untersuchung Kreditgeberin genannt wird. Vor der Entscheidung über die Eingehung eines kreditorischen Risikos hat die Kreditgeberin ein legitimes Interesse an der Prüfung und Beurteilung der Kreditwürdigkeit der kreditinteressierten Person,[5] wofür sie sich an die Auskunftei wendet. Ausserdem liefert die Kreditgeberin der Auskunftei zuweilen auch eigene Zahlungserfahrungen für das Kreditscoring,[6] was vorliegend angesichts des Untersuchungsgegenstands indes nicht im Einzelnen betrachtet wird. Als Kreditgeberin (und Kundin der Auskunftei) kommen grundsätzlich beliebige Wirtschaftsteilnehmerinnen in Frage, die kreditorische Risiken eingehen.[7]

Eine Auskunftei bietet üblicherweise verschiedene Auskunftsprodukte an,[8] anhand derer die Kreditgeberin ein kreditorisches Risiko (besser) einzuschätzen vermag. Wie im Folgenden näher auszuführen ist, sammelt die Auskunftei dafür Bonitätsdaten aus verschiedenen Datenquellen, entwickelt Modelle zur Berechnung des Kreditscores und bietet diesen und andere Beurteilungen der Kreditwürdigkeit gegen Bezahlung an. Dank der Dienstleistung der Auskunftei verbessert sich die Informationsgrundlage der Kreditgeberin, die sodann über das Eingehen des kreditorischen Risikos entscheidet.

Es liessen sich weitere Akteure benennen, denen indes für die vorliegende Untersuchung eine untergeordnete Rolle zukommt, z.B. Inkassounternehmen, Adresshändler oder das Betreibungsamt, die als Datenquellen für das Kreditscoring dienen (vgl. dazu unten Teil 1, E.II.1. und E.II.2.). ↵

Vgl. Helfrich, Kreditscoring, S. 25 f.; Overbeck, S. 6. ↵

Vgl. dazu oben Teil 1, A. ↵

Vgl. dazu unten Teil 3, C.IV.2.2.b.aa. ↵

Vgl. dazu oben Teil 1, B.I.2. ↵

Vgl. dazu unten Teil 1, E.II.2. ↵

Vgl. dazu oben Einleitung, B.III.1. ↵

Vgl. Egeli, S. 94 f.; Peter et al., S. 34; ferner Eichler, S. 10, wonach der Kreditscore eines der Kernprodukte darstelle. ↵

9

Die Auskunftei im Besonderen

Tätigkeit und Begriff

Gemäss der Umschreibung des EDÖB liegt die charakteristische Tätigkeit von Kredit- und Wirtschaftsauskunfteien darin, Informationen über die wirtschaftliche Betätigung, Kreditwürdigkeit und Zahlungsfähigkeit von Unternehmen und Privatpersonen zu sammeln, zu speichern und auf Anfrage gegen Entgelt[1] weiterzugeben.[2] Abhängig von ihrem spezifischen Angebot gewährt die Auskunftei Zugang zu den von ihr gesammelten und aufbereiteten kreditrelevanten Daten oder liefert (zusätzlich) eine darauf basierende Kreditwürdigkeitsbeurteilung,[3] etwa in der Form eines Kreditscores.[4]

Wirtschaftsauskunfteien lassen sich entsprechend als privatrechtlich organisierte Unternehmen definieren, die gewerbsmässig wirtschaftsrelevante Daten über Privatpersonen und Unternehmen beschaffen und diese samt allfälliger Kreditwürdigkeitseinstufungen interessierten Dritten – in der Regel gegen ein Entgelt – bekanntgeben.[5] Im Rahmen dieses Begriffsverständnisses lassen sich zwei Unterscheidungen vornehmen:

Nach der auch vom Bundesrat verwendeten Terminologie gibt es Wirtschaftsauskunfteien im engeren und im weiteren Sinne.[6] Wirtschaftsauskunfteien i.e.S. führen selbst eine Bonitätsdatenbank und erstellen eigene Auskünfte. Wirtschaftsauskunfteien i.w.S. verfügen hingegen über keine Bonitätsdatenbank; sie bieten vor allem Informationen aus dem Handelsregister sowie andere öffentlich verfügbare Daten an und verkaufen Auskünfte von Wirtschaftsauskunfteien i.e.S.[7] Im Fokus der vorliegenden Untersuchung stehen die Wirtschaftsauskunfteien i.e.S.

Die Lehre unterscheidet zuweilen zwischen Kreditauskunfteien und Wirtschaftsauskunfteien, allerdings ohne einheitliches Begriffsverständnis. Gemäss einem Verständnis bearbeiten erstere Daten über sämtliche Wirtschaftsteilnehmer, während sich letztere auf Informationen über professionelle Wirtschaftsteilnehmer konzentrieren.[8] Nach einem anderen Verständnis bieten Wirtschaftsauskunfteien Auskünfte zur Kreditwürdigkeitsprüfung vor Abschluss von Verträgen an, insbesondere über Waren und Dienstleistungen auf Rechnung; Kreditauskunfteien beschränken sich hingegen darauf, Informationen im Zusammenhang mit allgemeinen (Bank‑)Krediten, der Eröffnung von Girokonten, der Beantragung von Kreditkarten und dem Abschluss von Leasingverträgen aufzubereiten.[9] Während die Unterscheidung nach ersterem Verständnis für die vorliegende Untersuchung kaum von Bedeutung ist, kann der Zusammenhang, in dem ein kreditorisches Risiko einzuschätzen ist, für die rechtliche Beurteilung durchaus relevant sein. Dieser Umstand lässt sich indes an den betreffenden Stellen auch berücksichtigen, ohne die Unterscheidung nach letzterem Verständnis vorzunehmen. Im Folgenden wird deshalb auf eine Unterscheidung zwischen Wirtschafts- und Kreditauskunftei verzichtet und – auch einfachheitshalber – der Begriff «Auskunftei» verwendet.

Auskunfteien in der Schweiz

Als Orientierungshilfe für Auskunftsgesuche hat der EDÖB 2014 eine Liste der Unternehmen veröffentlicht, die in der Schweiz Dienstleistungen im Bereich der Wirtschafts- und Bonitätsauskünfte oder Inkasso anbieten.[10] Darauf finden sich gut ein Dutzend Unternehmen, die (auch) Auskünfte über die Kreditwürdigkeit von Personen erteilen. Die Liste ist inzwischen nicht mehr aktuell; der Markt hat sich konsolidiert.[11]

Die Liste vereint ausserdem ungetrennt Auskunfteien im engeren und im weiteren Sinne.[12] So verfügt beispielsweise die Neue Zürcher Zeitung AG, Betreiberin von Moneyhouse, über keine eigene Bonitätsdatenbank und verkauft Auskünfte der CRIF AG.[13] Ähnlich sieht es bei der Lixt AG (vormals Easymonitoring AG) aus, die neben Inkassodienstleistungen auch Bonitätsprüfungen anbietet, wobei letztere aber nicht zu ihrem Kerngeschäft gehören.[14] Sie verkauft ebenfalls Auskünfte der CRIF AG weiter.[15] Das Angebot von Moneyhouse und die Lixt AG fallen in die Kategorie der Auskunfteien i.w.S.

Als Auskunfteien i.e.S. verfügen aktuell vier schweizerische Auskunfteien über eigene umfassende Datensammlungen zum Zweck der Kreditwürdigkeitsbeurteilung;[16] sie bilden gemeinsam die IG Wirtschaftsauskunfteien.[17] Es handelt sich dabei um die Dun & Bradstreet Schweiz AG (vormals Bisnode D&B Schweiz AG), die Schweizerischer Verband Creditreform Gen, die CRIF AG und die Intrum AG. Gemäss einem 2018 zuhanden des Bundesamts für Justiz verfassten Bericht verfügt eine der Auskunfteien über Daten von rund sechs Mio. natürlichen Personen, zwei weitere decken ca. 95 % der wirtschaftlich aktiven schweizerischen Bevölkerung bzw. 85–90 % der Bevölkerung über 18 Jahre in der Schweiz ab.[18]

Eine kleinere Akteurin mit einem Nischenangebot ist die Wys Muller Renseignements commerciaux SA, welche auf spezifische Anfrage hin massgeschneiderte Berichte erstellt.[19] Gemäss dem erwähnten Bericht ist ihr Anteil am Gesamtumsatz des Marktes für Bonitätsauskünfte vernachlässigbar.[20]

Abgrenzungen

Neben den Auskunfteien gibt es weitere Akteurinnen, die sich im Bereich der Kreditwürdigkeitsprüfung betätigen, und zuweilen auch ein vergleichbares System des Kreditscorings betreiben. Da diese Akteurinnen nicht im Fokus der vorliegenden Untersuchung stehen, ist deren Tätigkeit von jener einer Auskunftei abzugrenzen.

Ratingagenturen

Die wesentliche Eigenschaft von Ratingagenturen liegt darin, Ratings – verstanden als Kreditwürdigkeitsbeurteilungen von Wertpapieren und Emittenten – zu erstellen und zu veröffentlichen.[21] Die FINMA kann eine Ratingagentur unter bestimmten Voraussetzungen etwa hinsichtlich ihrer Objektivität, Unabhängigkeit und Glaubwürdigkeit anerkennen und führt eine Liste der anerkannten Ratingagenturen.[22] Sieben Ratingagenturen finden sich derzeit auf der Liste der FINMA, die neben den grossen ausländischen Anbietern wie Moody’s, Standard & Poor’s sowie Fitch auch die schweizerische Anbieterin fedafin AG umfasst.[23]

Abgrenzen lässt sich die Ratingagentur von der Auskunftei durch den Beurteilungsgegenstand. Während sich eine Ratingagentur auf die Beurteilung der Bonität eines Finanztitels oder einer Emittentin beschränkt,[24] beurteilt eine Auskunftei normalerweise die Kreditwürdigkeit von beliebigen Unternehmen und natürlichen Personen. Ausserdem veröffentlichen die Ratingagenturen in aller Regel ihre Ratings, da einerseits Emissionen oft nur kapitalmarktfähig sind, wenn sie geratet wurden, und andererseits Ratingagenturen ihr Reputationskapital und damit ihre Geschäftsgrundlage erst durch die Verbreitung ihrer Ratings erwerben.[25] Auskunfteien hingegen publizieren ihre Kreditscores nicht, sondern geben diese bloss anfragenden Kreditgeberinnen (mit entsprechendem Interessennachweis) bekannt. Eine Publikation wäre denn auch kaum mit dem Datenschutzrecht vereinbar.[26]

Zentralstelle für Kreditinformation (ZEK)

Die ZEK ist gemäss ihrer Selbstbeschreibung die schweizerische Evidenzzentrale für Bonitätsinformationen aus Kreditgeschäften natürlicher und juristischer Personen. Sie ist als Verein organisiert und sammelt positive und negative Meldungen über Kredit‑, Leasing- und Kreditkarteninteressenten sowie über Verpflichtungen und Bonität von Kreditnehmern, Leasingnehmern und Karteninhabern.[27] Diese Bonitätsinformationen aus Kreditgeschäften stellt sie ihren Mitgliedern – insbesondere Banken und Leasinggesellschaften – gegen Entgelt zur Verfügung.[28]

Während die ZEK die Auskünfte ihren Mitgliedern vorbehält,[29] steht das Angebot von Auskunfteien auch Nicht-Mitgliedern bzw. Nicht-Gesellschafterinnen zur Verfügung.[30] Als Mitglied der ZEK und damit Auskunftsberechtigte kommen denn auch nur Unternehmungen in Frage, die gewerbsmässig statutarisch bestimmte Kreditgeschäfte anbieten.[31] Bei Auskunfteien können demgegenüber grundsätzlich beliebige Kreditgeberinnen eine Auskunft beziehen. Die Mitglieder der ZEK sind bei bestimmten Kreditgeschäften ausserdem verpflichtet, eine Auskunft über die Kreditwürdigkeit ihrer Vertragspartner einzuholen und bonitätsrelevante Ereignisse wie einen Zahlungsverzug und dergleichen der ZEK zu melden.[32] Die Kundinnen der Auskunfteien verpflichten sich zwar teilweise ebenfalls mittels Vertrags zur Meldung von bonitätsrelevanten Ereignissen;[33] eine Pflicht zum Bezug von Auskünften ist hingegen soweit ersichtlich unüblich. Im Gegensatz zu den Auskunfteien ist die ZEK nicht gewinnorientiert[34] und berechnet keinen Kreditscore.[35]

Informationsstelle für Konsumkredit (IKO)

Die IKO ist die vom KKG vorgesehene Informationsstelle für Konsumkredit, welche die dem KKG unterstellten Kreditgeberinnen in Erfüllung von Art. 23 Abs. 1 KKG gegründet haben.[36] Sie erfasst Daten von Kredit- und Leasinggeschäften natürlicher Personen zu privaten Zwecken.[37] Die IKO gilt als Bundesorgan i.S.v. Art. 5 lit. i DSG und untersteht damit – im Gegensatz zu den Auskunfteien – den strengeren Bestimmungen des DSG für öffentliche Organe (Art. 23 Abs. 3 KKG).

Im Unterschied zu den Datenbanken der Auskunfteien beschränkt sich die von der IKO verwaltete Datensammlung auf die gemäss KKG zu speichernden Daten;[38] nicht erfasst sind demnach etwa Daten betreffend Kredite, die zu gewerblichen Zwecken gewährt wurden (vgl. Art. 3 KKG) oder den Betrag von CHF 500 unter- bzw. von CHF 80’000 überschreiten (vgl. Art. 7 Abs. 1 lit. e KKG). Zugang zu den gesammelten Daten der IKO haben ausschliesslich gewerbsmässig tätige Kreditgeberinnen und Schwarmkredit-Vermittlerinnen, soweit sie die Daten zur Erfüllung ihrer Pflichten nach KKG benötigen, sowie – mit Zustimmung des Schuldners – die von den Kantonen bezeichneten und unterstützten Institutionen der Schuldensanierung (Art. 24 KKG).[39] Anders als die Auskunfteien berechnet die IKO keinen Kreditscore.

Zu unterscheiden ist die IKO überdies von der bereits thematisierten ZEK.[40] Die beiden Vereine sind zwar insofern miteinander verbunden, als sie im technischen und betrieblichen Bereich zusammenarbeiten und die IKO gestützt auf einen Nutzungsvertrag das Informationssystem der ZEK verwenden darf,[41] doch handelt es sich um zwei eigenständige juristische Personen mit (logisch) getrennten Datenbanken.[42] Während die IKO ausschliesslich die im KKG vorgesehenen Daten bearbeitet, umfasst der Datenbestand der ZEK auch weitere Daten.[43] Die beiden Vereine haben aus datenschutzrechtlichen Gründen sicherzustellen, dass ihre jeweiligen Datenbestände technisch und organisatorisch ausreichend voneinander getrennt sind.[44]

Unternehmen mit eigenem Kreditscoring

Zuweilen betreiben (schweizerische) Unternehmen für ihre eigenen Zwecke ein Kreditscoring. In Abgrenzung zum externen Scoring der Auskunfteien spricht die (deutsche) Lehre dabei von internem Scoring.[45] Beispielsweise beurteilen Banken die Kreditwürdigkeit ihrer Kunden und sonstiger Vertragspartner auch anhand der ihnen ohnehin vorliegenden Daten und nehmen dafür nicht selten ebenfalls ein Kreditscoring vor.[46] Ferner können auch Handelsunternehmen, etwa grössere Online-Shops, ausreichend bonitätsrelevante Daten über ihre Kunden vorliegen, um ein eigenes Kreditscoring zu betreiben.[47]

Auskunfteien unterscheiden sich von solchen Unternehmen dadurch, dass zumindest eine ihrer Haupttätigkeiten in der Prüfung und Beurteilung der Kreditwürdigkeit von Personen und Unternehmen sowie in der gewerbsmässigen Bereitstellung von kreditrelevanten Daten (für grundsätzlich beliebige Dritte) liegt.[48] Demgegenüber handelt es sich beim eigenen Kreditscoring eines Unternehmens bloss um eine das eigentliche Geschäft unterstützende Tätigkeit. So dient beispielsweise das Kreditscoring einer Bank insbesondere der Einschätzung von Ausfallrisiken bei den von ihr vergebenen Krediten, mithin einem ihrer Hauptgeschäfte.

Der Preis für eine Auskunft vereinbaren die grossen schweizerischen Auskunfteien mit ihren Kundinnen zumeist individuell. Er richtet sich nach der Bezugshäufigkeit, dem Volumen des zu prüfenden Geschäfts sowie nach dem Nutzen für die Kundin als Kreditgeberin. Diese bezahlt entweder pro Auskunft oder einen Pauschalpreis für eine im Voraus bestimmte Anzahl Auskünfte pro Jahr (Peter et al., S. 19 f.; vgl. auch Bericht Wirtschaftsauskunfteien, S. 11). ↵

EDÖB, Kredit & Inkasso, abrufbar unter <https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/arbeit_wirtschaft/kredit_inkasso.html>, zuletzt besucht am 30. September 2024. Ein ähnliches Begriffsverständnis findet sich in der deutschen Literatur (vgl. Eichler, S. 10; Paal, in: Specht-Riemenschneider et al., S. 334; Schulz, in: Gola/Heckmann, Art. 6 N 99). ↵

Schäfer, in: Epiney et al. 2011, S. 54; vgl. auch Bericht Wirtschaftsauskunfteien, S. 7. ↵

Vgl. dazu oben Teil 1, A. ↵

Vgl. Bericht schweizweite Betreibungsauskunft, S. 14; Bericht Wirtschaftsauskunfteien, S. 7; anders Peter et al., S. 9, wonach Wirtschaftsauskunfteien «Organisationen [sind], welche Informationen zur Zahlungsfähigkeit (Bonität, Solvabilität) von Unternehmen und natürlichen Personen anbieten. Das Produkt dieser Tätigkeit sind Bonitätsauskünfte, welche meist dazu dienen, die Zahlungsfähigkeit eines Vertragspartners oder potenziellen Kunden vor Vertragsabschluss zu prüfen». ↵

Bericht Wirtschaftsauskunfteien, S. 7; vgl. auch Peter et al., S. 14 und 24. ↵

Bericht Wirtschaftsauskunfteien, S. 7; Peter et al., S. 14, 16, 30; vgl. auch Hofer, in: Passadelis et al., Rn. 16.64. ↵

Schäfer, in: Epiney et al. 2011, S. 55. ↵

Wermelinger, Jusletter 2024, Rn. 22 f. und 29; vgl. auch Peter et al., S. 9. ↵

EDÖB, Liste Auskunfteien und Inkassobüros, S. 1 f.; vgl. auch Peter et al., S. 68, wo sich ebenfalls eine Liste (aktueller und ehemaliger) Auskunfteien findet. ↵

Wie sich aus dem Handelsregister ergibt, absorbierte etwa die Intrum AG in der Zwischenzeit mittels Fusion die Credita AG, und übernahm die CRIF AG die Orell Füssli Wirtschaftsinformationen AG. Die Factor AG hat den Dienst «databot» eingestellt und ist nicht mehr aktiv, was sich mittels Auskunftsbegehren in Erfahrung bringen liess. Die EOS Schweiz AG ist nicht mehr als Auskunftei tätig (Peter et al., S. 69). Vgl. auch Peter et al., S. 14 f. ↵

Vgl. dazu oben Teil 1, C.II.1. ↵

Vgl. Moneyhouse, Datenquellen, abrufbar unter <https://www.moneyhouse.ch/de/data​sources>, zuletzt besucht am 30. September 2024. So führt denn auch eine bei der Moneyhouse (Neue Zürcher Zeitung AG) eingeholte Selbstauskunft die CRIF AG als Quelle für die Bonitätsdaten sowie die «Informationen zur Person» (z.B. aktuelle und frühere Adressen) auf. ↵

Peter et al., S. 16. ↵

Bericht Wirtschaftsauskunfteien, S. 7; Peter et al., S. 16; vgl. auch Lixt, Bonitätsauskünfte, abrufbar unter <https://www.lixt.ch/bonitaetsauskuenfte>, zuletzt besucht am 30. September 2024. ↵

Bericht Wirtschaftsauskunfteien, S. 7; Peter et al., S. 14. ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 18. ↵

Peter et al., S. 28 (Fn. 36). ↵

Peter et al., S. 2 und 15; vgl. auch Bericht Wirtschaftsauskunfteien, S. 10. ↵

Peter et al., S. 19. ↵

Vasella, Ratingagenturen, Rn. 13 ff. und 160 m.w.H.; vgl. auch Schäfer, in: Epiney et al. 2011, S. 55. ↵

Art. 6 Abs. 1 und 2 ERV; FINMA, Rundschreiben Ratingagenturen, Rn. 1 ff. ↵

FINMA, Anerkannte Ratingagenturen, S. 1. ↵

Vasella, Ratingagenturen, Rn. 29 ff.; vgl. auch Schäfer, in: Epiney et al. 2011, S. 55. ↵

Vasella, Ratingagenturen, Rn. 28 m.w.H. ↵

Vgl. dazu unten Teil 3, C.IV.2.2.b. ↵

Vgl. ZEK, Kredit- & Leasingnehmer, abrufbar unter <https://www.zek.ch/de-ch/kredit-leasingnehmer>, zuletzt besucht am 30. September 2024; ZEK, Reglement I, Ziff. 3.5. ↵

EDÖB, Tätigkeitsbericht 2018/2019, S. 33; EDÖB, ZEK, S. 3. ↵

ZEK, Reglement I, Ziff. 3.2; vgl. auch EDÖB, ZEK, S. 13; EDÖB, Kredit & Inkasso, abrufbar unter <https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/arbeit_wirtschaft/kredit_inkasso.html>, zuletzt besucht am 30. September 2024. ↵

Selbst beim genossenschaftlich organisierten Schweizerischen Verband Creditreform können «Nicht-Mitglieder» eine Bonitätsauskunft beziehen (vgl. Creditreform, Einzelauftrag erteilen, abrufbar unter <https://www.creditreform.ch/loesungen/einzelauftrag>, zuletzt besucht am 30. September 2024). ↵

Nach Art. 4 Statuten ZEK können als Mitglieder «Unternehmungen aufgenommen werden, welche gewerbsmässig Kreditverkäufe finanzieren, Kredite in eigener Form gewähren, Miet- und Leasingverträge über bewegliche Güter abschliessen bzw. bevorschussen oder Kreditkarten und Zahlungsverkehrsakten oder ähnliche Geschäfte abwickeln. Als Mitglied kann auch aufgenommen werden, wer als Schwarmkredit-Vermittler für einzelne Kreditnehmer gewerbsmässig eine koordinierte Kreditvergabe organisiert, an der sich mehrere nicht gewerbsmässig tätige Kreditgeber beteiligen können»; vgl. auch Peter et al., S. 10. ↵

ZEK, Reglement I, Ziff. 2 und 3.2. ↵

Bericht Wirtschaftsauskunfteien, S. 12; Peter et al., S. 30. ↵

Bericht Wirtschaftsauskunfteien, S. 6 (Fn. 8); Peter et al., S. 10. ↵

Die Auskunft der ZEK umfasst auch allfällige Angaben über die Bonität in Codeform (ZEK, Reglement I, Ziff. 3.5). Bei diesen Codes handelt es sich indes um keine (ziffernmässige) Bewertung der Kreditwürdigkeit; vielmehr stehen sie für bestimmte Tatsachenfeststellungen wie z.B. fehlende Einträge bei der ZEK (Code 00), eine schleppende Abzahlung eines Vertrags (Code 03) oder ein abgelehntes Kreditgesuch (Code 99) (vgl. EDÖB, ZEK, S. 7). ↵

Art. 3 Statuten IKO; vgl. auch EDÖB, Kredit & Inkasso, abrufbar unter <https://​www.​edoeb.admin.ch/edoeb/de/home/datenschutz/arbeit_wirtschaft/kredit_​inkasso.​html>, zuletzt besucht am 30. September 2024; EDÖB, ZEK, S. 3 und 10. ↵

Vgl. IKO, Kredit- & Leasingnehmer, abrufbar unter <https://www.iko-info.ch/de-ch/kredit-leasingnehmer>, zuletzt besucht am 30. September 2024. ↵

Art. 3 Statuten IKO; vgl. auch EDÖB, Kredit & Inkasso, abrufbar unter <https://​www.​edoeb.admin.ch/edoeb/de/home/datenschutz/arbeit_wirtschaft/kredit_​inkasso.​html>, zuletzt besucht am 30. September 2024; EDÖB, ZEK, S. 3 und 10. ↵

Vgl. Art. 5 Statuten IKO; EDÖB, ZEK, S. 3 und 10; Peter et al., S. 10. ↵

Vgl. dazu oben Teil 1, C.II.3.2. ↵

EDÖB, ZEK, S. 10. ↵

Art. 1 Statuten IKO; Art. 1 Statuten ZEK; vgl. auch EDÖB, ZEK, S. 11 ff. ↵

EDÖB, ZEK, S. 3; vgl. auch ZEK, Abgrenzung zur IKO, abrufbar unter <https://​www.​zek.ch/de-ch/uber-uns/abgrenzung-zur-iko>, zuletzt besucht am 30. September 2024. ↵

EDÖB, ZEK, S. 10 ff.; vgl. auch EDÖB, Tätigkeitsbericht 2018/2019, S. 33. ↵

Kamp/Weichert, S. 23; Paal, in: Specht-Riemenschneider et al., S. 334; Taeger, ZRP 2016, S. 73. ↵

Vgl. Schweizerische Bankiervereinigung, S. 17 ff. ↵

Vgl. EDÖB, Digitec Galaxus, Rn. 58, wonach Digitec Galaxus zur Prüfung eines Kaufs auf Rechnung aus dem Kundenprofil Schlussfolgerungen über die Bonität der Kunden ableite. ↵

Vgl. Peter et al., S. 9, welche die Auskunfteien von weiteren Unternehmen mit Wirtschaftsinformationen (ebenfalls) anhand der Art des Geschäftsmodells und der verwendeten Informationen abgrenzen. ↵

IX

Wie funktioniert Kreditscoring?

10

Phasen des Kreditscorings

Das Kreditscoring lässt sich – nicht zuletzt mit Blick auf die datenschutzrechtliche Beurteilung – in mehrere Phasen unterteilen. In der deutschen Lehre hat sich dabei vor dem Hintergrund der Regelung des Kreditscorings im aBDSG/DE[1] eine Unterteilung in fünf Phasen (weitgehend) durchgesetzt,[2] die dem Datenfluss folgt und die Phasen an den einzelnen Datenbearbeitungen ausrichtet.[3] Dieses Modell präsentiert sich etwas angepasst und verkürzt wie folgt:

In der ersten Phase beschaffen Kreditgeberinnen und andere Unternehmen, z.B. Inkassounternehmen, bonitätsrelevante Daten wie Zahlungserfahrungen über ihre Vertragspartnerinnen oder Inkassodaten über säumige Schuldner.

In der zweiten Phase übermitteln die Kreditgeberinnen und andere Unternehmen die bonitätsrelevanten Daten an die Auskunftei. Diese beschafft weitere Daten, insbesondere aus öffentlichen Quellen wie dem Betreibungs- oder Handelsregister.

In der dritten Phase berechnet die Auskunftei computergestützt den Kreditscore der kreditinteressierten Person. Die Berechnung erfolgt auf der Grundlage der ihr über diese Person vorliegenden Daten anhand eines Kreditscoring-Modells.

In der vierten Phase gibt die Auskunftei den über die kreditinteressierte Person generierten Kreditscore der (potenziellen) Kreditgeberin bekannt, die sich über das Eingehen eines kreditorischen Risikos zu entscheiden hat.

In der fünften Phase nutzt die Kreditgeberin den ihr übermittelten Kreditscore und fällt gestützt darauf den Kreditentscheid, indem sie etwa ein Darlehen oder einen Kauf auf Rechnung gewährt oder versagt. Inwiefern die Kreditgeberin ihren Entscheid vom Kreditscore abhängig macht, bestimmt sie üblicherweise selbst.[4]

Dieses Modell vermag die einzelnen Phasen der Datenbearbeitungen im Rahmen des Kreditscorings zu veranschaulichen, blendet aber die der Berechnung des Kreditscores zwingend vorgelagerte Modellentwicklung aus.[5] Bevor sich nämlich ein Kreditscore berechnen lässt, muss die Auskunftei dafür ein Kreditscoring-Modell entwickeln,[6] das sich in einer mathematischen Formel zur Berechnung des Kreditscores, der Scorecard, ausdrücken lässt.[7] Jedenfalls mit Blick auf das Datenschutzrecht wäre zudem als separate Phase zu unterscheiden oder in einer Phase zu ergänzen, dass die Auskunftei Daten (zumindest auch[8]) auf Vorrat speichert. Sie hält nämlich ohne konkreten Anlass Daten möglichst aller (potenziell kreditinteressierten) Personen in ihrem Tätigkeitsgebiet bereit, um (eventuelle) Auskunftsanfragen von Kreditgeberinnen beantworten zu können.

Während sämtliche dieser Phasen datenschutzrechtliche Fragen aufwerfen, fokussiert die vorliegende Untersuchung auf die dritte Phase dieses Modells.[9] In dieser Phase nimmt die Auskunftei mit der Berechnung des Kreditscores (üblicherweise) ein Profiling vor[10] und fällt – je nach Ansicht – unter Umständen eine automatisierte Entscheidung.[11] Nachdem (auch) die nähere Betrachtung dieser Phase ein Grundverständnis darüber voraussetzt, wie ein Kreditscoring-Modell entwickelt wird, ist darauf im Folgenden einzugehen.

Die Erhebung von Daten durch die Kreditgeberin und deren Einmeldungen unterlagen § 28a Abs. 1 und 2 aBDSG/DE, die Speicherung und Verarbeitung durch die Auskunftei § 29 Abs. 1 aBDSG/DE, das Scoring § 28b aBDSG/DE und die anschliessende Beauskunftung § 29 Abs. 2 aBDSG/DE (von Lewinski/Pohl, S. 17). Die DSGVO sieht an sich keine solche Differenzierung der Phasen vor; als Rechtsgrundlage für die Verarbeitungen steht Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO im Vordergrund (vgl. Eschholz, S. 184). Dennoch bezieht sich die deutsche Lehre auch unter der DSGVO bei der Prüfung der Zulässigkeit des Kreditscorings auf das Phasenmodell (Paal, in: Specht-Riemenschneider et al., S. 334). ↵

Vgl. Keats Citron/Pasquale, S. 20 ff., die ähnlich (und unabhängig vom aBDSG/DE) für das Scoring im Allgemeinen vier Phasen unterscheiden: Sammeln von Daten über die zu bewertenden Personen, Berechnung des Scores anhand der gesammelten Daten, Weitergabe des Scores an Entscheidungsträger und Verwendung des Scores bei der Entscheidungsfindung. ↵

Helfrich, Kreditscoring, S. 106 f.; Overbeck, S. 81; vgl. auch Ehmann, in: Simitis, § 29 N 121; Paal, in: Specht-Riemenschneider et al., S. 334. ↵

Die Kreditgeberinnen verfügen in der Praxis oft über eigene Bewertungssysteme, welche die von der Auskunftei übermittelten Daten nur als Eingabeparameter verwenden. Den allfälligen Schwellenwert, ab dem der Kreditentscheid negativ ausfällt (auch Cut-Off-Score), legen die Kreditgeberinnen fest (Bericht Wirtschaftsauskunfteien, S. 11; Peter et al., S. 26 und 34; vgl. auch Egeli, S. 103; IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 10). ↵

Vgl. dazu unten Teil 1, D.II. ↵

Vgl. Hoeren, SCHUFA-Scoring-Verfahren, S. 66 f. und 74, der (deshalb) drei chronologische Verfahrensstadien unterscheidet: die Entwicklung des Kreditscoring-Modells, die Berechnung (und Weitergabe) des konkreten Kreditscores und die Nutzung des Kreditscorewerts. ↵

Den Begriff der «Scorecard» verwendet die Literatur teilweise synonym mit «Modell» (Siddiqi, S. 4; vgl. auch Baesens et al., S. 95), teilweise versteht sie darunter dessen Ausdruck als Berechnungsformel (Dix, in: Simitis et al., Art. 13 N 17; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 94). ↵

Während die Auskunfteien eine Vielzahl von Daten anfrageunabhängig erheben und speichern, beschaffen sie zuweilen bei einer gegebenen Anfrage weitere Daten, z.B. einen aktuellen Auszug aus dem Betreibungsregister (vgl. Egeli, S. 102; Peter et al., S. 28, die vor diesem Hintergrund zwischen anfrageunabhängigen und anfrageabhängigen Daten unterscheiden). ↵

Vgl. dazu oben Einleitung, B.I. ↵

Vgl. dazu unten Teil 3. ↵

Vgl. dazu unten Teil 4. ↵

11

Entwicklung eines Kreditscoring-Modells

Methoden der Modellentwicklung

Nach der Erkenntnisgrundlage lassen sich im Wesentlichen zwei Methoden zur Entwicklung eines Modells für das Kreditscoring von natürlichen Personen unterscheiden, zum einen datenbasierte und zum anderen heuristische Methoden.[1] Letztere stellen auf die Erfahrungen (von Experten) aus dem bisherigen Kreditgeschäft ab, um Merkmale samt Gewichtung für die Berechnung des Kreditscores festzulegen.[2] Sie spielen in der Praxis soweit ersichtlich eine untergeordnete Rolle und werden von den schweizerischen Auskunfteien bloss teilweise ergänzend eingesetzt,[3] weshalb sie vorliegend nicht näher betrachtet werden.

Im Vordergrund stehen die datenbasierten Methoden,[4] die zumeist auf «klassischen» mathematisch-statistischen Verfahren, vereinzelt auf Techniken aus dem Bereich des Machine Learning beruhen.[5] Diesen Methoden liegt die Annahme zugrunde, dass Daten aus der Vergangenheit ein guter Indikator für das Rückzahlungsverhalten von künftigen Kreditnehmern sind.[6] Sie bedienen sich nämlich historischer Daten über Kreditnehmer, um die Merkmale und deren Gewichtungen herzuleiten. Anhand des entsprechenden Modells lässt sich sodann ein Kreditscore berechnen, der die Ausfallwahrscheinlichkeit quantifiziert, also die Wahrscheinlichkeit, dass bei der kreditinteressierten Person (innerhalb eines bestimmten Zeitraums) ein negatives finanzielles Ereignis wie die nicht fristgerechte Rückzahlung eintritt.[7]

Datenbasierte Methoden im Besonderen

Ablauf der Modellentwicklung

Ein für die vorliegenden Zwecke vereinfachter Ablauf der Entwicklung eines Kreditscoring-Modells anhand datenbasierter Methoden lässt sich in folgende Schritte unterteilen:[8]

Das Kreditscoring-Modell soll es ermöglichen, die Kreditwürdigkeit natürlicher Personen zu beurteilen oder – anders gewendet – schlechte von guten kreditorischen Risiken zu unterscheiden.[9] Mit Blick auf diesen Zweck ist zunächst das für die Modellentwicklung relevante Verständnis von guten und schlechten Risiken bzw. das Zielmerkmal zu bestimmen; Geschäftsfälle können entsprechend etwa in die Kategorien «Good», «Bad» und «Intermediates» eingeteilt werden.[10] Jedenfalls ist die massgebende Definition von «Bad», also eines Zahlungsausfalls, festzulegen, beispielsweise als ein Verzug von 90 Tagen oder die Zustellung der ersten Mahnung.[11]

Daraufhin sind Daten von natürlichen Personen, die in der Vergangenheit über Kredite verfügten, aus den unterschiedlichen verfügbaren Quellen zusammenzutragen und in eine verwendbare, strukturierte Form zu transformieren.[12] Dieselben Merkmale über die natürlichen Personen, die später für die konkrete Berechnung eines Kreditscores (über andere Personen) verwendet werden (sollen), z.B. Geschlecht, Betreibungen und Zahlungserfahrungen, müssen bereits in diesen Trainingsdaten für die Entwicklung des Scoring-Modells vorliegen.[13] Zudem sind die Daten zu bereinigen, um verfälschende Ergebnisse möglichst auszuschliessen,[14] etwa indem Daten abgeglichen und auf Plausibilität hin geprüft, Lücken gefüllt sowie Fehler aufgespürt und korrigiert werden.[15]

Auf der Grundlage ausreichender und bereinigter Daten[16] lässt sich anschliessend das Modell entwickeln: Die Daten über das Verhalten und die Eigenschaften einer Vielzahl von Personen, die über einen Kredit verfügten und innerhalb einer definierten Periode einen Zahlungsausfall gemäss der vorgesehenen Definition verursachten – oder eben nicht –, werden analysiert.[17] Mithilfe von «klassischen» mathematisch-statistischen Verfahren oder Techniken aus dem Bereich des Machine Learning[18] lassen sich Merkmale identifizieren, die mit dem das Ausfallrisiko spiegelnden Zielmerkmal korrelieren,[19] z.B. findet sich ein Zusammenhang zwischen einer bestimmten Wohngegend und einer unwahrscheinlichen Rückzahlung.[20] Anhand der Korrelationen und deren Stärke werden die Merkmale für das Modell ausgewählt und gewichtet.[21]

Schliesslich ist das (provisorische) Modell auf seine Güte zu überprüfen und erforderlichenfalls anzupassen. Dies empfiehlt sich nicht zuletzt deshalb, weil das Modell auf Korrelationen und nicht zwingend auf Kausalitäten abstellt.[22] Die Evaluierung kann nach verschiedenen Gesichtspunkten erfolgen,[23] wobei die statistische Genauigkeit, insbesondere die Trennschärfe, des Modells im Vordergrund steht.[24] Einzusetzen ist dafür ein gesonderter Datensatz, der vor der Modellentwicklung von den gesammelten und bereinigten Daten ausgeschieden wurde (sog. Validierungsdaten).[25] Damit soll auch verhindert werden, dass das Modell komplexer ist, als es für die Berechnung der wesentlichen Zusammenhänge erforderlich ist, es mithin auf irrelevante Informationen oder zufällige Eigenartigkeiten der zur Entwicklung verwendeten Daten abstellt (sog. overfitting), oder dass es unterkomplex ist und relevante Muster ignoriert (sog. underfitting).[26]

Verwendete Verfahren und Techniken

Mathematisch-statistische Verfahren

Grundsätzlich kommen verschiedene mathematisch-statistische Verfahren für die Entwicklung eines Kreditscoring-Modells in Frage.[27] Da jedes Verfahren spezifische Stärken oder Schwächen aufweist, lässt sich kein generell überlegenes identifizieren.[28] Die Wahl des im gegebenen Fall geeigneten Verfahrens richtet sich daher etwa nach der Menge und der Qualität der verfügbaren Daten oder den Anforderungen an die Interpretierbarkeit und die Implementierung.[29]

Die schweizerischen Auskunfteien verwenden nach eigenen Angaben ausschliesslich weltweit anerkannte statistische Methoden.[30] In ihren Verhaltensregeln betonen sie zwar nicht die statistische Natur der eingesetzten Verfahren, sie verpflichten sich aber immerhin auf die Verwendung von «wissenschaftlich anerkannten Methoden».[31] Wie sich mit den eigenen Erhebungen feststellen liess, setzen die schweizerischen Auskunfteien die lineare und/oder logistische Regression und vereinzelt auch die Diskriminanzanalyse ein.[32] Dies entspricht soweit ersichtlich auch der Praxis der deutschen Auskunfteien.[33]

Machine Learning-Techniken

Anstelle von (klassischen) mathematisch-statistischen Verfahren lassen sich auch Techniken aus dem Bereich des Machine Learning zur Entwicklung eines Kreditscoring-Modells verwenden,[34] etwa Neuronale Netzwerke, die Nächste-Nachbarn-Klassifikation und Support Vector Machines.[35] Diese Techniken haben gemäss einer von verschiedenen Definitionen[36] des «Machine Learning» gemeinsam, dass sie einen automatisierten Prozess darstellen, der in Datensätzen Korrelationen zwischen Variablen ermittelt[37] und ein möglichst gut auf den jeweiligen Datensatz passendes Modell hervorbringen sollen.[38] Das Machine Learning gilt seinerseits als (derzeit relevanteste) Technik[39] bzw. Sparte[40] der Künstlichen Intelligenz.[41]

In der Praxis der schweizerischen Auskunfteien hat sich die Verwendung von Machine Learning-Techniken soweit ersichtlich allerdings noch nicht durchgesetzt. Bei den eigenen Erhebungen gab lediglich eine Auskunftei an, sie setze solche Techniken zur Findung (potenzieller) Merkmale ein,[42] konkret die Clusteranalyse[43] und die Induktion von Entscheidungsbäumen.[44] Die gestützt darauf gefundenen Merkmale nehme sie aber nicht ohne Weiteres in ein Modell auf; vielmehr gehe der Aufnahme jeweils eine Überprüfung durch eine natürliche Person voraus.[45] Dass der Bundesrat und die vom Bundesamt für Justiz beauftragten Sachkundigen in ihren in Erfüllung des Postulats Schwaab[46] 2018 bzw. 2021 veröffentlichten Berichten den Einsatz von Machine Learning-Techniken nicht thematisiert haben,[47] dürfte sich ebenfalls als Hinweis darauf werten lassen, dass Machine Learning noch keine grosse praktische Bedeutung zukommt.

Ähnlich scheint die Situation in Deutschland. Die deutsche Niederlassung des Auskunfteien-Konzerns CRIF hält zwar etwa in ihrer Datenschutzerklärung fest, dass sie zur Entwicklung ihrer Modelle maschinelle Lernverfahren einsetze, nennt aber als Beispiel dafür (lediglich) die logistische Regression.[48] Ferner hat die SCHUFA, die grösste Auskunftei Deutschlands, im Frühjahr 2023 vor dem EuGH ausgeführt, dass sie keine selbstlernenden Algorithmen[49] verwende, dies womöglich aber in Zukunft tun werde.[50]

Vgl. Ehmann, in: Simits et al., Anhang 2 zu Art. 6 N 36, der zusätzlich die auf ökonomische Theorien abstellenden kausalanalytischen Modelle nennt, die eher bei (hier nicht interessierenden) Unternehmen, nicht bei natürlichen Personen relevant seien; ferner Peter et al., S. 33 f., die von den mathematischen Regressionsmodellen die regelbasierten Modelle abgrenzen. ↵

Ehmann, in: Simits et al., Anhang 2 zu Art. 6 N 36; vgl. auch Baesens et al., S. 126. ↵

Vgl. Peter et al., S. 34; Ergebnis eigene Umfrage. ↵

Vgl. Bericht Wirtschaftsauskunfteien, S. 13, wonach laut den schweizerischen Auskunfteien «der Score-Wert anhand von weltweit anerkannten statistischen Methoden festgelegt werde»; ferner Ehmann, in: Simits et al., Anhang 2 zu Art. 6 N 36, wonach die statistischen Modelle von hoher praktischer Bedeutung seien. ↵

Vgl. dazu unten Teil 1, D.II.2. ↵

Baesens et al., S. 94; Siddiqi, S. 80; vgl. auch Thomas et al., S. 6. ↵

Ehmann, in: Simits et al., Anhang 2 zu Art. 6 N 36; Peter et al., S. 33; vgl. auch Hurley/Adebayo, S. 153 f.; Muñoz et al., S. 11, die den Kreditscore generell als Vorhersage über die Ausfallwahrscheinlichkeit definieren. ↵

Die Literatur unterteilt die Schritte nicht einheitlich (vgl. statt vieler Hurley/Adebayo, S. 168 ff., die [bei der Machine Learning gestützten Entwicklung] drei Hauptschritte unterscheiden, nämlich «defining the problem and specifying the target variable», «gathering and transforming data» und «developing a final model through analysis of training data and feature selection»; Siddiqi, S. 37 ff., gliedert die Entwicklung in «data gathering», «model development», «model validation», «model deployment» und «model reporting»; ferner Thomas et al., S. 11 und 117 ff.). ↵

Streng genommen ist eine kreditinteressierte Person nie kreditunwürdig; vielmehr ist lediglich die potenzielle Kreditgeberin nicht gewillt, das betreffende kreditorische Risiko zu tragen (vgl. Thomas et al., S. 1). ↵

Siddiqi, S. 77 ff.; Thomas et al., S. 120 ff. ↵

Schröder et al., in: Schröder/Taeger, S. 27; vgl. auch Baesens et al., S. 115. ↵

Hurley/Adebayo, S. 174 ff.; Siddiqi, S. 39 f. ↵

Schröder et al., in: Schröder/Taeger, S. 27. ↵

Lorentz, S. 67; vgl. auch Hildebrandt/Backhouse, S. 21 und 23 f. ↵

Schröder et al., in: Schröder/Taeger, S. 28; vgl. auch Lorentz, S. 67; Siddiqi, S. 175 ff. ↵

Zu den Anforderungen an die Grösse und Qualität des Datensatzes vgl. Siddiqi, S. 74 ff.; Thomas et al., S. 118 ff.; ferner Schröder et al., in: Schröder/Taeger, S. 39 f. ↵

Siddiqi, S. 80 ff.; Thomas et al., S. 120 ff.; vgl. auch Baesens et al., S. 117 ff. ↵

Vgl. dazu unten Teil 1, D.II.2.2. ↵

Baesens et al., S. 95; vgl. auch Ehmann, in: Simits et al., Anhang 2 zu Art. 6 N 36; Schröder et al., in: Schröder/Taeger, S. 43. ↵

Vgl. Thouvenin et al., ADM, Ziff. 2.2; Thouvenin/Früh, S. 7. ↵

Hurley/Adebayo, S. 180; vgl. auch Overbeck, S. 31; Siddiqi, S. 200. ↵

Vgl. Canhoto/Backhouse, in: Hildebrandt/Gutwirth, S. 52; Lorentz, S. 71; Weichert, ZRP 2014, S. 170. ↵

Neben der statistischen Genauigkeit fallen etwa auch die Interpretierbarkeit, die operationale Effizienz, die Implementierungskosten und die Einhaltung regulatorischer Vorgaben in Betracht (Baesens et al., S. 131 ff.; vgl. auch Siddiqi, S. 200). ↵

Üblicherweise eingesetzte statistische Masse sind die AUC (area under the curve) und der Gini-Koeffizient, welche die Trennschärfe, also die Unterscheidungsfähigkeit eines Modells (vorliegend von guten bzw. schlechten kreditorischen Risiken) beurteilen (vgl. Óskarsdóttir et al., S. 29; Schröder et al., in: Schröder/Taeger, S. 35 f.; Thomas et al., S. 186 ff., zu den einzelnen Massen). ↵

Es werden also zwei Datensätze unterschieden, die Trainingsdaten für die Entwicklung und die Validierungsdaten für die Evaluierung (vgl. Schröder et al., in: Schröder/Taeger, S. 32; Siddiqi, S. 258; ferner Art. 3 Ziff. 29 bzw. Ziff. 30 KIVO). ↵

Lorentz, S. 72; vgl. auch Baesens et al., S. 111; Canhotto/Backhouse, in: Hildebrandt/Gutwirth, S. 52. ↵

Vgl. Baesens et al., S. 95 ff.; Siddiqi, S. 200 ff.; Thomas et al., S. 25 ff. ↵

Schröder et al., in: Schröder/Taeger, S. 31; vgl. auch Siddiqi, S. 116. ↵

Vgl. Siddiqi, S. 116, der noch weitere Auswahlkriterien nennt. ↵

Bericht Wirtschaftsauskunfteien, S. 13. ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 16. ↵

Ergebnis eigene Umfrage. ↵

Vgl. Blasek, ZD 2022, S. 437, wonach die deutsche Auskunftei SCHUFA die logistische Regression einsetze; Ehmann, in: Simits et al., Anhang 2 zu Art. 6 N 36, der die Diskriminanzanalyse und daran anknüpfende Regressionsmodelle als von den Auskunfteien verwendete Methoden nennt. ↵

Hurley/Adebayo, S. 168 ff.; vgl. auch Baklouti, S. 197; Dastile, S. 2. ↵

Zu diesen Techniken vgl. Baesens, S. 22 ff.; Kennedy, S. 27 ff. ↵

Die Literatur kennt weitere Begriffsbestimmungen, z.B. jene, welche an die Fähigkeit der betreffenden Technik anknüpft, einen Computer zu einem Handeln zu bringen, das nicht explizit programmiert wurde (Muñoz et al., S. 10; vgl. auch Spiecker gen. Döhmann et al., S. 538). ↵

Lehr/Ohm, S. 671; Murphy, S. 1; vgl. auch Baesens, S. 3. ↵

Thouvenin/Früh, S. 7; vgl. auch ICO, AI, S. 6. ↵

Christen et al., S. 74; Stiemerling, Rn. 6; vgl. auch EG 12 KIVO. ↵

ICO, AI, S. 6; Joos/Meding, Rn. 5; Spiecker gen. Döhmann et al., S. 538. ↵

Für den Begriff der «Künstlichen Intelligenz» gibt es (ebenso) keine allgemeingültige Definition. Die Begriffsbestimmungen stellen beispielsweise auf das Vermögen (eines Computers) ab, Dinge zu tun, die normalerweise menschliche Fähigkeiten bzw. Intelligenz erfordern (Geschäftsstelle CNAI, S. 7; Stiemerling, Rn. 2; vgl. auch Christen et al., S. 74) oder auf jenes, aus Erfahrungen bzw. den erhaltenen Daten zu lernen (vgl. Datatilsynet, S. 5; Expertengruppe Datenbearbeitung, S. 38; ICO, AI, S. 6). Art. 2 KI‑Konv. definiert (ähnlich wie Art. 3 Ziff. 1 KIVO) das «KI-System», und zwar als «ein maschinengestütztes System, das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können. Verschiedene Systeme der künstlichen Intelligenz unterscheiden sich in ihrem Grad an Autonomie und Anpassungsfähigkeit nach ihrer Betriebsaufnahme» (eigene Übersetzung). ↵

Ergebnis eigene Umfrage. ↵

Zu dieser Technik vgl. Baesens, S. 2 f. und 80 ff.; Kennedy, S. 15 f. und 38. ↵

Zu dieser Technik vgl. Baesens, S. 3 und 19 ff.; Baesens et al., S. 106 ff. ↵

Ergebnis eigene Umfrage. ↵

Vgl. dazu oben Einleitung, B.III.2. ↵

Der Bundesrat verweist in seinem Bericht Wirtschaftsauskunfteien, S. 30, lediglich bei den Entwicklungen auf internationaler Ebene auf die Tätigkeiten der OECD zum Thema der Künstlichen Intelligenz, ohne diese in den Kontext der Praxis der schweizerischen Auskunfteien zu stellen. Peter et al. adressieren Machine Learning oder Künstliche Intelligenz nicht. ↵

CRIF GmbH (Deutschland), Datenschutzerklärung, Ziff. IV. Die logistische Regression wird üblicherweise zu den (klassischen) mathematisch-statistischen Verfahren gezählt (vgl. dazu oben Teil 1, D.II.2.2.a) und von den Machine Learning-Techniken abgegrenzt (vgl. Siddiqi, S. 200). ↵

Ein Algorithmus ist eine in Einzelschritte zerlegte Handlungsanweisung zur Lösung einer bestimmten Aufgabenstellung wie etwa ein Kochrezept oder ein Programmcode einer Software (Martini, Blackbox, S. 17 ff.; vgl. auch Gesellschaft für Informatik, S. 17). Es lassen sich deterministische Algorithmen, die bei einem bestimmten Input immer denselben Output generieren, und selbstlernende Algorithmen unterscheiden. Letztere passen ihre Entscheidungsprozesse (gestützt auf Techniken des Machine Learning) an, sodass je nach verwendeten Trainingsdaten ein bestimmter Input nicht zwingend denselben Output hervorbringt (Expertengruppe Datenbearbeitung, S. 38; Weber/Henseler, EuZ 2020, S. 6). ↵

Häuselmann, ECJ, o.S. ↵

X

Mit welchen Daten aus welchen Quellen erfolgt Kreditscoring?

12

Verwendete Daten

Wissenschaftliche Studien zu den verwendeten Daten

Je nach Umfang und Kategorie der verwendeten Daten unterscheidet sich gemäss wissenschaftlichen Studien die Verlässlichkeit der mit dem Kreditscoring generierten Einschätzung der Ausfallwahrscheinlichkeit. Eine schwache Prognosefähigkeit bedeutet, dass gute kreditorische Risiken fälschlicherweise für schlechte gehalten werden – und umgekehrt. Es besteht also die Gefahr, dass (objektiv betrachtet) kreditwürdigen Personen ein Kredit verwehrt bleibt, während kreditunwürdige Personen einen Kredit erhalten. Nachdem die (statistische) Relevanz eines Datums für die Beurteilung der Kreditwürdigkeit auch für die anschliessende datenschutzrechtliche Untersuchung bedeutsam ist, sind im Folgenden die Kernaussagen einiger solcher Studien zu den für das Kreditscoring verwendeten Daten wiederzugeben.

Umfang der verwendeten Daten

In Bezug auf den Umfang konstatierten verschiedene Studien, dass sich die Prognosefähigkeit von Kreditscoring-Modellen statistisch signifikant verbessere, je detaillierter die verwendeten Informationen seien.[1] So zeigte etwa eine statistische Analyse, dass sich die Prognose über fünf Modelle mit unterschiedlichen Informationsbasen hinweg bei jedem Modell mit detaillierteren Informationen im Vergleich zu den anderen erheblich verbesserte.[2] Zu einem ähnlichen Resultat gelangte auch eine hinsichtlich der Methodik vergleichbare Studie, die vier unterschiedliche Modelle einander gegenüberstellte:[3] Mit zunehmender Breite der verwendeten Informationen steigt auch die Prognosefähigkeit des Beurteilungssystems; umgekehrt verschlechtern Einschränkungen der Informationsbasis die Vorhersagen deutlich.[4]

Negative und positive Daten

Weiter zeigen Untersuchungen, dass die Berücksichtigung von sog. positiven Daten einen erheblichen Mehrwert für die Qualität der Prognose erzeugt im Vergleich zu Beurteilungen, die ausschliesslich auf negativen Daten basieren.[5] Dabei ist allerdings zu berücksichtigen, dass keine einheitlichen Definitionen der Begriffe der negativen und positiven Daten[6] bestehen. Nach einem Verständnis[7] unterscheiden sich diese Kategorien danach, ob ein Datum die Kreditwürdigkeitsprüfung positiv, also zugunsten der geprüften Person, oder negativ, also zu deren Ungunsten, beeinflusst.[8] Ein anderes Verständnis definiert negative Daten als Informationen über nicht vertragsgemässes Verhalten und positive Daten als sämtliche anderen Daten.[9] Auf diese Begriffe ist zurückzukommen.[10]

Eine Studie, die den Mehrwert von positiven Daten für die Qualität der Prognose nachwies, stellte anhand einer Simulation die Prognosefähigkeit eines ausschliesslich auf negativen Daten beruhenden Modells derjenigen eines Modells gegenüber, das sowohl negative als auch positive Daten einbezog.[11] Es zeigte sich, dass eine Einschränkung auf negative Daten die Prognose deutlich verschlechterte; so sind bei der Verwendung des Modells mit ausschliesslich negativen Daten beispielsweise bis zu 170.4 % mehr Ausfälle bei den vergebenen Krediten zu verzeichnen.[12] Diese Ergebnisse liessen sich in der Folge durch verschiedene Untersuchungen bestätigen.[13]

Traditionelle und alternative Daten

Begriffe und Beispiele

Während mit traditionellen Daten im Wesentlichen aufgezeichnete Kredit- und Zahlungshistorien gemeint sind,[14] zählen zu den alternativen Daten insbesondere Daten aus sozialen Netzwerken, Mobilfunkdaten und psychometrische Daten.[15] Auch hier besteht keine einheitliche Begriffsverwendung, sodass zuweilen auch Daten über Strom‑, Gas- oder Wasserrechnungen sowie Angaben über die Bildung zu den alternativen Daten gezählt werden.[16]

In der (ausländischen) Praxis finden sich verschiedene Beispiele für die Verwendung von alternativen Daten. So berücksichtigen etwa US-amerikanische Auskunfteien bzw. Fintech-Anbieter den Gebrauch bestimmter Wörter auf sozialen Netzwerken negativ[17] oder beziehen die Kontakte der kreditinteressierten Person in die Bewertung mit ein.[18] Ein britischer Fintech-Anbieter hat – immerhin zur Probe auch in Europa – anhand eines Tests psychometrische Daten der kreditinteressierten Person, namentlich Attribute wie die Gewissenhaftigkeit und emotionale Stabilität, abgeleitet und diese für das Kreditscoring verwendet.[19] Auch wird versucht, den Browserverlauf und die Online-Kaufhistorie[20] oder das Batterielevel des Smartphones[21] für Kreditwürdigkeitsprüfungen fruchtbar zu machen.

Die deutsche Auskunftei SCHUFA beabsichtigte zwar Medienberichten aus dem Jahr 2012 zufolge, Informationen aus den sozialen Netzwerken wie Facebook, Twitter und Xing für ihr Kreditscoring zu verwenden,[22] sah dann allerdings davon ab.[23] Auch in der Schweiz erscheint die Verwendung von solchen Daten derzeit als unwahrscheinlich, nicht zuletzt, weil sich die vier grossen schweizerischen Auskunfteien in ihren Verhaltensregeln darauf verpflichteten, auf die Bearbeitung von «Social-Media-Daten» zu verzichten.[24]

Alternative Daten zusätzlich zu traditionellen Daten

Verschiedene Studien untersuchten die statistische Relevanz bestimmter Informationen bzw. Informationskategorien für die Beurteilung der Kreditwürdigkeit, wenn diese neben traditionellen Daten in ein Kreditscoring einbezogen werden. Die in einer Studie zusätzlich berücksichtigten Informationen wie die lokale Arbeitslosigkeit und die Änderung des Zivilstands erwiesen sich als für die Prognose statistisch derart erheblich, dass die Studie in Frage stellte, ob ein Kreditscoring-Modell, das auf solche Informationen über die wirtschaftlichen und persönlichen Umstände einer natürlichen Person verzichte, deren Ausfallrisiko überhaupt akkurat berechnen könne.[25] Eine andere Studie zu Mikrokrediten stellte fest, dass der Einbezug psychologischer Eigenschaften die statistische Genauigkeit von Modellen zur Prüfung der Kreditwürdigkeit erheblich verbessere. Konkret erwies sich die Berücksichtigung von Übermut und emotionaler Intelligenz der kreditinteressierten Person als statistisch signifikant.[26]

Alternative Daten anstelle traditioneller Daten

Ausserdem wiesen Studien nach, dass alternative Daten statistisch gesehen denselben Informationsgehalt hinsichtlich der Beurteilung der Kreditwürdigkeit aufweisen können wie traditionelle Daten. So ergab eine Studie, dass der «digital footprint», d.h. Informationen wie der verwendete Gerätetyp, das Betriebssystem oder der E-Mail-Provider, die sich beim blossen Besuch von oder der Registrierung auf Websites erfassen lassen, denselben Informationsgehalt aufweist wie traditionelle Kreditscores von Auskunfteien. Die Informationen des «digital footprints» sind für die Ausfallprognose sogar geringfügig trennschärfer als der Kreditscore der Auskunftei.[27] Die Resultate einer weiteren Studie zeigten, dass die Prognosefähigkeit von Mobilfunkdaten gleich gut oder sogar besser als diejenige von traditionell für Kreditscorings eingesetzten Informationen ist. Kredite könnten demnach ohne Einbussen bei der statistischen Qualität der Prognose allein gestützt auf Informationen über getätigte Telefonate vergeben werden.[28]

Zwischenfazit

Bei den thematisierten Studien ist freilich zu beachten, dass sie sich jeweils auf eine bestimmte Art von Kredit (z.B. Mikrokredite oder Konsumkredite) und auf einen spezifischen Rechts- und Wirtschaftsraum (z.B. USA oder Tunesien) beziehen, weshalb ihre Verallgemeinerbarkeit nicht ausser Frage steht. Etwas verkürzt betrachtet, dürften sich dennoch die Schlüsse ziehen lassen, dass sich die Prognosefähigkeit einer Kreditwürdigkeitsbeurteilung verbessert, je umfangreicher deren Informationsbasis ist. Ferner erscheint es aus statistischer Sicht angezeigt, auch positive Daten sowie Informationen über die persönlichen Umstände und die Psychologie der kreditinteressierten Person mitzuberücksichtigen. Zudem spricht die Statistik dafür, nicht nur mehr, sondern auch andere als traditionelle Daten für das Kreditscoring zu verwenden.

In der Schweiz verwendete Daten

Die von den Auskunfteien bearbeiteten Daten und ihre Datenquellen lassen sich anhand der Datenschutzerklärungen der Auskunfteien[29] sowie der selbstauferlegten Verhaltensregeln der IG Wirtschaftsauskunfteien[30] erschliessen. Detailliertere Informationen zu den verwendeten Daten und Datenquellen ergaben sich zudem aus der für die vorliegende Untersuchung durchgeführten Umfrage bei den schweizerischen Auskunfteien.[31]

Zur Identifikation der kreditinteressierten Person

Bevor eine Auskunftei eine eigentliche Kreditwürdigkeitsprüfung vornehmen kann, muss sie die kreditinteressierte Person eindeutig identifizieren.[32] Für diese Identifikation verwenden die Auskunfteien gemäss den Verhaltensregeln der IG Wirtschaftsauskunfteien folgende Daten:[33] Name, Vorname, Ledigname, Geburtsdatum und Todesdatum, Geburts- oder Heimatort/-land, Geschlecht, Zivilstand, Ehepartner, Adressen und Kontaktdaten wie Telefonnummern, Faxnummern, E-Mail-Adressen, URLs, Berufe sowie Verbindungen zu juristischen Personen.

Die Erkenntnisse aus der durchgeführten Umfrage deuten allerdings darauf hin, dass in der Praxis eine eingeschränktere Datengrundlage Verwendung findet. Einige der aufgezählten Daten – namentlich das Todesdatum,[34] der Geburtsort, der Zivilstand, der Ehepartner, der Beruf und die Verbindungen zu juristischen Personen – werden in der Praxis zumindest nicht von allen Auskunfteien regelmässig für die Identifikation verwendet. Dafür berücksichtigen die Auskunfteien die aktuelle und die früheren Adressen und vereinzelt auch die Nationalität bzw. Nationalitäten der kreditinteressierten Person zwecks deren Identifikation.[35]

Zu beachten ist, dass zuweilen über die standardisierte, systemgestützte Identifikation hinaus eine manuelle stattfinden muss, damit sich die kreditinteressierte Person eindeutig identifizieren lässt. Bei einer solchen manuellen Identifikation ist denkbar, dass die Auskunftei eine Recherche betreibt und entsprechend weitere Daten zur Identifikation beizieht.[36]

Jedenfalls in der Vergangenheit gaben die schweizerischen Auskunfteien ausserdem sog. Ähnlichkeitstreffer bekannt, um das Risiko zu minimieren, dass andere Personen mit der kreditinteressierten Person verwechselt werden.[37] Dazu zeigte die Auskunftei bei einer Personenauskunft auch Personen als Treffer an, welche einen ähnlichen Namen haben und/oder an demselben Tag Geburtstag haben.[38]

Zur Beurteilung der Kreditwürdigkeit

Zur Beurteilung der Kreditwürdigkeit und mithin zur Berechnung des Kreditscores der kreditinteressierten Person bearbeiten die Auskunfteien gemäss den Verhaltensregeln der IG Wirtschaftsauskunfteien die folgenden Daten bzw. Datenkategorien:[39] das Zahlungsverhalten, Daten aus dem Forderungsmanagement, Daten aus öffentlichen Registern wie Betreibungsregister, Einwohnerregister und Handelsregister, amtliche Meldungen, den Bonitätsscore sowie Verbindungen zu juristischen Personen.

Differenziertere Erkenntnisse als aus dieser Liste von teilweise vagen Kategorien liessen sich aus der selbst durchgeführten Umfrage gewinnen. Demnach verwenden die Auskunfteien für die Beurteilung der Kreditwürdigkeit die Namen sowie das Geburtsdatum, woraus sich das Alter der betroffenen Person ergibt.[40] Sie nutzen auch die aktuelle Adresse und mehrheitlich ebenso die früheren Adressen, aus denen sich unter anderem Rückschlüsse auf die Umzugshäufigkeit ziehen lassen.[41] Zwei der drei befragten Auskunfteien beschaffen und bearbeiten zur Beurteilung der Kreditwürdigkeit auch den Heimatort. Vereinzelt, so zeigte sich, beziehen die Auskunfteien überdies das Geschlecht, allfällige Beistandschaften, den Beruf sowie die Anzahl der Familienmitglieder in die Bewertung mit ein.[42] Zumindest eine Auskunftei verwendet auch Telefonnummern und E-Mail-Adressen für die Kreditwürdigkeitsbeurteilung.[43]

Die Erhebungen zeigten überdies, dass die Auskunfteien zur Beurteilung der Kreditwürdigkeit Informationen über fristgerechte und verspätete Zahlungen, Mahnungen, Betreibungen, Pfändungen und andere Vollstreckungsmassnahmen, Verlustscheine sowie Angaben aus dem Handelsregister beschaffen und bearbeiten.[44] Die dem Betreibungsregister zu entnehmenden Informationen verwenden die Auskunfteien indes nicht flächendeckend, da sie Auszüge daraus bloss fallweise beziehen.[45] Zuweilen berücksichtigen sie auch gerichtliche Verfahren.[46]

Gemäss einem 2018 zuhanden des Bundesamts für Justiz verfassten Bericht verwendet zumindest eine Auskunftei ausserdem Angaben zur Wohnlage für die Beurteilung der Kreditwürdigkeit.[47] Jedenfalls früher pflegten die Auskunfteien auch, statistische Daten für Umgebungsanalysen zu bearbeiten, die sie zwar nicht in die Berechnung des Scorewerts einfliessen liessen, aber als zusätzliches Entscheidungskriterium den Kreditgeberinnen bekanntgaben.[48] Die Auskunfteien griffen dafür auf statistische Informationen über die Umgebung wie Altersstruktur, Ausländeranteil, Umzugshäufigkeit, Wohneigentum etc. zurück, die das Bundesamt für Statistik zur Verfügung stellt. Die einschlägigen statistischen Daten erschliessen sich dabei durch das Hektar-Raster (d.h. 100×100 m), in dem sich die Wohnadresse der betroffenen Person befindet.[49]

Des Weiteren erheben die Auskunfteien «Firmenbeziehungen», womit Informationen über aktuelle und ehemalige Mandate von natürlichen Personen in aktiven oder gelöschten Rechtseinheiten gemeint sind,[50] namentlich die Funktion und Zeichnungsart der Person in der betreffenden Rechtseinheit.[51] Zuweilen verknüpfen die Auskunfteien die Kreditwürdigkeit der Rechtseinheit mit der Kreditwürdigkeit der kreditinteressierten Person, indem sie der Kreditgeberin auch die Kreditwürdigkeitsbeurteilung der Rechtseinheit bekanntgeben oder diese Bewertung in die Kreditwürdigkeitsbeurteilung der kreditinteressierten Person einfliessen lassen.[52] Ebenfalls die wirtschaftliche Vernetzung beschlagen Informationen über Beteiligungen an Unternehmen, die Auskunfteien teilweise für die Kreditwürdigkeitsbeurteilung verwenden. Gegebenenfalls berücksichtigen sie, an welchen Unternehmen die kreditinteressierte Person inwiefern und in welchem Masse – beispielsweise mit Aktien oder Stammanteilen – beteiligt ist.[53]

In der Auskunft zuhanden der Kreditgeberin

Im Allgemeinen

Welche Daten eine Auskunftei der Kreditgeberin in ihrer Auskunft im Einzelfall bekanntgibt, hängt nicht nur von den der Auskunftei zur Verfügung stehenden Daten, sondern auch von ihren Auskunftsprodukten und den Bedürfnissen der Kreditgeberin ab.[54] In der Finanzbranche erfordern die Kredite mit zuweilen hohem Volumen eine intensivere Prüfung, weshalb die Kreditgeberinnen detailliertere Informationen benötigen. Sie erhalten in der Regel einen exakten Scorewert, die zu dessen Berechnung verwendeten sowie allenfalls weitere bonitätsrelevante Daten.[55] Im Online-Handel sind die Bestellsummen und damit die Kreditbeträge in aller Regel kleiner, weshalb auch stark verdichtete Informationen genügen. Die Auskunfteien setzen in diesem Bereich typischerweise Ampelsysteme ein, bei denen «grün» für das Fehlen von negativen Informationen, «gelb» für gewisse negative Informationen und «rot» für eine als schlecht beurteilte Kreditwürdigkeit steht.[56]

Bei einem Angebot zur Prüfung der Kreditwürdigkeit von (potenziellen) Mietparteien z.B., zu dem der EDÖB eine Empfehlung aussprach, umfasste die Auskunft folgende Informationen:[57] Zahlungserfahrungen, Firmenbeziehungen und sämtliche bekannten Adressen der kreditinteressierten Person sowie Daten über im gleichen Haushalt lebende Personen (sog. Haushaltstreffer[58]), eine «Entscheidung» (Bonitätsrating in Form einer Ampel), eine «Entscheidmatrix» (Aufschlüsselung und Bewertung der für die «Entscheidung» relevanten Merkmale) und einen Score (Beurteilung der Kreditwürdigkeit in einem numerischen Wert).[59]

Negative Haushaltstreffer im Besonderen

Zuweilen setzten Auskunfteien auch das Instrument der negativen Haushaltstreffer ein. Dafür gibt die Auskunftei der Kreditgeberin im Rahmen der Bonitätsauskunft über eine Person negative Daten über eine andere (vermutlich) im selben Haushalt lebende Person bekannt.[60] Die Bekanntgabe umfasst beispielsweise den Namen, das Geburtsdatum, die Adresse, die Telefonnummer, den Jahrgang, allfällige Zahlungserfahrungen sowie den Scorewert des Haushaltsmitglieds.[61] Dabei fusst die Annahme, dass Personen einen Haushalt teilen, etwa auf der identischen Wohnadresse, Telefonnummer und/oder dem übereinstimmenden Nachnamen.[62]

Die Bekanntgabe negativer Haushaltstreffer soll verhindern, dass eine nicht kreditwürdige Person mit den Angaben eines kreditwürdigen Haushaltsmitglieds Kreditgeschäfte tätigt, namentlich Waren und Dienstleistungen auf Rechnung bezieht.[63] Damit richten sich die negativen Haushaltstreffer gegen eine verbreitete Form des Bestellbetrugs, bei der eine Person die Angaben einer anderen Person für ihre Bestellung verwendet.[64] Über 70 % der befragten Online- und Versandhändler gaben nämlich in einer 2020 von der Auskunftei CRIF AG durchgeführten Umfrage an, bereits mit dieser Form des Betrugs konfrontiert gewesen zu sein.[65]

Bei den negativen Haushaltstreffern handelt es sich also im Wesentlichen um eine Bekanntgabe von Daten Dritter an die Kreditgeberin und nicht um eine Ausprägung des Kreditscorings. Zudem dienen sie (primär) der Betrugsbekämpfung statt der Kreditwürdigkeitsbeurteilung. Aus diesen Gründen verzichtet die vorliegende Untersuchung auf eine nähere Betrachtung der negativen Haushaltstreffer.[66]

Nicht verwendete Personendaten

Die Auskunfteien bearbeiten laut ihren Verhaltensregeln und gemäss den Erkenntnissen aus der eigenen Umfrage für die Kreditwürdigkeitsbeurteilung von natürlichen Personen keine besonders schützenswerten Personendaten.[67] Ebenso wenig verwenden die Auskunfteien nach ihren Verhaltensregeln für diesen Zweck «Social-Media-Daten, Autonummern, Pass, ID, Ausländerausweis, Führerausweis sowie Daten von Minderjährigen».[68] Dies deckt sich (ebenfalls) mit dem Ergebnis der Umfrage.[69]

Gleichzeitig offenbarten die Erhebungen, dass die Auskunfteien den Geburtsort, den Zivilstand, den Aufenthaltstitel sowie die Konfession weder für die Identifikation noch für die Kreditwürdigkeitsbeurteilung verwenden. Auch Angaben zu abgelehnten Kreditanträgen und zur Nutzung des Mobilfunks, die möglicherweise Anhaltspunkte für die Kreditwürdigkeit bieten könnten, bearbeiten die Auskunfteien nicht. Das Vermögen und das Einkommen der kreditinteressierten Person, deren Einbezug in die Kreditwürdigkeitsbeurteilung naheliegen würde, fliessen ebenso wenig ein wie allfällige Schulden.[70]

Dazu ausführlich Schröder et al., in: Schröder/Taeger, S. 13 ff. m.w.H. ↵

Chandler/Parker, S. 47 ff. und 53. Die Analyse wendete auf eine Stichprobe von mehreren tausend Kreditanträgen und dazugehörigen Zahlungshistorien von US-amerikanischen Kreditnehmern fünf Modelle an, die auf unterschiedlich breiten Informationsbasen abstellten. Während das eingeschränkteste Modell ausschliesslich auf die Angaben aus dem Kreditantrag abstellte, bezog das detaillierteste Modell etwa auch die Anzahl der getätigten Kreditkarten- und Konsumgütergeschäfte mit ein. ↵

Chandler/Johnson, S. 70 ff. Die Studie basiert auf Daten aus den USA von über 800‘000 gutgeheissenen Anträgen für Bankkarten. Für den hier interessierenden Teil der Studie erfolgten Kreditscorings anhand vier unterschiedlicher Modelle, die sodann anhand des Kreditstatus der Konten (wie etwa Konkurs, erhebliche Säumnis etc.) nach Ablauf von zwölf Monaten auf ihre Prognosefähigkeit getestet wurden. ↵

Chandler/Johnson, S. 72, weisen indes darauf hin, dass selbstverständlich ein Punkt des abnehmenden Ertragszuwachs bestehe, ab dem sich die Kosten für das Sammeln, Speichern etc. der zusätzlichen Informationen angesichts deren Beitrags zur Prognosefähigkeit nicht mehr lohnen würden. ↵

Dazu ausführlich Schröder et al., in: Schröder/Taeger, S. 14 f.; Turner, S. 8 ff.; World Bank, S. 6 f. ↵

Statt von Daten ist zuweilen auch von Informationen oder Merkmalen die Rede (vgl. Schäfer, in: Epiney et al. 2011, S. 62; Schröder et al., in: Schröder/Taeger, S. 14; SCHUFA, Häufig gestellte Fragen, abrufbar unter <https://www.schufa.de/faq/privatpersonen/daten/was-sind-positiv-und-negativ-gespeicherte-informationen.jsp>, zuletzt besucht am 30. September 2024. ↵

Ein ebenso vertretenes Verständnis kategorisiert positive Daten als Angaben zu vertragsgemässem Verhalten und negative Daten als Angaben über nicht vertragsgemässes Verhalten (vgl. SCHUFA, Häufig gestellte Fragen, abrufbar unter <https://www.schufa.de/faq/privatpersonen/daten/was-sind-positiv-und-negativ-gespeicherte-informationen.jsp>, zuletzt besucht am 30. September 2024; Schantz, in Simitis et al., Art. 6 N 137). ↵

Schäfer, in: Epiney et al. 2011, S. 62; World Bank Group, S. 7, die allerdings auf Daten betreffend finanzielle Verpflichtungen und Verträge fokussieren. ↵

Schröder et al., in: Schröder/Taeger, S. 14; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 106. ↵

Vgl. dazu unten Teil 3, C.IV.3.2.b.bb.ii. ↵

Barron/Staten, S. 296 f. Die Untersuchung stützt sich auf Stichproben aus einem Datensatz von insgesamt zehn Mio. individuellen Kreditdateien, welche die US-amerikanische Auskunftei Experian zur Verfügung stellte. Die beiden Modelle wurden auf ihre Prognosefähigkeit von Zahlungsrückständen von 90 oder mehr Tagen innerhalb von 24 Monaten getestet. Als positive Daten hat die Studie ungefähr zwei Dutzend Merkmale verwendet, darunter die Anzahl der Kredite ohne Zahlungsverzug, die Anzahl der eröffneten Kredite innerhalb von sechs bzw. zwölf Monaten, das Alter der offenen Kredite etc. ↵

Die verbesserte Prognosefähigkeit veranschaulicht die Studie anhand des Effekts einerseits auf die (geringeren) Ausfälle und andererseits auf die (bessere) Verfügbarkeit von Krediten; dieser ist abhängig von der Zielquote für die Kreditgewährung bzw. die Ausfallrate (vgl. Barron/Staten, S. 297). ↵

Turner, S. 13 m.w.H. Als Beispiel lässt sich eine Studie von Powell et al., S. 7 ff., nennen, die nach dem Vorbild von Barron/Staten mit Datensätzen aus den öffentlichen Kreditregistern Argentiniens, Brasiliens und Mexikos erfolgte. Die Autoren stellten u.a. fest, dass in Brasilien bis zu 53.2 % mehr Ausfälle bei den vergebenen Krediten zu verzeichnen sind, wenn bloss negative Daten berücksichtigt werden. Unter «positiven Daten» versteht die Studie Informationen über Kreditnehmer, die ihren Verpflichtungen firstgerecht nachkommen, sowie weitere beschreibende Daten wie Beträge, Zinssätze und Laufzeiten von Krediten. ↵

Vgl. Boot et al., S. 10; Óskarsdóttir et al., S. 26. ↵

Aitken, S. 274 f.; vgl. auch Siddiqi, S. 16 und 137. ↵

Vgl. Aitken, S. 275; Siddiqi, S. 137. ↵

Die US-amerikanische Auskunftei Fair Isaac Corporation (FICO) stellt bspw. auf Informationen aus den sozialen Netzwerken ab und berücksichtigt negativ, wenn eine Person das Wort «wasted» verwendet (Hardekopf, o.S.). ↵

LenddoEFL, eine Anbieterin alternativer Kreditscores, zieht Daten aus den sozialen Netzwerken bei, um anhand der Kontakte der kreditinteressierten Person deren Ausfallrisiko zu beurteilen (Óskarsdóttir, S. 28). ↵

Aitken, S. 285 f. ↵

Vgl. Boot et al., S. 10. ↵

King, o.S. ↵

Rieger, o.S. ↵

SCHUFA, Häufig gestellte Fragen, abrufbar unter <https://www.schufa.de/faq/pri​vat​per​so​nen/scoring/nutzt-die-schufa-daten-aus-sozialen-netzwerken.jsp>, zuletzt besucht am 30. September 2024; Vasella, Social Media, Rn. 7.23 (Fn. 61). ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 8. ↵

Avery et al., JBF 2004, S. 848 ff. und 854 f. Die Studie verwendete einen Datensatz von einer US-amerikanischen Auskunftei über ungefähr 248‘000 Personen, der sowohl die Rohdaten für die Erstellung von Kreditscoring-Modellen als auch die von der Auskunftei berechneten Kreditscores umfasste (Avery et al., JBF 2004, S. 836 mit Verweis auf Avery et al., Fed. Res. Bull. 2004, S. 51). Anhand von drei Tests wurde geprüft, ob die zur Zahlungshistorie hinzutretende Berücksichtigung der lokalen Arbeitslosigkeit (vertretend für die wirtschaftliche Situation), von Änderungen der Inhaberschaft von Konten (vertretend für Änderungen des Zivilstands) bzw. von isoliert, aber gehäuft auftretenden Zahlungsstörungen (vertretend für vorübergehende, persönliche «trigger events») die Prognose statistisch erheblich verbessert. ↵

Baklouti, S. 198 ff. und insb. 201. Die Untersuchung basierte auf einem Datensatz betreffend 377 Kredite eines tunesischen Mikrofinanzinstituts, von denen 50 % zu Ausfällen führten. Die psychologischen Eigenschaften der Kreditnehmer wurden mittels eines Fragebogens erhoben, der auf (von Baklouti, S. 200 f., näher beschriebene) wissenschaftliche Vorarbeiten in der Psychologie abstellte. Die Untersuchung verglich sodann ein Modell, das auf Informationen über Demografie und Zahlungshistorie des Kreditnehmers sowie Betrag und Verwendungszweck des Kredits abstellt, mit einem Modell, das zusätzlich psychologische Eigenschaften, im Konkreten Übermut und emotionale Intelligenz, miteinbezieht. ↵

Berg et al., S. 2855 ff. und 2885. Die Studie stützte sich auf einen Datensatz von über 250‘000 Käufen bei einem Online-Shop in Deutschland, bei denen der «digital footprint» der Käufer erhoben wurde. Dieser umfasste u.a. Angaben zum Gerätetyp, dem Betriebssystem, dem E-Mail-Provider, der verwendeten E-Mail-Adresse und den Zeitpunkt des Kaufs. Die in einem statistischen Mass ausgedrückte Trennschärfe der Informationen des «digital footprints» stellte die Studie der Trennschärfe eines Kreditscores einer deutschen Auskunftei gegenüber. ↵

Óskarsdóttir et al., S. 35 und 37. Der verwendete Datensatz umfasste die Bankdaten (insb. Angaben über Ausfälle innerhalb von zwölf Monaten) von über zwei Mio. Bankkunden sowie die Randdaten aller ihrer Telefonate (sog. «call-detail records») und der Mobilfunkanrufe der von den Bankkunden kontaktierten Personen. Anhand dieser Randdaten wurde das soziale Netzwerk der Bankkunden eruiert, das als Grundlage für die Kreditwürdigkeitsbeurteilung diente. ↵

CRIF AG, Datenschutzerklärung, passim; Intrum AG, Datenschutzerklärung, passim; Schweizerischer Verband Creditreform Gen, Datenschutzerklärung CH-DSG, passim; Schweizerischer Verband Creditreform Gen, Datenschutzerklärung EU-DSGVO, passim. Auch zu den Datenbearbeitungen der Dun & Bradstreet Schweiz AG lassen sich online Datenschutzhinweise abrufen, allerdings wenig übersichtliche (vgl. Dun & Bradstreet, Datenschutz und Datensicherheit bei Dun & Bradstreet, abrufbar unter <https://​www.​dnb.​com/de-ch/datenschutz.html>, zuletzt besucht am 30. September 2024), was wohl damit zu tun hat, dass sie ihre Tätigkeit auf Auskünfte über juristische Personen fokussiert (vgl. Peter et al., S. 15). ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 7 f. ↵

Vgl. dazu oben Einleitung, C.II.2. ↵

Vgl. Peter et al., S. 28; Bericht Wirtschaftsauskunfteien, S. 12, die ebenfalls die für die Identifikation verwendeten Daten von jenen für die (eigentliche) Kreditwürdigkeitsbeurteilung unterscheiden. ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 7. Gemäss der ersten Fassung der IG Wirtschaftsauskunfteien Verhaltensregeln 2020, Ziff. 7, bearbeiteten die Auskunfteien auch noch Verbeiständungen und Vormundschaften zur Identifikation. ↵

Trotzdem nennen die Auskunfteien das Todesdatum teilweise als bearbeitetes Datum in ihren Datenschutzerklärungen (vgl. Schweizerischer Verband Creditreform Gen, Datenschutzerklärung CH-DSG, o.S.; Schweizerischer Verband Creditreform Gen, Datenschutzerklärung EU-DSGVO, o.S.; CRIF AG, Datenschutzerklärung, Ziff. 4, die von «Sterbedaten» spricht). ↵

Ergebnis eigene Umfrage. Diese Daten decken sich weitgehend mit jenen, welche die damalige Orell Füssli Wirtschaftsinformationen AG zur Identifikation der betroffenen Person im Zusammenhang mit der Dienstleistung und Datensammlung Teledata bearbeitet hat. Sie hat zusätzlich den Beruf und die Aufenthaltsbewilligung verwendet (vgl. EDÖB, Teledata, S. 10 und 16 f.). ↵

Ergebnis eigene Umfrage. ↵

EDÖB, Mietercheck, Rn. 10 und 13. ↵

Diese Praxis hielt der EDÖB in seiner Empfehlung für unverhältnismässig (Art. 4 Abs. 2 aDSG) und sah dafür keinen Rechtfertigungsgrund. Er empfahl entsprechend, auf Ähnlichkeitstreffer zu verzichten (EDÖB, Mietercheck, Rn. 47 f.). ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 7. ↵

Ergebnis eigene Umfrage. ↵

Ergebnis eigene Umfrage. ↵

Ergebnis eigene Umfrage; vgl. auch Peter et al., S. 30 und 33, wonach eine Auskunftei das Geschlecht der betroffenen Person in die Kreditwürdigkeitsbeurteilung miteinbeziehe, die schweizerischen Auskunfteien hingegen den Beruf dafür nicht verwenden würden. ↵

Ergebnis eigene Umfrage. Grund dafür könnte etwa sein, dass sich von der Telefonnummer auf einen Fixnetzanschluss schliessen lässt. Dies vermag als Indiz zu dienen, dass die betroffene Person eine monatliche Rechnung zu begleichen im Stande ist. E‑Mail-Adressen nennen oft den E-Mail-Provider, aus dem sich (statistisch betrachtet) Hinweise auf die Kreditwürdigkeit einer betroffenen Person ableiten lassen (vgl. Berg et al., S. 2855 ff. und 2885; dazu oben Teil 1, E.I.1.3.c). ↵

Ergebnis eigene Umfrage. Ähnliche Daten verwendete auch die damalige Orell Füssli Wirtschaftsinformationen AG im Zusammenhang mit der Dienstleistung und Datensammlung Teledata (vgl. EDÖB, Teledata, S. 10 und 19 f.). ↵

Peter et al., S. 30. ↵

Ergebnis eigene Umfrage. ↵

Peter et al., S. 30 und 33. Dies deckt sich nicht ganz mit den Erkenntnissen der eigenen Erhebungen, gemäss denen die Auskunfteien keine «Angaben zum Wohnquartier» zur Beurteilung der Kreditwürdigkeit nutzen (Ergebnis eigene Umfrage). Allerdings ist zu erwähnen, dass (auch) Digitec Galaxus, die Betreiberin eines Online-Shops, für die eigenen Bonitätsbeurteilungen das Kundenprofil verwendet, das sie mit statistischen Daten über den Wohnort des Kunden anreichert (EDÖB, Digitec Galaxus, Rn. 58). Um welche statistischen Daten es sich handelt, lässt sich der veröffentlichten Fassung des Berichts nicht entnehmen. ↵

Vgl. EDÖB, Teledata, S. 10 und 17. ↵

Dies bedeutet folglich, dass die Ergebnisse der Auswertung für sämtliche Personen, die an dieser Adresse bzw. in diesem Hektar-Raster wohnen, identisch sind (vgl. EDÖB, Teledata, S. 17 und 44). ↵

Vgl. EDÖB, Mietercheck, Rn. 10 und 13; EDÖB, Teledata, S. 10 und 20. ↵

EDÖB, Teledata, S. 20. ↵

Vgl. EDÖB, Teledata, S. 20. ↵

EDÖB, Teledata, S. 20, wonach diese Informationen aus der Presse, von der Website des Unternehmens oder direkt vom Unternehmen stammen würden. ↵

Egeli, S. 94 f.; vgl. auch Peter et al., S. 34. ↵

Peter et al., S. 3 und 25; vgl. auch Bericht Wirtschaftsauskunfteien, S. 11. Die Übermittlung erfolgt zumeist über eine gesicherte elektronische Schnittstelle, etwa über eine eigene Webapplikation der Auskunftei, in der die Kreditgeberin die Informationen abrufen kann. Schriftlich erfolgt die Beauskunftung selten, telefonisch praktisch nicht mehr (Peter et al., S. 27; vgl. auch Egeli, S. 103). ↵

Bericht Wirtschaftsauskunfteien, S. 11; vgl. auch Peter et al., S. 3 und 25. Im Online-Handel ist die Kreditwürdigkeitsbeurteilung regelmässig über eine automatisierte Schnittstelle in den Shop integriert, damit der Entscheid über die angebotenen Zahlungsmodalitäten in Echtzeit erfolgen kann. Zeigt die Ampel bei der betroffenen Person rot, d.h. verfügt die Person über eine für den Shop unzureichende Kreditwürdigkeit, steht ihr beispielsweise nur Vorkasse oder Kreditkartenzahlung zur Auswahl statt auch ein Kauf auf Rechnung (Peter et al., S. 26 f.; vgl. auch Egeli, S. 103). ↵

EDÖB, Mietercheck, Rn. 10 und 13. Ausserdem zeigte die Auskunftei sog. Ähnlichkeitstreffer an (vgl. dazu oben Teil 1, E.I.2.1). ↵

Vgl. dazu unten Teil 1, E.I.2.3.b. ↵

Der EDÖB empfahl der Auskunftei in diesem Einzelfall allerdings, die durchschnittliche Wohndauer an einer Adresse, die sich aus den bekannten Adressen ergibt, und die Haushaltstreffer aus der Auskunft zu entfernen (EDÖB, Mietercheck, Rn. 39 ff.). ↵

Die Bekanntgabe von solchen negativen Haushaltstreffern durch schweizerische Auskunfteien war schon verschiedentlich in den Medien, z.B. im November 2015 in der Zeitschrift Beobachter (vgl. Krättli, o.S.) oder im November 2020 in der Fernsehsendung Kassensturz (vgl. Michel, o.S.). Im Mai 2023 schloss der EDÖB eine diesbezügliche Sachverhaltsabklärung ab (EDÖB, Bonitäts- und Inkassounternehmen, Rn. 43 ff. und 72 ff.). Er hatte sich aber auch schon zuvor mit der Fragestellung befasst (EDÖB, Teledata, S. 10 und 18 f.; EDÖB, Mietercheck, Rn. 11 und 13). ↵

Vgl. EDÖB, Teledata, S. 10 und 18; EDÖB, Mietercheck, Rn. 11 und 13. Auch die Betreiberin von Moneyhouse gab im Rahmen ihres vom BVGer geprüften Angebots u.a. den Vor- und Nachnamen, das Geburtsdatum bzw. Alter sowie den Beruf von Haushaltsmitgliedern bekannt. Diese Bekanntgabe prüfte das BVGer aber nicht unter dem Blickwinkel der Haushaltstreffer; vielmehr betrachtete es die vorangehende Datenverknüpfung als Grundlage für ein Persönlichkeitsprofil i.S.v. Art. 3 lit. d aDSG (BVGer, A‑4232/2015 vom 18. April 2017, E. 5.2.5.1 ff.). ↵

EDÖB, Teledata, S. 10, 18 und 45; EDÖB, Mietercheck, Rn. 11, 13 und 45 f.; vgl. auch EDÖB, Bonitäts- und Inkassounternehmen, Rn. 43. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 45; vgl. auch EDÖB, Teledata, S. 18; Hofer, in: Passadelis et al., Rn. 16.53. ↵

Zu den unterschiedlichen Formen des Bestellbetrugs vgl. CRIF, Online-Handel, S. 7; Markwalder/Täuber, S. 387 f. m.w.H.; Mayer, S. 325. ↵

CRIF, Online-Handel, S. 7. Markwalder/Täuber, S. 387 (Fn. 6), weisen zu Recht darauf hin, dass die Ergebnisse der Studie wegen der nicht repräsentativen Stichprobe und der tiefen, von ihnen auf 22 % bezifferten Rücklaufquote nur bedingt aussagekräftig sind. ↵

Zu den Haushaltstreffern vgl. Hofer, in: Passadelis et al., Rn. 16.53; ferner Schäfer, in: Epiney et al. 2011, S. 66. Der EDÖB hat die Zulässigkeit von Haushaltstreffern schon unterschiedlich beurteilt. 2008 befand er sie für unzulässig, weil sich die damit verbundenen Verletzungen der Grundsätze der Verhältnismässigkeit und Transparenz nicht rechtfertigen lassen würden (EDÖB, Mietercheck, Rn. 43 ff.). 2011 erachtete er die Verwendung von Haushaltstreffern zur Verhinderung von Missbräuchen und Umgehungsgeschäften unter bestimmten Bedingungen (letztlich) für zulässig (EDÖB, Teledata, S. 45). Zuletzt hielt er 2023 dieselben Grundsätze wie schon 15 Jahre zuvor für missachtet und diese Persönlichkeitsverletzung für nicht gerechtfertigt (EDÖB, Bonitäts- und Inkassounternehmen, Rn. 73 ff.). ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 8, womit die Bearbeitung von Daten über religiöse, weltanschauliche oder gewerkschaftliche Ansichten oder Tätigkeiten, die Gesundheit, die Intimsphäre, die Zugehörigkeit zu einer Rasse oder Ethnie, genetischen Daten, biometrischen Daten, die eine natürliche Person eindeutig identifizieren, Daten über verwaltungs- und strafrechtliche Verfolgung oder Sanktionen und Massnahmen der sozialen Hilfe ausgeschlossen sei; Ergebnis eigene Umfrage; vgl. auch Peter et al., S. 4, 50, 52 und 64. ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 8. ↵

Ergebnis eigene Umfrage. ↵

Ergebnis eigene Umfrage; vgl. auch Peter et al., S. 30. ↵

13

In der Schweiz verwendete Datenquellen

Die im Rahmen der Kreditwürdigkeitsbeurteilung bearbeiteten Daten beziehen die Auskunfteien aus verschiedenen Datenquellen, die sich grob gefasst in öffentliche und private Datenquellen unterteilen lassen.[1] Als öffentlich sind amtliche Register und weitere der Öffentlichkeit – allenfalls unter bestimmten Voraussetzungen – zugängliche Quellen zu verstehen. Privat sind die übrigen Quellen, insbesondere Unternehmen, die ihre Daten (gegen Entgelt) zur Verfügung stellen, sowie die betroffene Person selbst.

Öffentliche Datenquellen

Als öffentliche Datenquellen nutzen die Auskunfteien durchwegs das Handelsregister, das Schweizerische Handelsamtsblatt (SHAB) und das Einwohnerregister bzw. das Einwohneramt. Zuweilen greifen sie auch auf kantonale Amtsblätter sowie Telefonbücher bzw. elektronische Verzeichnisse zurück.[2] Aus diesen Quellen lassen sich insbesondere Personalien, Adressen, der Heimatort etc. beschaffen. Eine weitere zentrale öffentliche Quelle stellt das Betreibungsregister dar, dessen Informationen über Vollstreckungsvorgänge von sämtlichen Auskunfteien zur Beurteilung der Kreditwürdigkeit der kreditinteressierten Person herangezogen werden.[3]

Ausserdem dient das Bundesamt für Statistik als öffentliche Quelle, sofern eine Auskunftei sog. statistische Umgebungsdaten wie Informationen über Altersstruktur, Ausländeranteil, Umzugshäufigkeit etc. für ihre Beurteilungen verwendet.[4] Weitere denkbare öffentliche Quellen, denen in der Praxis indes kaum eine Bedeutung zukommt, sind das Grundbuch, das Zivilstandsregister und das Steuerregister.[5] Dies liegt am geringen Informationsgehalt der dort einholbaren Auskünfte[6] und/oder am eingeschränkten Zugang.[7] Wie die Umfrage zeigte, nutzen die Auskunfteien nur in Ausnahmefällen Print- und Online-Medien als Datenquellen für ihre Kreditwürdigkeitsbeurteilungen.[8]

Private Datenquellen

Die wohl wichtigste private Datenquelle für Auskunfteien sind deren Kundinnen und damit die Kreditgeberinnen, die einerseits das Auskunftsangebot beanspruchen und andererseits ihre Zahlungserfahrungen und weitere Daten den Auskunfteien bekanntgeben.[9] Diese Bekanntgaben von Daten, beispielsweise über verspätete Zahlungen oder Mahnungen, erfolgen periodisch, aber auch fallbezogen im Zuge der Einholung einer Auskunft, etwa wenn eine Kreditgeberin zwecks Identifikation der kreditinteressierten Person deren Daten der Auskunftei mitteilt.

Überdies erhalten Auskunfteien zuweilen Daten von Unternehmen, die keine Auskünfte beziehen und (normalerweise) in keiner vertraglichen Beziehung zur betroffenen Person stehen. Beispiele dafür sind Adresshändler und Inkassounternehmen.[10] Von diesen erwerben die Auskunfteien insbesondere Angaben über aktuelle und frühere Adressen sowie im Rahmen von Inkassoverfahren gemachte Zahlungserfahrungen. Einzelne Auskunfteien verfügen über ein eigenes Inkassogeschäft, aus dem sie Informationen über das Zahlungsverhalten von Schuldnern beziehen.[11] In beschränktem Masse findet ausserdem ein Informationsaustausch zwischen den Auskunfteien statt; dieser betrifft insbesondere Daten zur Identifikation der kreditinteressierten Person.[12] Aktuelle Adressen erhalten die Auskunfteien gegen Entgelt auch von der Schweizerischen Post.[13] Meldet jemand dieser eine Adressänderung, wird die betroffene Person gefragt, ob sie Adressaktualisierungen an Dritte erlauben möchte. Bei Zustimmung darf die Post Unternehmen, die über die alte Adresse verfügen, z.B. Banken oder Versandhäusern, aber auch Auskunfteien auf Anfrage die neue Adresse bekanntgeben.[14]

Schliesslich liegt eine weitere, indes vergleichsweise wenig verwendete Datenquelle in der betroffenen Person selbst.[15] Durch ihre Selbstdeklarationen gibt sie den Auskunfteien Angaben wie Namen, Adressen, Informationen über Betreibungen etc. bekannt.[16] Dies geschieht z.B. im Rahmen eines Löschungs- oder Berichtigungsbegehrens, dem sich für die Auskunftei bisher unbekannte Daten entnehmen lassen, etwa die neue Adresse oder aktuelle Angaben aus dem Betreibungsregister. Bei Unternehmen erfolgen solche Selbstdeklarationen ausserdem auf telefonische oder schriftliche Anfrage der Auskunftei oder durch Veröffentlichungen auf der unternehmenseigenen Website.[17] Dadurch lassen sich beispielsweise Angaben zur finanziellen Situation oder zu den Beteiligungsverhältnissen beschaffen.

Nicht verwendete Datenquellen

Wie bereits erwähnt, verpflichteten sich die Auskunfteien darauf, keine «Social-Media-Daten» zu bearbeiten und insofern soziale Netzwerke nicht als Datenquelle zu verwenden.[18] Dementsprechend haben sich die Auskunfteien in der durchgeführten Umfrage geäussert.[19] Die Schweizerische Bankiervereinigung hingegen nennt in ihrem Leitfaden zum Umgang mit Daten im Geschäftsalltag als mögliche Datenquelle für eine Kreditprüfung Social Media wie Facebook, Instagram und LinkedIn.[20] Es liegt entsprechend der Schluss nahe, dass zumindest vereinzelte schweizerische Banken für ihre eigenen Kreditwürdigkeitsprüfungssysteme Daten aus sozialen Netzwerken verwenden.

Daneben gibt es noch weitere, insbesondere amtliche Informationsquellen wie das Zentrale Ausländerregister, das Fahrzeugregister, das Eigentumsvorbehaltsregister etc., denen sich unter Umständen auch im Hinblick auf eine Kreditwürdigkeitsbeurteilung verwendbare Informationen entnehmen liessen.[21] Für ihre Kreditwürdigkeitsbeurteilungen bedienen sich die Auskunfteien dieser Quellen jedoch nicht.

Vgl. Egeli, S. 103, der zwischen Informationen mit amtlichem Charakter und Informationen mit nichtamtlichem Charakter unterscheidet. ↵

Ergebnis eigene Umfrage. Die Auskunfteien greifen etwa auf das Angebot von local.ch oder search.ch zurück, welche die Swisscom Directories AG betreibt (vgl. Peter et al., S. 29). ↵

Ergebnis eigene Umfrage; vgl. auch Di Tria/Lubishtani, S. 56. ↵

Vgl. dazu oben Teil 1, E.I.2.2. ↵

Vgl. Egeli, S. 175 ff.; Ergebnis eigene Umfrage. ↵

Auch wenn sich beim Grundbuch mit einem Interessennachweis nicht nur die Stellung als Grundeigentümer in Erfahrung bringen lässt, sondern etwa auch deren pfandrechtliche Belastung (Art. 970 ZGB), vermag eine Auskunftei daraus mangels Kenntnis über die (damit gesicherte) Pfandschuld kaum etwas für die Kreditwürdigkeit der betroffenen Person abzuleiten (vgl. Egeli, S. 175). ↵

Die Steuerämter von bloss sieben Kantonen (BE, FR, NE, SG, VD, VS und ZH) geben Dritten bei Vorliegen unterschiedlich strenger Voraussetzungen Auskunft über Steuerfaktoren (vgl. ESTV, S. 1; Egeli, S. 177 f.); im Kanton Zürich steht es steuerpflichtigen Personen ausserdem offen, die Bekanntgabe ihrer Daten an Private zu sperren (§ 22 Abs. 1 IDG/ZH). Das Zivilstandsregister gibt Personenstandsdaten nur bekannt, wenn die Beschaffung bei den direkt betroffenen Personen nicht möglich oder offensichtlich nicht zumutbar ist und der anfragende Private ein unmittelbares und schutzwürdiges Interesse nachweist (Art. 59 ZStV; vgl. auch Egeli, S. 179). ↵

Ergebnis eigene Umfrage. Denkbar ist, dass eine Auskunftei beispielsweise Informationen über Unternehmensbeteiligungen oder grössere Entlassungen eines Unternehmens den Print- und Online-Medien entnimmt und für eine Kreditwürdigkeitsprüfung verwendet (vgl. etwa Schweizerischer Verband Creditreform Gen, Datenschutzerklärung CH-DSG, o.S.; Schweizerischer Verband Creditreform Gen, Datenschutzerklärung EU-DSGVO, o.S., die je auf die Presse und sonstige Medien als Quellen hinweisen). ↵

Pfaffinger, Rn. 1356 und 1360; vgl. auch Bericht Wirtschaftsauskunfteien, S. 12; Peter et al., S. 30. ↵

Ergebnis eigene Umfrage; vgl. auch Bericht Wirtschaftsauskunfteien, S. 12; Peter et al., S. 3 und 29 f. ↵

Ergebnis eigene Umfrage; vgl. auch Bericht Wirtschaftsauskunfteien, S. 12; Peter et al., S. 29 f. ↵

Peter et al., S. 3 und 29; vgl. auch Bericht Wirtschaftsauskunfteien, S. 12. ↵

Die Schweizerische Post ermöglicht ihren Geschäftskundinnen etwa mit ihrem Angebot «Adresspflege Online» einen Abgleich der eigenen Adressen mit denjenigen der Post und nötigenfalls den Bezug aktueller Adressen (vgl. Post, Adresspflege Online, abrufbar unter <https://www.post.ch/de/kundencenter/onlinedienste/zopa/adresspflege-online/info>, zuletzt besucht am 30. September 2024); vgl. auch Peter et al., S. 29. ↵

Dieses Angebot war früher unter dem Namen «MAT[CH]move» bekannt (vgl. dazu EDÖB, Tätigkeitsbericht 1999/2000, S. 24 ff.). ↵

Vgl. Intrum AG, Datenschutzerklärung, o.S., die zur Frage «Muss ich Ihnen meine Personendaten mitteilen?» ausführt, dass sich die betroffene Personen dazu entscheiden könne, Personendaten der Intrum AG zur Verfügung zu stellen. ↵

Ergebnis eigene Umfrage; vgl. auch Egeli, S. 102. ↵

Vgl. Bericht Wirtschaftsauskunfteien, S. 12; EDÖB, Teledata, S. 20; ferner Krämer, Scoring, S. 6. ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 8. ↵

Ergebnis eigene Umfrage. ↵

Schweizerische Bankiervereinigung, S. 18 f., die allerdings bemerkt, dass bei Zweifeln an der Herkunft oder der fehlenden Verifizierungsmöglichkeiten auf eine Verwendung der betreffenden Daten im Kreditprüfungsprozess zu verzichten sei, was namentlich bei sozialen Netzwerken und dem Internet als Datenquellen besonders zu beachten sei. ↵

Vgl. dazu Egeli, S. 178 ff. ↵

XI

Teil 2:
Datenschutzrechtliche Vorbemerkungen

XII

Anwendungsbereich des Datenschutzrechts

14

Sachlicher Anwendungsbereich

Das DSG und die DSGVO sind sachlich anwendbar auf die Bearbeitung von Personendaten (natürlicher Personen[1]), sofern keine der in Art. 2 DSG bzw. Art. 2 DSGVO abschliessend aufgelisteten Ausnahmen einschlägig ist. Die wichtigsten Begriffe in diesem Zusammenhang sind im Folgenden zu klären.

Personendaten

Begriffselemente

Personendaten im Sinne des DSG sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG). Ähnlich definiert die DSGVO personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Ziff. 1 DSGVO). Dem DSG und der DSGVO liegen grundsätzlich derselbe Begriff der Personendaten bzw. der personenbezogenen Daten zugrunde.[2] Er umfasst je nach Ansicht drei bzw. vier Elemente: Erforderlich sind eine Angabe bzw. Information, ein Bezug zu einer natürlichen Person sowie deren Bestimmtheit bzw. Identifikation oder Bestimmbarkeit bzw. Identifizierbarkeit.[3]

Angabe

Alle denkbaren Angaben bzw. Informationen sind von diesem Begriffselement erfasst. Es kann sich ebenso um eine Tatsachenfeststellung, z.B. das Geburtsdatum, wie um ein Werturteil, etwa den Kreditscore,[4] handeln.[5] Unerheblich ist, ob es sich um Zeichen, Worte, Bilder, Töne oder eine Kombination davon handelt, und auf welchem Datenträger sie sich befinden.[6] Ausweislich des Grundsatzes der Datenrichtigkeit[7] spielt es ausserdem keine Rolle, ob die Angaben wahr oder bewiesen sind.[8]

Personenbezug

Die so verstandenen Angaben müssen einen Bezug zu mindestens einer natürlichen Person aufweisen. Ein solcher Personenbezug ist unumstritten, wenn er sich aus dem Inhalt der Information ergibt, wie dies etwa bei einer Personalakte der Fall ist.[9] Auch Angaben über Sachen, Ereignisse und Vorgänge können in diesem Sinne einen Personenbezug aufweisen, sofern sie aufgrund ihres Kontexts oder von Zusatzinformationen direkt oder indirekt eine Aussage über eine Person erlauben.[10] Dies trifft etwa auf statistische Umgebungsdaten zum Hektar-Raster[11] zu, soweit die statistischen Angaben mithilfe einer Adresse auf eine natürliche Person bezogen werden.[12]

Umstrittener ist hingegen, ob für den Personenbezug – wie von der Artikel‑29‑Datenschutzgruppe schon zur DSRL postuliert[13] – nicht nur das eben beschriebene Inhaltselement relevant ist, sondern auch das Zweck- und das Ergebniselement.[14] Nach dem Zweckelement liegt ein Personenbezug vor, wenn Angaben verwendet werden bzw. verwendet werden könnten, um eine Person zu beurteilen, sie in einer bestimmten Weise zu behandeln oder ihre Stellung oder ihr Verhalten zu beeinflussen. Das Ergebniselement bejaht einen Personenbezug, wenn die Verwendung der Angabe sich auf die Rechte und Interessen einer bestimmten Person auswirken könnte.[15] Der EuGH bezieht sich regelmässig auf diese drei Elemente,[16] bringt sie aber nicht immer konsequent zur Anwendung.[17]

Zwar sprechen mit der fehlenden Verankerung im Wortlaut und dem ausufernden Ergebnis[18] gute Gründe gegen ein solches Verständnis des Personenbezugs.[19] Nachdem sich das Bundesgericht allerdings auch schon auf die Stellungnahme der Artikel‑29‑Datenschutzgruppe bezog[20] und deren Haltung in der Lehre teilweise übernommen wurde, erscheint es auch in der Schweiz als nicht ausgeschlossen, dass die gerichtliche und behördliche Praxis die drei Elemente zur Beurteilung des Personenbezugs heranzieht.

Bestimmtheit oder Bestimmbarkeit

Nach dem herkömmlichen Verständnis ist eine Person bestimmt bzw. identifiziert, wenn sich aus der Angabe bzw. Information selbst ergibt, dass es sich genau um diese Person handelt.[21] Dies ist etwa bei den Angaben auf einem Personalausweis der Fall.[22] Bestimmbar bzw. identifizierbar ist sie, wenn sich aus dem Kontext einer Information oder aufgrund zusätzlicher Informationen auf die Person schliessen lässt.[23] Dies trifft beispielsweise bei dynamischen IP-Adressen (von möglichen Urheberrechtsverletzern) zu, wenn sich etwa im Rahmen eines Strafverfahrens die betroffene Person in Erfahrung bringen lässt.[24]

Entscheidend für die Grenze der Bestimmbarkeit ist zum einen, welche individualisierenden Elemente einer natürlichen Person bekannt bzw. zugänglich sein müssen, damit die Person als bestimmt oder bestimmbar gilt. Zum anderen ist ausschlaggebend, auf welche Mittel von welchen Personen bei der Bestimmbarkeit abgestellt wird. Anhand dieser beiden Aspekte lassen sich sodann auch die Begriffe der Anonymisierung und der Pseudonymisierung erschliessen.

Massgebende individualisierende Elemente

Nach der einen Ansicht ist das Vorliegen von Personendaten bereits zu bejahen, wenn sich eine Person aussondern lässt, sich ihr Datensatz also vom Datensatz aller anderen Personen unterscheidet (sog. Singularisierung).[25] So reicht es beispielsweise aus, wenn sich Nutzende einer Website anhand der eindeutigen Kennnummer, die Google Analytics ihnen zuordnet, voneinander unterscheiden lassen.[26] Nach der anderen, strengeren Ansicht ist zusätzlich erforderlich, dass weitere individualisierende Elemente über die Person wie etwa ihr Name, ihre Adresse oder die Kenntnis ihres Gesichts[27] vorliegen bzw. «eine vom Kontext einer Anwendung unabhängige Identifizierung» möglich ist.[28]

Art. 4 Ziff. 1 Satz 2 DSGVO hält fest, dass eine natürliche Person als identifizierbar anzusehen ist, wenn sie sich insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen ihrer Identität identifizieren lässt. Dies spricht dafür, dass im europäischen Recht ein beliebiges individualisierendes Element, das einen Datensatz vom Rest abzugrenzen vermag, für die Identifizierbarkeit ausreicht.[29] EG 26 Satz 3 DSGVO stützt dieses Verständnis, indem er in Konkretisierung des Begriffs der Identifizierbarkeit auf das «Aussondern» bzw. «singling out» hinweist.[30] Während verschiedene europäische Aufsichtsbehörden die Singularisierung ausreichen lassen,[31] hat sich der EuGH zur Frage noch nicht ausdrücklich geäussert.

Der Wortlaut des DSG enthält keine vergleichbaren Hinweise auf die Singularisierung. Ebenso wenig sprechen sich die Materialien über diese Frage aus.[32] Allerdings hat sich bereits unter altem Recht die Eidgenössische Datenschutzkommission implizit für die Singularisierung ausgesprochen, indem sie selbst bei E‑Mail‑Adressen mit Phantasiebezeichnungen eine Bestimmbarkeit bejahte, wenn nicht einmal der Provider im Stande wäre, den Namen einer Person zuzuordnen; denn jede Person könne sich eine absolut unverwechselbare und nur ihr zugeschriebene E-Mail-Adresse geben lassen.[33] Demgegenüber hielt die vom Eidgenössischen Finanzdepartement eingesetzte «Expertengruppe zur Zukunft der Datenbearbeitung und Datensicherheit», in welcher der EDÖB Einsitz nahm, in ihrem 2018 veröffentlichten Bericht fest, dass die «Identifizierung» und nicht die «Singularisierung» das massgebende Kriterium sei.[34]

Bei beiden Erlassen spricht die höchstgerichtliche Rechtsprechung zur Frage, ob bzw. unter welchen Umständen IP-Adressen Personendaten darstellen, gegen den Massstab der Singularisierung. Wäre eine Person bereits bestimmt, wenn sie sich (anhand einer Nummer) aus der Menge aussondern liesse, hätten das Bundesgericht[35] und der EuGH[36] IP-Adressen ohne weitere Prüfung generell als Personendatum qualifizieren müssen.[37] Dies taten sie aber nicht. Andererseits deutet die Ausrichtung von DSG und DSGVO auf die Konv. 108+ darauf hin,[38] dass eine Singularisierung ausreicht. Der dazugehörige Erläuternde Bericht spricht vom Kriterium «[to] single out […] one person from others» und lässt eine Individualisierung etwa auf der Grundlage einer Identifikationsnummer, einer IP-Adresse oder einer anderen Kennung genügen.[39] Für die Singularisierung lässt sich schliesslich eine Folgeerwägung ins Feld führen: Gilt ihr Massstab, erübrigt sich nämlich auch die kaum sinnvoll beantwortbare Frage, welche spezifischen individualisierenden Elemente sonst über eine betroffene Person vorliegen bzw. zugänglich sein müssen, damit die betroffene Person als bestimmt oder bestimmbar gilt.

Demnach bestehen unter der DSGVO und dem DSG für und gegen die Singularisierung gute Argumente, deren Gesamttendenz im europäischen Recht für diesen Massstab und im schweizerischen Recht dagegen ausschlägt. Da Auskunfteien im Rahmen ihrer charakteristischen Geschäftstätigkeit allerdings Daten bearbeiten, die sie üblicherweise anhand eines Namens, eines Geburtsdatums und einer Adresse einer Person zuordnen, spielt der anzusetzende Massstab für die vorliegende Untersuchung kaum eine Rolle.

Massgebende Mittel und Perspektive

Nach einem (rein) relativen Ansatz beurteilt sich die Bestimmbarkeit nach dem Interesse, den Kenntnissen, Mitteln und Möglichkeiten des Inhabers der Angabe, die betroffene Person zu bestimmen.[40] Ein (rein) absoluter Ansatz bejaht die Bestimmbarkeit bereits bei der theoretischen Möglichkeit, die betroffene Person zu bestimmen; er berücksichtigt sämtliche Kenntnisse, Mittel und Möglichkeiten des Inhabers der Daten und beliebiger Dritter.[41] Die (ständige) Rechtsprechung zum schweizerischen und zum europäischen Recht geht grundsätzlich von einem relativen Verständnis der Bestimmbarkeit aus,[42] wobei durch die Berücksichtigung Dritter Abweichungen vom reinen Ansatz festzustellen sind:

Gemäss bundesgerichtlicher Rechtsprechung genügt nicht jede theoretische Möglichkeit der Bestimmbarkeit; vielmehr muss nach der allgemeinen Lebenserfahrung damit zu rechnen sein, dass ein Interessent den dafür erforderlichen Aufwand auf sich nimmt.[43] Von Bedeutung sind insbesondere die (technischen) Möglichkeiten, der objektiv erforderliche Aufwand sowie das Interesse des Dateninhabers oder eines Dritten an der Identifikation.[44] Während grundsätzlich auf den jeweiligen Inhaber abzustellen ist, genügt bei einer Weitergabe der Information, dass einer der Empfänger die betroffene Person zu identifizieren vermag, damit auch der Bekanntgebende Personendaten bearbeitet.[45]

Nach der Rechtsprechung des EuGH sind bei der Frage, ob eine Person bestimmbar ist, alle Mittel zu berücksichtigen, die der Verantwortliche[46] oder ein Dritter vernünftigerweise einsetzen kann, um die betroffene Person zu bestimmen.[47] Um festzustellen, ob ein Mittel vernünftigerweise eingesetzt werden kann, sind alle objektiven Faktoren, wie die Kosten der Identifikation und der dafür erforderliche Zeitaufwand, unter Berücksichtigung der zum gegebenen Zeitpunkt verfügbaren Technologie und technologischer Entwicklungen heranzuziehen (vgl. EG 26 Satz 4 DSGVO). Unbeachtlich sind Mittel, die gesetzlich verboten oder praktisch nicht durchführbar sind.[48] Grundsätzlich ist auf die Mittel des Dateninhabers abzustellen, also des Akteurs mit Zugang zu den Daten.[49] Ob Informationen in anderen Händen oder weitere Mittel vernünftigerweise zur Bestimmung der betroffenen Person eingesetzt werden können, ist im Einzelfall zu beurteilen.[50]

Anonymisierung und Pseudonymisierung

Eine Anonymisierung ist die Veränderung von Daten in einer Weise, dass sich die betroffene Person nicht oder nicht mehr identifizieren lässt.[51] Zur Anonymisierung bestehen verschiedene Techniken wie etwa die Entfernung jeglicher identifizierender Angaben oder die Generalisierung von Daten (z.B. das Geburtsjahr anstelle des Geburtsdatums).[52] Der datenschutzrechtlichen Dichotomie – Personendaten und Sachdaten – folgend, gilt auch bei der Anonymisierung der (abgewandelte) relative Ansatz:[53] Eine Re-Identifikation muss nicht objektiv unmöglich sein;[54] vereinfacht gesagt genügt vielmehr, wenn der Inhaber der Daten und der (allenfalls) mitzuberücksichtigende Dritte nicht die Mittel oder das Interesse haben, die betroffene Person zu re-identifizieren.[55] Angesichts der heutzutage bestehenden Verfügbarkeit von Daten und der Möglichkeiten ihrer Auswertung ist zweifelhaft, ob sich eine Re-Identifikation jemals absolut ausschliessen lässt.[56] Entsprechend praxisfern wäre es, eine objektive Unmöglichkeit für die Anonymisierung zu verlangen.[57]

Bei einer Pseudonymisierung werden die identifizierenden Merkmale der betroffenen Person durch Pseudonyme wie Zahlen oder Buchstabenkombinationen ersetzt.[58] Danach lassen sich Personendaten nur noch durch Hinzuziehen zusätzlicher Informationen, einer Zuordnungsregel oder einem Schlüssel, einer spezifischen betroffenen Person zuordnen.[59] Die zusätzlichen Informationen sind nach der DSGVO gesondert aufzubewahren und mit technischen und organisatorischen Massnahmen vor unbefugtem Zugriff zu schützen (Art. 4 Ziff. 5 DSGVO).

Die Anonymisierung hat zur Folge, dass die Bearbeitung der betreffenden Daten nicht mehr vom Datenschutzrecht erfasst ist. Pseudonymisierte Daten stellen grundsätzlich nur für diejenigen Personendaten dar, welche über den Schlüssel verfügen.[60] Indes sind nach dem (abgewandelten) relativen Ansatz der Rechtsprechung unter Umständen auch die Mittel Dritter zu berücksichtigen,[61] sodass das Datenschutzrecht auch auf Datenbearbeitungen weiterer Akteure anwendbar sein kann.[62]

Besonders schützenswerte Personendaten

Legaldefinition

Sowohl das schweizerische als auch das europäische Recht sprechen bestimmten Arten von Daten eine besondere Schutzbedürftigkeit zu und unterwerfen deren Bearbeitung speziellen Vorgaben.[63] Das DSG spricht von besonders schützenswerten Personendaten, die in dessen Art. 5 lit. c legaldefiniert sind. Die DSGVO zählt in Art. 9 Abs. 1 die besonderen Kategorien personenbezogener Daten auf und ergänzt in Art. 10 eine Sonderregel für Daten über strafrechtliche Verurteilung und Straftaten. Die Aufzählungen in Art. 5 lit. c DSG sowie in Art. 9 Abs. 1 DSGVO sind abschliessend.[64]

Weitgehend dieselben Daten gelten unter dem DSG und der DSGVO als in diesem Sinne besonders sensibel,[65] so etwa die Zugehörigkeit zu einer Rasse oder Ethnie, politische Ansichten, genetische Daten oder Gesundheitsdaten.[66] Der Begriff der besonders schützenswerten Personendaten des DSG geht indes über das Pendant der DSGVO hinaus,[67] indem auch Daten über Massnahmen der Sozialhilfe (Art. 5 lit. c Ziff. 6 DSG) und Daten über die Intimsphäre auch abseits des Sexuallebens und der sexuellen Orientierung (Art. 5 lit. c Ziff. 2 DSG) erfasst sind.[68] Während das schweizerische Recht Daten über verwaltungs- oder strafrechtliche Verfolgungen oder Sanktionen den besonders schützenswerten Personendaten zuordnet (Art. 5 lit. c Ziff. 5 DSG), adressiert die DSGVO lediglich Daten über strafrechtliche Verurteilungen und Straftaten mit einem besonderen Regime (Art. 10 DSGVO).[69]

Schuldbetreibungs- und Konkursdaten geniessen unter beiden Erlassen keinen besonderen Schutz. Sie stellen keine Daten über verwaltungs- oder strafrechtliche Verfolgungen oder Sanktionen i.S.v. Art. 5 lit. c Ziff. 5 DSG dar[70] und sind noch viel weniger als personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten i.S.v. Art. 10 DSGVO zu verstehen.[71] Ebenso wenig behandeln das DSG und die DSGVO Finanzdaten als besonders schützenswert bzw. als besondere Kategorie personenbezogener Daten.[72] Zwar liesse sich hinsichtlich Schuldbetreibungs- und Konkursdaten sowie Finanzdaten unter dem DSG behaupten, dass es sich dabei um Angaben handelt, die eine Person nur wenigen Auserwählten anvertrauen würde, mithin um Daten über die Intimsphäre.[73] Allerdings erlaubt Art. 8a SchKG interessierten Dritten Einsicht in die Schuldbetreibungs- und Konkursdaten und schafft damit eine zumindest teilweise Öffentlichkeit. Zudem würde die Qualifikation von Schuldbetreibungs- und Konkursdaten sowie von Finanzdaten als besonders schützenswerte Personendaten das besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen gemäss Art. 31 Abs. 2 lit. c DSG (angesichts dessen Ziff. 1) weitgehend ins Leere laufen lassen.

Rückschlussmöglichkeit und Bearbeitungskontext

Berücksichtigung von Rückschlussmöglichkeiten

Im europäischen Recht (DSGVO)

Im Anwendungsbereich der DSGVO ist umstritten,[74] ob ein Datum den besonderen Kategorien personenbezogener Daten angehört, wenn es (bloss) Rückschlüsse auf Informationen i.S.v. Art. 9 Abs. 1 DSGVO erlaubt.[75] Insbesondere mit Hinweis auf den Wortlaut dieses Abs. 1, der personenbezogene Daten, «aus denen [bestimmte Informationen] hervorgehen», erfasst, bejaht dies die überwiegende Lehre.[76] Die Gegenmeinung[77] stützt sich nicht zuletzt auf den in EG 51 Satz 1 DSGVO erwähnten Zweck der besonderen Regelung dieser Daten, der eine einschränkende Auslegung gebiete:[78] Gemäss diesem Erwägungsgrund verdienen nämlich (bloss) Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, einen besonderen Schutz. Ausserdem drohe eine erhebliche Ausweitung des Anwendungsbereichs von Art. 9 DSGVO, wenn bereits eine Rückschlussmöglichkeit genüge.[79]

Der EuGH hat mittlerweile entschieden, dass mögliche Rückschlüsse auf Informationen i.S.v. Art. 9 Abs. 1 DSGVO (grundsätzlich) genügen.[80] Er räumte zwar ein, dass sich «hervorgehen» nicht auf alle in diesem Artikel genannten Daten beziehe[81] und die im Übrigen verwendeten Präpositionen «zu» und «über» bzw. die Verwendung eines Kompositums gegen eine einheitliche Behandlung sprechen würden. Eine kontextbezogene Analyse der fraglichen Vorschriften mit Blick auf Art. 4 Ziff. 15 und EG 35 DSGVO verlange indes, dass keine Unterscheidung je nach Art der betroffenen sensiblen Daten vorzunehmen sei.[82]

Die letztere Argumentation des EuGH überzeugt nicht,[83] nachdem die zitierten Bestimmungen bloss festhalten, dass es für die Qualifikation als Gesundheitsdatum (i.S.v. Art. 9 Abs. 1 DSGVO) genügt, wenn aus einem Datum Informationen über den Gesundheitszustand hervorgehen.[84] Eine Unterscheidung nach Art der betroffenen Daten wäre denn auch grundsätzlich im Wortlaut von Art. 9 Abs. 1 DSGVO angelegt. Im Ergebnis ist dem EuGH indes dennoch zuzustimmen, nachdem Art. 6 Abs. 1 Konv. 108+, den die DSGVO hier umsetzen soll, deutlich Daten erfassen will, aus denen Informationen über die rassische oder ethnische Herkunft, politische Meinung, Gesundheit oder weitere sensible Inhalte hervorgehen.[85] Der erwähnte EG 51 Satz 1 DSGVO äussert sich in Bezug auf die hier interessierende Frage zu wenig klar, um zu einem anderen Auslegungsergebnis zu gelangen.

Es reicht demnach grundsätzlich die Verarbeitung personenbezogener Daten aus, die Rückschlüsse auf die in Art. 9 Abs. 1 DSGVO genannten Informationen zulassen.[86] Dies dürfte auch für Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO gelten,[87] bei denen es sich letztlich um eine weitere besondere Kategorie personenbezogener Daten handelt.[88] Unerheblich ist dabei, ob die erschlossene Information richtig ist, zumal auch unrichtige Angaben personenbezogene Daten sein können (vgl. Art. 5 Abs. 1 lit. d DSGVO).[89] Ob die Daten gleichwohl mit einem gewissen Grad an Sicherheit zutreffende Rückschlüsse auf die betreffenden Informationen erlauben müssen, ist noch nicht geklärt, wird aber (unter anderem) von einem Generalanwalt des EuGH bejaht.[90]

Im schweizerischen Recht (DSG)

In der Lehre zum DSG ist die Frage (ebenfalls) umstritten, wobei die Mehrheit der Wortmeldungen davon ausgeht, dass für die Qualifikation als besonders schützenswert genügt, wenn das Datum Rückschlüsse auf in Art. 5 lit. c DSG aufgelistete Informationen zulässt.[91] Diese Ansicht stützt sich etwa auf ein Urteil des Luzerner Kantonsgerichts[92] sowie auf den Moneyhouse-Entscheid des Bundesverwaltungsgerichts.[93] Während der Luzerner Entscheid als kantonales Urteil und mangels wirklicher Begründung kaum als Präjudiz zu dienen vermag, spricht sich das Bundesverwaltungsgericht bei näherer Betrachtung über die hier interessierende Frage gar nicht aus.[94]

Nachdem die Legaldefinition des DSG – im Unterschied zur DSGVO – im Wortlaut nicht einmal den Ansatz eines Hinweises enthält, dass auch mögliche Rückschlüsse genügen, erscheint es fraglich, ob ein Datum schon deswegen als besonders schützenswert qualifiziert. Mit einer konventionskonformen Auslegung lässt sich indes auch hier argumentieren, dass (hinsichtlich bestimmter sensibler Informationen) mögliche Rückschlüsse genügen.[95] Auch ist zumindest in diesem Punkt nicht unwahrscheinlich, dass die Behörden und Gerichte den Begriff der besonders schützenswerten Personendaten mit Blick auf die DSGVO auslegen werden. Bereits vor Inkrafttreten der DSGVO berücksichtigte jedenfalls der EDÖB, dass sich aus Einkommen und Ausgaben, etwa für Arzt und Optiker, in einem E-Banking-Portal besonders schützenswerte Personendaten herleiten lassen, verneinte aber die Bearbeitung solcher Personendaten wegen des Bearbeitungskontexts.[96]

Einschränkung durch den Bearbeitungskontext

Genügt bereits die Möglichkeit, aus einem Personendatum auf eine unter Art. 5 lit. c DSG, Art. 9 Abs. 1 oder Art. 10 DSGVO fallende Information zu schliessen, drohen Bearbeitungen trivialer Daten den besonderen Vorgaben zu unterstehen. Dies wäre beispielsweise bei Nachnamen der Fall, da sich aus ihnen (zuweilen) die ethnische Herkunft der betroffenen Person ableiten lässt. Die Anwendung eines strengeren Regimes rechtfertigt sich indes nur, wenn der Verantwortliche einen der vom DSG bzw. von der DSGVO besonders adressierten semantischen Gehalte eines Datums verwendet, zu verwenden bezweckt oder deren Verwendung durch Dritte, denen er Zugriff auf die Daten gewährt, ernsthaft droht. Nur dann vermögen die Persönlichkeits- oder Grundrechte der betroffenen Person besonders stark berührt zu sein[97] und kann das vom Gesetzgeber befürchtete Diskriminierungspotential bestehen,[98] sodass der Zweck des besonderen Regimes tangiert ist. Deshalb ist bei der Qualifikation von besonders schützenswerten Personendaten der Bearbeitungskontext[99] zu berücksichtigen.[100]

Dies dürfte im Übrigen auch dem Verständnis der Konv. 108+ entsprechen, das im Erläuternden Bericht festgehalten ist; bei Fotografien sei der Verarbeitungskontext, etwa die Absicht, daraus Informationen über die ethnische Herkunft abzuleiten, entscheidend.[101] Ähnlich hielt auch schon der EDÖB fest, dass die Qualifikation von im Rahmen eines E-Banking-Portals bearbeiteten Daten als besonders schützenswert vom Kontext abhänge, in dem die Daten stehen oder verwendet würden, etwa ob sie bekanntgegeben oder für Auswertungen genutzt würden.[102] Diese Ansicht findet sich im Ansatz auch in kürzlich veröffentlichten Schlussanträgen eines Generalanwalts des EuGH, der die Umstände des Einzelfalls, insbesondere den Kontext, in dem die Daten gesammelt werden, und die Art und Weise, wie sie verarbeitet werden, als für die Kategorisierung relevant betrachtete.[103]

Zuvor hatte sich der EuGH selbst schon strenger geäussert. Daten, die unter Art. 9 Abs. 1 DSGVO fallende Informationen offenlegen könnten, seien unabhängig vom Ziel des Verantwortlichen bzw. vom erklärten Zweck zu den besonderen Kategorien personenbezogener Daten zu zählen. Denn aus jeder Verarbeitung solcher Daten würden sich erhebliche Risiken für die Grundfreiheiten und Grundrechte ergeben.[104] Diese äusserst dünne Begründung vermag indes nicht zu überzeugen. Nach dem Gesagten trifft es eben gerade nicht zu, dass unabhängig vom Kontext, insbesondere von der (potenziellen) Verwendung des sensiblen Gehalts, Risiken für die Persönlichkeits- und Grundrechte drohen.

Im Rahmen des nach hier vertretener Ansicht zu berücksichtigenden Bearbeitungskontexts sind insbesondere die (subjektive) Auswertungsabsicht des Verantwortlichen sowie der (objektiv erfassbare) Zweck der Bearbeitung[105] relevant,[106] weshalb beispielsweise der Pizzaservice bei der Bestellung an eine Klinikadresse keine besonders schützenswerten Personendaten bearbeitet. Während der EDSA[107] und der EDÖB[108] den Bearbeitungszweck zu betonten scheinen, hat die nationale Rechtsprechung zur DSGVO auch schon (allein) auf die Absicht des Verantwortlichen abgestellt.[109] Soweit also Personendaten Rückschlüsse auf Informationen erlauben, die unter Art. 5 lit. c DSG, Art. 9 Abs. 1 oder Art. 10 DSGVO fallen, ist meines Erachtens eine Gesamtschau des Bearbeitungskontexts angezeigt, die nicht zuletzt die Auswertungsabsicht des Verantwortlichen berücksichtigt.

Bearbeitung

Ein Bearbeiten bzw. eine Bearbeitung – oder nach der Terminologie der DSGVO eine Verarbeitung – ist jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren (Art. 5 lit. d DSG; Art. 4 Ziff. 2 DSGVO). Der Begriff ist im schweizerischen und im europäischen Recht gleich[110] und äusserst weit zu verstehen.[111] Die Aufzählungen in den beiden Legaldefinitionen sind bloss Beispiele, wie die Formulierung «insbesondere» bzw. «wie» sichtbar machen. Als Bearbeitung zählen unter anderem das Beschaffen, Speichern, Verwenden und Bekanntgeben von Daten.[112]

Ausnahmen

Das DSG und die DSGVO nehmen bestimmte Datenbearbeitungen von ihrem sachlichen Anwendungsbereich aus (Art. 2 Abs. 2 DSG; Art. 2 Abs. 2 DSGVO), etwa mit der sog. Haushaltsausnahme, die Bearbeitungen ausschliesslich zum persönlichen Gebrauch von natürlichen Personen erfasst.[113] Diese Ausnahmen greifen jedoch bei den Datenbearbeitungen von schweizerischen Auskunfteien nicht; jedenfalls nicht bei jenen, die sie im Rahmen ihrer charakteristischen Geschäftstätigkeit vornehmen.

Auf eine unechte Ausnahme sei allerdings hingewiesen, zumal der Begriff der Automatisierung auch im Verlauf der Untersuchung bedeutsam bleibt: Die DSGVO setzt nämlich im Unterschied zum DSG[114] voraus, dass die Verarbeitung von personenbezogenen Daten ganz oder teilweise automatisiert erfolgt oder dass – bei nichtautomatisierter Verarbeitung – die personenbezogenen Daten in einem Dateisystem[115] gespeichert sind oder gespeichert werden sollen (Art. 2 Abs. 1 DSGVO).

Trotz der Anknüpfung an automatisierte Datenverarbeitungen definiert die DSGVO den Begriff der Automatisierung nicht und klärt ihn ebenso wenig in den Erwägungsgründen. Als automatisiert gilt nach der Lehre eine Verarbeitung, wenn sie mit technischen Hilfsmitteln, konkret mit einer Datenverarbeitungsanlage bzw. einem Computer, erfolgt.[116] Nichtautomatisiert oder manuell erfolgen die übrigen Verarbeitungen.[117] Als Beispiele aus der Rechtsprechung des EuGH lassen sich etwa das Verfassen und Aufbewahren von (handschriftlichen) Notizen nennen, die den Mitgliedern einer Glaubensgemeinschaft bei ihrer Verkündungstätigkeit als Gedächtnisstütze dienen.[118]

Für die Datenbearbeitungen der Auskunfteien stellt dies keine relevante Ausnahme vom Anwendungsbereich des Datenschutzrechts dar. Eine Auskunftei dürfte ihre Daten – jedenfalls diejenigen, die sie für ihre charakteristische Geschäftstätigkeit verwendet – nicht manuell, sondern vielmehr mit Computern bearbeiten. Dies gilt insbesondere für das hier interessierende Kreditscoring.

Zwischenfazit

Zur sachlichen Anwendbarkeit des Datenschutzrechts

Im Rahmen des Kreditscorings beschafft und speichert die Auskunftei verschiedene Angaben wie den Namen, das Geburtsdatum, Zahlungserfahrungen, Betreibungsvorgänge etc., die sich auf eine natürliche Person beziehen und welche sie dieser anhand ihres Namens, ihrer Adresse oder anderer Informationen in aller Regel zuordnen kann. Diese Personendaten verwendet die Auskunftei für die Erstellung eines Modells sowie anschliessend für die Beurteilung der Kreditwürdigkeit einer natürlichen Person und gibt sodann zumindest den Kreditscore der Kreditgeberin bekannt, der als eine auf die kreditinteressierte Person bezogene Angabe (über die Kreditwürdigkeit) ebenfalls ein Personendatum darstellt.[119] Nachdem für diese Handlungen der charakteristischen Geschäftstätigkeit auch keine Ausnahme greift, ist beim Datenumgang der Auskunftei im Rahmen des Kreditscorings der sachliche Anwendungsbereich des DSG bzw. der DSGVO grundsätzlich eröffnet.

Für die Entwicklung von Modellen können pseudonymisierte oder anonymisierte Daten ausreichen, da Korrelationen in den Daten von Interesse sind und der Bezug zu spezifischen Personen irrelevant ist.[120] Nach Äusserungen in der Literatur zum Kreditscoring in Deutschland nutzen die Auskunfteien denn auch regelmässig nur anonymisierte Daten für die Entwicklung ihrer Kreditscoring-Modelle.[121] Auf die Bearbeitung solcher Daten ist das Datenschutzrecht nicht anwendbar.[122] Den vorliegend interessierenden schweizerischen Auskunfteien genügen pseudonymisierte oder gar anonymisierte Daten für die Modellentwicklung nicht; wie die eigenen Erhebungen ergaben, verwenden sie zum aktuellen Zeitpunkt auch dafür Daten, bei denen ein Bezug zu einer natürlichen Person für sie herstellbar ist.[123] Damit haben die Auskunfteien auch bei der Modellentwicklung das Datenschutzrecht einzuhalten.[124]

Zur Bearbeitung von besonders schützenswerten Personendaten

Schweizerische Auskunfteien werden bei ihrer charakteristischen Geschäftstätigkeit üblicherweise keine Daten bearbeiten, die unmittelbar Informationen i.S.v. Art. 5 lit. c DSG, Art. 9 Abs. 1 oder Art. 10 DSGVO wiedergeben.[125] So verwenden sie beispielsweise keine Strafregisterauszüge oder Teile eines Patientendossiers für ihre Kreditwürdigkeitsbeurteilungen. Die im Vordergrund stehenden Finanzdaten und insbesondere der Kreditscore fallen nicht unter die besonders schützenswerten Personendaten bzw. die besonderen Kategorien personenbezogener Daten. Zudem haben sich die schweizerischen Auskunfteien in ihren Verhaltensregeln selbst darauf verpflichtet, keine besonders schützenswerten Personendaten zu bearbeiten.[126]

Vereinzelt werden die Auskunfteien für die Kreditwürdigkeitsbeurteilung dennoch Daten bearbeiten, die Rückschlüsse auf Informationen im Sinne der eben erwähnten Bestimmungen zulassen, etwa auf die ethnische Herkunft hinweisende Namen, hinsichtlich der religiösen Ansichten sprechende Berufe oder auf den Gesundheitszustand hindeutende Wohnadressen. Soweit dies die Auskunfteien tun, erfolgen die Bearbeitungen (im Rahmen der üblichen Praxis) allerdings weder in der Absicht, daraus diese sensiblen Informationen abzuleiten, noch im Hinblick auf einen Zweck, der solche Ableitungen oder Auswertungen voraussetzen würde: Die (hier interessierenden) Bearbeitungen einer Auskunftei dienen der Kreditwürdigkeitsprüfung. Die zu diesem Zweck angebotenen Auskünfte dürfen Kreditgeberinnen sodann nur abfragen, wenn sie über die Eingehung eines kreditorischen Risikos entscheiden müssen. Zur Einhaltung dieser Vorgabe verpflichten sie sich gegenüber der Auskunftei in der Regel (unter Androhung von Sanktionen bei Missachtung) vertraglich.[127] Zudem erlaubt der Zweckbindungsgrundsatz (Art. 6 Abs. 3 DSG; Art. 5 Abs. 1 lit. b DSGVO) auch den Kreditgeberinnen den Kreditscore und allfällige weitere erhaltene Daten nur zur Prüfung und Beurteilung der Kreditwürdigkeit (oder auf eine mit diesem Zweck vereinbare Weise) zu verwenden.[128] Selbst wenn also eine Auskunftei einer Kreditgeberin im Rahmen einer Auskunft etwa als Beruf der kreditinteressierten Person deren Priesteramt bekanntgäbe, würde (zumindest) die Auskunftei keine besonders schützenswerten bzw. besonderen Kategorien personenbezogener Daten bearbeiten.

Angesichts des Bearbeitungskontexts ist deshalb selbst bei der (ausnahmsweisen) Bearbeitung von Daten, die Rückschlüsse auf Informationen nach Art. 5 lit. c DSG, Art. 9 Abs. 1 oder Art. 10 DSGVO zulassen, davon auszugehen, dass die schweizerischen Auskunfteien keine Daten im Sinne dieser Bestimmungen bearbeiten. Die vorliegende Untersuchung geht daher auf die spezifischen Beschränkungen von Bearbeitungen besonders schützenswerter Personendaten bzw. besonderer Kategorien personenbezogener Daten nicht im Einzelnen ein. Damit sind insbesondere die Fiktion der Persönlichkeitsverletzung bei Bekanntgabe besonders schützenswerter Personendaten (Art. 30 Abs. 2 lit. c DSG) sowie das grundsätzliche Verarbeitungsverbot besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ausgeklammert.

Das DSG begrenzt seinen sachlichen Anwendungsbereich pleonastisch, indem es sich in Art. 2 Abs. 1 auf «die Bearbeitung von Personendaten natürlicher Personen» anwendbar erklärt, und gleichzeitig Personendaten als «alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen» (Art. 5 lit. a DSG) definiert. Bereits Art. 2 Abs. 1 DSG schliesst die vor der Totalrevision noch erfassten Daten juristischer Personen aus dem Anwendungsbereich aus. ↵

George, S. 152; Möhle, S. 600; vgl. auch de Terwangne, in: Epiney et al. 2022, S. 57; Thouvenin, Forschung, S. 32. ↵

Während im schweizerischen Recht der Personenbezug als ein Element betrachtet wird (zum DSG BSK DSG-Blechta et al., Art. 5 N 17 ff.; zum aDSG Appellationsgericht Basel-Stadt, ZB.2019.3 vom 9. August 2019, E. 4.2.1; HK aDSG-Rosenthal, Art. 3 N 6; anders Jotterand, Rn. 5), werden im europäischen Recht der Bezug zum einen und die natürliche Person zum anderen tendenziell als separate Elemente aufgefasst (zur DSGVO Finck/Pallas, S. 12; zur DSRL Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 6). ↵

Zum DSG vgl. Botschaft Totalrevision DSG, S. 7022, wonach aufgrund eines Profilings entstandene Daten grundsätzlich Personendaten seien; zur DSGVO vgl. EuGH, Rs. C‑487/21 vom 4. Mai 2023, Österreichische Datenschutzbehörde, Ziff. 26, wonach nicht nur die von einer Auskunftei erhobenen und auf Vorrat gespeicherten Daten, sondern auch alle Informationen über eine identifizierte oder identifizierbare Person, die aus einer Verarbeitung resultieren, z.B. die Beurteilung ihrer Zahlungsfähigkeit oder Zahlungswilligkeit, personenbezogene Daten darstellen würden. ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 15; zum aDSG BGE 136 II 508 E. 3.2; HK aDSG-Rosenthal, Art. 3 N 9; zur DSGVO Finck/Pallas, S. 12 f.; zur DSRL Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 7. ↵

Zum aDSG BGE 136 II 508 E. 3.2; Jotterand, Rn. 8; zur DSGVO Eßer, in: Auernhammer, Art. 4 N 8; zur DSRL Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 8. ↵

Art. 6 Abs. 5 DSG; Art. 5 Abs. 1 lit. d DSGVO; vgl. dazu auch unten Teil 3, C.V. ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 15; zum aDSG HK aDSG-Rosenthal, Art. 3 N 6; zur DSGVO Eßer, in: Auernhammer, Art. 4 N 11; zur DSRL Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 7. ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 18; zum aDSG HK aDSG-Rosenthal, Art. 3 N 13 f.; zur DSGVO Eßer, in: Auernhammer, Art. 4 N 10; zur DSRL Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 10. ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 22; Dal Molin, in: Dal Molin/Wesiak-Schmidt, § 1 N 72; zum aDSG HK aDSG-Rosenthal, Art. 3 N 14; zur DSGVO von Lewinski et al., § 10 N 19 ff.; vgl. auch Finck/Pallas, S. 13; zur DSRL vgl. Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 11. ↵

Vgl. dazu oben Teil 1, E.I.2.2. ↵

Zur DSGVO vgl. Conrad, in: Auer-Reinsdorff/Conrad, § 34 N 760, wonach soziodemografische Daten durch Verknüpfung mit dem Namen des Kunden zu dessen personenbezogenen Daten würden; ferner Helfrich, Bonitätsbewertung, Rn. 8, wonach durch die Zuordnung einer natürlichen Person zu einer Vergleichsgruppe, deren Angehörige ähnliche Merkmale aufweisen würden, ein personenbezogenes Datum entstehe. ↵

Zur DSRL Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 11 ff. Diese Elemente greift auch der EDSA, Leitlinien Auskunftsrecht, Rn. 107 (Beispiel), in Bezug auf die DSGVO auf. ↵

Befürwortend zum DSG PC LPD-Jacot-Guillarmod, Art. 5 N 7; Jotterand, Rn. 10; zum aDSG Meier, Rn. 424; zur DSGVO Eßer, in: Auernhammer, Art. 4 N 10. Ablehnend zum DSG vgl. Dal Molin, in: Dal Molin/Wesiak-Schmidt, § 1 N 72; zum aDSG HK aDSG-Rosenthal, Art. 3 N 17; zur DSGVO George et al., S. 290. ↵

Zur DSRL Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 11 ff. ↵

Zur DSGVO statt vieler EuGH, Rs. C‑604/22 vom 7. März 2024, IAB Europe, Ziff. 37; EuGH, Rs. C‑319/22 vom 9. November 2023, Gesamtverband Autoteile-Handel, Ziff. 45; EuGH, Rs. C‑487/21 vom 4. Mai 2023, Österreichische Datenschutzbehörde, Ziff. 24. ↵

George et al., S. 290, mit Verweis auf EuGH, Rs. C‑141/12 und C-372/12 vom 17. Juli 2014, YS u.a., Ziff. 45, wonach bei einer rechtlichen Analyse des Aufenthaltsstatus einer Person weder nach Inhalt noch nach Zweck oder Ergebnis personenbezogene Daten vorliegen sollen. ↵

So können Wetterdaten das Zweckelement erfüllen, weil sie etwa das Verhalten von Personen beeinflussen vermögen, bei sich ankündigendem Regen einen Schirm mitzunehmen, und das Ergebniselement, weil etwa auf ihrer Grundlage eine Sportveranstaltung im Freien nicht durchgeführt wird, an deren Durchführung eine natürliche Person ein wirtschaftliches Interesse hat. ↵

Zum DSG und zur DSGVO George, S. 150 ff.; zum aDSG vgl. HK aDSG-Rosenthal, Art. 3 N 17; zur DSGVO vgl. Purtova, S. 58 f. ↵

BGE 136 II 508 E. 3.6. ↵

Zum DSG Henseler, Datenschutz, S. 29; zum aDSG BGE 138 II 346 E. 6.1; BGE 136 II 508 E. 3.2; zur DSGVO Klar/Kühling, in: Kühling/Buchner, Art. 4 Ziff. 1 N 18; Eßer, in: Auernhammer, Art. 4 N 17; zur DSRL EuGH, Rs. C‑582/14 vom 19. Oktober 2016, Breyer, Ziff. 38. ↵

Zum DSG Henseler, Datenschutz, S. 29; zur DSGVO Eßer, in: Auernhammer, Art. 4 N 17. ↵

Zum DSG Jotterand, Rn. 14; zum aDSG BGE 138 II 346 E. 6.1; BGE 136 II 508 E. 3.2; zur DSGVO Klar/Kühling, in: Kühling/Buchner, Art. 4 Ziff. 1 N 19; vgl. auch Eßer, in: Auernhammer, Art. 4 N 18; zur DSRL vgl. EuGH, Rs. C‑582/14 vom 19. Oktober 2016, Breyer, Ziff. 39. ↵

Zum aDSG BGE 136 II 508 E. 3.5; zur DSGVO EuGH, Rs. C‑582/14 vom 19. Oktober 2016, Breyer, Ziff. 39 ff. ↵

Zum aDSG Heuberger, Rn. 110; Mathys/Reinhart, S. 37; Thouvenin, Jusletter IT 2016, Rn. 21; zur DSGVO Ponsart/Robert, S. 422; zur DSRL Art.‑29‑DSG, Stellungnahme personenbezogene Daten, S. 14. ↵

DSB, D155.026 2022-0.298.191 vom 22. April 2022, D.2.b. ↵

Zum aDSG Rosenthal, digma 2017, S. 201 f.; vgl. auch Widmer et al., S. 9 f. («namentlich identifiziert»); zur DSGVO vgl. DSB, D155.026 2022-0.298.191 vom 22. April 2022, D.2.b; Overbeck, S. 66. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 3 N 23. ↵

Vgl. Heuberger, Rn. 110 (Fn. 369); Kasper, S. 164. ↵

Golland, S. 53; Karg, in: Simitis et al., Art. 4 Ziff. 1 N 51; Ponsart/Robert, S. 422. ↵

Etwa die österreichische, italienische und schwedische Aufsichtsbehörde haben die Singularisierung in jeweils Google Analytics betreffenden Entscheiden genügen lassen (DSB, D155.026 2022-0.298.191 vom 22. April 2022, D.2.b.; DSB, D155.027 2021-0.586.257 vom 21. Dezember 2021, D.2.b; GPDP, 9782890 vom 9. Juni 2022, Ziff. 2.1; IMY, DI-2020-11373 vom 30. Juni 2023, Ziff. 2.2.2). ↵

So auch Widmer et al., S. 10. ↵

Zum aDSG EDSK, Urteil vom 15. April 2005, in: VPB 69.106, S. 1297 ff., E. 2.4. ↵

Expertengruppe Datenbearbeitung, S. 150. ↵

BGE 136 II 508 E. 3.2 ff. ↵

Zur DSRL EuGH, Rs. C‑582/14 vom 19. Oktober 2016, Breyer, Ziff. 31 ff. ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 33; zum aDSG vgl. Rosenthal, digma 2017, S. 202. ↵

Vgl. dazu oben Einleitung, C.II.1.2.a. ↵

Explanatory Report Convention 108, Rn. 18. ↵

Zum DSG vgl. Jotterand, Rn. 17; zum aDSG Meier, Rn. 445; zur DSGVO Lorentz, S. 297; zur DSRL Schefzig, S. 106. ↵

Zum DSG vgl. Jotterand, Rn. 17; zum aDSG Meier, Rn. 445; zur DSGVO Lorentz, S. 297; zur DSRL Schefzig, S. 106. ↵

Zum DSG und zur DSGVO vgl. George, S. 146; zum DSG Rosenthal, Jusletter 2020, Rn. 19; zur DSGVO George et al., S. 289; Lorentz, S. 298 f. ↵

Zum aDSG BGE 138 II 346 E. 6.1; BGE 136 II 508 E. 3.2; vgl. auch BGer, 4A_365/2017 vom 26. Februar 2018, E. 5. ↵

Zum aDSG BGE 138 II 346 E. 6.1; BGE 136 II 508 E. 3.2; vgl. auch BGer, 4A_365/2017 vom 26. Februar 2018, E. 5. ↵

Zum aDSG BGE 138 II 346 E. 6.1; BGE 136 II 508 E. 3.4; vgl. auch Appellationsgericht Basel-Stadt, ZB.2019.3 vom 9. August 2019, E. 4.2.1; kritisch dazu Probst, S. 1430; Vasella, Pseudonymisierung, o.S. ↵

Verantwortlicher ist, wer allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet (Art. 5 lit. j DSG; Art. 4 Ziff. 7 DSGVO); vgl. dazu auch unten Teil 2, B.I. ↵

Zur DSGVO EuGH, Rs. C‑319/22 vom 9. November 2023, Gesamtverband Autoteile-Handel, Ziff. 45; zur DSRL EuGH, Rs. C-582/14 vom 19. Oktober 2016, Breyer, Ziff. 42; vgl. auch EG 26 Satz 3 DSGVO. ↵

Zur DSRL EuGH, Rs. C-582/14 vom 19. Oktober 2016, Breyer, Ziff. 46; vgl. auch EuGH, Rs. C‑479/22 P vom 7. März 2024, OC/Kommission, Ziff. 51, zur VO (EU) 2018/1725, die den Datenschutz bei EU-Organen und -Einrichtungen regelt. ↵

Zur DSGVO EuGH, Rs. C‑319/22 vom 9. November 2023, Gesamtverband Autoteile-Handel, Ziff. 48 f.; zur DSRL EuGH, Rs. C-582/14 vom 19. Oktober 2016, Breyer, Ziff. 43 f. ↵

Zur DSRL EuGH, Rs. C-582/14 vom 19. Oktober 2016, Breyer, Ziff. 43 und 45; vgl. auch EuGH, Rs. C-434/16 vom 20. Dezember 2017, Nowak, Ziff. 31. ↵

Zum DSG und zur DSGVO George, S. 147 f.; zum DSG Botschaft Totalrevision DSG, S. 7019; zum aDSG Meier, Rn. 437; zur DSGVO Lorentz, S. 293 f.; vgl. auch EG 26 DSGVO; zur DSRL Art.‑29‑DSG, Stellungnahme Anonymisierungstechniken, S. 5 f. ↵

Vgl. dazu Art.‑29‑DSG, Stellungnahme Anonymisierungstechniken, S. 13 ff.; Ohm, S. 1711 f. ↵

Zum DSG und zur DSGVO George, S. 148; Jotterand, Rn. 3; zum aDSG vgl. HK aDSG-Rosenthal, Art. 3 N 38; zur DSGVO vgl. Oostveen, S. 306; zur DSRL vgl. El Emam/Álvarez, S. 75 f. ↵

Zum DSG SHK DSG-Rudin, Art. 5 N 13; vgl. auch Botschaft Totalrevision DSG, S. 7019; zum aDSG Appellationsgericht Basel-Stadt, ZB.2019.3 vom 9. August 2019, E. 4.2.2; zur DSGVO vgl. Finck/Pallas, S. 16; a.M. Ernst, in: Paal/Pauly, Art. 4 N 49; zur DSRL El Emam/Álvarez, S. 75; vgl. auch Art.‑29‑DSG, Stellungnahme Anonymisierungstechniken, S. 6, 7 und 10, die zunächst ein Nullrisiko zu verlangen scheint, dann die Anwendbarkeit des Datenschutzrechts aber von einem inakzeptablen Risiko der Identifikation abhängig machen will. ↵

Zum DSG vgl. strenger Botschaft Totalrevision DSG, S. 7019, wonach Daten auch als anonymisiert zu betrachten seien, wenn eine Re-Identifikation «nur mit einem hohen Aufwand möglich wäre, den kein Interessent auf sich nehmen würde»; zum aDSG Hirsch/Jacot-Guillarmod, S. 160; zur DSGVO Schantz, in: Schantz/Wolff, Rn. 297; vgl. auch Hofmann/Johannes, S. 223. Bei Fällen, in denen eine Re-Identifikation in diesem Sinne noch möglich ist, wird auch von «faktischer Anonymisierung» gesprochen (zum DSG vgl. Botschaft Totalrevision DSG, S. 7076; zum aDSG Meier, Rn. 440 ff.; zur DSGVO von Lewinski et al., § 10 N 25). ↵

Härting, NJW 2013, S. 2069; Ohm, S. 1731; Oostveen, S. 306. ↵

El Emam/Álvarez, S. 75; Eßer, in: Auernhammer, Art. 4 N 73; Stalla-Bourdillon/Knight, S. 298. ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 5 N 29; zum aDSG Hirsch/Jacot-Guillarmod, S. 160; HK aDSG-Rosenthal, Art. 3 N 36; zur DSGVO Eßer, in: Auernhammer, Art. 4 N 70; Klar/Kühling, in: Kühling/Buchner, Art. 4 Ziff. 5 N 1 f.; Schantz, in: Schantz/Wolff, Rn. 301. ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 5 N 29; zum aDSG HK aDSG-Rosenthal, Art. 3 N 36; zur DSGVO Art. 4 Ziff. 5 DSGVO; Schantz, in: Schantz/Wolff, Rn. 297; Gola, in: Gola/Heckmann, Art. 4 N 46. ↵

Zum aDSG Appellationsgericht Basel-Stadt, ZB.2019.3 vom 9. August 2019, E. 4.2.2; Handelsgericht Zürich, HG190107-O vom 4. Mai 2021, E. 3.2.3a; HK aDSG-Rosenthal, Art. 3 N 36; a.M. EDÖB, Tätigkeitsbericht 2013/2014, S. 68 f.; zur DSGVO Ziebarth, in: Sydow/Marsch, Art. 4 N 97 f.; vgl. auch Arning/Rothkegel, in: Taeger/Gabel, Art. 4 N 55; a.M. Ernst, in: Paal/Pauly, Art. 4 N 40. ↵

Vgl. dazu oben Teil 2, A.I.1.1.c.bb. ↵

Zum DSG Jotterand, Rn. 56 i.V.m. 59; Métille, in: Epiney et al. 2022, S. 5; zum aDSG vgl. Hirsch/Jacot-Guillarmod, S. 162 f.; a.M. HK aDSG-Rosenthal, Art. 3 N 36; zur DSGVO Hofmann/Johannes, S. 223; Klar/Kühling, in: Kühling/Buchner, Art. 4 Ziff. 5 N 12; vgl. auch Eßer, in: Auernhammer, Art. 4 N 71. ↵

Die Zulässigkeit der Bearbeitung von besonders schützenswerten Personendaten (durch private Personen) schränkt das DSG punktuell ein, insb. muss eine allenfalls erforderliche Einwilligung ausdrücklich erfolgen (Art. 6 Abs. 7 lit. a DSG), wird eine Persönlichkeitsverletzung bei der Bekanntgabe solcher Daten fingiert (Art. 30 Abs. 2 lit. c DSG) und bestehen Einschränkungen bei einzelnen besonders geregelten überwiegenden Interessen (z.B. Art. 31 Abs. 2 lit. c Ziff. 1 DSG; vgl. dazu unten Teil 3, D.IV.1.2.c.bb.iii.2). Die DSGVO verbietet die Verarbeitung besonderer Kategorien personenbezogener Daten, es sei denn, es liege einer der zehn Ausnahmefälle vor (Art. 9 DSGVO). ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 55; Rosenthal, Jusletter 2020, Rn. 23; zum aDSG Botschaft DSG 1988, S. 446; zur DSGVO Plath, in: Plath, Art. 9 N 4; Quinn/Malgieri, S. 1589; Weichert, in: Kühling/Buchner, Art. 9 N 19. ↵

Angemerkt sei, dass Art. 4 DSGVO – im Unterschied zum DSG – die Begriffe der genetischen Daten (Ziff. 13), der biometrischen Daten (Ziff. 14) und der Gesundheitsdaten (Ziff. 15) legaldefiniert. ↵

Vgl. Art. 5 lit. c Ziff. 1, 2 und 3 DSG sowie Art. 9 Abs. 1 DSGVO. ↵

Vgl. Rosenthal, Jusletter 2020, Rn. 21. ↵

Vgl. Botschaft DSG 1988, S. 446, die ausdrücklich festhält, dass die Intimsphäre mehr als das Sexualleben beinhaltet. Ein Beispiel für ein solches Datum ist die Willenserklärung über die eigene Bereitschaft zur Organspende (EDÖB, NOSR, Rn. 78). ↵

Wie die Entstehungsgeschichte von Art. 10 DSGVO zeigt, sollen verwaltungsrechtliche Sanktionen gerade nicht erfasst werden (vgl. Art. 9 Abs. 1 E-DSGVO EP, der einen entsprechenden, aber später verworfenen Vorschlag enthielt; EuGH, Rs. C‑439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 77 f.). ↵

Vgl. BSK aDSG-Rampini, Art. 13 N 36, wonach Schuldbetreibungs- und Konkursdaten keine Daten über administrative Verfolgungen und Sanktionen i.S.v. Art. 3 lit. c Ziff. 4 aDSG seien. ↵

Was eine «Straftat» bzw. eine «strafrechtliche Verurteilung» ist, beurteilt sich autonom unionsrechtlich, konkret nach drei Kriterien, nämlich nach der rechtlichen Einordnung der Zuwiderhandlung im innerstaatlichen Recht, der Art der Zuwiderhandlung und dem Schweregrad der dem Betroffenen drohenden Sanktion (EuGH, Rs. C‑439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 81 ff.). ↵

Zum DSG Vasella, digma 2020, S. 177; zum aDSG Botschaft DSG 1988, S. 446, wonach Daten über die finanziellen Verhältnisse insb. keine Daten über die Intimsphäre i.S.v. Art. 3 lit. c Ziff. 2 aDSG seien; Hofer, in: Passadelis et al., Rn. 16.40; zur DSGVO Schulz, in: Gola/Heckmann, Art. 9 N 22. ↵

So wird üblicherweise der Begriff der Daten über die Intimsphäre verstanden (vgl. SHK DSG-Rudin, Art. 5 N 26; BSK DSG-Blechta et al., Art. 5 N 65). ↵

Dies galt jedenfalls vor dem Entscheid des EuGH, Rs. C-184/20 vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, Ziff. 117, in dem sich das Gericht erstmals zu dieser Frage äusserte. ↵

Beispielsweise lässt sich unter Umständen vom Namen auf die ethnische Herkunft, vom Foto eines Brillenträgers auf ein Gesundheitsdatum oder von Standortdaten in/bei einer Kirche auf eine religiöse Überzeugung schliessen (vgl. für Beispiele Lorentz, S. 225; Weichert, in: Kühling/Buchner, Art. 9 N 22). ↵

von Lewinski et al., § 14 N 11; Wachter, S. 381; Weichert, in: Kühling/Buchner, Art. 9 N 22; vgl. auch Schiff, in: Ehmann/Selmayr, Art. 9 N 14; Schneider J., S. 305. ↵

Lorentz, S. 226; vgl. auch De Hert/Papakonstantinou, S. 183; Plath, in: Plath, Art. 9 N 4 ff. ↵

Lorentz, S. 226; vgl. auch Plath, in: Plath, Art. 9 N 5. ↵

Lorentz, S. 226; vgl. auch Plath, in: Plath, Art. 9 N 5. ↵

EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 68 ff.; EuGH, Rs. C‑184/20 vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, Ziff. 127 f. ↵

Das Verb «hervorgehen» bezieht sich nicht auf die genetischen, biometrischen und Gesundheitsdaten sowie die Daten zum Sexualleben oder der sexuellen Orientierung (vgl. Art. 9 Abs. 1 DSGVO). ↵

EuGH, Rs. C-184/20 vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, Ziff. 123 f. ↵

Dasselbe gilt für die pauschalen Argumente des EuGH (EuGH, Rs. C-184/20 vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, Ziff. 125 f.), wonach die DSGVO ein hohes Schutzniveau der Grundrechte zu garantieren bezwecke und eine gegenteilige Auslegung dem Zweck von Art. 9 DSGVO zuwiderlaufen würde, einen erhöhten Schutz vor Verarbeitungen besonderer Kategorien personenbezogener Daten zu gewährleisten (vgl. Henseler, EuGH C-184/20, o.S.). ↵

Henseler, EuGH C-184/20, o.S. ↵

Vgl. Explanatory Report Convention 108, Rn. 55, wonach nicht nur die Verarbeitung bestimmter Kategorien von Daten, sondern auch die Verarbeitung bestimmter (anderer) Daten aufgrund der aus ihnen hervorgehenden sensiblen Informationen zu Eingriffen in Interessen, Rechte und Freiheiten führen könne. ↵

von Lewinski et al., § 14 N 11; Weichert, in: Kühling/Buchner, Art. 9 N 22; vgl. auch EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 69. ↵

Vgl. EuGH, Rs. C-439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 76, wonach mögliche Schlüsse von Strafpunkten auf Verkehrsverstösse genügten. ↵

Kampert, in: Sydow/Marsch, Art. 10 N 1; vgl. auch Gola, in: Gola/Heckmann, Art. 10 N 1. ↵

EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 69; EDSA, Leitlinien Soziale Medien, Rn. 123; Wachter, S. 384. ↵

GA Szpunar, Rs. C-21/23 vom 25. April 2024, Lindenapotheke, Ziff. 44 ff. (in Bezug auf Gesundheitsdaten), wonach eine blosse Vermutung nicht genüge, sondern ein Mindestmass an Gewissheit erforderlich sei; vgl. auch Petri, in: Simitis et al., Art. 9 N 12; Schiff, in: Ehmann/Selmayr, Art. 9 N 15. ↵

Zum DSG George, S. 161 f.; vgl. auch Burnier et al., Rn. 40; a.M. CR LPD-Meier/Tschumy, Art. 5 N 48; vgl. auch BSK DSG-Blechta et al., Art. 5 N 57 f.; zum aDSG Mathys, Rn. 22; Schmidlin, Rn. 9; vgl. auch Emmenegger/Reber, in: Emmenegger, S. 167 f.; Henseler, Jusletter 2018, Rn. 32. ↵

KGer LU, 7H 17 49 vom 18. April 2018, E. 3.5, wo allerdings das kantonale Datenschutzgesetz einschlägig war, dessen Legaldefinition der besonders schützenswerten Personendaten nicht abschliessend ist. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5. ↵

Das BVGer berücksichtigt einzig bei der Prüfung des Vorliegens eines Persönlichkeitsprofils die Möglichkeit, dass die bearbeiteten Daten Rückschlüsse auf besonders schützenswerte Personendaten erlauben. Im Gegenteil hält das BVGer mehrfach fest, dass die Betreiberin von Moneyhouse keine besonders schützenswerten Personendaten bearbeite (vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 3.2, 5 und 5.2.5.1). ↵

Genügen bereits Rückschlüsse, so spielt es (wie unter der DSGVO) im Anwendungsbereich des DSG keine Rolle, ob diese richtig sind oder nicht (Mathys, Rn. 22; vgl. auch George, S. 162). Auch hier lässt sich dies damit begründen, dass auch unrichtige Angaben (vgl. Art. 6 Abs. 5 DSGVO) Personendaten sein können. ↵

Zum aDSG EDÖB, PostFinance, S. 7. ↵

Vgl. in Bezug auf diesen Zweck der Regelung zum aDSG Botschaft DSG 1988, S. 446; HK aDSG-Jöhri, Art. 3 N 42; zur DSGVO Matejek/Mäusezahl, S. 552; Quinn/Malgieri, S. 1585 f.; Schantz, in: Schantz/Wolff, Rn. 704. ↵

Vgl. in Bezug auf diesen Zweck der Regelung zum DSG George, S. 159 f.; zur DSGVO Matejek/Mäusezahl, S. 552; Schiff, in: Ehmann/Selmayr, Art. 9 N 1; Weichert, in: Kühling/Buchner, Art. 9 N 2. ↵

Vgl. ausführlich Quinn/Malgieri, S. 1591 f., die zwischen einem «purposeful approach», der auf die Absicht des Verantwortlichen fokussiert, und einem «contextual approach» unterscheiden, der Umstände wie die spezifischen Interessen des Verantwortlichen, die potenziellen Datenempfänger etc., aber auch die Absicht mitberücksichtigt. ↵

Zum DSG vgl. CR LPD-Meier/Tschumy, Art. 5 N 52, in Bezug auf Fotografien; zum aDSG EDÖB, PostFinance, S. 7 f.; Mathys, Rn. 22; Schmidlin, Rn. 9; a.M. Vasella, Jusletter 2015, Rn. 9; zur DSGVO Matejek/Mäusezahl, S. 552 f.; von Lewinski et al., § 14 N 11; Weichert, in: Kühling/Buchner, Art. 9 N 22; a.M. Petri, in: Simitis et al., Art. 9 N 12. ↵

Explanatory Report Convention 108, Rn. 59, vgl. aber auch Rn. 57, wonach bei Bildern der Verarbeitungskontext, etwa die Absicht daraus Informationen über die ethnische Herkunft abzuleiten, entscheidend für die Qualifikation als Daten der besonderen Kategorien i.S.v. Art. 6 Konv. 108+ sei; vgl. auch de Terwangne, in: Epiney et al. 2022, S. 70. ↵

Zum aDSG EDÖB, PostFinance, S. 7. ↵

Vgl. GA Szpunar, Rs. C-21/23 vom 25. April 2024, Lindenapotheke, Ziff. 41 und 47, der auch die Aufzeichnungen von einer Person zurückgelegter Schritte nicht als Gesundheitsdaten einstuft, wenn diese nicht mit anderen Daten der Person verknüpft und nicht in einem medizinischen Kontext verarbeitet werden. ↵

EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 69 f. ↵

Unter dem Zweck versteht sich der Grund, weshalb eine Datenbearbeitung erfolgt (vgl. dazu unten Teil 3, C.III.1.). ↵

Während die Lehre zum aDSG die Absicht unterstreicht (Mathys, Rn. 22; Schmidlin, Rn. 9; Vasella, Stimmerkennung, o.S.), hebt die Lehre zur DSGVO den Verarbeitungszweck hervor (Frenzel, in: Paal/Pauly, Art. 9 N 8 f.; von Lewinski et al., § 14 N 11; Weichert, in: Kühling/Buchner, Art. 9 N 22). Vgl. kritisch zur Berücksichtigung der Absicht Wachter, S. 384 f. ↵

EDSA, Leitlinien Soziale Medien, Rn. 124, der in Bezug auf «Social-Media-Anbieter» festhält, dass Art. 9 DSGVO nicht anwendbar sei, wenn die Verarbeitung nicht zu Rückschlüssen führe und der Verantwortliche Massnahmen umgesetzt habe, um Ableitungen zu verhindern. ↵

EDÖB, PostFinance, S. 8, der die Bearbeitung von besonders schützenswerten Personendaten verneint, weil der Verantwortliche die Daten nicht für eigene oder fremde Zwecke auswerte. ↵

Verwaltungsgericht Mainz, 1 K 584/19 vom 24. September 2020, Ziff. 32, wonach der Anwendungsbereich von Art. 9 Abs. 1 DSGVO nur eröffnet sei, wenn eine entsprechende Auswertungsabsicht bestehe. ↵

Möhle, S. 600; vgl. auch BSK DSG-Blechta et al., Art. 5 N 112; de Terwangne, in: Epiney et al. 2022, S. 59, wonach indes der Begriff des DSG «aufgesplittert» sei, mithin jeden Bearbeitungsvorgang separat betrachte, während die DSGVO die Betrachtung einer Vorgangsreihe zulasse (vgl. Art. 4 Ziff. 2 DSGVO); George, S. 155, wonach hingegen der Begriff des Bearbeitens (dem Wortlaut nach) etwas weiter gefasst sei als derjenige der Verarbeitung. ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 97; Dal Molin, in: Dal Molin/Wesiak-Schmidt, § 1 N 98; zur DSGVO EuGH, Rs. C-638/21 vom 5. Dezember 2023, Nacionalinis visuomenės sveikatos centras, Ziff. 50; EuGH, Rs. C‑175/20 vom 24. Februar 2022, Valsts ieņēmumu dienests, Ziff. 35. ↵

Die Aufzählungen in Art. 5 lit. d DSG und Art. 4 Ziff. 2 DSGVO unterscheiden sich zwar sprachlich und vereinzelt in den genannten Beispielen. Materielle Unterschiede – insb. mit Blick auf den hier interessierenden Umgang mit Daten beim Kreditscoring – ergeben sich daraus indes nicht (vgl. BSK DSG-Blechta et al., Art. 5 N 112). ↵

So die Formulierung von Art. 2 Abs. 2 lit. a DSG. Art. 2 Abs. 2 lit. c DSGVO geht vom Wortlaut her weiter und nimmt auch Verarbeitungen zur Ausübung ausschliesslich familiärer Tätigkeiten aus. ↵

de Terwangne, in: Epiney et al. 2022, S. 53; Rosenthal, Jusletter 2020, Rn. 82. ↵

«Dateisystem» bezeichnet jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird (Art. 4 Ziff. 6 DSGVO). Fast gleichlautend definierte die DSRL den Begriff «Datei» (vgl. EuGH, Rs. C-25/17 vom 10. Juli 2018, Jehovan todistajat, Ziff. 62). ↵

Herbst, in: Kühling/Buchner, Art. 4 Ziff. 2 N 17; Kühling/Raab, in: Kühling/Buchner, Art. 2 N 15; vgl. auch de Terwangne, in: Epiney et al. 2022, S. 53; Ernst, in: Paal/Pauly, Art. 2 N 5. ↵

Vgl. EG 15 Satz 2 DSGVO, welcher der automatisierten die manuelle Verarbeitung gegenüberstellt. ↵

Vgl. EuGH, Rs. C-25/17 vom 10. Juli 2018, Jehovan todistajat, insb. Ziff. 53. ↵

Zum DSG vgl. Botschaft Totalrevision DSG, S. 7022; zum aDSG Di Tria/Lubishtani, S. 58; zur DSGVO Helfrich, Bonitätsbewertung, Rn. 7; Lorentz, S. 249; vgl. auch EuGH, Rs. C‑487/21 vom 4. Mai 2023, Österreichische Datenschutzbehörde, Ziff. 26. ↵

Oostveen, S. 307; vgl. auch Lorentz, S. 291 und 299; Spieckergen. Döhmann et al., S. 540. ↵

Hoeren, SCHUFA-Scoring-Verfahren, S. 74; Overbeck, S. 32 und 286; Wuermeling, NJW 2002, S. 3509. ↵

Vgl. dazu oben Teil 2, A.I.1.1.c. ↵

Ergebnis eigene Umfrage. ↵

Vgl. Oostveen, S. 307 f.; Spiecker gen. Döhmann et al., S. 540. ↵

Ergebnis eigene Umfrage; zu den deutschen Auskunfteien vgl. von Lewinski/Pohl, S. 17. ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 8. ↵

Vgl. dazu unten Teil 3, C.VI.3.2.c. ↵

Vgl. dazu unten Teil 3, C.III.4.1.a. ↵

15

Räumlicher Anwendungsbereich

Im schweizerischen Recht (DSG)

Das DSG enthält öffentlich-rechtliche, privatrechtliche und strafrechtliche Bestimmungen.[1] Dieser Dreiteilung folgend, gelten unterschiedliche Voraussetzungen für die räumliche Anwendbarkeit (vgl. Art. 3 Abs. 1 und 2 DSG).[2] Die strafrechtlichen Bestimmungen finden sich im 10. Kapitel des DSG (Art. 60 ff. DSG). Die öffentlich- und privatrechtlichen Bestimmungen lassen sich nicht abschliessend anhand der Systematik ausscheiden.

Ob eine Bestimmung des DSG dem Privat- oder öffentlichen Recht zuzuordnen ist, richtet sich nach den allgemeinen Grundsätzen zur Unterscheidung dieser Rechtsgebiete.[3] Massgebend sind demnach die Subordinations‑, Interessen‑, Funktions- und modale Theorie.[4] Nach dem sog. Methodenpluralismus geniesst keines dieser Abgrenzungskriterien einen Vorrang; vielmehr ist im Einzelfall zu prüfen, welches Kriterium den Umständen am besten gerecht wird.[5] Zu beachten ist überdies, dass einzelne Bestimmungen des DSG sowohl einen privatrechtlichen als auch einen öffentlich-rechtlichen Teilgehalt aufweisen. Diesfalls richten sich die Regeln für die Beurteilung der räumlichen Anwendbarkeit nach dem im Einzelfall einschlägigen Teilgehalt.[6]

Als öffentlich-rechtliche Bestimmungen gelten etwa die Informationspflichten (Art. 19 ff. DSG) sowie die Pflichten zur Führung eines Bearbeitungsverzeichnisses (Art. 12 DSG), zur Vornahme einer Datenschutz-Folgenabschätzung (Art. 22 f. DSG) und zur Meldung bei Datensicherheitsverletzungen (Art. 24 DSG); ebenso sind die Normen über den EDÖB (insbesondere Art. 43 ff. DSG) öffentlich-rechtlicher Natur. Dem Privatrecht zuzuordnen sind demgegenüber beispielsweise die Bearbeitungsgrundsätze (Art. 6 und 8 DSG), das Auskunftsrecht (Art. 25 ff. DSG) und die Regelung über Persönlichkeitsverletzungen und deren Rechtfertigung (Art. 30 ff. DSG).[7]

Privatrechtliche Bestimmungen

Gemäss Art. 3 Abs. 2 Satz 1 DSG gilt für privatrechtliche Ansprüche das Bundesgesetz über das Internationale Privatrecht (IPRG). Dieses sieht kollisionsrechtliche Normen im internationalen Verhältnis vor (vgl. Art. 1 Abs. 1 IPRG), ist aber irrelevant bei Binnensachverhalten.[8] Umfasst ein Sachverhalt kein internationales Verhältnis, ist für die räumliche Anwendbarkeit der privatrechtlichen Bestimmungen kein Rückgriff auf das IRPG oder völkerrechtliche Verträge zum internationalen Privatrecht wie das Lugano-Übereinkommen (LugÜ) angezeigt. Wenn z.B. eine in der Schweiz ansässige Auskunftei in der Schweiz Daten einer betroffenen Person mit Wohnsitz und Aufenthalt in der Schweiz bearbeitet und die Daten nicht ins Ausland bekanntgibt, ist das DSG ohne Weiteres anwendbar.

Im internationalen Verhältnis hingegen, wenn der Verantwortliche ausserhalb der Schweiz domiziliert ist, die betroffene Person im Ausland ihren Wohnsitz oder Aufenthaltsort hat, die Datenbearbeitung nicht in der Schweiz stattfindet und/oder sich deren persönlichkeitsverletzende Wirkung im Ausland äussert, sind das IPRG und gegebenenfalls die einschlägigen völkerrechtlichen Verträge heranzuziehen.[9] Bevor sich aber gestützt darauf die Anwendbarkeit des schweizerischen Rechts und mithin des DSG begründen lässt, muss ein Gericht in der Schweiz international zuständig sein.[10]

Internationale Zuständigkeit

Im Bereich des Datenschutzrechts kann sich eine internationale Zuständigkeit in der Schweiz insbesondere aus Art. 2 Ziff. 1 LugÜ zum Beklagtengerichtsstand sowie aus Art. 5 Ziff. 3 LugÜ bzw. Art. 129 IPRG ergeben, welche besondere Gerichtsstände im Falle von unerlaubten Handlungen vorsehen.[11] Vorbehalten bleibt etwa eine Gerichtsstandsvereinbarung oder Einlassung (Art. 23 f. LugÜ bzw. Art. 5 f. IPRG). Als völkerrechtlicher Vertrag geht das LugÜ in seinem Anwendungsbereich dem IPRG vor (Art. 1 Abs. 2 IPRG).

Das LugÜ sieht einen schweizerischen Gerichtsstand vor, wenn die beklagte Person Wohnsitz[12] in der Schweiz hat (Art. 2 Ziff. 1 LugÜ) oder[13] wenn sich der Handlungs- oder Erfolgsort[14] in der Schweiz befindet und die beklagte Person Wohnsitz in einem Vertragsstaat des LugÜ[15] hat (Art. 5 Ziff. 3 LugÜ). Verfügt die beklagte Person über keinen Wohnsitz in einem Vertragsstaat, richtet sich die internationale Zuständigkeit nach Art. 129 Abs. 1 IPRG:[16] Diesfalls besteht ein schweizerischer Gerichtsstand, wenn sich der gewöhnliche Aufenthaltsort der beklagten Person, der Handlungs- oder Erfolgsort[17] oder – bei Klagen aufgrund der Tätigkeit einer Niederlassung – der Ort dieser Niederlassung in der Schweiz befindet.

Anwendbares Recht

Mangels eines internationalen Übereinkommens über das anwendbare Recht in Datenschutzfragen[18] bestimmt das zuständige schweizerische Gericht die Anwendbarkeit des DSG nach dem IPRG. Gemäss ausdrücklicher Anordnung ist Art. 139 Abs. 1 IPRG auch für Ansprüche aus Verletzung der Persönlichkeit durch das Bearbeiten von Personendaten sowie aus Beeinträchtigung des Rechts auf Auskunft über Personendaten massgebend (Art. 139 Abs. 3 IPRG). Der Geschädigten, d.h. der betroffenen Person,[19] steht daher eine Rechtswahl zu: Sie kann zwischen dem Recht am Ort der Niederlassung bzw. des gewöhnlichen Aufenthalts des Urhebers der Verletzung[20] (lit. b) oder – falls dieser mit dem Eintritt des Erfolgs im entsprechenden Staat rechnen musste – an ihrem Aufenthaltsort (lit. a) oder am Erfolgsort[21] (lit. c) wählen (Art. 139 Abs. 1 IPRG).

Liegt einer dieser Orte in der Schweiz und ist beim Erfolgsort oder beim Ort des gewöhnlichen Aufenthalts überdies die Voraussehbarkeit des dortigen Erfolgseintritts für den Urheber der Verletzung gegeben, kann die betroffene Person ihr Wahlrecht zugunsten des schweizerischen Rechts samt DSG ausüben. Die Ausübung des Wahlrechts kann jederzeit nach Eintritt des anspruchsbegründenden Ereignisses – bereits vor oder erst im Prozess – erfolgen und ist auch implizit möglich.[22] Die Rechtsausübung ist grundsätzlich unwiderruflich und bedingungsfeindlich.[23] Unterlässt die betroffene Person eine Wahl, bestimmt gemäss überwiegender Lehre das Gericht das anwendbare Recht.[24]

Öffentlich-rechtliche Bestimmungen

Trotz der fehlenden ausdrücklichen Regelung im DSG gilt für die öffentlich-rechtlichen Bestimmungen das Territorialitätsprinzip.[25] Gemäss diesem im öffentlichen Recht allgemein geltenden Prinzip sind die Bestimmungen öffentlich-rechtlicher Natur anwendbar, sofern sich der von ihnen erfasste Sachverhalt gesamthaft oder zumindest für einen relevanten Teil in der Schweiz abspielt.[26] Angesichts des grundrechtlichen Schutzes der Privatsphäre (Art. 13 BV), der nicht nach Wohnsitz oder Bürgerrecht der betroffenen Person unterscheidet, ist dabei an den Ort der Datenbearbeitung anzuknüpfen.[27] So kann es für die räumliche Anwendbarkeit genügen, dass der Verantwortliche in der Schweiz einen Server betreibt oder Daten erhebt, auch wenn er sich im Ausland befindet und/oder die Datenbearbeitung im Übrigen dort erfolgt.[28]

Selbst wenn Sachverhalte im Ausland veranlasst werden und sich bloss in der Schweiz auswirken, sind nach Art. 3 Abs. 1 DSG dessen öffentlich-rechtlichen Bestimmungen anwendbar.[29] Damit sieht das DSG neu ausdrücklich das Auswirkungsprinzip vor, das aus dem Kartellrecht bekannt ist (Art. 2 Abs. 2 KG). Erforderlich ist bei solchen im Ausland stattfindenden Sachverhalten, dass sie sich, wie das Bundesgericht in einem anderen Zusammenhang festhielt,[30] «in ausreichendem Mass auf das Territorium der Schweiz auswirken» oder auswirken werden.[31] Im Bereich des Datenschutzrechts sind mit «Auswirkungen» tatsächliche oder potenzielle Eingriffe in die Persönlichkeit einer betroffenen Person in der Schweiz gemeint.[32] Für die Anwendbarkeit der öffentlich-rechtlichen Bestimmungen genügt indes nicht jeder potenzielle oder tatsächliche Eingriff; vielmehr muss es sich um über einen Einzelfall hinausgehende Auswirkungen handeln, damit sie ein «ausreichendes Mass» aufweisen.[33] Ein solches ist beispielsweise gegeben, wenn ein Verantwortlicher wie Google hierzulande Bilder aufnimmt und sie von der Schweiz aus abrufbar veröffentlicht, selbst wenn er die Bilder im Ausland weiterbearbeitet und nicht direkt von der Schweiz aus ins Internet stellt.[34]

Strafrechtliche Bestimmungen

Der räumliche Anwendungsbereich der Strafbestimmungen ergibt sich gemäss dem (deklaratorischen) Vorbehalt in Art. 3 Abs. 2 Satz 2 DSG aus den Bestimmungen des Strafgesetzbuches.[35] Einschlägig sind Art. 3 ff. StGB, die auch für Übertretungen, wie sie das DSG vorsieht, gelten (Art. 104 StGB). Eine nach Art. 60 ff. DSG mit Strafe bedrohte Handlung ist daher in der Schweiz insbesondere[36] strafbar, wenn sie in der Schweiz begangen wurde (Art. 3 Abs. 1 StGB). Eine Tat gilt als dort begangen, wo der Täter sie ausführt, er pflichtwidrig untätig bleibt oder der Erfolg eingetreten ist (Art. 8 Abs. 1 StGB), weshalb auch im Ausland ausgeführte Tathandlungen in der Schweiz strafbar sein können.[37] Dabei gelten als Erfolgsorte nicht nur diejenigen Orte, wo der vom subjektiven Tatbestand erfasste Erfolg bei einem Erfolgs- oder Gefährdungsdelikt eintreten soll, sondern auch jene, an denen die geschützten Interessen bei Tätigkeitsdelikten verletzt oder gefährdet werden.[38]

Zu beachten ist allerdings, dass die Strafbestimmungen des DSG zumeist keine eigenständigen Tatbestände formulieren, sondern die vorsätzliche Verletzung bestimmter öffentlich-rechtlicher Vorgaben unter Strafe stellen.[39] Nachdem Art. 3 ff. StGB den räumlichen Anwendungsbereich der betreffenden öffentlich-rechtlichen Bestimmungen nicht zu erweitern vermögen, haben das Territorialitäts- und Auswirkungsprinzip Reflexwirkung auf den Anwendungsbereich der Strafbestimmungen.[40] Ist eine öffentlich-rechtliche Pflicht in einer bestimmten Situation räumlich nicht anwendbar, ist deren «Missachtung» auch dann nicht strafbar, wenn – allein nach Art. 3 ff. StGB beurteilt – der räumliche Anwendungsbereich der dazugehörigen Strafbestimmung eröffnet wäre.

Zwischenfazit

Die hier interessierenden Auskunfteien haben ihren Sitz in der Schweiz und bearbeiten zumindest vornehmlich im Inland Daten von Personen in der Schweiz. Vielfach wird daher kein internationales Verhältnis im Sinne des IPRG bestehen, sodass die privatrechtlichen Bestimmungen des DSG auf die Datenbearbeitungen der Auskunfteien ohne Weiteres anwendbar sind. Liegt ausnahmsweise ein internationaler Sachverhalt vor, genügt bereits der Sitz des Verantwortlichen in der Schweiz für die mögliche Anwendbarkeit des DSG, unabhängig davon, wo sich der Wohnsitz oder Aufenthaltsort der betroffenen Person oder der Ort der Datenbearbeitung befindet (vgl. Art. 2 Ziff. 1 LugÜ bzw. Art. 129 Abs. 1 IPRG und Art. 139 IPRG). Die schweizerischen Auskunfteien müssen daher auch in internationalen Verhältnissen mit der Anwendbarkeit der privatrechtlichen Bestimmungen des DSG rechnen.

Die hierzulande stattfindenden Datenbearbeitungen unterliegen kraft des Territorialitätsprinzips (auch) den öffentlich-rechtlichen Bestimmungen des DSG. Soweit die Auskunfteien hingegen ausnahmsweise Datenbearbeitungen im Ausland vornehmen, fragt sich, ob sich diese «in ausreichendem Mass auf das Territorium der Schweiz auswirken» (vgl. Art. 3 Abs. 1 DSG). Soweit diese Bearbeitungen Daten von Personen in der Schweiz betreffen, dürfte das nicht selten zu bejahen sein, nachdem die Auskunfteien systematisch verschiedenste Daten über eine Vielzahl betroffener Personen in der Schweiz beschaffen und weiterbearbeiten.

Die Anwendbarkeit der Strafbestimmungen lässt sich abschliessend nur im Einzelfall mit Blick auf den fraglichen Tatbestand beurteilen. Aufgrund des Sitzes der hier interessierenden Auskunfteien dürfte aber vielfach bereits der Handlungsort in der Schweiz liegen, z.B. wenn eine Auskunftei vorsätzlich falsch über ihre Datenbearbeitungen informiert (vgl. Art. 60 Abs. 1 lit. a i.V.m. Art. 19 DSG). Befindet sich der Handlungsort im Ausland, wird im Kontext des Kreditscorings oft der breit verstandene Erfolgsort in der Schweiz gegeben sein, zumal die betroffenen Personen, deren Daten die Auskunfteien für Kreditwürdigkeitsbeurteilungen bearbeiten, überwiegend ihren Wohnsitz in der Schweiz haben, und die Auskunfteien ihr Geschäft auf den schweizerischen Markt ausrichten.

Im europäischen Recht (DSGVO)

Die DSGVO ist in drei Konstellationen anwendbar,[41] wobei für die vorliegende Untersuchung das Niederlassungs- und das Marktortprinzip relevant sind (Art. 3 Abs. 1 bzw. Abs. 2 DSGVO). Nicht näher einzugehen ist auf die Anwendbarkeit der DSGVO auf Verarbeitungen durch einen nicht im EWR[42] niedergelassenen Verantwortlichen an einem Ort, der aufgrund Völkerrechts dem Recht eines EWR-Staates unterliegt (Art. 3 Abs. 3 DSGVO). Damit sollen etwa Botschaften und Konsulate sowie in einem EU-Staat registrierte Kreuzfahrtschiffe in internationalen Gewässern angesprochen werden.[43] Für schweizerische Auskunfteien ist die Bestimmung im Rahmen ihrer charakteristischen Geschäftstätigkeit jedenfalls unerheblich.

Niederlassungsprinzip

Damit die DSGVO kraft des Niederlassungsprinzips anwendbar ist, muss zum einen eine Niederlassung in einem EWR-Staat bestehen und zum anderen die fragliche Verarbeitung im Rahmen der Tätigkeit dieser Niederlassung erfolgen (Art. 3 Abs. 1 DSGVO). Eine Niederlassung setzt die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus, wobei deren Rechtsform, etwa als Zweigstelle oder Tochtergesellschaft, unerheblich ist (EG 22 DSGVO). Nach der Rechtsprechung des EuGH kann dafür ein einziger Vertreter des Verantwortlichen im EWR ausreichen, wenn der Vertreter mit einem ausreichenden Grad an Beständigkeit mit den für die Erbringung der fraglichen Dienstleistungen erforderlichen Mitteln tätig ist.[44]

Nimmt eine so verstandene Niederlassung eine Verarbeitung selbst vor, wird die Anwendbarkeit der DSGVO unstrittig sein.[45] Wann allerdings im Übrigen eine Verarbeitung im Rahmen der Tätigkeit einer Niederlassung erfolgt, lässt sich zuweilen nur schwer beurteilen, zumal die DSGVO eben auch anwendbar sein kann, wenn die Verarbeitung nicht im EWR stattfindet (Art. 3 Abs. 1 i.f. DSGVO). Nach der unter dem Vorgängererlass der DSGVO ergangenen Rechtsprechung des EuGH gilt ein weites Verständnis;[46] bereits eine untrennbare (wirtschaftliche) Verbindung zwischen der Verarbeitung und der Tätigkeit der Niederlassung genügt.[47]

Marktortprinzip

Die DSGVO kann auch auf die Datenverarbeitungen von Verantwortlichen ohne Niederlassung in einem EWR-Staat räumlich anwendbar sein. Das ist der Fall, wenn der Verantwortliche personenbezogene Daten von im EWR befindlichen Personen verarbeitet und diese Datenverarbeitung entweder im Zusammenhang mit einem Angebot von Waren oder Dienstleistungen an betroffene Personen im EWR oder mit der Verhaltensbeobachtung von betroffenen Personen im EWR steht (Art. 3 Abs. 2 DSGVO).

Ob sich die betroffene Person im EWR befindet, sodass das Marktortprinzip überhaupt greifen kann (vgl. Art. 3 Abs. 2 DSGVO), ist unabhängig von der Staatsangehörigkeit, dem Wohnsitz oder anderen Arten des rechtlichen Status der betroffenen Person.[48] Vielmehr genügt es, wenn sie sich zum Zeitpunkt der Datenverarbeitung im EWR aufhält.[49]

Angebot von Waren und Dienstleistungen

Die erste Alternative des Marktortprinzips setzt voraus, dass die Datenverarbeitungen im Zusammenhang mit einem gegenüber betroffenen Personen gemachten Angebot von Waren oder Dienstleistungen[50] erfolgen (Art. 3 Abs. 2 lit. a DSGVO). Nicht erfasst sind demnach Verarbeitungen im Zusammenhang mit einem Angebot an juristische Personen. Dies ergibt sich zum einen aus dem in dieser Hinsicht klaren Wortlaut und zum anderen würde sonst eine exorbitante Anwendbarkeit der DSGVO drohen.[51] Der Begriff des Angebots ist breit auszulegen und dürfte jede Tätigkeit erfassen, die den (potenziellen) Nachfragenden die Inanspruchnahme der Leistung näherbringt.[52]

EG 23 DSGVO stellt klar, dass der Verantwortliche zudem das Angebot an Personen im EWR offensichtlich beabsichtigen, also auf sie ausrichten, muss, und nennt einige dafür relevante Faktoren wie die Verwendung einer in einem EWR-Staat gebräuchlichen Sprache oder Währung oder die Erwähnung von im EWR befindlichen Kunden oder Nutzenden. Weitere Kriterien, die in der vorzunehmenden Gesamtbetrachtung zu berücksichtigen sind, ergeben sich aus der Rechtsprechung des EuGH[53] zur EuGVVO,[54] die der EDSA in seinen Leitlinien rezipiert hat.[55] Dazu zählen die Durchführung von Marketing- und Werbekampagnen im EWR, die Angabe spezieller Adressen oder Telefonnummern, die von einem EWR-Staat zu erreichen sind, oder die Verwendung einer Top-Level-Domain eines EWR-Staates wie «.de».

Beobachtung von Verhalten

Die zweite Alternative des Marktortprinzips verlangt, dass die Datenverarbeitungen im Zusammenhang mit der Beobachtung des Verhaltens betroffener Personen im EWR erfolgen (Art. 3 Abs. 2 lit. b DSGVO). Unter einer Beobachtung lässt sich das Erheben und Sammeln personenbezogener Daten verstehen, die Aufschluss über das Verhalten natürlicher Personen geben sollen.[56] Eine solche Beobachtung erfordert eine gewisse Zielgerichtetheit; sie muss etwa auf eine spätere Verhaltensanalyse oder die Anwendung von Profiling-Techniken ausgerichtet sein.[57]

Obwohl EG 24 DSGVO das beobachtete Verhalten (vermeintlich) auf Internetaktivitäten beschränkt, ist auch die Beobachtung von Offline-Verhalten erfasst, zumal dem Wortlaut von Art. 3 Abs. 2 lit. b DSGVO keine entsprechende Einschränkung zu entnehmen ist und die DSGVO generell technologieneutral ausgestaltet ist.[58] Dies veranschaulichen auch die Beispiele der Leitlinien des EDSA, die unter anderem die Verwendung von Überwachungskameras oder die regelmässige Meldung über den Gesundheitszustand einer Person nennen.[59] Letzteres Beispiel zeigt ausserdem, dass sich die punktuelle, aber wiederkehrende Einholung von Informationen (auch nur aus einem bestimmten Bereich) über eine gewisse Dauer zu einer Beobachtung verdichten kann.

Zwischenfazit

Die DSGVO ist auf Datenverarbeitungen schweizerischer Auskunfteien im Rahmen ihrer charakteristischen Geschäftstätigkeit (zumindest) nicht aufgrund des Niederlassungsprinzips anwendbar (vgl. Art. 3 Abs. 1 DSGVO). Die Auskunfteien sind zwar (teilweise) in einen internationalen Konzern eingebunden und verfügen entsprechend über ausländische Schwester- und/oder Muttergesellschaften (im EWR), die als Niederlassungen im Sinne der DSGVO qualifizieren dürften. Die von den schweizerischen Auskunfteien für ein Kreditscoring vorgenommenen Datenverarbeitungen werden indessen im Rahmen der Tätigkeit ihrer eigenen Niederlassung in der Schweiz stattfinden. Auch in einem internationalen Konzern weisen diese Datenverarbeitungen an sich keinen Bezug zur Tätigkeit einer Gesellschaft oder anderweitigen Niederlassung im EWR auf.

Eine Anwendbarkeit gemäss dem Marktortprinzip fällt insoweit in Betracht, als die Auskunfteien nach eigenen Angaben[60] zumindest vereinzelt auch Daten von im EWR befindlichen natürlichen Personen (für das Kreditscoring) verarbeiten. Zwar bieten die Auskunfteien ihre Kreditwürdigkeitsbeurteilungen Kreditgeberinnen an, bei denen es sich zumeist um juristische Personen handelt. Im Übrigen lässt sich aber nicht ausschliessen, dass die Verarbeitungen der Daten einer im EWR befindlichen betroffenen Person als im Zusammenhang stehend mit dem Angebot an die (andere) natürliche Person zu betrachten sind, für welche die Auskunftei das Kreditscoring vornimmt. Allerdings richten die schweizerischen Auskunfteien ihr Angebot soweit ersichtlich kaum im erforderlichen Masse auf den EWR aus. Das entsprechende (ausgerichtete) Angebot werden gegebenenfalls die dazugehörigen Konzerngesellschaften im EWR übernehmen. Aus diesen Gründen dürfte die DSGVO kraft dessen Art. 3 Abs. 2 lit. a nicht Anwendung finden.

Demgegenüber kann die DSGVO aufgrund einer Verhaltensbeobachtung anwendbar sein. Die schweizerischen Auskunfteien beschaffen nämlich für das Kreditscoring fortlaufend Informationen über Adresswechsel, das Zahlungsverhalten, Inkassofälle etc. von betroffenen Personen. Diese Informationen verdichten sich über die Zeit zu einem immer umfassenderen und aussagekräftigeren Bild über diese Personen, in der Absicht, dass die Auskunfteien im Rahmen des Kreditscorings die Kreditwürdigkeit bzw. die wirtschaftliche Lage und Zuverlässigkeit der betroffenen Personen möglichst genau beurteilen können. Sofern sich diese Daten auf im EWR befindliche Personen und deren dortiges Verhalten beziehen, kann demnach durchaus eine Verhaltensbeobachtung i.S.v. Art. 3 Abs. 2 lit. b DSGVO vorliegen.

Im Übrigen kann die DSGVO auch deshalb relevant sein, weil sich eine Auskunftei zur Einhaltung der DSGVO (gegenüber den Kreditgeberinnen) vertraglich verpflichtet oder sie sich diese Vorgabe etwa als Teil eines internationalen Konzerns selbst auferlegt hat.

SHK-DSG Rudin, Art. 3 N 2; vgl. auch BSK DSG-Isler, Art. 3 N 4. ↵

SHK-DSG Rudin, Art. 3 N 2; vgl. auch BJ, Totalrevision, S. 35; Rosenthal, Jusletter 2020, Rn. 91. ↵

Zum DSG vgl. OFK DSG-Dal Molin/Wesiak-Schmidt, Art. 3 N 6; BSK DSG-Isler, Art. 3 N 6 f., der allerdings (vorab) auf die modale Theorie abstellen will; a.M. PC LPD-Francey, Art. 3 N 2, der darauf abstellen will, wer die Verletzung des DSG vorbringt; zum aDSG Passadelis, in: Passadelis et al., Rn. 6.9. ↵

Die Theorien grenzen, etwas verkürzt formuliert, die Rechtsgebiete anhand folgender Fragen ab (vgl. statt vieler Dubey/Zufferey, Rn. 203; Häfelin et al., Rn. 223 ff.; Tschannen et al., Rn. 368): Besteht ein Hoheitsverhältnis oder begegnen sich gleichgeordnete Rechtsubjekte (Subordinationstheorie)? Geht es um die Verwirklichung bzw. den Schutz öffentlicher oder privater Interessen (Interessentheorie)? Regelt die Bestimmung unmittelbar eine öffentliche Aufgabe oder nicht (Funktionstheorie)? Ist die Sanktion, welche an die Verletzung der Norm geknüpft ist, öffentlich-rechtlicher oder privatrechtlicher Natur (modale Theorie)? ↵

Vgl. statt vieler BGE 138 II 134 E. 4.1; BGE 137 II 399 E. 1.1; BGE 132 I 270 E. 4.3. ↵

Zum DSG OFK DSG-Dal Molin/Wesiak-Schmidt, Art. 3 N 19; vgl. auch BSK DSG-Isler, Art. 3 N 11; zum aDSG Passadelis, in: Passadelis et al., Rn. 6.10. ↵

Zum DSG OFK DSG-Dal Molin/Wesiak-Schmidt, Art. 3 N 6 und 20; Rosenthal, Jusletter 2020, Rn. 90 f.; zum aDSG vgl. Passadelis, in: Passadelis et al., Rn. 6.11 ff. ↵

Zum DSG OFK DSG-Dal Molin/Wesiak-Schmidt, Art. 3 N 21 f.; zum aDSG HK aDSG-Rosenthal, Art. 139 IPRG N 3; vgl. auch Bucher, S. 4. ↵

Zum DSG BSK DSG-Isler, Art. 3 N 34; zum aDSG vgl. HK aDSG-Rosenthal, Art. 139 IPRG N 3; Passadelis, in: Passadelis et al., Rn. 6.24. ↵

Das zuständige Gericht bestimmt das anwendbare Sachrecht (z.B. das DSG) nach Massgabe seines eigenen Kollisionsrechts (z.B. des IPRG). Damit also das IPRG für die Bestimmung des anwendbaren Rechts relevant ist, muss ein schweizerisches Gericht international zuständig sein (vgl. statt vieler Kren Kostkiewicz, Internationales Privatrecht, Rn. 406 f.; Markus, Rn. 40). ↵

Meier, Rn. 1849; Passadelis, in: Passadelis et al., Rn. 6.19; zu Art. 5 Ziff. 3 LugÜ vgl. BSK LugÜ-Hofmann/Kunz, Art. 5 N 475; zu Art. 129 IPRG vgl. BSK IPRG-Rodriguez et al., Art. 129 N 6. ↵

Der Wohnsitz im Sinne des LugÜ bestimmt sich bei natürlichen Personen nach der kollisionsrechtlichen Regel in Art. 59 LugÜ; der «Wohnsitz» von Gesellschaften und juristischen Personen regelt Art. 60 LugÜ, wonach dieser sich an ihrem satzungsmässigen Sitz, ihrer Hauptverwaltung oder ihrer Hauptniederlassung befindet. ↵

Die Gerichtsstände nach Art. 5 Ziff. 3 und Art. 2 Ziff. 1 LugÜ stehen alternativ zur Verfügung (BSK LugÜ-Hofmann/Kunz, Art. 5 N 448; BSK IPRG-Rodriguez et al., Art. 129 N 35). ↵

Mit dem «Ort, an dem das schädigende Ereignis eingetreten ist oder einzutreten droht» meint das LugÜ den Handlungs- und den Erfolgsort (statt vieler EuGH, RS. 21/76 vom 30. November 1976, Bier, Ziff. 15/19; BGE 145 III 303 E. 4; BGE 133 III 282 E. 4.1). ↵

Als Vertragsstaaten des LugÜ gelten die Mitgliedstaaten der EU, Island, Norwegen und die Schweiz (vgl. LugÜ Geltungsbereich am 3. März 2011). ↵

BSK IPRG-Rodriguez et al., Art. 129 N 35; vgl. auch BGE 135 III 185 E. 3.3. Art. 129 IPRG gilt auch für Klagen zur Durchsetzung des Auskunfts- oder Einsichtsrechts im Zusammenhang mit der Bearbeitung von Personendaten (Art. 130a IPRG). ↵

Zum Handlungs- und Erfolgsort i.S.v. Art. 129 IPRG vgl. statt vieler Botschaft Totalrevision DSG, S. 7125 f.; OFK IPRG/LugÜ-Kren Kostkiewicz, Art. 129 N 13 ff.; BSK IPRG-Rodriguez et al., Art. 129 N 13 ff. ↵

Im Bereich des Datenschutzrechts hat die Schweiz keine völkerrechtlichen Verträge mit Kollisionsnormen geschlossen, die nach Art. 1 Abs. 2 IPRG dem IPRG vorgehen würden (BSK IPRG-Dasser/Dal Molin, Art. 139 N 47; vgl. auch Meier, Rn. 1848). ↵

«Geschädigter» meint hier die «betroffene Person» (vgl. BSK IPRG-Dasser/Dal Molin, Art. 139 N 47; HK aDSG-Rosenthal, Art. 139 IPRG N 10). ↵

Die in Art. 139 Abs. 1 IPRG uneinheitlich verwendeten Begriffe «Urheber der Verletzung» und «Schädiger» bedeuten dasselbe (BSK IPRG-Dasser/Dal Molin, Art. 139 N 15) und meinen hier die (für die Persönlichkeitsverletzung) verantwortliche bzw. auskunftspflichtige Person (vgl. HK aDSG-Rosenthal, Art. 139 IPRG N 10; ferner Botschaft DSG 1988, S. 489, die vom «Bearbeiter» spricht). ↵

Zum Erfolgsort i.S.v. Art. 139 IPRG vgl. statt vieler Botschaft Totalrevision DSG, S. 7126 f.; BSK IPRG-Dasser/Dal Molin, Art. 139 N 17 ff.; OFK IPRG/LugÜ-Kren Kostkiewicz, Art. 129 N 3. ↵

BVGer, A-7040/2009 vom 30. März 2011, E. 5.5.2. ↵

BSK IPRG-Dasser/Dal Molin, Art. 139 N 25 und 53 m.w.H.; HK aDSG-Rosenthal, Art. 139 IPRG N 14. ↵

HK aDSG-Rosenthal, Art. 139 IPRG N 18; Winterberger-Yang, Art. 130/139 N 15 m.w.H.; a.M. BSK IPRG-Dasser/Dal Molin, Art. 139 N 55; offen gelassen in BVGer, A-7040/2009 vom 30. März 2011, E. 5.5.2. ↵

Dieses Prinzip galt schon unter dem aDSG, das gar keine Bestimmung zu seinem räumlichen Anwendungsbereich enthielt (vgl. BGE 138 II 346 E. 3.2; BVGer, A‑3144/2008 vom 27. Mai 2009, E. 4.2; Normkonzept Revision DSG, S. 14). ↵

Vgl. Dubey/Zufferey, Rn. 343; Häfelin et al., Rn. 310; Tschannen et al., Rn. 535. ↵

Zum DSG PC LPD-Francey, Art. 3 N 5 f.; CR LPD-Métille/Di Tria, Art. 3 N 19; a.M. BSK DSG-Isler, Art. 3 N 19 f., wonach (analog zum Niederlassungsprinzip in Art. 3 Abs. 1 DSGVO) auf das Kriterium einer Betriebsstätte in der Schweiz abzustellen sei; zum aDSG BVGer, A‑7040/2009 vom 30. März 2011, E. 5.4.1, bestätigt in BGE 138 II 346 E. 3.2; vgl. auch Thalmann, S. 341. ↵

PC LPD-Francey, Art. 3 N 5; Rosenthal, Jusletter 2020, Rn. 89; vgl. auch CR LPD-Métille/Di Tria, Art. 3 N 22. ↵

In der Lehre wird die bundesgerichtliche Rechtsprechung (BGE 133 II 331 E. 6.1), wonach das Auswirkungsprinzip eine Ausprägung des Territorialitätsprinzips darstelle und auch ohne eindeutige gesetzliche Grundlage gelte, vereinzelt verworfen (Häfelin et al., Rn. 313). Nachdem sich der Gesetzgeber aber für die ausdrückliche gesetzliche Verankerung des Auswirkungsprinzips entschieden hat, steht dessen Geltung für das DSG ausser Frage. ↵

BGE 133 II 331 E. 6.1 zum Entzug des schweizerischen Führerausweises wegen Verletzung von Verkehrsregeln im Ausland. ↵

Normkonzept Revision DSG, S. 14; Rosenthal, Jusletter 2020, Rn. 88; van Beek, S. 189 f.; vgl. auch Häfelin et al., Rn. 311; Tschannen et al., Rn. 537. ↵

Rosenthal, Jusletter 2020, Rn. 88; vgl. auch Fanger, Rn. 12, wonach allerdings potenzielle Eingriffe «wohl nicht reichen»; Steiner, S. 91 und 93. ↵

Rosenthal, Jusletter 2020, Rn. 88; vgl. auch Fanger, Rn. 12; BSK DSG-Isler, Art. 3 N 26; a.M. CR LPD-Métille/Di Tria, Art. 3 N 29, die das aus Art. 30 DSG ableiten wollen, obwohl es sich dabei um eine privatrechtliche Bestimmung handelt. ↵

BGE 138 II 346 E. 3.3; Botschaft Totalrevision DSG, S. 7017. ↵

BSK DSG-Isler, Art. 3 N 54; vgl. auch BJ, Totalrevision, S. 35. ↵

Daneben können die Strafbestimmungen etwa auch kraft Art. 7 Abs. 1 StGB, des passiven Personalitätsprinzips, anwendbar sein, also wenn ein Täter im Ausland Rechtsgüter schweizerischer Staatsangehöriger verletzt (vgl. BSK DSG-Isler, Art. 3 N 54; SHK DSG-Rudin, Art. 3 N 16). ↵

OFK DSG-Dal Molin/Wesiak-Schmidt, Art. 3 N 28; vgl. auch OFK DSG-Simmler, Vorbem. Art. 60 ff. N 19. ↵

BSK DSG-Isler, Art. 3 N 54; vgl. auch BGE 141 IV 336 E. 1.1; OFK DSG-Simmler, Vorbem. Art. 60 ff. N 20, wonach das geschützte Rechtsgut in der Schweiz zumindest abstrakt gefährdet worden sein müsse. ↵

BSK DSG-Isler, Art. 3 N 55; vgl. auch OFK DSG-Simmler, Vorbem. Art. 60 ff. N 21. ↵

BSK DSG-Isler, Art. 3 N 55; vgl. auch OFK DSG-Simmler, Vorbem. Art. 60 ff. N 21; SHK DSG-Wohlers, Vorbem. Art. 60 ff. N 11. ↵

Verweist Art. 139 Abs. 3 IPRG auf die DSGVO, so ist sie dennoch nicht anwendbar, wenn sie nach ihrem Art. 3 nicht auf die fragliche Verarbeitung angewendet sein will (BSK IPRG-Dasser/Dal Molin, Art. 139 N 63; BSK DSG-Isler, Art. 3 N 47). ↵

Die DSGVO ist nicht nur auf die Mitgliedstaaten der EU, sondern auch die übrigen Staaten des Europäischen Wirtschaftsraums (EWR), also Island, Liechtenstein und Norwegen, anwendbar (vgl. EWR-Abkommen, Anhang XI, Ziff. 5e). ↵

Vgl. EG 25 DSGVO; EDSA, Leitlinien räumlicher Anwendungsbereich, S. 26. Allerdings dürfte in den angesprochenen Konstellationen auch eine Niederlassung i.S.v. Art. 3 Abs. 1 DSGVO vorliegen (Henseler/Tamò-Larrieux, in: Kosta/Leenes, S. 309 f.; Jervis, S. 108 ff.). ↵

EuGH, Rs. C-230/14 vom 1. Oktober 2015, Weltimmo, Ziff. 30 ff., wo als Niederlassung ausreichte, dass im fraglichen Staat ein im Handelsregister aufgeführter Vertreter auftrat, der mit Kunden in Kontakt stand und den Verantwortlichen vor Behörden und Gerichten vertrat, und ein Bankkonto für die Geschäftsabwicklung sowie ein Postfach bestand; vgl. auch EuGH, Rs. C-191/15 vom 28. Juli 2016, Verein für Konsumenteninformation, Ziff. 75 ff. ↵

Vgl. EDSA, Leitlinien räumlicher Anwendungsbereich, S. 8; Klar, in: Kühling/Buchner, Art. 3 N 55. ↵

Die Rechtsprechung des EuGH zu Art. 4 Abs. 1 DSRL ist auch für die Auslegung von Art. 3 Abs. 1 DSGVO massgebend (EDSA, Leitlinien räumlicher Anwendungsbereich, S. 8; Henseler/Tamò-Larrieux, in: Kosta/Leenes, S. 298; Piltz, in: Gola/Heckmann, Art. 3 N 9; a.M. Hornung, in: Simitis et al., Art. 3 N 30; Klar, in: Kühling/Buchner, Art. 3 N 59). Dieser Ansicht dürfte jedenfalls auch der EuGH sein (vgl. EuGH, Rs. C-507/17 vom 24. September 2019, Google [Räumliche Reichweite der Auslistung], Ziff. 48 ff.). ↵

EuGH, Rs. C-131/12 vom 13. Mai 2014, Google Spain, Ziff. 55 ff., wonach die Verarbeitungen des US-amerikanischen Suchmaschinenbetreibers Google Inc. im Rahmen der Werbetätigkeit der spanischen Google Spain SL erfolgen würden, da die Werbung die Suchmaschine wirtschaftlich rentabel mache und umgekehrt die Suchmaschine die Durchführung der Werbetätigkeit erst ermögliche; vgl. auch EDSA, Leitlinien räumlicher Anwendungsbereich, S. 8 f. ↵

EDSA, Leitlinien räumlicher Anwendungsbereich, S. 16 f.; Henseler/Tamò-Larrieux, in: Kosta/Leenes, S. 304; Klar, in: Kühling/Buchner, Art. 3 N 64. ↵

Vgl. Hornung, in: Simitis et al., Art. 3 N 42; Klar, in: Kühling/Buchner, Art. 3 N 63; ferner EDSA, Leitlinien räumlicher Anwendungsbereich, S. 17. ↵

Es bietet sich an, Waren und Dienstleistungen gleich wie unter der RL 2006/123/EG bzw. dem AEUV und damit breit zu verstehen (Klar, in: Kühling/Buchner, Art. 3 N 71; von Lewinski, in: Auernhammer, Art. 3 N 13). ↵

BSK DSG-Vasella, Einleitung N 48 ff.; vgl. auch Ruggli/Ruggli, S. 48 f., mit Verweis auf den Wortlaut; ferner EDSA, Leitlinien räumlicher Anwendungsbereich, S. 18 ff., der lediglich Angebote an natürliche Personen thematisiert. ↵

BSK DSG-Vasella, Einleitung N 45; vgl. auch Klar, in: Kühling/Buchner, Art. 3 N 66. ↵

EuGH, Rs. C-585/08 und C-144/09 vom 7. Dezember 2010, Pammer und Hotel Alpenhof, Ziff. 81 und 83. ↵

Unter der EuGVVO, der Verordnung der EU über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen, stellen sich analoge Fragen bei der Zuständigkeit in Verbrauchersachen (vgl. Art. 17 Abs. 1 lit. c EuGVVO). ↵

EDSA, Leitlinien räumlicher Anwendungsbereich, S. 20 f. ↵

EDSA, Leitlinien räumlicher Anwendungsbereich, S. 23; Henseler/Tamò-Larrieux, in: Kosta/Leenes, S. 308. ↵

EDSA, Leitlinien räumlicher Anwendungsbereich, S. 23; Piltz, in: Gola/Heckmann, Art. 3 N 33 f.; vgl. auch EG 24 DSGVO; Klar, in: Kühling/Buchner, Art. 3 N 96. ↵

EDSA, Leitlinien räumlicher Anwendungsbereich, S. 23; Henseler/Tamò-Larrieux, in: Kosta/Leenes, S. 308; Van Alsenoy, S. 88; a.M. Klar, in: Kühling/Buchner, Art. 3 N 92 f. ↵

EDSA, Leitlinien räumlicher Anwendungsbereich, S. 23. ↵

Ergebnis eigene Umfrage. ↵

XIII

Datenschutzrechtliche Rollen

16

Im Allgemeinen

Das DSG und die DSGVO unterscheiden verschiedene Rollen, indem sie der «betroffenen Person» zu ihrem Schutz spezifische Rechte einräumen und zu demselben Zweck dem «Verantwortlichen» bzw. dem «Auftragsbearbeiter»[1] verschiedene Vorgaben machen und Pflichten auferlegen. Dabei bezeichnen beide Erlasse als betroffene Person jene natürliche Person, über die Personendaten bearbeitet werden (Art. 5 lit. b DSG; vgl. Art. 4 Ziff. 1 DSGVO).

Wer allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet, ist ein Verantwortlicher (Art. 5 lit. j DSG; Art. 4 Ziff. 7 DSGVO).[2] Das DSG hat den Begriff des (gemeinsam) Verantwortlichen aus dem europäischen Recht, also unter anderem aus der Konv. 108+ und der DSGVO, übernommen.[3] Dementsprechend sind die Begriffe übereinstimmend zu verstehen und lässt sich zur Auslegung von Art. 5 lit. j DSG auch die Lehre und Praxis zur DSGVO heranziehen.[4] Der hier relevante Zweck betrifft nicht nur die Frage, weshalb eine Bearbeitung erfolgt, sondern auch jene, ob überhaupt eine stattfindet.[5] Unter den Mitteln sind die wesentlichen[6] Parameter der Bearbeitung zu verstehen, namentlich die Art der bearbeiteten Daten, die Bearbeitungsdauer und die Empfängerkategorien, also nicht nur die eingesetzte Informationstechnologie.[7]

Entscheiden zwei Akteure gemeinsam über den Zweck und die Mittel einer Bearbeitung, sind sie gemeinsam Verantwortliche (vgl. Art. 5 lit. j DSG; Art. 4 Ziff. 7 und Art. 26 DSGVO). Gemäss Rechtsprechung des EuGH kann der «Zweck» in einem oder mehreren gemeinsamen Zwecken liegen oder aus verbundenen, also sich gegenseitig bedingenden oder miteinander verknüpften Zwecken bestehen.[8] In letzterem Fall ist allerdings erforderlich, dass jeder Akteur ein eigenes Interesse an der konkreten fraglichen Bearbeitung hat.[9] Gemeinsam Verantwortliche müssen nicht sämtliche Entscheide über Zweck und Mittel gemeinsam treffen und einen gleich grossen Einfluss auf deren Bestimmung haben.[10] Allerdings genügt es nicht, wenn ein Akteur nur über den Zweck oder nur über die Mittel einer Datenbearbeitung entscheidet.[11]

Wer Daten im Auftrag des Verantwortlichen bearbeitet, bezeichnen die beiden Datenschutzerlasse als Auftragsbearbeiter (Art. 5 lit. k DSG; Art. 4 Ziff. 8 DSGVO). Wie sich e contrario aus der Legaldefinition des Verantwortlichen ergibt, charakterisieren sich die Bearbeitungen des Auftragsbearbeiters dadurch, dass sie nicht dessen eigenen Zwecken dienen und nicht von ihm bestimmten wesentlichen Rahmenbedingungen folgen.[12] Anders als der Verantwortliche[13] muss der Auftragsbearbeiter selbst Daten bearbeiten.[14] Auch hier ist von einem übereinstimmenden Verständnis in DSG und DSGVO auszugehen, nachdem das schweizerische Recht den Begriff aus dem europäischen Recht übernommen hat.[15]

Nachdem die DSGVO von «Verarbeitung» statt «Bearbeitung» spricht, nennt sie den «Auftragsbearbeiter» folgerichtig «Auftragsverarbeiter». ↵

Unter dem DSG kommen angesichts dessen persönlichen Anwendungsbereichs (vgl. Art. 2 Abs. 1 DSG) private Personen oder Bundesorgane als Verantwortliche in Frage. Die DSGVO zieht als Verantwortlichen eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stellen in Betracht. ↵

Botschaft Totalrevision DSG, S. 6971 und 7023; vgl. auch Erläuternder Bericht VE‑DSG, S. 44 f. ↵

BSK DSG-Blechta et al., Art. 5 N 187; PC LPD-Jacot-Guillarmod, Art. 5 N 57; vgl. auch OFK DSG-Lezzi, Art. 5 lit. j N 3. ↵

Zum DSG und zur DSGVO Rosenthal, Jusletter 2019, Rn. 16; zum DSG PC LPD-​Jacot-​Guillarmod, Art. 5 N 62; zur DSGVO Hartung, in: Kühling/Buchner, Art. 4 Ziff. 7 N 13. ↵

Entscheidend sind nur die Rahmenbedingungen, die in engem Zusammenhang mit dem Zweck und dem Umfang der Bearbeitung stehen, nicht hingegen die unwesentlichen Rahmenbedingungen wie die technischen und organisatorischen Massnahmen zugunsten der Datensicherheit (zum DSG PC LPD-Jacot-Guillarmod, Art. 5 N 64; zur DSGVO EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter, Rn. 40). ↵

Zum DSG PC LPD-Jacot-Guillarmod, Art. 5 N 64; OFK DSG-Lezzi, Art. 5 lit. j N 14; zur DSGVO EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter, Rn. 40; Lang, in: Taeger/Gabel, Art. 26 N 43. ↵

Zur DSGVO EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter, Rn. 59 f.; zur DSRL vgl. EuGH, Rs. C-40/17 vom 29. Juli 2019, Fashion ID, Ziff. 80; EuGH, Rs. C-210/16 vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, Ziff. 34. ↵

Zur DSGVO vgl. EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter, Rn. 60 f.; zur DSRL vgl. EuGH, Rs. C-40/17 vom 29. Juli 2019, Fashion ID, Ziff. 80; EuGH, Rs. C‑25/17 vom 10. Juli 2018, Jehovan todistajat, Ziff. 68. ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 187; PC LPD-Jacot-Guillarmod, Art. 5 N 66; zur DSGVO EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter, Rn. 54 ff.; Schneider R., S. 70. ↵

Zum DSG und zur DSGVO a.M. Rosenthal, Jusletter 2019, Rn. 11; zum DSG CR LPD-Meier/Tschumy, Art. 5 N 108; vgl. auch PC LPD-Jacot-Guillarmod, Art. 5 N 66; zur DSGVO EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter, Rn. 36 und 53; Piltz, in: Gola/Heckmann, Art. 26 N 4; a.M. Hartung, in: Kühling/Buchner, Art. 26 N 16 und 18. ↵

Zum DSG PC LPD-Jacot-Guillarmod, Art. 5 N 70; OFK DSG-Lezzi, Art. 5 lit. k N 4; zur DSGVO Hartung, in: Kühling/Buchner, Art. 4 Ziff. 8 N 6 f.; vgl. auch Gola, in: Gola/Heckmann, Art. 4 N 88. ↵

Ein Verantwortlicher muss nicht über Zugang zu den fraglichen Daten verfügen (zur DSRL EuGH, Rs. C-210/16 vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, Ziff. 38; EuGH, Rs. C-25/17 vom 10. Juli 2018, Jehovan todistajat, Ziff. 69; EuGH, Rs. C-40/17 vom 29. Juli 2019, Fashion ID, Ziff. 69). Dementsprechend ist unerheblich, ob er selbst Daten bearbeitet (zum DSG und zur DSGVO Rosenthal, Jusletter 2019, Rn. 12 und 40; zum DSG CR LPD-Meier/Tschumy, Art. 5 N 108; zur DSGVO Schneider R., S. 52). ↵

Zum DSG PC LPD-Jacot-Guillarmod, Art. 5 N 69; vgl. auch Art. 5 lit. k DSG; zur DSGVO EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter, Rn. 79; vgl. auch Art. 4 Ziff. 8 DSGVO. ↵

Botschaft Totalrevision DSG, S. 7023; vgl. auch Erläuternder Bericht VE-DSG, S. 45; BSK DSG-Blechta et al., Art. 6 N 200. ↵

17

Bei Kreditwürdigkeitsprüfungen im Besonderen

Im hier interessierenden Kontext stellt zumeist die kreditinteressierte Person die betroffene Person dar; ihre Daten bearbeitet die Auskunftei zum Zweck der Kreditwürdigkeitsbeurteilung, etwa im Rahmen der Berechnung des Kreditscores. Zuweilen bearbeitet die Auskunftei (im Rahmen ihrer charakteristischen Geschäftstätigkeit) allerdings auch Daten von natürlichen Personen, von denen nicht das zu beurteilende kreditorische Risiko ausgeht, also von Dritten.

Für die vorliegende Untersuchung interessiert die Rolle der Auskunftei, insbesondere in Bezug auf die Berechnung des Kreditscores. In dieser Phase bestimmt die Auskunftei, welche Daten sie wie lange, mit welcher Gewichtung und anhand welches Kreditscoring-Modells bearbeitet. Das Modell behandelt die Auskunftei als Geschäftsgeheimnis,[1] und die Kreditgeberin hat (entsprechend) zumindest üblicherweise keinen Einfluss auf die genannten Parameter.[2] Über das Ob und das Warum entscheidet die Auskunftei ebenfalls, wobei sich behaupten lässt, dass die Kreditgeberin diese Aspekte mitbestimmt, nachdem sie mit ihrer Anfrage den Grund für die konkrete Berechnung des Kreditscores setzt. Da die Auskunftei aber zumindest allein über die wesentlichen Mittel der Datenbearbeitung entscheidet, qualifiziert sie als alleinige Verantwortliche, also auch nicht als Auftragsbearbeiterin.[3]

Mit der Bekanntgabe des Kreditscores an die Kreditgeberin endet der Einfluss der Auskunftei. Die Kreditgeberin bestimmt anschliessend allein, ob und gegebenenfalls inwiefern sie den Kreditscore für einen Kreditentscheid verwendet, etwa ob der Kreditscore ausschliesslich entscheidend ist, sie weitere Kriterien heranzieht oder eine weitere (manuelle) Prüfung der Kreditwürdigkeit erfolgt. Die entsprechenden internen Vorgaben und Praktiken einer Kreditgeberin sind der Auskunftei zuweilen gar nicht bekannt und spielen für sie grundsätzlich keine Rolle. Zudem hat die Auskunftei höchstens ein abstraktes Interesse an der Verwendung des Kreditscores, nämlich ihren Absatz und Marktanteil zu verbessern; über ein eigenes Interesse an konkreten weiteren Bearbeitungen des Kreditscores verfügt sie nicht.[4] Vor diesem Hintergrund qualifiziert die Auskunftei nicht als Verantwortliche[5] hinsichtlich der Nutzung des Kreditscores (und der anderen Datenbearbeitungen nach dessen Bekanntgabe).[6]

Die Qualifikation der Auskunftei als alleinige Verantwortliche für die Berechnung des Kreditscores und dieselbe Qualifikation der Kreditgeberin für die Nutzung des Kreditscores dürfte im Übrigen auch der Ansicht des EuGH entsprechen. Anlässlich der Verhandlung der später zu betrachtenden Rechtssache zum Kreditscoring der deutschen Auskunftei SCHUFA wurde das Thema einer allfälligen gemeinsamen Verantwortlichkeit zwischen der Auskunftei und der Kreditgeberin auf entsprechende schriftliche Frage des Gerichts hin besprochen. Die sich gegenüberstehenden Parteien, die Auskunftei und die EU-Kommission, waren sich dabei einig, dass eine Kette voneinander unabhängiger Verarbeitungstätigkeiten vorliege; jedenfalls die Berechnung des Kreditscores einerseits und der darauf abstützende Kreditentscheid andererseits seien hinsichtlich der Verantwortlichkeit zu trennen.[7] Im anschliessend erlassenen Urteil griff der EuGH die Frage nicht weiter auf, sprach aber jedenfalls nicht von einer gemeinsamen Verantwortlichkeit von Auskunftei und Kreditgeberin.[8]

Nachdem der Auskunftei also hinsichtlich der hier interessierenden Datenbearbeitungen die Rolle eines Verantwortlichen zukommt, bedient sich die vorliegende Untersuchung im Folgenden dieses Begriffs, und zwar zuweilen auch dann, wenn sich die betreffende Äusserung auch auf einen Auftragsbearbeiter beziehen liesse. Dies dient sowohl der Einfachheit als auch der besseren Lesbarkeit.

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 16. ↵

Macht die Kreditgeberin der Auskunftei für die Berechnung des Kreditscores individuelle Vorgaben, bleibt die Auskunftei eine Verantwortliche. Allerdings dürfte sodann eine gemeinsame Verantwortlichkeit mit der Kreditgeberin vorliegen (zur DSGVO Overbeck, S. 292). ↵

Zum aDSG vgl. Cellina/Geissbühler, Jusletter 2015, Rz. 11 f.; HK aDSG-Rosenthal, Art. 10a N 14; zur DSGVO Overbeck, S. 77 f.; vgl. auch Häuselmann, ECJ, o.S.; Strassemeyer, S. 104; Thüsing et al., RDV 2023, S. 85; a.M. wohl Hense, S. 194, der (im Falle einer automatisierten Entscheidung) von einer gemeinsamen Verantwortlichkeit ausgeht; vgl. auch Kremer, Rn. 12, den nicht überraschen würde, wenn der EuGH von einer gemeinsamen Verantwortlichkeit ausgehen würde. ↵

Zur DSGVO vgl. Paal, ZfDR 2023, S. 133. ↵

Die Bestimmungen über die automatisierten Entscheidungen (vgl. insb. Art. 21 DSG; Art. 22 DSGVO), die für die Nutzung des Kreditscores relevant sind, knüpfen ebenfalls an den «Verantwortlichen» an. Ob dieser Begriff indes gleich wie in dessen Legaldefinition zu verstehen ist und ob die Auskunftei diesen Bestimmungen untersteht, ist später zu besprechen (vgl. dazu unten Teil 4, E.III.). ↵

Zur DSGVO vgl. Strassemeyer, S. 104; Ziegenhorn, Rn. 17; ferner Kalchev, S. 440, der von einer (der Lieferung des Kreditscores) nachgelagerten Verarbeitung in einer Verarbeitungskette spricht und dafür eine gemeinsame Verantwortlichkeit mangels gemeinsamer Entscheidung über Zweck und Mittel ausschliesst. ↵

Zur DSGVO berichtend Häuselmann, ECJ, o.S.; gl.M. Strassemeyer, S. 104. Ähnlich klingt auch der EDÖB, Tätigkeitsbericht 2007/2008, S. 77, wenn er in Bezug auf das Verhältnis zwischen Gläubigerinnen, Inkassounternehmen und Auskunfteien von einer «Datenbearbeitungskette mit mehreren datenschutzrechtlich eigenverantwortlichen Akteuren» spricht. Es handelt sich dabei indes um eine Äusserung zum aDSG, bei der es nicht primär um die datenschutzrechtliche Rollenverteilung, sondern generell den Umgang mit Bonitätsdaten ging. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 40 ff. ↵

XIV

Rechtmässigkeit

18

Erlaubnisprinzip vs. Verbotsprinzip

Inhalt der unterschiedlichen Konzepte

Das DSG und die DSGVO weisen einen zentralen konzeptionellen Unterschied auf. Während das DSG für private Personen von einem Erlaubnisprinzip mit Verbotsvorbehalt geprägt ist,[1] gilt im Rahmen der DSGVO ein Verbotsprinzip mit Erlaubnisvorbehalt.[2]

Das DSG erlaubt privaten Verantwortlichen grundsätzlich, Personendaten ohne besondere Grundlage zu bearbeiten. Anders als Bundesorgane müssen sie nicht jede Bearbeitung auf eine gesetzliche Grundlage abstellen können (vgl. Art. 34 DSG); vielmehr bedürfen sie einer Rechtfertigung in der Form einer Einwilligung der betroffenen Person, eines überwiegenden privaten oder öffentlichen Interesses oder eines Gesetzes nur, wenn sie durch ihre Datenbearbeitung die Persönlichkeit der betroffenen Person verletzen (vgl. Art. 31 Abs. 1 DSG). Das DSG gibt daher eine zweistufige Prüfung vor, bei der zunächst das Bestehen einer Persönlichkeitsverletzung und anschliessend gegebenenfalls deren Rechtfertigung zu beurteilen ist.[3] Eine Persönlichkeitsverletzung liegt vor, wenn:

Personendaten entgegen den Bearbeitungsgrundsätzen (in Art. 6 und 8 DSG),[4] dem Kern des Datenschutzrechts,[5] bearbeitet werden (Art. 31 Abs. 2 lit. a DSG);

Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden (Art. 31 Abs. 2 lit. b DSG). Ein solcher Widerspruch ist empfangsbedürftig und muss ausdrücklich, also schriftlich, mündlich oder durch ein anderweitiges Zeichen erfolgen.[6] Er lässt sich nicht pauschal aussprechen, sondern bloss gegenüber bestimmten Verantwortlichen und bezogen auf bestimmte Daten und Bearbeitungen;[7]

Dritten besonders schützenswerte Personendaten (i.S.v. Art. 5 lit. c DSG)[8] bekanntgegeben werden (Art. 31 Abs. 2 lit. c DSG). Dritte sind aus Sicht einer Auskunftei etwa Kreditgeberinnen, nicht aber allfällige Auftragsbearbeiter.[9] Eine Bekanntgabe liegt vor, wenn Daten übermittelt oder zugänglich gemacht werden (Art. 5 lit. e DSG); oder

Die Persönlichkeit der betroffenen Person anderweitig verletzt wird. Liegt einer der vorgenannten drei Fälle vor, fingiert das Gesetz eine Persönlichkeitsverletzung.[10] Die drei Fälle werden indes nur beispielhaft aufgezählt (vgl. Art. 31 Abs. 2 DSG «insbesondere»),[11] sodass sich die Persönlichkeit der betroffenen Person auch anderweitig verletzen lässt.[12]

Im Anwendungsbereich der DSGVO ist demgegenüber stets eine Rechtsgrundlage erforderlich, ungeachtet des Vorliegens einer Persönlichkeitsverletzung oder eines sonstigen Verstosses gegen eine Rechtsnorm. Damit eine Verarbeitung rechtmässig ist, muss sie mindestens von einer der in Art. 6 Abs. 1 UAbs. 1 DSGVO abschliessend aufgezählten Rechtsgrundlagen gedeckt sein.[13] Zugleich muss jede Verarbeitung die Grundsätze nach Art. 5 DSGVO einhalten,[14] weshalb sich – anders als unter dem DSG[15] – Grundsatzverletzungen nicht rechtfertigen lassen. Als Rechtsgrundlagen nennt die DSGVO unter anderem die Einwilligung, die Erforderlichkeit der Verarbeitung zur Erfüllung eines Vertrags oder zur Erfüllung einer rechtlichen Verpflichtung und das berechtigte Interesse (Art. 6 Abs. 1 UAbs. 1 lit. a, b, c und f DSGVO). Konzeptionell betrachtet, sieht das europäische Recht im Vergleich zum schweizerischen Recht eine Umkehr des Regel-Ausnahme-Verhältnisses vor.

Konsequenzen der unterschiedlichen Konzepte?

Ob diese konzeptionell unterschiedlichen Ansätze in der Praxis eine erhebliche Differenz ergeben und deswegen bestimmte Bearbeitungen nach schweizerischem Recht zulässig sind, aber nach europäischem Recht nicht, lässt sich in Frage stellen.[16] Vereinzelt wird in der Lehre und in der Praxis denn auch vertreten, dass unter dem DSG ebenso für jede Datenbearbeitung ein Rechtfertigungsgrund nachzuweisen sei.[17]

Wenn jedoch jede Datenbearbeitung rechtfertigungsbedürftig wäre, ergäbe es keinen Sinn, mit Art. 30 und Art. 31 DSG zwei separate Bestimmungen vorzusehen, die deutlich eine Zweistufigkeit sichtbar machen. Vielmehr würde Art. 31 DSG allein genügen, der die Rechtfertigungsgründe analog zu den Rechtsgrundlagen im europäischen Recht wie Art. 6 DSGVO regeln würde.[18] Ausserdem wäre die Auflistung von Fällen fingierter Persönlichkeitsverletzungen (Art. 30 Abs. 2 lit. a–c DSG) redundant, da unabhängig von der Einhaltung der Bearbeitungsgrundsätze, einem Widerspruch der betroffenen Person oder der Bekanntgabe besonders schützenswerter Personendaten von einer Rechtfertigungsbedürftigkeit auszugehen wäre. Im Übrigen entspricht es auch der Praxis des Bundesgerichts und des Bundesverwaltungsgerichts, nicht für jede Datenbearbeitung eine Rechtfertigung zu verlangen.[19]

Anlässlich der Totalrevision wurde verschiedentlich ausgeführt, dass sich das DSG von der DSGVO durch das abweichende Konzept der Rechtmässigkeit unterscheide und daran festzuhalten sei.[20] Gleichzeitig ging das Bundesamt für Justiz davon aus, dass in der Praxis wohl kein grosser Unterschied bestehe und der Datenschutz deswegen in beiden Rechtsordnungen etwa gleich stark sei.[21] Diese allgemeine datenschutzrechtliche Frage ist im Rahmen der vorliegenden Untersuchung allerdings nicht weiter zu vertiefen.

Statt vieler Bühlmann/Metin, S. 358; Schäfer, in: Epiney et al. 2011, S. 56; Schäfer/Dordi, S. 142; vgl. auch Hürlimann/Steiger, S. 200; Möhle, S. 601; Vasella, Jusletter 2015, Rn. 1. ↵

Statt vieler Buchner/Petri, in: Kühling/Buchner, Art. 6 N 11 ff.; Frenzel, in: Paal/Pauly, Art. 6 N 1; Möhle, S. 601; vgl. auch von Lewinski/Pohl, S. 17; a.M. Roßnagel, NJW 2019, S. 5, wonach dieser rechtsdogmatische Begriff auf das Datenschutzrecht nicht zutreffe und dessen grundrechtliche Fundierung verkenne, weil jede Datenverarbeitung einen Grundrechtseingriff darstelle. In Bezug auf private Verantwortliche vermag diese Ansicht mangels unmittelbarer Drittwirkung der Grundrechte m.E. nicht zu überzeugen. ↵

Nobel/Weber, Kap. 11 N 40; Weber/Henseler, SZW 2020, S. 607; vgl. auch Rosenthal, Jusletter 2017a, Rn. 11. ↵

Vgl. dazu unten Teil 3, C.II.–C.VIII. ↵

Zum DSG Vasella, TREX 2021, S. 273; zum aDSG Botschaft DSG 1988, S. 449. ↵

CR LPD-Boillat/Werly, Art. 30 N 28; Métille, S. 35; BSK DSG-Rampini/Harasgama, Art. 30 N 15. ↵

Botschaft Totalrevision DSG, S. 7071 f.; Henseler, Datenschutz, S. 107; BSK DSG-Rampini/Harasgama, Art. 30 N 15. ↵

Vgl. dazu oben Teil 2, A.I.1.2. ↵

CR LPD-Boillat/Werly, Art. 30 N 33; SHK DSG-Pfaffinger, Art. 30 N 59; BSK DSG-​Rampini/Harasgama, Art. 30 N 23; a.M. PC LPD-Genecand, Art. 30 N 20. ↵

Erläuternder Bericht VE-DSG, S. 68; CR LPD-Boillat/Werly, Art. 30 N 12; BSK DSG-Rampini/Harasgama, Art. 30 N 8; vgl. auch Métille, S. 34, der allerdings unpräzise von einer «présomption légale» spricht. ↵

Botschaft Totalrevision DSG, S. 7072; CR LPD-Boillat/Werly, Art. 30 N 16; SHK DSG-Pfaffinger, Art. 30 N 62. ↵

Vgl. dazu unten Teil 3, C.IX. ↵

Statt vieler EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 73; EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 90; EuGH, Rs. C-439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 99. ↵

EuGH, Rs. C-667/21 vom 21. Dezember 2023, Krankenversicherung Nordrhein, Ziff. 76; EuGH, Rs. C-60/22 vom 4. Mai 2023, Bundesrepublik Deutschland, Ziff. 57. ↵

Vgl. dazu auch unten Teil 3, D.I.1. ↵

Vgl. Bühlmann/Metin, S. 358; Füzesséry/Schneider, in: Epiney/Rovelli, S. 153 f. ↵

Zum DSG so George, S. 141; vgl. auch de Terwangne, in: Epiney et al. 2022, S. 67 f.; Sury, S. 35; zum aDSG EDSK, Urteil vom 29. August 2003, in: VPB 68.68, S. 860 ff., E. 3a/aa; EDÖB, Tätigkeitsbericht 2006/2007, S. 62; Hürlimann, S. 36; vgl. auch EDÖB, Kredit & Inkasso, abrufbar unter <https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/arbeit_wirtschaft/kredit_inkasso.html>, zuletzt besucht am 30. September 2024; Peter, S. 122, 126 und 179. ↵

Zum DSG CR LPD-Boillat/Werly, Art. 30 N 12; zum aDSG Meier, Rn. 1526. ↵

BGer, 1P.18/2007 vom 30. Juli 2007, E. 3.3.5; BVGE 2008/16 E. 5.4. ↵

Amtl. Bull. NR 2020 S. 1597 (Votum Glättli); Amtl. Bull. SR 2020 S. 990 (Votum Fässler); vgl. auch SPK-NR vom 1./2. November 2018, S. 6; SPK-NR vom 23./24. Januar 2020, S. 6. ↵

SPK-NR vom 1./2. November 2018, S. 6. ↵

19

Unterschiedliche Begriffe der Rechtmässigkeit

Rechtmässigkeit i.w.S. und i.e.S.

Das Erfordernis einer Rechtsgrundlage für jede Datenverarbeitung benennt die DSGVO als «Rechtmässigkeit der Verarbeitung» (vgl. Art. 6 DSGVO). Das DSG versteht demgegenüber unter der Rechtmässigkeit (zunächst) den Bearbeitungsgrundsatz, wonach der Verantwortliche bei der Datenbearbeitung keine Rechtsnorm verletzen darf, die zumindest auch, direkt oder indirekt, den Schutz der Persönlichkeit natürlicher Personen bezweckt (Art. 6 Abs. 1 DSG).[1] Überdies werden zuweilen auch in Gegenüberstellung zur Rechtmässigkeit nach DSGVO die bereits angesprochenen Fragen der Persönlichkeitsverletzung und insbesondere ihrer Rechtfertigung unter den Begriff der Rechtmässigkeit gefasst (vgl. Art. 30 f. DSG).[2] Auf diese Weise verwendeten auch schon das Bundesgericht, der EDÖB und das Bundesamt für Justiz den Begriff der Rechtmässigkeit.[3]

Diese doppelte Verwendung des Rechtmässigkeitsbegriffs birgt Verwechslungsgefahr. Um diese zu bannen, lässt sich im schweizerischen Recht die Rechtmässigkeit im Sinne des Bearbeitungsgrundsatzes als Rechtmässigkeit i.e.S. und die Frage der Rechtfertigung einer allfälligen Persönlichkeitsverletzung als Rechtmässigkeit i.w.S. bezeichnen. Denn in jedem Fall, in dem ein Verantwortlicher die Rechtmässigkeit i.e.S. missachtet, stellt sich zugleich die Frage der Rechtmässigkeit i.w.S., d.h. der Rechtfertigung dieser Persönlichkeitsverletzung. Demgegenüber stellt sich die Frage der Rechtmässigkeit i.w.S. auch in verschiedenen anderen Fällen wie bei der Verletzung sonstiger Bearbeitungsgrundsätze oder der Bekanntgabe besonders schützenswerter Personendaten. Nachdem die in der DSGVO vorgesehenen Rechtsgrundlagen den Rechtfertigungsgründen des DSG ähneln, lässt sich auch in Bezug auf dieses Erfordernis von Art. 6 Abs. 1 DSGVO von der Rechtmässigkeit i.w.S. sprechen. Die Frage, ob die DSGVO daneben ebenfalls eine Rechtmässigkeit i.e.S. verlangt, ist sogleich zu behandeln.

Rechtmässigkeit i.e.S. in der DSGVO?

Die Lehre streitet sich darüber, ob der Grundsatz der Rechtmässigkeit i.S.v. Art. 5 Abs. 1 lit. a DSGVO die Vorgabe enthält, dass der Verantwortliche die gesamte übrige DSGVO oder sogar Rechtsordnung (soweit diese die Persönlichkeit schützt) einhalten muss. Während zahlreiche Stimmen dafürhalten, dass der Grundsatz als Verweis auf das Erfordernis einer Rechtsgrundlage für jede Verarbeitung (Art. 6 Abs. 1 DSGVO) zu verstehen sei,[4] finden sich auch nicht wenige Wortmeldungen, wonach die datenschutzrechtliche Rechtmässigkeit (zusätzlich) verlange, dass der Verantwortliche bei der Datenverarbeitung nicht gegen das Gesetz (inklusive DSGVO) verstosse.[5]

Der Begriff «Rechtmässigkeit» liesse das letztere Verständnis zwar zu, doch wird er in den Erwägungsgründen nicht dahingehend erläutert.[6] Auch erscheint der Begriff im systematischen Zusammenhang als Verweis auf Art. 6 DSGVO, der nämlich die Überschrift «Rechtmässigkeit der Verarbeitung» trägt.[7] Gegen eine Auslegung als Verweis auf die gesamte Rechtsordnung oder auf sämtliche übrigen Bestimmungen der DSGVO spricht zudem, dass die DSGVO die Verletzung der Rechtmässigkeit mit einem Bussgeld bedroht (Art. 83 Abs. 5 lit. a DSGVO). Die differenzierte und abschliessende Aufzählung der sanktionsbewehrten Handlungen von Art. 83 Abs. 4 und 5 DSGVO liesse sich auf diesem Wege umgehen und wäre im Wesentlichen redundant, da der Verantwortliche (zumindest) für die Verletzung sämtlicher Bestimmungen der DSGVO kraft Art. 83 Abs. 5 lit. a DSGVO gebüsst werden könnte.[8] Ausserdem würde eine Rechtmässigkeit, welche die gesamte Rechtsordnung miteinbezieht, dem Harmonisierungsziel der DSGVO widersprechen, hätte doch z.B. ein dem deutschen Recht unterstehender Verantwortlicher (unabhängig von Öffnungsklauseln[9]) andere gesetzliche Regeln als ein dem bulgarischen Recht unterstehender Verantwortlicher einzuhalten, um DSGVO-konform Daten zu verarbeiten. Aus diesen Gründen kennt die DSGVO das Erfordernis der Rechtmässigkeit i.e.S. nach hier vertretener Ansicht nicht.[10]

Nachdem der EuGH bereits beiläufig eine Formulierung verwendet hatte, die auf ein einschränkendes Verständnis hingedeutet hatte,[11] hatte er kürzlich Gelegenheit, sich zur Streitfrage zu äussern. Er hielt dabei fest, dass eine Verarbeitung nur rechtmässig sei, wenn mindestens eine der in Art. 6 Abs. 1 UAbs. 1 lit. a–f DSGVO aufgeführten Bedingungen erfüllt sei und sie die Vorgaben von Art. 7–11 DSGVO einhalte,[12] die im Wesentlichen die Einwilligung sowie die Verarbeitung besonderer Kategorien personenbezogener Daten sowie von Daten über strafrechtliche Verurteilungen und Straftaten betreffen würden.[13] Grund dafür sei, dass die letztgenannten Bestimmungen wie Art. 5 f. DSGVO in deren Kapitel II über die Grundsätze stünden und das Ziel verfolgen würden, den Umfang der dem Verantwortlichen nach Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 DSGVO obliegenden Pflichten näher zu bestimmen.[14] Dieser geringfügigen Begriffserweiterung der Rechtmässigkeit über Art. 6 DSGVO hinaus kann gefolgt werden, zumal sich Art. 7–11 DSGVO tatsächlich als Konkretisierungen des Rechtsgrundlagenerfordernisses bzw. des Verbotsprinzips mit Erlaubnisvorbehalt verstehen lassen.[15] Von grosser Bedeutung für die vorliegende Untersuchung ist die Erweiterung indes nicht.[16]

BVGer, A-3548/2018 vom 19. März 2019, E. 5.4.4; vgl. dazu auch unten Teil 3, C.VIII.2. ↵

Vgl. etwa George, S. 175 ff.; Thouvenin, Forschung, S. 44 ff. ↵

Vgl. BGE 136 II 508 E. 5.1, wonach (heute) Art. 30 f. DSG «die Voraussetzungen fest[legen], nach welchen die Bearbeitung von Personendaten durch Private rechtmässig ist»; ferner EDÖB, Leitfaden TOM, S. 6; BJ, Auslegungshilfe, S. 1. ↵

Albrecht/Jotzo, Teil 2 N 2; Féral-Schuhl, Rn. 113.23; Herbst, in: Kühling/Buchner, Art. 5 N 8 ff.; Plath, in: Plath, Art. 5 N 3; Pötters, in: Gola/Heckmann, Art. 5 N 7; Wolff, in: Schantz/Wolff, Rn. 388 ff.; vgl. auch Kramer, in: Auernhammer, Art. 5 N 10 und 13. ↵

de Terwangne, in: Kuner et al., S. 314; Roßnagel, in: Simitis et al., Art. 5 N 38 f.; vgl. auch DSB, D124.3614 2022-0.522.983 vom 2. Februar 2023, D.1.3; ICO, GDPR, S. 51; Frenzel, in: Paal/Pauly, Art. 5 N 14 ff.; Lynskey, S. 31. ↵

Vielmehr präzisiert EG 39 DSGVO, der die Grundsätze erläutert, den Begriff der Rechtmässigkeit nicht und hält EG 40 DSGVO lediglich fest, was folgt: «Damit die Verarbeitung rechtmässig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden […].» ↵

Vgl. EuGH, Rs. C‑60/22 vom 4. Mai 2023, Bundesrepublik Deutschland, Ziff. 55. ↵

George, S. 277 (Fn. 1267); Herbst, in: Kühling/Buchner, Art. 5 N 10. ↵

Zum Begriff der Öffnungsklausel vgl. ausführlich Müller Marian, S. 54 ff. ↵

Mehr Spielraum für eine andere Auslegung liesse die allerdings nicht unmittelbar anwendbare Konv. 108+, die in Art. 5 Abs. 2 für Datenverarbeitungen eine Einwilligung oder einen anderen im Gesetz festgelegten Grund verlangt und in Art. 5 Abs. 3 festhält, dass Datenverarbeitungen rechtmässig zu erfolgen haben. Der Explanatory Report Convention 108, Rn. 48, konkretisiert die Rechtmässigkeit weder nach dem einen noch dem anderen Verständnis. ↵

Vgl. EuGH, Rs. C‑77/21 vom 20. Oktober 2022, Digi, Ziff. 49, wonach jede Verarbeitung «in Anbetracht des in Art. 5 Abs. 1 Buchst. a vorgesehenen Grundsatzes der Rechtmässigkeit der Verarbeitung eine der in Art. 6 aufgeführten Bedingungen für die Rechtmässigkeit der Verarbeitung erfüllen» müsse. ↵

Für die Rechtmässigkeit der Verarbeitung ist daher etwa irrelevant, ob sie in einem Verzeichnis der Verarbeitungstätigkeiten erfasst ist (Art. 30 DSGVO) oder ob gemeinsam Verantwortliche eine Vereinbarung nach Art. 26 DSGVO abgeschlossen haben (vgl. EuGH, Rs. C‑60/22 vom 4. Mai 2023, Bundesrepublik Deutschland, Ziff. 59 ff.). ↵

EuGH, Rs. C-667/21 vom 21. Dezember 2023, Krankenversicherung Nordrhein, Ziff. 77; EuGH, Rs. C‑60/22 vom 4. Mai 2023, Bundesrepublik Deutschland, Ziff. 55 und 58. ↵

EuGH, Rs. C‑60/22 vom 4. Mai 2023, Bundesrepublik Deutschland, Ziff. 58, mit Verweis auf EuGH, Rs. C-439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 100, 102 und 106; EuGH, Rs. C‑136/17 vom 24. September 2019, GC u.a., Ziff. 72 ff. ↵

Das trifft jedenfalls auf Art. 7 f. DSGVO (Vorgaben an die Einwilligung) und Art. 9 f. DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten) zu. Art. 11 DSGVO adressiert hingegen den Sonderfall von Verarbeitungen, für die eine Identifikation der betroffenen Person nicht erforderlich ist, und entbindet den Verantwortlichen im Wesentlichen von bestimmten datenschutzrechtlichen Pflichten. ↵

Im Rahmen ihrer charakteristischen Geschäftstätigkeit verarbeiten die schweizerischen Auskunfteien üblicherweise keine Daten i.S.v. Art. 9 f. DSGVO (vgl. dazu oben Teil 2, A.I.4.2) und stützen ihre Verarbeitungen nicht auf eine Einwilligung (vgl. dazu unten Teil 3, D.III.2.). ↵

XV

Sanktionen

Verletzt der Verantwortliche unter dem DSG ohne Rechtfertigungsgrund die Persönlichkeit der betroffenen Person, stehen dieser insbesondere die Klagen zum Schutz der Persönlichkeit offen, z.B. jene auf Unterlassung oder Ersatz von allfälligen Vermögensschäden (vgl. Art. 32 Abs. 2 DSG). Überdies drohen dem Verantwortlichen Verwaltungsmassnahmen des EDÖB, der mittels Verfügung etwa die Anpassung oder den Abbruch einer Datenbearbeitung anordnen kann (Art. 51 DSG).[1] Widerrechtliche Persönlichkeitsverletzungen sind an sich nicht strafbewehrt; das Risiko einer Busse besteht lediglich, wenn das Verhalten zugleich unter einen der spezifischen Straftatbestände fällt. Unter Strafe steht beispielsweise die vorsätzlich falsche oder unvollständige Information über eine automatisierte Entscheidung nach Art. 21 DSG oder die Nichteinhaltung der in der DSV festgehaltenen Mindestanforderungen an die Datensicherheit (soweit dort überhaupt Mindestanforderungen vorgesehen sind;[2] Art. 60 Abs. 1 lit. a und Art. 61 lit. c DSG). Dabei richten sich die Bussen (primär[3]) an die natürlichen Personen, welche die Einhaltung der strafbewehrten datenschutzrechtlichen Pflichten sicherstellen müssen.[4]

Das europäische Recht stellt hingegen dem Verantwortlichen ein Bussgeld in Aussicht, wenn er Daten unrechtmässig oder unter Verletzung eines (anderen) Grundsatzes verarbeitet oder die Rechte der betroffenen Personen i.S.v. Art. 12 bis 22 DSGVO, also etwa jene im Zusammenhang mit automatisierten Entscheidungen, missachtet (Art. 83 Abs. 5 lit. a und b DSGVO).[5] Die zuständige Aufsichtsbehörde ist verpflichtet, die Anwendung der DSGVO zu überwachen und durchzusetzen, wozu ihr verschiedene Abhilfebefugnisse zustehen, etwa Verarbeitungen einzuschränken oder zu verbieten (vgl. Art. 57 f. DSGVO).[6] Der betroffenen Person garantiert die DSGVO – neben einem Anspruch auf Ersatz auch von immateriellen Schäden (Art. 82 DSGVO) – gerichtlichen Rechtsschutz gegen den Verantwortlichen (Art. 79 Abs. 1 DSGVO), in dessen Rahmen sich jedenfalls die Betroffenenrechte durchsetzen lassen. Ob und inwieweit die betroffene Person die Einhaltung der Grundsätze abseits dieser Konkretisierungen (gerichtlich) verlangen kann, ist noch ungeklärt und erscheint fraglich.[7]

Die Verletzung der Persönlichkeit an sich genügt nicht; sie muss – entgegen dem breiter interpretierbaren Wortlaut von Art. 51 Abs. 1 DSG («Verletzung von Datenschutzvorschriften») – auch widerrechtlich sein. Der EDÖB kann nur verfügen, was das DSG und die DSV auch ohne seine Anordnung verlangen würden (OFK DSG-Bundi, Art. 51 N 12; Rosenthal, Jusletter 2020, Rn. 186; vgl. auch Brunner/Wesiak-Schmidt, in: Dal Molin/Wesiak-Schmidt, § 5 N 161). ↵

Vgl. dazu unten Teil 3, C.VI.1. ↵

Vgl. Art. 64 DSG (i.V.m. Art. 6 f. VStrR). ↵

Vgl. statt vieler BSK DSG-Mathys/Thomann, Vor Art. 60–66 N 39; Rosenthal/Gubler, S. 58; OFK DSG-Simmler, Vorbem. Art. 60 ff. N 13. ↵

Vgl. Herbst, in: Kühling/Buchner, Art. 5 N 78; Pötters, in: Gola/Heckmann, Art. 5 N 4. Fraglich ist, ob die Grundsätze dem Bestimmtheitsgebot (Art. 49 Abs. 1 GRCh; Art. 7 Abs. 1 EMRK) genügen und sich deren Verletzung letztendlich mit Bussen sanktionieren lässt (vgl. Frenzel, in: Paal/Pauly, Art. 5 N 2; Hoeren, ZD 2016, S. 462; Roßnagel, ZD 2018, S. 344). ↵

Roßnagel, ZD 2018, S. 344; vgl. auch Boehm, in: Kühling/Buchner, Art. 57 N 1. ↵

Reimer, in: Sydow/Marsch, Art. 5 N 62; vgl. auch Heberlein, in: Ehmann/Selmayr, Art. 5 N 49; Roßnagel, ZD 2018, S. 344. ↵

XVI

Teil 3:
Berechnung des Kreditscores als Profiling

XVII

Einleitung

«Profiling» ist nichts Neues – weder als in der Wirtschaft und im Staat verbreitetes Phänomen noch als Diskussionsgegenstand der Politik und Wissenschaft.[1] Gleichwohl greifen das DSG und die DSGVO das Profiling für die betreffenden Rechtsordnungen erstmals spezifisch auf und sehen eine Legaldefinition vor (Art. 5 lit. f DSG; Art. 4 Ziff. 4 DSGVO). Als «Lehrbuchbeispiel» wird dafür gerne das Kreditscoring als automatisierte Kreditwürdigkeitsbeurteilung genannt.[2] Wie zu zeigen sein wird, qualifiziert die Berechnung des Kreditscores denn auch in aller Regel als Profiling, unter Umständen (im schweizerischen Recht) sogar als Profiling mit hohem Risiko (nachfolgend B.).

Trotz aller Diskussionen zum Thema Profiling, die in der Schweiz während des Gesetzgebungsverfahrens hochkochten und sogar bis zuletzt anhielten,[3] schränken weder das DSG noch die DSGVO die Zulässigkeit des Profilings (für private Personen) besonders ein. Im Wesentlichen ist ein Verantwortlicher wie eine Auskunftei gehalten, die Bearbeitungsgrundsätze einzuhalten (Art. 6 und 8 DSG; Art. 5 DSGVO), woraus sich freilich zahlreiche Vorgaben an das Profiling ableiten (nachfolgend C.). Während eine Auskunftei unter dem DSG allfällige Verletzungen der Bearbeitungsgrundsätze – womöglich mit dem besonders geregelten überwiegenden Interesse für Kreditwürdigkeitsprüfungen (Art. 31 Abs. 2 lit. c DSG) – rechtfertigen kann, muss sie unter der DSGVO für das Profiling wie für jede andere Datenverarbeitung über eine Rechtsgrundlage i.S.v. Art. 6 Abs. 1 DSGVO verfügen (nachfolgend D.).

Vgl. etwa Committee of Ministers, passim; Bygrave, CLSR 2001, 17 ff.; Hildebrandt, in: Hildebrandt/Gutwirth, S. 17 ff.; Schauer, passim; Vedder, S. 275 ff.; Walter, in: Epiney et al. 2011, S. 87 ff. ↵

Zum DSG BJ, Totalrevision, S. 14; Normkonzept Revision DSG, S. 26; PC LPD Jacot-Guillarmod, Art. 5 N 45; Vasella, in: Emmenegger, S. 200; zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 8 f.; Buchner, in: Kühling/Buchner, Art. 4 Ziff. 4 N 7; Hänold, S. 125; Schantz, in: Schantz/Wolff, Rn. 731; Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 8; vgl. auch Hladjk, in: Ehmann/Selmayr, Art. 22 N 7. ↵

Vgl. statt vieler Heuberger, passim; Mäder, o.S.; Stengel/Stäuble, passim. ↵

XVIII

Begriffe

Neben dem Profiling kennt das schweizerische Recht das dem europäischen Recht unbekannte Profiling mit hohem Risiko (Art. 5 lit. g DSG). Dieses besteht – stark verkürzt – aus einer Kombination von Profiling und altrechtlichem Persönlichkeitsprofil. Dem Profiling mit hohem Risiko kommt insbesondere die Funktion zu, in (heute) Art. 31 Abs. 2 lit. c DSG das Persönlichkeitsprofil zu «ersetzen»: Unter altem Recht vermochte das besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen die Bearbeitung von Persönlichkeitsprofilen nicht zu rechtfertigen (Art. 13 Abs. 2 lit. c aDSG); unter neuem Recht gilt dies für das Profiling mit hohem Risiko (Art. 31 Abs. 2 lit. c Ziff. 1 DSG). Vor diesem Hintergrund erscheint es angezeigt, nach dem Profiling (nachfolgend I.) zunächst das altrechtliche Persönlichkeitsprofil (nachfolgend II.) und schliesslich das Profiling mit hohem Risiko (nachfolgend III.) zu besprechen.

20

Profiling

Vorbemerkungen

Terminologischer Hintergrund

Unter den Begriff des Profilings im Sinne des üblichen Sprachgebrauchs lassen sich ganz unterschiedliche Phänomene subsumieren, z.B. die Tätigkeit eines kriminalistischen Profilers, die Ermittlung des Einkaufsverhaltens einer Konsumentin anhand der von ihr selbst getätigten Produktekäufe oder die Bewertung der Kreditwürdigkeit einer kreditinteressierten Person mittels Berechnung eines Kreditscores. Es überrascht daher wenig, dass Behörden und Wissenschaftlerinnen unterschiedliche Definitionen und Kategorisierungen des Profilings herausgearbeitet haben.[1] Eine Definition, die ein breites Verständnis des Phänomens wiedergibt und die Lehre positiv aufgenommen hat,[2] lautet wie folgt: «The process of ‹discovering› correlations between data in databases that can be used to identify and represent a human or nonhuman subject (individual or group) and/or the application of profiles (sets of correlated data) to individuate and represent a subject or to identify a subject as a member of a group or category.»[3]

Im Rahmen dieser Definition lässt sich eine zentrale Kategorisierung danach treffen, ob das Profiling auf ein Individual- oder Gruppenprofil gerichtet ist:

In Individualprofile fliessen lediglich die Daten der vom Profiling betroffenen Person ein, wie im obigen Beispiel der Konsumentin.[4] Dieses Profiling spielt sich in zwei Phasen ab, wobei die erste der Sammlung von Daten über die betroffene Person dient und die zweite sich darauf richtet, diese Daten zwecks Erschliessung neuen Wissens über persönliche Aspekte zu analysieren.[5]

Bei Gruppenprofilen werden Daten über verschiedene Personen verwendet und Gruppen anhand der die Angehörigen auszeichnenden Attribute ermittelt.[6] Dies ist etwa beim hier interessierenden Kreditscoring der Fall, bei dem sich die Auskunfteien zwecks Modellentwicklung nicht auf die Bearbeitung der Daten einer betroffenen Person beschränken (können)[7] und letztlich mehr oder weniger granulare Gruppen von Personen unterschiedlicher Kreditwürdigkeit bilden.

Der auf ein Gruppenprofil ausgerichtete Profilingprozess lässt sich in drei Phasen unterteilen, wie das Ministerkomitee des Europarates in seinem Erläuternden Bericht zur Empfehlung betreffend Profiling aus dem Jahre 2010[8] und ihm folgend die Artikel‑29‑Datenschutzgruppe in ihren Leitlinien zum Thema erklären.[9] Demnach werden bei einem Profiling zunächst (i) Daten erhoben, allenfalls aggregiert und gespeichert, sodann (ii) Daten analysiert und Korrelationen ermittelt und schliesslich (iii) die Korrelationen auf eine Person angewendet, d.h. Schlüsse auf persönliche Aspekte gezogen.[10] Dadurch entstehen neue Daten über die betroffene Person wie etwa ein Kreditscore,[11] welche «inferred data»[12] oder «output data» bzw. «Ausgabedaten»[13] genannt werden.

Wie zu zeigen sein wird,[14] erfasst die Legaldefinition der DSGVO und – zufolge deren Übernahme – des DSG lediglich die dritte und letzte Phase des Gruppenprofilings. Beim Profiling zur Erstellung eines Individualprofils erfasst die Legaldefinition dementsprechend nur die zweite und letzte Phase.[15] Weil sich das Kreditscoring auf ein Gruppenprofil stützt, fokussieren die nachfolgenden Ausführungen darauf. Die meisten Überlegungen dürften sich indes auch auf das Individualprofil übertragen lassen.

Zweck der «Regelung»

Am Verständnis des Profilings, wie es das Ministerkomitee des Europarates in seiner Empfehlung dargelegt hatte, orientierte sich später die Definition des Profilings der DSGVO (und letztlich des DSG).[16] In dieser Empfehlung identifizierte das Ministerkomitee vier Risiken, welche die besondere Regelung des Profilings rechtfertigen würden:[17]

Da mittels Profiling anhand von Daten Dritter neue Daten über die betroffene Person generiert würden, wisse sie nicht ohne Weiteres, dass ihr bestimmte Eigenschaften Dritter auf der Grundlage einer Wahrscheinlichkeitsberechnung zugeschrieben würden. Deshalb sei Profiling a priori weitaus intransparenter als andere Datenbearbeitungen.

Das Profiling bewirke, dass der betroffenen Person Eigenschaften Dritter, die sie nicht kenne und mit denen sie lediglich eine Reihe von Merkmalen teile, zugeordnet und diese sogar verbindlich auf sie «angewendet» würden. Dies sei eine Abkehr vom Grundsatz, dass Personen für ihr eigenes Handeln verantwortlich seien und dafür gesellschaftlich und rechtlich zur Rechenschaft gezogen werden könnten.

Nachdem das Profiling auf der Verwendung von Statistiken beruhe, bestehe stets eine Fehlerquote, in deren Rahmen eine bestimmte Eigenschaft einer Person fälschlicherweise zugeschrieben werde. Beim Kreditscoring könne dies dazu führen, dass Personen ein Darlehen verwehrt bleibe, die es zurückgezahlt hätten, dafür Personen eines gewährt werde, die ihren Verpflichtungen nicht nachkommen würden.

Zudem könne das Profiling zu einer Dekontextualisierung von Daten führen. Profiling-Techniken würden es nämlich ermöglichen, anhand von Daten aus einer «Sphäre» des Privatlebens einer Person, z.B. ihrem Kaufverhalten, Eigenschaften in einer anderen «Sphäre», z.B. ihre sexuelle Orientierung, zu erschliessen.

Gewisse dieser Risiken klingen auch in den Erwägungsgründen der DSGVO an. So verweisen deren EG 60 und 63 bei der Konkretisierung der Informationspflicht bzw. des Auskunftsrechts auf das Profiling und mahnen damit ein besonderes Transparenzbedürfnis an. EG 71 Satz 6 DSGVO führt die Risiken von unrichtigen Daten und Fehlern auf. Als zusätzliches Risiko spricht dieser Erwägungsgrund allfällige Diskriminierungen gestützt auf Merkmale an, die Art. 9 Abs. 1 DSGVO den besonderen Kategorien personenbezogener Daten zuordnet,[18] etwa die Rasse, Religion oder politische Meinung. Darüber hinaus lässt sich einem «advice paper» der Artikel‑29‑Datenschutzgruppe, das der europäische Gesetzgeber bei der Festlegung der Definition und der Regelung des Profilings zurate zog, die Befürchtung eines Kontrollverlusts entnehmen.[19] Diese Befürchtung dürfte daher rühren, dass die Generierung neuer Informationen über die betroffene Person ihre Kontrolle über die Preisgabe eigener Daten und damit – wenn man so will[20] – ihr Recht auf informationelle Selbstbestimmung[21] beeinträchtigen kann.[22]

Die Botschaft zur Totalrevision legt kaum Rechenschaft über die mit dem Profiling verbundenen Risiken und dem durch die Regelung verfolgten Zweck ab. Sie beschränkt sich vielmehr darauf, ein Transparenzdefizit beim Profiling zu beklagen[23] und die Aufhebung des altrechtlichen Begriffs des Persönlichkeitsprofils[24] zu rechtfertigen:[25] Das Persönlichkeitsprofil stelle eine Besonderheit der schweizerischen Gesetzgebung dar, der in der Praxis keine grosse Bedeutung zugekommen sei und die durch die Entwicklung neuerer Technologien überholt scheine.[26] Die Debatten in den Räten und Kommissionen heben als Zweck der Regelung des Profilings hervor, dass die Streichung des Persönlichkeitsprofils den Datenschutz nicht schwächen solle[27] und das Profiling im Zeitalter von Big Data[28] und Künstlicher Intelligenz adressiert werden müsse.[29] Vereinzelt greifen die Parlamentsmitglieder im Ansatz auch die (weiteren) vom Ministerkomitee des Europarates angesprochenen Risiken der Transparenz[30] und der Dekontextualisierung auf.[31] Generell scheint es nicht abwegig, von denselben Zwecken wie bei der DSGVO auszugehen, nachdem sich der schweizerische Gesetzgeber bei der Definition des Profilings am europäischen Recht ausgerichtet hat.[32]

Relativierend ist bei diesen Zwecken der «Regelung» anzumerken, dass der schweizerische und der europäische Gesetzgeber zwar die genannten Risiken vor Augen hatten, das Profiling an sich aber (dennoch) kaum regelten. Das DSG adressiert das gewöhnliche Profiling (durch private Personen) nicht spezifisch, und die DSGVO unterwirft in ihrem verfügenden Teil das Profiling keinen besonderen Einschränkungen.[33]

Begriffselemente

Nachdem im Gesetzgebungsverfahren der DSGVO und später des DSG verschiedene Formulierungen vorgeschlagen worden waren,[34] entschied sich der europäische und sich ihm anschliessend der schweizerische Gesetzgeber für die folgende Legaldefinition: Profiling ist jede Art der automatisierten Datenbearbeitung, die darin besteht, dass die Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen (Art. 5 lit. f DSG; Art. 4 Ziff. 4 DSGVO).

Abgesehen von zwei vernachlässigbaren Abweichungen[35] sind die Legaldefinitionen des DSG und der DSGVO identisch. Das schweizerische Parlament übernahm für das DSG den Begriff der DSGVO[36] und war bemüht, eine möglichst wortgleiche Definition zu wählen.[37] Dementsprechend ist «Profiling» in beiden Erlassen übereinstimmend zu verstehen[38] und lässt sich auch für die Auslegung des Begriffs nach DSG die Lehre und Praxis zur DSGVO heranziehen.[39] Das Profiling besteht demnach – etwas vereinfacht ausgedrückt – aus drei Elementen, nämlich (i) einer automatisierten Art der Bearbeitung, die (ii) Personendaten betreffen muss und (iii) das Ziel verfolgt, persönliche Aspekte einer natürlichen Person zu bewerten.[40]

Während die Voraussetzungen einer Bewertung von persönlichen Aspekten (nachfolgend 2.1) und einer automatisierten Bearbeitung (nachfolgend 2.2) Anlass zu weiteren Ausführungen geben, kann hinsichtlich des Erfordernisses der Bearbeitung von Personendaten[41] im Wesentlichen auf die Ausführungen zum sachlichen Anwendungsbereich des Datenschutzrechts verwiesen werden.[42] In aller Regel wird eine Bewertung persönlicher Aspekte einer (bestimmten) natürlichen Person nicht gänzlich ohne Bearbeitung von Personendaten erfolgen.[43] Denn eine solche Bewertung dürfte – wie sich auch aus dem Folgenden ergibt – zumindest gewisse Angaben auf die betreffende natürliche Person beziehen. Jedenfalls bei der Berechnung eines Kreditscores nach der Praxis der schweizerischen Auskunfteien steht die Bearbeitung von Personendaten ausser Frage.[44]

Bewertung von persönlichen Aspekten

Begriff der Bewertung

Als zentrale Voraussetzung verlangen die Legaldefinitionen eine Bewertung von persönlichen Aspekten. Wie bereits der übliche Sprachgebrauch des Wortes «bewerten» nahelegt,[45] vermag nicht jedes Abstellen auf den semantischen Gehalt von Personendaten für ein Profiling zu genügen; vielmehr bedarf es einer Interpretation desselben und einer daran angeschlossenen Einschätzung oder Beurteilung eines persönlichen Aspekts.[46] Erforderlich ist, dass sich die Bearbeitung darauf richtet, etwa gestützt auf die Verknüpfung oder Analyse von Daten, neue Informationen über die betroffene Person zu gewinnen.[47] Dies ist beispielsweise nicht der Fall, wenn ein Unternehmen seine Kunden schlicht nach ihrem Alter oder Geschlecht in Gruppen einteilt.[48]

Allerdings ist auch nicht jede inhaltliche Auseinandersetzung, aus der eine zusätzliche Aussage hervorgeht, ein Profiling.[49] Im Sinne der erforderlichen Interpretation des semantischen Gehalts der Daten setzt das Profiling eine gewisse subjektive Komponente voraus.[50] Diese fehlt beispielsweise medizinischen Tests auf HIV oder SARS-CoV-2.[51] Über eine subjektive Komponente verfügt hingegen beispielsweise die Prognose einer Auskunftei hinsichtlich des Ausfallrisikos einer Person, die sie aus Angaben über andere, statistisch ähnliche Personen ableitet.[52] In (sonstigen) Einzelfällen mag schwierig zu beurteilen sein, ob die Subjektivität gegeben ist; behelfsmässig lässt sich darauf abstellen, ob die Bewertung in der Regel zu nicht identischen Ergebnissen führt, wenn zwei unterschiedliche Personen sie durchführen.[53]

Verwendung zur Bewertung

Nicht jedwede Bearbeitung von Personendaten, die im Hinblick auf die Bewertung eines persönlichen Aspekts erfolgt, stellt ein Profiling dar. Das Europäische Parlament hatte noch eine Definition vorgeschlagen, mit der sich beliebige Verarbeitungen personenbezogener Daten hätten erfassen lassen, die bloss auf den Zweck der Bewertung personenbezogener Aspekte ausgerichtet sind.[54] Die später verabschiedete Legaldefinition verlangt demgegenüber eine Verwendung von Daten, also eine spezifische Art der Datenbearbeitung,[55] um bestimmte persönliche Aspekte einer natürlichen Person zu bewerten (Art. 4 Ziff. 4 DSGVO; vgl. auch Art. 5 lit. f DSG). Eine solche Verwendung von Daten zur Bewertung persönlicher Aspekte findet im Dreiphasenmodell des Ministerkomitees des Europarates und der Artikel‑29‑Datenschutzgruppe[56] erst in der dritten und letzten Phase des Profilings statt, in der anhand des zuvor entwickelten Modells persönliche Aspekte der natürlichen Person bewertet, analysiert oder vorhergesagt werden.[57]

In der ersten und zweiten Phase, bei der Datenerhebung und -speicherung bzw. der Datenanalyse und Ermittlung von Korrelationen, trifft dies nicht zu. Das Erheben, Sammeln und Speichern von Daten ermöglichen zwar später eine Bewertung, stellen indes selbst keine solche dar;[58] die Entwicklung eines Modells bezieht sich nicht schon auf eine natürliche Person, sondern eben auf die Ermittlung von Korrelationen und die Bildung von Gruppen.[59] Der rechtliche Profilingbegriff bezieht sich also nicht auf alle drei Phasen;[60] er meint vielmehr die Schlussfolgerung in Bezug auf eine bestimmte Person.[61] Entsprechend erscheint es verfehlt, weitere Datenbearbeitungen als die Verwendung der Bewertung zuzurechnen und damit dem Profilingbegriff zu unterstellen.[62]

Persönlicher Aspekt

Die in der Bewertung liegende Schlussfolgerung muss einen persönlichen Aspekt einer natürlichen Person betreffen. Aufgrund dieses Erfordernisses stellt es kein Profiling dar, wenn der Verantwortliche mittels automatisierter Bearbeitung von Personendaten Aussagen trifft, die sich statt auf eine oder mehrere individuell bestimmte oder bestimmbare Personen auf eine Personengruppe beziehen, z.B. wenn ein Unternehmen aus Kaufhistorien einzelner Kunden Vorlieben unterschiedlicher Kundschaftsgruppen ableitet.[63]

Als Beispiele von persönlichen Aspekten nennen das DSG und die DSGVO die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönlichen Vorlieben, Interessen, Zuverlässigkeit, das Verhalten, den Aufenthaltsort oder Ortswechsel. Nach einem Vorschlag in der Lehre sind diese persönlichen Aspekte etwa vom Geschlecht, Alter oder der Grösse abzugrenzen, da letztere weniger stark Ausdruck der Persönlichkeit seien.[64] Dem hält eine andere Lehrmeinung entgegen, dass die beispielhaft genannten Aspekte eher die gewisse, ihnen zugrunde liegende Komplexität vereine, die z.B. auch bei einer Herleitung des Alters oder der Grösse aus der Stimme der Person vorliegen könne.[65]

Angesichts der bloss exemplarischen Aufzählung und der darin verwendeten offenen Begriffe wie «Verhalten» oder «Interessen» erscheint ein ausgesprochen breites Verständnis der persönlichen Aspekte angezeigt,[66] das den Begriff des Profilings im Ergebnis kaum zu beschränken vermag.[67] Auch deshalb dürfte für die vorliegend interessierende Kreditwürdigkeit die Qualifikation als persönlicher Aspekt ausser Frage stehen.[68] Die DSRL, der Vorgängererlass der DSGVO, betrachtete denn auch die Kreditwürdigkeit (ausdrücklich) als solchen (vgl. Art. 15 Abs. 1 DSRL). Im Übrigen liegt es nicht fern, die Berechnung des Kreditscores (auch) als Bewertung der beispielhaft genannten persönlichen Aspekte der wirtschaftlichen Lage und der Zuverlässigkeit (bei der Schuldentilgung) zu betrachten.[69]

Automatisierte Bearbeitung

Datenbearbeitungen gelten als automatisiert, wenn sie mit technischen Hilfsmitteln, konkret mit einer Datenverarbeitungsanlage, erfolgen.[70] Gemäss der Botschaft zum DSG ist jede Datenauswertung automatisiert, die mithilfe von computergestützten Analysetechniken erfolgt.[71] Entscheidend ist demnach der Einsatz von Computern.[72] Eine automatisierte Datenbearbeitung grenzt sich von einer manuellen ab, die etwa bei einer Datensammlung auf Papier vorliegt.[73]

Massgebende Phase der Automatisierung

Laut der bundesrätlichen Botschaft liegt ein Profiling nur dann vor, wenn sowohl die Auswertung der Personendaten als auch die Bewertung des persönlichen Aspekts automatisiert erfolge; der Bewertungsprozess müsse vollständig automatisiert sein.[74] Was diese Trennung in Auswertung zum einen und Bewertung zum anderen bedeuten soll, leuchtet nicht unmittelbar ein.[75] Ein mögliches Verständnis wäre, dass der Bundesrat damit das Profiling in zwei Phasen aufteilt, die sich als zweite und dritte Phase des Profilingmodells des Ministerkomitees des Europarates verstehen liessen. Wie ausgeführt,[76] erfasst aber der Profilingbegriff der DSGVO und des DSG lediglich die letzte – beim Gruppenprofiling also die dritte – Phase. Folglich kann ausschliesslich entscheidend sein, dass die für das Profiling charakteristische Bewertung von persönlichen Aspekten mithilfe eines Computers erfolgt.[77] Eine von der DSGVO abweichende Auslegung für das DSG fällt ausser Betracht, weil dies der beabsichtigten Übernahme des europäischen Begriffs zuwiderlaufen würde, die nicht nur in der Botschaft anklingt, sondern auch später im Gesetzgebungsverfahren nochmals deutlich wird.[78]

Die Festlegung der Kriterien, anhand derer die anschliessende Bewertung persönlicher Aspekte erfolgt, muss demnach nicht automatisiert erfolgen.[79] Dies gilt insbesondere für die der Bewertung regelmässig vorgelagerte Datenauswertung und Analyse zur Ermittlung von Korrelationen.[80] Erstellt beispielsweise eine Auskunftei manuell ein Kreditscoring-Modell und berechnet sie anhand dieses Modells automatisiert auf bestimmte Personen bezogene Kreditscores, so qualifiziert der letztere Vorgang der Bewertung als Profiling, ungeachtet der vorangehenden manuellen Festlegung der relevanten Kriterien.[81]

Massgebender Grad der Automatisierung

Die nach dem Gesagten massgebende Bewertung, also die Schlussfolgerung in Bezug auf eine bestimmte oder bestimmbare natürliche Person, muss nicht ausschliesslich automatisiert erfolgen.[82] Dafür spricht zunächst der Wortlaut, der lediglich eine «Art der automatisierten Bearbeitung» verlangt und keine Stütze für ein auf Vollautomatisierungen beschränktes Verständnis enthält (vgl. Art. 5 lit. f DSG; Art. 4 Ziff. 4 DSGVO).[83] Ausserdem verlangen sowohl das DSG als auch die DSGVO bei einzelnen Bestimmungen eine ausschliesslich automatisierte Datenbearbeitung, bringen dieses Erfordernis dort aber – im Gegensatz zur Legaldefinition des Profilings – ausdrücklich und unmissverständlich zum Ausdruck (vgl. Art. 21 DSG; Art. 22 DSGVO).[84]

Nach einem Teil der (schweizerischen) Lehre ist aber immerhin eine «qualitativ schwergewichtige Automatisierung» erforderlich; die besondere Behandlung des Profilings rechtfertige sich nur, wenn eine Maschine statt eines Menschen die Bewertung (in den entscheidenden Belangen) vornehme.[85] Dieses teleologische Argument lässt sich zwar nicht grundsätzlich von der Hand weisen, doch leitet sich daraus nicht zwingend das Erfordernis einer schwergewichtigen Automatisierung ab. Im Gegenteil findet eine solche Einschränkung im Wortlaut (ebenfalls) keine Grundlage, und gelten auch grundsätzlich teilautomatisierte Datenbearbeitungen als automatisiert.[86] Da sonst zudem erhebliche Abgrenzungsschwierigkeiten beim erforderlichen Automatisierungsgrad zu befürchten wären, ist diese Lehrmeinung abzulehnen. Es genügt daher, wenn die für das Profiling massgebende Bewertung[87] auch nur zu einem Teil computergestützt erfolgt.[88]

Weitere Elemente?

Trotz der zunehmenden Verbreitung von Systemen, die auf der Analyse grosser Datenmengen und der Ermittlung von Korrelationen beruhen, stellt ein solches Vorgehen kein Tatbestandselement dar.[89] Abgesehen davon, dass das Profiling die der Bewertung vorgelagerten Phasen nicht erfasst,[90] ergibt sich eine solche Vorgabe auch nicht aus dem Wortlaut der Legaldefinitionen, der technologieneutral formuliert ist.[91] Auch die Artikel‑29‑Datenschutzgruppe, die in ihren Leitlinien die Ermittlung von Korrelationen als mögliche, aber nicht zwingende Phase des Profilings aufführt, zeigt anhand ihrer Beispiele, dass eine solche Methode nicht begriffsnotwendig ist.[92] Es ist daher nicht erforderlich, dass der Verantwortliche eine Datensammlung auf Korrelationen hin analysiert hat und die dabei identifizierten Muster anschliessend auf den Datensatz einer betroffenen Person anwendet, um sich ein Urteil über einen deren persönlichen Aspekte zu bilden.[93] Ebenso wenig ist die Verwendung von Algorithmen[94] begriffsnotwendig, auch wenn kaum vorstellbar ist, dass keine zum Einsatz kommen.[95]

Unerheblich ist ausserdem – anders als dies die Lehre teils vertritt[96] –, ob die Kriterien der Bewertung (von einem Menschen) vordefiniert sind und die Bewertung sodann nach einem Wenn-Dann-Schema abläuft.[97] Eine solche Einschränkung lässt sich nicht auf den Wortlaut der Legaldefinition stützen.[98] Auch würde damit die Modellentwicklung für den legaldefinierten Begriff des Profilings relevant werden, was nach dem Gesagten systemwidrig erscheint.[99] Für das schweizerische Recht kommt hinzu, dass die Botschaft zwar Wenn-Dann-Schemata bei den automatisierten Entscheidungen nach Art. 21 DSG ausschliessen will,[100] ein Hinweis auf eine solche Beschränkung in Bezug auf das Profiling in den Materialien hingegen fehlt. Im Sinne einer Folgeerwägung spricht zudem gegen diese Ansicht, dass sonst gerade die Berechnung des Kreditscores, wie sie von den (schweizerischen) Auskunfteien derzeit praktiziert wird, in aller Regel nicht als Profiling[101] qualifizieren würde, definieren doch die Auskunfteien bzw. für diese handelnde Menschen die Kriterien in der Form des verwendeten Modells vor.[102] Dieses Ergebnis lässt sich – zumindest für das DSG – kaum vertreten, nachdem der schweizerische Gesetzgeber beim Profiling (mit hohem Risiko) nicht zuletzt die Praxis der Auskunfteien vor Augen hatte.[103]

Zwischenfazit

Der legaldefinierte Begriff des Profilings setzt eine zumindest teilweise automatisierte Bewertung voraus, die sich auf einen persönlichen Aspekt einer bestimmten oder bestimmbaren natürlichen Person bezieht (Art. 5 lit. f DSG; Art. 4 Ziff. 4 DSGVO). Mit Blick auf das vom Ministerkomitee des Europarates geprägte Dreiphasenmodell erfasst das Profiling nach DSG und DSGVO lediglich die letzte Phase, nämlich diejenige der Schlussfolgerung. Abgesehen von der verlangten Automatisierung macht der Begriff keine Vorgaben an die Methode der Bewertung. Ebenso wenig enthält er – im Unterschied zum anschliessend zu besprechenden Persönlichkeitsprofil[104] – eine Anforderung hinsichtlich des Umfangs oder des Inhalts der verwendeten Daten.[105]

Die Berechnung des Kreditscores erfolgt in aller Regel computergestützt und damit automatisiert und dient dazu, die Kreditwürdigkeit, mithin einen persönlichen Aspekt einer betroffenen Person, zu beurteilen. Dabei berücksichtigt die Auskunftei verschiedene Daten, wie etwa über die kreditinteressierte Person registrierte Betreibungsvorgänge und von Kreditgeberinnen mit ihr gemachte Zahlungserfahrungen, um ihre Zahlungsfähigkeit und -willigkeit zu bewerten. Bei der von den Auskunfteien durchgeführten Berechnung des Kreditscores handelt es sich folglich um ein Profiling im Sinne des DSG und der DSGVO.[106]

Da die beiden Erlasse keine Anforderungen an Umfang oder Inhalt der verwendeten Personendaten stellen, genügt bereits ein Schluss vom Wohnort der kreditinteressierten Person auf deren Kreditwürdigkeit.[107] Die Beschaffung, Aufbereitung und Bekanntgabe von Bonitätsdaten etwa im Rahmen von Auskünften sind demgegenüber vom Profilingbegriff des DSG und der DSGVO nicht erfasst. Denn bei diesen Bearbeitungen findet keine eigentliche Kreditwürdigkeitsbeurteilung und damit keine Bewertung eines persönlichen Aspekts der betroffenen Person statt.

Vgl. Hildebrandt, in: Hildebrandt/Gutwirth, S. 17 ff.; Lorentz, S. 81 ff.; Walter, in: Epiney et al. 2011, S. 94 ff. ↵

Vgl. Bosco et al., S. 6 ff.; Kamara/Kosta, S. 278. ↵

Hildebrandt, in: Hildebrandt/Gutwirth, S. 19; Schreurs et al., in: Hildebrandt/Gutwirth, S. 241. ↵

Vgl. Gil González/de Hert, S. 609; Hildebrandt, in: Hildebrandt/Gutwirth, S. 20 und 22 f.; Walter, in: Epiney et al. 2011, S. 95. ↵

Lorentz, S. 33 f. und 85; vgl. auch Dinant et al., S. 3. ↵

Vgl. Gil González/de Hert, S. 609 f.; Hildebrandt, in: Hildebrandt/Gutwirth, S. 20; Walter, in: Epiney et al. 2011, S. 94 f. ↵

Vgl. dazu oben Teil 1, D.II.2.1. ↵

Bemerkenswert ist, dass die eigentliche Empfehlung von einem engeren Verständnis von Profiling ausgeht, indem sie die Zuordnung eines Profils zu einer natürlichen Person verlangt (Committee of Ministers, S. 9), was letztlich der dritten Phase gemäss Erläuterndem Bericht entspricht (vgl. Lorentz, S. 86). ↵

Committee of Ministers, S. 25; Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7. ↵

Diese drei Phasen liessen sich auch beim Kreditscoring identifizieren: Die (ii) zweite Phase entspricht der Entwicklung des Kreditscoring-Modells und die (iii) dritte Phase der Berechnung des Kreditscores; für beide dieser Phasen müssen zunächst im Sinne der (i) ersten Phase Daten gesammelt und allenfalls aufgearbeitet werden (vgl. dazu oben Teil 1, D.I.). ↵

Der Kreditscore enthält eine Angabe über die Kreditwürdigkeit einer (üblicherweise) bestimmten natürlichen Person; er stellt ein Personendatum dieser Person dar (vgl. dazu oben Teil 2, A.I.4.1). ↵

WEF, S. 16 f. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 19, welche die «Ausgabedaten» auch als «Profil selbst» bezeichnet. ↵

Vgl. dazu unten Teil 3, B.I.2.1.b. ↵

Lorentz, S. 102 f. und 105; vgl. auch Bühlmann/Schüepp, Jusletter 2022, Rn. 71 f. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7; vgl. auch Lorentz, S. 82 ff. Die Definition der DSGVO (und des DSG) ist allerdings nicht identisch (vgl. dazu unten Teil 3, B.I.2.). ↵

Committee of Ministers, S. 28 ff. ↵

Vgl. dazu oben Teil 2, A.I.1.2. ↵

Art.‑29‑DSG, Advice paper profiling, S. 2 f. ↵

Die informationelle Selbstbestimmung ist in der Grundrechtecharta nicht (ausdrücklich) vorgesehen und wird in der DSGVO höchstens ansatzweise umgesetzt (ausführlich Thouvenin, JIPITEC 2021, Rn. 9 ff.). Stimmen in der (deutschen) Lehre wollen aber aus dem Recht auf Achtung des Privatlebens (Art. 7 GRCh) und insb. jenem auf Schutz personenbezogener Daten (Art. 8 GRCh) einen vergleichbaren Grundrechtsschutz ableiten (Eichberger, Art. 2 N 278; Kühling/Raab, in: Kühling/Buchner, Einführung N 26). Die hier interessierenden privaten Akteure sind allerdings nicht (unmittelbar) grundrechtsgebunden (Art. 51 GRCh; Thouvenin, JIPITEC 2021, Rn. 8; vgl. auch Ernst/Sunaric, in: Epiney/Hehemann, S. 501; George, S. 29). ↵

Das Konzept der informationellen Selbstbestimmung meint das Recht und die Möglichkeit jeder natürlichen Person zu bestimmen, welche Informationen über sie selbst an andere weitergegeben werden und für welche Zwecke diese Informationen verwendet werden dürfen (Thouvenin, JIPITEC 2021, Rn. 4; vgl. auch Bamberger/Mulligan, S. 1539; Franzius, S. 259). ↵

Lorentz, S. 208; vgl. auch EDSA, Leitlinien Soziale Medien, Rn. 10; Roßnagel, ZD 2013, S. 566; Weichert, ZD 2013, S. 254. ↵

Botschaft Totalrevision DSG, S. 6969. ↵

Vgl. dazu unten Teil 3, B.II. ↵

Auch der Erläuternde Bericht VE-DSG, S. 68, nennt die Gründe nicht, weshalb bei einem Profiling ohne ausdrückliche Einwilligung der betroffenen Person eine Persönlichkeitsverletzung hätte fingiert werden sollen (vgl. Art. 23 Abs. 2 lit. d VE‑DSG). ↵

Botschaft Totalrevision DSG, S. 7021, vgl. auch S. 7075. ↵

Amtl. Bull. NR 2019 S. 1788 und 1793 (Votum Keller-Sutter und Schriftliche Begründung Einzelantrag Glättli); SPK-NR vom 23./24. Januar 2020, S. 5. ↵

Das Schlagwort «Big Data» meint nicht nur besonders grosse Datenmengen, sondern auch die Techniken zu deren Bearbeitung und insb. Analyse. Den Begriff charakterisieren die Eigenschaften Volume (grosse Datenmengen), Velocity (schnelle Datenerfassung und -analyse), Variety (starke Datenheterogenität) und Veracity (herausfordernde Datenqualität) (vgl. statt vieler Baesens et al., S. 129 f.; Thouvenin, Forschung, S. 28; Zarsky, S. 998 f.). ↵

SPK-NR vom 18./19. Oktober 2018, S. 9; vgl. auch Amtl. Bull. NR 2020 S. 147 (Votum Keller-Sutter); Amtl. Bull. NR 2020 S. 1596 (Votum Wermuth). ↵

Vgl. Amtl. Bull. NR 2020 S. 1597 (Votum Glättli). ↵

Vgl. Amtl. Bull. SR 2020 S. 1240 (Votum Fässler), mit einem Beispiel, in dem aus dem Einkaufsverhalten auf die gesundheitliche Situation geschlossen wird; SPK-SR vom 18./19. November 2019, S. 9. ↵

Botschaft Totalrevision DSG, S. 7021; vgl. dazu auch unten Teil 3, B.I.2. ↵

Vgl. dazu unten Teil 3, C.I.1. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 60 ff.; vgl. Stengel/Stäuble, Rn. 8 ff.; zur DSGVO ausführlich Lorentz, S. 90 ff. ↵

Das DSG spricht von «Bearbeitung von Personendaten» und von «diese[n] Daten», während die DSGVO mit «Verarbeitung personenbezogener Daten» und «diese[n] personenbezogenen Daten» sich ihrer eigenen Terminologie bedient (vgl. dazu oben Teil 2, A.I.1.1 und A.I.2.). ↵

Rosenthal, Jusletter 2020, Rn. 24; vgl. auch Métille, in: Epiney et al. 2022, S. 39; Vasella, in: Emmenegger, S. 197; a.M. Baeriswyl, S. 12, wonach der Begriff aus der JIRL übernommen sei. ↵

Amtl. Bull. NR 2020 S. 140 und 148 (Voten Fluri und Jauslin); Amtl. Bull. NR 2019 S. 1774 und 1790 (Voten Jauslin); SPK-NR vom 28./29. Juni 2018, S. 26 ff.; vgl. auch BJ, Totalrevision, S. 13, wonach sich das Parlament an Art. 3 Ziff. 4 JIRL und Art. 4 Ziff. 4 DSGVO orientiert habe und die Entstehungsgeschichte zeige, dass die europäischen Vorschriften bei der Auslegung des Profiling-Begriffs eine wichtige Rolle spielen würden. ↵

Vgl. Bühlmann/Schüepp, Jusletter 2022, Rn. 3 und 23; Métille, S. 26; Rosenthal, Jusletter 2020, Rn. 24; Uttinger/Geiser, Rn. 2.7. ↵

Roth, SZW 2021, S. 34; Stengel/Stäuble, Rn. 20. ↵

Statt vieler zum DSG Roth, SZW 2021, S. 33 ff.; Stengel/Stäuble, Rn. 28; zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7; Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 3 ff. Andere Aufteilungen dieser Elemente sind denkbar (vgl. BSK DSG-Blechta et al., Art. 5 N 125 m.w.H.). ↵

Im VE-DSG umfasste das Profiling noch die Auswertung von Personendaten oder nicht-personenbezogenen Daten, um wesentliche persönliche Merkmale zu analysieren oder Entwicklungen vorherzusagen (vgl. Erläuternder Bericht VE-DSG, S. 44). Der Begriff wurde auf Stellungnahmen in der Vernehmlassung hin indes gerade hinsichtlich dieses Aspekts bereits im Entwurf an die europäische Terminologie angepasst (Botschaft Totalrevision DSG, S. 7021). ↵

Vgl. dazu oben Teil 2, A.I. ↵

Zum DSG vgl. BSK DSG Blechta et al., Art. 5 N 132; zur DSGVO vgl. Lorentz, S. 98. ↵

Vgl. dazu oben Teil 2, A.I.4.1. ↵

«Bewerten» bedeutet «dem (Geld)wert, der Qualität, Wichtigkeit nach (ein)schätzen, beurteilen» (Duden Online, «Bewerten», abrufbar unter <https://www.duden.de/rechtschreibung/bewerten>, zuletzt besucht am 30. September 2024). ↵

Zum DSG Rosenthal, Jusletter 2020, Rn. 24 f.; vgl. auch BSK DSG-Blechta et al., Art. 5 N 134; Bühlmann/Schüepp, Jusletter 2022, Rn. 90; a.M. offenbar Stach, S. 11 f.; zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7; Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 6; vgl. auch Bygrave, in: Kuner et al., S. 130; Hänold, S. 125; a.M. Klabunde/Horváth, in: Ehmann/Selmayr, Art. 4 N 30, wonach auch das blosse Klassifizieren von Personen aufgrund der gesammelten Daten ohne komplexe Auswertung und Schlussfolgerung als Profiling gelte. ↵

Zum DSG OFK DSG-Stengel/Loderer, Art. 5 lit. f N 11; vgl. auch BSK DSG-Blechta et al., Art. 5 N 137; Rosenthal, Jusletter 2020, Rn. 26; zur DSGVO Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 6; vgl. auch Buchner, in: Kühling/Buchner, Art. 4 Ziff. 4 N 6; Vasella, in: Emmenegger, S. 193. ↵

Zum DSG vgl. BJ, Totalrevision, S. 14; Vasella, in: Emmenegger, S. 194; zur DSGVO vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7; Bygrave, in: Kuner et al., S. 130. ↵

Zum DSG und zur DSGVO vgl. Charlet, S. 221; zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 104. ↵

Zum DSG und zur DSGVO vgl. Charlet, S. 221; zum DSG CR LPD-Meier/Tschumy, Art. 5 N 92; OFK DSG-Stengel/Loderer, Art. 5 lit. f N 10; zur DSGVO vgl. Bygrave, in: Kuner et al., S. 130. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 105; Rosenthal, Jusletter 2020, Rn. 24 f.; zur DSGVO vgl. DSB, D124.3158 2021-0.101.211 vom 15. Februar 2021, D.2.4. ↵

Zum DSG vgl. Dal Molin, in: Dal Molin/Wesiak-Schmidt, § 1 N 102; zur DSGVO vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7; Buchner, in: Kühling/Buchner, Art. 22 N 22. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 90. ↵

Gemäss Art. 4 Ziff. 3a E-DSGVO EP sollte das Profiling definiert werden als «jede Form automatisierter Verarbeitung personenbezogener Daten, die zu dem Zweck vorgenommen wird, bestimmte personenbezogene Aspekte, die einen Bezug zu einer natürlichen Person haben, zu bewerten […]». Der Rat votierte indes für einen einschränkenderen Begriff (vgl. Art. 4 Ziff. 12a E-DSGVO Rat), wie er – von redaktionellen Anpassungen abgesehen – nunmehr in der DSGVO zu finden ist. ↵

Vgl. Bühlmann/Schüepp, Jusletter 2022, Rn. 74; Lorentz, S. 100; a.M. offenbar Rustici, S. 39. Die DSGVO zählt in ihrer Legaldefinition der Datenverarbeitung beispielhaft verschiedene spezifische Formen der Datenverarbeitung auf, worunter sich die Verwendung findet (Art. 4 Ziff. 2 DSGVO). Das gilt mutatis mutandis auch für das DSG (vgl. Art. 5 lit. d DSG). ↵

Vgl. dazu oben Teil 3, B.I.1.1. ↵

Zum DSG vgl. Bühlmann/Schüepp, Jusletter 2022, Rn. 85; zur DSGVO Bygrave, in: Kuner et al., S. 130; Lorentz, S. 101 f.; vgl. auch Spiecker gen. Döhmann et al., S. 540. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 73; zur DSGVO Lorentz, S. 100; vgl. auch Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 6; a.M. wohl Rustici, S. 39. ↵

Zur DSGVO Lorentz, S. 101. ↵

In ihrer ursprünglichen Fassung der Leitlinien zum Profiling hielt die Artikel‑29‑Datenschutzgruppe dafür, dass alle drei Phasen des Profilings unter die Legaldefinition der DSGVO fallen (Art.‑29‑DSG, Leitlinien ADM und Profiling [WP 251], S. 7). Für die überarbeitete Fassung der Leitlinien strich die Artikel‑29‑Datenschutzgruppe diesen Positionsbezug ersatzlos. ↵

A.M. Nišević, S. 108, die ohne nähere Begründung den Profilingbegriff der DSGVO mit dem Verständnis des Profilings in drei Phasen gleichsetzt. ↵

Vgl. aber Bühlmann/Schüepp, Jusletter 2022, Rn. 87, die auch die Speicherung der Output-Daten als vom Profilingbegriff umfasst verstehen wollen, da sie objektiv der Bewertung zuzurechnen sei. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 75 f.; Roth, SZW 2021, S. 36; zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7; Lorentz, S. 99 und 101. ↵

Zur DSGVO Lorentz, S. 104. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 95 und 97; vgl. auch BSK DSG-Blechta et al., Art. 5 N 139; OK DSG-Glatthaar/Schröder, Art. 5 lit. f/g N 14. ↵

Zum DSG Heuberger, Rn. 148; vgl. auch Bühlmann/Schüepp, Jusletter 2022, Rn. 96; zur DSGVO Buchner, in: Kühling/Buchner, Art. 4 Ziff. 4 N 7; vgl. auch Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 4. ↵

Zum DSG vgl. Bühlmann/Schüepp, Jusletter 2022, Rn. 95 ff.; zur DSGVO Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 4. ↵

Zum DSG BJ, Totalrevision, S. 14; Heuberger, Rn. 160; zur DSGVO Vasella, in: Emmenegger, S. 193. ↵

Zum DSG vgl. BJ, Totalrevision, S. 14 (wirtschaftliche Lage bzw. Kreditwürdigkeit); Heuberger, Rn. 159 (wirtschaftliche Verhältnisse); Roth, SZW 2021, S. 36 (wirtschaftliche Lage); zur DSGVO Buchner, in: Kühling/Buchner, Art. 4 Ziff. 4 N 7 (wirtschaftliche Lage und Zuverlässigkeit); Hänold, S. 125 (wirtschaftliche Lage und Zuverlässigkeit); Hladjk, in: Ehmann/Selmayr, Art. 22 N 7 (wirtschaftliche Lage); Kargl/Hötzendorfer, Rn. 5 f. (wirtschaftliche Lage). ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 126; Roth, SZW 2021, S. 35; vgl. auch Botschaft Totalrevision DSG, S. 7022; zur DSGVO Herbst, in: Kühling/Buchner, Art. 4 Ziff. 2 N 17; Kühling/Raab, in: Kühling/Buchner, Art. 2 N 15; vgl. auch Ernst, in: Paal/Pauly, Art. 2 N 5; dazu auch oben Teil 2, A.I.3. ↵

Botschaft Totalrevision DSG, S. 7022. ↵

Zum DSG Heuberger, Rn. 139; vgl. auch Stach, S. 12; zur DSGVO Nišević, S. 107; vgl. auch Arning/Rothkegel, in: Taeger/Gabel, Art. 4 N 119; Zerdick, in: Ehmann/Selmayr, Art. 2 N 3, die von «rechnergestützten Verarbeitung» sprechen. ↵

Zum DSG Roth, SZW 2021, S. 35; Bühlmann/Schüepp, Jusletter 2022, Rn. 77; zur DSGVO Art.‑29‑DSG, Leitlinien Datenübertragbarkeit, S. 7; vgl. auch Vasella, in: Emmenegger, S. 193. ↵

Botschaft Totalrevision DSG, S. 7022. ↵

Vgl. Vasella, in: Emmenegger, S. 197, wonach die Trennung der Stufen fragwürdig sei. ↵

Vgl. dazu oben Teil 3, B.I.1.1. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 81; Roth, SZW 2021, S. 35; vgl. auch BJ, Totalrevision, S. 13, wonach insb. der Bewertungsprozess automatisiert erfolgen müsse; Heuberger, Rn. 139; a.M. Füzesséry/Schneider, in: Epiney/Rovelli, S. 145; zur DSGVO vgl. Lorentz, S. 99 und 105. ↵

Vgl. dazu oben Teil 3, B.I.2. ↵

Zum DSG Rosenthal, Jusletter 2017a, Rn. 24; zur DSGVO vgl. Lorentz, S. 99 und 105. ↵

Zum DSG vgl. Botschaft Totalrevision DSG, S. 7022; zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7. ↵

Zum DSG vgl. Rosenthal, Jusletter 2017a, Rn. 24. ↵

Zum DSG Heuberger, Rn. 139 und 141; Vasella, in: Emmenegger, S. 197; vgl. auch BJ, Totalrevision, S. 13; a.M. PC LPD Jacot-Guillarmod, Art. 5 N 44, in Analogie zu Art. 21 DSG; vgl. auch CR LPD-Meier/Tschumy, Art. 5 N 92; OFK DSG-Stengel/Loderer, Art. 5 lit. f N 14 f.; zur DSGVO Bygrave, in: Kuner et al., S. 130; Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 4 (Fn. 11); vgl. auch Arning/Rothkegel, in: Taeger/Gabel, Art. 4 N 119. ↵

Zum DSG Vasella, in: Emmenegger, S. 197; vgl. auch Heuberger, Rn. 139; Rosenthal, Jusletter 2017a, Rn. 24. ↵

Zum DSG Suter F., S. 303; vgl. Bühlmann/Schüepp, Jusletter 2022, Rn. 78 und 81; zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7; Bygrave, in: Kuner et al., S. 130. ↵

Zum DSG BSK DSG-Blechta et al., Art. 5 N 128 f.; Bühlmann/Schüepp, Jusletter 2022, Rn. 81; vgl. auch BJ, Fragen, S. 9, wonach «die Datenbearbeitung im Wesentlichen automatisiert» ablaufen müsse; zur DSGVO vgl. Vasella, in: Emmenegger, S. 197. ↵

Für die DSGVO ergibt sich dies aus Art. 2 Abs. 1 DSGVO, der die ganz oder teilweise automatisierte Verarbeitung einerseits von der nichtautomatisierten Verarbeitung andererseits abgrenzt. Dabei liegt eine Teilautomatisierung bereits vor, wenn einige manuelle und einige automatisierte Datenverarbeitungen in einer zusammenhängenden Vorgangsreihe miteinander verknüpft sind (Bäcker, in: Wolff et al., Art. 2 N 3; Schmidt, in: Taeger/Gabel, Art. 2 N 9). Trotz fehlender entsprechender Regel hat dies auch für das Profiling nach DSG zu gelten, zumal der schweizerische Gesetzgeber den Profilingbegriff aus der DSGVO übernommen hat (vgl. dazu oben Teil 3, B.I.2.). ↵

Vgl. dazu oben Teil 3, B.I.2.1. ↵

Zum DSG Heuberger, Rn. 141; zur DSGVO vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7; Lorentz, S. 99. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 108; OK DSG-Glatthaar/Schröder, Art. 5 N 12; a.M. offenbar CR LPD-Meier/Tschumy, Art. 5 N 92; zur DSGVO Martini, in: Paal/Pauly, Art. 22 N 21a; Wenhold, S. 235; vgl. auch Buchner, in: Kühling/Buchner, Art. 4 Ziff. 4 N 6. ↵

Vgl. dazu oben Teil 3, B.I.2.1.b. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 116; OK DSG-Glatthaar/Schröder, Art. 5 N 12; zur DSGVO Arning/Rothkegel, in: Taeger/Gabel, Art. 4 N 123; Lorentz, S. 105. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7 und 9 (mit dem Beispiel eines Bussgeldes für eine Geschwindigkeitsüberschreitung, das anhand der über eine gewisse Zeit beobachteten Fahrgewohnheiten der betroffenen Person festgelegt wird). ↵

So aber Roth, SZW 2021, S. 35 f., unter Hinweis auf Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7, und Committee of Ministers, vgl. insb. S. 25. Die Erläuterungen zur Empfehlung des Europarates gehen von einem anderen Profilingbegriff aus (vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 7) und lassen sich daher für die Interpretation von Art. 5 lit. f DSG bzw. Art. 4 Ziff. 4 DSGVO nicht heranziehen (vgl. Lorentz, S. 85 ff.). ↵

Vgl. dazu oben Teil 1, D.II.2.2.b. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 81 und 116; vgl. auch Botschaft Totalrevision DSG, S. 7109; zur DSGVO vgl. Spiecker gen. Döhmann, S. 363. ↵

Zum DSGO und zur DSGVO vgl. Charlet, S. 222, wonach die Anwendung von vordefinierten mathematischen Formeln etwa zur Beurteilung der Kreditwürdigkeit kein Profiling darstelle; zum DSG BSK DSG-Blechta et al., Art. 5 N 135, die zu fordern scheinen, dass die Maschine die Kriterien selbst festlegt; vgl. auch OK DSG-Glatthaar/Schröder, Art. 5 lit. f/g N 11, wonach computergestützte «Wenn-Dann-Abfragen» nicht erfasst seien. ↵

Zum DSG vgl. Bühlmann/Schüepp, Jusletter 2022, Rn. 81, wonach die «Methode zur Lösung der Aufgabenstellung» irrelevant sei; zur DSGVO vgl. Martini, in: Paal/Pauly, Art. 22 N 21a, wonach die Legaldefinition keine Rückschlüsse auf die Methode der Bewertung erlaube. ↵

Zur DSGVO vgl. Härting, CR 2014, S. 529; Martini, in: Paal/Pauly, Art. 22 N 21a. ↵

Vgl. dazu oben Teil 3, B.I.2.1.b. ↵

Botschaft Totalrevision DSG, S. 7057. ↵

Entsprechend läge auch kein Profiling mit hohem Risiko i.S.v. Art. 5 lit. g DSG vor (vgl. dazu unten Teil 3, B.III.), selbst wenn die weiteren Voraussetzungen gegeben wären. ↵

Vgl. dazu oben Teil 1, D.II.2.2.b. ↵

Dies zeigt sich etwa im Zusammenhang mit Art. 31 Abs. 2 lit. c DSG, dem besonders geregelten überwiegenden Interesse für Kreditwürdigkeitsprüfungen, das bei Profiling mit hohem Risiko ausgeschlossen ist (vgl. Botschaft Totalrevision DSG, S. 7074 f.; Amtl. Bull. NR 2020 S. 1598 [Votum Gredig]; Amtl. Bull. SR 2020 S. 294 [Votum Fässler]; ferner Bericht Wirtschaftsauskunfteien, S. 19). ↵

Vgl. dazu unten Teil 3, B.II. ↵

Zur DSGVO vgl. Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 5; Stengel/Stäuble, Rn. 30; Vasella, in: Emmenegger, S. 193. ↵

Zur DSGVO EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 47; GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 33. ↵

Zur DSGVO vgl. Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 4; Vasella, in: Emmenegger, S. 193. ↵

21

Persönlichkeitsprofil (nur aDSG)

Wie erwähnt, kannte das aDSG anstelle des Profilings (mit hohem Risiko) die Rechtsfigur des Persönlichkeitsprofils, dessen Bearbeitungen es besonderen Vorgaben unterstellte. Insbesondere musste die Einwilligung bei der Bearbeitung eines Persönlichkeitsprofils ausdrücklich erfolgen (Art. 5 Abs. 5 Satz 2 aDSG), lag eine Persönlichkeitsverletzung bei der Bekanntgabe eines Persönlichkeitsprofils vor (Art. 12 Abs. 2 lit. c aDSG) und konnte sich die bearbeitende Person nicht auf das besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen berufen, wenn sie ein Persönlichkeitsprofil bearbeitete (Art. 13 Abs. 2 lit. c aDSG).[1]

Im Allgemeinen

Legaldefinition und Zweck der Regelung

Den Begriff des Persönlichkeitsprofils definierte das aDSG als eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer Person erlaubt (Art. 3 lit. d aDSG). Im Gegensatz zum Profiling, das eine bestimmte Art der Datenbearbeitung, mithin einen dynamischen Prozess darstellt, handelte es sich beim Persönlichkeitsprofil um ein Ergebnis einer Datenbearbeitung, also um etwas Statisches.[2]

Dieses Ergebnis musste in einer Zusammenstellung einer Vielzahl von Personendaten über die Persönlichkeitsstruktur, die beruflichen Fähigkeiten und Aktivitäten oder auch die ausserberuflichen Beziehungen und Tätigkeiten bestehen, die ein Gesamtbild oder ein wesentliches Teilbild der betroffenen Person abgaben.[3] Die Möglichkeit einer Beurteilung von wesentlichen Aspekten der Persönlichkeit genügte; deren tatsächliche Vornahme oder eine entsprechende Absicht war nicht erforderlich.[4] Unerheblich war die Herkunft der Daten bzw. die Art der Datenquelle.[5] Auch wenn sämtliche Personendaten bereits öffentlich zugänglich waren, etwa weil sie aus einer öffentlichen Quelle wie dem Handelsregister, dem Steuerregister oder dem Grundbuch stammten, konnte ein Persönlichkeitsprofil vorliegen.[6]

Die besondere gesetzliche Normierung von Persönlichkeitsprofilen diente der Transparenz und der Kontrolle der betroffenen Person über die Richtigkeit und Verwendung von Profilen und sollte die Persönlichkeitsentfaltung der betroffenen Person schützen.[7] Mit Blick auf diese ratio legis setzte die Praxis für das Vorliegen eines Persönlichkeitsprofils ein Risiko voraus, dass die betroffene Person sich in der Gesellschaft nicht mehr so darstellen bzw. entfalten konnte, wie sie es für richtig hielt.[8]

Einzelfallbeurteilung und Verwendungszusammenhang

Der gerichtlichen und behördlichen Praxis gelang es nur in sehr beschränktem Masse, den Begriff des Persönlichkeitsprofils fassbar zu machen.[9] Sie betonte, dass sich das Vorliegen eines Persönlichkeitsprofils bloss im Einzelfall[10] aufgrund der konkreten Umstände habe beurteilen lassen,[11] und unterstrich damit das ergebnisorientierte Begriffsverständnis. Massgebend waren dabei die Menge sowie der Inhalt der bearbeiteten Daten und ob diese Werturteile über die betroffene Person erlaubten.[12] Zu berücksichtigen war sodann die zeitliche Dimension, wobei über einen längeren Zeitraum zusammengetragene Daten (Längsprofile) eher ein Persönlichkeitsprofil ergaben als blosse Momentaufnahmen (Querprofile).[13] Erlaubten die Daten Rückschlüsse auf besonders schützenswerte Personendaten,[14] war ein Persönlichkeitsprofil eher anzunehmen.[15]

Ausserdem war der konkrete Verwendungszusammenhang mitentscheidend, ob ein Persönlichkeitsprofil vorlag und mithin der qualifizierte Schutz zum Tragen kommen sollte.[16] Wie der EDÖB in einem Schlussbericht festhielt, konnte mit Blick auf den Verwendungszusammenhang das Risiko fehlen, dass sich die betroffene Person in der Gesellschaft nicht mehr so darstellen und entfalten konnte, wie sie es für richtig hielt. Dies war z.B. der Fall, wenn die zumindest ein wesentliches Teilbild der betroffenen Person ausmachenden Daten nur der betroffenen Person zur Verfügung standen, der Verantwortliche sie nicht für Auswertungen oder die Berechnung von Affinitäten benutzte und Dritten nicht bekanntgab.[17] Ein solches Risiko lag hingegen etwa vor, wenn mittels systematischer Datenbearbeitungen gewonnene Erkenntnisse über die Affinität für zielgerichtete Marketingmassnahmen verwendet wurden und die betroffene Person über das Bestehen oder die Bildung solcher Profile Bescheid wusste; dies habe nämlich Änderungen im Denken, Handeln und Verhalten der betroffenen Person bewirken können.[18]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Auch im Zusammenhang mit Kreditwürdigkeitsprüfungen charakterisierten das Persönlichkeitsprofil im Wesentlichen dieselben Begriffselemente wie im Allgemeinen.[19] Demnach war zunächst eine Vielzahl von Personendaten erforderlich, weshalb der Kreditscore als einzelnes Datum kein Persönlichkeitsprofil darstellte.[20] Ausserdem müssten die Daten zumindest ein wesentliches Teilbild der Persönlichkeit abgeben.[21]

Konkretisierung insbesondere durch die Praxis

Für den vorliegend interessierenden Kontext konkretisierte die Praxis, welche Daten noch kein Persönlichkeitsprofil der betroffenen Person erzeugten, nämlich «diejenigen Daten, die eine Auskunftei im Rahmen ihres zweckmässigen Betriebs bearbeiten muss».[22] Diese Konkretisierung liess sich aus dem Umkehrschluss ableiten, dass der Gesetzgeber mit einem besonders geregelten überwiegenden Interesse[23] den Betrieb von Auskunfteien ermöglichen wollte.[24] Hätten sich unter dem alten Recht bereits Persönlichkeitsprofile aus Daten ergeben können, die eine Auskunftei für ihren zweckmässigen Betrieb bearbeiten muss, wäre sie ständig Gefahr gelaufen, das Datenschutzrecht zu verletzen. Die Bekanntgabe einer Zusammenstellung von solchen Daten etwa im Rahmen einer Auskunft an eine Kreditgeberin hätte bereits eine Persönlichkeitsverletzung darstellen können (Art. 12 Abs. 2 lit. c aDSG), die sich mit dem besonders geregelten überwiegenden Interesse für Kreditwürdigkeitsprüfungen nicht hätte rechtfertigen lassen (Art. 13 Abs. 2 lit. c aDSG).[25]

In diesem Sinne erklärte das Bundesverwaltungsgericht im Moneyhouse-Entscheid die Frage für massgebend, ob die bearbeiteten Daten zur Erteilung von Bonitätsauskünften «notwendig sind» und prüfte anschliessend namentlich die systematische Bonitätsrelevanz einzelner Daten.[26] Dabei stützte es sich auf eine Lehrmeinung, wonach solange kein Persönlichkeitsprofil vorliege, als insbesondere die Verhältnismässigkeit in materieller und zeitlicher Hinsicht gewahrt sei.[27] Das Kriterium entstammt der Praxis des EDÖB in der Sache Teledata, wonach eine Auskunftei kein Persönlichkeitsprofil bearbeite, wenn sich die Datenbearbeitung auf jene Informationen beschränke, die für die Prüfung der Kreditwürdigkeit tatsächlich geeignet und erforderlich seien.[28] Unter Würdigung des Umstands, dass die betreffende Auskunftei die Bearbeitung der Personendaten auf das in materieller und zeitlicher Hinsicht Verhältnismässige reduzieren werde, verneinte der EDÖB sodann im zu beurteilenden Fall das Erstellen von Persönlichkeitsprofilen.[29]

Die Bestimmung des Kreises der Daten, welche eine Auskunftei für ihren zweckmässigen Betrieb bearbeiten muss, deckte sich also mit der Frage, ob ein Datum für die Kreditwürdigkeitsprüfung geeignet und erforderlich war, und damit weitgehend mit jener der Verhältnismässigkeit. Solange die Datenbearbeitungen verhältnismässig waren, lag kein Persönlichkeitsprofil vor. Die Voraussetzung der Bearbeitung ungeeigneter oder nicht erforderlicher Daten bedeutete aber umgekehrt nicht, dass eine Auskunftei bereits ein Persönlichkeitsprofil bearbeitete, sobald sie nur ein Datum in die Kreditwürdigkeitsprüfung einbezog, das als unverhältnismässig zu qualifizieren war.[30] Vielmehr war – wie bei jedem anderen Bearbeitungskontext und anhand derselben Kriterien – zu prüfen, ob die bearbeiteten Daten zumindest ein wesentliches Teilbild der Persönlichkeit abgaben.[31] Als Bekanntgabe eines Persönlichkeitsprofils wertete das Bundesverwaltungsgericht beispielsweise eine Auskunft, die neben für die Kreditwürdigkeitsprüfung geeigneten und erforderlichen Daten auch den Namen von Familienmitgliedern, deren Alter und allenfalls Beruf sowie die entsprechenden Angaben zur Nachbarschaft umfasste.[32]

Darüber hinaus setzte ein Persönlichkeitsprofil auch im Kontext von Kreditwürdigkeitsprüfungen voraus, dass die bearbeitende Person die Daten in einem Zusammenhang verwendete,[33] der den qualifizierten Schutz rechtfertigte.[34] Die charakteristische Geschäftstätigkeit der Auskunfteien besteht darin, Personendaten zu beschaffen, zu analysieren und auszuwerten, um die Kreditwürdigkeit der kreditinteressierten Person zu beurteilen. Je nach Verhalten bewertet die Auskunftei die kreditinteressierte Person unterschiedlich, die entsprechend geneigt sein kann, ihr Verhalten anzupassen.[35] Es besteht demnach grundsätzlich das Risiko, dass sich die betroffene Person nicht mehr so darstellt und entfaltet, wie sie will. Die beschafften und abgeleiteten Daten, inklusive eines allfälligen Kreditscores, sind sodann für die Verwendung durch Dritte bestimmt. Auf Anfrage hin geben die Auskunfteien nämlich Kreditgeberinnen einen Kreditscore und/oder weitere bonitätsrelevante Daten bekannt, um diesen einen informierten Kreditentscheid zu ermöglichen. Vor diesem Hintergrund war regelmässig davon auszugehen, dass bei der charakteristischen Geschäftstätigkeit der Auskunfteien ein relevanter Verwendungszusammenhang bestand.

Würdigung

Die der Praxis entstammende Beschränkung des Begriffs des Persönlichkeitsprofils auf Fälle, in denen die bearbeitende Person für die Kreditwürdigkeitsprüfung auch ungeeignete oder nicht erforderliche Daten bearbeitete, hatte eine bemerkenswerte Folge: Dem Ausschluss der Bearbeitung eines Persönlichkeitsprofils aus dem besonders geregelten überwiegenden Interesse für Kreditwürdigkeitsprüfungen (Art. 13 Abs. 2 lit. c aDSG) kam keine eigenständige Bedeutung mehr zu. Denn eine persönlichkeitsverletzende Datenbearbeitung im Rahmen einer Kreditwürdigkeitsprüfung liess sich gestützt auf Art. 13 Abs. 2 lit. c aDSG ohnehin nur rechtfertigen, wenn die bearbeitende Person für solche Prüfungen geeignete und erforderliche Daten bearbeitete.[36] Setzte also das Persönlichkeitsprofil nebst weiteren Tatbestandselementen voraus, dass nicht geeignete oder erforderliche Daten bearbeitet wurden, ergaben sich aus dessen Ausschluss aus dem besonders geregelten überwiegenden Interesse keine zusätzlichen Einschränkungen. Auf diese Problematik der Redundanz, die sich beim neurechtlichen Profiling mit hohem Risiko analog stellt, ist zurückzukommen.[37]

In Bezug auf den verlangten Verwendungszusammenhang ist festzuhalten, dass empirische Studien zu solchen sog. «chilling effects» – verstanden als Verhaltensbeeinflussung betroffener Personen durch die systematische Erfassung ihrer Daten[38] – aufgrund privater Überwachungs- und Profilingmassnahmen noch heute weitestgehend fehlen.[39] Mangels wissenschaftlicher Untersuchungen lässt sich auch der Einfluss der Aktivitäten schweizerischer Auskunfteien auf die Persönlichkeitsentfaltung und das Verhalten betroffener Personen nicht beurteilen. Es wäre daher wünschenswert gewesen, dass die «chilling effects» besser erforscht worden wären, bevor das Gesetz und die Praxis Rechtsfolgen daran anknüpfen. Nachdem insbesondere die rechtswissenschaftliche Lehre[40] und Rechtsprechung[41] sowie die Botschaft[42] (jedenfalls bei staatlichen Massnahmen) von deren Bestehen ausgehen, dürften der EDÖB und die Gerichte dennoch ein Risiko der Entfaltungseinschränkung und Verhaltensanpassung bei Kreditwürdigkeitsprüfungen durch Auskunfteien annehmen.

Bemerkenswert ist zudem eine Äusserung des EDÖB zum Verwendungszusammenhang in seinem Schlussbericht in der Sache Teledata. Darin hielt er es für problematisch, dass die Auskunftei auch Daten in die Kreditwürdigkeitsbeurteilung einbezog, die nicht auf das Verhalten der zu beurteilenden Person zurückzuführen waren, für die sie objektiv gesehen nicht verantwortlich war, und worauf sie entsprechend keinen Einfluss haben konnte.[43] Soweit ein Datum tatsächlich nicht auf das Verhalten der zu beurteilenden Person zurückzuführen ist, dürfte es von den Bestimmungen über das Persönlichkeitsprofil angesichts deren Zwecks[44] gar nicht erst erfasst gewesen sein. Ist ein Datum nämlich unabhängig vom Verhalten der Person, wird sie ihr Verhalten aufgrund der Erhebung und Bearbeitung des Datums nicht ändern. Umgekehrt leistete der EDÖB damit der Bearbeitung von mit Blick auf den Zweck des Persönlichkeitsprofils problematischen Daten Vorschub, wenn er von den Auskunfteien die Verwendung von Daten forderte, auf welche die betroffene Person mit ihrem Verhalten Einfluss nehmen kann.[45]

Ausserdem traf private Personen eine Meldepflicht der Datensammlung bei regelmässiger Bearbeitung von Persönlichkeitsprofilen (Art. 11a Abs. 3 lit. a aDSG) und eine Informationspflicht bei deren Beschaffung (Art. 14 Abs. 1 aDSG). ↵

Botschaft Totalrevision DSG, S. 7021; vgl. auch Métille/Nguyen Xuan, S. 179; Stengel/Stäuble, Rn. 3 und 10; Bericht Wirtschaftsauskunfteien, S. 24. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.1; EDÖB, Teledata, S. 9; vgl. Botschaft DSG 1988, S. 446 f. ↵

Das Gesetz verwendet das Verb «erlauben» (Art. 3 lit. d aDSG) und auch die Botschaft sowie die Praxis und Lehre sprechen zusätzlich von «zulassen», «erschlossen werden können», «ermöglichen» etc. (vgl. Botschaft DSG 1988, S. 447; BVGer, A‑4232/2015 vom 18. April 2017, E. 5.2.5.1; BSK aDSG-Blechta, Art. 3 N 64). Mit Blick auf den Verwendungszweck, der für das Vorliegen eines Persönlichkeitsprofils relevant ist, liesse sich auch von einer «Wahrscheinlichkeit» einer Beurteilung von wesentlichen Aspekten der Persönlichkeit sprechen. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.4. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.4; vgl. auch EDÖB, Digitec Galaxus, Rn. 88; Métille/Nguyen Xuan, S. 179. ↵

Zum Zweck hält die Botschaft DSG 1988, S. 447, fest, was folgt: «Die Betroffenen haben oft keine Kenntnis vom Bestehen eines Profils und können so dessen Richtigkeit und Verwendung nicht kontrollieren. Einmal erstellt, können aber Persönlichkeitsprofile den Betroffenen der Freiheit berauben, sich so darzustellen, wie er will. Sie vermögen mithin die Entfaltung der Persönlichkeit ganz wesentlich zu beeinträchtigen. Deshalb sollen sie, gleich wie besonders schützenswerte Daten, nur unter bestimmten Voraussetzungen erstellt und bearbeitet werden dürfen.» Ausserdem wollte der Gesetzgeber dem Umstand Rechnung tragen, dass eine Vielzahl nicht besonders schützenswerter Personendaten sich zu einem spezifischen Bild über die betroffenen Personen verdichten lasse, das als solches ein erhöhtes Risiko für die Persönlichkeit darstelle (BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.1; BSK aDSG-Blechta, Art. 3 N 63). ↵

EDÖB, PostFinance, S. 9; EDÖB, Teledata, S. 9 und 11; vgl. auch BVGer, A‑4232/2015 vom 18. April 2017, E. 5.2.1; EDSK, Urteil vom 27. Januar 2000, in: VPB 65.48, S. 544 ff., E. 2d. Damit offenbart sich ein Zielkonflikt in den Bestimmungen über das Persönlichkeitsprofil: Einerseits soll Transparenz geschaffen und die betroffene Person über die Erstellung von Persönlichkeitsprofilen informiert werden. Andererseits soll die betroffene Person vor dem Risiko geschützt werden, ihre Persönlichkeit aufgrund der Erstellung von sie betreffenden Persönlichkeitsprofilen nicht mehr uneingeschränkt entfalten zu können – ein Risiko, das erst bestehen kann, wenn die betroffene Person die Erstellung von Persönlichkeitsprofilen zumindest vermutet. ↵

Vgl. SHK aDSG-Rudin, Art. 3 N 30; Stengel/Stäuble, Rn. 2. ↵

Gemäss dem EDÖB sind Angaben zu Wohnsitzwechseln über einen Zeitraum von mehreren Jahren als Persönlichkeitsprofil zu werten (EDÖB, Mietercheck, Rn. 41). Im Zusammenhang mit dem Datenschutzgesetz des Kantons Zürich qualifizierte das Bundesgericht die im Rahmen eines Einbürgerungsverfahrens verwendeten Angaben über Herkunft, Einkommen, Vermögen, Ausbildung, Tätigkeit, Sprachkenntnisse etc. in ihrer Gesamtheit als Persönlichkeitsprofil (BGE 129 I 232 E. 4.3.2). Vgl. auch Botschaft DSG 1988, S. 447; BSK aDSG-Blechta, Art. 3 N 67, je mit weiteren Beispielen. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.1; EDSK, Urteil vom 27. Januar 2000, in: VPB 65.48, S. 544 ff., E. 2b. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.1; EDÖB, Digitec Galaxus, Rn. 88; vgl. auch EDÖB, PostFinance, S. 9 f.; EDÖB, Teledata, S. 9. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.1; EDSK, Urteil vom 27. Januar 2000, in: VPB 65.48, S. 544 ff., E. 2b; EDÖB, Digitec Galaxus, Rn. 88; EDÖB PostFinance, S. 9 f.; EDÖB, Teledata, S. 9. ↵

Vgl. dazu oben Teil 2, A.I.1.2. ↵

BSK aDSG-Blechta, Art. 3 N 67; Gerschwiler et al., in: Passadelis et al., Rn. 3.50; vgl. auch BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.1 und 5.2.5.1; Botschaft DSG 1988, S. 447. ↵

EDÖB, PostFinance, S. 9 f.; EDÖB, Teledata, S. 9 und 11; EDÖB, Windows 10, S. 17 f.; vgl. auch BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.1; EDSK, Urteil vom 27. Januar 2000, in: VPB 65.48, S. 544 ff., E. 2b, wonach «unter Umständen der konkrete Zusammenhang, in dem die Daten verwendet werden, mit entscheidend [sic]» ist. Die Frage des Verwendungszusammenhangs klammerte der EDÖB, Digitec Galaxus, Rn. 88, zuletzt zu Unrecht und ohne Begründung aus. ↵

EDÖB, PostFinance, S. 9 f. ↵

EDÖB, PostFinance, S. 11. Bemerkenswert ist, dass der EDÖB zunächst von der Unkenntnis der betroffenen Person über die Analysen und Auswertungen ausgeht, weshalb sie die Richtigkeit und Verwendung nicht kontrollieren könne, ihr anschliessend aber dieses Wissen unterstellt, sodass das Risiko einer Änderung des Denkens und Verhaltens überhaupt zu bestehen vermag. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5; ferner EDÖB, Teledata, S. 10 f. ↵

Peter et al., S. 51. ↵

Vgl. dazu oben Teil 3, B.II.1. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5; vgl. auch EDÖB, Teledata, S. 10 f.; Hofer, in: Passadelis et al., Rn. 16.41. ↵

Vgl. Art. 13 Abs. 2 lit. c aDSG bzw. Art. 31 Abs. 2 lit. c DSG, welche ein überwiegendes Interesse für Datenbearbeitungen zur Prüfung der Kreditwürdigkeit besonders regeln. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5; vgl. auch Hofer, in: Passadelis et al., Rn. 16.41. ↵

Anzumerken ist freilich, dass je nach Auskunftsprodukt die Fiktion einer Persönlichkeitsverletzung kein Hindernis für die charakteristische Geschäftstätigkeit der Auskunfteien darstellte: Übermittelte die Auskunftei einer Kreditgeberin nämlich nur den Kreditscore, gab sie bloss ein Datum und damit kein Persönlichkeitsprofil bekannt (vgl. dazu oben Teil 3, B.II.1.1). ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.1 f. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5, mit Verweis auf Hofer, in: Passadelis et al., Rn. 16.41. ↵

EDÖB, Teledata, S. 32. ↵

EDÖB, Teledata, S. 51. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.1 ff., wo das BVGer prüft und bejaht, dass die Daten ein wesentliches Teilbild der Persönlichkeit der betroffenen Person abgeben. ↵

Vgl. dazu oben Teil 3, B.II.1. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.2 f. ↵

Vgl. dazu oben Teil 3, B.II.1.2. ↵

EDÖB, Teledata, S. 11 f. ↵

Vgl. EDÖB, Teledata, S. 12, mit dem Beispiel einer Person, die sich gegen die Wohnsitznahme in einem Quartier mit vielen Ausländern entscheidet, einzig aus dem Grund, weil sie dann als weniger kreditwürdig eingestuft wird. ↵

Die Rechtslage hat sich insoweit nicht verändert; noch heute vermag die Nachfolgernorm, Art. 31 Abs. 2 lit. c DSG, grundsätzlich nur zur Kreditwürdigkeitsprüfung verhältnismässige Bearbeitung zu rechtfertigen (vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.1). ↵

Vgl. dazu unten Teil 3, B.III.2.1. ↵

Zum Begriff der «chilling effects» vgl. Marder et al., S. 582; ferner Penney, S. 3. ↵

Vgl. Büchi et al., S. 7; Penney, S. 2. Besser erforscht sind die «chilling effects» aufgrund staatlicher Massnahmen (vgl. Kostka/Antoine, S. 256 ff.; Marthews/Tucker, S. 1 ff.; Stoycheff, S. 296 ff.). ↵

Vgl. etwa Aggarwal, S. 59; Cellina, Rn. 1597; Franzius, S. 262; Geslevich Packin/Lev-Aretz, S. 372 ff.; Kaltheuner/Bietti, S. 9; Lynskey, S. 215 ff.; Montavon, S. 138 f. ↵

Vgl. etwa BGE 146 I 83 E. 6.2.3; BGE 146 I 11 E. 3.2; EGMR, Catt c. Vereinigtes Königreich, Nr. 43514/15 (2019) Ziff. 123; EGMR, Weber und Saravia c. Deutschland, Nr. 54934/00 (2006) Ziff. 78. ↵

Vgl. Botschaft Totalrevision DSG, S. 7059, wo der Bundesrat im Kontext der Datenschutz-Folgenabschätzung (Art. 22 DSG) festhält, dass die betroffene Person «sich auch gezwungen fühlen [kann], ihr Verhalten zu ändern, beispielsweise weil sie weiss, dass ihr Verhalten überwacht wird». ↵

EDÖB, Teledata, S. 12. ↵

Vgl. dazu oben Teil 3, B.II.1.1. ↵

EDÖB, Teledata, S. 12, vgl. aber auch S. 51, wo der EDÖB sodann von seiner ursprünglichen Qualifikation als Persönlichkeitsprofil im fraglichen Fall abrückt. ↵

22

Profiling mit hohem Risiko (nur DSG)

Der Begriff des Profilings mit hohem Risiko fand erst mit Beschluss des Ständerates vom 18. Dezember 2019 Eingang ins DSG[1] und war bis zur Einigungskonferenz umstritten.[2] Ausgangspunkt für die Unterscheidung des Profilings mit hohem Risiko war die Erkenntnis, dass nicht jedes Profiling zu einem hohen Risiko führt und daher ein risikobasierter Umgang angezeigt war.[3] Im Laufe des Gesetzgebungsverfahrens änderte sich die Legaldefinition mehrfach,[4] bis sich die Räte auf einen Wortlaut einigen konnten, der auf einen vom Bundesamt für Justiz stammenden Formulierungsvorschlag zurückgeht.[5] Dem europäischen Recht ist der Begriff des Profilings mit hohem Risiko unbekannt.

Im Allgemeinen

Legaldefinition und Zweck der Regelung

In der verabschiedeten Fassung knüpft der Begriff an die bereits besprochene Definition des Profilings an[6] und setzt voraus, dass das Profiling ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt (nachfolgend 1.3), indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt (nachfolgend 1.2; Art. 5 lit. g DSG). Der letzte Teil der Legaldefinition entstammt augenscheinlich dem aDSG und verbindet damit das neurechtliche Profiling mit dem altrechtlichen Persönlichkeitsprofil.[7]

Der Zweck dieser Begriffsdefinition liegt im Wesentlichen darin, das Schutzniveau des aDSG zu halten und mit der Fortführung einer bestehenden Praxis, insbesondere der Moneyhouse-Rechtsprechung, für Rechtssicherheit zu sorgen.[8] Angesichts der begrifflich unmittelbaren Anknüpfung dürfte die Regelung im Kern auch den Zweck der Bestimmungen des aDSG zum Persönlichkeitsprofil fortführen. Diese zielten darauf ab, die Transparenz und damit die Kontrolle der betroffenen Person über Richtigkeit und Verwendung des Persönlichkeitsprofils zu verbessern. Zudem bezweckten sie, die Freiheit der betroffenen Person, sich so darzustellen, wie sie will, mithin ihre Persönlichkeitsentfaltung, zu schützen.[9] Durch die Einführung einer allgemeinen Informationspflicht mit dem totalrevidierten DSG erübrigt sich allerdings die Transparenzverbesserung[10] und die durch deren Gewährleistung beabsichtigten weiteren Zwecke.

Profiling, das zu einem Persönlichkeitsprofil «führt»

Trotz Anknüpfung an das altrechtliche Persönlichkeitsprofil spricht das totalrevidierte DSG im Gegensatz zum aDSG nicht mehr von einer Zusammenstellung, sondern von einer Verknüpfung von Daten. Dies hat aber keine rechtliche Relevanz und sollte gemäss den Materialien bloss die Terminologie im Kontext von Big Data präzisieren.[11] Selbst wenn die Verknüpfung von Daten als separate Voraussetzung (neben dem Persönlichkeitsprofil) verstanden wird,[12] dürfte ihr kaum eine eigenständige Bedeutung zukommen, zumal ein Profiling ohne Datenverknüpfung – verstanden als Zusammenführen von Daten über eine bestimmte oder bestimmbare Person[13] – nur schwerlich vorstellbar ist.[14]

Der Gesetzgeber übertrug also den altrechtlichen Begriff des Persönlichkeitsprofils ins neue Recht.[15] Ein Profiling mit hohem Risiko ist, wie es gerne vereinfacht formuliert wird,[16] ein Profiling,[17] das zu einem Persönlichkeitsprofil im Sinne des aDSG[18] «führt». Wie den Materialien zu entnehmen ist, wollte der Gesetzgeber das Profiling mit hohem Risiko ergebnisorientiert statt methodenabhängig definieren.[19] Prima vista scheint daher ein Profiling mit hohem Risiko dann vorzuliegen, wenn der Output, d.h. die mittels Profiling generierten Daten, als Persönlichkeitsprofil qualifiziert.[20] So hält etwa der Bundesrat in seiner Botschaft zur Revision des Bundespersonalgesetzes fest, dass ein Assessment als Profiling mit hohem Risiko qualifizieren könne, da damit bestimmte persönliche Aspekte automatisiert bewertet würden und das Ergebnis, z.B. ein Bericht über eine Bewerberin, (womöglich) ein Persönlichkeitsprofil darstelle.[21] Dennoch fragt sich bei näherer Betrachtung, ob nicht doch der Input und damit die für das Profiling herangezogenen Daten[22] massgebend sind.

Element des Persönlichkeitsprofils

Das Bundesamt für Justiz spricht sich in der Begründung seines Formulierungsvorschlags nicht widerspruchsfrei über die Frage aus, ob ein Profiling mit hohem Risiko voraussetzt, dass der Input oder der Output eines Profilings ein Persönlichkeitsprofil darstellt. Gerade in Bezug auf die hier besonders interessierenden Kreditwürdigkeitsprüfungen hält es indes fest, dass die für das Profiling herangezogenen Daten relevant seien.[23] Dieser Aussage ist ein besonderes Gewicht beizumessen, da das DSG[24] den Begriff des Profilings mit hohem Risiko im Zusammenhang mit Kreditwürdigkeitsprüfungen das eine von insgesamt bloss zwei Malen verwendet[25] und dieser Kontext im Gesetzgebungsverfahren als Hauptanwendungsfall eines solchen Profilings betrachtet wurde.[26] Diese auf den Input abstellende Auslegung des Bundesamts für Justiz bestätigte der Bundesrat in seinem Bericht über den Rechtsrahmen der Auskunfteien.[27]

Grund für dieses Verständnis dürfte sein, dass sonst das sich aus der altrechtlichen Regelung des Persönlichkeitsprofils ergebende Schutzniveau, dessen Aufrechterhaltung die Regelung des Profilings mit hohem Risiko bezweckt,[28] erheblich gesenkt würde. Nachdem ein Persönlichkeitsprofil nämlich eine Vielzahl von Daten voraussetzt,[29] würde jedes Profiling eines hohen Risikos entbehren, das bloss ein einzelnes Datum als Output hervorbringt, gänzlich ungeachtet des Umfangs und Inhalts der dafür herangezogenen Daten. Ausserdem müsste der Output, der bei dieser Auslegung ein Persönlichkeitsprofil darzustellen hätte, an sich die Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlauben.[30] Gerade für den eben besonders relevanten Kontext der Kreditwürdigkeitsprüfungen hätte dies zur Folge, dass das Kreditscoring kaum je ein Profiling mit hohem Risiko darstellen würde. Denn in aller Regel wird dabei bloss ein Datum, der Kreditscore, generiert, der allein schwerlich im Stande ist, ein Gesamtbild oder ein wesentliches Teilbild der betroffenen Person abzugeben.

Die Auslegung, die den Output für massgebend erklärt, könnte auch kaum erklären, weshalb die Legaldefinition einerseits die Bewertung persönlicher Aspekte und andererseits eine Verknüpfung von Daten verlangt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt. Die zusammengesetzte Legaldefinition des Profilings mit hohem Risiko lautet nämlich wie folgt (Art. 5 lit. f und g DSG): «Jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich [verschiedener Bereiche oder Eigenschaften] dieser natürlichen Person zu analysieren oder vorherzusagen, [und die] ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem [sie] zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.» Hätte ein Profiling mit hohem Risiko ein Persönlichkeitsprofil hervorzubringen, wäre der Begriff eher zu definieren gewesen als «jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um wesentliche Aspekte der Persönlichkeit einer natürlichen Person zu bewerten [oder: bewerten zu können]».

Freilich kommt dem grammatikalischen Auslegungselement und mithin diesem Argument angesichts der Gesetzgebungsgeschichte kein besonderes Gewicht zu. Entsprechend erscheint es indes auch nicht zwingend, das vom Gesetz verwendete Verb «führen» chronologisch als «ein Endresultat verursachen» zu verstehen. Vielmehr lässt sich das Verb auch kausal begreifen: Das Profiling mit hohem Risiko, bei dem der Input ein Persönlichkeitsprofil darstellt, «führt» nämlich als Zwischenergebnis ebenso zu einer Verknüpfung von Daten,[31] und zwar insoweit, als Daten zwecks Generierung eines Outputs im Rahmen des Profilingprozesses zusammengeführt werden.

Nach alledem erscheint es meines Erachtens überzeugender, ein Profiling mit hohem Risiko anzunehmen, wenn der Input eines Profilings als Persönlichkeitsprofil im Sinne des aDSG[32] qualifiziert.[33] Damit ist auch gesagt, dass ohne Persönlichkeitsprofil kein Profiling mit hohem Risiko i.S.v. Art. 5 lit. g DSG bestehen kann.[34] Es lässt sich daher, wie vom Gesetzgeber beabsichtigt,[35] (unmittelbar) auf die bisherige Lehre und Praxis zum Persönlichkeitsprofil, insbesondere den Moneyhouse-Entscheid, zurückgreifen.[36]

Element des Profilings

Während für das altrechtliche Persönlichkeitsprofil die Möglichkeit einer Beurteilung wesentlicher Aspekte ausreichte,[37] setzt das Profiling[38] eine auf die Bewertung eines persönlichen Aspekts ausgerichtete Datenverwendung voraus.[39] Eine Verknüpfung von Daten automatisiert durchzuführen, die an sich eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt, mithin die Voraussetzungen eines Persönlichkeitsprofils erfüllt, reicht also für ein Profiling mit hohem Risiko nicht aus.[40] Vielmehr ist zusätzlich eine Verwendung zur Bewertung eines persönlichen Aspekts einer natürlichen Person erforderlich; es bedarf – anders gewendet – des Ziels eines informationellen Mehrwerts[41] samt einer subjektiven Komponente.[42] Dabei genügt es, wenn ein (beliebiger) persönlicher Aspekt bewertet wird, obschon der Input die Beurteilung wesentlicher Aspekte der Persönlichkeit erlauben würde.[43] Registriert beispielsweise ein Verantwortlicher Angaben zu Wohnsitzwechseln einer natürlichen Person über einen Zeitraum von mehreren Jahren und gibt diese interessierten Dritten wie z.B. Vermieterinnen bekannt,[44] ohne gestützt darauf eine Vorhersage betreffend Ortswechsel oder eine anderweitige Bewertung eines persönlichen Aspekts vorzunehmen, liegt kein Profiling mit hohem Risiko vor.

Hinzu kommt, dass das Profiling mit hohem Risiko insoweit enger als das altrechtliche Persönlichkeitsprofil ist, als ersteres eine automatisierte Bearbeitung[45] erfordert.[46]

Weiteres Element?

Nach einer Lehrmeinung muss das Persönlichkeitsprofil als Folge des Profilings aufgrund der Umstände mit einer gewissen Wahrscheinlichkeit in falsche Hände gelangen oder sich in anderer Weise erheblich negativ auf die betroffene Person auswirken.[47] Dies stellt nach hier vertretener Ansicht keine separate Voraussetzung dar. Bei der Beurteilung, ob überhaupt ein Persönlichkeitsprofil vorliegt, ist der Verwendungszusammenhang und mithin zu beurteilen, ob das Risiko besteht, dass die betroffene Person sich nicht mehr so verhalten und entfalten kann, wie sie will.[48] Eine weitere Prüfung einer (potenziellen) negativen Auswirkung auf die betroffene Person lässt sich dem Gesetz nicht entnehmen.

Abstraktes hohes Risiko

Angesichts des Wortlauts der Legaldefinition fragt sich, ob bei jedem Profiling, das zu einem Persönlichkeitsprofil «führt», ein (abstraktes) hohes Risiko und damit bereits ein Profiling mit hohem Risiko vorliegt, oder ob das Vorliegen eines (konkreten) hohen Risikos erst nach der Bejahung eines Persönlichkeitsprofils anhand einer separaten Risikobewertung (im Rahmen einer Datenschutz-Folgenabschätzung nach Art. 22 DSG) zu beurteilen ist.[49] Erstere Ansicht degradiert den auf das Risiko bezogenen Relativsatz in der Legaldefinition zu einem deklaratorischen Einschub, während letztere Ansicht eine weitere Voraussetzung statuiert und in diesem Rahmen risikomitigierende Massnahmen berücksichtigt.[50]

Wortlaut und Systematik

Der Wortlaut der Legaldefinition des Profilings mit hohem Risiko spricht für eine separate Prüfung eines konkreten hohen Risikos, zumal er das hohe Risiko für die Persönlichkeit oder die Grundrechte neben dem Vorliegen eines Persönlichkeitsprofils[51] nennt (Art. 5 lit. g DSG).[52] Auch die Gesetzessystematik lässt sich zugunsten dieses Verständnisses vorbringen. So verlangen andere Bestimmungen des DSG – Art. 14 Abs. 1 lit. d DSG betreffend die Pflicht ausländischer Verantwortlicher, in der Schweiz eine Vertretung zu bestimmen,[53] und Art. 24 Abs. 1 DSG betreffend die Pflicht zur Meldung von Datensicherheitsverletzungen[54] – ebenfalls ein hohes Risiko und meinen damit ein konkretes hohes Risiko.[55]

Gesetzeshistorie

Ebenso liesse sich zugunsten einer separaten Voraussetzung ins Feld führen, dass ein Mitglied der ständerätlichen Kommission die Idee ins Spiel gebracht hatte, den ersten Teil der Legaldefinition zu streichen,[56] eine solche Streichung aber nicht erfolgte. Es wurde jedoch weder ein entsprechender Antrag gestellt noch eine längere Diskussion darüber geführt. Im Übrigen ergibt sich aus den Kommissionsunterlagen deutlich, dass die verabschiedete Definition keine separate Prüfung des konkreten hohen Risikos voraussetzt.[57] Aus den Protokollen erhellt, dass das Parlament definieren wollte, wann ein Profiling ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt,[58] und dass der Sinn der Legaldefinition darin liegt, das Profiling mit hohem Risiko als Profiling zu bestimmen, das zu einem Persönlichkeitsprofil nach aDSG «führt».[59]

Entsprechende Äusserungen finden sich denn auch in der Parlamentsdebatte, in welcher die zuständige Bundesrätin und verschiedene Parlamentsmitglieder das Profiling mit hohem Risiko als Profiling bezeichneten, das zu einem Persönlichkeitsprofil nach aDSG führt.[60] Der Berichterstatter der zuständigen ständerätlichen Kommission bemerkte ferner sinngemäss, dass bereits ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person bestehe, wenn ein Persönlichkeitsprofil vorliege.[61] Dass darüber hinaus jeweils im konkreten Fall eine separate Prüfung des hohen Risikos vorzunehmen wäre, kam weder in der Kommission noch in den Räten je zur Sprache. Vor diesem Hintergrund spricht die Gesetzeshistorie klar dafür, dass eine solche Prüfung nicht vorzunehmen ist.

Zweck der Regelung

Eine weitere Voraussetzung in der Form einer Prüfung eines konkreten hohen Risikos würde eine im Vergleich zum alten Recht zusätzliche[62] Begriffseinschränkung bedeuten und hätte mithin einen weniger breit gefassten Schutz zur Folge. Ausserdem wäre die in diesem Kontext neue Voraussetzung der Rechtssicherheit abträglich, müsste sich doch zunächst eine Praxis der Gerichte oder zumindest des EDÖB dazu bilden. Gerade im an Entscheiden armen schweizerischen Datenschutzrecht wäre dies ein langwieriger Prozess. Beide Konsequenzen laufen dem verfolgten Zweck zuwider, den der Gesetzgeber ausdrücklich artikuliert hat.[63]

Geht man davon aus, dass «chilling effects»[64] grundsätzlich bestehen können und nach Prüfung eines relevanten Verwendungszwecks als Begriffselement des Persönlichkeitsprofils[65] im konkreten Fall auch vorliegen, wird eine Beeinträchtigung der Persönlichkeitsentfaltung oder zumindest ein Risiko dafür zu bejahen sein. Mit Blick auf den Zweck des altrechtlichen Persönlichkeitsprofils will die Regelung des Profilings mit hohem Risiko in allen diesen Fällen die betroffene Person besonders schützen.[66] Eine weitergehende Prüfung eines hohen Risikos für ihre Persönlichkeit oder Grundrechte würde als zusätzliche Voraussetzung dieses Schutzniveau senken und auch insofern der Zweckausrichtung widersprechen.

Zwischenfazit

Obwohl nicht alle klassischen Auslegungselemente für die gleiche Interpretation – im Wesentlichen zwei für die eine, zwei für die andere – sprechen, genügt nach hier vertretener Ansicht ein abstraktes Risiko. Denn es handelt sich beim totalrevidierten DSG um ein sehr junges Gesetz[67] und der Wille des Gesetzgebers kommt in den Kommissionsdiskussionen und Parlamentsdebatten deutlich zum Ausdruck. Ausserdem stellt die Legaldefinition eine politische Kompromisslösung der letzten Minute dar, weshalb dem grammatikalischen Auslegungselement weniger Gewicht beizumessen sein dürfte.[68] Dementsprechend besteht keine separate Voraussetzung, dass ein (konkretes) hohes Risiko vom Profiling ausgehen muss.[69]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Auch im Zusammenhang mit Kreditwürdigkeitsprüfungen setzt ein Profiling mit hohem Risiko grundsätzlich ein Profiling voraus, das Daten im Sinne eines altrechtlichen Persönlichkeitsprofils miteinbezieht. Dennoch geben die Moneyhouse-Rechtsprechung, deren Fortführung auch angesichts des mit der Totalrevision veränderten Normkontexts in Frage zu stellen ist (nachfolgend 2.1), das Verständnis der wesentlichen Aspekte der Persönlichkeit (nachfolgend 2.2) sowie das Begriffselement der Bewertung (nachfolgend 2.3) bei Kreditwürdigkeitsprüfungen zu Bemerkungen Anlass.

Bearbeitung ungeeigneter oder nicht erforderlicher Daten?

In der Begründung des den Kommissionsunterlagen beiliegenden Formulierungsvorschlags für die Legaldefinition des Profilings mit hohem Risiko führte das Bundesamt für Justiz aus, dass sich damit die Moneyhouse-Rechtsprechung fortführen lasse. Zur Veranschaulichung nannte es ein Beispiel eines Profilings zur Kreditwürdigkeitsprüfung, das seiner Ansicht nach vor dem Hintergrund des bundesverwaltungsgerichtlichen Entscheids als Profiling mit hohem Risiko qualifiziere.[70] Die gesetzgeberische Absicht, die Rechtsprechung fortzuführen, bestand also nicht zuletzt bei Kreditwürdigkeitsprüfungen. Demnach würde eine Auskunftei kein Profiling mit hohem Risiko vornehmen, solange sie ihre Bearbeitungen auf «Daten, die eine Auskunftei im Rahmen ihres zweckmässigen Betriebs bearbeiten muss», also für Kreditwürdigkeitsprüfungen in materieller und zeitlicher Hinsicht geeignete und erforderliche Daten, beschränkt.[71]

Der Umkehrschluss, aus dem sich diese besondere Behandlung von geeigneten und erforderlichen Daten ergab, überzeugt allerdings unter dem neuen DSG nicht restlos. Grund dafür ist, dass das DSG bei der Vornahme eines Profilings mit hohem Risiko – anders als das alte Recht bei der Bekanntgabe eines Persönlichkeitsprofils (Art. 12 Abs. 2 lit. c aDSG) – keine Persönlichkeitsverletzung fingiert. Selbst wenn heute ein Profiling mit hohem Risiko bei der Bearbeitung von Daten vorliegen kann, welche die Auskunftei für ihren zweckmässigen Betrieb bearbeiten muss, steht dies der Geschäftspraxis der Auskunfteien, die der Gesetzgeber mit dem besonders geregelten überwiegenden Interesse ermöglichen wollte, nicht zwingend entgegen. Solange eine Auskunftei für das Profiling mit hohem Risiko ohnehin nur Daten bearbeitet, die sie bearbeiten muss, kann sie dabei auch den Verhältnismässigkeitsgrundsatz einhalten.[72] Verletzt die Auskunftei bei einem solchen Profiling überdies nicht anderweitig die Persönlichkeit einer betroffenen Person, was wohl nicht oft, aber mitunter der Fall ist,[73] bedarf sie gar nicht erst eines Rechtfertigungsgrunds wie Art. 31 Abs. 2 lit. c DSG.

Zudem beraubt die Beschränkung des Profilings mit hohem Risiko auf Bearbeitungen, welche für die Kreditwürdigkeitsprüfung ungeeignete oder nicht erforderliche Daten zumindest mitumfassen, den Ausschluss des Profilings mit hohem Risiko in Art. 31 Abs. 2 lit. c Ziff. 1 DSG seiner eigenständigen Bedeutung.[74] Gestützt auf dieses besonders geregelte überwiegende Interesse lassen sich persönlichkeitsverletzende Datenbearbeitungen im Rahmen einer Kreditwürdigkeitsprüfung ohnehin nur rechtfertigen, wenn der Verantwortliche für solche Prüfungen geeignete und erforderliche Daten bearbeitet.[75] Aus systematischer Sicht erscheint daher angezeigt, das Profiling mit hohem Risiko unabhängig davon zu definieren, ob der Verantwortliche ausschliesslich für die Kreditwürdigkeitsprüfung geeignete und erforderliche Daten bearbeitet.

Aus diesen Gründen kann meines Erachtens die von der Praxis vorgenommene Konkretisierung, wonach für die Kreditwürdigkeitsprüfung geeignete und erforderliche Daten kein Persönlichkeitsprofil zu ergeben vermögen, für den Begriff des Profilings mit hohem Risiko keine Geltung mehr beanspruchen. Dies hat zwar die teilweise Missachtung des gesetzgeberischen Willens zur Folge, die Moneyhouse-Rechtsprechung fortzuführen und (soweit möglich) für Rechtssicherheit zu sorgen.[76] Jedoch lässt sich dem Gesetzgeber schwerlich unterstellen, er habe in Art. 31 Abs. 2 lit. c DSG einen Ausschluss ohne eigene Tragweite aufnehmen wollen; dies gilt umso mehr, als der parlamentarische Diskurs dazu bis zuletzt anhielt.[77] Das Vorliegen eines Profilings mit hohem Risiko beurteilt sich also auch bei Kreditwürdigkeitsprüfungen unabhängig davon, ob die Daten für diesen Zweck geeignet und erforderlich sind.

Wesentliche Aspekte der Persönlichkeit

Ein Profiling mit hohem Risiko liegt vor, wenn es der aus einer Vielzahl von Daten bestehende Input des Profilings erlaubt, wesentliche Aspekte der Persönlichkeit zu beurteilen.[78] Da die Aspekte der Persönlichkeit i.S.v. Art. 5 lit. g DSG begrifflich mit den persönlichen Aspekten nach Art. 5 lit. f DSG übereinstimmen werden,[79] zählen auch die wirtschaftliche Lage und die Zuverlässigkeit, wie sie die Legaldefinition des Profilings beispielhaft nennt, und wohl auch die Kreditwürdigkeit zu den Aspekten der Persönlichkeit. Um aussagekräftige Auskünfte anbieten zu können und den Verhältnismässigkeitsgrundsatz einzuhalten,[80] wird eine Auskunftei Daten in ihr Profiling einbeziehen, welche es erlauben, die genannten Aspekte zu beurteilen. Es fragt sich daher, ob diese bereits wesentliche Aspekte der Persönlichkeit darstellen und damit ein Profiling mit hohem Risiko vorliegt, wenn der Input die Beurteilung dieser Aspekte erlaubt.

Würden bereits die wirtschaftliche Lage, die Zuverlässigkeit (bei der Schuldentilgung) und die Kreditwürdigkeit ein Gesamtbild oder ein wesentliches Teilbild der betroffenen Person ausmachen, würde jedes Profiling zum Zweck der Kreditwürdigkeitsbeurteilung als Profiling mit hohem Risiko qualifizieren. Damit würde die Unterscheidung zwischen den beiden Arten des Profilings ausgerechnet für Art. 31 Abs. 2 lit. c DSG, für den die Unterscheidung insbesondere geschaffen wurde, redundant, und das besonders geregelte überwiegende Interesse stünde gerade den Auskunfteien für das Kreditscoring nicht zur Verfügung (vgl. Art. 31 Abs. 2 lit. c Ziff. 1 DSG). Hinzu kommt, dass dieses Ergebnis der gesetzgeberischen Absicht widerspräche, das Profiling vom Profiling mit hohem Risiko abzugrenzen und lediglich letzteres als problematische Form vom Rechtfertigungsgrund auszuschliessen.[81]

Aus diesen Gründen ist der Begriff des Profilings mit hohem Risiko für den Zweck der Kreditwürdigkeitsprüfung einschränkend zu konkretisieren: Solange der Input eines Profilings ausschliesslich die Beurteilung der wirtschaftlichen Lage, der Zuverlässigkeit (bei der Schuldentilgung) und der Kreditwürdigkeit erlaubt, liegt kein Profiling mit hohem Risiko vor.[82] Nur sofern der Input darüber hinaus weitere Aspekte der Persönlichkeit zu beurteilen zulässt, ist anschliessend zu prüfen, ob er das zumindest erforderliche wesentliche Teilbild über die Persönlichkeit abgeben kann.

Dies trifft nicht bei jedem Heranziehen von Daten zu weiteren Aspekten der Persönlichkeit, z.B. der privaten Wohn- und Lebenssituation, zu, wie dies das Bundesamt für Justiz[83] und ihm folgend der Bundesrat[84] und eine Lehrmeinung[85] (mit ihren jeweiligen Beispielen) postulieren. Diese Äusserungen wollen sich auf den Moneyhouse-Entscheid stützen, der indes nicht bereits deshalb ein Persönlichkeitsprofil im Sinne des aDSG bejahte, weil die Betreiberin von Moneyhouse auch Daten bearbeitete und insbesondere bekanntgab, die (nach Ansicht des Gerichts) nicht die wirtschaftliche Situation und Zahlungsfähigkeit betrafen[86] bzw. nicht bonitätsrelevant waren.[87] Vielmehr prüfte das Bundesverwaltungsgericht zudem, ob die bearbeiteten Daten zumindest ein wesentliches Teilbild der Persönlichkeit abgaben.[88] Eine solche Prüfung ist (auch) beim Profiling mit hohem Risiko im Einzelfall vorzunehmen.

Bewertung der Kreditwürdigkeit

Das Profiling als Begriffselement des Profilings mit hohem Risiko setzt eine automatisierte Datenbearbeitung voraus, welche auf die Bewertung persönlicher Aspekte und damit auf die Schlussfolgerung weiterer Informationen gerichtet ist. Führt eine Auskunftei ein Kreditscoring durch, bewertet sie also die Kreditwürdigkeit und – wenn man so will[89] – die wirtschaftliche Lage sowie die Zuverlässigkeit (bei der Schuldentilgung) der kreditinteressierten Person, so dürfte ausser Frage stehen, dass die Auskunftei damit ein Profiling gemäss Art. 5 lit. f DSG betreibt. Verzichtet die Auskunftei demgegenüber auf eine eigene Bewertung und gibt sie der Kreditgeberin lediglich eine Zusammenstellung von Daten bekannt, welche für die Beurteilung der Kreditwürdigkeit von Interesse sein können, fehlt es an einem Profiling und damit auch an einem Profiling mit hohem Risiko nach Art. 5 lit. g DSG, und zwar selbst dann, wenn die Zusammenstellung die Voraussetzungen eines Persönlichkeitsprofils i.S.v. Art. 3 lit. d aDSG erfüllt. Dies ist etwa für Auskunfteien i.e.S.[90] relevant, deren betreffendes Auskunftsprodukt auf eine eigene Bewertung der Kreditwürdigkeit verzichtet und lediglich unbewertete Bonitätsdaten umfasst.

An einer begriffsnotwendigen Bewertung fehlt es ebenso, wenn eine Auskunftei i.w.S. lediglich den von einer Auskunftei i.e.S. erworbenen Kreditscore der Kreditgeberin weiterverkauft. Die Auskunftei i.w.S.[91] gibt zwar der Kreditgeberin in der Gestalt des beschafften Kreditscores ein abgeleitetes Datum, das aus einem Profiling hervorgegangen sein dürfte, und womöglich noch weitere Bonitätsdaten bekannt. Sie selbst nimmt aber keine automatisierte Datenbearbeitung vor, die im Sinne des Gesetzes auf die Bewertung eines persönlichen Aspekts der kreditinteressierten Person gerichtet ist.[92] Dementsprechend besteht in einer solchen Konstellation lediglich die Möglichkeit, dass die Auskunftei i.e.S. ein Profiling mit hohem Risiko betreibt, nicht hingegen die Auskunftei i.w.S. Während die Betreiberin von Moneyhouse unter dem aDSG Persönlichkeitsprofile bearbeitete und bekanntgab,[93] würden ihre Datenbearbeitungen unter dem totalrevidierten DSG nicht als Profiling mit hohem Risiko qualifizieren, da sie selbst keine Kreditwürdigkeitsprüfung vornahm.[94] Dieses Verständnis geht zwar mit einer Einbusse im Schutzniveau einher, was dem gesetzgeberischen Willen freilich widerspricht,[95] drängt sich aber angesichts des Profilingbegriffs auf.[96]

Zwischenfazit

Die Berechnung eines Kreditscores stellt ein Profiling mit hohem Risiko i.S.v. Art. 5 lit. g DSG dar, wenn die Auskunftei für die automatisierte Bewertung der Kreditwürdigkeit Daten verwendet, die nach aDSG ein Persönlichkeitsprofil darstellen, also zumindest ein Teilbild der Persönlichkeit abgeben, und die nicht nur die Beurteilung der wirtschaftlichen Lage, der Zuverlässigkeit (bei der Schuldentilgung) und der Kreditwürdigkeit erlauben. Dies kann auch der Fall sein, wenn sich die verwendeten Daten auf solche beschränken, welche für die Kreditwürdigkeitsprüfung geeignet und erforderlich sind. Angesichts der Moneyhouse-Rechtsprechung wird beispielsweise ein Profiling mit hohem Risiko vorliegen, wenn eine Auskunftei in die Berechnung des Kreditscores der kreditinteressierten Person Angaben über deren Haushaltsmitglieder oder Nachbarn wie das Alter und allenfalls den Beruf miteinbezieht. Denn diese Daten erlauben Rückschlüsse auf die private Wohn- und Lebenssituation, einen wesentlichen Teilaspekt der Persönlichkeit, der kreditinteressierten Person.[97]

Ein Verwendungszusammenhang, der den besonderen gesetzlichen Schutz rechtfertigt,[98] wird in aller Regel bestehen, beurteilt doch die Auskunftei die kreditinteressierte Person anhand der verwendeten Daten und gibt diese Beurteilung allenfalls samt weiterer Daten der Kreditgeberin bekannt. Ein solcher Verwendungszusammenhang ist selbst im spezifischen Fall zu bejahen, in dem sich das Auskunftsprodukt auf die Bekanntgabe des Kreditscores beschränkt, da dieser sich auch aus Daten herleitet, die vom Verhalten der kreditinteressierten Person abhängen.[99] Die kreditinteressierte Person kann entsprechend geneigt sein, ihr Verhalten anzupassen, womit (zumindest nach der Logik des Gesetzgebers) das Risiko besteht, dass sie sich nicht mehr verhält und entfaltet, wie sie will.

Vgl. Fahne Herbstsession 2020 NR/SR. ↵

Vgl. Métille, S. 26 (Fn. 130); Ziegler, o.S. ↵

SPK-SR vom 18. Mai 2020, S. 2 f.; SPK-SR vom 18./19. November 2019, S. 8 f.; vgl. auch Amtl. Bull. NR 2020 S. 140, 143 und 146 f. (Voten Glättli, Wermuth und Keller-Sutter); Amtl. Bull. NR 2019 S. 1777, 1779 und 1784 (Voten Romano und Glättli); SPK-NR vom 23./24. Januar 2020, S. 6. ↵

Während der Ständerat ursprünglich eine Definition mit Blick auf die Bearbeitungsmethoden vorgeschlagen hatte, richtete der Nationalrat sie auf das Resultat aus. Er definierte das Profiling mit hohem Risiko als Profiling, das besonders schützenswerte Personendaten hervorbringt. Diese Definition hätte das Profiling mit hohem Risiko zu einer redundanten Regelung im Verhältnis zu den Bestimmungen über die besonders schützenswerten Personendaten verkommen lassen. Der Ständerat brachte daher die später verabschiedete Definition ins Spiel, die an das altrechtliche Persönlichkeitsprofil anknüpft (vgl. Art. 4 lit. fbis Fahne Herbstsession 2020 NR/SR). ↵

SPK-SR vom 18. Mai 2020, S. 2 f. und Beilage «Neuer Formulierungsvorschlag betreffend die Legaldefinition des ‹Profilings mit hohem Risiko› in Art. 4 Bst. fbis E‑DSG». ↵

Vgl. dazu oben Teil 3, B.I. ↵

Dieses definierte Art. 3 lit. d aDSG als: «Eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.» Vgl. dazu oben Teil 3, B.II. ↵

Vgl. Amtl. Bull. NR 2020 S. 1598 f. (Voten Gredig und Keller-Sutter); SPK-NR vom 2./3. Juli 2020, S. 2 und 7 f.; SPK-SR vom 18. Mai 2020, S. 3 f.; Jacot-Guillarmod, o.S.; zum Zweck der Aufrechterhaltung des Schutzniveaus ferner Amtl. Bull. NR 2020 S. 140 und 146 (Voten Glättli und Keller-Sutter); Amtl. Bull. SR 2020 S. 291 (Votum Keller-Sutter). ↵

Vgl. dazu oben Teil 3, B.II.1.1. ↵

Vgl. Stengel/Stäuble, Rn. 16. Während im alten Recht eine Informationspflicht nur bei der Beschaffung von besonders schützenswerten Personendaten und von Persönlichkeitsprofilen galt (Art. 14 aDSG), ist der Verantwortliche unter neuem Recht grundsätzlich bei der Beschaffung sämtlicher Personendaten zu einer Information verpflichtet (Art. 19 DSG). ↵

SPK-NR vom 2./3. Juli 2020, S. 7; SPK-SR vom 18. Mai 2020, S. 3. Im Übrigen sprach bereits das BVGer im Moneyhouse-Entscheid verschiedentlich von Verknüpfungen von Daten oder von einer «Verknüpfung von Informationen», die «Aufschluss über einen oder mehrere wesentliche Aspekte der Persönlichkeit gibt» (BVGer, A‑4232/2015 vom 18. April 2017, E. 5.2.1 und 5.2.4). ↵

So etwa BSK DSG-Blechta et al., Art. 5 N 147 ff.; OK DSG-Glatthaar/Schröder, Art. 5 lit. f/g N 20 f. ↵

Mit dieser Definition zum aDSG Probst, in: Epiney et al. 2011, S. 20; vgl. auch BSK DSG-Blechta et al., Art. 5 N 147 und 151, die aber die Verknüpfung als eigene Voraussetzung von Art. 5 lit. g DSG betrachten; zur DSGVO Arning/Rothkegel, in: Taeger/Gabel, Art. 4 N 96. ↵

Vgl. PC LPD-Jacot-Guillarmod, Art. 5 N 47, wonach jedes Profiling auf einer Verknüpfung von Daten beruhe; ferner dazu auch oben Teil 3, B.I.2.1. ↵

Vgl. Amtl. Bull. NR 2020 S. 1596, 1598 und 1599 (Voten Wermuth, Gredig und Keller-Sutter); SPK-NR vom 2./3. Juli 2020, S. 2 und 7; SPK-SR vom 18. Mai 2020, S. 3. ↵

Bericht Wirtschaftsauskunfteien, S. 24; Reudt-Demont et al., S. 268; Roth, SZW 2021, S. 36; Vasella, digma 2020, S. 177; vgl. auch EDÖB, Digitec Galaxus, Rn. 92; CR LPD-Meier/Tschumy, Art. 6 N 94. ↵

Vgl. dazu oben Teil 3, B.I. ↵

Vgl. dazu oben Teil 3, B.II. ↵

Vgl. Amtl. Bull. SR 2020 S. 291 (Votum Keller-Sutter); SPK-NR vom 2./3. Juli 2020, S. 2 und 7; SPK-SR vom 18. Mai 2020, S. 3. ↵

Vgl. BJ, Fragen, S. 10, wonach beim Profiling mit hohem Risiko «also Datenbearbeitungsmethode (Profiling) und Resultat der Datenbearbeitung (Persönlichkeitsprofil) kombiniert» würden; Bühlmann/Schüepp, Jusletter 2022, Rn. 137, wonach erforderlich sei, dass «die [aus dem Profiling] resultierenden Schlussfolgerungen so beschaffen sind, dass sie die Verknüpfung mit anderen Daten ermöglichen und so eine Beurteilung wesentlicher Persönlichkeitsaspekte erlauben». Nach letzterer Ansicht wären nicht nur der Output, sondern auch andere (von den Autoren nicht weiter definierte) Daten zu berücksichtigen. Zudem müsste nach dieser Ansicht (entgegen dem Wortlaut der Legaldefinition) eine Verknüpfung nur möglich und nicht bereits erfolgt sein. ↵

Botschaft Revision BPG 2024, S. 19. ↵

Es bestehen unterschiedliche Begriffsverständnisse des «Inputs» bzw. der «Inputdaten». Zum einen lassen sich darunter die Eingabedaten verstehen, anhand derer ein System (unmittelbar) einen Output erzeugt (vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 18 f.; Steege/Kuß, Rn. 82). Zum anderen kann der Begriff auch die zur Modellentwicklung verwendeten Daten (auch Trainingsdaten genannt) meinen (vgl. Geschäftsstelle CNAI, S. 9; EDPB, Report ChatGPT, Rn. 29). Bei sog. dynamischen bzw. Online-KI-Modellen überschneiden sich diese Begriffsverständnisse, weil dort die eingegebenen Daten zugleich zur Verbesserung des Modells verwendet werden (vgl. Datatilsynet, S. 10). Ohne weitere Präzisierung ist im Folgenden das erste Begriffsverständnis zu unterstellen, zumal die Legaldefinition des hier besonders interessierenden Profilings an die Bewertung, also die Schlussfolgerung hinsichtlich einer bestimmten Person, anknüpft (vgl. dazu oben Teil 3, B.I.2.1). ↵

SPK-SR vom 18. Mai 2020, Beilage «Neuer Formulierungsvorschlag betreffend die Legaldefinition des ‹Profilings mit hohem Risiko› in Art. 4 Bst. fbis E-DSG», S. 2, wobei das BJ an anderer Stelle in der Begründung freilich die Ergebnisorientierung der Definition betont. Ähnlich BJ, Totalrevision, S. 15 (Ergebnisorientierung) und S. 16 (Bsp., wonach die herangezogenen Daten relevant seien). ↵

Die DSV bezieht sich drei Mal auf das Profiling mit hohem Risiko: Die Vornahme eines solchen Profilings kann die Pflicht zur Protokollierung auslösen (Art. 4 Abs. 1 DSV). Der Verantwortliche und dessen Auftragsbearbeiter müssen ein Reglement für automatisierte Bearbeitungen erstellen, wenn sie ein Profiling mit hohem Risiko durchführen (Art. 5 Abs. 1 lit. b DSV), und die Ausnahme von der Pflicht zur Führung eines Bearbeitungsverzeichnisses greift nicht Platz, wenn das Unternehmen oder die Organisationen ein Profiling mit hohem Risiko durchführt (Art. 24 lit. b DSV). ↵

Art. 31 Abs. 2 lit. c Ziff. 1 DSG schliesst das besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen bei Vornahme eines Profilings mit hohem Risiko aus (vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.2). Daneben hält Art. 6 Abs. 7 lit. b DSG fest, dass eine Einwilligung für ein Profiling mit hohem Risiko durch eine private Person ausdrücklich erfolgen muss (vgl. dazu unten Teil 3, C.I.4.). Im Übrigen bezieht sich das DSG nicht ausdrücklich auf das Profiling mit hohem Risiko. ↵

Vgl. SPK-SR vom 18. Mai 2020, S. 3 und Beilage «Neuer Formulierungsvorschlag betreffend die Legaldefinition des ‹Profilings mit hohem Risiko› in Art. 4 Bst. fbis E‑DSG», S. 2. ↵

Bericht Wirtschaftsauskunfteien, S. 35. ↵

Vgl. dazu oben Teil 3, B.III.1.1. ↵

Zum einen verlangt der Begriff des Persönlichkeitsprofils eine Vielzahl von Daten (vgl. dazu oben Teil 3, B.II.1.1); zum anderen spricht auch Art. 5 lit. g DSG von einer Verknüpfung von Daten und setzt mithin eine Mehrzahl von Daten voraus. ↵

Vgl. dazu oben Teil 3, B.II.1. ↵

Vgl. BSK DSG-Blechta et al., Art. 5 N 148, wonach die Verknüpfung von Daten ein Teilergebnis der automatisierten Datenbearbeitung und nicht dieser nachgelagert sein müsse. ↵

Vgl. dazu oben Teil 3, B.II. ↵

A.M. BSK DSG-Blechta et al., Art. 5 N 150, wonach es angesichts des Wortlauts von Art. 5 lit. g DSG ungenügend wäre, wenn bereits verknüpfte Daten bloss als Input für ein Profiling verwendet würden. Diese Meinung hätte zur Folge, dass sich die Erfassung eines Vorgangs als Profiling mit hohem Risiko leicht umgehen liesse, indem die Daten zuerst verknüpft und erst dann als Input für das Profiling mit hohem Risiko verwendet würden. Nach hier vertretener Ansicht stellt jedoch die Verknüpfung ohnehin keine eigenständige Voraussetzung dar (vgl. dazu oben Teil 3, B.III.1.2). ↵

Vasella, digma 2020, S. 177; Vasella, Profiling mit hohem Risiko, o.S.; a.M. offenbar Rosenthal, Jusletter 2020, Rn. 27. Der Formulierungsvorschlag des Bundesamts für Justiz benutzte anstelle der Konjunktion «indem» die Formulierung «namentlich wenn», die Platz für ein Profiling mit hohem Risiko ohne Persönlichkeitsprofil gelassen hätte (vgl. SPK-SR vom 18. Mai 2020, Beilage «Neuer Formulierungsvorschlag betreffend die Legaldefinition des ‹Profilings mit hohem Risiko› in Art. 4 Bst. fbis E‑DSG», S. 1). Der anschliessende Erlass eines einschränkenderen Wortlauts spricht gegen eine solche Auslegung des Profilings mit hohem Risiko i.S.v. Art. 5 lit. g DSG. ↵

Amtl. Bull. NR 2020 S. 1598 f. (Voten Gredig und Keller-Sutter); SPK-NR vom 2./3. Juli 2020, S. 2 und 7 ff.; SPK-SR vom 18. Mai 2020, S. 3. ↵

Vgl. BJ, Totalrevision, S. 15; Jacot-Guillarmod, o.S.; Roth, SZW 2021, S. 36. ↵

Vgl. dazu oben Teil 3, B.II.1.1. Die Lehre führt denn auch aus, dass das Profiling dort beginne, wo das Persönlichkeitsprofil aufhöre: Letzteres besteht in einer Sammlung von Daten, welche die Beurteilung wesentlicher Aspekte einer Person erlaubt, während das Profiling den Vorgang der Bewertung persönlicher Aspekte erfasst (vgl. Métille, S. 26; Rosenthal, Jusletter 2020, Rn. 24). ↵

Vgl. dazu oben Teil 3, B.I.2.1. ↵

Bühlmann/Schüepp, Jusletter 2022, Rn. 137; vgl. auch BSK DSG-Blechta et al., Art. 5 N 157. ↵

A.M. offenbar PC LPD-Genecand, Art. 31 N 60, der für ein Profiling mit hohem Risiko genügen lässt, wenn Informationen zusammengeführt werden, die zusammen unter altem Recht ein Persönlichkeitsprofil ergeben hätten. ↵

Mit diesem Begriff Vasella, in: Emmenegger, S. 193. ↵

Vgl. dazu oben Teil 3, B.I.2.1.a. ↵

BSK DSG-Blechta et al., Art. 5 N 157; Bühlmann/Schüepp, Jusletter 2022, Rn. 137; OK DSG-Glatthaar/Schröder, Art. 5 lit. f/g N 22. ↵

Eine Aufstellung sämtlicher Wohnsitzwechsel qualifizierte der EDÖB, Mietercheck, Rn. 41, auch schon als Persönlichkeitsprofil i.S.v. Art. 3 lit. d aDSG. Für den Zweck des vorliegenden Beispiels ist von dieser Qualifikation auszugehen, obwohl es je nach Kontext fraglich erscheint, ob die Zusammenstellung von Adressen allein ein Persönlichkeitsprofil ergibt (vgl. BSK aDSG-Blechta, Art. 3 N 64 f.). ↵

Vgl. dazu oben Teil 3, B.I.2.2. ↵

SHK DSG-Rudin, Art. 5 N 52; a.M. offenbar EDÖB, Digitec Galaxus, Rn. 92, ohne Begründung. ↵

Vasella, digma 2020, S. 178. ↵

Vgl. dazu oben Teil 3, B.II.1.2; ferner BJ, Totalrevision, S. 15, das in Bezug auf das Profiling mit hohem Risiko auf die Einschränkung der Freiheit hinweist, sich so darzustellen, wie die betroffene Person es für richtig hält. ↵

Glatthaar, Rn. 7 (Fn. 11); PC LPD-Jacot-Guillarmod, Art. 5 N 46; vgl. auch OFK DSG-Stengel/Loderer, Art. 5 lit. g N 4 ff.; Rosenthal, Jusletter 2020, Rn. 27 und 159; Vasella, Profiling mit hohem Risiko, o.S. ↵

Vgl. OFK DSG-Stengel/Loderer, Art. 5 lit. g N 5; BSK DSG-Blechta et al., Art. 5 N 159. ↵

Vgl. dazu oben Teil 3, B.II. ↵

Dies gilt für sämtliche Sprachfassungen der Bestimmung; anstelle von «indem» benutzen die romanischen Fassungen «parce que» bzw. «poiché», die sich als «weil» oder «da» übersetzen lassen. So auch Jacot-Guillarmod, o.S.; a.M. BSK DSG-Blechta et al., Art. 5 N 159, wonach «indem» suggeriere, dass sich das Risiko aus den folgenden Begriffsmerkmalen unmittelbar ergebe; vgl. auch OFK DSG-Stengel/Loderer, Art. 5 lit. g N 4 f. ↵

Vgl. dazu SPK-NR vom 31. Januar/1. Februar 2019, S. 12; Rosenthal, Jusletter 2020, Rn. 173. ↵

Vgl. dazu Botschaft Totalrevision DSG, S. 7064; Métille/Meyer, S. 26; Rosenthal, Jusletter 2020, Rn. 162. ↵

Vgl. Jacot-Guillarmod, o.S.; CR LPD-Meier/Tschumy, Art. 6 N 95. ↵

SPK-SR vom 18. Mai 2020, S. 5. Die Legaldefinition hätte dann wie folgt gelautet: Profiling, das zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt. ↵

SPK-NR vom 2./3. Juli 2020, S. 2 und 4 ff.; SPK-SR vom 18. Mai 2020, S. 2 ff. In diesen Protokollen finden sich mehrere Aussagen von Parlaments- und Behördenmitgliedern, mit denen sich die vorliegenden Ausführungen stützen und illustrieren liessen. Aus den Protokollen wörtlich zu zitieren und Namen der Teilnehmenden zu nennen, ist aber nicht erlaubt (Art. 7 Abs. 5 ParlVV). ↵

SPK-NR vom 2./3. Juli 2020, S. 4, 7 und 8. So lesen sich auch die Ausführungen des BJ, Totalrevision, S. 15, wonach «die Umschreibung des hohen Risikos […] dem heutigen Begriff des ‹Persönlichkeitsprofils› [entspricht]». ↵

SPK-NR vom 2./3. Juli 2020, S. 7. ↵

Amtl. Bull. NR 2020 S. 1598 f. (Voten Gredig und Keller-Sutter); vgl. auch Amtl. Bull. NR 2020 S. 1597 (Votum Glättli). ↵

Amtl. Bull. SR 2020 S. 293 (Votum Fässler): «Eine automatisierte Bearbeitung von Personendaten bringt dann ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich, wenn sie zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit der betroffenen Person erlaubt.» ↵

Zu bemerken gilt es an dieser Stelle, dass trotz der Nähe der verabschiedeten Definition zum Persönlichkeitsprofil sich der Anknüpfungsgegenstand des alten und des neuen Rechts aufgrund des Begriffs des Profilings (vgl. dazu oben Teil 3, B.I.2.) ohnehin nicht gänzlich decken; im Gegensatz zum aDSG ist eine automatisierte Datenbearbeitung und eine Bewertung eines persönlichen Aspekts erforderlich (vgl. Art. 5 lit. f DSG). ↵

Vgl. dazu oben Teil 3, B.III.1.1. ↵

Vgl. dazu oben Teil 3, B.II.2.2. ↵

Vgl. dazu oben Teil 3, B.II.1.2. ↵

Vgl. dazu oben Teil 3, B.III.1.1. ↵

Vgl. BGE 115 V 347 E. 1c, wonach bei verhältnismässig jungen Gesetzen der Wille des historischen Gesetzgebers nicht übergangen werden dürfe; ferner BGE 139 III 98 E. 3.1 zur besonderen Stellung der Materialien bei neuen Bestimmungen. ↵

Vgl. Jacot-Guillarmod, o.S. ↵

BSK DSG-Blechta et al., Art. 5 N 159; OK DSG-Glatthaar/Schröder, Art. 5 lit. f/g N 19; PC LPD-Jacot-Guillarmod, Art. 5 N 46; CR LPD-Meier/Tschumy, Art. 6 N 94; Vasella, digma 2020, S. 177 f.; vgl. auch Bühlmann/Schüepp, Jusletter 2022, Rn. 137; Roth, SZW 2021, S. 36; a.M. Rosenthal, Jusletter 2020, Rn. 27; OFK DSG-Stengel/Loderer, Art. 5 lit. g N 5. ↵

SPK-SR vom 18. Mai 2020, Beilage «Neuer Formulierungsvorschlag betreffend die Legaldefinition des ‹Profilings mit hohem Risiko› in Art. 4 Bst. fbis E-DSG», S. 2. ↵

Vgl. dazu oben Teil 3, B.II.2.1. ↵

Mit der Beschaffung und Speicherung von Daten auf Vorrat verletzt die Auskunftei die Verhältnismässigkeit in prinzipieller Hinsicht (vgl. dazu unten Teil 3, C.IV.2.2.a). Diese persönlichkeitsverletzenden Datenbearbeitungen lassen sich mit Art. 31 Abs. 2 lit. c DSG rechtfertigen (vgl. dazu unten Teil 3, D.IV.1.2.c), auch wenn die Auskunftei (mit den betreffenden Daten) ein Profiling mit hohem Risiko vornimmt. Ziff. 1 schliesst eine Rechtfertigung durch Art. 31 Abs. 2 lit. c DSG angesichts des Wortlauts nur aus, wenn es sich (bei der zu rechtfertigenden Datenbearbeitung) um ein Profiling mit hohem Risiko handelt. ↵

Vgl. dazu unten Teil 3, C.IV.3.3.d.bb.ii und C.IX.2. ↵

Dieselbe Situation ergab sich unter altem Recht aus der entsprechenden Auslegung des Persönlichkeitsprofils in Bezug auf Art. 13 Abs. 2 lit. c aDSG (vgl. dazu oben Teil 3, B.II.2.2). ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.bb.iii.1. ↵

Vgl. dazu oben Teil 3, B.III.1.1. ↵

Vgl. dazu oben Teil 3, B.III. ↵

Vgl. dazu oben Teil 3, B.III.1.2.a. ↵

Vgl. OK DSG-Glatthaar/Schröder, Art. 5 lit. f/g N 22; ferner BJ, Fragen, S. 9, das «persönliche Aspekte» und «Persönlichkeitsmerkmale» synonym verwendet; Bühlmann/Schüepp, Rn. 96, wonach die persönlichen Aspekte i.S.v. Art. 5 lit. g DSG sämtliche «Aspekte einer Persönlichkeit» erfassen sollen. ↵

Vgl. dazu unten Teil 3, C.IV.3.2.b. ↵

Vgl. dazu oben Teil 3, B.III. ↵

Ein ähnlicher Gedanke findet sich im Schlussbericht zu Teledata, in dem der EDÖB, Teledata, S. 10 f., zum alten Recht festhielt, dass Inkassodaten, Betreibungsauskünfte und weitere «Bonitätsdaten» zwar ein umfassendes Bild über die Kreditwürdigkeit der betroffenen Person, aber kein wesentliches Teilbild ihrer Persönlichkeit zu ergeben vermögen würden. ↵

SPK-SR vom 18. Mai 2020, Beilage «Neuer Formulierungsvorschlag betreffend die Legaldefinition des ‹Profilings mit hohem Risiko› in Art. 4 Bst. fbis E-DSG», S. 2; BJ, Fragen, S. 10. ↵

Bericht Wirtschaftsauskunfteien, S. 35. ↵

Vgl. Husi-Stämpfli/Morand, Rn. 132, wonach ein «Bonitätsprüfungsunternehmen» ein Profiling mit hohem Risiko vornehme, wenn aus den zusammengetragenen «Daten auch Rückschlüsse auf die private Wohn- und Lebenssituation einer Person gezogen werden [können], welche über den wirtschaftlichen ‹Lebensbereich› hinausgehen». ↵

So Bericht Wirtschaftsauskunfteien, S. 35; BJ, Fragen, S. 10. ↵

Vgl. Husi-Stämpfli/Morand, Rn. 132. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.1 ff.; vgl. dazu auch oben Teil 3, B.II.2.1. ↵

Vgl. dazu oben Teil 3, B.I.2.1.c. ↵

Vgl. dazu oben Teil 1, C.II.1. ↵

Vgl. dazu oben Teil 1, C.II.1. ↵

Vgl. dazu oben Teil 3, B.I.2.1. ↵

Vgl. dazu oben Teil 3, B.II.2.1. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.3, wonach die Betreiberin von Moneyhouse die Bonitätsprüfungen nicht selbst durchgeführt habe. ↵

Vgl. dazu oben Teil 3, B.III.1.2.c. ↵

A.M. offenbar PC LPD-Genecand, Art. 31 N 60. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.1 f. ↵

Vgl. dazu oben Teil 3, B.II.1.2. ↵

Solche Auskunftsprodukte sind besonders in Online-Handel vertreten, wo die Kreditwürdigkeitsprüfung regelmässig in Echtzeit über eine integrierte Schnittstelle erfolgt (vgl. Peter et al., S. 20). ↵

XIX

Bearbeitungsgrundsätze

23

Vorbemerkungen

Nimmt eine Auskunftei oder eine andere (private) Verantwortliche ein Profiling (mit hohem Risiko) vor, hat sie die allgemeinen Zulässigkeitsvorgaben an Datenbearbeitungen, insbesondere die Bearbeitungsgrundsätze, zu beachten (nachfolgend 1.). Bevor die Untersuchung diese Vorgaben im Einzelnen betrachten wird, geht sie auf jene Regelungen des DSG und der DSGVO ein, aus denen sich besondere Einschränkungen für das Profiling (mit hohem Risiko) ergeben könnten. Dabei zeigt sich, dass das schweizerische und das europäische Recht Verantwortliche beim Profiling nicht zu bestimmten Verfahren oder Massnahmen verpflichten (nachfolgend 2.) und sie der betroffenen Person gegen das Profiling auch kein besonderes Widerspruchsrecht vermitteln (nachfolgend 3.). Aus Art. 6 Abs. 7 lit. b DSG ergibt sich zudem kein Einwilligungserfordernis für das Profiling mit hohem Risiko (nachfolgend 4.), und Art. 31 Abs. 2 lit. c DSG verbietet ein solches Profiling auch für Kreditwürdigkeitsprüfungen nicht (nachfolgend 5.).

Anwendbarkeit allgemeiner Zulässigkeitsvorgaben

Das DSG adressiert das gewöhnliche Profiling für die vorliegend interessierenden privaten Verantwortlichen[1] – die Legaldefinition ausgenommen – nicht spezifisch. Dasselbe gilt für den verfügenden Teil der DSGVO, der sich zwar häufig auf das Profiling bezieht, aber dies mehr im Sinne eines Stilmittels tut.[2] Einzig in Art. 70 Abs. 1 lit. f DSGVO über die Aufgaben des EDSA, der vorliegend aber nicht weiter zu vertiefen ist, kommt dem Profiling eine eigenständige Bedeutung zu.[3]

Mehrere Erwägungsgründe der DSGVO adressieren das «Profiling» um seiner selbst willen:[4] Sie machen einerseits Vorgaben an die Transparenz, andererseits an die Durchführung des «Profilings»,[5] benutzen den Profilingbegriff aber nicht immer im Sinne der Legaldefinition. Darauf ist später zurückzukommen.[6] Ausserdem stellt EG 72 DSGVO klar, dass das Profiling i.S.v. Art. 4 Ziff. 4 DSGVO den Vorschriften für die Verarbeitung personenbezogener Daten, wie etwa dem Erfordernis der Rechtsgrundlage oder den Datenschutzgrundsätzen, unterliegt.[7]

Im Vorentwurf für das DSG hatte der Bundesrat noch vorgeschlagen, bei Vornahme eines Profilings ohne ausdrückliche Einwilligung der betroffenen Person eine Persönlichkeitsverletzung zu fingieren (Art. 23 Abs. 2 lit. d VE-DSG). Nachdem zahlreiche Teilnehmer der Vernehmlassung die Streichung dieser Bestimmung angeregt hatten,[8] fand sie sich bereits im bundesrätlichen Entwurf nicht mehr. Dies zeigt den gesetzgeberischen Willen, Profiling nicht generell als persönlichkeitsverletzend zu bewerten.[9] Hinzu kommt, dass das DSG das Profiling durch Private eben nicht spezifisch adressiert und dafür – anders als bei Bundesorganen – gerade keine besondere (gesetzliche) Grundlage (vgl. Art. 34 Abs. 2 lit. b DSG) verlangt. Kategorisch eine Persönlichkeitsverletzung anzunehmen, liesse sich mit diesem gesetzlichen «Leitmotiv» kaum vereinbaren. Dementsprechend setzt das DSG – im Unterschied zur DSGVO – für ein Profiling grundsätzlich keinen Rechtfertigungsgrund (in der Terminologie der DSGVO: keine Rechtsgrundlage) voraus.[10]

Das gilt auch für das Profiling mit hohem Risiko, das – wie ausgeführt[11] – ein altrechtliches Persönlichkeitsprofil umfasst. Während das aDSG eine Persönlichkeitsverletzung bei der Bekanntgabe eines Persönlichkeitsprofils fingierte (Art. 12 Abs. 2 lit. c aDSG), stuft das neue DSG weder die Vornahme noch eine andere Datenbearbeitung im Kontext eines Profilings mit hohem Risiko generell als Persönlichkeitsverletzung ein (vgl. Art. 30 Abs. 2 DSG).[12] Dass der Gesetzgeber bloss deshalb keine Fiktion vorsah, weil es sich beim Profiling mit hohem Risiko um eine Art der Datenbearbeitung statt um eine Datenkategorie handelt und dessen Bekanntgabe entsprechend nicht möglich ist, lässt sich nicht argumentieren. Vielmehr war sich der Gesetzgeber angesichts des Vorentwurfs des DSG bewusst, dass er das Profiling mit hohem Risiko als Fall einer Persönlichkeitsverletzung hätte definieren können; er verzichtete darauf. Dieser Wertung ist (auch) bei der Beurteilung, ob ein Profiling mit hohem Risiko persönlichkeitsverletzend ist, Rechnung zu tragen. Kommt hinzu, dass (mit Blick auf den erwähnten Art. 12 Abs. 2 lit. c aDSG) auch unter altem Recht nicht jede Bearbeitung eines Persönlichkeitsprofils eine Persönlichkeitsverletzung darstellte.

Wie im Anwendungsbereich der DSGVO gilt auch in jenem des DSG, dass bei einem Profiling (mit hohem Risiko) die Bearbeitungsgrundsätze zu beachten sind, handelt es sich doch dabei um eine besondere Art der Datenbearbeitung.[13] Allfällige Verletzungen der Grundsätze sind der Rechtfertigung zugänglich (vgl. Art. 31 Abs. 1 DSG) – auch durch das besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen,[14] es sei denn, es liege ein Profiling mit hohem Risiko vor (Art. 31 Abs. 2 lit. c Ziff. 1 DSG).[15]

Keine Pflicht zu bestimmten Verfahren oder Massnahmen

EG 71 Satz 6 DSGVO verlangt zur Gewährleistung einer fairen und transparenten Datenverarbeitung, dass der Verantwortliche geeignete mathematische oder statistische Verfahren für das «Profiling» verwendet. Ausserdem soll er technische und organisatorische Massnahmen – insbesondere zur Korrektur von Faktoren, die zu unrichtigen personenbezogenen Daten führen, und zur Minimierung des Risikos von Fehlern – treffen sowie die Daten in einer Weise sichern, die den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung trägt. Schliesslich soll er unter anderem verhindern, dass es gegenüber natürlichen Personen aufgrund von Merkmalen, die im Wesentlichen den besonderen Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO) entsprechen,[16] zu diskriminierenden Wirkungen kommt.[17]

Diese Vorgaben adressieren zwar das «Profiling», knüpfen aber an einen anderen Begriff an als jenen der Legaldefinition. Verglichen mit dem legaldefinierten Profilingbegriff, der sich auf die eigentliche Bewertung, mithin die personenbezogene Schlussfolgerung, beschränkt,[18] geht EG 71 Satz 6 DSGVO nämlich von einem breiteren Begriffsverständnis aus. Im dreiphasigen Profilingmodell des Ministerkomitees des Europarates[19] sind die verlangten Massnahmen nicht in der dritten und letzten Phase, sondern vielmehr in der ersten und zweiten Phase anzusiedeln:[20] Die Verwendung geeigneter mathematischer oder statistischer Verfahren, die technischen und organisatorischen Massnahmen zur Korrektur von zu unrichtigen Daten führenden Faktoren und zur Minimierung von Fehlern sowie die Verhinderung von diskriminierenden Wirkungen sind insbesondere bei der Modellentwicklung relevant. Die besondere Sicherungsweise dürfte für die erste und die zweite Phase des Modells des Ministerkomitees, also auch für die Datenerhebung, -aggregierung und -speicherung, bedeutsam sein.

Die Lehre leitet aus diesem Erwägungsgrund vereinzelt eine rechtliche Pflicht des Verantwortlichen ab, für das Profiling mathematisch-statistische Verfahren zu verwenden[21] und/oder das Profiling zwecks Qualitätssicherung einer regelmässigen und kontinuierlichen Beobachtung und Überprüfung zu unterziehen.[22] Im Gesetzgebungsverfahren wurde denn auch tatsächlich die Einführung einer Pflicht zur Verwendung solcher Verfahren, zur Implementierung von geeigneten technischen oder organisatorischen Massnahmen, zur besonderen Sicherung der Daten und zur Verhinderung von diskriminierenden Wirkungen im verfügenden Teil der DSGVO diskutiert.[23] Die verabschiedete Fassung der Verordnung enthält diese Vorgaben allerdings nicht in ihrem verfügenden Teil; der Gesetzgeber entschied sich also bewusst gegen eine entsprechende rechtliche Verpflichtung der Verantwortlichen.

Zwar finden sich die Vorgaben nun in einem Erwägungsgrund, doch ist deren Verbindlichkeit mangels Verankerung im verfügenden Teil der DSGVO in Frage zu stellen. Erwägungsgründe in Erlassen der EU dienen nämlich lediglich als Auslegungshilfen des verfügenden Teils und sind an sich rechtlich unverbindlich.[24] Während sie dazu beitragen können, über die Auslegung einer Rechtsvorschrift Aufschluss zu geben, stellen sie nicht selbst eine solche Vorschrift dar.[25] Dass die besagten Vorgaben nicht als Auslegungshilfe an eine spezifische Bestimmung des verfügenden Teils der DSGVO anknüpfen, zeigt sich bereits an deren systemwidrigen Platzierung[26] in EG 71 DSGVO, der im Übrigen die automatisierten Entscheidungen adressiert. Angesichts dessen und der Gesetzeshistorie wird die Bindungswirkung der Vorgaben zu Recht verneint.[27] Gleichwohl lassen sich EG 71 DSGVO gewisse Leitlinien im Hinblick auf die Rechtmässigkeit des «Profilings»[28] und die Bedeutung der Verarbeitungsgrundsätze beim «Profiling»[29] (Art. 5 f. DSGVO) entnehmen. So dürfte etwa für das Kreditscoring die Einhaltung der Vorgaben in die allfällige Interessenabwägung im Rahmen von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO einfliessen. Zudem hat z.B. der Verantwortliche zugunsten der Datenrichtigkeit Massnahmen zu ergreifen, um das Risiko von Fehlern zu minimieren.[30]

Für das schweizerische Recht enthalten weder die Botschaft noch die übrigen Materialien Hinweise auf vergleichbare Vorgaben für das Profiling. Umso weniger lässt sich eine eigentliche Pflicht des Verantwortlichen beim Profiling begründen, mathematische oder statistische Verfahren zu verwenden, bestimmte technische oder organisatorische Massnahmen zu ergreifen etc. Deshalb überzeugt es nicht, wenn das Bundesamt für Justiz – wie es scheint – diese Vorgaben aus der DSGVO für Bundesorgane auf das DSG überträgt.[31] Allerdings lässt sich auch im Anwendungsbereich des DSG den Anliegen von EG 71 DSGVO im Rahmen der Bearbeitungsgrundsätze und der Rechtfertigung einer allfälligen Persönlichkeitsverletzung, insbesondere durch ein überwiegendes Interesse, Rechnung tragen.[32]

Kein besonderes Widerspruchsrecht

Ein besonderes Widerspruchsrecht gegen Profiling stand sowohl in der EU als auch später in der Schweiz zur Diskussion. Für die DSGVO schlug das Europäische Parlament ein solches Widerspruchsrecht vor,[33] und zwar in der Bestimmung, aus der später Art. 22 Abs. 1 DSGVO wurde. Dieser Vorschlag blieb indes erfolglos; der Regelungsgegenstand der genannten Bestimmung veränderte sich im Laufe des Erlassprozesses und betrifft nun automatisierte Entscheidungen.[34] In der Schweiz stellte eine Minderheit der Staatspolitischen Kommission des Nationalrates einen inhaltlich vergleichbaren Antrag,[35] doch war auch ihm kein Erfolg beschieden.[36] Ein besonderes Widerspruchsrecht gegen Profiling findet sich also – zumindest nach dem Willen des schweizerischen bzw. europäischen Gesetzgebers – weder im DSG noch in der DSGVO.

Vor diesem Hintergrund ist auch Art. 22 Abs. 1 DSGVO auszulegen, welcher der betroffenen Person das Recht vermittelt, nicht einer ausschliesslich auf einer automatisierten Verarbeitung – einschliesslich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.[37] Nachdem die EU‑Institutionen einen Vorschlag für ein Widerspruchsrecht gegen Profiling abgelehnt haben, lässt sich ein solches Recht nicht in Art. 22 Abs. 1 DSGVO hineinlesen. Hinzu kommt, dass die DSGVO – generell[38] und insbesondere in Art. 22 Abs. 1 – zwischen der zugrunde liegenden Datenverarbeitung, wozu auch Profiling zählen kann, einerseits und der darauf beruhenden Entscheidung andererseits differenziert. Art. 22 Abs. 1 DSGVO sieht ausdrücklich eine kausale Verknüpfung und zeitlich zwingende Reihenfolge von automatisierter Verarbeitung – einschliesslich Profiling[39] – und darauf beruhender Entscheidung vor.[40] Dies bestätigt EG 71 DSGVO: Demgemäss sollte die betroffene Person das Recht haben, keiner Entscheidung unterworfen zu werden, die ausschliesslich auf einer automatisierten Verarbeitung beruht (Satz 1) und zählt das Profiling zu einer «derartigen Verarbeitung» (Satz 2).[41]

Nachdem also das Profiling von der Entscheidung[42] abzugrenzen ist, stellt es selbst keine Entscheidung dar, die Art. 22 Abs. 1 DSGVO (und den anderen Bestimmungen über die automatisierten Entscheidungen) untersteht,[43] selbst wenn das Profiling (ohne Entscheidung) gegenüber der betroffenen Person eine rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt.[44] Dies muss folglich auch für die begriffsnotwendigen Elemente des Profilings,[45] insbesondere dessen Output, gelten, der also nicht ohne weiteres als Entscheidung qualifiziert. Dass Art. 22 Abs. 1 DSGVO zumindest nicht das Profiling an sich erfasst, bestätigte implizit auch der EuGH, indem er die Berechnung des Kreditscores durch die deutsche Auskunftei SCHUFA als Profiling qualifizierte, daraus aber nicht gleich auf die Anwendbarkeit dieser Bestimmung schloss.[46]

Das europäische und das schweizerische Recht kennen hingegen ein allgemeines Widerspruchsrecht gegen Datenbearbeitungen, das der betroffenen Person auch gegen ein sie betreffendes Profiling zusteht (Art. 30 Abs. 2 lit. b DSG; Art. 21 Abs. 1 DSGVO).[47] Indem Art. 21 Abs. 1 DSGVO ein Widerspruchsrecht ausdrücklich gegen das Profiling vorsieht, unterstreicht er, dass Art. 22 DSGVO nicht auf das blosse Profiling anwendbar ist. Der Widerspruch hat weder unter dem DSG noch der DSGVO zur Folge, dass der Verantwortliche das Profiling zwingend zu unterbinden hat; vielmehr muss zunächst eine Interessenabwägung erfolgen. So wären etwa beim Kreditscoring insbesondere die Interessen der betroffenen Person einerseits gegen diejenigen der Auskunftei sowie der Kreditgeberinnen andererseits abzuwägen.[48]

Kein Einwilligungserfordernis für Profiling mit hohem Risiko (nur DSG)

Nach Art. 6 Abs. 7 lit. b DSG muss eine Einwilligung für ein Profiling mit hohem Risiko durch eine private Person ausdrücklich erfolgen. Daraus wird zuweilen – ähnlich wie bei der Bearbeitung von besonders schützenswerten Personendaten[49] – abgeleitet, dass ein Profiling mit hohem Risiko nur zulässig ist, wenn die betroffene Person ausdrücklich in eine solche Datenbearbeitung eingewilligt hat.[50] Auch in den Parlamentsdebatten sowie in den Kommissionsdiskussionen finden sich zahlreiche Äusserungen, welche dieses Verständnis stützen oder zumindest den Schluss darauf zulassen.[51] Art. 6 Abs. 7 lit. b DSG dahingehend auszulegen, ist aber aus mehreren Gründen verfehlt.

Zunächst sprechen der Wortlaut[52] sowie die Systematik[53] gegen eine solche Auslegung. Das Profiling ohne ausdrückliche Einwilligung als Persönlichkeitsverletzung vorzusehen, regte der Bundesrat im Vorentwurf an (Art. 23 Abs. 2 lit. d VE-DSG).[54] Der Gesetzgeber – oder zumindest der Bundesrat – wüsste also über die richtige Einordnung eines Einwilligungserfordernisses für Profiling (mit hohem Risiko) Bescheid, nahm aber von dessen Erlass Abstand.[55] Hinzu kommt, dass noch im Entwurf des DSG das Ausdrücklichkeitserfordernis für Einwilligungen zur Vornahme eines (dort noch «gewöhnlichen») Profilings als zweiter Satz der Bestimmung vorgesehen war (Art. 5 Abs. 6 Satz 2 E-DSG), welche die Gültigkeitsvoraussetzungen einer Einwilligung umschrieb (Art. 5 Abs. 6 Satz 1 E-DSG). Ausschliesslich um die Lesbarkeit zu verbessern, teilte der Nationalrat den Abs. 6 in zwei Absätze auf,[56] weshalb heute Abs. 7 von Art. 6 DSG gemeinsam mit dessen Abs. 6 zu lesen ist: «Ist die Einwilligung der betroffenen Person erforderlich», muss die Einwilligung ausdrücklich erfolgen.[57] Ein generelles Einwilligungserfordernis würde denn auch dem Ausschluss des Profilings mit hohem Risiko aus dem besonders geregelten überwiegenden Interesse für Kreditwürdigkeitsprüfungen (Art. 31 Abs. 2 lit. c Ziff. 1 DSG) die eigenständige Bedeutung rauben.[58]

Das hier vertretene Verständnis deckt sich auch mit den Ausführungen in der Botschaft, wonach an die Einwilligung, nicht aber an die Zulässigkeit des Profilings, erhöhte Anforderungen gestellt werden.[59] Ebenso geht zumindest aus zwei Voten in der Parlamentsdebatte eindeutig hervor, dass der Gesetzgeber das Profiling mit hohem Risiko nicht grundsätzlich von einer ausdrücklichen Einwilligung abhängig machen wollte.[60] Und auch in den Kommissionen stellte ein Behördenmitglied wiederholt klar, dass nach der Gesetzessystematik eine Einwilligung erst bei Vorliegen einer Persönlichkeitsverletzung erforderlich sein könne und ein allgemeines Einwilligungserfordernis mit (heute) Art. 6 Abs. 7 DSG gar nicht erst zur Debatte stehe.[61]

Aus alledem ergibt sich, dass das Gesetz die Zulässigkeit eines Profilings mit hohem Risiko nicht grundsätzlich von einer ausdrücklichen Einwilligung abhängig macht.[62] Vielmehr verlangt es nur, dass die Einwilligung ausdrücklich sein muss, wenn das vorgenommene Profiling mit hohem Risiko rechtfertigungsbedürftig ist und sich der Verantwortliche auf die Einwilligung als Rechtfertigungsgrund beruft.[63]

Keine generellen Vorgaben für Kreditwürdigkeitsprüfungen aus Art. 31 Abs. 2 lit. c DSG

Art. 31 Abs. 2 lit. c DSG sieht ein besonders geregeltes überwiegendes Interesse zur Rechtfertigung von persönlichkeitsverletzenden Datenbearbeitungen zur Prüfung der Kreditwürdigkeit vor. Dieses setzt insbesondere voraus, dass keine besonders schützenswerten Personendaten bearbeitet und kein Profiling mit hohem Risiko vorgenommen wird (Ziff. 1), die Daten Dritten nur bekanntgegeben werden, wenn diese sie für den Abschluss oder die Abwicklung eines Vertrags mit der betroffenen Person benötigen (Ziff. 2), die Daten nicht älter als zehn Jahre sind (Ziff. 3) und die betroffene Person volljährig ist (Ziff. 4). Die dazugehörige Gesetzeshistorie enthält Hinweise auf eine (scheinbare) Absicht des Gesetzgebers, Datenbearbeitungen für Kreditwürdigkeitsprüfungen mit Art. 31 Abs. 2 lit. c DSG abschliessend zu regeln, sodass ein Verantwortlicher, insbesondere eine Auskunftei, die Voraussetzungen als generelle Regeln bei der Datenbearbeitung zu diesem Zweck zu beachten hätte.[64] Auch in der Lehre finden sich Aussagen, welche die Voraussetzungen dieser Bestimmung zu generellen Vorgaben zu erheben scheinen.[65]

Nach hier vertretener Ansicht lassen sich aus Art. 31 Abs. 2 lit. c DSG und insbesondere dessen Ziffern 1–4 indes keine generellen Vorgaben an die Datenbearbeitungen im Kontext von Kreditwürdigkeitsprüfungen entnehmen. Dafür sprechen der Wortlaut der Bestimmung, der bloss Voraussetzungen für ein in Betracht fallendes überwiegendes Interesse formuliert, und die systematische Platzierung der Ziffern 1–4 in einem Rechtfertigungsgrund. Die Systematik lässt es abwegig erscheinen, daraus generelle Vorgaben, also insbesondere auch für nicht persönlichkeitsverletzende Datenbearbeitungen, abzuleiten.[66] Ferner wurde im Gesetzgebungsverfahren verschiedentlich klargestellt, dass es bei Art. 31 Abs. 2 lit. c Ziff. 1–4 DSG (namentlich Ziff. 3) nicht um eine allgemeine Regulierung der Kreditwürdigkeitsprüfung, sondern um eine Bestimmung gehe, die erst im Falle einer rechtfertigungsbedürftigen Datenbearbeitung einschlägig sei.[67]

Diese Auslegung lässt sich auch mit dem Moneyhouse-Entscheid stützen, in dem das Bundesverwaltungsgericht die Bekanntgabe von Persönlichkeitsprofilen[68] konstatierte und gleichwohl ein überwiegendes Interesse für diese Datenbearbeitung prüfte, nachdem es die Voraussetzungen der Vorgängerbestimmung von Art. 31 Abs. 2 lit. c DSG als nicht erfüllt erachtete.[69] Daraus ergibt sich implizit, dass die Bearbeitung von Persönlichkeitsprofilen für Kreditwürdigkeitsprüfungen unter altem Recht nicht generell ausgeschlossen war. Dasselbe muss nach geltendem Recht (unter anderem) für die Vornahme eines Profilings mit hohem Risiko gelten.

Für ein Profiling durch ein Bundesorgan verlangt Art. 34 Abs. 2 lit. b DSG grundsätzlich eine Grundlage in einem Gesetz im formellen Sinn. Alternativ lässt sich das Profiling auch auf eine Einwilligung im Einzelfall abstützen (Art. 34 Abs. 4 lit. b DSG), die aufgrund Art. 6 Abs. 7 lit. c DSG ausdrücklich erfolgen muss. Ausserdem müssen das verantwortliche Bundesorgan und dessen Auftragsbearbeiter ein Bearbeitungsreglement für automatisierte Bearbeitungen erstellen, wenn sie ein Profiling durchführen (Art. 5 Abs. 1 lit. b DSV). ↵

In Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g, Art. 15 Abs. 1 lit. h, Art. 22 Abs. 1 und Art. 47 Abs. 2 lit. e knüpft die DSGVO an «das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling» bzw. das Vorliegen einer «ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung» an. Art. 21 Abs. 1 und 2 DSGVO adressieren das allgemeine Widerspruchsrecht bzw. dasjenige im Zusammenhang mit Direktwerbung, die auch bei einem Profiling gelten. Die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 3 lit. a DSGVO setzt bei einer qualifizierten Bewertung persönlicher Aspekte an, «die sich auf automatisierte Verarbeitung einschließlich Profiling gründet» und als Grundlage für Entscheidungen dient (vgl. Schantz, S. 1844; Stengel/Stäuble, Rn. 38; Vasella, in: Emmenegger, S. 191). ↵

Die DSGVO spricht im genannten Artikel von «auf Profiling beruhenden Entscheidungen gemäß Artikel 22 Absatz 2». Wie zu zeigen sein wird (vgl. dazu unten Teil 4, B.II.), ist ein Profiling nicht erforderlich, damit Art. 22 DSGVO greift. Dem Wortlaut nach kommt dem Profiling in Art. 70 Abs. 1 lit. f DSGVO also eine eigenständige Bedeutung zu (vgl. Stengel/Stäuble, Rn. 38; Vasella, in: Emmenegger, S. 191). ↵

Über keine selbständige Relevanz verfügt das Profiling in EG 70, 71 Abs. 1 und 91 DSGVO. EG 70 DSGVO betrifft das Widerspruchsrecht gegen eine «Verarbeitung einschließlich des Profilings» im Zusammenhang von Direktwerbung. EG 71 DSGVO adressiert das Profiling im Kontext von automatisierten Entscheidungen (vgl. dazu unten Teil 3, C.I.2.). EG 91 Satz 2 DSGVO knüpft – wie Art. 35 Abs. 3 lit. a DSGVO – nicht an das Profiling an sich, sondern an eine qualifizierte Bewertung persönlicher Aspekte an. ↵

EG 60 (betr. Informationspflicht), 63 (betr. Auskunftsrecht) und 71 Satz 6 (betr. Durchführung des «Profilings») DSGVO. ↵

Vgl. dazu unten Teil 3, C.I.2. bzw. C.II.2.1.b.bb. ↵

So auch Buchner, in: Kühling/Buchner, Art. 22 N 4; Lorentz, S. 79 und 157; Martini, in: Paal/Pauly, Art. 22 N 23; Stengel/Stäuble, Rn. 31. ↵

Der Grund dafür war u.a., dass sich die Voraussetzung einer ausdrücklichen Einwilligung für das Profiling bereits aus dem Erfordernis ergebe, dass die Einwilligung für ein Profiling ausdrücklich erfolgen müsse (vgl. Ergebnisse Vernehmlassungsverfahren VE-DSG, S. 38). Diesem Verständnis liegt derselbe Irrtum zugrunde wie der Auslegung von Art. 6 Abs. 7 lit. b DSG, wonach für das Profiling mit hohem Risiko durch eine private Person eine ausdrückliche Einwilligung der betroffenen Person vorausgesetzt sei (vgl. dazu unten Teil 3, C.I.4.). ↵

Dieses Verständnis lässt sich auch aus der Begründung ableiten, weshalb das Parlament das im Gesetzgebungsverfahren von einer Minderheit beantragte besondere Widerspruchsrecht gegen Profiling (vgl. Art. 5 Abs. 8 Fahne Entwurf 3 Herbstsession 2020 NR) verwarf. Es brauche kein besonderes Widerspruchsrecht, da mit Art. 30 Abs. 2 lit. b DSG bereits ein Widerspruchsrecht auch gegen das Profiling bestehe (Amtl. Bull. NR 2020 S. 1601 [Votum Jauslin]): Würde jedes Profiling die Persönlichkeit verletzen, wären beim Profiling ein Widerspruch und das Widerspruchsrecht müssig. ↵

Aufgrund des Erlaubnisprinzips mit Verbotsvorbehalt bedarf der Verantwortliche einer Rechtfertigung nur, wenn das Profiling eine persönlichkeitsverletzende Datenbearbeitung darstellt (vgl. dazu oben Teil 2, C.I.1.). ↵

Vgl. dazu oben Teil 3, B.III.1.2. ↵

Aus diesem Grund lässt sich der vom Bundesverwaltungsgericht in der Moneyhouse-Entscheidung vorgenommene Umkehrschluss nicht mehr auf gleiche Weise ziehen (vgl. dazu oben Teil 3, B.III.2.1). ↵

Vgl. Glatthaar, Rn. 5; Husi-Stämpfli/Morand, Rn. 133; Rosenthal, Jusletter 2020, Rn. 28; Vasella, in: Emmenegger, S. 200. ↵

Der Bundesrat sah im Entwurf zum DSG vor, dass dieses besonders geregelte überwiegende Interesse bei der Vornahme eines Profilings ausgeschlossen ist (Art. 27 Abs. 2 lit. c Ziff. 1 E-DSG). Das DSG schliesst nun in Art. 31 Abs. 2 lit. c Ziff. 1 lediglich das Profiling mit hohem Risiko von diesem überwiegenden Interesse aus. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.2. ↵

Die Aufzählung in EG 71 Satz 6 DSGVO lässt die biometrischen Daten zur eindeutigen Identifikation einer natürlichen Person sowie die Daten zum Sexualleben unerwähnt. ↵

Wegen eines Fehlers in der ursprünglichen (deutschen) Fassung des EG 71 Satz 6 DSGVO war unklar, ob mit der Sicherungsweise diskriminierenden Wirkungen begegnet werden sollte (so etwa Lorentz, S. 289, trotz Berücksichtigung der Berichtigung). Die Formulierung wurde allerdings in der Zwischenzeit korrigiert (vgl. Berichtigung DSGVO, S. 2). Wie sich auch aus der englischen und der französischen Sprachfassung ergibt, soll der Verantwortliche gemäss dem Erwägungsgrund (unabhängig von der Speicherweise) u.a. verhindern, dass es aufgrund der genannten Merkmale zu diskriminierenden Wirkungen kommt. ↵

Vgl. dazu oben Teil 3, B.I.2.1.b. ↵

Vgl. dazu oben Teil 3, B.I.1.1. ↵

Lorentz, S. 102 und 106. ↵

Härting, ITRB 2016, S. 210; vgl. auch HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.3; Schantz, S. 1844, in Bezug auf automatisierte Entscheidungen i.S.v. Art. 22 DSGVO. ↵

Scholz, in: Simitis et al., Art. 4 Ziff. 4 N 11; vgl. auch Schantz, S. 1844, in Bezug auf automatisierte Entscheidungen i.S.v. Art. 22 DSGVO. ↵

Das Parlament schlug vor, Profiling zu verbieten, das zu einer diskriminierenden Wirkung aufgrund der genannten Merkmale führt, und den Verantwortlichen zu verpflichten, für einen wirksamen Schutz gegen mögliche Diskriminierung wegen Profilings zu sorgen (Art. 20 Abs. 3 E-DSGVO EP). In den Ratsverhandlungen wollte die deutsche Delegation den Verantwortlichen dazu verpflichten, geeignete mathematische oder statistische Verfahren für das Profiling zu verwenden, geeignete technische und organisatorische Massnahmen zur Korrektur von Faktoren, die zu unrichtigen personenbezogenen Daten führen, und zur Minimierung des Risikos von Fehlern zu treffen und die Daten in einer Weise zu sichern, welche die potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person berücksichtigt (German and Austrian delegation, Note to DAPIX, S. 15). ↵

Baratta, S. 302; vgl. auch EuGH, Rs. C-136/04 vom 24. November 2005, Deutsches Milch-Kontor GmbH, Ziff. 32; EuGH, Rs. C-355/95 vom 15. Mai 1997, TWD Textilwerke Deggendorf GmbH, Ziff. 21. ↵

EuGH, Rs. C‑215/88 vom 13. Juli 1989, CASA Fleischhandels-GmbH, Ziff. 31; Wachter et al., IDPL 2017, S. 80; vgl. auch Klimas/Vaičiukaitė, S. 76. ↵

Vgl. Kamlah, in: Plath, Art. 22 N 26; Lorentz, S. 290; Temme, S. 481. ↵

Lorentz, S. 290. ↵

Lorentz, S. 218 und 290; Taeger, RDV 2017, S. 6; vgl. auch Kamlah, in: Plath, Art. 22 N 26; von Lewinski et al., § 16 N 54. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 138; vgl. auch Vasella, in: Emmenegger, S. 205 f. ↵

Vgl. dazu unten Teil 3, C.V.2. ↵

Vgl. BJ, Totalrevision, S. 16. ↵

Vasella, in: Emmenegger, S. 206 f. ↵

Art. 20 Abs. 1 E-DSGVO EP lautete wie folgt: «Unbeschadet der Bestimmungen des Artikels 6 hat jede natürliche Person das Recht dem Profiling gemäss Artikel 19 zu widersprechen. Die betroffene Person ist über ihr Recht, dem Profiling zu widersprechen, in deutlich sichtbarer Weise zu unterrichten». ↵

Vgl. dazu unten Teil 4, D. ↵

Die Minderheit beantragte den folgenden, zusätzlichen Absatz in der Bestimmung zu den Bearbeitungsgrundsätzen (vgl. Art. 5 Abs. 8 Fahne Entwurf 3 Herbstsession 2020 NR): «Gegen jede Form des Profilings steht der betroffenen Person ein Widerspruchsrecht zu. Die betroffene Person muss auf dieses Widerspruchsrecht hingewiesen werden. Ist Widerspruch eingelegt, dürfen die Daten nicht weiterverarbeitet werden; im Einzelfall kann die Verarbeitung fortgesetzt werden, wenn bei erhöhtem Risiko zwingende schutzwürdige Gründe die weitere Verarbeitung erfordern. Entscheidung und Gründe sind der betroffenen Person mitzuteilen.» ↵

Grund dafür war, dass bereits Art. 30 Abs. 2 lit. b DSG ein Widerspruchsrecht gegen das Profiling vorsehe (vgl. Amtl. Bull. NR 2020 S. 1601 [Votum Jauslin]). ↵

Vgl. dazu unten Teil 4, D. und E.I.2. ↵

Dies zeigt sich etwa auch daran, dass Art. 21 Abs. 1 DSGVO ein Widerspruchsrecht gegen Datenverarbeitungen einräumt, was explizit Profiling einschliesst, während Art. 22 Abs. 1 DSGVO ein Widerspruchsrecht gegen automatisierte Entscheidungen vermittelt (vgl. dazu unten Teil 4, E.I.2.). ↵

Diese Parenthese bedeutet entsprechend nicht, dass auch das Profiling den Bestimmungen über die automatisierten Entscheidungen untersteht, sondern bezweckt einzig, die hervorragende Bedeutung von Profiling im Zusammenhang mit automatisierten Entscheidungen zu betonen (Henseler, automatisierte Entscheidung, S. 308; Stengel/Stäuble, Rn. 34; vgl. auch Buchner, in: Kühling/Buchner, Art. 22 N 20; Schulz, in: Gola/Heckmann, Art. 22 N 4). ↵

VGer Wiesbaden, 6 K 788/20 vom 1. Oktober 2021, in: BeckRS 2021, 30719, Rn. 23. ↵

Vgl. VGer Wiesbaden, 6 K 788/20 vom 1. Oktober 2021, in: BeckRS 2021, 30719, Rn. 23; Paal, ZfDR 2023, S. 130; ferner Taeger, RDV 2017, S. 6. EG 71 Satz 2 DSGVO stellt zwar seine Aussage noch unter die Voraussetzung, dass «dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt», was an die erforderliche relevante Auswirkung (vgl. dazu unten Teil 4, D.III.) einer automatisierten Entscheidung erinnert. Jedoch stellt EG 71 Satz 3 DSGVO mit der Formulierung «[e]ine auf einer derartigen Verarbeitung, einschließlich Profiling, beruhenden Entscheidungsfindung» sogleich klar, dass Profiling eben nur eine automatisierte Datenverarbeitung darstellt, die in eine Entscheidung i.S.v. Art. 22 DSGVO münden kann (vgl. Schantz, in: Schantz/Wolff, Rn. 731). ↵

Vgl. dazu unten Teil 4, D.I. ↵

Henseler, automatisierte Entscheidung, S. 308; Lorentz, S. 78 f. und 156; Schulz, in: Gola/Heckmann, Art. 22 N 3 und 19; Taeger, RDV 2017, S. 4; vgl. auch Martini, in: Paal/Pauly, Art. 22 N 2 und 21; a.M. Müller Martin, Rn. 241; Nišević, S. 109; Rosenthal, Jusletter 2020, Rn. 108 (Fn. 90); offenbar Helfrich, Bonitätsbewertung, Rn. 15; Roth, SZW 2021, S. 38. ↵

Paal, ZfDR 2023, S. 129 f.; vgl. auch BVGer Österreich, W256 2235360-1/5E vom 18. Dezember 2020, S. 23; Henseler, GA EuGH C‑634/21, o.S. ↵

Vgl. dazu oben Teil 3, B.I.2. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 47; vgl. auch GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 33. Ein solches Scoring soll aber nach Ansicht des EuGH unter Umständen als automatisierte Entscheidungsfindung qualifizieren (EuGH, Rs. C‑634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. [Scoring], Ziff. 40 ff.), worauf später zurückzukommen ist (vgl. dazu unten Teil 4, D.I.3.). ↵

Art. 21 Abs. 1 Satz 1 DSGVO hält ausdrücklich fest, dass das Widerspruchsrecht auch für ein auf Art. 6 Abs. 1 UAbs. 1 lit. e oder f DSGVO gestütztes Profiling gilt. Eine Auskunftei stützt die Berechnung des Kreditscores üblicherweise auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (vgl. dazu unten Teil 3, D.IV.2.2.b). ↵

Vgl. Art. 30 Abs. 2 lit. b i.V.m. Art. 31 Abs. 1 bzw. Abs. 2 lit. c DSG; Art. 21 Abs. 1 DSGVO. ↵

Aus im Wesentlichen denselben Gründen wie den im Folgenden dargelegten, lässt sich aus Art. 6 Abs. 7 lit. a DSG für die Bearbeitung von besonders schützenswerten Personendaten kein grundsätzliches Erfordernis einer ausdrücklichen Einwilligung ableiten. Hinzu kommt, dass Art. 31 Abs. 2 lit. c DSG, der bei der Bekanntgabe solcher Daten eine der Rechtfertigung (etwa mittels Einwilligung) zugängliche Persönlichkeitsverletzung fingiert, überflüssig wäre, zumal ja bei diesem Verständnis ohnehin jede Bearbeitung solcher Daten eine ausdrückliche Einwilligung erfordern würde. ↵

So wohl Uttinger/Geiser, Rn. 2.89; vgl. auch Ergebnisse Vernehmlassungsverfahren VE-DSG, S. 38, wo verschiedene Teilnehmer der Vernehmlassung die Streichung der vom Bundesrat vorgeschlagenen Fiktion einer Persönlichkeitsverletzung bei Vornahme eines Profilings ohne ausdrückliche Einwilligung (Art. 23 Abs. 2 lit. d VE-DSG) anregten, weil sich das Erfordernis einer ausdrücklichen Einwilligung bereits aus der Art. 6 Abs. 7 DSG entsprechenden Bestimmung (Art. 4 Abs. 6 VE-DSG) ergebe. ↵

Amtl. Bull. NR 2020 S. 143 und 148 (Voten Wermuth und Jauslin); Amtl. Bull. SR 2019 S. 1240 f. (Votum Fässler); SPK-NR vom 2./3. Juli 2020, S. 5 f. und 9 f.; SPK-NR vom 18./19. Oktober 2018, S. 7 ff.; SPK-SR vom 18./19. November 2019, S. 44 f. ↵

Andernfalls wäre Art. 6 Abs. 7 lit. b DSG etwa wie folgt formuliert: «Eine ausdrückliche Einwilligung ist erforderlich für: ein Profiling mit hohem Risiko durch eine private Person.» ↵

Die Systematik würde die Platzierung einer solchen Voraussetzung in Art. 30 DSG verlangen (vgl. Roth, SZW 2021, S. 37, der allerdings fälschlicherweise von der Widerrechtlichkeit der Datenbearbeitung statt von deren persönlichkeitsverletzendem Charakter spricht; Vasella, Neues DSG, o.S.). ↵

Vgl. dazu oben Teil 3, C.I.1. ↵

Vgl. Roth, SZW 2021, S. 38; Vasella, Neues DSG, o.S. ↵

SPK-NR vom 18./19. Oktober 2018, S. 20; vgl. auch Amtl. Bull. NR 2019 S. 1786 (Votum Fluri). ↵

Vgl. Roth, SZW 2021, S. 37; Vasella, Neues DSG, o.S. ↵

Wenn für das Profiling mit hohem Risiko generell eine ausdrückliche Einwilligung erforderlich wäre, dann würde ein überwiegendes Interesse zur Rechtfertigung einer Persönlichkeitsverletzung bei der Bearbeitung von besonders schützenswerten Personendaten ohnehin (d.h. unabhängig von Art. 31 Abs. 2 lit. c Ziff. 1 DSG) ausscheiden. ↵

Botschaft Totalrevision DSG, S. 7027; vgl. auch Roth, SZW 2021, S. 37 f. ↵

Amtl. Bull. NR 2019 S. 1785 und 1788 (Voten Wermuth und Keller-Sutter); vgl. auch Amtl. Bull. SR 2020 S. 991 (Votum Fässler); Vasella, Neues DSG, o.S. ↵

SPK-NR vom 2./3. Juli 2020, S. 6; SPK-NR vom 18./19. Oktober 2018, S. 8 und 21; vgl. auch SPK-SR vom 18./19. November 2019, S. 46 f. ↵

Bühlmann/Schüepp, Jusletter 2022, Rn. 37; Burnier et al., Rn. 39; Glatthaar, Rn. 8; OK DSG-Loderer, Art. 6 Abs. 6 und 7 N 49; Rosenthal, Jusletter 2020, Rn. 28 und 42; Schweikard/Vasella, S. 88 f.; Vasella, Neues DSG, o.S.; vgl. unklar Heuberger, Rn. 212, 365 und 385. ↵

Métille, S. 26; Rosenthal, Jusletter 2020, Rn. 31; vgl. auch Glatthaar, Rn. 8; Jacot-​Guillarmod, o.S.; Roth, SZW 2021, S. 38. ↵

So hält der Bundesrat in der Botschaft Totalrevision DSG, S. 7075, in Bezug auf Art. 31 Abs. 2 lit. c Ziff. 3 DSG fest, dass er «eine generelle Regelung über die Dauer, während der Daten verwendet werden dürfen, als sinnvoll» erachte. Auch klingen gewisse Äusserungen im Gesetzgebungsverfahren so, als hätten die Parlamentsmitglieder generelle Vorgaben an die Prüfung der Kreditwürdigkeit aufstellen wollen (vgl. Amtl. Bull. NR 2020 S. 1599 [Votum Silberschmidt]; Amtl. Bull. NR 2019 S. 1820 [Votum Wermuth]; Amtl. Bull. SR 2020 S. 293 f. [Votum Müller]). ↵

Vgl. George, S. 273 und 404, wonach nicht einfach über die Wertungen des Gesetzgebers hinweggesehen werden könne und Art. 31 Abs. 2 DSG entgegen dem Gesetzeswortlaut kontextuelle Verbote vorsehe, deren Verletzung die Widerrechtlichkeit indiziere; SHK DSG-Pfaffinger, Art. 31 N 71, wonach sich bisher zeitliche Schranken aus dem Verhältnismässigkeitsgrundsatz definierten, nunmehr aber Ziff. 3 ein Verfallsdatum vorsehe. ↵

Vgl. Rosenthal, Jusletter 2020, Rn. 42, wonach der Rechtfertigungsgrund nur und erst dann zum Zug komme, wenn eine Persönlichkeitsverletzung vorliege. ↵

Amtl. Bull. NR 2020 S. 1600 (Votum Keller-Sutter), wo die Bundesrätin «zur Frage des Alters der Daten beim Rechtfertigungsgrund der Kreditwürdigkeitsprüfung» festhält, dass es «nicht um eine allgemeine Regulierung der Kreditwürdigkeitsprüfung [geht]» und «Artikel 27 [heute: 31] Absatz 2 Buchstabe c […] erst dann zur Anwendung [kommt], wenn für eine Datenbearbeitung ein Rechtfertigungsgrund benötigt wird»; ähnlich Amtl. Bull. SR 2020 S. 294 f. (Votum Fässler); SPK-SR vom 18. Mai 2020, S. 7 f. ↵

Vgl. dazu oben Teil 3, B.II. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.4. Die Vorgängerbestimmung, Art. 13 Abs. 2 lit. c DSG, liess sich nicht heranziehen, wenn Persönlichkeitsprofile bearbeitet wurden. ↵

24

Transparenz

Allgemeines

Der Transparenzgrundsatz will der betroffenen Person eine informierte Entscheidung, sich einer Datenbearbeitung tatsächlich zu widersetzen oder sie hinzunehmen, und die Ausübung ihrer Betroffenenrechte, insbesondere ihres Widerspruchsrechts, ermöglichen.[1] Sowohl im DSG als auch in der DSGVO ist der Grundsatz in keinem eigenen Absatz und daher nicht seiner zentralen Bedeutung für den Schutz der Interessen der betroffenen Person angemessen geregelt.[2] Art. 6 Abs. 3 DSG verbindet den Transparenz- mit dem Zweckbindungsgrundsatz;[3] Art. 5 Abs. 1 lit. a DSGVO adressiert in einem Buchstaben neben der Transparenz die Grundsätze der Rechtmässigkeit und von Treu und Glauben. Immerhin zeigen sich in diesen Verknüpfungen die Bezüge des Grundsatzes der Transparenz zu jenen der Zweckbindung[4] und von Treu und Glauben.[5]

Der Grundsatz verlangt insbesondere Transparenz über die Datenbearbeitungen, namentlich die Datenbeschaffung, und den Bearbeitungszweck (nachfolgend 2.). Für die betroffene Person müssen die erforderlichen Angaben erkennbar sein (nachfolgend 3.), wobei zuweilen «Ausnahmen» greifen (nachfolgend 4.). Trotz gleicher Zweckausrichtung unterscheidet sich der Transparenzgrundsatz hinsichtlich der erforderlichen Angaben, der Umsetzung und der Ausnahmen von der Informationspflicht (nachfolgend 5.).

EG 39 Satz 3 DSGVO leitet überdies aus dem Grundsatz auch formelle, mit Art. 12 Abs. 1 DSGVO vergleichbare Vorgaben an die Informationen und Mitteilungen ab, die der Verantwortliche der betroffenen Person aufgrund des Datenschutzrechts schuldet. Ähnliche Vorgaben scheint nun die Lehre vereinzelt auch dem Transparenzgrundsatz des DSG entnehmen zu wollen.[6] Da diesbezüglich beim Kreditscoring indes kaum Besonderheiten bestehen dürften, vertiefen die nachfolgenden Ausführungen diese formellen Vorgaben nicht.

Umfang der zu schaffenden Transparenz

Im Allgemeinen

Im schweizerischen Recht (DSG)

Beschaffung, Bearbeitungszweck und einzelfallabhängig weitere Parameter

Der Transparenzgrundsatz des DSG setzt zunächst voraus, dass die Beschaffung selbst – verstanden als ein aktives Tun, mit dem gewollt Kenntnis von Daten oder die Verfügung darüber erlangt wird[7] – und der Zweck der Datenbearbeitung für die betroffene Person erkennbar sind.[8] Die Erkennbarkeit der Beschaffung geht zwar nicht mehr ausdrücklich aus der Bestimmung hervor,[9] ist aber zur Verwirklichung des Zwecks des Transparenzgrundsatzes zwingend erforderlich und wird in der Botschaft auch ausdrücklich verlangt.[10] Ein über die Erkennbarkeit dieser beiden Aspekte hinausgehendes Transparenzerfordernis ergibt sich – im Gegensatz zum aDSG[11] – jedoch nicht aus dem Wortlaut von Art. 6 Abs. 3 DSG; ebenso wenig statuiert der Bundesrat ein solches in seiner Botschaft.

Gleichzeitig führt der Bundesrat aus, dass die Neuformulierung des Transparenzgrundsatzes keine materielle Änderung im Vergleich zum alten Recht zur Folge habe.[12] Zudem liesse sich die Einschränkung des Transparenzgrundsatzes im Vergleich zum aDSG mit dessen ratio legis sowie dem Revisionsziel, die Rechte der betroffenen Personen zu stärken und die Transparenz zu erhöhen,[13] schwerlich vereinbaren. Aus diesen Gründen ist auch unter dem neuen Recht[14] in den Bearbeitungsgrundsatz hineinzulesen, dass der Verantwortliche je nach Einzelfall weitere Parameter der Bearbeitung transparent machen muss.[15] So ist beispielsweise bei der direkten Beschaffung je nach Konstellation vom Verantwortlichen zu verlangen, dass er die betroffene Person darüber aufklärt, ob die Daten freiwillig oder obligatorisch anzugeben sind und welche Folgen eine verweigerte Angabe zeitigt.[16]

Mit Blick auf den Zweck des Transparenzgrundsatzes sind jene Parameter der Datenbeschaffung erkennbar zu machen, welche die betroffene Person vernünftigerweise benötigt, um entscheiden zu können, sich der Datenbearbeitung, insbesondere durch die Ausübung ihres Widerspruchsrechts, zu widersetzen oder ein anderes Betroffenenrecht geltend zu machen.[17] Dabei gilt der Grundsatz, dass umso höhere Anforderungen an die Transparenz zu stellen sind, je sensibler die Daten und je einschneidender die Datenbearbeitungen sind.[18] Nach der Botschaft zur Teilrevision 2003 und einer Ansicht in Lehre und Praxis sind ausserdem die Verhältnismässigkeit sowie Treu und Glauben[19] für die Bemessung der Tragweite des Transparenzgrundsatzes relevant.[20] So verlange die Verhältnismässigkeit auch, dass den Möglichkeiten des Verantwortlichen und dem Aufwand, etwa den Kosten für die Herstellung der Transparenz, Rechnung zu tragen sei.[21] Diese Aspekte dürfen gewiss nicht ausser Betracht bleiben; sie nicht schon bei der Bemessung der erforderlichen Transparenz, sondern gegebenenfalls bei der Rechtfertigung der Grundsatzverletzung zu berücksichtigen, erscheint indes – auch mit Blick auf den Zweck des Transparenzgrundsatzes – dogmatisch überzeugender.[22]

Ausgewählte (nicht) transparent zu machende Parameter

Es ist kaum ein Bearbeitungskontext vorstellbar, in dem angesichts des Zwecks des Transparenzgrundsatzes neben der Datenbeschaffung und dem Bearbeitungszweck nicht auch die Identität des Verantwortlichen und bei allfälligen Datenbekanntgaben die Empfängerkategorien[23] für die betroffene Person erkennbar sein müssen.[24] Statt über die Empfängerkategorien hat der EDÖB kürzlich sogar Transparenz über die einzelnen Empfänger verlangt.[25] Dieses Erfordernis ist hingegen abzulehnen, nachdem selbst die Informationspflicht die Empfängerkategorien ausreichen lässt (vgl. Art. 19 Abs. 2 lit. c DSG), und auch die Botschaft zur Revision, mit welcher der Transparenzgrundsatz eingeführt wurde, die Empfängerkategorien genügen liess.[26]

Bei Vornahme eines Profilings fragt sich, ob der Verantwortliche diese Tatsache und allenfalls sogar dessen Logik transparent machen muss.[27] Als besondere Art der Datenbearbeitung[28] erfolgt das Profiling mit Blick auf einen bestimmten Bearbeitungszweck, etwa die Kreditwürdigkeitsprüfung,[29] weshalb es nicht als eigenständiger Bearbeitungszweck erkennbar sein muss.[30] Ebenso wenig stellt das Profiling eine Beschaffung dar, obschon die charakteristische Gewinnung neuer Informationen über die betroffene Person[31] Ähnlichkeiten mit einer Beschaffung aufweist. Eine Schlussfolgerung aus bereits vorliegenden Daten ist aber nicht mit einer Beschaffung gleichzusetzen. Zudem erscheint dies auch nicht für den Zweck des Transparenzgrundsatzes erforderlich, geht doch jedem Profiling begriffsnotwendig eine Beschaffung voraus, weshalb der betroffenen Person nicht verborgen bleibt, dass der Verantwortliche Daten über sie bearbeitet bzw. bearbeiten lässt. Allerdings können die Umstände verlangen, dass ein Profiling dennoch transparent zu machen ist, etwa wenn der Umfang und/oder die Art der herangezogenen Daten besonders einschneidend sind,[32] beispielsweise wenn der Verantwortliche ein Profiling mit hohem Risiko vornimmt. Auch in diesem Fall ist die involvierte Logik hingegen nicht (antragsunabhängig) transparent zu machen,[33] sieht doch das DSG eine diesbezügliche Information selbst bei automatisierten Entscheidungen ausschliesslich auf Auskunftsbegehren der betroffenen Person hin vor (vgl. Art. 25 Abs. 2 lit. f DSG).[34]

Ebenfalls nicht transparent zu machen ist nach hier vertretener Ansicht, dass ein Profiling (oder eine andere Datenbearbeitung) gegebenenfalls persönlichkeitsverletzend ist und auf welchen Rechtfertigungsgrund der Verantwortliche sich diesfalls beruft. Diese Anforderung stellte kürzlich der EDÖB in einem Schlussbericht, ohne sie zu begründen.[35] Während das Auskunftsrecht im alten Recht noch eine Information über «die Rechtsgrundlage des Bearbeitens» verlangte (Art. 8 Abs. 2 lit. b aDSG), findet sich diese Vorgabe im neuen Recht nicht mehr. Im Gegenteil regte der EDÖB eine Informationspflicht über diesen Inhalt im Rahmen der Totalrevision an,[36] konnte damit aber offenbar nicht überzeugen. Daher wäre es falsch, eine solche Vorgabe über den Transparenzgrundsatz ins neue Recht hineinzuinterpretieren.[37] Hinzu kommt, dass diese Vorgabe, die aus der DSGVO rezipiert sein dürfte (vgl. Abs. 1 lit. c von Art. 13 f. DSGVO), bei privaten Verantwortlichen systemwidrig erscheint, nachdem das DSG auf dem Erlaubnisprinzip fusst.[38] In der Lehre verlangt denn auch soweit ersichtlich niemand (kraft des Transparenzgrundsatzes[39]) eine Information, wie sie der EDÖB fordert. Dies dürfte nicht zuletzt daran liegen, dass diese Information keinen wesentlichen Parameter der Bearbeitung ausmacht, den die betroffene Person kennen müsste, um sich entscheiden zu können, sich der Bearbeitung zu widersetzen oder sie hinzunehmen.[40]

Im europäischen Recht (DSGVO)

Tatsache und Umfang der Verarbeitung sowie Risiken, Vorschriften, Garantien und Rechte

Wie zu den anderen Verarbeitungsgrundsätzen finden sich in EG 39 DSGVO auch Konkretisierungen zum Transparenzgrundsatz. Gemäss dessen Satz 2 und 5 hat der Verantwortliche der betroffenen Person die Tatsache der Erhebung, Verwendung oder anderweitigen Verarbeitung sowie deren Umfang transparent zu machen, sie über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung zu informieren und sie über die Geltendmachung der Betroffenenrechte aufzuklären. Mangels näherer Eingrenzung der «Rechte» liesse sich argumentieren, dass nicht nur die «Rechte der betroffenen Person» i.S.v. Art. 15 ff. DSGVO wie etwa auf Auskunft oder Berichtigung gemeint sind, sondern – wie bei der Informationspflicht[41] – auch das Recht auf Widerruf einer allfälligen Einwilligung und das Beschwerderecht bei einer Aufsichtsbehörde. Weil die Information über das Widerrufs‑ und das Beschwerderecht indes mit Blick auf den Zweck des Transparenzgrundsatzes nicht erforderlich erscheint und sich diese Vorgabe auch nicht deutlich aus dem Erwägungsgrund ergibt, bestehen gute Gründe, die Information auf die Rechte i.S.v. Art. 15 ff. DSGVO zu beschränken.

Was die DSGVO mit «Risiken, Vorschriften und Garantien» meint, erschliesst sich (auch) nicht ohne Weiteres. Die Artikel‑29‑Datenschutzgruppe bringt damit in Verbindung, dass der Verantwortliche die betroffene Person nicht nur über den Umfang der Verarbeitung, sondern auch über deren Folgen und die Art und Weise der Datenverwendung informieren sollte.[42] Insbesondere bei komplexen, technischen oder unerwarteten Verarbeitungsvorgängen seien der betroffenen Person – neben den von Art. 13 f. DSGVO verlangten Informationen – die wichtigsten Folgen bzw. konkreten Auswirkungen zu erklären.[43] Diese Ansicht der Artikel‑29‑Datenschutzgruppe dürfte primär die «Risiken» vor Augen haben[44] und erscheint vertretbar. Weiter konkretisiert auch die Artikel‑29‑Datenschutzgruppe die Begriffe nicht.[45] Denkbar wäre es, unter «Vorschriften» die Rechtsgrundlage der Datenverarbeitung zu verstehen. Transparenz hinsichtlich der Rechtsgrundlage zu verlangen, erscheint angesichts des die DSGVO beherrschenden Verbotsprinzips sachgerecht und entspricht auch einer Lehrmeinung.[46] Weiter liesse sich eine Information über selbstauferlegte Vorschriften wie Verhaltensregeln i.S.v. Art. 40 DSGVO darunter subsumieren. Kaum sinnvoll erscheint demgegenüber bei privaten Verantwortlichen die betroffene Person über (weitere) gesetzliche Vorschriften wie etwa die Grundsätze der Datenverarbeitung zu unterrichten.

«Garantien» spricht die DSGVO verschiedentlich explizit an,[47] weshalb sich vertreten liesse, EG 39 Satz 5 DSGVO insofern wörtlich als Verweis auf die betreffenden Garantien zu verstehen. Allerdings setzt die DSGVO zuweilen auch «geeignete» oder «angemessene Massnahmen» oder «Sicherheitsvorkehrungen» voraus,[48] bei denen sich die Transparenz nicht zwingend weniger rechtfertigen würde. Sachgerecht erscheint es, die Vorgabe auf jene Garantien und Massnahmen zu beschränken, für die der Verantwortliche (und nicht etwa der Gesetzgeber) sorgen muss. Transparenz über sämtliche diese Garantien und Massnahmen, insbesondere jene zugunsten des Datenschutzes durch Technikgestaltung (Art. 25 DSGVO) und der Datensicherheit (Art. 5 Abs. 1 lit. f und Art. 32 DSGVO), ist allerdings weder erforderlich noch zielführend[49] und wird auch nicht von der Artikel‑29‑Datenschutzgruppe oder (soweit ersichtlich) von Aufsichtsbehörden verlangt.[50] Daher ist bei diesen übrigen Garantien und Massnahmen[51] im Einzelfall zu prüfen, ob eine informierte Entscheidung, sich einer Verarbeitung zu widersetzen oder sie hinzunehmen, eine diesbezügliche Transparenz erfordert.[52]

Einzelfallabhängig weitere Parameter

Aus EG 39 Satz 4 DSGVO ergibt sich auf den ersten Blick die Vorgabe, «insbesondere […] Informationen über die Identität des Verantwortlichen und die Zwecke der Verarbeitung und sonstige Informationen, die eine faire und transparente Verarbeitung im Hinblick auf die betroffenen natürlichen Personen gewährleisten», bereitzuhalten. Bei genauerer Betrachtung bezieht sich Satz 4 von EG 39 DSGVO indes eher auf dessen Satz 3, der die sich aus dem Transparenzgrundsatz ergebenden formellen Vorgaben ausführt.[53] Dieses Verständnis ergibt sich auch aus der Gesetzgebungsgeschichte, und zwar insbesondere dem Entwurf des Rates, der den Verantwortlichen noch verpflichten wollte, «weitere Informationen […], die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen […] notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten», zur Verfügung zu stellen.[54] EG 39 DSGVO, dessen Formulierung im Wesentlichen dem Ratsentwurf entstammt, dürfte diese einzelfallabhängige Informationspflicht vor Augen haben und die sich dafür aus dem Transparenzgrundsatz ergebenden formellen Vorgaben enthalten.[55] In der verabschiedeten Fassung der DSGVO wurde die Informationspflicht einzelfallunabhängig ausgestaltet;[56] die entsprechende Anpassung des Erwägungsgrundes hat der Gesetzgeber wohl vergessen. Vor diesem Hintergrund erscheint zumindest fraglich, ob EG 39 Satz 4 DSGVO – wie dies die Lehre verbreitet postuliert[57] – für die Konkretisierung des Umfangs der transparent zu machenden Parameter der Verarbeitung massgebend ist.

Trotzdem sind (auch) aus dem Transparenzgrundsatz der DSGVO je nach Verarbeitungssituation unterschiedliche Vorgaben abzuleiten. Dies klingt ansatzweise im bereits erwähnten EG 39 Satz 2 DSGVO an, der dem Verantwortlichen die offen formulierte Vorgabe macht, die betroffene Person über den Umfang der Verarbeitungen zu informieren.[58] Ein einzelfallabhängiges Verständnis erfordert auch der Zweck des Transparenzgrundsatzes, der betroffenen Person einen informierten Entscheid, sich einer Verarbeitung tatsächlich zu widersetzen oder sie hinzunehmen, und die Ausübung ihrer Betroffenenrechte zu ermöglichen.[59] So hat denn auch schon der EuGH bei der Auslegung der aus Treu und Glauben im Sinne der DSRL[60] fliessenden Transparenzerfordernisse teleologisch begründet, dass die betroffene Person bei einer Datenweitergabe über die Empfänger oder Empfängerkategorien zu unterrichten ist.[61] Aufgrund dieser Ausrichtung auf den Zweck dürften auch unter der DSGVO strengere Anforderungen an die Transparenz zu stellen sein, je sensibler die Daten und je risikobehafteter die Datenverarbeitungen sind. In jedem Fall transparent zu machen sind neben der ausdrücklich im EG 39 Satz 2 DSGVO genannten Tatsache, dass der Verantwortliche Daten verarbeitet (also etwa erhebt), die Identität des Verantwortlichen und der Verarbeitungszweck.[62]

Darüber hinaus leitet die Artikel‑29‑Datenschutzgruppe aus EG 60 i.V.m. Art. 5 Abs. 1 lit. a DSGVO ab, dass über die Vornahme von Profiling und dessen Folgen zu informieren ist.[63] Die norwegische Aufsichtsbehörde verlangt beim Profiling gar eine inhaltlich vergleichbare Information wie bei automatisierten Entscheidungen, also auch über die involvierte Logik.[64] Nachdem es sich beim Profiling um eine besondere Art der Verarbeitung,[65] nicht hingegen um einen Verarbeitungszweck handelt,[66] ist die Vornahme eines Profilings nicht als Zweck transparent zu machen. Ausserdem ist eine Auslegung mit Blick auf EG 60 DSGVO verfehlt, weil sich dieser gemäss seiner systematischen Stellung auf die Informationspflicht, nicht den Transparenzgrundsatz bezieht.[67] Die von der Artikel‑29‑Datenschutzgruppe postulierte Auslegung würde ferner den Willen des Gesetzgebers hintertreiben, beim Profiling keine Informationspflicht vorzusehen.[68] Da der Gesetzgeber die Informationspflicht über Logik, Tragweite und angestrebte Auswirkungen vielmehr an automatisierte Entscheidungen angeknüpft hat,[69] lässt sich eine dahingehende Transparenzvorgabe beim Profiling auch nicht aus Art. 5 Abs. 1 lit. a DSGVO ableiten. Eine generelle Pflicht, über die Vornahme eines Profilings und dessen Folgen oder die involvierte Logik zu informieren bzw. diese Parameter transparent zu machen, ist daher abzulehnen. Erweist sich das Profiling, z.B. wegen des Umfangs und/oder der Art der einbezogenen Daten, als besonders heikel, so erscheint indes – ähnlich wie unter dem DSG – eine Information über das Profiling als angezeigt.[70]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Im schweizerischen Recht (DSG)

Gemäss einem vom EDÖB auch in Bezug auf die Tätigkeit einer Auskunftei verwendeten Textbaustein setzte der Transparenzgrundsatz des aDSG voraus, dass neben der Datenbeschaffung jede weitere Datenbearbeitung sowie deren Zweck, die Identität des Datenbearbeiters und – bei einer Datenbekanntgabe an Dritte – die Kategorien von möglichen Datenempfängern erkennbar waren.[71] Im Zusammenhang mit Kreditwürdigkeitsprüfungen forderte der EDÖB überdies auch schon Transparenz hinsichtlich der Datenquellen (inklusive Nennung der einzelnen Datenlieferanten mit Adresse, gelieferten Daten und Häufigkeit der Datenaktualisierung)[72] sowie der für das Kreditscoring verwendeten Daten und deren Gewichtung.[73] Während der EDÖB die Angaben über die verwendeten Daten und deren Gewichtung in einer ersten Empfehlung proaktiv zu verlangen schien,[74] liess er später eine Information auf ein Auskunftsbegehren hin (vgl. heute Art. 25 DSG) genügen.[75]

Dem EDÖB ist auch unter dem neuen Recht insoweit zuzustimmen, als eine Auskunftei (im Bereich ihrer Kreditwürdigkeitsprüfungen) die Datenbeschaffung, den Bearbeitungszweck, ihre Identität als Verantwortliche und die Empfängerkategorien[76] für die betroffene Person erkennbar machen muss.[77] Daneben werden Auskunfteien aufgrund ihrer charakteristischen Geschäftstätigkeit auch für die Erkennbarkeit der Datenquellen sorgen müssen, wofür ein generelles Verständnis bzw. gegebenenfalls eine allgemeine Beschreibung in einer Datenschutzerklärung mit Begriffen wie «Betreibungsregister», «Inkassounternehmen» oder «Kundinnen, die bei uns Auskünfte beziehen» genügt.

Für Transparenz über die weiteren vom EDÖB (auf Anfrage hin) verlangten Informationen muss der Verantwortliche indes nicht sorgen. Die Vorgaben des EDÖB scheinen aus der unbegründeten Ansicht zu rühren, dass zur Einhaltung des Transparenzgrundsatzes die betroffene Person über dieselben Informationen wie die Kundinnen der Auskunfteien, also die Kreditgeberinnen, verfügen können muss.[78] Hinzu kommt, dass insbesondere die Spezifikation der Datenquellen gar nicht erforderlich ist, damit die betroffene Person sich der Datenbearbeitung widersetzen oder ihre (anderen) Betroffenenrechte ausüben kann. Wenngleich sich das bei den Informationen über die für das Scoring verwendeten Daten und deren Gewichtung allenfalls bestreiten liesse, wäre es systematisch verfehlt, aus dem Transparenzgrundsatz abzuleiten, dass der Verantwortliche diese Informationen transparent machen muss. Das Gesetz sieht solche Angaben, welche die Logik einer Datenbearbeitung betreffen, nämlich grundsätzlich nur bei automatisierten Entscheidungen und auf Auskunftsbegehren hin vor (vgl. Art. 25 Abs. 2 lit. f DSG). Wie beim Profiling im Allgemeinen verlangt der Transparenzgrundsatz auch hier keine Angaben über die Logik, während vom Einzelfall abhängt, ob transparent zu machen ist, dass mit der Berechnung des Kreditscores ein Profiling (mit hohem Risiko) vorgenommen wird.[79]

Wie sich aus dem Bericht zur Praxis der schweizerischen Auskunfteien ergibt, ist auch der Bundesrat der Ansicht, dass diese nicht über die verwendeten Daten und die Gewichtung informieren müssen: Er empfahl zwar den schweizerischen Auskunfteien, in ihrem Verhaltenskodex zu präzisieren, welche Datenarten mit welcher ungefähren Gewichtung in die Berechnung des Scorewerts einfliessen.[80] Jedoch betrachtete er als Alternative, falls sich die Auskunfteien nicht auf weitere (als die bisherigen) Regelungen einigen könnten, dass sie die Grundzüge ihrer Berechnung, etwa auf ihrer Website, veröffentlichen.[81] Diese Empfehlung zugunsten der Transparenz wäre müssig, wenn eine Auskunftei bereits kraft des Transparenzgrundsatzes (oder der Informationspflicht) über die für das Scoring verwendeten Daten und deren Gewichtung informieren müsste.

Für den mit dem Transparenzgrundsatz verfolgten Zweck entbehrlich erscheint weiter die vom EDÖB geforderte Erkennbarkeit jeder weiteren Datenbearbeitung, was angesichts des umfassenden Begriffs der Bearbeitung[82] ohnehin kaum umsetzbar wäre. Zur Zweckerfüllung wird nämlich genügen, wenn für die betroffene Person – neben der Beschaffung und dem Bearbeitungszweck – die Kategorien der bearbeiteten Daten[83] und die Verknüpfung erkennbar sind,[84] welche Datenkategorien die Auskunftei für die Kreditwürdigkeitsprüfung zum einen und für die Identifikation der betroffenen Person zum anderen verwendet.[85] Als weitere Informationen sind bei der charakteristischen Geschäftstätigkeit der Auskunfteien gewisse Angaben zu den Betroffenenrechten angezeigt; insbesondere deren Ausrichtung auf die geschäftsmässige Bekanntgabe an Kreditgeberinnen rechtfertigt es, Angaben über das Auskunfts‑, Berichtigungs- und Löschungsrecht und deren Ausübung bei der Auskunftei zu verlangen.[86]

Im europäischen Recht (DSGVO)

Nachdem der Transparenzgrundsatz der DSGVO den Zweck und den risikobasierten Ansatz mit jenem des DSG teilt,[87] wird eine Auskunftei aus den genannten Erwägungen (mindestens) dieselben Informationen wie unter dem schweizerischen Recht transparent machen müssen, also ihre Identität, die Datenerhebung, die Datenquellen, den Verarbeitungszweck, die bearbeiteten Datenkategorien (samt Verknüpfung mit dem jeweiligen Zweck), die Empfängerkategorien, Angaben über die Betroffenenrechte und allenfalls die Vornahme des Profilings.

Während sich allerdings im Anwendungsbereich des DSG das Erfordernis für die Auskunftei, gewisse Informationen über die Betroffenenrechte transparent zu machen, allein aus dem Zweck des Transparenzgrundsatzes ableitet, führt EG 39 Satz 5 DSGVO ausdrücklich aus, dass über die Rechte im Zusammenhang mit der Verarbeitung zu informieren und die betroffene Person darüber aufzuklären ist, wie sie diese geltend machen kann. Neben einer Umschreibung des Inhalts der Betroffenenrechte i.S.v. Art. 15 ff. DSGVO hat die Auskunftei der betroffenen Person etwa mitzuteilen, wie bei ihr Selbstauskünfte einzuholen und die Korrektur falscher Daten zu beantragen sind.

Ausserdem schuldet der Verantwortliche im Anwendungsbereich der DSGVO über die nach DSG erforderlichen Inhalte hinaus auch gewisse Angaben über die Risiken, Vorschriften und Garantien im Zusammenhang mit den Datenverarbeitungen beim Kreditscoring (vgl. EG 39 Satz 5 DSGVO). Nachdem sich die Verarbeitungsvorgänge einer Auskunftei für das Kreditscoring üblicherweise als komplex und technisch einstufen lassen, erscheint es angezeigt, dass die Auskunftei Angaben zu den Risiken bzw. den potenziellen Folgen macht. Sie kann etwa ausführen, dass der Kreditscore die Kreditwürdigkeit der betroffenen Person in Abhängigkeit der über sie vorliegenden Daten besser oder schlechter bewertet und die Kundinnen der Auskunftei den Kreditscore nutzen, um über das Eingehen von kreditorischen Risiken zu entscheiden, z.B. über die Vergabe von Geld- und Warenkrediten. Die weniger klare Vorgabe hinsichtlich der Vorschriften[88] dürfte die Auskunftei mit einem Verweis auf die Rechtsgrundlage, also insbesondere Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, und allenfalls auf einschlägige Verhaltensregeln[89] erfüllen können. Sieht die Auskunftei Garantien oder Massnahmen im Zusammenhang mit der Weiterverarbeitung von Daten zu einem anderen Zweck nach Art. 6 Abs. 4 DSGVO vor,[90] dürften diese der Transparenzvorgabe unterliegen. Weitere Massnahmen, die im Kontext des Kreditscorings ergriffen werden könnten, sind jene i.S.v. Art. 22 Abs. 3 DSGVO; diese sind allerdings – wie zu zeigen sein wird[91] – nicht von der Auskunftei, sondern gegebenenfalls von der Kreditgeberin als Verantwortliche einer automatisierten Entscheidung zu treffen (und entsprechend transparent zu machen).

Darüber hinaus muss nach einer Lehrmeinung die Auskunftei die betroffene Person in die Lage versetzen, «die wesentlichen Faktoren für die Bewertung ihrer Bonität nachvollziehen und diese Bewertung auch hinterfragen zu können».[92] Die wesentlichen Faktoren der Bewertung dürften sich für die betroffene Person (zumindest im Ansatz) bereits aus der ohnehin geschuldeten Nennung der Kategorien der bearbeiteten Daten und deren Verknüpfung mit dem Zweck der Kreditwürdigkeitsprüfung ergeben. Von einer Auskunftei generell weitere Informationen (proaktiv) zu verlangen, damit die kreditinteressierte Person die Bewertung hinterfragen kann, lässt sich systematisch betrachtet kaum rechtfertigen. Denn die DSGVO verlangt eben nicht beim Profiling, sondern nur bei einer automatisierten Entscheidung Informationen über die involvierte Logik,[93] und zwar nicht zuletzt mit Blick auf das diesfalls bestehende Widerspruchsrecht (Art. 22 Abs. 1 DSGVO).[94]

Umsetzung der zu schaffenden Transparenz

Im schweizerischen Recht (DSG)

Die erforderlichen Informationen müssen nach schweizerischem Recht für die betroffene Person erkennbar sein. Dabei liegt die Erkennbarkeit namentlich vor, wenn die betroffene Person informiert wird oder die Informationen aus den Umständen ersichtlich sind.[95] Bei der Beurteilung der Erkennbarkeit ist weder die tatsächliche Vorstellung der betroffenen Person noch die tatsächliche Absicht des Verantwortlichen relevant; entscheidend ist einzig, wovon die betroffene Person aufgrund der konkreten Umstände in guten Treuen ausgehen durfte und musste.[96] Beurteilungsmassstab ist dabei eine durchschnittliche, verständige Person aus dem Zielpublikum der fraglichen Datenbearbeitungen.[97]

Wie der Umfang der Informationen ist deren Umsetzungsform im Übrigen von den Umständen abhängig.[98] Je komplexer die fraglichen Datenbearbeitungen sind und je länger die Bearbeitungsdauer anhält, desto höher sind die Anforderungen.[99] Umso strengere Anforderungen sind auch zu stellen, je sensibler die bearbeiteten Daten[100] und je einschneidender die Datenbearbeitungen sind.[101] Zu berücksichtigen sind ferner die fragliche Branche und die für die betreffende Datenbearbeitung geltenden Usanzen.[102] Ist die Beschaffung aufgrund der Umstände für die betroffene Person weniger deutlich erkennbar, muss die betroffene Person umso eher mit angemessenen Mitteln auf die Beschaffung und ihre wesentlichen Parameter aufmerksam gemacht werden.[103] Eine Form, in welcher die Erkennbarkeit zu schaffen ist, gibt das DSG nicht vor.[104] Je nach Inhalt drängt sich jedoch eine Schriftlichkeit, etwa eine Datenschutzerklärung, auf.

Schon verschiedentlich liess es der EDÖB für die Erkennbarkeit genügen, wenn die erforderlichen Informationen auf einer Website abrufbar waren.[105] Diese Ansicht äusserte der EDÖB in seinem Schlussbericht zu Teledata[106] und seiner Empfehlung zu Moneyhouse[107] auch in Bezug auf die Datenbearbeitungen, inklusive der indirekten Beschaffungen,[108] von Auskunfteien im Zusammenhang mit Kreditwürdigkeitsprüfungen. Da betroffene Personen nicht generell gehalten sind, sich im Internet nach Informationen über sie betreffende Datenbearbeitungen umzusehen, überzeugt die Ansicht nicht.[109] Dies gilt gerade bei Auskunfteien, kommen doch betroffene Personen in aller Regel weder mit ihnen in Kontakt noch besuchen sie ohne besonderen Anlass deren Website. Eine Information auf der Website reicht in solchen Fällen daher nicht ohne Weiteres aus;[110] vielmehr ist zusätzlich nur, aber immerhin erforderlich, dass für die betroffenen Personen die Datenbearbeitung und die Identität des Verantwortlichen, also vorliegend der Auskunftei, (anderweitig) erkennbar sind.[111] Sodann dürfen und müssen betroffene Personen heutzutage in guten Treuen davon ausgehen, dass über die vorgenommenen Datenbearbeitungen online abrufbare Informationen[112] bestehen.[113]

Grundsätzlich müssen die transparent zu machenden Informationen für die betroffene Person zum Zeitpunkt der Beschaffung erkennbar sein.[114] Kündigt der Verantwortliche die Beschaffung im Vornherein an, muss die betroffene Person absehen können, wann und unter welchen Umständen die Beschaffung stattfinden wird bzw. könnte.[115] Ausnahmsweise kann auch eine spätere Information bzw. Herstellung der Erkennbarkeit ausreichen, sofern und soweit der Zweck des Transparenzgrundsatzes gewährleistet bleibt.[116] Bei einer indirekten Beschaffung wollen Stimmen in der Lehre die Fristenregelung der Informationspflicht analog anwenden.[117] Dies ist zum einen abzulehnen, weil dem Transparenzgrundsatz – im Gegensatz zur Informationspflicht[118] – eine unterschiedliche Behandlung von direkter und indirekter Beschaffung grundsätzlich fremd ist.[119] Zum anderen ist eine Analogie abzulehnen, da es verfehlt erscheint, den privatrechtlichen[120] Grundsatz nach einer (diesen konkretisierenden bzw. erweiternden[121]) öffentlich-rechtlichen Pflicht des Verantwortlichen auszurichten.

Im europäischen Recht (DSGVO)

Klare Vorgaben an die Umsetzung der zu schaffenden Transparenz lassen sich weder dem verfügenden Teil noch den Erwägungsgründen der DSGVO entnehmen. In der Lehre findet sich etwa die Aussage, wonach die Angaben für die betroffene Person erkennbar sein müssten,[122] was an die Vorgabe des DSG erinnert. Andererseits spricht die Lehre, ohne weiter auf die konkreten Anforderungen einzugehen, auch von «der betroffenen Person zur Verfügung zu stellenden Informationen» oder davon, dass eine «Information der betroffenen Person» erforderlich sei.[123] Diese Formulierungen lesen sich wie eine strengere Vorgabe, die mit der Umsetzung der Informationspflicht vergleichbar wäre. Das österreichische Bundesverwaltungsgericht hat in einem Entscheid die Modalitäten nach Art. 12 ff. DSGVO ausgerichtet, zugleich aber bei gewissen Parametern die Erkennbarkeit genügen lassen.[124] Aus systematischer Sicht erscheint das Vorgehen zumindest fraglich, die Vorgaben eines Grundsatzes anhand jener von einer diesen konkretisierenden Pflicht[125] festzulegen. Zudem lässt sich der Zweck des Transparenzgrundsatzes auch ohne aktive Information erreichen. Dafür genügt es, wenn die Angaben für die betroffene Person aus den Umständen erkennbar sind. Aus diesen Gründen erfordert der Grundsatz nach hier vertretener Ansicht bloss die Erkennbarkeit.

Gewisse Inhalte wie Informationen über die Betroffenenrechte oder Garantien, welche die DSGVO verlangt, sind aber ohnehin schwerlich aus den Umständen heraus erkennbar. Der Verantwortliche kommt also bei ihnen kaum umhin, der betroffenen Person schriftliche Informationen zur Verfügung zu stellen. Auch wenn für die übrigen Inhalte die Erkennbarkeit aus den Umständen denkbar ist, dürfte es für den Verantwortlichen nicht selten naheliegen, sich einfachheitshalber für die Transparenz sämtlicher Inhalte derselben Form, etwa einer Datenschutzerklärung, zu bedienen. Bei indirekten Beschaffungen, wie sie die Auskunfteien vornehmen, wird neben einer Datenschutzerklärung auf der Website des Verantwortlichen – aus denselben Gründen wie unter dem DSG[126] – zumindest erforderlich sein, dass für die betroffene Person die Erhebung und die Identität des Verantwortlichen (anderweitig) erkennbar sind. Nachdem die Lehre zur DSGVO hinsichtlich der Umsetzung (der Informationspflicht) auch bei direkten Beschaffungen tendenziell strenger ist als jene zum DSG,[127] empfiehlt es sich für einen Verantwortlichen vorsichtshalber, die betroffene Person auf die Informationen bzw. den Ort, wo sie verfügbar sind, hinzuweisen.[128]

In der deutschen Fassung der DSGVO verlangt der Transparenzgrundsatz, dass «Daten […] in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden» (Art. 5 Abs. 1 lit. a DSGVO) und liesse damit die Auslegung zu, dass eine im Nachhinein geschaffene Transparenz ausreicht.[129] Bereits die englische und die französische Sprachfassung stützen dieses Verständnis aber nicht mehr, indem sie schlicht eine Verarbeitung «in a transparent manner» bzw. «de manière […] transparente» verlangen. Auch mit Blick auf den Zweck des Transparenzgrundsatzes müssen die geschuldeten Angaben für die betroffene Person zum Zeitpunkt der Erhebung erkennbar sein. Aus diesem Grund ist (ebenso) im europäischen Recht eine analoge Anwendung der Fristen für die Informationspflicht bei einer indirekten Erhebung[130] abzulehnen. Der Transparenzgrundsatz der DSGVO kennt – wie jener des DSG[131] – keine Unterscheidung zwischen direkter und indirekter Erhebung, was ebenfalls gegen eine Frist nur für die eine Art der Erhebung spricht.

«Ausnahmen» vom Transparenzgrundsatz

Analoge Anwendung der Ausnahmen von der Informationspflicht?

Zumindest dem Wortlaut nach sehen weder das DSG noch die DSGVO Ausnahmen vom Transparenzgrundsatz vor. Denkbar wäre es angesichts der übereinstimmenden Zweckausrichtung, die Ausnahmen von der Informationspflicht[132] auf den Grundsatz (analog) anzuwenden.[133] Dies ist aber aus verschiedenen Gründen abzulehnen: Zunächst sprechen die fehlende Grundlage im Wortlaut und die Gesetzessystematik – der Grundsatz einerseits und die Informationspflicht andererseits befinden sich in unterschiedlichen Kapiteln – gegen eine unmittelbare Anwendung.[134]

Im Anwendungsbereich der DSGVO ist sodann eine Analogie abzulehnen, da es verfehlt erscheint, die Tragweite des Grundsatzes nach einer diesen konkretisierenden Pflicht des Verantwortlichen zu definieren. Andernfalls wäre es konsequent, auch weitere Aspekte des Grundsatzes in analoger Anwendung der Informationspflicht zu bestimmen. Dadurch verlöre der Grundsatz weitgehend seine eigenständige Bedeutung: Beispielsweise liesse sich ein über die Informationspflicht hinausgehender Inhalt aus dem Grundsatz nicht mehr ableiten, obwohl dies auch in den Erwägungsgründen anklingt und etwa die Artikel‑29‑Datenschutzgruppe postuliert.[135] Die Analogie abzulehnen, hat die freilich bedauerliche Folge, dass sich auch Fälle der Unmöglichkeit, Unverhältnismässigkeit und gesetzlichen Geheimhaltungspflicht im Rahmen des Transparenzgrundsatzes nicht als eigentliche Ausnahmen erfassen lassen. Relativierend sind hierbei indes zwei Sachen zu bedenken: Zum einen belässt der Charakter als Grundsatz einen (beschränkten) Spielraum zur Berücksichtigung solcher Situationen. Zum anderen ist es fraglich, ob sich die Verarbeitungsgrundsätze individualrechtlich durchsetzen lassen und allein auf der Grundlage ihrer Verletzung Bussgelder ausgesprochen werden dürfen.[136]

Im Anwendungsbereich des DSG spricht gegen eine Analogie, dass sich die Konstellationen der Ausnahmen, z.B. ein unverhältnismässiger Aufwand oder ein überwiegendes Geheimhaltungsinteresse,[137] bei privaten Verantwortlichen im Rahmen der Rechtfertigung berücksichtigen lassen (vgl. Art. 31 DSG). Nachdem die Rechtfertigungsgründe sogar über die Ausnahmen der Informationspflicht hinausgehen, erscheint die analoge Anwendung der Ausnahmen hier überflüssig.[138] Sie wäre denn auch dogmatisch nicht überzeugend, weil sie – gerade in den genannten Beispielkonstellationen – der Prüfung einer allfälligen Rechtfertigung vorgreifen würde.

Gesetzlich vorgesehene Datenbearbeitungen als Ausnahme?

Ohne auf eine analoge Anwendung der Ausnahmen von der Informationspflicht Bezug zu nehmen, halten die Botschaft und die (ihr folgende) Lehre fest, dass die Beschaffung von Daten und der Zweck ihrer Bearbeitung erkennbar im Sinne des DSG seien, wenn die Bearbeitung gesetzlich vorgesehen sei.[139] Lehnt man – wie hier – eine analoge Anwendung der Ausnahmen ab, ist diese Ansicht in Frage zu stellen, zumal die blosse Regelung einer Datenbearbeitung in einem Gesetz und dessen Publikation allein kaum für die Erkennbarkeit der geschuldeten Angaben zu sorgen vermag.[140] Zu beachten ist ferner, dass auch die Botschaft nicht festhält, dass der Verantwortliche bei einer gesetzlich vorgesehenen Datenbearbeitung gänzlich vom Transparenzgrundsatz entbunden ist. Auch bei solchen Datenbearbeitungen dürfte der Verantwortliche also noch die Informationen schulden, die sich nicht aus dem betreffenden Gesetz ergeben. Im Anwendungsbereich der DSGVO lässt sich eine «Ausnahme» bei gesetzlich vorgesehenen Datenverarbeitungen noch viel weniger begründen. Nicht nur fehlt dort im Vergleich zum schweizerischen Recht ein Hinweis auf eine entsprechende gesetzgeberische Absicht,[141] sondern ist die DSGVO auch bei der Ausnahme von der Informationspflicht bei gesetzlichen Datenverarbeitungen strenger als das DSG.[142]

Für die vorliegende Untersuchung spielt es indes keine Rolle, ob eine Erkennbarkeit bei gesetzlich vorgesehenen Datenbearbeitungen ohne Weiteres besteht. Das KKG würde es zwar im Rahmen seines Anwendungsbereichs und in Bezug auf die für die Kreditfähigkeitsprüfung i.S.v. Art. 27a KKG erforderlichen Datenbearbeitungen erlauben, von einer Information abzusehen. Die Datenbearbeitungen einer Auskunftei lassen sich beim Kreditscoring aber nicht auf das Konsumkredit- oder ein anderes Gesetz stützen;[143] die Auskunfteien wären also ohnehin nicht von einer Information entbunden. Unter der DSGVO käme hinzu, dass Datenverarbeitungen kaum als «gesetzlich vorgesehen» gelten würden, wenn sie in schweizerischen Gesetzen geregelt sind. Auch kann im Anwendungsbereich des europäischen Datenschutzrechts die Kenntnis schweizerischer Gesetze und folglich die Erkennbarkeit der darin vorgesehenen Datenbearbeitungen noch viel weniger erwartet werden.

Durch Dritte geschaffene Transparenz

Im Allgemeinen

Obwohl auch die Ausnahme der bereits vorliegenden Information[144] beim Transparenzgrundsatz nicht greift, führt das Konzept der Erkennbarkeit zuweilen zu einer vergleichbaren Wirkung: Sorgte beispielsweise der Direktbeschaffende ebenso für die Erkennbarkeit der späteren indirekten Beschaffung der Daten und der übrigen von seinem Datenempfänger geschuldeten Angaben, so ist letzterer nicht gehalten, diese Angaben nochmals transparent zu machen.[145] Damit der Zweck des Transparenzgrundsatzes erfüllt ist, spielt es nämlich keine Rolle, wer für die Transparenz der relevanten Angaben sorgt. Entscheidend ist vielmehr, dass diese Angaben für die betroffene Person zumindest erkennbar sind.

Insofern liegt es nahe, dass ein Dritter auch für die Erkennbarkeit der Identität des Verantwortlichen und der Beschaffung durch diesen sorgen kann, damit die betroffene Person anschliessend die online abrufbaren Datenschutzinformationen des Verantwortlichen zu konsultieren vermag. Ebenso wird ein Dritter die betroffene Person auf die Datenschutzinformationen des Verantwortlichen bzw. den Ort, wo diese zur Verfügung stehen, hinweisen können:[146]

Jedenfalls unter dem DSG dürfte also etwa ausreichen, dass ein Dritter Daten bei der betroffenen Person auf eine Weise beschafft, die seine Identität und Beschaffung erkennbar machen, und er in seinen (einfach auffindbaren) Datenschutzinformationen auf die Beschaffungen des Verantwortlichen und dessen Identität verweist. Sind nämlich die auf einer Website abrufbaren (übrigen) Datenschutzinformationen des Dritten als ausreichend transparent gemacht zu betrachten, hat dies auch für die in denselben Datenschutzinformationen enthaltenen Hinweise auf den Verantwortlichen und dessen Bearbeitungen und Informationen zu gelten.

Unter der DSGVO liesse sich analog argumentieren, dass es genügt, wenn die Datenschutzinformationen des Dritten, auf die er die betroffene Person hingewiesen hat, zusätzlich auf die etwa online abrufbaren Datenschutzinformationen des Verantwortlichen verweisen, z.B. mit einem gekürzten URL. Bei strengerer Betrachtung muss aber der Dritte die betroffene Person direkt auf die Datenschutzinformation des Verantwortlichen (also ausserhalb der eigenen Datenschutzinformationen) hinweisen, etwa in einem Vertragsdokument, das die Datenbearbeitungen des Verantwortlichen adressiert.

Bei Kreditwürdigkeitsprüfungen im Besonderen

Bei Auskunfteien, die mehrheitlich Daten indirekt beschaffen, ist diese «Ausnahme» von besonderer Bedeutung. Soweit Dritte wie Kreditgeberinnen oder Inkassounternehmen die Vorgaben des Grundsatzes zugunsten der Auskunftei erfüllen, erübrigen sich für sie eigene Vorkehren.[147] Als für die betroffene Person üblicherweise erkennbare Direktbeschaffende können etwa die Kreditgeberinnen (z.B. in ihrer Datenschutzerklärung[148] oder bei der Eröffnung eines Inkassofalls[149]) die betroffene Person auf die Identität der Auskunftei und deren Datenbeschaffung oder zusätzlich auf deren Datenschutzinformationen hinweisen. Falls sich überdies auf der Website der Auskunftei einfach auffindbar alle erforderlichen Informationen abrufen lassen, erfüllt die Auskunftei anschliessend gegenüber den betroffenen Personen, die einen solchen Hinweis erhalten haben, jedenfalls den Transparenzgrundsatz nach DSG. Unter der DSGVO muss der Dritte zumindest auf die eigenen Datenschutzinformationen hinweisen, die ihrerseits auf die Datenschutzinformationen der Auskunftei verweisen. Die Dritten sollten indes angesichts des tendenziell strengeren Massstabs die betroffene Person besser auch direkt auf die Datenschutzinformationen der Auskunftei hinweisen, z.B. indem eine Kreditgeberin in ihrem Online-Shop im Zusammenhang mit der Auswahl der Zahlungsmodalitäten auf die Zusammenarbeit mit der betreffenden Auskunftei verweist und dort auf deren Datenschutzerklärung verlinkt.[150]

Soweit die erwähnten Hinweise in einer Datenschutzerklärung (oder in AGB) erfolgen, könnten sie als ungewöhnlich und damit gegenüber der betroffenen Person unwirksam gelten.[151] Die Lehre zum DSG wendet nämlich die sog. Ungewöhnlichkeitsregel[152] auf Datenschutzerklärungen analog an,[153] und die Lehre zur DSGVO leitet aus dem Transparenzgrundsatz und Art. 12 DSGVO vergleichbare Vorgaben an die Kenntlichmachung ungewöhnlicher Inhalte ab:[154] Demnach sind Informationen über einen im konkreten Kontext überraschenden Verwendungszweck oder eine ungewöhnliche Bearbeitung unwirksam, es sei denn, es werde darauf besonders hingewiesen.[155] Die hier interessierenden Informationen über die Zusammenarbeit mit einer Auskunftei und insbesondere über die Weitergabe von Daten an diese Auskunftei lassen sich indes nicht als ungewöhnlich bezeichnen.[156] Die Durchführung einer Kreditwürdigkeitsprüfung – auch durch Dienstleister wie eine Auskunftei – liegt vielmehr im Kontext von kreditorischen Risiken ökonomisch nahe[157] und ist überdies im schweizerischen Recht gesetzlich anerkannt und teilweise im europäischen Recht ausdrücklich vorgesehen.[158] Dass eine Auskunftei dafür Zahlungserfahrungen insbesondere von Kreditgeberinnen verwendet und entsprechend einholt, ist eine verbreitete Praxis[159] und kann kaum überraschen.[160] Damit die Information wirksam ist, bedarf es daher keines besonderen Hinweises.

Zur Absicherung vereinbaren die Auskunfteien zuweilen mit den Kreditgeberinnen oder anderen Dritten, die bei der Erfüllung der Transparenzvorgaben mitwirken, eine Pflicht zur Umsetzung spezifischer Vorkehren.[161] Dies ändert indes nichts an den datenschutzrechtlichen Pflichten einer Auskunftei. Unterlässt es die Kreditgeberin oder ein anderer Dritter trotz entsprechender Verpflichtung, die vereinbarten Vorkehren zu treffen, so verletzt dennoch die Auskunftei den Grundsatz und hat allfällige Sanktionen[162] zu gewärtigen.[163]

Verhältnis zur Informationspflicht

Zum aDSG finden sich in der Lehre Stimmen, wonach der Transparenzgrundsatz bei Bestehen einer Informationspflicht subsidiär sei[164] bzw. ihm nur Private unterliegen, die keine Informationspflicht beachten müssten.[165] Beides trifft nach hier vertretener Ansicht nicht zu. Weder verdrängt die Informationspflicht den Transparenzgrundsatz, sodass bei deren Missachtung ausschliesslich die Informationspflicht verletzt ist, noch ist nur die Informationspflicht zu befolgen und liegt bei deren Missachtung automatisch eine Verletzung des Transparenzgrundsatzes[166] vor. Vielmehr gelten der dem Privatrecht zuzuordnende Transparenzgrundsatz und die öffentlich-rechtliche Informationspflicht parallel und sind separat zu betrachten.[167]

Der DSGVO ist zwar diese Zweiteilung in privat- und öffentlich-rechtliche Bestimmungen fremd,[168] doch lassen sich weder ihrem verfügenden Teil noch den Erwägungsgründen Hinweise entnehmen, dass der Transparenzgrundsatz neben der Informationspflicht keine eigenständige Bedeutung haben soll. Im Gegenteil deuten die in EG 39 DSGVO genannten Vorgaben des Transparenzgrundsatzes darauf hin, dass er und die Informationspflicht nebeneinander anwendbar sind. Dies gilt umso mehr, als EG 39 Satz 5 DSGVO aus dem Grundsatz über die abschliessend formulierte Informationspflicht[169] hinausgehende inhaltliche Vorgaben ableitet.[170] Für eine parallele Geltung spricht weiter, dass die DSGVO Verletzungen des Transparenzgrundsatzes und Missachtungen der Informationspflicht grundsätzlich gleichermassen, aber in separaten Buchstaben mit einem Bussgeld bedroht (Art. 83 Abs. 5 lit. a und b DSGVO). Auch unter der DSGVO ist also davon auszugehen, dass der Transparenzgrundsatz und die Informationspflicht gleichzeitig zu berücksichtigen sind.

Die Einführung der allgemeinen Informationspflicht[171] im schweizerischen Recht relativiert aber ohne Zweifel die Bedeutung des Transparenzgrundsatzes. So stellt sich im Rahmen des Mindestumfangs der Informationspflicht nicht mehr die Frage, ob der Verantwortliche eine entsprechende Information schuldet.[172] Diese Pflicht des Verantwortlichen, einzelfallunabhängig über verschiedene Parameter der Beschaffung und der folgenden Datenverarbeitung zu informieren, dürfte denn auch erklären, weshalb die Lehre zur DSGVO dem Transparenzgrundsatz vergleichsweise wenig Aufmerksamkeit schenkt[173] und ihm primär die Funktion einer Auslegungshilfe zuschreibt.[174] Im Schatten der Informationspflicht vermochte der Transparenzgrundsatz in der DSGVO nicht dieselbe dogmatische Entwicklung durchzumachen wie im DSG.

Doch sowohl unter dem DSG[175] als auch der DSGVO[176] steht fest, dass sich insbesondere der Umfang der geschuldeten Informationen im Einzelnen unterscheidet: Dies beginnt streng genommen bei der Datenbeschaffung bzw. Erhebung, welche nach dem Grundsatz transparent zu machen ist, von der Informationspflicht aber nicht erfasst ist, sondern diese vielmehr auslöst. Während der Transparenzgrundsatz bei einer Direktbeschaffung die Erkennbarkeit der Kategorien der beschafften Daten verlangt, erfordert die Informationspflicht weder im DSG noch in der DSGVO eine entsprechende Information.[177] Auch schuldet der Verantwortliche keine Verknüpfung der Datenkategorien mit den Bearbeitungszwecken kraft der Informationspflicht – unter dem DSG jedenfalls nicht als Mindestinhalt.[178] EG 39 Satz 5 DSGVO verlangt ausserdem im Einzelfall eine Information über die Risiken, Vorschriften und Garantien im Zusammenhang mit der Datenverarbeitung, also Angaben, welche von der Informationspflicht ebenfalls nicht erfasst sind. Im schweizerischen Recht dürfte im Übrigen die einzelfallabhängige Generalklausel der Informationspflicht, für die ähnliche Kriterien relevant sein dürften wie für den Transparenzgrundsatz,[179] dazu führen, dass eine weitgehende Kongruenz der geschuldeten Informationen besteht.

Bei der Informationspflicht ist das massgebende Kriterium hinsichtlich der Umsetzung und Form, ob die betroffene Person über eine zumutbare Möglichkeit zur Kenntnisnahme der Informationen verfügt.[180] Dieses Erfordernis ist im Vergleich zu der vom Transparenzgrundsatz vorausgesetzten Erkennbarkeit strenger, weil letzteres Kriterium auch erfüllt ist, wenn die geschuldeten Informationen bloss aus den Umständen ersichtlich sind.[181] Dies hat die inhaltliche Konsequenz, dass der Transparenzgrundsatz – im Gegensatz zur Informationspflicht – vom Verantwortlichen nicht verlangt, über selbstverständliche und augenfällige Bearbeitungen zu informieren.[182] In formeller Hinsicht folgt daraus, dass sich der Verantwortliche in der Praxis regelmässig (für sämtliche geschuldete Informationen) an den strengeren Anforderungen der Informationspflicht orientieren dürfte.[183]

Zwischenfazit

Im Hinblick auf ihre Kreditwürdigkeitsprüfungen müssen Auskunfteien kraft des Transparenzgrundsatzes (Art. 6 Abs. 3 DSG; Art. 5 Abs. 1 lit. a DSGVO) bei ihren Datenbeschaffungen diese selbst, ihre Identität, die Bearbeitungszwecke, die Kategorien der bearbeiteten Daten und ihrer Datenempfänger sowie ihre Datenquellen für die betroffene Person erkennbar machen. Ausserdem hat die Auskunftei anzugeben, welche Datenkategorien sie für die Identifikation der betroffenen Person und welche sie für die Kreditwürdigkeitsprüfung verwendet, und muss über die Betroffenenrechte (insbesondere auf Auskunft, Berichtigung und Löschung) und deren Ausübung bei ihr informieren. Gegebenenfalls muss die Auskunftei auch die Vornahme eines Profilings transparent machen, das angesichts des Umfangs und/oder der Art der herangezogenen Daten besonders einschneidend ist, z.B. eines, das nach dem DSG ein Profiling mit hohem Risiko darstellt.

Nach der DSGVO schuldet die Auskunftei unter dem Titel der «Risiken, Vorschriften und Garantien» zusätzliche Angaben. Sie hat über die Risiken bzw. potenziellen Folgen zu informieren, etwa dass der Kreditscore die Kreditwürdigkeit der betroffenen Person als gut oder eben auch schlecht bewerten kann und die Kundinnen der Auskunftei den Kreditscore nutzen, um über das Eingehen von kreditorischen Risiken zu entscheiden. Ferner muss sie die einschlägige Rechtsgrundlage, zumeist Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, angeben und empfiehlt es sich für sie, (gegebenenfalls) auf die Verhaltensregeln der Branche zu verweisen. Trifft die Auskunftei etwa Massnahmen im Zusammenhang mit der Weiterverarbeitung von Daten zu einem anderen Zweck nach Art. 6 Abs. 4 DSGVO, sind diese transparent zu machen.

Die genannten Angaben müssen für die betroffenen Personen nach den Umständen erkennbar sein. Da die Auskunftei mit den Personen, deren Daten sie für Kreditwürdigkeitsprüfungen beschafft, in aller Regel nicht in Kontakt steht, genügt für die Erkennbarkeit jedenfalls nicht, dass die Auskunftei sämtliche erforderlichen Angaben in eine Datenschutzerklärung aufnimmt und einfach auffindbar auf ihre Website stellt. Um gegenüber den Personen, über die sie Zahlungserfahrungen von den Kreditgeberinnen erhält, für Transparenz nach DSG zu sorgen, ist zusätzlich erforderlich, dass letztere erstere, etwa in der Datenschutzerklärung, auf die Identität der Auskunftei und deren Datenbeschaffung hinweisen. Nach der DSGVO muss die Kreditgeberin die Personen zusätzlich zumindest auf die eigene Datenschutzerklärung hinweisen, die sodann auf die Datenschutzinformationen der Auskunftei verweist. Vorsichtshalber empfiehlt sich indes, dass die Kreditgeberinnen an passender Stelle separat auf die Datenschutzinformationen der Auskunftei verweisen.

Bei Beschaffungen von Daten aus öffentlichen Quellen wie dem Handelsregister oder dem Betreibungsregister droht eine Verletzung des Transparenzgrundsatzes besonders.[184] Dies ist etwa der Fall, wenn die Auskunftei Daten aus solchen Quellen beschafft, bevor ein Dritter wie eine Kreditgeberin (zu ihren Gunsten) oder ausnahmsweise sie selbst durch einen Kontakt mit der betroffenen Person und den erwähnten weiteren Vorkehren für Transparenz gesorgt hat. Unter dem DSG führt die Missachtung des Transparenzgrundsatzes zu einer Persönlichkeitsverletzung (Art. 6 Abs. 3 i.V.m. Art. 30 Abs. 2 lit. a DSG),[185] die einer Rechtfertigung, insbesondere durch überwiegende Interessen der Auskunftei und der Kreditgeberin, zugänglich ist (vgl. Art. 31 Abs. 1 und Abs. 2 lit. c DSG).[186] Dabei ist auch der mit der Erfüllung des Transparenzgrundsatzes verbundene Aufwand zu berücksichtigen, der im hier angesprochenen Szenario erheblich sein kann. So entstehen jedenfalls substanzielle Kosten, wenn die Kontaktierung der betroffenen Personen mangels Alternative per SMS oder Brief erfolgen muss.

Die DSGVO kennt keine Rechtfertigung von Grundsatzverletzungen. Zudem erlaubt sie ebenso wenig wie das DSG, die Ausnahmen von der Informationspflicht analog anzuwenden, insbesondere jene des unverhältnismässigen Aufwands (vgl. Art. 14 Abs. 5 lit. b DSGVO). Im Übrigen erschiene es selbst bei deren analogen Anwendung fraglich, ob sich eine Auskunftei mit Erfolg auf diese Ausnahme berufen könnte, sofern ihr die Kontaktaufnahme mit den betroffenen Personen möglich ist.[187] Um den Grundsatz nicht zu verletzen, wird die Auskunftei daher vor der Beschaffung aus öffentlichen Quellen entweder zuwarten, bis eine Kreditgeberin oder ein anderer Dritter ausreichend auf ihre Datenschutzinformationen hinweisen konnte, oder die betroffene Person selbst informieren müssen, etwa per E-Mail, SMS oder Brief.

Zum DSG PC LPD-Francey, Art. 6 N 91; George, S. 300; zum aDSG vgl. EDÖB, Digitec Galaxus, Rn. 95; EDÖB, Once Dating, Rn. 74; zur DSGVO Art.‑29‑DSG, Leitlinien Transparenz, Rn. 4; Plath, in: Plath, Art. 5 N 6; vgl. auch EG 39 DSGVO. ↵

Zum DSG vgl. Rosenthal, Jusletter 2017a, Rn. 28. ↵

Im aDSG war die Transparenz noch eigenständig in Art. 4 Abs. 4 aDSG normiert, der die Erkennbarkeit der Beschaffung von Personendaten und insb. des Bearbeitungszwecks für die betroffene Person verlangte. Mit der Vereinigung von Zweckbindungs- und Transparenzgrundsatz in einer Bestimmung ist keine materielle Änderung verbunden (Bühlmann/Schüepp, Jusletter 2021, Rn. 65; Heuberger, Rn. 240; Stach, S. 39; vgl. auch Bucheli, S. 386; Thouvenin/Braun Binder, S. 16, wonach der Transparenzgrundsatz im neuen Gesetz nicht mehr ausdrücklich genannt werde, sich damit an dessen Geltung allerdings nichts ändere). ↵

Teilgehalt des Zweckbindungsgrundsatzes ist die Erkennbarkeit des Bearbeitungszwecks für die betroffene Person (vgl. dazu unten Teil 3, C.III.2.2). ↵

Teilgehalt des Grundsatzes von Treu und Glauben ist das Verbot verdeckter Datenbeschaffungen, soweit der Grundsatz der Transparenz jenen von Treu und Glauben nicht verdrängt (vgl. dazu unten Teil 3, C.VII.2.1). ↵

Vgl. BSK DSG-Bühlmann/Reinle, Art. 6 N 174. ↵

Dies entspricht einem in der Lehre verbreiteten Verständnis der Beschaffung bzw. Erhebung, fehlt doch dem DSG und der DSGVO eine Definition dieser Begriffe (zum DSG Bühlmann/Lagler, S. 17; Henseler, Datenschutz, S. 94; BSK DSG-Rampini et al., Art. 19 N 6; zur DSGVO Arning/Rothkegel, in: Taeger/Gabel, Art. 4 N 72; Herbst, in: Kühling/Buchner, Art. 4 Ziff. 2 N 21; vgl. auch Roßnagel, in: Simitis et al., Art. 4 Nr. 2 N 15). ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2021, Rn. 65; zum aDSG Heuberger, Rn. 244; vgl. auch EDÖB, Digitec Galaxus, Rn. 100. ↵

Art. 6 Abs. 3 DSG lautet wie folgt: «Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.» ↵

Botschaft Totalrevision DSG, S. 7025; vgl. BJ, Fragen, S. 11. ↵

Art. 4 Abs. 4 aDSG lautete wie folgt: «Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein.» «Insbesondere» signalisierte, dass weitere Informationen geschuldet sein konnten. ↵

Botschaft Totalrevision DSG, S. 7025; vgl. auch Métille, S. 11. ↵

Botschaft Totalrevision DSG, S. 6969. ↵

Vgl. BSK DSG-Bühlmann/Reinle, Art. 6 N 169; Bühlmann/Schüepp, Jusletter 2021, Rn. 65; CR LPD-Meier/Tschumy, Art. 6 N 43; ferner Schweikard/Vasella, S. 88. Nach Ansicht von Rosenthal, Jusletter 2020, Rn. 35, ergibt sich nunmehr (wieder) aus dem Grundsatz von Treu und Glauben (Art. 6 Abs. 2 DSG) das Erfordernis, dass je nach Einzelfall wichtige Parameter der Datenbearbeitung erkennbar sind, soweit ein besonderes Interesse besteht (vgl. auch Arioli, Rn. 43; OFK DSG-Fanger, Art. 6 N 6; Thouvenin/Braun Binder, S. 16). Letztlich spielt es indessen keine Rolle, ob sich diese zusätzlichen Transparenzerfordernisse aus Abs. 2 oder Abs. 3 von Art. 6 DSG ergeben, zumal beide Bestimmungen über denselben Anwendungsbereich verfügen und ihre Verletzung dieselben Rechtsfolgen auslöst. ↵

Zum aDSG vgl. Botschaft Revision DSG 2003, S. 2125; Meier, Rn. 705; HK aDSG-Rosenthal, Art. 4 N 56 f.; Thouvenin, Forschung, S. 35. ↵

Zum aDSG Botschaft Revision DSG 2003, S. 2125; Meier, Rn. 705. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 169; Bühlmann/Schüepp, Jusletter 2021, Rn. 51; zum aDSG Thouvenin, Grundprinzipien, S. 65. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2021, Rn. 54; zum aDSG vgl. BSK aDSG-​Maurer-Lambrou/Steiner, Art. 4 N 16c; HK aDSG-Rosenthal, Art. 4 N 56. ↵

Mit Verhältnismässigkeit und Treu und Glauben sind dabei nicht die Bearbeitungsgrundsätze (i.S.v. Art. 6 Abs. 2 DSG) gemeint, wie die Botschaft Revision DSG 2003, S. 2125, fälschlicherweise ausführt, sondern vielmehr die gleichnamigen allgemeinen Rechtsgrundsätze (zum DSG Bühlmann/Schüepp, Jusletter 2021, Rn. 54; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 56; a.M. offenbar EDÖB, Digitec Galaxus, Rn. 97; EDÖB, Once Dating, Rn. 75). ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 163; zum aDSG Botschaft Revision DSG 2003, S. 2125 f.; Bühlmann/Schüepp, Jusletter 2021, Rn. 54 ff.; EDÖB, Once Dating, Rn. 75. ↵

Zum aDSG Bühlmann/Schüepp, Jusletter 2021, Rn. 55; vgl. auch EDÖB, PostFinance, S. 12; EDÖB, Teledata, S. 13; EDÖB, Windows 10, S. 20. ↵

Zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 56 und 59. ↵

Unter Empfängerkategorien verstehen sich gemeinhin typisierte Gruppen wie «Konzerngesellschaften», «Host-Provider» und «IT-Supporter» (vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 85; Ettlinger, Rn. 11). ↵

Zum aDSG vgl. Botschaft Revision DSG 2003, S. 2125; Thouvenin, Grundprinzipien, S. 65. ↵

Zum aDSG EDÖB, Digitec Galaxus, Rn. 109 ff. ↵

Zum aDSG Botschaft Revision DSG 2003, S. 2125. ↵

Befürwortend wohl Montavon, S. 648; ablehnend OK DSG-Glatthaar/Schröder, Art. 5 lit. f/g N 27. Nach Bühlmann/Schüepp, Jusletter 2022, Rn. 46, muss jedenfalls nicht zwingend der Begriff «Profiling» und/oder ein Beschrieb von dessen Logik in die Datenschutzerklärung aufgenommen werden. ↵

Vgl. dazu oben Teil 3, C.I.1. ↵

Vgl. dazu unten Teil 3, C.III.2. ↵

Die Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 18 (Fn. 24), scheint (unter der DSGVO) zuweilen davon auszugehen, dass es sich beim Profiling um einen Verarbeitungszweck handelt. ↵

Vgl. dazu oben Teil 3, B.I.2.1.a. ↵

Bühlmann/Schüepp, Jusletter 2022, Rn. 46. ↵

Gl.M. wohl OK DSG-Glatthaar/Schröder, Art. 5 lit. f/g N 27; a.M. Bühlmann/Schüepp, Jusletter 2022, Rn. 46. ↵

Vgl. dazu unten Teil 4, E.I.1.1. ↵

Zum aDSG EDÖB, Digitec Galaxus, Rn. 148 (Empfehlung 4). ↵

Botschaft Totalrevision DSG, S. 7051. ↵

Vasella, Digitec Galaxus, o.S. ↵

Vgl. dazu oben Teil 2, C.I.1. ↵

Höchstens in Einzelfällen machen vereinzelte Stimmen eine Information über den Rechtfertigungsgrund nach der Generalklausel der Informationspflicht in Art. 19 Abs. 2 DSG bzw. jener des Auskunftsrechts in Art. 25 Abs. 2 DSG beliebt (OFK DSG-Bieri/Powell, Art. 19 N 13; BSK DSG-Gramigna, Art. 25 N 18). ↵

Vgl. dazu oben Teil 3, C.II.1. ↵

Art. 13 Abs. 2 lit. c und d sowie Art. 14 Abs. 2 lit. d und e DSGVO. ↵

Art.‑29‑DSG, Leitlinien Transparenz, Rn. 10. ↵

Art.‑29‑DSG, Leitlinien Transparenz, Rn. 10. ↵

Vgl. Schantz, in: Wolff et al., Art. 5 N 11. ↵

Vgl. Art.‑29‑DSG, Leitlinien Transparenz, Rn. 42 f., in denen die Artikel‑29‑Datenschutzgruppe lediglich festhält, dass die Information über Risiken, Vorschriften und Garantien mit einer Reihe weiterer Themen verbunden sei, wie der Datenschutzfolgenabschätzung und dem Datenschutz durch Technikgestaltung. ↵

Vgl. Roßnagel, in: Simitis et al., Art. 5 N 55. ↵

Vgl. etwa Art. 6 Abs. 4 lit. e, Art. 9 Abs. 2 lit. b, d und h, Art. 10, Art. 13 Abs. 1 lit. f, Art. 14 Abs. 1 lit. f, Art. 15 Abs. 2, Art. 23 Abs. 2 lit. d und f, Art. 25 Abs. 1, Art. 35 Abs. 7 lit. d DSGVO. ↵

Vgl. etwa Art. 5 Abs. 1 lit. d, e und f, Art. 9 Abs. 2 lit. g und j, Art. 12 Abs. 1, Art. 14 Abs. 5 lit. b und c, Art. 17 Abs. 2, Art. 22 Abs. 2 lit. b sowie Abs. 3 und 5, Art. 24 Abs. 1 und 2, Art. 25 Abs. 1 und 2, Art. 32 Abs. 1, Art. 34 Abs. 3 lit. a, Art. 35 Abs. 7 lit. d DSGVO. ↵

Abgesehen von der drohenden Überforderung der betroffenen Personen könnte eine Offenlegung der Massnahmen zugunsten der Datensicherheit sogar deren Wirksamkeit in Frage stellen. ↵

Vgl. Art.‑29‑DSG, Leitlinien Transparenz, Rn. 42 ff.; Datenschutzstelle FL, S. 19, wonach betroffene Personen über keinen Anspruch auf Informationen über technische und organisatorische Massnahmen verfügen würden. ↵

Vgl. etwa Art. 6 Abs. 4 lit. e, Art. 9 Abs. 2 lit. d und Art. 22 Abs. 3 DSGVO, wobei Transparenz über die angemessenen Massnahmen i.S.v. Art. 22 Abs. 3 DSGVO stets zu gewährleisten sein dürfte (vgl. dazu unten Teil 4, E.I.3.2). ↵

Vgl. Art.‑29‑DSG, Leitlinien Transparenz, Rn. 42, die keine (weiteren) verpflichtenden Vorgaben aus EG 39 Satz 5 DSGVO ableitet. ↵

EG 39 Satz 3 DSGVO schildert die formellen Vorgaben für «alle Informationen und Mitteilungen». EG 39 Satz 4 DSGVO dürfte konkretisieren, welche Informationen und Mitteilungen (u.a. jene über den Verantwortlichen und den Zweck bzw. zur Erfüllung des Auskunftsrechts) diesen formellen Vorgaben unterstehen. Im Übrigen erscheint bei diesem Verständnis auch EG 39 Satz 5 DSGVO mehr Sinn zu ergeben, zumal der Erwägungsgrund den Verantwortlichen andernfalls zu gewissen Informationen, etwa betreffend das Auskunftsrecht, doppelt anhalten würde. ↵

Art. 14 Abs. 1a und Art. 14a Abs. 2 E-DSGVO Rat. ↵

Vgl. EG 30 Satz 3 und 4 E-DSGVO Rat (aus denen EG 39 Satz 3 und 4 DSGVO wurden): «Der Grundsatz der Transparenz setzt voraus, dass alle Informationen und Mitteilungen zur Verarbeitung dieser Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sind. Dies gilt insbesondere für die Informationen über die Identität des für die Verarbeitung Verantwortlichen und die Zwecke der Verarbeitung und für sonstige Informationen, die eine faire und transparente Verarbeitung gewährleisten, bei der die betroffenen Personen und ihr Recht, eine Bestätigung und Mitteilung darüber zu erhalten, dass sie betreffende personenbezogene Daten verarbeitet werden, geachtet werden.» ↵

In Abs. 2 von Art. 13 und Art. 14 DSGVO findet sich die erwähnte Voraussetzung, welche an die Umstände anknüpft, nicht «mehr». Ob die darin geforderten Inhalte unabhängig vom Einzelfall geschuldet sind, ist dennoch umstritten, nach hier vertretener Ansicht aber nicht zuletzt vor dem Hintergrund der Gesetzeshistorie zu bejahen (gl.M. statt vieler Art.‑29‑DSG, Leitlinien Transparenz, Rn. 23; Bäcker, in: Kühling/Buchner, Art. 13 N 20 und Art. 14 N 14; Dix, in: Simitis et al., Art. 13 N 13 und Art. 14 N 9; Eßer, in: Auernhammer, Art. 13 N 34; a.M. statt vieler Schantz, in: Schantz/Wolff, Rn. 1151; von Lewinski et al., § 15 N 3; Walter, S. 371 und 376). ↵

Vgl. Frenzel, in Paal/Pauly, Art. 5 N 21; Heberlein, in: Ehmann/Selmayr, Art. 5 N 18; Roßnagel, in: Simitis et al., Art. 5 N 55; Schantz, in: Wolff et al., Art. 5 N 11; Thouvenin, Forschung, S. 35; Voigt, in: Taeger/Gabel, Art. 5 N 17. ↵

Vgl. de Terwangne, in: Kuner et al., S. 314, wonach unklar sei, welche Informationen mit «in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden» gemeint sind. ↵

Vgl. dazu oben Teil 3, C.II.1. ↵

Im Unterschied zur DSGVO kannte die DSRL keinen eigenständigen Transparenzgrundsatz; verschiedene Transparenzvorgaben wurden daher aus Treu und Glauben abgeleitet (vgl. Herbst, in: Kühling/Buchner, Art. 5 N 18). ↵

EuGH, Rs. C-201/14 vom 1. Oktober 2015, Bara u.a., Ziff. 32 ff. ↵

Schantz, in: Wolff et al., Art. 5 N 11; vgl. auch Plath, in: Plath, Art. 5 N 6. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 18; vgl. auch Art.‑29‑DSG, Leitlinien Transparenz, Rn. 41; Kramer, in: Auernhammer, Art. 5 N 20. ↵

Datatilsynet, S. 22; vgl. auch Hänold, S. 144. Die Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 27, erachtet dies nicht als Pflicht, aber als «gute Praxis». ↵

Vgl. dazu oben Teil 3, C.I.1. ↵

Vgl. dazu unten Teil 3, C.III.1.; a.M. offenbar Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 18 (Fn. 24); Sesing, S. 289. ↵

Lorentz, S. 238. ↵

Art. 14 Abs. 1 lit. ga E-DSGVO EP hatte eine Informationspflicht beim Profiling vorgesehen, die sich allerdings nicht durchsetzen konnte (vgl. Lorentz, S. 238). ↵

Vgl. Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g DSGVO; ferner dazu auch unten Teil 4, E.I.1.2. ↵

Vgl. Vasella, in: Emmenegger, S. 202, wonach die Generalklausel von Art. 5 Abs. 1 lit. a DSGVO eine Abwägung im Einzelfall verlange und der Verantwortliche dabei Ermessensspielraum habe. ↵

EDÖB, Teledata, S. 13; EDÖB, Windows 10, S. 19; vgl. auch EDÖB, Adressdaten im Internet, S. 10 ff. ↵

EDÖB, Teledata, S. 14; vgl. auch EDÖB, Adressdaten im Internet, S. 11 f. ↵

EDÖB, Teledata, S. 15; vgl. auch EDÖB, Mietercheck, Rn. 32 f. und 74. Dies scheinen auch Peter et al., S. 42, 51 und 65, zu fordern. ↵

EDÖB, Mietercheck, Rn. 32 f. und 74. ↵

EDÖB, Teledata, S. 40. ↵

Hinsichtlich der Auskünfte reicht z.B. die Kategorie «Ihre Kreditgeberinnen bzw. unsere Kundinnen». Eine weitere Präzisierung erscheint entbehrlich, weil die kreditinteressierte Person selbst mit diesen Empfängerinnen in Kontakt steht bzw. stand und daher wissen sollte, um wen es sich handelt. ↵

Vgl. dazu oben Teil 3, C.II.2.1.a.bb. ↵

Vgl. EDÖB, Teledata, S. 14, wo der EDÖB zunächst festhält, dass die betroffenen Personen «folglich viel weniger ausführlich und transparent über die Datenquellen und den genauen Dateninhalt informiert [werden] als [Auskunftei-]Kunden», und anschliessend eine Verletzung des Transparenzgrundsatzes konstatiert. In Bezug auf die «Erkennbarkeit der Datenbearbeitung und Datenbekanntgabe an Dritte» hält der EDÖB, Teledata, S. 15, sodann fest was folgt: «Betroffene Personen […] erhalten somit nicht die gleichen Informationen mitgeteilt wie [Auskunftei-]Kunden und die Datenbearbeitung ist für sie damit viel weniger transparent ausgestaltet. Ein Grund, der diese unterschiedliche Praxis rechtfertigen könnte, ist nicht ersichtlich.» Ähnlich klingen auch die Ausführungen in EDÖB, Mietercheck, Rn. 74. Ein solches Erfordernis einer «informationellen Parität» zwischen betroffener Person und Datenempfänger lässt sich aber weder auf den Wortlaut von Art. 6 Abs. 3 DSG (bzw. Art. 4 Abs. 4 aDSG) stützen noch ergibt es sich aus der Zweckausrichtung des Transparenzgrundsatzes; es ist daher abzulehnen. ↵

Vgl. dazu oben Teil 3, C.II.2.1.a. ↵

Bericht Wirtschaftsauskunfteien, S. 38 f. ↵

Bericht Wirtschaftsauskunfteien, S. 39. Die 2023 vereinbarten IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 16, sehen nun im Übrigen vor, dass die schweizerischen Auskunfteien unter Einhaltung des Geschäftsgeheimnisses die Grundzüge der Berechnung ihres Bonitätsscores selbst veröffentlichen. ↵

Vgl. dazu oben Teil 2, A.I.2. ↵

Als Beispiele für Datenkategorien lassen sich im Allgemeinen Identifikations‑, Kontakt‑, Einkaufs- und technische Daten nennen (vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 80 f., die teilweise deren Ergänzung durch Beispiele beliebt machen). Eine Auskunftei kann also etwa in ihrer Datenschutzerklärung aufführen, dass sie Identifikations- und Kontaktdaten sowie Daten über das Zahlungsverhalten der betroffenen Person und sie betreffende Betreibungsvorgänge sowie den Kreditscore bearbeitet (strenger wohl Bericht Wirtschaftsauskunfteien, S. 38, wonach die Kategorien «Zahlungsverhalten, amtliche Meldungen, Daten aus dem Förderungsmanagement oder Bonitätsscore» sehr vage und weit gefasst seien). ↵

Der EDÖB, Digitec Galaxus, Rn. 104 und 107, verlangte kürzlich, dass der Verantwortliche stets die Datenkategorien mit dem jeweiligen Zweck verknüpft, für den er sie bearbeitet. Jedenfalls der Transparenzgrundsatz erfordert eine solche Verknüpfung nicht generell (vgl. Vasella, Digitec Galaxus, o.S.); besondere Umstände können sie aber – wie andere Parameter der Datenbearbeitung – erfordern (vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 76 f.). Die Kreditwürdigkeitsprüfung und die Identifikation stellen zwar nicht unterschiedliche Zwecke dar (vgl. dazu unten Teil 3, C.III.2.1), doch scheint das Transparenzbedürfnis vergleichbar, wie wenn es sich dabei um Zwecke handeln würde. ↵

Für die betroffene Person und ihre Haltung gegenüber der Bearbeitung dürfte entscheidend sein, welche Daten, z.B. Identifikations- oder Kontaktdaten wie das Geschlecht und die Adresse, die Auskunftei für die Kreditwürdigkeitsprüfung und welche lediglich für die Identifikation verwendet. ↵

Zum aDSG vgl. Meier, Rn. 938, wonach (auch) im Rahmen des Transparenzgrundsatzes die Angabe der Betroffenenrechte erforderlich sein könne; ähnlich Epiney/Fasnacht, in: Belser et al., § 11 N 7; a.M. HK aDSG-Rosenthal, Art. 4 N 57. ↵

Vgl. dazu oben Teil 3, C.II.2.1.b. ↵

Vgl. dazu oben Teil 3, C.II.2.1.b.aa. ↵

Vgl. IG Wirtschaftsauskunfteien Verhaltensregeln. ↵

Vgl. dazu unten Teil 3, C.III.4.1.b. ↵

Vgl. dazu unten Teil 4, E.III. ↵

Buchner, in: Specht-Riemenschneider et al., S. 104. ↵

Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g DSGVO. ↵

Vgl. dazu unten Teil 4, E.I.1.2. und E.I.2. ↵

Zum DSG vgl. Botschaft Totalrevision DSG, S. 7025; Métille, S. 11; Uttinger/Geiser, Rn. 2.16, die indes von «klar» bzw. «clairement» ersichtlich sprechen, was die Botschaft unverändert aus dem Erläuternden Bericht VE-DSG, S. 46, übernommen hat, ohne zu berücksichtigen, dass das in Art. 4 Abs. 3 VE-DSG noch enthaltene «klar» aus dem Wortlaut von heute Art. 6 Abs. 3 DSG gestrichen worden war; zum aDSG EDÖB, Digitec Galaxus, Rn. 100; vgl. auch BGer, 6B_1133/2021 vom 1. Februar 2023, E. 2.4.1 (nicht publiziert in BGE 149 IV 153). ↵

Zum DSG vgl. DSG-Bühlmann/Reinle, Art. 6 N 162; zum aDSG Heuberger, Rn. 246; HK aDSG-Rosenthal, Art. 4 N 34. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 162; zum aDSG vgl. EDÖB, Digitec Galaxus, Rn. 97; EDÖB, Once Dating, Rn. 76. ↵

Zum DSG vgl. PC LPD-Francey, Art. 6 N 93; zum aDSG EDÖB, Mietercheck, Rn. 22; EDÖB, Teledata, S. 13; EDÖB, Windows 10, S. 19 f. ↵

Zum DSG PC LPD-Francey, Art. 6 N 94; CR LPD-Meier/Tschumy, Art. 6 N 42; zum aDSG Botschaft Revision DSG 2003, S. 2126. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2021, Rn. 54; CR LPD-Meier/Tschumy, Art. 6 N 42; zum aDSG Meier, Rn. 708. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2021, Rn. 54; vgl. auch BSK DSG-Bühlmann/Reinle, Art. 6 N 178; zum aDSG Heuberger, Rn. 246. ↵

Zum DSG vgl. PC LPD-Francey, Art. 6 N 93; zum aDSG Botschaft Revision DSG 2003, S. 2126; EDÖB, Teledata, S. 13; EDÖB, Windows 10, S. 20. ↵

Zum aDSG EDÖB, Mietercheck, Rn. 22; EDÖB, Teledata, S. 13; EDÖB, Windows 10, S. 20. ↵

BSK DSG-Bühlmann/Reinle, Art. 6 N 176; CR LPD-Meier/Tschumy, Art. 6 N 41; zum aDSG Thouvenin, in: Portmann et al., S. 467. ↵

EDÖB, Adressdaten im Internet, S. 11; EDÖB, Moneyhouse, Rn. 82 f.; vgl. auch EDÖB, Tätigkeitsbericht 2011/2012, S. 47. Auch die Botschaft Revision DSG 2003, S. 2126, wonach Angaben im Internet zur Beschaffung und Verwendung von Daten ein einfaches und angemessenes Informationsmittel darstellen würden, scheint dies «in den meisten Fällen» genügen zu lassen. ↵

EDÖB, Teledata, S. 14. ↵

EDÖB, Moneyhouse, Rn. 82 f. (im Rechtsmittelentscheid, BVGer, A-4232/2015 vom 18. April 2017, nicht thematisiert). ↵

Eine direkte Beschaffung liegt vor, wenn die betroffene Person bewusst Daten übermittelt oder sie etwa mithilfe einer Kamera oder Online-Tracking beobachtet wird. Die übrigen Beschaffungen, etwa bei anderen Wirtschaftsteilnehmerinnen wie Kreditgeberinnen oder aus öffentlichen Quellen wie dem Handelsregister, gelten als indirekt (zum DSG vgl. Bieri/Powell, S. 1536; Rosenthal, Jusletter 2020, Rn. 97; zur DSGVO vgl. Art.‑29‑DSG, Leitlinien Transparenz, Rn. 26; Bäcker, in: Kühling/Buchner, Art. 13 N 15 f.). ↵

Zum aDSG Vasella, Social Media, Rn. 7.74; vgl. auch Rosenthal/Dal Molin, S. 740. ↵

Zum DSG vgl. Bericht Wirtschaftsauskunfteien, S. 37, wohl vorab mit Blick auf die Informationspflicht; zum aDSG Vasella, Social Media, Rn. 7.74. ↵

Zur Informationspflicht vgl. Schweikard/Vasella, S. 93; strenger Bühlmann/Schüepp, Jusletter 2021, Rn. 93 und 95, die (zusätzlich) einen Hinweis auf den Ort verlangen, wo die Informationen verfügbar sind; ferner Botschaft Totalrevision DSG, S. 7050 f., die (auch) bei indirekten Beschaffungen eine Information auf der Website ausreichen zu lassen scheint, wenn die betroffene Person mit der Bearbeitung des Verantwortlichen rechnen muss. ↵

Dies setzt voraus, dass die betreffende Website leicht auffindbar und so gestaltet ist, dass sich die Informationen ohne Schwierigkeit zur Kenntnis nehmen lassen (vgl. BSK DSG-Bühlmann/Reinle, Art. 6 N 178; Schweikard/Vasella, S. 93). ↵

Zur Informationspflicht vgl. Schweikard/Vasella, S. 93. ↵

Zum DSG Bucheli, S. 386; PC LPD-Francey, Art. 6 N 93; zum aDSG vgl. BGE 146 IV 226 E. 3.2. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 168; vgl. auch CR LPD-Meier/Tschumy, Art. 6 N 41; zum aDSG HK aDSG-Rosenthal, Art. 4 N 53. ↵

Zum DSG PC LPD-Francey, Art. 6 N 93; a.M. BSK DSG-Bühlmann/Reinle, Art. 6 N 168; zum aDSG HK aDSG-Rosenthal, Art. 4 N 55. ↵

Zum aDSG Meier, Rn. 706, mit Verweis auf HK aDSG-Rosenthal, Art. 4 N 62. ↵

Das DSG regelt verschiedene Aspekte der Informationspflicht unterschiedlich in Abhängigkeit davon, ob die Daten direkt oder indirekt beschafft werden, insb. den Inhalt, die Erfüllungsfrist und die Ausnahmen (vgl. Art. 19 Abs. 5 und Art. 20 Abs. 2 DSG). Das gilt auch für die DSGVO, die sogar separate Bestimmungen vorsieht, Art. 13 DSGVO für die direkte, Art. 14 DSGVO für die indirekte Beschaffung. ↵

Freilich kann die indirekte Beschaffung weitergehende Vorkehren erfordern, um etwa die Beschaffung an sich erkennbar zu machen. Dies rührt aber nicht aus unterschiedlichen Vorgaben, sondern bloss daraus, dass die Erkennbarkeit mangels Beschaffung bei der betroffenen Person anderweitig zu bewerkstelligen ist. ↵

Vgl. dazu oben Teil 2, A.II.1. ↵

Zum DSG vgl. Bieri/Powell, S. 1535; Ettlinger, Rn. 4; zum aDSG vgl. Cellina, Rn. 913; Epiney/Fasnacht, in: Belser/Epiney/Waldmann, § 11 N 4. ↵

Wolff, in: Schantz/Wolff, Rn. 394; vgl. auch Reimer, in: Sydow/Marsch, Art. 5 N 17, der hinsichtlich der Verarbeitung die Erkennbarkeit, hingegen hinsichtlich der Angaben der Risiken, Vorschriften, Garantien und Rechte sowie deren Geltendmachung die Erteilung einer Information zu verlangen scheint. ↵

Herbst, in: Kühling/Buchner, Art. 5 N 18; Voigt, in: Taeger/Gabel, Art. 5 N 17. Dies rührt daher, dass der Grundsatz und insb. dessen Anforderungen an die Umsetzung der zu schaffenden Transparenz kaum unabhängig von der Informationspflicht besprochen werden. Der EuGH, Rs. C-201/14 vom 1. Oktober 2015, Bara u.a., Ziff. 34, leitete (noch unter der DSRL) aus dem Grundsatz von Treu und Glauben das Erfordernis ab, die betroffene Person bei einer Datenbekanntgabe über die Empfänger «zu unterrichten». ↵

BVGer Österreich, W176 2265088-1/10E vom 6. Oktober 2023, S. 26, wonach für die betroffene Person die Tatsache der Verarbeitung, die Datenkategorien, der Verarbeitungszweck, der Verantwortliche und die Empfänger (lediglich) erkennbar sein müssen. ↵

Wie im schweizerischen Recht stellt die Informationspflicht (i.S.v. Art. 13 f. DSGVO samt Regelung der Erfüllungsmodalitäten in Art. 12 DSGVO) eine Konkretisierung des Transparenzgrundsatzes dar (vgl. Lorentz, S. 238; Paal, in: Specht-Riemenschneider et al., S. 344; Zanfir-Fortuna, in: Kuner et al., S. 415). ↵

Vgl. dazu oben Teil 3, C.II.3.1. ↵

Die Lehre spricht sich zumindest überwiegend dafür aus, dass der Verantwortliche die Informationen, etwa auf einer Website, nicht nur bereithalten, sondern auch darauf hinweisen muss (statt vieler Bäcker, in: Kühling/Buchner, Art. 13 N 59; Knyrim, in: Ehmann/Selmayr, Art. 13 N 26; Mester, in: Taeger/Gabel, Art. 13 N 37). ↵

Zur Informationspflicht vgl. Art.‑29‑DSG, Leitlinien Transparenz, Rn. 33, wonach der Verantwortliche die Informationen der betroffenen Person bereitzustellen oder sie aktiv zur Stelle zu leiten habe, wo die Angaben zur Verfügung stünden. ↵

Vgl. Frenzel, in: Paal/Pauly, Art. 5 N 21; Schantz, in: Wolff et al., Art. 5 N 11; Voigt, in: Taeger/Gabel, Art. 5 N 16, die richtigerweise festhalten, dass es nicht genüge, wenn die betroffene Person bloss retrospektiv die Datenverarbeitung begreifen könne; dies ergibt sich auch aus EG 39 Satz 2 i.f. DSGVO. ↵

Bei einer indirekten Erhebung ist die Informationspflicht innerhalb einer angemessenen Frist nach Erlangung der Daten, spätestens nach einem Monat, zu erfüllen. Besondere Regeln gelten, wenn der Verantwortliche die Daten zur Kommunikation mit der betroffenen Person verwenden will oder er die Offenlegung an einen anderen Empfänger beabsichtigt (Art. 14 Abs. 3 DSGVO). ↵

Vgl. dazu oben Teil 3, C.II.3.1. ↵

Art. 20 DSG; Art. 13 Abs. 4 und Art. 14 Abs. 5 DSGVO. ↵

Zum DSG und zur DSGVO so offenbar George, S. 307; zum DSG vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 65 (Fn. 119), die zur Begründung, weshalb der Transparenzgrundsatz bei gesetzlich vorgesehenen Bearbeitungen keine Information verlange, auf Art. 20 Abs. 1 lit. b DSG verweisen; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 59, der von der analogen Anwendung der Ausnahmen als eine «immer wieder vertretene Lösung» spricht, diese aber ablehnt. ↵

Zum DSG vgl. Thouvenin/Braun Binder, S. 21. ↵

Vgl. EG 39 Satz 5 DSGVO; Art.‑29‑DSG, Leitlinien Transparenz, Rn. 10. ↵

Vgl. dazu oben Teil 2, D. ↵

Vgl. Art. 20 Abs. 2 lit. b bzw. Abs. 3 lit. a und c DSG. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 4 N 56 und 59. ↵

Zum DSG Botschaft Totalrevision DSG, S. 7025; Métille, S. 11; Rosenthal, Jusletter 2020, Rn. 35; Uttinger/Geiser, Rn. 2.16; a.M. vgl. Thouvenin/Braun Binder, S. 21; zum aDSG a.M. noch HK aDSG-Rosenthal, Art. 4 N 64; vgl. auch Epiney, in: Belser et al., § 9 N 41, welche die Erkennbarkeit (auch) in diesen Fällen von den Umständen des Einzelfalls abhängig macht. ↵

Nun könnte man – wie die Botschaft DSG 1988, S. 451 (in Bezug auf den Zweckbindungsgrundsatz) – von der Kenntnisfiktion der Gesetze ausgehen und deren grundsätzliche Kenntnis unterstellen. Dem liesse sich aber entgegenhalten, dass das DSG konzeptionell nicht von der Kenntnisfiktion der Gesetze auszugehen scheint, sonst bestünde nämlich neben der Ausnahme der bereits vorliegenden Informationen (Art. 20 Abs. 1 lit. a DSG) nicht noch jene der gesetzlich vorgesehenen Bearbeitung (Art. 20 Abs. 1 lit. b DSG). ↵

So lässt sich etwa dem den Transparenzgrundsatz konkretisierenden EG 39 DSGVO nichts hinsichtlich einer Ausnahme oder Einschränkung des Transparenzgrundsatzes entnehmen. ↵

Während es das DSG genügen lässt, dass das Gesetz die betreffende Bearbeitung erlaubt (Art. 20 Abs. 1 lit. b DSG; vgl. auch PC LPD-Jaccoud et al., Art. 20 N 23; Métille, S. 14), setzt die Ausnahme der DSGVO (bei indirekten Erhebungen) voraus, dass eine Rechtsvorschrift der EU oder eines Mitgliedstaates die Erlangung oder Offenlegung für den Verantwortlichen verbindlich vorsieht (Art. 14 Abs. 5 lit. c DSGVO; vgl. auch Art.‑29‑DSG, Leitlinien Transparenz, Rn. 66; Bäcker, in: Kühling/Buchner, Art. 14 N 65). Die Rechtsvorschrift muss zudem geeignete Massnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen. ↵

Vgl. dazu oben Teil 1, B.II. ↵

Vgl. Art. 20 Abs. 1 lit. a DSG; Art. 13 Abs. 4 und Art. 14 Abs. 5 lit. a DSGVO. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 4 N 62; vgl. auch Thouvenin, Grundprinzipien, S. 65, wonach aber bei einer Weitergabe der erste oder nachfolgende Verantwortliche die diesbezügliche Information der betroffenen Person aktiv vermitteln müsse; zur DSGVO vgl. Bäcker, in: Kühling/Buchner, Art. 14 N 52; Zanfir-Fortuna, in: Kuner et al., S. 446, je zur Informationspflicht. ↵

Vgl. dazu oben Teil 3, C.II.3.1 und C.II.3.2. ↵

Zum aDSG a.M. wohl Peter et al., S. 49 f., die eine indirekte Information über die Datenweitergabe an die Auskunftei in den AGB der Kreditgeberin nicht genügen lassen; analog zur Ungewöhnlichkeitsregel müsse noch explizit mitgeteilt werden, dass die Bonität speziell geprüft werde und wie; vgl. auch Bericht Wirtschaftsauskunfteien, S. 35, der offen lässt, ob sich die Informationspflicht durch Dritte erfüllen lässt; zur DSGVO vgl. BVGer Österreich, W176 2265088-1/10E vom 6. Oktober 2023, S. 26 f., das es (auch) unter dem Transparenzgrundsatz genügen lässt, dass ein Inkassounternehmen auf die Weiterleitung von Zahlungserfahrungen für Bonitätsauskünfte an eine Auskunftei in Schreiben an die betroffene Person hinweist und letztere dann auf der Website der Auskunftei deren Datenschutzerklärung abrufen kann. ↵

In der Praxis informieren die Kreditgeberinnen in ihren AGB oder in ihrer Datenschutzerklärung darüber, dass sie Dritten, u.a. Auskunfteien, Daten bekanntgeben und/oder weisen konkret auf die Übermittlung von Zahlungserfahrungen an Auskunfteien hin (Peter et al., S. 30, 49, 54 und 65; Bericht Wirtschaftsauskunfteien, S. 16). ↵

Die Kreditgeberinnen teilen praxisgemäss bei der Eröffnung eines Inkassofalls (z.B. bei der Übergabe einer Forderung eines Online-Shops an ein Inkassounternehmen) der betroffenen Person mit, dass dies mit einer Information an eine Auskunftei verbunden sei und/oder führen in einer (wiederholten) Mahnung aus, dass sie diese Zahlungserfahrung einer Auskunftei weitergeben würden (Bericht Wirtschaftsauskunfteien, S. 16 [Fn. 111]; Egeli, S. 217, mit einem Muster einer Mahnung). ↵

Vgl. BVGer Österreich, W176 2265088-1/10E vom 6. Oktober 2023, S. 26 f., das keinen Verweis auf die Datenschutzerklärung verlangte, nachdem ein Inkassounternehmen in einer Zahlungsaufforderung auf die Auskunftei und die an diese gerichtete Bekanntgabe von Daten für Bonitätsauskünfte hingewiesen hatte. ↵

Zum aDSG vgl. Peter et al., S. 49 f. ↵

Die Ungewöhnlichkeitsregel ist grundsätzlich auf Fälle von Globalübernahmen beschränkt, wenn also im Kontext von AGB die Vertragspartei sich mit diesen einverstanden erklärt, ohne sie zu lesen, zur Kenntnis zu nehmen oder deren Tragweite zu verstehen (BGE 148 III 57 E. 2.1.3; BGE 119 II 443 E. 1a; BGE 109 II 452 E. 4). Nachdem betroffene Personen Datenschutzerklärungen kaum lesen (statt vieler FTC, S. 2 und 61; Obar/Oeldorf-Hirsch, S. 140 ff.; Kantar, Special Eurobarometer 487a, S. 16), dürfte in aller Regel (im übertragenen Sinne) eine Globalübernahme vorliegen. ↵

Zum DSG Rosenthal, Jusletter 2020, Rn. 101; Schweikard/Vasella, S. 93; zum aDSG Vasella, Social Media, Rn. 7.61 ff. ↵

Vgl. Conrad/Hausen, in: Auer-Reinsdorff/Conrad, § 36 N 174; Wendehorst/Graf von Westphalen, S. 3748. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 4 N 37; Vasella, Social Media, Rn. 7.61 i.V.m. Rn. 7.63; vgl. auch Bühlmann/Schüepp, Jusletter 2021, Rn. 99, wonach die Hervorhebung einer ungewöhnlichen Bearbeitung in einem vorformulierten Dokument, etwa durch Fettdruck, nicht immer ausreiche. Bei besonders einschneidenden Bearbeitungen solle ein getrennter Hinweis auf die Information über diese Bearbeitungen erfolgen. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 4 N 37. ↵

Vgl. dazu oben Teil 1, B.I. ↵

Vgl. Art. 31 Abs. 2 lit. c DSG; EG 55 und 59 sowie Art. 18 und Art. 21 RL 2014/17/ЕU (betr. Wohnimmobilienkredite); EG 57 und Art. 18 Abs. 3 RL (EU) 2023/2225 bzw. aktuell noch EG 28 und Art. 8 RL 2008/48/EG (betr. Verbraucherkredite). ↵

Vgl. dazu oben Teil 1, E.I.2.2 und E.II.2. ↵

Vgl. BVGer Österreich, W176 2265088-1/10E vom 6. Oktober 2023, S. 27, wonach es der allgemeinen Lebenserfahrung entspreche, dass bei Ignorieren mehrfacher Zahlungsaufforderungen durch eine Gläubigerin bzw. ein Inkassounternehmen eine Übermittlung dieser Zahlungserfahrungen an eine Kreditauskunftei erfolge. ↵

Nach gängiger Praxis verpflichten die Auskunfteien die Kreditgeberinnen (zumindest), die betroffenen Personen über die Einholung von Bonitätsauskünften (bei ihnen) zu informieren (Bericht Wirtschaftsauskunfteien, S. 16; vgl. auch Peter et al., S. 31, 49 und 65). ↵

Vgl. dazu oben Teil 2, D. ↵

Zum DSG vgl. Bericht Wirtschaftsauskunfteien, S. 35; zur DSGVO Lohbeck, S. 2054; vgl. auch Eichler, S. 12; Paal, in: Specht-Riemenschneider et al., S. 345. In der Praxis scheint dieses Risiko nicht unerheblich, zumal die Auskunfteien offenbar die Einhaltung dieser vertraglichen Verpflichtung nicht im Einzelfall prüfen (Peter et al., S. 31; vgl. auch Bericht Wirtschaftsauskunfteien, S. 16). ↵

Zum aDSG SHK aDSG-Baeriswyl, Art. 4 N 47; Drittenbass, Rn. 203. ↵

Zum aDSG Meier, Rn. 694, wonach der Transparenzgrundsatz nur für Private gegolten habe, die keine besonders schützenswerten Personendaten und Persönlichkeitsprofile beschafften und damit nicht Art. 14 aDSG unterstanden. ↵

In der Lehre ist generell umstritten, ob eine Verletzung der Informationspflicht zugleich den Transparenzgrundsatz oder unmittelbar die Persönlichkeit der betroffenen Person verletzt (befürwortend zum DSG Ettlinger, Rn. 4; vgl. auch CR LPD-Flueckiger, Art. 19 N 30 ff.; zum aDSG Cellina, Rn. 913; Meier, Rn. 920; ablehnend zum DSG Métille, S. 15 f.; Rosenthal, Jusletter 2020, Rn. 92; Schweikard/Vasella, S. 88). Dies ist abzulehnen, insb. weil sonst ein privatrechtlicher Grundsatz mit einer öffentlich-rechtlichen Norm vermengt und deren (im Folgenden angeschnittenen) Unterschiede verwischt würden. ↵

Zum DSG Rosenthal, Jusletter 2020, Rn. 92; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 63. ↵

Vgl. Wendehorst/Graf von Westphalen, S. 3748. Die DSGVO unterscheidet denn auch grundsätzlich nicht zwischen öffentlichen und privaten Stellen als Verantwortliche (Thouvenin, digma 2019, S. 209 [Fn. 24]). ↵

Den Inhalt der Informationspflicht regelt die DSGVO abschliessend (Dix, in: Simitis et al., Art. 13 N 4 und Art. 14 N 4; Schmidt-Wudy, in: Wolff et al., Art. 13 N 38 und Art. 14 N 38; Walter, S. 370 und 375). ↵

Dies gilt etwa für die Informationen über die Risiken und Garantien sowie die Geltendmachung der Betroffenenrechte, die Art. 13 f. DSGVO nicht oder zumindest nicht im gleichen Umfang vorsehen. ↵

Vgl. Art. 19 f. DSG. Das alte Recht auferlegte privaten Personen eine Informationspflicht nur bei der Beschaffung von besonders schützenswerten Personendaten und Persönlichkeitsprofilen (Art. 14 aDSG). ↵

Vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 66 f.; Métille, S. 11. ↵

Hinzu kommt, dass Art. 83 Abs. 5 lit. a bzw. b DSGVO Verstösse gegen den Transparenzgrundsatz und die Informationspflicht mit derselben Geldbusse bedroht, weshalb deren Verhältnis auch von geringerer praktischer Bedeutung ist. Immerhin kann die Grundlage, welche die Transparenz einer bestimmten Angabe verlangt, insoweit relevant sein, als sich die individualrechtliche Durchsetzbarkeit von Verarbeitungsgrundsätzen und die Zulässigkeit von Bussgeldern allein auf der Grundlage von Grundsatzverletzungen in Frage stellen lässt (vgl. dazu oben Teil 2, D.). ↵

Reimer, in: Sydow/Marsch, Art. 5 N 18; vgl. auch Eichler, S. 13. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 173; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 63. ↵

Vgl. Art.‑29‑DSG, Leitlinien Transparenz, Rn. 10 und 42; Schantz, in: Wolff et al., Art. 5 N 11; ferner de Terwangne, in: Kuner et al., S. 315. ↵

Zum DSG Art. 19 Abs. 3 DSG e contrario; Bühlmann/Schüepp, Jusletter 2021, Rn. 75 f.; zur DSGVO Art. 14 Abs. 1 lit. d DSGVO e contrario. ↵

Zum DSG vgl. Art. 19 Abs. 2 lit. a–c DSG; Bühlmann/Schüepp, Jusletter 2021, Rn. 75; zur DSGVO vgl. Abs. 1 und 2 von Art. 13 f. DSGVO, die den Inhalt der Informationspflicht abschliessend regeln und deren Wortlaut sich nicht im Ansatz eine solche Verknüpfung entnehmen lässt. ↵

Art. 19 Abs. 2 DSG verlangt die Mitteilung jener Informationen, die erforderlich sind, damit die betroffene Person ihre Rechte nach DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; vgl. auch Bühlmann/Lagler, S. 18; Ettlinger, Rn. 7. ↵

Zum DSG OFK DSG-Bieri/Powell, Art. 19 N 14; Bühlmann/Schüepp, Jusletter 2021, Rn. 57 und 91; Schweikard/Vasella, S. 92 f.; zur DSGVO Quaas, in: Wolff et al., Art. 12 N 25; vgl. auch Bäcker, in: Kühling/Buchner, Art. 13 N 59; Franck, in: Gola/Heckmann, Art. 12 N 9. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2021, Rn. 92; zur DSGVO vgl. Wolff, in: Schantz/Wolff, Rn. 394 f. ↵

Zum DSG vgl. Vasella, TREX 2021, S. 275. ↵

Zum DSG und zur DSGVO vgl. Charlet, S. 65 f.; zum DSG Bühlmann/Schüepp, Jusletter 2021, Rn. 92; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 63. ↵

Zwar weisen die schweizerischen Auskunfteien in ihren Datenschutzerklärungen auf die Beschaffungen aus öffentlichen Quellen hin (vgl. CRIF AG, Datenschutzerklärung, Ziff. 4; Schweizerischer Verband Creditreform Gen, Datenschutzerklärung CH-DSG, o.S.; Schweizerischer Verband Creditreform Gen, Datenschutzerklärung EU-DSGVO, o.S.; Intrum AG, Datenschutzerklärung, o.S.), weitere Vorkehren zur Transparenz bei diesen Beschaffungen ergreifen sie aber offenbar nicht (vgl. Peter et al., S. 30 und 54). ↵

Art. 30 Abs. 3 DSG vermutet zwar bei bestimmten allgemein zugänglichen Personendaten, dass bei deren Bearbeitung keine Persönlichkeitsverletzung vorliegt, greift aber nur, wenn die Personendaten mit Wissen und Willen der betroffenen Person veröffentlicht wurden. Zumindest an dieser Voraussetzung wird es im hier interessierenden Kontext oft fehlen (vgl. dazu unten Teil 3, D.I.2.1). ↵

Vgl. dazu unten Teil 3, D.IV.1. ↵

Dies zeigt der Fall einer polnischen Auskunftei, die ca. sechs Mio. Einträge aus öffentlich zugänglichen Quellen beschaffte und die betroffenen Personen, von denen sie die Adresse oder Telefonnummer, nicht aber die E-Mail-Adresse hatte, ausschliesslich auf der Website informierte. Die zuständige Aufsichtsbehörde verneinte eine Ausnahme von der Informationspflicht nach Art. 14 Abs. 4 lit. b DSGVO und büsste die Auskunftei. Der Entscheid der Aufsichtsbehörde wurde in der Folge verwaltungsgerichtlich bestätigt (UODO, ZSPR.421.3.2018 vom 15. März 2019, S. 6 und 10; NSA, III OSK 2538/21 vom 19. September 2023, o.S.; vgl. dazu Dallmann/Busse, S. 398). ↵

25

Zweckbindung

Allgemeines

Der Zweckbindungsgrundsatz in Art. 6 Abs. 3 DSG verlangt, dass ein Verantwortlicher Daten nur zu einem bestimmten Zweck beschafft und sie nur so bearbeitet, dass es mit diesem Zweck vereinbar ist. Ähnlich fordert auch Art. 5 Abs. 1 lit. b DSGVO für die Erhebung von personenbezogenen Daten festgelegte, eindeutige und legitime Zwecke und verbietet deren Weiterverarbeitung in einer mit diesen Zwecken nicht zu vereinbarenden Weise. Mit diesen Vorgaben beabsichtigt der Zweckbindungsgrundsatz vornehmlich, die Bearbeitungsmöglichkeiten des Verantwortlichen auf einen für die betroffene Person vorhersehbaren und auch für die Aufsichtsbehörde überprüfbaren Umfang zu begrenzen.[1]

Mit dem Zweck ist der Grund gemeint, weshalb eine Datenbearbeitung erfolgt,[2] z.B. Vertragsmanagement, Lohnbuchhaltung oder E-Mail-Marketing. Die Artikel‑29‑Datenschutzgruppe scheint in ihren Leitlinien zu vertreten, dass auch Profiling einen Zweck darstelle.[3] Folglich müsste es für den Zweckbindungsgrundsatz ausreichen, das Profiling (ohne Angabe dessen Einsatzgrundes) als Zweck zu bestimmen. Allerdings ist Profiling kein Selbstzweck, sondern vielmehr eine besondere Art der Datenbearbeitung zur Erreichung eines übergeordneten Zwecks.[4] In diesem Sinne ist dem EDÖB beizupflichten, wenn er in Frage stellt, ob ein Bearbeitungsvorgang wie die Aufzeichnung, Verknüpfung oder Analyse von Daten einen Zweck darstellen könne und er für die Zweckbestimmung darauf abstellen will, wozu der fragliche Vorgang letztendlich diene.[5]

Vor diesem Hintergrund ist auch die Entwicklung eines Modells, anhand dessen allenfalls ein Profiling erfolgt, kein eigener Zweck.[6] Bei der Modellentwicklung handelt es sich ebenfalls um eine Bearbeitung bzw. eine Reihe von Bearbeitungen, die aus einem übergeordneten Grund stattfindet, z.B. um später personalisierte Werbung auszuspielen oder Bilder und Texte zu generieren. Auskunfteien entwickeln ein Kreditscoring-Modell und nehmen gestützt darauf Profilings vor, um die Kreditwürdigkeit kreditinteressierter Personen zu beurteilen. Die Kreditwürdigkeitsbeurteilung ist also der massgebende Zweck, nicht die Vornahme eines Profilings oder die Entwicklung eines Modells.

Der Zweckbindungsgrundsatz macht einerseits Vorgaben an die Datenbeschaffung (Zweckbestimmung; nachfolgend 2.) und schränkt andererseits die weitere Bearbeitung der Daten ein (Zweckbindung i.e.S.;[7] nachfolgend 4.),[8] wobei der verfolgte Zweck unter der DSGVO zusätzlich legitim sein muss (nachfolgend 3.).[9] Überdies lässt sich aus dem Zweckbindungsgrundsatz wie aus der Verhältnismässigkeit ein Verbot ableiten, Daten auf Vorrat zu sammeln und zu speichern.[10] Dieser Teilgehalt wird im Zusammenhang mit der Verhältnismässigkeit besprochen.[11]

Zweckbestimmung

Bestimmtheit bzw. Festlegung

Das DSG setzt einen bestimmten, die DSGVO einen festgelegten Zweck voraus. Dies bedeutet gemäss der Botschaft für das schweizerische Recht, dass nicht definierte, vage oder unpräzise Bearbeitungszwecke dem Grundsatz nicht gerecht werden.[12] Im europäischen Recht erfordert die «Festlegung» – etwa laut der Artikel‑29‑Datenschutzgruppe – in einem ähnlichen Sinne, dass der Zweck genug präzise ist, damit sich davon erfasste von nicht erfassten Datenverarbeitungen trennen lassen und um für die betroffene Person nützlich zu sein.[13] Als Faustregel empfahl das österreichische Bundesverwaltungsgericht auch schon, einen Zweck in der Regel in mehr als drei Worten anzugeben.[14] Nachdem zusätzliche Wörter den Zweck nicht zwingend verdeutlichen,[15] ist diese Regel weder überzeugend noch hilfreich.

In der Praxis verwendbare Leitplanken für die Formulierung des Zwecks lassen sich auch aus den abstrakten Umschreibungen des Bundesrates und der Artikel‑29‑Datenschutzgruppe schwerlich ableiten. Freilich wird die hohe Abstraktion auch daher rühren, dass der erforderliche Detaillierungsgrad unter dem DSG sowie der DSGVO von den Umständen der Bearbeitung abhängt.[16] Behelfsmässig lassen sich Beispiele von unzureichend einerseits und ausreichend bestimmten bzw. festgelegten Zwecken andererseits als Massstab heranziehen: Als (regelmässig) ungenügend gelten etwa «Marketingzwecke», «Service-Verbesserung» oder «IT-Sicherheit».[17] Als ausreichend wurde hingegen in der Literatur beispielsweise der Zweck «Bereitstellung personalisierter Videoempfehlungen» (statt «Verbesserung des Nutzererlebnisses») für eine Video-Streaming-Anbieterin[18] oder «Verwendung für die Zustellung von Werbung» (statt «Verwendung zu Marketingzwecken»)[19] betrachtet.[20]

Unter dem aDSG liess der EDÖB als Zweckbestimmung für das Kerngeschäft der Auskunftei den (hier etwas angepassten) Beschrieb genügen, dass die Bearbeitungen der Erteilung von Bonitätsauskünften über Privatpersonen und Firmen dienen, um damit den Kundinnen der Auskunftei zum Schutz vor Zahlungsausfällen die Prüfung der Kreditwürdigkeit[21] zu ermöglichen.[22] Es gibt keinen Grund zur Annahme, dass eine solche, eher ausführliche Formulierung nach neuem Recht nicht mehr genügen sollte. Im Vergleich zu den (vorangehend genannten) von der Lehre als hinreichend festgelegt betrachteten Zwecken wird sie auch im Anwendungsbereich der DSGVO genügen. Eine Auskunftei kann den Zweck aber auch kürzer und mithilfe von Stichworten ausreichend bestimmen bzw. festlegen.

Eindeutigkeit bzw. Transparenzvorgabe

Neben einem festgelegten Zweck verlangt die DSGVO, dass der Zweck eindeutig ist. Dieses Erfordernis lässt sich einerseits als Präzisierung der Festlegung verstehen: Der Zweck muss unmissverständlich und klar festgelegt sein.[23] Andererseits erlaubt die DSGVO bei Berücksichtigung anderer Sprachfassungen das Verständnis,[24] dass der Verantwortliche den Zweck in irgendeiner Form zum Ausdruck bringen oder sogar der betroffenen Person mitteilen muss.[25] Dies ergibt sich zwar nicht unmittelbar aus dem Wortlaut (der deutschen Sprachfassung), ermöglicht aber der Eindeutigkeit eine eigenständige Bedeutung beizumessen, die über die blosse Konkretisierung der Festlegung hinausgeht.[26] Zudem spricht der Zweck des Zweckbindungsgrundsatzes, die Bearbeitungsmöglichkeiten für die betroffene Person vorhersehbar zu machen, dafür, dass der Zweck für die betroffene Person ersichtlich sein muss. Es genügt daher (auch für den Zweckbindungsgrundsatz) nicht, den Zweck bloss mental festzulegen.[27] Auf dieses Verständnis der Eindeutigkeit deutet auch ein jüngerer Entscheid des EuGH hin.[28] Um der Eindeutigkeit – oder besser: Ausdrücklichkeit – gerecht zu werden, kann der Verantwortliche den Zweck etwa in eine Datenschutzerklärung auf seiner Website aufnehmen.[29]

Ein Erfordernis mit vergleichbarer Stossrichtung kannte das alte schweizerische Recht, wonach der Zweck angegeben werden, aus den Umständen ersichtlich oder gesetzlich vorgesehen sein musste (Art. 4 Abs. 3 aDSG). Aufgrund der Vermengung des Zweckbindungs- mit dem Transparenzgrundsatz im neuen Recht ergibt sich dieses Erfordernis aus dem DSG nicht mehr ohne Weiteres.[30] Nachdem die Totalrevision die Transparenz zu stärken beabsichtigte und in den Materialien Hinweise auf eine Lockerung des Grundsatzes fehlen,[31] ist auch aus dem Zweckbindungsgrundsatz des DSG diese Transparenzvorgabe abzuleiten. Angesichts des neuen Wortlauts liesse sich zwar in Frage stellen, ob es noch immer genügt, wenn der Zweck bloss aus den Umständen ersichtlich ist.[32] Eine eigentliche Angabe des Zwecks zu verlangen, würde jedoch bedeuten, aus dem Zweckbindungsgrundsatz eine strengere Transparenzvorgabe als aus dem Transparenzgrundsatz abzuleiten. Dies vermag nicht zu überzeugen, weshalb es auch unter dem DSG genügt, wenn der Zweck gesetzlich vorgesehen oder aus den Umständen ersichtlich ist.[33]

Zufolge seiner Informationspflicht hat der Verantwortliche die betroffene Person über den Zweck zu informieren,[34] womit er die hier beschriebene Transparenzvorgabe bzw. das Ausdrücklichkeitserfordernis erfüllt. Insoweit sind diese Vorgaben nur praktisch relevant, wenn eine Ausnahme von der Informationspflicht greift und der Verantwortliche deshalb nicht über den Zweck informieren muss.[35] Ausserdem überschneidet sich der Zweckbindungsgrundsatz in diesem Punkt mit den Vorgaben des Transparenzgrundsatzes, der ebenso die Erkennbarkeit des Bearbeitungszwecks verlangt.[36]

Umsetzung der Zweckbestimmung

Weder das DSG noch die DSGVO enthält Vorgaben an die Form der Zweckbestimmung.[37] Zur Erfüllung der Rechenschaftspflicht von Art. 5 Abs. 2 DSGVO drängt sich im europäischen Recht allerdings eine dauerhafte Form der Dokumentation wie die Textform auf.[38] Dem schweizerischen Recht ist zwar eine eigentliche Rechenschaftspflicht fremd; nur schon aus Beweisgründen ist dem Verantwortlichen aber eine dauerhafte Form der Dokumentation zu empfehlen.[39] In zeitlicher Hinsicht ist zu beachten, dass die Zweckbestimmung vor oder spätestens bei der Datenbeschaffung zu erfolgen hat.[40]

Bei vielen Verantwortlichen erscheint es sinnvoll, mit der Information über die Bearbeitungszwecke, die sie der betroffenen Person kraft der Informationspflicht schulden, zugleich die Zweckbestimmung zu erfüllen.[41] Nach einem Teil der Lehre zur DSGVO soll auch die Festlegung des Zwecks in einem Bearbeitungsverzeichnis genügen.[42] Bei dieser Umsetzung ist allerdings nicht ohne Weiteres gewährleistet, dass der Verantwortliche das dem Zweckbindungsgrundsatz immanente Transparenzerfordernis erfüllt, also der Zweck (zumindest aus den Umständen) ersichtlich ist. Denn der betroffenen Person muss (grundsätzlich) keine Einsicht in das Bearbeitungsverzeichnis gewährt werden[43] – und in der Praxis erhält sie diese auch regelmässig nicht, selbst wenn ein entsprechendes Begehren vorliegt.

Legitimität des Zwecks

Erfordernis eines legitimen Zwecks

Die DSGVO verlangt, dass der mit der Verarbeitung verfolgte Zweck legitim ist (Art. 5 Abs. 1 lit. b DSGVO). Demgegenüber äussert sich das DSG grundsätzlich nicht, zu welchen Zwecken Personendaten bearbeitet werden dürfen und zu welchen nicht. Dies hielt auch das Bundesverwaltungsgericht im unter dem alten Recht ergangenen Entscheid zu Helsana+ fest; eine der DSGVO entsprechende Vorgabe bestand unter dem aDSG jedenfalls nicht.[44] Nachdem der Staatspolitischen Kommission des Nationalrates über den zu jenem Zeitpunkt erst gerade ergangenen Helsana+-Entscheid berichtet worden war, diskutierte sie über die Einführung des Erfordernisses eines «legitimen Zwecks» nach europäischem Vorbild in (heute) Art. 6 Abs. 3 DSG.[45] Konkret stand ein Antrag zur Ausweitung des Grundsatzes im Raum, der einen «rechtmässigen Zweck» – verstanden als Zweck, der die Rechtsordnung als Ganzes einhält – verlangt hätte.[46] Diesen Antrag lehnte die Kommission allerdings ab.[47] Dass eine Übernahme des Legitimitätserfordernisses nicht beabsichtigt war, bestätigt auch die Parlamentsdebatte.[48]

Einen legitimen Zweck setzt Art. 5 Abs. 4 lit. b Konv. 108+ voraus, weshalb sich fragt, ob Art. 6 Abs. 3 DSG mittels einer europarechtskonformen Interpretation ebenfalls dahingehend auszulegen ist. Der Wortlaut stützt ein solches Verständnis nicht; es bedürfte eines regelrechten Kunstgriffs, dieses Erfordernis in das DSG hineinzulesen. Wie beschrieben, entschied sich der Gesetzgeber bewusst gegen ein solches Erfordernis. Trotzdem einen legitimen (oder rechtmässigen) Zweck zu verlangen, würde dazu führen, der Konv. 108+ die unmittelbare Anwendbarkeit zuzugestehen, über die sie nicht verfügt.[49] Der Zweckbindungsgrundsatz des DSG verlangt demnach nicht, dass der Verantwortliche Daten zu einem legitimen oder rechtmässigen Zweck bearbeitet.[50] Der Verantwortliche kann demnach selbst den Zweck der Bearbeitung inhaltlich frei bestimmen.[51]

Tragweite des Erfordernisses in der DSGVO

Die Frage, wie das Erfordernis eines legitimen Zwecks in der DSGVO zu verstehen ist, wird nicht einheitlich beantwortet. Während die deutsche Lehre weitgehend ein positivistisches Verständnis vertritt, wonach ein Zweck legitim sei, wenn er im Einklang mit der Rechtsordnung stehe,[52] verlangen die Artikel‑29‑Datenschutzgruppe und verschiedene ihr folgende Äusserungen in der Lehre, dass der Zweck nicht nur im Einklang mit dem Recht im weitesten Sinne stehe,[53] sondern bei der Beurteilung der Legitimität überdies die Sitte, Verhaltenskodizes, der Kontext des Einzelfalls etc. berücksichtigt würden.[54] Die deutsche Sprachfassung der DSGVO sprach noch im Entwurf des Rates von einem «rechtmässigen Zweck»,[55] was aber nach einer Sprachprüfung des Parlaments in den heutigen Wortlaut geändert wurde.[56] Damit dürfte der europäische Gesetzgeber eine inhaltliche Klarstellung beabsichtigt und sich für eine über die Einhaltung der Rechtsordnung hinausgehende Vorgabe ausgesprochen haben.[57]

Ein mit der Haltung der Artikel‑29‑Datenschutzgruppe vergleichbares Verständnis findet sich im Erläuternden Bericht zur Konv. 108+, wonach die Legitimität des Zwecks von den Umständen abhänge und dabei die Erreichung eines angemessenen Gleichgewichts zwischen den auf dem Spiel stehenden Interessen das Ziel sei.[58] So verstanden das Legitimitätserfordernis im Übrigen auch verschiedene Stimmen der Lehre ausserhalb Deutschlands bereits unter der DSRL.[59] Auch angesichts des (angestrebten) Gleichlaufs von DSGVO und Konv. 108+,[60] der sich hier im nahezu identischen Wortlaut des Zweckbindungsgrundsatzes niederschlägt, bestehen gute Gründe für ein solches Verständnis des Legitimitätserfordernisses. Abgesehen von diesem Erfordernis kann der Verantwortliche aber den Zweck der Verarbeitung inhaltlich frei bestimmen.[61]

Einen solchen legitimen Zweck stellt die Kreditwürdigkeitsprüfung und die Bereitstellung von entsprechenden Auskünften dar. Zunächst ist nicht ersichtlich, weshalb dieser Zweck nicht im Einklang mit der (europäischen) Rechtsordnung stehen sollte. Im Gegenteil hält nicht nur das europäische Recht Kreditgeberinnen verschiedentlich zu Kreditwürdigkeitsprüfungen (allenfalls unter Zuhilfenahme von Auskunfteien) an,[62] sondern erachtet implizit sogar die DSGVO selbst diesen Zweck als zulässig, wenn sie die automatische Ablehnung eines Online-Kreditantrags Art. 22 DSGVO unterstellen will[63] und nicht bereits die entsprechenden Datenverarbeitungen als grundsatzwidrig zufolge illegitimen Zwecks einstuft. Ausserdem wird auch ein angemessenes Gleichgewicht zwischen den auf dem Spiel stehenden Interessen zu bejahen sein, wenn man sich die (bereits geschilderten) Interessenlagen der Kreditgeberin und kreditinteressierten Person sowie der Öffentlichkeit vergegenwärtigt, die im Übrigen auch in der Rechtsprechung anerkannt sind.[64]

Zweckbindung i.e.S.

Im Allgemeinen

Kriterium der Vereinbarkeit

Art. 6 Abs. 3 DSG lässt nicht mehr nur Bearbeitungen zum bei der Beschaffung erkennbaren Zweck zu, sondern auch solche, die mit diesem vereinbar sind. Das Kriterium der «Vereinbarkeit» mit dem bei der (direkten) Beschaffung bestimmten bzw. festgelegten Zweck, auch Primärzweck genannt,[65] hat das DSG aus dem europäischen Recht (vgl. Art. 5 Abs. 1 lit. b DSGVO) übernommen.[66] Dieser Zweck haftet den Personendaten an, sodass spätere Verantwortliche, welche diese indirekt beschaffen, denselben Zweck zu beachten haben.[67] So ist beispielsweise für die Auskunftei der Zweck massgebend, den die Kreditgeberin bei der Beschaffung der ihr übermittelten Zahlungserfahrungen bestimmt bzw. festgelegt hat.

Ob Daten zu einem vom Primärzweck abweichenden Zweck (weiter‑)bearbeitet[68] werden dürfen,[69] beurteilt sich nach einem sogleich zu thematisierenden Kompatibilitätstest. Dieser ist auch für die Frage massgebend, ob eine Datenbekanntgabe an Dritte mit dem Primärzweck vereinbar ist,[70] sofern nicht schon der bestimmte bzw. festgelegte Zweck eine solche Bekanntgabe impliziert.[71] Möchte ein Verantwortlicher, etwa eine Kreditgeberin, sicherstellen, dass der Zweck auch die Bekanntgabe an Dritte wie eine Auskunftei umfasst, empfiehlt sich bei der äusserlichen Umsetzung der Zweckbestimmung, z.B. in einer Datenschutzerklärung, den Zweck entsprechend zu formulieren.

Gemäss der Botschaft gilt unter dem DSG die Weiterbearbeitung auch als mit dem ursprünglichen Zweck vereinbar, wenn die Änderung des ursprünglichen Zwecks gesetzlich vorgesehen ist, eine Gesetzesänderung sie erfordert oder sie durch einen anderen Rechtfertigungsgrund legitimiert ist.[72] Letzteres erscheint dogmatisch unzutreffend: Entweder ist die Weiterbearbeitung mit dem ursprünglichen Zweck vereinbar, sodass gar keine Rechtfertigung erforderlich ist, oder sie ist eben unvereinbar, mithin grundsatzwidrig, und stellt eine Persönlichkeitsverletzung dar, die aber nicht widerrechtlich ist, wenn ein Rechtfertigungsgrund vorliegt.[73] Ähnlich wie eine Rechtfertigung unter dem DSG erlaubt auch Art. 6 Abs. 4 DSGVO eine Weiterverarbeitung zu einem anderen Zweck ohne Kompatibilitätstest, wenn sie sich auf die Einwilligung der betroffenen Person oder auf eine Rechtsvorschrift der EU oder eines Mitgliedstaates[74] stützt.[75]

Kompatibilitätstest

Das DSG regelt nicht ausdrücklich, wann eine Weiterbearbeitung mit dem Primärzweck vereinbar ist.[76] Nach der Botschaft soll die neue, an die Konv. 108+ angepasste Formulierung des Zweckbindungsgrundsatzes denn auch zu keiner wesentlichen Änderung führen, was allerdings schon aufgrund der Differenz im Wortlaut fraglich erscheint.[77] Mit einem Zitat des Erläuternden Berichts zur Konv. 108+ hält die Botschaft weiter fest, dass wie unter altem Recht eine Weiterbearbeitung unzulässig sei, wenn «die betroffene Person dies berechtigterweise als unerwartet, unangebracht oder beanstandbar erachten kann».[78]

Angesichts der Anpassung des Wortlauts an die Konv. 108+ und des Verweises auf den dazugehörigen Erläuternden Bericht[79] erscheint es bei der Frage der Zweckvereinbarkeit nach Art. 6 Abs. 3 DSG angezeigt, sich am Verständnis der Konv. 108+ zu orientieren.[80] Gemäss dem Erläuternden Bericht sind zur Beurteilung der «Vereinbarkeit» insbesondere folgende Aspekte zu berücksichtigen:[81]

die Verbindung zwischen den Zwecken, für die die Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung;

der Kontext, in dem die Daten erhoben wurden, insbesondere die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zum Verantwortlichen beruhen, in Bezug auf die Weiterverarbeitung;

die Art der weiterzuverarbeitenden Daten;[82]

die Folgen der beabsichtigten Weiterverarbeitung für die betroffene Person;[83] und

das Vorliegen geeigneter Garantien[84] bei der ursprünglichen und der beabsichtigten (Weiter‑)Verarbeitung.

Derselbe Kriterienkatalog und sogar nahezu die identische Formulierung wie im Erläuternden Bericht zur Konv. 108+ enthält EG 50 DSGVO; Art. 6 Abs. 4 DSGVO[85] erhebt die Kriterien zudem (mit marginal abweichenden Worten) zur verbindlichen Rechtsnorm. Gemäss EuGH sind die Kriterien Ausdruck der Notwendigkeit einer konkreten, kohärenten und ausreichend engen Verbindung zwischen dem Zweck der Datenerhebung und der Weiterverarbeitung der Daten; sie würden es ermöglichen, sich zu vergewissern, dass diese Weiterverarbeitung nicht von den legitimen Erwartungen der betroffenen Personen hinsichtlich der weiteren Verwendung ihrer Daten abweiche.[86] Diese Betonung der Erwartungen der betroffenen Person findet sich auch in der Botschaft zum DSG.[87]

Massgebend sind dabei nicht die Erwartungen einer beliebigen betroffenen Person, sondern diejenigen eines Durchschnittsadressaten bzw. eines objektiven Dritten.[88] Diese Erwartungen werden durch die vom Verantwortlichen bei der (direkten) Beschaffung zur Verfügung gestellten Informationen entscheidend geprägt.[89] Während etwa bei einer spezifischen, engen Fassung des Zwecks kompatible Weiterbearbeitungen nur zurückhaltend anzunehmen sind,[90] hat die betroffene Person Weiterbearbeitungen bei breiteren Formulierungen eher zu erwarten. Dafür droht dem Verantwortlichen diesfalls, die Vorgabe der Bestimmtheit bzw. Festlegung zu missachten.[91]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Daten aus privaten Quellen

Ob Daten aus privaten Quellen, insbesondere jene, die das Zahlungsverhalten der betroffenen Person oder das Inkasso von Forderungen betreffen, für die Kreditwürdigkeitsprüfung verwendet werden dürfen, hängt davon ab, welche Zwecke bei der Beschaffung aus den Umständen für die betroffene Person ersichtlich waren.[92] Führt die Kreditgeberin in ihrer Datenschutzerklärung aus, dass sie Zahlungserfahrungen erfasst, um diese an eine (namentlich genannte) Auskunftei zur Prüfung der Kreditwürdigkeit zu übermitteln, und implizit oder explizit, dass die Auskunftei diese Daten an berechtigte Dritte bekanntgeben kann, bearbeitet die Auskunftei die Daten im Rahmen eines Primärzwecks.[93] Dasselbe gilt für Inkassodaten, wenn vor oder spätestens bei der Eröffnung eines Inkassofalls bzw. der Übergabe an ein Inkassounternehmen die betroffene Person, etwa in einer Mahnung, analog über die Weiterleitung an eine Auskunftei zum Zweck der Kreditwürdigkeitsprüfung informiert wird.

Vor diesem Hintergrund ist die Aussage zu pauschal, dass es (nach Massgabe des aDSG) eine Verletzung des Zweckbindungsgrundsatzes darstellt, wenn eine Auskunftei mit Inkassogeschäft Daten, die sie im Rahmen des letzteren Geschäftsbereichs beschafft hat, für die Kreditwürdigkeitsbeurteilung verwendet.[94] Unter dem DSG und der DSGVO ist eine Verwendung von Zahlungserfahrungen und Inkassodaten zur Prüfung der Kreditwürdigkeit sogar selbst dann nicht ausgeschlossen, wenn diese Information bei der Beschaffung der Daten nicht erfolgt ist. Freilich können die Folgen einer Kreditwürdigkeitsprüfung für die betroffene Person negativ und unter Umständen erheblich sein. Gleichzeitig erscheint die Verwendung von Inkassodaten für Kreditwürdigkeitsprüfungen durch eine Auskunftei der «logische nächste Schritt», weshalb es auch den vernünftigen Erwartungen der betroffenen Person entsprechen dürfte, dass Dritte erforderlichenfalls gestützt auf Inkassodaten davor gewarnt werden, ihr gegenüber kreditorische Risiken einzugehen.[95]

Gewiss keine vereinbare Weiterbearbeitung liegt hingegen vor, wenn die Auskunftei im Rahmen von Auskunftsbegehren erlangte Daten wie etwa jene auf einem Personalausweis für die Kreditwürdigkeitsprüfung oder die dafür erforderliche Identifikation speichert und (wieder‑)verwendet.[96] Zum einen besteht kein erkennbarer Zusammenhang zwischen der Bearbeitung zwecks Kreditwürdigkeitsprüfung und der Erfüllung eines Auskunftsbegehrens und zum anderen entspricht eine solche Weiterbearbeitung auch nicht der vernünftigen Erwartung der betroffenen Person.[97]

Daten aus amtlichen öffentlichen Quellen

Der Zweckbindungsgrundsatz gilt auch bei öffentlichen Datenquellen.[98] Bei der Beschaffung aus amtlichen öffentlichen Quellen wie dem Betreibungsregister oder einem Amtsblatt ist deren gesetzlicher Zweck massgebend.[99] So prüfte etwa das Bundesverwaltungsgericht in einem (weiteren) Entscheid betreffend Moneyhouse, ob die private und zeitlich unbeschränkte Weiterverbreitung von unveränderten Handelsregisterdaten vom Zweck des Handelsregisters gedeckt ist (und bejahte dies).[100] Mit vergleichbaren Prüfschritten stellte die spanische Aufsichtsbehörde eine Verletzung des Zweckbindungsgrundsatzes fest, weil die Auskunftei Equifax Daten aus dem Amtsblatt, das der öffentlichen Bekanntmachung von Verwaltungsakten dient, zur Prüfung der Kreditwürdigkeit und zur Betrugsbekämpfung verwendet hatte.[101] Irrelevant ist folglich der (allenfalls transparent gemachte) Zweck bei der Beschaffung aus der öffentlichen Quelle.[102]

Das Betreibungsregister, eine wichtige Quelle für Auskunfteien,[103] dient nicht zuletzt als Instrument des Kreditschutzes für künftige Gläubigerinnen und Geschäftspartner,[104] weshalb die Bearbeitung der darin enthaltenen Daten durch eine Auskunftei (für ihr Hauptgeschäft) vom gesetzlichen Zweck gedeckt ist.[105] Dies sähe ein Generalanwalt des EuGH wohl anders; er erblickte den Zweck des deutschen Insolvenzregisters (im Zusammenhang mit dem Zweckbindungsgrundsatz) in der Erfüllung gesetzlicher Verpflichtungen und befand nicht zuletzt deshalb die Weiterverarbeitung von Daten aus dem Register durch eine Auskunftei als mit dem ursprünglichen Zweck unvereinbar.[106] Nur schon weil der betreffende Generalanwalt selbst in denselben Schlussanträgen zuvor konstatiert hat, dass das Register auch der Information der Gläubigerinnen diene und die von der Auskunftei angebotene Dienstleistung keinen anderen Zweck zu haben scheine,[107] kann dieser Ansicht nicht gefolgt werden.[108]

Das Handelsregister bezweckt namentlich die Erfassung und die Offenlegung rechtlich relevanter Tatsachen über Rechtseinheiten und dient der Rechtssicherheit sowie dem Schutz Dritter, wie dies Art. 927 Abs. 1 Satz 2 OR seit April 2020 festhält. Davor kannte die Handelsregisterverordnung eine nahezu identische Bestimmung, mit Blick auf die das Bundesverwaltungsgericht (im eben erwähnten Entscheid) den Zweck ähnlich umschrieb;[109] zusätzlich hob es die informationelle Erleichterung des Geschäftsverkehrs hervor.[110] Bereits bei einer wegen Datenverknüpfungen über den Informationsgehalt des Handelsregisters hinausgehenden, öffentlichen Personensuche zweifelte das Bundesverwaltungsgericht (unter dem aDSG) die Einhaltung des Zwecks an, liess diese Frage aber offen.[111] Damit deutete es einen strengen Massstab an, den wohl auch der EDÖB anwandte, als er die Bearbeitung von Handelsregisterdaten zur Bonitätsprüfung als eine grundsatzwidrige Zweckänderung einstufte.[112] Ein solcher Massstab für eine Grundsatzverletzung lässt sich allerdings unter dem neuen DSG nicht aufrechterhalten bzw. unter der DSGVO nicht ansetzen. Denn solche Bearbeitungen dienen – auch wenn auf eine andere Weise – ebenfalls der Erleichterung des Geschäftsverkehrs und dem Schutz Dritter, namentlich (potenzieller) Kreditgeberinnen. Insofern besteht eine relevante Verbindung zwischen der Kreditwürdigkeitsprüfung und dem Primärzweck. Zudem wird eine im Handelsregister verzeichnete Person vernünftigerweise erwarten müssen, dass ihre darin veröffentlichten Daten auch für die Prüfung ihrer Kreditwürdigkeit herangezogen werden.[113] Daher erscheinen Bearbeitungen zu diesem Zweck trotz unter Umständen negativer Folgen für die betroffene Person mit dem Primärzweck tendenziell als vereinbar.

Das SHAB dient hauptsächlich demselben Publizitätszweck wie das Handelsregister, enthält aber weitere gesetzlich vorgeschriebene Bekanntmachungen und private Publikationen.[114] Die Veröffentlichungen lassen sich an dieser Stelle nicht im Einzelnen beurteilen, doch dürfte die Bearbeitung zwecks Kreditwürdigkeitsprüfung zumindest von Daten aus jenen Rubriken mit dem (jeweiligen) gesetzlichen Zweck vereinbar sein, die einen Zusammenhang mit der wirtschaftlichen Situation und der Zwangsvollstreckung haben.[115] Zu denken ist namentlich an die Rubriken «Schuldbetreibungen», «Konkurse» und «Nachlassverfahren».[116]

Bei Daten aus kantonalen Amtsblättern wird es mit Blick auf die Entscheidung der spanischen Aufsichtsbehörde, die sich im Kern auch auf das schweizerische Recht übertragen lässt, nicht selten an der Vereinbarkeit fehlen, wenn eine Auskunftei sie zur Prüfung der Kreditwürdigkeit bearbeitet.[117]

Anders zu beurteilen ist die Bearbeitung von beim Bundesamt für Statistik bezogenen statistischen Umgebungsdaten. Hier entstehen erst durch die Verknüpfung der auf einen Hektar zutreffenden Angaben mit einer betroffenen Person (auf der Grundlage ihrer Adresse) Personendaten.[118] Verwendet eine Auskunftei diese Daten zum (unter Einhaltung des Transparenzgrundsatzes) bestimmten bzw. festgelegten Zweck der Kreditwürdigkeitsprüfung, hält sie den Zweckbindungsgrundsatz ein.

Zwischenfazit

Um die vom Aspekt der Bestimmtheit bzw. Festlegung geforderte Präzision des Zwecks für das Kreditscoring zu erfüllen, kann eine Auskunftei etwa festhalten, dass ihre Datenbearbeitungen der Erteilung von Bonitätsauskünften über Privatpersonen und Firmen dienen, um damit ihren Kundinnen zum Schutz vor Zahlungsausfällen die Prüfung der Kreditwürdigkeit zu ermöglichen. Nimmt die Auskunftei diesen Zweck in die Datenschutzerklärung auf ihrer Website auf, erfüllt sie zugleich das Ausdrücklichkeitserfordernis der DSGVO und die Transparenzvorgabe des DSG, die sich aus dem Zweckbindungsgrundsatz (Art. 6 Abs. 3 DSG; Art. 5 Abs. 1 lit. b DSGVO) ergeben.

Das DSG verlangt nicht, dass Bearbeitungswecke legitim sind. Das entsprechende Erfordernis der DSGVO ist für das von den Auskunfteien betriebene Kreditscoring indes unproblematisch. Die Kreditwürdigkeitsprüfung und die Bereitstellung von entsprechenden Auskünften stehen nicht nur im Einklang mit der (europäischen) Rechtsordnung, diese ordnet vielmehr auch verschiedentlich Kreditwürdigkeitsprüfungen an, erforderlichenfalls unter Zuhilfenahme von Auskunfteien. Angesichts der Interessenlage der involvierten Akteure und der Öffentlichkeit, die nicht zuletzt der EuGH schon verschiedentlich anerkannt hat, ist zudem von einem angemessenen Gleichgewicht zwischen den widerstreitenden Interessen auszugehen.

Die Zweckbindung i.e.S. verlangt, dass die Auskunftei Daten nur auf eine Weise bearbeitet, die mit dem Primärzweck vereinbar ist. Die Vereinbarkeit beurteilt sich sowohl unter dem DSG als auch unter der DSGVO nach einem Kompatibilitätstest, der mehrere Kriterien umfasst und dabei den vernünftigen Erwartungen eines Durchschnittsadressaten besonderes Gewicht beimisst. Für die Zweckvereinbarkeit von Bearbeitungen von Daten aus privaten Quellen ist entscheidend, welche Bearbeitungszwecke bei der Beschaffung erkennbar waren. Hält die Kreditgeberin in ihrer Datenschutzerklärung fest, dass sie Zahlungserfahrungen erfasst, um diese an eine (namentlich genannte) Auskunftei zur Prüfung der Kreditwürdigkeit zu übermitteln, und implizit oder explizit, dass die Auskunftei diese Daten an berechtigte Dritte bekanntgeben kann, bearbeitet die Auskunftei die betreffenden Daten für ihr Auskunfteigeschäft im Rahmen des Primärzwecks. Bei Daten aus amtlichen öffentlichen Quellen ist deren gesetzlicher Zweck massgebend. Deshalb sind Bearbeitungen von Daten aus dem Betreibungsregister für Kreditwürdigkeitsprüfungen mit dem Primärzweck vereinbar, während dies etwa bei Daten aus Publikationen des SHAB von der fraglichen Rubrik abhängt.

Zum DSG und zur DSGVO vgl. George, S. 286; zum aDSG vgl. Glass, S. 125 f.; zur DSGVO Herbst, in: Kühling/Buchner, Art. 5 N 22; zur DSRL Art.‑29‑DSG, Opinion purpose limitation, S. 11. ↵

Zum DSG und zur DSGVO George, S. 286; zum DSG Arioli, Rn. 18; zur DSGVO Koning, S. 62; vgl. auch EDSA, Leitlinien Verantwortlicher und Auftragsverarbeiter, Rn. 33 ff.; zur DSRL vgl. Art.‑29‑DSG, Opinion purpose limitation, S. 11. ↵

Zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 18. ↵

Zur DSGVO Lorentz, S. 162 f. und 238; vgl. auch Committee of Ministers, S. 38, wonach Profiling statt ein Zweck im Sinne der (noch nicht modernisierten) Konvention 108 ein technischer Vorgang sei, der sich für unterschiedliche Zwecke einsetzen lasse. ↵

Zum aDSG EDÖB, Digitec Galaxus, Rn. 113. ↵

Zum DSG a.M. wohl Rosenthal, Jusletter IT 2022, Rn. 9 f.; Rosenthal, Jusletter 2023, Rn. 26, wonach das Training eines KI-Modells in aller Regel einen Bearbeitungszweck darstelle; zur DSGVO vgl. Lorentz, S. 313 und 316; a.M. wohl ICO, AI, S. 30. ↵

Mit diesem Begriff Culik/Döpke, S. 227; George, S. 293. ↵

Zum DSG PC LPD-Francey, Art. 6 N 72; CR LPD-Meier/Tschumy, Art. 5 N 47; zum aDSG und zur DSGVO Thouvenin et al., JIPITEC 2019, Rn. 81; zur DSGVO Biega/Finck, S. 48; zur DSRL Art.‑29‑DSG, Opinion purpose limitation, S. 11 f. ↵

Diese Vorgabe wird teils als Element der Zweckbestimmung aufgefasst (zur DSGVO Biega/Finck, S. 48; de Terwangne, in: Kuner et al., S. 315; Monreal, S. 509), teils aber als separater Teilgehalt des Grundsatzes verstanden (zum DSG und zur DSGVO vgl. George, S. 285; zur DSGVO Tamò-Larrieux, S. 90; zur DSRL Bygrave, Data Privacy Law, S. 155). Diese Vorgabe separat zu betrachten, ist vorliegend angezeigt, weil sie dem DSG – wie zu zeigen sein wird (vgl. dazu unten Teil 3, C.III.3.1) – unbekannt ist und in der DSGVO als einziger Teilgehalt eine inhaltliche Vorgabe an den Zweck enthält. ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 5 N 50; zum aDSG BGE 125 II 473 E. 4b; EDÖB, Moneyhouse, Rn. 76; zur DSGVO Richter, S. 735; Thouvenin, Forschung, S. 37. ↵

Vgl. dazu unten Teil 3, C.IV.2. ↵

Botschaft Totalrevision DSG, S. 7025; vgl. auch CR LPD-Meier/Tschumy, Art. 5 N 50; Métille, S. 10. ↵

Zur DSRL Art.‑29‑DSG, Opinion purpose limitation, S. 15. Zur DSGVO vgl. Biega/Finck, S. 48; Koning, S. 62; Monreal, S. 509. ↵

BVGer Österreich, W211 2188383-1/9E vom 10. Dezember 2018, S. 11. ↵

Hält der Verantwortliche, um ein etwas überzeichnetes Beispiel zu geben, fest, dass er Daten verarbeitet, «um Marketing zu betreiben» statt schlicht «zu Marketingzwecken», ist der Zweck nicht präziser. ↵

Zum DSG und zur DSGVO vgl. George, S. 289; zum DSG Botschaft Totalrevision DSG, S. 7025, wonach ein Ausgleich zwischen den Interessen der betroffenen Personen, des Verantwortlichen bzw. des Auftragsbearbeiters und der Gesellschaft erfolgen müsse; zur DSGVO Biega/Finck, S. 48; Schantz, in: Wolff et al., Art. 5 N 15, wonach insb. die Art der verarbeiteten Daten und die aus der Verarbeitung resultierenden Gefahren zu berücksichtigen seien; zur DSRL Art.‑29‑DSG, Opinion purpose limitation, S. 16. ↵

Zum DSG und zur DSGVO George, S. 287; zur DSGVO vgl. Herbst, in: Kühling/Buchner, Art. 5 N 35; Hoofnagle et al., S. 77. ↵

Zur DSGVO Biega/Finck, S. 49. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2021, Rn. 70. ↵

Roßnagel et al., S. 458, und Roßnagel, in: Simitis et al., Art. 5 N 89, nennen als Beispiele «Reise nach Mallorca im Mai 2015» oder «Bearbeitung des Antrags auf Sondernutzungsgenehmigung v. 15.7.2015». Damit stellen die Autoren m.E. zu strenge Anforderungen an die Festlegung. Sie leiten diese denn auch aus einem falschen Verständnis des Eindeutigkeitserfordernisses (vgl. Roßnagel et al., S. 458) ab (vgl. dazu unten Teil 3, C.III.2.2). ↵

Dieser Zweck, vereinfacht die «Kreditwürdigkeitsprüfung», umfasst auch die Identifikation der betroffenen Person, zumal die Identifikation durch die Auskunftei (im Kontext des Kreditscorings) letztendlich stets der Kreditwürdigkeitsprüfung dient. Andernfalls wäre – was wenig sachgerecht erschiene – auch bei (den vielen) anderen Zwecken, die eine Identifikation voraussetzen, z.B. die Abwicklung des Bankgeschäfts (zum aDSG vgl. EDÖB, Cockpit und Bicicletta, S. 18), die Identifikation als separater Zweck zu betrachten. ↵

Vgl. EDÖB, Teledata, S. 26, wo von «Bonitäts- und Wirtschaftsauskünften» sowie etwas unpräzise vom Schutz vor «zahlungsunfähigen Personen» die Rede ist und die Kreditwürdigkeitsprüfung wohl zu eng auf Personen eingeschränkt wird, mit denen ein Vertrag abgeschlossen werden soll (vgl. dazu unten Teil 3, C.IV.2.2.b.aa). ↵

Bentzen, in: Kosta/Leenes, S. 292; de Terwangne, in: Kuner et al., S. 315; Frenzel, in: Paal/Pauly, Art. 5 N 27; vgl. auch Kramer, in: Auernhammer, Art. 5 N 26. ↵

Zur DSRL Art.‑29‑DSG, Opinion purpose limitation, S. 17 (Fn. 42), die auf die lateinische Herkunft des in der englischen, französischen und italienischen Sprachfassung verwendeten «explicit», «explicite» bzw. «esplicite» und deren Ableitung aus dem Verb «explicare» hinweist, das sich als «erklären» übersetzen lässt. ↵

Herbst, in: Kühling/Buchner, Art. 5 N 35; Monreal, S. 509; Schantz, in: Wolff et al., Art. 5 N 16; vgl. auch Biega/Finck, S. 48; Charlet, S. 49. ↵

Vgl. Monreal, S. 509; Schantz, in: Wolff et al., Art. 5 N 16. ↵

Vgl. Herbst, in: Kühling/Buchner, Art. 5 N 32; Reimer, in: Sydow/Marsch, Art. 5 N 21; zur DSRL Art.‑29‑DSG, Opinion purpose limitation, S. 17. ↵

EuGH, Rs. C‑77/21 vom 20. Oktober 2022, Digi, Ziff. 27, wonach der Zweckbindungsgrundsatz u.a. erfordere, dass «die Zwecke dieser Verarbeitung klar angegeben sein müssen». ↵

Dabei handelt es sich nicht um die einzige mögliche Umsetzung (vgl. dazu unten Teil 3, C.III.2.3). Sie liegt indessen nahe, da der Verantwortliche grundsätzlich zu einer Information über den Zweck verpflichtet ist (vgl. dazu oben Teil 3, C.II.2.1). ↵

Dies gilt jedenfalls, wenn – wie nach vorliegend vertretener Ansicht (vgl. dazu oben Teil 3, C.II.2.1.a.aa) – der Transparenzgrundsatz aus Art. 6 Abs. 3 DSG abgeleitet und die darin vorgesehene Voraussetzung der Erkennbarkeit dem Transparenzgrundsatz zugeschrieben wird. Andernfalls liesse sich die Erkennbarkeit nach DSG gleich wie die Eindeutigkeit nach DSGVO verstehen (vgl. de Terwangne, in: Epiney et al. 2022, S. 64). ↵

Im Gegenteil hält die Botschaft Totalrevision DSG, S. 7025, fest, dass die neue Formulierung im Vergleich zum geltenden Recht keine materielle Änderung zur Folge habe. ↵

So George, S. 286. ↵

Vgl. PC LPD-Francey, Art. 6 N 87; strenger BSK DSG-Bühlmann/Reinle, Art. 6 N 108 und 114, wonach die Erkennbarkeit aus den Umständen nicht mehr einfach zu bejahen sein dürfte. ↵

Art. 19 Abs. 2 lit. b DSG; Art. 13 Abs. 1 lit. c und Art. 14 Abs. 1 lit. c DSGVO. ↵

Art. 20 DSG; Art. 13 Abs. 4 und Art. 14 Abs. 5 DSGVO. ↵

Vgl. dazu oben Teil 3, C.II.2.1.a.aa und C.II.2.1.b.bb. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 112; zum aDSG vgl. Epiney, in: Belser et al., § 9 N 32; HK aDSG-Rosenthal, Art. 4 N 36; zur DSGVO Herbst, in: Kühling/Buchner, Art. 5 N 32; Kramer, in: Auernhammer, Art. 5 N 28; Schantz, in: Wolff et al., Art. 5 N 14. ↵

Schantz, in: Wolff et al., Art. 5 N 14; vgl. auch Reimer, in: Sydow/Marsch, Art. 5 N 21; Roßnagel, in: Simitis et al., Art. 5 N 75, der zugunsten der Rechtssicherheit die Schriftlichkeit empfiehlt. ↵

Zur DSGVO und zum DSG vgl. Charlet, S. 49, der allerdings (in Bezug auf das DSG zu Unrecht) auf die Rechenschaftspflicht verweist; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 36. ↵

Zum DSG PC LPD-Francey, Art. 6 N 73; CR LPD-Meier/Tschumy, Art. 5 N 50; Widmer et al., S. 40; zum aDSG vgl. EDÖB, Teledata, S. 25; zur DSGVO EG 39 Satz 6 DSGVO; Herbst, in: Kühling/Buchner, Art. 5 N 31; Voigt, in: Taeger/Gabel, Art. 5 N 23; vgl. auch Biega/Finck, S. 48. ↵

Zur DSGVO und zum DSG vgl. Charlet, S. 49; zur DSGVO Herbst, in: Kühling/Buchner, Art. 5 N 33; Roßnagel, in: Simitis et al., Art. 5 N 75; zur DSRL Art.‑29‑DSG, Opinion purpose limitation, S. 18. ↵

Herbst, in: Kühling/Buchner, Art. 5 N 34; Kramer, in: Auernhammer, Art. 5 N 28; Roßnagel, in: Simitis et al., Art. 5 N 75. ↵

Zum DSG Rosenthal, Jusletter 2020, Rn. 145; zur DSGVO Datenschutzstelle FL, S. 19. Nicht ausschliessen lässt sich allerdings im schweizerischen Recht, dass der Verantwortliche der betroffenen Person gestützt auf das nicht abschliessend geregelte Auskunftsrecht Einsicht in das Bearbeitungsverzeichnis gewähren muss (Art. 25 Abs. 2 DSG). ↵

Zum aDSG BVGer, A‑3548/2018 vom 19. März 2019, E. 5.4.3; vgl. auch SHK aDSG-Baeriswyl, Art. 4 N 34; Epiney, in: Belser et al., § 9 N 31; Meier, Rn. 722; HK aDSG-Rosenthal, Art. 4 N 32. ↵

SPK-NR vom 27./28. Juni 2019, S. 1 ff. ↵

SPK-NR vom 27./28. Juni 2019, S. 6, wobei «legitim» mit «rechtmässig» gleichgesetzt wurde. ↵

SPK-NR vom 27./28. Juni 2019, S. 6 und 49. ↵

Amtl. Bull. NR 2019 S. 1784, 1786 und 1789 (Voten Glättli, Fluri und Piller Carrard). ↵

Vgl. dazu oben Einleitung, C.II.1.2.a. ↵

Zum DSG vgl. BSK DSG-Bühlmann/Reinle, Art. 6 N 107 und 110; a.M. Domenig et al., Rn. 127 und 136; offenbar auch Charlet, S. 49; George, S. 284 f. und 291; vgl. auch SHK DSG-Baeriswyl, Art. 6 N 7 und 37, wonach der Zweckbindungsgrundsatz einen rechtmässigen Zweck verlange und Datenbearbeitungen zu rechtswidrigen Zwecken gegen den Rechtmässigkeitsgrundsatz verstossen würden; zum aDSG vgl. Epiney, in: Belser et al., § 9 N 26, wonach eine Datenbearbeitung zu einem unrechtmässigen Zweck von Vornherein unverhältnismässig sei. ↵

Im Übrigen folgt auch nicht aus dem Rechtmässigkeitsgrundsatz (Art. 6 Abs. 1 DSG), dass auf die Verfolgung eines rechtswidrigen Zwecks gerichtete Datenbearbeitungen unrechtmässig und damit persönlichkeitsverletzend sind (vgl. dazu unten Teil 3, C.VIII.2.). ↵

Heberlein, in: Ehmann/Selmayr, Art. 5 N 22; Herbst, in: Kühling/Buchner, Art. 5 N 37; Monreal, S. 509; Roßnagel, in: Simitis et al., Art. 5 N 90 f.; Schantz, in: Wolff et al., Art. 5 N 17; Voigt, in: Taeger/Gabel, Art. 5 N 25. ↵

Dieses umfasst gemäss der Art.‑29‑DSG, Opinion purpose limitation, S. 20, alle Formen des Rechts, das vom zuständigen Gericht berücksichtigt wird. ↵

Biega/Finck, S. 48; Koning, S. 62; zur DSRL vgl. Bygrave, Data Privacy Law, S. 155. Vgl. eingehend George, S. 290 ff. ↵

Vgl. Art. 5 Abs. 1 lit. b E-DSGVO Rat. ↵

Monreal, S. 509. ↵

Vgl. George, S. 291 f.; Specht, S. 1043. ↵

Explanatory Report Convention 108, Rn. 48; vgl. auch de Terwangne, in: Kuner et al., S. 315; Koning, S. 64. ↵

Bergkamp/Dhont, S. 81; vgl. auch Debet et al., Rn. 703 ff. ↵

Vgl. dazu oben Einleitung, C.II.1.2.a. ↵

Biega/Finck, S. 49. ↵

Vgl. Art. 31 Abs. 2 lit. c DSG; EG 55 und 59 sowie Art. 18 und Art. 21 RL 2014/17/ЕU (betr. Wohnimmobilienkredite); EG 57 und Art. 18 Abs. 3 RL (EU) 2023/2225 bzw. aktuell noch EG 28 und Art. 8 RL 2008/48/EG (betr. Verbraucherkredite). ↵

EG 71 Satz 1 DSGVO; vgl. dazu unten Teil 4, D.I.1. ↵

Vgl. dazu oben Teil 1, B.I.2. und B.I.3. ↵

Zum DSG Rosenthal, sic! 2021, S. 172; zur DSGVO Culik/Döpke, S. 228 ff. ↵

Vgl. Botschaft Totalrevision DSG, S. 7025, die sich auf den Entwurf der Konv. 108+ bezieht; Rosenthal, sic! 2021, S. 172, der sich auf die DSGVO bezieht. ↵

Zum DSG George, S. 293 f.; Métille, S. 10; zum aDSG EDÖB, Teledata, S. 25; zur DSGVO Frenzel, in: Paal/Pauly, Art. 5 N 29; Herbst, in: Kühling/Buchner, Art. 5 N 23; Roßnagel, in: Simitis et al., Art. 5 N 93; a.M. Thüsing et al., RDV 2023, S. 89 f. ↵

Unter einer Weiterverarbeitung versteht der EuGH, Rs. C‑77/21 vom 20. Oktober 2022, Digi, Ziff. 31, «jede Verarbeitung personenbezogener Daten, die nach der ursprünglichen Verarbeitung – der ursprünglichen Erhebung der Daten – erfolgt, unabhängig von ihrem Zweck». ↵

Bearbeitet der Verantwortliche Daten zu einem anderen Zweck, hat er die betroffenen Personen darüber zu informieren (zum DSG vgl. BSK DSG-Bühlmann/Reinle, Art. 6 N 137; zum aDSG EDÖB, Moneyhouse, Rn. 76; zur DSGVO vgl. Art. 13 Abs. 3 und Art. 14 Abs. 4 DSGVO). ↵

Zum DSG vgl. PC LPD-Francey, Art. 6 N 85; Métille, S. 10; zur DSGVO vgl. Schulz, in: Gola/Heckmann, Art. 6 N 101. ↵

Zum aDSG vgl. Epiney, in: Belser et al., § 9 N 36; HK aDSG-Rosenthal, Art. 4 N 41; ferner Meier, Rn. 730. ↵

Botschaft Totalrevision DSG, S. 7025; vgl. auch Métille, S. 10. ↵

Vgl. BSK DSG-Bühlmann/Reinle, Art. 6 N 125; CR LPD-Meier/Tschumy, Art. 6 N 55. ↵

Die Rechtsvorschrift muss in einer demokratischen Gesellschaft eine notwendige und verhältnismässige Massnahme zum Schutz der in Art. 23 Abs. 1 DSGVO genannten Ziele darstellen (Art. 6 Abs. 4 DSGVO). ↵

Albers/Veit, in: Wolff et al., Art. 6 N 100; de Terwangne, in: Kuner et al., S. 316; Lorentz, S. 308. ↵

Vgl. Rosenthal, Jusletter 2020, Rn. 36. ↵

Vgl. George, S. 294; Rosenthal, sic! 2021, S. 172, der (ebenfalls) von einer Erweiterung im Gegensatz zum alten Recht ausgeht. ↵

Botschaft Totalrevision DSG, S. 7025; vgl. auch Explanatory Report Convention 108, Rn. 49; Métille, S. 10. ↵

Die Botschaft Totalrevision DSG, S. 7025, verweist auf Rn. 47 des Erläuternden Berichts zum Entwurf der Konv. 108+; dies entspricht Explanatory Report Convention 108, Rn. 49, wo sich auch die Kriterien zur Beurteilung der Vereinbarkeit finden. ↵

Vgl. CR LPD-Meier/Tschumy, Art. 6 N 54; ferner BSK DSG-Bühlmann/Reinle, Art. 6 N 125. ↵

Explanatory Report Convention 108, Rn. 49. ↵

Dieses Kriterium zieht den Kreis der vereinbaren Weiterverarbeitungen umso enger, je sensibler die betreffenden Daten sind (zur DSGVO vgl. Frenzel, in: Paal/Pauly, Art. 6 N 49; zur DSRL Art.‑29‑DSG, Opinion purpose limitation, S. 25). ↵

Gemeint sind damit gemäss Art.‑29‑DSG, Opinion purpose limitation, S. 25, zunächst an die Weiterverarbeitung anknüpfende Entscheidungen und Handlungen (auch Dritter) sowie allfällige diskriminierende Auswirkungen. Überdies sind auch die Art und der Kontext der Weiterverarbeitung – etwa ob die Daten Dritten übermittelt oder mit anderen Daten verknüpft werden – und deren Vorhersehbarkeit zu berücksichtigen (zur DSGVO vgl. Buchner/Petri, in: Buchner/Kühling, Art. 6 N 190; Monreal, S. 511). ↵

Garantien wie etwa die Pseudonymisierung oder die Verschlüsselung der Daten sind nicht zwingend erforderlich, doch je wirksamer sie sind, desto eher gilt die Weiterverarbeitung als vereinbar (zur DSGVO Reimer, in: Sydow/Marsch, Art. 6 N 101; vgl. auch Monreal, S. 511; Schulz, in: Gola/Heckmann, Art. 6 N 141). ↵

Umstritten ist, ob Art. 6 Abs. 4 DSGVO letztlich nur eine Auslegungsregel für den Zweckbindungsgrundsatz darstellt (so statt vieler Buchner/Petri, in: Kühling/Buchner, Art. 6 N 183 f.; Culik/Döpke, S. 229; Lorentz, S. 310 f.) oder ob wegen der Bestimmung zudem Weiterverarbeitungen, die mit dem ursprünglichen Zweck vereinbar sind, keiner eigenständigen Rechtsgrundlage (i.S.v. Art. 6 Abs. 1 UAbs. 1 DSGVO) bedürfen (so statt vieler Frenzel, in: Paal/Pauly, Art. 5 N 31; Monreal, S. 510; Wolff, in: Schantz/Wolff, Rn. 411). Da der EuGH zu betonen pflegt, dass Art. 6 Abs. 1 UAbs. 1 DSGVO eine abschliessende Liste der Fälle rechtmässiger Verarbeitungen enthalte (vgl. dazu oben Teil 2, C.I.1.), ist zu bezweifeln, ob sich letztere Ansicht gerichtlich durchsetzen lässt. Ohnehin dürfte die Frage vorliegend nicht von grosser Bedeutung sein, weil der Kompatibilitätstest ähnliche Kriterien, welche die Lehre zuweilen ebenfalls als Interessenabwägung bezeichnet (vgl. George, S. 298 f.; Kramer, in: Auernhammer, Art. 6 N 100 und 107), zu prüfen aufgibt wie die für Auskunfteien (üblicherweise) relevante Rechtsgrundlage in Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (vgl. dazu unten Teil 3, D.IV.2.2). Soweit eine Auskunftei Daten zu einem anderen Zweck weiterverarbeitet, dürfte daher kaum je die Kompatibilität zu bejahen, aber ein berechtigtes Interesse i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO zu verneinen sein. ↵

EuGH, Rs. C‑77/21 vom 20. Oktober 2022, Digi, Ziff. 36 und 44, wonach es nicht von den legitimen Erwartungen der Newsletter-Abonnenten abweiche und ein konkreter Zusammenhang mit der Erfüllung eines mit den Abonnenten geschlossenen Vertrags bestehe, wenn ein Internetanbieter Teile einer Datenbank, in der sie verzeichnet seien, kopiere und darauf Tests durchführe, um Fehler zu beheben. ↵

Botschaft Totalrevision DSG, S. 7025, die einerseits unerwartete Zwecke ausschliesst, andererseits Weiterverarbeitungen im Rahmen der anfänglich erkennbaren Zweckbestimmung als vereinbar einstuft. ↵

Zum DSG vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 138; Rosenthal, sic! 2021, S. 172, der auf den Rahmen abstellt, «was vernünftigerweise […] zulässig sein muss»; zur DSGVO George, S. 297; Lorentz, S. 313; Plath, in: Plath, Art. 6 N 164. ↵

Zum DSG vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 138; zur DSGVO Lorentz, S. 312; vgl. auch Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 12; Schulz, in: Gola/Heckmann, Art. 6 N 138. ↵

Zur DSGVO Lorentz, S. 312; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 188. ↵

Zur DSGVO Zarsky, S. 1006. ↵

Zur DSGVO vgl. DSB, D124.3816 2023-0.193.268 vom 24. März 2023, D.2., wonach die CRIF GmbH (Österreich) den Zweckbindungsgrundsatz verletzt habe, indem sie (zumindest) Name, Adresse und Geburtsdatum, die von einem Adressverlag zu Direktmarketingzwecken erhoben und ihr übermittelt worden seien, für Kreditwürdigkeitsbeurteilungen verwendet habe. ↵

Zur DSGVO vgl. Schulz, in: Gola/Heckmann, Art. 6 N 101, wonach die Übermittlung auch als Form der kompatiblen Weiterverarbeitung grundsätzlich zulässig sei, falls die Kreditgeberin im Zeitpunkt der Erhebung nicht transparent gemacht habe, bei Zahlungsstörungen Daten an Auskunfteien übermitteln zu wollen. ↵

Zum aDSG vgl. aber Cellina/Geissbühler, Jusletter 2015, Rn. 55. ↵

Zur DSGVO Krämer, NJW 2018, S. 349; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 101; ferner BVGer Österreich, W176 2265088-1/10E vom 6. Oktober 2023, S. 27, wonach es der allgemeinen Lebenserfahrung entspreche, dass bei Ignorieren mehrfacher Zahlungsaufforderungen eines Inkassounternehmens diese Zahlungserfahrungen für Kreditwürdigkeitsprüfungen an Auskunfteien übermittelt würden. ↵

Zur DSGVO DSB, D124.3614 2022-0.522.983 vom 2. Februar 2023, D.1.4.; Heinemann/Wäßle, S. 601. ↵

Zur DSGVO DSB, D124.3614 2022-0.522.983 vom 2. Februar 2023, D.1.4. ↵

Zum aDSG EDÖB, Adressdaten im Internet, S. 18; vgl. auch BVGE 2008/16 E. 5.2; zur DSGVO vgl. AEPD, PS/00240/2019 vom 26. April 2021, S. 132. ↵

Zum DSG vgl. EDÖB, Adressdaten im Internet, S. 18; Siffert, S. 8. Die zuständige Behörde beschafft die erforderlichen Daten zum gesetzlichen Zweck; dieser Zweck haftet den Daten sodann bei der Veröffentlichung bzw. Bekanntgabe an (vgl. dazu oben Teil 3, C.III.4.1.a). ↵

BVGE 2008/16 E. 5.2.1 ff. ↵

AEPD, PS/00240/2019 vom 26. April 2021, S. 134 ff. ↵

Equifax berief sich vergeblich darauf, dass sie die Daten aus dem Amtsblatt zwecks Prüfung der Kreditwürdigkeit beschafft habe (AEPD, PS/00240/2019 vom 26. April 2021, S. 142). ↵

Vgl. dazu oben Teil 1, E.II.1. ↵

Botschaft Revision SchKG 1991, S. 28 f.; Baumgartner, in: Portmann et al., S. 35; KuKo SchKG-Möckli, Art. 8a N 2; BSK SchKG-Peter, Art. 8a N 1. ↵

Zum aDSG vgl. Schäfer, in: Epiney et al. 2011, S. 63, wonach Auskunfteien Betreibungsdaten ohne Weiteres bearbeiten, insb. speichern, dürften, da sie (bzw. ihre Kundinnen) in der Regel über einen entsprechenden Interessennachweis verfügen würden; zur DSGVO vgl. von Lewinski/Pohl, S. 21, die auf öffentliche Register Deutschlands hinweisen, die (ebenfalls) der Kreditdelinquenzprophylaxe dienen. ↵

GA Pikamäe, Rs. C-26/22 und C‑64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 80 ff. Der EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), äusserte sich dazu nicht. ↵

GA Pikamäe, Rs. C-26/22 und C‑64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 64 und 71. ↵

Auch die übrigen Argumente des Generalanwalts überzeugen kaum, z.B. jenes, wonach die Verbindung zwischen den Zwecken (gesetzliche Aufgabe zum einen und gewerbliche Tätigkeit zum anderen) schwach sei. Bei dieser Logik dürften auch etwa Daten aus dem Grundbuch nicht für gewerbliche Tätigkeiten verwendet werden, zumal der Generalanwalt die Kriterien in Art. 6 Abs. 4 DSGVO zu Unrecht sogar als kumulative Voraussetzungen betrachtet (vgl. eingehend Henseler, Zulässigkeit der Speicherung, o.S.). ↵

BVGE 2008/16 E. 5.2.1, wonach das Handelsregister «die zentrale Funktion [hat], die für den Handel wissenswerten, rechtlich erheblichen Verhältnisse und Tatsachen von privaten Rechtssubjekten amtlich festzulegen, festzuhalten und zu veröffentlichen, damit diese im Rechtsverkehr als bekannt vorausgesetzt werden können»; vgl. auch EDÖB, Moneyhouse, Rn. 78; Siffert, S. 2. ↵

BVGE 2008/16 E. 5.2.3. ↵

BVGE 2008/16 E. 5.2.8. ↵

Zum aDSG vgl. EDÖB, Moneyhouse, Rn. 78 f. ↵

Zum aDSG vgl. Hofer, in: Passadelis et al., Rn. 16.55; Botschaft DSG 1988, S. 461. Ob sämtliche im Handelsregister enthaltenen Daten für die Kreditwürdigkeitsprüfung geeignet und erforderlich sind, ist eine andere Frage (vgl. dazu unten Teil 3, C.IV.3.2.b). ↵

Zum aDSG BVGE 2008/16 E. 5.2.4 und insb. 5.2.7. ↵

Zum aDSG a.M. wohl EDÖB, Moneyhouse, Rn. 76, wonach die Publikationen im SHAB der Erfassung und Offenlegung rechtlich relevanter Tatsachen und dem Schutz Dritter im Rahmen zwingender Vorschriften des Zivilrechts dienen würden und daher eine Bearbeitung der in den Publikationen enthaltenen Daten zur Bonitätsprüfung eine Zweckänderung darstelle. ↵

Zu den Rubriken des SHAB vgl. Anhang 1 VSHAB. ↵

Vgl. AEPD, PS/00240/2019 vom 26. April 2021, S. 134 ff. ↵

Vgl. dazu oben Teil 2, A.I.1.1.b. ↵

26

Verhältnismässigkeit

Allgemeines

Der aus dem öffentlichen Recht rezipierte[1] Verhältnismässigkeitsgrundsatz in Art. 6 Abs. 2 DSG verlangt, dass Datenbearbeitungen mit Blick auf den vom Verantwortlichen bestimmten[2] Zweck[3] die Voraussetzungen der Eignung, der Erforderlichkeit und der Zumutbarkeit erfüllen.[4] Insbesondere erlaubt der Verhältnismässigkeitsgrundsatz, wie die Botschaft zur Totalrevision des DSG festhält, nur Daten zu bearbeiten, die zur Erreichung des Zwecks der Bearbeitung geeignet und erforderlich sind.[5] Im Rahmen der Zumutbarkeitsprüfung muss sich ergeben, dass die fragliche Datenbearbeitung (unter Berücksichtigung ihres Zwecks und ihrer Mittel) in einem angemessenen Verhältnis zum damit verbundenen Eingriff in die Privatsphäre der betroffenen Person steht.[6]

Die DSGVO kennt die Verhältnismässigkeit dem Wortlaut nach nicht als Grundsatz. Der Rat schlug im Gesetzgebungsverfahren eine Bestimmung vor, welche die Verhältnismässigkeit aufgenommen hätte, konnte sich damit aber nicht durchsetzen.[7] Das später erlassene Prinzip der Datenminimierung verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Mass beschränkt sein müssen (Art. 5 Abs. 1 lit. c DSGVO). Ferner erlaubt die Speicherbegrenzung Daten nur so lange in einer Form, welche die Identifikation der betroffenen Person ermöglicht, zu speichern, wie es für die Verarbeitungszwecke erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Mit Ausnahme der Einwilligung setzen zudem alle Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO die Erforderlichkeit der Datenverarbeitung voraus.

Ob sich vor diesem Hintergrund für die DSGVO ein Verhältnismässigkeitsgrundsatz (nach schweizerischem Verständnis) ableitet, ist in der Lehre nicht unumstritten. Während ein Teil der Lehre und der EuGH[8] in der Datenminimierung einen Ausdruck der Verhältnismässigkeit erblicken,[9] grenzt ein anderer Teil die beiden Prinzipien inhaltlich voneinander ab.[10] Wiederum andere halten (zuweilen ohne nähere Begründung) dafür, dass die DSGVO ebenfalls den Grundsatz der Verhältnismässigkeit vorsehe.[11] Aus der Gegenüberstellung der einzelnen Elemente der Verhältnismässigkeit geht hervor, dass sich der DSGVO jedenfalls vergleichbare Vorgaben entnehmen lassen.

Elemente der Verhältnismässigkeit

Eignung

An das in der Verhältnismässigkeit enthaltene Erfordernis der Eignung stellt die bundesgerichtliche Rechtsprechung bei behördlichen Massnahmen keine hohen Anforderungen.[12] Unverhältnismässig sind deswegen nur Massnahmen, die sich als völlig ungeeignet zur Zielerreichung erweisen oder keinerlei Wirkung im Hinblick auf den angestrebten Zweck entfalten.[13] In Bezug auf die Eignung von Datenbeschaffungen äusserte sich die Eidgenössische Datenschutzkommission[14] zumindest implizit strenger: Ohne nähere Begründung ihres Massstabs stufte sie die Erhebung von Drogentests bei Mitarbeitenden durch einen privaten Verantwortlichen als ungeeignet ein, da zum einen die Erhebung das angestrebte Ziel «nicht einwandfrei erreicht» und zum anderen damit «über das Ziel hinaus geschossen wird».[15] Auch der EDÖB befand kürzlich eine Datenbearbeitung für unverhältnismässig, da sie zufolge einer (angeblich) hohen Fehlerquote nicht hinreichend geeignet sei.[16]

Nachdem die Verhältnismässigkeit aus dem öffentlichen Recht rezipiert wurde, leuchtet nicht ein, weshalb im Datenschutzrecht und insbesondere für private Personen ein strengerer Massstab gelten sollte.[17] So zieht denn auch das Bundesverwaltungsgericht bei der Prüfung des datenschutzrechtlichen Bearbeitungsgrundsatzes Lehre und Rechtsprechung zum (allgemeinen) öffentlich-rechtlichen Verhältnismässigkeitsgrundsatz heran.[18] Und das Bundesgericht hält fest, dass der «in Art. 5 Abs. 2 BV verankerte Grundsatz staatlichen Handelns […] im Anwendungsbereich des Datenschutzgesetzes auch für Private verbindlich» sei.[19] Demnach wird auch für den Verhältnismässigkeitsgrundsatz in Art. 6 Abs. 2 DSG genügen müssen, dass sich eine Datenbearbeitung als nicht völlig ungeeignet zur Zielerreichung erweist. Wie im (übrigen) öffentlichen Recht ist allerdings der Wirkungsgrad einer Massnahme auch im Datenschutzrecht für die Erforderlichkeit sowie die Zumutbarkeit relevant: Je wirkungsvoller eine Massnahme bzw. Datenbearbeitung ist, desto eher erweist sie sich als bestgeeignet und gegenüber den Interessen der betroffenen Person als gerechtfertigt.[20]

Auch aus der DSGVO, konkret der von Art. 5 Abs. 1 lit. c DSGVO verlangten Erheblichkeit, lässt sich das Erfordernis ableiten, dass die verarbeiteten Daten für die Erreichung des Zwecks geeignet sein müssen.[21] Dabei setzt die Lehre – wie unter dem DSG – überwiegend keine hohen Anforderungen an die Eignung; sie lässt es genügen, wenn die Daten den festgelegten Zweck fördern[22] bzw. sie zur Erreichung des Verarbeitungszwecks beitragen.[23] Nach einer (nicht weiter begründeten) Lehrmeinung sei hingegen «erheblich» strenger als «geeignet» zu verstehen, sodass nur ein entscheidender Beitrag zur Zweckerreichung genüge.[24] Nachdem die englische Sprachfassung bloss verlangt, dass die Daten «relevant», die französische Sprachfassung, dass sie «pertinentes» sind, liegt es auch unter der DSGVO nahe, einen beliebigen Beitrag an die Zweckerfüllung ausreichen zu lassen.

Wie unter schweizerischem Recht müssen nicht nur die Daten, sondern auch deren Verarbeitungen für den verfolgten Zweck geeignet sein. Dies ergibt sich zwar nicht unmittelbar aus (dem Wortlaut von) Art. 5 Abs. 1 lit. c DSGVO, lässt sich aber zumindest aus der Voraussetzung der Erforderlichkeit ableiten, wie sie Art. 6 Abs. 1 DSGVO – die Einwilligung ausgenommen – für die Rechtmässigkeit einer Verarbeitung vorsieht.[25] Ist eine Verarbeitung nicht einmal tauglich, die Zweckerreichung zu erleichtern, erweist sie sich nicht als erforderlich.[26] Das Eignungserfordernis klingt denn auch im üblichen Textbaustein des EuGH zur Erforderlichkeit an.[27]

Erforderlichkeit

Eine Massnahme – oder im Datenschutzrecht eine Datenbearbeitung – hat zu unterbleiben, wenn eine gleich geeignete, aber mildere Massnahme[28] für den angestrebten Erfolg ausreichen würde.[29] Wie das Bundesverwaltungsgericht (auch zum Datenschutzrecht) ausführte, dürfe der Eingriff in sachlicher, räumlicher, zeitlicher und personeller Beziehung nicht über das Notwendige hinausgehen.[30] Dies bedeutet bei Datenbearbeitungen insbesondere, dass der Umfang der bearbeiteten Daten sowie die Intensität der Bearbeitungsvorgänge nicht über das zur Erfüllung des Zwecks objektiv Notwendige hinausgehen dürfen.[31]

Das Erfordernis der Datenminimierung, wonach personenbezogene Daten auf das für die Zwecke der Verarbeitung notwendige Mass beschränkt sein müssen, paraphrasiert die (deutsche) Lehre verbreitet als «Erforderlichkeit».[32] Auch der EuGH hielt fest, dass sich aus der Datenminimierung eine Voraussetzung der Erforderlichkeit ergebe, wie sie Art. 6 Abs. 1 DSGVO vorsehe.[33] Die Erforderlichkeit versteht der EuGH nach dem üblichen Textbaustein[34] dahingehend, dass das verfolgte Interesse nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen.[35] Wie auch diese stark an die Lehre und Rechtsprechung zum DSG erinnernde Formulierung zeigt, darf von im Wesentlichen übereinstimmenden Anforderungen unter dem DSG und der DSGVO ausgegangen werden.

Zumutbarkeit

Der Verhältnismässigkeitsgrundsatz nach DSG verlangt weiter, dass die Datenbearbeitung für die betroffene Person sowohl hinsichtlich ihres Zwecks als auch hinsichtlich ihrer Mittel zumutbar ist (auch Verhältnismässigkeit i.e.S.).[36] Zwischen der Datenbearbeitung und dem damit verbundenen Eingriff in die Privatsphäre muss ein angemessenes Verhältnis bestehen.[37] Die dafür erforderliche Prüfung betrifft grundsätzlich konkrete Einzelfälle und umfasst eine gesamthafte Abwägung aller betroffenen öffentlichen und privaten Interessen, auch jener des Verantwortlichen.[38]

Das Erfordernis der Zumutbarkeit bzw. Verhältnismässigkeit i.e.S. erblickt die Lehre für die DSGVO zuweilen in der von der Datenminimierung verlangten Angemessenheit.[39] Ohne eine entsprechende Begriffsverwendung leiten andere Stimmen aus der Datenminimierung ein Erfordernis ab, eine wertende Betrachtungsweise der Datenverarbeitung (bzw. ihres Nutzens) einerseits und der damit verbundenen Eingriffe in die Interessen der betroffenen Person andererseits vorzunehmen.[40] Ein solches Verständnis lässt sich nicht nur auf den Wortlaut von Art. 5 Abs. 1 lit. c DSGVO stützen, sondern findet auch eine Grundlage in Art. 5 Abs. 4 lit. c Konv. 108+.

Wie der Erläuternde Bericht zur Konv. 108+ ausführt, umfasst die darin enthaltene Vorgabe, wonach personenbezogene Daten nicht über die Zwecke hinausgehen dürfen, für die sie verarbeitet werden, auch das Erfordernis, dass die Daten keinen unverhältnismässigen Eingriff in die einschlägigen Grundrechte und -freiheiten verursachen.[41] Damit deutet die Konv. 108+ auf eine mit jener des DSG vergleichbare Zumutbarkeitsprüfung hin. Nachdem die DSGVO «in vollem Einklang» mit der Konv. 108+ steht,[42] rechtfertigt es sich, auch bei Datenverarbeitungen im Anwendungsbereich der DSGVO von diesem Erfordernis auszugehen.

Überschneidung mit der Rechtmässigkeit i.w.S.

Wie sich aus den einzelnen Elementen der Verhältnismässigkeit, insbesondere jenem der Zumutbarkeit, ergibt, überschneiden sich die Fragen der Verhältnismässigkeit und der allfälligen Rechtfertigung durch ein überwiegendes Interesse.[43] Diese anerkennt auch das Bundesgericht, indem es etwa von «inhaltlich sehr eng zusammenhängenden Fragen» spricht, sie aber – leider ohne Erläuterung von Kriterien – unterscheidet.[44] Dennoch erschien es dem Bundesgericht im Logistep-Entscheid als praktikabel, rechtfertigende Umstände bereits bei der Auslegung der Bearbeitungsgrundsätze zu berücksichtigen, wenn die Abgrenzung zwischen den Grundsätzen und den Rechtfertigungsgründen schwierig sei, wie dies z.B. bei der Verhältnismässigkeit zutreffe.[45] Und im Street-View-Entscheid hielt es das Bundesgericht für zweckmässig, die im Rahmen der Interessenabwägung und der Verhältnismässigkeitsprüfung massgebenden Gesichtspunkte gesamthaft zu prüfen.[46] Gleichzeitig hielt es fest, dass es keinen materiellen Unterschied mache, ob die Prüfung der Rechtfertigungsgründe in einem zweiten Schritt selbständig erfolge oder in die Auslegung des Bearbeitungsgrundsatzes einfliesse.[47]

Unter der DSGVO überschneiden sich die insbesondere aus dem Datenminimierungsgrundsatz abgeleiteten Verhältnismässigkeitsvorgaben und die Prüfung der Rechtmässigkeit i.w.S. Zunächst zeigt sich dies in den Voraussetzungen der Erforderlichkeit nach Art. 5 Abs. 1 lit. c bzw. Art. 6 Abs. 1 DSGVO, die der EuGH einander gleichzustellen scheint[48] und deren gemeinsame Prüfung er beliebt macht.[49] Zudem stellt nach einer Lehrmeinung die nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO vorzunehmende Interessenabwägung nichts weiter als eine umfassende Verhältnismässigkeitsprüfung dar,[50] was nach den vorangehenden Ausführungen, insbesondere zum Element der Zumutbarkeit,[51] überzeugend erscheint.

Diese Überschneidung ist vorliegend besonders bedeutsam, weil die Auskunfteien üblicherweise ihre Datenbearbeitungen im Rahmen des Kreditscorings (soweit erforderlich) mit einem überwiegenden Interesse rechtfertigen bzw. auf die Rechtsgrundlage des berechtigten Interesses stützen.[52] Es ist deshalb angezeigt, in der folgenden Prüfung der Verhältnismässigkeit nicht isoliert auf deren Vorgaben einzugehen, sondern bereits Elemente der später vorzunehmenden Interessenabwägung der Rechtmässigkeit i.w.S. einfliessen zu lassen. Dementsprechend sind für die Frage der Verhältnismässigkeit auch Lehre und Praxis zur DSGVO beizuziehen, die an sich auf ein berechtigtes Interesse gestützte Datenverarbeitungen durch Auskunfteien adressieren.

Teilgehalte der Verhältnismässigkeit

Vereinzelt unterteilt die schweizerische Lehre den Verhältnismässigkeitsgrundsatz in drei inhaltliche Teilgehalte – die Verhältnismässigkeit in prinzipieller, in materieller und in zeitlicher Hinsicht –, die der Verantwortliche zu berücksichtigen hat.[53] Die DSGVO enthält diese Unterteilung jedenfalls insoweit, als sie die Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und die Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) unterscheidet. Der Lehre zur DSGVO lässt sich diese Dreiteilung hingegen nicht unmittelbar entnehmen. Nach dem zu den Elementen der Verhältnismässigkeit Gesagten sind der DSGVO inhaltlich gleiche oder zumindest sehr ähnliche Vorgaben wie der Verhältnismässigkeit nach DSG zu entnehmen, weshalb es sich im Folgenden dennoch auch bei der DSGVO rechtfertigt, dieser Aufteilung in drei Teilgehalte zu folgen.

Die Verhältnismässigkeit verlangt in prinzipieller Hinsicht – verkürzt formuliert –, dass jede Datenbearbeitung einem effektiven und konkreten, nicht bloss theoretischen Bedarf dient (nachfolgend 2.). In materieller Hinsicht setzt sie mit Blick auf den Bearbeitungszweck den zu bearbeitenden Daten, den Bearbeitungsarten sowie den Mitteln und Methoden der Bearbeitung Grenzen (nachfolgend 3.), und in zeitlicher Hinsicht beschränkt sie die Aufbewahrungsdauer von Daten insoweit, als der Verantwortliche Bearbeitungen[54] dem Grundsatz nach zu unterlassen hat, sobald die Daten für den Bearbeitungszweck nicht mehr erforderlich sind (nachfolgend 4.).

Verhältnismässigkeit in prinzipieller Hinsicht

Im Allgemeinen

Die Verhältnismässigkeit in prinzipieller Hinsicht verbietet – wie ein Teilgehalt des Zweckbindungsgrundsatzes[55] – Datenbearbeitungen ohne effektiven und konkreten Bedarf.[56] Daraus folgt, dass der Verantwortliche weder im Anwendungsbereich des DSG noch der DSGVO – eine besondere gesetzliche Grundlage vorbehalten – Daten ohne näher bestimmten Verwendungszweck bearbeiten darf.[57] Daten insofern auf Vorrat insbesondere zu beschaffen, zu speichern, zu verwenden oder bekanntzugeben, ist (grundsätzlich) unzulässig. Ausserdem verlangt dieser Teilgehalt der Verhältnismässigkeit, dass der Verantwortliche anonymisierte oder pseudonymisierte Daten bearbeitet, sofern diese zur Erreichung des Bearbeitungszwecks genügen.[58]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Die Auskunfteien entwickeln mit den beschafften Daten zum einen ein Kreditscoring-Modell und speichern sie zum anderen im Hinblick auf Auskunftsanfragen zur Kreditwürdigkeit kreditinteressierter Personen. Die Datenbeschaffung für die Entwicklung eines Modells dient den Auskunfteien für ein konkretes Vorhaben und damit einem konkreten Bedarf. Zur Modellentwicklung sind die schweizerischen Auskunfteien gemäss den eigenen Erhebungen auf Personendaten angewiesen.[59] Solange und soweit für die Entwicklung nicht auch anonymisierte oder pseudonymisierte Daten ausreichen, halten die Auskunfteien demnach bei der Modellentwicklung die Vorgaben der Verhältnismässigkeit in prinzipieller Hinsicht ein.

Fraglicher und daher näher zu betrachten ist die Einhaltung der Verhältnismässigkeit in prinzipieller Hinsicht bei der Beschaffung und Speicherung im Hinblick auf bloss eventuelle Auskunftsanfragen und bei der allfälligen Vornahme eines Profilings oder Bekanntgabe einer Auskunft trotz fehlenden Interesses der (angeblichen) Kreditgeberin.

Beschaffung und Speicherung auf Vorrat

Mit welchen Personen die Kreditgeberinnen in geschäftlichen Kontakt treten werden, wissen die Auskunfteien nicht im Vornherein. Aus diesem Grund sind sie zur Ausübung ihrer charakteristischen Geschäftstätigkeit (zumindest in einem gewissen Umfang) darauf angewiesen, Daten auch ohne Anlass im Einzelfall zu beschaffen und zu speichern.[60] Indem die Auskunfteien Daten über beliebige, möglichst alle Personen mit Wohnsitz in ihrem örtlichen Tätigkeitsgebiet für den eventuellen[61] Fall künftiger Auskunftsanfragen beschaffen und speichern, bearbeiten sie Daten auf Vorrat. Für diese Eventualität der Kreditwürdigkeitsprüfung einzelner kreditinteressierter Personen genügen anonymisierte oder pseudonymisierte Daten aus naheliegenden Gründen nicht.

Im schweizerischen Recht (DSG)

Im Anwendungsbereich des DSG folgt aus dem Gesagten, dass die Auskunfteien mit der Beschaffung und Speicherung im Hinblick auf eventuelle Auskunftsanfragen den Grundsatz der Verhältnismässigkeit (in prinzipieller Hinsicht) verletzen. Dies hielt denn auch der EDÖB in einer Empfehlung implizit fest, indem er die Speicherung von Daten auf Vorrat durch eine Auskunftei nur, aber immerhin unter den Bedingungen von (heute) Art. 31 Abs. 2 lit. c DSG für zulässig erachtete.[62] Daher liegt eine Persönlichkeitsverletzung der betroffenen Personen vor (Art. 30 Abs. 2 lit. a DSG), die sich allerdings (in bestimmtem Umfang) – zumindest durch das in Art. 31 Abs. 2 lit. c DSG besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen – rechtfertigen lässt.[63]

Im europäischen Recht (DSGVO)

Die Lehre zur DSGVO stuft die beschriebene Vorratsdatensammlung und ‑speicherung der Auskunfteien, soweit sie sie überhaupt einzeln anspricht, unter dem Gesichtspunkt der Datenminimierung[64] oder der Erforderlichkeit[65] (im Rahmen des berechtigten Interesses[66]) als unproblematisch ein.[67] Vor dem Hintergrund der eben geschilderten Rechtslage nach DSG vermag dies jedenfalls bei der Datenminimierung zu erstaunen, dürfte aber an der nachvollziehbaren Folgeerwägung liegen, dass sonst auch andere Datensammlungen, etwa von Behörden, ohne Möglichkeit der Abwägung oder Rechtfertigung unter der DSGVO als unzulässig zu betrachten wären.[68]

Die Frage der Zulässigkeit der Vorratsdatenspeicherung durch Auskunfteien brachte das Verwaltungsgericht Wiesbaden kürzlich vor den EuGH. Es stellte unter anderem die Vorlagefrage, ob sich die Speicherung von (Insolvenz‑)Daten aus öffentlichen Registern durch private Auskunfteien ohne konkreten Anlass im Hinblick auf die Erteilung von Bonitätsauskünften mit den Grundrechten auf Achtung des Privat- und Familienlebens und auf Schutz personenbezogener Daten (Art. 7 und Art. 8 GRCh) vereinbaren lasse.[69] Das Verwaltungsgericht befand eine Vorratsdatenspeicherung mit Blick auf Art. 8 GRCh und Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO für unzulässig, da die Übernahme in eine private Datenbank zu einer parallelen Datenhaltung führe und ein berechtigtes Interesse der Auskunftei mehr als zweifelhaft erscheine.[70]

Der zuständige Generalanwalt hielt in seinen Schlussanträgen vorab zu Recht fest, dass Art. 7 f. GRCh nicht isoliert anzuwenden, sondern im Rahmen der in Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO vorgesehenen Abwägung zu berücksichtigen seien.[71] Dies stellte der EuGH in seiner anschliessenden Entscheidung nicht in Frage.[72] Aus der Abwägung folgerte er, dass sich die Speicherung von Daten aus öffentlichen Registern nach Ablauf der für das betreffende Register geltenden gesetzlichen Speicherfrist nicht auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO stützen lasse.[73] Die Datenspeicherung während der gesetzlichen Frist hielt er nicht generell für unzulässig, obwohl er konstatierte, dass eine Auskunftei die Daten nicht aus konkretem Anlass speichere, sondern für den Fall, dass ihre Kundinnen Auskünfte anfragen würden.[74] Damit hielt er implizit zutreffend dafür, dass sich die DSGVO nicht grundsätzlich gegen eine Vorratsdatenspeicherung (durch eine Auskunftei) stelle. Die Zulässigkeit der Vorratsdatenspeicherung ist aber unter dem Element der Erforderlichkeit im Einzelfall zu prüfen, und zwar daran, ob die Auskunftei die fraglichen Daten auch erst bei einer konkreten Anfrage einer Kreditgeberin beschaffen könnte, statt sie im Voraus zu erheben und zu speichern.[75]

Freilich wird es Kreditgeschäfte geben, bei denen eine Auskunft zuwarten kann, bis die Auskunftei Daten aus öffentlichen Registern wie dem Betreibungsregister beschafft und verarbeitet hat. Diesfalls wird die Auskunftei auf die Speicherung dieser Daten auf Vorrat verzichten müssen. Doch auch bei Kreditgeschäften, bei denen die Zeit nicht besonders drängt, erscheint es als unrealistisch, dass eine Auskunftei alle ihre Datenquellen erst im Einzelfall angeht und insbesondere Kreditgeberinnen um Zahlungserfahrungen für eine bestimmte Person anfragt. Auskünfte wären kaum innert einer für den Wirtschaftsverkehr nützlichen Frist einholbar und drohten, zufolge unvollständiger Rückmeldungen ein falsches Bild der Kreditwürdigkeit abzugeben. Ausserdem gibt es Kreditgeschäfte, etwa jene im Online-Bereich, bei denen Auskünfte in Echtzeit erfolgen müssen, was ohne Vorratsdatenspeicherung schlicht nicht möglich ist.[76] Einfach einholbare Daten aus öffentlichen Quellen für nicht zeitkritische Auskunftsprodukte vorbehalten, ist demnach die Vorratsdatenspeicherung als erforderlich und (unter dem Teilgehalt der Verhältnismässigkeit in prinzipieller Hinsicht) zulässig zu betrachten.

Profiling und Bekanntgabe ohne Interesse der Kreditgeberin

Entscheidung über kreditorisches Risiko als Interesse der Kreditgeberin

Ein Interesse an einer Auskunft über die Kreditwürdigkeit[77] haben Kreditgeberinnen, also Kundinnen der Auskunftei, die vor der Entscheidung stehen, gegenüber der kreditinteressierten Person ein neues kreditorisches Risiko[78] einzugehen oder ein bestehendes zu vergrössern.[79] Dies ist etwa bei Kundinnen der Fall, die über eine Geld- oder Warenkreditvergabe oder den Abschluss eines Dienstleistungsvertrags entscheiden, der die Zahlung nach Dienstleistungserbringung vorsieht.[80] Ebenfalls ein kreditorisches Risiko droht bei Verträgen, in denen eine (allenfalls vorleistungspflichtige) Partei regelmässige Zahlungen entrichten muss.[81] Bei einem Mietvertrag[82] (insbesondere über einen Wohnraum) z.B. muss zwar üblicherweise die Mietpartei den Mietzins jeweils für eine bestimmte Periode im Voraus bezahlen. Sobald die Mietpartei nach Übergabe der Sache mit der Zahlung in Rückstand gerät (und die Dauer ihrer Vorleistung verstrichen ist), trägt die Vermieterin indes ein kreditorisches Risiko.[83] Über ein vergleichbares Risiko zu entscheiden hat ferner die Gläubigerin, die sich (weitere) Schritte zur Geltendmachung und Durchsetzung ihrer (vertraglichen oder ausservertraglichen) Forderung überlegt. Ihr drohen in dieser Situation unnötige Kosten für die Rechtsverfolgung, allenfalls samt Verfahrens- und Parteikosten, die sie (trotz Obsiegens in einem Verfahren) selbst tragen müsste.[84]

Kein Interesse an einer Auskunft hat die Kundin hingegen, wenn sie eine Abfrage unabhängig von einem kreditorischen Risiko tätigt,[85] z.B. aus reiner Neugier oder bei einem Kauf auf Vorkasse. Ebenso fehlt es am Interesse, wenn ein kreditorisches Risiko (noch) nicht konkret zur Diskussion steht, jemand beispielsweise lediglich unverbindlich um Vertragskonditionen anfragt.[86] Ab welchem Moment ein kreditorisches Risiko konkret zur Diskussion steht, hängt von der fraglichen Konstellation ab. Eine Auskunft über eine potenzielle Mietpartei darf die Vermieterin beispielsweise erst abfragen, wenn der Abschluss des Mietvertrags nur noch vom positiven Ergebnis der Kreditwürdigkeitsprüfung abhängt.[87] Überdies fehlt es an einem Interesse, wenn die Kreditwürdigkeit für das Eingehen des kreditorischen Risikos irrelevant ist. Dies ist etwa der Fall, wenn die Kundin einer Kontrahierungs- oder anderen Pflicht zur Aufnahme eines Rechtsverhältnisses unterliegt,[88] beispielsweise jener der sozialen Krankenversicherung (vgl. Art. 4 KVG und Art. 5 lit. i KVAG).

Verletzung des Verhältnismässigkeitsgrundsatzes bzw. fehlende Rechtsgrundlage

Fehlt der eine Auskunft abfragenden Kundin ein Interesse an der Prüfung der Kreditwürdigkeit der betroffenen Person, erfolgen die Berechnung des Kreditscores, also das Profiling (allenfalls mit hohem Risiko), und die Datenbekanntgabe an die Kreditgeberin ohne effektiven oder zumindest konkreten Bedarf. Dies steht im Konflikt mit den Vorgaben der Verhältnismässigkeit in prinzipieller Hinsicht.[89]

Im schweizerischen Recht verletzt die Auskunftei den Grundsatz der Verhältnismässigkeit und damit die Persönlichkeit der betroffenen Person (Art. 30 Abs. 2 lit. a DSG), wenn sie Dritten wie ihren Kundinnen, die über kein Interesse im vorangehend beschriebenen Sinne verfügen, Auskünfte erteilt oder sogar Bonitätsdaten veröffentlicht.[90] Mangels Anlasses sind diese Bearbeitungen wie auch die vorangehende Berechnung des Kreditscores mit Blick auf deren Zweck der Kreditwürdigkeitsprüfung nicht erforderlich und dürften der betroffenen Person im Übrigen auch kaum zumutbar sein. Die daraus resultierenden Persönlichkeitsverletzungen lassen sich allerdings – worauf später einzugehen ist[91] – unter bestimmten Voraussetzungen gestützt auf Art. 31 Abs. 2 lit. c DSG rechtfertigen.

Im europäischen Recht wird das fehlende Interesse der Kundin zur Folge haben, dass die Auskunftei (eine – in der Praxis indes nicht eingeholte – Einwilligung vorbehalten[92]) über keine Rechtsgrundlage für ihre Verarbeitungen verfügt, die sie im Zusammenhang mit der betreffenden Abfrage vornimmt. Zwar liesse sich in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, die übliche Rechtsgrundlage für Verarbeitungen im Rahmen der charakteristischen Geschäftstätigkeit einer Auskunftei, noch argumentieren, dass die Auskunftei in solchen Fällen dennoch über ein berechtigtes Interesse verfügt,[93] namentlich ihr eigenes wirtschaftliches Interesse an ihrem Geschäft.[94] Allerdings ist bereits in Frage zu stellen, ob die Verarbeitungen erforderlich sind, wie es Art. 6 Abs. 1 DSGVO bei allen Rechtsgrundlagen verlangt, UAbs. 1 lit. f konkret für die Wahrung des verfolgten Interesses.[95] Jedenfalls die im Rahmen der dritten Voraussetzung von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO vorzunehmende Interessenabwägung[96] wird in solchen Fällen zuungunsten des Profilings und der Bekanntgabe durch die Auskunftei ausfallen,[97] zumal es eben am (sonst gewichtigen) Interesse der Kundin fehlt, das kreditorische Risiko einschätzen zu können.

Verhältnismässigkeit in materieller Hinsicht

Im Allgemeinen

In materieller Hinsicht beschränkt die Verhältnismässigkeit nach DSG die Art und den Kreis der bearbeiteten Daten, die Mittel und Methoden der Bearbeitung sowie den Zugang zu den Daten und deren Kommunikation gegenüber Dritten.[98] Auch Art. 5 Abs. 1 lit. c DSGVO beschlägt trotz seines einschränkend formulierten Wortlauts nicht nur die Menge und die Art der Daten, die ein Verantwortlicher bearbeiten darf.[99] Vielmehr setzt auch die Datenminimierung darüber hinaus der Anzahl und dem Mass der Nutzungen sowie der Anzahl der betroffenen Personen Grenzen.[100] Im Übrigen lassen sich analoge Vorgaben zum DSG aus Art. 6 Abs. 1 DSGVO ableiten, der sich (auch dem Wortlaut nach) an Verarbeitungen richtet und – die Rechtsgrundlage der Einwilligung vorbehalten – deren Erforderlichkeit voraussetzt. Dies bedeutet, dass Datenverarbeitungen unter Berücksichtigung ihrer Ausgestaltung die Zweckerreichung zumindest erleichtern müssen und nicht über das notwendige Mass hinausgehen dürfen.[101] Entsprechend werden auch etwa die Übermittlung von Daten an Dritte und die hier besonders interessierende Vornahme eines Profilings eingeschränkt.[102]

Kreis der bearbeiteten Daten

Für die Kreditwürdigkeitsprüfung durch Auskunfteien spielen die Vorgaben an den Kreis der bearbeiteten Daten eine zentrale Rolle. In diesem Zusammenhang unterscheiden die Lehre und Praxis zwischen den Daten, welche die Auskunftei für die Identifikation der betroffenen Person zum einen und für die Kreditwürdigkeitsprüfung zum anderen bearbeiten darf,[103] obschon es sich bei der Identifikation um keinen eigenständigen Bearbeitungszweck handelt.[104] Dies erscheint dennoch sachgerecht, nachdem es sich bei der Identifikation um einen (wenn auch untergeordneten) Grund im Rahmen der Kreditwürdigkeitsprüfung handelt, weswegen die Auskunftei Daten bearbeitet, und sich sonst der Kreis der Daten, welche die Verhältnismässigkeit zu bearbeiten erlaubt, kaum sinnvoll eingrenzen lassen würde.[105]

Zunächst sind daher die Daten zu betrachten, die Auskunfteien bearbeiten dürfen, um die betroffene Person möglichst zweifelsfrei zu identifizieren, sodass sie erhobene Daten der richtigen Person zuordnen und bei Bonitätsauskünften auf die richtigen Daten zurückgreifen. Anschliessend ist auf den Kreis der Daten einzugehen, welche die Auskunfteien für die eigentliche Prüfung und Beurteilung der Kreditwürdigkeit bearbeiten dürfen.

Zur Identifikation der betroffenen Person

Verbot der Verwendung der AHV-Nummer

Bei Unternehmen ermöglicht die Unternehmens-Identifikationsnummer (UID) eine einfache und zweifelsfreie Erkennung der zu beurteilenden Einheit.[106] Ein Äquivalent besteht zwar für natürliche Personen in der Form der AHV-Nummer;[107] diese dürfen aber Private grundsätzlich nicht systematisch[108] verwenden.[109] Das AHVG behält eine solche Verwendung im Wesentlichen der öffentlichen Verwaltung vor und erlaubt sie Privaten bloss in einem engen Rahmen, insbesondere wenn sie mit Verwaltungsaufgaben betraut sind und das anwendbare Recht ihnen die Verwendung erlaubt (Art. 153c Abs. 1 AHVG).[110] Dabei droht jenem, der die AHV-Nummer ohne Berechtigung gemäss der eben genannten Bestimmung systematisch verwendet, eine Geldstrafe (Art. 153i Abs. 1 AHVG).

Aufgrund dieser Regelung bleibt es den Auskunfteien verwehrt, die AHV‑Nummer zwecks Identifikation zu verwenden. Dies ist dem Gesetzgeber bewusst, hält doch die Botschaft zur geschilderten Regelung fest, dass darin ein Unterschied zu den Auskunfteien in den USA liege, welche die Social Security Number systematisch einsetzen würden.[111] Der Gesetzgeber anerkannte (hinsichtlich Behörden), dass eine systematische Verwendung der AHV‑Nummer wesentlich dazu beitrage, Verwechslungen von Personendaten zu vermeiden.[112] Dennoch sah er das Verbot gegenüber Privaten als gerechtfertigt, nicht zuletzt, weil das Risiko für unzulässige Datenverknüpfungen bei Privaten grösser als bei Behörden sei.[113] Die Auskunfteien sind demnach auf andere Daten wie Namen und Geburtsdatum angewiesen, um betroffene Personen zu identifizieren.

Zulässige Identifikationsdaten

Vorname, Name, Geburtsdatum und Adresse sind zur eindeutigen Identifikation einer betroffenen Person im Einzelnen nicht nur geeignet, sondern in ihrer Kombination auch oft bereits ausreichend.[114] Die Beschaffung, Speicherung und Verwendung solcher Daten, die im schweizerischen Recht als Stammdaten bezeichnet werden,[115] zur Identifikation der betroffenen Person halten den Grundsatz der Verhältnismässigkeit im materiellen Sinn ein.[116]

Zu bedenken ist allerdings, dass sich die betroffene Person umso zuverlässiger identifizieren lässt und das Verwechslungsrisiko umso geringer ist, je mehr Daten zur Identifikation der betroffenen Person zur Verfügung stehen.[117] Die potenziellen negativen Folgen einer Personenverwechslung wiegen ungleich schwerer als der Eingriff in die Persönlichkeit oder Grundrechte aufgrund der Speicherung von zusätzlichen Angaben zwecks sicherer Identifikation. Insoweit erscheint die Bearbeitung weiterer Daten zur Identifikation auch als im unmittelbaren Interesse der betroffenen Personen und für sie zumutbar.[118] Hinzu kommt, dass die einzelnen Kreditgeberinnen nicht immer dieselben Daten für die Identifikation verwenden und auch die Auskunfteien nicht bei jeder betroffenen Person über sämtliche bzw. dieselben Identifikationsdaten verfügen, weshalb sie eine breitere Sammlung von Daten zugunsten einer zweifelsfreien und eindeutigen Identifikation anlegen müssen.[119]

Angesichts dieser Erwägungen stufte der EDÖB in der Sache Teledata zu Recht die Bearbeitung weiterer Daten zur Identifikation der betroffenen Person als datenschutzkonform ein. Auch die Bearbeitung des Geschlechts, des Berufs, der Nationalität und der Aufenthaltsbewilligung sei verhältnismässig (in materieller Hinsicht).[120] Der EDÖB erlaubte für die Identifikation zudem die Bearbeitung von Telefonnummern und E-Mail-Adressen,[121] die aus öffentlich zugänglichen Registern oder Verzeichnissen stammten und deren Bearbeitung die betroffene Person nicht untersagt hatte.[122] Angesichts der Formulierung dürfte der EDÖB allerdings auf (heute) Art. 30 Abs. 3 DSG[123] geblickt und sich nicht über die materielle Verhältnismässigkeit ausgesprochen haben.

Die seither erfolgten Äusserungen schweizerischer Behörden schränkten den genannten Kreis der Daten nicht weiter ein. Im Moneyhouse-Entscheid hielt das Bundesverwaltungsgericht lediglich fest, dass Informationen zu den Haushaltsmitgliedern und Nachbarn der betroffenen Person, mithin zu ihrer privaten Wohn- und Lebenssituation, für die eindeutige Identifikation der betroffenen Person nicht erforderlich seien.[124] Ferner führte der Bundesrat (bereits mit Blick auf das neue DSG) aus, dass eine Auskunftei auch Daten über das Geschlecht und die Wohngegend zur Identifikation bearbeiten dürfe, soweit diese Daten erforderlich seien.[125]

Vor diesem Hintergrund und weil die obigen Erwägungen des EDÖB überzeugen, sollte die in der Sache Teledata als zulässig befundene Praxis unter dem DSG weiterhin Geltung beanspruchen können. Damit liesse sich zwar auch die Bearbeitung weiterer Daten begründen, jedoch dürfte der vom EDÖB für zulässig befundene Kreis der Daten ausreichen, um das Verwechslungsrisiko vertretbar gering zu halten, sodass sich dessen Erweiterung mangels Erforderlichkeit kaum rechtfertigen lässt. Einzig die Bearbeitung früherer Adressen dürfte regelmässig ebenfalls verhältnismässig in materieller Hinsicht sein,[126] zumal Adresshistorien besonders unterscheidungskräftig sind, ihre Verwendung aber vergleichsweise wenig eingriffsintensiv ist. Gewiss sind frühere Adressen und andere zusätzliche Daten wie das Geschlecht oder der Beruf nicht immer für die Identifikation erforderlich. Die Fälle, in denen sie erforderlich sind, lassen sich indes nicht vorhersehen, weshalb sich die Speicherung nicht auf bestimmte betroffene Personen oder Konstellationen einschränken lässt. Nachdem es sich bei den besagten zusätzlichen Daten nicht um besonders heikle Personendaten handelt und deren Verwendung nicht zuletzt den Interessen der betroffenen Personen dient, erscheint sie zumutbar.

In der Lehre und Praxis zur DSGVO wurde – soweit ersichtlich – die Verwendung von über die Stammdaten hinausgehenden Angaben zur Identifikation der betroffenen Person noch nicht eingehend thematisiert. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit sowie sein hessisches Pendant erachten immerhin auch die Verwendung früherer Anschriften als zulässig.[127] Da die DSGVO – wie ausgeführt[128] – ähnliche Vorgaben wie das DSG an die Verhältnismässigkeit in materieller Hinsicht aufstellt und sich die Überlegungen des EDÖB auch auf die DSGVO übertragen lassen, dürfen Auskunfteien nach hier vertretener Ansicht auch in deren Anwendungsbereich die genannten zusätzlichen Daten für die Identifikation beschaffen, speichern und verwenden.

Zur Beurteilung der Kreditwürdigkeit

Im schweizerischen Recht (DSG)

Kriterien (insbesondere) der Praxis

Das Bundesverwaltungsgericht und vor allem der EDÖB haben sich schon verschiedentlich darüber ausgesprochen, welche Personendaten sie für die Kreditwürdigkeitsprüfung als geeignet und erforderlich (oder eben nicht) einstufen.[129] Dabei verweisen sie – zuweilen innerhalb desselben Entscheids – auf unterschiedliche Kriterien wie die Kausalität oder eine statistische Relevanz, nach denen sich die Eignung und/oder Erforderlichkeit beurteile.[130] Leider unterscheiden das Bundesverwaltungsgericht und der EDÖB diese Elemente der Verhältnismässigkeit oft nicht klar oder ordnen ihnen die Kriterien nicht eindeutig zu.[131] Zumeist dürfte es sich vorab um Aussagen über die Eignung handeln.[132] Neben der fehlenden Präzision ist zu bedauern, dass das Bundesverwaltungsgericht und der EDÖB die von ihnen als massgebend betrachteten Kriterien nicht begründen.[133] Im Einzelnen präsentiert sich die Praxis wie folgt:

Das Bundesverwaltungsgericht und der EDÖB scheinen vereinzelt auf die Kausalität abstellen und nur Daten über Umstände zulassen zu wollen, die einen eigentlichen Einfluss auf die Zahlungsfähigkeit bzw. -willigkeit der kreditinteressierten Person haben.[134] Wie sich allerdings aus den gleichenorts gemachten Beispielen von als geeignet und erforderlich erachteten Daten ergibt, hält weder das Bundesverwaltungsgericht noch der EDÖB tatsächlich an diesem Kriterium fest.[135] Wäre eine Kausalität erforderlich, dürfte ein Verantwortlicher nach dem Verhältnismässigkeitsgrundsatz bloss Angaben über das Einkommen, Vermögenswerte, Schulden und dergleichen für die Kreditwürdigkeitsprüfung bearbeiten. Solche Daten erheben die Auskunfteien für die Kreditwürdigkeitsprüfung regelmässig gar nicht erst,[136] fehlt ihnen doch üblicherweise der Zugang dazu.

Verschiedentlich verweisen das Bundesverwaltungsgericht und der EDÖB auf die statistische Relevanz einzelner Kriterien für die Kreditwürdigkeitsbeurteilung und lassen damit den Schluss zu, dass eine (qualifizierte) Korrelation genügt.[137] Allerdings führt das Bundesverwaltungsgericht in Bezug auf den Begriff des Persönlichkeitsprofils – dessen Konturen bei Kreditwürdigkeitsprüfungen gemäss der Rechtsprechung von der Verhältnismässigkeit der bearbeiteten Daten abhängt[138] – auch aus, dass die statistische Relevanz eines Kriteriums für die Beurteilung der Kreditwürdigkeit allein nicht ausreiche.[139]

Die Verwendung von (bloss) statistisch relevanten Daten problematisieren die Behörden vorab, weil diese zu falschen Annahmen bzw. Schlüssen in Bezug auf die Kreditwürdigkeit führen und sie nicht zuverlässig belegen würden.[140] So lasse etwa die Wohnsituation keine zuverlässigen Schlüsse zu, da eine in einer Villa mit Seeanstoss wohnhafte Person verschuldet sein, während eine vermögende, sparsame Person in einer kleinen Wohnung leben könne.[141] Ebenso wenig ein geeignetes Merkmal sei die Wohngegend, da auch Personen mit einem grossen Einkommen bzw. Vermögen in einer Gegend wohnen könnten, die überwiegend von Personen mit geringen Einkommen besiedelt sei.[142] Und der Beruf tauge als Merkmal nicht, weil jemand, der beispielsweise eine kaufmännische Lehre absolviert habe, eine leitende Funktion in einem Unternehmen und damit ein hohes Einkommen haben könne; gleichzeitig könne eine Architektin wegen Teilzeitarbeit und Betreuungspflichten ein bloss kleines Einkommen erwirtschaften.[143]

Schliesslich hat der EDÖB auch schon verlangt, dass die Daten einen direkten Zusammenhang mit dem (Zahlungs‑)Verhalten und/oder der Kreditwürdigkeit der betroffenen Person aufweisen.[144] Ähnlich scheint der Bundesrat vorauszusetzen, dass die Daten auf die individuelle Zahlungsfähigkeit bzw. -willigkeit der betroffenen Person zugeschnitten sind.[145] Einen solchen direkten Bezug attestierte der EDÖB z.B. Betreibungsvorgängen, Privatkonkursmeldungen oder vormundschaftlichen Meldungen.[146] Die Tragweite dieses Kriteriums bleibt indes unklar, zum einen weil sich den erwähnten behördlichen Äusserungen der Kreis der betreffenden Daten nicht entnehmen lässt, und zum anderen weil es der EDÖB teils alternativ, teils kumulativ (zur statistischen Relevanz) anwenden will.[147]

Die Zumutbarkeit als drittes Element der Verhältnismässigkeit wurde (bisher) vom Bundesverwaltungsgericht nicht und vom EDÖB kaum thematisiert. In seinem Schlussbericht samt Empfehlung betreffend die ZEK[148] hielt der EDÖB bemerkenswerterweise fest, dass er Einträge in deren Datenbank dann für zumutbar erachte, wenn sie für die Beurteilung der Bonität geeignet und erforderlich seien.[149] Kürzlich äusserte sich der EDÖB vergleichsweise eingehend zur Zumutbarkeit, allerdings in Bezug auf die Verwendung von negativen Haushaltstreffern;[150] dort konfligieren spezifische Interessen, deren Abwägung sich kaum gewinnbringend auf die Frage der Zumutbarkeit bei (anderweitigen) Kreditwürdigkeitsprüfungen übertragen lässt.[151]

Würdigung der Kriterien

Die wiederholt geäusserten Befürchtungen, gewisse Daten könnten zu falschen Schlüssen führen,[152] blenden aus, dass grundsätzlich alle Daten Fehlschlüsse veranlassen können. Dies gilt auch für jene Daten, die das Bundesverwaltungsgericht und insbesondere der EDÖB als für die Prüfung der Kreditwürdigkeit geeignet (und erforderlich) betrachten. So muss auch eine Person, gegen die eine (angebliche) Gläubigerin eine Betreibung eingeleitet hat, nicht schlechter Bonität sein, zumal für die Einleitung einer Betreibung in der Schweiz die blosse Behauptung eines Anspruchs genügt.[153] Ebenso kann eine Person, die einen Privatkonkurs durchlief, sich wirtschaftlich (rasch) erholt haben und nunmehr kreditwürdig sein. Es kann also nicht darauf ankommen, ob grundsätzlich die Möglichkeit falscher Rückschlüsse besteht oder nicht.

Vielmehr muss genügen, wenn die herangezogenen Daten nach der allgemeinen Lebenserfahrung oder aus Sicht der Statistik für die Kreditwürdigkeitsbeurteilung relevant sind. Dabei sind keine hohen Anforderungen zu stellen, weil es (auch) bei Datenbearbeitungen ausreicht, dass sie sich nicht als völlig ungeeignet zur Erreichung des Ziels erweisen.[154] Gerade das Kriterium der statistischen Relevanz erlaubt, die Eignung eines Datums für die Kreditwürdigkeitsprüfung nachvollziehbar zu prüfen und gegebenenfalls zu begründen. Sodann hängt die Frage, ob Daten für ein Kreditscoring oder eine Bonitätsauskunft geeignet (und erforderlich) sind, nicht (mehr) vom behördlichen Gutdünken ab, sondern von statistischen Erkenntnissen zur Bonitätsrelevanz. Kommt hinzu, dass der Einbezug eines Datums je nach statistischer Relevanz geradezu notwendig erscheint für ein aussagekräftiges Kreditscoring. Andernfalls besteht nämlich nicht nur die Gefahr, dass die Kreditgeberin Kredite an Personen mit unvernünftig hohem Ausfallrisiko vergibt, sondern auch, dass Personen aufgrund der zu eingeschränkten Datengrundlage von Krediten ausgeschlossen werden.

Entsprechend ist auf das konturlose und in der Praxis uneinheitlich angewendete Kriterium des direkten Bezugs zum (Zahlungs‑)Verhalten und/oder der Kreditwürdigkeit der betroffenen Person zu verzichten. Hinter diesem scheint die (wie gesehen) nicht stichhaltige Argumentation zu stehen, dass die Verwendung dieser Daten zu Fehlschlüssen führen könne.[155] Überdies liegen auch der Verwendung der Daten, die als «individuell auf die Zahlungsfähigkeit bzw. -willigkeit zugeschnitten» gelten (z.B. Betreibungsvorgänge), statistische oder erfahrungsbasierte Überlegungen und nicht einzelfallbezogene Schlüsse zugrunde. In eine Kreditwürdigkeitsbeurteilung beispielsweise einfliessen zu lassen, dass die kreditinteressierte Person ein Mann ist oder in einer bestimmten Gegend wohnt, erscheint insoweit nicht weniger auf die individuelle Zahlungsfähigkeit bzw. -willigkeit zugeschnitten.

Aus der so verstandenen Eignung eines Datums für die Prüfung der Kreditwürdigkeit lässt sich nicht – wie das die diskutierte Praxis supponiert – unmittelbar auf die Erforderlichkeit desselben Datums schliessen. Als Element der Verhältnismässigkeit ist grundsätzlich auch die Erforderlichkeit im Einzelfall zu prüfen,[156] und zwar insbesondere unter Berücksichtigung der übrigen Daten, die für die Kreditwürdigkeitsprüfung bzw. das konkrete Scoringsystem (bereits) verwendet werden.[157] Verbessert die Verwendung eines bestimmten weiteren Merkmals die Prognosefähigkeit der Kreditwürdigkeitsbeurteilung nicht oder nur vernachlässigbar gering, ist die Bearbeitung der entsprechenden Daten nicht erforderlich (und wohl auch unzumutbar) und mithin unverhältnismässig.

Die Äusserung des EDÖB, wonach sich aus der Eignung und Erforderlichkeit die Zumutbarkeit ergebe, ignoriert letztere als eigenständiges Element der Verhältnismässigkeit und greift daher zu kurz. Vielmehr ist auch bei Datenbearbeitungen zur Prüfung der Kreditwürdigkeit eine Abwägung vorzunehmen, die insbesondere Zweck und Nutzen der Datenbearbeitung einerseits und die Eingriffe in die Rechte und Interessen der betroffenen Person andererseits berücksichtigt.[158] So lässt sich etwa sagen: Je grösser der zu beurteilende Kredit und je länger dessen allfällige Laufzeit ist, desto eher ist die Bearbeitung eines bestimmten Datums zumutbar. Ferner spricht für die Zumutbarkeit, wenn das Datum allgemein zugänglich ist,[159] zumal das Interesse der betroffenen Person an dessen (weiteren) Geheimhaltung geringer ist und sie eher mit dessen Bearbeitung rechnen muss.[160] Umgekehrt erscheint eine Bearbeitung umso unangemessener, je sensibler das Datum ist und je grösser die Risiken für die Persönlichkeitsrechte und andere Interessen der betroffenen Person, z.B. nicht diskriminiert zu werden, sind.

Im europäischen Recht (DSGVO)

Kriterien im Allgemeinen

Primär unter dem Blickwinkel des berechtigten Interesses gemäss Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO diskutiert die (deutsche) Lehre ähnliche Kriterien wie unter dem DSG, um die für die Kreditwürdigkeitsprüfung verwendbaren Daten einzugrenzen. So wird etwa für die Eignung von Daten vorausgesetzt, dass sie gemäss einem wissenschaftlichen mathematisch-statistischen Verfahren für die Kreditwürdigkeitsprüfung bzw. ein Kreditscoring erheblich sind.[161] Die deutsche Lehre liest diese Voraussetzung vereinzelt mit Hinweis auf EG 71 Satz 6 DSGVO,[162] wohl aber meist (auch) wegen des entsprechenden Erfordernisses im BDSG/DE[163] in die DSGVO hinein.[164] Das BDSG/DE kann als nationales Recht für die Interpretation der DSGVO indes nicht (ohne Weiteres) massgebend sein. Nachdem die DSGVO selbst auf mathematisch-statistische Verfahren nur in ihrem nicht verfügenden Teil verweist und die Entstehungsgeschichte von EG 71 Satz 6 DSGVO darauf hindeutet, dass der Gesetzgeber insofern gerade eben keine verbindliche Regel schaffen wollte,[165] ist die auf mathematisch-statistische Verfahren abgestützte Relevanz zwar eine hinreichende, nicht aber eine notwendige Voraussetzung für die Eignung von Daten zur Kreditwürdigkeitsprüfung. Noch weniger kann daher vorausgesetzt sein, dass die Auskunftei – wie die Lehre teilweise zu verlangen scheint – empirische Belege für die Aussagekraft der fraglichen Information beibringt.[166] Vielmehr genügt es auch unter der DSGVO, wenn das Datum aufgrund der allgemeinen Lebenserfahrung für die Kreditwürdigkeitsprüfung relevant ist.[167]

Die Voraussetzung der Erforderlichkeit für die Kreditwürdigkeitsbeurteilung, insbesondere den Aspekt, dass keine weiteren Daten verwendet werden dürfen, sofern sie der Prognosefähigkeit der Beurteilung nicht mehr zuträglich sind,[168] klammert die Lehre weitgehend aus.[169] Diese Voraussetzung, die sich aus Art. 5 Abs. 1 lit. c DSGVO und ebenso aus der von Art. 6 Abs. 1 (UAbs. 1 lit. f) DSGVO verlangten Erforderlichkeit ableitet,[170] ist aber auch unter der DSGVO bei Kreditwürdigkeitsprüfungen im Einzelfall zu berücksichtigen.

Darüber hinaus ist eine Interessenabwägung mit Blick auf die vernünftigen Erwartungen der betroffenen Person erforderlich,[171] ähnlich wie sie die Prüfung der Zumutbarkeit verlangt. Dabei wird zu berücksichtigen sein, dass nach der Rechtsprechung des EuGH (zu Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) Daten, die als negativer Faktor bei der Beurteilung der Kreditwürdigkeit der betroffenen Person dienen, sensible Informationen über ihr Privatleben darstellen.[172] Ihre Verarbeitung, so der EuGH, könne den Interessen der betroffenen Person beträchtlich schaden, da ihre Weitergabe geeignet sei, der betroffenen Person die Ausübung ihrer Freiheiten erheblich zu erschweren, insbesondere bei der Deckung von Grundbedürfnissen. Deshalb würden die Speicherung, Analyse und Weitergabe solcher Daten durch eine Auskunftei einen schweren Eingriff in die Grundrechte nach Art. 7 f. GRCh darstellen.[173] Was diese grundrechtliche Einschätzung für die Interessenabwägung konkret bedeutet, erläuterte der EuGH nicht weiter. Dass er darauf abstellte, dass ein Datum als negativer Faktor bei der Kreditwürdigkeitsbeurteilung dient, lässt sich als Hinweis deuten, dass er – wie insbesondere die (sogleich zu thematisierende[174]) deutsche Lehre – unter den für diesen Zweck verarbeiteten Daten zwischen Negativ- und Positivdaten unterscheidet.

Daneben ist im Rahmen der Interessenabwägung auch etwa zugunsten der Verarbeitung zu berücksichtigen, dass die Daten gegebenenfalls aus öffentlich zugänglichen Quellen wie öffentlichen Registern stammen, weil das Interesse der betroffenen Person an der Geheimhaltung dann reduziert ist bzw. sie vielmehr mit deren weiteren Verarbeitung rechnen muss.[175] Dies gilt insbesondere, wenn die betreffenden Register dem Rechtsverkehr und potenziellen Vertragspartnerinnen dienen, in der Schweiz etwa beim Betreibungs- und dem Handelsregister. Die Interessen der betroffenen Person, die gegen die Verarbeitung von aus dem Betreibungsregister stammenden Daten sprechen, erscheinen wenig schutzwürdig.[176] Auch bei Daten aus dem Handelsregister dürfte das Interesse an der Verarbeitung grundsätzlich überwiegen.[177]

Nach einer Stimme in der Lehre muss die Auskunftei die kreditinteressierte Person zudem individuell bewerten, was nicht der Fall sei, wenn die Bewertung überwiegend nur auf allgemeinen statistischen Erkenntnissen oder auf Angaben über andere Personen wie Bewohner derselben Strasse beruhe.[178] Ähnlich will auch der EDSB aus der Datenminimierung ableiten, dass für die Kreditwürdigkeitsprüfung verwendete Daten in eindeutigem Zusammenhang mit der Fähigkeit der betroffenen Person stehen müssten, den Kredit zurückzuzahlen.[179] Diese Positionen erinnern an das Kriterium des EDÖB und des Bundesrates, wonach die bearbeiteten Daten einen direkten Bezug zum (Zahlungs‑)Verhalten und/oder der Kreditwürdigkeit der betroffenen Person aufweisen bzw. individuell auf die Zahlungsfähigkeit bzw. -willigkeit zugeschnitten sein müssten.[180] Auch unter der DSGVO lässt sich eine solche generelle Einschränkung indes nicht begründen; vielmehr ist – wie sonst – zu prüfen, ob die von der Auskunftei verarbeiteten Daten für die Kreditwürdigkeitsprüfung (im beschriebenen Sinn) geeignet sind, deren (zusätzliche) Verarbeitung die Prognosefähigkeit der Kreditwürdigkeitsbeurteilung verbessert und dafür die Interessenabwägung positiv ausfällt. Im Rahmen der Abwägung ist gegebenenfalls auch zu berücksichtigen, dass es objektiv betrachtet für die betroffene Person unerwartet ist, aufgrund eines Datums beurteilt zu werden, dessen Relevanz sich nicht aus einem eindeutigen Zusammenhang mit der Zahlungsfähigkeit, sondern aus statistischen Erkenntnissen über Dritte ergibt.

Unterteilung in Negativ- und Positivdaten

Um die erforderliche Interessenabwägung zu konkretisieren, unterscheidet die deutsche Lehre unter Rückgriff auf eine ursprünglich der deutschen Rechtsprechung entstammenden Kategorisierung[181] (harte und weiche) Negativdaten zum einen und Positivdaten[182] zum anderen.[183] Die Lehre diskutiert die Kategorisierung zwar vorab hinsichtlich der Übermittlung von Daten durch Dritte an Auskunfteien,[184] sie lässt sich aber auch auf die Verarbeitungen der Auskunftei, also deren Beschaffung, Verwendung für die Kreditwürdigkeitsprüfung und Bekanntgabe an die Kreditgeberin, anwenden.

Dies zeigt sich auch am zuweilen herangezogenen § 31 Abs. 2 BDSG/DE, der nicht die Übermittlung durch Dritte, sondern die Verwendung von Daten für den Kreditscore adressiert.[185] Konkret listet die Bestimmung die Fälle auf, in denen eine Auskunftei Informationen über fällige Forderungen für einen Kreditscore verwenden darf, wozu die durch ein rechtskräftiges Urteil festgestellte oder durch den Schuldner anerkannte Forderung zählen. § 31 BDSG/DE ist zwar für die Auslegung der DSGVO unverbindlich. Zudem hat ein Generalanwalt die Vereinbarkeit dieses Paragrafen mit dem Unionsrecht verneint[186] und der EuGH hat diesbezüglich durchgreifende Bedenken geäussert.[187] Dennoch dürften die in § 31 BDSG/DE enthaltenen Wertentscheide (zumindest in der deutschen Praxis) für die Interessenabwägung weiterhin eine wichtige Rolle spielen,[188] zumal dessen hier interessierender Abs. 2 in den geplanten, neuen § 37a BDSG-RegE/DE überführt werden soll.[189]

Negativdaten

Trotz uneinheitlicher Terminologie lässt sich vereinfachend sagen, dass sich Negativdaten auf Zahlungsverzögerungen oder -ausfälle beziehen, während die anschliessend zu diskutierenden Positivdaten alle übrigen Informationen umfassen. Innerhalb der Negativdaten grenzt die Lehre sodann harte von weichen Negativdaten ab, wobei unterschiedliche Begriffsverständnisse bestehen:

Nach einem ersten Verständnis stützen sich harte Negativdaten auf objektive Tatsachen wie etwa ein Gerichtsurteil oder eine Anerkennung des Schuldners. Weiche Negativdaten stellen demgegenüber lediglich Indizien betreffend die Kreditwürdigkeit dar.[190]

Nach einem zweiten Verständnis werden harte Negativdaten durch die staatliche Mitwirkung oder die Einhaltung gesetzlicher Verfahrensvorschriften geschaffen, z.B. auch die Eröffnung oder Durchführung des Insolvenzverfahrens, während weiche Negativdaten durch die einseitige Rechtsausübung seitens der Gläubigerin entstehen.[191]

Zu den harten Negativdaten werden üblicherweise etwa die Eröffnung eines Insolvenzverfahrens, die Zwangsvollstreckung aufgrund eines rechtkräftigen Titels und (jedenfalls nach dem ersten Verständnis) eine vom Schuldner anerkannte Forderung gezählt.[192] Ungeachtet des Begriffsverständnisses zeichnen sie sich durch ihre gegenüber weichen Negativdaten gesteigerte Aussagekraft über die Kreditwürdigkeit der betroffenen Person aus.[193] Bei ihrer Verarbeitung überwiegt das Interesse der Auskunftei regelmässig,[194] da die Interessen der betroffenen Person, die gegen die Verarbeitung dieser Daten zum Zweck der Kreditwürdigkeitsprüfung sprechen, grundsätzlich wenig schützenswert sind.[195]

Als weiche Negativdaten gelten beispielsweise Mahnungen, Zahlungsverzüge oder die Einleitung eines Gerichtsverfahrens.[196] Zufolge geringerer Aussagekraft ist bei den weichen Negativdaten auch das Interesse von Kreditgeberinnen an deren Kenntnis bzw. Verwendung für die Beurteilung entsprechend weniger gewichtig.[197] Problematisiert wird deren Verarbeitung vereinzelt, weil sie betroffene Personen veranlassen könne, zwecks Verhinderung einer schlechten Kreditwürdigkeitsbeurteilung zu Recht bestrittene Forderungen zu begleichen.[198] Dies ist zwar nicht auszuschliessen, dürfte aber höchstens in Ausnahmefällen vorkommen. Denn dafür muss sich die Begleichung angesichts des Forderungsbetrags und der (von der betroffenen Person erwarteten) Auswirkung auf die Kreditwürdigkeitsbeurteilung im Kontext allfälliger anderer Daten erst lohnen. Auch kann die betroffene Person in solchen Fällen (nötigenfalls auf dem Klageweg) gegen die behauptete Forderung rechtlich vorgehen und ihre Betroffenenrechte ausüben, etwa einen Widerspruch gegen die Verwendung einlegen (vgl. Art. 21 Abs. 1 DSGVO) oder gar die Löschung oder Berichtigung der falschen Negativdaten verlangen (vgl. Art. 16 f. DSGVO).

Gegen die Verwendung weicher Negativdaten wird weiter vorgebracht, dass der Zusammenhang zwischen ihnen und einer Kreditwürdigkeitsprüfung trotz nachweisbarer statistischer Relevanz den vernünftigen Erwartungen der betroffenen Person widersprechen könne.[199] Dies vermag nicht zu überzeugen, erscheint es doch im Gegenteil objektiv naheliegend, dass von vergangenen auf künftige Zahlungsverzögerungen und -ausfälle geschlossen wird.[200] Ebenso wenig kann es eine kreditinteressierte Person überraschen, wenn – die Eignung für die betreffende Kreditwürdigkeitsprüfung vorausgesetzt – Informationen zu bestimmten Forderungen, etwa aus einem Telekommunikationsvertrag, ausserhalb dieses Kontexts, z.B. für eine Auskunft im Hinblick auf den Abschluss eines Mietvertrags, verwendet werden.[201] Es mag zwar zutreffen, dass sich die Zahlungsmoral einer Person in bestimmten Kontexten unterscheidet, dennoch liegt es nicht fern, aus negativen Zahlungserfahrungen über deren Kontext hinaus Schlüsse auf die (generelle) Kreditwürdigkeit zu ziehen. Im Gegenteil darf eine kreditinteressierte Person nicht für jeden Konsumbereich oder Vertragstypen eine spezifische Kreditwürdigkeitsprüfung erwarten. Gewisse kontextabhängige Anpassungen ihrer Kreditwürdigkeitsbeurteilungen wird eine Auskunftei indes freilich vornehmen müssen, allenfalls mit unterschiedlichen Auskunftsprodukten.[202]

Vor diesem Hintergrund lässt sich nicht generell sagen, dass die Verarbeitung weicher Negativmerkmale «vielfach unzulässig» ist.[203] Vielmehr dürfte die Verarbeitung von weichen Negativmerkmalen regelmässig zulässig sein bzw. sich zulässig ausgestalten lassen, wobei hinsichtlich einzelner Daten bzw. Datenkategorien zu differenzieren ist.[204]

Positivdaten

Den Begriff der Positivdaten definiert die Lehre nicht einheitlich, wobei im Wesentlichen zwei unterschiedliche Ansätze bestehen:

Nach der ersten Definition stellen Positivdaten jene Informationen dar, die keine negativen Zahlungserfahrungen oder sonstiges nicht vertragsgemässes Verhalten zum Inhalt haben.[205] Dazu gehören beispielsweise fristgerechte Zahlungen oder die Wohngegend, ungeachtet der positiven oder negativen Auswirkung auf die Kreditwürdigkeitsbeurteilung.

Nach der zweiten Definition sind Positivdaten jene Informationen, welche die Kreditwürdigkeitsbeurteilung der betroffenen Person (ausschliesslich) positiv beeinflussen.[206] Hierzu zählen fristgerechte Zahlungen; bei der Wohngegend wird es hingegen auf den Einzelfall ankommen.

Gegen die Zulässigkeit der Verarbeitung von Positivdaten wird (ebenfalls) vorgebracht, dass deren Verwendung nicht den vernünftigen Erwartungen der betroffenen Person entsprechen könne: Der Zusammenhang zwischen dem einbezogenen Datum wie etwa dem Kaufverhalten oder der Wohngegend und der Kreditwürdigkeitsbeurteilung überrasche die betroffene Person, auch wenn er statistisch nachweisbar sei.[207] Zudem werden verhaltenslenkende Wirkungen, also «chilling effects», befürchtet, wenn die betroffene Person bereits bei «neutralen Handlungen» eine Verschlechterung ihres Scorewerts befürchten müsse.[208]

Freilich liegt die Verwendung solcher Positivdaten – objektiv betrachtet – weniger nahe als jene von (weichen) Negativdaten. Gleichwohl kann die Verwendung von Positivdaten die betroffene Person kaum überraschen, wenn sie entsprechend informiert worden ist.[209] Hinsichtlich etwaiger «chilling effects» ist zunächst (erneut) festzuhalten, dass diesbezügliche empirische Studien aktuell noch weitestgehend fehlen.[210] Gerade etwa bei der Wohngegend ist es höchst zweifelhaft, ob eine betroffene Person wegen deren Relevanz für ihre Kreditwürdigkeitsbeurteilung andernorts hinziehen würde. Doch selbst wenn solche Effekte tatsächlich bestünden, erweisen sie sich nicht bei sämtlichen Positivdaten als problematisch und vermögen sie deren Verarbeitung nicht generell auszuschliessen. Beispielsweise bei der Erfassung und Verwendung fristgerechter Zahlungen dürfte es vielmehr willkommen sein, wenn dies verhaltenslenkend wirkt, konkret die Zuverlässigkeit bei der Schuldentilgung erhöht.

Für die Zulässigkeit spricht, dass die Verarbeitung von Positivdaten im Einklang mit den Interessen der betroffenen Person steht[211] – jedenfalls soweit den Positivdaten die zweite der zuvor genannten Definitionen zugrunde liegt. Deutlich wird das Interesse der betroffenen Person, wenn eine Auskunftei bloss Negativdaten über sie bearbeitet und diese somit kontextlos dastehen.[212] Die Positivdaten vermögen die Negativdaten zu relativieren und die betroffene Person damit vor ungerechtfertigten Nachteilen zu bewahren.[213] Diesem Argument wird entgegengehalten, dass es für die Verarbeitung von (beliebigen) Positivdaten bereits deren statistisch begründbare Relevanz oder einen Korrelationszusammenhang genügen lasse.[214] Jedoch blendet dieser Einwand aus, dass die statistische Relevanz lediglich die Eignung eines Positivdatums für die Kreditwürdigkeitsprüfung zu begründen vermag. Ist die Verarbeitung weiterer geeigneter Daten (der Prognosefähigkeit) der Beurteilung nicht mehr zuträglich oder erscheint sie unzumutbar, hat sie zu unterbleiben.

Zugunsten von Positivdaten spricht weiter, dass eine Beschränkung auf Negativdaten zu einem unvollständigen, mithin irreführenden Bild führt und darum mit dem Grundsatz der Datenrichtigkeit, der unter anderem die Vollständigkeit der verarbeiteten Daten verlangt,[215] in Konflikt träte.[216] In diese gedankliche Richtung erwog denn auch der deutsche Bundesgerichtshof, dass Kreditinformationssysteme so organisiert sein müssten, dass die gespeicherten Daten insgesamt ein möglichst vollständiges, aktuelles Bild der Kreditwürdigkeit bieten würden.[217] Schliesslich spricht für die Verwendung von Positivdaten, dass sie weniger stigmatisierend wirken und damit auch weniger sensibel sind als Negativdaten.[218]

Vor diesem Hintergrund ist die Auffassung, dass die Verarbeitung von Positivdaten mangels überwiegenden Interesses eine Einwilligung erfordere,[219] abzulehnen.[220] Dies bedeutet indes nicht, dass eine Auskunftei sämtliche Positivdaten verarbeiten darf. Vielmehr kann die Verarbeitung in Abhängigkeit des fraglichen Datums bzw. der fraglichen Datenkategorien zulässig sein bzw. zulässig ausgestaltet werden.

Betrachtung ausgewählter Datenkategorien

Aufgrund der erforderlichen Einzelfallbetrachtung vermag die Bearbeitung eines bestimmten Datums zur Prüfung und Beurteilung der Kreditwürdigkeit in einem Zusammenhang verhältnismässig zu sein, in einem anderen nicht. So kann sich ein Datum je nach zu beurteilendem kreditorischem Risiko als geeignet oder ungeeignet,[221] erforderlich oder nicht[222] und insbesondere als zumutbar oder unzumutbar[223] erweisen. Die nach DSG und DSGVO für die Kreditwürdigkeitsprüfung als verhältnismässig zu betrachtenden Daten lassen sich insoweit nicht generell bestimmen.[224]

Dementsprechend wären die Auskunfteien grundsätzlich gehalten, die Verhältnismässigkeit im Einzelfall und für jede einzelne Kreditgeberin und betroffene Person zu beurteilen. Dies ist aber in der Praxis kaum umsetzbar, insbesondere wenn es um Massengeschäfte wie im Online-Handel geht. Unter dem DSG lässt es daher auch der Bundesrat genügen, wenn die Auskunftei auf typische Kundenbedürfnisse zugeschnittene Kategorien bildet.[225] Dies wird auch unter der DSGVO ausreichen, nachdem die Beurteilung des berechtigten Interesses (Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) eine typisierte Betrachtung zulässt,[226] was für die Verhältnismässigkeitsvorgaben der DSGVO generell gelten muss. Für Auskunfteien mit heterogener Kundschaft drängt es sich daher auf, unterschiedliche, auf jeweils eigene Modelle[227] abstellende Auskunftsprodukte anzubieten. Beispielsweise kann es erforderlich sein, ein Produkt für den Online-Handel, wo Rechnungskäufe im Vordergrund stehen, und eines für Kreditgeschäfte grösserer Tragweite wie Leasinggeschäfte vorzusehen, das auf eine ausgeweitete Datengrundlage abstellt.[228]

Zur Einzelfallabhängigkeit kommt hinzu, dass sich die Erforderlichkeit und Zumutbarkeit der Bearbeitung eines bestimmten Datums für die Kreditwürdigkeitsbeurteilung eigentlich erst konkret beurteilen lässt, wenn feststeht, dass und wie gut sich ein bestimmtes Datum für diesen Zweck eignet.[229] Dennoch sollen anschliessend ausgewählte Daten bzw. Datenkategorien betrachtet und – soweit möglich – hinsichtlich der Verhältnismässigkeit geprüft werden.

Betreibungsvorgänge

Art. 8a SchKG erlaubt Kreditgeberinnen, insbesondere zur Prüfung der Bonität von (potenziellen) Schuldnern,[230] beim zuständigen Amt Informationen über diese betreffende Betreibungsvorgänge zu beschaffen.[231] Bei einer Einsicht zwecks Kreditwürdigkeitsprüfung genügt gemäss der Lehre in den meisten Fällen eine sog. «summarische Betreibungsauskunft»,[232] die unter anderem sämtliche Betreibungen der letzten fünf Jahre und deren aktuellen Stand enthält.[233] Da sich eine Betreibung ohne Nachweis bzw. gerichtliche Überprüfung der Forderung einleiten lässt, sind missbräuchliche Betreibungen, insbesondere zur Schädigung der Kreditwürdigkeit des Betriebenen, möglich.[234] Mit punktuellen Einschränkungen des Einsichtsrechts (Art. 8a Abs. 3 SchKG) hat der Gesetzgeber daher versucht, zum Schutz der Persönlichkeit des Betriebenen Auskünfte zu verhindern, die keinen genügenden Rückschluss auf dessen Kreditwürdigkeit erlauben.[235]

Angesichts der hierbei zum Ausdruck kommenden Wertungen lässt sich ungeachtet des konkreten kreditorischen Risikos schwerlich behaupten, die Bearbeitung von Betreibungsvorgängen sei für den Zweck der Kreditwürdigkeitsprüfung ungeeignet oder unzumutbar. Gerade auch aus den Einschränkungen des Einsichtsrechts ist im Umkehrschluss abzuleiten, dass nach Ansicht des Gesetzgebers Betreibungen, von denen das Amt Dritten Kenntnis gibt, für die Beurteilung der Kreditwürdigkeit geeignet sind und deren Bearbeitung der betroffenen Person auch zumutbar ist.[236] Daher lässt sich unter schweizerischem Recht kaum generell in Frage stellen, dass es verhältnismässig ist, Betreibungsvorgänge zur Kreditwürdigkeitsprüfung zu bearbeiten. Die Verwendung von Betreibungsvorgängen wie die Anhebung der Betreibung, deren Fortsetzung, Pfändungen sowie Konkursmeldungen (insbesondere über Privatkonkurse aus dem SHAB) erachten denn auch der EDÖB und die Lehre zum aDSG für Kreditwürdigkeitsprüfungen als verhältnismässig.[237]

In der Lehre und Praxis zur DSGVO finden sich – wenig überraschend – keine Äusserungen zu einem mit der Betreibung vergleichbaren Institut. Die Betreibung stellt nämlich als Einleitung eines Vollstreckungsverfahrens ohne Nachweis und gerichtliche Prüfung der betreffenden Forderung eine Besonderheit des schweizerischen Vollstreckungsrechts dar.[238] Betreibungsvorgänge lassen sich aber in die Kategorien der harten bzw. weichen Negativdaten einordnen. Nach dem Verständnis, das auf die staatliche Mitwirkung oder die Einhaltung von gesetzlichen Verfahrensvorschriften abstellt, qualifizieren die Betreibungsvorgänge generell als harte Negativdaten, nach dem anderen Verständnis hingegen nur, wenn sich der Betreibungsvorgang bzw. die Forderung auf ein Gerichtsurteil oder eine Schuldanerkennung abstützt.[239] Zumindest bei Vorliegen dieser Voraussetzung erscheinen die Interessen der betroffenen Person, die gegen die Verarbeitung der Betreibungsvorgänge für eine Kreditwürdigkeitsbeurteilung sprechen, wenig schützenswert und damit von geringem Gewicht.

Auch im Übrigen dürfen die Betreibungsvorgänge nach hier vertretener Ansicht (als weiche Negativdaten) verarbeitet werden. Diesfalls lassen sich zwar weniger zuverlässige Schlüsse ziehen; dennoch werden die Daten für die Kreditwürdigkeitsbeurteilung geeignet sein, nachdem auch der schweizerische Gesetzgeber (gestützt auf die allgemeine Lebenserfahrung) von möglichen Rückschlüssen ausgeht und die Daten auch statistisch relevant sein dürften. Ab Zustellung des Zahlungsbefehls wird die betroffene Person auch vernünftigerweise erwarten müssen, dass die Betreibungsvorgänge zur Beurteilung ihrer Kreditwürdigkeit verarbeitet werden. Hinzu kommt, dass die Betreibungsvorgänge für Dritte mit glaubhaftem Interesse ohnehin allgemein zugänglich sind und das Gesetz[240] deren Verwendung für Kreditwürdigkeitsprüfungen gutheisst, weshalb die Interessen der betroffenen Person kaum überwiegen. Zwar werden diese Daten als negative Faktoren dienen, sodass sie gemäss EuGH als sensible Informationen über das Privatleben zu betrachten sind und ihre Verarbeitung einen schweren Eingriff in Art. 7 f. GRCh darstellt.[241] Dies allein steht nach dem Gesagten der Verwendung von Betreibungsvorgängen aber nicht grundsätzlich im Weg.

Negative Zahlungserfahrungen

Inkassodaten – aus dem der Auskunftei eigenen Inkassogeschäft oder von dritten Inkassounternehmen – und sonstige negative Zahlungserfahrungen umfassen etwa Angaben über den Forderungsbetrag, die Rückstandsdauer und die Gläubigerin. Ob die Bearbeitung dieser Daten für die Kreditwürdigkeitsbeurteilung verhältnismässig ist, liess der EDÖB in der Sache Teledata offen – allerdings nicht, weil die Rechtslage unklar wäre, sondern weil widersprüchliche Informationen über die Daten vorlagen, welche die Auskunftei als «Zahlungserfahrungen» bearbeitete.[242] In einer anderen Sachverhaltsabklärung prüfte der EDÖB, ob die Bearbeitung von Zahlungserfahrungen für einen Bonitätsscore (von potenziellen Mietparteien) zulässig ist, monierte aber – anders als bei anderen verwendeten Daten – lediglich eine Verletzung des Transparenz‑, nicht des Verhältnismässigkeitsgrundsatzes.[243] Die Lehre zum aDSG bejaht die Verhältnismässigkeit mehrheitlich,[244] während die Frage im Anwendungsbereich der DSGVO unter dem Begriff der weichen Negativdaten umstritten ist.[245]

Auch Inkassodaten und andere Zahlungserfahrungen sind für die Kreditwürdigkeitsbeurteilung geeignet, jedenfalls sofern sie dafür statistisch relevant sind und sich dies nachweisen lässt. Es scheint naheliegend, dass vergangene Ausfälle Schlüsse auf künftige Ausfälle zulassen. Dies anerkennt denn auch etwa der deutsche Gesetzgeber, indem er Auskunfteien erlaubt, zumindest Informationen über bestimmte fällige, aber nicht bediente Forderungen für einen Kreditscore zu verwenden (vgl. § 31 Abs. 2 BDSG/DE[246]). Unter einer negativen Zahlungserfahrung lässt sich auch der Umstand verstehen, dass eine Kreditgeberin die betroffene Person gemahnt hat. Mangels einheitlicher Praxis der Kreditgeberinnen erlauben Mahnungen indes kaum zuverlässige Schlüsse, weshalb sie tendenziell als ungeeignet zu betrachten sind.[247]

Für die Interessenabwägung lassen sich unter der DSGVO die Wertentscheide von § 31 Abs. 2 BDSG/DE heranziehen.[248] Diese Bestimmung erlaubt, fällige, nicht erbrachte Forderungen ins Kreditscoring einzubeziehen, wenn der Schuldner sie ausdrücklich anerkannt oder ein Gericht sie festgestellt hat (§ 31 Abs. 2 Satz 1 Ziff. 1 und 3 BDSG/DE) oder, wenn – neben hier auszuklammernden Sonderfällen[249] – eine der zwei folgenden Konstellationen gegeben ist:

Die Forderung ist nicht bestritten[250] und der Schuldner wurde nach Eintritt der Fälligkeit mindestens zweimal schriftlich gemahnt. Die Auskunftei darf die Informationen frühestens vier Wochen nach der ersten Mahnung berücksichtigen, wobei der Schuldner über die mögliche Berücksichtigung unterrichtet worden sein muss, und zwar frühestens in der ersten Mahnung (§ 31 Abs. 2 Satz 1 Ziff. 4 BDSG/DE).

Der Forderung liegt ein Vertragsverhältnis zugrunde, das sich wegen Zahlungsrückständen fristlos kündigen lässt, und der Schuldner wurde zuvor über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet (§ 31 Abs. 2 Satz 1 Ziff. 5 BDSG/DE).

Bei den in § 31 Abs. 2 Satz 1 BDSG/DE genannten negativen Zahlungserfahrungen ist davon auszugehen, dass das Interesse an deren Verwendung für das Kreditscoring das Interesse der betroffenen Person überwiegt.[251] Zwar lassen sich nur die von Ziff. 1 und 3 erfassten Informationen als harte Negativdatenqualifizieren.[252] Sämtliche erfassten Konstellationen erlauben aber eine abgesicherte Aussage über die negative Zahlungserfahrung,[253] da entweder eine objektive Tatsache (Urteil oder ausdrückliche Anerkennung) vorliegt oder der betroffenen Person mit der vorgängigen Unterrichtung über die Verwendung ermöglicht wird, zu reagieren, namentlich mit einer Bestreitung oder Zahlung. Die berechtigten Interessen der betroffenen Person lassen sich damit ausreichend wahren.[254] Diese Überlegungen leuchten auch für das DSG ein und lassen sich auf die Abwägung im Rahmen der Zumutbarkeit übertragen. Daher ist nach hier vertretener Ansicht die Verwendung von negativen Zahlungserfahrungen, welche die vorgenannten Voraussetzungen erfüllen, (auch) nach DSG regelmässig als verhältnismässig zu betrachten.

Ob darüber hinaus die Verwendung weiterer negativer Zahlungserfahrungen nach europäischem und schweizerischem Recht verhältnismässig ist, erfordert eine nähere Prüfung im Einzelnen, erscheint aber denkbar.[255] Bei der vorzunehmenden Abwägung ist zu bedenken, dass Gläubigerinnen bei Aussichtslosigkeit der Vollstreckung oder bei kleinen Beträgen aufgrund des Aufwands gar nicht erst eine Betreibung einleiten, weshalb es für ein vollständigeres Bild angezeigt ist, bereits die Bearbeitung von negativen Zahlungserfahrungen und nicht erst von Betreibungsvorgängen[256] zuzulassen.[257] Mit Blick auf die Rechtsprechung wird unter der DSGVO ausserdem zuungunsten der Verarbeitung zu berücksichtigen sein, dass die negativen Zahlungserfahrungen als negative Faktoren dienen werden und die Verarbeitung daher gemäss EuGH einen schweren Eingriff in die Grundrechte nach Art. 7 f. GRCh darstellt.[258]

Geschlecht und Zivilstand

Ob die Verwendung des Geschlechts für die Kreditwürdigkeitsbeurteilung der Verhältnismässigkeit standhält, ist – jedenfalls unter der DSGVO – umstritten.[259] Der Bundesrat äusserte sich kritisch, weil das Geschlecht nicht auf die individuelle Zahlungsfähigkeit bzw. -willigkeit zugeschnitten sei und zu falschen Schlüssen führen könne, gerade wenn die Berücksichtigung auf statistischen Wahrscheinlichkeiten beruhe.[260] Dieser Einwand überzeugt nach dem Gesagten nicht.[261] Im Gegenteil muss das Datenschutzrecht eine statistische Relevanz für die Eignung genügen lassen, z.B., dass (womöglich) von Männern das grössere kreditorische Risiko ausgeht.[262] So lässt sich denn auch eine Wortmeldung zur DSGVO verstehen, wonach sich Angaben zum Geschlecht für das Kreditscoring verwenden liessen, aber im Einzelfall stichhaltig begründet werden müsse, weshalb Männer und Frauen anders behandelt würden.[263]

Unter dieser Voraussetzung erscheint durchaus denkbar, dass die Verwendung des Geschlechts für die Kreditwürdigkeitsprüfung (auch) zumutbar und damit verhältnismässig ist. Das Merkmal des Geschlechts ist zwar wegen des Diskriminierungsrisikos nicht unproblematisch, dafür handelt es sich um ein Datum, das (regelmässig) öffentlich ist, die Auskunfteien (auch) für die Identifikation bearbeiten dürfen und gegebenenfalls schon deswegen beschaffen und das auf die betroffenen Personen (wenn man vom Bestehen von «chilling effects» ausgeht) auch nicht verhaltenslenkend wirkt. Die Verwendung des Geschlechts für Kreditwürdigkeitsprüfungen liegt zwar weniger nahe als jene der zuvor betrachteten Datenkategorien; sie muss sich aber für ihre Zulässigkeit unter der DSGVO auch nicht zwingend aufdrängen. Im Übrigen lässt sich mit einer entsprechenden Information der betroffenen Personen auf deren vernünftigen Erwartungen Einfluss nehmen.[264]

Die Verwendung des Zivilstands erachtete die eidgenössische Datenschutzkommission als weder tauglich noch erforderlich zur Abschätzung der ökonomischen Lage einer Mietpartei, ergebe sich doch z.B. aus dem Umstand, dass jemand geschieden sei, nicht zwingend eine Unterhaltspflicht.[265] Ohne Begründung hielt auch die hessische Aufsichtsbehörde dafür, dass Auskunfteien Angaben bezüglich des Familienstandes nicht für Kreditauskünfte verwenden dürften.[266] Vermutlich liegt beiden Positionen (wiederum) das nicht überzeugende Argument des Risikos von Fehlschlüssen zugrunde.

Allerdings ist durchaus vorstellbar, dass der Zivilstand für die Kreditwürdigkeitsprüfung statistisch relevant und damit als geeignet zu betrachten ist.[267] Zwar birgt der Zivilstand das Potenzial der Diskriminierung gestützt auf das grundrechtlich geschützte Merkmal der sexuellen Orientierung;[268] das Diskriminierungspotenzial lässt sich indes durch eine Gleichbehandlung von eingetragener Partnerschaft und Ehe auflösen.[269] Auch wird die Verwendung des Zivilstands kaum zu unerwünschten Verhaltenslenkungen führen. Die vernünftigen Erwartungen der betroffenen Personen sprechen zwar tendenziell gegen eine Verwendung des Zivilstands, jedoch lassen sich diesbezüglich dieselben Argumente relativierend vorbringen wie zuvor bei der Verwendung des Geschlechts. Jedenfalls für eine Kreditwürdigkeitsprüfung im Hinblick auf Kreditgeschäfte grösserer Tragweite kann daher die Verwendung des Zivilstands oder dessen Änderung durchaus verhältnismässig sein.

Wohngegend und statistische Umgebungsdaten

Die schweizerische Lehre und Praxis stehen der Verwendung des Wohnorts bzw. der Wohngegend kritisch gegenüber: Die Lehre hält es für unzulässig, den Wohnort in den Kreditscore einzubeziehen,[270] der EDÖB stufte Adressdaten als für die Beurteilung der Kreditwürdigkeit ungeeignet ein,[271] und der Bundesrat bewertete die Verwendung der Wohngegend für diesen Zweck (ebenfalls) als ungeeignet.[272] Ein Teil der Lehre zur DSGVO hält dafür, dass der Wohnort bzw. die Wohngegend zwar für die Kreditwürdigkeitsbeurteilung erheblich oder statistisch relevant sein könne, deren Verwendung indes unzulässig sei, da sie Diskriminierungsgefahr berge und für die betroffene Person unerwartet sei.[273] Eine andere Stimme befindet die Verwendung der Wohnumgebung (zumindest implizit) als zulässig.[274] Auch das BDSG/DE geht davon aus, dass die Nutzung von Anschriftendaten[275] für das Scoring unter der DSGVO erlaubt sein kann, wenn es für die Verwendung des damit berechneten Wahrscheinlichkeitswerts (unter anderem) voraussetzt, dass zum einen die Vorschriften des Datenschutzrechts eingehalten und zum anderen für die Berechnung nicht ausschliesslich[276] Anschriftendaten genutzt wurden (§ 31 Abs. 1 Ziff. 1 bzw. Ziff. 3 BDSG/DE).[277]

Ein Spezialfall der Daten über die Wohngegend sind statistische Umgebungsdaten.[278] Laut EDÖB eignet sich die statistische Umgebungsanalyse grundsätzlich, über die Bonität zusätzliche Anhaltspunkte zu liefern. Sofern die Auskunftei die Daten nicht in den Kreditscore miteinbeziehe, aber der Kreditgeberin als zusätzliche Entscheidungshilfe bekanntgebe, sei deren Bearbeitung «gerade noch datenschutzkonform». Die Bekanntgabe dürfe nur bei mit höherem Risiko verbundenen Kreditentscheiden, etwa einem Fahrzeug-Leasing, erfolgen, bei denen sich die Kreditgeberin Zeit für eine vertiefte Risikoeinschätzung nehme. Zudem müsse die Bekanntgabe inhaltlich auf die Altersstruktur, den Ausländeranteil, die Bauperiode, die Erwerbstätigkeit, den Gebäudetyp und das Wohneigentum beschränkt sein.[279] Die Lehre und Praxis zur DSGVO befassten sich soweit ersichtlich mit der Verwendung solcher Umgebungsdaten durch Auskunfteien noch nicht.

Ob der Wohnort oder die Wohngegend sich für Kreditwürdigkeitsbeurteilungen eignet, ist eine Frage der (insbesondere statistischen) Relevanz und nicht schon deswegen zu verneinen, weil auch Fehlschlüsse denkbar sind. Indem der EDÖB anerkennt, dass statistische Umgebungsdaten Anhaltspunkte über die Bonität liefern können und deren Bearbeitung (in beschränktem Umfang) erlaubt, gesteht selbst er zumindest gewissen Daten über die Wohngegend die Eignung für Kreditwürdigkeitsbeurteilungen zu. Ausserdem stuft der EDÖB in diesem Rahmen die Verwendung der Adresse zu diesem Zweck implizit als zulässig ein, zumal die Auskunftei diese für eine Umgebungsanalyse sachlogisch bearbeiten können muss.

Bei der vorzunehmenden Interessenabwägung sind insbesondere die negativen soziologischen Entwicklungen, etwa eine mögliche Ghettoisierung, und das Risiko von (indirekten) Diskriminierungen zu berücksichtigen, die aus der Verwendung von Wohnort oder Wohngegend hervorgehen können.[280] Diese potenziellen Folgen veranlassten den deutschen Gesetzgeber denn auch, die Verwendung von Anschriftendaten einzuschränken.[281] Nachdem die Regelung bloss deren ausschliessliche Verwendung verbietet, lässt sich daraus aber schliessen, dass die Berücksichtigung weiterer Merkmale mit relevanter Gewichtung (zumindest nach früherer Ansicht des deutschen Gesetzgebers) die angesprochenen Risiken zu entschärfen vermag.[282] Die Verwendung von Wohnort und Wohngegend für eine Kreditwürdigkeitsbeurteilung wird eine betroffene Person freilich weniger erwarten als beispielsweise die Verwendung von Zahlungserfahrungen; mit einer entsprechenden Information lassen sich die vernünftigen Erwartungen der betroffenen Person allerdings beeinflussen.[283] Jedenfalls im Zusammenhang mit der Einschätzung grösserer kreditorischer Risiken, z.B. beim genannten Fahrzeug-Leasing, dürfte sich nach hier vertretener Ansicht die Verwendung von Wohnort oder Wohngegend für einen Kreditscore verhältnismässig ausgestalten lassen.

Spezialfall Daten minderjähriger Personen

Im schweizerischen Recht (DSG)

Das besonders geregelte überwiegende Interesse für Datenbearbeitungen zur Kreditwürdigkeitsprüfung (Art. 31 Abs. 2 lit. c Ziff. 4 DSG) verlangt, dass die betroffene Person volljährig sein muss, damit sich der Verantwortliche darauf berufen kann. Wie bereits ausgeführt,[284] ergeben sich aus diesem Rechtfertigungsgrund keine generellen Vorgaben an Datenbearbeitungen zur Prüfung der Kreditwürdigkeit. Daher kann unter Umständen auch die Bearbeitung von Daten Minderjähriger, also von Personen, die das 18. Lebensjahr noch nicht zurückgelegt haben (Art. 14 ZGB), zulässig und namentlich verhältnismässig sein.

Auch minderjährigen Personen gesteht das schweizerische Zivilrecht in einem beschränkten Umfang die Handlungs- und Betreibungsfähigkeit zu, so etwa hinsichtlich des ihnen zur freien Nutzung und Verwaltung zugewendeten Vermögens sowie des durch eigene Arbeit erworbenen Vermögens.[285] In diesem Umfang werden sie also von der Rechtsordnung als nicht (mehr) besonders schutzbedürftig erachtet, weshalb es nur folgerichtig erscheint, dass sie insoweit bei beabsichtigten Kreditgeschäften auch einer Kreditwürdigkeitsprüfung unterliegen dürfen.

Unter altem Recht setzte der EDÖB mit Blick auf diese beschränkte Handlungsunfähigkeit Minderjähriger und zwecks Schaffung eines handhabbaren Kriteriums eine Altersgrenze von 16 Jahren fest. Minderjährige seien im Rahmen der Verwaltung und Nutzung des Kindesvermögens voll handlungsfähig und würden mit 16 Jahren üblicherweise frühestens eine Berufslehre ergreifen oder ein Gewerbe ausüben.[286] Mangels anderer ersichtlicher handhabbarer Kriterien erscheint es auch unter neuem Recht sinnvoll, bei einer betroffenen Person ab 16 Jahren davon auszugehen, dass sie im Rahmen ihrer beschränkten Handlungsunfähigkeit agiert. Demnach ist es (des Alters wegen) nicht als unverhältnismässig zu betrachten, zur Prüfung der Kreditwürdigkeit Daten von Personen ab 16 Jahren zu bearbeiten.

Im Übrigen ist hingegen auf Bearbeitungen von Daten Minderjähriger zur Prüfung deren Kreditwürdigkeit zu verzichten. In Bezug auf das der minderjährigen Person zur freien Nutzung und Verwaltung zugewendete Vermögen ist nämlich keine praxistaugliche Abgrenzung ersichtlich, die der Auskunftei in bestimmten Fällen die begründete Annahme erlauben würde,[287] dass sie Daten über minderjährige Personen bearbeitet, die im Rahmen ihrer beschränkten Handlungsunfähigkeit agieren. Auszunehmen sind auch die geringfügigen Angelegenheiten des täglichen Lebens (Art. 19 Abs. 2 ZGB), zu denen grundsätzlich auch Kreditgeschäfte zählen können.[288] Denn dort ist das Interesse an einer Kreditwürdigkeitsprüfung aufgrund der Geringfügigkeit weniger gewichtig, und es würde daraus der Wertungswiderspruch folgen, dass Datenbearbeitungen zur Kreditwürdigkeitsprüfung Minderjähriger bei geringfügigen Angelegenheiten (womöglich) verhältnismässig wären, nicht aber bei Geschäften grösserer Tragweite.

Im europäischen Recht (DSGVO)

Im europäischen Recht ist nach Art. 6 Abs. 1 UAbs. 1 lit. f i.f. DSGVO insbesondere von einer überwiegenden Schutzbedürftigkeit der Betroffeneninteressen auszugehen, wenn es sich bei der betroffenen Person um ein Kind handelt. Dabei dürften in Anlehnung an die UNO-Kinderrechtskonvention Personen unter 18 Jahren als Kinder gelten (Art. 1 KRK).[289] Dieser besondere Gewichtungsfaktor präjudiziert die Abwägung im Einzelfall nicht. Jedoch geht die Lehre zumindest bei den in EG 38 Satz 2 DSGVO genannten Datenverarbeitungen für Werbezwecke, für die Erstellung von Persönlichkeits- und Nutzerprofilen sowie durch Dienste, die Kindern direkt angeboten werden, von einer Vermutung aus, dass die Interessen der Kinder überwiegen würden.[290] Darüber hinaus nimmt die DSGVO eine Differenzierung nach Alter vor, indem sie Kindern über 16 Jahren für Dienste der Informationsgesellschaft, also im vergleichsweise risikoreichen Umfeld des Internets, die Einwilligungsfähigkeit zuspricht und Kindern unter 13 Jahren auf jeden Fall versagt (vgl. Art. 8 Abs. 1 DSGVO).[291]

Eine automatisierte Kreditwürdigkeitsbeurteilung, insbesondere die Berechnung eines Kreditscores, stellt ein Profiling dar.[292] Jedoch führt nicht jedes Profiling zu einem Persönlichkeitsprofil i.S.v. EG 38 Satz 2 DSGVO. Dies lässt sich unter anderem aus der in diesem EG enthaltenen Gegenüberstellung von Persönlichkeits- und Nutzerprofil und dem Umstand ableiten, dass die DSGVO in den übrigen Erwägungsgründen den Begriff des Profils verwendet und dessen Erstellung anspricht.[293] Der lediglich in den Erwägungsgründen verwendete Begriff des Persönlichkeitsprofils im Sinne der DSGVO fand bisher erst vereinzelt Aufmerksamkeit in der Lehre. In Abgrenzung zum Profiling liegt es nahe, dass dafür die Bewertung bloss einzelner persönlicher Aspekte – jedenfalls ausserhalb der Kategorien von Art. 9 DSGVO[294] – nicht genügt. Nach einer ausführlich begründeten Ansicht ist ein Profil erforderlich, das aufgrund der dieses ausmachenden Output-Daten eine Bewertung wesentlicher Merkmale der Persönlichkeit, insbesondere eine Analyse oder Vorhersage einzelner wesentlicher Charaktereigenschaften, der emotionalen Stimmung oder der Gesundheit etc., erlaubt.[295] Auch nach Massgabe dieses Verständnisses nimmt eine Auskunftei beim Kreditscoring keine Datenverarbeitung vor, die von EG 38 Satz 2 DSGVO erfasst ist und bei der ein Teil der Lehre (entsprechend) ein überwiegendes Interesse der minderjährigen Person vermuten will.

In der Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO lassen sich auch die erwähnten Erwägungen des EDÖB in Bezug auf die beschränkte Handlungsunfähigkeit berücksichtigen. Ist die minderjährige Person hinsichtlich Kreditgeschäfte handlungsfähig, liegt das berechtigte Interesse der Kreditgeberin, die Kreditwürdigkeit zu prüfen, auf der Hand. Zugleich dürfte bei einer insoweit handlungsfähigen Person davon ausgegangen werden, dass sie sich bei gehöriger Information auch über die Risiken und Folgen der mit einer Kreditwürdigkeitsprüfung verbundenen Datenverarbeitungen ausreichend bewusst ist (vgl. EG 38 Satz 1 DSGVO[296]). Angesichts der in Art. 8 Abs. 1 DSGVO ausdrücklich angelegten Differenzierung, die selbst für den Bereich des Internets die Schutzbedürftigkeit über 16-jähriger Kinder als reduziert betrachtet, und mit Blick auf dieselben Praktikabilitätsüberlegungen wie unter dem DSG erscheint eine Altersgrenze von 16 Jahren als gerechtfertigt. Vor diesem Hintergrund dürfen Auskunfteien meines Erachtens auch unter der DSGVO Daten von über 16 Jahre alten Minderjährigen zur Prüfung der Kreditwürdigkeit sammeln, verwenden und bekanntgeben.

Profiling zur Beurteilung der Kreditwürdigkeit (nur DSG)

Die Verhältnismässigkeit in materieller Hinsicht beschränkt – wie gesehen[297] – nicht nur den Kreis der für die Kreditwürdigkeitsprüfung bearbeiteten Daten, sondern auch die zu diesem Zweck erfolgenden Bearbeitungen samt ihrer Ausgestaltung. Dies bedeutet, dass auch die Vornahme eines Profilings, wie es die Berechnung des Kreditscores darstellt, an den Vorgaben der Eignung, Erforderlichkeit und Zumutbarkeit zu messen ist.

Unter der DSGVO ergeben sich diese Vorgaben hinsichtlich Datenverarbeitungen nicht zuletzt aus der von Art. 6 Abs. 1 DSGVO verlangten Erforderlichkeit und für Auskunfteien insbesondere aus dessen lit. f, also der Rechtsgrundlage des berechtigten Interesses, auf die sich Auskunfteien üblicherweise bei der Kreditwürdigkeitsprüfung stützen.[298] Die Rechtmässigkeit der Berechnung des Kreditscores als Profiling ist ohnehin noch separat – auch vor dem Hintergrund der übrigen noch zu behandelnden Grundsätze von Art. 5 Abs. 1 DSGVO – zu prüfen. In diesem Rahmen sind auch die Erforderlichkeit des Profilings zu betrachten und die einschlägigen Interessen abzuwägen. Deshalb verzichtet die Untersuchung an dieser Stelle auf eine weitere Prüfung gemäss DSGVO.

Unter dem DSG sind die Rechtmässigkeit i.w.S. und (vorliegend) insbesondere ein überwiegendes Interesse als Rechtfertigungsgrund nur zu prüfen, wenn überhaupt eine Persönlichkeitsverletzung vorliegt.[299] Deshalb ist die Prüfung, ob die Berechnung des Kreditscores als Profiling zum Zweck der Kreditwürdigkeitsprüfung verhältnismässig ist, nicht erst auf der Stufe der Rechtmässigkeit i.w.S., sondern bereits hier vorzunehmen.

Gesetzeshistorische und systematische Vorbemerkungen

Die Verhältnismässigkeit eines Profilings (mit hohem Risiko) im Allgemeinen und zum Zweck der Kreditwürdigkeitsprüfung im Besonderen lässt sich abschliessend nur im Einzelfall beurteilen.[300] Gemeinhin ist indes zu berücksichtigen, dass sich der schweizerische Gesetzgeber bewusst dagegen entschieden hat, bei einem Profiling (mit hohem Risiko) eine Persönlichkeitsverletzung zu fingieren.[301] Beim Profiling mit hohem Risiko kommt hinzu, dass das aDSG nur bei der Bekanntgabe, also nicht bei jeder Bearbeitung eines Persönlichkeitsprofils, das mit dem Profiling mit hohem Risiko ins neue Recht indirekt übernommen wurde, eine Persönlichkeitsverletzung annahm (vgl. Art. 12 Abs. 2 lit. c aDSG). Dementsprechend wäre es mit dem gesetzgeberischen Willen unvereinbar, Profiling (mit hohem Risiko) generell oder leichtfertig als unverhältnismässig zu betrachten. Besonders trifft dies beim Profiling zur Kreditwürdigkeitsprüfung zu, zumal dem Gesetzgeber bekannt war, dass zu diesem Zweck Verantwortliche, insbesondere Auskunfteien, Profilings vornehmen.[302]

Im Kontext von Kreditwürdigkeitsprüfungen lassen sich zudem Argumente aus dem betreffenden besonders geregelten überwiegenden Interesse ableiten. Art. 31 Abs. 2 lit. c Ziff. 1 DSG, der das Profiling mit hohem Risiko ausschliesst, lässt sich nämlich als implizite Anerkennung verstehen, dass das (übrige) Profiling für Kreditwürdigkeitsprüfungen grundsätzlich geeignet und wohl auch erforderlich und zumutbar ist. Andernfalls hätte sich der Gesetzgeber kaum gegen den vom Bundesrat vorgeschlagenen Ausschluss des Profilings für das besonders geregelte überwiegende Interesse (vgl. Art. 27 Abs. 2 lit. c E-DSG) entschieden. Da Art. 31 Abs. 2 lit. c DSG – wenige Ausnahmen vorbehalten – ohnehin nur Datenbearbeitungen rechtfertigen kann, die zur Prüfung der Kreditwürdigkeit verhältnismässig sind,[303] attestiert die Bestimmung selbst dem Profiling mit hohem Risiko, dass es grundsätzlich nicht unverhältnismässig ist: Wäre ein Profiling mit hohem Risiko zu diesem Zweck stets unverhältnismässig, hätte es der Gesetzgeber nicht auch noch ausdrücklich in Ziff. 1 vom besonders geregelten überwiegenden Interesse ausschliessen müssen.

Eignung

Dass sich die Berechnung eines Kreditscores grundsätzlich eignet, die Kreditwürdigkeit einer natürlichen Person zu prüfen bzw. zu beurteilen, kann kaum in Frage gestellt werden. Der von den schweizerischen Auskunfteien berechnete Kreditscore wird es in aller Regel vermögen, jedenfalls einen Beitrag dazu zu leisten, das von der kreditinteressierten Person ausgehende kreditorische Risiko einzuschätzen. Daran ändert auch der Umstand nichts, dass Wahrscheinlichkeitsaussagen, etwa jene, welche der Kreditscore über die Ausfallwahrscheinlichkeit der kreditinteressierten Person trifft,[304] stets eine «Ungenauigkeit» bzw. Fehlerquote aufweisen.[305] Nur weil es möglich ist, dass ein als unwahrscheinlich eingeschätzter Fall vorliegt, im hier interessierenden Kontext etwa, dass die kreditinteressierte Person trotz einer hohen Ausfallwahrscheinlichkeit ihren Verpflichtungen nachkommen würde, ist die Berechnung des Kreditscores nicht ungeeignet. Andernfalls wäre es generell unverhältnismässig, Wahrscheinlichkeitsaussagen automatisiert herzuleiten, was zugleich die meisten Profilings in Frage stellen würde. Dies würde nach dem Gesagten – gerade bei Kreditwürdigkeitsprüfungen – dem gesetzgeberischen Willen und der Systematik des DSG widersprechen.

Ein Profiling wird aber als ungeeignet zu betrachten sein, wenn es eine zu hohe Fehlerquote aufweist.[306] Mit Blick auf das Verständnis der Eignung im öffentlichen Recht, aus dem der Grundsatz in das Datenschutzrecht rezipiert wurde, muss es sich dabei um eine sehr hohe Fehlerquote handeln.[307] Solange das Profiling mehr richtige als falsche Beurteilungen hervorbringt, begünstigt es eigentlich bereits die Zweckerreichung und erweist sich nicht als völlig ungeeignet, sodass es nach dem üblichen Massstab als geeignet zu betrachten ist. Angesichts der Vorgaben, die sich aus dem Richtigkeitsgrundsatz an die Herleitung von Wahrscheinlichkeitsaussagen und Werturteilen ergeben, etwa geeignete mathematische oder statistische Verfahren zu verwenden,[308] dürfte diese von der Eignung aufgestellte Hürde in der Praxis indes kaum eine eigenständige Bedeutung haben.

Beim Profiling mit hohem Risiko ist überdies zu berücksichtigen, dass ein solches entgegen der Moneyhouse-Rechtsprechung auch vorliegen kann, wenn dafür nur zur Kreditwürdigkeitsprüfung geeignete und erforderliche Daten bearbeitet werden.[309] Entsprechend ist der Verhältnismässigkeitsgrundsatz, mithin die Persönlichkeit der betroffenen Person, nicht zwingend verletzt. Allerdings setzt ein solches Profiling voraus, dass die als Input verwendeten Daten es nicht nur erlauben, die wirtschaftliche Lage, die Zuverlässigkeit (bei der Schuldentilgung) und die Kreditwürdigkeit, sondern auch weitere Aspekte der Persönlichkeit zu beurteilen, die insgesamt ein wesentliches Teilbild der Persönlichkeit abgeben.[310] Dieser überschiessende Informationsgehalt lässt das Profiling mit hohem Risiko solange nicht als ungeeignet erscheinen, als alle verwendeten Daten sich zumindest auch eignen, die Kreditwürdigkeit zu beurteilen.

Erforderlichkeit

Erforderlich ist ein Profiling nur, wenn es keine für die Interessen der betroffenen Person mildere und gleich geeignete Alternative zur Erreichung des angestrebten Zwecks gibt.[311] Analog zu den Überlegungen zur Eignung ist auch die Erforderlichkeit eines Profilings vor dem Hintergrund des gesetzgeberischen Willens und der Systematik des DSG nur aufgrund von Umständen zu verneinen, die nicht begriffsnotwendig zum Profiling gehören. Deshalb liegt im Vergleich zur definitionsgemäss automatisierten Bewertung[312] nicht schon deshalb eine mildere Alternative vor, weil sich der persönliche Aspekt auch manuell beurteilen liesse.

Naheliegende Alternativen zur Berechnung des Kreditscores stellen die manuelle statt automatisierte Beurteilung der Kreditwürdigkeit (durch die Auskunftei) sowie die Beurteilung durch die Kreditgeberin gestützt auf Angaben dar, die ihr bereits vorliegen, sie aus öffentlichen Quellen beschafft und/oder sie von der kreditinteressierten Person erhält. Beide Alternativen werden in verschiedenen Einsatzbereichen des Kreditscorings nicht ebenso wirksam sein. Insbesondere im Online-Handel könnte höchstens ein eigenes Kreditscoring der Kreditgeberin[313] gleich und vor allem ausreichend schnell eine Kreditwürdigkeitsbeurteilung liefern.

Eine eigene Beurteilung verschafft der Kreditgeberin zudem kaum denselben Erkenntnisgewinn wie ein Kreditscore. Selbst wenn die Kreditgeberin Daten aus öffentlichen Quellen wie dem Betreibungsregister beizieht, dürfte sie – Unternehmen mit eigenem Kreditscoring allenfalls vorbehalten – regelmässig kein vergleichbares Bild über die Kreditwürdigkeit erhalten. Überdies gewährleistet eine eigene Beurteilung keine objektive Bewertung der Kreditwürdigkeit. Dies gilt besonders beim Einbezug von Angaben seitens der kreditinteressierten Person, deren Richtigkeit und vor allem Vollständigkeit nicht selten fraglich sein dürften. Sich auf diese Angaben verlassen zu müssen, ist der Kreditgeberin ebenso wenig zumutbar,[314] wie – angesichts des damit verbundenen Aufwands – zu deren Nachweis entsprechende Belege einzufordern und zu prüfen. Die manuelle Beurteilung durch die Auskunftei könnte womöglich dieselben Erkenntnisse wie das Kreditscoring liefern. Sie wäre aber mit erheblichem Mehraufwand und zusätzlichen Kosten verbunden und daher kaum zumutbar. Auch dürfte sie fehleranfälliger und daher auch weniger wirksam sein. Aus diesen Gründen wird in der Regel keine mildere, gleich geeignete Alternative zur Berechnung des Kreditscores bestehen.

Dieses Ergebnis legt auch die Äusserung eines Generalanwalts des EuGH zur vergleichbaren Vorgabe der Erforderlichkeit der DSGVO nahe, wonach es «keine Informationen gibt, die darauf hindeuten, dass es möglicherweise alternative Maßnahmen [zum Kreditscoring einer Auskunftei] gibt, die den Schutz personenbezogener Daten besser wahren».[315] Selbst wenn diese Aussage auf die in das Verfahren eingebrachten Informationen beschränkt war, lässt sich daraus jedenfalls ableiten, dass (auch) aus Sicht des Generalanwalts mildere Alternativen zumindest nicht notorisch sind.

Dass es auch im Vergleich zu einem Profiling mit hohem Risiko keine für die Interessen der betroffenen Person mildere, aber ebenso geeignete Alternative gibt, dürfte nur ausnahmsweise der Fall sein. Denn solange sich die Kreditwürdigkeit ebenso gut durch die Berechnung eines Kreditscores beurteilen lässt, die nicht die Voraussetzungen von Art. 5 lit. g DSG erfüllt, ist ein Profiling mit hohem Risiko nicht erforderlich. Im konkreten Fall muss also ein Profiling mit einem Input notwendig sein, der als Persönlichkeitsprofil nach aDSG qualifiziert[316] und der es erlaubt, neben der wirtschaftlichen Lage, der Zuverlässigkeit (bei der Schuldentilgung) und der Kreditwürdigkeit noch weitere persönliche Aspekte zu beurteilen.[317] In Ausnahmefällen kann wohl eine Informationsgrundlage erforderlich sein, welche diesen Umfang und diese Aussagekraft aufweist, etwa wenn die lange Laufzeit eines Kredits eine tiefergreifende Überprüfung bedingt.

Zumutbarkeit

Im Allgemeinen

Profiling

Die Zumutbarkeit setzt ein angemessenes Verhältnis zwischen der Datenbearbeitung und dem mit ihr verbundenen Eingriff in die Privatsphäre der betroffenen Person voraus, wofür eine gesamthafte Abwägung der involvierten Interessen im Einzelfall vorzunehmen ist.[318] Diese Interessenabwägung ist – wie erwähnt[319] – vergleichbar mit jener, die bei der Prüfung eines berechtigten Interesses nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO als Rechtsgrundlage (für ein Profiling) vorzunehmen ist. Deshalb bietet es sich an, zur Konkretisierung dieser Interessenabwägung die Kriterien fruchtbar zu machen, welche die Artikel‑29‑Datenschutzgruppe bei der Beurteilung dieser Rechtsgrundlage zu berücksichtigen empfiehlt.[320] Die Kriterien erlauben es insbesondere, den Eingriff in die Privatsphäre bzw. die Interessen der betroffenen Person zu konkretisieren:

Wenn der Input des Profilings besonders umfassend oder aussagekräftig ist oder allenfalls auch besonders schützenswerte Personendaten enthält, wiegt der Eingriff in die Interessen der betroffenen Person schwerer. Diese Wertung macht das DSG sichtbar,[321] indem es das Profiling mit hohem Risiko, das begrifflich an den Input anknüpft,[322] besonders adressiert und gegebenenfalls von einem hohen Risiko für die Persönlichkeit oder die Grundrechte ausgeht. Die Bearbeitung von besonders schützenswerten Personendaten beurteilt das DSG generell als heikler; ihre Verwendung im Input stellt an sich indes keine Persönlichkeitsverletzung dar, wie sich aus Art. 30 Abs. 2 lit. c DSG ableiten lässt, der (nur) bei Drittbekanntgaben solcher Daten eine Persönlichkeitsverletzung fingiert. Diese Fiktion gründet nämlich auf der Idee, dass die Bekanntgabe – im Vergleich zu internen Datenbearbeitungen – besonders risikobehaftet ist.[323]

Je detaillierter bzw. granularer das Profil, also der Output des Profilings,[324] ist, desto stärker sind die Interessen der betroffenen Person tangiert. Die Einordnung in eine vergleichsweise allgemein beschriebene Kohorte wie «Personen mit Interesse an englischer Literatur» ist weniger problematisch als jene in eine detailliert segmentierte Gruppe wie «kauffreudige Personen mit Interesse an englischer Literatur neoliberaler Autoren». Zu berücksichtigen ist in diesem Kontext auch, wie persönlichkeitsrelevant der durch das Profiling analysierte Aspekt ist; politische Ansichten zu erschliessen, ist beispielsweise ungleich heikler, als Genrevorlieben zu eruieren.[325] Ähnlich wie gerade argumentiert, spricht hingegen Art. 30 Abs. 2 lit. c DSG dafür, dass die blosse Generierung von besonders schützenswerten Personendaten als interne Datenbearbeitung keine Persönlichkeitsverletzung darstellt.

Ein weiteres Kriterium ist der Umfang des Outputs, also ob er einen isolierten Aspekt der betroffenen Person wiedergibt oder ein umfangreiches Bild vermittelt.[326] Soll der Output etwa den Charakter einer betroffenen Person insgesamt abbilden, spricht dies stark für eine Unzumutbarkeit. Von Profiling mit solch umfangreichem Output sind Profile zu unterscheiden, die bloss Aufschluss über einen einzelnen Lebensbereich wie die Hobbies oder das Kaufverhalten geben. Die Aussagekraft und damit auch der Eingriff in die Interessen der betroffenen Person sind bei Profilings dieser Art begrenzt.[327]

Ebenfalls zu berücksichtigen sind die bezweckten Auswirkungen des Profilings auf die betroffene Person.[328] Zwar wird sich auf sie weniger das Profiling als die Verwendung des Outputs auswirken, jedoch erfolgt bereits das Profiling im Hinblick auf einen konkreten Verwendungszweck, der eben mehr oder weniger in die Interessen der betroffenen Person eingreift. Ein Profiling für personalisierte Werbung erscheint ungleich weniger risikobehaftet für die Persönlichkeit der betroffenen Person als etwa ein Profiling für Personalentscheide wie Rekrutierung oder Entlassung.[329]

Zugunsten des Profilings sind in die Interessenabwägung zudem allfällige Massnahmen einzubeziehen, die sich gegen (potenzielle) für die betroffene Person nachteilige Auswirkungen richten, beispielsweise die Verwendung von geeigneten mathematisch-statistischen Verfahren bei der Modellentwicklung[330] oder die manuelle Überprüfung des Outputs. Die Artikel‑29‑Datenschutzgruppe spricht von Garantien zur Gewährleistung von fairem, nichtdiskriminierendem und sachlich richtigem Profiling, ohne dafür Beispiele zu nennen.[331]

Kein besonders zu berücksichtigendes Kriterium ist der Umstand, dass das Profiling der betroffenen Person (eventuell) die Möglichkeit nimmt, selbst über die Preisgabe der erschlossenen Informationen zu entscheiden, und insoweit – wenn man so will[332] – in ihr informationelles Selbstbestimmungsrecht eingreift.[333] Denn mit jedem Profiling werden neue Informationen über die betroffene Person gewonnen.[334] Da das Profiling nach dem gesetzgeberischen Willen und der Systematik des DSG nicht an sich persönlichkeitsverletzend ist, kann dieses begriffsnotwendige Element nicht zur Unzumutbarkeit und damit zu einer Persönlichkeitsverletzung führen.

Profiling mit hohem Risiko

Angesichts der Gesetzeshistorie und der Systematik des DSG[335] lässt sich auch bei einem Profiling mit hohem Risiko nicht generell von einer (wegen Unzumutbarkeit) persönlichkeitsverletzenden Datenbearbeitung ausgehen.[336] Vielmehr ist ebenfalls eine Einzelfallbeurteilung vorzunehmen, für welche sich die eben genannten Kriterien empfehlen. Zwar vermögen (folglich) auch hier die begriffsnotwendigen Elemente an sich keine Persönlichkeitsverletzung zu begründen, namentlich der als altrechtliches Persönlichkeitsprofil qualifizierende Input[337] und das als Auswirkung verbundene Risiko, dass die betroffene Person sich in der Gesellschaft nicht mehr so darstellen bzw. entfalten kann, wie sie es für richtig hält.[338] Treten zu diesen deutlich gegen das Profiling sprechenden Umständen allerdings weitere hinzu, dürfte vielfach eine Unzumutbarkeit, mithin eine Persönlichkeitsverletzung, vorliegen.[339] Dies ist etwa der Fall, wenn ein weiteres Kriterium gegen das Profiling spricht, z.B. ein nicht bloss einen isolierten Lebensbereich betreffender Output oder faktische Auswirkungen für die betroffene Person von grösserer Tragweite, oder allenfalls, wenn der Input (über das begriffsnotwendige Mass hinaus) besonders umfangreich bzw. aussagekräftig ist. Vorbehalten bleiben Fälle, in denen das Interesse am Profiling mit hohem Risiko besonders gewichtig ist, sodass es diesen Eingriff in die Privatsphäre der betroffenen Person aufzuwiegen vermag.

Bei Kreditwürdigkeitsprüfungen im Besonderen

Profiling

Die Zumutbarkeit eines Profilings zum Zweck der Kreditwürdigkeitsprüfung lässt sich angesichts der vorzunehmenden Interessenabwägung abschliessend nur im Einzelfall beurteilen, ist aber unter Berücksichtigung der folgenden Überlegungen tendenziell zu bejahen. Neben dem weniger ins Gewicht fallenden wirtschaftlichen Interesse der Auskunftei haben die Kreditgeberin insbesondere mit der Verhinderung von Ausfällen und die kreditinteressierte Person mit dem Schutz vor Überschuldung vielfach ein gewichtiges Interesse an der durch die Berechnung des Kreditscores erfolgenden Kreditwürdigkeitsprüfung.[340] Dabei wiegt das Interesse umso schwerer, je grösser der zu beurteilende Kredit und je länger dessen allfällige Laufzeit ist. Zusätzliches Gewicht erlangt das Interesse, wenn der Kredit ungesichert ist oder dessen Art erfahrungsgemäss eine höhere Ausfallwahrscheinlichkeit aufweist.

Die Berechnung von Kreditscores kann auf einer unterschiedlich umfassenden und sensiblen Datengrundlage fussen. Die schweizerischen Auskunfteien beschränken sich aber (üblicherweise) auf traditionelle Bonitätsdaten wie Zahlungserfahrungen, Inkassodaten und Betreibungsvorgänge und verwenden keine besonders schützenswerten Personendaten.[341] Auch die Granularität kann stark variieren und einen hohen Detaillierungsgrad erreichen, etwa wenn der Score auf einer grossen Punkteskala statt mit Ampelfarben angegeben wird.[342] Die erschlossene Kreditwürdigkeit ist wohl sensibler als Genrevorlieben, aber kaum besonders persönlichkeitsrelevant; dies gilt auch für die wirtschaftliche Lage und die Zuverlässigkeit (bei der Schuldentilgung), sofern man diese persönlichen Aspekte als vom Kreditscore bewertet betrachtet.[343] Dass das Kreditscoring auf einen einzelnen, nämlich den wirtschaftlichen Lebensbereich abzielt und der Output des Profilings damit eng umgrenzt ist, spricht deutlich für die Zumutbarkeit.[344]

Nachdem sich in verschiedenen Konstellationen kreditorische Risiken ergeben können,[345] gestalten sich auch die konkreten Folgen für die betroffene Person unterschiedlich. Regelmässig droht indes, dass ihr der Zugang zu Dauerschuld- und (anderen) Kreditgeschäften wie Darlehensverträgen oder dem Kauf auf Rechnung – etwa aufgrund zusätzlicher Prüfungen oder schlechterer Konditionen – erschwert oder sogar versagt wird.[346] Weitere potenzielle Auswirkungen wie etwa die Schädigung der sozialen Reputation,[347] Verschlechterungen der körperlichen oder seelischen Gesundheit[348] und (andere) negative Folgen auf das Privat- und Familienleben sind grundsätzlich denkbar. Allerdings ist hier (besonders) zu berücksichtigen, dass die potenziellen Folgen eine Funktion ihrer Schwere und Eintrittswahrscheinlichkeit sind.[349] Während gewisse der genannten Auswirkungen in ihrer schlimmstmöglichen Ausprägung zweifellos einen hohen Schweregrad aufweisen, dürfte ihr Eintritt als Folge eines Kreditscorings als (sehr) unwahrscheinlich einzustufen sein.[350] Diesen weiteren potenziellen Auswirkungen ist daher nach hier vertretener Ansicht in der Interessenabwägung kein grosses Gewicht beizumessen. Hinzu kommt, dass sich die kreditinteressierte Person womöglich durch einen Barkauf oder (allenfalls) einen Anbieterwechsel dem Kreditscoring und damit den potenziellen Folgen entziehen kann.[351] Überdies kann sich das Kreditscoring auch positiv auf die kreditinteressierte Person auswirken, indem es ihr unter Umständen erst ermöglicht, ein Kreditgeschäft einzugehen, und sie wegen eines geringeren Risikozuschlages einen niedrigeren Kreditpreis zu tragen hat.[352]

Massnahmen seitens der Auskunftei, die sich gegen (potenzielle) für die kreditinteressierte Person nachteilige Auswirkungen richten, sind denkbar und in der Praxis üblich. Den Output des Profilings wird die Auskunftei in der Regel allerdings nicht manuell überprüfen (können). Zum einen würden dadurch die mit dem Kreditscoring verbundenen Kosteneinsparungen und Effizienzgewinne[353] verloren gehen, zum anderen liesse sich eine solche Überprüfung je nach Einsatzgebiet gar nicht erst umsetzen. Demgegenüber liegt es nahe, dass die Auskunftei als Massnahme zugunsten der Richtigkeit des Kreditscores zumindest geeignete mathematisch-statistische Verfahren für die Entwicklung des Scoring-Modells einsetzt,[354] was (ebenfalls) für das Profiling spricht.

Profiling mit hohem Risiko

Ein Profiling mit hohem Risiko zum Zweck der Kreditwürdigkeitsprüfung dürfte hingegen nur selten zumutbar sein. Damit ein solches Profiling überhaupt erforderlich ist, muss nach dem Gesagten eine Ausnahmesituation vorliegen, welche die Verwendung eines altrechtlichen Persönlichkeitsprofils als Input der Kreditscore-Berechnung, also eine tiefergreifende Überprüfung der Kreditwürdigkeit, verlangt. In solchen Fällen dürfte die allfällige negative Entscheidung, die gestützt auf den Kreditscore gefällt wird, für die betroffene Person entsprechend von grösserer Tragweite sein, sodass ein weiteres Kriterium gegen das Profiling mit hohem Risiko spricht. Angesichts der Überlegungen zur Zumutbarkeit eines Profilings mit hohem Risiko im Allgemeinen[355] wird eine solche Datenbearbeitung zum Zweck der Kreditwürdigkeit demnach tendenziell unzumutbar sein, es sei denn, das im Einzelfall bestehende Interesse an der Kreditwürdigkeitsprüfung erweist sich als besonders gewichtig. Dies kann z.B. zutreffen, wenn ein Darlehen über einen sehr hohen Betrag zur Diskussion steht.

Weitere Aspekte der Verhältnismässigkeit in materieller Hinsicht

Differenzierung der Gewichtung unterschiedlicher Merkmale

Bei Bewertungsvorgängen, die verschiedene Merkmale einbeziehen, wie dies üblicherweise beim Profiling der Fall ist, vermag die Verhältnismässigkeit in materieller Hinsicht auch der Gewichtung der einzelnen Merkmale Grenzen zu setzen. Zwar sind nach dem Gesagten auch im Datenschutzrecht keine hohen Anforderungen an die Eignung (einzelner Daten bzw. deren Bearbeitung) zu stellen.[356] Dennoch führt eine geringere Relevanz eines Merkmals dazu, dass dessen Verwendung auch eher als nicht erforderlich für die Bewertung und in Gegenüberstellung zu den Interessen der betroffenen Person weniger zumutbar erscheint. Deshalb ergibt sich aus der Verhältnismässigkeit auch ein Gebot, die Merkmale in Abhängigkeit ihrer Relevanz für den zu bewertenden persönlichen Aspekt unterschiedlich zu gewichten.

Für die Auskunfteien bedeutet dies: Je weniger aussagekräftig ein Merkmal für die Kreditwürdigkeitsbeurteilung ist, desto geringer muss dessen Gewichtung bei der Berechnung des Kreditscores sein. Beispielsweise ist eine Betreibung weniger aussagekräftig als ein Privatkonkurs, was im Kreditscoring-Modell und damit im Kreditscore entsprechend abzubilden ist.[357] Welche Gewichtung für die einzelnen Merkmale verhältnismässig ist, lässt sich – nicht zuletzt angesichts ihrer Eigenschaft als relative Grössen – nur hinsichtlich eines spezifischen Kreditscoring-Systems, konkret dessen Modells, beurteilen.

Unzulässige parallele Speicherung durch die Auskunftei?

In einem Vorabentscheidungsverfahren des EuGH betreffend die deutsche Auskunftei SCHUFA erachtete der zuständige Generalanwalt den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) aufgrund der Speicherung von aus öffentlichen Registern stammenden Daten als verletzt.[358] Diese Speicherung führe zu einer Verarbeitung von Daten, die für die geschäftlichen Interessen der Wirtschaftsteilnehmerinnen nicht zwingend erforderlich sei, weil die betreffenden Daten bereits in den Registern öffentlich zugänglich seien.[359] Diese Argumentation lässt sich ohne Weiteres auf das schweizerische Recht übertragen: Statt bei einer Auskunftei kann eine Kreditgeberin diese Daten (selbst) aus dem öffentlichen Register wie etwa dem Betreibungsregister beschaffen. Die Speicherung und anderweitige Bearbeitung der Auskunftei erschiene insofern nicht erforderlich, mithin unverhältnismässig.

Die Verhältnismässigkeit richtet sich aber am Bearbeitungszweck aus, der bei den Datenbearbeitungen der Auskunftei in der Beurteilung der Kreditwürdigkeit liegt. Für diesen Zweck erscheint die Berücksichtigung von Daten aus öffentlichen Registern nicht nur erforderlich, sondern geradezu zwingend, insbesondere wenn ihnen schon das Gesetz wie etwa das SchKG eine Relevanz für die Kreditwürdigkeitsbeurteilung attestiert.[360] Würde die Auskunftei sämtliche aus öffentlichen Registern beschaffbaren Daten bei ihren Kreditwürdigkeitsprüfungen ausklammern, also etwa nicht in einer Auskunft aufführen und nicht in einem Kreditscore berücksichtigen, würde sie die Kreditwürdigkeit der kreditinteressierten Person falsch abbilden. Dies erscheint nicht nur mit Blick auf den Richtigkeitsgrundsatz problematisch, der ein möglichst unverfälschtes Bild der Kreditwürdigkeit verlangt, sondern ist auch der Zuverlässigkeit der Auskunft bzw. des Kreditscores abträglich, was dessen Zwecktauglichkeit schwächt.[361] Die Verhältnismässigkeit bzw. Datenminimierung steht also der Speicherung von Daten aus öffentlichen Registern durch eine Auskunftei nicht deshalb entgegen, weil die Kreditgeberin die Daten auch aus dem öffentlichen Register beschaffen könnte.[362]

Verhältnismässigkeit in zeitlicher Hinsicht

Im Allgemeinen

Die Verhältnismässigkeit in zeitlicher Hinsicht verbietet dem Verantwortlichen, Daten zu bearbeiten, sobald sie für den Bearbeitungszweck nicht mehr erforderlich sind.[363] Sodann hat er sie zu vernichten oder zu anonymisieren, wie es das neue DSG ausdrücklich festhält (Art. 6 Abs. 4 DSG).[364] Auch aus dem Grundsatz der Datenminimierung in Art. 5 Abs. 1 lit. c DSGVO ergibt sich, dass die Aufbewahrungs- und damit die Verwendungsdauer auf ein erforderliches Mindestmass zu beschränken sind.[365] Im Ergebnis gleich wie das DSG hält zudem Art. 5 Abs. 1 lit. e DSGVO als «Speicherbegrenzung» fest, dass personenbezogene Daten in einer Form zu speichern sind, welche die Identifikation der betroffenen Person nur so lange ermöglicht, wie es für die Verarbeitungszwecke erforderlich ist.

Obwohl die Erlasse angesichts ihrer Formulierungen auf die Erforderlichkeit fokussieren, darf ein Verantwortlicher Daten auch nicht weiter speichern, verwenden oder anderweitig bearbeiten, wenn die fragliche Bearbeitung sich für den Bearbeitungszweck als nicht mehr geeignet oder zumutbar erweist.[366] So vermindert sich mit Zeitablauf etwa die Aussagekraft bzw. Relevanz von Daten – beispielsweise für die Kreditwürdigkeitsbeurteilung[367] – und damit ihre Eignung und Zumutbarkeit, was ebenfalls deren Löschung (oder Anonymisierung) erfordern kann.[368] Umgekehrt wird aufgrund der Wechselwirkung von Eignung, Erforderlichkeit und Zumutbarkeit[369] die Bearbeitung eines Datums umso länger verhältnismässig sein, je geeigneter sie zur Erreichung des betreffenden Zwecks ist (z.B. je zuverlässiger das fragliche Datum Rückschlüsse auf die Kreditwürdigkeit zulässt).[370]

Aufbewahrungsdauer

Das DSG und die DSGVO regeln die zulässige Aufbewahrungsdauer[371] von Personendaten nicht im Einzelnen.[372] Sie verlangen vom Verantwortlichen aber, dass er selbst Aufbewahrungsfristen festlegt oder zumindest regelmässige Überprüfungen (hinsichtlich der Verhältnismässigkeit in zeitlicher Hinsicht) unternimmt.[373] Die Botschaft zum neuen DSG scheint zwar von einer generellen Pflicht zur Festlegung von Aufbewahrungsfristen auszugehen,[374] und eine in der kantonalen Rechtsprechung rezipierte Lehrmeinung verlangt gerade bei Auskunfteien und anderen Akteuren, die sich auf Art. 31 Abs. 2 lit. c DSG berufen wollen, dass diese klare Aufbewahrungs- und Löschfristen vorsehen.[375] Nachdem der Verantwortliche aber auch anderweitig – eben etwa mit regelmässigen Überprüfungen – die Verhältnismässigkeit seiner Bearbeitungen gewährleisten kann, ist dies kein zwingendes Erfordernis.

Die Dauer, während welcher der Verantwortliche Daten aufbewahren und sonst bearbeiten darf, ist im konkreten Einzelfall unter Berücksichtigung sämtlicher Umstände zu bestimmen.[376] Dabei sind insbesondere der Bearbeitungszweck, aber auch die Schutzwürdigkeit bzw. Sensibilität der Daten, die Regelung des Datenzugangs und die Datensicherheit zu berücksichtigen – unter der DSGVO jedenfalls dann, wenn die Datenbearbeitung wie jene der Auskunftei gestützt auf ein berechtigtes Interesse (Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) erfolgt.[377] Aus diesem Grund lassen sich über die Aufbewahrungsfrist gerade auch von Bonitätsdaten durch Auskunfteien nur bis zu einem bestimmten Grad verallgemeinerbare Aussagen treffen.[378] Anhaltspunkte können sich aus einer gesetzlichen Regelung,[379] behördlichen Richtlinien oder (verbandsinternen) Verhaltenskodizes ergeben.[380]

Reduktion der Gewichtung

Neben der Beschränkung der Aufbewahrungsdauer kann sich aus der Verhältnismässigkeit in zeitlicher Hinsicht auch die Vorgabe ergeben, dass das Gewicht der in eine Beurteilung einfliessenden Daten mit der Zeit abnimmt. Dies ist gerade beim Kreditscoring, aber auch sonst bei auf verschiedene Merkmale gestützten Beurteilungen bedeutsam: Je älter die Daten sind, desto geringer ist üblicherweise ihre (statistische) Relevanz, desto weniger erscheinen sie demnach erforderlich und der betroffenen Person zumutbar und desto weniger dürfen sie folglich bei der Beurteilung, etwa der Kreditwürdigkeit, ins Gewicht fallen.[381]

Nachdem das Gewicht eines Datums eine relative Grösse ist, gilt hier noch viel mehr als bei der Bezifferung der Aufbewahrungsdauer, dass sich die Verhältnismässigkeit nur anhand der konkreten Umstände, vorab des spezifischen Beurteilungssystems, prüfen lässt. Hinzu kommt, dass – jedenfalls im Kontext der Kreditwürdigkeitsprüfung – Anhaltspunkte in einer gesetzlichen Regelung, in behördlichen Richtlinien oder Verhaltenskodizes fehlen. Neben der Relevanz des fraglichen Datums im Laufe der Zeit dürften insbesondere dessen Schutzwürdigkeit bzw. Sensibilität und die vernünftigen Erwartungen der betroffenen Person zu berücksichtigen sein.

Bei Kreditwürdigkeitsprüfungen im Besonderen

Hinsichtlich der Aufbewahrungsdauer von Daten für Kreditwürdigkeitsprüfungen finden sich verschiedene Anhaltspunkte in Gesetzen und privatautonom geschaffenen Regeln, auf die sogleich einzugehen ist und anhand derer anschliessend ausgewählte Datenkategorien zu betrachten sind. Angesichts der noch stärkeren Einzelfallabhängigkeit der zeitbedingten Reduktion der Gewichtung einzelner Daten wird auf diese im Folgenden allerdings nicht weiter eingegangen. Erwähnt sei aber, dass die schweizerischen Auskunfteien in ihren Kreditscoringsystemen nach eigenen Angaben die Daten mit deren zunehmendem Alter weniger gewichten;[382] die konkrete Umsetzung ist nicht öffentlich bekannt.

Art. 31 Abs. 2 lit. c DSG als Aufbewahrungsfrist?

Eine Bestimmung, aus der sich für die Aufbewahrungsdauer von Bonitätsdaten (unter schweizerischem Recht) Vorgaben entnehmen lassen könnten, findet sich in Art. 31 Abs. 2 lit. c Ziff. 3 DSG.[383] Danach dürfen Daten nicht älter als zehn Jahre sein, damit sich ein Verantwortlicher bei einer (persönlichkeitsverletzenden) Datenbearbeitung zur Prüfung der Kreditwürdigkeit auf das besonders geregelte überwiegende Interesse berufen kann. Die Altersbegrenzung will dem Umstand Rechnung tragen, dass, je länger ein Ereignis zurückliegt, sich daraus desto weniger Schlüsse auf die aktuelle Kreditwürdigkeit ziehen lassen.[384]

Gemäss seiner Botschaft erachtete der Bundesrat eine generelle Regelung über die Dauer, während der Daten (für diesen Zweck) verwendet werden dürfen, als sinnvoll;[385] Daten mit einem Alter von mehr als zehn Jahren dürften folglich zur Kreditwürdigkeitsprüfung nicht mehr bearbeitet werden. Ob dies allerdings der gesetzgeberischen Absicht entspricht, stellen mehrere Voten in der Kommission und im Parlament in Frage. Sie legen vielmehr nahe, dass das Alter der Daten nichts weiter als eine Voraussetzung darstellt, damit sich ein Verantwortlicher auf das besonders geregelte überwiegende Interesse berufen kann.[386]

Letzterem Verständnis ist zuzustimmen, nachdem sich aus Art. 31 Abs. 2 lit. c Ziff. 1–4 DSG keine generellen Vorgaben an Datenbearbeitungen zur Prüfung der Kreditwürdigkeit ableiten lassen.[387] Dies zeigt (auch hier) nicht zuletzt die Systematik, ist doch die Begrenzung des Alters von Bonitätsdaten als Voraussetzung eines Rechtfertigungsgrunds normiert und nicht etwa dem Verhältnismässigkeits- oder allenfalls dem Richtigkeitsgrundsatz konkretisierend hinzugefügt. Eine Rechtfertigung steht erst zur Debatte, wenn überhaupt eine Persönlichkeitsverletzung vorliegt.[388] Demnach ergibt sich aus Art. 31 Abs. 2 lit. c Ziff. 3 DSG nicht, dass nur die Bearbeitung von Bonitätsdaten zulässig und insbesondere verhältnismässig ist, die höchstens zehn Jahre alt sind.[389] Vielmehr lässt sich der Bestimmung umgekehrt die gesetzgeberische Wertung entnehmen, dass durchaus auch ein zehnjähriges Datum für die Kreditwürdigkeitsprüfung geeignet und seine Bearbeitung der betroffenen Person zumutbar sein kann. Verursacht die Bearbeitung von über zehnjährigen Daten allerdings eine Persönlichkeitsverletzung, vermag die Auskunftei diese mit Art. 31 Abs. 2 lit. c DSG nicht zu rechtfertigen.

Ausrichtung an (anderen) gesetzlichen Fristen

Im schweizerischen Recht (DSG)

Suchzeitraum im Online-Archiv des SHAB nach VSHAB

Im schweizerischen Recht finden sich verschiedene gesetzliche Fristen, an denen sich die Aufbewahrungsdauer von Bonitätsdaten orientieren könnte. Keine Verhältnismässigkeitsvorgabe für private Personen lässt sich gemäss Bundesverwaltungsgericht aus der Bestimmung ableiten, wonach das Online-Archiv des SHAB auf einen Suchzeitraum von maximal drei Jahren beschränkt war und Meldungen über Privatkonkurse maximal während einem Jahr zugänglich waren (aArt. 11 Abs. 2 VSHAB). Das Bundesverwaltungsgericht hatte allerdings nur über die Bearbeitung, insbesondere die Veröffentlichung, von Handelsregisterdaten zu entscheiden; «zumindest für die Handelsregisterdaten auf shab.ch» ergebe sich aus der Bestimmung keine datenschutzrechtliche Vorgabe.[390]

Ob dies auch für Informationen aus den anderen Rubriken des SHAB wie Konkurse und Schuldbetreibungen gilt, die für die betroffenen Personen «heikel» und «rufschädigend» sein können, beantwortete es nicht mit Klarheit.[391] Nach hier vertretener Ansicht lässt sich aus (dem revidierten[392]) Art. 11 VSHAB auch hinsichtlich Informationen aus anderen Rubriken keine Verhältnismässigkeitsvorgabe für private Personen ableiten, nachdem die Publikation im SHAB – wie auch das Bundesverwaltungsgericht festhielt – hauptsächlich dem damit verbundenen Eintritt der Rechtswirkung gegenüber Dritten dient.[393] Im Übrigen müssen die Informationen nach Ablauf des Suchzeitraums nicht gelöscht werden; sie sind vielmehr in der Schweizerischen Nationalbibliothek noch immer einsehbar (Art. 11 Abs. 5 VSHAB).

Einsichtsrecht in Betreibungs- und Konkursregister nach SchKG

Als Orientierungspunkt könnte sich ferner Art. 8a Abs. 4 Satz 1 SchKG anbieten. Gemäss dieser Bestimmung erlischt das Einsichtsrecht Dritter in die Protokolle und Register der Betreibungs- und Konkursämter fünf Jahre nach Abschluss des Verfahrens. Als abgeschlossen gilt das Verfahren nicht nur bei einem formellen Abschluss, etwa mit Verlustschein oder Beschluss des Konkursgerichts, sondern auch, wenn das Verfahren (sonst) nicht mehr durch ein ordentliches Begehren der Gläubigerin, z.B. wegen unbenutzten Ablaufs der Frist zur Stellung des Fortsetzungsbegehrens, fortgesetzt werden kann.[394] Von der zeitlichen Beschränkung auf fünf Jahre ausgenommen sind die offenen Verlustscheine; über sie ist bis zu ihrer Verjährung oder Tilgung Auskunft zu erstatten (vgl. Art. 149a SchKG).[395]

Das SchKG regelt damit die Frist für die Auskunftserteilung durch die zuständigen Behörden, nicht jene, während der ein Verantwortlicher dieselben Daten (für die Kreditwürdigkeitsprüfung) verwenden und speichern darf.[396] Dennoch bringe das Gesetz – so ein zuhanden des EDÖB erstelltes Gutachten – zum Ausdruck, dass auch private Personen diese Daten nicht unbegrenzt lange bearbeiten dürften; mit Blick auf den Zweck der Einschränkungen des Einsichtsrechts[397] enthalte das Gesetz zudem eine Wertung, wie lange Betreibungsvorgänge Rückschlüsse auf die Kreditwürdigkeit erlauben würden, also geeignet seien.[398] Gestützt auf das Gutachten hielt der EDÖB fest, dass er eine Bearbeitungsdauer für verhältnismässig erachte, wenn sie sich an die vom SchKG vorgegebenen Fristen (Art. 8a Abs. 4 Satz 1 und Art. 149a Abs. 1 SchKG) halte.[399]

Kurze Zeit später bestätigte der EDÖB in der Sache Teledata diese Haltung, ehe er sich nach der Stellungnahme der von der Sachverhaltsabklärung betroffenen Auskunftei in demselben Schlussbericht (hinsichtlich Art. 8a Abs. 4 Satz 1 SchKG) korrigierte.[400] Grund dafür war, dass Auskunfteien nicht selbst feststellen könnten, wann das Betreibungs- oder Konkursverfahren abgeschlossen sei.[401] In der Praxis komme es zudem häufig vor, dass zwischen Einleitung und Abschluss des Verfahrens mehr als fünf Jahre vergehen würden.[402] Praktisch umsetzbar sind nur Fristen, die an für die Auskunftei feststellbare Umstände anknüpfen, wie etwa den Ereigniszeitpunkt des Betreibungsvorgangs. Fünf Jahre ab diesem Zeitpunkt statt ab Verfahrensabschluss wären indes nicht selten deutlich kürzer, wenn bereits die Verfahren selbst so lange dauern können. Daher leuchtet es ein, dass die fünfjährige Frist von Art. 8a Abs. 4 Satz 1 SchKG untauglich ist, die Speicherung und Verwendung zeitlich sinnvoll zu begrenzen.

Ordentliche Verjährungsfrist nach OR und Beobachtungszeitraum nach Basler Mindeststandard

Eine Anlehnung an die ordentliche Verjährungsfrist von Forderungen (Art. 127 OR) erscheint zwar nicht bei allen Bonitätsdaten zwingend, jedenfalls nicht bei Betreibungsvorgängen. Dennoch befand nicht nur der EDÖB in der Sache Teledata letztlich die Verwendung von Betreibungsvorgängen während zehn Jahren mit Blick auf Art. 127 OR für verhältnismässig.[403] Ebenso zog der Gesetzgeber bei der Festlegung der zeitlichen Beschränkung von Art. 31 Abs. 2 lit. c Ziff. 3 DSG diese Frist heran[404] und entschied sich bewusst gegen die vom SchKG inspirierte Fünfjahresfrist.[405] Bei Bonitätsdaten lässt sich daher von einem Richtwert von zehn Jahren ausgehen.

Dass eine Dauer von fünf oder weniger Jahren zu kurz bemessen wäre, zeigt sich auch mit Blick auf die Eigenmittelvorgaben an Banken wegen Kreditrisiken. Um die erforderlichen Eigenmittel zu bestimmen, kann eine Bank (oder ein kontoführendes Wertpapierhaus) die Kreditrisiken bei ihren Retailforderungen, also auch Forderungen gegenüber natürlichen Personen (vgl. Art. 71 Abs. 1 ERV), anhand eines auf internen Ratings basierenden Ansatzes berechnen (Art. 50 Abs. 1 lit. b ERV).[406] Dafür beurteilt sie die Kreditwürdigkeit der betreffenden Schuldner und muss dabei gemäss dem Basler Mindeststandard (zur Berechnung der nach Risiko gewichteten Positionen für Kreditrisiken) mindestens einen fünfjährigen Beobachtungszeitraum[407] anwenden.[408] Obwohl sich diese Vorgaben nicht an Auskunfteien richten, spricht sich das Verordnungsrecht mit dem Verweis auf den Basler Mindeststandard entschieden für die Verhältnismässigkeit der Verwendung auch von fünfjährigen und älteren Bonitätsdaten aus.

Im europäischen Recht (DSGVO)

Fristen des nationalen Zwangsvollstreckungsrechts und der Kapitaladäquanzverordnung der EU

Auch unter der DSGVO stellt sich die Frage der Massgeblichkeit von gesetzlichen Fristen insbesondere des Zwangsvollstreckungsrechts. Gewisse deutsche Stimmen wollen auf § 882e Abs. 1 ZPO/DE abstellen, wonach eine Eintragung im Schuldnerverzeichnis[409] nach Ablauf von drei Jahren seit der Eintragungsanordnung zu löschen ist.[410] Nach dem österreichischen Bundesverwaltungsgericht lässt sich hingegen aus § 256 IO/AT nicht ableiten, dass eine Auskunftei Daten über Insolvenzen nicht mehr verarbeiten darf, wenn sie (nach einer einjährigen Frist) aus der Insolvenzdatei, der öffentlich bekanntzumachenden Daten,[411] gelöscht worden sind. Denn eine derartige Einschränkung würde dem EU-Sekundärrecht, konkret Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, widersprechen.[412]

Obschon die zulässige Verarbeitungsdauer grundsätzlich vom Einzelfall abhänge, ist nach Ansicht des österreichischen Bundesverwaltungsgerichts vielmehr als Leitlinie auf die VO (EU) 575/2013, die Kapitaladäquanzverordnung der EU,[413] abzustellen,[414] die den erwähnten Basler Mindeststandard umsetzt.[415] Insofern orientierte sich das Gericht an einem historischen Beobachtungszeitraum von mindestens fünf Jahren. Während diese Auffassung, welche auf die gesetzliche Wertung der Kapitaladäquanzverordnung abstellt, in der Lehre teilweise Zustimmung fand,[416] wurde sie vereinzelt auch kritisiert: Sekundärrecht müsse bei der Abwägung primärrechtlich verankerter Grundrechte (im Rahmen von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) ausser Betracht bleiben. Zudem enthalte die Kapitaladäquanzverordnung diese Wertung – wenn überhaupt – nur in Bezug auf Kreditinstitute und Wertpapierfirmen[417] und nicht auf sämtliche Kundinnen von Auskunfteien.[418] Dieses Urteil und die eben zitierte Literatur stammen freilich von vor dem ersten und sogleich zu besprechenden Entscheid des EuGH zur Datenspeicherung durch Auskunfteien; diese Rechtsprechung könnte diese Ansichten durchaus beeinflussen.

Nationalrechtliche Löschfrist für die Restschuldbefreiung

Uneinig ist oder war sich zumindest die deutsche Lehre und Rechtsprechung, ob die Löschfrist von sechs Monaten[419] für die öffentliche Bekanntmachung der sog. Restschuldbefreiung[420] auch für deren Speicherung durch die Auskunfteien massgebend sein soll.[421] Während gewisse Gerichte dafürhielten, dass die gesetzliche Regelung der hoheitlichen Auskunftserteilung als Auslegungsleitlinie bei der Interessenabwägung verbindlich sei,[422] erachteten andere eine abweichende Frist für angezeigt. Die Hauptgründe für die letztere Ansicht waren, dass es unstatthaft sei, für die Auslegung der DSGVO auf eine nationalrechtliche Norm zurückzugreifen, und dass eine Auskunft einer Auskunftei – im Unterschied zu den Insolvenzbekanntmachungen – nur bei einem berechtigten Interesse zugänglich sei.[423]

Auch zur Klärung dieser Frage hat das Verwaltungsgericht Wiesbaden zwei bereits erwähnte Vorabentscheidungsverfahren vor dem EuGH initiiert.[424] Nach Ansicht des vorlegenden Gerichts ist die Speicherung der Daten aus öffentlichen Registern bei Auskunfteien, sofern sie denn überhaupt zulässig ist, auf höchstens dieselbe Speicherfrist begrenzt wie in den öffentlichen Registern.[425] Diese Auffassung teilte der EuGH im Wesentlichen, insbesondere[426] mit folgender Begründung:[427] Der deutsche Gesetzgeber gehe davon aus, dass nach Ablauf der sechsmonatigen Speicherfrist die Rechte und Interessen der betroffenen Person diejenigen der Öffentlichkeit überwiegen würden.[428] Zudem würde eine längere Speicherung auch die Verwirklichung des Zieles der Restschuldbefreiung gefährden, dem Begünstigten eine erneute Beteiligung am Wirtschaftsleben zu ermöglichen. Nach Löschung der Daten aus dem öffentlichen Register würden daher die Interessen zugunsten der Verarbeitung, insbesondere jene des Kreditsektors,[429] die Speicherung nicht mehr (i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) zu rechtfertigen vermögen.[430]

Würdigung

Die massgeblich auf das nationale Recht und dessen Intention abstellende Begründung des EuGH erstaunt,[431] zumal er auch in seinem gleichentags gefällten, ebenfalls die SCHUFA betreffenden Urteil festhielt,[432] dass Mitgliedstaaten nicht befugt seien, ergänzende Vorschriften für die Anwendung von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO zu erlassen und das Ergebnis der Interessenabwägung vorzuschreiben.[433] Die nationalrechtliche Frist, während der ein Datum gespeichert oder öffentlich zugänglich ist, darf mangels Öffnungsklausel nicht das allein entscheidende Kriterium für die Speicherdauer einer Auskunftei sein, ist doch die DSGVO autonom auszulegen und würde sonst deren Harmonisierungszweck torpediert.[434] Bei der Interessenabwägung ist indes zu berücksichtigen, dass nach Ablauf der gesetzlichen Speicherfrist der Zugang zu den Daten über das öffentliche Register verschlossen ist und sie sich nur noch bei Privaten wie einer Auskunftei beziehen lassen.[435] Sofern aber die betreffenden Daten, wie etwa die Restschuldbefreiung, im öffentlichen Register für beliebige Personen zugänglich sind, ist bei der Speicherung durch eine Auskunftei relativierend zu bedenken, dass hier der Zugang zu den Daten eingeschränkt ist und insbesondere einen Interessennachweis erfordert.[436]

Generell dürfte sich vor diesem Hintergrund der von der VO (EU) 575/2013 vorgegebene Zeitraum besser als Richtwert eignen, obwohl die Verordnung unmittelbar nur für Kreditinstitute und Wertpapierfirmen,[437] also nicht für die Auskunfteien und alle deren potenziellen Kundinnen, gilt. Nachdem sich die Eignung, Erforderlichkeit und Zumutbarkeit der Verarbeitung von Daten für die Kreditwürdigkeitsprüfung unabhängig vom Tätigkeitsfeld und der Branche der betreffenden Kreditgeberin beurteilen, spielt dies aber keine Rolle.[438] Die gesetzliche Bemessung des Zeitraums bringt die Wertung zum Ausdruck, dass für die Beurteilung kreditorischer Risiken bei Forderungen gegen natürliche Personen (in materieller Hinsicht verhältnismässige[439]) Daten zumindest fünf Jahre lang geeignet und erforderlich sind.[440] Zudem geht die Verordnung offenbar davon aus, dass die Verarbeitung von Daten für mindestens fünf Jahre in Abwägung der Interessen der betroffenen Personen letzteren auch zumutbar ist.

Ausrichtung an privatautonom geschaffenen Fristen

Auf spezifische Aufbewahrungsfristen haben sich die Auskunfteien in der Schweiz und in Deutschland selbst in (branchenweiten) Verhaltenskodizes verpflichtet.[441] Solche Kodizes lassen sich unter dem DSG von den Verbandsmitgliedern dem EDÖB zur Stellungnahme vorlegen (Art. 11 DSG) bzw. sind unter der DSGVO von der zuständigen Aufsichtsbehörde zu genehmigen (Art. 40 Abs. 5 DSGVO). Allerdings ermöglicht auch eine positive Stellungnahme des EDÖB zu den Verhaltensregeln bzw. deren Genehmigung durch die zuständige Aufsichtsbehörde dem Verantwortlichen nicht, Daten länger zu speichern, als es die Verhältnismässigkeit bzw. das berechtigte Interesse nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO erlaubt (sofern dies – wie bei den Auskunfteien – die einschlägige Rechtsgrundlage darstellt).[442] Denn Verhaltenskodizes sind freiwillige Verpflichtungen der Verbandsmitglieder, die gegenüber Dritten, den betroffenen Personen, keine Bindungswirkung entfalten.[443] Zudem dienen die Kodizes, wie sich aus der Botschaft[444] bzw. deren Definition (vgl. Art. 40 Abs. 2 DSGVO) ergibt, lediglich der Präzisierung der datenschutzrechtlichen Vorgaben; sie vermögen jene daher nicht zuungunsten der betroffenen Personen abzuändern.[445] Insofern ist ein Verhaltenskodex trotz allfälliger positiver Stellungnahme bzw. Genehmigung für die Frage der Verhältnismässigkeit unerheblich.[446]

Aufbewahrungsfristen enthält auch das «Reglement I betreffend der Abwicklung des Geschäfts- und Transaktionsverkehrs mit der Zentralstelle für Kreditinformation (ZEK)».[447] Auf die ZEK und letztlich dieses Reglement hatte auch der EDÖB auf seiner Website im Zusammenhang mit seinen Informationen zum Auskunfteiwesen verwiesen.[448] In Ziff. 4.1 des Reglements ist etwa als Aufbewahrungsfrist für einen Teil- oder Totalverlust bei einem Kreditvertrag fünf Jahre vorgesehen. Bei Karten[449] besteht für einen Teil- oder Totalverlust eine Frist von zehn Jahren und für laufende Inkassomassnahmen eine solche von fünf Jahren ab dem Negativereignis, es sei denn, das Negativereignis wird zuvor aufgehoben und es vergehen drei Jahre. Für einen Konkurs einer natürlichen Person sind zehn Jahre vorgesehen, sofern nicht zuvor die Löschung sämtlicher Verlustscheine nachgewiesen wird. Hätte der EDÖB diese Aufbewahrungsfristen als unverhältnismässig betrachtet, hätte er kaum darauf verwiesen. Soweit eine Auskunftei also dieselben oder zumindest ähnliche Daten ebenfalls zur Kreditwürdigkeitsbeurteilung bearbeitet, wird sie sich (jedenfalls unter schweizerischem Recht) an diesen Aufbewahrungsdauern orientieren dürfen.

Betrachtung ausgewählter Datenkategorien

Zur Identifikation bearbeitete Daten

Die Frage, wie lange eine Auskunftei Daten zur Identifikation der betroffenen Personen aufbewahren und verwenden darf, erfuhr in der Lehre und Praxis bisher (soweit ersichtlich) wenig Aufmerksamkeit.[450] Angesichts der weitgehend übereinstimmenden Vorgaben von DSG und DSGVO an die Verhältnismässigkeit (in zeitlicher Hinsicht)[451] lassen sich die folgenden Überlegungen unter beiden Erlassen im Wesentlichen gleichermassen anstellen.

Solange die zur Identifikation der betroffenen Person in materieller Hinsicht verhältnismässigen Daten wie Namen, Adresse, Geschlecht, Nationalität etc.[452] aktuell sind, wird die Eignung und wohl auch die Zumutbarkeit ihrer Bearbeitung grundsätzlich bis zum Tod der betroffenen Person[453] anhalten.[454] Die Erforderlichkeit entfällt hingegen (trotz Aktualität der Daten), wenn die Auskunftei angesichts der Umstände davon ausgehen muss, dass sie eine bestimmte natürliche Person nie mehr identifizieren und insbesondere ein von ihr ausgehendes kreditorisches Risiko beurteilen muss. Dies dürfte etwa der Fall sein, wenn die Auskunftei während der maximal zulässigen Aufbewahrungsdauer der für die Kreditwürdigkeitsprüfung verwendeten Daten keine Auskunft über die betroffene Person erteilen musste und keine (neuen) Bonitätsdaten über sie beschaffte. Diese maximalen Dauern dürften – wie sogleich auszuführen ist[455] – unter dem DSG zehn Jahre und unter der DSGVO sechs Jahre betragen.

Entsprechen die zur Identifikation bearbeiteten Daten nicht mehr den tatsächlichen Verhältnissen, sind sie also nicht mehr aktuell,[456] eignen sie sich zwar noch immer insofern zur Identifikation, als sie (als zusätzliches Merkmal) natürliche Personen (besser) zu unterscheiden erlauben. Sobald die Auskunftei aber Kenntnis von den neuen Angaben etwa betreffend Geschlecht, Beruf, Nationalität oder Aufenthaltsbewilligung hat, dürfte die Bearbeitung der nicht mehr aktuellen Daten höchstens noch in Ausnahmefällen erforderlich und damit zulässig sein, etwa wenn sonst kaum Daten zur Identifikation vorliegen.

Davon auszunehmen sind Vor- und Nachnamen sowie frühere Adressen. Namen erscheinen auch nach deren Änderung als erforderlich, weil sie neben dem Geburtsdatum die wichtigsten Angaben für die Identifikation sind und auch Behörden und andere Unternehmen zumindest für eine gewisse Dauer den früheren Namen weiterverwenden werden. Erhält z.B. eine Auskunftei eine Auskunftsanfrage zu einer Person unter deren früheren Namen, muss sie in der Lage sein, dieser Person die richtigen Daten zuordnen zu können. Solange vernünftigerweise noch mit der Verwendung des früheren Namens zu rechnen ist, wohl zumindest während eines halben Jahres ab Namensänderung, ist es daher als verhältnismässig zu betrachten, den früheren Vornamen und/oder Nachnamen zu bearbeiten.

Frühere, also nicht mehr aktuelle Adressen zu speichern und zu verwenden, erlauben deutsche Aufsichtsbehörden,[457] präzisieren aber nicht für wie lange. Der EDÖB erachtete es mit Blick auf die Verjährungsfrist von Verlustscheinforderungen und damit namentlich auf deren Geltendmachung als verhältnismässig, die Adresshistorie über die letzten 20 Jahre zu speichern und jene über die letzten zehn Jahre auf Anfrage auch zu beauskunften.[458] Dies sei notwendig, da die Verlustscheingläubigerin ein Interesse daran habe, den aktuellen Wohnort des Verlustscheinschuldners ausfindig zu machen.[459] Da die Geltendmachung der Verlustscheinforderung die Kenntnis der aktuellen Adresse des Schuldners, nicht aber dessen Adresshistorie (über die letzten 20 Jahre) erfordert, ist diese Begründung nicht nachvollziehbar.[460] Darum ist fraglich, ob sich aus dieser (grosszügigen) Haltung des EDÖB etwas für die Aufbewahrungsdauer von früheren Adressen (zur Identifikation der betroffenen Person) ableiten lässt. Da frühere Adressen besonders unterscheidungskräftig sind und ihre Verwendung vergleichsweise wenig eingriffsintensiv ist, erscheint es vertretbar, die Speicherung der Adresshistorie der letzten zehn Jahre als verhältnismässig zu betrachten.

Zur Kreditwürdigkeitsprüfung bearbeitete Daten

Betreibungsvorgänge

Die fünfjährige Frist von Art. 8a Abs. 4 Satz 1 SchKG taugt, wie bereits ausgeführt,[461] als Orientierungspunkt für die Aufbewahrungsfrist von Bonitätsdaten, insbesondere von Betreibungsvorgängen, nicht, da den Auskunfteien die Kenntnis über den Verfahrensabschluss fehlt und die Verfahren häufig länger als fünf Jahre dauern. Mit dem EDÖB ist unter dem DSG vielmehr von einer Aufbewahrungsfrist von zehn Jahren (ab dem betreffenden Vorgang) auszugehen,[462] die sich an die – auch in Art. 31 Abs. 2 lit. c Ziff. 3 DSG aufgegriffene[463] – ordentliche Verjährungsfrist von Art. 127 OR anlehnt.[464]

Informationen über Pfändungs- und Konkursverlustscheine darf die Auskunftei gemäss EDÖB der Verjährungsfrist der Verlustscheinforderung entsprechend 20 Jahre (ab deren Ausstellung) aufbewahren (Art. 149a Abs. 1 und Art. 265 Abs. 2 SchKG).[465] Dies leuchtet ein, soweit die Auskunftei in ihre Kreditwürdigkeitsbeurteilung einfliessen lässt, dass die betroffene Person noch (durchsetzbare) Schulden im Umfang der Verlustscheinforderung hat. Soweit die Auskunftei für die Beurteilung hingegen die Information verwendet, dass die betroffene Person zum Ausstellungszeitpunkt im Rahmen eines Zwangsvollstreckungsverfahrens nicht im Stande war, ihre Gläubigerinnen zu befriedigen, drängt sich die zwanzigjährige Frist nicht auf. Im Gegenteil dürften sich bei einem über zehn Jahre zurückliegenden Ausstellungszeitpunkt kaum noch derart relevante Rückschlüsse ziehen lassen, die eine längere Verwendung und die damit einhergehende Beeinträchtigung der Betroffeneninteressen zu rechtfertigen vermögen. Soweit die Auskunftei demnach an letzteren Informationsgehalt (also nicht an die Verlustscheinforderung an sich mit ihrem Betrag) anknüpft, ist (ebenfalls) von einer zehnjährigen Aufbewahrungsfrist auszugehen.[466]

Mit Blick auf die Verjährungsfrist von Verlustscheinforderungen befand es der EDÖB auch für zulässig, Informationen zu Privatkonkursen 20 Jahre aufzubewahren und zu nutzen. Denn es komme gelegentlich vor, dass nach relativ langer Zeit, beispielsweise 15 Jahren nach Abschluss des Konkursverfahrens, offene, aber im Betreibungsregister nicht angezeigte Verlustscheine aufgefunden würden, die eine Verlustscheingläubigerin eintreiben möchte.[467] Diese Begründung überzeugt kaum, selbst wenn eine gewisse Nähe zwischen Informationen über Privatkonkurse und jenen zu Verlustscheinen auszumachen ist.[468] Allerdings resultieren nicht aus jedem Konkurs Verlustscheine und unterwirft auch das SchKG die Einsicht in Informationen über Privatkonkurse der zeitlichen Beschränkung von Art. 8a Abs. 4 Satz 1 SchKG und nicht der zwanzigjährigen Verjährungsfrist von Art. 149a Abs. 1 SchKG.[469] Im Übrigen vermögen die nur noch eingeschränkten Rückschlüsse auf die aktuelle Kreditwürdigkeit, die ein mehr als zehn Jahre zurückliegender Privatkonkurs noch erlauben dürfte, kaum die widerstreitenden Interessen der betroffenen Person aufzuwiegen. Es ist daher auch bei Informationen über Privatkonkurse von einer zehnjährigen Aufbewahrungsfrist auszugehen.[470]

Im Anwendungsbereich der DSGVO können die erwähnten Bestimmungen des SchKG ohnehin nicht allein massgebend sein, nachdem die DSGVO autonom auszulegen ist und nationalrechtliche Vorschriften das Ergebnis der Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO nicht vorschreiben dürfen. Als Richtwert bietet sich im europäischen Recht – wie erwähnt[471] – die mindestens fünfjährige Frist der VO (EU) 575/2013 an. Mangels Obergrenze liessen sich mit Verweis darauf dieselben Aufbewahrungsfristen wie unter dem DSG rechtfertigen, zumal sich hinsichtlich der involvierten Interessen analoge Überlegungen aufdrängen. Allerdings kennt die DSGVO keine Bestimmung wie Art. 31 Abs. 2 lit. c DSG, die implizit zum Ausdruck bringt, dass durchaus auch die Bearbeitung von zehnjährigen Daten für die Kreditwürdigkeitsprüfung geeignet und der betroffenen Person zumutbar sein kann.[472] Ausserdem dürfte die Wertung des europäischen Gesetzgebers hinsichtlich der Verhältnismässigkeit historischer Daten trotz fehlender Obergrenze eine Verdoppelung der fünfjährigen Frist auf zehn Jahre kaum tragen. Nachdem es sich um eine Mindestangabe handelt, wird sich aber eine geringe Verlängerung der fünfjährigen Frist, etwa um ein Jahr, rechtfertigen lassen. Insofern dürfte es verhältnismässig sein, in den letzten sechs Jahren stattgefundene Betreibungsvorgänge für die Kreditwürdigkeitsprüfung aufzubewahren und zu verwenden.

Negative Zahlungserfahrungen

Eignet sich die fünfjährige Frist von Art. 8a Abs. 4 Satz 1 SchKG als Orientierungspunkt für die Aufbewahrungsdauer von Daten über Betreibungsvorgänge nicht, trifft dies noch mehr auf (andere) negative Zahlungserfahrungen zu, die ausserhalb eines Betreibungsverfahrens entstehen. Dies sah auch der EDÖB nach zunächst gegenteiligen Äusserungen im Schlussbericht Teledata so und knüpfte an die ordentliche Verjährungsfrist für Forderungen von zehn Jahren an (Art. 127 OR).[473] Angesichts der hinter Art. 31 Abs. 2 lit. c Ziff. 3 DSG steckenden gesetzgeberischen Wertung hinsichtlich des Alters von Bonitätsdaten[474] wird es auch unter dem neuen DSG verhältnismässig sein, negative Zahlungserfahrungen während zehn Jahren aufzubewahren und für Kreditwürdigkeitsprüfungen zu verwenden.

Im Anwendungsbereich der DSGVO lassen sich hinsichtlich der Aufbewahrungsdauer für negative Zahlungserfahrungen im Wesentlichen dieselben Überlegungen anstellen wie bei den Betreibungsvorgängen.[475] Zu bedenken ist im Vergleich zu diesen Angaben, dass die (übrigen) negativen Zahlungserfahrungen womöglich weniger zuverlässige Rückschlüsse auf die Kreditwürdigkeit zulassen, da sie sich nicht aus einem Vollstreckungsverfahren ergeben. Dennoch bietet sich auch und gerade hier die mindestens fünfjährige Frist der VO (EU) 575/2013 zur Orientierung an. Daher dürfte es zulässig sein, negative Zahlungserfahrungen der letzten sechs Jahre aufzubewahren und zu verwenden.

Sonderfragen

Vorzeitige Löschung nach Tilgung der dazugehörigen Forderung?

Der Eintrag des Verlustscheins wird nach Tilgung der Verlustscheinforderung sowie nach Eintritt von deren Verjährung von Amtes wegen in den Registern gelöscht (Art. 149a Abs. 3 SchKG).[476] Die Betreibung, in welcher der Verlustschein ausgestellt wurde, bleibt hingegen (auch für Dritte) im Register ersichtlich.[477] Generell führt die Tilgung einer in Betreibung gesetzten Forderung nicht ohne Weiteres dazu, dass Dritte keine Einsicht mehr in die betreffende Betreibung erhalten, zumal sie noch immer Aufschluss über die Zahlungswilligkeit der betroffenen Person geben kann.[478]

Nach einer Lehrmeinung zum schweizerischen Recht besteht für Auskunfteien eine mit Art. 149a Abs. 3 SchKG vergleichbare Löschungspflicht, die sich indes nicht auf Informationen über Verlustscheine beschränkt. Vielmehr müsse eine Auskunftei Angaben über die Betreibungsvorgänge, die Verlustscheine bzw. die Zahlungserfahrungen löschen, wenn ihr nachgewiesen werde, dass die in Betreibung gesetzte Forderung, jene des Verlustscheins bzw. jene, auf die sich die Zahlungserfahrungen beziehe, nicht mehr bestehe.[479] Ebenso müsse die Auskunftei bereits vor Ende der Aufbewahrungsfrist Informationen über einen Privatkonkurs löschen, wenn der Nachweis erfolge, dass sämtliche Verlustscheine und sonstigen Forderungen aus dem Konkursverfahren getilgt worden seien.[480] Auch gemäss EDÖB ist in letzterem und anderen (von ihm nicht näher definierten) «begründeten Einzelfällen» eine Löschung angezeigt, da Informationen über einen Privatkonkurs im Einzelfall betroffene Personen in ihrem wirtschaftlichen Fortkommen behindern können.[481]

Im Anwendungsbereich der DSGVO musste das Landgericht Wiesbaden entscheiden, ob die Speicherung und Verwendung von negativen Zahlungserfahrungen nach Tilgung der entsprechenden Forderung mit Art. 5 f. DSGVO vereinbar ist; dazu prüfte es insbesondere, ob die weiteren Verarbeitungen noch angemessen und erheblich sind (Art. 5 Abs. 1 lit. c DSGVO) und ein berechtigtes Interesse nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO besteht. Im zu beurteilenden Fall ging es um geringe Forderungsbeträge von EUR 400–500, die durch einen Vollstreckungsbescheid tituliert waren. Da auch Zahlungsverzögerungen für Kreditgeberinnen wirtschaftlich belastend sind, befand das Landgericht die weitere Verarbeitung als zulässig, sofern sich aus der Bonitätsauskunft die Tilgung ergibt.[482] Die deutsche Lehre nahm diese Haltung soweit ersichtlich ohne Widerspruch auf und beschränkte sie nicht auf gerichtlich festgestellte Forderungen.[483] Auch das österreichische Bundesverwaltungsgericht sah die Tilgung der Forderungen nicht als Hindernis für die Berücksichtigung von in deren Zusammenhang gemachten Zahlungserfahrungen.[484]

Dieser Auffassung ist auch unter dem DSG zuzustimmen. Freilich erlaubt die betroffene Person mit ihrer Bezahlung die Annahme, dass sie ihren Verpflichtungen irgendwann doch noch nachkommt. Jedoch vermag bereits ein Zahlungsrückstand Kreditgeberinnen zu schädigen und werden sich schon daraus Rückschlüsse auf die Kreditwürdigkeit der betroffenen Person ziehen lassen. Müssten sich die Negativdaten auf noch offene Forderungen beschränken, würde dies vielfach ein falsches Bild der Kreditwürdigkeit abgeben, insbesondere von jenen Personen, die zwar letztlich bezahlen, aber erst auf (mehrfache) Mahnung oder Betreibung hin. Auch vor solchen Schuldnern müssen sich Kreditgeberinnen schützen dürfen. Kommt hinzu, dass die Bezahlung einer Forderung, die in Betreibung gesetzt wurde bzw. bei der ein Rückstand erfasst wurde, zu folgern erlaubt, dass die Betreibung bzw. Geltendmachung der Forderung gerechtfertigt war und damit aussagekräftiger ist.[485]

Vor diesem Hintergrund erscheint es grundsätzlich zumutbar und angemessen, wenn die Auskunftei (im Rahmen der Aufbewahrungsfristen) Daten über Betreibungsvorgänge, Verlustscheine, Zahlungserfahrungen und Privatkonkurse trotz Tilgung der Forderung(en) bearbeitet. Dies kann zwar dazu führen, dass die Auskunftei Daten bearbeitet, die im Betreibungsregister (für Dritte) nicht mehr einsehbar sind, sodass allfällige nachteilige Auswirkungen allein auf die Bearbeitung durch die Auskunfteien zurückzuführen sind. Diese Folge ist aber hinnehmbar, wenn die Auskunftei bei entsprechendem Nachweis auch die Tilgung speichert, berücksichtigt und gegebenenfalls in der Bonitätsauskunft anzeigt.

Wechselwirkung zwischen Aufbewahrungsdauer und Gewichtung

Die vorerwähnten Fristen für die Betreibungsvorgänge und die (übrigen) negativen Zahlungserfahrungen sind zeitliche Maxima für die Aufbewahrung der jeweiligen Daten bzw. Datenkategorien. Nachdem aber nicht alle Daten innerhalb einer Kategorie gleich relevant für die Kreditwürdigkeitsbeurteilung sind, wird die Auskunftei die Dauer, während der sie die Daten speichert und verwendet, auch in Abhängigkeit der jeweiligen Gewichtung noch weiter ausdifferenzieren müssen. Dies veranschaulicht im Kontext der Betreibungsvorgänge das bereits angesprochene, zuhanden des EDÖB verfasste Gutachten über die Verhältnismässigkeit (in zeitlicher Hinsicht) der Bonitätsdatenbearbeitung.

Das Gutachten geht zu Recht von folgendem Grundsatz aus: Je weniger relevante Rückschlüsse ein Betreibungsvorgang auf die Kreditwürdigkeit erlaubt, desto kürzer muss dessen «Geltungsdauer» sein.[486] Diesem Grundsatz entsprach auch das untersuchte Scoringsystem; es sah für die Betreibungsvorgänge verschiedene «Geltungsdauern» von einem, zwei, drei bzw. fünf Jahren vor, fasste aber Vorgänge mit ungleicher Aussagekraft innerhalb einer Gruppe mit derselben «Geltungsdauer» zusammen.[487] Indem die Auskunftei die Betreibungsvorgänge innerhalb einer Gruppe (teils stark) unterschiedlich gewichtete, waren ihre Datenbearbeitungen dennoch verhältnismässig.[488] Dies zeigt, dass «Geltungsdauer» und Gewichtung voneinander abhängen und sich die Verhältnismässigkeit in zeitlicher Hinsicht nur im Gefüge eines konkreten Scoringsystems und nicht abstrakt beurteilen lässt. Mit diesem Aspekt befassten sich die Lehre und Praxis zur DSGVO soweit ersichtlich noch nicht eingehend; die vorangehenden Überlegungen sind indes auf das europäische Datenschutzrecht übertragbar.

Zwischenfazit

Die Beschaffungen und Speicherungen von Daten durch die Auskunftei für den eventuellen Fall einer Auskunftsanfrage einer Kreditgeberin stellen Datenbearbeitungen auf Vorrat dar. Unter dem DSG verletzt dies die Verhältnismässigkeit in prinzipieller Hinsicht und verursacht daher eine Persönlichkeitsverletzung, die indes einer Rechtfertigung zugänglich ist.[489] Unter der DSGVO verletzen diese Verarbeitungen nicht zwingend einen Grundsatz i.S.v. Art. 5. Erforderlich ist dafür allerdings, dass es der Auskunftei nicht möglich ist, die betreffenden Daten erst bei einer Auskunftsanfrage zu beschaffen, wie dies insbesondere bei Kreditgeschäften im Online-Bereich der Fall ist. Trotz unterschiedlicher Ansätze dürfte sich hier die Rechtslage nach schweizerischem bzw. europäischem Recht im Ergebnis ähneln. Ebenso ohne effektiven oder zumindest konkreten Bedarf bearbeitet die Auskunftei Daten, wenn sie einen Kreditscore berechnet und ihn allenfalls der Kreditgeberin bekanntgibt, obwohl letztere kein Interesse an der Kreditwürdigkeitsprüfung hat. Im schweizerischen Recht stellen dies (ebenfalls) unverhältnismässige Datenbearbeitungen dar, die sich unter Umständen gestützt auf Art. 31 Abs. 2 lit. c DSG rechtfertigen lassen.[490] Im europäischen Recht dürften die Datenverarbeitungen unzulässig sein, weil es der Auskunftei hierfür an einer Rechtsgrundlage fehlt.

In materieller Hinsicht beschränkt die Verhältnismässigkeit insbesondere den Kreis der Daten, die eine Auskunftei für die Identifikation der betroffenen Person und die Kreditwürdigkeitsprüfung an sich bearbeiten darf. Zur Identifikation ist zunächst die Verwendung von Stammdaten verhältnismässig; darüber hinaus darf die Auskunftei ausgewählte zusätzliche Daten wie das Geschlecht, die Nationalität und frühere Adressen bearbeiten, nicht zuletzt, weil die potenziellen negativen Folgen einer Personenverwechslung ungleich schwerer wiegen als der mit der Verwendung solcher zusätzlicher Daten verbundene Eingriff in die Rechte und Interessen der betroffenen Person. Zur Prüfung der Kreditwürdigkeit sind Daten geeignet, die nach allgemeiner Lebenserfahrung oder aus mathematisch-statistischer Sicht dafür relevant sind. Unerheblich ist, ob grundsätzlich die Möglichkeit falscher Rückschlüsse besteht. Damit die Verwendung eines bestimmten Datums zudem erforderlich ist, muss sie angesichts der übrigen verwendeten Daten der Prognosefähigkeit der Kreditwürdigkeitsbeurteilung zuträglich sein. Ob die Bearbeitung eines bestimmten Datums der betroffenen Person auch zumutbar ist, beurteilt sich nach einer Abwägung der involvierten Interessen. Während etwa mit steigendem kreditorischem Risiko auch die Zumutbarkeit näherliegt, sprechen die (besondere) Sensibilität eines Datums oder ein gesteigertes Risiko für die Persönlichkeitsrechte oder für Diskriminierungen gegen dessen Verwendung. Diese Abwägung lässt sich typisiert vornehmen, verlangt aber von Auskunfteien (mit heterogener Kundschaft), dass sie unterschiedliche Auskunftsprodukte anbieten.

Auch die Vornahme eines vorliegend besonders interessierenden Profilings (mit hohem Risiko) in der Form der Berechnung des Kreditscores muss für die Kreditwürdigkeitsprüfung geeignet, erforderlich und zumutbar sein. Während sich die Prüfung dieser Vorgaben im schweizerischen Recht – angesichts des Erlaubnisprinzips mit Verbotsvorbehalt[491] – im Rahmen der Verhältnismässigkeit in materieller Hinsicht aufdrängt, ist sie im europäischen Recht von den (später zu betrachtenden[492]) Voraussetzungen des berechtigten Interesses i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO umfasst. Ein Profiling (ohne besonders hohe Fehlerquote) dürfte in aller Regel für die Kreditwürdigkeitsprüfung geeignet und erforderlich sein; dessen Zumutbarkeit ist (ebenfalls) tendenziell zu bejahen, hängt aber im Einzelnen von verschiedenen Kriterien ab, namentlich vom Umfang und der Aussagekraft des Inputs, der Detailliertheit des Outputs sowie den (potenziellen) Auswirkungen für die betroffene Person. Ein Profiling mit hohem Risiko wird sich ebenfalls regelmässig zur Kreditwürdigkeitsbeurteilung eignen, aber nur in Ausnahmefällen erforderlich und der betroffenen Person zumutbar sein.

Die Verhältnismässigkeit in zeitlicher Hinsicht setzt vorab der Dauer Grenzen, während der eine Auskunftei Daten aufbewahren und verwenden darf. Diese Dauer ist unter dem DSG aus systematischen und gesetzeshistorischen Gründen – nicht wegen Art. 31 Abs. 2 lit. c DSG – auf zehn Jahre begrenzt. Die meisten der zur Identifikation der betroffenen Person verwendeten Daten darf die Auskunftei so lange speichern, als sie davon ausgehen darf, dass sie die Daten noch benötigen wird und sie aktuell sind. Frühere Namen und Adressen darf die Auskunftei trotz fehlender Aktualität zeitlich begrenzt weiterbearbeiten. Die Aufbewahrungsdauer der zur Beurteilung der Kreditwürdigkeit bearbeiteten Daten hat sich an gesetzlichen Fristen zu orientieren, namentlich an der zehnjährigen Verjährungsfrist von Art. 127 OR unter dem DSG und am (mindestens) fünfjährigen Beobachtungszeitraum der EU-Kapitaladäquanzverordnung unter der DSGVO. Die Auskunftei ist bei Daten aus öffentlichen Registern nicht zwingend an die gesetzlichen Fristen (des nationalen Rechts) für die Speicherung im betreffenden Register gebunden. Dies gilt gerade unter der DSGVO, wo nationalrechtliche Vorgaben und dazugehörige gesetzgeberische Intentionen nicht allein entscheidend für die Speicher- und Verwendungsdauer einer Auskunftei sein können.

Zum DSG vgl. CR LPD-Meier/Tschumy, Art. 5 N 26; zum aDSG BSK aDSG-​Maurer-​Lambrou/Steiner, Art. 4 N 10; Meier, Rn. 664. ↵

Dass der Verantwortliche den Zweck bestimmen kann, stellte der EDÖB, Digitec Galaxus, Rn. 130 ff., kürzlich zu Unrecht in Frage, indem er bei der Verhältnismässigkeitsprüfung einen sich aus dem Datenschutzrecht ergebenden Zweck unterstellte. Denn wie bereits das BVGer, A-3548/2018 vom 19. März 2019, E. 5.4.3, entschieden hat, gibt das Datenschutzrecht keinen Zweck vor; dessen Bestimmung ist dem Verantwortlichen vorbehalten (vgl. Vasella, Digitec Galaxus, o.S.). Nichts Anderes gilt im Übrigen unter der DSGVO (vgl. Kramer, in: Auernhammer, Art. 5 N 34; Roßnagel, in: Simitis et al., Art. 5 N 122; Wolff, in: Schantz/Wolff, Rn. 436). ↵

Besteht innerhalb eines Zwecks ein untergeordneter Grund, dem die Bearbeitung dient, kann es angezeigt sein, die Verhältnismässigkeit an diesem Grund ausgerichtet zu prüfen. Dies zeigt sich vorliegend bei den Datenbearbeitungen für die Identifikation der betroffenen Person, die im Rahmen der Kreditwürdigkeitsprüfung erfolgen (vgl. dazu unten Teil 3, C.IV.3.2.a.bb und C.IV.4.2.d.aa). ↵

Zum DSG Métille, S. 9; zum aDSG HK aDSG-Rosenthal, Art. 4 N 26; vgl. auch Meier, Rn. 671 ff. ↵

Zum DSG Botschaft Totalrevision DSG, 7024; zum aDSG vgl. EDÖB, Digitec Galaxus, Rn. 126; EDÖB, Teledata, S. 15. Darin enthalten sind die Grundsätze der Datenvermeidung, der Datenbeschaffungen verbietet, sofern ohne oder mit den bereits beschafften Daten der Zweck erreichbar ist, und der Datensparsamkeit, der nur Bearbeitungen von für den Zweck notwendigen Daten zulässt (zum DSG Botschaft Totalrevision DSG, S. 7024; Métille, S. 9; zum aDSG vgl. BGE 147 I 346 E. 5.5). ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 5 N 28; zum aDSG BGE 138 II 346 E. 9.2; vgl. auch EDÖB, Digitec Galaxus, Rn. 126 f.; EDÖB, Teledata, S. 15. ↵

Art. 5 Abs. 1 lit. c E-DSGVO Rat: «Personenbezogene Daten müssen dem Verarbeitungszweck entsprechen, sachlich relevant und in Bezug auf die Zwecke, für die sie verarbeitet werden, verhältnismäßig sein.» ↵

EuGH, Rs. C-439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 98; vgl. auch EuGH, Rs. C-708/18 vom 11. Dezember 2019, Asociația de Proprietari bloc M5A-ScaraA, Ziff. 48. ↵

Schantz, in: Wolff et al., Art. 5 N 24; vgl. auch Albrecht/Jotzo, Teil 2 N 6; Reimer, in: Sydow/Marsch, Art. 5 N 32 ff.; Thouvenin, Forschung, S. 34. ↵

Vgl. Heberlein, in: Ehmann/Selmayr, Art. 5 N 29; Roßnagel, in: Simitis et al., Art. 5 N 120. ↵

Bensoussan, S. 90; D’Avis/Giesen, Rn. 16; de Terwangne, in: Epiney et al. 2022, S. 61; vgl. auch Gellert, EDPL 2016, S. 486 f.; George, S. 308 f.; Wolff, in: Schantz/Wolff, Rn. 420, wonach zumindest weitgehende Übereinstimmung zwischen der Datenminimierung und der Verhältnismässigkeit bestehe; zur DSRL Bygrave, Data Privacy Law, S. 147 f.; Epiney, in: Belser et al., § 9 N 23. ↵

Vgl. BGE 132 I 7 E. 4.2; BGE 129 II 331 E. 4.3; BGE 128 I 295 E. 5b/cc. ↵

So Häfelin et al., Rn. 522; vgl. auch Tschannen et al., Rn. 456, wonach eine Anordnung ungeeignet sei, wenn sie keine nennenswerte Wirkung zeige. ↵

Die Datenschutz- und Öffentlichkeitskommission war eine Schieds- und Rekurskommission der Bundesverwaltung (vgl. Art. 33 aDSG), die in ihren Funktionen 2007 vom Bundesverwaltungsgericht abgelöst wurde. ↵

Zum aDSG EDSK, Urteil vom 29. August 2003, in: VPB 68.68, S. 860 ff., E. 3b/aa, betreffend ein Pharmaunternehmen, das zur Gewährleistung der Sicherheit Drogentests, aber nicht auch Alkoholtests, und zwar nicht bei allen in sicherheitsrelevanten Bereichen tätigen Mitarbeitenden, sondern bloss bei den Auszubildenden durchführte. Dafür testete das Unternehmen unter den Auszubildenden auch jene, die nicht einer sicherheitssensitiven Tätigkeit nachgingen. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 82, wo der EDÖB jedoch weder diesen Massstab begründet noch präzisiert, ab welcher Fehlerquote eine Bearbeitung ungeeignet ist. ↵

Zum DSG vgl. SHK DSG-Baeriswyl, Art. 6 N 26, wonach im privatrechtlichen Bereich nicht von einer gleichen Handhabung ausgegangen werden könne, da hier auch Datenbearbeitungen im Eigeninteresse der betroffenen Person erfolgen könnten, die aus einer objektiven Betrachtung nicht verhältnismässig seien; zum aDSG vgl. Epiney, in: Belser et al., § 9 N 26, wonach dem Grundsatz bei privaten Verantwortlichen dieselbe Tragweite zukomme. ↵

BVGE 2009/44 E. 3.1 ff. ↵

BGE 138 II 346 E. 9.2. ↵

Vgl. Uhlmann/Stalder, S. 370. ↵

Schantz, in: Wolff et al., Art. 5 N 24; Wolff, in: Schantz/Wolff, Rn. 422; vgl. auch George, S. 308; Herbst, in: Kühling/Buchner, Art. 5 N 57; Kramer, in: Auernhammer, Art. 5 N 40; Reimer, in: Sydow/Marsch, Art. 5 N 34; a.M. Roßnagel, in: Simitis et al., Art. 5 N 120. ↵

Herbst, in: Kühling/Buchner, Art. 5 N 57; Wolff, in: Schantz/Wolff, Rn. 422. ↵

Heberlein, in: Ehmann/Selmayr, Art. 5 N 30; vgl. auch Reimer, in: Sydow/Marsch, Art. 5 N 34. ↵

So Roßnagel, in: Simitis et al., Art. 5 N 120, wonach «erheblich» – anders als «geeignet» – nicht schon einen geringen, sondern nur einen entscheidenden Beitrag genügen lasse. ↵

Wolff, in: Schantz/Wolff, Rn. 433; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 15; Lorentz, S. 197; ferner GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 81, der unter der Voraussetzung der Erforderlichkeit auch verlangt, dass die Verarbeitung von Nutzen ist. ↵

Wolff, in: Schantz/Wolff, Rn. 428 ff., insb. Rn. 433 und 438, der auch darauf hinweist, dass (streng besehen) die Datenminimierung an die Daten, hingegen die Erforderlichkeit an die Verarbeitung anknüpfe, sich daraus jedoch vergleichbare Vorgaben ergeben würden. ↵

Allfällige Alternativen müssen im Hinblick auf die Zweckerreichung «ebenso wirksam» wie die auf ihre Erforderlichkeit hin zu prüfende Datenverarbeitung sein (vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. [Restschuldbefreiung], Ziff. 77; EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 108). ↵

Überdies dürfte vorauszusetzen sein, dass die alternative Massnahme (dem Verantwortlichen) auch zumutbar ist, wie dies die Rechtsprechung des EuGH zur DSGVO festhält. Ausserhalb des Datenschutzrechts hat das Bundesgericht jedenfalls auch schon dafürgehalten, dass eine mildere Massnahme ausser Betracht fällt, wenn sie mit einem grossen Mehraufwand verbunden wäre (BGE 101 Ia 336 E. 6c; vgl. auch Tschannen et al., Rn. 459). ↵

Zum aDSG BVGE 2009/44 E. 3.3; EDÖB, Bonitäts- und Inkassounternehmen, Rn. 83; vgl. auch Meier, Rn. 665 f. ↵

Zum aDSG BVGE 2009/44 E. 3.3. Vgl. eingehend Häfelin et al., Rn. 531 ff. ↵

Zum aDSG Epiney, in: Belser et al., § 9 N 27; vgl. auch Meier, Rn. 666. ↵

Roßnagel, in: Simitis et al., Art. 5 N 120; Schantz, in: Wolff et al., Art. 5 N 25; vgl. auch Herbst, in: Kühling/Buchner, Art. 5 N 57. ↵

EuGH, Rs. C‑77/21 vom 20. Oktober 2022, Digi, Ziff. 57 f.; vgl. auch EuGH, Rs. C‑184/20 vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, Ziff. 93. ↵

Nach einer anderen Formulierung verlangt die Erforderlichkeit, «dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen» (zur DSGVO EuGH, Rs. C-597/19 vom 17. Juni 2021, M.I.C.M., Ziff. 110; zur DSRL EuGH, Rs. C-13/16 vom 4. Mai 2017, Rīgas satiksme, Ziff. 30; vgl. auch EuGH, Rs. C‑212/13 vom 11. Dezember 2014, Ryneš, Ziff. 28). Allerdings ist auch bei dieser Formulierung mitzudenken, dass lediglich zumutbare und ebenso wirksame Mittel als Alternativen zu berücksichtigen sind (zur DSGVO vgl. EuGH, Rs. C-439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 110; zur DSRL vgl. EuGH, Rs. C‑708/18 vom 11. Dezember 2019, Asociația de Proprietari bloc M5A-ScaraA, Ziff. 46 f.). ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 77; EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 108, je in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO; vgl. auch EuGH, Rs. C-439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 110, in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO. Teilweise formuliert der EuGH die Erforderlichkeit abweichend als «objektiv unerlässlich», wobei entscheidend sei, «dass die Verarbeitung […] für die ordnungsgemässe Erfüllung des […] Vertrags wesentlich ist und daher keine praktikablen und weniger einschränkenden Alternativen bestehen» (EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 98, in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO). Im Ergebnis dürfte aber kein erheblicher Unterschied auszumachen sein. ↵

Zum aDSG BGE 138 II 346 E. 9.2; Epiney, in: Belser et al., § 9 N 27. ↵

Zum DSG PC LPD-Francey, Art. 6 N 34; zum aDSG BGE 138 II 346 E. 9.2; Epiney, in: Belser et al., § 9 N 27. ↵

Zum DSG PC LPD-Francey, Art. 6 N 34; zum aDSG BGE 138 II 346 E. 9.2; vgl. auch BVGE 2009/44 E. 3.1; a.M. offenbar HK aDSG-Rosenthal, Art. 13 N 16. ↵

Pötters, in: Gola/Heckmann, Art. 5 N 16; Schantz, in: Wolff et al., Art. 5 N 26; a.M. Roßnagel, in: Simitis et al., Art. 5 N 119; wohl auch Reimer, in: Sydow/Marsch, Art. 5 N 36. ↵

Gellert, EDPL 2016, S. 486; vgl. auch Datatilsynet, S. 18; de Terwangne, in: Kuner et al., S. 317; Wolff, in: Schantz/Wolff, Rn. 421, der die Angemessenheit dennoch nicht mit der Verhältnismässigkeit i.e.S. gleichsetzen will; zur DSRL Bygrave, Data Privacy Law, S. 148. ↵

Explanatory Report Convention 108, Rn. 52: «Personal data which is adequate and relevant but would entail a disproportionate interference in the fundamental rights and freedoms at stake should be considered as excessive and not be processed.» ↵

Vgl. dazu oben Einleitung, C.II.1.2.a. ↵

Deshalb ist auch fraglich, ob sich eine unverhältnismässige Datenbearbeitung (durch ein überwiegendes Interesse) rechtfertigen lässt (vgl. dazu unten Teil 3, D.I.1.2). ↵

BGE 138 II 346 E. 9.3; BGE 136 II 508 E. 5.2.5; vgl. auch BGE 142 III 263 E. 2.2.2, wo das Bundesgericht festhält, dass die Einhaltung des Verhältnismässigkeitsgrundsatzes für sich allein noch keine Persönlichkeitsverletzung rechtfertige und damit von einer Unterscheidung ausgeht. ↵

BGE 136 II 508 E. 5.2.5. Damit folgte es dem BJ, Auslegungshilfe, S. 2. ↵

BGE 138 II 346 E. 9.3. ↵

BGE 136 II 508 E. 5.2.5. ↵

EuGH, Rs. C‑77/21 vom 20. Oktober 2022, Digi, Ziff. 57 f. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 78; EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 109; EuGH, Rs. C‑184/20 vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, Ziff. 93; zur DSRL EuGH, Rs. C-708/18 vom 11. Dezember 2019, Asociația de Proprietari bloc M5A-ScaraA, Ziff. 48. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 86; vgl. auch Kotschy, in: Kuner et al., S. 338; Wolff, in: Schantz/Wolff, Rn. 430. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.c. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c, D.IV.1.3, und D.IV.2.2.b. ↵

Zum DSG Anderson/Galetti, S. 106; Mehmedovic, Rn. 18; CR LPD-Meier/Tschumy, Art. 5 N 30; zum aDSG vgl. EDÖB, Teledata, S. 15 ff.; EDÖB, Windows 10, S. 23 ff., der zwischen der Verhältnismässigkeit in inhaltlicher (auch «materieller») und in zeitlicher Hinsicht unterscheidet. ↵

Als Bearbeiten bzw. Verarbeitung gelten etwa auch das Aufbewahren und Archivieren (Art. 5 lit. d DSG) bzw. die Speicherung (Art. 4 Ziff. 2 DSGVO); vgl. dazu auch oben Teil 2, A.I.2. ↵

Zum DSG vgl. SHK DSG-Baeriswyl, Art. 6 N 38; OFK DSG-Fanger, Art. 6 N 7, die diese Vorgabe zusätzlich aus dem Grundsatz von Treu und Glauben ableitet, was nach hier vertretener Ansicht unzutreffend ist, weil letzterem Grundsatz eine Auffangfunktion zukommt (vgl. dazu unten Teil 3, C.VII.1.); zum aDSG BGE 125 II 473 E. 4b; zur DSGVO Roßnagel, ZD 2013, S. 564; vgl. auch Koning, S. 87. ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 5 N 31; zum aDSG Cellina, Rn. 992; Meier, Rn. 671. ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 5 N 31 f.; zum aDSG HK aDSG-Rosenthal, Art. 4 N 20; vgl. auch BGE 125 II 473 E. 4b; EDÖB, Teledata, S. 15 f.; zur DSGVO George, S. 309; Roßnagel, in: Simitis et al., Art. 5 N 121; Wolff, in: Schantz/Wolff, Rn. 425 f.; vgl. auch Hoofnagle et al., S. 78. ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 5 N 32; zum aDSG Cellina, Rn. 992; Meier, Rn. 675; zur DSGVO Biega/Finck, S. 56; Schantz, in: Wolff et al., Art. 5 N 25.1; vgl. auch EG 39 Satz 9 DSGVO; Herbst, in: Kühling/Buchner, Art. 5 N 58; a.M. mit Hinweis auf die Gesetzeshistorie George, S. 309; Plath, in: Plath, Art. 5 N 14. ↵

Vgl. dazu oben Teil 2, A.I.4.1. ↵

Schäfer, in: Epiney et al. 2011, S. 64; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 99; Weichert, ZD 2021, S. 556. ↵

Es ist nicht ausgeschlossen, dass eine Auskunftei Daten von Personen bearbeitet, über die nie eine Kreditgeberin (bei dieser Auskunftei) eine Auskunft erfragt (vgl. Overbeck, S. 280). ↵

Vgl. EDÖB, Mietercheck, Rn. 20. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.1. ↵

Overbeck, S. 280, wonach der Grundsatz der Datenminimierung trotz blosser Eventualität einer späteren Anfrage eingehalten sei, weil sich die Aussagekraft aller Scorewerte verbessere, wenn die Scorewertberechnung mehr Daten berücksichtige. Letztere Feststellung dürfte zwar zutreffen (vgl. dazu oben Teil 1, E.I.1.1), das Argument überzeugt dennoch nicht, weil es die Frage der Verhältnismässigkeit in prinzipieller Hinsicht (Sammlung und Speicherung auf Vorrat) mit derjenigen der Verhältnismässigkeit in materieller Hinsicht (Kreis der bearbeiteten Daten) vermengt. ↵

Schulz, in: Gola/Heckmann, Art. 6 N 99, wonach die Datenspeicherung auf Vorrat ihre «Rechtfertigung in der nicht hinwegzudenkenden hohen volkswirtschaftlichen Relevanz des Auskunfteienwesens» findet; Weichert, ZD 2021, S. 556, der festhält, dass die Vorratsdatenspeicherung «nicht unzulässig wegen fehlender Erforderlichkeit» sei, sondern die Daten erst zu löschen seien, wenn die «Speicherfrist überschritten bzw. überwiegende Interessen der betroffenen Person entgegenstehen». ↵

Vgl. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO; dazu auch unten Teil 3, D.IV.2.2. ↵

Auch Blocher/Wieser, S. 196 ff., welche die Rechtsprechung des EuGH zur staatlichen Vorratsdatenspeicherung von Verkehrs- und Standortdaten zwecks Kriminalitätsbekämpfung und Wahrung der öffentlichen Sicherheit heranziehen wollen, sprechen sich nicht grundsätzlich gegen die Vorratsdatenspeicherung einer Auskunftei aus. Sie erachten es indes – gemessen an diesem Massstab – für unzulässig, wenn eine Auskunftei die sog. Restschuldbefreiung (ein in einem staatlichen Register zu veröffentlichendes Instrument des deutschen Insolvenzrechts) speichere, nachdem diese im öffentlichen Register gelöscht worden sei. Ob eine längere Speicherung und Verwendung zulässig sind, betrifft die Verhältnismässigkeit in zeitlicher Hinsicht (vgl. dazu unten Teil 3, C.IV.4.2.b.bb). ↵

Vgl. Zwanziger, ZVI 2022, S. 329, wonach eine Vorratsdatenspeicherung hinsichtlich der Teilnahme am Wirtschaftsverkehr nicht von vornherein ausgeschlossen sein könne, da sonst auch etwa das Grundbuch oder das Handelsregister in Frage gestellt würden. Es komme deshalb auf die konkreten Interessen an. ↵

Vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung). ↵

VGer Wiesbaden, 6 K 441/21 vom 23. Dezember 2021, in: BeckRS 2021, 44967, Rn. 65; VGer Wiesbaden, 6 K 1052/21 vom 31. Januar 2022, in: BeckRS 2022, 15772, Rn. 42. ↵

GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 56. ↵

Vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 94 und 100. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 92 ff., insb. Ziff. 99. Dies stellt letztlich eine Frage der Verhältnismässigkeit in zeitlicher Hinsicht dar, auf die zurückzukommen ist (vgl. dazu unten Teil 3, C.IV.4.2). ↵

Vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 89 und 91. ↵

Vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 91; ferner GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 66 ff. ↵

Vgl. Henseler, Zulässigkeit der Speicherung, o.S. ↵

Die Frage nach einem Interesse an einer Auskunft ist mit der Frage nach einem Interesse an der Einsicht nach Art. 8a SchKG vergleichbar, sodass sich teilweise ähnliche Wertungen und Überlegungen aufdrängen, zumal Art. 8a Abs. 2 SchKG die Vorgängerbestimmung von Art. 31 Abs. 2 lit. c Ziff. 2 DSG übernommen hatte (BSK SchKG-Peter, Art. 8a N 12). Zu beachten ist allerdings, dass die Zwecke von Art. 8a SchKG über die Kreditwürdigkeitsprüfung hinausgehen und dieses Einsichtsrecht (entsprechend) breiter zur Verfügung steht (BSK SchKG-Peter, Art. 8a N 1 und 14). ↵

Vgl. dazu oben Teil 1, A. ↵

Zum DSG vgl. BSK DSG-Henseler, Art. 31 N 45, in Bezug auf Art. 31 Abs. 2 lit. c DSG; zum aDSG vgl. HK aDSG-Rosenthal, Art. 13 N 52, in Bezug auf (heute) Art. 31 Abs. 2 lit. c DSG; zur DSGVO vgl. Paal, in: Specht-Riemenschneider et al., S. 343 f.; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 139; Schulz, in: Gola/Heckmann, Art. 6 N 103, je in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. ↵

Vgl. Kuhn, Kreditsicherungsrecht, Rn. 8 f. und 14; BSK SchKG-Peter, Art. 8a N 14, in Bezug auf das Einsichtsrecht nach SchKG; zur DSGVO vgl. Krämer, NJW 2018, S. 349 f.; ferner Paal, in: Specht-Riemenschneider et al., S. 343 f., je in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. ↵

Zum aDSG vgl. EDÖB, Mietercheck, Rn. 51 und 53, betreffend Mietkautionsversicherung bzw. Mietvertrag; Peter, S. 189 (Fn. 961), je in Bezug auf (heute) Art. 31 Abs. 2 lit. c DSG; BSK SchKG-Peter, Art. 8a N 14 f., in Bezug auf das Einsichtsrecht nach SchKG; zur DSGVO Krämer, NJW 2018, S. 349 f.; Krämer, Scoring, S. 5, je in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. ↵

Eine analoge Konstellation kann sich etwa bei Leasing‑, Lizenz- oder anderen entgeltlichen Dauerschuldverträgen ergeben (BSK SchKG-Peter, Art. 8a N 14 f.; vgl. auch SK SchKG-Weingart, Art. 8a N 16, je in Bezug auf das Einsichtsrecht nach SchKG). ↵

Zum DSG vgl. Wermelinger, Jusletter 2024, Rn. 34; zum aDSG vgl. EDÖB, Mietercheck, Rn. 25 ff. und 53; zur DSGVO vgl. Buchner, in: Specht-Riemenschneider et al., S. 106 f., zur Erforderlichkeit (i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO) einer Bonitätsauskunft für die Vermieterin wegen deren erheblichen wirtschaftlichen Risiken. ↵

Vgl. BSK SchKG-Peter, Art. 8a N 1, in Bezug auf das Einsichtsrecht nach SchKG; zur DSGVO vgl. HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.1, in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. ↵

Zur DSGVO a.M. Schulz, in: Gola/Heckmann, Art. 6 N 104, der die Berechnung und Bekanntgabe eines Kreditscores (auch unabhängig von einem kreditorischen Risiko) bei anderen (wirtschaftlichen) Interessen wie der «Erhöhung der Kundenzufriedenheit oder [der] Vermeidung von Frustrationsmomenten auf Kundenseite» zulässt. Diese Interessen wie etwa auch jenes eines Online-Shops, dass (potenzielle) Kunden keine Bestellungen abbrechen, weil ihnen aufgrund der unzureichenden Kreditwürdigkeitsbewertung die gewählte Zahlungsmodalität verweigert wird, sind zwar berechtigt i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (vgl. dazu unten Teil 3, D.IV.2.2.a.aa). Sie dürften indes als Rechtsgrundlage kaum ausreichen, zumal sie (jedenfalls ohne konkrete Substantiierung) im Vergleich wenig gewichtig erscheinen und eine Kreditwürdigkeitsprüfung ungeachtet eines kreditorischen Risikos den vernünftigen Erwartungen der betroffenen Person widerspricht (vgl. Schantz, in: Simitis et al., Art. 6 Abs. 1 N 139, der eine Auskunft für solche «andere[n] Zwecke» [ebenfalls] kategorisch ausschliesst). Unter dem DSG liegt ohne (potenzielles) kreditorisches Risiko eine Verletzung der Verhältnismässigkeit vor, da mit Blick auf den Zweck der Kreditwürdigkeitsprüfung kein Anlass für die Bearbeitungen besteht (vgl. dazu oben Teil 3, C.IV.2.1). Die entsprechende Persönlichkeitsverletzung dürfte sich – aus ähnlichen Überlegungen wie unter der DSGVO – mit solchen Interessen nicht rechtfertigen lassen. ↵

Zur DSGVO vgl. Krämer, NJW 2018, S. 350, in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. ↵

Zum aDSG vgl. EDÖB, Mietercheck, Rn. 26 und 54; ferner EDÖB, Erläuterungen Mietwohnungen, o.S.; Bucheli, S. 388, je in Bezug auf die Einholung eines Betreibungsregisterauszugs; grosszügiger nun EDÖB, Merkblatt Mietwohnungen, o.S., wonach ein solcher Auszug von allen «Mietinteressenten» eingefordert werden dürfe; zur DSGVO vgl. Buchner, in: Specht-Riemenschneider et al., S. 107; Buchner/Petri, in: Kühling/Buchner, Art. 6 N 57, je in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. ↵

Zur DSGVO vgl. Krämer, NJW 2018, S. 350, in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; ferner Wiedemann, S. 175, der in Frage stellt, ob eine Kreditgeberin, die einem Kontrahierungszwang unterliege, den Vertragsabschluss davon abhängig machen dürfe, dass ihr die kreditinteressierte Person eine (SCHUFA‑)Auskunft vorlege. ↵

Der später zu betrachtende Grundsatz der Datensicherheit verlangt von der Auskunftei zudem, technische und organisatorische Massnahmen zu ergreifen, die sich gegen die Abfrage von Auskünften ohne Interesse richten (vgl. dazu unten Teil 3, C.VI.3.2.c). ↵

Zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 27. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.2 und D.IV.1.2.c.bb.ii.3. ↵

Vgl. dazu unten Teil 3, D.III.2. ↵

A.M. wohl DSK, Bonitätsauskünfte, o.S.; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 103, die bereits von einem fehlenden berechtigten Interesse ausgehen dürften. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.b.aa. ↵

Vgl. Bundeskartellamt, S. 88 f., das die Notwendigkeit im Sinne der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verneint, die gemäss EuGH gemeinsam mit der Erforderlichkeit i.S.v. Art. 6 Abs. 1 DSGVO zu prüfen ist (vgl. dazu oben Teil 3, C.IV.1.2); Buchner, in: Specht-Riemenschneider et al., S. 108, in Bezug auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.a.cc. ↵

Paal, in: Specht-Riemenschneider et al., S. 343 f.; vgl. auch Schantz, in: Simitis et al., Art. 6 Abs. 1 N 139, der die Voraussetzungen von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (ebenfalls) verneint. ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 5 N 33; Métille, S. 9; zum aDSG Cellina, Rn. 995; HK aDSG-Rosenthal, Art. 4 N 26. ↵

Biega/Finck, S. 55 f.; Zarsky, S. 1010. ↵

Pötters, in: Gola/Heckmann, Art. 5 N 23; Roßnagel, in: Simitis et al., Art. 5 N 129 ff. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.a und C.IV.1.1.b. ↵

Vgl. dazu unten Teil 3, C.IV.3.3. ↵

Zum aDSG vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.3 und 5.2.5.1; EDÖB, Teledata, S. 16 ff.; Hofer, in: Passadelis et al., Rn. 16.48 und 16.50; zur DSGVO vgl. BfDI, Häufig gestellte Fragen zu Auskunfteien, abrufbar unter <https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Auskunfteien/FAQ-Auskunfteien.html>, zuletzt besucht am 30. September 2024; HBDI, Auskunfteien, S. 4; ferner Krämer, Scoring, S. 6. ↵

Vgl. dazu oben Teil 3, C.III.2.1. ↵

Würde diese Unterscheidung nicht getroffen, könnte man sich z.B. fragen, ob die Verwendung von Zahlungserfahrungen und Betreibungsvorgängen (auch) als für die Identifikation verhältnismässig zu betrachten wäre. Denn die Verwendung dieser Daten für die eigentliche Kreditwürdigkeitsprüfung dürfte (in der Regel) verhältnismässig sein. ↵

Das Bundesamt für Statistik weist jeder UID-Einheit eine einzige UID zu, die nur einmal zugewiesen wird (Art. 4 Abs. 1 und 2 UIDG). Die «UID-Einheiten» sind in Art. 3 Abs. 1 lit. c UIDG aufgelistet und umfassen insb. die im Handelsregister eingetragenen Rechtsträger. Da auch Personengemeinschaften ohne Rechtspersönlichkeit eine UID zugeteilt wird, handelt es sich bei der UID nicht um einen Personenidentifikator i.e.S. wie die AHV-Nummer (Botschaft Revision AHVG 2019, S. 7368). ↵

Art. 50c AHVG regelt, welchen Personen eine AHV-Nummer zugewiesen wird; dazu gehören alle Personen, die in der Schweiz Wohnsitz oder gewöhnlichen Aufenthalt haben (Abs. 1 lit. a). ↵

Die Verwendung der AHV-Nummer gilt als systematisch, wenn die ganze AHV-Nummer, ein Teil davon oder eine geänderte Form dieser Nummer mit Personendaten verbunden wird und diese Daten in strukturierter Form gesammelt werden (Art. 153b AHVG). ↵

Botschaft Revision AHVG 2019, S. 7381 und 7388; vgl. auch Peter et al., S. 31. ↵

Die systematische Verwendung der AHV-Nummer zu rein privaten Zwecken ist auch dann nicht erlaubt, wenn die betroffenen Personen einer solchen Verwendung ihrer AHV-Nummer zustimmen (Botschaft Revision AHVG 2019, S. 7388). ↵

Botschaft Revision AHVG 2019, S. 7375. ↵

Botschaft Revision AHVG 2019, S. 7376. ↵

Botschaft Revision AHVG 2019, S. 7388. ↵

Zum aDSG EDÖB, Teledata, S. 41; Peter et al., S. 27; vgl. auch Schäfer, in: Epiney et al. 2011, S. 63. ↵

Zum DSG OFK DSG-Held/Brönnimann, Art. 36 N 33; SHK DSG-Mund, Art. 36 N 23; zum aDSG EDÖB, Teledata, S. 41. ↵

Zum aDSG EDÖB, Teledata, S. 16 f., der zunächst ausschliesslich diese Daten für objektiv notwendig befunden hatte, anschliessend den Kreis der Daten aber erweiterte (vgl. S. 41 ff.); vgl. auch Hofer, in: Passadelis et al., Rn. 16.50; zur DSGVO vgl. BfDI, Häufig gestellte Fragen zu Auskunfteien, abrufbar unter <https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Auskunfteien/FAQ-Auskunfteien.html>, zuletzt besucht am 30. September 2024; HBDI, Auskunfteien, S. 4; Krämer, Scoring, S. 6. ↵

Zum aDSG EDÖB, Teledata, S. 41; Hofer, in: Passadelis et al., Rn. 16.50. ↵

Vgl. EDÖB, Teledata, S. 41. ↵

Hofer, in: Passadelis et al., Rn. 16.50; vgl. auch EDÖB, Teledata, S. 41. ↵

Zum aDSG EDÖB, Teledata, S. 43, vgl. auch S. 16. ↵

Hinsichtlich gesperrter bzw. nicht öffentlich zugänglicher Telefonnummern und E‑​Mail‑​Adressen einigte sich der EDÖB mit der Betreiberin von Teledata darauf, dass letztere diese Daten weiterhin speichern und einer Kreditgeberin bestätigen darf, die eine Personensuche mit solchen Daten unternimmt. Indes darf sie diese Daten nicht bekanntgeben, soweit eine betroffene Person dagegen widersprochen bzw. deren Löschung beantragt hat (EDÖB, Teledata, S. 43). ↵

Zum aDSG EDÖB, Teledata, S. 41 f., wonach die Auskunftei diese Telefonnummern und E-Mail-Adressen ebenso wie die Stammdaten auch Dritten zur Identifikation anzeigen bzw. bekanntgeben dürfe. ↵

Gemäss dieser Bestimmung liegt in der Regel keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat. Ob Art. 30 Abs. 3 DSG bei den angesprochenen E-Mail-Adressen und Telefonnummern stets greift, erscheint allerdings fraglich (vgl. dazu unten Teil 3, D.I.2.1). ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.1 f. ↵

Bericht Wirtschaftsauskunfteien, S. 33 f. ↵

Zum aDSG Hofer, in: Passadelis et al., Rn. 16.50 und 16.63. ↵

BfDI, Häufig gestellte Fragen zu Auskunfteien, abrufbar unter <https://​www.​bfdi.​bund.de/DE/Buerger/Inhalte/Allgemein/Aus​kunf​tei​en/FAQ-Auskunfteien.html>, zuletzt besucht am 30. September 2024; HBDI, Auskunfteien, S. 4. ↵

Vgl. dazu oben Teil 3, C.IV.3.1. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.3 ff., in Bezug auf den Begriff des Persönlichkeitsprofils (vgl. dazu oben Teil 3, B.II.); EDÖB, Mietercheck, Rn. 37, 40 und 44; EDÖB, Teledata, S. 10 ff.; EDÖB, ZEK, S. 19 f. ↵

Die Praxis scheint teils die Kausalität (BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.3; EDÖB, Mietercheck, Rn. 37; EDÖB, Teledata, S. 18, vgl. auch S. 20), teils eine statistische Relevanz (EDÖB, Teledata, S. 12 und 17; vgl. auch BVGer, A‑4232/2015 vom 18. April 2017, E. 5.2.5.1; EDÖB, Mietercheck, Rn. 44) und teils (überdies) einen direkten Zusammenhang mit dem Zahlungsverhalten und der Kreditwürdigkeit der betroffenen Person (EDÖB, Teledata, S. 10 f., vgl. auch S. 19; vgl. auch EDÖB, ZEK, S. 20) zu verlangen. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.1, wo sich das (anscheinende) Kriterium der statistischen Relevanz der Eignung oder Erforderlichkeit nicht zuordnen lässt; gemäss EDÖB, Teledata, S. 18, haben Haushaltstreffer keinen Einfluss auf die Kreditwürdigkeit der betroffenen Person und lassen keine gesicherten Rückschlüsse zu, weshalb sie weder geeignet noch erforderlich sind. ↵

Vgl. EDÖB, Teledata, S. 16 f. und 44 (in Bezug auf den Beruf und die statistische Umgebungsanalyse), wonach ohne gesicherte Rückschlüsse bzw. bei unklarer statistischer Signifikanz die Eignung der Daten zu verneinen sei; gemäss EDÖB, Mietercheck, Rn. 37, muss ein Datum geeignet sein, die Bonität der betroffenen Person zu beeinflussen und/oder Rückschlüsse darauf zulassen. ↵

Vgl. in Bezug auf BVGer, A-4232/2015 vom 18. April 2017, den Moneyhouse-Entscheid, Kern/Egli, in: Epiney/Sangsue, S. 132, wonach es am befassten Gericht wäre, die für die Beantwortung dieser Frage erforderliche Abwägung vorzunehmen und das Resultat zu begründen. ↵

EDÖB, Teledata, S. 18: «Von daher ist nicht ersichtlich, welchen Einfluss die Tatsache, dass jemand im selben Haushalt wohnt, auf die Kreditwürdigkeit einer Person haben soll.»; vgl. auch BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.3, in Bezug auf den Begriff des Persönlichkeitsprofils: «Unter Bonitätsdaten sind hierbei Informationen, welche die Kreditwürdigkeit – also die Zahlungsfähigkeit und -willigkeit […] – der betroffenen Person positiv oder negativ beeinflussen, zu verstehen.»; EDÖB, Mietercheck, Rn. 37: «Zudem steht ein solcher Bonitätshinweis nur im Einklang mit dem DSG, wenn dieser tatsächlich geeignet ist, die Bonität der betroffenen Person zu beeinflussen.» ↵

Die vom BVGer beispielsweise genannten Betreibungen, Nachlassgesuche oder die einvernehmliche Schuldensanierung (BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.3) beeinflussen nicht an sich die Zahlungsfähigkeit oder -willigkeit eines (potenziellen) Schuldners. ↵

Vgl. dazu oben Teil 1, E.I.2.4. ↵

EDÖB, Teledata, S. 12, in Bezug auf den Begriff des Persönlichkeitsprofils: «Gemäss dieser Aussage werden auch Daten von statistisch nicht erhärteter Relevanz und Aussagekraft in die Beurteilung der Kreditwürdigkeit mit einbezogen.» und 17: «Bei dieser Sachlage ist davon auszugehen, dass die Eignung der statistischen Umgebungsanalyse zum Zweck der Prüfung der Kreditwürdigkeit nicht erstellt und die Datenbearbeitung daher diesbezüglich unverhältnismässig ist.»; vgl. auch BVGer, A‑4232/2015 vom 18. April 2017, E. 5.2.5.1, in Bezug auf den Begriff des Persönlichkeitsprofils: «Inwiefern jedoch Geburtsdaten bzw. das Alter von Familienmitgliedern [etc.] systematisch bonitätsrelevant sein sollen, ist nicht nachvollziehbar.»; EDÖB, Mietercheck, Rn. 44: «Zudem sind Bonitätsdaten über Haushaltsmitglieder grundsätzlich nicht dazu geeignet, Rückschlüsse auf die Kreditwürdigkeit der betroffenen Person zu ziehen […].» ↵

Vgl. dazu oben Teil 3, B.II.2.1. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.3: «Selbst wenn die systematische Bonitätsrelevanz von Daten betreffend die private Wohn- und Lebenssituation bejaht würde, würde dies die seitens der Beklagten praktizierte Datenbekanntgabe nicht rechtfertigen, da die Erstellung eines Persönlichkeitsprofils wie erwähnt zu bejahen ist.» ↵

EDÖB, Teledata, S. 12, in Bezug auf den Begriff des Persönlichkeitsprofils: «Wird versucht, aus Daten, die nicht unmittelbar einer bestimmten Person zugerechnet werden können oder die unmittelbar nichts über die Bonität aussagen, Rückschlüsse auf die Kreditwürdigkeit einer betroffenen Person zu ziehen, können diese mitunter falsch sein.» und 16: «Der Beruf bspw. lässt […] keine gesicherten Rückschlüsse auf die Kreditwürdigkeit einer Person zu.»; Bericht Wirtschaftsauskunfteien, S. 33 f.: «In diesem Sinne können die Kriterien sachfremd sein und zu falschen Schlüssen führen, was bedeuten würde, dass die Daten nicht geeignet wären, um den verfolgten Bearbeitungszweck zu erreichen.»; vgl. auch BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.1, in Bezug auf den Begriff des Persönlichkeitsprofils: «Die Angaben können jedoch einen ebenso zu falschen Annahmen führen und belegen die Kreditwürdigkeit einer natürlichen Person somit nicht zuverlässig.» ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.1. ↵

Bericht Wirtschaftsauskunfteien, S. 33. ↵

EDÖB, Teledata, S. 16. ↵

EDÖB, Teledata, S. 19: «Die Bonitätsdaten i.e.S. hängen direkt mit dem vergangenen (Zahlungs)verhalten der betroffenen Person zusammen. Sie erlauben mit einer relativ hohen Wahrscheinlichkeit eine richtige Beurteilung der Kreditwürdigkeit und des Scorewerts der betroffenen Person, sofern dazu nur Daten verwendet werden, die korrekt sind, objektiv auf das Verhalten der betroffenen Person zurückzuführen sind und in angemessener zeitlicher Nähe zum Beurteilungszeitpunkt liegen. Vorausgesetzt, diese Bedingungen wären erfüllt, könnte die Bearbeitung der Bonitätsdaten i.e.S. als verhältnismässig angesehen werden.»; vgl. auch (in Bezug auf den Rechtfertigungsgrund in Art. 13 Abs. 2 lit. c aDSG bzw. den Begriff des Persönlichkeitsprofils) S. 10 ff.; EDÖB, ZEK, S. 20: «Die Verhältnismässigkeit eines Vermerks ist demzufolge gegeben, wenn die Ablehnung eines Kreditgesuchs mit der unzureichenden finanziellen Situation des Gesuchstellers bzw. einem negativ auffallenden Zahlungsverhalten zu tun hat.» Auf der Website des EDÖB waren zudem mindestens bis am 17. November 2021 folgende Ausführungen (unter «1. Verhältnismässigkeitsprinzip») abrufbar: «Dieser Grundsatz besagt, dass nur Daten bearbeitet werden dürfen, die geeignet und notwendig sind, um den angestrebten Zweck zu erreichen. Zweck der Bearbeitung der Personendaten ist es, Auskunft über die Kreditwürdigkeit anderer zu geben. Die Auskunftei darf somit nur Daten bearbeiten, die in direktem Zusammenhang mit der Erreichung dieses Zwecks [also der Auskunft über die Kreditwürdigkeit anderer] stehen.» ↵

Bericht Wirtschaftsauskunfteien, S. 33. ↵

EDÖB, Teledata, S. 19. ↵

In seinem Schlussbericht zu Teledata scheint der EDÖB, Teledata, S. 19, das Kriterium als zusätzliches Erfordernis zu betrachten. Andere Wortmeldungen (EDÖB, ZEK, S. 20, und die [eben zitierten] Ausführungen, die mindestens bis am 17. November 2021 auf seiner Website abrufbar waren) lesen sich, als genügte der direkte Zusammenhang, damit ein Datum als für die Kreditwürdigkeitsprüfung verhältnismässig gilt. ↵

Vgl. dazu oben Teil 1, C.II.3.2. ↵

EDÖB, ZEK, S. 20. ↵

Vgl. dazu oben Teil 1, E.I.2.3.b. ↵

Auf der einen Seite stehen die Interessen der Kreditgeberinnen am Schutz vor Umgehungsgeschäften und Zahlungsausfällen, auf der anderen Seite die Interessen der betroffenen Personen, konkret jenes der kreditunwürdigen betroffenen Person, dass die Information über die negative Bonität nicht unberechtigten Dritten (also der Kreditgeberin und dem kreditwürdigen Haushaltsmitglied) weitergegeben wird und jenes der kreditwürdigen Person, nicht unberechtigterweise eine negative Bonitätsbeurteilung zugewiesen zu erhalten (vgl. EDÖB, Bonitäts- und Inkassounternehmen, Rn. 84 ff.). ↵

Vgl. dazu auch Cellina/Geissbühler, Jusletter 2015, Rn. 32 ff.; ferner Pfaffinger, Rn. 1392. ↵

Vgl. BGE 134 III 115 E. 4.1; KuKo SchKG-Gehri, Art. 67 N 6; BSK SchKG-Kofmel Ehrenzeller, Art. 67 N 1. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.a. ↵

Vgl. Bericht Wirtschaftsauskunfteien, S. 33 f. ↵

Zum DSG vgl. OFK DSG-Fanger, Art. 6 N 6; zum aDSG Epiney, in: Belser et al., § 9 N 24; vgl. auch HK aDSG-Rosenthal, Art. 4 N 23 und 29. ↵

Dass es der Auskunftei nicht vorliegende Daten gäbe, die für die Kreditwürdigkeitsprüfung ebenso geeignet, aber für die betroffene Person milder wären, stellt die Erforderlichkeit nicht in Frage. Zum einen erscheint es unzumutbar, dass die Auskunftei diese Daten zunächst beschaffen müsste (vgl. dazu oben Teil 3, C.IV.1.1.b), sofern dies überhaupt möglich und zulässig ist. Zum anderen stünde das Ergebnis dieser Haltung im Widerspruch zu anderen Teilgehalten der Verhältnismässigkeit, die den Verantwortlichen eben gerade von der Beschaffung neuer Daten abhalten wollen (vgl. Botschaft Totalrevision DSG, S. 7024). Daher fallen der Auskunftei nicht vorliegende Daten als mildere Alternative ausser Betracht. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.c. ↵

Dies gilt unabhängig davon, ob die betroffene Person für die allgemeine Zugänglichkeit sorgte (und die Bearbeitung nicht ausdrücklich untersagte), wie dies die Vermutung in Art. 30 Abs. 3 DSG verlangt. Bei der Berechnung des Kreditscores durch eine Auskunftei dürfte diese Norm höchstens vereinzelt greifen (vgl. dazu unten Teil 3, D.I.2.1). ↵

Zu dieser Wertung unter der DSGVO vgl. unten Teil 3, C.IV.3.2.b.bb.i. ↵

Krämer, Scoring, S. 9; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 165a; Paal, in: Specht-Riemenschneider et al., S. 341; von Lewinski/Pohl, S. 20; anders HBDI, Auskunfteien, S. 4, der sichere Rückschlüsse auf die Zahlungsfähigkeit oder -willigkeit voraussetzt. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; vgl. auch Paal, in: Specht-Riemenschneider et al., S. 341 (Fn. 70). ↵

§ 31 Abs. 1 Ziff. 2 BDSG/DE verlangt, dass die zur Berechnung eines Wahrscheinlichkeitswerts über ein bestimmtes zukünftiges Verhalten genutzten Daten unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sind. Derzeit läuft – auch wegen des Urteils EuGH, Rs. C‑634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring) – in Deutschland ein Gesetzgebungsverfahren. In diesem Rahmen soll § 31 BDSG/DE gestrichen und durch einen neuen § 37a BDSG-RegE/DE ersetzt werden, der die eben genannte Voraussetzung in Abs. 2 Ziff. 3 lit. a übernimmt (vgl. Gesetzesbegründung Änderung BDSG/DE, S. 1 f., 10 f. und 22 f.). § 37a BDSG-RegE/DE adressiert ebenfalls das «Scoring», ist aber als Ausnahme vom Recht ausgestaltet, nicht einer automatisierten Entscheidung unterworfen zu werden (vgl. Art. 22 Abs. 2 lit. b DSGVO; ferner dazu auch unten Teil 4, E.I.3.1). Ausserhalb des Anwendungsbereichs von Art. 22 Abs. 1 DSGVO wird die neue Regelung nicht anwendbar sein, dürfte aber auf offene Abwägungsklauseln wie Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO ausstrahlen (Johannes, o.S.). ↵

Vgl. etwa Buchner/Petri, in: Kühling/Buchner, Art. 6 N 165a; von Lewinski/Pohl, S. 20, die auf die analoge Voraussetzung im aBDSG/DE verweisen. ↵

Vgl. dazu oben Teil 3, C.I.2. ↵

Heyer, NZI 2021, S. 848; Reill-Ruppe, S. 59; vgl. auch Zwanziger, ZVI 2022, S. 334, je in Bezug auf die Restschuldbefreiung des deutschen Rechts. ↵

Thüsing et al., NZI 2020, S. 616 f.; strenger Buchner/Petri, in: Kühling/Buchner, Art. 6 N 165a, wonach die Relevanz plausibel und nachvollziehbar belegt werden müsse. ↵

Wie bereits zum DSG festgehalten, wird die Erforderlichkeit der Verwendung bestimmter Daten nicht dadurch in Frage gestellt, dass es der Auskunftei nicht vorliegende Daten gäbe, die ebenso geeignet, aber für die betroffene Person milder wären. Zum einen erscheint eine solche Alternative unzumutbar und daher unbeachtlich, weil die Auskunftei diese Daten eben zunächst erheben müsste (vgl. dazu oben Teil 3, C.IV.1.1.b), sofern dies überhaupt möglich und zulässig ist. Ausserdem erschiene es widersprüchlich, dass die Verhältnismässigkeit den Verantwortlichen zur Erhebung neuer Daten anhalten würde. ↵

Vgl. aber Thüsing et al., NZI 2020, S. 616. ↵

Vgl. dazu oben Teil 3, C.IV.1.2. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. ↵

Der EuGH leitet dies – etwas zweifelhaft – aus EuGH, Rs. C-131/12 vom 13. Mai 2014, Google Spain, Ziff. 98, ab, wo er die Sensibilität der (im Internet veröffentlichten) Information hervorgehoben hatte, dass ein wegen Forderungen der Sozialversicherung gepfändetes Grundstück der namentlich genannten betroffenen Person versteigert wurde. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 94. ↵

Vgl. dazu unten Teil 3, C.IV.3.2.b.bb.ii. ↵

Zur DSGVO Schantz, in: Simitis et al., Art. 6 Abs. 1 N 110; zur DSRL vgl. EuGH, Rs. C‑13/16 vom 4. Mai 2017, Rīgas satiksme, Ziff. 32; EuGH, C-468/10 und C‑469/10 vom 24. November 2011, ASNEF und FECEMD, Ziff. 44 f. ↵

Vgl. von Lewinski/Pohl, S. 21; ferner Krämer, NJW 2020, S. 498; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 138, je in Bezug auf das deutsche Schuldnerverzeichnis. ↵

Vgl. Schantz, in: Simitis et al., Art. 6 Abs. 1 N 138; ferner von Lewinski/Pohl, S. 21, je in Bezug auf das Handels- und andere öffentliche Register Deutschlands. ↵

Krämer, Scoring, S. 9. ↵

EDSB, Rn. 15. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.aa.i. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. Die Unterscheidung fand sich (ansatzweise) auch im aBDSG/DE (Buchner/Petri, in: Kühling/Buchner, Art. 6 N 160 ff.). ↵

Auch Negativ- bzw. Positivmerkmale genannt (vgl. Krämer, NJW 2020, S. 499; Schulz, in: Gola/Heckmann, Art. 6 N 106). ↵

Buchner/Petri, in: Kühling/Buchner, Art. 6 N 160; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. ↵

Buchner/Petri, in: Kühling/Buchner, Art. 6 N 159 ff.; Paal, in: Specht-Riemenschneider et al., S. 341 ff.; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; vgl. auch Buchner, in: Specht-Riemenschneider et al., S. 99 f. ↵

Vgl. von Lewinski/Pohl, S. 21, wonach § 31 BDSG/DE zwar die Datengrundlage für Scorewerte festlege, damit aber mittelbar sowohl dessen Berechnung als auch die dazugehörige Datenbeschaffung präge; ähnlich Buchner, in: Kühling/Buchner, § 31 N 3. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 91. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 71. ↵

Buchner/Petri, in: Kühling/Buchner, Art. 6 N 161 f.; Conrad, in: Auer-Reinsdorff/Conrad, § 34 N 766; Paal, in: Specht-Riemenschneider et al., S. 342; vgl. auch Buchner, in: Specht-Riemenschneider et al., S. 109; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; von Lewinski/Pohl, S. 21; a.M. wohl Krämer, NJW 2018, S. 348. ↵

Der als Ersatz geplante § 37a Abs. 3 BDSG-RegE/DE zählt dieselben Fälle wie der aktuelle § 31 Abs. 2 BDSG/DE auf, in denen eine Auskunftei Informationen über fällige Forderungen in einem Kreditscore berücksichtigen darf (vgl. Gesetzesbegründung Änderung BDSG/DE, S. 24). ↵

Schulz, in: Gola/Heckmann, Art. 6 N 106; vgl. auch Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. ↵

Overbeck, S. 36; vgl. auch KG Berlin, 26 U 197/12 vom 17. Februar 2016, in: BeckRS 2016, 4948, Rn. 75. ↵

Overbeck, S. 35 f.; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 106. ↵

Vgl. Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. ↵

Vgl. Krämer, NJW 2018, S. 348; Paal, in: Specht-Riemenschneider et al., S. 342; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. ↵

Vgl. Buchner, in: Specht-Riemenschneider et al., S. 99; Schulz, in: Gola/Heckmann, Art. 6 N 106; von Lewinski/Pohl, S. 21, wonach die betroffene Person bei einer Übermittlung solcher Daten an eine Auskunftei kein schützenswertes Geheimhaltungsinteresse habe. ↵

Vgl. Overbeck, S. 36; Schulz, in: Gola/Heckmann, Art. 6 N 106. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 106. ↵

Vgl. Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; referierend Assion/Hauck, S. 5. ↵

Vgl. Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. ↵

Vgl. dazu oben Teil 3, C.II.4.3.b. ↵

So aber Eichler, S. 11. ↵

Vgl. dazu unten Teil 3, C.IV.3.2.b.cc. ↵

So aber Eichler, S. 11; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; ähnlich wie hier Schulz, in: Gola/Heckmann, Art. 6 N 106. ↵

Vgl. dazu unten Teil 3, C.IV.3.2.b.cc.i. und C.IV.3.2.b.cc.ii. ↵

DSK, Positivdaten, o.S.; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; vgl. auch Overbeck, S. 34 f. ↵

Buchner/Petri, in: Kühling/Buchner, Art. 6 N 164; Conrad, in: Auer-Reinsdorff/Conrad, § 34 N 767; vgl. auch Assion/Hauck, S. 5. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; vgl. auch Eichler, S. 11. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.a.cc.i. ↵

Vgl. dazu oben Teil 3, B.II.2.2. ↵

Buchner, in: Specht-Riemenschneider et al., S. 100; Buchner/Petri, in: Kühling/Buchner, Art. 6 N 164; Conrad, in: Auer-Reinsdorff/Conrad, § 34 N 767; vgl. auch Assion/Hauck, S. 5 f.; Paal, in: Specht-Riemenschneider et al., S. 341. ↵

Assion/Hauck, S. 6; vgl. auch Buchner, in: Specht-Riemenschneider et al., S. 100; Paal, NJW 2024, S. 1692. ↵

Assion/Hauck, S. 6; vgl. auch von Lewinski/Pohl, S. 20 f. ↵

Dies sei mit dem Grundgedanken der DSGVO unvereinbar (vgl. EG 7 Satz 2 DSGVO), die Kontrolle der betroffenen Person über ihre Daten angesichts der Möglichkeiten der Big Data-Analysen zu gewährleisten (Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137). ↵

Vgl. dazu unten Teil 3, C.V.3.2. Wie zu zeigen sein wird, beschränkt sich der Grundsatz der Datenrichtigkeit – entgegen der Ansicht von Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137 – nicht auf bereits rechtmässig verarbeitete Daten; vielmehr kann er den Verantwortlichen dazu anhalten, zwecks Vollständigkeit weitere Daten zu beschaffen. ↵

Assion/Hauck, S. 6; von Lewinski/Pohl, S. 20; vgl. auch Paal, in: Specht-Riemenschneider et al., S. 342 f. Ein analoges Argument schien die Betreiberin von Moneyhouse im sie betreffenden bundesverwaltungsgerichtlichen Verfahren vorgebracht zu haben, fand damit aber kein Gehör, da dies nichts daran ändere, dass sie ein Persönlichkeitsprofil (vgl. dazu oben Teil 3, B.II.) bearbeite (BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5.2). ↵

BGH, III ZR 213/83 vom 19. September 1985, in: BeckRS 1985, 526, Ziff. I.5.a, wonach dies u.a. erforderlich sei, damit die Interessenabwägung zugunsten einer Übermittlung von Daten seitens einer Kreditgeberin an eine Auskunftei ausfalle. ↵

Vgl. Assion/Hauck, S. 6; Paal, NJW 2024, S. 1692 und 1694; von Lewinski/Pohl, S. 21. ↵

So aber Bundeskartellamt, S. 80 f.; DSK, Positivdaten, o.S.; HBDI, Auskunfteien, S. 6. ↵

Buchner, in: Specht-Riemenschneider et al., S. 100; Buchner/Petri, in: Kühling/Buchner, Art. 6 N 163 f.; Paal, NJW 2024, S. 1691; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 106. ↵

Zum aDSG vgl. EDÖB, Teledata, S. 44, wonach die Bekanntgabe von statistischen Umgebungsanalysen lediglich bei Kreditentscheiden wie einem Fahrzeug-Leasinggeschäft geeignet sei, bei denen sich die Kreditgeberin angesichts des damit verbundenen Risikos die Zeit für eine vertiefte Risikoeinschätzung nehme, nicht hingegen im «‹Schnittstellen›-Geschäft (Massenabfrage)». ↵

Zum aDSG vgl. Schäfer, in: Epiney et al. 2011, S. 63, wonach es z.B. nicht notwendig sei, Daten über abgelehnte Kreditanträge zu bearbeiten, wenn eine Auskunftei ausschliesslich Händler mit Bonitätsdaten beliefere, die ihre Ware auf Rechnung verkaufen würden. Ob die Bearbeitung tatsächlich nicht erforderlich ist, hängt insb. davon ab, welche Daten für die Kreditwürdigkeitsbeurteilung im Übrigen bearbeitet werden. Es lässt sich nicht generell sagen, dass abgelehnte Kreditanträge für die Beurteilung des Ausfallrisikos bei einem Kauf auf Rechnung – sofern sie sich als geeignet erweisen – nicht notwendig sind. ↵

Zur DSGVO vgl. Eichler, S. 11, wonach Informationen zu Forderungen aus einem Telekommunikationsvertrag aufgrund der vernünftigen Erwartungen der betroffenen Person nicht für Auskunftsanfragen bei Abschluss eines Mietvertrags verwendet werden dürften. Wie ausgeführt (vgl. dazu oben Teil 3, C.IV.3.2.b.bb.ii.1), darf die betroffene Person nicht für jeden Konsumbereich oder Vertragstyp eine separate Kreditwürdigkeitsprüfung erwarten, weshalb eine solche kontextfremde Verwendung nicht ausgeschlossen ist. Zu beachten ist allerdings, dass sich die Verwendung auch als geeignet erweisen muss. ↵

In der Literatur finden sich zwar entsprechende Auflistungen (zum aDSG vgl. bspw. Hofer, in: Passadelis et al., Rn. 16.48 ff.; HK aDSG-Rosenthal, Art. 13 N 49 f.; zur DSGVO vgl. Buchner/Petri, in: Kühling/Buchner, Art. 6 N 160; Schulz, in: Gola/Heckmann, Art. 6 N 106), die allerdings mehr als Nennung von Daten zu verstehen sind, deren Bearbeitung potenziell verhältnismässig bzw. zulässig ist. ↵

Zum DSG Bericht Wirtschaftsauskunfteien, S. 19; zum aDSG vgl. Schäfer, in: Epiney et al. 2011, S. 67. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.a.cc. ↵

Vgl. Hoeren, SCHUFA-Scoring-Verfahren, S. 68; Overbeck, S. 32. ↵

Vgl. Schäfer, in: Epiney et al. 2011, S. 67. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.a. ↵

KuKo SchKG-Möckli, Art. 8a N 2; BSK SchKG-Peter, Art. 8a N 1 f.; vgl. auch Art. 8a Abs. 2 SchKG, wonach ein Interesse an der Einsicht glaubhaft gemacht ist, wenn das Auskunftsgesuch in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages erfolgt. ↵

Das Einsichtsrecht nach Art. 8a Abs. 1 SchKG umfasst nicht nur die Protokolle und Register, sondern alle Akten und Belege, allerdings nur soweit es das Interesse im Einzelfall rechtfertigt (BGer, 5A_891/2015 vom 14. April 2016, E. 4.2). ↵

BSK SchKG-Peter, Art. 8a N 25; vgl. auch KuKo SchKG-Möckli, Art. 8a N 20. ↵

BJ, Weisung SchKG Nr. 4, Ziff. 8. ↵

BSK SchKG-Peter, Art. 8a N 29; vgl. auch Baumgartner, in: Portmann et al., S. 38 ff. ↵

BSK SchKG-Peter, Art. 8a N 29 f.; Rudin, Verhältnismässigkeit, S. 21; vgl. auch KuKo SchKG-Möckli, Art. 8a N 22. ↵

Vgl. Rudin, Verhältnismässigkeit, S. 24 und 30. ↵

Zum aDSG EDÖB, Teledata, S. 19; Hofer, in: Passadelis et al., Rn. 16.48; vgl. auch Cellina/Geissbühler, Jusletter 2015, Rn. 35; Meier, Rn. 1680; HK aDSG-Rosenthal, Art. 13 N 49 f. ↵

Vgl. BGE 113 III 2 E. 2b. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.bb.ii.1. ↵

Es handelt sich zwar um ein schweizerisches Gesetz, das für die Auslegung und Anwendung einer Verordnung der EU (eigentlich) nicht relevant ist. Allerdings stützte sich auch schon der EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 97 f., bei der Interessenabwägung betreffend Verarbeitungen einer Auskunftei auf das einschlägige nationale Gesetz und die Intentionen des nationalen Gesetzgebers. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 94; vgl. dazu auch oben Teil 3, C.IV.3.2.b.bb.i. ↵

Zum aDSG EDÖB, Teledata, S. 19 f. und 35. ↵

Zum aDSG EDÖB, Mietercheck, Rn. 32 f. ↵

Zum aDSG Hofer, in: Passadelis et al., Rn. 16.48; vgl. auch Meier, Rn. 1680; HK aDSG-​Rosenthal, Art. 13 N 49; a.M. wohl Cellina/Geissbühler, Jusletter 2015, Rn. 34 ff., wonach es unzulässig sei, Zahlungserfahrungen zu bearbeiten, weil diese auf einer blossen Behauptung einer Forderung, also nicht einer objektiven und verifizierbaren Grundlage, fussen und damit den Richtigkeitsgrundsatz verletzen würden. Bereits hier sei bemerkt, dass der Grundsatz allerdings keine absolute Richtigkeit, sondern bloss angemessene Massnahmen verlangt, und deshalb der Bearbeitung von unrichtigen Daten nicht grundsätzlich entgegensteht (vgl. dazu unten Teil 3, C.V.2.). ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.bb.ii.1. ↵

§ 31 Abs. 2 BDSG/DE soll zwar gestrichen, aber inhaltlich in § 37a Abs. 3 BDSG-RegE/DE übernommen werden (vgl. Gesetzesbegründung Änderung BDSG/DE, S. 24). ↵

Zum aDSG vgl. Cellina/Geissbühler, Jusletter 2015, Rn. 32; Meier, Rn. 1681; HK aDSG-​Rosenthal, Art. 13 N 50; offen gelassen in EDÖB, Teledata, S. 19 f. und 35. Die uneinheitliche Praxis liesse sich grundsätzlich auch bei Betreibungen einwenden. Jedoch bestehen dort Hürden wie die Gebührenpflicht und die besseren Verteidigungsmittel der Betriebenen (vgl. Art. 85a SchKG), die für eine gewisse «Einheitlichkeit» sorgen dürften. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.bb.ii. ↵

Ziff. 1 von § 31 Abs. 2 Satz 1 BDSG/DE erfasst zudem Forderungen, für die ein Schuldtitel nach § 794 ZPO/DE vorliegt und Ziff. 2 Forderungen, die nach § 178 InsO/DE festgestellt und nicht vom Schuldner im Prüfungstermin bestritten worden sind. Auf diese zivilprozessualen bzw. vollstreckungsrechtlichen Spezialfälle soll vorliegend nicht weiter eingegangen werden. ↵

Die Bestreitung muss substantiiert erfolgen, sonst ist sie unbeachtlich (Lapp, in: Gola/Heckmann, § 31 N 47; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137; a.M. wohl Wiedemann, S. 178, mit Verweis auf den Wortlaut). ↵

Buchner, in: Kühling/Buchner, § 31 N 17; Paal, in: Specht-Riemenschneider et al., S. 342; Taeger, in: Taeger/Gabel, § 31 N 71; vgl. auch DSK, Einmeldung, o.S., in Bezug auf Einmeldungen von Kreditgeberinnen an Auskunfteien; von Lewinski/Pohl, S. 21. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.bb.ii.1. ↵

Vgl. Buchner, in: Kühling/Buchner, § 31 N 17; von Lewinski/Pohl, S. 21. ↵

Zum aBDSG/DE vgl. OLG Frankfurt a.M., 1 W 9/16 vom 2. Februar 2016, in: BeckRS 2016, 6778, Rn. 3, wonach bei (heute) § 31 Abs. 2 Satz 1 Ziff. 5 BDSG/DE die berechtigten Interessen des Schuldners dadurch gewahrt seien, dass er auf seine Unterrichtung hin die Rückstände ausgleichen oder mittels einstweiligen Rechtsschutzes gegen die Übermittlung (bzw. Verwendung) vorgehen und dabei Einwände gegen die Zahlungsrückstände geltend machen könne. ↵

Zur DSGVO Krämer, in: Wolff et al., § 31 N 34; vgl. auch Paal, in: Specht-Riemenschneider et al., S. 342. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.cc.i. ↵

Zum aDSG Hofer, in: Passadelis et al., Rn. 16.48; zur DSGVO vgl. Krämer, NJW 2018, S. 34. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 94; vgl. dazu auch oben Teil 3, C.IV.3.2.b.bb.i. ↵

Zum DSG ablehnend Bericht Wirtschaftsauskunfteien, S. 33 f.; zur DSGVO ablehnend HBDI, Auskunfteien, S. 6; befürwortend Moos/Rothkegel, S. 562; differenzierend Krämer, Scoring, S. 6. Die DSK, Scoringverfahren, S. 6, geht implizit davon aus, dass die DSGVO der Verwendung des Geschlechts nicht grundsätzlich entgegensteht, wenn sie der Bundesregierung empfiehlt, das Geschlecht in eine gesetzliche Negativliste von Daten aufzunehmen, die nicht in einen Score einfliessen dürfen. ↵

Bericht Wirtschaftsauskunfteien, S. 33. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.aa.ii. ↵

Vgl. Moos/Rothkegel, S. 562; Peter et al., S. 33, wonach die Berücksichtigung des Geschlechts durch schweizerische Auskunfteien auf statistischen Wahrscheinlichkeiten beruhe, z.B. die statistisch leicht bessere Bonität von Frauen gegenüber Männern. ↵

Krämer, Scoring, S. 6. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.a.cc.i. ↵

Zum aDSG EDSK, Urteil vom 21. November 1996, in: VPB 62.42B, S. 362 ff., E. 6b; vgl. auch Hofer, in: Passadelis et al., Rn. 16.48, wonach es unzulässig sei, die Familiensituation in den Score einzubeziehen. ↵

HBDI, Auskunfteien, S. 6. ↵

Jedenfalls die Änderung des Zivilstands dürfte sich eignen, konnte doch eine Studie nachweisen, dass sich die Prognosefähigkeit eines Kreditscoring-Modells erheblich verbessert, wenn es diese Information einbezieht (vgl. dazu oben Teil 1, E.I.1.3.b). ↵

Vgl. Art. 8 Abs. 2 BV; Art. 21 Abs. 1 GRCh. ↵

«In eingetragener Partnerschaft» wäre gleich wie «verheiratet», «gerichtlich aufgelöste eingetragene Partnerschaft» wie «geschieden» bzw. «unverheiratet», «durch Tod aufgelöste Partnerschaft» wie «verwitwet» und «durch Verschollenerklärung aufgelöste Partnerschaft» wie «unverheiratet» zu behandeln (vgl. Art. 8 lit. f Ziff. 1 ZStV). ↵

Zum aDSG Hofer, in: Passadelis et al., Rn. 16.48, wonach der Wohnort kein direkt relevanter Faktor sei; HK aDSG-Rosenthal, Art. 13 N 50, wonach der Wohnort keine aussagekräftigen Schlüsse über die Kreditwürdigkeit zulasse. ↵

Zum aDSG EDÖB, Teledata, S. 16, womit er wohl das unmittelbare Abstellen auf die Adresse für unzulässig befindet. Denn gleichzeitig erlaubte der EDÖB, Teledata, S. 44, unter bestimmten Voraussetzungen die Bekanntgabe von statistischen Umgebungsdaten, die sich nur erschliessen lassen, wenn die Auskunftei die Adresse der betroffenen Person (insofern auch für die Kreditwürdigkeitsprüfung) verwendet. ↵

Zum aDSG Bericht Wirtschaftsauskunfteien, S. 33 f.; wohl auch Rudin, digma 2007, S. 55. ↵

Roßnagel, in: Simitis et al., Art. 5 N 119; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137. ↵

Krämer, NJW 2020, S. 497, wonach «[d]er errechnete Wert […] umso zutreffender und damit seriöser [ist], je mehr korrekte Angaben zu den finanziellen Verhältnissen der betroffenen Person der Auskunftei bekannt sind und je weniger Schätzdaten und Angaben über Dritte, die die betroffene Person so gut wie nicht beeinflussen kann (z.B. Wohnumgebung), bei der Berechnung Berücksichtigung finden». ↵

Mit Anschriftendaten sind zunächst Strasse, Hausnummer, Postleitzahl und Ort gemeint, darüber hinaus aber auch Angaben über den Wohnsitz in einem bestimmten räumlichen Areal (vgl. Lapp, in: Gola/Heckmann, § 31 N 34; Taeger, in: Taeger/Gabel, § 31 N 67, wonach auch mit der Adresse verbundene Milieueinschätzungen wie Arbeiterviertel oder gehobenes Bürgertum erfasst seien; zum aBDSG/DE Overbeck, S. 160). ↵

Anschriftendaten zu verwenden, ist unter dem BDSG/DE bereits zulässig, wenn nur ein weiteres Merkmal in das Scoring einfliesst (zum aBDSG/DE Overbeck, S. 161), wobei angesichts der sonstigen Gefahr der Umgehung zu verlangen ist, dass diesem Merkmal nicht bloss ein verschwindend geringes Gewicht beigemessen wird (zum aBDSG/DE Hammersen/Eisenried, S. 343 m.w.H.). ↵

Der als Ersatz von § 31 BDSG/DE geplante § 37a BDSG-RegE/DE soll gemäss seinem Abs. 2 Ziff. 1 lit. d (im Rahmen seines Anwendungsbereichs) die Verwendung von Anschriftendaten für Wahrscheinlichkeitswerte verbieten (vgl. Gesetzesbegründung Änderung BDSG/DE, S. 23). Aus dieser neuen Regelung lässt sich ein ähnlicher Schluss ziehen: Würde bereits die DSGVO die Nutzung von Anschriftendaten für die Berechnung von Wahrscheinlichkeitswerten, etwa über die Zahlungsfähig- und -willigkeit, generell verbieten, wäre die genannte Vorgabe redundant. ↵

Vgl. dazu oben Teil 1, E.II.1. ↵

Zum aDSG EDÖB, Teledata, S. 44. ↵

Vgl. Hammersen/Eisenried, S. 343; Korczak/Wilken, S. 26. Gedacht wird bei diesen Risiken auch an das (früher in den USA praktizierte) Redlining, aufgrund dessen Bewohner eines bestimmten Gebiets Waren oder Dienstleistungen nicht oder nur zu schlechteren Konditionen angeboten erhalten (vgl. Hammersen/Eisenried, S. 343). ↵

Zum aBDSG/DE Overbeck, S. 161; Taeger/Rose, in: Schröder/Taeger, S. 116 f.; vgl. auch Hammersen/Eisenried, S. 343 f. ↵

In der Zwischenzeit hat der deutsche Gesetzgeber seine Meinung geändert und will nun im Rahmen von § 37a BDSG-RegE/DE die Verwendung von Anschriftendaten nicht mehr zulassen, weil die bisherige Regelung, § 31 Abs. 1 Ziff. 3 BDSG/DE, dem Diskriminierungsrisiko solcher Daten nicht hinreichend Rechnung getragen habe (vgl. Gesetzesbegründung Änderung BDSG/DE, S. 23). Eine eigentliche Begründung dieser Meinungsänderung oder belastbare (empirische) Nachweise fehlen, was in der Lehre bereits kritisiert wird (vgl. Thüsing, S. 48 [Fn. 19]). ↵

Vgl. dazu unten Teil 3, D.IV.2.2.a.cc.i. ↵

Vgl. dazu oben Teil 3, C.I.5. ↵

Das urteilsfähige Kind kann im Rahmen des Personenrechts durch eigenes Handeln Rechte und Pflichten begründen und höchstpersönliche Rechte ausüben (Art. 305 Abs. 1 ZGB). Unabhängig von der Zustimmung des gesetzlichen Vertreters (vgl. Art. 19 Abs. 1 ZGB) vermag die minderjährige Person unentgeltliche Vorteile zu erlangen sowie geringfügige Angelegenheiten des täglichen Lebens zu besorgen (Art. 19 Abs. 2 ZGB). Überdies ist die minderjährige Person handlungsfähig im Rahmen des freien Kindesvermögens (BK ZGB-Affolter-Fringeli/Vogel, Art. 305 N 54; Hausheer/Aebi-Müller, Rn. 306 ff.; Herzig, Rn. 59 f.), d.h. hinsichtlich des ihr zur freien Nutzung und Verwaltung zugewendeten Vermögens (Art. 321 ZGB) sowie des durch eigene Arbeit erworbenen oder ihr von den Eltern aus ihrem Vermögen für einen Beruf oder ein eigenes Geschäft gegebenen Vermögens (Art. 323 ZGB). ↵

Zum aDSG EDÖB, Teledata, S. 21. ↵

Auch der EDÖB, Teledata, S. 21, verlangte (implizit) nicht die Gewissheit, dass die Auskunftei keine Daten von Minderjährigen ausserhalb deren beschränkten Handlungsunfähigkeit bearbeitet, hielt er doch selbst fest, dass Minderjährige mit 16 Jahren «üblicherweise frühestens» eine Berufslehre ergreifen oder ein Gewerbe ausüben würden. ↵

Fankhauser/Schürmann, Rn. 11, mit dem Beispiel eines Buchs auf Rechnung; vgl. auch Hausheer/Aebi-Müller, Rn. 298. ↵

Buchner/Petri, in: Kühling/Buchner, Art. 6 N 155; Heberlein, in: Ehmann/Selmayr, Art. 6 N 50; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 112. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 112; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 155; Taeger, in: Taeger/Gabel, Art. 6 N 150. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 112; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 155. ↵

Vgl. dazu oben Teil 3, B.I.2.4. ↵

Ausführlich Lorentz, S. 130 ff. ↵

Vgl. dazu oben Teil 2, A.I.1.2. ↵

Lorentz, S. 135 ff. ↵

EG 38 Satz 1 DSGVO hält fest, dass Kinder bei ihren personenbezogenen Daten besonderen Schutz verdienen, da sie sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind. ↵

Vgl. dazu oben Teil 3, C.IV.3.1. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.b. ↵

Vgl. dazu oben Teil 2, C.I.1. ↵

Dies würde für eine Auskunftei grundsätzlich bedeuten, dass sie die Verhältnismässigkeit eines Profilings (mit hohem Risiko) insb. hinsichtlich jeder einzelnen Kreditgeberin und betroffenen Person prüfen müsste. Wie bereits in Bezug auf die für das Kreditscoring bearbeiteten Daten ausgeführt (vgl. dazu oben Teil 3, C.IV.3.2.b.cc), ist allerdings eine typisierte Betrachtung zulässig und kann eine Auskunftei den Vorgaben der Verhältnismässigkeit etwa mit auf typische Kundenbedürfnisse zugeschnittenen Auskunftsprodukten gerecht werden. ↵

Vgl. dazu oben Teil 3, C.I.1. ↵

Dies zeigen bereits Art. 31 Abs. 2 lit. c DSG und dessen Äquivalent im E-DSG, Art. 27 Abs. 2 lit. c, der das Profiling vom besonders geregelten überwiegenden Interesse für Kreditwürdigkeitsprüfungen ausgeschlossen hätte; vgl. auch Botschaft Totalrevision DSG, S. 7074 f. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii. ↵

Vgl. dazu oben Teil 1, D.II.1. ↵

Zum aDSG vgl. Vasella, Jusletter 2015, Rn. 10, zum Richtigkeitsgrundsatz; zur DSGVO vgl. Lorentz, S. 250 f., zum Berichtigungsrecht. Zur analogen Fragestellung beim Richtigkeitsgrundsatz vgl. unten Teil 3, C.V.5.1.b. ↵

Vgl. EDÖB, Bonitäts- und Inkassounternehmen, Rn. 82, in Bezug auf sog. Haushaltstreffer (vgl. dazu oben Teil 1, E.I.2.3.b), jedoch ohne Begründung dieses Massstabs und Präzisierung der massgebenden Fehlerquote. ↵

Je höher die Fehlerquote und damit weniger geeignet das Profiling ist, desto eher erweist es sich aber als nicht erforderlich oder unzumutbar (vgl. dazu oben Teil 3, C.IV.1.1.a). ↵

Vgl. dazu unten Teil 3, C.V.5.2.b. ↵

Vgl. dazu oben Teil 3, B.III.2.1. ↵

Vgl. dazu oben Teil 3, B.III.2.2. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.b. ↵

Vgl. dazu oben Teil 3, B.I.2.2. ↵

Vgl. dazu oben Teil 1, C.II.3.4. ↵

Zur DSGVO vgl. von Lewinski/Pohl, S. 19. ↵

Zur DSGVO GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 81. ↵

Vgl. dazu oben Teil 3, B.III.1.2.a. ↵

Vgl. dazu oben Teil 3, B.III.2.2. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.c. ↵

Vgl. dazu oben Teil 3, C.IV.1.2. ↵

Vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 15 f.; dazu Lorentz, S. 212 ff. ↵

Das Kriterium des Umfangs und der Aussagekraft des Inputs nennt die Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 15 f., nicht. ↵

Vgl. dazu oben Teil 3, B.III.1.2.a. ↵

Zum DSG PC LPD-Genecand, Art. 30 N 18; zum aDSG Meier, Rn. 1566. ↵

Wie sich aus den übrigen Ausführungen ergibt, meint hier die Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 16, mit «Profil» den Output des Profilings. So spricht sie bei der Einordnung in eine allgemein beschriebene Kohorte oder eine detaillierte Segmentierung von der «Detailliertheit des Profils», und bei der Frage, ob ein kleiner Aspekt oder ein umfangreiches Bild der betroffenen Person vermittelt wird, vom «Umfang des Profils». Zudem bezeichnet die Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 19, (an einer anderen Stelle) die «Ausgabedaten» als «Profil selbst». ↵

Zur DSGVO vgl. Lorentz, S. 213. ↵

Entsteht dabei ein Persönlichkeitsprofil, liegt nach hier nicht vertretener, aber wohl herrschender Ansicht ein Profiling mit hohem Risiko vor (vgl. dazu oben Teil 3, B.III.1.2.a). ↵

Zur DSGVO vgl. Lorentz, S. 216. ↵

Vgl. Heuberger, Rn. 414. ↵

Zur DSGVO vgl. Lorentz, S. 217 f. ↵

Vgl. dazu oben Teil 3, C.I.2. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 16. ↵

Das Bundesgericht leitet in ständiger Rechtsprechung aus Art. 13 Abs. 2 BV, wonach jede Person Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten hat, ein Recht auf informationelle Selbstbestimmung ab (statt vieler BGE 148 I 233 E. 3.1; BGE 147 I 346 E. 5.3.1; BGE 146 I 11 E. 3.3.1). Die hier interessierenden privaten Akteure sind indes nicht (unmittelbar) grundrechtsgebunden (Art. 35 Abs. 3 BV e contrario; Thouvenin, JIPITEC 2021, Rn. 8; BSK BV-Waldmann, Art. 35 N 28 f., der eine direkte Drittwirkung für das Lohngleichheitsgebot, das Streikrecht und das Folterverbot bejaht). ↵

Zur DSGVO vgl. Lorentz, S. 208. ↵

Vgl. dazu oben Teil 3, B.I.2.1.a. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.d. ↵

A.M. PC LPD-Genecand, Art. 31 N 60, der aus dem Moneyhouse-Entscheid, BVGer, A-4232/2015 vom 18. April 2017, E. 5.4, und dem Willen des Gesetzgebers (vgl. dazu oben Teil 3, B.III.1.1) ableitet, dass ein Profiling mit hohem Risiko eine Persönlichkeitsverletzung darstelle. ↵

Vgl. dazu oben Teil 3, B.III.1.2.a. ↵

Vgl. dazu oben Teil 3, B.II.1.2. ↵

Vgl. OFK DSG-Pfaffinger, Art. 31 N 16, wonach das Profiling mit hohem Risiko oft Bearbeitungsgrundsätze verletzen werde. ↵

Vgl. dazu oben Teil 1, B.I.2. ↵

Vgl. dazu oben Teil 1, E.I.2.2 und Teil 2, A.I.4.2. ↵

Vgl. dazu oben Teil 1, A. ↵

Vgl. dazu oben Teil 3, B.I.2.1.c. ↵

Zur DSGVO vgl. Lorentz, S. 216. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.b.aa. ↵

Weichert, ZD 2021, S. 555; vgl. auch Overbeck, S. 12 und 231 f. ↵

Vgl. Buchner, in: Specht-Riemenschneider et al., S. 101; Gutowski, S. 296. ↵

Weichert, ZD 2021, S. 555, der auf einen Fall verweist, in dem die prekäre Finanzsituation der betroffenen Person und die fehlende Aussicht auf eine Bonitätsverbesserung (angeblich) zur Folge hatten, dass die betroffene Person wegen Depressionen in einer psychiatrischen Einrichtung untergebracht werden musste. ↵

Zur DSRL Art.‑29‑DSG, Stellungnahme berechtigtes Interesse, S. 48. ↵

Vgl. Peter et al., S. 3, wonach es emotional belastend sein könne, wenn jemand (aufgrund einer unvollständigen oder fehlerhaften Bonitätsauskunft) im Extremfall keine Kreditgeschäfte mehr abschliessen könne, dies in den meisten Fällen jedoch keine weitreichenderen wirtschaftlichen Schäden oder Reputationsverlust zur Folge habe; ferner Wermelinger, Jusletter 2024, Rn. 38, wonach keine hohe Wahrscheinlichkeit für Reputationsschäden bestehe, weil die Auskunfteien den Kreditscore lediglich Kreditgeberinnen mit entsprechender Begründung übermitteln und diese zum ausschliesslichen Eigengebrauch verpflichten würden. ↵

Zur DSGVO von Lewinski/Pohl, S. 19. ↵

Vgl. dazu oben Teil 1, B.I.2. und B.I.3. ↵

Vgl. dazu oben Teil 1, B.I.4. ↵

Vgl. dazu unten Teil 3, C.V.5.2.b. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.d.aa.ii. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.a. ↵

Zum DSG vgl. Peter et al., S. 33; zum aBDSG/DE vgl. Overbeck, S. 246. Auch die IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 16, halten fest, dass die im Bonitätsscore benutzten Merkmale und insb. deren Gewichtung verhältnismässig sein müssen. ↵

Der EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 89, 91 und 100, hat im dazugehörigen Urteil die parallele Speicherung lediglich beiläufig im Zusammenhang mit der Voraussetzung der Erforderlichkeit und der Interessenabwägung von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO thematisiert und die konkrete Prüfung dem vorlegenden Gericht überlassen. Er betont (ebenfalls) das Erfordernis, dass die parallele Speicherung der Daten durch die Auskunftei auf das unbedingt Notwendige beschränkt ist. ↵

GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 87 f. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.cc.i. ↵

Vgl. Henseler, Zulässigkeit der Speicherung, o.S. ↵

Im Ergebnis gl.M. Blocher/Wieser, S. 198. ↵

Zum DSG Anderson/Galetti, S. 106; CR LPD-Meier/Tschumy, Art. 5 N 34; vgl. auch Botschaft Totalrevision DSG, S. 7026; zum aDSG Cellina, Rn. 996. ↵

Dies ergab sich bereits unter dem alten Recht unmittelbar aus dem Grundsatz der Verhältnismässigkeit (Cour d’appel civil VD, CACI 2012/17 vom 12. Januar 2012, in: JdT 2012 III, S. 197 ff., E. 8; Anderson/Galetti, S. 106; Meier, Rn. 680; vgl. auch Métille, S. 10). ↵

EG 39 Satz 8 DSGVO; de Terwangne, in: Kuner et al., S. 317; vgl. auch Zarsky, S. 1009. ↵

Zum aDSG vgl. EDÖB, Teledata, S. 24; zur DSGVO vgl. Heyer, ZVI 2024, S. 38; Schantz, in: Wolff et al., Art. 5 N 33; ferner GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 74, wonach eine rechtmässige Datenverarbeitung im Laufe der Zeit DSGVO-widrig werden könne, u.a. wenn die Daten für den Zweck nicht mehr erheblich seien; zur DSRL EuGH, Rs. C-131/12 vom 13. Mai 2014, Google Spain, Ziff. 93, wonach Daten auch nicht mehr erforderlich seien, wenn sie in Anbetracht der verstrichenen Zeit dem Zweck nicht mehr angemessen oder dafür nicht mehr erheblich seien. ↵

Vgl. Chandler/Johnson, S. 65 f.; Gutowski, S. 296. ↵

Zum aDSG EDÖB, Teledata, S. 24; zur DSRL EuGH, Rs. C-131/12 vom 13. Mai 2014, Google Spain, Ziff. 93 f. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.a. ↵

Zum aDSG Rudin, Verhältnismässigkeit, S. 24 f. ↵

Der in Art. 12 Abs. 2 lit. e DSG verwendete und auch sonst im Datenschutzrecht geläufige Begriff der «Aufbewahrungsdauer» spricht explizit nur die Aufbewahrung an, beschränkt aber auch andere Bearbeitungen der betreffenden Daten auf diese Dauer (zum DSG vgl. CR LPD-Meier/Tschumy, Art. 6 N 36; zur DSGVO vgl. Roßnagel, in: Simitis et al., Art. 5 N 151 f.). ↵

Zum DSG Anderson/Galetti, S. 111; zum aDSG Cour d’appel civil VD, CACI 2012/17 vom 12. Januar 2012, in: JdT 2012 III, S. 197 ff., E. 8; zur DSGVO CNIL, S. 7; Féral-Schuhl, Rn. 113.171. ↵

Zum DSG Anderson/Galetti, S. 111 (Fn. 64); zum aDSG vgl. Meier, Rn. 681 und 684; zur DSGVO EG 39 DSGVO; de Terwangne, in: Kuner et al., S. 318; Herbst, in: Kühling/Buchner, Art. 5 N 67. ↵

Botschaft Totalrevision DSG, S. 7026. ↵

Zum aDSG Cour d’appel civil VD, CACI 2012/17 vom 12. Januar 2012, in: JdT 2012 III, S. 197 ff., E. 8, das als Beispiel das Reglement der ZEK (vgl. dazu oben Teil 1, C.II.3.2) nennt; Meier, Rn. 1682. ↵

Zum DSG Anderson/Galetti, S. 111; zum aDSG Cour d’appel civil VD, CACI 2012/17 vom 12. Januar 2012, in: JdT 2012 III, S. 197 ff., E. 8; zur DSGVO vgl. Féral-Schuhl, Rn. 113.172; Heberlein, in: Ehmann/Selmayr, Art. 5 N 34. ↵

Zum DSG Anderson/Galetti, S. 112; CR LPD-Meier/Tschumy, Art. 5 N 36; zum aDSG Cour d’appel civil VD, CACI 2012/17 vom 12. Januar 2012, in: JdT 2012 III, S. 197 ff., E. 8; zur DSGVO vgl. GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 72 f., der bei der Interessenabwägung von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO für die Datenspeicherung durch eine Auskunftei u.a. die Zugangsmodalitäten der Datenbank und die Sensibilität der Daten berücksichtigt. ↵

Zur DSGVO BVGer Österreich, W214 2228161-1/13E vom 21. April 2021, S. 16; Thüsing et al., NZI 2021, S. 957. ↵

Gemeint sind nicht nur gesetzliche Aufbewahrungsfristen, während deren Daten grundsätzlich nicht gelöscht werden müssen oder sogar dürfen (zum DSG vgl. Toneatti, S. 24; zur DSGVO Lorenz, S. 217), sondern etwa auch Verjährungs- und Verwirkungsfristen, an denen sich die Aufbewahrungsfrist ausrichten kann (zum DSG vgl. Anderson/Galetti, S. 113; zur DSGVO vgl. Féral-Schuhl, Rn. 113.172). ↵

Zum DSG Anderson/Galetti, S. 112; zur DSGVO CNIL, S. 7. ↵

Zum DSG vgl. Bericht Wirtschaftsauskunfteien, S. 13; zum aDSG EDÖB, Teledata, S. 47; vgl. auch Peter et al., S. 32 und 50. Statt die Gewichtung anzupassen, kann das Datum auch nicht weiterverwendet oder gar gelöscht oder anonymisiert werden. ↵

Peter et al., S. 32 und 50. ↵

Vgl. Botschaft Totalrevision DSG, S. 7075, die in Bezug auf (heute) Art. 31 Abs. 2 lit. c Ziff. 3 DSG von «Aufbewahrungsdauer» spricht. ↵

Zum DSG SPK-NR vom 23./24. Mai 2019, S. 45; zum aDSG vgl. Cour d’appel civil VD, CACI 2012/17 vom 12. Januar 2012, in: JdT 2012 III, S. 197 ff., E. 8; Meier, Rn. 1682. ↵

Botschaft Totalrevision DSG, S. 7075. Auch in der Parlamentsdebatte (Amtl. Bull. NR 2020 S. 1599 [Votum Silberschmidt]; Amtl. Bull. NR 2019 S. 1820 [Votum Wermuth]) und in der Kommissionsdiskussion (SPK-SR vom 18. Mai 2020, S. 7), gab es (unpräzise) Aussagen, die sich einer dahingehenden Auslegung nicht verschliessen würden. ↵

Amtl. Bull. NR 2020 S. 1600 (Votum Keller-Sutter), wonach es «nicht um eine allgemeine Regulierung der Kreditwürdigkeitsprüfung [geht]» und «Artikel 27 [heute: Art. 31] Absatz 2 Buchstabe c […] erst dann zur Anwendung [kommt], wenn für eine Datenbearbeitung ein Rechtfertigungsgrund benötigt wird»; ähnlich Amtl. Bull. SR 2020 S. 294 f. (Votum Fässler); SPK-SR vom 18. Mai 2020, S. 7 f. ↵

Vgl. dazu oben Teil 3, C.I.5. ↵

Vgl. dazu oben Teil 2, C.I.1. ↵

Henseler, Zulässigkeit der Speicherung, o.S.; Rosenthal, Jusletter 2020, Rn. 42; a.M. wohl SHK DSG-Pfaffinger, Art. 31 N 71. ↵

Unter die Rubrik Handelsregister fallen Neugründungen, Mutationen und Löschungen von bzw. bei im Handelsregister eingetragenen Rechtseinheiten. Bei diesen Daten besteht kein Raum für eine zeitliche Befristung; unveränderte Handelsregisterdaten können private Personen mit Blick auf den Publizitätszweck zeitlich unbegrenzt veröffentlichen (BVGE 2008/16 E. 5.2.6 f.). ↵

Bezüglich dieser Informationen hielt das Bundesverwaltungsgericht auch fest, dass trotz des öffentlichen Interesses an ihrer Veröffentlichung ausreichende Gründe für eine zeitliche Beschränkung ihrer Verfügbarkeit auf shab.ch bestehen würden (BVGE 2008/16 E. 5.2.7). ↵

Nunmehr muss die Meldestelle (z.B. das Handelsregister- oder Konkursamt) den Zeitraum für die Suchfunktion gemäss den gesetzlichen Vorgaben einschränken, wenn die Meldung Personendaten enthält. Fehlen solche Vorgaben, entspricht der Zeitraum dem für die Erfüllung des Zwecks kürzestmöglichen Zeitraum. Für Meldungen über Konkurseröffnungen ist der Zeitraum für die Suchfunktion auf fünf Jahre beschränkt (Art. 11 Abs. 3 VSHAB). ↵

BVGE 2008/16 E. 5.2.7. ↵

BSK SchKG-Peter, Art. 8a N 61; Rudin, Verhältnismässigkeit, S. 21. ↵

BGer, 5A_679/2018 vom 17. Juni 2019, E. 3.1.4 ff.; KuKo SchKG-Möckli, Art. 8a N 31; BSK SchKG-Peter, Art. 8a N 62. ↵

Rudin, Verhältnismässigkeit, S. 22. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.cc.i. ↵

Zum aDSG Rudin, Verhältnismässigkeit, S. 22; vgl. auch EDÖB, Teledata, S. 25. ↵

Zum aDSG Thür, BJM 2010, S. 238, der zum Zeitpunkt der Veröffentlichung des zitierten Beitrags «der Beauftragte» war (vgl. Art. 26 aDSG). ↵

Zum aDSG EDÖB, Teledata, S. 25, wonach sich auch Auskunfteien an die zeitliche Obergrenze von fünf Jahren nach Abschluss des Verfahrens für die Bekanntgabe von Betreibungsauskünften halten müssten, vgl. sodann aber S. 47. ↵

Zum aDSG EDÖB, Teledata, S. 47; vgl. auch Hofer, in: Passadelis et al., Rn. 16.58. ↵

Zum aDSG EDÖB, Teledata, S. 47; vgl. auch Hofer, in: Passadelis et al., Rn. 16.58. ↵

Zum aDSG EDÖB, Teledata, S. 47; vgl. auch Hofer, in: Passadelis et al., Rn. 16.58. ↵

SPK-NR vom 23./24. Januar 2020, S. 17 und Beilage «Antrag Nr. 164». ↵

Vgl. Botschaft Totalrevision DSG, S. 7075, wonach die «Aufbewahrungsdauer» von fünf Jahren in Art. 27 Abs. 2 lit. c E-DSG auf Art. 8a Abs. 4 SchKG abgestellt habe; SPK-NR vom 23./24. Januar 2020, S. 17 f. ↵

Gemeint ist der sog. «internal ratings based (IRB) approach» (vgl. dazu auch oben Teil 1, B.II.2.). ↵

Vgl. Ziff. 36.82, 36.88 und 36.99 CRE. ↵

Die Basler Mindeststandards sind für sich rechtlich nicht verbindlich (Schaefer, S. 607). Jedoch erlaubt Art. 77 Abs. 5 ERV der FINMA, technische Ausführungsbestimmungen zum auf internen Ratings basierenden Ansatz zu erlassen, wobei sie sich nach dem CRE richten muss. Art. 112 KreV-FINMA erklärt bei diesem Ansatz Ziff. 30–36 CRE für anwendbar, sofern die KreV-FINMA nichts anderes bestimmt. ↵

Darin sind Schuldner aufgeführt, die entweder im Pfändungsverfahren ihren Vermögensauskunftspflichten nicht nachgekommen sind oder gegen die die Zwangsvollstreckung erfolglos geblieben ist (§ 882b ZPO/DE; vgl. Baumgartner, in: Portmann et al., S. 31). ↵

Thüsing et al., NZI 2020, S. 616; vgl. auch Krämer, NJW 2018, S. 350. ↵

Gemäss § 256 Abs. 1 IO/AT umfasst die Insolvenzdatei sämtliche Daten, die nach der IO/AT öffentlich bekanntzumachen sind, z.B. die Eröffnung und die Aufhebung eines Insolvenzverfahrens (vgl. § 74 und 79 IO/AT). ↵

BVGer Österreich, W214 2228161-1/13E vom 21. April 2021, S. 18 f. ↵

Gemäss der Verordnung müssen Kreditinstitute, welche die Risiken bei ihren Kreditforderungen gegenüber natürlichen Personen anhand eines auf internen Beurteilungen basierenden Ansatzes abschätzen, einen Zeitraum von mindestens fünf Jahren betrachten (vgl. Art. 151 Abs. 6 i.V.m. Art. 180 Abs. 2 lit. a und e sowie Art. 151 Abs. 7 i.V.m. Art. 181 Abs. 2 lit. c VO [EU] 575/2013). ↵

BVGer Österreich, W214 2228161-1/13E vom 21. April 2021, S. 16 f. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.b.aa.iii. ↵

Braun, in: Moos et al., Kap. 18 N 121; Thüsing et al., NZI 2021, S. 954. ↵

Die VO (EU) 575/2013 ist auf die im Rahmen der RL 2013/36/EU beaufsichtigten Institute anwendbar (Art. 1 VO [EU] 575/2013). Die RL 2013/36/EU gilt für Institute, worunter Kreditinstitute und Wertpapierfirmen zu verstehen sind (Art. 1 lit. a und Art. 2 Abs. 1 RL 2013/36/EU). Kreditinstitute sind Unternehmen, deren Tätigkeit darin besteht, Einlagen oder andere rückzahlbare Gelder des Publikums entgegenzunehmen und Kredite für eigene Rechnung zu gewähren (Art. 4 Abs. 1 UAbs. 1 VO [EU] 575/2013). ↵

So Blocher/Wieser, S. 198. ↵

Gemäss § 3 Abs. 1 und 2 InsBekV/DE werden Veröffentlichungen im Restschuldbefreiungsverfahren spätestens sechs Monate nach der Rechtskraft der Entscheidung über die Restschuldbefreiung gelöscht. ↵

Die Restschuldbefreiung stellt (vereinfacht formuliert) ein Instrument des Insolvenzrechts dar, das verschuldete natürliche Personen nach einer Wohlverhaltensphase auf Antrag von ihren Verbindlichkeiten befreit (vgl. § 286 ff. InsO/DE). ↵

Vgl. Ahrens, S. 85, mit zahlreichen Hinweisen auf die deutsche Lehre und Rechtsprechung (von vor dem Urteil des EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. [Restschuldbefreiung]). ↵

OLG Schleswig-Holstein, 17 U 15/21 vom 2. Juli 2021, in: BeckRS 2021, 16986, Rn. 40 und 44; VGer Wiesbaden, 6 K 307/20 vom 7. Juni 2021, in: BeckRS 2021, 17378, Rn. 44; vgl. auch Weichert, ZD 2021, S. 556. ↵

OLG Köln, 15 U 153/21 vom 27. Januar 2022, in: BeckRS 2022, 1208, Rn. 36 ff.; vgl. auch OLG Karlsruhe, 12 U 32/16 vom 1. März 2016, in: BeckRS, 5132, Rn. 20 f.; ferner Thüsing et al., NZI 2020, S. 616. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.a.bb. ↵

VGer Wiesbaden, 6 K 1052/21 vom 31. Januar 2022, in: BeckRS 2022, 15772, Rn. 32 ff., insb. Rn. 45; VGer Wiesbaden, 6 K 441/21 vom 23. Dezember 2021, in: BeckRS 2021, 44967, Rn. 55 ff., insb. Rn. 68. ↵

Der EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 94, hielt zudem fest, dass die Verarbeitung von Daten über die Restschuldbefreiung einen schweren Eingriff in Art. 7 f. GRCh darstelle, weil diese Daten negativ in die Kreditwürdigkeitsbeurteilung einfliessen würden und daher sensible Informationen über das Privatleben seien und ihre Verwendung die Interessen der betroffenen Person beträchtlich schaden könne. Wie bereits festgehalten (vgl. dazu oben Teil 3, C.IV.3.2.b.bb.i), führte der EuGH nicht näher aus, was diese grundrechtliche Einschätzung für die Interessenabwägung konkret bedeutet. Anschliessend stellte er denn auch auf das nationale Recht und dessen Intention ab. ↵

Zu Recht zog der EuGH dabei nicht seine Rechtsprechung zur staatlichen Vorratsdatenspeicherung von Verkehrs- und Standortdaten heran, wie dies Blocher/Wieser, S. 196 ff., vorgeschlagen hatten. Auskunfteien sind private, nicht staatliche Akteure, und die von ihnen verarbeiteten Insolvenzdaten, hier die Restschuldbefreiung, lassen sich hinsichtlich ihrer Sensibilität mit Verkehrs- und Standortdaten schwerlich vergleichen. Aus letzteren Daten geht u.a. hervor, wer mit wem auf welchem Weg wie lange und von welchem Ort aus kommuniziert. Während sich daraus «sehr genaue Schlüsse auf das Privatleben der Personen […], etwa auf Gewohnheiten des täglichen Lebens, ständige oder vorübergehende Aufenthaltsorte, ausgeübte Tätigkeiten, soziale Beziehungen» etc. ziehen lassen und die anlasslose Erfassung dieser Daten bei den betroffenen Personen (womöglich) ein «Gefühl zu erzeugen [vermag], dass ihr Privatleben Gegenstand einer ständigen Überwachung ist» (vgl. EuGH, Rs. C‑203/15 und C-698/15 vom 21. Dezember 2016, Tele2 Sverige, Ziff. 97 ff.; EuGH, Rs. C‑293/12 und C-594/12 vom 8. April 2014, Digital Rights Ireland und Seitlinger u.a., Ziff. 27 und 37), trifft dies bei Insolvenzdaten bzw. ihrer Erfassung, Speicherung und Verwendung kaum zu. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 97; vgl. auch GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 71 und 75, der die nationalrechtliche Löschfrist zudem als «massgeblichen Faktor» in der Abwägung bezeichnete. ↵

Der EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 82 ff., anerkennt die Interessen der Auskunftei und der Kreditgeberinnen als berechtigt an und verwirft damit die in der deutschen Rechtsprechung zuweilen vertretene Ansicht, wonach der Auskunftei nach Ablauf der gesetzlichen Speicherfrist ein berechtigtes Interesse fehle, weil ihre Speicherung sodann nicht (mehr) im Einklang mit der Rechtsordnung stehe (vgl. OLG Schleswig-Holstein, 17 U 15/21 vom 2. Juli 2021, in: BeckRS 2021, 16986, Rn. 47). ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 98 f. ↵

Lässt man diese Argumentation des EuGH gelten, folgt aus dem (u.a.) entscheidenden Abstellen auf den Zweck der Restschuldbefreiung, dass die Rechtsprechung kaum einer Verallgemeinerung zugänglich ist. Dies anerkennen teilweise auch das Urteil befürwortende Stimmen (vgl. Zwanziger, VIA 2024, S. 19; a.M. wohl Ahrens, S. 85). ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 69 f. ↵

Marsch/Kratz, S. 394 f. ↵

Thüsing et al., NZI 2021, S. 953; Zwanziger, ZVI 2022, S. 329; vgl. auch Thüsing et al., NZI 2020, S. 613; a.M. wohl Heyer, ZVI 2024, S. 38. ↵

Vgl. Blocher/Wieser, S. 198; ferner Decker/Mitzscherlich, S. 74, welche die sechsmonatige Frist als Orientierung für das grundrechtliche Spannungsfeld heranziehen möchten; Zwanziger, ZVI 2022, S. 329 f., der die nationalrechtlichen Verhältnisse berücksichtigen will, auf welche die DSGVO trifft. ↵

LG Hamburg, 334 O 161/19 vom 23. Juli 2020, in: BeckRS 2020, 23413, Rn. 15, das eine «deutlich höhere Eingriffsintensität» bei der Insolvenzbekanntmachung sieht (u.a. wegen der Kostenlosigkeit und dem Zugang ohne grösseren Aufwand über das Internet); vgl. auch OLG Karlsruhe, 12 U 32/16 vom 1. März 2016, in: BeckRS, 5132, Rn. 21; Thüsing et al., NZI 2021, S. 952 f. und 956; a.M. OLG Schleswig-Holstein, 17 U 15/21 vom 2. Juli 2021, in: BeckRS 2021, 16986, Rn. 43 ff.; vgl. auch Zwanziger, ZVI 2022, S. 334. ↵

Art. 1 VO (EU) 575/2013 i.V.m. Art. 1 lit. a und Art. 2 Abs. 1 RL 2013/36/EU. ↵

A.M. wohl Blocher/Wieser, S. 198, mit dem Hinweis, dass die Kundinnen der Auskunfteien auch im E-Commerce, der Telekommunikation und Vermietung tätig seien. Entgegen dieser Lehrmeinung ist auch nicht ersichtlich, weshalb der sekundärrechtliche Charakter der Kapitaladäquanzverordnung dagegensprechen soll, sie bei der Bemessung der Aufbewahrungsdauer heranzuziehen, zumal der EuGH dafür selbst auf nationales Recht massgeblich abstellen will (vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. [Restschuldbefreiung], Ziff. 97 ff.). ↵

Vgl. dazu oben Teil 3, C.IV.3.2. ↵

Thüsing et al., NZI 2021, S. 954; vgl. auch Braun, in: Moos et al., Kap. 18 N 121; a.M. Blocher/Wieser, S. 198; Zwanziger, ZVI 2022, S. 333. ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 11; Die Wirtschaftsauskunfteien e.V. Verhaltensregeln, Ziff. IV. ↵

Zum DSG Henseler, Zulässigkeit der Speicherung, o.S.; zur DSGVO EuGH, Rs. C‑26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 103 ff. Die zu diesem Zeitpunkt einschlägigen (genehmigten) Verhaltensregeln der grossen deutschen Wirtschaftsauskunfteien sahen eine dreijährige Speicherung der Restschuldbefreiung vor (vgl. Die Wirtschaftsauskunfteien e.V. Verhaltensregeln 2018, Ziff. II). In der Zwischenzeit hat der Verband die Verhaltensregeln angepasst und darin vorgesehen, die Erteilung der Restschuldbefreiung nicht länger als im öffentlichen Verzeichnis zu speichern (Die Wirtschaftsauskunfteien e.V. Verhaltensregeln, Ziff. IV). ↵

Zum DSG vgl. Henseler, Zulässigkeit der Speicherung, o.S.; zur DSGVO GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 99; Reill-Ruppe, S. 58 f.; Zwanziger, ZVI 2022, S. 330. ↵

Botschaft Totalrevision DSG, S. 7034. ↵

Zum DSG vgl. OFK DSG-Germann, Art. 11 N 10; Henseler, Zulässigkeit der Speicherung, o.S.; zur DSGVO GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 100 ff., der noch darauf hinweist, dass Verhaltensregeln nicht zu einer Erweiterung der abschliessenden Liste der Rechtsgrundlagen in Art. 6 Abs. 1 UAbs. 1 DSGVO führen könnten. ↵

Zum DSG vgl. PC LPD-Benhamou, Art. 11 N 13, wonach sich keine Rechte aus den Verhaltensregeln ableiten lassen würden; zum DSGVO Zwanziger, ZVI 2022, S. 330; vgl. auch Decker/Mitzscherlich, S. 74. ↵

ZEK, Reglement I, Ziff. 4.1; vgl. dazu auch oben Teil 1, C.II.3.2. ↵

Folgende Ausführungen waren mindestens bis am 17. November 2021 online abrufbar: «Das DSG regelt nicht ausdrücklich, wie lange eine Auskunftei die Angaben zu Ihrer Kreditwürdigkeit bearbeiten darf. Es gilt der allgemeine Grundsatz der Verhältnismässigkeit: Demnach dürfen Personendaten nur so lange gespeichert bleiben, wie dies zur Prüfung der Kreditwürdigkeit einer Person notwendig ist. Verlangen Sie von der Auskunftei schriftlich darüber Auskunft, wie lange Ihre Daten gespeichert bleiben. Im Übrigen finden Sie weitere Informationen zu Aufbewahrungsfristen bei der Zentralstelle für Kreditinformation.» ↵

Damit sind gemäss ZEK, Reglement I, Ziff. 1, Karten zur Verwendung als bargeldlose Zahlungsmittel, mit oder ohne Kreditoption (jegliche Formen von Kredit‑, Kunden- und Zahlungsverkehrskarten) gemeint. ↵

Zum aDSG vgl. EDÖB, Teledata, S. 24 und 46 f.; zur DSGVO vgl. BfDI, Häufig gestellte Fragen zu Auskunfteien, abrufbar unter <https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Auskunfteien/FAQ-Auskunfteien.html>, zuletzt besucht am 30. September 2024; HBDI, Auskunfteien, S. 4. ↵

Vgl. dazu oben Teil 3, C.IV.4.1. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.a.bb. ↵

Nach dem Tod der betroffenen Person sind ihre Daten vom Datenschutzrecht nicht mehr erfasst (zum DSG BSK DSG-Drechsler, Art. 2 N 3; vgl. auch Art. 31 Abs. 1 ZGB; zur DSGVO EG 27 DSGVO; Klar/Kühling, in: Kühling/Buchner, Art. 4 Ziff. 1 N 5). ↵

Dass die Auskunftei diese Daten bloss für die Eventualität beschafft und speichert, dass sie eine betroffene Person etwa im Zusammenhang mit einer Auskunftsanfrage identifizieren muss, ist eine Frage der Verhältnismässigkeit in prinzipieller Hinsicht und lässt diese Bearbeitungen nicht unzulässig werden (vgl. dazu oben Teil 3, C.IV.2.2.a). ↵

Vgl. dazu unten Teil 3, C.IV.4.2.d.bb. ↵

Bearbeitet eine Auskunftei Daten, die nicht mehr aktuell sind, wirft dies auch Fragen der Datenrichtigkeit auf (vgl. dazu unten Teil 3, C.V.3.3). ↵

Zur DSGVO vgl. BfDI, Häufig gestellte Fragen zu Auskunfteien, abrufbar unter <https://​www.​bfdi.​bund.​de/DE/Buerger/Inhalte/Allgemein/Aus​kunf​tei​en/FAQ-Aus​kunf​tei​en.​html>, zuletzt besucht am 30. September 2024; HBDI, Auskunfteien, S. 4, die je festhalten, dass eine Auskunftei auch frühere Anschriften für die Identifikation verwenden dürfe, nicht aber für wie lange. ↵

Zum aDSG EDÖB, Teledata, S. 46 f., vgl. aber S. 24. ↵

Zum aDSG EDÖB, Teledata, S. 46 f., wonach die Auskunftei die Adressen der letzten zehn Jahre anzeigen und bei zwischen zehn und 20 Jahre zurückliegenden Adressen der Kreditgeberin, die mit einer alten Adresse anfrage, diese als alte Adresse bestätigen dürfe. ↵

Auch wenn es sich bei der letzten der Auskunftei bekannten Adresse nicht um die aktuelle Adresse des Schuldners handelt, dürfte diese Adresse als Ausgangspunkt genügen, um die aktuelle Adresse (anderweitig) ausfindig zu machen. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.b.aa.ii. ↵

Zum aDSG vgl. Cour d’appel civil VD, CACI 2012/17 vom 12. Januar 2012, in: JdT 2012 III, S. 197 ff., E. 8; Meier, Rn. 1682, wonach etwa eine 15 Jahre zurückliegende Betreibung nicht mehr relevant sei; strenger Cellina/Geissbühler, Jusletter 2015, Rn. 40. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.a und unten Teil 3, D.IV.1.2.c.bb.iii.3. ↵

Zum aDSG EDÖB, Teledata, S. 47; Hofer, in: Passadelis et al., Rn. 16.58. ↵

Zum aDSG EDÖB, Teledata, S. 24 f.; vgl. auch Hofer, in: Passadelis et al., Rn. 16.60. ↵

Die alten IG Wirtschaftsauskunfteien Verhaltensregeln 2020, Ziff. 9, gingen ohne diese Differenzierung von einer Aufbewahrungsfrist von 20 Jahren aus. Die revidierten IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 11, sehen nunmehr eine (generelle) Aufbewahrungsfrist von zehn Jahren vor. ↵

Zum aDSG EDÖB, Teledata, S. 48, vgl. auch S. 25, wonach sich diese Anzeigedauer rechtfertige, sofern und solange von der betroffenen Person Konkursverlustscheine vorliegen würden; diese Einschränkung liess der EDÖB in der Folge fallen. ↵

Zum aDSG vgl. Hofer, in: Passadelis et al., Rn. 16.61, der wegen der «grossen Nähe zu den Verlustscheindaten» für eine Dauer von 20 Jahren plädiert. ↵

Justizkommission Zug als Aufsichtsbehörde über Schuldbetreibung und Konkurs, Entscheid vom 4. Juni 2021, in: BlSchK 2011, S. 141 ff.; BSK SchKG-Peter, Art. 8a N 62. ↵

Vgl. ZEK, Reglement I, Ziff. 4.1, das eine zehnjährige Aufbewahrungsfrist für den Konkurs von natürlichen Personen vorsieht. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.b.bb.iii. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.a. ↵

Zum aDSG EDÖB, Teledata, S. 47, vgl. aber auch S. 24 f.; vgl. auch Hofer, in: Passadelis et al., Rn. 16.59. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.a. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.d.bb.i. ↵

BGer, 5A_679/2018 vom 17. Juni 2019, E. 3.1.2; BSK SchKG-Peter, Art. 8a N 60. ↵

BGer, 7B_88/2006 vom 19. September 2006, E. 2.2; SK SchKG-Schmid, Art. 149a N 15 und 17. ↵

BSK SchKG-Peter, Art. 8a N 36; vgl. auch BGer, Entscheid vom 21. Juli 1999, in: BlSchK 2000, S. 88 ff. ↵

Zum aDSG Hofer, in: Passadelis et al., Rn. 16.58 ff.; implizit a.M. in Bezug auf in Betreibung gesetzte Forderungen Rudin, Verhältnismässigkeit, S. 26. ↵

Zum aDSG Hofer, in: Passadelis et al., Rn. 16.61. Vgl. ZEK, Reglement I, Ziff. 4.1. ↵

Zum aDSG EDÖB, Teledata, S. 48. ↵

Zur DSGVO LG Wiesbaden, 2 O 237/18 vom 21. Februar 2019, in: BeckRS 2019, 11490, Rn. 10 f. ↵

Zur DSGVO vgl. Herbst, in: Kühling/Buchner, Art. 17 N 17; Reimer, in: Sydow/Marsch, Art. 5 N 42. ↵

Zur DSGVO BVGer Österreich, W176 2265088-1/10E vom 6. Oktober 2023, S. 29. ↵

Vgl. Rudin, Verhältnismässigkeit, S. 26. ↵

Zum aDSG Rudin, Verhältnismässigkeit, S. 24 f. ↵

Während etwa «erledigte Betreibungen» sowie «Zahlungsbefehl mit RV [d.h. Rechtsvorschlag]» zwei Jahre Geltung hatten, wurden «unzustellbare Betreibungen» und «Konkursandrohungen» für drei Jahre berücksichtigt (Rudin, Verhältnismässigkeit, S. 26 ff.). ↵

Zum aDSG vgl. Rudin, Verhältnismässigkeit, S. 26 f. und 31. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.1. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.2 und D.IV.1.2.c.bb.ii.3. ↵

Vgl. dazu oben Teil 2, C.I.1. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.a. ↵

27

Datenrichtigkeit

Allgemeines

Die Richtigkeit der bearbeiteten Daten liegt üblicherweise sowohl im Interesse der betroffenen Personen als auch des Verantwortlichen.[1] Dies ist gerade bei Auskunfteien augenscheinlich: Zum einen können falsche Auskünfte insbesondere dazu führen, dass eine kreditinteressierte Person zu Unrecht keinen Kredit erhält.[2] Zum anderen haben die Auskunfteien zur Erbringung einer vertrauenswürdigen Dienstleistung selbst ein erhebliches Interesse an einer möglichst guten Datenqualität, also an möglichst richtigen Daten.[3] Vor diesem Hintergrund sehen das schweizerische und das europäische Datenschutzrecht einen Richtigkeitsgrundsatz vor.

Während Art. 6 Abs. 5 Satz 1 DSG dem Verantwortlichen auferlegt, sich über die Richtigkeit der bearbeiteten Daten zu vergewissern, verlangt Art. 5 Abs. 1 lit. d Halbsatz 1 DSGVO, dass die verarbeiteten Daten sachlich richtig und erforderlichenfalls auf dem neusten Stand sind. Nach dem Wortlaut beider Erlasse muss der Verantwortliche angemessene Massnahmen treffen, damit die Daten unverzüglich gelöscht oder berichtigt werden, die im Hinblick auf den Bearbeitungszweck unrichtig sind (Art. 6 Abs. 5 Satz 2 DSG; Art. 5 Abs. 1 lit. d Halbsatz 2 DSGVO). Das DSG konkretisiert zusätzlich, dass die Angemessenheit der Massnahmen namentlich von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt, abhängt (Art. 6 Abs. 5 Satz 3 DSG).

Der Grundsatz verlangt vom Verantwortlichen letztlich «nur», angemessene Massnahmen zu ergreifen (nachfolgend 2.), damit die bearbeiteten Daten richtig, d.h. geeignet und passend, vollständig sowie aktuell, sind (nachfolgend 3.). Welche Massnahmen ein Verantwortlicher im Allgemeinen und eine Auskunftei im Besonderen ergreifen müssen, hängt vom Einzelfall ab (nachfolgend 4.). Dabei unterstehen nicht nur Tatsachenfeststellungen, sondern auch Werturteile dem Richtigkeitsgrundsatz (nachfolgend 5.).

Datenrichtigkeit als Pflicht zu angemessenen Massnahmen

Die Pflicht zu angemessenen Massnahmen nach DSG ist nicht eigenständig, sondern stellt eine einschränkende Konkretisierung der Pflicht dar, sich über die Bearbeitung richtiger Daten zu vergewissern.[4] Dies ergibt sich insbesondere aus den Materialien zum aDSG[5] sowie zum DSG. Gemäss den Kommissionsprotokollen zu letzterem sind (nicht erst zur Löschung oder Berichtigung unrichtiger Daten) angemessene Massnahmen erforderlich und soll mit dem neuen Art. 6 Abs. 5 Satz 3 DSG zur Angemessenheit die Vergewisserungspflicht (weiter) präzisiert werden.[6] Verlangt also der Richtigkeitsgrundsatz nur, aber immerhin angemessene Massnahmen gegen unrichtige Daten, stellt deren Bearbeitung allein keine Verletzung des Richtigkeitsgrundsatzes dar.[7]

Den Richtigkeitsgrundsatz in der DSGVO versteht zumindest ein Teil der Lehre[8] und offenbar die belgische Aufsichtsbehörde[9] ähnlich, nämlich als «obligation de moyens», und die Pflicht zu Massnahmen als Konkretisierung des Gebots der Verarbeitung richtiger Daten.[10] Dieses Verständnis entfernt sich hier freilich weiter vom Wortlaut des ersten Halbsatzes von Art. 5 Abs. 1 lit. d DSGVO, der die (in der Praxis kaum realisierbare) Garantie zu verlangen scheint, dass ausnahmslos richtige Daten verarbeitet werden. Halbsatz 2 von Art. 5 Abs. 1 lit. d DSGVO wird indes (auch hier) als einschränkende Konkretisierung zu verstehen sein. Denn Halbsatz 1 lässt sich als Zielvorgabe, Halbsatz 2 als Mittelvorgabe zur Erreichung dieses Ziels lesen. Zudem hätte sonst Halbsatz 2 (zumindest für Verantwortliche[11]) neben dem Erfordernis des Datenschutzes durch Technikgestaltung, das zu Massnahmen zwecks wirksamer Umsetzung der Grundsätze anhält (sog. Privacy by Design; Art. 25 Abs. 1 DSGVO), kaum eine eigenständige Bedeutung. Der Richtigkeitsgrundsatz ist daher auch in der DSGVO als Pflicht zu angemessenen Massnahmen zugunsten der Datenrichtigkeit zu verstehen. Diese werden sich nicht nur auf die unverzügliche Löschung und Berichtigung unrichtiger Daten richten müssen, auch wenn die DSGVO diese Massnahmenausrichtung hervorhebt. Bei diesem Verständnis ist der Grundsatz – wie unter dem DSG – nicht schon deshalb verletzt, weil unrichtige Daten verarbeitet werden.[12]

Trotzdem wird die Bearbeitung von Daten, die (mit Blick auf den Bearbeitungszweck[13]) unrichtig sind, unter beiden Erlassen gegen einen Bearbeitungsgrundsatz verstossen,[14] insbesondere weil sich die Daten deswegen als ungeeignet erweisen und die Bearbeitung sodann den Verhältnismässigkeitsgrundsatz verletzt.[15] Umgekehrt leitet sich aus dem Verständnis als Pflicht zum Ergreifen von Massnahmen ab, dass der Grundsatz bereits verletzt ist, wenn im konkreten Fall angemessene Massnahmen fehlen; die Bearbeitung unrichtiger Daten ist nicht zusätzlich erforderlich.[16] Dies klingt in der Formulierung des schweizerischen Rechts mehr an, die schon an der Vergewisserung über die Richtigkeit ansetzt (Art. 6 Abs. 5 Satz 1 DSG). Doch muss dies auch im europäischen Recht gelten, wenn der Grundsatz als generelle Pflicht zu angemessenen Massnahmen zugunsten der Richtigkeit verstanden wird. Die Rechtslage steht denn auch im Einklang mit jener beim Datensicherheitsgrundsatz, der eine ähnliche Struktur aufweist:[17] Fehlende oder mangelhafte Massnahmen stellen eine Grundsatzverletzung dar; eine Verletzung der Datensicherheit i.S.v. Art. 5 lit. h DSG bzw. Art. 4 Ziff. 12 DSGVO ist nicht vorausgesetzt.[18]

Elemente der Richtigkeit

«Genauigkeit»

Wie die Formulierungen des Richtigkeitsgrundsatzes zum Ausdruck bringen, ist die Richtigkeit relativ zu verstehen: Sie beurteilt sich mit Blick auf den Bearbeitungszweck und verlangt eine Betrachtung des konkreten Zusammenhangs.[19] Während der deutsche Begriff der Richtigkeit fälschlicherweise ein binäres Verständnis, richtig oder falsch, indiziert,[20] deuten die französische und italienische «exactitude» bzw. «esattezza» sowie (in der DSGVO) die englische «accuracy» zutreffend auf einen relativen Begriff der Genauigkeit hin.[21] Unrichtig können daher ein (an sich) falsches Datum wie eine zu Kontaktzwecken beschaffte E-Mail-Adresse mit Tippfehlern, aber auch ein (an sich) richtiges Datum sein, das für den Zweck ungeeignet erscheint,[22] z.B. eine Mobiltelefonnummer zur Beurteilung der Kreditwürdigkeit.

Die Relativität führt auch dazu, dass ein Datum in Bezug auf einen Zweck richtig, einen anderen hingegen unrichtig sein kann.[23] Erfasst ein Einzelhandelsunternehmen den Namen einer bundesrätlichen Adressatin zum Versand (gewünschter) postalischer Werbung mit «Beller-Futter», ist dieses Datum falsch. Schreibt hingegen ein Prüfling in seiner Antwort eines der sieben Mitglieder des Bundesrates heisse «Beller-Futter», ist das Datum richtig. Es gibt zwar eine Tatsache falsch wieder, dessen Bearbeitung dient hier aber der Beurteilung der Kenntnisse und Fähigkeiten des Prüflings zum Prüfungszeitpunkt.[24]

Vollständigkeit

Herleitung

Während Art. 6 Abs. 5 DSG auch angemessene Massnahmen gegen unvollständige Daten verlangt, nennt der Wortlaut von Art. 5 Abs. 1 lit. d DSGVO die Vollständigkeit nicht als Vorgabe. Trotzdem geht die herrschende Lehre zum europäischen Recht davon aus, dass – wie im schweizerischen Recht[25] – die Bearbeitung von (an sich) richtigen Daten den Bearbeitungsgrundsatz verletzen kann, wenn die Daten aufgrund fehlender Informationen ein falsches Gesamtbild abgeben und daher irreführend sind.[26]

Art. 6 Abs. 1 lit. d DSRL hielt noch (ähnlich wie das schweizerische Recht) fest, dass alle angemessenen Massnahmen zu treffen sind, damit im Hinblick auf den Zweck, für die sie erhoben oder weiterverarbeitet werden, nicht zutreffende oder unvollständige Daten gelöscht oder berichtigt werden. In der Begründung ihres Entwurfs der DSGVO führt die Kommission aus, dass Art. 5 DSGVO die Grundsätze niederlege, die denen in Art. 6 DSRL – abgesehen von neu hinzutretenden Grundsätzen – entsprechen würden.[27] Daher lässt sich aus dem fehlenden Hinweis im Wortlaut nicht ohne Weiteres ableiten, dass der Grundsatz unter der DSGVO keine Vollständigkeit verlangt.

Im Gegenteil spricht das kontextabhängige Richtigkeitsverständnis, das den Grundsatz generell charakterisiert, für eine Vollständigkeitsvorgabe. Kann die Verarbeitung (an sich) richtiger Daten gegen den Grundsatz verstossen, weil sie in Bezug auf einen Verarbeitungszweck unpassend oder ungeeignet sind,[28] erscheint es nur konsequent, dass der Grundsatz auch die Verarbeitung von zu einem falschen Gesamteindruck führenden, (an sich) richtigen Daten erfasst. Ausserdem lässt sich Art. 16 DSGVO über das Berichtigungsrecht als Hinweis werten, dass die DSGVO mit der Richtigkeit auch die Vollständigkeit meint.[29] Diese Bestimmung erlaubt nämlich nicht nur, die Berichtigung im herkömmlichen Sinne zu verlangen, sondern umfasst auch das Recht, unvollständige personenbezogene Daten zu vervollständigen bzw. vervollständigen zu lassen.

Tragweite

Wie sich aus dem Gesagten und insbesondere dem relativen Verständnis der Datenrichtigkeit ergibt, verlangt die Vorgabe der Vollständigkeit die Bearbeitung von Daten, die im Hinblick auf den Zweck den Gesamtzusammenhang richtig wiedergeben und nicht irreführend sind.[30] Der Richtigkeitsgrundsatz verbietet indes – wie erwähnt – nicht die Bearbeitung unrichtiger, also etwa auch unvollständiger Daten, sondern erfordert bloss angemessene Massnahmen zur Erreichung seiner Vorgaben. Berücksichtigt z.B. eine Auskunftei in einem Kreditscore einige positive Zahlungserfahrungen (mangels oder trotz deren Vorliegens) nicht und geht daher von einer verzerrten Grundlage aus, verletzt sie nicht schon deswegen den Richtigkeitsgrundsatz.[31]

Um ein von den vorliegenden Daten abgegebenes irreführendes oder falsches Gesamtbild zu beseitigen, könnten sich aus dem Richtigkeitsgrundsatz zwei alternative Vorgaben ableiten. Entweder hat der Verantwortliche die bereits vorliegenden Daten zu löschen oder er hat weitere Daten zu beschaffen, um den Gesamtzusammenhang richtig wiederzugeben. Im Moneyhouse-Entscheid dürfte sich das Bundesverwaltungsgericht für die Beschaffung ausgesprochen haben; denn «vergewissern» nach dem Richtigkeitsgrundsatz bedeute unter anderem, «alle im Rahmen des Bearbeitungszwecks erforderlichen Daten zu erheben».[32] Ferner räumt die Botschaft (zu Recht) der Ergänzung unrichtiger Daten die Priorität gegenüber deren Löschung ein, wenn sie festhält, dass Daten, die nicht korrigiert oder ergänzt werden könnten, zu löschen oder zu vernichten seien.[33] Auch unter der DSGVO vermag der Grundsatz die Beschaffung von Daten zwecks Vervollständigung der (sonst) unrichtigen Daten zu verlangen.[34] Und auch hier wird die Vervollständigung der Löschung vorgehen müssen. Zwar würde der umgekehrte Vorrang der Datensparsamkeit besser gerecht werden; dieser wäre aber kaum sachgerecht und praktikabel, zumal es dem Verantwortlichen bei komplexerer Sachlage nicht immer möglich sein wird, sich gleich anhand der mit einer ersten Beschaffung erhobenen Daten ein richtiges Gesamtbild zu verschaffen.

Der Verantwortliche ist demnach gehalten, mit angemessenen Massnahmen, erforderlichenfalls mit gezielten Beschaffungen, darauf hinzuwirken, dass er Daten bearbeitet, die den Gesamtzusammenhang richtig wiedergeben, also vorliegend die Kreditwürdigkeit korrekt repräsentieren. Diese sich aus der Datenrichtigkeit ergebende «Vervollständigungsobliegenheit» ist nicht unbegrenzt. Vielmehr erlaubt sie – wie es das Bundesverwaltungsgericht zutreffend antönte[35] – lediglich die Beschaffung im Rahmen des Verhältnismässigkeitsgrundsatzes, der den Verantwortlichen insbesondere auf die für den Bearbeitungszweck erforderlichen Daten beschränkt.[36] Weiss der Verantwortliche, dass ihm die für den Zweck vernünftigerweise benötigten Daten fehlen oder ist die ihm vorliegende Datengrundlage dafür offensichtlich unzureichend, erscheint es eine (zwingende) angemessene Massnahme, dass er die Daten zu diesem Zweck (vorerst) nicht verwendet.[37] Insofern ist es beispielsweise unzulässig, wenn eine Auskunftei einer betroffenen Person trotz (sonst) fehlender Bonitätsdaten eine zweifelhafte Kreditwürdigkeit attestiert.[38]

Aktualität

Während Art. 5 Abs. 1 lit. d DSGVO festhält, dass personenbezogene Daten erforderlichenfalls auf dem neusten Stand sein müssen, verlangt Art. 6 Abs. 5 DSG die Aktualität nicht ausdrücklich. Die Botschaft zum aDSG und ihr folgend der EDÖB hielten indes fest, dass die Richtigkeit auch voraussetze, dass Daten, soweit in einem bestimmten Sachzusammenhang erforderlich, nachgeführt würden.[39] Auch das Bundesverwaltungsgericht anerkannte unter altem Recht das Element der Aktualität.[40] Dies erscheint nur logisch, nachdem die Aktualität nicht mehr als die Richtigkeit in zeitlicher Hinsicht darstellt, und entspricht im Übrigen der Ansicht der (überwiegenden) schweizerischen Lehre.[41]

Aus der Aktualitätsvorgabe ergibt sich für den Verantwortlichen eine Nachführungspflicht,[42] die indes nicht uneingeschränkt gilt. Zum einen sind angesichts des relativen Verständnisses der Richtigkeit Informationen davon ausgenommen, die sich auf einen bestimmten Zeitpunkt beziehen (und unter Berücksichtigung dessen bearbeitet werden); sie werden nicht deshalb unrichtig, weil sich die Verhältnisse ändern.[43] Das Bundesgericht sprach in diesem Zusammenhang von Informationen, die im Sinne einer «Momentaufnahme» richtig seien. So werde der zu einem bestimmten Zeitpunkt bestehende und in den Akten festgehaltene Verdacht eines vorgetäuschten Verkehrsunfalls nicht dadurch unrichtig, dass sich der Verdacht später als falsch erweise.[44] Die DSGVO hält dies ausdrücklich fest; Daten müssen bloss «erforderlichenfalls auf dem neusten Stand sein» (Art. 5 Abs. 1 lit. d Halbsatz 1 DSGVO).[45] Zum anderen ruft der Grundsatz den Verantwortlichen auch hier bloss zu angemessenen Massnahmen auf, sodass die Daten lediglich insoweit nachzuführen sind, als sich dies angesichts der Umstände als angemessen erweist.[46]

Dies hat dennoch zur Folge, dass ein Verantwortlicher Daten nicht grundsatzkonform bearbeiten kann, wenn der verfolgte Bearbeitungszweck eine Aktualisierung erfordert, er aber überhaupt keine geeigneten (und zulässigen) Massnahmen ergreift bzw. ergreifen kann, um allfällige Änderungen in Erfahrung zu bringen. So sah etwa die spanische Aufsichtsbehörde den Richtigkeitsgrundsatz verletzt, weil eine Auskunftei aus öffentlichen Registern Angaben über Schulden beschaffte und anschliessend (für einen Zeitraum von sechs Jahren) zwecks Kreditwürdigkeitsbeurteilungen verwendete, die Tilgung oder anderweitige Erlöschung der Schuld indes nicht überprüfte bzw. mangels Kontakts mit den betroffenen Personen oder der zuständigen Verwaltung überprüfen konnte.[47]

Angemessene Massnahmen

Im Allgemeinen

Massnahmen

In der Wahl der Massnahmen zur Gewährleistung der Datenrichtigkeit ist der Verantwortliche grundsätzlich frei.[48] Dies ergibt sich aus der offenen Formulierung des Richtigkeitsgrundsatzes und entspricht im Anwendungsbereich des DSG der bundesverwaltungsgerichtlichen Rechtsprechung.[49] Die DSGVO erwähnt (einzig) in Bezug auf das Profiling bzw. automatisierte Entscheidungen Massnahmen für die Datenrichtigkeit, konkretisiert diese indes kaum: EG 71 Satz 6 DSGVO verlangt technische oder organisatorische Massnahmen, mit denen in geeigneter Weise insbesondere sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird. Wie die DSGVO hiermit richtig zum Ausdruck bringt, können und sollten die Massnahmen bereits bei der Verhinderung unrichtiger Daten ansetzen.[50] Dies spiegelt der Wortlaut des DSG nicht, da er nur, aber immerhin Massnahmen gegen bereits bestehende unrichtige Daten anspricht. Wird indes die Pflicht zu angemessenen Massnahmen – wie hier[51] – als Konkretisierung der Vergewisserungspflicht betrachtet, so sind auch (präventive) Massnahmen angezeigt, die sich bereits gegen die Entstehung und Beschaffung unrichtiger Daten richten.[52] Dies lässt sich im Übrigen unter beiden Erlassen auf den Gedanken von Privacy by Design stützen (Art. 7 Abs. 1 und 2 DSG; Art. 25 Abs. 1 DSGVO).

Insofern können Massnahmen bereits vor der Datenbeschaffung ansetzen (etwa bei der Gestaltung der Datenbanken), zum Zeitpunkt der Beschaffung implementiert sein (z.B. als Plausibilitätskontrolle in IT-Systemen) oder durch nachträgliche Kontrolle erfolgen.[53] Je nach Umständen kann der Verantwortliche auch verpflichtet sein, die Richtigkeit der Daten aktiv und anlassunabhängig zu überprüfen,[54] etwa im Rahmen einer strichprobenmässigen Überprüfung wie sie Auskunfteien vornehmen (müssen).[55] Ferner ergreifen schweizerische Auskunfteien gemäss dem bundesrätlichen Bericht zugunsten der Datenrichtigkeit etwa Massnahmen wie die automatisierte Aktualisierung und Bereinigung ihrer Datenbanken, Plausibilitätsprüfungen, manuelle Überprüfungen in Zweifelsfällen und den Einsatz von Datenquality-Teams.[56] Selbstverständlich stehen den betroffenen Personen zudem bei gegebenen Voraussetzungen ein Berichtigungs- und/oder ein Löschungsrecht hinsichtlich unrichtiger Daten zu; nachdem diese Rechte indes von Gesetzes wegen bestehen, können sie (im gesetzlichen Umfang) nicht als eine vom Verantwortlichen ergriffene Massnahme zählen.[57]

Angemessenheit

Welche Massnahmen im Einzelfall angemessen sind, beurteilt sich nach der Art und dem Umfang der Bearbeitung sowie deren Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person.[58] Dies hält für das schweizerische Recht der erst im Parlament eingefügte Art. 6 Abs. 5 Satz 3 DSG ausdrücklich fest, dessen Formulierung im Wesentlichen aus Art. 7 Abs. 2 DSG betreffend Privacy by Design übernommen wurde.[59] Der Gesetzgeber bezweckte damit lediglich, die ohnehin für die Angemessenheit massgebenden Grundsätze der Risikobasiertheit und der Verhältnismässigkeit[60] zu präzisieren.[61] So hielt denn auch der Bundesrat in seiner Botschaft bereits fest, dass sich die Angemessenheit im Einzelfall bestimme und insbesondere vom Zweck und Umfang der Bearbeitung sowie von der Art der bearbeiteten Daten abhänge.[62]

Ähnliche Faktoren greifen die Lehre und die Behörden mit Blick auf EG 39 Satz 11 DSGVO, der «vertretbare Schritte» verlangt, auch für die Angemessenheit der Massnahmen unter der DSGVO auf.[63] Überdies berücksichtigt die Lehre zuweilen auch die Interessen des Verantwortlichen, wie etwa die durch die Massnahmen entstehenden Kosten.[64] Dies erscheint auch unter dem DSG angezeigt,[65] da die Faktoren in Art. 6 Abs. 5 Satz 3 DSG nicht abschliessend aufgelistet sind («namentlich») und sich für eine Verhältnismässigkeitsprüfung auch dieser Faktor aufdrängt.[66] Auch das Bundesverwaltungsgericht berücksichtigte im Moneyhouse-Entscheid den mit den Massnahmen verbundenen zeitlichen bzw. personellen Mehraufwand für den Verantwortlichen.[67]

Mit Art und Umfang der Bearbeitung meint Art. 6 Abs. 5 Satz 3 DSG insbesondere, ob die Daten manuell oder automatisiert, wie lange und oft sie bearbeitet werden, ob sie bekanntgegeben werden und wie viele Daten erfasst sind.[68] Auch wenn die Lehre und Praxis diese für eine Bearbeitung charakteristischen Parameter bisher – soweit ersichtlich – nicht im Einzelnen aufgegriffen haben, spricht nichts dagegen, auch unter der DSGVO auf sie abzustellen. Zu berücksichtigen ist zudem unter beiden Erlassen die Bearbeitung von (besonders schützenswerten) Daten i.S.v. Art. 5 lit. c DSG bzw. Art. 9 Abs. 1 DSGVO[69] sowie die allfällige Vornahme von Profiling oder automatisierten Entscheidungen.[70] Zwar hat sich der schweizerische Gesetzgeber mit der Zweiteilung des Profilings (mit bzw. ohne hohes Risiko) dafür ausgesprochen, dass nicht jedes Profiling (durch eine private Person) heikel ist.[71] Dennoch werden sich beim Profiling mit Blick auf das begriffsnotwendige Bewerten persönlicher Aspekte und dem damit verbundenen Generieren von Daten besondere Massnahmen aufdrängen.[72] Ob unrichtige Daten bei automatisierten Entscheidungen (im Vergleich zu manuellen oder teil-automatisierten) besonders problematisch sind, ist streitbar;[73] dieser Ansicht scheint aber jedenfalls der Bundesrat zu sein.[74] Unter der DSGVO lässt sich überdies EG 71 Satz 6 DSGVO[75] als Hinweis auf strengere Anforderungen betrachten, nachdem der Erwägungsgrund im Zusammenhang mit Profiling und automatisierten Entscheidungen[76] Massnahmen zugunsten der Datenrichtigkeit besonders hervorhebt.

Letztlich wichtiger als Art und Umfang der Datenbearbeitung ist das daraus entstehende Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen.[77] Für die hier interessierenden privaten Bearbeiter ist unter dem DSG das Risiko für die Persönlichkeit relevant,[78] wobei im Ergebnis kaum ein Unterschied auszumachen sein wird, wenn stattdessen das Risiko hinsichtlich der Grundrechte, etwa jenes auf informationelle Selbstbestimmung oder (im europäischen Recht) auf Datenschutz, betrachtet wird (sofern von deren Anwendbarkeit gegenüber Privaten ausgegangen wird). Wie auch die Praxis zeigt, geht es ohnehin mehr um eine Prüfung, inwiefern die Bearbeitung unrichtiger Daten generell die Interessen der betroffenen Personen beeinträchtigen kann.[79] Dabei bemisst sich das Risiko – wie bei anderen Risikobewertungen, etwa im Rahmen einer Datenschutz-Folgenabschätzung[80] – nach der Eintrittswahrscheinlichkeit und der Schwere der potenziellen negativen Folgen.[81]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Angemessenheit

Für das Kreditscoring bearbeiten Auskunfteien Daten automatisiert. Sie beabsichtigen, ein möglichst zuverlässiges Bild über die Kreditwürdigkeit kreditinteressierter Personen abzugeben und beschaffen daher tendenziell viele Daten. Dabei handelt es sich zwar üblicherweise nicht um besonders schützenswerte bzw. besondere Kategorien personenbezogener Daten,[82] dafür aber (auch) um Finanzdaten, die sich als vergleichsweise heikel betrachten lassen.[83] Die Auskunfteien speichern sodann die Daten – womöglich teilweise über zehn Jahre – für den eventuellen Fall, dass eine Kreditgeberin Auskunft über die Kreditwürdigkeit einer Person ersucht, und geben dieser sodann Bonitätsdaten (regelmässig samt Kreditscore) bekannt. Zur Berechnung des Kreditscores nehmen Auskunfteien – wie erwähnt[84] – ein Profiling vor. Art und Umfang der Datenbearbeitung weisen also auf hohe Anforderungen an die von Auskunfteien zu ergreifenden Massnahmen zugunsten der Datenrichtigkeit hin.[85]

Der Fokus der (schweizerischen) Praxis bei der Beurteilung der Angemessenheit der durch Auskunfteien ergriffenen Massnahmen lag bisher allerdings auf dem Risiko für die Persönlichkeit der betroffenen Personen. Zu diesem Zweck lässt sich die Eintrittswahrscheinlichkeit anhand der Fehlerhäufigkeit im Verhältnis zu den erteilten Bonitätsauskünften ungefähr bestimmen.[86] Da es im Verhältnis zur hohen Anzahl der Auskünfte offenbar nur wenige Hinweise auf unrichtige Daten gibt, ist die Eintrittswahrscheinlichkeit bei schweizerischen Auskunfteien (üblicherweise) als gering einzuschätzen.[87] Als potenzielle negative Folge ist im Wesentlichen zu berücksichtigen, dass die betroffene Person (unberechtigterweise) einen schlechten Kreditscore erhält und sodann schlimmstenfalls gar keine oder nur noch erschwert Kreditgeschäfte tätigen kann.[88] Daraus ergibt sich für den EDÖB, dass bei Auskunfteien hohe Anforderungen an die Richtigkeit zu stellen sind. Denn die Folge könne eine erhebliche Persönlichkeitsverletzung darstellen, insbesondere wenn gewisse Verträge wegen einer unberechtigterweise negativ eingeschätzten Bonität abgelehnt würden und deshalb zwecks Korrektur Anstrengungen unternommen werden müssten.[89]

Dem ist entgegenzuhalten, dass ein negativer Kreditscore lediglich Geschäfte mit kreditorischem Risiko erschwert oder verunmöglicht, nicht Verträge oder Geschäfte generell. In vielen Fällen wird die Kreditgeberin auch bereit sein, dasselbe Geschäft ohne Kredit einzugehen, etwa einen Kaufvertrag auf Vorkasse statt auf Rechnung, sodass die betroffene Person die Leistung grundsätzlich noch immer beziehen kann.[90] Diese Aspekte sind relativierend zu berücksichtigen. Dennoch kann eine negative Bonitätsauskunft die betroffene Person freilich in verschiedenen Lebensbereichen – neben den Bestellungen im Online-Shop, beispielsweise auch beim Abschluss eines Telekommunikations- oder Mietvertrags – einschränken. Zudem droht trotz (etwa dank Datenschutzerklärungen) bestehender Transparenz die Gefahr, dass die falsche Auskunft als Ursache der Einschränkungen (zunächst) unerkannt bleibt. Vor diesem Hintergrund sind auch wegen des Risikos grundsätzlich hohe Anforderungen an die Datenrichtigkeit zu stellen.

Massnahmen

Auskunfteien sind wie andere Verantwortliche in der Wahl der Massnahmen zugunsten der Datenrichtigkeit grundsätzlich frei. Aufgrund ihrer charakteristischen Geschäftstätigkeit und den bei ihnen anzusetzenden hohen Anforderungen drängen sich allerdings bestimmte Massnahmen geradezu auf, die im Folgenden zu besprechen sind. Daneben kommen etwa personelle Massnahmen im Bereich der Datenqualität und Compliance, eine logisch aufgebaute IT-Struktur, regelmässige Datenabgleiche bzw. periodische Bereinigungen der Datenbestände sowie manuelle Nachkontrollen von Identifikationen und grösseren Datenimporten (auch) bei Auskunfteien als Massnahmen in Frage.[91]

Auswahl und Absicherung der Datenquellen

Lehre und Praxis

Auskunfteien erheben die für ihre Kreditwürdigkeitsbeurteilungen erforderlichen Daten aus verschiedenen Quellen, darunter Zahlungserfahrungen bei den Kreditgeberinnen oder Adressen bei Adresshändlern.[92] Die Datenrichtigkeit gebietet daher nach einer Lehrmeinung zum aDSG, dass Auskunfteien ihre Datenlieferanten sorgfältig auswählen und sich über deren Datenqualität vergewissern.[93] Auch der EDÖB bemängelte in einer Empfehlung «fehlende Massnahmen zu Beginn der Datenbearbeitung» und erachtete den Richtigkeitsgrundsatz als von der Auskunftei verletzt, weil sie sich vom privaten Datenlieferanten die Richtigkeit der gelieferten Adressdaten nicht habe vertraglich bestätigen lassen und auch keine (vom EDÖB nicht weiter erläuterten) Plausibilisierungsmassnahmen ergriffen habe.[94]

Zur DSGVO (des Vereinigten Königreichs[95]) hielt die britische Aufsichtsbehörde fest, dass der Verantwortliche insbesondere die Daten und die dazugehörige Quelle richtig erfassen und vertretbare Schritte für die Richtigkeit unternehmen müsse.[96] Der beschaffende Verantwortliche dürfe vernünftigerweise von richtigen Daten ausgehen, wenn die Datenquelle als vertrauenswürdig bekannt sei und es keine Anzeichen für Fehler gebe.[97] Dies stützt im Wesentlichen auch eine Lehrmeinung, die eine Überprüfung der Richtigkeit lediglich verlangt, wenn ein besonderer Anlass besteht, namentlich wenn sich Zweifel an der Richtigkeit der übermittelten Daten aufdrängen oder die betroffene Person dies verlangt.[98] Zudem sei eine Vereinbarung mit dem (privaten) Datenlieferanten zu schliessen, in der das Risiko einer Übermittlung unrichtiger Daten minimiert und die Wiedergutmachung von Schäden der betroffenen Personen infolge von «Falschmeldungen» vorzusehen sei.[99] Alternativ postuliert die Lehre auch Schlüssigkeitsüberprüfungen,[100] welche (zumindest begrifflich) an die vom EDÖB angesprochenen Plausibilisierungsmassnahmen erinnern.

Nach einer strengeren Lehrmeinung (zum aDSG) vermag die Auskunftei die von (gewissen) Datenlieferanten beschafften Daten nicht zu überprüfen und deren Richtigkeit nicht vernünftig nachzuweisen, weshalb die Bearbeitung zu unterbleiben habe.[101] Die Auskunftei müsse nämlich der Kreditgeberin oder dem anderen Dritten, der ihm die Daten liefere, blindlings vertrauen; dabei sei die Objektivität gerade einer Kreditgeberin aufgrund ihres eigenen Interesses hinsichtlich der (behaupteten) Forderung fraglich.[102] In diese Richtung liesse sich allenfalls auch die bereits zitierte Entscheidung der spanischen Aufsichtsbehörde weiterdenken.[103] Wenn die Behörde eine Grundsatzverletzung annimmt, weil die Auskunftei die Aktualität der von ihr aus öffentlichen Registern beschafften Angaben über Schulden nicht (selbst) zu prüfen vermochte,[104] könnte aus Sicht der Behörde auch die fehlende Überprüfbarkeit der (initialen) Richtigkeit von aus Drittquellen beschafften Daten den Grundsatz verletzen.

Würdigung

Für die spanische Aufsichtsbehörde war entscheidend, dass die Auskunftei keine Massnahmen zur Überprüfung traf, insbesondere nicht aktualisierte Daten bei den betroffenen Personen oder der zuständigen Behörde beschaffte.[105] Dies wäre die einzige Möglichkeit gewesen, die Aktualität der Angaben über Schulden sicherzustellen. Insofern unterscheidet sich die Aktualität von der initialen Richtigkeit, zu deren Gewährleistung weitere Massnahmen denkbar sind. Wie festgehalten,[106] verlangt der Richtigkeitsgrundsatz denn auch keine absolute Richtigkeit, sondern angemessene Massnahmen. Zudem würde der Geschäftsverkehr in der heutigen, arbeitsteiligen Wirtschaft (nicht nur im Kreditbereich) erheblich gestört, wenn ein Verantwortlicher ohne besonderen Anlass die Richtigkeit indirekt beschaffter Daten selbst überprüfen und, wenn er dies nicht kann, auf deren Bearbeitung verzichten müsste. Im Gegenteil spricht auch das allgemeine Vertrauensprinzip dafür, dass grundsätzlich von der Richtigkeit ausgegangen werden darf. Es müssen daher – auch für die Bearbeitung von bei Kreditgeberinnen beschafften Daten – (anderweitige) Massnahmen genügen.

Unter dem DSG und der DSGVO wird die Auskunftei zwecks Prüfung der Vertrauenswürdigkeit nicht umhinkommen, vorgängige Abklärungen über den Datenlieferanten zu treffen, also eine sorgfältige Auswahl vorzunehmen. Greift die Auskunftei auf erkennbar unzuverlässige Datenquellen zurück, wird sie den Richtigkeitsgrundsatz verletzen; vorbehalten bleibt der unwahrscheinliche Fall, dass sie sämtliche aus der betreffenden Quelle beschafften Daten prüft. Auch wenn der Grundsatz keine spezifischen Massnahmen vorgibt, drängt sich bei Auskunfteien geradezu auf, dass sie sich von (privaten) Datenlieferanten die Richtigkeit der gelieferten Daten – und nicht nur angemessene Massnahmen zu diesem Zweck – zusichern lassen. Grund dafür ist insbesondere, dass die Auskunfteien die beschafften Daten, etwa Zahlungserfahrungen von Kreditgeberinnen, vielfach nicht selbst überprüfen können.[107] Damit diese Pflicht nicht wirkungslos bleibt, ist sie abzusichern, etwa mit einer Konventionalstrafe.[108]

Bei öffentlichen Quellen wie dem Betreibungs‑, Handels- oder Einwohnerregister wird eine vertragliche Verpflichtung des «Datenlieferanten» auf die Richtigkeit vielfach nicht einzuholen sein. Dies erscheint indes bei öffentlichen Quellen mit amtlicher Führung auch nicht erforderlich; jedenfalls monierten weder der EDÖB noch die spanische Aufsichtsbehörde, dass eine entsprechende Vereinbarung bei solchen Datenquellen fehlte.[109] Diese Datenquellen sind als vertrauenswürdig zu betrachten, was das schweizerische Recht denn auch hinsichtlich des Betreibungsregisters und öffentlicher Register des Bundeszivilrechts[110] wie des Handelsregisters explizit zum Ausdruck bringt, indem es die Richtigkeit der Registerinhalte vermutet (vgl. Art. 8 Abs. 2 SchKG; Art. 9 Abs. 1 ZGB).[111] Vor diesem Hintergrund drängen sich bei amtlich geführten öffentlichen Quellen (auch unter der DSGVO) keine weiteren Massnahmen zur Absicherung der Richtigkeit auf. Dies bedeutet allerdings nicht, dass die Auskunftei keine Massnahmen ergreifen muss, um die Daten aktuell zu halten. Dafür empfiehlt sich etwa die Beobachtung von Mutationen oder, wenn dies nicht möglich ist, die Löschung von Daten.

Anwendung einer Matching-Logik

In der Praxis bereitet den schweizerischen Auskunfteien die Identifikation der betroffenen Person zuweilen Schwierigkeiten, wie Verfahren des EDÖB sowie Medienberichte illustrieren.[112] Gemäss dem bundesrätlichen Bericht über die Wirtschaftsauskunfteien handelt es sich bei der Falschidentifikation der betroffenen Person und der damit einhergehenden falschen Zuordnung von Daten gar um die grösste Fehlerquelle der Geschäftspraxis der Auskunfteien.[113] Auch der EDÖB hat unlängst eine Sachverhaltsabklärung betreffend eine Auskunftei abgeschlossen, bei der es aufgrund von Personenverwechslungen zur Speicherung und Bekanntgabe von unzutreffenden negativen Bonitätsauskünften kam.[114]

Eine Massnahme, um die Identifikation der betroffenen Personen zu verbessern, ist der Einsatz einer sog. Matching-Logik. Dabei handelt es sich um definierte Regeln über die Voraussetzungen, unter denen die Auskunftei davon ausgeht, dass verschiedene Datensätze zur selben Person gehören.[115] Wie ähnlich zwei Datensätze in Bezug auf ein Merkmal sein müssen, damit diesbezüglich von einer Übereinstimmung ausgegangen wird, legen die Matching-Regeln fest. Sie verlangen keine vollständige Übereinstimmung bei jedem für die Identifikation verwendeten Merkmal wie Name, Geburtsdatum, Wohnort etc. Diese Fehlertoleranz erlaubt es, Daten auch dann richtig zu verknüpfen, wenn bestimmte Angaben nicht vollständig übereinstimmen, etwa wegen Tippfehlern, nicht gemeldeten Umzügen oder Namenswechseln.[116] Wenn sich der eingehende Datensatz mit der Matching-Logik keinem bestehenden Datensatz zuordnen lässt, gilt eine Person als unbekannt und eine Bonitätsabfrage schlägt fehl.[117]

Die Matching-Logik verringert die Wahrscheinlichkeit, dass die Auskunftei die betroffene Person irrtümlich als unbekannt einstuft und deshalb Daten nicht richtig zuordnet oder die betroffene Person – gegebenenfalls trotz positiver Kreditwürdigkeit – kein Kreditgeschäft abschliessen kann.[118] Gleichzeitig kann die Matching-Logik auch Fehler verursachen, wenn nämlich Merkmale fehlen oder die vorhandenen Merkmale im Rahmen der Fehlertoleranz abweichen, sodass die Auskunftei einer Person fälschlicherweise die Bonitätsdaten einer anderen Person zuordnet.[119] Nach Angaben einer schweizerischen Auskunftei kommt es ohne Matching-Logik allerdings zu weit mehr Fehlern.[120] Neben der Datenrichtigkeit dient die Matching-Logik auch dazu, Betrüge bei Online-Bestellungen zu verhindern, bei denen der Täter mit einer abweichenden Schreibweise oder mit falschen Angaben versucht, eine negative Kreditwürdigkeitsbeurteilung zu umgehen und (auf Rechnung) bestellen zu können.[121]

Im Rahmen der erwähnten Sachverhaltsabklärung befasste sich der EDÖB unter anderem mit der Matching-Logik. Er befand die verschiedenen ergriffenen Massnahmen zugunsten der Datenrichtigkeit insgesamt als ausreichend, hielt aber nicht fest, dass eine Matching-Logik zwingend sei.[122] Die Lehre und Praxis zur DSGVO äusserten sich – soweit ersichtlich – zu dieser Massnahme von Auskunfteien bisher nicht. Nachdem die Identifikation Auskunfteien aber offenbar Schwierigkeiten bereitet und die Folgen einer falschen Einstufung als unbekannt für die betroffene Person einschneidend sein können, empfiehlt sich für Auskunfteien unter dem DSG und der DSGVO, eine Matching-Logik einzusetzen. Dabei ist sicherzustellen, dass die Matching-Logik gut kalibriert ist und jedenfalls erheblich mehr Fehler verhindert als verursacht.

Statt auf eine Matching-Logik setzen (oder setzten früher jedenfalls) gewisse Auskunfteien auf sog. Ähnlichkeitstreffer, um nicht irrtümlich von unbekannten Personen auszugehen und Verwechslungen zu verhindern. Als Ähnlichkeitstreffer gibt die Auskunftei der Kreditgeberin gleichzeitig die Bonitätsauskunft über mehrere Personen mit ähnlichen Identifikationsmerkmalen (z.B. mit gleichem Namen und Geburtsdatum) bekannt.[123] Wie der EDÖB allerdings zu Recht festhielt,[124] ist die Anzeige solcher Ähnlichkeitstreffer nicht erforderlich und verletzt damit den Verhältnismässigkeitsgrundsatz (Art. 6 Abs. 2 DSG; vgl. Art. 5 Abs. 1 lit. c DSGVO).[125] Denn etwa eine Matching-Logik erscheint im Wesentlichen gleich geeignet, ist aber weitaus weniger eingriffsintensiv, da so nicht (planmässig) Daten unbeteiligter Dritter übermittelt werden.

Stichprobenartige Überprüfung

Als weitere Massnahme zugunsten der Datenrichtigkeit müssen Auskunfteien ihren Datenbestand stichprobenartig überprüfen.[126] Zwar vermag eine Auskunftei mit anderen, insbesondere den vorangehend besprochenen Massnahmen das Risiko von durch unrichtige Daten verursachte Persönlichkeitsverletzungen und anderweitigen Eingriffen in ihre Interessen (zumindest in gewissen Ausprägungen) einzudämmen. Gleichwohl drängt sich die stichprobenartige Überprüfung angesichts der charakteristischen Geschäftstätigkeit einer Auskunftei auf. Denn diese Tätigkeit umfasst – wie ausgeführt[127] – verschiedenartige, potenziell heikle Bearbeitungen von Daten einer Vielzahl von Personen und verursacht ein nicht vernachlässigbares Risiko für betroffene Personen bei der Verwendung unrichtiger Daten.

Während die stichprobenartige Überprüfung als Massnahme zugunsten der Datenrichtigkeit unter schweizerischem Recht bereits Gegenstand eines bundesverwaltungsgerichtlichen Entscheids und einer Empfehlung des EDÖB war,[128] fehlt es im Anwendungsbereich der DSGVO – soweit ersichtlich – (noch) an einer entsprechenden Praxis. Zudem findet sich zu dieser Massnahme auch kaum Literatur. Die bereits zitierten Fundstellen in der deutschen Lehre schneiden die (stichprobenartige) Überprüfung durch Auskunfteien als (erforderliche) Massnahme für die Datenrichtigkeit an, sprechen sich aber nicht über die anschliessend zu thematisierende Höhe der Überprüfungsquote sowie den Gegenstand und die Modalitäten der Überprüfung aus.[129] Da der Richtigkeitsgrundsatz in beiden Erlassen vergleichbare Vorgaben aufstellt,[130] lassen sich die nachfolgenden Ausführungen, die auf das schweizerische Recht fokussieren, weitgehend auf die Rechtslage unter der DSGVO übertragen.

Höhe der Überprüfungsquote

Praxis des Bundesverwaltungsgerichts und des EDÖB

Im Moneyhouse-Entscheid erachtete es das Bundesverwaltungsgericht für angemessen, wenn die Auskunftei ihren Datenbestand im Verhältnis von 5 % zu den auf der Plattform getätigten Abfragen überprüft.[131] Diesen Prozentsatz legte das Gericht in einer äusserst knappen Begründung fest: Es wendete zunächst (zu Recht) nichts dagegen ein, dass der EDÖB mit Blick auf das Verhältnismässigkeitsprinzip die Überprüfung nur im Verhältnis zu den getätigten Abfragen und nicht mit Bezug auf den gesamten Datenbestand beantragte. Sodann hielt es fest, dass die besagte Überprüfungsquote wegen der grossen Anzahl betroffener Personen sowie der Bedeutsamkeit der Richtigkeit bei Bonitätsauskünften angemessen erscheine. Der dadurch verursachte zeitliche bzw. personelle Mehraufwand rechtfertige sich aufgrund der festgestellten Unregelmässigkeiten sowie der Interessen der betroffenen Personen und der Auskunftei an der Richtigkeit, die auch dem öffentlichen Interesse des Gläubigerschutzes diene.[132]

Auf die im Moneyhouse-Entscheid festgelegte Quote verwies der EDÖB in seiner Empfehlung gegenüber der ZEK, unterschied allerdings die zu beurteilende Situation: Die betroffenen Personen seien hier stets über die Abfrage informiert[133] und müssten in eine Meldung der Daten an die ZEK einwilligen, sodass sie die Richtigkeit zeitnah kontrollieren könnten. Jährlich würden über 25‘000 solcher Kontrollen durchgeführt, was unter Berücksichtigung der Anzahl Einträge auf den Auszügen ca. 75‘000 Stichproben entspreche, die gemäss EDÖB in die Überprüfungsquote einzurechnen seien. Im Übrigen prüfe die ZEK jährlich selbst 2‘200 Einträge im Rahmen von Audits ihrer Mitglieder. Bei 2‘099‘818 Abfragen im Jahr 2017 liege die Überprüfungsquote demnach bei ca. 3.68 %.[134] Diese Quote reiche vorliegend aus. Denn anders als die Betreiberin von Moneyhouse, die von Dritten ursprünglich zu Werbezwecken erhobene Daten bezogen habe, beschaffe die ZEK (mit Ausnahme von Amtsinformationen) ihre Daten nur bei ihren Mitgliedern. Zudem lege ein Reglement der ZEK klar fest, welche Informationen in die Datenbank aufgenommen werden dürften, was eine unkontrollierte Akkumulierung von Daten ausschliesse und das Risiko von Falscheinträgen senke. Schliesslich zeige sich die generell bessere Datenqualität darin, dass die von den betroffenen Personen durchgeführten Stichproben jährlich nur zu einer einstelligen Anzahl Berichtigungs- und Löschungsbegehren (bei der ZEK) führen und die Stichproben im Rahmen von Audits nur ausnahmsweise Unregelmässigkeiten offenbaren würden.[135]

Würdigung

Woraus sich der angelegte Massstab für die Überprüfungspflicht ergibt, begründet das Bundesverwaltungsgericht nicht.[136] Insofern ist der Kritik zuzustimmen, dass das Gericht willkürliche Prozentsätze festgelegt hat; weshalb beispielsweise 4 % nicht ausgereicht hätten oder der EDÖB nicht (mit Erfolg) 20 % hätte beantragen können, geht aus dem Entscheid nicht hervor.[137] Lehre und Praxis zur Überprüfungsquote fehlten denn auch (zu jenem Zeitpunkt) nicht nur in der Schweiz, sondern – soweit ersichtlich – auch in Deutschland. Von dort bezog nämlich auch schon der EDÖB Inspiration für die von ihm als ausreichend betrachtete Überprüfungsquote bei den Interessennachweisen,[138] die das Bundesverwaltungsgericht im Verlauf des Entscheides ebenfalls festgelegt hat und auf die später einzugehen ist.[139]

Andere Stimmen kritisieren weniger die mangelhafte Begründung als das Ergebnis. Die vom Bundesverwaltungsgericht verlangte Überprüfung widerspreche eigentlich dem Gesetz, das eine vollständige Umsetzung der Datenrichtigkeit verlange und nicht nur zu einem Prozentsatz.[140] Auch der Bundesrat bezeichnete in der Botschaft zur Totalrevision die Überprüfungsquote von 5 % als «sehr niedrig».[141] Wenn die Betreiberin von Moneyhouse nur jede zwanzigste Auskunft überprüfen muss, klingt dies zwar nach wenig. Angesichts des zeitlichen bzw. personellen und damit auch finanziellen Aufwands, den bereits diese Überprüfungen verursachen, wäre eine höhere Quote nach Ansicht des Bundesverwaltungsgerichts aber offenbar nicht verhältnismässig. Eine Überprüfungsquote von 100 % wäre also auf jeden Fall unverhältnismässig und liesse sich auch nicht auf den Richtigkeitsgrundsatz stützen, der eben nicht die Bearbeitung ausnahmslos richtiger Daten, sondern lediglich angemessene Massnahmen verlangt.[142]

Weshalb eine Überprüfungsquote im (niedrigen) einstelligen Prozentbereich angemessen ist, begründet auch der EDÖB in seiner Empfehlung zur ZEK nicht. Der Klärung dieser Frage ist zudem abträglich, dass der EDÖB trotz seines Verweises auf den Moneyhouse-Entscheid die Quote anders berechnet. Während sich das Bundesverwaltungsgericht jeweils auf die «Abfragen» bezieht, also pro geprüfte Abfrage eine Stichprobe annimmt,[143] stellt der EDÖB die Abfragen ins Verhältnis zu den einzelnen geprüften Einträgen (etwa auf einem abgefragten Auszug).[144] Dadurch entspricht eine geprüfte Abfrage gleich mehreren Stichproben und die Überprüfungsquote fällt entsprechend höher aus.[145] Der EDÖB wollte also an das gerichtliche Präjudiz anknüpfen, entfernte sich bei der Berechnung aber ohne nachvollziehbaren Grund deutlich davon. Deshalb lassen sich die Quoten nicht unmittelbar vergleichen und ist es fraglich, inwiefern die vom EDÖB berechnete Quote von 3.68 % als Massstab (für Auskunfteien) dienen kann.

Gleichwohl stützt der EDÖB damit die Moneyhouse-Rechtsprechung hinsichtlich der Grössenordnung der erforderlichen Überprüfungsquote und lässt unter Umständen eine tiefere als die dort festgelegte Quote genügen. Insofern zeigt die Empfehlung auch, dass die erforderliche Überprüfungsquote stark einzelfallabhängig ist und etwa Faktoren wie die verwendeten Datenquellen und die generelle Datenqualität eine Rolle spielen. Dennoch dürfen Auskunfteien aufgrund dieser gerichtlichen und behördlich bestätigten Praxis von einem Richtwert im niedrigen bis mittleren einstelligen Prozentbereich ausgehen. Höhere Überprüfungsquoten werden höchstens in seltenen Ausnahmefällen erforderlich sein, wenn das Bundesverwaltungsgericht 5 % genügen lässt, obwohl seiner Ansicht nach in der Datenbank der Betreiberin von Moneyhouse «die Datenqualität […] zu wünschen übrig lässt».[146]

Kontrollen durch betroffene Personen als Stichproben in der Überprüfungsquote zu berücksichtigen, wie dies der EDÖB tat, erscheint zwar grosszügig, da nicht gewährleistet ist, dass sie die Einträge tatsächlich «eingehend selbst überprüf[en]», aber durchaus vertretbar, weil sie die Richtigkeit wohl am besten beurteilen können und grundsätzlich selbst an richtigen Daten interessiert sind. Zu ihren Gunsten unrichtige Daten werden betroffene Personen wohl in den wenigsten Fällen melden; nachdem der Richtigkeitsgrundsatz dem Schutz der betroffenen Personen dient, ist dieses Defizit bei der Kontrolle indes hinnehmbar.

Gegenstand und Modalitäten der Überprüfung

Gegenstand der Überprüfung

Gegenstand der Überprüfung sind gemäss Bundesverwaltungsgericht die Abfragen bzw. die abgefragten Daten:[147] Die Auskunftei muss demnach Daten von erfragten Bonitätsauskünften und nicht etwa (andere) auf Vorrat gespeicherte Daten stichprobenartig prüfen. Diese Beschränkung findet sich in der Empfehlung zur ZEK nicht; vielmehr stellen für den EDÖB Überprüfungen von Einträgen bei Audits von Kreditgeberinnen oder Kontrollen durch betroffene Personen Stichproben dar.[148] Für die bundesverwaltungsgerichtliche Haltung spricht, dass die Datenbekanntgabe eine grundsätzlich heiklere Art der Datenbearbeitung ist,[149] aus der sich gerade bei Auskunfteien das grösste Risiko für die Persönlichkeit ergibt. Dennoch erscheint es mit dem EDÖB nicht zwingend, dass die Auskunftei sogleich die jeweils bekanntzugebenden Daten prüfen muss, zumal die Richtigkeit aller bearbeiteten Daten anzustreben ist und die Auskunftei auch die übrigen Daten für Kreditwürdigkeitsbeurteilung und im Hinblick auf eine Bekanntgabe speichert. Hinzu kommt, dass die Überprüfung sonst kaum umsetzbar ist, wenn die Auskunftei ihre Kreditwürdigkeitsbeurteilungen wie etwa im Online-Handel in Echtzeit abgeben muss. Die Auskunftei gleichwohl zur Überprüfung der bekanntzugebenden Daten anzuhalten, wäre also kaum verhältnismässig.

Aus der bundesverwaltungsgerichtlichen Beschränkung auf die Abfragen soll sich gemäss einem Kommentar ergeben, dass es sowohl für den EDÖB als auch das Bundesverwaltungsgericht ausreicht, die Richtigkeit (eines Teils) der bekanntgegebenen Daten zu prüfen; unrichtige Daten zu speichern, sei entsprechend zulässig, solange sie nicht aktiv verwendet würden.[150] Die stichprobenartige Überprüfung stellt allerdings lediglich eine (von üblicherweise mehreren) Massnahme(n) zugunsten der Datenrichtigkeit dar, und sie war bloss die einzige Massnahme, deren Anordnung der EDÖB vor Bundesverwaltungsgericht beantragt hatte. Insofern lässt sich aus dem Entscheid keine Aussage zu den Anforderungen an die Richtigkeit von gespeicherten, aber nicht verwendeten Daten gewinnen.

Modalitäten der Überprüfung

Verantwortliche sind grundsätzlich frei in der Wahl der Massnahmen zugunsten der Datenrichtigkeit.[151] Demnach müssen auch die konkreten Modalitäten der Überprüfung – wie das Bundesverwaltungsgericht zu Recht festhält – unter Berücksichtigung der gesetzlichen Vorgaben im Ermessen der Auskunftei liegen.[152] Dies gelte insbesondere für die Auswahl der Datenstichprobe und die Überprüfungsmethode, wobei diese aussagekräftig bzw. effektiv sein müssten.[153] In einem ähnlichen Sinn hielt auch der EDÖB fest, dass nicht nur die Überprüfungsquote für die Wirksamkeit der Massnahme von Belang sei, sondern insbesondere auch die Regelmässigkeit der Kontrollen.[154] Eine denkbare Umsetzung lag für das Bundesverwaltungsgericht darin, dass die Auskunftei bei jeder x-ten (bei einer Quote von 5 %: zwanzigsten) Abfrage die Richtigkeit der abgefragten Daten überprüft.[155] Eine insofern zufällige Auswahl der überprüften Anfragen wird zu einer aussagekräftigen Stichprobe führen. Entscheidet sich die Auskunftei jedoch dazu, nicht die bekanntzugebenden Daten zu überprüfen,[156] kann sie beispielsweise anlässlich jeder x-ten Abfrage die Richtigkeit des Datensatzes einer zufällig ausgewählten anderen, etwa am gleichen Ort wohnhaften Person überprüfen.

Eine effektive Überprüfungsmethode, wie sie das Bundesverwaltungsgericht verlangt, besteht insbesondere darin, dass die Auskunftei die Daten anhand einer alternativen Datenquelle verifiziert, beispielsweise Adressangaben bei der Schweizerischen Post abgleicht.[157] Bei vielen für die Kreditwürdigkeitsbeurteilung wichtigen Daten besteht allerdings keine alternative Datenquelle, so insbesondere bei Zahlungserfahrungen von Kreditgeberinnen, Inkassodaten Dritter oder Daten aus dem Betreibungsregister. Zwar wäre es in diesen Fällen möglich, die Daten von der betroffenen Person überprüfen zu lassen; jedoch ist damit eine effektive Überprüfung kaum um- und durchsetzbar. Denn die Auskunftei kann die betroffenen Personen, soweit die Kontaktaufnahme überhaupt zulässig ist, nur darum bitten, nicht aber dazu verpflichten, ihre Daten innert nützlicher Frist zu prüfen. Daher muss es bei diesen Daten genügen, dass die Auskunftei selbst eine Plausibilitätsprüfung vornimmt und zusätzlich bei Daten von Kreditgeberinnen oder von Dritten sich die Richtigkeit (im Einzelfall) bestätigen lässt bzw. Daten aus dem Betreibungsregister mit einem neuen Auszug abgleicht, soweit die Einholung eines solchen möglich ist (vgl. Art. 8a Abs. 1 SchKG).

Sonderfall Werturteile

Anwendbarkeit des Grundsatzes

Werturteile

Werturteile wie Meinungen, Beurteilungen und Prognosen sind durch ihren subjektiven Charakter geprägt. Insbesondere deshalb herrscht unter dem DSG sowie der DSGVO ein Lehrstreit über die Anwendbarkeit des Richtigkeitsgrundsatzes auf sie. Nach der einen Meinung sind Werturteile ausgenommen, da sie nicht unmittelbar verifizierbar und (insofern) stets ungenau sind.[158] Bei diesem Verständnis beschränkt sich der Richtigkeitsgrundsatz bei Werturteilen auf die Richtigkeit der als Grundlage dienenden Daten und die richtige Erfassung des Urhebers.[159] Die Gegenmeinung unterstellt auch Werturteile dem Richtigkeitsgrundsatz, insbesondere wegen des relativen Verständnisses[160] der Richtigkeit.[161] Für den EDÖB unterstehen Werturteile (zumindest teilweise) dem Richtigkeitsgrundsatz,[162] während die belgische und in der Tendenz auch die britische Aufsichtsbehörde den Richtigkeitsgrundsatz nicht auf Werturteile anwenden wollen.[163]

Nach hier vertretener Ansicht unterstehen auch Werturteile dem Richtigkeitsgrundsatz. Das Datenschutzrecht und insbesondere dessen Bearbeitungsgrundsätze sind auf die Bearbeitung von Personendaten anwendbar und unterscheiden (auch sonst) nicht danach, ob es sich bei den Personendaten um Tatsachenfeststellungen oder Werturteile handelt.[164] Ausserdem ist die Richtigkeit – wie erwähnt[165] – relativ zu verstehen;[166] der Grundsatz verlangt also bloss eine Genauigkeit mit Blick auf den verfolgten Bearbeitungszweck und den Kontext, weshalb es unproblematisch ist, dass sich Werturteile nicht im eigentlichen Sinne verifizieren lassen.[167] Zweck des Richtigkeitsgrundsatzes ist es zudem, die betroffene Person vor Entscheidungen (im weitesten Sinne) zu schützen, die auf unrichtige Daten abstellen.[168] Die Verwirklichung dieses Zwecks erscheint bei Werturteilen nicht weniger wichtig.[169]

Die Anwendung des Richtigkeitsgrundsatzes auf Werturteile schränkt gewiss die freie Bildung von Werturteilen ein, geht also aus grundrechtlicher Sicht mit einem Eingriff in die Meinungsfreiheit einher.[170] Dieser erscheint indes hinnehmbar wegen des relativen, kontextabhängigen Richtigkeitsverständnisses und weil der Grundsatz auch bei Werturteilen nur, aber immerhin angemessene Massnahmen verlangt.[171] Im Übrigen trifft es – entgegen den dahingehenden Wortmeldungen – nicht zu, dass sich Werturteile nicht auf ihre Richtigkeit hin prüfen lassen. So lässt sich neben der Tatsachengrundlage auch insbesondere die Herleitung eines Werturteils, d.h. die Prämissen und die Schlussfolgerung, zumindest auf ihre Vertretbarkeit prüfen.[172] Insofern sind Werturteile nicht schon deswegen richtig, weil die entsprechenden Daten das Werturteil im Hinblick auf den Verwendungszweck sachgerecht wiedergeben.[173]

Wahrscheinlichkeitsaussagen

Verwandt mit der vorangehend diskutierten Fragestellung ist die Anwendung des Richtigkeitsgrundsatzes auf Wahrscheinlichkeitsaussagen, z.B., dass bei einer Person zu 85 % ein Kreditausfall innerhalb des nächsten Jahres eintritt. Auch solchen Aussagen ist eine Ungenauigkeit eigen, aus der sich schliessen liesse, dass der Richtigkeitsgrundsatz auf sie nicht anwendbar ist.[174] Im Wesentlichen aus denselben Gründen wie bei den Werturteilen ist nach hier vertretener Ansicht allerdings auch bei der Bearbeitung von Wahrscheinlichkeitsaussagen der Richtigkeitsgrundsatz einzuhalten.[175]

Nun liesse sich behaupten, dass eine Wahrscheinlichkeitsaussage nicht dadurch unrichtig wird, dass sich ein unwahrscheinliches Szenario bewahrheitet, im vorerwähnten Beispiel also der Kreditausfall ausbleibt. Insofern wären Wahrscheinlichkeitsaussagen (sofern als solche ausgewiesen) nie unrichtig im Sinne des Datenschutzrechts, der Grundsatz also stets eingehalten.[176] Dies greift aber zu kurz. Zunächst können auch Wahrscheinlichkeitsaussagen trotz richtigen Tatsachenfundaments wegen ihrer Herleitung unhaltbar und zumindest insofern unrichtig sein.[177] Zudem spricht der Zweck des Richtigkeitsgrundsatzes dagegen, dass beliebige Wahrscheinlichkeitsaussagen zur Grundlage einer Entscheidung werden.[178] Und schliesslich liessen sich sonst bei gewissen Werturteilen, gerade etwa bei einer Kreditwürdigkeitsbeurteilung, die Vorgaben der Datenrichtigkeit umgehen, indem das Werturteil in eine Wahrscheinlichkeitsaussage gekleidet würde.

Der Richtigkeitsgrundsatz erfasst sowohl den Wahrscheinlichkeitswert als auch die gestützt darauf getroffene Aussage. Dies gilt nach hier vertretener Ansicht unabhängig davon, ob es sich bei dieser Aussage um eine Tatsachenfeststellung (z.B. eine Schwangerschaft)[179] oder um ein Werturteil handelt, wozu auch Prognosen zählen.[180] Zur letzteren Kategorie gehört der Kreditscore, der bei negativer Ausprägung die Aussage enthält, dass die betroffene Person nicht kreditwürdig ist, und gleichzeitig die Prognose, dass die betroffene Person ihre Rückzahlungspflicht nicht erfüllen wird.

Bedeutung und Umsetzung des Grundsatzes

Im Allgemeinen

Aus der fehlenden (unmittelbaren) Verifizierbarkeit von Werturteilen schliesst eine hier abgelehnte Lehrmeinung, dass der Richtigkeitsgrundsatz auf sie gar nicht anwendbar sei.[181] Eine andere Lehrmeinung leitet daraus ab, dass der Richtigkeitsgrundsatz die Bearbeitung von Werturteilen wie auch von anderen nicht verifizierbaren Daten verbiete.[182] Eine ähnliche Haltung nahm der EDÖB hinsichtlich Wahrscheinlichkeitsaussagen ein: Da diesen «eine gewisse Ungenauigkeit inhärent» sei, könne sich der Verantwortliche nicht über ihre Richtigkeit vergewissern; folglich verletze ihre Bearbeitungen den Richtigkeitsgrundsatz.[183] Diese Haltung lässt aber ausser Acht, dass auch Werturteile und Wahrscheinlichkeitsaussagen[184] immerhin darauf geprüft werden können, ob sie in einem tauglichen und unverfälschten Verfahren hergeleitet worden sind.[185] An dieser Zielvorgabe sind Werturteile und Wahrscheinlichkeitsaussagen nach hier vertretener Ansicht denn auch zu messen.

Als Massstab für die Richtigkeit drängen sich zunächst die rechtlichen Vorgaben (ausserhalb des Datenschutzrechts) an die Herleitung und Methode von Werturteilen auf.[186] Fehlen solche Vorgaben und ist der Verantwortliche damit grundsätzlich frei bei der Bildung seiner Werturteile, erscheint es angezeigt, die Vorgabe der Richtigkeit nach einschlägigen Standards, etwa der betreffenden Branche – gegebenenfalls Verhaltensregeln nach DSG bzw. DSGVO – auszurichten.[187] Alternativ bzw. in Ermangelung solcher Standards ist dem Grundsatz auch Genüge getan, wenn die Methode angesichts der bestehenden Erfahrungswerte, beispielsweise hinsichtlich der Treffergenauigkeit (im Vergleich zu einem anderen, akzeptierten Verfahren), als vertretbar zu betrachten ist.[188]

In diesem Sinn lässt sich auch die Forderung von EG 71 Satz 6 DSGVO betreffend das Profiling verstehen, dafür geeignete mathematische oder statistische Verfahren zu verwenden.[189] Diese und die weiteren Vorgaben von EG 71 Satz 6 DSGVO sollen nach Ansicht des Bundesamts für Justiz (jedenfalls für Bundesorgane) ebenso im schweizerischen Recht gelten.[190] Was solche Verfahren, die bei der Entwicklung eines Modells zum Einsatz kommen,[191] im Allgemeinen charakterisiert, erläutert allerdings weder die DSGVO noch das Bundesamt für Justiz.

Bei Kreditwürdigkeitsprüfungen im Besonderen

Nachdem EG 71 Satz 6 DSGVO in Bezug auf die geeigneten mathematischen oder statistischen Verfahren auf einen wohl von der Bestimmung des BDSG/DE zum Scoring inspirierten,[192] deutschen Vorschlag zurückgeht,[193] lässt sich für die Interpretation die deutsche Literatur und Praxis heranziehen.[194] Während sich der Literatur kein klares Verständnis entnehmen lässt,[195] dürfte sich der Ansatz der aufsichtsbehördlichen Praxis bei Auskunfteien empfehlen:[196] Dieser überlässt die Beurteilung der Wissenschaftlichkeit,[197] unter der DSGVO also der Geeignetheit, der jeweiligen wissenschaftlichen Disziplin, etwa der angewandten Mathematik oder der Datenwissenschaft. In diesem Sinne wurde die Wissenschaftlichkeit der logistischen Regression für das Kreditscoring von deutschen Aufsichtsbehörden anerkannt;[198] zudem dürften auch die lineare Regression und die Diskriminanzanalyse zu den geeigneten Verfahren zählen.[199]

Solche Verfahren zu verwenden, ist zwar mangels (verbindlicher) gesetzlicher Verankerung weder nach der DSGVO noch nach dem DSG zwingend.[200] In der Praxis werden aber gerade Auskunfteien kaum umhinkommen, im Sinne einer angemessenen Massnahme zwecks Richtigkeit des Kreditscores auf geeignete mathematische oder statistische Verfahren zurückzugreifen.[201] In ihren Verhaltensregeln haben sich die schweizerischen Auskunfteien denn auch selbst darauf verpflichtet, Bonitätsscores auf wissenschaftlich anerkannte Methoden zu basieren.[202] Aus ökonomischer Sicht kommt hinzu, dass Auskunfteien schon aus ihrem eigenen Interesse an verlässlichen Kreditscores solche Verfahren einsetzen werden.[203]

Zwischenfazit

Es ist im Interesse der betroffenen Personen, aber auch der Auskunftei, richtige Daten zu bearbeiten. Richtig bedeutet, dass die Daten mit Blick auf den Zweck (vorliegend der Kreditwürdigkeitsprüfung) geeignet und passend, vollständig (also im Gesamtzusammenhang nicht irreführend) sowie aktuell sind. Bearbeitet die Auskunftei als Verantwortliche unrichtigen Daten, verletzt sie damit nicht schon den Richtigkeitsgrundsatz in Art. 6 Abs. 5 DSG bzw. Art. 5 Abs. 1 lit. d DSGVO; vielmehr tut sie dies nur, wenn sie keine angemessenen Massnahmen zugunsten der Richtigkeit ergreift.

Die Angemessenheit beurteilt sich nach der Art und dem Umfang der Bearbeitungen sowie insbesondere nach der Schwere und der Eintrittswahrscheinlichkeit potenzieller Beeinträchtigungen der Interessen der betroffenen Personen. Während diese Wahrscheinlichkeit in der Praxis der schweizerischen Auskunfteien – unter Berücksichtigung der hohen Anzahl an Auskünften – als eher niedrig zu betrachten sein dürfte, können fehlerhafte Auskünfte die betroffene Person potenziell durchaus erheblich beeinträchtigen, etwa indem ihr der Abschluss eines Telekommunikations- oder Mietvertrags verweigert wird. Es sind daher grundsätzlich bei Auskunfteien hohe Anforderungen an die Datenrichtigkeit zu stellen.

In der Wahl der Massnahmen sind Auskunfteien – wie andere Verantwortliche – grundsätzlich frei. Aufgrund ihrer charakteristischen Geschäftstätigkeit und der bei ihnen zu stellenden Anforderungen drängen sich allerdings bestimmte Massnahmen geradezu auf: Eine Auskunftei hat ihre (privaten) Datenlieferanten sorgfältig auszuwählen und sich die Richtigkeit der gelieferten Daten (z.B. durch eine Konventionalstrafe) abgesichert versprechen zu lassen. Sie muss aussagekräftige Stichproben aus ihrem Datenbestand anhand einer effektiven Methode überprüfen. Als Richtwert lässt sich eine Überprüfungsquote im niedrigen bis mittleren einstelligen Prozentbereich im Verhältnis zu den bei der Auskunftei getätigten Auskunftsanfragen ansetzen. Ausserdem empfiehlt sich für eine Auskunftei, eine Matching-Logik anzuwenden, die den üblichen Schwierigkeiten bei der Identifikation entgegenwirkt.

Der Richtigkeitsgrundsatz erfasst zudem nicht nur Tatsachenfeststellungen, sondern auch Werturteile und Wahrscheinlichkeitsaussagen. Sie lassen sich als richtig betrachten, wenn sie aus einem tauglichen und unverfälschten Herleitungsverfahren, das etwa einschlägigen Branchenstandards entspricht, hervorgehen. Als angemessene Massnahme drängt sich bei einer Auskunftei in diesem Sinne auf, dass sie bei der Entwicklung ihrer Kreditscoring-Modelle ein geeignetes mathematisches oder statistisches Verfahren, beispielsweise die logistische Regression, verwendet.

Zum DSG Erläuternder Bericht VE-DSG, S. 47; George, S. 315 f.; zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.1; zur DSGVO Roßnagel, in: Simitis et al., Art. 5 N 137; vgl. auch Hoeren, ZD 2016, S. 459. ↵

Bei Auskunfteien gibt es unterschiedliche mögliche Quellen für unrichtige Daten (vgl. Pfaffinger, Rn. 1388), wobei die Falschidentifikation betroffener Personen als grösste Fehlerquelle gilt (Bericht Wirtschaftsauskunfteien, S. 14 f.; vgl. dazu auch unten Teil 3, C.V.4.2.b.bb). ↵

Vgl. Bericht Wirtschaftsauskunfteien, S. 15; Peter et al., S. 31 und 53. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 253 f.; vgl. auch de Terwangne, in: Epiney et al. 2022, S. 65; zum aDSG vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2, wonach die betreffende Auskunftei «ihrer Vergewisserungspflicht gemäss Art. 5 Abs. 1 [heute: Art. 6 Abs. 5] DSG […] mittels angemessener Massnahmen nachzukommen» habe; a.M. Epiney, in: Belser et al., § 9 N 45; BSK aDSG-Maurer-Lambrou/Schönbächler, Art. 5 N 13a, die von zu trennenden Pflichten bzw. einem selbständigen Charakter der Pflicht in Satz 2 ausgehen. ↵

Amtl. Bull. NR 2005 S. 1441 (Voten Huber und Blocher), wonach (heute) Art. 6 Abs. 5 Satz 2 DSG die Tragweite der Vergewisserungspflicht in Satz 1 relativieren solle und die Ergänzung die Tragweite der Bestimmung besser ausdrücke. ↵

SPK-NR vom 18./19. Oktober 2018, S. 3 und 5. ↵

SPK-NR vom 18./19. Oktober 2018, S. 3; vgl. auch CR LPD-Meier/Tschumy, Art. 6 N 62; Sury, S. 30; im Ergebnis gl.M. SHK DSG-Baeriswyl, Art. 6 N 64; BSK DSG-Bühlmann/Reinle, Art. 6 N 253; zum aDSG a.M. Aebi-Müller, Rn. 567; vgl. auch BVGer, A-7131/2018 vom 19. Dezember 2019, E. 4.3.1; BVGer, A-2201/2021 vom 29. Juni 2022, E. 4.4.4. ↵

de Terwangne, in: Epiney et al. 2022, S. 65; vgl. auch George, S. 316, wonach der Richtigkeitsgrundsatz eine Sorgfaltspflicht beim Umgang mit Personendaten etabliere; Ponsart/Robert, S. 424; a.M. wohl Reimer, in: Sydow/Marsch, Art. 5 N 37. ↵

APD/GBA, 77/2023 vom 16. Juni 2023, Ziff. 161. ↵

Vgl. Hallinan/Zuiderveen Borgesius, S. 4; Plath, in: Plath, Art. 5 N 15 f. ↵

Auch wenn ein Auftragsverarbeiter kein unmittelbarer Adressat von Art. 25 DSGVO ist, bestehen für ihn im Ergebnis ähnliche Pflichten (vgl. Hansen, in: Simitis et al., Art. 25 N 22; Mantz, in: Sydow/Marsch, Art. 25 N 16). ↵

A.M. Herbst, in: Kühling/Buchner, Art. 17 N 29; wohl auch Reimer, in: Sydow/Marsch, Art. 5 N 37. ↵

Vgl. dazu unten Teil 3, C.V.3.1. ↵

Zum DSG PC LPD-Francey, Art. 6 N 102; zum aDSG vgl. HK aDSG-Rosenthal, Art. 5 N 4, wonach sich «aus den allgemeinen Grundsätzen des Datenschutzes» ergebe, dass die Bearbeitung falscher Personendaten die Persönlichkeit der betroffenen Person verletze; weniger streng BGer, 1A.6/2001 vom 2. Mai 2001, E. 2a; EDÖB, Bonitäts- und Inkassounternehmen, Rn. 55, wonach solche Bearbeitungen geeignet seien, die Persönlichkeit zu verletzen; zur DSGVO vgl. Herbst, in: Kühling/Buchner, Art. 5 N 12, wonach Rechtsgrundlagen in der Regel die Verarbeitung unrichtiger Daten nicht umfassen würden und sie daher unrechtmässig seien; ähnlich in Bezug auf unrichtige Bonitätsdaten Krämer, NJW 2020, S. 498. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.a. ↵

Zum DSG a.M. BSK DSG-Bühlmann/Reinle, Art. 6 N 257; zum aDSG a.M. HK aDSG-Rosenthal, Art. 5 N 4; zur DSGVO vgl. AEPD, PS/00240/2019 vom 26. April 2021, S. 154, wonach der Verantwortliche Daten nur verwenden dürfe, sofern er angemessene Massnahmen zugunsten der Datenrichtigkeit ergreife; ferner Hoeren, ZD 2016, S. 462, wonach der Richtigkeitsgrundsatz ein abstrakter Gefährdungstatbestand sei. ↵

Vgl. dazu unten Teil 3, C.VI.3.1. ↵

Vgl. dazu unten Teil 3, C.VI.1. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 247; vgl. auch PC LPD-Francey, Art. 6 N 110; zum aDSG Meier, Rn. 745; zur DSGVO Dimitrova, Ziff. 2; Hallinan/Zuiderveen Borgesius, S. 4; Roßnagel, in: Simitis et al., Art. 5 N 139. ↵

Immerhin spricht die deutsche Sprachfassung der DSGVO nicht bloss von richtigen, sondern «sachlich richtigen» Daten. ↵

Zum DSG und zur DSGVO George, S. 315; zur DSGVO vgl. Hoeren, ZD 2016, S. 462; Plath, in: Plath, Art. 5 N 15. ↵

Hinsichtlich der Eignung überschneiden sich die Grundsätze der Verhältnismässigkeit und der Richtigkeit (zum DSG und zur DSGVO George, S. 310 [Fn. 1425]; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 26), wobei der Richtigkeitsgrundsatz deswegen nicht verletzt sein muss (vgl. dazu oben Teil 3, C.V.2.). ↵

Zum DSG PC LPD-Francey, Art. 6 N 110; zur DSGVO vgl. Hallinan/Zuiderveen Borgesius, S. 4. ↵

Zur DSRL EuGH, Rs. C‑434/16 vom 20. Dezember 2017, Nowak, Ziff. 52 f. ↵

Zum DSG OFK DSG-Fanger, Art. 6 N 11; zum aDSG Maurer-Lambrou/Schönbächler, Art. 5 N 6; HK aDSG-Rosenthal, Art. 5 N 1; vgl. auch EDÖB, Bonitäts- und Inkassounternehmen, Rn. 56. ↵

Herbst, in: Kühling/Buchner, Art. 16 N 4; Roßnagel, in: Simitis et al., Art. 5 N 139; Schantz, in: Wolff et al., Art. 5 N 29; vgl. auch Biega/Finck, S. 56; Buchner, in: Specht-Riemenschneider et al., S. 102; Dimitrova, Ziff. 2; a.M. Veil, in: Gierschmann et al., Art. 16 N 29. ↵

Europäische Kommission, Vorschlag DSGVO, S. 8; vgl. auch Albrecht/Jotzo, Teil 2 N 10, wonach Art. 5 Abs. 1 lit. d DSGVO die Vorgaben aus Art. 6 Abs. 1 lit. d DSRL übernehme. ↵

Vgl. dazu oben Teil 3, C.V.2. ↵

Vgl. Herbst, in: Kühling/Buchner, Art. 16 N 4; a.M. Veil, in: Gierschmann et al., Art. 16 N 29, der schlicht davon ausgeht, dass Art. 16 DSGVO über den Grundsatz hinausgehe; wohl auch Hoeren, ZD 2016, S. 462. ↵

Zum DSG CR LPD-Meier/Tschumy, Art. 6 N 64 f.; vgl. auch PC LPD-Francey, Art. 6 N 113; zum aDSG Meier, Rn. 746; zur DSGVO Herbst, in: Kühling/Buchner, Art. 16 N 4; Schantz, in: Wolff et al., Art. 5 N 29; vgl. auch Roßnagel, in: Simitis et al., Art. 5 N 139. ↵

Zum aDSG a.M. wohl BSK aDSG-Maurer-Lambrou/Schönbächler, Art. 5 N 6, wonach die Daten nicht richtig seien, wenn eine Person in einer Datensammlung in der Kategorie «Betriebene» gespeichert werde, obschon sie während Jahren immer korrekt und fristgerecht bezahlt habe und es nur zu einer Betreibung gekommen sei, weil die Rechnung an eine falsche Adresse gesendet worden sei. ↵

Zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 7.1; vgl. auch HK aDSG-Rosenthal, Art. 5 N 5. ↵

Botschaft Totalrevision DSG, S. 7026; vgl. auch OFK DSG-Fanger, Art. 6 N 11; Métille, S. 12. ↵

Schantz, in: Wolff et al., Art. 5 N 31; vgl. auch Biega/Finck, S. 56 und 59, die dies aus der Datenminimierung, gelesen im Lichte anderer Grundsätze wie insb. der Datenrichtigkeit, ableiten; anders aber Schantz, in: Simitis et al., Art. 6 Abs. 1 N 137, in Bezug auf Negativdaten (vgl. dazu oben Teil 3, C.IV.3.2.b.bb.ii.1), wonach sich der Grundsatz nur auf bereits rechtmässig verarbeitete Daten beziehe. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.1. ↵

Vgl. dazu oben Teil 3, C.IV.3.1. ↵

Zur DSGVO vgl. Krämer, Scoring, S. 6 und 8, wonach Auskunfteien auf ein Kreditscoring verzichten müssten, wenn ihnen die für einen aussagekräftigen Score erforderlichen Daten fehlen würden. ↵

Zur DSGVO vgl. NOYB, Kreditauskunftei: Negative Bonität aus dem Nichts, abrufbar unter <https://noyb.eu/de/kreditauskunftei-negative-bonitaet-aus-dem-nichts-0>, zuletzt besucht am 30. September 2024, worin es um die österreichische Niederlassung der Auskunftei CRIF geht, welche die Kreditwürdigkeit einer betroffenen Person, von der sie (im Übrigen) angeblich keine Daten bearbeitete, mit einem Kreditscore von 446/700 und einer orangen Ampel beurteilte. ↵

Zum aDSG Botschaft DSG 1988, S. 450; EDÖB, Bonitäts- und Inkassounternehmen, Rn. 56. ↵

BVGer, A-6504/2017 vom 31. Juli 2018, E. 6.1. ↵

Zum DSG PC LPD-Francey, Art. 6 N 114; CR LPD-Meier/Tschumy, Art. 6 N 62; vgl. auch OFK DSG-Fanger, Art. 6 N 11; a.M. wohl George, S. 318. ↵

Befürwortend (in unterschiedlichen Nuancierungen) zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 255; PC LPD-Francey, Art. 6 N 115; zum aDSG BGer, 1A.6/2001 vom 2. Mai 2001, E. 2c; Huber R., S. 208; zur DSGVO Kramer, in: Auernhammer, Art. 5 N 44; Schantz, in: Wolff et al., Art. 5 N 29; ablehnend zum DSG und zur DSGVO George, S. 318. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 248; CR LPD-Meier/Tschumy, Art. 6 N 68; zum aDSG HK aDSG-Rosenthal, Art. 5 N 2; zur DSGVO Schantz, in: Wolff et al., Art. 5 N 31; vgl. auch Albrecht/Jotzo, Teil 2 N 10; Kramer, in: Auernhammer, Art. 5 N 43. ↵

Zum aDSG BGer, 1A.6/2001 vom 2. Mai 2001, E. 2c. Zum DSG PC LPD-Francey, Art. 6 N 116; vgl. auch Botschaft Totalrevision DSG, S. 7026 f. ↵

Zur DSGVO Schantz, in: Wolff et al., Art. 5 N 29; Voigt, in: Taeger/Gabel, Art. 5 N 31; vgl. auch Moos, in: Moos et al., Kap. 4 N 20. ↵

Zum DSG und zur DSGVO Charlet, S. 76; zum DSG vgl. Art. 6 Abs. 5 Satz 3 DSG; zum aDSG HK aDSG-Rosenthal, Art. 5 N 9; vgl. auch Huber R., S. 208; Meier, Rn. 750, der für eine Nachführungspflicht allerdings eine Persönlichkeitsverletzung oder ein Berichtigungsbegehren zu verlangen scheint; a.M. BSK aDSG-Maurer-Lambrou/Schönbächler, Art. 5 N 7 und 13, die von einer generellen Nachführungspflicht ausgehen; zur DSGVO Kramer, in: Auernhammer, Art. 5 N 46; vgl. auch Plath, in: Plath, Art. 5 N 15 f. ↵

AEPD, PS/00240/2019 vom 26. April 2021, S. 154 f. ↵

Zum DSG und zur DSGVO vgl. Charlet, S. 75 f.; zum DSG SHK DSG-Baeriswyl, Art. 6 N 77; PC LPD-Francey, Art. 6 N 107; zur DSGVO vgl. auch Overbeck, S. 285. ↵

Zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

Vgl. Hoofnagle et al., S. 78; Moos, in: Moos et al., Kap. 4 N 18; Wolff, in: Schantz/Wolff, Rn. 442. ↵

Vgl. dazu oben Teil 3, C.V.2. ↵

Davon geht denn auch der EDÖB, Adressdaten im Internet, S. 20, aus, wenn er bei einer indirekten Beschaffung (Datenkauf bei einem Dritten) eine Grundsatzverletzung annimmt, weil «Massnahmen zu Beginn der Datenbearbeitung» fehlten. ↵

Zum DSG und zur DSGVO vgl. Charlet, S. 76; zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 7.1; HK aDSG-Rosenthal, Art. 5 N 5; zur DSGVO vgl. Moos, in: Moos et al., Kap. 4 N 18. ↵

Zum DSG a.M. SHK DSG-Baeriswyl, Art. 6 N 72; zum aDSG vgl. BVGer, A‑4232/2015 vom 18. April 2017, E. 7.1 ff.; EDÖB, ZEK, S. 23 f.; zur DSGVO vgl. Pötters, in: Gola/Heckmann, Art. 5 N 25; Roßnagel, in: Simitis et al., Art. 5 N 143, die generell von einer aktiven Überprüfungspflicht ausgehen. ↵

Vgl. dazu unten Teil 3, C.V.4.2.b.cc. ↵

Bericht Wirtschaftsauskunfteien, S. 14 f. ↵

Zum aDSG vgl. Peter et al., S. 53, die kritisieren, dass bei den Betroffenenrechten die Initiative zur Berichtigung und somit die Sicherung der Datenqualität teilweise an die betroffene Person ausgelagert werde; zur DSGVO vgl. AEPD, PS/00240/2019 vom 26. April 2021, S. 157. ↵

Selbstverständlich bleiben Art und Umfang der Datenbearbeitung nicht ohne Einfluss auf deren Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person (vgl. CR LPD-Fanti/Staeger, Art. 7 N 35). ↵

SPK-NR vom 18./19. Oktober 2018, S. 3, wonach auf den Faktor des Stands der Technik verzichtet worden sei, weil dieser spezifisch auf Privacy by Design zugeschnitten sei. ↵

BSK DSG-Bühlmann/Reinle, Art. 6 N 259; Rosenthal, Jusletter 2020, Rn. 37; vgl. auch CR LPD-Meier/Tschumy, Art. 6 N 62. Bereits nach der Lehre zum aDSG war die Verhältnismässigkeit bei den Massnahmen zugunsten der Datenrichtigkeit zu berücksichtigen (vgl. Hofer, in: Passadelis et al., Rn. 16.29). ↵

SPK-NR vom 18./19. Oktober 2018, S. 4. ↵

Botschaft Totalrevision DSG, S. 7026; vgl. auch BVGer, A-4232/2015 vom 18. April 2017, E. 7.1, wo das BVGer das Risiko einer Persönlichkeitsverletzung sowie den Umfang und die Sensibilität einer allfälligen Datenbekanntgabe als zu berücksichtigende Umstände hervorstrich. ↵

Vgl. Charlet, S. 76; Hoeren, ZD 2016, S. 461. Gemäss dem ICO, GDPR, S. 37, sind die Umstände des Einzelfalls, insb. die Art der Daten, deren Verwendung und die (potenziellen) Auswirkungen auf die betroffene Person massgebend. ↵

Zur DSGVO Hallinan/Zuiderveen Borgesius, S. 4; vgl. auch Kramer, in: Auernhammer, Art. 5 N 46; von Lewinski/Pohl, S. 21; zur DSRL Bygrave, S. 164. ↵

Explizit als Kriterium vorgesehen ist die Berücksichtigung der Implementierungskosten lediglich bei der Festlegung der technischen und organisatorischen Massnahmen zugunsten der Datensicherheit (Art. 1 Abs. 4 lit. b DSV). Aus dieser Verordnungsbestimmung lässt sich jedoch nicht der Umkehrschluss ziehen, dass das Kriterium in den übrigen Fällen nicht zu berücksichtigen wäre. ↵

SPK-NR vom 18./19. Oktober 2018, S. 4; vgl. auch CR LPD-Meier/Tschumy, Art. 6 N 62, die auf das Verhältnismässigkeitsprinzip verweisen. Art. 7 Abs. 2 DSG nennt die Implementierungskosten als Faktor ebenso wenig; dennoch werden sie auch bei den Massnahmen zugunsten von Privacy by Design zu berücksichtigen sein (CR LPD-Fanti/Staeger, Art. 7 N 38 ff.). ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

Vgl. CR LPD-Fanti/Staeger, Art. 7 N 37; ferner SHK DSG-Baeriswyl, Art. 6 N 75 f. ↵

Zum DSG SHK DSG-Baeriswyl, Art. 6 N 75; zur DSGVO Hoeren, ZD 2016, S. 461; vgl. auch ICO, GDPR, S. 37. ↵

Zum DSG und zur DSGVO Charlet, S. 75; zum DSG SHK DSG-Baeriswyl, Art. 6 N 75; zur DSGVO vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 13, welche die Risiken bei Profiling und automatisierten Entscheidungen hervorhebt und sodann «solide Massnahmen» verlangt. ↵

Vgl. dazu oben Teil 3, B.III. ↵

Vgl. dazu auch unten Teil 3, C.V.5.2.a. ↵

Vgl. dazu unten Teil 4, C.III.1. ↵

Vgl. Botschaft Totalrevision DSG, S. 7057 f., wo die «Problematik automatisierter Einzelentscheidungen» anhand einer auf unrichtigen Daten beruhenden Entscheidung hinsichtlich des Abschlusses eines Kreditkartenvertrags veranschaulicht wird. ↵

Vgl. dazu oben Teil 3, C.I.2. ↵

EG 71 Satz 6 DSGVO bezieht sich vom Wortlaut her auf das Profiling. Systematisch betrachtet, erläutert der Erwägungsgrund allerdings die Regelung der automatisierten Entscheidungen. ↵

Art. 6 Abs. 5 Satz 3 DSG; zur DSGVO vgl. APD/GBA, 77/2023 vom 16. Juni 2023, Ziff. 161; George, S. 316 f. ↵

Vgl. Botschaft Totalrevision DSG, S. 7029, wonach Art. 7 Abs. 2 DSG von Risiken für die Persönlichkeit und die Grundrechte spreche, weil sich die Bestimmung auf Datenbearbeitungen durch private Bearbeiter und Bundesorgane beziehe. ↵

Zum DSG EDÖB, Bonitäts- und Inkassounternehmen, Rn. 65; EDÖB, PostFinance, S. 20; vgl. auch Botschaft DSG 1988, S. 450; zur DSGVO APD/GBA, 77/2023 vom 16. Juni 2023, Ziff. 161; vgl. auch ICO, GDPR, S. 37; Hallinan/Zuiderveen Borgesius, S. 4. ↵

Zum DSG EDÖB, Merkblatt DSFA, S. 8 f.; OFK DSG-Widmer, Art. 22 N 40; zur DSGVO EG 90 DSGVO; Raum, in: Auernhammer, Art. 35 N 54. ↵

Zum DSG vgl. Botschaft Totalrevision DSG, S. 7029; CR LPD-Fanti/Staeger, Art. 7 N 35. ↵

Vgl. dazu oben Teil 2, A.I.4.2. ↵

Zur DSGVO vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 94, der Daten, die bei der Kreditwürdigkeitsbeurteilung der betroffenen Person als negativer Faktor dienen, als sensible Informationen über ihr Privatleben einstuft. ↵

Vgl. dazu oben Teil 3, B.I.2.4. ↵

Zur DSGVO vgl. Schantz, in: Wolff et al., Art. 5 N 29. ↵

Vgl. Bericht Wirtschaftsauskunfteien, S. 15; EDÖB, Bonitäts- und Inkassounternehmen, Rn. 33 und 65 f., wo der EDÖB dieses Verhältnis aufgriff, dann aber in seiner rechtlichen Beurteilung ausklammerte; ferner EDÖB, ZEK, S. 24. ↵

Vgl. Peter et al., S. 53, die angesichts der rund 57 Mio. pro Jahr in der Schweiz erteilten Auskünfte von relativ wenigen Hinweisen auf mangelnde Datenqualität sprechen; ferner Bericht Wirtschaftsauskunfteien, S. 15. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 65; vgl. auch Botschaft Totalrevision DSG, S. 7057. Weitere potenzielle Folgen wie Schädigungen der Reputation oder der Gesundheit dürften insgesamt derart unwahrscheinlich sein, dass sie nicht ins Gewicht fallen (vgl. Peter et al., S. 3; ferner dazu auch oben Teil 3, C.IV.3.3.d). ↵

Zum DSG EDÖB, Bonitäts- und Inkassounternehmen, Rn. 65; zur DSGVO vgl. von Lewinski/Pohl, S. 21. ↵

Vgl. Hofer, in: Passadelis et al., Rn. 16.7; Wermelinger, Jusletter 2024, Rn. 18. ↵

Vgl. EDÖB, Bonitäts- und Inkassounternehmen, Rn. 11 f., 24 f. und 27 ff.; Peter et al., S. 31 f. ↵

Vgl. dazu oben Teil 1, E.II. ↵

Zum aDSG Hofer, in: Passadelis et al., Rn. 16.29. ↵

Zum aDSG EDÖB, Adressdaten im Internet, S. 20, vgl. aber auch S. 25, wo der EDÖB der Auskunftei schliesslich empfiehlt, die Richtigkeit von Daten zu überprüfen, wenn sie solche in Zukunft über andere Quellen (als den privaten Datenlieferanten) beziehe. ↵

Das Vereinigte Königreich hat sich im Zuge des Brexits dazu entschieden, die DSGVO (als «UK GDPR») nahezu vollständig in das britische Recht zu übernehmen (vgl. Voigt/Drexler, S. 409). ↵

ICO, GDPR, S. 37. ↵

ICO, GDPR, S. 38. Dies setzt eine Bewertung der Zuverlässigkeit der Quelle voraus, wie sie auch etwa die DSK, Scoringverfahren, S. 6, beliebt macht. ↵

Zur DSGVO Krämer, NJW 2018, S. 349, der dies (m.E. wenig überzeugend) vorab aus Art. 18 Abs. 1 lit. a DSGVO ableitet, da diese Norm eine Prüfpflicht des Verantwortlichen nur vorsehe, wenn die betroffene Person die Richtigkeit bezweifle; vgl. auch Krämer, NJW 2020, S. 498 zum aBDSG/DE Krämer, NJW 2012, S. 3202. ↵

Zum aBDSG/DE Krämer, NJW 2012, S. 3202; vgl. auch Overbeck, S. 240 f., die auf einen Vorschlag von Konventionalstrafen zur Absicherung hinweist. ↵

Zur DSGVO und zum aBDSG/DE Overbeck, S. 240 f. und 285, wonach die Schlüssigkeitsprüfung etwa anschlagen könne, wenn für eine sehr junge betroffene Person ein sehr hoher Kredit bei der Auskunftei verzeichnet sei. ↵

Zum aDSG Cellina/Geissbühler, Jusletter 2015, Rn. 29. ↵

Zum aDSG Cellina/Geissbühler, Jusletter 2015, Rn. 34 f. ↵

Vgl. dazu oben Teil 3, C.V.3.3. ↵

Zur DSGVO AEPD, PS/00240/2019 vom 26. April 2021, S. 154 f. ↵

Vgl. AEPD, PS/00240/2019 vom 26. April 2021, S. 155. ↵

Vgl. dazu oben Teil 3, C.V.2. ↵

Vgl. Overbeck, S. 148 und 303. ↵

Eine Pflicht des Datenlieferanten zur Wiedergutmachung von Schäden der betroffenen Person, welche diese wegen gelieferter, unrichtiger Daten erleidet, scheint zwar ebenfalls denkbar, doch im Ergebnis weniger effektiv, nachdem die betroffene Person zunächst einen Schaden erleiden, diesen geltend machen und beweisen müsste. Unter schweizerischem Recht kommt hinzu, dass ein immaterieller Schaden – anders als unter der DSGVO (vgl. deren Art. 82 Abs. 1) – grundsätzlich nicht zu ersetzen ist. ↵

Vgl. EDÖB, Adressdaten im Internet, S. 19 f., wo lediglich hinsichtlich der bei einem privaten Anbieter beschafften Adressdaten die fehlende vertragliche Zusicherung bemängelt wird, nicht hingegen hinsichtlich jenen aus dem Handelsregister; AEPD, PS/00240/2019 vom 26. April 2021, S. 154 f., wo die Aufsichtsbehörde die fehlende Aktualisierung beanstandet, nicht aber Massnahmen zur Gewährleistung der initialen Richtigkeit fordert. ↵

BSK ZGB I-Lardelli/Vetter, Art. 9 N 4 und 11; BK ZGB-Wolf, Art. 9 N 8. ↵

Vgl. KuKo SchKG-Möckli, Art. 8 N 7 f.; BK ZGB-Wolf, Art. 9 N 13 und 42 ff. ↵

EDÖB, Tätigkeitsbericht 2019/2020, S. 37; Basler, o.S.; vgl. auch EDÖB, Teledata, S. 16. ↵

Bericht Wirtschaftsauskunfteien, S. 14 f.; vgl. auch Peter et al., S. 31, 53, 65 und 67. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 2 ff. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 15. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 16. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 19. ↵

Vgl. EDÖB, Bonitäts- und Inkassounternehmen, Rn. 42, wonach in der Praxis die allermeisten Online-Shops einer als unbekannt geltenden Person keinen Kauf auf Rechnung (mehr) anbieten würden. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 31. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 31. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 16. ↵

EDÖB, Bonitäts- und Inkassounternehmen, Rn. 15 ff. und 66. ↵

EDÖB, Mietercheck, Rn. 11, 13 und 47. ↵

EDÖB, Mietercheck, Rn. 48, wonach Name, Vorname, Adresse und Geburtsdatum für eine eindeutige Identifikation genügen sollen. Dies greift insofern etwas zu kurz, als diese Angaben der Kreditgeberin und/oder der Auskunftei zuweilen nicht in globo oder nicht richtig vorliegen. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.b. ↵

Zum aDSG vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2; EDÖB, ZEK, S. 23 f.; zur DSGVO vgl. Krämer, NJW 2020, S. 498, wonach eine Prüfungspflicht jedenfalls soweit bestehe, als die Auskunftei von Dritten beschaffte Daten in die Scorewertberechnung einfliessen lasse; Schulz, in: Gola/Heckmann, Art. 6 N 107; zum aBDSG/DE Krämer, NJW 2012, S. 3202. ↵

Vgl. dazu oben Teil 3, C.V.4.2.a. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2; EDÖB, ZEK, S. 23 f. ↵

Zur DSGVO vgl. Krämer, NJW 2020, S. 498; Schulz, in: Gola/Heckmann, Art. 6 N 107; zum aBDSG/DE Krämer, NJW 2012, S. 3202. ↵

Vgl. dazu oben Teil 3, C.V.2. und C.V.4.1. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

Seit Inkrafttreten des neuen DSG wird dies keinen Unterschied mehr darstellen, da die Kreditgeberin und die Auskunftei eine Informationspflicht trifft (Art. 19 DSG; Art. 13 f. DSGVO). ↵

EDÖB, ZEK, S. 23 f. ↵

EDÖB, ZEK, S. 24. ↵

Vgl. George, S. 317. ↵

So Métille/Nguyen Xuan, S. 179. ↵

Vgl. dazu unten Teil 3, C.VI.3.2.c.dd.i.1. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2. ↵

Cellina/Geissbühler, dRSK 2017, Rn. 25; vgl. auch Kern/Egli, in: Epiney/Sangsue, S. 133, wonach die verlangten Überprüfungen eine umfassende oder weitgehende «Richtigkeit» des Datensatzes, wie sie der Grundsatz eigentlich verlange, kaum umzusetzen vermögen würden. ↵

Botschaft Totalrevision DSG, S. 7075. ↵

Vgl. dazu oben Teil 3, C.V.2. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

EDÖB, ZEK, S. 16 und 23. ↵

Der EDÖB nimmt pro Auszug bzw. Abfrage drei Einträge, d.h. drei Stichproben, an (EDÖB, ZEK, S. 23). Hätte er auf die Auszüge bzw. Abfragen an sich abgestellt, wäre statt mit total ca. 77’200, lediglich mit total ca. 25’734 Stichproben (also einem Drittel davon) zu rechnen gewesen. Die Überprüfungsquote läge sodann bei ca. 1.22 %. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.1. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

EDÖB, ZEK, S. 16 und 23. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.d.aa.i. ↵

Métille/Nguyen Xuan, S. 179. ↵

Vgl. dazu oben Teil 3, C.V.4.1.a. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

EDÖB, ZEK, S. 25, wo er es angesichts der konkreten Umstände bei der ZEK genügen liess, dass bei jedem Mitglied alle vier Jahre ein Audit und in diesem Rahmen die Stichproben durchgeführt werden. Wegen des einzigartigen Aufbaus der ZEK (vgl. dazu oben Teil 1, C.II.3.2) und dem einer Auskunftei üblicherweise fehlenden Auditrecht gegenüber den Kreditgeberinnen lässt sich diese Umsetzungsform auf eine Auskunftei nicht übertragen. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2. ↵

Vgl. dazu oben Teil 3, C.V.4.2.b.cc.ii.1. ↵

Vgl. dazu oben Teil 1, E.II.2. ↵

Zum DSG und zur DSGVO George, S. 319; zum DSG SHK DSG-Baeriswyl, Art. 6 N 66; PC LPD-Francey, Art. 6 N 119; vgl. auch CR LPD-Meier/Tschumy, Art. 6 N 66; Uttinger/Geiser, Rn. 2.23, wonach aber gemischte Werturteile dem Richtigkeitsgrundsatz unterstünden; zum aDSG BSK aDSG-Maurer-Lambrou/Schönbächler, Art. 5 N 9 f.; vgl. auch Vasella, Jusletter 2015, Rn. 10; zur DSGVO Herbst, in: Kühling/Buchner, Art. 5 N 60; Roßnagel, ZD 2018, S. 341; vgl. auch Heinemann/Wäßle, S. 603. ↵

Zum DSG und zur DSGVO George, S. 319; zum DSG Uttinger/Geiser, Rn. 2.23; zur DSGVO vgl. ICO, GDPR, S. 35. ↵

Vgl. dazu oben Teil 3, C.V.3.1. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 113; implizit Pfaffinger, Rn. 1394; Rosenthal, Jusletter IT 2022, Rn. 20; zum aDSG Epiney, in: Belser et al., § 9 N 46; vgl. auch HK aDSG-Rosenthal, Art. 5 N 3; zur DSGVO Dimitrova, Ziff. 2; Hallinan/Zuiderveen Borgesius, S. 8 f.; Schantz, in: Wolff et al., Art. 5 N 27; vgl. auch Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 13. ↵

Zum aDSG EDÖB, Leitfaden Arbeitsbereich, S. 13, wonach subjektive Beurteilungen, die auf objektiven Kriterien beruhen würden, sich auf die Einhaltung dieser Kriterien und die Nachvollziehbarkeit für Dritte überprüfen liessen; vgl. auch EDÖB, PostFinance, S. 20, wo der EDÖB Wahrscheinlichkeitsaussagen ohne nähere Betrachtung dieser Streitfrage dem Richtigkeitsgrundsatz unterstellte. ↵

Zur DSGVO APD/GBA, 77/2023 vom 16. Juni 2023, Ziff. 162; vgl. auch ICO, GDPR, S. 35. ↵

Zur DSGVO Dimitrova, Ziff. 2; vgl. auch Hoeren, IJLIT 2017, S. 34 f. ↵

Vgl. dazu oben Teil 3, C.V.3.1. ↵

Zum DSG Bühlmann/Schüepp, Jusletter 2022, Rn. 113; zum aDSG Epiney, in: Belser et al., § 9 N 46. ↵

Zum aDSG vgl. HK aDSG-Rosenthal, Art. 5 N 3; zur DSGVO Dimitrova, Ziff. 2; Hallinan/Zuiderveen Borgesius, S. 8 f. ↵

Zum aDSG vgl. Kern/Egli, in: Epiney/Sangsue, S. 133; zur DSGVO vgl. Hallinan/Zuiderveen Borgesius, S. 9; Schantz, in: Wolff et al., Art. 5 N 27. ↵

Zur DSGVO vgl. Dimitrova, Ziff. 2; Hallinan/Zuiderveen Borgesius, S. 9. ↵

Zur DSGVO Hallinan/Zuiderveen Borgesius, S. 10; vgl. auch Adolff/Langenbucher, S. 7; Heberlein, S. 691. ↵

Zur DSGVO Hallinan/Zuiderveen Borgesius, S. 10. ↵

Zum DSG vgl. Rosenthal, Jusletter IT 2022, Rn. 20; zum aDSG vgl. Epiney, in: Belser et al., § 9 N 46; HK aDSG-Rosenthal, Art. 5 N 3; zur DSGVO Hallinan/Zuiderveen Borgesius, S. 8; Schantz, in: Wolff et al., Art. 5 N 27; vgl. auch Krämer, Scoring, S. 10, in Bezug auf Kreditscores, wonach es der Verwendung eines wahren, überprüfbaren Tatsachenkerns bedürfe, der die konkrete Bewertung zu rechtfertigen vermöge. ↵

Zum DSG so aber BSK DSG-Bühlmann/Reinle, Art. 6 N 250; zum aDSG so aber HK aDSG-Rosenthal, Art. 5 N 3. ↵

Zum aDSG vgl. Vasella, Jusletter 2015, Rn. 10; zur DSGVO vgl. Lorentz, S. 250 f. ↵

Zum aDSG vgl. EDÖB, PostFinance, S. 20; Kern/Egli, in: Epiney/Sangsue, S. 133; implizit Walter, in: Epiney et al. 2011, S. 109; zur DSGVO vgl. ICO, AI, S. 39; Baumgartner et al., S. 546. ↵

Zum aDSG vgl. Kern/Egli, in: Epiney/Sangsue, S. 133; Vasella, Jusletter 2015, Rn. 10; zur DSGVO vgl. ICO, AI, S. 39; Baumgartner et al., S. 546. ↵

Zum aDSG vgl. BSK DSG-Bühlmann/Reinle, Art. 6 N 251; Vasella, Jusletter 2015, Rn. 10; zur DSGVO vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 19, wonach die Zuordnung zu einer Gruppe mit hoher Herzkrankheit-Wahrscheinlichkeit, auch wenn die betroffene Person niemals eine solche Erkrankung erleide, «nicht zwingend falsch» sein müsse, sondern «statistisch betrachtet faktisch richtig» sein könne. ↵

Zum aDSG vgl. Kern/Egli, in: Epiney/Sangsue, S. 133. ↵

Zur DSGVO vgl. Lorentz, S. 251; zur DSRL vgl. Art.‑29‑DSG, Opinion purpose limitation, S. 61. ↵

Zum DSG vgl. Vasella, Jusletter 2015, Rn. 10, in Bezug auf Ratings; zur DSGVO a.M. wohl Lorentz, S. 251. ↵

Vgl. dazu oben Teil 3, C.V.5.1.a. ↵

Zum aDSG Cellina/Geissbühler, dRSK 2017, Rn. 21; Cellina/Geissbühler, Jusletter 2015, Rn. 29. ↵

Zum aDSG EDÖB, PostFinance, S. 20. ↵

Soweit die folgenden Ausführungen Werturteile ansprechen, sind damit auch Wahrscheinlichkeitsaussagen gemeint, da sich die Ausführungen übertragen lassen. ↵

Zum aDSG Rosenthal, Jusletter IT 2022, Rn. 20; vgl. auch Epiney, in: Belser et al., § 9 N 46; Vasella, Jusletter 2015, Rn. 10, wonach Wahrscheinlichkeitsaussagen höchstens dann unrichtig seien, wenn sie in einem untauglichen oder kompromittierten Verfahren bestimmt worden seien; zur DSGVO Hallinan/Zuiderveen Borgesius, S. 10; vgl. auch Lorentz, S. 318; Schantz, in: Wolff et al., Art. 5 N 27. ↵

Zum DSG und zur DSGVO vgl. George, S. 319 f. (Fn. 1473); zur DSGVO Hallinan/Zuiderveen Borgesius, S. 9, wonach etwa die Sorgfaltspflicht eines Arztes diesen zwinge, bei der Diagnose fachlich anerkannte Methoden anzuwenden. ↵

Zum DSG und zur DSGVO vgl. George, S. 319 f. (Fn. 1473), mit einem Beispiel aus dem Cross Industry Standard for Data Mining (CRISP-DM); zur DSGVO vgl. Hallinan/Zuiderveen Borgesius, S. 9. ↵

Zum DSG vgl. Rosenthal, Jusletter IT 2022, Rn. 20 und 30 f. ↵

Es ist freilich anzumerken, dass sich EG 71 Satz 6 DSGVO, systematisch betrachtet, auf automatisierte Entscheidungen – nicht auf das Profiling – bezieht und diese Forderung aufstellt, «um eine faire und transparente Verarbeitung zu gewährleisten». ↵

BJ, Totalrevision, S. 16. ↵

Vgl. dazu oben Teil 1, D.II.2. ↵

Vgl. § 28b Abs. 1 Ziff. 1 aBDSG/DE und § 31 Abs. 1 Ziff. 2 BDSG/DE, der verlangte bzw. verlangt, dass die zur Berechnung eines Scores genutzten Daten unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sind. § 31 Abs. 1 Ziff. 2 BDSG/DE soll zwar gestrichen, aber inhaltlich in § 37a Abs. 2 Ziff. 3 lit. a BDSG/DE übernommen werden (vgl. Gesetzesbegründung Änderung BDSG/DE, S. 24). ↵

Vgl. dazu oben Teil 3, C.I.2. ↵

Vgl. Guggenberger, in: Sydow/Marsch, § 31 N 12, der – umgekehrt – davon ausgeht, dass § 31 Abs. 1 Ziff. 2 BDSG/DE inhaltlich auf EG 71 Satz 6 DSGVO aufbaue. ↵

Was ein wissenschaftlich anerkanntes Verfahren ausmacht, ist nicht restlos geklärt und umstritten (Domurath/Neubeck, S. 24 f.; Ehmann, in: Simitis et al., Anhang 2 zu Art. 6 N 39 ff., je m.w.H.). ↵

Vgl. Domurath/Neubeck, S. 24 f.; Kamp/Weichert, S. 48. ↵

Das BDSG/DE weicht insofern von EG 71 Satz 6 DSGVO ab und ist daher tendenziell strenger, als es ein wissenschaftlich anerkanntes (nicht bloss ein geeignetes) mathematisch-statistisches Verfahren verlangt. ↵

Domurath/Neubeck, S. 24; Kamp/Weichert, S. 48; vgl. auch HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.3. ↵

Vgl. dazu oben Teil 1, D.II.2.2.a. ↵

Vgl. dazu auch oben Teil 3, C.I.2. ↵

Wie ausgeführt (vgl. dazu oben Teil 3, C.V.5.2.a), genügt auch eine Methode zur Erschliessung von Werturteilen, die angesichts der bestehenden Erfahrungswerte als vertretbar zu betrachten ist. Dementsprechend schliesst diese Vorgabe des Richtigkeitsgrundsatzes heuristisch gebildete Kreditscoring-Modelle (vgl. dazu oben Teil 1, D.II.1.) nicht aus. ↵

IG Wirtschaftsauskunfteien Verhaltensregeln, Ziff. 16. ↵

Vgl. Lorentz, S. 318. ↵

28

Datensicherheit

Allgemeines

Der Verantwortliche und der Auftragsbearbeiter müssen durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten (Art. 8 Abs. 1 DSG; vgl. Art. 5 Abs. 1 lit. f DSGVO). Für das schweizerische Recht konkretisieren Art. 1 ff. DSV diesen Grundsatz ausführlich, indem sie etwa den risikobasierten Ansatz erläutern und den Schutzzielen zugeordnete Massnahmen aufzählen.[1] Art. 5 Abs. 1 lit. f DSGVO, der seiner Bezeichnung nach lediglich die «Integrität und Vertraulichkeit» anspricht, adressiert ausweislich seines Wortlauts ebenfalls die Datensicherheit in einem breiteren Sinn und erfährt insbesondere durch Art. 32 DSGVO eine Konkretisierung.[2] Letztere Bestimmung stellt nach der Botschaft zur Totalrevision des DSG eine ähnliche Regelung wie Art. 8 DSG dar.[3] Zudem will sich der Bundesrat bei Erlass von Art. 1 ff. DSV an der DSGVO orientiert haben, sodass Unternehmen mit DSGVO-konformer Datensicherheit davon ausgehen können, auch die Mindestanforderungen des schweizerischen Rechts zu erfüllen.[4]

Beide Erlasse definieren zudem, was unter einer Verletzung der Datensicherheit[5] zu verstehen ist, nämlich eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden (Art. 5 lit. h DSG; ähnlich Art. 4 Ziff. 12 DSGVO). Die Verletzung der Datensicherheit etwa durch einen Ransomware-Angriff oder ein Datenleck bedeutet nicht ohne Weiteres, dass der Grundsatz der Datensicherheit missachtet wurde, nachdem dieser lediglich geeignete Massnahmen und keine absolute Sicherheit verlangt.[6] Eine Datensicherheitsverletzung kann indes Melde- und Informationspflichten auslösen.[7] Umgekehrt setzt die Missachtung des Grundsatzes keine Datensicherheitsverletzung voraus, sondern liegt bereits vor, wenn keine angesichts der konkreten Umstände angemessenen Massnahmen ergriffen werden.[8]

Im Folgenden ist zunächst auf die Schutzziele der Datensicherheit einzugehen (nachfolgend 2.), bevor die Massnahmen für eine angemessene Datensicherheit im Allgemeinen (nachfolgend 3.1) und im Zusammenhang mit den Kreditwürdigkeitsprüfungen der Auskunfteien im Besonderen (nachfolgend 3.2) zu betrachten sind.

Schutzziele

Klassische Schutzziele

Die Datensicherheit zielt zunächst auf den Schutz von Daten vor dem ungewollten Verlust, der ungewollten Löschung, Vernichtung, Veränderung oder Offenlegung oder anderem Zugänglichmachen gegenüber Unbefugten.[9] Ausserdem sollen die Daten soweit benötigt zur Verfügung stehen und der Zugang zu ihnen bei Zwischenfällen rasch wiederherstellbar sein.[10] Nach herkömmlichem Verständnis verfolgt die Datensicherheit daher folgende Schutzziele:[11]

Vertraulichkeit: Personendaten sollen nur Berechtigten zugänglich sein. Dieses Ziel ist in Frage gestellt, wenn beispielsweise eine Mitarbeiterin einen unverschlüsselten Datenträger im Zug liegen lässt oder eine Sicherheitslücke in einer Fitness-App Nutzenden Zugang zu Daten Dritter verschafft.

Verfügbarkeit: Personendaten sollen verfügbar sein, wenn sie benötigt werden. Die Verfügbarkeit steht etwa in Gefahr, wenn Hardware einer Arztpraxis und damit der Zugriff auf Gesundheitsdaten ausfällt oder ein Angreifer Daten verschlüsselt und für deren Entschlüsselung ein Lösegeld fordert (sog. Ransomware).

Integrität: Personendaten sollen nicht unberechtigt oder unbeabsichtigt verändert werden. Das Ziel dient der Datenrichtigkeit,[12] und ist z.B. nicht mehr gewährleistet, wenn eine Malware Angaben eines Bankkontos verändert oder eine Universität den Studierenden nach einer Datenmigration falsche Noten zuordnet.

Weitere Schutzziele

Den genannten Schutzzielen fügt Art. 2 lit. d DSV die Nachvollziehbarkeit hinzu. Sie bezweckt, dass sich überprüfen lässt, wer welche Personendaten zu welcher Zeit bearbeitet und allenfalls bekanntgegeben hat, und dass Datensicherheitsverletzungen rasch erkannt werden (Art. 3 Abs. 3 DSV).[13] Dies soll etwa erlauben, unbefugte Datenzugriffe oder Missbräuche zu identifizieren und Ursachen von Datensicherheitsvorfällen zu ermitteln.[14] Die DSGVO nennt dieses Schutzziel weder in ihrem verfügenden Teil noch in ihren Erwägungsgründen. Allerdings versteht die Lehre die Nachvollziehbarkeit zuweilen als Aspekt der Integrität bzw. die Überprüfbarkeit von Datenbearbeitungen und die Erkennung von Datensicherheitsverletzungen als Massnahme zugunsten der Integrität.[15] Darin zeigt sich, dass die Nachvollziehbarkeit nur indirekt der Datensicherheit und mehr der Rechenschaft (accountability) dient.[16] Die diesbezüglichen Vorgaben der Konv. 108+ und der DSGVO[17] dürften den schweizerischen Verordnungsgeber (neben der Harmonisierung mit dem ISG[18]) dazu bewogen haben, mit der Nachvollziehbarkeit als eigenes Schutzziel und Massnahmen zu deren Gunsten eine abgemilderte Rechenschaftspflicht vorzusehen.[19]

Anstelle der Nachvollziehbarkeit nennt Art. 32 Abs. 1 lit. b DSGVO zusätzlich die Belastbarkeit, auch Resilienz genannt. Sie bezeichnet die Fähigkeit eines Systems, Gefahrenlagen zu bewältigen, insbesondere bei Störungen möglichst nicht auszufallen, und die Leistungsfähigkeit aufrechtzuerhalten oder zumindest rasch wiederherzustellen.[20] Dabei handelt es sich eigentlich um kein klassisches Schutzziel der Daten- und Informationssicherheit, sondern um eine funktionale Anforderung an IT-Systeme.[21] Jedoch ist diese Anforderung natürlich mit den (klassischen) Schutzzielen verknüpft, wie auch der Bundesrat – zu Recht – ausdrückt, wenn er mit Massnahmen zugunsten der Verfügbarkeit bzw. Integrität (nach Art. 3 Abs. 2 lit. e DSV) auch «die Stabilität bzw. die Belastbarkeit der eingesetzten Systeme dauerhaft gewährleiste[n]» will.[22]

Nicht mehr Teilgehalt der Datensicherheit ist seit der Totalrevision des DSG der Datenschutz durch Technik, also das Prinzip von Privacy by Design, das nicht den allgemeinen technischen und organisatorischen Rahmen der Datenbearbeitung betrifft, sondern der Einhaltung der (übrigen) Datenschutzvorschriften und damit dem Persönlichkeitsschutz des Einzelnen dient.[23] Dies macht das Gesetz mit der Regelung in separaten Artikeln erkennbar (vgl. Art. 7 bzw. 8 DSG). Im Anwendungsbereich der DSGVO leitet ein Teil der (deutschen) Lehre aus dem Grundsatz der Datensicherheit (zuweilen unter dem Begriff des Systemdatenschutzes) eine mit Privacy by Design vergleichbare Pflicht ab, Massnahmen zur Einhaltung der (übrigen) datenschutzrechtlichen Grundsätze und anderen Vorgaben zu ergreifen.[24] Diese Lehrmeinung lässt ausser Acht, dass das Prinzip von Privacy by Design auch in der DSGVO separat geregelt ist und dem betreffenden Art. 25 eine eigenständige Bedeutung zukommt.[25] Im Übrigen hielt auch ein Generalanwalt des EuGH fest, dass es bei Art. 5 Abs. 1 lit. f DSGVO, der in Art. 32 ff. DSGVO konkretisiert werde, um nichts Weiteres gehe als um allgemeine formale Anforderungen an die Sicherheit der Daten.[26]

Massnahmen für eine angemessene Datensicherheit

Im Allgemeinen

Massnahmen

Das DSG und die DSGVO verlangen technische und organisatorische Massnahmen zur Gewährleistung einer angemessenen Datensicherheit. Erstere Massnahmen hängen direkt mit dem Informationssystem zusammen oder betreffen den physischen Schutz, beispielsweise eine Verschlüsselung oder Mehrfaktorauthentifizierung. Letztere setzen an Strukturen und Prozessen an und betreffen insoweit das Umfeld des Informationssystems, etwa interne Richtlinien und Schulungen.[27] Hinsichtlich ihres Anknüpfungspunkts lassen sich präventive bzw. proaktive (z.B. die Pseudonymisierung oder Zugriffs- und Berechtigungskonzepte), detektive (z.B. Firewalls oder das Vier-Augen-Prinzip) und reaktive Massnahmen (z.B. ein Notfallkonzept oder Backups) unterscheiden.[28]

Welche konkreten Massnahmen zu ergreifen sind, schreiben das schweizerische und das europäische Recht kaum vor. Art. 32 Abs. 1 DSGVO nennt als Massnahmen beispielhaft – wie der Wortlaut zeigt[29] – die Pseudonymisierung und die Verschlüsselung von personenbezogenen Daten und damit Massnahmen, die auch der Bundesrat in den Materialien beliebt macht.[30] Die DSV sieht zudem in gewissen Fällen die Pflicht vor, automatisierte Datenbearbeitungen zu protokollieren und ein Bearbeitungsreglement zu erstellen (Art. 4 ff. DSV). Dabei handelt es sich aber um keine eigentlichen Massnahmen der Datensicherheit, sondern vielmehr um solche zugunsten der Rechenschaft (accountability).[31] Im Übrigen statuieren das schweizerische und das europäische Recht neben den angesprochenen Schutzzielen lediglich daran anknüpfende Zielvorgaben der Massnahmen,[32] so beispielsweise die Zugangskontrolle, der etwa abschliessbare Räumlichkeiten dienen, die Transportkontrolle, für die sich unter anderem eine Verschlüsselung einsetzen lässt, sowie die Wiederherstellung, für die sich ein Backup-Konzept empfiehlt.[33] Die in Art. 3 DSV enthaltenen Zielvorgaben[34] sind teilweise an die DSGVO angelehnt[35] und letztlich weitgehend aus Art. 29 JIRL übernommen.[36] Diese Bestimmung zieht die Literatur auch zur Auslegung der DSGVO heran.[37]

Wie noch auszuführen sein wird, sind der Schutzbedarf, das Risiko und die Massnahmen laufend zu überprüfen und die Massnahmen erforderlichenfalls anzupassen.[38] Als eine eigene, darüberhinausgehende[39] Massnahme empfiehlt der Bundesrat,[40] Verfahren zur Identifikation, Bewertung und Evaluierung der Risiken und zur regelmässigen Überprüfung und Bewertung der Wirksamkeit und Angemessenheit der Massnahmen. Diese Massnahme ist wohl aus der DSGVO rezipiert, die in Art. 31 Abs. 1 lit. d Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Massnahmen anspricht. Zu denken ist dabei insbesondere an Audits, Vulnerability Scans und Penetrationstests.[41] So können z.B. externe Audits zur Gewährleistung einer angemessenen Datensicherheit, etwa aufgrund der besonderen Sensibilität der bearbeiteten Daten, erforderlich sein. Der EDÖB betrachtete jedenfalls kürzlich den Datensicherheitsgrundsatz als verletzt, weil die Betreiberin einer Dating-App ihre Sicherheitsmassnahmen nicht durch Externe hatte überprüfen lassen.[42]

Angemessene Datensicherheit

Das DSG und die DSGVO verfolgen bei der Festlegung der geeigneten[43] technischen und organisatorischen Massnahmen einen risikobasierten Ansatz (vgl. Art. 1 Abs. 1 DSV; Art. 32 Abs. 1 DSGVO).[44] Zu dessen Umsetzung deutet das schweizerische Recht ein Vorgehen in drei Schritten an: Zunächst ist eine Schutzbedarfsanalyse durchzuführen, dann das Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person zu beurteilen und schliesslich sind die Massnahmen festzulegen (vgl. Art. 1 DSV).[45] Die DSGVO kennt im Wesentlichen dieselben Kriterien wie das DSG, strukturiert diese aber weniger (vgl. Art. 32 Abs. 1 und 2 DSGVO). Dennoch liegt ein Vorgehen wie unter schweizerischem Recht nahe und wird auch in der Lehre in ähnlicher Form empfohlen.[46]

Der Schutzbedarf beurteilt sich nach der Art der bearbeiteten Daten sowie dem Zweck, der Art, dem Umfang und den Umständen der Bearbeitung (Art. 1 Abs. 2 DSV). Die Art der bearbeiteten Daten, etwa gewöhnliche oder besonders schützenswerte Personendaten,[47] nennt die DSGVO nicht ausdrücklich als Kriterium (vgl. Art. 32 Abs. 1 DSGVO). Gleichwohl ist davon auszugehen, dass jedenfalls die besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO eines höheren Schutzes bedürfen, deren Verarbeitung also auch im europäischen Recht zu berücksichtigen ist.[48] Für einen höheren Schutzbedarf sprechen auch Zwecke, bei denen es zu stärkeren Eingriffen in die Persönlichkeit kommen kann,[49] wie etwa die Durchführung eines Persönlichkeitstests, (ausschliesslich) automatisierte Bearbeitungen und Entscheidungen, eine grosse Anzahl von Bearbeitungsprozessen sowie ein grosser Umfang (über einzelne Personen) bearbeiteter Daten.[50] Je höher der Schutzbedarf, desto strenger sind die Anforderungen an die Massnahmen.[51]

Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person beurteilt sich, wie Art. 1 Abs. 3 DSV konkretisiert, nach den Ursachen des Risikos, den hauptsächlichen Gefahren, den ergriffenen oder vorgesehenen Massnahmen und der Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz dieser Massnahmen.[52] Art. 32 Abs. 1 DSGVO beschränkt sich als Kriterium auf den klassischen Risikobegriff, also die Eintrittswahrscheinlichkeit und Schwere möglicher «Schäden».[53] Um geeignete Massnahmen zu bestimmen, spielen aber auch hier die Ursachen, etwa Nutzende oder Computerviren, und die Gefahren wie Unachtsamkeit oder Cybercrime-Delikte eine Rolle.[54] Die Berücksichtigung der ergriffenen oder vorgesehenen Massnahmen führt zu einem zirkulären Vorgehen. Denn die geeigneten Massnahmen sollen im Hinblick auf das Risiko festzulegen sein (Art. 1 Abs. 1 DSV), während sich das Risiko seinerseits anhand der Massnahmen beurteilen soll (Art. 1 Abs. 3 lit. c und d DSV).[55] Insofern taugt das in Art. 1 DSV angelegte Konzept zur Bestimmung der Massnahmen jedenfalls in der Theorie nicht. Gemeint sein wird, dass zunächst das Risiko unabhängig von den Massnahmen zu bestimmen ist und im Hinblick darauf Massnahmen (provisorisch) festzulegen sind. Im Anschluss ist die Eignung der Massnahmen, die Schutzziele zu gewährleisten, anhand des trotz der Massnahmen verbleibenden Risikos zu beurteilen. Allenfalls drängen sich sodann weitere Massnahmen auf.

Bei der Festlegung der Massnahmen sind der Stand der Technik und die Implementierungskosten zu berücksichtigen (Art. 1 Abs. 4 DSV; Art. 32 Abs. 1 DSGVO). Dem Stand der Technik entsprechen Massnahmen, die (in ausreichendem Masse) verfügbar sind und sich in der Praxis bewährt haben.[56] Die Implementierungskosten sind weit zu verstehen; zu ihnen zählen auch die erforderlichen personellen und zeitlichen Ressourcen.[57] Gemäss Bundesrat und einer ihm folgenden Lehrmeinung zum DSG[58] sollen sich der Verantwortliche und der Auftragsbearbeiter «nicht mit der Begründung von der Pflicht einer angemessenen Datensicherheit befreien [können], dass damit übermässige Kosten verbunden sind». Diese Ansicht liesse sich zwar auf den Wortlaut von Art. 1 DSV stützen, würde aber dessen Abs. 4 lit. b jeder eigenständigen Bedeutung berauben: Dass unter Massnahmen gleicher Wirksamkeit die kostengünstigere Variante ausgewählt werden darf, ist selbstverständlich und bedarf keiner Regelung.[59] Daher sind (unter dem DSG und der DSGVO) die Implementierungskosten auch mit Blick auf die Verhältnismässigkeit, der die Bestimmung Ausdruck verleihen will, bereits für die Angemessenheit relevant.[60] Dies entspricht im Übrigen der bisherigen schweizerischen Praxis.[61]

Bei der Festlegung der Massnahmen lassen sich als Methode und Ausdruck des Stands der Technik internationale Standards wie die ISO/IEC 27000-Normenreihe heranziehen.[62] So sieht etwa die Norm ISO/IEC 27001 ein Informationssicherheitsmanagementsystem (ISMS) vor, das die Struktur einer Organisation beschreibt, Risiken analysiert und bewertet sowie einen Plan für den Umgang mit diesen entwirft.[63] Obwohl gerade in der angesprochenen Reihe eine Norm besteht, die auch Anforderungen zum Datenschutzrecht integriert,[64] kritisiert die Lehre, dass die (meisten) bestehenden internationalen Standards die Angemessenheit der Massnahmen nur ungenügend sicherzustellen bzw. zu überprüfen erlauben würden, weil sie nicht auf die Datensicherheit im Sinne des DSG bzw. der DSGVO ausgerichtet seien.[65]

Mit der einmaligen Festlegung angemessener Massnahmen ist dem Grundsatz noch nicht Genüge getan. Unter beiden Rechtsordnungen ist vielmehr sicherzustellen, dass der Schutzbedarf der Personendaten, das Risiko und die Massnahmen über die gesamte Bearbeitungsdauer hinweg überprüft und letztere nötigenfalls angepasst werden. Dies hält Art. 1 Abs. 5 DSV ausdrücklich fest, ergibt sich aber bereits aus dem Erfordernis, ein angemessenes Schutzniveau dauerhaft sicherzustellen,[66] und gilt daher (ohne explizite oder jedenfalls zwingende Verankerung[67]) auch unter der DSGVO.[68] Der Überprüfungsbedarf hängt vom Risiko ab; je höher es ist, desto häufiger hat eine Überprüfung zu erfolgen.[69] Zudem sind anlassbezogene Überprüfungen angezeigt, etwa bei einer Datensicherheitsverletzung oder bei Anpassungen der Datenbearbeitungen.[70]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Schutzbedarf

Auskunfteien bearbeiten üblicherweise keine besonders schützenswerten bzw. besonderen Kategorien personenbezogener Daten bei ihrer charakteristischen Geschäftstätigkeit.[71] Dafür verwenden sie Finanzdaten, deren Bearbeitung vereinzelte Stimmen in der (deutschen) Lehre – im Vergleich zu jener (anderer) gewöhnlicher Personendaten – als tendenziell heikler einstufen und beim Schutzbedarf berücksichtigen.[72] Das Bundesverwaltungsgericht hat dies zwar im Moneyhouse-Entscheid nicht besonders erwähnt;[73] dennoch liegt es nahe, die «Art der Daten» weiter zu unterscheiden und etwa Stammdaten anders zu behandeln als Finanzdaten.[74] Der Bearbeitungszweck, die Prüfung der Kreditwürdigkeit, spricht nicht für einen erhöhten Schutzbedarf, nachdem er an sich nur den wirtschaftlichen Teilbereich der Persönlichkeit betrifft. Im schweizerischen Recht kommt hinzu, dass das DSG die Kreditwürdigkeitsprüfung besonders anerkennt und (beschränkt) privilegiert (vgl. Art. 31 Abs. 2 lit. c DSG). Dagegen verlangen die Art und der Umfang der Datenbearbeitungen von Auskunfteien einen höheren Schutz. Die Auskunfteien bearbeiten Daten automatisiert und in grossem Umfang, nachdem sie die Daten einer grossen Anzahl betroffener Personen und von diesen tendenziell viele Daten bearbeiten.[75] Die Berechnung des Kreditscores stellt ein Profiling dar,[76] das den Schutzbedarf ebenfalls erhöht, und im Falle eines Profilings mit hohem Risiko besonders ins Gewicht fiele.[77] Es ist daher von einem hohen Schutzbedarf auszugehen.

Zugänglichkeit für Unbefugte als spezifisches Risiko

Wie bei anderen Unternehmen sind die unterschiedlichsten Risikoursachen und Gefahren denkbar, die mit ihrer jeweiligen Wahrscheinlichkeit zu einer Datensicherheitsverletzung einer bestimmten Schwere führen können.[78] So kann beispielsweise ein Mitarbeiter einer Auskunftei sich aus Unachtsamkeit von einer Phishing-Mail täuschen lassen, wodurch Angreifer (in einem wohl unwahrscheinlichen Fall) Zugriff auf die Datenbank der Auskunftei erlangen und diese anschliessend (mit schwerwiegenden Folgen) veröffentlichen könnten. Zur Mitigierung dieses und anderer generell bei Unternehmen bestehender Risiken kommt eine Vielzahl von Massnahmen in Frage,[79] wobei auch diese überwiegend nicht für Auskunfteien spezifisch sind, vorliegend z.B. E-Mail-Filter, Mehrfaktorauthentifizierung, Schulungen und Richtlinien. Dem Untersuchungsgegenstand entsprechend, beschränkt sich die folgende Betrachtung auf ein spezifisches Risiko bei der charakteristischen Geschäftstätigkeit einer Auskunftei.

Das (bisher) praxisrelevanteste Beispiel einer spezifischen Risikoursache sind Kreditgeberinnen, also Kundinnen der Auskunftei, die sich – im konkreten Fall als Unbefugte – Daten von der Auskunftei beschaffen.[80] Unbefugt sind sie, wenn sie über kein kreditorisches Risiko gegenüber der betroffenen Person entscheiden müssen und ihnen mithin ein Interesse an der Auskunft fehlt.[81] Ohne technische oder organisatorische Massnahmen, wenn also Dritte ohne Weiteres Auskünfte abrufen können, liegen unbefugte Zugriffe und damit die Verletzung der Vertraulichkeit der Daten nahe. Gleichzeitig würden solche Missbrauchsfälle bedeuten, dass die Auskunftei gegebenenfalls einen Kreditscore berechnet, also ein Profiling (allenfalls mit hohem Risiko) vornimmt, obwohl im Einzelfall kein Interesse an der Kreditwürdigkeitsprüfung besteht.[82]

Eine Verletzung der Vertraulichkeit wäre mit verschiedenen, unterschiedlich wahrscheinlichen Auswirkungen auf die betroffenen Personen verbunden, die zumindest in ihrer Kombination substanziell sind. So wird ein Zugang zu Bonitätsdaten nach Belieben Dritter die betroffenen Personen potenziell blossstellen und in ihrer Reputation verletzen. Ein solcher Zugang würde zudem die zweckwidrige Verwendung der Bonitätsdaten fördern, etwa als Aussage über die ausser-finanzielle Zuverlässigkeit. Dies dürfte nicht selten zu ungerechtfertigten sozialen und wirtschaftlichen Nachteilen führen, z.B., dass einer Person deswegen eine Arbeitsstelle nicht angeboten wird. Unwahrscheinlich, aber denkbar escheinen auch Verschlechterungen der seelischen oder körperlichen Gesundheit der betroffenen Person.

Massnahmen gegen die Zugänglichkeit für Unbefugte

Um dem Risiko der Bekanntgabe an Unbefugte (und der vorangehenden Berechnung von Kreditscores ohne Interesse) zu begegnen, sind verschiedene Massnahmen, insbesondere im Bereich der Zugriffs- und Benutzerkontrolle[83] sowie der Bekanntgabekontrolle[84] angezeigt. Welche Massnahmen eine Auskunftei im konkreten Fall zu treffen hat, lässt sich allerdings nicht abstrakt, sondern nur im Rahmen einer ganzheitlichen Betrachtung bestimmen.[85] Dabei sind nicht zuletzt die konkreten Implementierungskosten zu berücksichtigen, für die auch etwa relevant sein kann, dass die Auskunftei mit der Automatisierung einer Massnahme ihren Aufwand zu senken vermag.[86] Dennoch zeigt (auch) die Praxis, auf die sogleich einzugehen ist, dass sich gewisse Massnahmen aufdrängen.

Die Anforderungen an den Interessennachweis sind – wie die Anforderungen an die Massnahmen zugunsten der Datensicherheit – von der Sensibilität der bekanntzugebenden Daten[87] und generell vom Schutzbedarf und Risiko abhängig. In Anlehnung an Art. 8a SchKG[88] wird es unter dem DSG indes grundsätzlich genügen, dass die Kreditgeberin, also die Kundin der Auskunftei, ihr Interesse glaubhaft macht.[89] Ein höheres «Beweismass» für das Interesse zu verlangen, wäre ohnehin kaum umsetzbar, nachdem es der Auskunftei an den Mitteln und Möglichkeiten zur näheren Abklärung fehlt.[90] Daher muss auch unter der DSGVO die Glaubhaftmachung als Massstab für das Interesse der Kreditgeberin genügen.[91]

Zu überprüfen, ob ihre Kundinnen in jedem Einzelfall über ein solches Interesse verfügen, ist für eine Auskunftei in ihrem Massengeschäft mit verhältnismässigem Aufwand allerdings nicht umsetzbar. Deshalb muss eine Auskunftei auch im Anwendungsbereich der DSGVO[92] nicht bei jeder Auskunft prüfen und dokumentieren, ob der (angeblichen) Kreditgeberin ein kreditorisches Risiko droht.[93] Sie muss dafür (anderweitige) technische und organisatorische Massnahmen, insbesondere im Bereich der Zugriffs- und Benutzerkontrolle, ergreifen.[94]

Organisatorische Massnahmen

Die Auskunftei wird – auch wegen der im Vergleich niedrigen Implementierungskosten und einfachen Umsetzbarkeit – kaum um die organisatorische Massnahme herumkommen, mit der Kreditgeberin und Kundin bestimmte vertragliche Vereinbarungen zu treffen. Konkret geht es um die Verpflichtung der Kundin, Bonitätsauskünfte nur bei einem Interesse im Einzelfall abzufragen, unter Androhung von Sanktionen[95] bei Missbrauch,[96] und um das Recht der Auskunftei, die Interessennachweise der Kundin (stichprobenartig) einverlangen und überprüfen zu können.[97] Zudem verlangt der EDÖB, dass die Auskunftei vor der Abfrage (nochmals) auf das Erfordernis des Interesses bzw. des entsprechenden Nachweises und ihr Kontrollrecht hinweist.[98] Ob diese Massnahme zwingend ist, lässt sich in Frage stellen, zumal sie bewusst missbräuchliche Zugriffe kaum verhindern kann. Sie kann aber dabei helfen, dass Mitarbeitende der Kundin mit Zugriff auf die Auskünfte die Voraussetzungen für deren Abfrage kennen und nicht leichtfertig, etwa aus Neugier, Auskünfte abfragen. Nachdem sich die Massnahme vergleichsweise kostengünstig implementieren lassen dürfte, erscheint sie als ergänzende Massnahme empfehlenswert.

Folge dieser Massnahmen ist, dass die Kundin den Abfragegrund geeignet dokumentieren muss.[99] Zudem ergibt sich daraus, dass der Kreis der Kundinnen im Wesentlichen auf jene beschränkt ist, die typischerweise kreditorische Risiken eingehen, wie etwa Mobiltelefon- und Leasinggesellschaften sowie Kreditkartenherausgeber und Online-Shops.[100] Soweit allerdings keine Anhaltspunkte bestehen, dass eine (potenzielle) Kundin ihre vertraglichen Verpflichtungen nicht einhalten wird, ist es der Auskunftei mit Blick auf das Vertrauensprinzip nicht verboten, auch andere Kundinnen zu bedienen.[101]

Technische Massnahmen

Als technische Massnahme drängt sich zunächst auf, dass die Auskünfte über eine passwortgeschützte Benutzerkennung erfolgen.[102] Ohne einen solchen Minimalansatz eines Zugriffs- und Berechtigungskonzepts lässt sich bei einer online abrufbaren Datenbank nicht bewerkstelligen, dass ausschliesslich vertragsgebundene Kundinnen Auskünfte abrufen. Die Kundinnen können ihren Zugriff indes missbrauchen. Deshalb ist die Auskunftei auch gehalten, Massnahmen zu ergreifen, um solche unzulässigen Zugriffe zu entdecken,[103] etwa anhand der Anzahl Abfragen oder der ungewöhnlichen Häufigkeit hinsichtlich derselben Person. Dazu dienen auch die Stichproben, auf die anschliessend einzugehen ist.[104] Bei begründetem Verdacht wird die Auskunftei den Zugang umgehend so lange sperren müssen, bis sich ein Missbrauch ausschliessen lässt, sofern sie nicht den Interessennachweis bei der betreffenden Kundin fortan im Einzelfall prüft.[105]

Wie der EDÖB und eine deutsche Aufsichtsbehörde zu Recht verlangen bzw. zumindest beliebt machen, muss die Auskunftei die Abrufe der Auskünfte protokollieren,[106] zumal die Protokollierung die naheliegendste, wenn nicht einzige Massnahme ist, um (im Sinne der Bekanntgabekontrolle) nachvollziehen zu können, wem die Auskunftei durch Auskünfte Daten bekanntgegeben hat.[107] Zudem kann die Protokollierung dazu dienen, Missbräuche zu identifizieren.[108] Sofern eine Kundin über mehrere personalisierte Benutzerkennungen verfügt (z.B. für einzelne Mitarbeitende), empfiehlt sich, die verwendete Benutzerkennung zu protokollieren. Grundsätzlich erscheint es zur Nachvollziehbarkeit der Empfängerin und Überprüfung deren Berechtigung indes ausreichend, wenn die Protokollierung die Kundin als Empfängerin erfasst.[109] Für diese Zwecke erscheint es im Übrigen erforderlich, den Zeitpunkt der Abfrage und die bekanntgegebenen Daten bzw. die betreffende Auskunft zu protokollieren.[110]

Besonderheiten bei automatisierten Systemen

Bei automatisierten Systemen, insbesondere im Online-Handel, lassen sich diese technischen und organisatorischen Massnahmen nur in modifizierter Form umsetzen, nachdem die Kreditwürdigkeitsprüfung hier über eine Schnittstelle in Echtzeit erfolgt. Damit die Kreditgeberin und Kundin keine Abfragen ohne entsprechendes Interesse tätigt, wird die Auskunftei sie daher dazu verpflichten müssen, ihren «Bestellprozess» so auszugestalten, dass eine Abfrage nur und erst erfolgt, wenn bereits Interesse an einem Geschäft mit kreditorischem Risiko bekundet wurde. Dies bedeutet etwa, dass die Kreditwürdigkeit nicht jeder grundsätzlich geschäftsinteressierten Person im Bestellprozess geprüft werden darf, möchte doch vielleicht eine Person ohnehin keine Vorleistung beanspruchen, z.B. nicht auf Rechnung, sondern etwa mit Kreditkarte bezahlen.[111] Vielmehr muss die Person zunächst ihr Interesse an einer Vorleistung, etwa einem Kauf auf Rechnung, bekunden, indem sie beispielsweise eine entsprechende Schaltfläche anklickt; daraufhin darf eine Abfrage erfolgen.[112] Damit beschränken sich die Abfragen auf Fälle, in denen die Kreditgeberin ein Interesse nachweisen kann, und erübrigen sich Stichproben.

Stichprobenartige Überprüfung des Interessennachweises im Besonderen

Freilich können die Kosten der Auskünfte und die Konsequenzen von Missbräuchen die Kundinnen und (zumindest angeblichen) Kreditgeberinnen davon abschrecken, mehr Informationen als nötig zu beschaffen. Dies gewährleistet aber nicht (ausreichend), dass die Kundinnen ihre (allfällige) entsprechende Verpflichtung einhalten und eine Auskunft nur bei einem konkreten Interesse beziehen.[113] Auch deshalb ist die Auskunftei gehalten, sich nicht nur das vertragliche Kontrollrecht auszubedingen und stichprobenartig die Interessennachweise der Kundinnen zu überprüfen, sondern muss dies auch tatsächlich bei einer Quote von Abfragen tun.[114]

Als Teil von dieser Quote erscheint es zudem angezeigt, dass die Auskunftei den Interessennachweis der jeweils ersten Abfrage einer Kundin überprüft. Dies verschliesst Personen den Zugang zu Auskünften, die nie kreditorische Risiken eingehen oder sich eine Auskunft aus blosser Neugier beschaffen wollen. Der Aufwand für diese Massnahme ist für die Auskunfteien ohne Weiteres hinnehmbar, nachdem sich die geprüften Interessennachweise an die zu erfüllende Quote anrechnen lassen. Dies entspricht im Übrigen der Praxis gewisser Auskunfteien.[115]

Höhe der Überprüfungsquote

Im schweizerischen Recht (DSG)

Im Moneyhouse-Entscheid befand das Bundesverwaltungsgericht eine regelmässige Überprüfung der Interessennachweise im Zeitpunkt der Bonitätsabfrage im Verhältnis von 3 % zu den getätigten Abfragen als zumutbar.[116] Ausschlaggebend war für das Gericht, dass sich die Auskunftei hauptsächlich auf die Selbstdeklarationen der Kundinnen verliess, die gemäss der Sachverhaltsabklärung nicht durchgehend zuverlässig waren. Die Intensivierung der manuellen Kontrolle führe zwar zu Mehraufwand, doch sei es im eigenen Interesse der Auskunftei, dass die Daten nicht zweckwidrig verwendet würden, und befinde sich nach Angaben der Auskunftei ein automatisiertes Prüfsystem in Planung, was den Kontrollaufwand minimieren dürfe. Angesichts des gewichtigen Interesses der grossen Anzahl der von der Datenbearbeitung der Auskunftei betroffenen Personen am Schutz ihrer Daten sei daher die festgelegte Quote von 3 % zumutbar.[117]

Eine Überprüfungsquote von lediglich 0.04–0.08 % liess der EDÖB bei der ZEK als eher knapp, aber noch datenschutzkonform genügen, nachdem er den Sachverhalt von jenem des Moneyhouse-Entscheids abgrenzte. Im Wesentlichen aus drei Gründen sei das Risiko missbräuchlicher Datenbearbeitungen geringer und insgesamt nicht erheblich: Erstens sei der Kreis der Personen, die ohne Nachweis eines Interesses auf die Datenbank zugreifen könnten, beschränkt.[118] Zweitens erfolge ein Grossteil der Abfragen systembedingt nur bei bereits erfassten Kreditgesuchen, was Missbräuche weitgehend ausschliesse. Und drittens würden sich die Mitglieder der ZEK gut an die Vorschrift halten, einen Interessennachweis erbringen zu müssen. Gemäss Auditergebnis bestand stets eine Geschäftsbeziehung und lag in 95 % aller Fälle ein Beweis für den Abfragegrund vor.[119]

In seiner Empfehlung bezog sich der EDÖB auch auf die sog. 2-Promille-Quote nach aBDSG/DE,[120] mass aber die Überprüfungsquote der ZEK nicht daran, weil die 2-Promille-Quote «auf klassische Wirtschaftsauskunfteien», nicht auf das Geschäftsmodell der ZEK,[121] zugeschnitten sei.[122] Vor diesem Hintergrund liesse sich spekulieren, dass der EDÖB bei klassischen Auskunfteien durchaus bereit wäre, die 2-Promille-Quote als Massstab zu nehmen. Allerdings beantragte der EDÖB im Moneyhouse-Verfahren (ursprünglich) eine Überprüfungsquote von 5 %,[123] und verwies bereits die Betreiberin von Moneyhouse auf die 2-Promille-Quote als Massstab, fand damit aber beim Bundesverwaltungsgericht offenbar kein Gehör.[124] Nachdem überdies das Gericht schliesslich die 15-fache Quote verlangte, wird sich eine Auskunftei also kaum darauf verlassen können, dass eine Überprüfungsquote von 2 ‰ vor dem EDÖB und erst recht nicht vor dem Bundesverwaltungsgericht standhält.

Woran sich das Bundesverwaltungsgericht (anstelle der deutschen Praxis) orientierte, ist unklar, sodass sich die Quote – wie bereits jene der Stichproben für die Datenrichtigkeit[125] – als willkürlich festgelegt bezeichnen lässt.[126] Unbegründet erscheint aber (auch hier) die Kritik der Lehre, die Betreiberin von Moneyhouse hätte zur Prüfung sämtlicher Interessennachweise verpflichtet werden müssen.[127] Das DSG verlangt keine absolute Datensicherheit, sondern bloss Massnahmen für eine angemessene Sicherheit.[128] Für die Beurteilung der Angemessenheit stellen das Bundesverwaltungsgericht und der EDÖB entscheidend auf das Missbrauchspotenzial und damit die Eintrittswahrscheinlichkeit einer Datensicherheitsverletzung ab. Je zuverlässiger die Kundinnen sind, desto geringer ist das Risiko und desto niedriger darf die Überprüfungsquote ausfallen. Wo ein Missbrauch angesichts des Prozesses nicht möglich ist, erübrigt sich eine Überprüfung. Indem das Bundesverwaltungsgericht die Anzahl der betroffenen Personen und das Minimierungspotenzial des Kontrollaufwands berücksichtigt, trägt es – wie gesetzlich vorgesehen – zudem dem Schutzbedarf und den Implementierungskosten Rechnung. Trotz der Einzelfallabhängigkeit ist es für eine Auskunftei angesichts der Praxis ratsam, Stichproben mindestens im niedrigen einstelligen Prozentbereich durchzuführen.

Im europäischen Recht (DSGVO)

Die erwähnte 2-Promille-Quote diente der Erfüllung der im aBDSG/DE ausdrücklich vorgesehenen Pflicht zu Stichproben[129] und entsprach der Praxis mehrerer Landesdatenschutzbeauftragten zu Auskunfteien wie der SCHUFA.[130] Bevor sich die 2-Promille-Quote bei den Aufsichtsbehörden durchsetzte, bestand eine Einigung, dass sogar bloss 1 ‰ der Interessennachweise überprüft werden musste.[131] Über die Quote, die im Anwendungsbereich der DSGVO als Richtwert zu erreichen ist, spricht sich die (deutsche) Lehre allerdings nicht klar aus. Sie verlangt etwa Stichproben in angemessenem Umfang[132] oder vermutlich die Fortführung der bisherigen Praxis, indem sie die Regeln von § 28 ff. aBDSG/DE durch eine entsprechende Auslegung der DSGVO weiterhin zur Anwendung bringen will.[133]

Angesichts des risikobasierten Ansatzes, den die DSGVO und das DSG teilen, ist auch in ihrem Anwendungsbereich die Überprüfungsquote im konkreten Einzelfall festzulegen. Dabei wird ebenfalls das zentrale Kriterium sein, wie gross die Wahrscheinlichkeit von Missbräuchen ist. Zeigt die Erfahrung der Auskunftei, dass ihre Kundinnen unzuverlässige Angaben machen, ist eine höhere Überprüfungsquote angezeigt. Als Richtwert dürften sich die Auskunfteien in Deutschland vermutlich weiterhin an der 2-Promille-Quote orientieren. Ob diese Quote unter der DSGVO allerdings einer behördlichen oder gerichtlichen Prüfung standhalten würde, sei dahingestellt. Selbst wenn die DSGVO unter Umständen tatsächlich eine tiefere Überprüfungsquote als das DSG genügen lässt, werden sich die hier interessierenden schweizerischen Auskunfteien am strengeren Massstab orientieren und entsprechend Stichproben im niedrigen einstelligen Prozentbereich vornehmen.

Gegenstand und Modalitäten der Überprüfung

Das DSG und die DSGVO verlangen – wie ausgeführt[134] – geeignete technische und organisatorische Massnahmen für eine angemessene Datensicherheit, überlassen die konkreten Massnahmen allerdings dem Verantwortlichen. In diesem Sinn werden ihm auch die Modalitäten der Überprüfung der Interessennachweise freistehen, solange die Überprüfung wirksam erfolgt, insbesondere die Stichprobe aussagekräftig und die Überprüfungsmethode effektiv ist.[135] Diese Argumentation, die das Bundesverwaltungsgericht hinsichtlich der stichprobenartigen Überprüfung der Datenrichtigkeit vertrat,[136] lässt sich nicht zuletzt aufgrund der konzeptionellen Ähnlichkeit der beiden Grundsätze auf die Datensicherheit übertragen.

Die Wirksamkeit erfordert zunächst, dass die Stichprobe repräsentativ, eben aussagekräftig ist.[137] Dies lässt sich beispielsweise durch ein Zufallsverfahren erreichen, bei dem sämtliche Abfragen mit gleicher Wahrscheinlichkeit einer Überprüfung unterliegen, z.B. die Überprüfung des Interessennachweises bei jeder x-ten (bei einer Quote von 3 %: jeder 33.) Abfrage.[138] Damit die Stichprobe eine Aussage über die Gesamtheit der Abfragen zulässt, ist zudem stets zu gewährleisten, dass die Kundin (aufgrund der Umstände) nicht vorhersehen kann, welche ihrer Abfragen der Überprüfung unterliegen.[139] Überdies hängt die Wirksamkeit der Stichproben auch vom Prüfrhythmus ab. Nur regelmässige Überprüfungen erlauben es der Auskunftei, unabhängig von besonderen Hinweisen Missbräuche zeitnah zu erkennen und dagegen rasch vorzugehen.[140]

Im Moneyhouse-Entscheid liess das Bundesverwaltungsgericht «regelmässige Überprüfungen» genügen, ohne den konkreten Rhythmus zu betrachten und festzulegen.[141] Der EDÖB hielt es angesichts des unerheblichen Missbrauchsrisikos bei der ZEK für ausreichend, dass sie die Stichproben im Rahmen von Audits erhebe, denen jedes Mitglied ungefähr alle vier Jahre unterliege.[142] Diese Beurteilung zeigt, dass auch der Prüfrhythmus vom Risiko im Einzelfall abhängt; sie erscheint gleichwohl grosszügig. Bei Auskunfteien sind kürzere Intervalle angezeigt, wobei sie im besten Fall laufend Stichproben nehmen. Unter dem aBDSG/DE rieten denn auch deutsche Aufsichtsbehörden den Auskunfteien, nicht bloss am Ende eines Quartals oder Jahres, sondern über die betreffenden Zeiträume gleichmässig verteilte oder etwa monatliche Überprüfungen vorzunehmen.[143]

Im von der Stichprobe erfassten Einzelfall hat die Auskunftei zu prüfen, ob die Kundin ihr gegenüber das Interesse glaubhaft machen kann, ist doch für die Datenbekanntgabe grundsätzlich die Glaubhaftmachung erforderlich.[144] Dazu genügt etwa die Dokumentation einer Bestellung für einen Kauf auf Rechnung, eines Darlehensantrags oder eines Gesuchs um Erhöhung der Kreditlimite, sei es i.S.v. (klassischen) Urkunden oder in der Form von Protokolldaten der Kundin.[145] Solche Nachweise sind indes nicht zwingend, sofern es der Kundin anderweitig gelingt, ihr Interesse nach objektivem Massstab glaubhaft zu machen, etwa durch die präzise Umschreibung der die Auskunftsabfrage begründenden Umstände.[146] Sofern die Angaben der Kundin nach allgemeiner Lebenserfahrung schlüssig sind und auch etwa aufgrund der bisherigen Geschäftsbeziehung kein Anlass zu Zweifeln besteht, muss die Auskunftei keine (weiteren) Nachprüfungen anstellen.[147]

Zwischenfazit

Zur Gewährleistung einer angemessenen Datensicherheit müssen Verantwortliche generell und somit auch Auskunfteien technische und organisatorische Massnahmen implementieren (Art. 8 DSG; Art. 5 Abs. 1 lit. f und Art. 32 DSGVO). Welche Massnahmen zu ergreifen sind, beurteilt sich nach einem risikobasierten Ansatz, der eine Schutzbedarfsanalyse mit Blick auf die Art der Daten und die Parameter deren Bearbeitung sowie eine Beurteilung der Risiken für die Persönlichkeit und Grundrechte der betroffenen Personen erfordert. Vor diesem Hintergrund ergeben sich unter Berücksichtigung des Stands der Technik und der Implementierungskosten, die auch den damit verbundenen personellen und zeitlichen Aufwand umfassen, die erforderlichen Massnahmen.

Bei Auskunfteien ist grundsätzlich von einem hohen Schutzbedarf auszugehen. Dies nicht zuletzt deshalb, weil sie in grossem Umfang Daten einer Vielzahl betroffener Personen bearbeiten und Profilings (allenfalls mit hohem Risiko) vornehmen. Ein spezifisches Risiko bei der charakteristischen Geschäftstätigkeit von Auskunfteien ist die Zugänglichkeit der Daten für Unbefugte, namentlich für Kundinnen, die ohne Interesse, also ohne über ein kreditorisches Risiko entscheiden zu müssen, eine Auskunft abfragen. Um dieses Risiko für die Datensicherheit einzudämmen, wird die Auskunftei kaum um die organisatorische Massnahme herumkommen, die Kundinnen – unter Androhung von Sanktionen bei Missbrauch – vertraglich zu verpflichten, nur bei einem Interesse im Einzelfall eine Auskunft abzufragen. Zusätzlich wird sie sich das Recht ausbedingen müssen, die Interessennachweise einverlangen und überprüfen zu können. Als technische Massnahmen dürften sich eine passwortgeschützte Benutzerkennung, eine Protokollierung der Abfragen mit Empfängerin, Zeitpunkt und den bekanntgegebenen Daten sowie die Sperrung bei begründetem Verdacht auf Missbrauch aufdrängen. Da sich diese Massnahmen bei automatisierten Systemen, insbesondere im Online-Handel, nicht gleich umsetzen lassen, wird die Auskunftei ihre Kundinnen hier dazu verpflichten müssen, ihren «Bestellprozess» so auszugestalten, dass eine Abfrage nur und erst erfolgt, wenn bereits Interesse an einem Geschäft mit kreditorischem Risiko bekundet wurde.

Ausserdem hat die Auskunftei – Abfragen über die eben genannten automatisierten Systeme ausgenommen – bei einer bestimmten Quote von Abfragen den Interessennachweis ihrer Kundinnen tatsächlich zu überprüfen, also zu kontrollieren, ob die betreffende Kundin ihr Interesse an der Auskunft glaubhaft machen kann. Die Höhe der erforderlichen Überprüfungsquote lässt sich nur im Einzelfall bestimmen, wobei massgeblich auf das konkrete Missbrauchspotenzial abzustellen ist. Während unter dem DSG angesichts der Praxis eine Stichprobe in Umfang eines niedrigen einstelligen Prozentsatzes im Verhältnis zu den getätigten Abfragen genügen dürfte, liesse sich unter der DSGVO argumentieren, dass mit Blick auf die 2-Promille-Quote des aBDSG/DE und dazugehörige Äusserungen von Aufsichtsbehörden eine niedrigere Quote als Richtwert dienen kann. Die Überprüfung muss zudem regelmässig, bestenfalls laufend, stattfinden und eine aussagekräftige Stichprobe betreffen.

Ob die Bestimmungen Mindestanforderungen an die Datensicherheit aufstellen (vgl. Art. 8 Abs. 3 DSG), deren Nichteinhaltung strafbar ist (vgl. Art. 61 lit. c DSG), ist fraglich (ablehnend BSK DSG-Mathys/Thomann, Art. 61 N 55; Meyle et al., o.S.; befürwortend Erläuternder Bericht DSV, S. 17; OFK DSG-Simmler, Art. 61 N 9; vgl. auch BJ, Fragen, S. 15). ↵

Herbst, in: Kühling/Buchner, Art. 5 N 76; Roßnagel, in: Simitis et al., Art. 5 N 167; vgl. auch EuGH, Rs. C-667/21 vom 21. Dezember 2023, Krankenversicherung Nordrhein, Ziff. 68; EG 39 Satz 12 DSGVO; de Terwangne, in: Kuner et al., S. 318. ↵

Botschaft Totalrevision DSG, S. 7031; vgl. auch OFK DSG-Gordon/Egli, wonach Art. 8 DSG und die dazugehörigen Artikel der DSV das Pendant zu Art. 32 DSGVO darstellen würden. ↵

Erläuternder Bericht DSV, S. 18. ↵

Die DSGVO definiert zwar dem deutschen Wortlaut nach die «Verletzung des Schutzes personenbezogener Daten». Dies stellt aber eine unglückliche Übersetzung dar, wie die Legaldefinition und die englische Sprachfassung («personal data breach») zeigen. ↵

Zum DSG und zur DSGVO George, S. 323; Hirsch, Le devoir d’informer, S. 81 ff.; zum aDSG BGE 144 I 126 E. 8.3.5; EDÖB, Xplain, Rn. 122; zur DSGVO EuGH, Rs. C-340/21 vom 14. Dezember 2023, Natsionalna agentsia za prihodite, Ziff. 30 f.; vgl. auch Martini, in: Paal/Pauly, Art. 32 N 35a. ↵

Der Verantwortliche hat dem EDÖB Datensicherheitsverletzungen zu melden, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen (Art. 24 Abs. 1 DSG). Er hat zudem die betroffenen Personen zu informieren, wenn es zu ihrem Schutz erforderlich ist oder es der EDÖB verlangt (Art. 24 Abs. 4 DSG). Nach der strengeren Regel der DSGVO muss der Verantwortliche der Aufsichtsbehörde jede Datensicherheitsverletzung melden, es sei denn, sie führe nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). Die betroffenen Personen hat er überdies zu benachrichtigen, wenn voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht oder es die Aufsichtsbehörde anordnet (Art. 34 Abs. 1 und 4 DSGVO). ↵

Zum DSG Hirsch, Le devoir d’informer, S. 82 f.; vgl. Erläuternder Bericht DSV, S. 20; SHK DSG-Baeriswyl, Art. 8 N 40; zum aDSG implizit EDÖB, Once Dating, Rn. 128 ff., insb. Rn. 136; zur DSGVO vgl. Jandt, in: Kühling/Buchner, Art. 32 N 40a; Mantz, in: Sydow/Marsch, Art. 32 N 30. ↵

Vgl. Art. 8 Abs. 2 i.V.m. Art. 5 lit. h DSG; Art. 4 Ziff. 12, Art. 5 Abs. 1 lit. f und Art. 32 Abs. 2 DSGVO. Zum DSG Botschaft Totalrevision DSG, S. 7031; Weber/Henseler, SZW 2020, S. 607; zur DSGVO Hansen, in: Simitis et al., Art. 32 N 12; vgl. auch Martini, in: Paal/Pauly, Art. 32 N 2. ↵

Vgl. Art. 8 Abs. 1 i.V.m. Art. 2 lit. a–c DSV; Art. 32 Abs. 1, insb. lit. b und c DSGVO. ↵

Zum DSG und zur DSGVO George, S. 320, der auf die Herkunft dieser Begriffe aus der Informationssicherheit hinweist, wo sie als «CIA triad» (confidentiality, integrity and availability) bezeichnet werden; zum aDSG EDÖB, Once Dating, Rn. 128; EDÖB, Teledata, S. 28; zur DSGVO Hansen, in: Simitis et al., Art. 32 N 38 ff. ↵

Zum DSG Erläuternder Bericht DSV, S. 22; CR LPD-Fanti/Staeger, Art. 8 N 120 (Fn. 258); zur DSGVO Hansen, in: Simitis et al., Art. 32 N 13; Martini, in: Paal/Pauly, Art. 32 N 3. ↵

Vgl. Erläuternder Bericht DSV, S. 25. ↵

Erläuternder Bericht DSV, S. 22. ↵

Hansen, in: Simitis et al., Art. 32 N 40; vgl. auch Martini, in: Paal/Pauly, Art. 32 N 40. ↵

Vgl. Meyle et al., o.S. ↵

Art. 10 Abs. 1 Konv. 108+; Art. 5 Abs. 2 DSGVO. ↵

Art. 6 Abs. 2 ISG nennt als Schutzziele die Vertraulichkeit, die Verfügbarkeit, die Integrität und die Nachvollziehbarkeit (vgl. Erläuternder Bericht DSV, S. 22). ↵

Vgl. Erläuternder Bericht DSV, S. 14 und 18. ↵

Charlet, S. 80; Martini, in: Paal/Pauly, Art. 32 N 39. ↵

Jandt, in: Kühling/Buchner, Art. 32 N 26; vgl. auch Hansen, in: Simitis et al., Art. 32 N 42. ↵

Erläuternder Bericht DSV, S. 25. ↵

Botschaft Totalrevision DSG, S. 7031; CR LPD-Fanti/Staeger, Art. 8 N 73; OFK DSG-Gordon/Egli, Art. 8 N 2; a.M. George, S. 322. ↵

Roßnagel, in: Simitis et al., Art. 5 N 169; vgl. auch George, S. 322; Pötters, in: Gola/Heckmann, Art. 5 N 30, wonach auch Art. 25 DSGVO den Grundsatz konkretisiere; a.M. Martini, in: Paal/Pauly, Art. 32 N 8. ↵

Vgl. Hansen, in: Simitis et al., Art. 32 N 12; Martini, in: Paal/Pauly, Art. 32 N 8. ↵

GA Szpunar, Rs. C-439/19 vom 17. Dezember 2020, Latvijas Republikas Saeima, Ziff. 38; vgl. auch Schantz, in: Wolff et al., Art. 5 N 36. ↵

Zum DSG vgl. EDÖB, Leitfaden TOM, S. 7; SHK DSG-Baeriswyl, Art. 8 N 33 f.; OFK DSG-Gordon/Egli, Art. 8 N 9; zur DSGVO vgl. von Lewinski et al., § 19 N 17, wonach mechanische, maschinelle und elektronische Massnahmen als technisch gelten würden, die übrigen als organisatorisch; ähnlich Wolff, in: Schantz/Wolff, Rn. 854. ↵

Weber/Yildiz, S. 14 ff.; vgl. auch Erläuternder Bericht DSV, S. 25, der proaktive und reaktive Massnahmen unterscheidet. ↵

Jandt, in: Kühling/Buchner, Art. 32 N 14; vgl. auch Martini, in: Paal/Pauly, Art. 32 N 18a und 32, wonach es sich aber regelmässig um Mindestvorgaben handeln solle. ↵

Botschaft Totalrevision DSG, S. 7031; Erläuternder Bericht DSV, S. 21. ↵

Meyle et al., o.S.; vgl. auch Erläuternder Bericht DSV, S. 18, 26 und 28; OFK DSG-Gordon/Egli, Art. 8 N 16 f.; a.M. wohl Hansen, in: Simitis et al., Art. 32 N 40. ↵

Zum DSG und zur DSGVO vgl. George, S. 323; zum aDSG vgl. BGE 144 I 126 E. 8.3.5, zum mit Art. 3 DSV weitgehend übereinstimmenden Art. 9 VDSG; zur DSGVO Martini, in: Paal/Pauly, Art. 32 N 29 f.; vgl. auch Voskamp/Klein, Kap. 7 N 18. ↵

Zum DSG Erläuternder Bericht DSV, S. 23 f.; zur DSGVO Voskamp/Klein, Kap. 7 N 19; vgl. auch Hansen, in: Simitis et al., Art. 32 N 39; Martini, in: Paal/Pauly, Art. 32 N 41c. ↵

Art. 3 DSV verlangt Massnahmen zur Zugriffs‑, Zugangs- und Benutzerkontrolle (Abs. 1), zur Datenträger‑, Speicher‑, Transportkontrolle, Wiederherstellung, Verfügbarkeit, Zuverlässigkeit und Datenintegrität (Abs. 2) sowie zur Eingabe- und Bekanntgabekontrolle und Erkennung von Datensicherheitsverletzungen und Beseitigung deren Folgen (Abs. 3). ↵

Dies gilt zumindest für Art. 3 Abs. 2 lit. d DSV (Wiederherstellung) mit Blick auf Art. 32 Abs. 1 lit. c DSGVO und für Art. 3 Abs. 2 lit. e DSV (Verfügbarkeit, Zuverlässigkeit und Datenintegrität) mit Blick auf Art. 32 Abs. 1 lit. b DSGVO (Erläuternder Bericht DSV, S. 24 f.). ↵

Vgl. Erläuternder Bericht DSV, S. 23. ↵

Vgl. Martini, in: Paal/Pauly, Art. 32 N 29; Voskamp/Klein, Kap. 7 N 19. ↵

Vgl. dazu unten Teil 3, C.VI.3.1.b. ↵

Vgl. Erläuternder Bericht DSV, S. 21, der zunächst als Beispiel einer Massnahme zur Gewährleistung der Datensicherheit ein Verfahren zur Identifikation, Bewertung und Evaluierung der Risiken und Überprüfung der Angemessenheit der getroffenen Massnahmen nennt und erst später die Vorgabe zur Überprüfung und Anpassung nach Art. 1 Abs. 5 DSV bespricht. ↵

Die Botschaft Totalrevision DSG, S. 7031, nennt «Verfahren, mit denen regelmässig geprüft, analysiert und bewertet werden kann, ob die getroffenen Sicherheitsvorkehren wirksam sind» und der Erläuternde Bericht DSV, S. 21, «Verfahren zur Identifikation, Bewertung und Evaluierung der Risiken und Überprüfung der Angemessenheit der getroffenen Massnahmen». ↵

Zum aDSG EDÖB, Once Dating, Rn. 133 ff.; zur DSGVO Martini, in: Paal/Pauly, Art. 32 N 44. ↵

Zum aDSG EDÖB, Once Dating, Rn. 136. ↵

Geeignet sind die Massnahmen, wenn sie eine angemessene Datensicherheit gewährleisten (zum DSG SHK DSG-Baeriswyl, Art. 8 N 18; zur DSGVO Martini, in: Paal/Pauly, Art. 32 N 26). ↵

Zum DSG CR LPD-Fanti/Staeger, Art. 8 N 94; Seiler/Griesinger, Rn. 4; zur DSGVO Martini, in: Paal/Pauly, Art. 32 N 46; Piltz, in: Gola/Heckmann, Art. 32 N 22. ↵

OFK DSG-Gordon/Egli, Art. 8 N 11 ff.; vgl. auch Erläuternder Bericht DSV, S. 18 ff.; anders Hirsch, Le devoir d’informer, S. 79 ff., der die Beurteilung des Schutzbedarfs nicht voranstellt, die entsprechenden Überlegungen dann aber als Aspekt der Schwere der Verletzung in die Beurteilung des Risikos einfliessen lässt. ↵

Vgl. Hansen, in: Simitis et al., Art. 32 N 29 ff.; Heinemann, in: Moos et al., Kap. 13 N 109 ff. ↵

Zum DSG Erläuternder Bericht DSV, S. 18 f.; SHK DSG-Baeriswyl, Art. 8 N 21; zum aDSG EDÖB, NOSR, Rn. 81; EDÖB, Xplain, Rn. 124. ↵

Jandt, in: Kühling/Buchner, Art. 32 N 12; Schantz, in: Wolff et al., Art. 5 N 36; vgl. auch Heinemann, in: Moos et al., Kap. 13 N 119. ↵

Zum DSG Erläuternder Bericht DSV, S. 19; PC LPD-Béguin, Art. 8 N 15; zur DSGVO Petri, in: Simitis et al., Art. 24 N 12. ↵

Zum DSG Erläuternder Bericht DSV, S. 19; SHK DSG-Baeriswyl, Art. 8 N 23 f.; zur DSGVO Jandt, in: Kühling/Buchner, Art. 32 N 12; vgl. auch Mantz, in: Sydow/Marsch, Art. 25 N 41. ↵

Zum DSG Erläuternder Bericht DSV, S. 19; OFK DSG-Gordon/Egli, Art. 8 N 11; zur DSGVO Heinemann, in: Moos et al., Kap. 13 N 112; vgl. auch Martini, in: Paal/Pauly, Art. 32 N 51. ↵

Wie der Erläuternde Bericht DSV, S. 20, zu Recht klarstellt, geht es nicht um die Schwere der Datensicherheitsverletzung an sich, sondern um die Schwere der damit potenziell verbundenen Auswirkungen für die betroffenen Personen, etwa dass die Löschung eines Patientendossiers eine angemessene medizinische Behandlung verhindert. ↵

Vgl. Hansen, in: Simitis et al., Art. 32 N 29; Martini, in: Paal/Pauly, Art. 32 N 50. ↵

Zum DSG vgl. Erläuternder Bericht DSV, S. 20; BSK DSG-Stamm-Pfister, Art. 8 N 16; zur DSGVO vgl. Martini, in: Paal/Pauly, Art. 32 N 35e und 36c. ↵

Ähnlich auch BSK DSG-Stamm-Pfister, Art. 8 N 16. ↵

Zum DSG Erläuternder Bericht DSV, S. 20; OFK DSG-Gordon/Egli, Art. 8 N 13; zur DSGVO Martini, in: Paal/Pauly, Art. 32 N 56a; Piltz, in: Gola/Heckmann, Art. 32 N 18; strenger Hansen, in: Simitis et al., Art. 32 N 22. ↵

Zum DSG Erläuternder Bericht DSV, S. 20; CR LPD-Fanti/Staeger, Art. 8 N 118; zur DSGVO Hansen, in: Simitis et al., Art. 32 N 26; Martini, in: Paal/Pauly, Art. 32 N 60a. ↵

Erläuternder Bericht DSV, S. 20; SHK DSG-Baeriswyl, Art. 8 N 17; vgl. auch OFK DSG-Gordon/Egli, Art. 8 N 13. ↵

Meyle et al., o.S. ↵

Zum DSG vgl. Meyle et al., o.S.; BSK DSG-Stamm-Pfister, Art. 8 N 18; zur DSGVO GA Pitruzzella, Rs. C-340/21 vom 27. April 2023, Natsionalna agentsia za prihodite, Ziff. 36; Martini, in: Paal/Pauly, Art. 32 N 60; Piltz, in: Gola/Heckmann, Art. 32 N 20; a.M. wohl Hansen, in: Simitis et al., Art. 32 N 21. ↵

Zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.1, wonach im Rahmen einer Interessenabwägung der Aufwand des Datenbearbeiters zu beachten sei; EDÖB, Once Dating, Rn. 135, wo der EDÖB die dem Verantwortlichen zur Verfügung stehenden Mittel berücksichtigt hat, um externe Schwachstellentests als eine (in diesem Fall) angemessene Schutzmassnahme einzustufen. ↵

Zum DSG OFK DSG-Gordon/Egli, Art. 8 N 13; strenger SHK DSG-Baeriswyl, Art. 8 N 4 ff. und 26, wonach die Anforderungen von Art. 8 DSG die Orientierung an international standardisierten Methoden verlangen würden; zum aDSG vgl. EDÖB, Xplain, Rn. 131; zur DSGVO vgl. Hansen, in: Simitis et al., Art. 32 N 78; Martini, in: Paal/Pauly, Art. 32 N 57. ↵

Martini, in: Paal/Pauly, Art. 32 N 59; vgl. auch Kramer/Meints, in: Auernhammer, Art. 32 N 54. ↵

Angesprochen ist die Norm ISO/IEC 27701 (vgl. George, S. 325 [Fn. 1499]). ↵

Zum DSG und zur DSGVO George, S. 324 f.; zur DSGVO Hansen, in: Simitis et al., Art. 32 N 78; vgl. auch Heinemann, in: Moos et al., Kap. 13 N 212. ↵

Zum aDSG vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.1. ↵

Art. 32 Abs. 1 lit. d DSGVO nennt Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Massnahmen beispielhaft als Massnahme (vgl. dazu oben Teil 3, C.VI.3.1.a). ↵

Zur DSGVO Hansen, in: Simitis et al., Art. 32 N 53 und 55; Martini, in: Paal/Pauly, Art. 32 N 43 und 44a; Voskamp/Klein, Kap. 7 N 19d. ↵

Zum DSG Erläuternder Bericht DSV, S. 21 f.; PC LPD-Béguin, Art. 8 N 16; zur DSGVO Hansen, in: Simitis et al., Art. 32 N 55; Jandt, in: Kühling/Buchner, Art. 32 N 30. ↵

Zum DSG Erläuternder Bericht DSV, S. 21 f.; OFK DSG-Gordon/Egli, Art. 8 N 18; zur DSGVO Jandt, in: Kühling/Buchner, Art. 32 N 30; Martini, in: Paal/Pauly, Art. 32 N 45 f. ↵

Vgl. dazu oben Teil 2, A.I.4.2. ↵

Zur DSGVO Schantz, in: Wolff et al., Art. 5 N 36; vgl. auch Heinemann, in: Moos et al., Kap. 13 N 115 f., wonach z.B. Schulden einen hohen Schutzbedarf aufweisen würden. Es liegt nahe, dass der EuGH diese Auffassung (zumindest partiell) teilt, nachdem er Daten, die bei der Kreditwürdigkeitsbeurteilung als negativer Faktor dienen, als sensible Informationen über das Privatleben der betroffenen Person bezeichnet hat (EuGH, Rs. C‑26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. [Restschuldbefreiung], Ziff. 94). ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2 f. ↵

Zum DSG vgl. EDÖB, Leitfaden TOM, S. 44; BSK DSG-Stamm-Pfister, Art. 8 N 15. ↵

Zum aDSG vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.3. ↵

Vgl. dazu oben Teil 3, B.I.2.4. ↵

Zum aDSG vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.3, wo das Bundesverwaltungsgericht die (allfällige) Bearbeitung eines Persönlichkeitsprofils zugunsten strengerer Massnahmen berücksichtigt. ↵

Zum DSG vgl. Erläuternder Bericht DSV, S. 20, der als Ursachen Personen wie IT‑Verantwortliche und Konkurrentinnen sowie Ereignisse wie Feuer und Computerviren nennt. ↵

Vgl. dazu oben Teil 3, C.VI.3.1.a. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 9.1 ff.; EDÖB, Mietercheck, Rn. 56 ff.; EDÖB, Teledata, S. 29 f. und 50. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.b.aa. ↵

Diesfalls missachten die Vornahme des Profilings und die anschliessende Bekanntgabe der Auskunft die Verhältnismässigkeit in prinzipieller Hinsicht (vgl. dazu oben Teil 3, C.IV.2.2.b.bb). Unter dem DSG lässt sich die Verletzung des entsprechenden Grundsatzes und damit der Persönlichkeit unter Umständen mit Art. 31 Abs. 2 lit. c DSG rechtfertigen (vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.2 und D.IV.1.2.c.bb.ii.3). Unter der DSGVO vermag sich die Auskunftei diesfalls nicht auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO zu stützen (vgl. dazu oben Teil 3, C.IV.2.2.b.bb). ↵

Die Benutzerkontrolle, die das BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2, anspricht, verlangt Massnahmen zugunsten der Vertraulichkeit, damit unbefugte Personen automatisierte Datenbearbeitungssysteme nicht mittels Einrichtungen zur Datenübertragung benutzen können (zum DSG Art. 3 Abs. 1 lit. c DSV; zur DSGVO vgl. Voskamp/Klein, Kap. 7 N 19; Art. 29 Abs. 2 lit. d JIRL). Allerdings dürfte es auch um die Zugriffskontrolle gehen, die Massnahmen erfordert, damit berechtigte Personen nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen (zum DSG Art. 3 Abs. 1 lit. a DSV; zur DSGVO vgl. Voskamp/Klein, Kap. 7 N 19; Art. 29 Abs. 2 lit. e JIRL). ↵

Vgl. EDÖB, Mietercheck, Rn. 58. Die Bekanntgabekontrolle – oder im europäischen Recht nach Vorbild von Art. 29 Abs. 2 lit. f JIRL eher Übertragungskontrolle – meint Massnahmen zugunsten der Nachvollziehbarkeit, damit überprüft werden kann, wem Personendaten mithilfe von Einrichtungen zur Datenübertragung bekanntgegeben werden (zum DSG Art. 3 Abs. 3 lit. b DSV; zur DSGVO vgl. Voskamp/Klein, Kap. 7 N 19). ↵

Zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2; zur DSGVO vgl. von Lewinski et al., § 19 N 15. ↵

Zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.3. ↵

Zum DSG BSK DSG-Henseler, Art. 31 N 45; zum aDSG HK aDSG-Rosenthal, Art. 13 N 53; vgl. auch EDÖB, Mietercheck, Rn. 21, je in Bezug auf (heute) Art. 31 Abs. 2 lit. c Ziff. 2 DSG. ↵

Gemäss Art. 8a Abs. 1 SchKG kann jede Person, die ein Interesse glaubhaft macht, die Protokolle und Register der Betreibungs- und der Konkursämter einsehen und sich Auszüge daraus geben lassen. ↵

Zum DSG BSK DSG-Henseler, Art. 31 N 45; vgl. auch SHK DSG-Pfaffinger, Art. 31 N 70; zum aDSG Peter, S. 189 ff.; HK aDSG-Rosenthal, Art. 13 N 53, je in Bezug auf (heute) Art. 31 Abs. 2 lit. c Ziff. 2 DSG. ↵

Zur DSGVO vgl. Schulz, in: Gola/Heckmann, Art. 6 N 102. ↵

Zur DSGVO Abel, ZD 2018b, S. 107; Schulz, in: Gola/Heckmann, Art. 6 N 102; vgl. auch HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.1. ↵

Die Lehre und Praxis zur DSGVO adressieren die gegen die Auskunftsübermittlung an unbefugte Dritte zu ergreifenden Massnahmen (soweit ersichtlich nur) aus dem Blickwinkel der Rechtmässigkeit, insb. jenem von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (vgl. dazu unten Teil 3, D.IV.2.2.b). Wie vorangehend dargelegt, verlangt aber (bereits) die Datensicherheit (Art. 5 Abs. 1 lit. f und Art. 32 DSGVO) solche Massnahmen. Soweit die besagte Lehre und Praxis anhand einer Interessenabwägung risikobasierte Massnahmen gegen die Auskunftsübermittlung an unbefugte Dritte postuliert, stellt sie Überlegungen an, die sich auf die Datensicherheit übertragen lassen. Es rechtfertigt sich deshalb, diese Lehre und Praxis vorliegend beizuziehen. ↵

Zum aDSG EDÖB, Teledata, S. 30; vgl. auch Hofer, in: Passadelis et al., Rn. 16.43; HK aDSG-Rosenthal, Art. 13 N 53; a.M. wohl Cellina/Geissbühler, dRSK 2017, Rn. 24; zur DSGVO vgl. Abel, ZD 2018b, S. 107; Eichler, S. 11; ferner HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.1; strenger wohl Paal, in: Specht-Riemenschneider et al., S. 344; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 139, mit Verweis auf die Rechenschaftspflicht in Art. 5 Abs. 2 DSGVO. Diese verlangt allerdings (ebenfalls) nur risikobasierte technische und organisatorische Massnahmen (vgl. Pötters, in: Gola/Heckmann, Art. 5 N 32 f.; Roßnagel, in: Simitis et al., Art. 5 N 175 ff.). ↵

Zum aDSG Schäfer, in: Epiney et al. 2011, S. 67; zur DSGVO vgl. Eichler, S. 11; Krämer, NJW 2018, S. 350; ferner HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.1. ↵

Als Sanktionen kommen etwa die Abmahnung mit Androhung weiterer Sanktionen, der Ausschluss vom Auskunftsbezug, die Vertragskündigung oder die Anzeige bei der zuständigen Aufsichtsbehörde in Frage (zum aBDSG/DE LfD Niedersachsen, S. 110). ↵

Zum aDSG EDÖB, Teledata, S. 29 f.; Hofer, in: Passadelis et al., Rn. 16.44; vgl. auch EDÖB, ZEK, S. 13; zur DSGVO vgl. Eichler, S. 11; Schulz, in: Gola/Heckmann, Art. 6 N 102. ↵

Zum aDSG EDÖB, Teledata, S. 30 und 50; vgl. auch Hofer, in: Passadelis et al., Rn. 16.45; zur DSGVO vgl. Schulz, in: Gola/Heckmann, Art. 6 N 102. ↵

Zum aDSG EDÖB, Teledata, S. 50, vgl. auch S. 30; Hofer, in: Passadelis et al., Rn. 16.47; vgl. auch HK aDSG-Rosenthal, Art. 13 N 53, der gar eine Bestätigung verlangt, dass die Abfrage im Hinblick auf den Abschluss oder die Abwicklung eines Vertrags erfolgt. ↵

Zum aDSG vgl. EDÖB, Teledata, S. 50; zur DSGVO vgl. Eichler, S. 11. ↵

Zum aDSG vgl. EDÖB, Teledata, S. 30; HK aDSG-Rosenthal, Art. 13 N 53; zur DSGVO vgl. Eichler, S. 11; Schulz, in: Gola/Heckmann, Art. 6 N 102. ↵

Zum aDSG wohl strenger EDÖB, Mietercheck, Rn. 51, der bei der betrachteten Bonitätsauskunft für Vermieterinnen eine Beschränkung auf professionelle Wohnungsvermieterinnen begrüsst hat, da sonst die Missbrauchsgefahr gross sei. ↵

Zum aDSG EDÖB, Mietercheck, Rn. 58; EDÖB, Teledata, S. 28 und 30; vgl. auch Hofer, in: Passadelis et al., Rn. 16.46; zur DSGVO vgl. HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.1; Abel, ZD 2018b, S. 107. ↵

Zum aDSG Schäfer, in: Epiney et al. 2011, S. 67; vgl. auch BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2; EDÖB, Mietercheck, Rn. 57. ↵

Vgl. dazu unten Teil 3, C.VI.3.2.c.dd. ↵

Zum aDSG vgl. EDÖB, Mietercheck, Rn. 57 und 60; zur DSGVO vgl. Eichler, S. 11. ↵

Zum aDSG EDÖB, Mietercheck, Rn. 58; EDÖB, Teledata, S. 28 und 30; vgl. auch Hofer, in: Passadelis et al., Rn. 16.46; zur DSGVO vgl. HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.1; Abel, ZD 2018b, S. 107. ↵

Zum DSG Art. 3 Abs. 3 lit. b DSV; vgl. auch CR LPD-Fanti/Staeger, Art. 8 N 172; OFK DSG-Gordon/Egli, Art. 8 N 15; zur DSGVO vgl. Art. 29 Abs. 2 lit. f JIRL; Bock, in: Wolff et al., § 64 N 69. ↵

Zum aDSG EDÖB, Moneyhouse, Rn. 148. ↵

Zum DSG vgl. Erläuternder Bericht DSV, S. 25, wonach es «u.U. ausreichend sein [kann], dass das Organ als solches bekannt ist, ohne dass die natürliche Person in jedem Fall identifizierbar sein muss»; zur DSGVO a.M. wohl HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.1. ↵

Zum DSG vgl. Erläuternder Bericht DSV, S. 25, wonach «bei Bedarf» aus dem Protokoll hervorgehen müsse, mit welchen Mitteln welche Personendaten an wen bekanntgegeben worden seien. Die Mittel erübrigen sich vorliegend. ↵

So aber die in Peter et al., S. 26 (Fn. 31), geschilderte Praxis, bei der die Echtzeit-Abfrage vor der Auswahl der Zahlungsmodalitäten erfolgt und bei unzureichender Kreditwürdigkeit der Kauf auf Rechnung gar nicht erst als Option erscheint. ↵

Zum aDSG vgl. EDÖB, Teledata, S. 30; HK aDSG-Rosenthal, Art. 13 N 53, wonach die Auskunft erst dann eingeholt werden dürfe, wenn ein Kunde eine Bestellung eingegeben habe; zur DSGVO Bundeskartellamt, S. 80 und 88 f.; vgl. DSK, Bonitätsauskünfte, o.S.; a.M. wohl Schulz, in: Gola/Heckmann, Art. 6 N 104; zum aBDSG/DE Born, S. 68. ↵

Zum aDSG vgl. EDÖB, Teledata, S. 29. ↵

Zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.1 ff.; EDÖB, Teledata, S. 29 f. und 50; EDÖB, ZEK, S. 21 ff.; zur DSGVO vgl. Abel, ZD 2018b, S. 107; Eichler, S. 11; Schulz, in: Gola/Heckmann, Art. 6 N 102. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.3. ↵

Auch bei Moneyhouse war der Kreis dieser Personen beschränkt, und zwar auf jene, die einen Vertrag mit der Betreiberin von Moneyhouse geschlossen und sich darin insb. verpflichtet haben, Auskünfte nur bei gegebenem Interesse zu beziehen (vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2). Dies dürfte bei Auskunfteien generell der Fall sein (vgl. dazu oben Teil 3, C.VI.3.2.c.aa). Eine ZEK-Mitgliedschaft setzt freilich einschränkender voraus, dass das Mitglied gewerbsmässig statutarisch bestimmte Kreditgeschäfte anbietet (vgl. dazu oben Teil 1, C.II.3.2). ↵

EDÖB, ZEK, S. 22. ↵

Vgl. dazu unten Teil 3, C.VI.3.2.c.dd.i.2. ↵

Vgl. dazu oben Teil 1, C.II.3.2. ↵

EDÖB, ZEK, S. 22. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 9.1. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.2 f. ↵

Vgl. dazu oben Teil 3, C.V.4.2.b.cc.i.2. ↵

Vgl. Métille/Nguyen Xuan, S. 179. ↵

So aber Cellina/Geissbühler, dRSK 2017, Rn. 24 f. ↵

Vgl. dazu oben Teil 3, C.VI.1. ↵

§ 29 Abs. 2 Satz 5 aBDSG/DE verlangte bei der geschäftsmässigen Übermittlung von Daten, dass die übermittelnde Stelle Stichprobenverfahren nach § 10 Abs. 4 Satz 3 aBDSG/DE durchzuführen und dabei auch das Vorliegen eines berechtigten Interesses einzelfallbezogen festzustellen und zu überprüfen hat. Nach § 10 Abs. 4 Satz 3 aBDSG/DE musste die speichernde Stelle gewährleisten, dass die Übermittlung personenbezogener Daten zumindest durch geeignete Stichprobenverfahren festgestellt und überprüft werden kann. ↵

Zum aBDSG/DE BInBDI, S. 154; LfD Niedersachsen, S. 109; vgl. auch EDÖB, ZEK, S. 22 (Fn. 156). ↵

Zum aBDSG/DE HmbBfDI, Tätigkeitsbericht 1992, S. 162; HmbBfDI, Tätigkeitsbericht 1991, S. 161; Duhr, Rn. 58; Ehmann, in: Simitis, § 10 N 106. ↵

Eichler, S. 11. ↵

Vgl. Abel, ZD 2018b, S. 107. ↵

Vgl. dazu oben Teil 3, C.VI.3.1.a. ↵

Zum aDSG vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2; ferner EDÖB, ZEK, S. 25, je in Bezug auf die stichprobenartige Überprüfung der Datenrichtigkeit. ↵

Vgl. dazu oben Teil 3, C.V.4.2.b.cc.ii. ↵

Zum aBDSG/DE LfD Niedersachsen, S. 109; Heinemann, S. 293. ↵

Zum aDSG vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 7.3.2, in Bezug auf die stichprobenartige Überprüfung der Datenrichtigkeit; zum aBDSG/DE Heinemann, S. 293. ↵

Zum aBDSG/DE Heinemann, S. 293 f. ↵

Zum aDSG EDÖB, ZEK, S. 23; zum aBDSG/DE a.M. wohl Heinemann, S. 294. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 9.2.3, wo das Gericht «eine regelmässige Überprüfung der Interessensnachweise im Zeitpunkt der Bonitätsabfrage» anordnet. Gemeint ist damit nicht etwa, dass die Auskunftei im Zeitpunkt der Bonitätsabfrage den Interessennachweis prüfen muss, sondern (wahrscheinlich nachträglich) überprüft, ob im Zeitpunkt der Bonitätsabfrage ein Interessennachweis vorlag (vgl. BVGer, A-4232/2015 vom 18. April 2017, Sachverhalt B). ↵

Zum aDSG EDÖB, ZEK, S. 23. ↵

Zum aBDSG/DE HmbBfDI, Tätigkeitsbericht 1991, S. 162; vgl. auch LfD Niedersachsen, S. 109; Duhr, Rn. 59; a.M. wohl Heinemann, S. 294, wonach die Intervalle den Auskunfteien freigestanden hätten und lediglich wegen des Erinnerungsvermögens nicht zu viel Zeit habe verstreichen sollen. ↵

Vgl. dazu oben Teil 3, C.VI.3.2.c. ↵

Zum aBDSG/DE Heinemann, S. 294 f.; vgl. auch LfD Niedersachsen, S. 109; Duhr, Rn. 59. ↵

Zum aDSG vgl. Peter, S. 191, in Bezug auf (heute) Art. 31 Abs. 2 lit. c Ziff. 2 DSG; zum aBDSG/DE Heinemann, S. 294; vgl. auch HmbBfDI, Tätigkeitsbericht 1991, S. 161; LfD Niedersachsen, S. 109. ↵

Zum aBDSG/DE Heinemann, S. 295. Ein Interesse i.S.v. Art. 8a Abs. 1 SchKG ist glaubhaft gemacht, wenn es aufgrund ernsthafter Indizien wahrscheinlich gemacht wird (BGE 105 III 38 E. 1). Dazu kann auch eine glaubwürdige und plausible persönliche Versicherung genügen (KuKo SchKG-Möckli, Art. 8a N 17). ↵

29

Treu und Glauben

Allgemeines

Datenbearbeitungen müssen nach Treu und Glauben erfolgen (Art. 6 Abs. 2 DSG; Art. 5 Abs. 1 lit. a DSGVO). Während sich im schweizerischen Recht für die Bestimmung der Tragweite dieses Grundsatzes ein Rückgriff auf dessen Verständnis im (übrigen) Zivilrecht anbietet,[1] ist im europäischen Recht eine autonome Auslegung angezeigt.[2] Zum DSG und zur DSGVO führt die Lehre indes ähnlich aus, dass der Grundsatz gemeinhin verlange, die berechtigten Erwartungen und Interessen der betroffenen Person zu berücksichtigen und nicht unnötig in deren Interessen einzugreifen.[3]

Der Grundsatz ist im schweizerischen und im europäischen Datenschutzrecht zwecks Korrektur stossender Einzelfälle, die sonst im Einklang mit dem Gesetz stehen, (restriktiv) anzuwenden.[4] Dem Grundsatz kommt daher hier wie dort bloss eine Auffangfunktion zu;[5] soweit sich eine Vorgabe anderweitig – aus einem anderen Bearbeitungsgrundsatz oder einer Pflicht des Verantwortlichen – ergibt, wird der Grundsatz von Treu und Glauben verdrängt.[6] Aus diesem Grund ist die Ansicht abzulehnen, dass Auskunfteien wegen Treu und Glauben nicht beliebig Daten sammeln, verknüpfen und Dritten weitergeben dürfen;[7] ein solches Erfordernis ergibt sich bereits aus dem Grundsatz der Verhältnismässigkeit.[8]

Der Grundsatz von Treu und Glauben ist z.B. verletzt, wenn der Verantwortliche das Kräfteungleichgewicht gegenüber der betroffenen Person ausnutzt, etwa um ihre Einwilligung in eine Datenbearbeitung[9] zu erlangen.[10] Ebenso missachtet der Verantwortliche diesen Grundsatz, wenn er Daten entgegen eigenen Zusicherungen bearbeitet, beispielsweise Daten trotz in Aussicht gestellter Löschung weiterhin speichert.[11]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Selbstverständlich können auch Auskunfteien Daten wider Treu und Glauben bearbeiten, indem sie (wie beschrieben) etwa die betroffene Person irreführen oder ihr falsche Zusicherungen machen. In der Praxis spielte der Grundsatz von Treu und Glauben soweit ersichtlich bisher allerdings noch keine grosse Rolle. Der EDÖB hielt vor Inkrafttreten des neuen DSG auf seiner Website einzig fest, dass eine Auskunftei gegen den Grundsatz verstosse, wenn sie Informationen bei einem Unternehmen einfordere und dabei für den Verweigerungsfall in Aussicht stelle, ihm eine schlechte Kreditwürdigkeitsbewertung zu geben.[12] Soweit eine Auskunftei gegenüber einer natürlichen Person auf diese Weise vorgeht, ist der Beurteilung des EDÖB sowohl unter dem DSG als auch unter der DSGVO zu folgen.[13] Das Vorgehen dürfte aber selten vorkommen, nachdem die Auskunfteien Daten primär indirekt beschaffen.[14] Wie Auskunfteien Daten allenfalls im Übrigen treuwidrig bearbeiten können, wird nachfolgend in ausgewählten, häufig erwähnten Konstellationen betrachtet.

Transparenzvorgaben?

Als treuwidrig wird verbreitet die Datenbeschaffung betrachtet, von der die betroffene Person keine Kenntnis hatte und mit der sie nicht rechnen musste.[15] Solche heimlichen Datenbeschaffungen beabsichtigen aber im totalrevidierten DSG der Transparenzgrundsatz und die Informationspflicht zu verhindern, weshalb der Grundsatz von Treu und Glauben nach hier vertretener Ansicht nicht einschlägig ist.[16] Auch im europäischen Recht hat der Grundsatz von Treu und Glauben diesen Teilgehalt[17] gegenüber dem (im Vergleich zur DSRL neu erlassenen) Transparenzgrundsatz eingebüsst.[18]

Stimmen in der Lehre zum neuen DSG möchten (wieder[19]) auf den Grundsatz von Treu und Glauben zurückgreifen, um die Vorgabe an den Verantwortlichen zu begründen, dessen Datenbeschaffung und bestimmte Rahmenbedingungen der weiteren Datenbearbeitung transparent zu gestalten.[20] Wie bereits ausgeführt,[21] wurden zwar der Transparenz- und der Zweckbindungsgrundsatz mit der Totalrevision (unglücklich) vermengt; dennoch ergibt sich diese Vorgabe noch immer aus dem Transparenzgrundsatz, der in Art. 6 Abs. 3 DSG verankert ist. Ein Rückgriff auf Treu und Glauben ist daher – anders als unter dem aDSG zuweilen postuliert[22] – auch in dieser Hinsicht nicht angezeigt.[23] Der Transparenzgrundsatz und nicht der Grundsatz von Treu und Glauben[24] verlangt also, dass die betroffene Person eine zumutbare Möglichkeit hat, insbesondere davon Kenntnis zu erlangen, dass über sie Bonitätsdaten bearbeitet und daraus erstellte Auskünfte erteilt werden.

Diskriminierungsverbot?

Vorbemerkungen

Kreditwürdigkeitsbeurteilungen vermögen Unterscheidungen zu treffen, die Personen mit einem bestimmten persönlichkeitsnahen Merkmal, etwa wegen ihres Geschlechts, Alters oder ihrer Herkunft, benachteiligen. Dabei kann die Beurteilung direkt auf das betreffende Merkmal oder auf ein anderes Merkmal abstellen, das mit ersterem stark korreliert.[25] Solche Diskriminierungen werden insbesondere im Zusammenhang mit dem Einsatz von auf Künstlicher Intelligenz basierenden Systemen diskutiert, sind ihnen allerdings nicht eigen.[26] Beispielsweise kann ein mit Daten über frühere Kreditgewährungen trainiertes System Frauen benachteiligen, weil sie der klassischen Rollenverteilung in der Familie entsprechend in der Vergangenheit seltener Kredit aufgenommen haben.[27] Solche Verzerrungen in den für die Modellentwicklung verwendeten Daten sind eine von verschiedenen möglichen Ursachen für Diskriminierungen eines (im weitesten Sinn) auf Statistik beruhenden Systems.[28]

Gegen Diskriminierungen[29] kennen weder die Schweiz noch die EU ein allgemeines Gesetz, das auch in privatrechtlichen Verhältnissen, beispielsweise zwischen Unternehmen und Konsumentinnen, greift.[30] Beide Rechtsordnungen erfassen faktische Unterscheidungen anhand geschützter Merkmale bloss punktuell, und zwar hinsichtlich bestimmter Merkmale und in ausgewählten Bereichen. Das schweizerische Recht adressiert gewisse (vorliegend nicht weiter interessierende) Diskriminierungen im Arbeits-[31] und Mietrecht[32] und sieht überdies folgende besondere Regeln vor:[33]

Das Strafgesetzbuch bedroht denjenigen mit Strafe bis zu drei Jahren oder Geldstrafe, der eine von ihm angebotene Leistung, die für die Allgemeinheit bestimmt ist, womöglich etwa einen Kredit, einer Person oder einer Gruppe von Personen wegen ihrer Rasse, Ethnie, Religion oder sexuellen Orientierung verweigert (Art. 261bis Abs. 5 StGB).

Das Gleichstellungsgesetz verbietet die direkte oder indirekte Benachteiligung von Arbeitnehmenden aufgrund ihres Geschlechts (vgl. Art. 1 f. GlG), allerdings ausschliesslich im vorliegend nicht interessierenden Beschäftigungskontext (vgl. Art. 2 GlG).

Das Behindertengleichstellungsgesetz richtet sich unter anderem gegen Benachteiligungen von Menschen mit Behinderungen bei grundsätzlich von jedermann beanspruchbaren Dienstleistungen (Art. 3 lit. e BehiG), wozu auch Kreditgeschäfte zählen können. Das in Art. 6 BehiG enthaltene Verbot von Diskriminierungen bei solchen öffentlich angebotenen Dienstleistungen untersagt aber nicht jede Differenzierung, sondern bloss besonders krass unterschiedliche und benachteiligende Behandlungen mit dem Ziel oder der Folge, die behinderte Person herabzuwürdigen oder auszugrenzen (Art. 2 lit. d BehiV).

Das EU-Recht verbietet Diskriminierungen unter Privaten im Wesentlichen im Rahmen der nachfolgend genannten Richtlinien. Zudem liegt zwar seit 2008 ein Vorschlag für eine «horizontale Richtlinie» vor, welche die Merkmale Religion, Behinderung, sexuelle Orientierung und Alter zusätzlich ausserhalb des Beschäftigungskontexts schützen soll. Auch nach über eineinhalb Dekaden bestehen aber noch immer Differenzen hinsichtlich des Anwendungsbereichs, der Einhaltung des Subsidiaritätsprinzips und der Zuständigkeit der EU zur Gesetzgebung in diesem Bereich, weshalb es an der erforderlichen Einstimmigkeit im Rat bisher fehlte.[34]

Bei der Beschäftigung, der sozialen Sicherheit, der Bildung sowie dem Zugang zu und der Versorgung mit Gütern und Dienstleistungen untersagt das EU-Recht Diskriminierungen aufgrund der Rasse oder ethnischen Herkunft (vgl. Art. 1 ff. RL 2000/43/EG). Die hier interessierenden Kreditgeschäfte können unter dem Aspekt des Zugangs zu und der Versorgung mit Gütern und Dienstleistungen von der Richtlinie erfasst sein.

In Beschäftigungsfragen, bei der sozialen Sicherheit sowie beim Zugang zu und bei der Versorgung mit Gütern und Dienstleistungen darf zudem nicht aufgrund des Geschlechts diskriminiert werden (vgl. Art. 1 ff. RL 2006/54/EG und Art. 1 ff. RL 2004/113/EG). Auch diese Richtlinie kann für Kreditgeschäfte relevant werden.

Im vorliegend nicht interessierenden Bereich der Beschäftigung sind schliesslich auch Diskriminierungen wegen der Religion, Weltanschauung, einer Behinderung, des Alters oder der sexuellen Ausrichtung verboten (vgl. Art. 1 ff. RL 2000/78/EG).

Als Teilgehalt von Treu und Glauben

Aus dem Grundsatz von Treu und Glauben wollen ein Teil der Lehre und gewisse europäische Aufsichtsbehörden ableiten, dass Diskriminierungen verboten oder zumindest Massnahmen zur Verhinderung von Diskriminierungen zu ergreifen seien.[35] Auch die Artikel‑29‑Datenschutzgruppe nennt gerade den Zugang zu Krediten als Beispiel für einen Fall, in dem ein Profiling zu «Ungerechtigkeit und Diskriminierung» und damit einer Verletzung von Treu und Glauben führen könne.[36] Diese Auslegung ist bei näherer Betrachtung unter dem DSG und der DSGVO abzulehnen.

Im schweizerischen Recht (DSG)

Im DSG findet sich kein Anknüpfungspunkt für ein aus Treu und Glauben hervorgehendes Diskriminierungsverbot. Als solchen liesse sich angesichts des verfassungsrechtlichen Diskriminierungsverbots (Art. 8 Abs. 2 BV) höchstens Art. 1 DSG deuten, wonach das Gesetz auch den Schutz der Grundrechte natürlicher Personen bezweckt. Allerdings hat dieser Hinweis auf die Grundrechte staatliches Handeln und vorab die informationelle Selbstbestimmung vor Augen,[37] und will die Zweckbestimmung den Grundrechten jedenfalls keine unmittelbare Drittwirkung[38] verleihen.[39] Hinzu kommt, dass Lehre und Rechtsprechung die Gehalte von Treu und Glauben (im Sinne der Vorbild stehenden Art. 5 Abs. 3 und Art. 9 BV sowie Art. 2 Abs. 1 ZGB) bereits weitgehend konkretisiert haben; ein allgemeines Diskriminierungsverbot oder Gleichbehandlungsgebot gehört nicht dazu.[40] Vielmehr hat der Gesetzgeber unter Privaten wirkende Diskriminierungsverbote separat erlassen, aber eben nur punktuell. Ein allgemeines Diskriminierungsverbot in Treu und Glauben hineinzulesen, würde also auch dieser gesetzgeberischen Wertung widersprechen.[41]

Als vermittelnde Lösung liessen sich jene diskriminierenden Datenbearbeitungen als treuwidrig erfassen, die gegen eines der gesetzlich vorgesehenen Verbote verstossen. Verletzungen von Bestimmungen ausserhalb des DSG eine datenschutzrechtliche Relevanz zu vermitteln, ist indes die Funktion des Rechtmässigkeitsgrundsatzes (Art. 6 Abs. 1 DSG).[42] Es erscheint daher systematisch verfehlt, gegen andere Gesetze verstossende Datenbearbeitungen als treuwidrig und damit als Verletzung von Art. 6 Abs. 2 DSG zu betrachten. Der Rechtmässigkeitsgrundsatz ist zwar nur verletzt, wenn die bei der Datenbearbeitung missachtete Bestimmung zumindest auch den Schutz der Persönlichkeit der betroffenen Person bezweckt.[43] Dies wird aber bei gesetzlichen Diskriminierungsverboten regelmässig der Fall sein, so etwa bei den vorliegend in Betracht zu ziehenden Art. 261bis Abs. 5 StGB und Art. 6 BehiG.[44] Wenn also eine Auskunftei aufgrund der Rasse, Ethnie, Religion oder sexuellen Orientierung oder wegen einer Behinderung schlechtere Kreditscores vergibt, könnte die Kreditgeberin kreditinteressierte Personen in Bezug auf einen Kredit, eine womöglich öffentlich angebotene Dienstleistung, diskriminieren. Die genannten Bestimmungen kennen allerdings (weitere) einschränkende Voraussetzungen, die an dieser Stelle nicht zu vertiefen sind.[45] Liegen diese vor, ist die Verwendung des Kreditscores für den negativen Kreditentscheid unrechtmässig und verletzt die Persönlichkeit der diskriminierten Person (Art. 6 Abs. 1 i.V.m. Art. 30 Abs. 2 lit. a DSG).

Im europäischen Recht (DSGVO)

Die DSGVO adressiert in ihrem verfügenden Teil Diskriminierungen nicht explizit. In ihren Erwägungsgründen führt sie Diskriminierungen (wenig klar) einmal als Risiko einer Datenverarbeitung[46] und einmal als (immateriellen) Schaden auf, der aus einer Datensicherheitsverletzung entstehen kann.[47] Ausserdem hält sie den Verantwortlichen beim Profiling (für eine automatisierte Entscheidung) unter anderem zu Massnahmen zur Verhinderung von diskriminierenden Wirkungen an, um eine faire und transparente Verarbeitung zu gewährleisten (EG 71 Satz 6 DSGVO). Art. 1 Abs. 2 DSGVO nennt sodann als Ziel der Verordnung auch den Schutz der Grundrechte, wozu mit Art. 21 GRCh[48] ein Recht auf Nichtdiskriminierung zählt. Daraus leiten die Vertreter eines datenschutzrechtlichen Diskriminierungsverbots ab, dass auf geschützte Merkmale abzustellen, (kraft des Grundsatzes von Treu und Glauben) auch unter Privaten unzulässig ist.[49]

Freilich sieht die Grundrechtecharta dieses Diskriminierungsverbot vor und hält der EuGH in seiner Rechtsprechung fest, dass die DSGVO ein hohes Niveau des Schutzes der Grundrechte anstrebe und für einen wirksamen und umfassenden Schutz Bestimmungen nicht eng ausgelegt werden sollen.[50] Eine unmittelbare Drittwirkung ergibt sich daraus aber nicht und wird auch sonst von der Lehre (tendenziell) verneint.[51] Im Gegenteil führte kürzlich auch ein Generalanwalt des EuGH im Kontext von Datenverarbeitungen von Auskunfteien aus, dass die GRCh nicht isoliert anzuwenden, sondern lediglich bei einer Abwägung (vorliegend jener nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) heranzuziehen sei.[52] Mit Blick auf Art. 21 GRCh ein allgemeines Diskriminierungsverbot unter Privaten in den Grundsatz von Treu und Glauben hineinzulesen, hätte aber (angesichts des breiten Anwendungsbereichs des Datenschutzrechts[53]) zum Ergebnis, dem grundrechtlichen Diskriminierungsverbot unmittelbare Drittwirkung zuzugestehen, und erscheint daher als falsch. Überdies enthalten die Erwägungsgründe, insbesondere EG 39 DSGVO zu den Grundsätzen, keinen Hinweis, dass Treu und Glauben auf diese Weise auszulegen wäre. Auch EG 71 Satz 6 DSGVO, der sich systematisch betrachtet nur auf automatisierte Entscheidungen (und Profiling in deren Zusammenhang) bezieht, verlangt lediglich Massnahmen gegen deren diskriminierende Wirkungen.

Hinzu kommt, dass das europäische Recht[54] Diskriminierungen unter Privaten – bisher offenbar gewollt – nur sehr punktuell verbietet bzw. einschränkt.[55] Ein generelles Diskriminierungsverbot durch die Hintertür von Treu und Glauben einzuführen, wäre im Datenschutzrecht umso problematischer, als die Verletzung eines Grundsatzes nach Art. 5 DSGVO mit hohen Geldbussen bewehrt ist. Denkbar wäre zwar (auch hier), Datenverarbeitungen dann als treuwidrig zu betrachten, wenn sie eine von den genannten Richtlinien adressierte Diskriminierung umfassen. Jedoch würde auch diese Auslegung die Diskriminierungsverbote rechtsfolgeseitig über den gesetzgeberischen Willen hinaus erweitern. Zudem würde ein solches Verständnis abseits der Diskriminierungsverbote zur schwierigen Abgrenzungsfrage führen, welche gesetzlichen Bestimmungen von Treu und Glauben gedeckt sind, sodass deren Verletzung zugleich eine Grundsatzverletzung darstellt. Dies erschiene überdies systemwidrig, da die DSGVO – wie ausgeführt[56] – keinen Rechtmässigkeitsgrundsatz i.e.S. kennt, also nicht jede Datenverarbeitung als unrechtmässig betrachtet, die eine (zumindest auch den Persönlichkeits- oder Datenschutz bezweckende) Rechtsnorm verletzt.[57]

Als Teilgehalt des Persönlichkeitsrechts (nur DSG)

Die Lehre leitet für das schweizerische Recht zuweilen aus Art. 28 ZGB ein privatrechtliches Diskriminierungsverbot ab; nach dieser Ansicht verletzt eine Ungleichbehandlung einer Person aufgrund bestimmter Merkmale ihre Persönlichkeit.[58] Welche Merkmale diesfalls geschützt wären, ist unklar, wobei es sich anbieten würde, sie in Anlehnung an das Diskriminierungsverbot der Bundesverfassung zu bestimmen.[59] Offen ist zudem, ob auch indirekte Diskriminierungen[60] oder solche, die «rational» sind, sich also etwa auf eine einschlägige Statistik stützen,[61] erfasst wären. Die Ungleichbehandlung müsste jedenfalls – wie jeder von Art. 28 ZGB erfasste Eingriff in die Persönlichkeit[62] – eine gewisse Intensität erreichen.[63] Wenn eine Auskunftei die Kreditwürdigkeit einer Person gestützt auf ihre Herkunft oder ihr Geschlecht schlechter einstuft als jene einer anderen Person mit im Übrigen übereinstimmenden (oder zumindest vergleichbaren) Merkmalen, würde die Auskunftei also (jedenfalls bei einem breiten Verständnis des Diskriminierungsverbots) die Persönlichkeit der betroffenen Person verletzen.[64]

Für das Bestehen eines solchen Diskriminierungsverbots nach geltendem Recht spricht sich auch eine Studie des Schweizerischen Kompetenzzentrums für Menschenrechte aus. Aus der Rechtsprechung des Bundesgerichts lasse sich ableiten, dass eine an Persönlichkeitsmerkmale anknüpfende Ungleichbehandlung eine widerrechtliche Persönlichkeitsverletzung nach Art. 28 ZGB darstelle. Davon seien überdies auch schon kantonale Gerichte bei rassistisch motivierter Diskriminierung ausdrücklich ausgegangen.[65] Letzteres trifft in den dort zitierten Entscheidungen zu, jedoch betrafen sie ausschliesslich den arbeitsrechtlichen Kontext,[66] wo besondere Regeln wie etwa Art. 328 OR[67] gelten. Inwiefern allerdings die bundesgerichtliche Rechtsprechung den gezogenen Schluss erlaubt, lässt sich nicht nachvollziehen, zitiert doch auch die Studie das Bundesgericht lediglich hinsichtlich der allfälligen Kontrahierungspflicht[68] von Anbietern allgemein angebotener Waren und Dienstleistungen.[69] Seit der Studie von 2015 ist kein Entscheid ersichtlich, mit dem das Bundesgericht ein allgemeines Diskriminierungsverbot unter Privaten aus Art. 28 ZGB abgeleitet hätte.

Ein allgemeines privatrechtliches Diskriminierungsverbot in diese Bestimmung hineinzulesen, würde im Gegenteil dem (bisherigen) gesetzgeberischen Willen und auch der Ansicht des Bundesrates widersprechen. In seinem gestützt auf die genannte Studie verfassten Bericht sprach sich der Bundesrat ausdrücklich gegen den Vorschlag aus,[70] den Schutz vor Diskriminierung unter Privaten durch eine Ergänzung von Art. 27 ff. ZGB zu verstärken. Einer der Gründe dafür war, dass eine wirksame Diskriminierungsregelung im Privatrecht einem allgemeinen Diskriminierungsgesetz nahekomme, das vom Parlament bisher immer abgelehnt worden sei.[71] Diese Haltung hat der Bundesrat kürzlich als Antwort auf eine Interpellation zu «algorithmischen Diskriminierungen» (jedenfalls für den Moment) bestätigt.[72] Das schweizerische Recht sieht punktuelle, sektorspezifische Diskriminierungsverbote vor,[73] und sanktioniert eben gerade nicht generell Diskriminierungen unter Privaten.

Es lässt sich deshalb mit guten Gründen argumentieren, dass nach geltendem Recht nicht schon deshalb eine Persönlichkeitsverletzung vorliegt, weil eine Person gestützt auf ein (von Art. 8 Abs. 2 BV) geschütztes Merkmal benachteiligt wird, z.B. wenn eine Auskunftei in ihrem Kreditscoring auf ein solches abstellt. Selbst bei Annahme eines persönlichkeitsrechtlichen Diskriminierungsverbots wäre fraglich, ob dadurch die Praxis der schweizerischen Auskunfteien eingeschränkt würde. Soweit sie (wie üblich) die Merkmale ihrer Kreditwürdigkeitsbeurteilungen durch mathematisch-statistische Verfahren festlegen,[74] werden sie ein benachteiligendes Abstellen auf ein geschütztes Merkmal «rational» begründen können.

Information über Unrichtigkeit bekanntgegebener Daten

Der Entwurf der Verordnung zum DSG sah vor, dass der Verantwortliche den Empfänger, dem er Personendaten bekanntgegeben hat, unverzüglich über (unter anderem) die Berichtigung von Personendaten informieren muss, ausser die Benachrichtigung ist unmöglich oder mit einem unverhältnismässigen Aufwand verbunden (Art. 16 E-VDSG). Diese Bestimmung wurde in der Vernehmlassung stark kritisiert, nicht zuletzt deshalb, weil bereits der Vorentwurf des DSG eine gleichlautende Informationspflicht vorgesehen hatte (Art. 19 lit. b VE-DSG), der Bundesrat diese aber schon für seinen Entwurf des DSG verwarf.[75] Angesichts dieser Gesetzgebungsgeschichte wäre es verfehlt, aus dem Grundsatz der Datenrichtigkeit oder jenem von Treu und Glauben generell abzuleiten, dass der Verantwortliche Empfängerinnen darüber informieren muss, dass sich die bekanntgegebenen Personendaten als falsch erwiesen haben.[76]

Dennoch kann Treu und Glauben unter dem DSG von der Auskunftei erfordern, die Kreditgeberin darüber zu informieren, dass sie ihr falsche oder nicht mehr aktuelle Daten übermittelt hat.[77] Dies erscheint mit Blick auf das Geschäftsmodell der Auskunftei, Bonitätsbeurteilungen für Kreditentscheide gegen Entgelt zur Verfügung zu stellen, ein Gebot der Rücksichtnahme gegenüber der betroffenen Person. Die Auskunftei muss die Kreditgeberin aber nur informieren, sofern dies für sie möglich und verhältnismässig ist, wovon üblicherweise auszugehen ist. Ausserdem muss es angesichts der Umstände, die der Auskunftei bekannt sind, wahrscheinlich sein, dass die Information über die Unrichtigkeit der Daten zeitlich und materiell (noch) für den (oder einen) Kreditentscheid relevant ist.[78] Zeitlich relevant ist die Unrichtigkeit nur so lange, als die Kreditgeberin den (oder einen weiteren geplanten) Kreditentscheid nicht gefällt hat oder es wahrscheinlich ist, dass sie darauf noch zurückkommt. Bei einem Online-Shop z.B., der Kreditentscheide in Echtzeit erfordert, wird sich eine nachträgliche Information regelmässig erübrigen. Materiell relevant ist die Unrichtigkeit, wenn die Kreditwürdigkeitsbeurteilung unter Berücksichtigung des richtigen Datums für die betroffene Person erheblich besser ausfällt, beispielsweise die Kreditgeberin den Darlehensantrag auf der Grundlage des entsprechend verbesserten Kreditscores guthiesse. Fehler zugunsten der betroffenen Person muss die Auskunftei aber nicht melden, zumal Treu und Glauben als Bearbeitungsgrundsatz die betroffene Person und nicht die Kreditgeberin zu schützen bezweckt.

Die DSGVO verpflichtet den Verantwortlichen, allen seinen Empfängern jede Berichtigung, Löschung und Einschränkung der Verarbeitung mitzuteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismässigen Aufwand verbunden (Art. 19 DSGVO). Nachdem die DSGVO damit eine eigene Informationspflicht des Verantwortlichen über die Bekanntgabe unrichtiger Daten vorsieht und ausdrücklich regelt, wann die Information erfolgen muss, wird der Grundsatz von Treu und Glauben in dieser Hinsicht verdrängt; eine entsprechende Vorgabe ergibt sich also aus dem Verarbeitungsgrundsatz nicht.[79]

Zwischenfazit

Der Grundsatz von Treu und Glauben (Art. 6 Abs. 2 DSG; Art. 5 Abs. 1 lit. a DSGVO) verlangt, bei Datenbearbeitungen die berechtigten Erwartungen und Interessen der betroffenen Person zu berücksichtigen und nicht unnötig in ihre Interessen einzugreifen. Er ist z.B. verletzt, wenn eine Auskunftei Daten von einer betroffenen Person erfragt und ihr dabei eine schlechte Kreditwürdigkeitsbeurteilung in Aussicht stellt, wenn sie die fraglichen Daten nicht übermittelt. Der Grundsatz soll stossende Einzelfälle erfassen, die sonst im Einklang mit dem Gesetz stehen. Aufgrund dieser Auffangfunktion entspringen ihm angesichts der Informationspflicht und des Transparenzgrundsatzes grundsätzlich keine Transparenzvorgaben (mehr).

Aus dem Grundsatz von Treu und Glauben nach DSG und DSGVO leitet sich nach hier vertretener Ansicht kein Diskriminierungsverbot (unter Privaten) ab. Unter schweizerischem Recht lässt sich zudem mit guten Gründen argumentieren, dass sich ein solches Verbot auch nicht aus dem allgemeinen Persönlichkeitsrecht (Art. 28 ZGB) ergibt. Ob dies eine unterstützenswerte Rechtslage darstellt, ist eine hier nicht zu beantwortende, da politische Frage.

Demgegenüber kann der Grundsatz erfordern, dass die Auskunftei die Kreditgeberin darüber informiert, dass sie ihr falsche oder nicht mehr aktuelle Daten übermittelt hat. Dies setzt voraus, dass die Information überhaupt möglich und verhältnismässig sowie für die Kreditgeberin (noch) relevant ist. Im europäischen Recht ergibt sich aus Treu und Glauben keine solche Pflicht, weil die DSGVO eine spezifische Informationspflicht des Verantwortlichen für solche Fälle kennt.

Zum aDSG Aebi-Müller, Rn. 564; SHK aDSG-Baeriswyl, Art. 4 N 17, welche auf die Gebote der Rücksichtnahme und der schonenden Rechtsausübung sowie auf das Verbot widersprüchlichen Verhaltens verweisen. ↵

BVGer Österreich, W176 2265088-1/10E vom 6. Oktober 2023, S. 26; Herbst, in: Kühling/Buchner, Art. 5 N 13; Roßnagel, in: Simitis et al., Art. 5 N 46; Voigt, in: Taeger/Gabel, Art. 5 N 13. ↵

Zum DSG und zur DSGVO George, S. 282; zum aDSG und zur DSGVO Thouvenin et al., JIPITEC 2019, Rn. 95; zum DSG vgl. Nobel/Weber, Kap. 11 N 45; zur DSGVO Tamò-Larrieux, S. 87; Wolff, in: Schantz/Wolff, Rn. 393; vgl. auch BVGer Österreich, W176 2265088-1/10E vom 6. Oktober 2023, S. 26. ↵

Zum aDSG und zur DSGVO Thouvenin et al., JIPITEC 2019, Rn. 95; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 14; zur DSGVO Herbst, in: Kühling/Buchner, Art. 5 N 17; Roßnagel, in: Simitis et al., Art. 5 N 46. ↵

Zum DSG Nobel/Weber, Kap. 11 N 45; zum aDSG HK aDSG-Rosenthal, Art. 4 N 14; Thouvenin, digma 2019, S. 206 (Fn. 2); zur DSGVO Herbst, in: Kühling/Buchner, Art. 5 N 17; Kramer, in: Auernhammer, Art. 5 N 15; Roßnagel, in: Simitis et al., Art. 5 N 47. ↵

Beispielsweise ist nicht mehr wie unter dem aDSG aus dem Grundsatz von Treu und Glauben eine Informationspflicht gegenüber den betroffenen Personen bei Verletzungen der Datensicherheit abzuleiten (vgl. BSK aDSG-Maurer-Lambrou/Steiner, Art. 4 N 8; Meier, Rn. 657; HK aDSG-Rosenthal, Art. 4 N 16), nachdem das neue Recht in Art. 24 Abs. 4 DSG diese Meldepflicht ausdrücklich regelt (George, S. 283; vgl. auch PC LPD-Francey, Art. 6 N 19; a.M. offenbar CR LPD-Meier/Tschumy, Art. 6 N 25). ↵

So aber Peter et al., S. 42. ↵

Vgl. dazu oben Teil 3, C.IV. Kommt hinzu, dass ein solches Erfordernis mangels Konturen für die praktische Rechtsanwendung ohnehin kaum tauglich ist. ↵

Dies gilt, soweit dieser Umstand nicht durch die Erfordernisse einer gültigen Einwilligung wie Freiwilligkeit und fehlende unzulässige Koppelung erfasst ist (vgl. Art. 6 Abs. 6 und 7 DSG; Art. 4 Ziff. 11, Art. 6 Abs. 1 UAbs. 1 lit. a und Art. 7 DSGVO). ↵

Zum DSG und zur DSGVO vgl. George, S. 282; zur DSGVO vgl. Herbst, in: Kühling/Buchner, Art. 5 N 17; Tamò-Larrieux, S. 88; zur DSRL Bygrave, Data Privacy, S. 146 f. ↵

Zum DSG und zur DSGVO Charlet, S. 60; zum DSG PC LPD-Francey, Art. 6 N 20; CR LPD-Meier/Tschumy, Art. 6 N 25; zur DSGVO Roßnagel, in: Simitis et al., Art. 5 N 47. ↵

Folgende Ausführungen waren mindestens bis am 17. November 2021 online abrufbar: «Firmen werden aufgefordert, gewisse Informationen über sich bekannt zu geben, ansonsten erhielten sie ein schlechtes Rating. Ist dieses Vorgehen zulässig? […] Gelangt die Auskunftei nicht in den Besitz der gewünschten Informationen, so darf sie einem Unternehmen, das sich weigert, bestimmte Finanzdaten herauszugeben, auch nicht automatisch ein schlechtes Rating erteilen. Ein solches Vorgehen verstösst gegen das Prinzip von Treu und Glauben.» ↵

Zur DSGVO vgl. Krämer, Scoring, S. 6, der es, ohne sich auf Treu und Glauben zu beziehen, als unzulässig einstuft, die Kreditwürdigkeit einer betroffenen Person schlecht zu bewerten, weil sie eine Anfrage der Auskunftei zu den eigenen persönlichen Verhältnissen nicht beantwortet habe. ↵

Vgl. dazu oben Teil 1, E.II.2. ↵

Zum DSG Métille, S. 8; vgl. auch SHK DSG-Baeriswyl, Art. 6 N 18; BSK DSG-Bühlmann/Reinle, Art. 6 N 50; zur DSGVO de Terwangne, in: Kuner et al., S. 314; Tamò-Larrieux, S. 88. ↵

Zum aDSG vgl. Meier, Rn. 649; HK aDSG-Rosenthal, Art. 4 N 14 f. ↵

EG 38 DSRL hielt noch fest, dass eine Datenverarbeitung nach Treu und Glauben voraussetzt, dass die betroffenen Personen in der Lage sind, das Vorhandensein einer Verarbeitung zu erfahren und ordnungsgemäss und umfassend über die Bedingungen der Erhebung informiert zu werden, wenn Daten bei ihnen erhoben werden. ↵

Herbst, in: Kühling/Buchner, Art. 5 N 16; Roßnagel, in: Simitis et al., Art. 5 N 45; vgl. auch de Terwangne, in: Kuner et al., S. 314; a.M. Manthey, S. 148 f., wonach die Transparenz zugleich ein Tatbestandselement von Treu und Glauben sei. ↵

Dies erschien vor 2008 angezeigt, da erst dann der mit einer Teilrevision des DSG eingeführte Transparenzgrundsatz in Kraft trat (vgl. Botschaft Revision DSG 2003, S. 2124 ff.). ↵

OFK DSG-Fanger, Art. 6 N 6; Rosenthal, Jusletter 2020, Rn. 35; vgl. auch Thouvenin/Braun Binder, S. 16. ↵

Vgl. dazu oben Teil 3, C.II.2.1.a. ↵

Gerschwiler et al., in: Passadelis et al., Rn. 3.88; Epiney, in: Belser et al., § 9 N 38. ↵

Dies gilt auch für das allfällige Erfordernis, dass für die betroffene Person erkennbar ist, welche Daten für welchen Bearbeitungszweck bearbeitet werden (vgl. dazu oben Teil 3, C.II.2.2.a), das die Lehre vereinzelt ebenfalls aus Treu und Glauben ableitet (zum DSG vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 78). ↵

So aber Peter et al., S. 42. ↵

ICO, AI, S. 55; Barocas/Selbst, S. 691 f.; Zuiderveen Borgesius, S. 21 f. ↵

Vgl. ICO, AI, S. 56; Hurley/Adebayo, S. 178 und 182 f. ↵

Stengel et al., S. 400. ↵

Vgl. eingehend Barocas/Selbst, S. 677 ff.; Braun Binder et al., KI in der Verwaltung, S. 40 ff.; Zuiderveen Borgesius, S. 15 ff. ↵

Im schweizerischen und im europäischen Antidiskriminierungsrecht werden die direkte und die indirekte Diskriminierung unterschieden. Eine (direkte) Diskriminierung lässt sich als unterschiedliche Behandlung einer Person (oder Personengruppe) gegenüber anderen Personen (oder Personengruppen) auf der Grundlage eines geschützten Merkmales wie Rasse, Alter oder Geschlecht definieren (Thouvenin et al., EDPL 2022, S. 195). Eine indirekte Diskriminierung liegt vor, wenn auf ein dem Anschein nach neutrales Kriterium abgestellt wird, dadurch aber die Angehörigen einer Gruppe mit geschütztem Merkmal in besonderer Weise benachteiligt werden (vgl. Braun Binder et al., KI in der Verwaltung, S. 39 f.; Wachter et al., CLSR 2021, S. 7). ↵

Weber/Henseler, EuZ 2020, S. 40; zum schweizerischen Recht Thouvenin et al., JIPITEC 2019, Rn. 52; vgl. auch Arnet, Rn. 356; zum europäischen Recht Wachter, S. 388. ↵

Vgl. Hausammann, S. 19 ff.; Kasper, S. 121 f.; BSK OR I-Portmann/Rudolph, Art. 328 N 29 ff. ↵

Vgl. Bieri, Rn. 35 ff.; Naguib/Fuchs, Rn. 450 ff. ↵

Vgl. Braun Binder et al., Jusletter 2021, Rn. 29; Kälin/Locher, S. 40 ff.; Rosenthal, Jusletter 2022, Rn. 23. ↵

Vgl. Frei, in: Epiney/Hehemann, S. 37 (Fn. 11). Zuletzt hielt der belgische Ratsvorsitz in seinem Fortschrittsbericht vom Juni 2024 fest, dass 24 Mitgliedstaaten einen neuen Kompromisstext des Vorsitzes unterstützen würden und er darauf hoffe, dass in naher Zukunft weitere Unterstützung gewonnen werden könne, um die erforderliche Einstimmigkeit im Rat zu erreichen (Rat der EU, Fortschrittsbericht, S. 5). ↵

Zum DSG Kasper, S. 123; Pärli/Meier, S. 372; zum aDSG und zur DSGVO ablehnend Thouvenin et al., JIPITEC 2019, Rn. 86; zum aDSG ablehnend Thouvenin, in: Epiney/Sangsue, S. 35; zur DSGVO Datatilsynet, S. 16; ICO, AI, S. 45; Baumgartner et al., S. 543 f. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 11. ↵

Die Botschaft erwähnt zu Art. 1 DSG lediglich das Recht auf informationelle Selbstbestimmung und spricht das Diskriminierungsverbot (Art. 8 Abs. 2 BV) nirgends an. Zudem lässt sich aus den bundesrätlichen Ausführungen betreffend Privacy by Design ableiten, dass das DSG mit einem Verweis auf die Persönlichkeit private Personen, mit einem auf Grundrechte Bundesorgane anspricht (Botschaft Totalrevision DSG, S. 7010 bzw. 7029; vgl. auch Rosenthal, Jusletter 2020, Rn. 12). ↵

Das Diskriminierungsverbot in Art. 8 Abs. 2 BV hat gemäss ständiger Rechtsprechung des Bundesgerichts keine unmittelbare Drittwirkung in den Beziehungen zwischen Privatpersonen (statt vieler BGE 147 III 49 E. 9.4; BGE 137 III 59 E. 4.1; BGE 136 I 178 E. 5.1). ↵

Vgl. OFK DSG-Epiney/Zlatescu, Art. 1 N 27, die hinsichtlich Privater auf die staatlichen Schutzpflichten verweisen, denen der Gesetzgeber mit dem DSG Rechnung getragen habe; SHK DSG-Fey, Art. 1 N 21, wonach der Staat zum Erlass von Regeln verpflichtet sei, die dem informationellen Selbstbestimmungsrecht auch unter Privaten Rechnung trage. ↵

Thouvenin, in: Epiney/Sangsue, S. 34 f. ↵

Vgl. Thouvenin et al., JIPITEC 2019, Rn. 86, wonach sich ein Diskriminierungsverbot nicht aus Treu und Glauben ableiten lasse, sondern vielmehr (spezifisch) gesetzlich vorgesehen werden müsse. ↵

Vgl. dazu unten Teil 3, C.VIII.2. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 5.4.4; vgl. dazu auch unten Teil 3, C.VIII.2.1. ↵

Art. 261bis Abs. 5 StGB bezweckt u.a. die Menschenwürde (BGE 133 IV 308 E. 8.2; BGE 130 IV 111 E. 5.1; BGE 124 IV 121 E. 2c) und damit die Persönlichkeit zu schützen. Art. 6 BehiG will zumindest auch der Menschenwürde und damit der Persönlichkeit Schutz bieten, zumal eine Diskriminierung nach dieser Bestimmung insb. vorliegt, wenn die behinderte Person besonders krass unterschiedlich und benachteiligend behandelt wird mit dem Ziel oder der Folge, sie herabzuwürdigen (Art. 2 lit. d BehiV; vgl. auch Botschaft BehiG, S. 1780). ↵

Zu Art. 261bis Abs. 5 StGB vgl. Naguib, S. 996 ff.; BSK StGB-Schleiminger Mettler, Art. 261bis N 71 ff.; zu Art. 6 BehiG vgl. Botschaft BehiG, S. 1780; Naguib, S. 1000 ff. ↵

Vgl. EG 75 Satz 1 (betr. Art. 24 DSGVO über die Verantwortung des für die Verarbeitung Verantwortlichen). ↵

Vgl. EG 85 Satz 1 DSGVO (betr. Art. 33 DSGVO über die Meldung von Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde). ↵

Art. 21 GRCh verbietet Diskriminierungen insb. wegen des Geschlechts, der Rasse, der Hautfarbe, der ethnischen oder sozialen Herkunft, der genetischen Merkmale, der Sprache, der Religion oder der Weltanschauung, der politischen oder sonstigen Anschauung, der Zugehörigkeit zu einer nationalen Minderheit, des Vermögens, der Geburt, einer Behinderung, des Alters oder der sexuellen Ausrichtung. ↵

Vgl. Baumgartner et al., S. 543 f., die auf die genannten Erwägungsgründe verweisen; Weichert, DANA 2018, S. 136, der unmittelbar aus Art. 21 GRCh ein Verbot abzuleiten scheint, geschützte Merkmale als einfliessende Bewertungsmerkmale (in «Algorithmenentscheidungen») zu nutzen, soweit damit eine nicht gerechtfertigte Wirkung gegenüber betroffenen Personen verbunden ist. Im Übrigen sind die entsprechenden Meinungsäusserungen – wenn überhaupt – (ebenfalls) dünn begründet (vgl. Datatilsynet, S. 16; ICO, AI, S. 45). ↵

Zur DSGVO vgl. EuGH, Rs. C-184/20 vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, Ziff. 125; EuGH, Rs. C-620/19 vom 10. Dezember 2020, J & S Service, Ziff. 48 f.; zur DSRL EuGH, Rs. C-131/12 vom 13. Mai 2014, Google Spain, Ziff. 53 und 66. ↵

Vgl. Ernst/Sunaric, in: Epiney/Hehemann, S. 501; George, S. 29; Streinz/Michl, S. 385. ↵

GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 56; vgl. auch EuGH, Rs. C-708/18 vom 11. Dezember 2019, Asociația de Proprietari bloc M5A-ScaraA, Ziff. 32. Zudem hielt der EuGH, Rs. C-176/12 vom 15. Januar 2014, Association de médiation sociale, Ziff. 49, auch schon fest, dass eine Bestimmung in der GRCh nicht ausreiche, um dem Einzelnen ein Recht zu verleihen, dass dieser als solches geltend machen könne. ↵

Vgl. dazu oben Teil 2, A.I. ↵

Vgl. dazu oben Teil 3, C.VII.2.2.a. ↵

Vgl. Thouvenin et al., JIPITEC 2019, Rn. 86, wonach ein Diskriminierungsverbot im Gesetz (spezifisch) verankert werden müsse und sich nicht aus Treu und Glauben ergebe. ↵

Vgl. dazu oben Teil 2, C.II.2. ↵

Vgl. dazu oben Teil 3, C.VIII.2. ↵

Gauch et al., Rn. 1111; Göksu, Rassendiskriminierung, Rn. 214 ff.; Hausammann, S. 18; Naguib, S. 1006 f.; vgl. auch Arnet, Rn. 356; Jaun, S. 476 ff. ↵

Thouvenin et al., JIPITEC, Rn. 52; Weber/Henseler, EuZ 2020, S. 40; vgl. auch Göksu, Rassendiskriminierung, Rn. 12 i.V.m. 215. ↵

Vgl. Jaun, S. 480, schliesst indirekte Diskriminierungen aus, weil die Benachteiligung durch scheinbar neutrale Kriterien nicht personen‑, sondern gruppenbezogen sei; Naguib, S. 1007, wonach direkte Diskriminierungen im Vordergrund stünden und die Erfassung (gewisser) indirekter Diskriminierungen viertieft zu prüfen wäre. ↵

Befürwortend Bieri, Rn. 12; ablehnend wohl Jaun, S. 480; differenzierend Naguib/Fuchs, Rn. 488. ↵

BGE 147 III 185 E. 4.2.3; BGE 143 III 297 E. 6.4.3; BSK ZGB I-Meili, Art. 28 N 38. ↵

Braun Binder et al., Jusletter 2021, Rn. 29; Hausammann, S. 18; Thouvenin et al., JIPITEC, Rn. 52. ↵

Diesfalls läge, nach hier vertretener Ansicht (vgl. dazu unten Teil 3, C.VIII.2.3) eine anderweitige Persönlichkeitsverletzung i.S.v. Art. 30 Abs. 1 DSG vor. Sofern das Bundesgericht aus Art. 28 ZGB ein Diskriminierungsverbot ableiten würde, schlösse es gemäss der bisherigen Rechtsprechung auf eine Verletzung des Rechtmässigkeitsgrundsatzes (Art. 6 Abs. 1 DSG) und damit auf eine Persönlichkeitsverletzung (vgl. BGE 138 II 346 E. 8.3, in Bezug auf das Recht am Bild). Aus diesem Grund sind die vorliegenden Ausführungen beim Grundsatz von Treu und Glauben systematisch falsch platziert. Die Platzierung erlaubt aber, das Thema des Diskriminierungsverbots nur an einem Ort zu behandeln und verhindert damit Redundanzen. ↵

Kälin/Locher, S. 41. ↵

Vgl. Kälin/Locher, S. 43 ff. ↵

Aus Art. 328 OR, der den Schutz der Persönlichkeit von Arbeitnehmenden adressiert, leitet die Lehre ein allgemeines arbeitsrechtliches Diskriminierungsverbot ab (Hausammann, S. 19; Kasper, S. 121, je m.w.H.) ↵

Vgl. dazu unten Teil 4, D.III.3.1.a. ↵

Vgl. Kälin/Locher, S. 44 f. ↵

Zum betreffenden Vorschlag vgl. Kälin/Locher, S. 102. ↵

Bericht Diskriminierungsschutz, S. 17. ↵

Interpellation Marti (23.4133). ↵

Vgl. dazu oben Teil 3, C.VII.2.2.a. ↵

Vgl. dazu oben Teil 1, D.II.2.1 und D.II.2.2.a. ↵

Vgl. Vasella, E-VDSG, o.S.; ferner Wermelinger, Jusletter 2021, Rn. 28, der indes davon auszugehen scheint, dass sich die Information an die betroffene Person hätte richten müssen. ↵

BSK DSG-Bühlmann/Reinle, Art. 6 N 265. ↵

Zum DSG vgl. CR LPD-Meier/Tschumy, Art. 6 N 67; zum aDSG Hofer, in: Passadelis et al., Rn. 16.34; vgl. auch Epiney, in: Belser et al., § 9 N 49. ↵

Zum aDSG vgl. Hofer, in: Passadelis et al., Rn. 16.34 f. ↵

Vgl. dazu oben Teil 3, C.VII.1. ↵

30

Rechtmässigkeit i.e.S.

Allgemeines

Personendaten müssen rechtmässig bearbeitet werden (Art. 6 Abs. 1 DSG). Dies hält ähnlich auch Art. 5 Abs. 1 lit. a DSGVO fest, meint damit aber im Wesentlichen das Erfordernis einer Rechtsgrundlage für jede Datenverarbeitung (Art. 6 Abs. 1 DSGVO). Eine Missachtung von Art. 7–11 DSGVO vorbehalten, führt die Verletzung einer (den Persönlichkeitsschutz bezweckenden) Rechtsnorm nicht dazu, dass die fragliche Datenverarbeitung unrechtmässig ist.[1] Nachdem eine solche Vorgabe Teilgehalt der Rechtmässigkeit i.e.S. unter dem DSG ist, beziehen sich die betreffenden Ausführungen ausschliesslich auf das schweizerische Recht (nachfolgend 2.). Daneben lässt sich aus dem Grundsatz im DSG ein weiterer Teilgehalt ableiten, nämlich die «Fernwirkung» widerrechtlicher Bearbeitungen. Diese Relevanz der Datenschutzwidrigkeit vorangehender auf anschliessende Datenbearbeitungen lässt sich in beschränktem Umfang auch aus der DSGVO ableiten (nachfolgend 3.).

Missachtung von den Persönlichkeitsschutz bezweckenden Rechtsnormen (nur DSG)

Die Rechtmässigkeit i.e.S. verbietet es, Daten unter Verletzung von (bestimmten) Rechtsnormen zu bearbeiten. Welche Rechtsnormen dabei relevant sind, ist sogleich zu thematisieren. Demgegenüber führt ein rechtswidriger Zweck nicht dazu, dass die darauf gerichteten Datenbearbeitungen unrechtmässig sind, wie das Bundesverwaltungsgericht im Helsana+-Entscheid zu Recht festhielt.[2] Eine solche inhaltliche Vorgabe an den Zweck lässt sich nicht auf den Wortlaut von Art. 6 Abs. 1 DSG stützen, der an die Bearbeitung, nicht an deren Zweck anknüpft. Ausserdem müsste sie systematisch betrachtet im Zweckbindungsgrundsatz enthalten sein. Dass ein Bearbeitungszweck rechtmässig oder legitim sein muss, lässt sich jedoch (für das schweizerische Recht) aus diesem Bearbeitungsgrundsatz gerade nicht ableiten.[3]

Zweck des Persönlichkeitsschutzes

Wie das Bundesverwaltungsgericht im Helsana+-Entscheid konkretisierte, führt nicht die Verletzung jeder Rechtsnorm zur Unrechtmässigkeit der Datenbearbeitung; vielmehr ist erforderlich, dass die verletzte Norm zumindest auch, direkt oder indirekt, den Schutz der Persönlichkeit einer Person bezweckt.[4] Solche Bestimmungen finden sich z.B. im Strafgesetzbuch beim Schutz des Geheim- und Privatbereichs (Art. 179–179novies StGB) und von Geheimnissen (Art. 320–321ter StGB) ebenso wie im Obligationenrecht (Art. 28–30 OR).[5] Art. 61 und Art. 62 KVG zur Regelung der Krankenversicherungsprämien, die im Helsana+-Entscheid interessierten, bezwecken dagegen nicht, die Persönlichkeit der Prämienzahler zu schützen, weshalb deren (allfällige) Verletzung nicht zu einer unrechtmässigen Datenbearbeitung führt.[6]

Die bundesverwaltungsgerichtliche Rechtsprechung ist im Ergebnis überzeugend. Sie mag zwar zu Abgrenzungsschwierigkeiten bei der Frage nach dem Schutzzweck führen;[7] die allfällige Rechtsunsicherheit ist aber hinzunehmen, weil sonst das Datenschutzrecht sämtliche Rechtsgebiete überlagern würde und bei beliebigen Rechtsverstössen Datenschutzverletzungen drohen würden.[8] Daneben lässt sich für dieses Verständnis von Art. 6 Abs. 1 DSG – wie es das Bundesverwaltungsgericht tat – auch der Zweck des DSG ins Feld führen, der in der Konkretisierung des verfassungsmässigen Persönlichkeitsschutzes im Bereich der Bearbeitung von Personendaten liegt.[9] Freilich spricht die Zweckbestimmung angesichts ihres Wortlauts die Grundrechte insgesamt an. Daraus lässt sich aber nicht ableiten, dass die Verletzung beliebiger Rechtsnormen die Unrechtmässigkeit einer Datenbearbeitung begründet.[10] Vielmehr wäre dann zumindest zu prüfen, ob die Datenbearbeitung in eine grundrechtlich geschützte Position eingreift. Aber auch das lässt sich aus Art. 1 DSG kaum ableiten, wenn die Botschaft dazu festhält, dass das DSG auf Gesetzesebene das Recht auf informationelle Selbstbestimmung konkretisiert.[11]

Regelung ausserhalb des Datenschutzgesetzes

Keine Rolle spielt, ob sich die missachtete, den Persönlichkeitsschutz bezweckende Bestimmung im Privat‑, Straf- oder öffentlichen Recht des Bundes, eines Kantons oder einer Gemeinde findet.[12] Gemäss Bundesverwaltungsgericht ist es zudem unbestritten, dass Datenbearbeitungen unrechtmässig sind, unabhängig davon, ob sich die verletzte Norm im DSG oder in einem anderen Erlass befindet.[13] Diese Ausführungen dürften zwar die Ansicht des Bundesverwaltungsgerichts (und vielleicht der Verfahrensparteien) wiedergeben, lassen aber den betreffenden Lehrstreit ausser Acht[14] und vermögen bereits wegen der fehlenden Begründung nicht zu überzeugen.

Im Gegenteil hatte der Gesetzgeber, wie die Botschaft zeigt, mit dem Grundsatz Unrechtmässigkeiten ausserhalb des DSG im Visier.[15] Auch dürfte die Funktion des Rechtmässigkeitsgrundsatzes sein, ein Scharnier zwischen dem DSG und dem übrigen (den Persönlichkeitsschutz bezweckenden) Recht zu bilden.[16] Wäre jede Datenbearbeitung, die einen beliebigen Artikel des DSG verletzt, unrechtmässig und damit persönlichkeitsverletzend, würde überdies der spezifisch auf Art. 6 und 8 DSG verweisende Art. 30 Abs. 2 lit. a DSG übersteuert und teilweise redundant werden. Eine Persönlichkeitsverletzung würde nicht nur bei jedem Verstoss gegen die Grundsätze nach Art. 6 und 8 DSG vorliegen, sondern auch etwa bei jeder Missachtung des Prinzips von Privacy by Design i.S.v. Art. 7 DSG und jeder Datenbearbeitung mit potenziell hohem Risiko, für die keine Datenschutz-Folgenabschätzung nach Art. 22 DSG durchgeführt wurde. Ausserdem wäre kein separater Verweis auf Art. 8 DSG erforderlich, da das Fehlen angemessener Datensicherheitsmassnahmen bereits kraft Art. 6 Abs. 1 i.V.m. Art. 30 Abs. 2 lit. a DSG eine Persönlichkeitsverletzung verursachen würde.

Die hier vertretene Ansicht lässt sich weiter durch eine Folgeerwägung stützen:[17] Gälte die Missachtung sämtlicher Bestimmungen des DSG als Persönlichkeitsverletzung, entstünden (bei fehlender Rechtfertigung) aus sämtlichen «flankierenden Massnahmen» Betroffenenrechte. Eine betroffene Person könnte etwa bei Fehlen oder Unvollständigkeit eines Bearbeitungsverzeichnisses (Art. 12 DSG) gegen den Verantwortlichen auf Beseitigung der Verletzung, also auf Erstellung bzw. Vervollständigung eines Bearbeitungsverzeichnisses klagen.[18] Dies erscheint weder sinnvoll noch sachgerecht. Aus den genannten Gründen sind für die Rechtmässigkeit i.e.S. nur Bestimmungen ausserhalb des DSG relevant.

Persönlichkeitsschutz des ZGB?

Art. 28 ZGB stellt die zentrale Bestimmung des privatrechtlichen Persönlichkeitsschutzes dar und findet sich ausserhalb des DSG, weshalb es naheliegt, seine Verletzung als Verstoss gegen den Rechtmässigkeitsgrundsatz zu betrachten. Gleichzeitig erfasst Art. 30 Abs. 1 DSG im Sinne einer Generalklausel nicht weiter definierte Persönlichkeitsverletzungen. Daher fragt sich, ob eine Persönlichkeitsverletzung i.S.v. Art. 28 ZGB aus datenschutzrechtlicher Sicht eine Persönlichkeitsverletzung gemäss Art. 30 Abs. 1 DSG oder gemäss Art. 6 Abs. 1 DSG i.V.m. Art. 30 Abs. 2 lit. a DSG darstellt. Relevant ist diese Frage,[19] weil bei der letzteren Variante eine Verletzung eines Bearbeitungsgrundsatzes vorliegt, an deren Rechtfertigung die Rechtsprechung erhöhte Anforderungen stellt.[20]

Im Street View-Entscheid bejahte das Bundesgericht eine Verletzung des Rechts am eigenen Bild, mithin eine Persönlichkeitsverletzung i.S.v. Art. 28 ZGB,[21] und schloss daraus auf eine Verletzung des Rechtmässigkeitsgrundsatzes (heute Art. 6 Abs. 1 DSG).[22] Trotz fehlender Begründung in diesem Punkt dürfte also nach Ansicht des Bundesgerichts ein «Umweg» über Art. 6 Abs. 1 DSG zu nehmen sein. Dies ist nach vorliegend vertretener Ansicht falsch. Sofern Daten der betroffenen Person bearbeitet werden und ihre Persönlichkeit i.S.v. Art. 28 Abs. 1 ZGB verletzt wird, ist auch eine Persönlichkeitsverletzung nach DSG anzunehmen.[23] Diesfalls greift unmittelbar Art. 30 Abs. 1 DSG; auf den Rechtmässigkeitsgrundsatz zurückzugreifen, erscheint überflüssig und damit nicht angezeigt.[24]

Fernwirkung einer widerrechtlichen Datenbearbeitung

Im schweizerischen Recht (DSG)

Herleitung

Im Helsana+‑Entscheid leitete das Bundesverwaltungsgericht aus dem Rechtmässigkeitsgrundsatz einen weiteren Teilgehalt ab. In dieser Angelegenheit fehlte es einer Betreiberin der öffentlichen Krankenversicherung, einem Bundesorgan (vgl. heute Art. 5 lit. i DSG), an der gültigen Einwilligung für eine Datenbekanntgabe an einen Zusatzversicherer desselben Konzerns. Mangels gesetzlicher Grundlage bzw. deren Surrogats erfolgte die Datenbekanntgabe unrechtmässig (vgl. heute Art. 36 DSG).[25] Daraus folgerte das Bundesverwaltungsgericht, dass auch die dazugehörige Datenbeschaffung durch den Zusatzversicherer unrechtmässig war.[26] Es hielt im Allgemeinen fest, dass «jegliche Weiterbearbeitung rechtswidrig beschaffter Daten […] grundsätzlich ebenfalls rechtswidrig [ist].»[27] Dementsprechend wäre z.B. auch die Verwendung oder anderweitige Bearbeitung von Daten unrechtmässig i.S.v. Art. 6 Abs. 1 DSG, die der Verantwortliche (oder ein Dritter) zuvor beschafft hat, ohne die nach dem Transparenzgrundsatz (vgl. Art. 6 Abs. 3 DSG) erforderlichen Parameter der Datenbearbeitung für die betroffene Person erkennbar zu machen[28] (und dafür einen Rechtfertigungsgrund zu haben).

Dieser Teilgehalt, der sich als «Fernwirkung» einer widerrechtlichen Datenbearbeitung[29] bezeichnen lässt, ist in der Lehre[30] im Grundsatz unumstritten und wurde eben vom Bundesverwaltungsgericht bestätigt.[31] Dogmatisch hergeleitet wurde die Fernwirkung aber weder hier noch dort, obwohl deren Fundament dünn erscheint: Insbesondere findet die Fernwirkung kaum eine Stütze im Wortlaut, zumal sie nicht an die fragliche Bearbeitung, sondern an die Widerrechtlichkeit vorangehender Bearbeitungen anknüpft. Auch die Materialien zum alten und neuen DSG enthalten soweit ersichtlich keinen einschlägigen Hinweis. Liegt die Funktion des Rechtmässigkeitsgrundsatzes – wie auch hier vertreten[32] – darin, ein Scharnier zwischen dem DSG und dem übrigen (den Persönlichkeitsschutz bezweckenden) Recht zu bilden, sodass nur Bestimmungen ausserhalb des DSG für die Rechtmässigkeit relevant sind, wäre eine solche Fernwirkung eigentlich abzulehnen.

Allerdings spricht eine Folgeerwägung für diesen Teilgehalt. Ohne die Fernwirkung könnte es sein, dass Daten widerrechtlich bekanntgegeben, beschafft oder generiert werden und deren anschliessenden Bearbeitungen mangels Persönlichkeitsverletzung auch ohne Rechtfertigung nach Art. 31 DSG zulässig wären. Würde beispielsweise eine Auskunftei bei Kreditgeberinnen Daten widerrechtlich beschaffen, wäre deren Verwendung für die Berechnung des Kreditscores nicht ohne Weiteres persönlichkeitsverletzend und damit grundsätzlich auch ohne überwiegendes Interesse (oder einen anderen Rechtfertigungsgrund) erlaubt. Diese Rechtslage erscheint stossend und drohte, falsche Anreize zu schaffen. Daher ist trotz ihres dünnen Fundaments von einer solchen Fernwirkung auszugehen. Angesichts der unzweideutigen Haltung von Lehre und Rechtsprechung, ist es für eine Auskunftei ohnehin ratsam, die Fernwirkung widerrechtlicher Datenbearbeitungen zu berücksichtigen.

Tragweite

Eine Bearbeitung von zuvor widerrechtlich bearbeiteten, insbesondere bekanntgegebenen, beschafften oder generierten Daten ist also unrechtmässig (i.S.v. Art. 6 Abs. 1 DSG),[33] soweit die widerrechtliche Bearbeitung zwingende Voraussetzung der fraglichen, anschliessenden Bearbeitung ist.[34] Die vorangehende Bearbeitung muss nicht nur persönlichkeitsverletzend sein, sondern auch einer Rechtfertigung entbehren. Wenn z.B. der Verantwortliche Daten ohne erforderliche Transparenz (vgl. Art. 6 Abs. 3 DSG) beschafft, dieses Defizit aber mit einem überwiegenden Interesse rechtfertigen kann, so sind die nachfolgenden Bearbeitungen dieser Daten nicht unrechtmässig. Das dürfte ein Teil der Lehre[35] und wohl auch das Bundesverwaltungsgericht[36] anders sehen. Allerdings erscheint eine Fernwirkung nur dann sachgerecht, wenn eine unzulässige, also eine widerrechtliche Datenbearbeitung vorausgeht. Lässt sich eine persönlichkeitsverletzende Datenbearbeitung rechtfertigen, dann erlaubt sie das DSG;[37] anschliessende Datenbearbeitungen dennoch als unrechtmässig einzustufen, erschiene falsch.

Mangels entsprechender gesetzlicher Bestimmung gibt es keinen Gutglaubensschutz. Darum greift die «Fernwirkung» auch dann, wenn der Verantwortliche die Widerrechtlichkeit der vorangehenden Datenbearbeitung nicht kannte und auch nicht kennen musste.[38] Wegen der Fernwirkung unrechtmässige Datenbearbeitungen lassen sich rechtfertigen,[39] und zwar gleich wie solche, die (andere) Bearbeitungsgrundsätze verletzen.[40] Ein Grund für eine abweichende Rechtslage ist nicht ersichtlich, obwohl das Bundesverwaltungsgericht im Helsana+-Entscheid nach Bejahung der Unrechtmässigkeit die Rechtfertigung dieser Persönlichkeitsverletzung bedauerlicherweise nicht (mehr eigenständig[41]) prüfte.[42]

Im europäischen Recht (DSGVO)

Auch unter der DSGVO nehmen die Gerichts- und Behördenpraxis sowie die Lehre zuweilen eine Fernwirkung unrechtmässiger oder rechtswidriger Datenverarbeitungen an: Gemäss dem österreichischen Verwaltungsgerichtshof zieht die rechtswidrige Ermittlung von Daten, etwa wegen Verletzung der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO),[43] die Rechtswidrigkeit der nachfolgenden Übermittlung dieser Daten nach sich.[44] Für die österreichische Aufsichtsbehörde ergibt sich aus der Unrechtmässigkeit einer Datenerhebung, dass (grundsätzlich) nicht nur die Übermittlung dieser Daten, sondern auch deren weitere Verarbeitung unrechtmässig sind.[45] Ausnahmsweise könne ein Verantwortlicher ursprünglich von einem anderen Verantwortlichen unrechtmässig erhobene Daten rechtmässig verarbeiten, namentlich bei Vorliegen eines zwingend schutzwürdigen Interesses, zu denen die Monetarisierung von Daten nicht zähle.[46] Eine ähnliche Ansicht findet sich in der Lehre,[47] welche die Rechtswidrigkeit der vorangehenden Erhebung vereinzelt auch bei der Interessenabwägung für die weitere Verarbeitung der betreffenden Daten (im Rahmen von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) berücksichtigen will und «gewichtige Umstände» zugunsten der Verarbeitung verlangt.[48]

Eine eigentliche Begründung der Fernwirkung findet sich in diesen Äusserungen nicht, obwohl die Verankerung und Herleitung in der DSGVO – wie im DSG[49] – wenig klar ist. Im europäischen Recht kommt hinzu, dass die verlangte Rechtmässigkeit in Art. 5 Abs. 1 lit. a DSGVO im Wesentlichen als Verweis auf das Erfordernis einer Rechtsgrundlage zu verstehen ist und sich insoweit die Vorgaben ausschliesslich aus Art. 6–11 DSGVO ergeben.[50] Zwar liesse sich auch hier eine Folgeerwägung zugunsten einer Fernwirkung ins Feld führen. Jedoch bedarf im europäischen Recht ohnehin jede Datenverarbeitung insofern einer Rechtfertigung, als dafür eine Rechtsgrundlage bestehen muss (Art. 6 Abs. 1 DSGVO), sodass auch dieses Argument weniger überzeugt als unter dem DSG. Eine eigentliche Fernwirkung von unrechtmässigen, und noch mehr von sonst rechtswidrigen Datenverarbeitungen, aufgrund welcher anschliessende Datenverarbeitungen zwingend unrechtmässig wären, ist daher unter der DSGVO abzulehnen.

Es erscheint angesichts des Abhängigkeitsverhältnisses dennoch angezeigt, bei der Prüfung der Rechtsgrundlage für eine anschliessende Datenverarbeitung soweit möglich zu berücksichtigen, dass eine dafür zwingend vorausgesetzte, vorangehende Datenverarbeitung[51] unrechtmässig, also unter Missachtung von Art. 6–11 DSGVO, erfolgt ist. Beim berechtigten Interesse nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO fliesst dieser Umstand zugunsten der betroffenen Person in die Abwägung ein, wobei das Interesse an der Verarbeitung bloss bei besonderen Gründen überwiegen dürfte. Das gilt umso mehr, wenn der Verantwortliche die Unrechtmässigkeit kannte. Bei anderen möglichen Rechtsgrundlagen, etwa jener einer rechtlichen Verpflichtung (Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO), lässt sich dieser Umstand ohne erforderliche Abwägung freilich schlecht berücksichtigen. Dies ändert aber nichts daran, dass sich eine Fernwirkung unter der DSGVO eben nicht hinreichend begründen lässt.

Bei Kreditwürdigkeitsprüfungen im Besonderen

Auch Auskunfteien müssen im Anwendungsbereich des DSG Personendaten grundsätzlich unter Beachtung der den Persönlichkeitsschutz bezweckenden Rechtsnormen (ausserhalb des DSG) bearbeiten. Besonderheiten bei ihren Kreditwürdigkeitsprüfungen, etwa weil das Risiko der Verletzung bestimmter Bestimmungen grösser als in anderen Kontexten wäre, sind allerdings kaum ersichtlich.

Gerade beim Einsatz von Techniken der Künstlichen Intelligenz besteht das Risiko, dass Kreditscores auf geschützte Merkmale abstellen und daraus womöglich nach Art. 261bis Abs. 5 StGB oder Art. 6 BehiG relevante Diskriminierungen resultieren.[52] Diesfalls ist die Verwendung des Kreditscores für den negativen Kreditentscheid unrechtmässig und verletzt die Persönlichkeit der diskriminierten Person (Art. 6 Abs. 1 i.V.m. Art. 30 Abs. 2 lit. a DSG).[53] Die vorangehenden Datenbearbeitungen der hier interessierenden Auskunftei, wie insbesondere die Berechnung des Kreditscores, führen in diesem Szenario zwar zu einer unrechtmässigen Bearbeitung und verfolgen womöglich einen rechtswidrigen Zweck, dürften aber nicht selbst schon eine dieser beiden Normen verletzen. Weitere für Auskunfteien relevante Bestimmungen könnte auf den ersten Blick das KKG enthalten, das Vorgaben an die Kreditfähigkeitsprüfung aufstellt (vgl. Art. 22 ff. KKG).[54] Diese richten sich indes nicht an die Auskunfteien, sondern an gewerbsmässig tätige Kreditgeberinnen und Schwarmkredit-Vermittlerinnen (Art. 27a KKG). Zudem liegt der Zweck der Kreditfähigkeitsprüfung nicht im Schutz der Persönlichkeit der betroffenen Person; vielmehr soll damit die Überschuldung der Konsumentin infolge eines Konsumkreditvertrags vermieden werden (Art. 22 KKG).

Der Teilgehalt der Fernwirkung ist für Auskunfteien zumindest theoretisch von grosser Bedeutung. Denn sie beschaffen ihre Daten mehrheitlich indirekt und erlangen sie insbesondere von Kreditgeberinnen, Inkassounternehmen und öffentlichen Quellen wie Betreibungsämtern. Zudem geben sie den Kreditgeberinnen Daten bekannt, die sie womöglich im Rahmen der Kreditwürdigkeitsbeurteilung widerrechtlich bearbeitet haben.

Deshalb müssen Auskunfteien gemäss DSG nicht nur selbst die Daten rechtmässig beschaffen, sondern dürfen auch die Bekanntgaben oder Veröffentlichungen der beanspruchten Quellen nicht widerrechtlich erfolgen. Andernfalls sind die weiteren Bearbeitungen der Auskunfteien unrechtmässig i.S.v. Art. 6 Abs. 1 DSG. Kreditgeberinnen müssen ihrerseits insbesondere beachten, dass die Beschaffung und Nutzung eines Kreditscores unrechtmässig sind, wenn die Auskunftei diesen mit einem widerrechtlichen Profiling generiert oder widerrechtlich bekanntgegeben hat.

Unter der DSGVO ist eine Verarbeitung, für die eine andere, unrechtmässige Verarbeitung eine zwingende Voraussetzung war, nicht ohne Weiteres unrechtmässig. Jedoch ist dieser Umstand bei der Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, der für Auskunfteien im Vordergrund stehenden Rechtsgrundlage,[55] zugunsten der betroffenen Person zu berücksichtigen. Es werden «gewichtige Umstände»[56] vorliegen müssen, damit sich eine solche anschliessende Verarbeitung dennoch auf ein berechtigtes Interesse stützen lässt. Dasselbe gilt für die Kreditgeberin, falls sie die Beschaffung und Nutzung des Kreditscores auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO abstellt.

Vgl. dazu oben Teil 2, C.II.2. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 5.4.3. Zum DSG gl.M. Bühlmann/Schüepp, Jusletter 2021, Rn. 135; a.M. CR LPD-Boillat/Werly, Art. 30 N 18; PC LPD-Francey, Art. 6 N 10, die das allerdings auch aus dem Helsana+-Entscheid ableiten wollen; wohl auch SHK-Baeriswyl, Art. 6 N 7; Husi-Stämpfli/Morand, Rn. 164 f.; zum aDSG gl.M. wohl Kern/Egli, in: Epiney/Rovelli, S. 197. ↵

Vgl. dazu oben Teil 3, C.III.3.1. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 5.4.4. Zum DSG ebenso Bühlmann/Schüepp, Jusletter 2021, Rn. 135; Métille, S. 8; zum aDSG Meier, Rn. 640; HK aDSG-Rosenthal, Art. 4 N 7; a.M. SHK DSG-Baeriswyl, Art. 6 N 7 f.; offenbar EDÖB, Leitfaden TOM, S. 6. Jedenfalls vor dem Helsana+-Entscheid war dies umstritten (vgl. Epiney, in: Belser et al., § 9 N 13 f.; Gerschwiler et al., in: Passadelis et al., Rn. 3.62; BSK aDSG-Maurer-Lambrou/Steiner, Art. 4 N 6). ↵

Zum DSG PC LPD-Francey, Art. 6 N 13; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 7, je mit weiteren Beispielen. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 5.5 f. ↵

So Kern/Egli, in: Epiney/Rovelli, S. 198. ↵

Dies steht natürlich unter der Voraussetzung, dass der Anwendungsbereich des DSG eröffnet ist, also insb. Personendaten bearbeitet werden (vgl. dazu oben Teil 2, A.I.), was – zurückhaltend formuliert – nicht selten der Fall ist. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 5.4.3. ↵

Zum DSG so aber SHK DSG-Baeriswyl, Art. 6 N 8. ↵

Botschaft Totalrevision DSG, S. 7010. ↵

Zum DSG PC LPD-Francey, Art. 6 N 11; zum aDSG vgl. Steinauer/Fountoulakis, Rn. 700. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 5.4.2, vgl. auch E. 4.6. ↵

Unrechtmässigkeit auch bei der Verletzung von Bestimmungen des DSG (zum DSG EDÖB, Leitfaden TOM, S. 6; SHK DSG-Baeriswyl, Art. 6 N 15; vgl. auch Métille, S. 8, der allerdings nicht vom DSG, sondern von datenschutzrechtlichen Rechtsnormen/vom Datenschutzrecht spricht; zum aDSG Epiney, in: Belser et al., § 9 N 14); Unrechtmässigkeit nur bei der Verletzung von Bestimmungen ausserhalb des DSG (zum DSG CR LPD-Meier/Tschumy, Art. 6 N 19; zum aDSG Meier, Rn. 640; HK aDSG-Rosenthal, Art. 4 N 7, 9 und 11). Bühlmann/Schüepp, Jusletter 2021, Rn. 136, wollen differenzieren und eine Unrechtmässigkeit bei der Verletzung von Vorschriften annehmen, welche die Zulässigkeit des eigentlichen Beschaffungs- und Bearbeitungsvorgangs betreffen. Weshalb aber gerade bei dem von ihnen gemachten Beispiel der Verletzung des Erkennbarkeit- oder Zweckbindungsgrundsatzes auch eine Unrechtmässigkeit vorliegen «muss», leuchtet nicht ein, zumal deren Missachtung ohnehin eine Grundsatzverletzung, mithin eine Persönlichkeitsverletzung darstellt (Art. 30 Abs. 2 lit. a DSG). ↵

Botschaft DSG 1988, S. 449 f., die auf Verstösse gegen Normen des StGB verweist. ↵

Zum DSG vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 136; Uttinger/Geiser, Rn. 2.15; zum aDSG HK aDSG-Rosenthal, Art. 4 N 11. ↵

Zum aDSG vgl. Meier, Rn. 640 (Fn. 681); HK aDSG-Rosenthal, Art. 4 N 11. ↵

Vgl. Art. 32 Abs. 2 i.V.m. Art. 28a Abs. 1 Ziff. 2 ZGB. ↵

Vgl. BGE 138 II 346 E. 8.1. ↵

Vgl. dazu unten Teil 3, D.I.1. ↵

Die Widerrechtlichkeit dieser Persönlichkeitsverletzung prüfte das Bundesgericht nicht. Demnach ergibt sich aus einer Persönlichkeitsverletzung i.S.v. Art. 28 ZGB nach Ansicht des Bundesgerichts ohne Weiteres eine Verletzung des Rechtmässigkeitsgrundsatzes (vgl. Gilliéron, S. 144). ↵

BGE 138 II 346 E. 8.3. ↵

Vgl. dazu unten Teil 3, C.IX.1. ↵

Zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 7. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 4.8.2 und 4.8.4. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 4.9. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 4.6 und 4.8.4, wo zunächst von «rechtswidrig im Sinne von Art. 4 Abs. 1 [heute Art. 6 Abs. 1] DSG», dann aber von «unrechtmässig im Sinne von Art. 4 Abs. 1 [heute Art. 6 Abs. 1] DSG» die Rede ist. ↵

Vgl. dazu oben Teil 3, C.II.2. und C.II.3. ↵

Rosenthal, sic! 2021, S. 171, spricht vom «Grundsatz der ‘verbotenen Frucht’» und erinnert damit an die Regeln der Verwertbarkeit von Beweismitteln. Während es bei diesem Grundsatz allerdings um Beweismittel geht, die dank zuvor unrechtmässig erlangten Beweismitteln beschafft werden konnten, betrifft der hier interessierende Teilgehalt der Rechtmässigkeit das betreffende Datum bzw. die betreffenden Daten selbst. Dennoch bietet sich für die Benennung dieses Teilgehalts der auch im Kontext der Beweisverwertbarkeit verwendete Begriff der Fernwirkung an. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 33; Bühlmann/Schüepp, Jusletter 2021, Rn. 134; zum aDSG vgl. Epiney, in: Belser et al., § 9 N 12; Gerschwiler et al., in: Passadelis et al., Rn. 3.63; Rosenthal, sic! 2021, S. 171. ↵

BVGer, A-3548/2018 vom 19. März 2019, E. 4.6 f. ↵

Vgl. dazu oben Teil 3, C.VIII.2.2. ↵

Zum DSG vgl. BSK DSG-Bühlmann/Reinle, Art. 6 N 33; Bühlmann/Schüepp, Jusletter 2021, Rn. 141; Rosenthal, sic! 2021, S. 171; zum aDSG BVGer, A‑3548/2018 vom 19. März 2019, E. 4.6 f.; Epiney, in: Belser et al., § 9 N 12; Gerschwiler et al., in: Passadelis et al., Rn. 3.63. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 4 N 13, wonach der «Makel» den Personendaten auch bei nachfolgenden Bearbeitungen anhafte, «soweit diese auf die fragliche Verhaltensweise zurückgehen» – für eine weitere interne Bearbeitung von Personendaten ist also z.B. unerheblich, dass der Verantwortliche diese zuvor widerrechtlich bekanntgegeben hat; a.M. offenbar Bühlmann/Schüepp, Jusletter 2021, Rn. 134 (Fn. 237). ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 33, sprechen von «unrechtmässigen Datenbearbeitungen nach Art. 6 Abs. 1 DSG», die eine Fernwirkung auslösen würden; Bühlmann/Schüepp, Jusletter 2021, Rn. 141, setzen bei «Personendaten [an], die von Dritten rechtswidrig erhoben oder rechtswidrig bekanntgegeben werden»; Rosenthal, sic! 2021, S. 171, knüpft an «Personendaten [an, die] in datenschutzwidriger Weise beschafft [wurden]»; zum aDSG Epiney, in: Belser et al., § 9 N 12, spricht von «unrechtmässigen Datenbearbeitungen gemäss Art. 4 Abs. 1 [heute Art. 6 Abs. 1] DSG», die darauf folgende Datenbearbeitungen unrechtmässig machen würden; ebenso Gerschwiler et al., in: Passadelis et al., Rn. 3.63. ↵

Zum aDSG BVGer, A-3548/2018 vom 19. März 2019, E. 4.6, wonach «[e]ine Datenbeschaffung […] immer dann rechtswidrig im Sinne von Art. 4 Abs. 1 DSG [ist], wenn gegen irgendeine datenschutzrechtliche Rechtsnorm verstossen wird; jegliche Weiterbearbeitung rechtswidrig beschaffter Daten ist grundsätzlich ebenfalls rechtswidrig». ↵

Vgl. dazu unten Teil 2, C.I.1. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 4 N 13. ↵

Zum DSG BSK DSG-Bühlmann/Reinle, Art. 6 N 33; Bühlmann/Schüepp, Jusletter 2021, Rn. 142; zum aDSG Rosenthal, sic! 2021, S. 171; vgl. auch Meier, Rn. 639. ↵

Vgl. dazu unten Teil 3, D.I.1. ↵

In E. 4.9 schliesst das BVGer, A-3548/2018 vom 19. März 2019, vom Verstoss von (heute) Art. 6 Abs. 1 DSG direkt auf eine widerrechtliche Persönlichkeitsverletzung. Zuvor hielt es indes noch fest, dass die Verantwortliche, die Helsana Zusatzversicherungen AG, über eine Einwilligung verfüge (E. 4.7). Zumindest implizit erklärt das BVGer diese Einwilligung für ungültig mangels angemessener Information (vgl. E. 4.8.4). Es lässt sich deshalb aus dem Entscheid nicht ableiten, dass die Rechtfertigung nicht separat zu prüfen wäre. ↵

Vgl. Bühlmann/Schüepp, Jusletter 2021, Rn. 142. ↵

Vgl. dazu oben Teil 3, C.IV.1. ↵

VwGH Österreich, Ra 2019/04/0054-8 vom 23. Februar 2021, Ziff. 37 ff. ↵

DSB, GZ: 2022-0.522.983 vom 2. Februar 2023 (Verfahrenszahl: DSB-D124.3614/22), D. 1.3. ↵

DSB, GZ: 2023-0.193.268 vom 24. März 2023 (Verfahrenszahl: DSB-D124.3816/22), D. 1.1.d, wonach dies z.B. bei einer unrechtmässig erfolgten Videoaufnahme der Fall sei, die ein anderer Verantwortlicher aus zwingend schutzwürdigen Interessen im Rahmen eines Gerichtsprozesses vorlege. ↵

Vgl. Kramer, NJW 2020, S. 498, wonach «die Verarbeitung rechtswidrig verarbeiteter Daten und solcher, deren Speicherung inzwischen unzulässig geworden ist, grundsätzlich unzulässig [ist]». ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 111. ↵

Vgl. dazu oben Teil 3, C.VIII.3.1.a. ↵

Vgl. dazu oben Teil 2, C.II.2. ↵

Vgl. dazu oben Teil 3, C.VIII.3.1.b. ↵

Diese Bestimmungen bezwecken zumindest auch den Schutz der Persönlichkeit der betroffenen Personen, kennen jedoch einschränkende Voraussetzungen, auf die an dieser Stelle nicht einzugehen ist (vgl. dazu oben Teil 3, C.VII.2.2.a). ↵

Vgl. dazu oben Teil 3, C.VII.2.2.b.aa. ↵

Vgl. dazu oben Teil 1, B.II.1.2. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.b. ↵

Vgl. Schantz, in: Simitis et al., Art. 6 Abs. 1 N 111. ↵

31

Anderweitige Persönlichkeitsverletzung (nur DSG)

Nachdem das DSG die Fälle von Persönlichkeitsverletzungen in Art. 30 Abs. 2 DSG nicht abschliessend auflistet, kann die Persönlichkeit der betroffenen Person bei bzw. mit Datenbearbeitungen auch anderweitig, also unabhängig von einer Grundsatzverletzung, einem Widerspruch oder einer Bekanntgabe von besonders schützenswerten Personendaten verletzt werden.[1] Ob eine solche anderweitige Persönlichkeitsverletzung vorliegt, hängt vom Begriff ab, der dieser zugrunde gelegt wird (nachfolgend 1.) und ist im Folgenden bei Vornahme eines Profilings (mit hohem Risiko), insbesondere im Kontext von Kreditwürdigkeitsbeurteilungen, zu prüfen (nachfolgend 2.).

Begriff der Persönlichkeitsverletzung

Angesichts der übereinstimmenden Begriffe liegt es nahe, die (anderweitige) Persönlichkeitsverletzung nach Art. 30 Abs. 1 DSG gleich wie in Art. 28 Abs. 1 ZGB zu verstehen. Dafür spricht sich denn auch die überwiegende Lehre aus, obwohl sie ihre Ansicht nur vereinzelt begründet.[2] Ob dies zutrifft, hat das Bundesgericht noch nicht (eindeutig) beantwortet. Es bejahte im Street View-Entscheid eine Verletzung des Rechts am eigenen Bild sowie auf Achtung der Privatsphäre und damit eine Persönlichkeitsverletzung nach Art. 28 Abs. 1 ZGB. Statt zugleich eine Persönlichkeitsverletzung i.S.v. (heute) Art. 30 Abs. 1 DSG anzunehmen, schloss das Gericht auf eine Missachtung des Rechtmässigkeitsgrundsatzes (heute Art. 6 Abs. 1 DSG).[3] Leider begründete das Bundesgericht diesen Standpunkt nicht. Deshalb wäre es denkbar, aber wohl voreilig zu folgern, dass (auch abseits der Fiktionen[4]) unterschiedliche Begriffe der Persönlichkeitsverletzung unter dem ZGB und dem DSG bestehen.[5]

Erfasste Persönlichkeitsgüter

Ein Unterschied gegenüber dem ZGB könnte in den erfassten Persönlichkeitsgütern liegen.[6] In diesem Sinn will eine Lehrmeinung die unter dem DSG relevante Persönlichkeit auf deren informationellen Aspekte einschränken; es entspreche nicht dem Willen des Gesetzgebers, aus jeder Verletzung von Art. 28 ZGB gleichzeitig eine Verletzung von Art. 30 DSG zu konstruieren.[7] Für diese Ansicht liesse sich ins Feld führen, dass die Botschaft zum Zweck des DSG auf Art. 13 Abs. 2 BV[8] verweist und festhält, dass das DSG das Recht auf informationelle Selbstbestimmung im Zusammenhang mit Personendaten auf Gesetzesebene konkretisiert.[9] Auch zur Erläuterung von Art. 30 Abs. 1 DSG führt der Bundesrat aus, dass «das individuelle Verfügungsrecht über personenbezogene Daten, welches durch die informationelle Selbstbestimmung geschützt ist, […] durch Datenbearbeitungen rasch empfindlich eingeschränkt» werde[10] und hebt damit informationelle Aspekte hervor.

Die Zweckbestimmung in Art. 1 DSG spricht allerdings vom Schutz der Persönlichkeit, die eben auch[11] andere Persönlichkeitsgüter umfasst. Zudem sieht der Wortlaut von Art. 30 DSG keine entsprechende Einschränkung vor, sondern adressiert schlicht Persönlichkeitsverletzungen von Akteuren, die Personendaten bearbeiten. Hinzu kommt, dass die vorgeschlagene Einschränkung für die Frage, ob eine Persönlichkeitsverletzung besteht, unerheblich wäre. Läge in einem konkreten Fall mangels Tangierung informationeller Aspekte der Persönlichkeit zwar keine Verletzung nach Art. 30 DSG, aber eine nach Art. 28 ZGB vor, wäre (sofern Daten bearbeitet werden) eine Verletzung des Rechtmässigkeitsgrundsatzes und deshalb eine Persönlichkeitsverletzung anzunehmen (Art. 30 Abs. 2 lit. a i.V.m. Art. 6 Abs. 1 DSG).[12] Soweit also die vorgeschlagene Einschränkung über das Erfordernis hinausgehen soll, dass Daten der Person bearbeitet werden, welche die Persönlichkeitsverletzung erleidet,[13] ist die Einschränkung abzulehnen. Selbstverständlich stehen informationelle Aspekte der Persönlichkeit im Vordergrund, was die Lehre etwa damit zum Ausdruck bringt, dass sie vorab auf die informationelle Selbstbestimmung oder Integrität verweist.[14] Allerdings fällt grundsätzlich der Eingriff in ein beliebiges von Art. 28 ZGB umfasstes Persönlichkeitsgut unter dem DSG in Betracht.[15]

Verletzung der Persönlichkeit

Art. 30 Abs. 2 DSG nennt – anders als das ZGB – Beispiele von Persönlichkeitsverletzungen. Wie bei der Auslegung anderer Generalklauseln mit demonstrativer Kasuistik lassen sich die Beispiele als Richtschnur zur Auslegung des Begriffs der Persönlichkeitsverletzung nach DSG heranziehen.[16] Dabei fällt auf, dass den Fiktionstatbeständen in Art. 30 Abs. 2 lit. a–c DSG im Gegensatz zu Art. 28 Abs. 1 ZGB eine Bagatellschwelle, ein Vorbehalt der Sozialadäquanz, fehlt.[17] Zudem genügt es für eine fingierte Persönlichkeitsverletzung, dass z.B. die erforderlichen Massnahmen zur Datensicherheit fehlen, auch wenn eine Verletzung der Datensicherheit (Art. 5 lit. h DSG) nie konkret gedroht hat.[18] Insoweit wirken die Fiktionen präventiv und verschieben den Persönlichkeitsschutz (weiter) ins Vorfeld, während das ZGB zumindest eine konkrete, ernst zu nehmende Bedrohung oder Bestreitung eines Persönlichkeitsguts verlangt.[19]

Eine beliebige abstrakte Bedrohung eines Persönlichkeitsguts ohne Bagatellschwelle als Persönlichkeitsverletzung nach DSG zu betrachten, würde allerdings dazu führen, dass nahezu jede Datenbearbeitung einer Rechtfertigung bedürfte. Ein solches Verständnis liesse sich mit der Systematik des DSG nicht in Einklang bringen, die mit der Zweiteilung von Art. 30 und Art. 31 DSG klarstellt, dass nicht jede Datenbearbeitung rechtfertigungsbedürftig ist.[20] Zudem knüpft der Begriff der Persönlichkeitsverletzung (trotz Konkretisierung) an Art. 28 ZGB an. Wie die Botschaft zum aDSG festhält, stellt (heute) Art. 30 Abs. 1 DSG den Bezug zu Art. 28 Abs. 1 ZGB her und macht auf diese Weise deutlich, dass das DSG, soweit es sich auf Private bezieht, den Grundsätzen des Persönlichkeitsschutzes des ZGB folgt.[21] Daher hat sich der Begriff der Persönlichkeitsverletzung nach DSG zunächst an jenem nach ZGB zu orientieren. Ersterer ist aber in der Tendenz breiter zu verstehen: Zum einen dürfte die erforderliche Schwere des Eingriffs niedriger anzusetzen sein[22] und zum anderen werden auch gesteigerte abstrakte Bedrohungen eines Persönlichkeitsguts für eine Verletzung genügen.[23] Wie nach ZGB ist bei der Beurteilung des Einzelfalls ein objektiver Massstab anzulegen.[24]

Profiling (mit hohem Risiko) als Persönlichkeitsverletzung?

Ob ein Profiling (mit hohem Risiko), das die Bearbeitungsgrundsätze einhält, die Persönlichkeit der betroffenen Person anderweitig verletzt, beurteilt sich grundsätzlich anhand des eben beschriebenen Verständnisses der Persönlichkeitsverletzung. Allerdings sind dabei die (bereits erwähnten[25]) Entscheidungen des Gesetzgebers zu berücksichtigen, vor deren Hintergrund sich nicht annehmen lässt, dass ein Profiling, gerade zum Zweck der Kreditwürdigkeitsprüfung, generell die Persönlichkeit der betroffenen Person verletzt.[26] Folglich können auch – wie bereits im Zusammenhang mit der Verhältnismässigkeit argumentiert[27] – die begriffsnotwendigen Elemente des Profilings an sich nicht zu einer Persönlichkeitsverletzung führen. Dass das Profiling der betroffenen Person (potenziell) die Möglichkeit nimmt, selbst über die Preisgabe der erschlossenen Informationen zu entscheiden und insoweit in ihr «Recht auf informationelle Selbstbestimmung» eingreift, stellt demnach keine Persönlichkeitsverletzung bzw. keinen Grund zu deren Annahme dar.

Vielmehr müssen zusätzliche Umstände vorliegen, aufgrund deren ein Persönlichkeitsgut der betroffenen Person in ausreichendem Masse zumindest bedroht ist. Dies dürfte etwa der Fall sein, wenn das Profiling einen umfangreichen bzw. besonders aussagekräftigen Output, beispielsweise eine Beurteilung des Charakters der betroffenen Person insgesamt, generiert, sodass ein ausreichender Eingriff in die Privat- oder sogar Intimsphäre vorliegt.[28] Im Kontext der (in der Praxis üblichen) Berechnung des Kreditscores liegt keine Konstellation auf der Hand, bei der ein gewöhnliches Profiling die Persönlichkeit der betroffenen Person trotz Einhaltung der Bearbeitungsgrundsätze verletzt.

Auch beim Profiling mit hohem Risiko kann angesichts der Gesetzeshistorie und im Vergleich zum alten Recht[29] nicht ohne Weiteres von einer Persönlichkeitsverletzung ausgegangen werden.[30] Gleichzeitig ist zu bedenken, dass die Generalklausel in Art. 30 Abs. 1 DSG bereits eine gesteigerte abstrakte Bedrohung eines Persönlichkeitsguts für eine Persönlichkeitsverletzung genügen lässt.[31] Beim Profiling mit hohem Risiko handelt es sich – jedenfalls nach Ansicht des Gesetzgebers – um eine (besonders) heikle Art der Datenbearbeitung,[32] deren Legaldefinition ein hohes Risiko für die Persönlichkeit oder die Grundrechte verlangt (Art. 5 lit. g DSG). Freilich muss das Risiko nicht konkret sein und entsprechend nicht im Einzelfall geprüft werden.[33] Jedoch leitet das Gesetz bereits ein hohes abstraktes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person aus der Bearbeitung eines Persönlichkeitsprofils als Input ab,[34] das seinerseits das Risiko erzeugen muss, dass die betroffene Person sich in der Gesellschaft nicht mehr so darstellen bzw. entfalten kann, wie sie es für richtig hält.[35] Vor diesem Hintergrund dürfte ein Profiling mit hohem Risiko nicht selten die Persönlichkeit der betroffenen Person verletzen.

Nicht persönlichkeitsverletzend kraft der Generalklausel müsste hingegen ein solches Profiling sein, wenn sich das (abstrakte) Risiko für die Persönlichkeit im Wesentlichen aus der Verwendung eines Inputs ergibt, der als altrechtliches Persönlichkeitsprofil qualifiziert, und entsprechend insbesondere dessen Informationsgehalt nicht genutzt wird, um tatsächlich wesentliche Aspekte der Persönlichkeit einer natürlichen Person zu beurteilen. Die hier im Vordergrund stehende Berechnung eines Kreditscores kann durchaus auf einen Input abstellen, der nicht nur die Beurteilung der wirtschaftlichen Lage, der Zuverlässigkeit (bei der Schuldentilgung) und der Kreditwürdigkeit erlaubt, sondern auch ein wesentliches Teilbild der Persönlichkeit abzugeben vermag. Allerdings wird sich die Beurteilung üblicherweise auf die Kreditwürdigkeit (und die eben erwähnten persönlichen Aspekte) beschränken, sodass ein Profiling mit hohem Risiko nicht ohne Weiteres kraft der Generalklausel die Persönlichkeit der betroffenen Person verletzt. Dies bedeutet indes nicht, dass das Profiling mit hohem Risiko auch nicht aus einem anderen Grund persönlichkeitsverletzend ist, etwa zufolge Unverhältnismässigkeit.[36]

Zwischenfazit

Eine anderweitige Persönlichkeitsverletzung i.S.v. Art. 30 Abs. 1 DSG setzt zunächst einen Eingriff in ein von Art. 28 ZGB geschütztes Persönlichkeitsgut einer natürlichen Person voraus, deren Daten dabei bearbeitet werden. Damit die Bearbeitung die Persönlichkeit verletzt, muss sie ferner eine gewisse Eingriffsschwelle überschreiten, die im Vergleich zur Persönlichkeitsverletzung nach Art. 28 Abs. 1 ZGB tendenziell niedriger anzusetzen ist. Auch gesteigerte abstrakte Bedrohungen eines Persönlichkeitsguts genügen.

Ein Profiling ist nur in diesem Sinne persönlichkeitsverletzend, wenn zu seinen begriffsnotwendigen Elementen Umstände hinzutreten, welche die Persönlichkeit zusätzlich zumindest bedrohen. Bei der Berechnung des Kreditscores (im Rahmen der üblichen Praxis) liegt keine solche Konstellation auf der Hand, bei der gleichzeitig die Bearbeitungsgrundsätze eingehalten sind. Ein Profiling mit hohem Risiko dürfte hingegen kraft Art. 30 Abs. 1 DSG nicht selten die Persönlichkeit der betroffenen Person verletzen. Es sind allerdings – gerade auch bei einem solchen Profiling zum Zweck der Kreditwürdigkeitsbeurteilung – Ausnahmen denkbar.

Vgl. dazu oben Teil 2, C.I.1. ↵

Zum DSG vgl. Kasper, S. 269; a.M. OFK DSG-Steiner/Laux, Art. 30 N 9; zum aDSG Cellina, Rn. 979; HK aDSG-Rosenthal, Art. 12 N 2; vgl. auch Meier, Rn. 1528 ff. ↵

BGE 138 II 346 E. 8.3. Gemäss HK aDSG-Rosenthal, Art. 4 N 7, bedarf es der Fiktion einer Persönlichkeitsverletzung (heute Art. 30 Abs. 2 lit. a DSG) durch den Nachweis einer Verletzung von (heute) Art. 6 Abs. 1 DSG nicht mehr, wenn eine Verletzung der Persönlichkeit erstellt ist. ↵

Art. 30 Abs. 2 lit. a–c DSG; vgl. dazu auch oben Teil 2, C.I.1. ↵

Andernfalls wäre nämlich kein «Umweg» über (heute) Art. 6 Abs. 1 DSG zu nehmen und unmittelbar eine Persönlichkeitsverletzung i.S.v. (heute) Art. 30 Abs. 1 DSG zu bejahen gewesen. Ausserdem liesse sich argumentieren, dass unterschiedliche Begriffe bestehen müssen, weil sonst die bundesgerichtliche Rechtsprechung dazu führen würde, dass Art. 30 Abs. 1 DSG (neben den Fiktionen) keinen Anwendungsbereich mehr hätte. Denn jede nach Art. 28 ZGB persönlichkeitsverletzende Datenbearbeitung wäre sodann von Art. 6 Abs. 1 i.V.m. Art. 30 Abs. 2 lit. a DSG erfasst. ↵

Art. 28 ZGB umfasst etwa das Recht auf Achtung der Privat- und Intimsphäre, der geistigen Integrität, den Schutz der Ehre und die persönliche Freiheit (vgl. BSK ZGB I-Meili, Art. 28 N 17; HK aDSG-Rosenthal, Art. 12 N 3). ↵

Zum DSG OFK DSG-Steiner/Laux, Art. 30 N 9, ohne konkrete Eingrenzung der informationellen Aspekte der Persönlichkeit. ↵

Gemäss Art. 13 Abs. 2 BV hat jede Person Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten. Daraus leitet das Bundesgericht in ständiger Rechtsprechung ein Recht auf informationelle Selbstbestimmung ab (statt vieler BGE 148 I 233 E. 3.1; BGE 147 I 346 E. 5.3.1; BGE 146 I 11 E. 3.3.1). ↵

Vgl. Botschaft Totalrevision DSG, S. 7010. ↵

Botschaft Totalrevision DSG, S. 7071. ↵

Nach Aebi-Müller, Rn. 608, und Weber, ZSR 1999 II, S. 74, stellt die informationelle Selbstbestimmung kein eigentliches Persönlichkeitsrecht dar. ↵

Vgl. BGE 138 II 346 E. 8.3. ↵

Zum DSG vgl. CR LPD-Boillat/Werly, Art. 30 N 11; zum aDSG HK aDSG-Rosenthal, Art. 12 N 4. ↵

Während ein Teil der Lehre den Begriff der informationellen Selbstbestimmung verwendet (zum DSG vgl. Bühlmann/Metin, S. 358; zum aDSG HK aDSG-Rosenthal, Art. 12 N 3), stösst sich ein anderer Teil an diesem Begriff und verwendet dafür jenen der informationellen Integrität (zum DSG CR LPD-Boillat/Werly, Art. 30 N 13; zum aDSG Meier, Rn. 1531; Rudin, AJP 1998, S. 248 f.). ↵

Zum DSG vgl. PC LPD-Genecand, Art. 30 N 21; zum aDSG HK aDSG-Rosenthal, Art. 12 N 3; vgl. auch Meier, Rn. 1531. ↵

Vgl. SHK DSG-Pfaffinger, Art. 30 N 62; ferner Kramer/Arnet, S. 85 ff. ↵

Zum aDSG Ziegler/Vasella, S. 163; vgl. auch Aebi-Müller, Rn. 605; a.M. offenbar Meier, Rn. 1532. ↵

Vgl. dazu oben Teil 3, C.VI.1. ↵

Aebi-Müller, Rn. 581 f.; vgl. auch OGer ZH, LF210030 vom 12. Oktober 2021, E. III.1.2; BSK ZGB I-Meili, Art. 28 N 39. ↵

Vgl. dazu oben Teil 2, C.I.2. ↵

Botschaft DSG 1988, S. 458. ↵

Zum aDSG vgl. Drechsler, medialex 05/2022, Rn. 9, wonach dem Datenschutz der im allgemeinen Persönlichkeitsrecht anerkannte Grundsatz, dass eine geringfügige Beeinträchtigung noch keine Persönlichkeitsverletzung darstelle, unbekannt sei. ↵

Zum DSG vgl. BSK DSG-Rampini/Harasgama, Art. 30 N 12, wonach die Datenbekanntgabe ins Ausland entgegen Art. 16 f. DSG grundsätzlich persönlichkeitsverletzend sei, da dadurch eine Gefahr für die Persönlichkeit der betroffenen Person geschaffen werde, und zwar bereits bevor sich die Gefahr in einer konkreten Verletzung realisiere. ↵

Zum DSG vgl. CR LPD-Boillat/Werly, Art. 30 N 13; zum aDSG HK aDSG-Rosenthal, Art. 12 N 3. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.a. ↵

Gl.M. wohl Kasper, S. 171. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.b, C.IV.3.3.c und C.IV.3.3.d. ↵

Dieser Umstand spricht zugleich dafür, dass das Profiling unzumutbar und damit unverhältnismässig ist. Allerdings sind im Rahmen der Zumutbarkeitsprüfung auch weitere Kriterien wie etwa die allfälligen negativen Auswirkungen gegenüber der betroffenen Person und die dagegen ergriffenen Massnahmen zu berücksichtigen (vgl. dazu oben Teil 3, C.IV.3.3.d.aa.i), sodass das Profiling zwar verhältnismässig, aber dennoch anderweitig persönlichkeitsverletzend sein kann. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.a. ↵

A.M. PC LPD-Genecand, Art. 31 N 60, mit Verweis auf den Moneyhouse-Entscheid, BVGer, A-4232/2015 vom 18. April 2017, E. 5.4, und den Willen des Gesetzgebers (vgl. dazu oben Teil 3, B.III.1.1). ↵

Vgl. dazu oben Teil 3, C.IX.1.2. ↵

Vgl. dazu oben Teil 3, B.III. und B.III.1.3.b. ↵

Vgl. dazu oben Teil 3, B.III.1.3. ↵

Vgl. dazu oben Teil 3, B.III.1.2.a. ↵

Vgl. dazu oben Teil 3, B.II.1.2. ↵

Vgl. dazu oben Teil 3, C.IV.3.3. ↵

XX

Rechtmässigkeit i.w.S.

32

Vorbemerkungen

Liegt eine Persönlichkeitsverletzung i.S.v. Art. 30 DSG vor, vermutet das DSG deren Widerrechtlichkeit. Diese lässt sich indes grundsätzlich – was in Bezug auf die Missachtung von Bearbeitungsgrundsätzen sogleich zu präzisieren ist – durch einen Rechtfertigungsgrund aufheben. Dafür fallen die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse oder ein Gesetz in Betracht (Art. 31 Abs. 1 DSG). Zumindest in Teilen vergleichbare Rechtmässigkeitsbedingungen sieht die DSGVO vor,[1] die – ungeachtet einer allfälligen Persönlichkeitsverletzung – für jede Datenverarbeitung eine Rechtsgrundlage voraussetzt.[2] Sie zählt die sechs möglichen Rechtsgrundlagen in Art. 6 Abs. 1 UAbs. 1 DSGVO abschliessend auf[3] und nennt dabei neben der Einwilligung fünf Fallkonstellationen, die sich im schweizerischen Recht unter den Rechtfertigungsgrund des Gesetzes und/oder des überwiegenden Interesses subsumieren lassen.

Das vorliegend besonders interessierende Profiling charakterisiert – wie gesehen[4] –, dass es neue Erkenntnisse über persönliche Aspekte hervorbringt, also Personendaten generiert. Dies liesse sich bei der Beurteilung der Rechtmässigkeit i.w.S. als separate Datenbearbeitung verstehen, sodass nach DSG bei einer allfälligen Persönlichkeitsverletzung auch dafür ein Rechtfertigungsgrund bestehen und nach DSGVO eine separate Rechtsgrundlage vorliegen müsste. Nachdem das DSG und die DSGVO allerdings das Profiling als einheitliche Datenbearbeitung behandeln[5] und es kein Profiling ohne die Gewinnung neuer Informationen über die betroffene Person gibt, ist diese Generierung von Personendaten nicht eigenständig, sondern bereits im Rahmen der Rechtmässigkeit i.w.S. des Profilings zu berücksichtigen.[6]

Rechtfertigung von Grundsatzverletzungen (nur DSG)

In der Lehre zum aDSG war – auch aufgrund einer unglücklichen Anpassung der Vorgängerbestimmung von Art. 30 DSG[7] – umstritten, ob sich Grundsatzverletzungen überhaupt rechtfertigen lassen.[8] Nachdem das Bundesgericht und das Bundesverwaltungsgericht wiederholt die Rechtfertigung – wenn auch «mit grosser Zurückhaltung» – grundsätzlich zugelassen haben,[9] scheint dieser Lehrstreit überholt. Definitiv erübrigen sollte ihn nun die neue Formulierung von Art. 30 Abs. 2 lit. b und c DSG, die im Unterschied zum alten Recht nicht mehr die (vermeintliche) Einschränkung «ohne Rechtfertigungsgrund» beinhaltet.[10] Verletzungen der Bearbeitungsgrundsätze (vgl. Art. 6 DSG) sind grundsätzlich einer Rechtfertigung zugänglich.[11] Unter den Bearbeitungsgrundsätzen bestehen hinsichtlich der Möglichkeit einer Rechtfertigung indes Unterschiede.

Ausschluss der Rechtfertigung bei bestimmten Grundsätzen?

Der Gesetzgeber des alten DSG schien dahingehend zu differenzieren, dass «ein Beschaffen von Daten mit unrechtmässigen Mitteln nur selten und ein Beschaffen wider Treu und Glauben praktisch überhaupt nie zu rechtfertigen [ist]», während sich «für eine Persönlichkeitsverletzung infolge unrichtiger Datenbearbeitung wohl eher ein Rechtfertigungsgrund finden lässt».[12] In der Lehre gab es zumindest eine Stimme, die in Frage stellte, ob sich eine Missachtung des Rechtmässigkeitsgrundsatzes rechtfertigen lasse, insbesondere bei Verletzungen von Strafbestimmungen.[13] Ferner ist nach Ansicht eines Teils der Lehre eine besondere Strenge bei der Annahme einer Rechtfertigung im Falle einer Verletzung des Zweckbindungsgrundsatzes anzulegen, da es sich dabei um das «principe cardinal» des Datenschutzrechts handle.[14]

Diesen Meinungsäusserungen ist nur beschränkt zuzustimmen. Überzeugend erscheint, dass sich eine Beschaffung, generell eine Bearbeitung, wider Treu und Glauben kaum rechtfertigen lässt, weil der Grundsatz (restriktiv) zwecks Korrektur stossender Einzelfälle anzuwenden ist, die sonst im Einklang mit dem Gesetz stehen.[15] Bei der Unrechtmässigkeit zufolge Verletzung von Strafbestimmungen ist freilich Zurückhaltung angezeigt, schätzt doch der Gesetzgeber diese Verhaltensweisen als derart stossend ein, dass er sie unter Strafe stellt. Eine Rechtfertigung ist aber nicht ausgeschlossen,[16] zumal auch das Bundesgericht im Allgemeinen die Rechtfertigung von unrechtmässigen Datenbearbeitungen zulässt.[17] Dass die Zweckbindung den Dreh- und Angelpunkt für die anderen Grundsätze darstellt, ist kaum zu bestreiten.[18] Eine besondere Behandlung drängt sich deswegen dennoch nicht auf. Da auch kein anderer Grund dafür ersichtlich ist, lassen sich Missachtungen der Zweckbindung ohne spezifische Einschränkung rechtfertigen.[19]

Überschneidung von Grundsatz und Rechtfertigung

Nach einer Stimme in der Lehre[20] (zum aDSG) soll die Rechtfertigung unverhältnismässiger Datenbearbeitungen ausgeschlossen sein.[21] Kommt nur die Rechtfertigung durch ein überwiegendes Interesse in Frage, leuchtet dies ein. Denn in diesem Fall lässt sich das überwiegende Interesse kaum unabhängig von der Verhältnismässigkeit beurteilen,[22] jedenfalls sofern der Bearbeitungszweck mit dem verfolgten (überwiegenden) Interesse übereinstimmt.[23] Hier zeigt sich die bereits angesprochene Überschneidung des Verhältnismässigkeitsgrundsatzes mit der Rechtmässigkeit i.w.S.,[24] die das Bundesgericht anerkennt, auch wenn es an sich an einer Unterscheidung festhält.[25] Dennoch dürfte das Bundesgericht implizit die These stützen, dass sich eine unverhältnismässige Bearbeitung nicht mit einem überwiegenden Interesse rechtfertigen lässt, indem es im Ergebnis keinen materiellen Unterschied darin sieht, ob die Prüfung der Rechtfertigungsgründe in einem zweiten Schritt selbständig erfolgt oder in die Auslegung des Bearbeitungsgrundsatzes einfliesst.[26]

Ähnliches wird auch für den Grundsatz der Datensicherheit gelten,[27] der vom Verantwortlichen dem Risiko angemessene technische und organisatorische Massnahmen verlangt (Art. 8 Abs. 1 DSG).[28] Soweit sämtliche Interessen, die zur Prüfung eines überwiegenden Interesses nach Art. 31 DSG zu berücksichtigen sind, bereits in die von der Datensicherheit verlangte Angemessenheitsprüfung eingeflossen sind, erscheint eine anschliessende Rechtfertigung einer Verletzung des Datensicherheitsgrundsatzes durch ein überwiegendes Interesse ausgeschlossen.[29] Dies lässt sich auf den Grundsatz der Datenrichtigkeit mutatis mutandis übertragen, soweit dieser – wie hier[30] – als Obliegenheit zur Ergreifung angemessener Massnahmen zugunsten der Datenrichtigkeit verstanden wird. Im Moneyhouse-Entscheid prüfte denn auch das Bundesverwaltungsgericht kein überwiegendes Interesse mehr, nachdem es (unter Berücksichtigung von Verhältnismässigkeitserwägungen) eine Verletzung des Datensicherheits- und Datenrichtigkeitsgrundsatzes festgestellt hatte.[31]

Sonderfall allgemein zugänglich gemachter Daten

Im schweizerischen Recht (DSG)

Eine besondere Bestimmung ist unter schweizerischem Recht bei der Bearbeitung von Daten zu beachten, die von der betroffenen Person allgemein zugänglich gemacht wurden. Untersagt die betroffene Person die Bearbeitung solcher Daten nicht ausdrücklich, ist die Bearbeitung gemäss Art. 30 Abs. 3 DSG in der Regel gar nicht erst persönlichkeitsverletzend. Allgemein zugänglich gemacht sind Daten, die für eine unbestimmte Zahl von Personen ohne wesentliche Hindernisse erschliessbar sind.[32] Dies wird regelmässig auf in den Medien, im Internet oder an einer öffentlichen Veranstaltung bekanntgegebene Daten zutreffen,[33] nicht aber etwa auf solche, die in sozialen Netzwerken nur mit einem begrenzten Personenkreis wie Freundinnen oder Followern geteilt werden.[34]

Die Zugänglichmachung muss mit Wissen und Willen der betroffenen Person – allenfalls auch durch einen Dritten – erfolgen.[35] Ist die betroffene Person gesetzlich verpflichtet, die Daten preiszugeben, insbesondere damit sie in einer amtlichen öffentlichen Quelle wie dem Handelsregister einsehbar sind, fehlt es grundsätzlich am entsprechenden Willensakt.[36] Dasselbe gilt, wenn die betroffene Person bloss duldet, dass ein Dritter die Personendaten öffentlich zugänglich macht.[37] Dies trifft nach Ansicht des Bundesverwaltungsgerichts[38] bei den auf local.ch, also in öffentlichen Telefonverzeichnissen, publizierten Daten zu.[39] Dem ist hinsichtlich der Daten jener Personen zuzustimmen, die bloss keine Einwände gegen ihren Eintrag geäussert haben, ihn also lediglich dulden. Denn Art. 12d FMG verlangt (zumindest bei Festnetznummern), dass die Kunden ihr Recht, nicht im öffentlichen Verzeichnis zu erscheinen, geltend machen.[40] Hat sich hingegen eine betroffene Person im Verzeichnis aktiv eintragen lassen, so greift die Vermutung von Art. 30 Abs. 3 DSG. Insgesamt schränkt (bereits) die Voraussetzung des Wissens und Willens der betroffenen Person die praktische Bedeutung dieser Vermutung für Auskunfteien erheblich ein. Dies gilt besonders für die hier im Fokus stehende Berechnung des Kreditscores, für den die Auskunftei höchstens vereinzelt von der betroffenen Person allgemein zugänglich gemachte Daten verwendet.[41]

Bei gegebenen Voraussetzungen verletzt die Bearbeitung der öffentlich zugänglich gemachten Daten die Persönlichkeit vermutungsweise nicht.[42] Damit übersteuert diese widerlegbare Vermutung[43] die Fiktionen einer Persönlichkeitsverletzung bei Bekanntgabe von besonders schützenswerten Personendaten und bei Missachtung eines Bearbeitungsgrundsatzes (Art. 30 Abs. 2 lit. a und c DSG),[44] sodass beispielsweise der Verantwortliche grundsätzlich keine weiteren Massnahmen zur Erfüllung des Transparenzgrundsatzes treffen muss.[45] Die Vermutung erfasst allerdings nur Datenbearbeitungen im Rahmen des Kontexts, in dem die Daten öffentlich zugänglich gemacht wurden, weil die betroffene Person nur insoweit vernünftigerweise von der Bearbeitung ihrer Daten ausgeht bzw. ausgehen muss.[46] Dementsprechend könnte sich eine Auskunftei z.B. nicht auf Art. 30 Abs. 3 DSG berufen, wenn sie Daten aus öffentlich zugänglichen Beiträgen in sozialen Netzwerken für ihr Kreditscoring verwenden würde.[47]

Konnte die betroffene Person beweisen, dass die Datenbearbeitung entgegen der Vermutung ihre Persönlichkeit verletzt, ist der Umstand, dass die Daten mit Wissen und Willen der betroffenen Person allgemein zugänglich gemacht wurden, in einer allfälligen Abwägung zur Prüfung eines überwiegenden Interesses zuungunsten der betroffenen Person zu berücksichtigen. Ihr Interesse an der Abwehr der Persönlichkeitsverletzung bzw. die Schwere der Persönlichkeitsverletzung wird nämlich in einem solchen Fall normalerweise geringer sein.[48] Ebenso ist in einer Interessenabwägung gegebenenfalls zu berücksichtigen, dass es an den Voraussetzungen von Art. 30 Abs. 3 DSG fehlt, weil die betroffene Person die allgemeine Zugänglichkeit zwar kennt, aber sie bloss duldet. Auch hier bringt die betroffene Person zum Ausdruck, dass ihre gegen die Bearbeitung dieser Daten sprechenden Interessen von vergleichsweise geringerem Gewicht sind.[49]

Im europäischen Recht (DSGVO)

Auch die DSGVO kennt eine besondere Bestimmung für Daten, welche die betroffene Person veröffentlicht hat. Als Ausnahme vom grundsätzlichen Verarbeitungsverbot von besonderen Kategorien personenbezogener Daten sieht Art. 9 Abs. 2 lit. e DSGVO den Fall vor, dass die Verarbeitung sich auf Daten bezieht, welche die betroffene Person offensichtlich öffentlich gemacht hat. Öffentlich machen bedeutet – ähnlich wie unter dem DSG –, die Daten für einen unbestimmten Personenkreis ohne (wesentliche) Restriktionen bereitzustellen.[50] Die betroffene Person muss dabei die Absicht gehabt haben, die fraglichen Daten ausdrücklich und durch eine eindeutige bestätigende Handlung der breiten Öffentlichkeit zugänglich zu machen.[51]

Aus dieser Regelung betreffend besondere Kategorien personenbezogener Daten lässt sich zwar nicht ableiten, dass der Verantwortliche gewöhnliche Daten a maiore ad minus ohne Rechtsgrundlage verarbeiten darf, zumal Art. 6 DSGVO und Art. 9 DSGVO nebeneinander gelten und auf die Verarbeitung personenbezogener Daten kumulativ zur Anwendung kommen.[52] Jedoch drückt Art. 9 Abs. 2 lit. e DSGVO aus, dass dem Interesse der betroffenen Person, das gegen die Verarbeitung offensichtlich öffentlich gemachter Daten spricht, ein geringes Gewicht zukommt.[53] Auch wenn Daten (sonst) bereits in allgemein zugänglichen Quellen wie öffentlichen Registern enthalten sind, ist dies bei der Abwägung zu berücksichtigen, die nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, der üblichen Rechtsgrundlage für Verarbeitungen von Auskunfteien, vorzunehmen ist.[54]

Vor diesem Hintergrund vertritt eine Lehrmeinung die Auffassung, dass Auskunfteien Informationen aus sozialen Netzwerken verwerten dürfen, sofern die Angaben offensichtlich von der betroffenen Person oder von Dritten mit dem offensichtlichen Einverständnis der betroffenen Person veröffentlicht wurden.[55] Ähnlich wie im schweizerischen Recht[56] ist bei in sozialen Netzwerken oder anderweitig öffentlich zugänglichen Daten allerdings zu berücksichtigen, in welchem Kontext, insbesondere mit welchem Zweck, die Daten veröffentlicht wurden.[57] Die Verwendung von (selbst offensichtlich von der betroffenen Person) in sozialen Netzwerken veröffentlichten Daten für das Kreditscoring wird üblicherweise nicht den vernünftigen Erwartungen der betroffenen Person entsprechen (vgl. EG 47 DSGVO). Folglich verringert die Veröffentlichung das Gewicht der gegen die Verarbeitung sprechenden Interessen in einer Abwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO nur unwesentlich.[58]

Ist ein Grundsatz i.S.v. Art. 5 DSGVO verletzt, lässt sich dies im europäischen, anders als im schweizerischen Recht, nicht rechtfertigen (vgl. dazu oben Teil 2, C.I.1.). Eine Grundsatzverletzung kann aber auch bei der Beurteilung der Rechtsgrundlage eine Rolle spielen, insb. beim berechtigten Interesse nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (vgl. dazu unten Teil 3, D.IV.2.2.a.cc.i). ↵

Vgl. dazu oben Teil 2, C.I.1. ↵

Vgl. dazu oben Teil 2, C.I.1. ↵

Vgl. dazu oben Teil 3, B.I.2.1.a. ↵

Vgl. Art. 5 lit. f und g, Art. 6 Abs. 7 lit. b und c und Art. 34 Abs. 2 lit. b DSG; Art. 4 Ziff. 4, Art. 21 Abs. 1 und 2, Art. 22 Abs. 1 und Art. 35 Abs. 3 lit. a DSGVO. ↵

Zum DSG vgl. Bühlmann/Schüepp, Jusletter 2022, Rn. 103; zur DSGVO Lorentz, S. 72 und 183. ↵

Die ursprüngliche Fassung von Art. 12 Abs. 2 aDSG (heute Art. 30 Abs. 2 DSG) behielt bei den darin vorgesehenen fingierten Persönlichkeitsverletzungen ausdrücklich einen Rechtfertigungsgrund vor. Mit der besagten Anpassung wurde der Passus «ohne Rechtfertigungsgrund» in Bezug auf gegen einen Bearbeitungsgrundsatz verstossende Datenbearbeitungen gestrichen und in Art. 12 Abs. 2 lit. b und c aDSG verschoben, sodass er fortan (vom Wortlaut her) nur noch für Bearbeitungen gegen den Widerspruch der betroffenen Person sowie die Bekanntgabe von besonders schützenswerten Personendaten und Persönlichkeitsprofilen galt. ↵

Epiney, in: Belser et al., § 9 N 5 ff.; Huber R., S. 214; vgl. auch BJ, Auslegungshilfe, passim; Drechsler, AJP 2007, S. 1474. ↵

BGE 136 II 508 E. 5.2.4 bestätigt in BGE 138 II 346 E. 7.2; BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.1. Dem Bundesgericht folgend, vertritt auch der EDÖB diese Ansicht (EDÖB, Digitec Galaxus, Rn. 140; EDÖB, Once Dating, Rn. 152; EDÖB, Teledata, S. 7 f.). ↵

Vgl. Botschaft Totalrevision DSG, S. 7072. ↵

Drittenbass, Rn. 214; Henseler, Datenschutz, S. 106 f.; OFK DSG-Steiner/Laux, Art. 30 N 13. ↵

Botschaft DSG 1988, S. 460; vgl. auch BJ, Auslegungshilfe, S. 1 f. (betr. Rechtmässigkeit, Treu und Glauben sowie Verhältnismässigkeit); Gerschwiler et al., in: Passadelis et al., Rn. 3.61, wonach eine unrechtmässige Bearbeitung ohne Weiteres eine widerrechtliche Persönlichkeitsverletzung darstelle. ↵

So SHK aDSG-Baeriswyl, Art. 4 N 15; grosszügiger nun SHK DSG-Baeriswyl, Art. 6 N 16. ↵

So Cellina/Geissbühler, Jusletter 2015, Rn. 43; noch strenger Steinauer/Fountoulakis, Rn. 703, wonach bloss eine Gesetzesänderung eine Zweckänderung erlauben könne; vgl. auch Botschaft DSG 1988, S. 451, die allerdings eine Behörde und nicht eine private Person vor Augen hat. ↵

Vgl. dazu oben Teil 3, C.VII.1. ↵

Zum DSG BSK DSG-Bühlmann-Reinle, Art. 6 N 27; zum aDSG vgl. HK aDSG-Rosenthal, Art. 4 N 8 f.; BSK aDSG-Maurer-Lambrou/Steiner, Art. 4 N 6. ↵

BGE 136 II 508 E. 5.2.4. ↵

Der Zweck muss (auch wegen des Transparenzgrundsatzes) erkennbar sein (vgl. dazu oben Teil 3, C.II.2.1.a.aa und C.II.2.1.b.bb). Er ist massgebend für die Verhältnismässigkeit (vgl. dazu oben Teil 3, C.IV.1.) sowie die Richtigkeit (vgl. dazu oben Teil 3, C.V.1.) und ist (indirekt) auch bei der Datensicherheit (vgl. dazu oben Teil 3, C.VI.3.1.b) zu berücksichtigen. ↵

Im Gegenteil stand bei der Teilrevision 2003 zur Debatte, unter den Bearbeitungsgrundsätzen hinsichtlich der Möglichkeit der Rechtfertigung zu differenzieren und diese gerade bei Verletzungen der Zweckbindung und der Transparenz zuzulassen (vgl. BJ, Auslegungshilfe, S. 2). ↵

Zum aDSG SHK aDSG-Baeriswyl, Art. 4 N 32. ↵

Zum DSG a.M. BSK DSG-Bühlmann/Reinle, Art. 6 N 56 f.; nunmehr SHK DSG-Baeriswyl, Art. 6 N 32; zum aDSG a.M. HK aDSG-Rosenthal, Art. 4 N 28. ↵

Zum DSG PC LPD-Francey, Art. 6 N 39 ff.; vgl. George, S. 139; a.M. BSK DSG-Bühlmann/Reinle, Art. 6 N 57; zum aDSG vgl. Peter, S. 179 f. (Fn. 913); BSK aDSG-Rampini, Art. 12 N 4; a.M. Heuberger, Rn. 234; HK aDSG-Rosenthal, Art. 13 N 16. ↵

Dies ist z.B. bei Datenbearbeitungen einer Auskunftei der Fall, die sie auf Art. 31 Abs. 2 lit. c DSG stützt (vgl. dazu unten Teil 3, D.IV.1.2.c). Eine Auskunftei kann indes (potenziell) auch Datenbearbeitungen zum Zweck der Kreditwürdigkeitsprüfung auf ein anderes, etwa ihr eigenes wirtschaftliches Interesse abstützen (vgl. BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4.2.2, wo das Bundesverwaltungsgericht auch das gewinnstrebige Interesse der Betreiberin von Moneyhouse als Rechtfertigungsgrund prüft, aber verneint). ↵

Vgl. dazu oben Teil 3, C.IV.1.2. ↵

BGE 138 II 346 E. 9.3; BGE 136 II 508 E. 5.2.5; vgl. auch BGE 142 III 263 E. 2.2.2. ↵

BGE 136 II 508 E. 5.2.5. ↵

Zum DSG vgl. Thouvenin/Volz, S. 7; zum aDSG vgl. Peter, S. 179 f. (Fn. 913). ↵

Vgl. dazu oben Teil 3, C.VI.1. ↵

EDÖB, Once Dating, Rn. 156. ↵

Vgl. dazu oben Teil 3, C.V.2. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 7.1 ff. bzw. 9.2 ff. ↵

Zum DSG Dal Molin, in: Dal Molin/Wesiak-Schmidt, § 1 N 200; vgl. auch SHK DSG-Pfaffinger, Art. 30 N 69; zum aDSG BVGer, A‑7040/2009 vom 30. März 2011, E. 9.3; anders EDÖB, Adressdaten im Internet, S. 21, wonach die allgemeine Zugänglichmachung (offenbar) voraussetze, dass die Daten ohne Zweckeinschränkung zur Verfügung gestellt worden seien. Richtig ist, dass – wie sogleich auszuführen ist – der Kontext der Zugänglichmachung für die Tragweite der Vermutung von Art. 30 Abs. 3 DSG relevant ist. ↵

Zum DSG BSK DSG-Rampini/Harasgama, Art. 30 N 24; zum aDSG Meier, Rn. 1573. ↵

Zum DSG vgl. Dal Molin, in: Dal Molin/Wesiak-Schmidt, § 1 N 200 f.; zum aDSG Vasella, Social Media, Rn. 7.23 (Fn. 63). ↵

Zum DSG Métille, S. 35; BSK DSG-Rampini/Harasgama, Art. 30 N 26; zum aDSG BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4.1; BVGer, A‑7040/2009 vom 30. März 2011, E. 9.3. ↵

Zum aDSG vgl. EDÖB, Adressdaten im Internet, S. 21; Métille/Nguyen Xuan, S. 179; ferner BVGE 2008/16 E. 5.1.1 f., der aber fälschlicherweise (auch) darauf abstellt, dass (heute) Art. 30 Abs. 3 DSG nicht auf Verhältnisse zwischen Privaten und kantonalen (Handelsregister‑)Behörden anwendbar sei; a.M. Bericht Wirtschaftsauskunfteien, S. 18, in Bezug auf Handelsregisterdaten. ↵

Zum aDSG BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4.1; BVGer, A‑7040/2009 vom 30. März 2011, E. 9.3. ↵

Zum aDSG BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4.1. ↵

Zum DSG gl.M. CR LPD-Boillat/Werly, Art. 30 N 35; a.M. BSK DSG Rampini/Harasgama, Art. 30 N 26. ↵

Botschaft Revision FMG 2017, S. 6623. ↵

Vgl. dazu oben Teil 1, E.II.2. ↵

Zum DSG Botschaft Totalrevision DSG, S. 7072; Métille, S. 35; zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.1; BVGE 2008/16 E. 5.1. ↵

Zur Beweislastverteilung vgl. Botschaft Totalrevision DSG, S. 7072; Métille, S. 35; BSK DSG-Rampini/Harasgama, Art. 30 N 25 und 27. ↵

Zum DSG Dal Molin, in: Dal Molin/Wesiak-Schmidt, § 1 N 197; a.M. SHK DSG-Pfaffinger, Art. 30 N 72; unklar DSG-Rampini/Harasgama, Art. 30 N 27 und 29, wonach sich die betroffene Person nicht auf die Fiktionen berufen könne, aber Art. 30 Abs. 3 DSG nur greife, solange die allgemeinen Datenschutzgrundsätze eingehalten seien; zum aDSG HK aDSG-Rosenthal, Art. 12 N 51; a.M. wohl Meier, Rn. 1577. Den Hinweis des Erläuternden Berichts VE-DSG, S. 69, die Einhaltung der Grundsätze sei vorausgesetzt, enthält die Botschaft Totalrevision DSG, S. 7072, (zu Recht) nicht mehr. ↵

Zum aDSG EDÖB, Teledata, S. 13. ↵

Zum DSG OFK DSG-Steiner/Laux, Art. 30 N 38 und 40; vgl. auch BSK DSG-Rampini/Harasgama, Art. 30 N 29; zum aDSG Probst, in: Epiney et al. 2011, S. 36. ↵

Zum aDSG vgl. Vasella, Social Media, Rn. 7.23. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 12 N 80 f. ↵

Zum aDSG Meier, Rn. 1579; HK aDSG-Rosenthal, Art. 12 N 82. ↵

Kampert, in: Sydow/Marsch, Art. 9 N 30; vgl. auch EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 81 f.; Weichert, in: Kühling/Buchner, Art. 9 N 78. ↵

EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 77; vgl. auch Albers/Veit, in: Wolff et al., Art. 9 N 77; Kampert, in: Sydow/Marsch, Art. 9 N 31. ↵

Die kumulative Anwendung von Art. 6 und 9 DSGVO ist freilich umstritten (befürwortend statt vieler Matejek/Mäusezahl, S. 554; Robrahn/Bremert, S. 295; Weichert, in: Kühling/Buchner, Art. 9 N 4; ablehnend statt vieler Albrecht/Jotzo, Teil 3 N 58; Kastelitz, S. 112 f.; Lorentz, S. 226). Für die vorliegend vertretene Ansicht sprechen insb. EG 51 Satz 5 DSGVO, der auf die kumulative Anwendung hinweist, und die sich sonst aus Art. 9 Abs. 2 lit. e DSGVO ergebende Folge, dass öffentlich gemachte Daten i.S.v. Art. 9 Abs. 1 DSGVO einen geringeren Schutz genössen als öffentlich gemachte gewöhnliche Daten (vgl. Matejek/Mäusezahl, S. 554; Robrahn/Bremert, S. 295). Mittlerweile hat sich der EuGH, Rs. C-667/21 vom 21. Dezember 2023, Krankenversicherung Nordrhein, Ziff. 71 ff., dieser Ansicht angeschlossen. ↵

Dallmann/Busse, S. 395 f.; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 110 und 131; vgl. auch Reimer, in: Sydow/Marsch, Art. 6 N 84. ↵

Vgl. dazu unten Teil 3, D.IV.2.2.b.cc. ↵

Krämer, NJW 2020, S. 498; Krämer, Scoring, S. 7; a.M. wohl Adolff/Langenbucher, S. 7, die in Frage stellen, ob diese Lehrmeinung einer gerichtlichen Überprüfung standhalte. ↵

Vgl. dazu oben Teil 3, D.I.2.1. ↵

Dallmann/Busse, S. 395; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 138; vgl. auch HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.3. ↵

Strenger HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.3, wonach Nutzende eines sozialen Netzwerks mit der Verwendung der dort eingegebenen Daten für das Profiling durch eine Auskunftei nicht rechnen müssten, weshalb (insb.) Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO als Rechtsgrundlage ausscheide; vgl. auch Schantz, in: Simitis et al., Art. 6 Abs. 1 N 138. ↵

33

Gesetz

Im Allgemeinen

Eine Persönlichkeitsverletzung kann durch ein Gesetz gerechtfertigt sein (Art. 31 Abs. 1 DSG). Dafür genügt ein Gesetz im materiellen Sinn[1] des Bundes‑, kantonalen oder kommunalen Rechts.[2] Die fragliche Vorschrift muss die Datenbearbeitung vorschreiben, erlauben oder (implizit) voraussetzen,[3] beispielsweise für die Kreditfähigkeitsprüfung nach KKG.[4] Das Bundesverwaltungsgericht betrachtete sogar schon eine Bearbeitung als durch Gesetz gerechtfertigt, die (lediglich) dem vom Gesetz verfolgten Zweck diente.[5] Im betreffenden Fall scheint das Gericht aber etwas unreflektiert den Rechtfertigungsgrund des Gesetzes angenommen zu haben statt jenen des überwiegenden öffentlichen Interesses, der zu demselben Ergebnis geführt, aber mehr überzeugt hätte.[6] Bereits eine solche Zweckausrichtung genügen zu lassen, würde den Rechtfertigungsgrund des Gesetzes erheblich und ohne ersichtlichen Grund ausweiten.

Nach der DSGVO ist eine Verarbeitung rechtmässig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, welcher der Verantwortliche unterliegt (Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO). Die Rechtsvorschriften müssen den Zweck der Verarbeitung festlegen und ein im öffentlichen Interesse liegendes Ziel verfolgen; überdies müssen die darin vorgesehenen Mittel in einem angemessenen Verhältnis zum verfolgten legitimen Zweck stehen.[7] Relevant ist ausdrücklich nur Unionsrecht oder das Recht des Mitgliedstaates, dem der Verantwortliche unterliegt (Art. 6 Abs. 3 DSGVO). Da die Schweiz kein Mitgliedstaat der EU ist, können ihre Gesetze nicht als Rechtsgrundlage dienen. Das Vorliegen einer schweizerischen Rechtsvorschrift lässt sich aber bei der Abwägung eines berechtigten Interesses nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO berücksichtigen.[8]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Das KKG verpflichtet gewerbsmässig tätige Kreditgeberinnen und Schwarmkredit-Vermittlerinnen zu einer Kreditfähigkeitsprüfung (Art. 27a KKG). Hierfür sind Datenbearbeitungen nötig, sodass allfällige damit verbundene Persönlichkeitsverletzungen unter dem DSG gerechtfertigt sind. Die hier interessierenden schweizerischen Auskunfteien sind allerdings nicht Pflichtträgerinnen und deren Kreditwürdigkeitsprüfungen decken sich nicht mit der Kreditfähigkeitsprüfung, die den umfassenden Vorgaben des KKG (i.V.m. dem SchKG) zu folgen hat.[9] Da es nach hier vertretener Ansicht nicht genügt, wenn eine Datenbearbeitung lediglich dem Zweck eines Gesetzes, etwa dem Schutz der Konsumentinnen vor Überschuldung (vgl. Art. 22 KKG), dient, scheidet das KKG als Rechtfertigungsgrund für allfällige persönlichkeitsverletzende Datenbearbeitungen einer Auskunftei aus. Auch im Übrigen ist kein für die Kreditwürdigkeitsprüfung durch Auskunfteien relevantes Gesetz ersichtlich.

Als Rechtsgrundlage unter der DSGVO kommen – wie gesagt – ohnehin nur Verpflichtungen des Unionsrechts oder des auf den Verantwortlichen anwendbaren Mitgliedstaatsrechts in Frage (Art. 6 Abs. 3 DSGVO). Selbst wenn das schweizerische Recht also eine Verpflichtung zulasten der Auskunfteien vorsehen würde, deren Erfüllung Datenverarbeitungen erfordern würde, bestünde keine Rechtsgrundlage nach Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO. Eine rechtliche Verpflichtung im Unionsrecht oder Mitgliedstaatsrecht – stellvertretend lässt sich jenes von Deutschland betrachten –, die Auskunfteien für ihre Kreditwürdigkeitsprüfungen als Rechtsgrundlage dienen könnte, dürfte nicht bestehen, jedenfalls greift die (deutsche) Lehre keine solche auf.[10] Noch weniger wird eine solche Verpflichtung zulasten der schweizerischen Auskunfteien bestehen, sodass Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO als Rechtsgrundlage ausscheidet.

Zum DSG PC LPD-Genecand, Art. 31 N 16; BSK DSG-Rampini/Harasgama, Art. 31 N 72; zum aDSG BVGE 2008/16 E. 7.2. ↵

Zum DSG PC LPD-Genecand, Art. 31 N 18; BSK DSG-Rampini/Harasgama, Art. 31 N 72; OFK DSG-Steiner/Laux, Art. 31 N 18; zum aDSG vgl. BGE 138 I 331 E. 8.4.4. Im Einzelfall anwendbares ausländisches Recht genügt nicht (a.M. SHK DSG-Pfaffinger, Art. 31 N 12), nachdem exzessive ausländische Offenlegungspflichten und Zugriffsrechte sonst das schweizerische Datenschutzrecht zu unterlaufen drohten. Zugunsten eines (überwiegenden) Interesses an der Datenbearbeitung ist anwendbares ausländisches Recht indes zu berücksichtigen (BSK DSG-Rampini/Harasgama, Art. 31 N 72). ↵

Zum DSG Métille, S. 39; BSK DSG-Rampini/Harasgama, Art. 31 N 72; strenger OFK DSG-Steiner/Laux, Art. 31 N 17 f., wonach die Bearbeitung für die Erfüllung einer gesetzlichen Pflicht erforderlich sein müsse; zum aDSG BVGE 2008/16 E. 7.2; strenger HK aDSG-Rosenthal, Art. 13 N 24, wonach das Gesetz nicht die Bearbeitung, sondern die Persönlichkeitsverletzung gebieten, erlauben oder stillschweigend voraussetzen müsse. ↵

Zum DSG PC LPD-Genecand, Art. 31 N 19; Métille, in: Epiney et al. 2022, S. 44; BSK DSG-Rampini/Harasgama, Art. 31 N 72. ↵

BVGE 2008/16 E. 7.2.1 f., wonach die unveränderte Veröffentlichung von Handelsregisterdaten aus dem SHAB im Internet der Verwirklichung des handelsregisterlichen Teilzwecks der informationellen Erleichterung des Geschäftsverkehrs diene und die Datenbearbeitungen deshalb durch das Gesetz gerechtfertigt seien. ↵

Vgl. PC LPD-Genecand, Art. 31 N 21. ↵

EuGH, Rs. C-17/22 und C-18/22 vom 12. September 2024, HTB Neunte Immobilien Portfolio, Ziff. 67; EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 128. ↵

Bühlmann/Metin, S. 358; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 86. ↵

Vgl. dazu oben Teil 1, B.II.1. ↵

Vgl. Overbeck, S. 277, wonach keine rechtliche Verpflichtung zur Durchführung der Scorewertberechnung für Auskunfteien bestehe. ↵

34

Einwilligung

Im Allgemeinen

Auch die Einwilligung der betroffenen Person kann als Rechtfertigungsgrund bzw. Rechtsgrundlage dienen (Art. 31 Abs. 1 DSG; Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO). Eine Einwilligung ist gemäss Art. 4 Ziff. 11 DSGVO jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Ähnlich verlangt das DSG in Art. 6 Abs. 6, dass die Einwilligung für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird, wobei eine affirmative Handlung nicht (ausdrücklich) vorausgesetzt ist.[1] In gewissen Fällen ist ausserdem nach beiden Erlassen eine ausdrückliche Einwilligung erforderlich, etwa bei der Bearbeitung von besonders schützenswerten bzw. von besonderen Kategorien personenbezogener Daten (Art. 6 Abs. 7 lit. a DSG; Art. 9 Abs. 2 lit. a DSGVO).

Bei Kreditwürdigkeitsprüfungen im Besonderen

Für das Kreditscoring und insbesondere die Berechnung des Kreditscores spielt in der Praxis der schweizerischen Auskunfteien die Einwilligung keine erhebliche Rolle,[2] weshalb vorliegend auf eine nähere Betrachtung verzichtet wird. Wie sich aus den Datenschutzerklärungen der Schweizerischer Verband Creditreform Gen, der CRIF AG und der Intrum AG ergibt, stellen diese Auskunfteien (bei den hier interessierenden Datenbearbeitungen) denn auch nicht auf die Einwilligung der betroffenen Person, sondern – soweit erforderlich – auf ein überwiegendes bzw. berechtigtes Interesse ab.[3] Dies entspricht im Übrigen auch der Praxis in Deutschland, wo die Auskunfteien ihre Datenverarbeitungen im Rahmen des Kreditscorings seit Inkrafttreten der DSGVO in Absprache mit den Aufsichtsbehörden nicht mehr auf Einwilligungen abstellen.[4] Dass sich die Auskunfteien nicht auf die Zustimmung der betroffenen Personen verlassen, dürfte damit zu tun haben, dass sie eine prekäre Grundlage darstellt. Zum einen ist die Einwilligung (grundsätzlich) jederzeit widerrufbar;[5] zum anderen äussert die Lehre (zur DSGVO) erhebliche Zweifel daran, ob Auskunfteien für ihr Kerngeschäft, mithin das Kreditscoring, überhaupt eine gültige Einwilligung einholen können.[6]

de Terwangne, in: Epiney et al. 2022, S. 68. Inwiefern die betroffene Person ihren Willen zum Ausdruck bringen muss, etwa ob vorangekreuzte Checkboxen genügen, ist im Einzelnen umstritten (vgl. CR LPD-Meier/Tschumy, Art. 6 N 79; Rosenthal, Jusletter 2020, Rn. 30). Zu den (übrigen) Unterschieden zwischen der Einwilligung nach DSG bzw. DSGVO vgl. George, S. 180 ff.; Steiner, S. 106 f. ↵

Der Präsident der Schweizerischer Verband Creditreform Gen thematisiert in seinem nicht zuletzt die Tätigkeit der schweizerischen Auskunfteien adressierenden Buch die Einwilligung bei den Rechtfertigungsgründen nicht (vgl. Egeli, S. 47 f.). ↵

Vgl. CRIF AG, Datenschutzerklärung, Ziff. 5; Schweizerischer Verband Creditreform Gen, Datenschutzerklärung EU-DSGVO, o.S.; Intrum AG, Datenschutzerklärung, o.S. Die (wenig übersichtlichen) online abrufbaren Datenschutzhinweise der Dun & Bradstreet Schweiz AG enthalten auch keinen Hinweis auf die Einholung einer Einwilligung für diesen Zweck. ↵

Assion/Hauck, S. 2; vgl. auch Gola, S. 189; von Lewinski/Pohl, S. 17. ↵

Das DSG hält zwar im Gegensatz zu Art. 7 Abs. 3 DSGVO die Widerrufbarkeit der Einwilligung nicht ausdrücklich fest; diese ergibt sich aber aus deren Konzept (vgl. BSK DSG-Rampini/Harasgama, Art. 31 N 20; OFK DSG-Steiner/Laux, Art. 31 N 11). Die Widerrufbarkeit ist unter der DSGVO zwingend (Buchner/Kühling, in: Kühling/Buchner, Art. 7 N 39; Schantz, in: Schantz/Wolff, Rn. 532); unter dem DSG lässt sich angesichts der bundesgerichtlichen Rechtsprechung zum allgemeinen Persönlichkeitsrecht (vgl. BGE 136 III 401 E. 5.2.2) vertreten, dass sich die betroffene Person zur Unwiderrufbarkeit verpflichten kann, sofern wirtschaftliche Interessen an dieser Verpflichtung im Vordergrund stehen (Thouvenin, SJZ 2017, S. 31; vgl. auch BSK DSG-Rampini/Harasgama, Art. 31 N 20). Das ist aber umstritten (vgl. SHK DSG-Baeriswyl, Art. 6 N 84; CR LPD-Meier/Tschumy, Art. 6 N 77). ↵

Assion/Hauck, S. 2; Overbeck, S. 260; vgl. auch Gola, S. 189. ↵

35

Überwiegendes bzw. berechtigtes Interesse

Neben Gesetz und Einwilligung vermag unter dem DSG auch ein überwiegendes privates oder öffentliches Interesse eine Persönlichkeitsverletzung zu rechtfertigen (Art. 31 Abs. 1 DSG). Ein überwiegendes Interesse fällt dabei insbesondere bei Datenbearbeitungen für Kreditwürdigkeitsprüfungen und solchen im Vertragszusammenhang in Betracht (Art. 31 Abs. 2 lit. a und c DSG). Die DSGVO sieht mit diesen überwiegenden Interessen vergleichbare Rechtsgrundlagen vor, namentlich das berechtigte Interesse, etwa an einer Kreditwürdigkeitsprüfung, den Vertragszusammenhang oder (in begrenztem Rahmen) das öffentliche Interesse (Art. 6 Abs. 1 UAbs. 1 lit. b, e und f DSGVO). Da sich die Rechtfertigungsgründe bzw. Rechtsgrundlagen gleichwohl (auch konzeptionell) nicht unerheblich unterscheiden, ist zunächst das schweizerische Recht (nachfolgend 1.) und anschliessend das europäische Recht (nachfolgend 2.) zu betrachten.

Im schweizerischen Recht (DSG)

Allgemeines

Ein überwiegendes Interesse nach Art. 31 Abs. 1 DSG liegt – vereinfacht gesagt – vor, wenn die (schützenswerten) Interessen an der Datenbearbeitung gewichtiger sind als jene, die gegen die Datenbearbeitung sprechen.[1] Die vorzunehmende Abwägung erfordert die Berücksichtigung aller involvierten Interessen, wobei die konkreten Umstände des Einzelfalls massgebend sind.[2] Gleichwohl sind bei der Bearbeitung von Daten einer Vielzahl von Personen Verallgemeinerungen zulässig, sodass typische Fälle, die hinsichtlich der für die Rechtfertigung entscheidenden Aspekte übereinstimmen oder sich ähneln, gemeinsam betrachtet werden dürfen.[3]

Schützenswerte Interessen an der Bearbeitung

Die zugunsten der Datenbearbeitung vorgebrachten Interessen müssen schützenswert sein, also über einen allgemein anerkannten Wert verfügen.[4] An die Schutzwürdigkeit an sich sind keine allzu hohen Anforderungen zu stellen, zumal die vorzunehmende Abwägung es zulässt und zugleich verlangt, weniger schützenswerten Interessen geringeres Gewicht beizumessen. Als nicht schützenswert auszuschliessen sind im Wesentlichen nur rechtswidrige Interessen oder die Absicht, andere aus reiner Bosheit zu schädigen.[5] Wie die Rechtsprechung anerkennt, sind auch rein wirtschaftliche Interessen wie die Optimierung eigener Geschäftsabläufe oder das Gewinnstreben eines Unternehmens schützenswert und kommen daher als überwiegendes Interesse in Frage.[6] Neben den Interessen des Verantwortlichen können Interessen Dritter oder sogar der betroffenen Person selbst eine Datenbearbeitung rechtfertigen.[7]

Grundsätzlich sind auch öffentliche Interessen zu berücksichtigen. Öffentlich ist ein Interesse, wenn dessen Verfolgung der Allgemeinheit oder mindestens einer Mehrzahl von Personen einen Vorteil verschafft.[8] Wie das Bundesverwaltungsgericht festhielt, bestehe z.B. ein zeitlich unbegrenztes öffentliches Interesse an der privaten Weitergabe von unveränderten Handelsregisterdaten.[9] Da für öffentliche Interessen häufig gesetzliche Regelungen existieren und sich Private selten allein auf ein öffentliches Interesse stützen werden, dienen allfällige öffentliche Interessen vorab der Unterstützung der geltend gemachten privaten Interessen.[10] Dies ist etwa der Fall, wenn Privatversicherungen privatdetektivische Observationen durchführen, um (im eigenen Interesse) ungerechtfertigte Leistungen zu verhindern und damit zugunsten der Allgemeinheit Prämienerhöhungen entgegenwirken.[11] Ähnlich lässt sich bei der charakteristischen Geschäftstätigkeit von Auskunfteien argumentieren, weil sie der asymmetrischen Informationsverteilung und der adversen Selektion entgegenwirkt und damit zugunsten der breiten Öffentlichkeit (unter anderem) für niedrigere Kreditpreise und einen besseren Zugang zu Krediten sorgt.[12]

Gegen die Bearbeitung sprechende Interessen

Stehen die schützenswerten Interessen zugunsten der Datenbearbeitung fest, sind die gegen die Datenbearbeitung sprechenden Interessen zu eruieren.[13] Dazu zählt jedenfalls das Interesse der betroffenen Person, nicht in ihrer Persönlichkeit verletzt zu werden.[14] Je schwerer die Persönlichkeitsverletzung wiegt, desto gewichtiger ist dieses Interesse.[15] Insofern ist auch einzubeziehen, ob eine Datenbearbeitung gleichzeitig einen oder mehrere Bearbeitungsgrundsätze verletzt und gegebenenfalls in welchem Ausmass. Weiter sind die Art und der Umfang der bearbeiteten Daten sowie Art, Umfang und Zweck der Bearbeitung zu berücksichtigen,[16] wie sich auch in Anlehnung an die beispielhafte Aufzählung (potenziell) überwiegender Interessen in Art. 31 Abs. 2 DSG ergibt.[17] Überdies sind allfällige weitere Interessen der betroffenen Person gegen die Datenbearbeitung einzubeziehen,[18] etwa aufgrund einer persönlichkeitsverletzenden Kreditwürdigkeitsbeurteilung keine Kreditgeschäfte mehr tätigen zu können.

Interessenabwägung

Nach der Ermittlung der sich gegenüberstehenden Interessen erfolgt deren Abwägung, bei der ein objektiver Massstab anzulegen ist und etwa subjektive Befindlichkeiten der betroffenen Person unbeachtlich sind.[19] Nach einer Formel der Rechtsprechung sind bei der Abwägung die «konkreten Interessen […] mithilfe rechtlich ausgewiesener Massstäbe zu beurteilen und schliesslich zu optimieren, sodass sie mit Rücksicht auf die Beurteilung, die ihnen zuteilwurde, im Entscheid möglichst umfassend zur Geltung gebracht werden können».[20] Diese Methode der Interessenabwägung bleibt allerdings weitgehend konturlos und lässt sich im Konkreten nur schwer operationalisieren.

Greifbarer und im Ergebnis überzeugend ist der Ansatz, die Prüfung eines überwiegenden Interesses als einen Anwendungsfall der Verhältnismässigkeit zu behandeln.[21] Im Zusammenhang mit dem allgemeinen Persönlichkeitsschutz hat denn auch schon das Bundesgericht verschiedentlich auf die Verhältnismässigkeit verwiesen und insofern (namentlich) verlangt, dass das ergriffene Mittel zum Schutz des fraglichen Interesses geeignet und erforderlich sein müsse.[22] Auch im Moneyhouse-Entscheid klingen diese Vorgaben an, obwohl das Bundesverwaltungsgericht zunächst die vorgenannte Formel als Methode aufführt: Da nach Ansicht des Gerichts die zu rechtfertigende Bearbeitung Daten umfasste, die für das verfolgte Interesse bzw. dessen Verwirklichung ungeeignet waren, und die Bearbeitung angesichts anderer (wohl: zumutbarer) zur Verfügung stehender Mittel dafür auch nicht erforderlich war, schloss das Gericht folgerichtig und insofern überzeugend das entsprechende Anliegen als überwiegendes Interesse aus.[23] Es leuchtet generell ein, dass ein Interesse an einer Datenbearbeitung nicht überwiegen kann, wenn die Datenbearbeitung zur Verwirklichung dieses Interesses nicht geeignet oder erforderlich ist. Erfüllt die Bearbeitung diese Voraussetzungen, muss für sie überdies – wie bei der Zumutbarkeitsprüfung der Verhältnismässigkeit – eine eigentliche Interessenabwägung sprechen.

Besonders geregelte überwiegende Interessen

Bedeutung der besonders geregelten überwiegenden Interessen

Art. 31 Abs. 2 DSG listet beispielhaft sechs Konstellationen – darunter die Kreditwürdigkeitsprüfung und den Vertragszusammenhang – auf, in denen ein überwiegendes Interesse des Verantwortlichen in Betracht fällt. Kann sich der Verantwortliche auf ein solches besonders geregeltes überwiegendes Interesse berufen, ist dennoch eine Interessenabwägung im Einzelfall vorzunehmen.[24] Daher ist zunächst zu prüfen, ob die fragliche Bearbeitung die spezifischen Voraussetzungen einer dieser sechs Konstellationen erfüllt, bevor die Interessen des Einzelfalls – wie vorangehend beschrieben – gegeneinander abgewogen werden.[25]

Eine (eigentliche) Vermutung zugunsten eines überwiegenden Interesses lässt sich aus Art. 31 Abs. 2 lit. a–f DSG nicht ableiten,[26] zumal dies in der Vernehmlassung angeregt, aber gar nicht erst in den Entwurf des DSG aufgenommen wurde.[27] Immerhin verschaffen die besonders geregelten überwiegenden Interessen dem Verantwortlichen eine argumentativ bessere Position, nachdem das Gesetz in diesen Konstellationen ein überwiegendes Interesse grundsätzlich anerkennt.[28] Dabei ist auch zu berücksichtigen, dass im Gesetzgebungsverfahren zur Debatte stand, die Formulierung von Art. 31 Abs. 2 DSG dahingehend abzuschwächen, dass in den genannten Konstellationen ein überwiegendes Interesse bloss «möglicherweise gegeben» sei;[29] dieser Vorschlag wurde indes nach Kritik in der Vernehmlassung verworfen.[30]

Vertragszusammenhang

Das DSG zieht ein überwiegendes Interesse besonders in Betracht, wenn der Verantwortliche Personendaten über die Vertragspartnerin oder den Vertragspartner in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags bearbeitet (Art. 31 Abs. 2 lit. a DSG). Damit äussert sich das DSG nicht eindeutig dazu, ob der Verantwortliche eine (potenzielle) Vertragspartei sein muss, oder ob sich auch ein Dritter auf diesen Rechtfertigungsgrund berufen kann.

In anderen Kontexten verlangt das DSG ausdrücklich, dass der Verantwortliche Partei des (abzuschliessenden) Vertrags ist: Art. 17 Abs. 1 lit. b DSG zu den Auslandsbekanntgaben erfasst Verträge zwischen dem Verantwortlichen und der betroffenen Person sowie bestimmte weitere Verträge des Verantwortlichen.[31] Ferner setzt Art. 21 Abs. 3 lit. a DSG zu den automatisierten Entscheidungen einen Vertrag «zwischen dem Verantwortlichen und der betroffenen Person» voraus.[32] Deshalb lässt sich aus systematischer Sicht argumentieren, dass Art. 31 Abs. 2 lit. a DSG mangels Präzisierung auch Dritten offensteht. Hinzu kommt, dass im aDSG noch von «Personendaten über ihren Vertragspartner» die Rede war (Art. 13 Abs. 2 lit. a aDSG),[33] der Wortlaut mit der Totalrevision also ausgeweitet wurde.

Aus der Gesetzgebungsgeschichte ergeben sich allerdings keine Hinweise, dass mit dieser Neuformulierung eine inhaltliche Änderung beabsichtigt war.[34] Im Gegenteil lässt sich der Diskussion in der nationalrätlichen Kommission entnehmen, dass – wie zuvor – die Eigenschaft des Verantwortlichen als (potenzielle) Vertragspartei vorausgesetzt werden sollte.[35] Vor diesem Hintergrund wird Art. 31 Abs. 2 lit. a DSG weiterhin nur einer (potenziellen) Vertragspartei zustehen.[36] Als Dritte vermag sich die hier interessierende Auskunftei also nicht auf Art. 31 Abs. 2 lit. a DSG zu berufen.

Prüfung der Kreditwürdigkeit

Vorbemerkungen

Art. 31 Abs. 2 lit. c DSG sieht unter einschränkenden Voraussetzungen ein besonders geregeltes überwiegendes Interesse für Datenbearbeitungen zur Prüfung der Kreditwürdigkeit vor. Soll gestützt darauf eine persönlichkeitsverletzende Datenbearbeitung gerechtfertigt werden, so ist diese Bearbeitung – und nicht etwa die gesamte Praxis des Verantwortlichen – an den Voraussetzungen von Art. 31 Abs. 2 lit. c DSG zu messen. Mit dem besonders geregelten überwiegenden Interesse lässt sich daher kein Profiling mit hohem Risiko rechtfertigen (Ziff. 1); nimmt ein Verantwortlicher aber ein solches Profiling vor, verunmöglicht dies ihm nicht, sich zur Rechtfertigung (anderer) persönlichkeitsverletzender Datenbearbeitungen auf Art. 31 Abs. 2 lit. c DSG zu stützen. Dies ergibt sich aus dem Grundkonzept des Datenschutzes, das an Datenbearbeitungen, nicht ganze Geschäftspraxen oder -modelle anknüpft. Dafür spricht überdies die Folgeerwägung, dass sonst bereits eine einzelne, womöglich unbeabsichtigte Bearbeitung den Verantwortlichen daran hindern könnte, sich zur Rechtfertigung anderer Bearbeitungen auf dieses besonders geregelte überwiegende Interesse zu berufen. Beispielsweise würde schon eine Bearbeitung von etwas mehr als zehn Jahre alten Daten oder von Daten einer minderjährigen Person verunmöglichen (vgl. Art. 31 Abs. 2 lit. c Ziff. 3 und 4 DSG), dass der Verantwortliche die grundsatzwidrige Speicherung von anderen Daten auf Vorrat[37] mit Art. 31 Abs. 2 lit. c DSG rechtfertigt.

Voraussetzungen

Voraussetzungen an den Verantwortlichen?

Nach einer Lehrmeinung zum alten Recht soll (heute) Art. 31 Abs. 2 lit. c DSG «Unternehmungen» vorbehalten sein, «die sich auf die entsprechende Informationsbeschaffung spezialisiert haben».[38] Zugunsten einer solchen Auslegungen liesse sich vorbringen, dass das Bundesverwaltungsgericht im Moneyhouse-Entscheid mit Blick auf (heute) Art. 31 Abs. 2 lit. c DSG eine besondere Rechtsprechung zum Begriff des Persönlichkeitsprofils[39] bei deren Bearbeitung durch Auskunfteien begründet hat.[40] Eine Stimme zum neuen Recht will das besonders geregelte überwiegende Interesse auf Verantwortliche beschränken, die in einem Dreiparteienverhältnis ein fremdes Kreditrisiko prüfen.[41] Auf dieses Verständnis könnte die Vorgabe von Art. 31 Abs. 2 lit. c Ziff. 2 DSG an die Datenbekanntgabe an Dritte hindeuten.[42]

Der Wortlaut von Art. 31 Abs. 2 lit. c DSG schränkt allerdings den Kreis der Verantwortlichen nicht ein, insbesondere nicht auf spezialisierte Unternehmungen. Freilich mag die Vorgabe an Drittbekanntgaben ein Dreiparteienverhältnis vor Augen haben; sie schliesst aber Zweiparteienverhältnisse nicht aus. Obschon die Botschaft in ihrer Erläuterung der Bestimmung die «Tätigkeit von Wirtschaftsauskunftsdiensten» hervorhebt[43] und sich die Äusserungen in den Räten und in den Kommissionen auf Auskunfteien fokussieren oder sogar beschränken,[44] findet sich auch in den Materialien kein Hinweis auf eine Einschränkung. Im Zweiparteienverhältnis kann sich zwar der Verantwortliche zur Kreditwürdigkeitsprüfung seiner Vertragspartnerin oder seines Vertragspartners (auch) auf Art. 31 Abs. 2 lit. a DSG stützen;[45] abseits eines konkreten, unmittelbaren Vertragszusammenhangs bleibt ihm das aber verwehrt. Daher erscheint es auch sachgerecht, Verantwortlichen wie Handels- oder Industrieunternehmen oder Banken, etwa für ihr eigenes System der Kreditwürdigkeitsprüfung, die Berufung auf Art. 31 Abs. 2 lit. c DSG zu erlauben.[46] Auf diesen Rechtfertigungsgrund können sich demnach grundsätzlich beliebige Verantwortliche stützen.

Voraussetzungen an die Datenbearbeitungen

Allgemeines

Der Rechtfertigungsgrund deckt grundsätzlich sämtliche Arten von Datenbearbeitungen ab, zumal der Wortlaut von Art. 31 Abs. 2 lit. c DSG einzig das Profiling mit hohem Risiko als besondere Bearbeitungsart ausschliesst (Ziff. 1)[47] und spezifische Voraussetzungen für die Drittbekanntgabe aufstellt (Ziff. 2).[48] Aus systematischer Sicht kommt hinzu, dass Art. 31 Abs. 2 DSG andernorts – statt wie hier von der Bearbeitung – vom Sammeln von Personendaten spricht (vgl. lit. f). Angesichts der Legaldefinition des Bearbeitungsbegriffs (Art. 5 lit. d DSG) sind insbesondere die Beschaffung sowie das Speichern, Verwenden und Bekanntgeben von Art. 31 Abs. 2 lit. c DSG erfasst.

Die besondere Regelung des überwiegenden Interesses will allerdings nur, aber immerhin Datenbearbeitungen zur Prüfung der Kreditwürdigkeit ermöglichen. Art. 31 Abs. 2 lit. c DSG gibt den erfassten Bearbeitungen daher diesen Zweck vor, an den sie sich halten müssen.[49] Aus dieser Zweckvorgabe lässt sich ableiten, dass persönlichkeitsverletzende Bearbeitungen nur gerechtfertigt werden können, soweit sie zum Zweck der Kreditwürdigkeitsprüfung geeignet und erforderlich sind.[50] Dafür spricht auch, dass die Prüfung der Verhältnismässigkeit und jene eines überwiegenden Interesses inhaltlich eng zusammenhängende Fragen sind, sodass sich unverhältnismässige Datenbearbeitungen durch ein überwiegendes Interesse nur schwerlich rechtfertigen lassen.[51]

Der Rechtfertigungsgrund deckt aber auch bestimmte Datenbearbeitungen auf Vorrat ab,[52] nachdem er insbesondere den zweckmässigen Betrieb von Auskunfteien ermöglichen soll.[53] Eine Auskunftei oder ein Verantwortlicher, der für sich selbst ein System der Kreditwürdigkeitsprüfung aufbaut, muss in gewissem Umfang ohne konkreten Anlass Daten beschaffen und speichern können. Dem Gesetzgeber war denn auch bewusst, dass Auskunfteien die bearbeiteten Daten (mehrheitlich) nicht erst auf gegebene Anfrage hin zu beschaffen vermögen.[54] Gemessen an diesem Kriterium lassen sich also (ausnahmsweise[55]) unverhältnismässige Datenbearbeitungen mit einem überwiegenden Interesse rechtfertigen. Nachdem es auch bei nicht sehr dringenden Anfragen schwierig sein dürfte, innert nützlicher Frist von den verschiedenen Datenquellen eine vollständige oder zumindest umfangmässig vertretbare Rückmeldung zu erhalten, dürften – einfach einholbare Daten aus öffentlichen Quellen für nicht zeitkritische Auskunftsprodukte vorbehalten – Beschaffungen und Speicherungen auf Vorrat gerechtfertigt sein.[56]

Profiling (mit hohem Risiko) im Besonderen

Insbesondere das Profiling, also die Kreditwürdigkeitsbeurteilung im Einzelfall, sowie die Bekanntgabe des Kreditscores können demgegenüber auch erst erfolgen, wenn der Dritte vor der Entscheidung steht, gegenüber der betroffenen Person ein neues kreditorisches Risiko einzugehen oder ein bestehendes zu vergrössern. Dies bringt denn auch das Gesetz hinsichtlich Datenbekanntgaben zum Ausdruck, indem es sie auf Fälle beschränkt, in denen der empfangende Dritte die Daten benötigt (Art. 31 Abs. 2 lit. c Ziff. 2 DSG). Profiling und allfällige weitere bloss bei gegebenem Anlass erforderliche Datenbearbeitungen sind vom besonders geregelten überwiegenden Interesse ebenfalls nur gedeckt, wenn mutatis mutandis die Voraussetzungen für eine Datenbekanntgabe vorliegen.[57] Unter diesen Voraussetzungen lassen sich allerdings ebenfalls gewisse unverhältnismässige Datenbearbeitungen rechtfertigen, worauf zurückzukommen ist.

Nicht gedeckt vom Rechtfertigungsgrund zugunsten von Kreditwürdigkeitsprüfungen ist gemäss Art. 31 Abs. 2 lit. c Ziff. 1 DSG das Profiling mit hohem Risiko.[58] Im Umkehrschluss bedeutet dies, dass der Verantwortliche zur Rechtfertigung eines allfälligen persönlichkeitsverletzenden Profilings im Zuge der Prüfung der Kreditwürdigkeit auf diesen Rechtfertigungsgrund zurückgreifen kann. Dies bestätigt die Gesetzeshistorie: Der Bundesrat wollte in seinem Entwurf zum DSG das besonders geregelte überwiegende Interesse bei der Vornahme eines Profilings ausschliessen (Art. 27 Abs. 2 lit. c Ziff. 1 E‑DSG), konnte damit aber nicht überzeugen. Demnach vermag Art. 31 Abs. 2 lit. c DSG grundsätzlich jedes Profiling zum Zweck der Kreditwürdigkeitsprüfung zu tragen, das kein Profiling mit hohem Risiko i.S.v. Art. 5 lit. g DSG darstellt.[59]

Datenbekanntgabe im Besonderen

Der Verantwortliche darf Daten gemäss Art. 31 Abs. 2 lit. c Ziff. 2 DSG Dritten[60] nur bekanntgeben, wenn diese die Daten für den Abschluss oder die Abwicklung eines Vertrags mit der betroffenen Person benötigen. Ausschliessen will diese Einschränkung pauschale, listenmässige Übermittlungen von Kreditwürdigkeitsinformationen oder die Beantwortung von allgemeinen, nicht anlassgebundenen Anfragen.[61] Uneingeschränkt bleiben dadurch hingegen Datenbeschaffungen durch die Auskunftei oder einen anderen Verantwortlichen, der sich auf dieses besonders geregelte überwiegende Interesse beruft.[62] Damit der Dritte die Daten «benötigt», müssen sie für ihn nicht unverzichtbar sein. Dies ergibt sich aus dem Zweck von Art. 31 Abs. 2 lit. c Ziff. 2 DSG sowie aus der Folgeerwägung, dass sich andernfalls eine Bekanntgabe nie rechtfertigen liesse.[63] Vielmehr muss der Dritte vor der Entscheidung stehen, gegenüber der betroffenen Person ein neues kreditorisches Risiko einzugehen oder ein bestehendes zu vergrössern.[64]

Gemäss seinem Wortlaut erfasst der Rechtfertigungsgrund lediglich kreditorische Risiken im Zusammenhang mit einem Vertrag. Eine in dieser Hinsicht wortlautgetreue Auslegung stützen auch die Materialien zur Vorgängerbestimmung im aDSG.[65] Bei (der Abwicklung von) ausservertraglichen Ansprüchen ist die Interessenlage indes nicht grundsätzlich anders. Ausserdem lässt sich der Zweck von Art. 31 Abs. 2 lit. c DSG auch in solchen Fällen gewährleisten, indem eine Bekanntgabe nur dann erfolgt, wenn der Dritte vor der Entscheidung über ein kreditorisches Risiko steht. Ein damit zumindest vergleichbares Risiko steht im Raum, wenn eine Gläubigerin Schritte zur Geltendmachung und Durchsetzung ihrer Forderung samt deren Kostenfolgen erwägt.[66] Auch in solchen Fällen sollte die Auskunftei Angaben zur Kreditwürdigkeit des Schuldners bekanntgeben dürfen, um eine informierte Entscheidung zu ermöglichen.[67] Alternativ dürfte in diesen Fällen angesichts der vergleichbaren Interessenlage ein anderweitiges überwiegendes Interesse der Auskunftei zu bejahen sein, zumindest wenn die übrigen Voraussetzungen von Art. 31 Abs. 2 lit. c DSG erfüllt sind.

Ob die Voraussetzungen für eine Bekanntgabe vorliegen, hat der Verantwortliche zu überprüfen.[68] Dabei sind die Anforderungen an den Interessennachweis – wie bereits zur Datensicherheit ausgeführt[69] – insbesondere an der Sensibilität der fraglichen Daten auszurichten. In Anlehnung an Art. 8a SchKG genügt es grundsätzlich, wenn der Dritte sein Interesse glaubhaft macht. Gerade im Massengeschäft (der Auskunfteien) ist es indes nicht umsetzbar, den Interessennachweis in jedem Einzelfall zu prüfen. Die Praxis erlaubt es deshalb Auskunfteien zu Recht, auf die Überprüfung sämtlicher Interessennachweise zu verzichten, sofern sie ausreichende technische und organisatorische Massnahmen treffen.[70] Ausreichend sind jene Massnahmen, die bereits der Datensicherheitsgrundsatz gegen die Bekanntgabe an Kundinnen ohne Interesse verlangt.[71] Denn hier wie dort geht es letztlich um eine Interessenabwägung,[72] in deren Rahmen geeignete Massnahmen der Zugriffs‑, Benutzer- und Bekanntgabekontrolle festzulegen sind, um eine angemessene Datensicherheit zu gewährleisten. So warf denn auch das Bundesverwaltungsgericht im Moneyhouse-Entscheid die Frage auf, ob die Betreiberin das Vorhandensein eines Interessennachweises nach (heute) Art. 31 Abs. 2 lit. c Ziff. 2 DSG ausreichend geprüft habe, und beurteilte dafür die technischen und organisatorischen Massnahmen zugunsten der Datensicherheit nach (heute) Art. 8 DSG.[73]

Um sich auf Art. 31 Abs. 2 lit. c DSG berufen zu können, genügt es, wenn der Verantwortliche das Interesse im beschriebenen Sinn überprüft bzw. die dafür angezeigten Massnahmen ergreift; er muss nicht beweisen können, dass der Dritte vor einer Entscheidung über ein kreditorisches Risiko gestanden hat. Bei ausreichenden technischen und organisatorischen Massnahmen vermag Art. 31 Abs. 2 lit. c DSG auch Datenbearbeitungen für Auskunftsanfragen, also die Berechnung des Kreditscores und die Datenbekanntgabe, der Auskunftei zu rechtfertigen, bei denen es der Kreditgeberin an einem Interesse fehlt.[74] Das besonders geregelte überwiegende Interesse kann diesfalls (ausnahmsweise[75]) unverhältnismässige Bearbeitungen rechtfertigen.[76] Diese Besonderheit lässt sich mit dem Art. 31 Abs. 2 lit. c DSG zugrunde liegenden gesetzgeberischen Willen begründen, den Betrieb von Auskunfteien zu ermöglichen.[77] Denn sonst würde eine Auskunftei (im Massengeschäft) ständig Gefahr laufen, trotz angemessener Massnahmen mit ihren Auskünften widerrechtliche Persönlichkeitsverletzungen zu begehen.

Voraussetzungen an die bearbeiteten Daten

Für die Kreditwürdigkeitsprüfung geeignete und erforderliche Daten

Nachdem sich persönlichkeitsverletzende Bearbeitungen gestützt auf Art. 31 Abs. 2 lit. c DSG grundsätzlich nur rechtfertigen lassen, soweit sie verhältnismässig sind,[78] müssen auch die bearbeiteten Daten zum Zweck der Kreditwürdigkeitsprüfung geeignet und erforderlich sein.[79] Dazu gehören nicht nur Daten, die der Beurteilung der Zahlungsfähigkeit und/oder der Zahlungswilligkeit der betroffenen Person dienen,[80] sondern auch die Daten, die der Verantwortliche für die Identifikation der betroffenen Person benötigt. Die Voraussetzung geeigneter und erforderlicher Daten überschneidet sich mit den Anforderungen des Bearbeitungsgrundsatzes der Verhältnismässigkeit,[81] weshalb sich auf die entsprechenden Ausführungen verweisen lässt.[82]

Keine besonders schützenswerten Personendaten

Für Bearbeitungen besonders schützenswerter Personendaten (Art. 5 lit. c DSG)[83] vermag sich der Verantwortliche nicht auf das in Art. 31 Abs. 2 lit. c DSG geregelte überwiegende Interesse zu berufen. Unerheblich ist dabei, ob die Bearbeitungen systematisch oder bloss in Einzelfällen erfolgen.[84] Bei Daten wie beispielsweise der Berufsbezeichnung «IV-Rentner» oder «Pfarrerin» ist der Bearbeitungskontext ausschlaggebend, also ob die darin enthaltenen und unter Art. 5 lit. c DSG fallenden Informationen (etwa der Gesundheitszustand bzw. die religiöse Ansicht) für die Kreditwürdigkeitsprüfung abgeleitet werden und ob auch eine entsprechende Absicht seitens des Verantwortlichen besteht.[85] Soweit dies – wie üblicherweise – nicht der Fall ist und entsprechend keine Bearbeitung besonders schützenswerter Personendaten vorliegt, kann die Auskunftei auch Daten wie Berufsbezeichnungen, aus denen sich solche sensiblen Informationen herleiten lassen, (systematisch) erfassen, speichern und anderweitig bearbeiten. Der Ausschluss greift dagegen beispielsweise, wenn eine Auskunftei die Information berücksichtigen würde, dass es sich bei einer betroffenen Person um eine mehrfach verurteilte Kreditbetrügerin handelt.[86]

Keine mehr als zehn Jahre alten Daten

Seit der Totalrevision des DSG kann sich der Verantwortliche nicht mehr auf das besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen stützen, wenn die bearbeiteten Daten älter als zehn Jahre sind (Art. 31 Abs. 2 lit. c Ziff. 3 DSG).[87] Damit konkretisiert das Gesetz die Verhältnismässigkeit in zeitlicher Hinsicht[88] sowie die Datenrichtigkeit[89] für diesen Rechtfertigungsgrund.[90] Zur Begründung der Altersbegrenzung auf zehn Jahre führte der Gesetzgeber aus, dass auch die allgemeine Verjährungsfrist dieser Zeitdauer entspreche (vgl. Art. 127 OR); Unternehmen würden deshalb Dokumente so lange aufbewahren und sollen diese in diesem Zeitraum auch für Bonitätsprüfungen nutzen können.[91]

Aus dem Zweck von Art. 31 Abs. 2 lit. c Ziff. 3 DSG und seiner Ausrichtung auf die allgemeine Verjährungsfrist geht hervor, dass dem Wortlaut entsprechend nicht die Dauer der Speicherung, sondern das Alter der Daten massgebend ist. Dennoch ist zunächst unklar und lässt sich weder dem Gesetz noch den Materialien unmittelbar entnehmen, ab welchem Zeitpunkt sich diese zehn Jahre bemessen.

Bei Tatsachenfeststellungen wäre eine Anknüpfung an den Zeitpunkt, zu dem die Angabe erstmals zutrifft,[92] oder den Zeitpunkt, zu dem die Angabe letztmals zutrifft,[93] denkbar. Erstere Anknüpfung erscheint kaum sinnvoll, wäre doch etwa die Rechtfertigung der Bearbeitung des Geburtsdatums einer mehr als zehnjährigen Person mittels Art. 31 Abs. 2 lit. c DSG ausgeschlossen. Solange eine Tatsachenfeststellung noch aktuell ist, sollte die «Alterung» des Personendatums noch nicht beginnen, weshalb auf letztere Anknüpfung abzustellen ist.[94]

Bei Tatsachen ohne eigentliche Dauer ist der Ereigniszeitpunkt massgebend. Erhält eine Person an ihrem 20. Geburtstag einen Zahlungsbefehl, wäre die Bearbeitung dieser Angabe letztmals an ihrem 30. Geburtstag von Art. 31 Abs. 2 lit. c DSG erfasst.[95]

Enthält das Personendatum (z.B. ein Kreditscore) keine Tatsachenfeststellung, sondern ein Werturteil, erscheint es naheliegend, das Alter nach dem Zeitpunkt zu bemessen, zu dem das Werturteil getroffen wurde.[96] Denn Urteile fällen sich im Moment, unter Berücksichtigung der zu diesem Zeitpunkt vorliegenden Informationen.

Voraussetzungen an die betroffene Person

Subjekt der Kreditwürdigkeitsprüfung

Der Verantwortliche muss «Personendaten zur Prüfung der Kreditwürdigkeit der betroffenen Person» bearbeiten (Art. 31 Abs. 2 lit. c DSG). Bereits dieser Wortlaut deutet darauf hin, dass das überwiegende Interesse nur in Betracht fällt, wenn die bearbeiteten Daten die Person betreffen, deren Kreditwürdigkeit der Verantwortliche prüft. Dieses Verständnis verdeutlicht sich, wenn die Legaldefinition der «betroffenen Person» (Art. 5 lit. b DSG) in den Einleitungssatz von Art. 31 Abs. 2 lit. c DSG eingesetzt wird.[97] Der Verantwortliche vermag sich auf diesen Rechtfertigungsgrund also nur zu stützen, wenn er die Kreditwürdigkeit der natürlichen Personen prüft, über die er Personendaten bearbeitet. Art. 31 Abs. 2 lit. c DSG anders auszulegen, würde bedeuten, dass die Spezifizierung «der betroffenen Person» redundant wäre.

Der Wortlaut des altrechtlichen Pendants (Art. 13 Abs. 2 lit. c aDSG) hätte es auch erlaubt, die Bearbeitung von Daten Dritter zu rechtfertigen. Dieser sprach bloss vom «Bearbeiten zur Prüfung der Kreditwürdigkeit einer anderen Person» und verzichtete an dieser Stelle, sich des bereits im aDSG legaldefinierten Begriffs der betroffenen Person (Art. 3 lit. b aDSG) zu bedienen. Erst bei der Einschränkung des Rechtfertigungsgrundes hinsichtlich der Datenbekanntgabe verwendete auch das aDSG den Begriff «betroffene Person»,[98] was eigentlich ein differenziertes Verständnis der beiden Personen indiziert. Allerdings scheint die Lehre bereits unter dem aDSG davon ausgegangen zu sein, dass nur die Bearbeitung von Daten derjenigen Person erfasst ist, deren Kreditwürdigkeit geprüft wird.[99] Dies hat zur Folge, dass sich eine Auskunftei bei den hier nicht näher betrachteten persönlichkeitsverletzenden Datenbearbeitungen im Zusammenhang mit der Modellentwicklung[100] kaum wird auf Art. 31 Abs. 2 lit. c DSG berufen können.[101]

Volljährigkeit der betroffenen Person

Die betroffene Person muss zudem im Zeitpunkt der fraglichen Datenbearbeitung volljährig sein (Art. 31 Abs. 2 lit. c Ziff. 4 DSG), also das 18. Lebensjahr zurückgelegt haben (Art. 14 ZGB). Diese Einschränkung zum Schutz von Kindern leuchtet auf den ersten Blick ein, ist bei genauerer Betrachtung aber kritisch zu beurteilen. Zunächst geht die Bestimmung (zu Unrecht) davon aus, dass dem Verantwortlichen, insbesondere einer Auskunftei, ohne Weiteres das Alter der von den Datenbearbeitungen betroffenen Person bekannt ist. Solange die Auskunftei nicht das Geburtsdatum (oder zumindest das Geburtsjahr) der betroffenen Person beschafft hat, kann sie das Alter der betroffenen Person aber gar nicht beurteilen.[102] Überdies leuchten die Gründe, weshalb der EDÖB die Bearbeitung von Daten Minderjähriger in beschränktem Umfang unter dem alten Recht zuliess – nämlich wegen deren beschränkten Handlungsunfähigkeit[103] –, noch immer ein. Auch deshalb erscheint der Ausschluss von Art. 31 Abs. 2 lit. c Ziff. 4 DSG nicht unproblematisch.[104]

Immerhin ergeben sich aus Art. 31 Abs. 2 lit. c DSG und damit auch aus dessen Ziff. 4[105] keine generellen Vorgaben an Datenbearbeitungen für Kreditwürdigkeitsprüfungen. In gewissen Fällen wird daher die Bearbeitung von Daten Minderjähriger zur Prüfung ihrer Kreditwürdigkeit ihre Persönlichkeit nicht verletzen und entsprechend keinen Rechtfertigungsgrund erfordern:[106] Beschafft eine Auskunftei Bonitätsdaten einer minderjährigen Person, verwendet sie die Daten zur Kreditwürdigkeitsbeurteilung und gibt sie die Daten einem Dritten bekannt, weil und wenn ein Dritter gegenüber der minderjährigen Person (potenziell) ein kreditorisches Risiko eingeht, so wird bei über 16‑Jährigen keine Persönlichkeitsverletzung vorliegen. Beschafft und speichert die Auskunftei die Daten der minderjährigen Person zwecks Kreditwürdigkeitsprüfung hingegen auf Vorrat, verletzt sie die Verhältnismässigkeit in prinzipieller Hinsicht und damit die Persönlichkeit;[107] diese Persönlichkeitsverletzung vermag die Auskunftei nicht gestützt auf Art. 31 Abs. 2 lit. c DSG zu rechtfertigen.

Rechtsfolgen

Bei gegebenen Voraussetzungen

Wie bei den anderen Konstellationen von Art. 31 Abs. 2 DSG führt das Vorliegen der Voraussetzungen von dessen lit. c nicht zur Vermutung eines überwiegenden Interesses. Vielmehr ist eine Abwägung der Interessen im Einzelfall erforderlich,[108] was auch die Botschaft zum Ausdruck bringt.[109] Immerhin bedeutet das Vorliegen der Voraussetzungen grundsätzlich, dass die fragliche Datenbearbeitung für die Kreditwürdigkeitsprüfung geeignet und erforderlich ist.[110] Bei der eigentlichen Abwägung sind insbesondere folgende Aspekte zu berücksichtigen:[111]

Das Interesse an der Kreditwürdigkeitsprüfung und damit an der Datenbearbeitung wiegt umso schwerer, je grösser der zu beurteilende Kredit und je länger dessen allfällige Laufzeit ist. Entsprechend besteht üblicherweise ein geringeres Interesse an der Datenbearbeitung bei der Prüfung eines Kaufs auf Rechnung im Online-Handel als bei einem langfristigen, hohen Darlehen. Gewichtiger ist das Interesse bei Kreditgeschäften, die ungesichert sind oder bei denen erfahrungsgemäss eine höhere Ausfallwahrscheinlichkeit besteht. Führt die betroffene Person ein Gewerbe und/oder ist sie im Handelsregister eingetragen,[112] muss sie sich angesichts ihrer wirtschaftlichen Tätigkeit (in diesem Zusammenhang) eine Kreditwürdigkeitsprüfung und allfällige damit verbundene Persönlichkeitsverletzungen eher gefallen lassen.[113] Überdies sind auch die Nutzen der betroffenen Person zu berücksichtigen, etwa dass ihr erst die Datenbearbeitung ermöglicht, einen Kredit zu erhalten, weil die Kreditgeberin ohne Kreditscoring nicht bereit wäre, das kreditorische Risiko einzugehen.[114]

Beim Interesse der betroffenen Person gegen die Datenbearbeitung ist zu berücksichtigen, dass die Auskunftei in den hier interessierenden Konstellationen keine besonders schützenswerten Daten, keine Daten Minderjähriger und keine mehr als zehn Jahre alten Daten bearbeitet und ihr Bearbeitungszweck vom Gesetz und der Rechtsprechung als schützenswert anerkannt ist. Dafür bearbeitet die Auskunftei üblicherweise Daten in einem vergleichsweise grossen Umfang und nimmt Profilings vor. Ausserdem haben die Datenbearbeitungen der Auskunftei potenziell zur Folge, dass die betroffene Person keine Kreditgeschäfte mehr tätigen kann.

Im Einzelfall kann demnach die Abwägung trotz gegebener Voraussetzungen von Art. 31 Abs. 2 lit. c DSG zugunsten der betroffenen Person ausfallen. Dennoch wird – wegen der gesetzlichen Anerkennung des Interesses und der gesetzgeberischen Absicht, den Betrieb von Auskunfteien zu ermöglichen[115] – das Interesse an der Datenbearbeitung regelmässig überwiegen, jedenfalls soweit sie sich im Rahmen der charakteristischen Geschäftstätigkeit einer Auskunftei bewegt. Da dem Gesetzgeber zudem bewusst war, dass Auskunfteien für ihre Kreditwürdigkeitsbeurteilungen Profilings vornehmen,[116] er aber lediglich das Profiling mit hohem Risiko vom besonders geregelten überwiegenden Interesse ausgenommen hat, dürfte sich mit Art. 31 Abs. 2 lit. c DSG nahezu jedes persönlichkeitsverletzende Profiling rechtfertigen lassen, solange es kein Profiling mit hohem Risiko darstellt.

Bei fehlenden Voraussetzungen

Die Botschaft hält zu Art. 31 Abs. 2 lit. c DSG fest, dass «vier Voraussetzungen erfüllt sein müssen, damit die Prüfung der Kreditwürdigkeit als überwiegendes Interesse gelten kann».[117] Dies lässt sich dahingehend (miss‑)verstehen, dass sich ein Verantwortlicher für Datenbearbeitungen zum besagten Zweck auf ein überwiegendes Interesse nur berufen kann, wenn die Voraussetzungen von Art. 31 Abs. 2 lit. c DSG erfüllt sind. Ähnlich soll nach dem EDÖB und einer Lehrmeinung ein Verantwortlicher, der im Rahmen einer Kreditwürdigkeitsprüfung ein Profiling mit hohem Risiko vornimmt oder besonders schützenswerte Personendaten bearbeitet, sich (generell) nicht auf ein überwiegendes Interesse berufen können; mangels eines rechtfertigenden Gesetzes sei eine ausdrückliche Einwilligung erforderlich.[118]

Bereits die Formulierung von Art. 31 Abs. 2 DSG mit «insbesondere» macht indes deutlich, dass sich der Verantwortliche auch abseits der sechs kodifizierten Konstellationen auf ein überwiegendes Interesse berufen kann.[119] Hinsichtlich einer anderen kodifizierten Konstellation scheint denn auch die Botschaft zu erlauben, dass sich der Verantwortliche im entsprechenden Kontext auf ein anderweitiges überwiegendes Interesse berufen kann.[120] Dies hat auch bei Kreditwürdigkeitsprüfungen zu gelten; Art. 31 Abs. 2 lit. c DSG regelt das überwiegende Interesse bei Kreditwürdigkeitsprüfungen nicht abschliessend.

Dieses Auslegungsergebnis bestätigt die Rechtsprechung des Bundesverwaltungsgerichts. Im Moneyhouse-Entscheid konstatierte es eine Bekanntgabe von Persönlichkeitsprofilen[121] und prüfte ein anderweitiges überwiegendes Interesse für diese Datenbearbeitung, obwohl die Vorgängerbestimmung von Art. 31 Abs. 2 lit. c DSG für die Bearbeitung von Persönlichkeitsprofilen ausdrücklich nicht zur Verfügung stand.[122] Daraus lässt sich ableiten, dass auch nach Ansicht des Bundesverwaltungsgerichts persönlichkeitsverletzende Bearbeitungen, bei denen die Voraussetzungen von (heute) Art. 31 Abs. 2 lit. c DSG nicht erfüllt sind (wie etwa ein persönlichkeitsverletzendes Profiling mit hohem Risiko), einer Rechtfertigung durch ein anderweitiges überwiegendes Interesse grundsätzlich zugänglich sind.

Anderweitiges überwiegendes Interesse

Vorbemerkungen

Lässt sich eine Datenbearbeitung zum Zweck der Kreditwürdigkeitsprüfung nicht gestützt auf Art. 31 Abs. 2 lit. c DSG rechtfertigen, ist nach dem Gesagten ein anderweitiges überwiegendes Interesse zu prüfen. Ein solches dürfte ausscheiden, wenn zwar die Voraussetzungen von Art. 31 Abs. 2 lit. c DSG erfüllt sind, die konkrete Abwägung der Interessen aber dennoch zuungunsten der Datenbearbeitung ausfällt.[123] Aus Sicht einer Auskunftei stellt sich daher die Frage, welche persönlichkeitsverletzenden Datenbearbeitungen, welche die Voraussetzungen von Art. 31 Abs. 2 lit. c DSG nicht erfüllen, sie mit einem überwiegenden Interesse rechtfertigen kann.

Die Voraussetzungen der besonders geregelten überwiegenden Interessen wie jenes zur Prüfung der Kreditwürdigkeit enthalten gewiss gesetzgeberische Wertungen für Datenbearbeitungen im betreffenden Kontext.[124] Diese Wertungen vermögen jedoch nicht unmittelbar auf die anderweitigen überwiegenden Interessen durchzuschlagen, zumal Art. 31 Abs. 2 DSG ausweislich seines Wortlauts lediglich Konstellationen aufführt, bei denen ein überwiegendes Interesse insbesondere in Betracht fällt. Dieses Verständnis geht auch aus den gerade erwähnten Erwägungen des Moneyhouse-Entscheids hervor.[125] Es ist also grundsätzlich denkbar, dass sich mit einem anderweitigen überwiegenden Interesse Datenbearbeitungen rechtfertigen lassen, die von einem besonders geregelten überwiegenden Interesse für den betreffenden Kontext ausdrücklich ausgeschlossen sind, wie etwa die Bearbeitung von Daten Minderjähriger, von mehr als zehn Jahre alten Daten oder von besonders schützenswerten Daten für Kreditwürdigkeitsprüfungen (vgl. Art. 31 Abs. 2 lit. c Ziff. 1, 3 und 4 DSG). Je stärker indes die persönlichkeitsverletzende Datenbearbeitung von den Voraussetzungen abweicht, desto weniger rechtfertigbar erachtet der Gesetzgeber die Datenbearbeitung und desto weniger dürfte mithin das Interesse daran überwiegen. Dafür ist zum einen die Anzahl der nicht erfüllten Voraussetzungen und zum anderen das Ausmass der betreffenden Abweichungen zu berücksichtigen, z.B. ob die bearbeiteten Daten zwanzigjährig oder nur knapp mehr als zehn Jahre alt sind.

Aus dem Interesse an der Kreditwürdigkeitsprüfung abgeleitete Interessen

Im Moneyhouse-Entscheid verneinte das Bundesverwaltungsgericht – wie erwähnt[126] – das Informationsinteresse des Publikums bzw. das öffentliche Interesse des Gläubigerschutzes als Rechtfertigungsgrund der zu beurteilenden Bekanntgabe von Persönlichkeitsprofilen. Zur Begründung führte das Gericht aus, dass es zur Befriedigung dieses Interesses nicht der Erstellung von Persönlichkeitsprofilen bedürfe und die davon umfasste Wohn- und Lebenssituation der betroffenen Person deren Kreditwürdigkeit zumindest nicht zuverlässig belege.[127]

Welche Interessen das Bundesverwaltungsgericht in diese Erwägungen einbezog, ist nicht restlos klar; insbesondere bleibt offen, ob auch die öffentlichen Interessen an der Senkung der Kreditpreise, der Verbesserung des Kreditzugangs sowie an der Funktionsfähigkeit des Kreditmarkts und letztlich der Wirtschaft mitgemeint waren.[128] Ein Interesse, welches das Bundesverwaltungsgericht nicht berücksichtigte, das aber gesetzlich anerkannt[129] ist und auch daher grundsätzlich in die Abwägung hätte einfliessen müssen, liegt im Interesse der betroffenen Person am Schutz vor der eigenen Überschuldung.[130] Allen diesen Interessen ist gemein, dass sie letztlich Ausprägungen des Interesses an der Prüfung der Kreditwürdigkeit sind. Deshalb lassen sie sich gemeinsam in die Abwägung einbeziehen und beurteilen.

Erfasste Datenbearbeitungen

Allgemeines

Interessen, die sich letztlich aus dem Interesse an der Kreditwürdigkeitsprüfung ableiten, werden nur überwiegen können, wenn die fragliche Datenbearbeitung zu diesem Zweck geeignet und erforderlich ist.[131] Ist sie das, muss zudem eine Abwägung im Einzelfall vorgenommen werden, sodass sich mit solchen Interessen – im Ergebnis gleich wie mit dem besonders geregelten überwiegenden Interesse bei Kreditwürdigkeitsprüfungen (Art. 31 Abs. 2 lit. c DSG) – nur Datenbearbeitungen rechtfertigen lassen, die für die Kreditwürdigkeitsprüfung verhältnismässig sind.[132]

Das Erfordernis der Verhältnismässigkeit hat zur Folge, dass eine Auskunftei Bearbeitungen auf Vorrat mit den hier diskutierten Interessen nicht rechtfertigen kann. Die der charakteristischen Geschäftstätigkeit der Auskunfteien entsprechende Beschaffung und Speicherung von Daten im Hinblick auf potenzielle Kreditwürdigkeitsprüfungen verletzt nämlich die Verhältnismässigkeit in prinzipieller Hinsicht.[133] Anders als bei Art. 31 Abs. 2 lit. c DSG entfällt hier das Argument, dass der zweckmässige Betrieb von Auskunfteien ermöglicht werden soll und daher auch Bearbeitungen auf Vorrat erfasst sein müssen. Auskunfteien können sich nur auf die aus dem Interesse an der Kreditwürdigkeitsprüfung abgeleiteten Interessen berufen, wenn für die betreffende Datenbearbeitung schon ein konkreter Anlass gegeben ist, wenn also die Kreditgeberin vor der Entscheidung über ein kreditorisches Risiko steht.[134]

Dies gilt insbesondere für allfällige persönlichkeitsverletzende Profilings (mit hohem Risiko) oder Datenbekanntgaben. Beruft sich die Auskunftei zu deren Rechtfertigung auf diese Interessen, muss sie den konkreten Anlass beweisen können. Denn ohne konkreten Anlass sind diese Bearbeitungen mit Blick auf den Zweck einer Kreditwürdigkeitsprüfung unverhältnismässig[135] und lassen sich – anders als mit Art. 31 Abs. 2 lit. c Ziff. 2 DSG[136] – nicht rechtfertigen. Dafür muss die Auskunftei die Interessennachweise der Kreditgeberinnen nicht (stichprobenartig) überprüfen (bzw. überprüft haben),[137] um sich auf diese anderweitigen Interessen berufen zu können. Die Datensicherheit verlangt aber ohnehin technische und organisatorische Massnahmen, darunter die stichprobenartige Überprüfung des Interessennachweises der Kreditgeberin.[138] Ergreift die Auskunftei nicht die erforderlichen Massnahmen, dürfte es ihr angesichts der für die Massnahmenfestlegung entscheidenden Angemessenheit schwerfallen, diese Grundsatzverletzung mit einem (anderweitigen) überwiegenden Interesse zu rechtfertigen.[139]

Fällt eine Rechtfertigung gestützt auf Interessen, die sich aus demjenigen an der Kreditwürdigkeitsprüfung ableiten, in Betracht, sind die für die Bearbeitung sprechenden Interessen grundsätzlich nach denselben Faktoren wie bei der Interessenabwägung zu beurteilen, die bei gegebenen Voraussetzungen von Art. 31 Abs. 2 lit. c DSG durchzuführen ist.[140] Das dagegen sprechende Interesse der betroffenen Person erlangt besonderes Gewicht, wenn zugleich mehrere Voraussetzungen des besonders geregelten überwiegenden Interesses zur Prüfung der Kreditwürdigkeit nicht gegeben und/oder die betreffenden Abweichungen gross sind (vgl. Art. 31 Abs. 2 lit. c, insbesondere Ziff. 1–4 DSG).

Profiling mit hohem Risiko im Besonderen

Da ein Profiling mit hohem Risiko bei Kreditwürdigkeitsprüfungen auch vorliegen kann, wenn ausschliesslich für diesen Zweck geeignete und erforderliche Daten miteinbezogen werden,[141] entzieht es sich nicht generell der Rechtfertigung durch überwiegende Interessen, die sich aus dem Interesse an der Kreditwürdigkeitsprüfung ableiten. Wie ausgeführt,[142] dürfte allerdings ein Profiling mit hohem Risiko zu diesem Zweck nicht selten – mangels Erforderlichkeit oder Zumutbarkeit – unverhältnismässig sein. Vorliegend interessieren also die übrigen Fälle, in denen das Profiling mit hohem Risiko zwar verhältnismässig ist, aber aus einem anderen Grund die Persönlichkeit der betroffenen Person verletzt, etwa wegen der Missachtung des Transparenz- oder des Zweckbindungsgrundsatzes.[143]

Ein solcher Fall setzt besonders gewichtige Interessen an der Kreditwürdigkeitsprüfung voraus, weil sonst das Profiling mit hohem Risiko gar nicht erst zumutbar wäre.[144] Dies fällt etwa bei einem sehr hohen Kreditbetrag, einer langen Laufzeit und/oder fehlenden Kreditsicherheiten in Betracht. Ob die Interessen an einem solchen Profiling sodann zu überwiegen vermögen, hängt insbesondere von der Schwere der zu rechtfertigenden Persönlichkeitsverletzung ab. Wiegt diese nicht besonders schwer, erscheint eine Rechtfertigung denkbar, beispielsweise wenn die Auskunftei unter Verletzung des Transparenzgrundsatzes nicht ausreichend konkret über die für das Profiling mit hohem Risiko verwendeten Datenkategorien informiert hat.[145] Im Übrigen dürften die Interessen daran nicht überwiegen, zumal gemäss Art. 5 lit. g DSG eben bereits aus dem Profiling ein (zumindest abstraktes) hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person ausgeht. Dies gilt insbesondere, wenn das Profiling besonders schützenswerte Personendaten, mehr als zehn Jahre alte Daten und/oder Daten von Minderjährigen miteinbezieht (vgl. Art. 31 Abs. 2 lit. c Ziff. 1, 3 und 4 DSG).

Erfasste Daten

Besonders schützenswerte Personendaten[146] sind für eine Kreditwürdigkeitsprüfung grundsätzlich nicht notwendig und werden von den Auskunfteien üblicherweise auch nicht verwendet.[147] Dennoch ist nicht auszuschliessen, dass eine allfällige persönlichkeitsverletzende Bearbeitung[148] vereinzelter solcher Daten wie etwa von Angaben zu einer einkommensrelevanten gesundheitlichen Beeinträchtigung für eine Kreditwürdigkeitsbeurteilung geeignet und erforderlich sein kann. Angesichts der gesetzlich attestierten Sensibilität dieser Daten dürfte aber das Interesse an deren Bearbeitung, gerade wenn es sich um ein Profiling oder eine Bekanntgabe handelt, kaum je überwiegen. Eine Ausnahme lässt sich bei der Verurteilung wegen eines einschlägigen Vermögensdelikts (z.B. eines Kreditbetrugs) annehmen, nachdem diese Information zweifellos von grosser Relevanz für die Kreditwürdigkeit der betroffenen Person ist[149] und sich unter diesen Umständen auch die gegen die Bearbeitung sprechenden Interessen der betroffenen Person (insbesondere an der Geheimhaltung) bei einer Kreditvergabe erheblich relativieren. Auf Vorrat darf die Auskunftei dieses Datum indes nicht beschaffen und speichern, da diese Datenbearbeitungen die Verhältnismässigkeit (in prinzipieller Hinsicht) missachten, sodass ein aus dem Interesse an der Kreditwürdigkeitsprüfung abgeleitetes Interesse nicht als Rechtfertigungsgrund dienen kann.[150]

Die Bearbeitung von mehr als zehn Jahre alten Daten zum Zweck der Kreditwürdigkeitsprüfung wird in aller Regel in zeitlicher Hinsicht unverhältnismässig sein.[151] Trifft dies ausnahmsweise nicht zu, liegt aber aus einem anderen Grund eine Persönlichkeitsverletzung vor, etwa weil die betroffene Person Widerspruch erklärt hat (Art. 30 Abs. 2 lit. b DSG), erscheint eine Rechtfertigung durchaus denkbar, jedenfalls sofern die bearbeiteten Daten nur wenig mehr als zehn Jahre alt sind. Diese Ausnahmefälle sind für die hier interessierenden Auskunfteien allerdings mehr theoretischer Natur, nachdem bei den in der Praxis besonders relevanten Betreibungsvorgängen und negativen Zahlungserfahrungen zumindest als Richtwert von einer zehnjährigen Aufbewahrungsdauer auszugehen ist.[152]

Erfasste betroffene Personen

Nicht der Kreditwürdigkeitsprüfung unterliegende Personen

Anders als Art. 31 Abs. 2 lit. c DSG[153] können die aus dem Interesse an der Kreditwürdigkeitsprüfung abgeleiteten Interessen Persönlichkeitsverletzungen rechtfertigen, die bei Bearbeitungen von Daten von Personen erfolgen, deren Kreditwürdigkeit die Auskunftei nicht beurteilt. Dies ist für allfällige Persönlichkeitsverletzungen bei der Modellentwicklung relevant, nicht aber für die übrigen Phasen des Kreditscorings und insbesondere das hier im Fokus stehende Profiling (mit hohem Risiko).[154] Ob sich eine Persönlichkeitsverletzung rechtfertigen lässt, hängt wie immer vom konkreten Fall ab. In der Abwägung ist aber generell zugunsten der Datenbearbeitungen zu berücksichtigen, dass sie bei der Modellentwicklung der Gewinnung allgemeiner Erkenntnisse dienen, die Identität der betroffenen Person dabei unerheblich ist und ihr (abgesehen von den Datenbearbeitungen an sich) keine direkten Konsequenzen drohen.[155]

Minderjährige Personen

Die Bearbeitung von Daten von unter 16 Jahre alten Personen zur Prüfung ihrer Kreditwürdigkeit ist unverhältnismässig in materieller Hinsicht[156] und lässt sich entsprechend nicht mit einem Interesse rechtfertigen, das sich aus dem Interesse an der Kreditwürdigkeitsprüfung ableitet.[157]

Verletzt die Bearbeitung von Daten älterer Minderjähriger deren Persönlichkeit, fällt hingegen ein aus dem Interesse an der Kreditwürdigkeitsprüfung abgeleitetes überwiegendes Interesse durchaus in Betracht. Dies ist beispielsweise der Fall, wenn eine über 16 Jahre alte minderjährige Person den Datenbearbeitungen, etwa einem Profiling, für eine Kreditwürdigkeitsprüfung widerspricht (Art. 30 Abs. 2 lit. b DSG), die eine Auskunftei erst auf Anfrage einer Kreditgeberin hin wegen eines (potenziellen) kreditorischen Risikos vornimmt. Hier darf angenommen werden, dass die minderjährige Person im Rahmen ihrer beschränkten Handlungsunfähigkeit agiert,[158] sodass die Situation mit jener einer volljährigen Person vergleichbar ist und mithin gute Gründe für ein überwiegendes Interesse bestehen. Minderjährige sind zwar grundsätzlich schutzbedürftiger; dies gilt indes nicht nur hinsichtlich des Datenschutzes, sondern auch des Schutzes vor Überschuldung.

Beschafft und speichert eine Auskunftei hingegen ihrer üblichen Praxis entsprechend die Daten der Minderjährigen zum Zweck der Kreditwürdigkeitsprüfung auf Vorrat, missachtet sie damit die Verhältnismässigkeit in prinzipieller Hinsicht.[159] Dies führt dazu, dass die Auskunftei die Persönlichkeit der betroffenen Minderjährigen verletzt und sie zugleich diese Persönlichkeitsverletzung nicht mit einem der hier diskutierten Interessen zu rechtfertigen vermag.[160]

Wirtschaftliche Interessen der Auskunftei

Neben den besprochenen Interessen fallen auch die eigenen wirtschaftlichen Interessen der Auskunftei in Betracht.[161] Für diese Interessen spielt es keine Rolle, ob die zu rechtfertigenden Datenbearbeitungen für die Kreditwürdigkeitsprüfung geeignet oder erforderlich sind. Ungeeignete oder nicht erforderliche Daten zu beschaffen, für Beurteilungen zu verwenden und bekanntzugeben, kann sich für die Auskunftei bei entsprechender Nachfrage der Kreditgeberinnen kommerziell lohnen, obwohl die Daten diesen (objektiv betrachtet) für die Kreditwürdigkeitsprüfung keinen Mehrwert bringen.

Im Moneyhouse-Entscheid anerkannte das Bundesverwaltungsgericht, dass sich die Betreiberin von Moneyhouse «auf eigene wirtschaftliche, mithin vor allem rein finanzielle Interessen» berufen könne.[162] Es erachtete diese Interessen indes nicht als überwiegend, weil sich das fragliche Angebot auch gestützt auf ausdrückliche Einwilligungen der betroffenen Personen realisieren lasse, und das Interesse, wegen des verbundenen Mehraufwands auf diese Ausgestaltung zu verzichten, in keinem vernünftigen Verhältnis zum Eingriff in die Persönlichkeitsrechte der betroffenen Personen stehe.[163] Das Bundesverwaltungsgericht schält mit diesen Ausführungen das wirtschaftliche Interesse der Auskunftei an der persönlichkeitsverletzenden Datenbearbeitung heraus,[164] das sich nicht insgesamt auf die Aufrechterhaltung ihres Angebots bezieht, sondern auf die Einsparung des Mehraufwandes beschränkt.[165] Dieses wirtschaftliche Interesse schätzt das Bundesverwaltungsgericht angesichts der Eingriffe in die Persönlichkeit als zu wenig gewichtig ein. Umgekehrt würde dem eigenen wirtschaftlichen Interesse grosses Gewicht zukommen, wenn die nicht persönlichkeitsverletzende Ausgestaltung des Angebots (oder die Einholung der Einwilligung) die wirtschaftliche Existenz der Auskunftei oder das Angebot ernstlich in Frage stellen würde.[166]

Ob es für eine Auskunftei wirtschaftlich möglich ist, ihr Angebot mit Anpassungen ohne Persönlichkeitsverletzung oder mit Einholung von Einwilligungen aufrechtzuerhalten und mit welchem Mehraufwand dies verbunden ist, sind vom Einzelfall abhängige Tatsachenfragen. Beschränkt sich das wirtschaftliche Interesse auf die Einsparung eines Mehraufwands, wird es (allein) die hier interessierenden persönlichkeitsverletzenden Datenbearbeitungen,[167] insbesondere ein persönlichkeitsverletzendes Profiling zur Berechnung des Kreditscores, regelmässig nicht rechtfertigen können. Das wirtschaftliche Interesse der Auskunftei stellt daher als anderweitiges überwiegendes Interesse eine untergeordnete Rolle, obschon es natürlich andere Interessen zugunsten der Datenbearbeitung in der Abwägung verstärkt.

Weitere Interessen

Es sind weitere Interessen denkbar, gestützt auf welche die Auskunfteien persönlichkeitsverletzende Datenbearbeitungen rechtfertigen können, etwa das Interesse an einer Altersprüfung und die Bekämpfung von Betrugsfällen. Diese Datenbearbeitungen erfolgen zwar womöglich im Kontext einer Kreditwürdigkeitsbeurteilung, dienen aber nicht an sich diesem Zweck. Aus diesem Grund wird auf diese Interessen an dieser Stelle nicht weiter eingegangen.

Zwischenfazit

Zur Rechtfertigung persönlichkeitsverletzender Datenbearbeitungen bietet sich Auskunfteien insbesondere Art. 31 Abs. 2 lit. c DSG an. Diese Bestimmung sieht ein besonders geregeltes überwiegendes Interesse für Datenbearbeitungen zum Zweck der Kreditwürdigkeitsprüfung vor. Dafür ist vorausgesetzt, dass die betreffende Bearbeitung keine Daten erfasst, die besonders schützenswert, mehr als zehn Jahre alt oder von einer minderjährigen Person sind. Zudem muss die Bearbeitung grundsätzlich verhältnismässig, insbesondere geeignet und erforderlich sein. Deshalb lässt sich damit z.B. die Bearbeitung von Daten, die für die Kreditwürdigkeit nicht geeignet, erforderlich oder zumutbar sind, nicht rechtfertigen.

Nachdem die Bestimmung den zweckmässigen Betrieb von Auskunfteien ermöglichen soll, deckt sie aber auch Beschaffungen und Speicherungen von Daten auf Vorrat ab, soweit es sich nicht um einfach einholbare Daten aus öffentlichen Quellen handelt, die für nicht zeitkritische Auskunftsprodukte vorgesehen sind. Zudem kann die Auskunftei mit Art. 31 Abs. 2 lit. c DSG auch rechtfertigen, dass sie trotz fehlenden Interesses ihrer Kundin einen Kreditscore berechnet, also ein Profiling vornimmt, und den Score der Kundin bekanntgibt, sofern sie die technischen und organisatorischen Massnahmen gegen dieses Risiko ergriffen hat, welche der Grundsatz der Datensicherheit von ihr verlangt.[168] Obschon bei gegebenen Voraussetzungen von Art. 31 Abs. 2 lit. c DSG noch eine Interessenabwägung im Einzelfall vorzunehmen ist, wird das Interesse an der Datenbearbeitung regelmässig überwiegen, jedenfalls soweit diese sich im Rahmen der charakteristischen Geschäftstätigkeit einer Auskunftei bewegt. Nachdem Ziff. 1 lediglich das Profiling mit hohem Risiko ausschliesst, dürfte sich mit Art. 31 Abs. 2 lit. c DSG – auch aus gesetzeshistorischen Gründen – nahezu jedes andere persönlichkeitsverletzende Profiling zum Zweck der Kreditwürdigkeitsprüfung rechtfertigen lassen.

Sind die Voraussetzungen von Art. 31 Abs. 2 lit. c DSG nicht gegeben, kann noch immer ein anderweitiges überwiegendes Interesse i.S.v. Art. 31 Abs. 1 DSG eine persönlichkeitsverletzende Datenbearbeitung zum Zweck der Kreditwürdigkeitsprüfung rechtfertigen. Zwar enthält Art. 31 Abs. 2 lit. c DSG gesetzgeberische Wertungen, die auch bei der Abwägung solcher Interessen zu berücksichtigen sind; die Voraussetzungen dieser Bestimmung sind hier aber keine zwingenden Vorgaben. Für Auskunfteien stehen Interessen im Vordergrund, die sich aus dem Interesse an der Kreditwürdigkeitsprüfung ableiten lassen, namentlich das Informationsinteresse des Publikums, das öffentliche Interesse am Gläubigerschutz und das Interesse der betroffenen Person am Schutz vor Überschuldung. Aufgrund deren gemeinsamen Ausrichtung auf die Kreditwürdigkeitsprüfung müssen die Bearbeitungen im Hinblick darauf verhältnismässig sein.

Da hier das Argument entfällt, die charakteristische Geschäftstätigkeit der Auskunfteien solle ermöglicht werden, tragen diese Interessen keine Bearbeitungen auf Vorrat. Dies hat insbesondere zur Folge, dass sich eine Beschaffung und Speicherung von mehr als zehn Jahre alten oder sich auf Minderjährige beziehenden Daten im Hinblick auf künftige, bloss eventuelle Kreditwürdigkeitsprüfungen (ohne Einwilligung) kaum wird rechtfertigen lassen. Bei Art. 31 Abs. 2 lit. c DSG fehlt es an der Voraussetzung von Ziff. 3 bzw. 4, während die erwähnten abgeleiteten Interessen eben nicht zur Rechtfertigung unverhältnismässiger Datenbearbeitungen taugen. Auch ein Profiling oder eine Datenbekanntgabe im Rahmen einer Auskunft an eine Kundin, der das Interesse daran fehlt, lässt sich mangels Verhältnismässigkeit – auch bei gegebenen Massnahmen gemäss Datensicherheitsgrundsatz – nicht rechtfertigen. Demgegenüber können diese Interessen in seltenen Fällen ein Profiling mit hohem Risiko rechtfertigen, das nach hier vertretenem Verständnis nicht zwingend auch die Bearbeitung von Daten umfassen muss, die für die Kreditwürdigkeitsprüfung nicht geeignet oder nicht erforderlich sind.[169] Dafür müssen im Einzelfall die Interessen an der Kreditwürdigkeitsprüfung von grossem Gewicht sein und darf die zu rechtfertigende Persönlichkeitsverletzung nicht besonders schwer wiegen.

Weitere Interessen fallen grundsätzlich ebenfalls als Rechtfertigungsgrund in Betracht, namentlich das wirtschaftliche Interesse der Auskunftei. Dieses Interesse kann sich im Einzelfall auf die Einsparung des Mehraufwands beschränken, den die Einholung der Einwilligungen der betroffenen Personen verursachen würde. Diesfalls wird es (allein) persönlichkeitsverletzende Datenbearbeitungen, welche die Voraussetzungen von Art. 31 Abs. 2 lit. c DSG nicht erfüllen, etwa (unter Umständen) ein Profiling zur Berechnung des Kreditscores, regelmässig nicht rechtfertigen können.

Im europäischen Recht (DSGVO)

Auf ein Interesse abstellende Rechtsgrundlagen

Vier der von der DSGVO vorgesehenen Rechtsgrundlagen lassen sich in Gegenüberstellung zum DSG als auf ein (schutzwürdiges) Interesse abstellend verstehen.[170] Angesprochen sind der Vertragszusammenhang, der Schutz lebenswichtiger Interessen, die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt sowie das berechtigte Interesse (Art. 6 Abs. 1 UAbs. 1 lit. b, d, e und f DSGVO). Während letztere Rechtsgrundlage anschliessend im Einzelnen zu besprechen ist (nachfolgend 2.2), begründen die folgenden Ausführungen kurz, weshalb die anderen drei Rechtsgrundlagen den Auskunfteien für Verarbeitungen im Rahmen ihrer charakteristischen Geschäftstätigkeit, insbesondere für die Berechnung des Kreditscores, nicht zur Verfügung stehen.

Vertragszusammenhang

Eine Verarbeitung ist rechtmässig, wenn sie für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Massnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen (Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO). Zweck dieser Rechtsgrundlage ist es, jene Verarbeitungen zu ermöglichen, die auf die Entscheidung der betroffenen Person zurückgehen, mit dem Verantwortlichen ein Näheverhältnis einzugehen und damit die dafür erforderlichen Verarbeitungen in Gang zu setzen.[171] Ob diese Rechtsgrundlage auch einem Dritten wie einer Auskunftei, die eine Kreditwürdigkeitsprüfung für eine Kreditgeberin durchführt,[172] zur Verfügung steht, ist umstritten,[173] zumal der Wortlaut dies offenlässt. Der EuGH hat diese Frage bisher nicht beantwortet; eine Formulierung in einem kürzlich ergangenen Entscheid lässt sich aber dahingehend lesen, dass der Verantwortliche Vertragspartei sein muss.[174]

Zugunsten der Anwendung auf Dritte lässt sich anführen, dass die DSGVO in anderen Bestimmungen, die sich auf Vertragskontexte beziehen, jeweils präzisiert, dass der Verantwortliche Vertragspartei sein muss.[175] Andererseits muss lediglich eine Vertragspartei vertragliche Pflichten erfüllen und die dafür erforderlichen Datenverarbeitungen vornehmen (können). Mit Blick auf den Zweck ist zudem zu berücksichtigen, dass die betroffene Person das Näheverhältnis lediglich zu ihrer (potenziellen) Vertragspartnerin, nicht zu beliebigen Dritten begründet. Zwar sind ohnehin nur für die Vertragserfüllung oder vorvertragliche Massnahmen erforderliche Verarbeitungen erfasst, jedoch spielt es für die betroffene Person durchaus eine Rolle, wer diese Verarbeitungen vornimmt (bzw. dafür verantwortlich ist).[176] Nach hier vertretener Ansicht können daher (am fraglichen Vertrag oder Verhandlungs- bzw. Anbahnungsverhältnis nicht beteiligte) Dritte ihre Verarbeitungen nicht auf diese Rechtsgrundlage abstellen. Für die im Rahmen der Kreditwürdigkeitsprüfungen vorgenommenen Verarbeitungen müssen sich die Auskunfteien also auf eine andere Rechtsgrundlage berufen.[177]

Schutz lebenswichtiger Interessen

Art. 6 Abs. 1 UAbs. 1 lit. d DSGVO erlaubt Verarbeitungen, die erforderlich sind, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. Gemeint sind etwa Konstellationen, in denen ein Risiko für die körperliche Unversehrtheit oder das Leben besteht.[178] EG 46 Satz 3 DSGVO nennt als Beispiele Verarbeitungen für humanitäre Zwecke einschliesslich der Überwachung von Epidemien sowie humanitäre Notfälle, insbesondere bei Natur- oder von Menschen verursachten Katastrophen. Zudem ist die Rechtsgrundlage subsidiär; sie soll grundsätzlich nur dann zum Zuge kommen, wenn sich eine Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage stützen lässt (EG 46 Satz 2 DSGVO). Nachdem eine Auskunftei keine in diesem Sinne lebenswichtigen Interessen verfolgt und ihr durchaus andere Rechtsgrundlagen zur Verfügung stehen, scheidet Art. 6 Abs. 1 UAbs. 1 lit. d DSGVO für Datenverarbeitungen im Rahmen ihrer charakteristischen Geschäftstätigkeit aus.

Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt

Grundsätzlich können sich auch private Verantwortliche auf ein öffentliches Interesse i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO abstützen.[179] Jedoch lässt es die DSGVO – anders als das DSG – nicht genügen, dass die Datenverarbeitung ein (überwiegendes) öffentliches Interesse verfolgt. Vielmehr muss die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder die in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Privatpersonen muss die Befugnis, auf personenbezogene Daten zuzugreifen, im öffentlichen Interesse oder als Ausübung öffentlicher Gewalt übertragen worden sein; sie müssen anstelle einer Behörde tätig werden, was einen staatlichen Übertragungsakt erfordert.[180] An einer solchen Übertragung an die Auskunfteien fehlt es,[181] jedenfalls bei ihrer charakteristischen Geschäftstätigkeit. Insoweit spielt es keine Rolle, dass die Auskunfteien durch die Verhinderung von Krediten an zahlungsunfähige oder -unwillige Personen einerseits sowie durch die Beschleunigung erfolgreicher Kreditvergaben andererseits (im öffentlichen Interesse) zu einem stabilen Finanzmarktsystem beitragen.[182]

Überdies stellt Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO keine eigenständige Grundlage für Verarbeitungen dar. Damit ein Verantwortlicher sich darauf abstützen kann, bedarf es einer Rechtsgrundlage im Unionsrecht oder im Recht des Mitgliedstaates, dem der Verantwortliche unterliegt (Art. 6 Abs. 3 DSGVO), und nach der sich die Verarbeitung als rechtmässig darstellt.[183] Eine entsprechende Rechtsgrundlage zugunsten von Auskunfteien fehlt im Unionsrecht, und als Nicht-Mitgliedstaat der EU kann die Schweiz gar nicht erst Recht i.S.v. Art. 6 Abs. 3 DSGVO erlassen.[184] Dass ein Mitgliedstaat eine Rechtsgrundlage vorsieht bzw. vorsehen wird, mit der sich öffentliche Aufgaben an schweizerische Auskunfteien übertragen liessen, ist zwar nicht ausgeschlossen, erscheint aber unwahrscheinlich. Jedenfalls das deutsche Recht, das sich als Beispiel betrachten lässt, sieht keine Rechtsgrundlage vor, auf die sich die Auskunftei bei der Berechnung des Kreditscores stützen könnte.[185]

Wahrung berechtigter Interessen im Einzelnen

Im Allgemeinen

Die Rechtsgrundlage des berechtigten Interesses nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO kennt drei Voraussetzungen: Erstens muss ein berechtigtes Interesse des Verantwortlichen oder eines Dritten an der Datenverarbeitung vorliegen, zweitens muss die Datenverarbeitung für die Wahrung dieses berechtigten Interesses erforderlich sein und drittens dürfen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht gewichtiger sein als das berechtigte Interesse an der Datenverarbeitung.[186]

Berechtigtes Interesse

Der Begriff des berechtigten Interesses ist weit zu verstehen[187] und meint Interessen (des Verantwortlichen oder eines Dritten), die im Einklang mit der Rechtsordnung stehen.[188] Auch wirtschaftliche Interessen können als Rechtsgrundlage dienen,[189] zumal EG 47 ff. DSGVO als Beispiele für berechtigte Interessen neben der Verhinderung von Betrug und der Gewährleistung der Informationssicherheit auch etwa die Direktwerbung nennen. Indem die DSGVO der betroffenen Person ein Widerspruchsrecht einräumt, wenn ein Profiling auf der Grundlage von Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO erfolgt (Art. 21 Abs. 1 DSGVO), anerkennt sie, dass an einem Profiling ein berechtigtes Interesse bestehen und dieses als Rechtsgrundlage für das Profiling dienen kann.[190]

Im Unterschied zum DSG fallen öffentliche Interessen und die Interessen der betroffenen Person nicht als berechtigte Interessen in Betracht.[191] Öffentliche Interessen können aber dem Interesse des Verantwortlichen oder Dritter mehr Gewicht verleihen,[192] und die Interessen der betroffenen Person an der Verarbeitung schmälern ihre dieser entgegenstehenden Interessen.[193]

Erforderlichkeit

Die Verarbeitungen müssen zur Wahrung des verfolgten berechtigten Interesses erforderlich sein. Nach ständiger Praxis des EuGH setzt dies voraus, dass «das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen».[194] Wie in dieser Formulierung anklingt, muss die Verarbeitung nicht nur im Vergleich zu zumutbaren Alternativen weniger eingriffsintensiv sein, sondern sich auch für die Zweckerreichung eignen.[195]

Die Erforderlichkeit überschneidet sich in Teilen mit dem Grundsatz der Datenminimierung,[196] wonach die personenbezogenen Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Mass beschränkt sein müssen (Art. 5 Abs. 1 lit. c DSGVO). Daher sind diese beiden Vorgaben gemäss EuGH gemeinsam zu prüfen.[197] In der vorliegenden Untersuchung wurde die Prüfung der Datenminimierung vorgezogen, um eine Gegenüberstellung zum DSG zu ermöglichen.[198]

Beim Profiling soll nach einer Lehrmeinung die Erforderlichkeit in der Regel zu bejahen sein, da kein anderes Mittel gleich geeignet ist, die durch Profiling möglichen Erkenntnisse zu gewinnen.[199] Wo sich eine personenbezogene Beurteilung als erforderlich erweist, dürfte dies tatsächlich vielfach der Fall sein. Eine solche «Faustregel» entbindet den Verantwortlichen aber selbstverständlich nicht davon, die Erforderlichkeit im Einzelfall zu prüfen.

Interessenabwägung

Schliesslich ist eine Abwägung der sich gegenüberstehenden Rechte und Interessen vorzunehmen, wobei bereits das (theoretisch mögliche) Gleichgewicht der Interessen für die Rechtsgrundlage des berechtigten Interesses genügt (Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO). Gemäss EuGH muss die Abwägung anhand der konkreten Umstände des Einzelfalls erfolgen.[200] Dies erfordert (in einem gewissen Rahmen) die Berücksichtigung der spezifischen Umstände, verbietet aber eine typisierte Betrachtung der sich (regelmässig) ergebenden Sachverhalte nicht.[201] Denn zum einen lässt sich bei Massengeschäften wie etwa jenem der Auskunfteien eine konkrete Einzelfallbeurteilung nicht im Vornherein umsetzen und zum anderen erlaubt das Widerspruchsrecht (Art. 21 Abs. 1 DSGVO) der betroffenen Person, die besonderen Umstände ihres Einzelfalls geltend zu machen.[202]

Zu berücksichtigende Kriterien im Allgemeinen

Auch wenn private Verantwortliche nicht unmittelbar grundrechtsgebunden sind, ist zugunsten der betroffenen Person den Grundrechten, insbesondere jenen auf Datenschutz und auf Schutz des Privat- und Familienlebens (Art. 7 f. GRCh), Rechnung zu tragen.[203] In die Abwägung einzubeziehen sind zudem die Art und der Umfang der Daten und deren Verarbeitung, die Art der betroffenen Personen sowie die Zwecke der Verarbeitung.[204] Ähnlich wie bei der Abwägung nach DSG sind auch die (positiven wie negativen[205]) Folgen der Verarbeitung für die betroffene Person zu berücksichtigen: Beim Kreditscoring ermöglicht zum Beispiel die Verarbeitung der betroffenen Person unter Umständen erst, einen Kredit zu erhalten, weil die Kreditgeberin ohne das Kreditscoring nicht bereit wäre, das kreditorische Risiko einzugehen.[206] Demgegenüber führt die Verarbeitung bei einer negativen Kreditwürdigkeitsbeurteilung allenfalls dazu, dass der betroffenen Person fortan Kredite verweigert werden.[207]

Ein wichtiger Aspekt sind ferner die vernünftigen Erwartungen der betroffenen Personen hinsichtlich der (möglichen) Verarbeitungen (EG 47 Satz 1 DSGVO). Findet eine Verarbeitung in einer Situation statt, in der die betroffene Person vernünftigerweise nicht mit einer Verarbeitung rechnen muss, dürften ihre Interessen regelmässig überwiegen.[208] Was die betroffene Person erwarten darf und muss, beurteilt sich nicht subjektiv, sondern aus der objektiven Sicht vernünftiger Dritter.[209] Massgebend sind nicht zuletzt die Umstände, unter denen die Verarbeitung erfolgt, wobei insbesondere die Beziehung zwischen dem Verantwortlichen und der betroffenen Person eine Rolle spielt (vgl. EG 47 Satz 1–3 DSGVO). Das Fehlen einer vertraglichen oder geschäftlichen Beziehung bedeutet jedoch nicht, dass die Interessen der betroffenen Person überwiegen müssen,[210] zumal der erwähnte Erwägungsgrund die Art der relevanten Beziehungen nicht einschränkt und Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gerade auch Fälle erfassen will, bei denen ein Näheverhältnis etwa im Sinne einer Einwilligung oder eines Vertrags fehlt.[211] An die betroffene Person gerichtete Informationen[212] über die Datenverarbeitung, deren Zweck und Umfang etc. (zur Erfüllung von Art. 5 Abs. 1 lit. a[213] und Art. 13 ff. DSGVO) vermögen die vernünftigen Erwartungen zu beeinflussen.[214]

Weitere Anhaltspunkte ergeben sich aus anderen Bestimmungen der DSGVO bzw. dem Zusammenhang mit ihnen. In die Interessenabwägung sind die Grundsätze von Art. 5 Abs. 1 DSGVO einzubeziehen,[215] zumal die Interessen der betroffenen Person umso stärker tangiert sind, je schlechter der Verantwortliche die Grundsätze einhält.[216] Ferner ist die allfällige Unrechtmässigkeit einer für die fragliche Verarbeitung zwingend vorausgesetzten, vorangehenden Verarbeitung zu beachten.[217] Aus systematischer Sicht ist zudem zu berücksichtigen, wie die DSGVO die fragliche Verarbeitung im Übrigen adressiert. Privilegiert die DSGVO Verarbeitungen wie beispielsweise jene zur Geltendmachung von Ansprüchen,[218] ist diese generelle Wertung zugunsten der Verarbeitung zu beachten. Stuft die DSGVO demgegenüber eine Verarbeitung als (potenziell) besonders riskant ein, etwa indem sie dafür eine Datenschutz-Folgenabschätzung verlangt (vgl. Art. 35 Abs. 3 DSGVO), spricht dies gegen die Verarbeitung.[219] Wo die DSGVO die Verarbeitung besonderer Kategorien personenbezogener Daten erlaubt (Art. 9 Abs. 2 DSGVO), lässt sich argumentieren, dass eine Verarbeitung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO erst recht zulässig sein muss.[220]

Beim Profiling im Besonderen

Besondere, zusätzlich zu berücksichtigende Kriterien für die Interessenabwägung beim Profiling postulierte die Artikel‑29‑Datenschutzgruppe.[221] Analoge Kriterien lassen sich im schweizerischen Recht zur Beurteilung heranziehen, ob ein Profiling für die betroffene Person zumutbar und (insofern) verhältnismässig ist.[222] Die folgenden Ausführungen fokussieren daher auf die Besonderheiten unter der DSGVO:

Je detaillierter das Profil, also der Output des Profilings,[223] ist, desto heikler ist das Profiling. Neben der Granularität ist auch entscheidend, wie persönlichkeitsrelevant die erschlossenen Informationen sind.[224] Die Generierung von besonderen Kategorien personenbezogener Daten stellt eine Verarbeitung ebensolcher Daten dar,[225] weshalb sie sich nicht (allein) auf ein berechtigtes Interesse stützen lässt (vgl. Art. 9 DSGVO).[226] Bei anderen besonders persönlichkeitsrelevanten Daten wie etwa solchen aus der Intimsphäre, z.B. eine (junge) Schwangerschaft,[227] wird ein berechtigtes Interesse nur schwer als Rechtsgrundlage dienen können.[228]

Ein weiterer Faktor ist der Umfang des Profils. Ein isolierter Lebensbereich oder sogar ein einzelner persönlicher Aspekt ist ungleich weniger problematisch als ein umfangreiches Bild der betroffenen Person.[229] Mit dem Umfang steigt die Aussagekraft und intensiviert sich dadurch auch der Eingriff in die Interessen der betroffenen Person.[230] Generiert der Verantwortliche mit dem Profiling ein «Persönlichkeitsprofil», geht die Lehre von einem überwiegenden Interesse der betroffenen Person aus.[231] Der EuGH scheint eine ähnliche, etwas grosszügigere Ansicht zu vertreten.[232] Für den nicht legaldefinierten Begriff des Persönlichkeitsprofils[233] findet sich ein Vorschlag in der Lehre, der sowohl den Umfang als auch die Detailliertheit bzw. Sensibilität des Profils berücksichtigt und nicht zuletzt auf den Wertungen von Art. 9 DSGVO über die besonderen Kategorien personenbezogener Daten gründet:[234] Als Persönlichkeitsprofil qualifiziere ein Profil, wenn die darin enthaltenen Output-Daten eine Bewertung von wesentlichen Merkmalen der Persönlichkeit einer natürlichen Person, also insbesondere eine Analyse oder Vorhersage des Charakters im Ganzen, einzelner wesentlicher Charaktereigenschaften, emotionaler Stimmungen, der Gesundheit, des Sexuallebens, der sexuellen Orientierung oder gleichwertiger besonders persönlichkeitsrelevanter Umstände darstellen würden.

Ferner sind allfällige «Garantien» (besser: Massnahmen) zur Gewährleistung von fairem, nichtdiskriminierendem und sachlich richtigem Profiling zu berücksichtigen, wie dies in EG 71 Satz 6 DSGVO anklingt.[235] Als Massnahme sind dabei geeignete mathematische oder statistische Verfahren hervorzuheben, die bei der Modellentwicklung einzusetzen sind.[236] Nach einer Lehrmeinung kann sich ein Profiling sogar nur auf ein berechtigtes Interesse stützen, wenn solche Verfahren zum Einsatz kamen.[237] Diese Haltung dürfte zu apodiktisch sein, nachdem die DSGVO gerade keine generelle Pflicht vorsieht, geeignete mathematische oder statistische Verfahren für das Profiling zu verwenden.[238]

Zudem erwähnt die Artikel‑29‑Datenschutzgruppe die Folgen des Profilings als besonderes Kriterium, das bei der Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO zu berücksichtigen sei. Die über die Verarbeitung hinausgehenden Auswirkungen für die betroffene Person sind allerdings nicht nur beim Profiling, sondern bei jeder Verarbeitung mitabzuwägen.[239]

Ein weiteres, in jede Interessenabwägung einzubeziehendes Kriterium stellen die Art und der Umfang der verarbeiteten Daten dar.[240] Dabei geht es bei einem Profiling wie der Berechnung des Kreditscores primär um dessen Input: Je umfassender, aussagekräftiger und sensibler die verwendeten Daten sind, desto gewichtiger muss das berechtigte Interesse am Profiling sein. Besonderheiten beim Profiling sind auch in Bezug auf das Kriterium der vernünftigen Erwartungen der betroffenen Personen zu beachten. Verwendet der Verantwortliche als Input Daten aus einem Kontext, um einen Output für einen übereinstimmenden oder ähnlichen Kontext zu generieren, wird die betroffene Person damit rechnen müssen, was für das Profiling spricht.[241] Umgekehrt ist zuungunsten des Profilings in der Interessenabwägung zu berücksichtigen, wenn der Input keinen nachvollziehbaren Zusammenhang mit dem Output hat, also aus einem anderen Kontext stammt.[242]

Bei Kreditwürdigkeitsprüfungen im Besonderen

Aufgrund des Verbotsprinzips mit Erlaubnisvorbehalt der DSGVO muss eine Auskunftei für jede ihrer Datenverarbeitungen über eine Rechtsgrundlage verfügen (Art. 6 Abs. 1 DSGVO),[243] also insbesondere für ihre Erhebungen, Speicherungen, Bekanntgaben etc. Diese Verarbeitungen stützt sie üblicherweise (ebenfalls) auf das berechtigte Interesse i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO.[244] Dem Fokus der Untersuchung entsprechend ist im Folgenden die Berechnung des Kreditscores als Profiling an den Voraussetzungen dieser Rechtsgrundlage zu messen.

Berechtigtes Interesse

Kreditwürdigkeitsprüfungen erlauben Kreditgeberinnen, kreditorische Risiken (besser) einschätzen zu können und damit Ausfälle erheblich zu reduzieren sowie der adversen Selektion vorzubeugen. Diese Interessen an der Kreditwürdigkeitsprüfung wiegen umso schwerer, je grösser der zu beurteilende Kredit und je länger gegebenenfalls dessen Laufzeit ist.[245] Eine fehlende Sicherheit und eine erfahrungsgemäss hohe Ausfallwahrscheinlichkeit des fraglichen Kredits verstärken sie ebenfalls. Insgesamt ist es für Kreditgeberinnen betriebswirtschaftlich unabdingbar, die Kreditwürdigkeit kreditinteressierter Personen zu prüfen.[246] Diesen Interessen, die aus Sicht der Auskunftei Interessen Dritter darstellen, dienen die Verarbeitungen, die eine Auskunftei bei einer Kreditwürdigkeitsprüfung vornimmt. Vorausgesetzt ist dafür allerdings, dass die Kreditgeberin, also die Kundin der Auskunftei, tatsächlich vor der Entscheidung steht, gegenüber der kreditinteressierten Person ein neues kreditorisches Risiko einzugehen oder ein bestehendes zu vergrössern.[247] Neben diese Interessen tritt das eigene wirtschaftliche Interesse der Auskunftei, ihrem Geschäftsmodell folgend, Auskünfte gegen Entgelt anzubieten.[248] Die Interessen der Auskunftei als Verantwortliche und der Kreditgeberin als Dritte sind kumulativ in die später vorzunehmende Abwägung einzubeziehen.[249]

Nicht unmittelbar als berechtigte Interessen zugunsten der Verarbeitungen zu berücksichtigen sind die daran bestehenden Interessen der betroffenen Person und jene der Öffentlichkeit.[250] Die öffentlichen Interessen an Kreditwürdigkeitsprüfungen von Auskunfteien, insbesondere jenes am reibungslosen Funktionieren des Kreditsystems und an der Stabilität des Finanzmarktsystems, verleihen dem Interesse an der Datenverarbeitung zusätzliches Gewicht.[251] Das Interesse der betroffenen Person am Schutz vor Überschuldung und am besseren Zugang zu Krediten ist bei der Abwägung zu berücksichtigen, indem es die gegen die Verarbeitung sprechenden Interessen schmälert.[252]

Die genannten Interessen an der Kreditwürdigkeitsprüfung stehen nicht nur im Einklang mit der Rechtsordnung und sind daher berechtigte Interessen i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO;[253] sie werden teilweise unionsrechtlich sogar ausdrücklich anerkannt:[254] So verpflichtet RL (EU) 2023/2225 die Kreditgeberin, vor Abschluss eines Kreditvertrags die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen zu bewerten, erforderlichenfalls auch anhand von Auskünften aus öffentlichen und privaten Datenbanken.[255] Zudem muss die Kreditgeberin bei Verträgen i.S.v. RL 2014/17/ЕU betreffend Wohnimmobilienkredite eine eingehende Prüfung der Kreditwürdigkeit des Verbrauchers vornehmen; die Abfrage einer Kreditdatenbanken stellt gemäss der Richtlinie ein «nützliches Element» dieser Prüfung dar.[256] Damit wollen die beiden Richtlinien – so der EuGH – nicht nur die kreditinteressierte Person schützen, sondern auch das reibungslose Funktionieren des gesamten Kreditsystems gewährleisten.[257]

Im Übrigen sind die Interessen der Kreditgeberin, kreditorische Risiken einschätzen und Ausfallrisiken beschränken zu können sowie insgesamt betriebswirtschaftlich zu agieren,[258] vom unionsrechtlichen Grundrecht der unternehmerischen Freiheit (Art. 16 GRCh) gedeckt.[259] Dasselbe gilt für das Interesse der Auskunftei, Kreditauskünfte geschäftsmässig anzubieten.[260] Überdies dürfte das Interesse der Kreditgeberin, sich vor Ausfällen zu schützen, auch in den Schutzbereich der Eigentumsfreiheit fallen.[261]

Erforderlichkeit

Nachdem die Voraussetzung der Erforderlichkeit sich mit dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) überschneidet und gemäss EuGH gemeinsam mit dessen Vorgaben geprüft werden sollte,[262] sind die obigen Ausführungen zur Verhältnismässigkeit, insbesondere jener in materieller Hinsicht betreffend den Kreis der Daten, hier mitzudenken.[263] Verwendet eine Auskunftei für die Berechnung des Kreditscores Daten, die sie für die Kreditwürdigkeitsprüfung nicht oder nicht mehr verarbeiten darf, so verstösst sie nicht nur gegen den Grundsatz der Datenminimierung bzw. Speicherbegrenzung, sondern wird es dem betreffenden Profiling (in diesem Umfang) mangels Erforderlichkeit auch an einem berechtigten Interesse i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO fehlen.

Neben den Daten muss auch das Profiling als Datenverarbeitung erforderlich sein. Im Zusammenhang mit dem Kreditscoring der SCHUFA äusserte sich dazu kürzlich ein Generalanwalt des EuGH. Für die Erforderlichkeit genüge nicht, dass die Verarbeitung für den Verantwortlichen lediglich von Nutzen sei; vielmehr dürfe es auch keine den Schutz personenbezogener Daten weniger beeinträchtigenden alternativen Lösungen geben.[264] Dass die Berechnung des Kreditscores den vorausgesetzten Nutzen für die Kreditwürdigkeitsbeurteilung erzeugt, stellte der zuständige Generalanwalt (zu Recht) nicht weiter in Frage. Auch wenn der Kreditscore als Aussage über die Ausfallwahrscheinlichkeit[265] zwangsläufig eine Ungenauigkeit und damit eine Fehlerquote aufweist, führt dies – wie unter dem DSG[266] – nicht dazu, dass dessen Berechnung ungeeignet und mithin nicht erforderlich ist. Andernfalls käme nämlich bei all jenen häufigen Fällen des Profilings, die eine Wahrscheinlichkeitsaussage generieren, nur die Einwilligung als Rechtsgrundlage in Frage, da sie (zumindest vom Wortlaut her) nicht die Erforderlichkeit voraussetzt (vgl. Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO). Eine solche Haltung wird denn auch soweit ersichtlich weder von der Lehre noch der Praxis vertreten. Obwohl die Eignung grosszügig anzunehmen ist,[267] wird eine hohe Fehlerquote allerdings dazu führen, dass das berechtigte Interesse nicht als Rechtsgrundlage dienen kann. Bei einem entsprechend geringen Nutzen des fraglichen Profilings dürfte die Interessenabwägung zugunsten der betroffenen Person ausfallen; in Ausnahmefällen dürfte sogar mangels Eignung die Erforderlichkeit zu verneinen sein.[268]

Hinsichtlich der alternativen Lösungen hielt derselbe Generalanwalt fest, dass ihm keine Informationen vorliegen würden, die darauf hindeuten würden, dass es mögliche Alternativen gebe; daher sei ein gewisser Handlungsspielraum bei der Wahl der geeigneten Massnahmen zur Erreichung des angestrebten Ziels anzuerkennen.[269] Demnach liegt für den Generalanwalt keine Alternative auf der Hand, welche die Erforderlichkeit in Frage stellen könnte. Es trifft denn auch zu, dass in aller Regel kein milderes, aber ebenso wirksames und zumutbares Mittel besteht, das sich anstelle der Berechnung des Kreditscores für die Kreditwürdigkeitsprüfung einsetzen liesse. Dies zeigt auch eine nähere Betrachtung möglicher Alternativen, konkret der manuellen statt automatisierten Beurteilung der Kreditwürdigkeit (durch die Auskunftei) und der Beurteilung durch die Kreditgeberin gestützt auf Angaben, die ihr bereits vorliegen, sie in öffentlichen Quellen beschafft und/oder sie von der kreditinteressierten Person erhält. Nachdem die Alternativen im Wesentlichen gleich wie unter dem Blickwinkel der Erforderlichkeit nach schweizerischem Recht zu beurteilen sind, lässt sich diesbezüglich auf die Ausführungen zum DSG verweisen.[270]

Interessenabwägung

Eigenschaften der Verarbeitung

Art und Umfang des Inputs des Profilings können variieren. Üblicherweise beschränken sich die schweizerischen Auskunfteien bei der Berechnung des Kreditscores allerdings auf ausgewählte traditionelle Bonitätsdaten und verzichten auf die Verarbeitung besonderer Kategorien personenbezogener Daten,[271] die sich ohnehin nicht auf ein berechtigtes Interesse stützen lässt.[272] Daten, die bei der Kreditwürdigkeitsbeurteilung als negativer Faktor dienen, bezeichnete der EuGH als «sensible Informationen über das Privatleben», schloss aber ein berechtigtes Interesse als Rechtsgrundlage ihrer Verarbeitung nicht aus. Vielmehr stufte er deren Verarbeitung als schweren Eingriff in die Rechte auf Schutz personenbezogener Daten und auf Achtung des Privatlebens (Art. 7 f. GRCh) ein.[273] Das Profiling auf der Grundlage solcher Daten wird demnach ein berechtigtes Interesse mit einigem Gewicht voraussetzen.

Die Detailliertheit des Profils lässt sich abschliessend auch nur im Einzelfall beurteilen, da der Kreditscore die kreditinteressierte Person je nach Ausgestaltung – etwa als nummerischer Wert auf einer Punkteskala von 1 bis 600 oder als Ampelfarbe – unterschiedlich granular einordnet. Der Umfang des Profils beschränkt sich auf einen einzelnen, nämlich den wirtschaftlichen Lebensbereich, weshalb die Interessen der betroffenen Person im Vergleich zu umfassenden Profilen weniger stark beeinträchtigt werden.[274] Mit einer Kreditwürdigkeitsbeurteilung bringt das Kreditscoring auch keinen besonders persönlichkeitsrelevanten Output hervor, bei dem (nach einer Lehrmeinung) grundsätzlich von einem überwiegenden Interesse der betroffenen Person auszugehen wäre.[275] Der Kreditscore gehört als Datum über die Finanzen oder die wirtschaftliche Lage nicht zu den besonderen Kategorien personenbezogener Daten,[276] und ist (trotz der erwähnten Äusserung des EuGH) hinsichtlich der Sensibilität kaum mit Daten über die emotionale Stimmung, die Gesundheit, das Sexualleben und die sexuelle Orientierung zu vergleichen.

Beim Profiling generell[277] und bei der Berechnung des Kreditscores im Besonderen[278] steht bei den zu berücksichtigenden Garantien zur Gewährleistung von fairem, nichtdiskriminierendem und sachlich richtigem Profiling im Vordergrund, dass das Modell mit einem geeigneten mathematischen oder statistischen Verfahren entwickelt wurde. Nach hier vertretener Ansicht stellt der Einsatz solcher Verfahren keine zwingende Voraussetzung dar, damit Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO als Rechtsgrundlage dienen kann.[279] Nachdem die Auskunfteien aufgrund des Richtigkeitsgrundsatzes indes kaum umhinkommen werden, solche Verfahren bei der Modellentwicklung einzusetzen,[280] ist ein Verzicht darauf regelmässig zuungunsten der Berechnung des Kreditscores in der Abwägung zu berücksichtigen.

Folgen der Verarbeitung

Die (potenziellen) Folgen der Berechnung des Kreditscores für die betroffene Person sind unabhängig vom anwendbaren Datenschutzrecht grundsätzlich gleich. Aus diesem Grund lässt sich im Wesentlichen auf die Ausführungen im Zusammenhang mit der Zumutbarkeit der Berechnung des Kreditscores nach DSG verweisen.[281] Als regelmässige Folge ist hier besonders zu erwähnen, dass der betroffenen Person der Zugang zu Dauerschuld- und (anderen) Kreditgeschäften wie Darlehensverträgen oder dem Kauf auf Rechnung – etwa aufgrund zusätzlicher Prüfungen oder schlechterer Konditionen – erschwert oder sogar versagt wird.

Diese Folge vermag, wie der EuGH kürzlich hervorgehoben hat, «die Ausübung ihrer Freiheiten [also jener der betroffenen Person] erheblich zu erschweren, insbesondere wenn es darum geht, Grundbedürfnisse zu decken».[282] Damit dürfte der EuGH namentlich an den verweigerten Abschluss eines Miet- oder Arbeitsvertrags gedacht haben.[283] Während die allfällige Verweigerung, einen Mietvertrag abzuschliessen, in die Abwägung einzubeziehen ist, erscheint dies bei einem verweigerten Arbeitsvertrag falsch. Ausnahmen vorbehalten, in denen die Kreditwürdigkeit etwa aufgrund der mit der Arbeitsstelle verbundenen finanziellen Befugnisse ein Rekrutierungskriterium sein kann, ist der Bezug einer Kreditauskunft über Bewerbende (zumindest) datenschutzrechtlich unzulässig. Auswirkungen unzulässiger Verwendungen des Kreditscores dürfen nicht zuungunsten der Auskunftei berücksichtigt werden, jedenfalls soweit sie die Kreditgeberinnen darauf verpflichtet,[284] Bonitätsauskünfte nur bei einem Interesse im Einzelfall, also einem kreditorischen Risiko, abzufragen.[285]

Weitere negative Auswirkungen, etwa auf die Reputation oder die Gesundheit, lassen sich nicht ausschliessen und können potenziell schwer wiegen. Deren Eintrittswahrscheinlichkeit als Folge des Kreditscorings dürfte indes gemeinhin als gering bis sehr gering einzuschätzen sein,[286] sodass diesen Auswirkungen in der Interessenabwägung kein grosses Gewicht beizumessen ist. Auf der anderen Seite ist zu berücksichtigen, dass die betroffene Person sich vielfach dem Kreditscoring und den damit verbundenen potenziellen Folgen entziehen kann und dass das Kreditscoring potenziell auch positive Auswirkungen auf die betroffene Person hat.[287]

Vernünftige Erwartungen der betroffenen Person

Gelangt eine kreditinteressierte Person durch eigene Schritte in eine Situation, welche die Kreditgeberin vor die Entscheidung stellt, ihr gegenüber ein neues kreditorisches Risiko einzugehen oder ein bestehendes zu vergrössern,[288] liegt es angesichts der Interessenlage[289] objektiv betrachtet nahe, dass die Kreditwürdigkeit der kreditinteressierten Person geprüft und dafür Informationen über sie verwendet werden. Dies trifft beispielsweise zu, wenn die kreditinteressierte Person ein Darlehen beantragt, auf Rechnung kaufen möchte oder sich auf eine Mietwohnung bewirbt. Ebenfalls liegt eine solche Situation vor, wenn eine Gläubigerin über (weitere) Schritte zur Geltendmachung und Durchsetzung ihrer Forderung zu entscheiden hat, nachdem die «kreditinteressierte Person» hier als Schuldnerin die Forderung (zumindest teilweise) bestritten hat. In solchen Fällen stehen die vernünftigen Erwartungen der kreditinteressierten Person einer Bonitätsprüfung wie der Berechnung eines Kreditscores und den dafür erforderlichen Datenverarbeitungen nicht entgegen.[290]

In der hier interessierenden Konstellation nimmt nicht die das kreditorische Risiko (potenziell) tragende Kreditgeberin, die mit der kreditinteressierten, betroffenen Person in einer vielfach vertraglichen oder vorvertraglichen Beziehung steht, die Kreditwürdigkeitsprüfung vor. Vielmehr erfolgt diese durch die Auskunftei, zu der die kreditinteressierte Person (üblicherweise) keine geschäftliche oder vertragliche Beziehung pflegt. Dennoch wird die Person mit der Berechnung des Kreditscores durch die Auskunftei im Regelfall rechnen müssen. Zunächst würde es grundsätzlich falsch erscheinen, an sich naheliegende Datenverarbeitungen als unerwartet zu betrachten, nur weil sie statt von der Kreditgeberin selbst zu deren Gunsten von der Auskunftei vorgenommen werden. Weiter treffen nicht nur die Kreditgeberin, sondern auch die Auskunftei als Verantwortliche Transparenzvorgaben aus dem entsprechenden Grundsatz (Art. 5 Abs. 1 lit. a DSGVO)[291] und der Informationspflicht (Art. 13 f. DSGVO). Bei Erfüllung dieser Vorgaben ist für die kreditinteressierte Person zumindest erkennbar, dass die Auskunftei ihre Kreditwürdigkeit beurteilt und allenfalls auch, dass dafür ein Profiling erfolgt.[292] Ausserdem entspricht es in verschiedenen Branchen, z.B. im Online-Handel, einer etablierten Praxis, automatisierte Kreditwürdigkeitsbeurteilungen von Dritten wie einer Auskunftei einzuholen.[293]

Die vernünftigen Erwartungen decken indes das Profiling zur Kreditwürdigkeitsprüfung durch eine Auskunftei nicht ungeachtet der verwendeten Daten. Vielmehr müssen sich dafür die als Input verwendeten Daten aus objektivierter Betroffenensicht ebenfalls dem Kontext der Kreditwürdigkeit, der wirtschaftlichen Lage oder der Zuverlässigkeit (bei der Schuldentilgung) zuordnen lassen, auf deren Erschliessung als Output sich das Kreditscoring richtet.[294] So werden betroffene Personen z.B. die Verwendung von Zahlungserfahrungen, vergangenen oder bestehenden Krediten sowie von Betreibungsvorgängen für die Berechnung eines Kreditscores vernünftigerweise erwarten,[295] nicht jedoch (ohne Weiteres) die Berücksichtigung der Wohngegend, des Zivilstands oder dessen Änderung.[296] Die Abweichung von den vernünftigen Erwartungen schliesst ein berechtigtes Interesse als Grundlage für die Berechnung eines Kreditscores, der Daten aus einem anderen Kontext einbezieht, nicht generell aus. Allerdings hat diesfalls das gegen das Profiling sprechende Interesse besonderes Gewicht.

Auch hinsichtlich kontextfremder Daten lassen sich die vernünftigen Erwartungen der betroffenen Personen beeinflussen, wenn die Auskunftei entsprechend informiert.[297] Eine Information etwa in einer Datenschutzerklärung führt aber nicht zwingend dazu, dass die betroffene Person sämtliche der darin beschriebenen Datenverarbeitungen erwarten muss. Liegt der Kontext besonders fern, wird die Datenschutzerklärung die vernünftigen Erwartungen nicht zu ändern vermögen. Dies wäre z.B. bei der Verwendung des «digital footprint» für den Kreditscore der Fall, also etwa von Informationen über den Gerätetyp, das Betriebssystem oder den E-Mail-Provider, welche die betroffene Person verwendet.[298]

Systematik der DSGVO

Grundsätze der Verarbeitung

Aus systematischer Sicht sind zunächst allfällige Missachtungen der Grundsätze von Art. 5 Abs. 1 DSGVO zuungunsten der Berechnung des Kreditscores in die Interessenabwägung einzubeziehen. Dies bedeutet indes nicht, dass bei einer beliebigen Verletzung eines Grundsatzes die Interessen der betroffenen Person überwiegen; informiert die Auskunftei z.B. in der Datenschutzerklärung nicht ausreichend konkret über die für die Kreditwürdigkeitsprüfung verwendeten Datenkategorien,[299] fällt dies bei der Interessenabwägung nur wenig ins Gewicht.

Besondere Bedeutung für die Interessenabwägung hat eine allfällige Missachtung des Grundsatzes der Datenrichtigkeit.[300] Nach einer Lehrmeinung kommt ein die Verarbeitung tragendes berechtigtes Interesse sogar nur in Frage, wenn die Auskunftei (zumindest in einem Mindestmass) die Richtigkeit und Vollständigkeit ihrer Datenbestände gewährleisten kann, ohne allerdings zu konkretisieren, wann dies zutrifft.[301] Da nach hier vertretener Ansicht der Grundsatz als eine Pflicht zu angemessenen Massnahmen zugunsten der Datenrichtigkeit zu verstehen ist,[302] kann nur massgebend sein, ob die Auskunftei angesichts ihrer charakteristischen Geschäftstätigkeit und insbesondere der fraglichen Kreditscore-Berechnung ausreichende Massnahmen getroffen hat. Datenbestände, deren Richtigkeit und Vollständigkeit in Frage zu stellen sind, schliessen ein die Verarbeitung tragendes berechtigtes Interesse an sich nicht aus, sind aber ein Indiz für unzureichende Massnahmen. Fehlen tatsächlich angemessene Massnahmen, spricht ein gewichtiges Interesse gegen die Berechnung des Kreditscores. Ebenso ist gegen ein solches Profiling – wie bereits erwähnt[303] – zu berücksichtigen, wenn die Auskunftei kein geeignetes mathematisches oder statistisches Verfahren zur Entwicklung ihres Kreditscoring-Modells eingesetzt hat.

In Bezug auf die Richtigkeit (und die Verhältnismässigkeit) ist zudem zu beachten, dass mit Blick auf die Kreditwürdigkeitsprüfung unrichtige Daten für diesen Verarbeitungszweck auch nicht geeignet sind.[304] Ebenfalls ungeeignet sind Daten, deren Relevanz für die Kreditwürdigkeitsprüfung sich weder statistisch nachweisen lässt noch aus der allgemeinen Lebenserfahrung ergibt.[305] Daraus folgt, dass sich die Verwendung solcher Daten für die Berechnung des Kreditscores ohnehin nicht auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO stützen lässt. Denn eignen sich Daten nicht für die Kreditwürdigkeitsprüfung, ist deren Verarbeitung schon nicht erforderlich.[306] Zudem würde diesfalls das Interesse der betroffenen Person jenes der Auskunftei und insbesondere jenes der Kreditgeberin an der Verarbeitung überwiegen.[307]

Einstufung als (potenziell) besonders riskante Verarbeitung?

In systematischer Hinsicht fragt sich ausserdem, ob für die Berechnung des Kreditscores nach Art. 35 Abs. 3 DSGVO zwingend eine Datenschutz-Folgenabschätzung vorzunehmen ist und damit die DSGVO die Berechnung des Kreditscores als (potenziell) besonders riskant einstuft. Gegebenenfalls wäre dies zuungunsten der Verarbeitung in die Interessenabwägung einzubeziehen.[308] Lit. a der genannten Bestimmung verlangt eine Datenschutz-Folgenabschätzung bei einer «systematische[n] und umfassende[n] Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen». Der überwiegende Teil der Lehre betrachtet das Kreditscoring (generell) als eine solche Verarbeitung.[309]

Wie der Wortlaut allerdings deutlich macht, genügt nicht jede Bewertung persönlicher Aspekte; vielmehr muss die Bewertung umfassend sein, also wohl eine Vielzahl persönlicher Aspekte der betroffenen Person oder zumindest mehrere solche Aspekte adressieren, die über einen einzelnen Lebensbereich hinausgehen.[310] Dies trifft üblicherweise auf die Berechnung des Kreditscores, der nur die Kreditwürdigkeit sowie – je nach Ansicht – die wirtschaftliche Lage und die Zuverlässigkeit (bei der Schuldentilgung) bewertet, nicht zu.[311] Hinzu kommt, dass diese Bewertung als Grundlage für eine Entscheidung dienen muss, die ausreichend relevante Auswirkungen auf die betroffene Person hat. Dieses Erfordernis deckt sich seinem Wortlaut nach mit einer Voraussetzung der automatisierten Entscheidung i.S.v. Art. 22 Abs. 1 DSGVO und dürfte entsprechend gleich auszulegen sein.[312] Wie zu zeigen sein wird,[313] erfüllen Kreditentscheidungen diese Voraussetzung nicht unbedingt. Vor diesem Hintergrund ist für die Berechnung des Kreditscores nicht zwingend eine Datenschutz-Folgenabschätzung durchzuführen, und lässt sich daher aus Art. 35 Abs. 3 DSGVO keine Wertung zuungunsten dieses Profilings entnehmen.

Zwischenfazit

Unter den Rechtsgrundlagen der DSGVO, die letztlich auf ein (schutzwürdiges) Interesse abstellen, fällt für eine Auskunftei bei ihrer charakteristischen Tätigkeit lediglich Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO in Betracht. Dafür muss ein berechtigtes Interesse des Verantwortlichen oder eines Dritten an der Datenverarbeitung vorliegen, die Datenverarbeitung für die Wahrung dieses Interesses erforderlich sein und dürfen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht gewichtiger sein als das berechtigte Interesse an der Datenverarbeitung.

An der ein Profiling darstellenden Berechnung des Kreditscores bestehen insbesondere das berechtigte Interesse der Kreditgeberin, kreditorische Risiken (besser) einschätzen und sich vor Ausfällen schützen zu können, sowie jenes der Auskunftei, ihrem Geschäftsmodell folgend, Auskünfte gegen Entgelt anzubieten. Diese Interessen stehen nicht nur im Einklang mit der Rechtsordnung, sondern sind sogar grundrechtlich geschützt. Die öffentlichen Interessen an der Kreditwürdigkeitsprüfung verleihen den berechtigten Interessen zusätzliches Gewicht, während das Interesse der betroffenen Person am Schutz vor Überschuldung ihre eigenen, gegen die Verarbeitung sprechenden Interessen schmälert. Die weitere Voraussetzung der Erforderlichkeit verlangt zunächst, dass sich die Auskunftei auf Daten beschränkt, deren Verwendung in materieller und zeitlicher Hinsicht verhältnismässig ist.[314] Ausserdem darf – wie dies bei der Berechnung des Kreditscores für die Kreditwürdigkeitsprüfung in aller Regel zutrifft – im Vergleich zum Profiling keine ebenso wirksame und zumutbare Alternative bestehen, die den Schutz personenbezogener Daten weniger beeinträchtigt.

Die sodann vorzunehmende Interessenabwägung lässt eine typisierte Betrachtung zu, ist aber grundsätzlich einzelfallabhängig. Während die Granularität des Kreditscores sehr unterschiedlich ausfallen kann, beschränken die Auskunfteien den Input üblicherweise auf ausgewählte traditionelle Bonitätsdaten und erschliessen einen Output, der mit der Kreditwürdigkeit nicht besonders persönlichkeitsrelevant ist und einen isolierten Lebensbereich betrifft. Zuungunsten der Verarbeitung spricht deren (potenzielle) Folge, dass ein schlechter Kreditscore der betroffenen Person den Zugang zu Kreditgeschäften erschwert oder verschliesst. Begibt sich eine kreditinteressierte Person in eine Situation, in der die Kreditgeberin über die Eingehung oder Vergrösserung eines kreditorischen Risikos ihr gegenüber entscheiden muss, hat erstere eine Kreditwürdigkeitsprüfung zu erwarten. Die vernünftigen Erwartungen werden auch eine zu diesem Zweck erfolgende Beurteilung einer Auskunftei (mittels Profiling) umfassen, zumal dies bei Erfüllung der Transparenzvorgaben der DSGVO für die betroffene Person zumindest erkennbar ist und häufig in der fraglichen Branche auch einer etablierten Praxis entspricht. Im Übrigen können die vernünftigen Erwartungen der betroffenen Person allerdings gegen die Berechnung des Kreditscores sprechen, wenn die dafür verwendeten Daten nicht aus dem Kontext der Kreditwürdigkeit, der wirtschaftlichen Lage oder der Zuverlässigkeit (bei der Schuldentilgung) stammen. Schliesslich ist zuungunsten der Verarbeitung zu berücksichtigen, ob und gegebenenfalls inwiefern die Auskunftei dabei die (anderen) Grundsätze i.S.v. Art. 5 DSVGO, insbesondere die Datenrichtigkeit, missachtet. Im Rahmen der üblichen Praxis schweizerischer Auskunfteien dürfte die Interessenabwägung bei der Berechnung des Kreditscores zugunsten der Verarbeitung ausfallen.

Vgl. Botschaft Totalrevision DSG, S. 7073; PC LPD-Genecand, Art. 31 N 28; BSK DSG-Rampini/Harasgama, Art. 31 N 22. ↵

Zum DSG BSK DSG-Rampini/Harasgama, Art. 31 N 26; zum aDSG BGE 142 III 263 E. 2.2.1; BGE 138 II 346 E. 9.2. ↵

Zum DSG vgl. George, S. 228; zum aDSG HK aDSG-Rosenthal, Art. 13 N 13. ↵

Zum DSG Métille, in: Epiney et al. 2022, S. 43; zum aDSG BGE 142 III 263 E. 2.2.1; BGE 138 II 346 E. 10.3; BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.1. ↵

Zum DSG vgl. BSK DSG-Rampini/Harasgama, Art. 31 N 24, wonach eine Bearbeitung für kriminelle Zweck oder für auf Schädigung anderer gerichtete Tätigkeiten nicht schützenswert sei; zum aDSG ähnlich HK aDSG-Rosenthal, Art. 13 N 10. ↵

Zum DSG PC LPD-Genecand, Art. 31 N 24; vgl. auch SHK DSG-Pfaffinger, Art. 31 N 48, wonach wirtschaftliche Interessen mit Zurückhaltung in Betracht fallen würden; zum aDSG BGE 138 II 346 E. 10.3 i.f.; EDÖB, Digitec Galaxus, Rn. 142; vgl. auch BGE 136 II 508 E. 6.3.3; BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4.2.1; a.M. offenbar Cellina, Rn. 1050. ↵

Zum aDSG BGE 142 III 263 E. 2.2.1; BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.1; vgl. auch BGE 138 II 346 E. 10.6.1. ↵

Zum DSG PC LPD-Genecand, Art. 31 N 26; Métille, in: Epiney et al. 2022, S. 44; zum aDSG Meier, Rn. 1612. ↵

BVGE 2008/16 E. 5.2.3 f. Werden die öffentlichen Daten mit nicht öffentlich zugänglichen Daten wie etwa bei einem Kreditscoring verknüpft, entfällt dieses öffentliche Interesse; dies gilt ebenso, wenn der Zugang kostenpflichtig ist (BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4.2.2). ↵

Zum DSG vgl. SHK DSG-Pfaffinger, Art. 31 N 46; BSK DSG-Rampini/Harasgama, Art. 31 N 70; OFK DSG-Steiner/Laux, Art. 31 N 15 f.; zum aDSG BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4.2.1; vgl. auch BGE 138 II 346 E. 10.6.1. ↵

Zum DSG Métille, S. 38; Métille, in: Epiney et al. 2022, S. 44; zum ZGB vgl. BGE 136 III 410 E. 2.2.3. ↵

Vgl. dazu oben Teil 1, B.I.3. ↵

Zum DSG vgl. BSK DSG-Rampini/Harasgama, Art. 31 N 25; zum aDSG HK aDSG-Rosenthal, Art. 13 N 11. ↵

Zum DSG BSK DSG-Rampini/Harasgama, Art. 31 N 25; vgl. auch Botschaft Totalrevision DSG, S. 7073, wonach auf Seiten der betroffenen Person u.a. das Interesse an der Wahrung ihrer Verfügungsfreiheit über ihre Daten bestehe; zum aDSG HK aDSG-Rosenthal, Art. 13 N 11. ↵

Zum DSG vgl. BSK DSG-Rampini/Harasgama, Art. 31 N 25; zum aDSG vgl. HK aDSG-​Rosenthal, Art. 13 N 14 f. ↵

Vgl. SHK DSG-Pfaffinger, Art. 31 N 48; BSK DSG-Rampini/Harasgama, Art. 31 N 25. ↵

Vgl. Art. 31 Abs. 2 lit. c Ziff. 1 und Abs. 2 lit. e Ziff. 2 DSG (Art und Umfang der bearbeiteten Daten), Art. 31 Abs. 2 lit. b, lit. c Ziff. 1–3, lit. d und f DSG (Art und Umfang der Bearbeitungen), Art. 31 Abs. 2 lit. a–f DSG (Zweck der Bearbeitung). Aus Art. 31 Abs. 2 lit. c Ziff. 4 DSG lässt sich womöglich ableiten, dass auch (ausserhalb von Kreditwürdigkeitsprüfungen) die Art der betroffenen Personen, etwa bei besonderer Schutzbedürftigkeit, in die Interessenabwägung einzubeziehen ist. ↵

Zum DSG PC LPD-Genecand, Art. 31 N 28; zum aDSG HK aDSG-Rosenthal, Art. 13 N 11. ↵

Zum DSG BSK DSG-Rampini/Harasgama, Art. 31 N 26; vgl. auch SHK DSG-Pfaffinger, Art. 31 N 49; zum aDSG HK aDSG-Rosenthal, Art. 13 N 13. ↵

Zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.1; vgl. auch BGE 138 II 346 E. 10.3. ↵

Zum DSG vgl. George, S. 245; zum aDSG HK aDSG-Rosenthal, Art. 13 N 16; vgl. auch BJ, Auslegungshilfe, S. 2; a.M. wohl Aebi-Müller, Rn. 272, in Bezug auf Art. 28 ZGB. ↵

BGE 127 III 281 E. 4a; BGE 122 III 449 E. 3c; vgl. auch BGE 126 III 305 E. 4a. ↵

Konkret hielt das Gericht fest, dass mit Einwilligung der betroffenen Person im Einzelfall eine Auskunft über das Einkommen, Betreibungen etc. eingeholt werden könne, was zur Befriedigung des Informationsinteresses des Publikums bzw. des öffentlichen Interesses des Gläubigerschutzes ausreiche. Dazu bedürfe es keiner Erstellung eines Persönlichkeitsprofils. Zudem belege die vom Persönlichkeitsprofil umfasste Wohn- und Lebenssituation der betroffenen Person deren Kreditwürdigkeit zumindest nicht zuverlässig, weshalb an den diesbezüglichen Informationen ohnehin kein solches Interesse bestehe (BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.2). ↵

Botschaft Totalrevision DSG, S. 7073; Métille, S. 37; BSK DSG-Rampini/Harasgama, Art. 31 N 28. ↵

Botschaft Totalrevision DSG, S. 7074; BSK DSG-Rampini/Harasgama, Art. 31 N 26. In einem kürzlich ergangenen Entscheid hat das Bundesgericht von den gegebenen Voraussetzungen von Art. 31 Abs. 2 lit. a DSG direkt auf ein überwiegendes Interesse geschlossen, ohne eine Abwägung vorzunehmen (BGer, 4A_105/2024 vom 19. August 2024, E. 3.3.2). Dies erscheint nach dem Gesagten als voreilig. ↵

Zum DSG PC LPD-Genecand, Art. 31 N 31. Noch viel weniger liegt sodann eine Fiktion der Rechtfertigung vor (vgl. Botschaft Totalrevision DSG, S. 7073, wonach es sich bei Art. 31 Abs. 2 DSG «nicht um absolute Rechtfertigungsgründe handelt»; SHK DSG-Pfaffinger, Art. 31 N 48; BSK DSG-Rampini/Harasgama, Art. 31 N 28). ↵

Ergebnisse Vernehmlassungsverfahren VE-DSG, S. 39. ↵

Zum DSG vgl. Métille, S. 37; zum aDSG SHK aDSG-Wermelinger, Art. 13 N 18; vgl. auch Meier, Rn. 1611 und 1632; HK aDSG-Rosenthal, Art. 13 N 34, wonach (heute) Art. 31 Abs. 2 DSG in seiner Wirkung einer vermutungsweisen Rechtfertigung sehr nahe komme. ↵

Vgl. Art. 24 Abs. 2 VE-DSG. Bemerkenswert ist in dieser Hinsicht, dass der bundesrätliche Entwurf des aDSG mit «kann insbesondere vorliegen» formuliert war, woraufhin das Parlament zur Verstärkung der in (heute) Art. 31 Abs. 2 DSG vorgesehenen Rechtfertigungsgründe die Formulierung einführte, die das geltende Recht noch immer verwendet (vgl. Amtl. Bull. SR 1990 S. 144 [Votum Danioth]). ↵

Ergebnisse Vernehmlassungsverfahren VE‑DSG, S. 38; Rosenthal, Jusletter 2017b, Rn. 21. ↵

Art. 17 Abs. 1 lit. b DSG sieht eine Ausnahme von den grundsätzlichen Vorgaben an Auslandsbekanntgaben (vgl. Art. 16 DSG) vor. Dafür muss die Auslandsbekanntgabe in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person (Ziff. 1) oder zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner im Interesse der betroffenen Person (Ziff. 2) stehen. ↵

Vgl. dazu unten Teil 4, E.I.3.1. ↵

Unter altem Recht war klar, dass der Verantwortliche (damals «Datenbearbeiter») Vertragspartner sein musste (vgl. Meier, Rn. 1638; HK aDSG-Rosenthal, Art. 13 N 42). ↵

Die Botschaft Totalrevision DSG, S. 7074, hält etwa fest, dass sie nur lit. c und e (von heute Art. 31 Abs. 2 DSG), «bei denen der Gesetzestext geändert wurde», kommentiert. Bemerkt sei auch, dass nach der Botschaft DSG 1988, S. 460, «die betroffene Person Vertragspartner des Bearbeiters» sein muss. ↵

SPK-NR vom 23./24. Mai 2019, S. 47. ↵

Gl.M. SHK DSG-Pfaffinger, Art. 31 N 55. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.a. ↵

Zum aDSG SHK aDSG-Wermelinger, Art. 13 N 23. ↵

Vgl. dazu oben Teil 3, B.II.2.1. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5. ↵

So SHK DSG-Pfaffinger, Art. 31 N 66. ↵

Sie verlangt, dass die Daten Dritten nur bekanntgegeben werden, wenn diese die Daten für den Abschluss oder die Abwicklung eines Vertrags mit der betroffenen Person benötigen. ↵

Botschaft Totalrevision DSG, S. 7074 f.; vgl. auch Bericht Wirtschaftsauskunfteien, S. 19, wonach der Gesetzgeber die Bestimmung hauptsächlich für Auskunfteien geschaffen habe. Auch die Botschaft DSG 1988, S. 461, erwähnte bereits Kreditauskunfteien – im Sinne eines (häufigen) Anwendungsbeispiels – besonders. ↵

Vgl. Amtl. Bull. NR 2020 S. 1598 (Votum Gredig); Amtl. Bull. SR 2020 S. 294 (Votum Fässler); SPK-NR vom 23./24. Mai 2019, S. 41 ff.; SPK-SR vom 18./19. November 2019, S. 29. Die Literatur hat oft ebenso die Auskunfteien vor Augen (zum DSG PC LPD-Genecand, Art. 31 N 56; Rosenthal, Jusletter 2017a, Rn. 30; Rosenthal, Jusletter 2017b, Rn. 20; zum aDSG BSK aDSG-Rampini, Art. 13 N 36). ↵

Zum DSG CR LPD-Boillat/Werly, Art. 31 N 35; BSK DSG-Rampini/Harasgama, Art. 31 N 33; zum aDSG Meier, Rn. 1643. ↵

Zum DSG vgl. CR LPD-Boillat/Werly, Art. 31 N 45; zum aDSG Meier, Rn. 1678; HK aDSG-Rosenthal, Art. 13 N 51; implizit Schweizerische Bankiervereinigung, S. 18, in Bezug auf Banken. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.2. ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.3. ↵

Zum DSG BSK DSG-Henseler, Art. 31 N 39; vgl. auch PC LPD-Genecand, Art. 31 N 56; zum aDSG vgl. EDÖB, Bonitäts- und Inkassounternehmen, Rn. 91. ↵

Zum DSG vgl. BSK DSG-Henseler, Art. 31 N 39; zum aDSG HK aDSG-Rosenthal, Art. 13 N 50; vgl. auch Schäfer, in: Epiney et al. 2011, S. 63. ↵

Vgl. dazu oben Teil 3, D.I.1.2. ↵

Zum DSG vgl. BSK DSG-Henseler, Art. 31 N 39; zum aDSG Schäfer, in: Epiney et al. 2011, S. 64; HK aDSG-Rosenthal, Art. 13 N 51; vgl. auch EDÖB, Mietercheck, Rn. 20. ↵

Vgl. BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5. ↵

Vgl. Botschaft Totalrevision DSG, S. 7074 f., wo auf den Entscheid des BVGer zu Moneyhouse (BVGer, A-4232/2015 vom 18. April 2017) und den Datenbestand bzw. die Datenbank deren Betreiberin verwiesen wird. ↵

Vgl. dazu oben Teil 3, D.I.1.2. ↵

Es sind hier ähnliche Überlegungen anzustellen wie bei der Erhebung und Speicherung von Daten auf Vorrat unter der DSGVO (vgl. dazu oben Teil 3, C.IV.2.2.a.bb). ↵

Vgl. dazu unten Teil 3, D.IV.1.2.c.bb.ii.3. ↵

Vgl. dazu oben Teil 3, B.III. ↵

Auch bei gegebenen Voraussetzungen von Art. 31 Abs. 2 lit. c DSG ist eine Interessenabwägung vorzunehmen (vgl. dazu oben Teil 3, D.IV.1.2.a und unten Teil 3, D.IV.1.2.c.cc.i). ↵

Zu den Dritten zählen auch Unternehmen, die zum selben Konzern wie der Verantwortliche gehören, wie sich auch in Abgrenzung zu Art. 31 Abs. 2 lit. b DSG ergibt, der ein Konzernprivileg ausdrücklich vorsieht (BSK DSG-Henseler, Art. 31 N 45). ↵

Zum DSG BSK DSG-Henseler, Art. 31 N 45; zum aDSG Botschaft DSG 1988, S. 461; EDÖB, Teledata, S. 29. ↵

Zum aDSG a.M. offenbar Cellina/Geissbühler, Jusletter 2015, Rn. 50 und 53, welche die Datenbeschaffung durch Auskunfteien bei Dritten, also bei nicht mit der betreffenden Auskunftei in einer (vertraglichen) Beziehung stehenden Verantwortlichen, und die Datenbeschaffung bei Kreditgeberinnen von (heute) Art. 31 Abs. 2 lit. c DSG ausschliessen. In ersterem Fall fehle es an einem (in Aussicht stehenden) Vertragsverhältnis zwischen der Auskunftei und der betroffenen Person. In letzterem Fall würden die Bekanntgabe und entsprechend auch die dazugehörige Beschaffung entgegen der Richtung erfolgen, welche die Bestimmung erfasse. Art. 31 Abs. 2 lit. c Ziff. 2 DSG beschränkt indes angesichts der in der gesamten Bestimmung angelegten Perspektive ausschliesslich die Bekanntgabe durch die Auskunftei bzw. den Verantwortlichen, der sich auf das besonders geregelte überwiegende Interesse beruft (zum aDSG vgl. Meier, Rn. 1683). Zudem stützt dies auch die Botschaft zum aDSG, wenn sie u.a. festhält, dass der Rechtfertigungsgrund nur anwendbar sei, wenn «die Kreditauskunft [also eine Datenbekanntgabe durch die Auskunftei] für den Abschluss oder die Abwicklung eines Vertrags tatsächlich benötigt wird» (Botschaft DSG 1988, S. 461). ↵

Unverzichtbar sind Angaben zur Kreditwürdigkeit für den Abschluss oder die Abwicklung eines Vertrags wohl nie (zum aDSG HK aDSG-Rosenthal, Art. 13 N 52; vgl. auch Meier, Rn. 1683). ↵

Vgl. dazu oben Teil 3, C.IV.2.2.b.aa. ↵

Im Gesetzgebungsverfahren des aDSG sprach sich der Ständerat für eine Änderung von (heute) Art. 31 Abs. 2 lit. c DSG aus, welche die Bekanntgaben von Daten erfasst hätte, «die [Dritte] für den Abschluss oder die Abwicklung eines Vertrags oder für die Einschätzung eines kommerziellen Risikos mit der betroffenen Person benötigen» (vgl. Amtl. Bull. SR 1990 S. 143 ff. [insb. Votum Danioth]). Der Nationalrat stellte sich jedoch mit Erfolg dagegen (vgl. Amtl. Bull. NR 1991 S. 1282 ff. [insb. Voten Nebiker und Koller]). ↵

Vgl. dazu oben Teil 3, C.IV.2.2.b.aa. ↵

Zum aDSG a.M. Peter, S. 192, der aber in Bezug auf (heute) Art. 31 Abs. 2 lit. a DSG einräumt, dass es (eigentlich) nicht auf das Vertragsverhältnis ankomme, sondern vielmehr auf die Gläubigerstellung (Peter, S. 184). ↵

Zum DSG SHK DSG-Pfaffinger, Art. 31 N 70; zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 9.1; vgl. auch EDÖB, Mietercheck, Rn. 21. ↵

Vgl. dazu oben Teil 3, C.VI.3.2.c. ↵

Zum aDSG EDÖB, Teledata, S. 29 f. und 50; Hofer, in: Passadelis et al., Rn. 16.43 ff.; vgl. auch HK aDSG-Rosenthal, Art. 13 N 53. ↵

Vgl. dazu oben Teil 3, C.VI.3.2.c. ↵

Vgl. dazu oben Teil 3, D.I.1.2. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 9.2 f. ↵

Zum aDSG a.M. wohl EDÖB, Mietercheck, Rn. 53, wonach eine Auskunftei bei blossen Stichproben das Risiko übernehme, dass die Bekanntgabe an ihre Kundinnen ohne Interesse erfolge, und gegebenenfalls eine «Datenschutzverletzung» vorliege. ↵

Vgl. dazu oben Teil 3, D.I.1.2. ↵

Die dazugehörige Datenbeschaffung der Kundin ist allerdings ebenfalls unverhältnismässig und dürfte sich kaum rechtfertigen lassen. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.bb.ii.1. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.bb.ii.1. ↵

Zum DSG BSK DSG-Henseler, Art. 31 N 39; zum aDSG EDÖB, Bonitäts- und Inkassounternehmen, Rn. 91; HK aDSG-Rosenthal, Art. 13 N 50; Schäfer, in: Epiney et al. 2011, S. 63. ↵

Zum aDSG HK aDSG-Rosenthal, Art. 13 N 49; Schäfer, in: Epiney et al. 2011, S. 62; vgl. auch Hofer, in: Passadelis et al., Rn. 16.1; kritisch Cellina/Geissbühler, Jusletter 2015, Rn. 30 ff., die Zweifel daran äussern, ob auch Daten über die Zahlungswilligkeit vom besonders geregelten überwiegenden Interesse erfasst seien. ↵

Zum DSG vgl. BSK DSG-Henseler, Art. 31 N 39; zum aDSG vgl. Meier, Rn. 1679. ↵

Vgl. dazu oben Teil 3, C.IV.3.2. ↵

Vgl. dazu oben Teil 2, A.I.1.2. ↵

Zum aDSG vgl. aber Hofer, in: Passadelis et al., Rn. 16.40, wonach der Ausschluss nicht greife, solange eine Auskunftei lediglich zufällig in Einzelfällen zu solchen Daten komme und nicht systematisch besonders schützenswerte Personendaten erhebe. ↵

Vgl. dazu oben Teil 2, A.I.1.2.b.bb. ↵

Rosenthal, Jusletter 2017a, Rn. 33; vgl. auch Rosenthal, Jusletter 2017b, Rn. 20, der die Unzulässigkeit der Bearbeitung solcher Daten aufgrund ihrer erheblichen Relevanz für die Kreditwürdigkeit als problematisch kritisiert. ↵

Im Parlament stand der Antrag im Raum, Personendaten aus öffentlich zugänglichen staatlichen Registern von der zeitlichen Begrenzung auszunehmen (Amtl. Bull. NR 2020 S. 153 [Antrag Schneeberger]; Amtl. Bull. SR 2020 S. 293 f. [Votum Müller]). Die Änderung wurde allerdings (zu Recht) als nicht erforderlich erachtet und abgelehnt (vgl. Amtl. Bull. SR 2020 S. 294 f. [Votum Fässler]), zumal Art. 31 Abs. 2 lit. c Ziff. 3 DSG eben keine generellen Vorgaben an Datenbearbeitungen für Kreditwürdigkeitsprüfungen stellt (vgl. dazu oben Teil 3, C.IV.4.2.a) und die Bestimmung auch das in BVGE 2008/16 E. 5.2.5, anerkannte zeitlich unbeschränkte öffentliche Interesse am Zugang zu Handelsregisterdaten unberührt lässt. Dieses Interesse besteht ohnehin nur, sofern die Handelsregisterdaten nicht mit anderen Daten verknüpft werden (BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4.2.2). ↵

Vgl. dazu oben Teil 3, C.IV.4. ↵

Die Datenrichtigkeit (Art. 6 Abs. 5 DSG) stellt auch Anforderungen an die Aktualität der Daten (vgl. dazu oben Teil 3, C.V.3.3). Gemäss Botschaft Totalrevision DSG, S. 7075, zeigt die vom Bundesverwaltungsgericht der Betreiberin von Moneyhouse auferlegte „sehr niedrige Überprüfungsquote“ von 5 %, die Schwierigkeit, solche Datenbanken aktuell zu halten. Daher sei eine generelle Regelung über die Dauer, während der die Daten verwendet werden dürfen, sinnvoll. ↵

Wie bereits erläutert, lassen sich aus Art. 31 Abs. 2 lit. c Ziff. 1–4 DSG keine generellen Regeln für Datenbearbeitungen zur Kreditwürdigkeitsprüfung ableiten (vgl. dazu oben Teil 3, C.I.5). Die Voraussetzungen des Rechtfertigungsgrundes schlagen nicht auf die Tragweite der Bearbeitungsgrundsätze durch. ↵

SPK-NR vom 23./24. Januar 2020, S. 17 und Beilage «Antrag Nr. 164». ↵

So offenbar Rosenthal, Jusletter 2017a, Rn. 33, wonach z.B. Name, Adresse oder Geburtstag sowie frühere Adressen «bei den meisten Personen älter als fünf [vgl. Art. 27 Abs. 2 lit. c Ziff. 3 E-DSG] Jahre sein werden». ↵

So offenbar Rosenthal, Jusletter 2020, Rn. 42, wonach «[d]er Umstand, dass eine Person im VR einer Gesellschaft sitzt oder gegen diese noch immer ein unverjährter Verlustschein vorliegt, [aktuell ist], auch wenn die Person diese Position seit 30 Jahren innehat oder der Verlustschein schon vor 15 Jahren ausgestellt worden ist». ↵

Rosenthal, Jusletter 2020, Rn. 42. ↵

Vgl. Amtl. Bull. NR 2020 S. 1598 (Votum Gredig), mit dem Beispiel einer Person, gegen die als 20-Jährige eine Betreibung eingeleitet wurde, die bei der Kreditwürdigkeitsbeurteilung derselben Person als 30-Jährige berücksichtigt wird. ↵

Es leuchtet zwar nicht ohne weiteres ein, weshalb z.B. eine zehnjährige Aufbewahrung eines Kreditscores durch eine Auskunftei sinnvoll sein soll, zumal die Kreditwürdigkeit der betroffenen Person und die zur Beurteilung herangezogenen Daten sich während dieser Zeit gewiss verändern. Das Vorliegen der Voraussetzung von Art. 31 Abs. 2 lit. c Ziff. 3 DSG bedeutet aber ohnehin nicht, dass an einer persönlichkeitsverletzenden Aufbewahrung eines Kreditscores für zehn Jahre zwingend ein überwiegendes Interesse besteht (vgl. dazu unten Teil 3, D.IV.1.2.c.cc.i), sondern nur, dass Art. 31 Abs. 2 lit. c DSG als Rechtfertigungsgrund grundsätzlich in Betracht fällt. ↵

Der Verantwortliche bearbeitet Personendaten zur Prüfung der Kreditwürdigkeit der [natürlichen Person, über die Personendaten bearbeitet werden]. ↵

Art. 13 Abs. 2 lit. c aDSG setzte voraus, dass die bearbeitende Person «Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrags mit der betroffenen Person benötigen». ↵

So führt etwa HK aDSG-Rosenthal, Art. 13 N 50, aus, dass von lit. c «die Bearbeitung von Personendaten über eine andere Person nur [erfasst ist], sofern und soweit sie der Prüfung der Kreditwürdigkeit dieser Person dient und dafür auch geeignet und erforderlich ist». ↵

Um ein Kreditscoring-Modell zu entwickeln, leitet die Auskunftei üblicherweise aus Angaben über eine Vielzahl von Personen verallgemeinerbare Regeln ab. Dabei verwendet sie nicht nur Daten der Person, deren Kreditwürdigkeit sie (allenfalls später) prüft, sondern auch Daten Dritter (vgl. dazu oben Teil 1, D.II.2.1). ↵

A.M. offenbar Stengel et al., S. 408, wonach Art. 31 Abs. 2 lit. c DSG für die Rechtfertigung von persönlichkeitsverletzenden Datenbearbeitungen beim Training eines KI-Modells in Betracht falle. ↵

Vgl. SPK-NR vom 9./10. November 2017, S. 4; Egeli, S. 48. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.cc.v.1. ↵

Vgl. Egeli, S. 47 f.; Rosenthal, Jusletter 2017a, Rn. 33; Rosenthal, Jusletter 2017b, Rn. 20, in Bezug auf die Altersprüfung. ↵

Vgl. dazu oben Teil 3, C.I.5. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.cc.v.1. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.a.aa. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.a. ↵

Botschaft Totalrevision DSG, S. 7075, wonach die «vier Voraussetzungen [von Art. 31 Abs. 2 lit. c DSG] erfüllt sein [müssen], damit die Prüfung der Kreditwürdigkeit als überwiegendes Interesse gelten kann». ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.bb.ii.1. ↵

Obwohl hier ähnliche Aspekte zu berücksichtigen sind wie bei der Prüfung der Verhältnismässigkeit, insb. der Zumutbarkeit (vgl. dazu oben Teil 3, C.IV.1.1.c), lässt sich aus der Verhältnismässigkeit einer Bearbeitung nicht schliessen, dass ein überwiegendes Interesse zur Rechtfertigung daraus (anderweitig) resultierender Persönlichkeitsverletzungen besteht. ↵

Ein Eintrag der betroffenen Person im Handelsregister ist aber nicht erforderlich, damit ein überwiegendes Interesse nach Art. 31 Abs. 2 lit. c DSG vorliegt (zum aDSG BSK aDSG-Rampini, Art. 13 N 36; vgl. auch Cellina/Geissbühler, Jusletter 2015, Rn. 23, die eine solche Beschränkung begrüsst hätten). Diese Einschränkung war noch im bundesrätlichen Entwurf des aDSG vorgesehen, wurde dann aber in der parlamentarischen Beratung fallengelassen (Art. 10 Abs. 2 lit. c E-aDSG: «zur Prüfung der Kreditwürdigkeit einer Person, deren Firma im Handelsregister eingetragen ist»; vgl. auch Botschaft DSG 1988, S. 461). ↵

Zum aDSG Hofer, in: Passadelis et al., Rn. 16.55; vgl. auch Botschaft DSG 1988, S. 461. ↵

Vgl. dazu oben Teil 1, B.I.2. ↵

Zum aDSG BVGer, A-4232/2015 vom 18. April 2017, E. 5.2.5; vgl. auch Hofer, in: Passadelis et al., Rn. 16.41. ↵

Vgl. Art. 27 Abs. 2 lit. c E-DSG; Botschaft Totalrevision DSG, S. 7074 f. ↵

Botschaft Totalrevision DSG, S. 7075; vgl. auch Bericht Wirtschaftsauskunfteien, S. 25. Gemäss einer Äusserung im SPK-SR vom 18./19. November 2019, S. 29, sollen insb. Auskunfteien nur bei Vorliegen eines anderen Rechtfertigungsgrundes als Art. 31 Abs. 2 lit. c DSG, namentlich einer Einwilligung, mehr als zehn Jahre alte Daten verwenden dürfen. ↵

Zum DSG EDÖB, Kredit & Inkasso, abrufbar unter <https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/arbeit_wirtschaft/kredit_inkasso.html>, zuletzt besucht am 30. September 2024; Métille, S. 27; Métille, in: Epiney et al. 2022, S. 39; vgl. auch Lobsiger, S. 318, wonach ein «Kreditrating» nach Art. 31 Abs. 2 lit. c DSG, das die Schwelle zum Profiling mit hohem Risiko überschreite, der Einwilligung der betroffenen Person bedürfe; zum aDSG Rudin, digma 2007, S. 53, in Bezug auf die Bearbeitung eines Persönlichkeitsprofils. ↵

Vgl. Vasella, in: Emmenegger, S. 201, wonach unter dem E-DSG, der das besonders geregelte überwiegende Interesse bereits für das gewöhnliche Profiling ausgeschlossen hätte, ein persönlichkeitsverletzendes Profiling durch ein (anderweitiges) überwiegendes Interesse hätte gerechtfertigt werden können. ↵

Vgl. Botschaft Totalrevision DSG, S. 7076, wonach bei einer fehlenden Voraussetzung des besonders geregelten überwiegenden Interesses zur Bearbeitung von Personendaten zu nicht personenbezogenen Zwecken (Art. 31 Abs. 2 lit. e DSG) «einer der Rechtfertigungsgründe nach Artikel 27 Absatz 1 E-DSG [also heute Art. 31 Abs. 1 DSG]» gelten könne. ↵

Vgl. dazu oben Teil 3, B.II. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.4. Die Vorgängerbestimmung, Art. 13 Abs. 2 lit. c DSG, liess sich nicht heranziehen, wenn Persönlichkeitsprofile bearbeitet wurden. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.cc.i. ↵

Vgl. Botschaft DSG 1988, S. 460, wonach (heute) Art. 31 Abs. 2 DSG dem Gericht Gewichtssteine für die Interessenabwägung an die Hand gebe, und der Gesetzgeber dem Gericht damit Beurteilungselemente für bestimmte Bereiche liefere, in denen Datenbearbeitungs- und -schutzinteressen in einem besonderen Spannungsverhältnis stünden. ↵

Das Bundesverwaltungsgericht prüfte ein anderweitiges überwiegendes Interesse an der Bekanntgabe von Persönlichkeitsprofilen, obwohl für deren Bearbeitung das besonders geregelte überwiegende Interesse für Kreditwürdigkeitsprüfungen nach Art. 13 Abs. 2 lit. c aDSG ausdrücklich ausgeschlossen war (vgl. BVGer, A‑4232/2015 vom 18. April 2017, E. 5.4). ↵

Vgl. dazu oben Teil 3, D.IV.1.1.c. ↵

Zudem könne sich die Betreiberin nicht auf das öffentliche Interesse an der (privaten) Weitergabe von Handelsregisterdaten berufen (vgl. BVGE 2008/16 E. 5.2.4 und 7.2.1), weil sie die Handelsregisterdaten mit anderen Daten verknüpfe und der Zugang kostenpflichtig sei (BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.2). ↵

Vgl. dazu oben Teil 1, B.I.3. ↵

Vgl. dazu oben Teil 1, B.II.1.1. ↵

Vgl. dazu oben Teil 1, B.I.2. ↵

Vgl. dazu oben Teil 3, D.IV.1.1.c. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.bb.ii.1. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.a.aa. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.b.aa. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.b.bb. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.bb.ii.2 und D.IV.1.2.c.bb.ii.3. ↵

Vgl. dazu oben Teil 3, C.VI.3.2.c.dd und D.IV.1.2.c.bb.ii.3. ↵

Vgl. dazu oben Teil 3, C.VI.3.2.c.dd. ↵

Vgl. dazu oben Teil 3, D.I.1.2. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.cc.i. ↵

Vgl. dazu oben Teil 3, B.III.2.1. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.c und C.IV.3.3.d.bb.ii. ↵

Vgl. dazu oben Teil 3, C.II. und C.III. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.d.aa.ii. und C.IV.3.3.d.bb.ii. ↵

Vgl. dazu oben Teil 3, C.II.2.2.a. ↵

Vgl. dazu oben Teil 2, A.I.1.2. ↵

Vgl. dazu oben Teil 2, A.I.4.2. ↵

Nicht jede Bearbeitung besonders schützenswerter Personendaten verletzt die Persönlichkeit. Das Gesetz fingiert nur bei der Bekanntgabe solcher Daten an Dritte eine Persönlichkeitsverletzung (Art. 30 Abs. 2 lit. c DSG). ↵

Vgl. Rosenthal, Jusletter 2017b, Rn. 20, der deshalb den Ausschluss von besonders schützenswerten Personendaten in Art. 31 Abs. 2 lit. c Ziff. 1 DSG kritisiert. ↵

Vgl. dazu oben Teil 3, D.IV.1.3.b.aa.i. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.b.aa.iii. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.d.bb.i und C.IV.4.2.d.bb.ii. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.bb.iv.1. ↵

Während für das Profiling (mit hohem Risiko) Daten von der Person ausreichen, deren Kreditwürdigkeit die Auskunftei beurteilt, bedarf sie bei der Entwicklung eines Kreditscoring-Modells (auch) Daten anderer Personen. ↵

Insoweit ist eine gewisse Nähe zu den Bearbeitungen zu nicht personenbezogenen Zwecken auszumachen (zum DSG vgl. PC LPD-Genecand, Art. 31 N 81; SHK DSG-Pfaffinger, Art. 31 N 82; zum aDSG vgl. Botschaft DSG 1988, S. 463; Thouvenin, Forschung, S. 48), für die das DSG ein besonders geregeltes überwiegendes Interesse vorsieht. Der betreffende Art. 31 Abs. 2 lit. e DSG, auf den vorliegend nicht näher einzugehen ist, kennt indes weitere Voraussetzungen (vgl. Ziff. 1–3), deren Vorliegen bei Bearbeitungen einer Auskunftei für die Modellentwicklung zumindest fraglich erscheint. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.cc.v.1. ↵

Vgl. dazu oben Teil 3, D.IV.1.3.b.aa.i. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.cc.v.1. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.a.aa. ↵

Vgl. dazu oben Teil 3, D.IV.1.3.b.aa.i. ↵

Vgl. dazu oben Teil 3, D.IV.1.1.a. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.2. ↵

BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.2 f. Das Bundesverwaltungsgericht bezieht in seine Interessenabwägung auch mit ein, dass nach der bundesgerichtlichen Rechtsprechung private oder öffentliche Interessen nur zurückhaltend zu berücksichtigen seien (BVGer, A-4232/2015 vom 18. April 2017, E. 5.4.2.3). Dies sagt das Bundesgericht (im zitierten BGE 136 II 508 E. 5.2.4 und 6.3.1) allerdings nicht, sondern bloss, dass Rechtfertigungsgründe bei der Verletzung von Bearbeitungsgrundsätzen (worum es im Moneyhouse-Entscheid gerade nicht ging) nur mit grosser Zurückhaltung zu bejahen seien (vgl. dazu oben Teil 3, D.I.1.). ↵

Nicht ableiten lässt sich daraus, dass ein anderweitiges überwiegendes Interesse gegenüber der Einwilligung subsidiär ist, schliesst doch das Bundesverwaltungsgericht das überwiegende Interesse nicht schon deshalb aus, weil die Auskunftei die Einwilligung hätte einholen können. Diese Position wäre ohnehin nicht haltbar, nachdem die Rechtfertigungsgründe im Gesetz ohne Hierarchie nebeneinanderstehen. Zudem dürfte eine (bestimmte) Datenbearbeitung fast immer als insgesamt weniger eingriffsintensiv zu betrachten sein, wenn sie sich auf eine (gültige) Einwilligung statt auf ein schutzwürdiges Interesse stützt. So käme es kaum je in Frage, eine Datenbearbeitung mit einem anderweitigen überwiegenden Interesse zu rechtfertigen. ↵

Vgl. BGE 138 II 346 E. 10.4, mit ähnlichen Überlegungen zu Google Street View. ↵

Vgl. BGE 138 II 346 E. 10.4; EDÖB, Digitec Galaxus, Rn. 142 f. ↵

Gemeint sind persönlichkeitsverletzende Datenbearbeitungen, welche die Voraussetzungen von Art. 31 Abs. 2 lit. c DSG nicht erfüllen (vgl. dazu oben Teil 3, D.IV.1.3.a). ↵

Vgl. dazu oben Teil 3, C.VI.3.2.c. ↵

Vgl. dazu oben Teil 3, B.III.2.1. ↵

Auch Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO, auf den sich Verarbeitungen im Vertragszusammenhang stützen lassen (vgl. dazu unten Teil 3, D.IV.2.1.a), lässt sich – ähnlich wie es das DSG tut (vgl. dazu oben Teil 3, D.IV.1.2.b) – als einen Fall eines berechtigten Interesses des Verantwortlichen verstehen (vgl. Kotschy, in: Kuner et al., S. 330). ↵

Vgl. Albers/Veit, in: Wolff et al., Art. 6 N 41; Buchner/Petri, in: Kühling/Buchner, Art. 6 N 26; Wolff, in: Schantz/Wolff, Rn. 566. ↵

Beispielsweise die Auskunftei Schweizerischer Verband Creditreform Gen will ihre Datenverarbeitungen bei Kreditwürdigkeitsprüfungen auch auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO abstellen (Schweizerischer Verband Creditreform Gen, Datenschutzerklärung EU-DSGVO, o.S.). ↵

Befürwortend Albers/Veit, in: Wolff et al., Art. 6 N 42; Schulz, in: Gola/Heckmann, Art. 6 N 30; Wolff, in: Schantz/Wolff, Rn. 545 und 550; vgl. auch Krämer, NJW 2018, S. 350; Schantz, in: Simits et al., Art. 6 Abs. 1 N 22; ablehnend Bundeskartellamt, S. 78 f.; Buchner, in: Specht-Riemenschneider et al., S. 101; Kotschy, in: Kuner et al., S. 330; Lorentz, S. 191; vgl. auch von Lewinski/Pohl, S. 17 f., die voraussetzen, dass «das Rechtsverhältnis dafür drittwirkend die Verarbeitung zugunsten der Auskunftei gestatten müsste». ↵

Vgl. EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 99, wo der EuGH festhält, was folgt: «Entscheidend für die Anwendung des in Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist». Ob dies mutatis mutandis für vorvertragliche Massnahmen gilt, ist unklar. ↵

Vgl. Art. 22 Abs. 2 lit. a DSGVO zu den automatisierten Entscheidungen (jedenfalls in der deutschen, nicht aber in der englischen und französischen Sprachfassung) und Art. 49 Abs. 1 UAbs. 1 lit. b DSGVO zur Datenübermittlung in ein Drittland oder an eine internationale Organisation, die jeweils von einem «Vertrag zwischen der betroffenen Person und dem Verantwortlichen» sprechen. ↵

Vgl. Schantz, in: Simitis et al., Art. 6 Abs. 1 N 22. ↵

Bundeskartellamt, S. 78 f.; Buchner, in: Specht-Riemenschneider et al., S. 101; Lorentz, S. 191. ↵

Kramer, in: Auerhammer, Art. 6 N 56; Schulz, in: Gola/Heckmann, Art. 6 N 50. ↵

Albers/Veit, in: Wolff et al., Art. 6 N 56; Buchner/Petri, in: Kühling/Buchner, Art. 6 N 111; Frenzel, in: Paal/Pauly, Art. 6 N 23; Weichert, ZD 2021, S. 555. ↵

BVGer Deutschland, 6 C 2/18 vom 27. März 2019, in: BeckRS 2019, 9874, Rn. 46; Gutowski, S. 295; Weichert, ZD 2021, S. 555; vgl. auch Albers/Veit, in: Wolff et al., Art. 6 N 56; Kotschy, in: Kuner et al., S. 335. ↵

LG Frankfurt, 2–05 O 151/18 vom 20. Dezember 2018, in: BeckRS 2018, 37433, Rn. 25; OLG Schleswig-Holstein, 17 U 15/21 vom 2. Juli 2021, in: BeckRS 2021, 16986, Rn. 29 f.; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 132. ↵

LG Frankfurt, 2–05 O 151/18 vom 20. Dezember 2018, in: BeckRS 2018, 37433, Rn. 25; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 132. ↵

EG 45 DSGVO; EuGH, Rs. C-306/21 vom 20. Oktober 2022, Koalitsia «Demokratichna Bulgaria – Obedinenie», Ziff. 49; OLG Schleswig-Holstein, 17 U 15/21 vom 2. Juli 2021, in: BeckRS 2021, 16986, Rn. 31. ↵

Vgl. dazu oben Teil 3, D.II.1. ↵

OLG Schleswig-Holstein, 17 U 15/21 vom 2. Juli 2021, in: BeckRS 2021, 16986, Rn. 31; vgl. auch von Lewinski/Pohl, S. 21 f.; a.M. Taeger, BKR 2024, S. 43 f. und 46, der § 31 BDSG/DE als eine solche Rechtsgrundlage betrachtet – dieser Paragraf soll aber ohnehin gestrichen werden (Gesetzesbegründung Änderung BDSG/DE, S. 2, 9 und 13). ↵

Zur DSGVO EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 106; EuGH, Rs. C‑597/19 vom 17. Juni 2021, M.I.C.M., Ziff. 106; zur DSRL vgl. EuGH, Rs. C‑40/17 vom 29. Juli 2019, Fashion ID, Ziff. 95; EuGH, Rs. C-13/16 vom 4. Mai 2017, Rīgas satiksme, Ziff. 28. ↵

Zur DSGVO Frenzel, in: Paal/Pauly, Art. 6 N 28; vgl. auch EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 76; zur DSRL Art.‑29‑DSG, Stellungnahme berechtigtes Interesse, S. 31. ↵

Gil González/de Hert, S. 606; Gutowski, S. 295; Kotschy, in: Kuner et al. (Update), S. 74; Wolff, in: Schantz/Wolff, Rn. 643. ↵

Buchner/Petri, in: Kühling/Buchner, Art. 6 N 146a; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 98; vgl. auch GA Pikamäe, Rs. C-26/22 und C-64/22 vom 16. März 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 62. Der EuGH, Rs. C‑40/17 vom 29. Juli 2019, Fashion ID, Ziff. 80, hielt dies implizit ebenso bereits fest, indem er eine Rechtsgrundlage für die fragliche Datenverarbeitung nicht schon deswegen verneinte, weil die vorgebrachten Interessen wirtschaftlicher Natur waren. ↵

Lorentz, S. 195; vgl. auch Schulz, in: Gola/Heckmann, Art. 6 N 63. ↵

Vgl. Charlet, S. 95 und 98; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 99. ↵

Zur DSGVO Reimer, in: Sydow/Marsch, Art. 6 N 85; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 99; vgl. auch von Lewinski/Pohl, S. 18; zur DSRL Art.‑29‑DSG, Stellungnahme berechtigtes Interesse, S. 45. ↵

Reimer, in: Sydow/Marsch, Art. 6 N 84; Schulz, in: Gola/Heckmann, Art. 6 N 63. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 77; EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 108; vgl. auch EuGH, Rs. C-439/19 vom 22. Juni 2021, Latvijas Republikas Saeima, Ziff. 110. ↵

Wolff, in: Schantz/Wolff, Rn. 433; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 15; Lorentz, S. 197. ↵

Vgl. dazu oben Teil 3, C.IV.1.2. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 78; EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 109; EuGH, Rs. C‑184/20 vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, Ziff. 93; zur DSRL EuGH, Rs. C‑708/18 vom 11. Dezember 2019, Asociația de Proprietari bloc M5A-ScaraA, Ziff. 48. ↵

Vgl. dazu oben Teil 3, C.IV.2., C.IV.3. und C.IV.4. ↵

Lorentz, S. 198; vgl. auch Plath, in: Plath, Art. 6 N 70. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 79; EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 110; zur DSRL EuGH, Rs. C‑708/18 vom 11. Dezember 2019, Asociația de Proprietari bloc M5A-ScaraA, Ziff. 52. ↵

Kramer, in: Auernhammer, Art. 6 N 83; Zwanziger, ZVI 2022, S. 331; vgl. auch George, S. 228. ↵

Kramer, in: Auernhammer, Art. 6 N 83; Zwanziger, ZVI 2022, S. 331; vgl. auch Robrahn/Bremert, S. 294. ↵

Lorentz, S. 200; vgl. auch Frenzel, in: Paal/Pauly, Art. 6 N 31; Reimer, in: Sydow/Marsch, Art. 6 N 83. ↵

Zwanziger, ZVI 2022, S. 330; vgl. auch Schantz, in: Simitis et al., Art. 6 Abs. 1 N 105 ff.; zur DSRL vgl. Art.‑29‑DSG, Stellungnahme berechtigtes Interesse, S. 47. ↵

Zur DSRL Art.‑29‑DSG, Stellungnahme berechtigtes Interesse, S. 47. ↵

Vgl. dazu oben Teil 1, B.I.2. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 88 und 94; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 107. ↵

Vgl. EG 47 Satz 4 DSGVO; grosszügiger Schulz, S. 121, wonach die vernünftigen Erwartungen lediglich ein Abwägungskriterium unter vielen seien; strenger EuGH, Rs. C-252/21 vom 4. Juli 2023, Meta Platforms u.a., Ziff. 117, wonach Nutzende eines Online-Netzwerks vernünftigerweise nicht damit rechnen müssten, dass der Netzwerk-Betreiber ihre personenbezogenen Daten ohne Einwilligung zum Zweck der Personalisierung der Werbung verarbeite, und deshalb die Interessen der Nutzenden überwiegen würden; ähnlich Buchner/Petri, in: Kühling/Buchner, Art. 6 N 152. ↵

Dallmann/Busse, S. 396; Kramer, in: Auernhammer, Art. 6 N 86; Zwanziger, ZVI 2022, S. 331. ↵

A.M. wohl Buchner/Petri, in: Kühling/Buchner, Art. 6 N 152; vgl. auch Heberlein, in: Ehmann/Selmayr, Art. 6 N 46. ↵

Assion et al., in: Gierschmann et al., Art. 6 N 141. ↵

Ob auch veröffentlichte Verhaltensregeln (vgl. Art. 40 DSGVO) vernünftige Erwartungen der betroffenen Person begründen (können), wurde in der Lehre und Praxis soweit ersichtlich noch kaum thematisiert. Ablehnend lässt sich allenfalls der EuGH, Rs. C‑26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 105, lesen, wonach bei der Abwägung Verhaltensregeln nicht berücksichtigt werden könnten, die zu einer anderen Beurteilung führen würden als derjenigen, die sich nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (sonst) ergebe. Da Verhaltensregeln freiwillige Verpflichtungen der Verbandsmitglieder sind, die gegenüber den betroffenen Personen keine Bindungswirkung entfalten (vgl. dazu oben Teil 3, C.IV.4.2.c), lässt sich vertreten, dass betroffene Personen gestützt auf Verhaltensregeln keine vernünftigen Erwartungen entwickeln können. ↵

Vgl. dazu oben Teil 3, C.II. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 108; Schulz, in: Gola/Heckmann, Art. 6 N 68; von Lewinski/Pohl, S. 20; vgl. auch Lorentz, S. 164; a.M. DSK, Direktwerbung, S. 4, wonach die in Art. 13 f. DSGVO vorgesehenen Pflichtinformationen die Erwartungen der betroffenen Person nicht erweitern könnten, da die ordnungsgemässe Erfüllung der Informationspflicht (generell) keine Auswirkung auf die Abwägung der Interessen habe. Vertragsbestimmungen sollen jedenfalls gemäss EuGH, Rs. C-17/22 und C-18/22 vom 12. September 2024, HTB Neunte Immobilien Portfolio, Ziff. 64, die vernünftigen Erwartungen der betroffenen Person beeinflussen können. ↵

Zur DSGVO DSK, Direktwerbung, S. 4 f.; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 138; vgl. auch Buchner, in: Specht-Riemenschneider et al., S. 102; zur DSRL vgl. Art.‑29‑DSG, Stellungnahme berechtigtes Interesse, S. 52. ↵

Dies bedeutet nicht, dass sich Grundsatzverletzungen gestützt auf ein (überwiegendes) berechtigtes Interesse oder eine andere Rechtsgrundlage i.S.v. Art. 6 Abs. 1 UAbs. 1 DSGVO rechtfertigen lassen (vgl. dazu oben Teil 2, C.I.1.). ↵

Vgl. dazu oben Teil 3, C.VIII.3.2. ↵

Vgl. Art. 9 Abs. 2 lit. f, Art. 17 Abs. 3 lit. e, Art. 18 Abs. 1 lit. c und Abs. 2, Art. 21 Abs. 1 und Art. 49 Abs. 1 lit. e DSGVO. ↵

Schantz, in: Simitis et al., Art. 6 Abs. 1 N 103; vgl. auch Paal, in: Specht-Riemenschneider et al., S. 339. ↵

Zur DSGVO Schantz, in: Simitis et al., Art. 6 Abs. 1 N 103; zur DSRL vgl. EuGH, Rs. C-13/16 vom 4. Mai 2017, Rīgas satiksme, Ziff. 29; strenger Art.‑29‑DSG, Stellungnahme berechtigtes Interesse, S. 19 f. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 15 f. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.d.aa.i. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.d.aa.i. ↵

Lorentz, S. 213; vgl. auch Reimer, in: Sydow/Marsch, Art. 6 N 84. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 16; Stengel/Stäuble, Rn. 32. Dies war der Hauptkritikpunkt an einem Antrag im Gesetzgebungsverfahren des DSG, mit dem eine Minderheit des Nationalrates das Profiling mit hohem Risiko als Profiling definieren wollte, das besonders schützenswerte Personendaten hervorbringt. Damit wäre die Regelung des Profilings mit hohem Risiko in jener der besonders schützenswerten Personendaten aufgegangen (Amtl. Bull. NR 2020 S. 145 und 147 [Voten Glättli und Keller-Sutter]). ↵

Buchner/Petri, in: Kühling/Buchner, Art. 6 N 149; Schantz, in: Schantz/Wolff, Rn. 705; Thouvenin et al., JIPITEC 2019, Rn. 103. ↵

Dies gilt, soweit die Schwangerschaft nicht als Gesundheitsdatum (i.S.v. Art. 9 Abs. 1 DSGVO) verstanden wird (so aber Frenzel, in: Paal/Pauly, Art. 9 N 15). ↵

Lorentz, S. 214 f. ↵

Zur DSGVO vgl. Schantz, in: Simitis et al., Art. 6 Abs. 1 N 106; zur DSRL vgl. EuGH, Rs. C-131/12 vom 13. Mai 2014, Google Spain, Ziff. 80. ↵

Lorentz, S. 216; zum aBDSG/DE Moos, S. 721. ↵

Lorentz, S. 216 f.; vgl. auch Buchner/Petri, in: Kühling/Buchner, Art. 6 N 153; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 106, die allerdings den Begriff des Persönlichkeitsprofils nicht definieren. ↵

Zur DSRL EuGH, Rs. C-131/12 vom 13. Mai 2014, Google Spain, Ziff. 80 f., wonach die Ergebnisliste einer Suchmaschine potenziell zahlreiche Aspekte des Privatlebens einer betroffenen Person betreffen und damit ein mehr oder weniger detailliertes Profil abgeben würden. Das wirtschaftliche Interesse des Suchmaschinenbetreibers könne allein diese Verarbeitung nicht rechtfertigen. Eine Rechtfertigung sei aber im Einzelfall unter Einbezug der Interessen der Internetnutzenden möglich. ↵

Während das aDSG das Persönlichkeitsprofil adressiert und legaldefiniert hat (vgl. dazu oben Teil 3, B.II.), definiert die DSGVO weder den Begriff noch knüpft sie unmittelbare Rechtsfolgen daran. Lediglich EG 38 Satz 2 hält (ohne weitere Erläuterung) fest, dass Kindern ein besonderer Schutz zuzugestehen ist, insb. bei der «Erstellung von Persönlichkeits- und Nutzerprofilen» (vgl. dazu oben Teil 3, C.IV.3.2.b.cc.v.2). ↵

Der Definitionsvorschlag von Lorentz, S. 151, stützt sich zudem insb. auf die Sphärentheorie im deutschen allgemeinen Persönlichkeitsrecht (Lorentz, S. 145 ff.). ↵

Vgl. dazu oben Teil 3, C.I.2. ↵

Lorentz, S. 218 und 303. ↵

Lorentz, S. 219 und 258; vgl. auch Buchner, in: Kühling/Buchner, Art. 4 Ziff. 4 N 8; Buchner/Petri, in: Kühling/Buchner, Art. 6 N 165a. ↵

Vgl. dazu oben Teil 3, C.I.2. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.i. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.i. ↵

Lorentz, S. 219 f., mit dem Beispiel, dass ein Profiling aus dem Einkaufsverhalten die Einkaufsvorlieben einer Kundin ableitet. ↵

Zur DSGVO Lorentz, S. 220; zur DSRL vgl. Art.‑29‑DSG, Opinion purpose limitation, S. 61, mit dem Beispiel eines Profilings, das vom Einkaufsverhalten auf die Schwangerschaft der Kundin schliesst. ↵

Vgl. dazu oben Teil 2, C.I.1. ↵

Vgl. statt vieler Buchner, in: Specht-Riemenschneider et al., S. 101; Schantz, in: Simitis et al., Art. 6 Abs. 1 N 138; von Lewinski/Pohl, S. 18 ff. ↵

Vgl. Bundeskartellamt, S. 79. ↵

Vgl. dazu oben Teil 1, B.I.2. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.b.aa. ↵

Gutowski, S. 295; vgl. auch EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 83. ↵

Gutowski, S. 295; Thüsing et al., RDV 2023, S. 89; vgl. auch Schantz, in: Simitis et al., Art. 6 Abs. 1 N 99. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.aa. Der Vollständigkeit halber und weil auch der EuGH beim berechtigten Interesse auf öffentliche Interessen an der Kreditwürdigkeitsprüfung durch Auskunfteien eingeht (vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. [Restschuldbefreiung], Ziff. 83 ff.), seien sie dennoch hier erwähnt. ↵

Vgl. dazu oben Teil 1, B.I.3 und Teil 3, D.IV.2.2.a.aa. ↵

Vgl. dazu oben Teil 1, B.I.2 und Teil 3, D.IV.2.2.a.aa. ↵

Vgl. Buchner, in: Specht-Riemenschneider et al., S. 101; Eichler, S. 11; Helfrich, Bonitätsbewertung, Rn. 18; Weichert, ZD 2021, S. 555; ferner Bericht Wirtschaftsauskunfteien, S. 29. ↵

Vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 84 ff.; von Lewinski/Pohl, S. 19; Zwanziger, ZVI 2022, S. 332. ↵

EG 57 und Art. 18 Abs. 3 RL (EU) 2023/2225. Dies entspricht EG 28 und Art. 8 der derzeit noch in Kraft befindlichen RL 2008/48/EG, der Vorgängerrichtlinie. ↵

EG 55 und 59 sowie Art. 18 und Art. 21 RL 2014/17/ЕU. ↵

Vgl. EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 86. ↵

Vgl. von Lewinski/Pohl, S. 20; Zwanziger, ZVI 2022, S. 332. ↵

Zwanziger, ZVI 2022, S. 332. ↵

Reimer, in: Sydow/Marsch, Art. 6 N 78. ↵

Gutowski, S. 296. ↵

Vgl. dazu oben Teil 3, C.IV.1.2. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 81. ↵

Vgl. dazu oben Teil 1, D.II.1. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.b. ↵

Vgl. dazu oben Teil 3, C.IV.1.1.a. ↵

Zu analogen Überlegungen unter dem DSG vgl. oben Teil 3, C.IV.3.3.b. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 81. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.c. ↵

Vgl. dazu oben Teil 2, A.I.4.2. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.ii. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 94 ff. ↵

Lorentz, S. 216, bezeichnet den Kreditscorewert als ein typisches Beispiel für die Abbildung eines Lebensbereichs, namentlich der wirtschaftlichen Lage der betroffenen Person. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.ii. ↵

Vgl. dazu oben Teil 2, A.I.1.2.a. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.ii. ↵

Vgl. HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.3; Buchner, in: Specht-Riemenschneider et al., S. 103. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.ii. ↵

Vgl. dazu oben Teil 3, C.V.5.2.b. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.d.bb.i. ↵

EuGH, Rs. C-26/22 und C-64/22 vom 7. Dezember 2023, SCHUFA Holding u.a. (Restschuldbefreiung), Ziff. 94. ↵

Vgl. Weichert, ZD 2021, S. 555, der im Zusammenhang mit einem negativen SCHUFA-Eintrag von existenziellen Auswirkungen für die betroffene Person spricht und beispielhaft die erfolglose Suche eines Arbeitsplatzes oder einer Wohnung nennt. ↵

Vgl. dazu oben Teil 3, C.VI.3.2.c.aa. ↵

A.M. Weichert, ZD 2021, S. 555. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.d.bb.i. ↵

Vgl. dazu oben Teil 3, C.IV.3.3.d.bb.i. ↵

Vgl. dazu oben Teil 3, C.IV.2.2.b.aa. ↵

Vgl. dazu oben Teil 1, B.I.1. und B.I.2. ↵

Vgl. Schulz, in: Gola/Heckmann, Art. 6 N 103; von Lewinski/Pohl, S. 20; a.M. wohl Bundeskartellamt, S. 80. ↵

Vgl. dazu oben Teil 3, C.II. ↵

Vgl. Lorentz, S. 164 f., wonach auch der Transparenzgrundsatz nicht verlange, dass der Verantwortliche über ein Profiling informiere. Wenn der Verantwortliche dies gleichwohl tue, müsse die betroffene Person aber mit einem Profiling rechnen. ↵

Vgl. von Lewinski/Pohl, S. 20. ↵

Vgl. Lorentz, S. 220. ↵

Vgl. Lorentz, S. 220. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.cc.iii. und C.IV.3.2.b.cc.iv. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.i. ↵

Vgl. dazu oben Teil 1, E.I.1.3.c. ↵

Vgl. dazu oben Teil 3, C.II.2.2.b. ↵

Vgl. Buchner/Petri, in: Kühling/Buchner, Art. 6 N 165a, wonach in der Interessenabwägung vor allem auch der Aspekt der Datenqualität von zentraler Bedeutung sei; ferner Buchner, in: Specht-Riemenschneider et al., S. 101 f. ↵

Buchner/Petri, in: Kühling/Buchner, Art. 6 N 165a; Paal, in: Specht-Riemenschneider et al., S. 343. ↵

Vgl. dazu oben Teil 3, C.V.2. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.ii. ↵

Vgl. dazu oben Teil 3, C.V.2. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b.bb.i. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.bb. ↵

Vgl. Buchner, in: Specht-Riemenschneider et al., S. 103, wonach in der Interessenabwägung zu berücksichtigen sei, ob die Daten nach einem wissenschaftlich anerkannten mathematisch-statistischen Verfahren nachweisbar erheblich seien; ähnlich Buchner/Petri, in: Kühling/Buchner, Art. 6 N 165a; HBDI, Tätigkeitsbericht 2016, Ziff. 4.2.1.3, wonach im Zweifel die Risikorelevanz eines Merkmals statistisch nachzuweisen und sonst die Berechnung des Kreditscores (nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) nicht rechtmässig sei. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc.i. ↵

So Karg, in: Simitis et al., Art. 35 N 40, vgl. aber N 39; vgl. auch Nolte/Werkmeister, in: Gola/Heckmann, Art. 35 N 23; Reibach, in: Taeger/Gabel, Art. 35 N 23; ähnlich Baumgartner, in: Ehmann/Selmayr, Art. 35 N 33 f., der allerdings entgegen dem Wortlaut die von Art. 35 Abs. 3 lit. a DSGVO erfassten Fälle mit automatisierten Entscheidungen i.S.v. Art. 22 DSGVO gleichsetzt; a.M. wohl Martini, in: Paal/Pauly, Art. 35 N 29a. ↵

Vgl. Karg, in: Simitis et al., Art. 35 N 39, der die Verarbeitung von Persönlichkeitsprofilen verlangt; Martini, in: Paal/Pauly, Art. 35 N 29a, der die Bewertung einer Vielzahl von persönlichen Eigenschaftsmerkmalen voraussetzt. ↵

Vgl. dazu oben Teil 3, B.I.2.1.c. ↵

Jandt, in: Kühling/Buchner, Art. 35 N 12; Martini, in: Paal/Pauly, Art. 35 N 29; vgl. auch von Lewinski et al., § 17 N 57. ↵

Vgl. dazu unten Teil 4, D.3. ↵

Vgl. dazu oben Teil 3, C.IV.3.2. und C.IV.4.2. ↵

XXI

Teil 4:
Berechnung des Kreditscores als automatisierte Entscheidungsfindung?

XXII

Einleitung

Das schweizerische Recht regelt im totalrevidierten DSG erstmals «automatisierte Entscheidungen»[1] (von privaten Personen[2]) besonders, während das europäische Recht sie bereits in der DSRL speziellen Regeln zugeführt hatte.[3] Ob es sich bei automatisierten Entscheidungen und den damit verbundenen Risiken um eine datenschutzrechtliche Problematik handelt, lässt sich in Frage stellen.[4] Die vorliegende datenschutzrechtliche Untersuchung widmet sich dennoch auch den an solche Entscheidungen gestellten Vorgaben, zumal sie eben in die Datenschutzerlasse aufgenommen wurden und auch die Konv. 108+ diese Einordnung teilt (vgl. Art. 9 Abs. 1 lit. a).

Hinzu kommt, dass die Botschaft zur Totalrevision[5] und die Erwägungsgründe der DSGVO[6] (auf einen Kreditscore gestützte) negative Kreditentscheide als mögliches Beispiel für automatisierte Entscheidungen aufführen. Zwar hielt der Bundesrat dafür, dass «die Bonitätsberechnung der Wirtschaftsauskunfteien […] grundsätzlich noch keine automatisierte Einzelentscheidung im Sinne des nDSG, sondern eine Entscheidhilfe [darstellt], sofern die eigentliche Entscheidung (z.B. das Verweigern eines Kaufs auf Rechnung) erst durch die Kundinnen und Kunden der Wirtschaftsauskunfteien erfolgt».[7] Nach Ansicht des EuGH erweist sich aber unter Umständen bereits die Berechnung des Kreditscores als automatisierte Entscheidungsfindung und hat die Auskunftei die dazugehörigen Vorgaben und Pflichten zu berücksichtigen.[8]

Vor diesem Hintergrund ist zu klären, ob und gegebenenfalls unter welchen Umständen die Berechnung des Kreditscores durch eine Auskunftei den Bestimmungen über die automatisierten Entscheidungen untersteht. Nach terminologischen Vorbemerkungen (nachfolgend B.) sind dafür die Zwecke der datenschutzrechtlichen Regelung automatisierter Entscheidungen (nachfolgend C.) und die einzelnen Elemente einer solchen Entscheidung (nachfolgend D.) zu betrachten. Zudem ist die oft ausgeblendete Frage zu beantworten, wen die Regelung eigentlich berechtigt bzw. verpflichtet (nachfolgend E.).

Das DSG spricht von «automatisierten Einzelentscheidungen», die DSGVO von «automatisierten Entscheidungen im Einzelfall». Einfachheitshalber wird vorliegend der Begriff der «automatisierten Entscheidung» verwendet, der (ohne weitere Präzisierung) für eine Entscheidung i.S.v. Art. 21 DSG bzw. Art. 22 DSGVO steht. ↵

Ab 1. März 2019 war das Schengen-Datenschutzgesetz in Kraft, dessen Art. 11 Bundesorgane zur Information über automatisierte Einzelentscheidungen verpflichtete und der betroffenen Person verschiedene Rechte in diesem Zusammenhang einräumte. Das SDSG regelte Datenbearbeitungen durch Bundesorgane zum Zweck der Verhütung, Aufklärung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit im Rahmen der Anwendung des Schengen-Besitzstands und der internationalen Verträge, die mit der EU oder mit Schengen-Staaten abgeschlossen worden sind und bezüglich des Datenschutzes auf die JIRL verweisen. Das SDSG wurde als Zwischenschritt zur Umsetzung dieser Richtlinie erlassen, da die Schweiz aufgrund des Schengen-Assoziierungs-Abkommens dazu verpflichtet gewesen ist. Mit Inkrafttreten des DSG wurde das SDSG ausser Kraft gesetzt (Baeriswyl, S. 9; vgl. auch Erläuternder Bericht SDSG, S. 4, der die Ausserkraftsetzung aber unpräzise mit der Verabschiedung der Totalrevision des DSG verknüpft). ↵

Art. 15 DSRL regulierte automatisierte Einzelentscheidungen und verpflichtete die Mitgliedstaaten, ein Widerspruchsrecht gegen solche Entscheidungen vorzusehen (vgl. ausführlich Tosoni, S. 149 f.). ↵

Steinbach, S. 27, bezeichnet die Bestimmungen über die automatisierten Entscheidungen als einen «Fremdkörper im Datenschutzrecht»; Wuermeling, DB 1996, S. 668, spricht von einer «sachfremde[n] Regelung»; vgl. auch Hartmann/Kriebel, S. 131 (Fn. 14); Rosenthal, Jusletter 2020, Rn. 106; Thouvenin/Früh, S. 11. ↵

Die Botschaft Totalrevision DSG, S. 7057, nennt das Beispiel einer Person, die aufgrund eines negativen Kreditscorings keinen Kreditkartenvertrag abschliessen kann. ↵

EG 71 Satz 1 DSGVO führt als Beispiel einer Entscheidung i.S.v. Art. 22 Abs. 1 DSGVO die automatische Ablehnung eines Online-Kreditantrags auf. ↵

Bericht Wirtschaftsauskunfteien, S. 26. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 40 ff. ↵

XXIII

Terminologische Vorbemerkungen

36

Übereinstimmender Begriff in DSG und DSGVO

Die Formulierungen des Begriffs der automatisierten Entscheidung sind in den beiden Erlassen ähnlich, aber nicht übereinstimmend. Während Art. 21 DSG «automatisierte Einzelentscheidungen» adressiert, spricht Art. 22 DSGVO von «automatisierten Entscheidungen im Einzelfall». Die DSGVO enthält ferner die Parenthese «einschließlich Profiling», die das schweizerische Parlament aus dem E-DSG gestrichen hat.[1] Damit war aber keine materielle Änderung beabsichtigt, wie deutlich aus den Materialien hervorgeht.[2] Womöglich sollte bloss klargestellt werden, dass ein Profiling an sich keine automatisierte Entscheidung darstellt.[3] Die DSGVO beschreibt ferner auch die erforderliche Aussenwirkung der Entscheidung anders, indem sie voraussetzt, dass die Entscheidung «rechtliche Wirkung entfaltet oder [die betroffene Person] in ähnlicher Weise erheblich beeinträchtigt». Das DSG knüpft an eine Entscheidung an, «die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt».

Darüber hinaus ist der DSGVO die Formulierung eigen, dass die betroffene Person das Recht hat, nicht einer Entscheidung «unterworfen zu werden». Diese schliesst nach einem Teil der (deutschsprachigen) Lehre Entscheidungen aus, bei denen der Verantwortliche die Bedingungen der Verarbeitung nicht einseitig festgelegt hat.[4] Wie sich allerdings aus dem Vergleich mit anderen Sprachfassungen ergibt,[5] lässt sich aus dieser Formulierung kaum etwas ableiten und wäre sie mit Vorteil weniger wertend als Recht zu übersetzen gewesen, «nicht Gegenstand einer […] Entscheidung zu werden».

Trotz der Unterschiede in der Wortwahl, die sich ohnehin als geringfügig bezeichnen lassen, hatte der schweizerische Gesetzgeber die Absicht, die automatisierten Entscheidungen nach dem Vorbild der DSGVO zu definieren: So verwies etwa der Bundesrat bereits in seiner Botschaft auf die «ähnliche Bestimmung» in Art. 22 DSGVO[6] und orientierte sich die zuständige (nationalrätliche) Kommission massgeblich am dort verwendeten Begriff.[7] Nicht zuletzt deshalb ist nach hier vertretener Ansicht der Begriff der automatisierten Entscheidung im europäischen und im schweizerischen Recht grundsätzlich gleich auszulegen.[8] Das Bundesamt für Justiz hielt denn auch kürzlich (freilich etwas zurückhaltender) fest, dass die europäischen Vorschriften im Rahmen der Auslegung des Begriffs der automatisierten Einzelentscheidung mitzuberücksichtigen seien.[9]

Auf eine Konkretisierung des Begriffs für das schweizerische Recht verzichtete der Bundesrat, obwohl er sie noch in seiner Botschaft «falls erforderlich» in Aussicht gestellt hatte.[10] Bereits sein Entwurf der Verordnung zum DSG kannte bloss einen Artikel zu den automatisierten Entscheidungen, der das Recht auf Überprüfung der Entscheidung betraf (vgl. Art. 21 Abs. 2 DSG);[11] letztlich fand gar keine Bestimmung über die automatisierten Entscheidungen Eingang in die DSV.

Vgl. Art. 19 Abs. 1 E-DSG, der die Parenthese «noch» vorsah. ↵

Amtl. Bull. SR 2019 S. 1241 (Votum Keller-Sutter); SPK-NR vom 31. Januar/1. Februar 2019, S. 39; vgl. auch Amtl. Bull. NR 2019 S. 1800 (Votum Glättli). ↵

Gemäss Rosenthal, Jusletter 2017a, Rn. 102, war die Parenthese in Art. 19 Abs. 1 E‑DSG nämlich dahingehend zu interpretieren, dass jedes Profiling eine automatisierte Entscheidung darstellt. Wie Vasella, in: Emmenegger, S. 197 f. (Fn. 32), zu Recht festhält, liess sich diese Interpretation aber (ohnehin) nicht auf den Wortlaut der genannten Bestimmung stützen und war die Parenthese – wie unter der DSGVO – lediglich illustrativ zu verstehen. ↵

So etwa Scholz, in: Simitis et al., Art. 22 N 18; Schulz, in: Gola/Heckmann, Art. 22 N 18; Vasella, in: Emmenegger, S. 195; vgl. noch Henseler, automatisierte Entscheidung, S. 304. ↵

So spricht die französische von «le droit de ne pas faire l’objet d’une décision», die englische von «the right not to be subject to a decision» und die spanische Sprachfassung von «derecho a no ser objeto de una decisión». Dabei benutzt die italienische Sprachfassung freilich die der deutschen ähnlichen Formulierung «diritto di non essere sottoposto a una decisione». ↵

Botschaft Totalrevision DSG, S. 7056. ↵

SPK-NR vom 31. Januar/1. Februar 2019, S. 39 f. ↵

BSK DSG-Henseler/Vasella, Art. 21 N 8; Hirsch/Merlino, S. 44; vgl. auch Suter F., S. 124; Toren, Rn. 16; Vasella, in: Emmenegger, 197; a.M. offenbar (nun) Hirsch, SZW 2024, S. 114 ff. ↵

BJ, Totalrevision, S. 21. ↵

Botschaft Totalrevision DSG, 7056. ↵

Art. 17 E-VDSG sprach sich lediglich über die Ausübung des Rechts auf Überprüfung einer automatisierten Entscheidung bzw. deren Folgen aus. ↵

37

Abgrenzung vom Profiling

Das Profiling ist eine besondere Art der automatisierten Datenbearbeitung, die sich durch ihre Bewertung eines persönlichen Aspekts einer natürlichen Person auszeichnet (vgl. Art. 5 lit. f DSG; Art. 4 Ziff. 4 DSGVO).[1] Bei der automatisierten Entscheidung handelt es sich demgegenüber nicht um einen automatisierten Datenbearbeitungsprozess an sich, sondern um eine darauf beruhende Entscheidung.[2] Diese Entscheidung muss eine Rechtsfolge oder eine ähnliche Beeinträchtigung gegenüber der betroffenen Person verursachen, wohingegen für das Profiling eine (konkrete[3]) Aussenwirkung nicht begriffsnotwendig ist.[4] Zudem bedarf eine automatisierte Entscheidung einer ausschliesslichen Automatisierung, während eine (teil‑)automatisierte Datenbearbeitung für das Profiling genügt.[5]

Ein Profiling kann, muss aber nicht, in eine automatisierte Entscheidung münden;[6] letzteres ist etwa der Fall, wenn die Entscheidung damit bloss vorbereitet, aber letztlich von einer natürlichen Person getroffen wird. Dies lässt sich anhand von Beispielen der Artikel‑29‑Datenschutzgruppe betreffend die Vergabe von Online-Krediten veranschaulichen:[7] Entscheidet eine natürliche Person zwar mithilfe einer rein automatisiert erstellten Kreditwürdigkeitsbeurteilung wie eines Kreditscores, aber grundsätzlich frei über die Gewährung eines Kredits, liegt ein Profiling, allerdings wohl keine automatisierte Entscheidung vor. Erfolgt jedoch eine Kreditentscheidung gestützt auf einen solchen Kreditscore ohne eigentliche Prüfung durch eine natürliche Person, so ist nicht nur ein Profiling, sondern auch eine automatisierte Entscheidung gegeben.

Umgekehrt setzt eine automatisierte Entscheidung nicht zwingend voraus, dass sie auf einem Profiling basiert.[8] Denn wie zu zeigen sein wird,[9] verlangt eine automatisierte Entscheidung nicht die für das Profiling charakteristische Bewertung eines Persönlichkeitsaspekts. Angesichts des breit gefassten Begriffs des Profilings und insbesondere der persönlichen Aspekte[10] wird in der Praxis indes vielen oder sogar den meisten automatisierten Entscheidungen ein Profiling vorangehen.[11] Ausnahmen sind aber denkbar, beispielsweise wenn einem Arbeitnehmenden vollautomatisiert gekündigt wird, nur weil er seinen 55. Geburtstag gefeiert hat, oder ein Arbeitgeber Bewerberinnen allein aufgrund ihres Geschlechts nicht zum Vorstellungsgespräch einlädt. Bei gegebenen Voraussetzungen einer automatisierten Entscheidung fehlt es hier für das Profiling an der Interpretation mit Erkenntnisgewinn, also der erforderlichen Bewertung.[12]

Vgl. dazu oben Teil 3, B.I.2. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 15; vgl. auch BJ, Totalrevision, S. 21; Heuberger, Rn. 186; zur DSGVO Daedelow, Rn. 15; Stengel/Stäuble, Rn. 36; Vasella, in: Emmenegger, S. 195. ↵

Ein Profiling mit hohem Risiko scheint zwar nach Art. 5 lit. g DSG ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person vorauszusetzen; jedoch genügt ein abstraktes Risiko, das – ungeachtet des Einzelfalls – vorliegt, wenn der Input des Profilings ein altrechtliches Persönlichkeitsprofil darstellt (vgl. dazu oben Teil 3, B.III.1.3). ↵

Zum DSG und zur DSGVO Bühlmann/Schüepp, Jusletter 2022, Rn. 132; zum DSG vgl. Suter F., S. 304 f.; zur DSGVO vgl. Vasella, in: Emmenegger, S. 196. ↵

Vgl. dazu oben Teil 3, B.I.2.2.b. ↵

Zum DSG BJ, Totalrevision, S. 21; Füzesséry/Schneider, in: Epiney/Rovelli, S. 146; Heuberger, Rn. 186; zur DSGVO Art.‑29‑DSG, Leitlinien Profiling und ADM, S. 8; Hänold, S. 125; Henseler, automatisierte Entscheidung, S. 308; Hladjk, in: Ehmann/Selmayr, Art. 22 N 6; Kamlah, in: Plath, Art. 22 N 2; Winkler, S. 64. ↵

Art.‑29‑DSG, Leitlinien Profiling und ADM, S. 9. ↵

Zum DSG BJ, Totalrevision, S. 21; Füzesséry/Schneider, in: Epiney/Rovelli, S. 146; Heuberger, Rn. 186; zur DSGVO Art.‑29‑DSG, Leitlinien Profiling und ADM, S. 8; Daedelow, Rn. 15; Hänold, S. 125; Winkler, S. 64. ↵

Vgl. dazu unten Teil 4, D.IV.1. ↵

Vgl. dazu oben Teil 3, B.I.2.1.c. ↵

Zum DSG Stengel/Stäuble, Rn. 36; vgl. auch Suter F., S. 307; zur DSGVO Brkan, S. 97; Bygrave, in: Kuner et al., S. 530; Vasella, in: Emmenegger, S. 195 f.; Veil, in: Gierschmann et al., Art. 22 N 53. ↵

Vgl. dazu oben Teil 3, B.I.2.1.a. ↵

XXIV

Zweck der Regelung

Obwohl die Platzierung der Bestimmungen über die automatisierten Entscheidungen im Datenschutzrecht Fragen aufwirft,[1] ging deren Erlass weder in der EU noch in der Schweiz eine fundierte Analyse der mit solchen Entscheidungen verbundenen Risiken voraus. Insbesondere der schweizerische Gesetzgeber begnügte sich im Wesentlichen mit der Feststellung, dass die vorgeschlagene Bestimmung den Anforderungen der Konv. 108+ entspreche und das EU-Recht ähnliche Bestimmungen enthalte.[2] Dies hat zur Folge, dass sich die ratio legis der Bestimmungen über automatisierte Entscheidungen nur schwer ergründen lässt.[3] Daher erscheint es angezeigt, nicht nur auf die Zwecke des historischen Gesetzgebers (nachfolgend I.), sondern davon losgelöst auch auf jene einzugehen, die den Bestimmungen nach heutigem Wertungshorizont zugemessen werden könnten und sollten (nachfolgend II.).[4]

Vgl. dazu oben Teil 4, A. ↵

Botschaft Totalrevision DSG, S. 7056; Erläuternder Bericht VE-DSG, S. 59. ↵

Vgl. Mendoza/Bygrave, S. 83; Thouvenin/Früh, S. 5 und 8. ↵

Zu diesen zwei Varianten der teleologischen Auslegung vgl. Kramer/Arnet, S. 173 f.; ferner Rösler, S. 979. ↵

38

Gesetzeshistorische Zwecke

Im Erläuternden Bericht zum Vorentwurf des DSG[1] sowie in der Botschaft klingt an,[2] dass die Regelung der Gefahr begegnen solle, die von der zunehmenden Häufigkeit automatisierter Entscheidungen ausgehe, weil die Entscheidungen potenziell auf unrichtigen Datengrundlagen beruhen würden. Überdies erwähnt der Bundesrat die Informationspflicht über automatisierte Entscheidungen unter dem Titel der Erhöhung der Transparenz von Datenbearbeitungen und der Verstärkung der Kontrolle durch die betroffenen Personen.[3] Ausweislich der Kommissionsunterlagen soll die Informationspflicht i.S.v. Art. 21 Abs. 1 DSG dazu dienen, der betroffenen Person die Wahrnehmung ihrer Rechte zu ermöglichen. Ausserdem sei das Auskunftsrecht nach Art. 25 Abs. 2 lit. f DSG insbesondere dafür gedacht, dass die betroffene Person Zusatzinformationen in Erfahrung bringen könne, wenn sie mit einer automatisierten Entscheidung nicht einverstanden sei.[4]

Den Erwägungsgründen der DSGVO und deren Materialien lässt sich hinsichtlich des Zwecks der Regelung automatisierter Entscheidungen und insbesondere von Art. 22 DSGVO wenig entnehmen.[5] So erwähnt EG 71 Satz 6 DSGVO bloss das Risiko von unrichtigen personenbezogenen Daten und Fehlern sowie von diskriminierenden Wirkungen,[6] allerdings vorab beim (gleichzeitigen) Einsatz von Profiling.[7] Nachdem die DSGVO die Regelung automatisierter Entscheidungen durch die Datenschutzrichtlinie, den Vorgängererlass der DSGVO, fortführt, lässt sich aber auf deren Materialien zur Ergründung der ratio legis zurückgreifen.[8]

Der Prototyp von Art. 22 DSGVO, Art. 15 DSRL, beabsichtigte gemäss der Kommission zum einen, dem Bedenken zu begegnen, dass der betroffenen Person die Möglichkeit entzogen würde, wichtige, sie tangierende Entscheidungen zu beeinflussen, wenn diese ausschliesslich auf der Grundlage ihres «Datenschattens» getroffen werden.[9] Zum anderen richtete sich die Bestimmung gegen die Gefahr, dass menschliche Entscheidungsträger maschinellen Entscheidungen fälschlicherweise einen scheinbar objektiven und unbestreitbaren Charakter beimessen und sich so der eigenen Verantwortung entziehen würden.[10] Damit äussert die Kommission zunächst eine Furcht vor unzureichender Qualität der Entscheidungen.[11] Zudem lässt sich ein Hinweis auf den sog. Automatisierungsbias, das Phänomen des übermässigen Vertrauens in automatisierte Entscheidungsvorschläge, hineininterpretieren.[12] Allerdings wird in den weiteren Ausführungen der Kommission deutlich, dass es ihr um die Sicherstellung einer (wenn auch vielleicht beeinflussten) menschlichen Beurteilung geht und nicht um die Adressierung von Unterstützungs- und Empfehlungssystemen, bei denen ein Automatisierungsbias auftreten kann.[13]

Erläuternder Bericht VE-DSG, S. 59, wonach automatisierte Entscheidungen in allen Wirtschaftsbereichen immer häufiger seien und teilweise auf der Grundlage falscher Daten getroffen würden. ↵

Botschaft Totalrevision DSG, S. 7057 f., wonach insb. das Beispiel einer betroffenen Person, die beruhend auf falschen oder veralteten Daten ein negatives Kreditscoring zugesprochen erhalte, die Problematik automatisierter Entscheidungen aufzeige. ↵

Botschaft Totalrevision DSG, S. 6972; vgl. auch Heuberger, Rn. 189; Suter F., S. 209 ff. Dies entspricht auch der Begründung des Bundesrates für die von ihm im Rahmen der Teilrevision des DSG im Jahr 2003 vorgeschlagene Informationspflicht über automatisierte Einzelentscheidungen (vgl. Art. 7b des Entwurfs des Bundesrates; BBl 2003, S. 2156). Die Informationspflicht verfolgte denselben Zweck wie die die Teilrevision anstossende Motion (Motion RK-SR [00.3000]), namentlich die Transparenz bei der Datenbearbeitung und insb. der Datenerhebung zu verbessern und die Position der betroffenen Personen in dem Sinne zu stärken, dass sie ihre Rechte besser geltend machen können (Botschaft Revision DSG 2003, S. 2134). Das Parlament strich allerdings die Informationspflicht aus der Vorlage, da die Tragweite und praktische Bedeutung der Bestimmung unklar und sie von der Motion nicht gefordert war (vgl. dazu Cottier, Rn. 13 f.; Meier, Rn. 931 ff.). ↵

SPK-NR vom 31. Januar/1. Februar 2019, S. 39 f. ↵

Vgl. Mendoza/Bygrave, S. 83; Tosoni, S. 160. ↵

Vgl. dazu Mendoza/Bygrave, S. 83; Tosoni, S. 161. ↵

Vgl. dazu oben Teil 3, C.I.2. ↵

Vgl. Mendoza/Bygrave, S. 83; Suter F., S. 200; Tosoni, S. 160. ↵

«Durch diese Bestimmung soll das Interesse der betroffenen Person an der Beteiligung an den Prozessen im Zusammenhang mit den für sie wichtigen Entscheidungen geschützt werden. Die Verwendung umfangreicher Datenprofile von Privatpersonen durch mächtige öffentliche und private Einrichtungen entzieht dem Einzelnen die Möglichkeit, Entscheidungsprozesse innerhalb dieser Institutionen zu beeinflussen, wenn die Entscheidungen ausschliesslich auf der Grundlage seines ‹Datenschattens› getroffen werden» (EG Kommission, Vorschlag DSRL, S. 32). ↵

«Die Gefahr einer mißbräuchlichen Verwendung der Informatik bei der Entscheidungsfindung ist eine der Hauptgefahren der Zukunft: Das von der Maschine gelieferte Ergebnis, die immer höher entwickelte Software und Expertensystemen (sic) zugrundelegt, hat einen scheinbar objektiven und unbestreitbaren Charakter, dem der menschliche Entscheidungsträger übermäßige Bedeutung beimessen kann, wenn er seiner Verantwortung nicht nachkommt» (EG Kommission, Geänderter Vorschlag DSRL, S. 26). Besser zum Ausdruck kommt die Frage der Verantwortung in der englischen Fassung, gemäss der «a human decision-maker may attach too much weight [to the result produced by the machine], thus abdicating his own responsibilities» (EC Commission, Amended Proposal DPD, S. 26). ↵

Mendoza/Bygrave, S. 83. ↵

Automatisierungsbias meint das Phänomen, wonach zur Entscheidung berufene Menschen die Neigung aufweisen, ein übermässiges Vertrauen in automatisiert hervorgebrachte Vorschläge und Empfehlungen zu stecken und diesen gegebenenfalls ohne Prüfung zu folgen (vgl. Parasuraman/Riley, S. 231 ff., insb. S. 239; ferner Pfister, S. 81 ff.; Skitka et al., S. 992 ff., je m.w.H.). ↵

«Verboten ist die strikte Anwendung der von dem System erzielten Ergebnisse durch den Benutzer. Die Informatik kann eine Hilfe für die Entscheidung darstellen, in keinem Fall aber die einzige Grundlage für diese sein; für die menschliche Beurteilung muss Raum sein» (EG Kommission, Geänderter Vorschlag DSRL, S. 27). ↵

39

Weitere denkbare Zwecke

Nicht zuletzt weil den Bestimmungen über die automatisierten Entscheidungen ein eindeutiges Schutzziel fehlt,[1] finden sich in der Lehre[2] verschiedene über die historische ratio legis hinausgehende Vorschläge für deren (möglichen) Zwecke:

Eine Ansicht sieht durch die Verbreitung automatisierter Entscheidungen die Menschenwürde und die menschliche Autonomie in Gefahr.[3] Bemüht wird vorab die sog. Objektformel,[4] wonach der Mensch nicht zum blossen Objekt einer maschinellen Entscheidung degradiert werden dürfe.[5] Ferner ist diesen Zwecken die Erwartung von betroffenen Personen zuzuordnen, bei Entscheidungen einem menschlichen Verantwortungssubjekt gegenüberzustehen, das hinsichtlich der Entscheidung Rede und Antwort steht.[6]

Die Verhinderung von Diskriminierung[7] und Bias[8] ist ein weiterer denkbarer Zweck,[9] den die Literatur zuweilen unter den (insbesondere rechtlich) wenig greifbaren Begriff der Fairness[10] subsumiert.[11] Diese negativen Effekte sind besonders beim Einsatz von Machine Learning ein Thema und ergeben sich etwa aus technisch-methodischen Entscheidungen oder verzerrten Trainingsdaten.[12]

Systeme wie insbesondere jene aus dem Bereich des Machine Learning stützen ihre Entscheidungen auf die Erkenntnisse aus Trainingsdaten, wodurch sie den status quo zu perpetuieren und ausserordentliche Fälle falsch zu beurteilen drohen.[13] Ein denkbarer Zweck liegt daher auch in der Sicherstellung eines Feedback-Mechanismus im System, um entsprechende Verbesserungen zu ermöglichen.[14]

Dammann, S. 312 f.; Steinbach, S. 27; vgl. auch Schulz, in: Gola/Heckmann, Art. 22 N 2; Zarsky, S. 1016 f. ↵

In der Rechtsprechung hat sich der EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 57, dazu geäussert – allerdings wenig konkret –, indem er festhielt, dass Art. 22 DSGVO die betroffene Person von den besonderen Risiken für ihre Rechte und Freiheiten schützen wolle, die mit der automatisierten Verarbeitung personenbezogener Daten – einschliesslich Profiling – verbunden seien und sprach (mit Verweis auf EG 71 DSGVO) diskriminierende Wirkungen an. GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 19, nannte auch von der Lehre diskutierte Zwecke, namentlich die Wahrung der menschlichen Würde, und implizit die Fairness und den Schutz vor Diskriminierung. ↵

de Terwangne, in: Epiney et al. 2022, S. 51 f.; Kaminski, SCLR 2019, S. 1541; vgl. auch Bygrave, CLSR 2001, S. 18; Kaminski, BTLJ 2019, S. 191; Thür, Jusletter IT 2015, Rn. 20. ↵

Vgl. dazu BSK BV-Belser/Molinari, Art. 7 N 11; Mahlmann, S. 1311. ↵

Kaminski, SCLR 2019, S. 1541; Pfeil, S. 89; Weber, Schweizer Monat Februar 2019, S. 73; vgl. auch Golla, S. 63; Suter F., S. 200 und 217, die diesen Zweck aus gesetzeshistorischer Sicht bei der DSGVO befürwortet, hingegen beim DSG ablehnt. ↵

Hartmann/Kriebel, S. 140. ↵

Das schweizerische und das europäische Antidiskriminierungsrecht kennen unterschiedliche Definitionen der Diskriminierung (vgl. dazu oben Teil 3, C.VII.2.2.a); auch die Lehre verwendet im Kontext von automatisierten Entscheidungen keinen einheitlichen Begriff (vgl. Weber/Henseler, EuZ 2020, S. 31 [Fn. 29]). ↵

Unter Bias lässt sich jede Befangenheit oder jedes Vorurteil für oder gegen eine Person oder Personengruppe verstehen (Thouvenin et al., EDPL 2022, S. 195; vgl. auch Angwin et al., o.S.). ↵

Vgl. Barocas/Selbst, S. 674; Kaminski, BTLJ 2019, S. 191; Kaminski, SCLR 2019, S. 1540. ↵

Zum Begriff der Fairness vgl. Castelluccia/Le Métayer, S. 43 ff.; Corbett-Davies et al., S. 5 f.; Kroll et al., S. 685 ff. Gemäss Kevekordes et al., S. 145 f., bestehen über 20 Masse für die Beurteilung der Fairness von automatisierten Entscheidungen. ↵

Thouvenin et al., EDPL 2022, S. 195 f.; Wachter et al., CLSR 2021, S. 21; vgl. auch Kevekordes et al., S. 161, welche die Integration von Fairnessmassen in bestehende Antidiskriminierungsgesetze prüfen; Weber/Henseler, EuZ 2020, S. 31. ↵

Barocas/Selbst, S. 678 ff.; Braun Binder et al., KI in der Verwaltung, S. 40 f.; Castelluccia/Le Métayer, S. 7 f.; Muñoz et al., S. 7 f. ↵

Expertengruppe Datenbearbeitung, S. 170; vgl. auch Datenethikkommission, S. 167; Thouvenin et al., ADM, Ziff. 2.10. ↵

Thouvenin/Früh, S. 10 f.; vgl. auch Thouvenin et al., ADM, Ziff. 3.10 f. ↵

40

Würdigung

Die Bestimmungen über die automatisierten Entscheidungen im Recht der EU und der Schweiz fussen auf der Feststellung, dass zunehmend «Maschinen statt Menschen Entscheidungen treffen».[1] Mit diesen Worten heben die Materialien die Automatisierung als das zentrale Charakteristikum des adressierten Phänomens hervor. Zugleich bringen sie zum Ausdruck, dass ein Normzweck nur zu überzeugen vermag, wenn er sich aus einem Unterschied zwischen menschlicher und maschineller Entscheidung ergibt.[2]

Gesetzeshistorische Zwecke

An einem solchen Unterschied bestehen bei der Entscheidungsqualität bereits nach dem heutigen Stand der Technik Zweifel,[3] die sich in Zukunft verstärken werden. Die Verwendung einer ausreichend grossen und qualitativ hochwertigen Datengrundlage erlaubt Entscheidungssystemen, ausreichend granular zu differenzieren, sodass sie menschlichen Entscheidungen zumindest ebenbürtig sind.[4] Nachdem Menschen ihrerseits heuristisch entscheiden und dabei verschiedenen kognitiven Verzerrungen unterliegen,[5] ist die Qualität automatisierter Entscheidungen kein überzeugender Normzweck.[6] Das gilt umso mehr in Bezug auf die Verhinderung unrichtiger oder unvollständiger Daten als Ursache schlechter Entscheidungen. Zum einen entscheidet auch ein Mensch falsch, wenn er nicht über richtige und vollständige Daten verfügt; zum anderen adressiert das Datenschutzrecht unrichtige Daten (als Entscheidungsgrundlage) bereits generell.[7]

Menschen akzeptieren regelmässig nur Entscheidungen, deren Begründung sie kennen und nachvollziehen können.[8] Um diesbezüglich Transparenz herzustellen, lassen sich Informationspflichten und anderweitige Transparenzvorgaben rechtfertigen, allerdings nicht nur bei maschinellen, sondern ebenso bei menschlichen Entscheidungen. Die fehlende Nachvollziehbarkeit ist nämlich keine den Maschinen eigene Problematik; vielmehr verbergen auch Menschen gerne die Motivation ihrer Entscheidungen oder schieben (auf Anfrage) scheinbare Gründe nach.[9] Die Transparenz überzeugt daher als eigenständiger Zweck für die Bestimmungen über die automatisierten Entscheidungen kaum. Als Wirksamkeitsvoraussetzung für die in deren Rahmen eingeräumten Betroffenenrechte hat sie allerdings ihre Berechtigung, kann doch die betroffene Person nur in Kenntnis der Entscheidung gegen diese vorgehen.[10]

Das Phänomen des Automatisierungsbias, das sich in die Materialien zur DSRL hineindeuten lässt, konnte die Wissenschaft nachweisen[11] und stellt tatsächlich eine Problematik dar, die – dem Namen entsprechend – Folge einer Automatisierung ist. Wie sich aus den weiteren Ausführungen der Kommission zu Art. 15 DSRL ergibt, war die Adressierung des Automatisierungsbias indes (auch) in der EU kein gesetzeshistorischer Zweck.[12] Ebenso wenig erscheint dies angesichts des Wortlauts ein überzeugender Zweck, nachdem die Bestimmungen über die automatisierten Entscheidungen die Ausschliesslichkeit der Automatisierung betonen und keinen Hinweis enthalten, dass auch maschinell unterstützte menschliche Entscheidungen erfasst sein sollen. Dies unterstreicht für das europäische Recht die KIVO, worin die EU dieses Phänomen anderweitig adressiert, nämlich mit einer Sensibilisierung der involvierten Menschen.[13]

Weitere denkbare Zwecke

Die Menschenwürde hat (jedenfalls nach schweizerischem Verständnis) notwendigerweise begrifflich offen zu bleiben.[14] Einer der zentralen Aspekte, die der Menschenwürde ihre Konturen verleihen, nämlich die Objektformel,[15] vermag allerdings als Zweck für die Bestimmungen über die automatisierten Entscheidungen nicht zu überzeugen: Eine Degradierung eines Menschen zum Objekt kann ebenso durch eine Maschine wie durch einen Menschen erfolgen;[16] sie ist weniger vom Urheber als von der konkreten Behandlung abhängig.[17] Ähnlich liesse sich wohl auch hinsichtlich der Erwartung der betroffenen Person argumentieren, dass ihr (zumindest bei wichtigen Entscheidungen) ein menschliches Verantwortungssubjekt gegenübersteht. Jedoch lässt sich als Hinweis auf diese Zweckausrichtung deuten, dass das DSG grundsätzlich und die DSGVO subsidiär zugunsten der betroffenen Person ein Recht auf Darlegung des eigenen Standpunkts und auf menschliche Überprüfung vorsehen (Art. 21 Abs. 2 DSG; Art. 22 Abs. 3 DSGVO).

Diskriminierende, von Bias geprägte und unfaire Entscheidungen sind gewiss keine mit der Automatisierung von Entscheidungen neu entstandenen Phänomene. Nach der Lehre unterscheiden sich aber automatisiert und menschlich verursachte Diskriminierungen im Wesentlichen in zwei Punkten, die eine besondere Regelung automatisierter Entscheidungen rechtfertigen könnten.[18]

Ein Unterschied bestehe darin, dass Algorithmen weniger intuitiv seien und nicht zwingend nach vom Menschen erkennbaren Merkmalen differenzieren würden, sodass die Gefahr bestehe, dass die betroffene Person über keinen Anhaltspunkt für die Diskriminierung verfüge oder diese jedenfalls nicht beweisen könne.[19] Diese Gefahr dürfte tatsächlich bestehen, ist aber letztlich Ausfluss der (allenfalls) fehlenden Nachvollziehbarkeit von Entscheidungen, welche die automatisierten von den menschlichen Entscheidungen – wie gesagt[20] – nicht grundsätzlich unterscheidet.

Der andere Unterschied liege in der Breitenwirkung der Diskriminierung, die sich bei einer (allfälligen) skalenmässig grossen Anwendung des Entscheidungssystems entfalte.[21] Zwar werden sich auch die Diskriminierungen eines gegenüber einer geschützten Gruppe negativ eingestellten menschlichen Entscheidungsträgers häufen,[22] doch kann die Automatisierung tatsächlich eine von einem Menschen kaum erreichbare Breitenwirkung ermöglichen.

Menschen vermögen (grundsätzlich) mit neuen Erfahrungen dazuzulernen und sind gegenüber veränderten Gegebenheiten offen. Dies unterscheidet sie von Maschinen ohne Feedback-Mechanismus, die an den ihnen mit den Trainingsdaten vermittelten Gegebenheiten festhalten und sich gegenüber Veränderungen verschliessen. Vor diesem Hintergrund würde die Sicherstellung eines Feedback-Mechanismus einen überzeugenden Zweck darstellen.[23] Allerdings lassen sich weder dem DSG noch der DSGVO Hinweise auf einen solchen Mechanismus entnehmen,[24] weshalb diesem denkbaren Zweck bei der Gesetzesinterpretation keine grosse Relevanz zukommen kann.

Vor diesem Hintergrund vermögen die meisten der in der Lehre diskutierten – ebenso wie die gesetzeshistorischen – Zwecke nicht oder nur teilweise zu überzeugen. Soweit sie dies aber tun, sind sie bei der im Folgenden vorzunehmenden Auslegung der Regelung und insbesondere der Begriffselemente der automatisierten Entscheidung zu berücksichtigen. Angesprochen sind damit die Menschenwürde, die Verhinderung von Diskriminierungen und Unfairness sowie die Transparenz. Da die Gesetzgeber mit der Regelung auch Defiziten bei der Entscheidungsqualität und der Datengrundlage begegnen wollten, sind auch diese Aspekte miteinzubeziehen, allerdings nach dem Gesagten ohne besonderes Gewicht.

Zum DSG vgl. Botschaft Totalrevision DSG, S. 7056; zur DSRL EG Kommission, Geänderter Vorschlag DSRL, S. 26. ↵

Vgl. Thouvenin et al., EDPL 2022, S. 197; Thouvenin/Früh, S. 7 f. ↵

Früher war die Fähigkeit zur Differenzierung von automatisierten Entscheidungssystemen mangelhaft, sodass sich eine Regulierung damit durchaus rechtfertigen liess (vgl. Thouvenin et al., Jusletter 2018, Rn. 4; Thouvenin/Früh, S. 9; ferner Huber H., S. 13, der dies 1960 anmahnte). ↵

Thouvenin et al., EDPL 2022, S. 194; Thouvenin/Früh, S. 9; vgl. auch Hartmann/Kriebel, S. 133. Kritisch dazu Büyüksagis, S. 236, wonach sich die Qualität aufgrund der zuweilen fehlenden Nachvollziehbarkeit der Funktionsweise von Algorithmen und der Auswahl der für die Errichtung der Algorithmen verwendeten Informationen nicht vergleichen lasse. Diese Umstände erscheinen jedoch unerheblich für die Beurteilung der Entscheidungsqualität an sich. ↵

Hanson/Kysar, S. 645 ff.; Tversky/Kahnemann, passim; vgl. auch Kaminski, SCLR 2019, S. 1538; Zweig, S. 14 f. ↵

Thouvenin et al., EDPL 2022, S. 194 f.; Thouvenin/Früh, S. 9; vgl. auch Rosenthal, Jusletter IT 2022, Rn. 24. ↵

Vgl. dazu oben Teil 3, C.V. ↵

Thouvenin et al., EDPL 2022, S. 196; vgl. auch Martini, JZ 2017, S. 1018. ↵

Thouvenin/Früh, S. 10; vgl. auch Thouvenin et al., EDPL 2022, S. 196. ↵

Vgl. Bayamlioğlu, S. 440; Martini, JZ 2017, S. 1018; Thouvenin et al., EDPL 2022, S. 196. ↵

Parasuraman/Riley, S. 239 ff.; Skitka et al., S. 1002 ff.; vgl. auch Pfister, S. 81 ff. ↵

Vgl. dazu oben Teil 4, C.I. ↵

Die Verwendung von Hochrisiko-KI-Systemen muss gemäss Art. 14 KIVO einer menschlichen Aufsicht unterliegen. Die natürliche Person, der die Aufsicht übertragen wurde, muss in der Lage sein, «sich einer möglichen Neigung zu einem automatischen oder übermäßigen Vertrauen in die von einem Hochrisiko-KI-System hervorgebrachte Ausgabe («Automatisierungsbias») bewusst zu bleiben, insbesondere wenn Hochrisiko-KI-Systeme Informationen oder Empfehlungen ausgeben, auf deren Grundlage natürliche Personen Entscheidungen treffen» (Art. 14 Abs. 4 lit. b KIVO). ↵

BGE 132 I 49 E. 5.1; BSK BV-Belser/Molinari, Art. 7 N 2; vgl. auch Mahlmann, S. 1310. ↵

BSK BV-Belser/Molinari, Art. 7 N 2 und 11; Mahlmann, S. 1311; vgl. auch BGE 127 I 6 E. 5b. ↵

Vgl. BGE 127 I 6 E. 5b, wo das Bundesgericht die Objektformel im Zusammenhang mit einer Beschwerde gegen eine medikamentöse Zwangsbehandlung thematisiert. ↵

Thouvenin et al., EDPL 2022, S. 194; Thouvenin/Früh, S. 9; vgl. auch Hartmann/Kriebel, S. 140, wonach die Objektformel das Entscheidungsobjekt, nicht das Entscheidungssubjekt in den Blick nimmt. ↵

Aufgrund der inhaltlichen Nähe von Bias und Diskriminierungen und weil zur Operationalisierung von Fairnessvorgaben gelegentlich das Diskriminierungsrecht herangezogen wird (Wachter et al., CLSR 2021, S. 3 und 29; vgl. auch Kevekordes et al., S. 160 ff.), lassen sich die obigen Überlegungen auf die denkbaren Zwecke der Fairness und der Verhinderung von Bias übertragen. ↵

Wachter et al., CLSR 2021, S. 3 und 29; vgl. auch Braun Binder et al., KI in der Verwaltung, S. 39; Hacker, S. 1167 ff.; Wildhaber et al., S. 476. ↵

Vgl. dazu oben Teil 4, C.III.1. ↵

Braun Binder et al., KI in der Verwaltung, S. 39; Datenethikkommission, S. 167. ↵

Vgl. Rosenthal, Jusletter IT 2022, Rn. 24. ↵

Thouvenin/Früh, S. 10 f.; vgl. auch Thouvenin et al., ADM, Ziff. 3.10 f. ↵

EG 71 Satz 6 DSGVO hält einzig fest, dass der Verantwortliche u.a. technische und organisatorische Massnahmen treffen sollte, mit denen sichergestellt wird, dass Faktoren, die zu unrichtigen Daten führen können, korrigiert werden und das Fehlerrisiko minimiert wird. Als solche Massnahme liesse sich ein Feedback-Mechanismus gewiss verstehen, der Erwägungsgrund verweist indes nicht darauf. ↵

XXV

Elemente einer automatisierten Entscheidung

Damit die Bestimmungen über die automatisierten Entscheidungen anwendbar sind, setzen das DSG und die DSGVO übereinstimmend[1] eine Entscheidung im Einzelfall (nachfolgend I.) voraus, die auf einer ausschliesslich automatisierten Datenbearbeitung beruht (nachfolgend II.) und eine relevante Auswirkung auf die betroffene Person verursacht (nachfolgend III.). Während die Bewertung von Persönlichkeitsmerkmalen (der betroffenen Person) kein Erfordernis darstellt, ist weiter eine gewisse Komplexität der Entscheidung erforderlich (nachfolgend IV.).

Vgl. dazu oben Teil 4, B.I. ↵

41

Entscheidung im Einzelfall

Begriffsverständnis im Allgemeinen

Das DSG und die DSGVO setzen eine «Entscheidung» (im Einzelfall) voraus, ohne diesen Begriff zu definieren. EG 71 Satz 1 DSGVO hält einzig fest, dass auch Massnahmen Entscheidungen sein können, woraus der EuGH ein weites Begriffsverständnis ableitet.[1] Als anscheinendes Relikt des Kommissionsentwurfs der DSGVO, der sich noch gegen «auf Profiling basierende Massnahmen» richtete,[2] kann diesem Hinweis allerdings kein massgebliches Gewicht zukommen.[3]

Im Gegensatz zum EuGH ging der im eben erwähnten Verfahren zuständige Generalanwalt näher auf den Begriff ein. Gemäss ihm impliziert eine «Entscheidung» aus etymologischer Sicht «eine ‹Auffassung› oder ‹Stellungnahme› zu einem bestimmten Sachverhalt»; die Entscheidung müsse auch verbindlich sein, um sich von einfachen Empfehlungen zu unterscheiden.[4] Weniger als diese Erwägungen leuchtet das Argument ein, wonach das Fehlen einer Legaldefinition den Schluss erlaube, dass der Gesetzgeber sich für einen weiten Begriff entschieden habe, der mehrere Handlungen umfassen könne.[5] Denn dieser Umstand lässt sich zumindest ebenso gut als Hinweis deuten, dass die «Entscheidung» im Sinne des üblichen Sprachgebrauchs zu verstehen ist. Falsch erscheint zudem die Position, dass die Einstufung einer Stellungnahme als Entscheidung eine Einzelfallprüfung auch der Schwere der Auswirkungen auf die betroffene Person erfordere.[6] Denn damit vermischt der Generalanwalt – ausweislich der in den Schlussanträgen zitierten Literaturstelle[7] – die (von ihm in seinen Schlussanträgen zuvor bereits bejahte) Voraussetzung der relevanten Auswirkung mit jener der Entscheidung.[8]

Nach einer in der Lehre verbreiteten Definition, die auch Elemente des Begriffsverständnisses des Generalanwalts enthält, ist unter einer Entscheidung ein aus mindestens zwei Varianten auswählender, gestaltender Akt mit in gewisser Weise abschliessender Wirkung zu verstehen.[9] Dieses Verständnis mag aus Sicht der Technik nicht zwingend erscheinen, zumal sich aus deren Warte sämtliche Handlungen einer Maschine als Entscheidungen fassen liessen.[10] Allerdings dürfte die Definition dem üblichen Sprachgebrauch des Begriffs der «Entscheidung» besser gerecht werden, gelten doch etwa «Beschlussfassung», «Alternative» oder «Auswahl» als deren Synonyme,[11] die an verschiedene Definitionselemente erinnern. Die im EG 71 Satz 1 DSGVO gegebenen Beispiele einer Ablehnung eines Online-Kreditantrags oder eines Online-Einstellungsverfahrens fügen sich in die vorgeschlagene Definition ebenso ein wie die in der Botschaft zum DSG aufgeführten Beispiele der Kündigung eines Vertrags, des Abschlusses eines Versicherungsvertrags und der automatisierten Steuerveranlagung.[12] Während vorab der auswählende Charakter und die abschliessende Wirkung die Entscheidung an sich charakterisieren,[13] klingt bei deren gestaltendem Element die für eine automatisierte Entscheidung erforderliche relevante Auswirkung an.[14]

Die Entscheidung muss sodann im Einzelfall ergehen. Während die DSGVO dies in der Überschrift zu Art. 22 DSGVO festhält, spricht das DSG in der Marginalie und in Art. 21 Abs. 1 DSG von einer «automatisierten Einzelentscheidung». Wie andere, insbesondere die französischen Sprachfassungen des DSG und der DSGVO zum Ausdruck bringen,[15] dürften aber vielmehr individuelle Entscheidungen gemeint sein.[16] Der (jedenfalls schweizerischen) Dogmatik des öffentlichen Rechts entsprechend, wären also bloss Entscheidungen erfasst, die eine oder mehrere bestimmte Personen individuell, nicht aber solche, die Personen als Teil einer Gruppe betreffen.[17] Diese Einschränkung würde aber zuweilen zu unbefriedigenden Ergebnissen führen und z.B. die Entscheidung einer Arbeitgeberin ausschliessen, sämtlichen Bewerbenden auf eine Stelle unter einem bestimmten Notendurchschnitt eine Absage zu erteilen. Funktional ausgelegt dürfte daher für die Individualität genügen, wenn (in der massgebenden Phase[18]) Daten der natürlichen Person bearbeitet werden, gegenüber der die Entscheidung eine relevante Auswirkung[19] zeitigt.[20] Unabhängig vom Verständnis der verlangten Individualität sind jedenfalls generell-abstrakte Rechtsverordnungen oder Statuten, generell-konkrete Allgemeinverfügungen oder strategische (Unternehmens‑)Entscheidungen keine automatisierten Entscheidungen.[21]

Die so verstandene Entscheidung stellt an sich keine Datenbearbeitung dar, sondern vielmehr das Ergebnis von Datenbearbeitungen.[22] Das macht auch die im DSG und besonders in der DSGVO angelegte Unterscheidung zwischen zugrunde liegenden Datenbearbeitungen einerseits und der anschliessenden Entscheidung andererseits sichtbar.[23] So differenzieren die Erlasse – namentlich in Art. 21 Abs. 1 DSG bzw. Art. 22 Abs. 1 DSGVO – bereits ihrem Wortlaut nach zwischen Bearbeitung und Entscheidung. Ausserdem sehen DSG und DSGVO unterschiedliche Rechte der betroffenen Person vor, indem sie ihr ein Widerspruchsrecht gegen Datenbearbeitungen[24] zum einen und spezifische Rechte bei automatisierten Entscheidungen[25] zum anderen vermitteln.

Auswählender Charakter und abschliessende Wirkung im Besonderen

Eine Entscheidung setzt – wie erwähnt – eine Auswahl aus Varianten und damit einen Spielraum voraus, den der Verantwortliche ausfüllt. An einer Auswahl aus Varianten und daher an einer Entscheidung im Sinne des DSG oder der DSGVO fehlt es, wenn nicht der Verantwortliche[26] die Grundlagen der Entscheidung bestimmt hat.[27] Ein solcher Fall liegt beispielsweise vor, wenn die «Entscheidung» lediglich eine Vereinbarung zwischen der betroffenen Person und dem Verantwortlichen umsetzt bzw. nachvollzieht,[28] wie dies üblicherweise beim Bargeldbezug am Bankomaten der Fall ist.[29] Ebenso wenig besteht die erforderliche Auswahl, wenn das Gesetz dem Verantwortlichen die Entscheidung ohne Spielraum vorgibt,[30] z.B. eine Kreditgeberin nach Art. 27a und Art. 28 KKG einen Kredit verweigern muss.[31]

Der Akt muss zumindest insofern abschliessende Wirkung haben bzw. verbindlich sein, als er eine oder mehrere Varianten des möglichen Entscheidungsinhalts für die betroffene Person ausschliesst.[32] Um die in EG 71 Satz 1 DSGVO und in der Botschaft[33] genannten Beispiele aufzugreifen, schliesst die Verweigerung eines bestimmten Kredits dessen Abschluss aus und eine Vertragskündigung die Fortführung des Vertragsverhältnisses. Diese Beispiele zeigen zugleich, dass es sich bei der Entscheidung zunächst um einen tatsächlichen oder rechtlichen Akt gegenüber der betroffenen Person zu handeln vermag. Überdies kann die automatisierte Entscheidung auch innerhalb eines Prozesses stattfinden, in dem eine weitere (menschliche oder automatisierte) Entscheidung hinzutritt, bevor sich die Auswirkung der automatisierten Entscheidung bei der betroffenen Person entfaltet.[34]

Bei solchen mehrstufigen Entscheidungsprozessen, auf die später zurückzukommen ist,[35] bedeutet das Zusammenspiel von auswählendem Charakter und abschliessender Wirkung einer Entscheidung allerdings, dass auf anschliessenden Stufen mangels verbleibendem Spielraum keine Entscheidung über den Gegenstand mehr vorliegen kann, über den auf einer vorangehenden Stufe entschieden wurde.[36] Denn entweder erfolgte auf der vorangehenden Stufe eine Entscheidung, sodass für die anschliessenden Stufen kein Spielraum mehr verbleibt, oder es besteht auf der anschliessenden Stufe noch Spielraum; dann wird zuvor aber noch keine Auswahl verbindlich getroffen.[37]

Kreditscore als Entscheidung?

Vorbemerkungen

Mit Urteil vom 1. Oktober 2021 hatte das Verwaltungsgericht Wiesbaden dem EuGH unter anderem die Frage zur Vorabentscheidung vorgelegt, ob (etwas verkürzt formuliert) bereits die Erstellung eines Kreditscores durch eine Auskunftei eine automatisierte Entscheidung i.S.v. Art. 22 Abs. 1 DSGVO darstelle, wenn der Kreditscore einem Dritten übermittelt werde und dieser Dritte den Kreditscore seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses massgeblich zugrunde lege.[38] Dies bejahte der EuGH am 7. Dezember 2023 in einem viel beachteten,[39] aber auch kritisierten[40] Urteil.[41]

Daraus schliesst die Lehre vereinzelt, dass der Kreditscore eine (automatisierte) Entscheidung darstelle.[42] Auch die hamburgische Aufsichtsbehörde leitete aus dem Urteil ab, dass bereits die abstrakte Bewertung des Risikos eines Zahlungsausfalls durch die Auskunftei als automatisierte Entscheidung qualifiziere.[43] Wie sich allerdings schon aus dem Konditionalsatz in der Vorlagefrage ergibt, entschied der EuGH nicht über die Berechnung des Kreditscores bzw. den Kreditscore an sich. Vielmehr ging es um die Frage, ob dieser Vorgang bzw. dieses Ergebnis als automatisierte Entscheidung anzusehen ist,[44] wenn ein Dritter den Kreditscore seiner rechtliche Wirkung entfaltenden oder in ähnlicher Weise erheblich beeinträchtigenden Entscheidung massgeblich zugrunde legt.[45] Der vom EuGH betrachtete Gegenstand liegt also im Entscheidungsprozess, der in einer Entscheidung über einen Kreditantrag endet.[46] Diese beiden Konstellationen sind – auch im Folgenden – zu unterscheiden.

Kreditscore unabhängig von einer Kreditentscheidung

Die von den Auskunfteien durchgeführte Berechnung des Kreditscores qualifiziert (üblicherweise) als Profiling im Sinne des DSG und der DSGVO.[47] In der Lehre scheint das «Kreditscoring» sogar eines der bevorzugten Beispiele für ein Profiling zu sein.[48] Die Bestimmungen über die automatisierten Entscheidungen knüpfen indes nicht an ein Profiling, sondern ausdrücklich an eine Entscheidung an;[49] sie grenzen vielmehr die automatisierte Bearbeitung, wozu das Profiling zählen kann, von der Entscheidung ab. Dies zeigt sich akzentuiert in der DSGVO,[50] äussert sich aber auch im DSG.

Art. 21 Abs. 1 DSG spricht nämlich von einer Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht. In ihrem bundesrätlichen Entwurf enthielt diese Bestimmung – wie Art. 22 Abs. 1 DSGVO – sogar noch die Parenthese «einschliesslich Profiling» (Art. 19 Abs. 1 E-DSG). Letztere ordnet das Profiling der zugrunde liegenden Bearbeitung zu und unterscheidet es damit (noch deutlicher) von der erst im Anschluss erfolgenden automatisierten Entscheidung. Da die Parenthese ohne Absicht einer materiellen Änderung gestrichen wurde,[51] kann diese Argumentation auch unter dem DSG Geltung beanspruchen. Während eine betroffene Person einem Profiling (eines privaten Verantwortlichen) als besondere Art der Datenbearbeitung nach Art. 30 Abs. 2 lit. b DSG widersprechen kann,[52] bleibt ihr das gegenüber einer Entscheidung, die keine Datenbearbeitung darstellt,[53] verwehrt. Gegen automatisierte Entscheidungen vermittelt ihr das DSG besondere Betroffenenrechte (Art. 21 Abs. 2 DSG). Demnach besteht auch unter dem DSG eine klare Unterscheidung zwischen Profiling und Entscheidung.

Neben dem Wortlaut und der Systematik sprechen auch gesetzeshistorische Argumente bei DSG und DSGVO dagegen, den Kreditscore als automatisierte Entscheidung zu betrachten:

Nachdem nämlich das Europäische Parlament – wie bereits angesprochen[54] – ein Widerspruchsrecht gegen Profiling und eine entsprechende Informationspflicht vorgeschlagen hatte,[55] entschied sich der Gesetzgeber letztlich, an automatisierte Entscheidungen anzuknüpfen. Bereits die Vorstufe der Entscheidung zu adressieren, als was das Profiling angesichts des Wortlauts von Art. 22 Abs. 1 DSGVO zu betrachten ist, stand also – anstelle der Bestimmungen über automatisierte Entscheidungen – zur Debatte, wurde aber verworfen. Dies, obwohl dem Gesetzgeber das Phänomen der automatisierten Kreditentscheidungen (vgl. EG 71 Satz 1 DSGVO) und damit wohl auch des Kreditscorings bekannt war.

Bei Art. 21 DSG orientierte sich die zuständige (nationalrätliche) Kommission massgeblich am Begriff der automatisierten Entscheidung in der DSGVO.[56] Zudem verdeutlicht die Botschaft in Bezug auf Art. 21 Abs. 1 DSG, dass der Kreditscore an sich keine automatisierte Entscheidung darstellt. Sie hält nämlich fest, dass über ein Profiling zu informieren sei, wenn dieses zu einer automatisierten Entscheidung führe, z.B. die betroffene Person aufgrund eines negativen Kreditscorings keinen Kreditkartenvertrag abschliessen könne.[57] Damit scheint der Bundesrat zwar eine Informationspflicht über das Profiling zu begründen, die im Gesetzeswortlaut keine Stütze findet (vgl. Art. 21 Abs. 1 DSG) und deshalb zweifelhaft erscheint, doch unterstreicht er damit auch, dass ein Profiling, konkret in der Form des Kreditscorings, an sich nicht ausreicht, sondern eine (separate) Entscheidung erforderlich ist.[58]

Mit Blick auf den Begriff der Entscheidung[59] könnte zwar behauptet werden, dass der Kreditscore mit seiner Bewertung insofern Varianten abschliessend ausschliesse, als der betroffenen Person kein anderer, insbesondere besserer Kreditscore zugewiesen werde. Auch liesse sich vorbringen, dass der Kreditscore kein Profiling, sondern dessen Ergebnis darstelle, das als Entscheidung i.S.v. Art. 22 Abs. 1 DSGVO qualifiziere.[60] Allerdings ignorieren diese Argumente die begriffsnotwendigen Elemente eines Profilings. Zum einen umfasst jedes Profiling eine Bewertung, also eine Schlussfolgerung mit einer gewissen subjektiven Komponente,[61] die insofern alternative Bewertungen (abschliessend) ausschliesst;[62] zum anderen bringt jedes Profiling mit den dadurch gewonnenen Erkenntnissen einen Output hervor,[63] der sich im vorgenannten Sinne als Entscheidung verstehen liesse.

Da nicht nur die Gesetzgeber gegen die direkte Adressierung des Profilings optierten, sondern auch der Wortlaut statt an das Ergebnis eines Profilings eben an eine Entscheidung – in der DSGVO sogar ausdrücklich in Abgrenzung zum Profiling – anknüpft, können die begriffsnotwendigen Elemente des Profilings nicht ausreichen, damit eine Entscheidung i.S.v. Art. 21 DSG bzw. Art. 22 DSGVO vorliegt. Vielmehr bedarf es zumindest zusätzlich der Nutzung des Outputs des Profilings, hier des Kreditscores, und einer Handlung gegenüber der betroffenen Person, etwa der Ablehnung eines Kreditantrags, damit eine automatisierte Entscheidung[64] vorliegen kann.[65]

Kreditscore als massgebliche Grundlage einer Kreditentscheidung

Voraussetzung der Massgeblichkeit

Im Verfahren betreffend die deutsche Auskunftei SCHUFA hatte der EuGH die Konstellation zu beurteilen, in welcher der von einer Auskunftei berechnete Kreditscore einem Dritten übermittelt und von diesem einer Kreditentscheidung, insbesondere einer Entscheidung über das Eingehen oder Ablehnen eines Kreditvertrags, massgeblich zugrunde gelegt wird. Wann diese Massgeblichkeit vorliegt, erläuterte der EuGH indes nicht näher. Er sprach lediglich von «eine[r] maßgeblichen Rolle bei der Gewährung eines Kredits», die dem Kreditscore zukommen müsse, und liess es genügen, dass die Kreditgeberin bei einem unzureichenden Kreditscore in nahezu allen Fällen den beantragten Kredit ablehne.[66] Der Generalanwalt erachtete die Massgeblichkeit als gegeben, wenn der Kreditscore die Entscheidung des Dritten so vorbestimme, dass sie nur noch einen formalen Charakter habe.[67]

Daraus leitet die Lehre unterschiedliche Verständnisse der Massgeblichkeit ab. Während nach einer Ansicht der Kreditscore die Entscheidung der Kreditgeberin vorwegnehmen muss,[68] reicht nach anderen Stimmen aus, wenn der Kreditscore nur eine von mehreren entscheidenden Beeinflussungen der Kreditentscheidung ist.[69] Angesichts des Wortlauts und der Gesetzeshistorie[70] rechtfertigt sich – wenn überhaupt[71] – nur ausnahmsweise, die Bestimmungen über die automatisierten Entscheidungen auf deren eigentliche Vorstufe anzuwenden. Deshalb ist die Massgeblichkeit eng auszulegen und der erstgenannten Lehrmeinung der Vorzug zu geben.

In diesem Sinne die massgebliche Grundlage wäre z.B. der Kreditscore, von dem ein Online-Shop allein abhängig macht, ob er einen Kauf auf Rechnung gewährt; nicht hingegen der Kreditscore, den eine Bank mit einem internen Kreditscore kombiniert, um über die Vergabe eines Darlehens zu entscheiden.[72] Ebenfalls nicht massgeblich stellt die Kreditgeberin auf den Kreditscore ab, wenn sich ein Mensch in relevanter Weise an der Kreditentscheidung beteiligt, etwa eine natürliche Person den Kreditscore überprüft.[73] Letzteres dürfte auch der Ansicht des vorlegenden Gerichts entsprechen,[74] dessen diesbezügliche Ausführungen der Generalanwalt sodann in seine Überlegungen aufnahm.[75] Wann eine relevante menschliche Beteiligung vorliegt, ist bei der Voraussetzung der ausschliesslich automatisierten Bearbeitung näher zu betrachten.[76]

In Bezug auf die praktische Bedeutung der Rechtsprechung ist ferner zu bedenken, dass in gewissen Kontexten, z.B. im schweizerischen Recht bei Konsumkrediten[77] und im europäischen Recht zudem bei Wohnimmobilienkrediten,[78] gesetzliche Vorgaben an die Prüfung der Kreditfähigkeit bzw. ‑würdigkeit bestehen. Diese Vorgaben, etwa an die einzufliessenden Daten oder die eigene Sorgfalt, wird die Kreditgeberin vielfach nicht erfüllen können, wenn sie die Bewertung des Kreditscores (unbesehen) übernimmt. Im Anwendungsbereich solcher oft auf Unionsrecht zurückgehenden Vorgaben lässt sich daher in Frage stellen, ob es für eine Kreditgeberin überhaupt möglich ist, ihre Kreditentscheidung in der vom EuGH verlangten Weise vom Kreditscore abhängig zu machen.[79]

Kreditscore auch als massgebliche Grundlage keine Entscheidung

In der vom EuGH betrachteten Konstellation, in welcher die Kreditgeberin massgeblich auf den Kreditscore abstellt, um einen Kredit zu gewähren oder abzulehnen, ist dem Gerichtshof insoweit zuzustimmen, als eine Entscheidung[80] vorliegt.[81] Weshalb diesfalls bereits der Kreditscore die Entscheidung darstellen soll, vermag der EuGH mit seinen überaus knappen Ausführungen zum Entscheidungsbegriff indes nicht überzeugend zu vermitteln.[82] Er führt dazu im Wesentlichen aus, dass (i) der Begriff mit Blick auf Art. 22 Abs. 1 DSGVO Handlungen mit rechtlicher Wirkung sowie solche erfasse, die eine erhebliche Beeinträchtigung verursachen würden, dass (ii) EG 71 DSGVO, wonach auch Massnahmen Entscheidungen sein können, für eine weite Auslegung spreche und (iii) dass der Begriff (wie der Generalanwalt ausgeführt habe) mehrere Handlungen umfassen könne, weshalb er weit genug sei, um den Kreditscore zu erfassen.[83] Während das erste Argument vorliegend irrelevant erscheint, kann dem zweiten mit Blick auf die Gesetzeshistorie des betreffenden Hinweises auf Massnahmen – wenn überhaupt – kein grosses Gewicht zukommen.[84] Das dritte Argument stützt sich indirekt auf die Schlussanträge des Generalanwalts ab, der vom Fehlen einer Legaldefinition auf einen breiten Entscheidungsbegriff schloss.[85] Dieser Schluss leuchtet nicht ein[86] und begründet auch nicht, weshalb nun der Kreditscore eine Entscheidung sein soll.

Der Generalanwalt ging zuvor zwar näher auf den Begriff ein,[87] ignorierte aber gerade, dass es dem Kreditscore an der von ihm verlangten Verbindlichkeit fehlt. Ein Kreditscore schliesst an sich noch keine Variante der Kreditentscheidung abschliessend aus, sondern dient vielmehr als Grundlage, allenfalls als Empfehlung, für die anschliessende, womöglich automatisierte Entscheidung. Selbst wenn die Kreditgeberin den Kreditscore auf eine Weise verwendet und gegebenenfalls durch entsprechende interne Regeln und Praktiken einbindet, dass sie sich bei der Kreditvergabe massgeblich vom Kreditscore leiten lässt, erfolgt der Ausschluss von Varianten und damit die Entscheidung erst durch die Einbindung des Kreditscores durch die Kreditgeberin.[88] Gegen die Qualifikation des Kreditscores als Entscheidung lassen sich überdies auch hier die in Wortlaut und Systematik angelegte Unterscheidung zwischen automatisierter Bearbeitung und Profiling zum einen und darauf beruhender Entscheidung zum anderen sowie die erwähnten gesetzeshistorischen Argumente vorbringen.[89] Aus all diesen Gründen liegt es fern, schon den Kreditscore als Entscheidung einzustufen.[90]

Anschlussfrage zum «Verantwortlichen»

Bei ihrer Beurteilung, dass in der hier interessierenden Konstellation bereits der Kreditscore eine automatisierte Entscheidung darstelle, liessen sich der EuGH bzw. der Generalanwalt nicht zuletzt von der Folgeerwägung leiten, wem das Pflichtenprogramm bei automatisierten Entscheidungen obliegt.[91] Diese gedankliche Ausrichtung klingt bereits in den Erwägungen zum Begriff der Entscheidung an und tritt im Rest des Urteils bzw. der Schlussanträge noch stärker zu Tage. Daher ist hier nicht nur der Begriff der Entscheidung, sondern auch jener des «Verantwortlichen» i.S.v. Art. 22 DSGVO (bzw. i.S.v. Art. 21 DSG) entscheidend, selbst wenn der EuGH und der Generalanwalt diese Frage nicht ausdrücklich adressierten.[92] Dies wäre aber angezeigt gewesen, weil es sich bei einer Entscheidung nicht um eine Datenbearbeitung handelt,[93] und der Begriff des Verantwortlichen an eine – allenfalls von einem anderen Akteur vorgenommene – Datenbearbeitung anknüpft (Art. 5 lit. j DSG; Art. 4 Ziff. 7 DSGVO).[94]

Demnach gibt es zwar einen Verantwortlichen im legaldefinierten Sinn für die zugrunde liegenden (automatisierten) Bearbeitungen, nicht hingegen für die Entscheidung an sich. Dass sich das Pflichtenprogramm – wie der EuGH bzw. der Generalanwalt beiläufig ausführen – an den Akteur richtet, dessen Handlung als Entscheidung qualifiziert bzw. der die «relevante ‹Entscheidung›» fällt,[95] ist nicht selbstverständlich und supponiert eine entsprechende Auslegung des «Verantwortlichen» in Art. 21 DSG und Art. 22 DSGVO. Ob eine Auskunftei Verantwortliche einer automatisierten Entscheidung ist, wenn die Kreditgeberin bei einem Kreditentscheid (massgeblich) auf den Kreditscore abstellt, betrifft also (auch) die Frage nach dem Verpflichteten, dem Träger des Pflichtenprogramms bei automatisierten Entscheidungen. Unter diesem Titel ist die Frage später zu behandeln.[96]

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 45. ↵

EG 58 und Art. 20 E-DSGVO KOM; vgl. auch Lorentz, S. 261. ↵

Abel, ZD 2018a, S. 305; Steinbach, S. 115; vgl. auch Paal, in: Specht-Riemenschneider et al., S. 337; a.M. offenbar Piltz, S. 635 f. ↵

Zur DSGVO GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 37. ↵

Zur DSGVO so aber GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 38. ↵

Zur DSGVO so aber GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 39. ↵

Der Generalanwalt verweist auf Helfrich, in: Sydow/Marsch, Art. 22 N 51 (in der insofern wortgleichen Vorauflage), wo die Tatbestandsvariante der erheblichen Beeinträchtigung erörtert wird. ↵

Henseler, GA EuGH C‑634/21, o.S. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 10; zur DSGVO Kumkar/Roth-Isigkeit, S. 279; Lorentz, S. 261; Schulz, in: Gola/Heckmann, Art. 22 N 17; vgl. auch Bygrave, in: Kuner et al., S. 532; Mendoza/Bygrave, S. 87; Steinbach, S. 116; Wenhold, S. 236. ↵

Vgl. Thouvenin et al., ADM, Ziff. 1.1. ↵

Duden Online, «Entscheidung», abrufbar unter <https://www.duden.de/recht​schrei​bung/Entscheidung>, zuletzt besucht am 30. September 2024. ↵

Auf den (abgelehnten) Online-Kreditantrag gemünzt, liegen die Varianten, aus denen ausgewählt wird, in der Gewährung oder Ablehnung des Kredits. Mit der Ablehnung erfolgt sodann ein gestaltender Akt, der den Prozess der Kreditprüfung abschliesst. ↵

Vgl. dazu unten Teil 4, D.I.2. ↵

Vgl. dazu unten Teil 4, D.III. ↵

Art. 21 DSG und Art. 22 DSGVO sprechen auf Französisch übereinstimmend von «décision individuelle automatisée». Die italienische Sprachfassung des DSG spricht ähnlich von «decisione individuale automatizzata», während diejenige der DSGVO die Wendung «processo decisionale automatizzato relativo alle persone fisiche» verwendet. Dafür benutzt auch die englische Version der DSGVO die Formulierung «automated individual decision-making». ↵

Daran ändert (unter dem DSG) – entgegen der Ansicht von Suter F., S. 269 f. – nichts, dass es sich bei den automatisierten Entscheidungen von Bundesorganen nach der Botschaft grundsätzlich um Verfügungen handle (vgl. Botschaft Totalrevision DSG, S. 7059), zumal es auch generell-konkrete und individuell-abstrakte Verfügungen gibt (BSK DSG-Henseler/Vasella, Art. 21 N 13). ↵

Zum DSG CR LPD-Flueckiger, Art. 21 N 2; vgl. auch PC LPD-Jaccoud et al., Art. 21 N 25; Rosenthal, Jusletter 2020, Rn. 110; zur DSGVO Strassemeyer/Quiel, in: Freund et al., Art. 22 N 24; vgl. auch Scholz, in: Simitis et al., Art. 22 N 17; von Lewinski, in: Wolff et al., Art. 22 N 15. ↵

Vgl. dazu unten Teil 4, D.II.2.1. ↵

Vgl. dazu unten Teil 4, D.III. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 13. ↵

Zum DSG vgl. Rosenthal, Jusletter 2020, Rn. 110; zur DSGVO Henseler, automatisierte Entscheidung, S. 304; Scholz, in: Simitis et al., Art. 22 N 17; von Lewinski, in: Wolff et al., Art. 22 N 15. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 15; zur DSGVO Tosoni, S. 153, der auch auf die Legaldefinition von «Verarbeitung» abstellt, die in der englischen Sprachfassung von einer «operation […] performed on personal data» spricht; vgl. auch Bygrave/Tosoni, in: Kuner et al. (Update), S. 31 f.; Ziegenhorn, Rn. 6. ↵

Zur DSGVO Horstmann/Dalmer, S. 263 f.; Ziegenhorn, Rn. 6; vgl. auch Taeger, BKR 2024, S. 43; Tosoni, S. 154. ↵

Art. 30 Abs. 2 lit. b DSG; Art. 21 DSGVO. ↵

Vgl. dazu unten Teil 4, E.I.2. ↵

Eine Entscheidung liegt aber dennoch vor, wenn der Verantwortliche sie selbst anhand vorbestimmter Regeln, etwa im Rahmen der Programmierung eines Systems, determiniert (zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 11; im Ergebnis wohl gl.M. Suter F., S. 261 ff.; a.M. Depierre, Rn. 60; zur DSGVO vgl. Scholz, in: Simitis et al., Art. 22 N 18). ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 11; zur DSGVO Vasella, in: Emmenegger, S. 197; vgl. auch Scholz, in: Simitis et al., Art. 22 N 18; Schulz, in: Gola/Heckmann, Art. 22 N 18, die indes auch auf die deutsche Formulierung des «Unterworfenseins» abstellen (vgl. dazu oben Teil 4, B.I.). ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 11; vgl. auch CR LPD-Flueckiger, Art. 21 N 4 i.f.; zur DSGVO Scholz, in: Simitis et al., Art. 22 N 18; vgl. auch Kamlah, in: Plath, Art. 22 N 6; Schulz, in: Gola/Heckmann, Art. 22 N 18. ↵

Der Bargeldbezug richtet sich nach der vertraglichen Vereinbarung mit der Bank, welche diesen dementsprechend vollzieht oder verweigert (zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 11; Rosenthal, Jusletter 2020, Rn. 108; vgl. auch Métille, S. 27, wonach solche Bezüge als einfache Entscheidungen nicht erfasst seien; zur DSGVO Scholz, in: Simitis et al., Art. 22 N 18; Schulz, in: Gola/Heckmann, Art. 22 N 18). ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 11; a.M. wohl Wiederkehr/Meyer, S. 1105; zur DSGVO vgl. von Lewinski, in: Wolff et al., Art. 22 N 18. ↵

Diese Bestimmungen verpflichten die Kreditgeberin bei bestimmten Konsumkrediten, eine Kreditfähigkeitsprüfung vorzunehmen (vgl. dazu auch oben Teil 1, B.II.1.) und einen Kredit lediglich bei einem positiven Prüfungsausgang zu gewähren (Barnikol, S. 137; Eggen/Stokar, Rn. 7.47). ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 12; zur DSGVO vgl. Bygrave, in: Kuner et al., S. 532. ↵

Botschaft Totalrevision DSG, S. 7057. ↵

Ein Beispiel dafür wäre eine Bank, die gestützt auf einen eigenen Kreditscore und ohne weitere Prüfung entscheidet, der betroffenen Person einen Kredit zu Standardkonditionen zu versagen, aber noch eine natürliche Person einsetzt, die anschliessend darüber entscheidet, den Kreditantrag abzulehnen oder dennoch zu ungünstigen Konditionen gutzuheissen. Die natürliche Person entscheidet hier noch über die Ablehnung oder die Gutheissung zu ungünstigen Konditionen, bevor sich die Auswirkung gegenüber der betroffenen Person manifestiert. ↵

Vgl. dazu unten Teil 4, D.II.3.3.b. ↵

Zur DSGVO vgl. Henseler, EuGH C‑634/21, o.S.; unklar EuGH, Rs. C‑634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 61 ff., der einerseits festhält, dass bei einer (von ihm abgelehnten) «engen Auslegung» von Art. 22 Abs. 1 DSGVO «nur die vom Dritten [also der Kreditgeberin] vorgenommene Handlung gegebenenfalls als ‹Entscheidung› […] eingestuft werden kann» (Ziff. 61). Diese Formulierung mit «nur» lässt sich so lesen, dass bei der vom EuGH vertretenen Auslegung mehrere Entscheidungen (über denselben Gegenstand) möglich sind (konkret: der Kreditscore und die Kreditentscheidung). Andererseits spricht der EuGH in Bezug auf die Hypothese einer «engen Auslegung» (auch) von «der Annahme, dass die von ihm [also dem Dritten] vorgenommene Handlung unter Art. 22 Abs. 1 DSGVO fiele, da sie die Voraussetzungen für die Anwendung dieser Bestimmungen erfüllte» (Ziff. 63). Diese im Konjunktiv formulierte Annahme kann dahingehend interpretiert werden, dass bei der Auslegung des EuGH die Kreditentscheidung nicht Art. 22 Abs. 1 DSGVO untersteht (wenn und weil dies bereits der Kreditscore tut); dementsprechend vermag – je nach Auslegung – nur entweder die Handlung der Auskunftei oder jene der Kreditgeberin eine automatisierte Entscheidung darzustellen. Die Literatur bejaht teilweise das Vorliegen von zwei Entscheidungen, ohne aber auf die hier angesprochene Problematik dieser Ansicht einzugehen (vgl. Krüger, S. 74, in Bezug auf den Kreditscore, der eben kein Profiling, sondern ein Ergebnis eines Profilings und damit eine Entscheidung sei, weshalb zwei Entscheidungen bestünden; Langenbucher, S. 67, mit dem ergebnisorientierten Argument in Bezug auf den Kreditscore, dass die betroffene Person damit nicht nur gegenüber der Auskunftei, sondern auch der Kreditgeberin ein Auskunftsrecht habe). ↵

Während der natürlichen Person im obigen Beispiel noch Spielraum hinsichtlich der Ablehnung oder der Gutheissung zu ungünstigen Konditionen verbleit, liegt bei der Verweigerung von Standardkonditionen bereits eine Entscheidung vor. ↵

VGer Wiesbaden, 6 K 788/20 vom 1. Oktober 2021, in: BeckRS 2021, 30719, Tenor Ziff. 1. Ausserdem hat das VGer dem EuGH die Frage vorgelegt, ob Art. 6 Abs. 1 und Art. 22 DSGVO einer innerstaatlichen Regelung, konkret § 31 BDSG/DE, entgegenstehe, nach der die Verwendung eines Wahrscheinlichkeitswerts (Scoring) nur unter bestimmten weiteren Voraussetzungen zulässig sei. GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 60 ff., stufte § 31 BDSG/DE als mit der DSGVO unvereinbar ein; der EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 71, äusserte diesbezüglich durchgreifende Bedenken. In Reaktion darauf plant der deutsche Gesetzgeber, § 31 BDSG/DE zu streichen und durch einen § 37a BDSG-RegE/DE zu ersetzen (vgl. Gesetzesbegründung Änderung BDSG/DE, S. 1 f., 10 f. und 22 f.), der als Ausnahme vom Recht ausgestaltet ist, nicht einer automatisierten Entscheidung unterworfen zu werden (vgl. Art. 22 Abs. 2 lit. b DSGVO; ferner dazu auch unten Teil 4, E.I.3.1). ↵

Vgl. dazu statt vieler Hense, S. 192 ff.; Radtke, S. 153 ff.; Ziegenhorn, Rn. 1 ff. ↵

Vgl. Henseler, EuGH C‑634/21, o.S.; Taeger, BKR 2024, S. 41 ff.; ferner Paal, ZfDR 2023, S. 114 ff., zu den im Ergebnis übereinstimmenden Schlussanträgen des Generalanwalts. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 40 ff., insb. Ziff. 73. ↵

Zur DSGVO vgl. Krüger, S. 74 (vor den Schlussanträgen); Strassemeyer, S. 103 (vor dem Urteil); ferner Hense, S. 195, der das Urteil des EuGH bespricht und von einem Verbot von Profiling spricht. ↵

Zur DSGVO HmbBfDI, Auswirkungen des Schufa-Urteils auf KI-Anwendungen, abrufbar unter <https://datenschutz-hamburg.de/news/auswirkungen-des-schufa-urteil-auf-ki-anwendungen>, zuletzt besucht am 30. September 2024. ↵

Die Vorlagefrage und entsprechend auch die Antwort des EuGH richten sich auf «die automatisierte Erstellung eines Wahrscheinlichkeitswerts» als «Entscheidung» (vgl. EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. [Scoring], Ziff. 27 und 73). Allerdings kann – wenn überhaupt – nur der Wahrscheinlichkeitswert selbst eine Entscheidung sein (vgl. EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. [Scoring], Ziff. 46), nicht hingegen die Ermittlung des Wahrscheinlichkeitswerts, die vielleicht einen Entscheidungsprozess darstellt. Da der EuGH letztlich – so oder anders formuliert – zu klären hatte, ob einer Auskunftei in der betrachteten Konstellation das Pflichtenprogramm bei automatisierten Entscheidungen obliegt, ist diese Differenzierung aber von untergeordneter Bedeutung. ↵

Taeger, BKR 2024, S. 42. ↵

Vgl. Paal, ZfDR 2023, S. 128. ↵

Vgl. dazu oben Teil 3, B.I.2.4. ↵

Vgl. dazu oben Teil 3, A. ↵

Vgl. Art. 21 und Art. 25 Abs. 2 lit. f DSG; Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g, Art. 15 Abs. 1 lit. h und Art. 22 DSGVO. ↵

Vgl. dazu oben Teil 3, C.I.3. ↵

Vgl. dazu oben Teil 4, B.I. ↵

Vgl. dazu oben Teil 3, C.I.3. ↵

Vgl. dazu oben Teil 4, D.I.1. ↵

Vgl. dazu oben Teil 3, C.I.3. ↵

Art. 14 Abs. 1 lit. ga und 20 Abs. 1 E-DSGVO EP. ↵

Vgl. dazu oben Teil 4, B.I. ↵

Botschaft Totalrevision DSG, S. 7057; vgl. auch Amtl. Bull. SR 2019 S. 41 (Votum Keller-Sutter). ↵

A.M. Uttinger/Geiser, Rn. 3.29, die mit Hinweis auf die zitierte Stelle in der Botschaft aus Art. 21 Abs. 1 DSG ableiten, dass eine Informationspflicht über das Profiling bestehe, wenn dieses mit Rechtsfolgen verbunden sei oder eine erhebliche Beeinträchtigung verursache. Dabei unterschlagen sie, dass die Botschaft Totalrevision DSG, S. 7057, verlangt, dass das Profiling zu einer Entscheidung führt, die sodann über eine relevante Auswirkung verfügt. ↵

Vgl. dazu oben Teil 4, D.I.2. ↵

Zur DSGVO so Krüger, S. 74. ↵

Vgl. dazu oben Teil 3, B.I.2.1.a. ↵

Zum DSG vgl. Bühlmann/Schüepp, Jusletter 2022, Rn. 132; Vasella, in: Emmenegger, S. 195. ↵

Vgl. dazu oben Teil 3, B.I.2.1.a. ↵

Daneben müsste der Kreditscore die weiteren Voraussetzungen einer automatisierten Entscheidung, insb. jene der relevanten Auswirkung (vgl. dazu unten Teil 4, D.III.), erfüllen. Eine Rechtsfolge wird der Kreditscore an sich nicht entfalten; ob er die betroffene Person erheblich beeinträchtigt, erscheint fraglich (vgl. Taeger, BKR 2024, S. 45, der auch darauf abstellt, dass der Kreditscore nicht auf eine solche Auswirkung abzielt), kann an dieser Stelle jedoch offenbleiben, da es bereits an einer Entscheidung fehlt. ↵

Vgl. Paal, ZfDR 2023, S. 130, wonach die Entscheidung in ihrer Funktion über die bloss entscheidungsvorbereitende Bewertung durch Profiling hinausgehen müsse. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 48 f. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 46 f., insb. Ziff. 47, der im Übrigen vor allem das vorlegende Gericht zitiert, das davon sprach, dass der Kreditscore «durch die Entscheidung des dritten Verantwortlichen durchschlägt» und ihm bei der «Kreditvergabe und der Gestaltung ihrer Bedingungen die entscheidende Rolle zukommt» (vgl. VGer Wiesbaden, 6 K 788/20 vom 1. Oktober 2021, in: BeckRS 2021, 30719, Rn. 25). ↵

Strassemeyer, S. 103; Ziegenhorn, Rn. 17; vgl. auch Blasek, ZD 2024, S. 260, wonach der Entscheidungsprozess so angelegt sein müsse, dass ein bestimmter Scorewert zwangsläufig zur Ablehnung eines Kredits führe; Genicot, o.S., der vorauszusetzen scheint, dass der Kreditscore das einzige Kriterium darstellt. ↵

Hense, S. 195; vgl. auch Schild, S. 164, der die Massgeblichkeit verneint, wenn der Kreditscore nur eine untergeordnete Rolle spiele, also nur einen kleinen Teil der Gesamtbewertung einnehme; ferner Bundeskartellamt, S. 82, das indes strenger sein dürfte, wenn es die Massgeblichkeit ausschliesst, falls der Kreditscore «nicht (allein) entscheidend ist». ↵

Vgl. dazu oben Teil 3, C.I.3. ↵

Vgl. dazu unten Teil 4, D.I.3.3.b und E.III.2. ↵

Vgl. Kremer, Rn. 49, der es für denkbar hält, dass die Massgeblichkeit bei der Berücksichtigung mehrerer unterschiedlicher Wahrscheinlichkeitswerte fehle. ↵

Vgl. Kremer, Rn. 49, wonach denkbar sei, dass ein «human in the loop» die Massgeblichkeit aufhebe; Paal/Hüger, S. 541, die dasselbe annehmen, wenn sich ein menschlicher Entscheider hinreichend konkret mit der Entscheidung auseinandersetze; Thüsing et al., RDV 2023, S.87, die sich an der von Art. 22 DSGVO verlangten ausschliesslich automatisierten Verarbeitung orientieren und darauf hinweisen, dass eine natürliche Person die Entscheidung überprüfen und in eine eigene übersetzen könne. ↵

Vgl. VGer Wiesbaden, 6 K 788/20 vom 1. Oktober 2021, in: BeckRS 2021, 30719, Rn. 25: «Wenngleich jedenfalls rein hypothetisch die [Kreditgeberinnen] eine eigene Entscheidung über das Ob und Wie des Eingehens einer vertraglichen Beziehung mit der betroffenen Person treffen können, weil zu diesem Stadium des Entscheidungsprozesses eine humangesteuerte Einzelfallentscheidung grundsätzlich noch möglich ist, wird diese Entscheidung praktisch in so erheblichem Maße durch den von Wirtschaftsauskunfteien übermittelten Score-Wert determiniert, dass jener gleichsam durch die Entscheidung [der Kreditgeberinnen] durchschlägt.» ↵

Vgl. GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 46. ↵

Vgl. dazu unten Teil 4, D.II.3. ↵

Vgl. dazu oben Teil 1, B.II.1. ↵

Vgl. Art. 18 ff. RL 2014/17/ЕU (betr. Wohnimmobilienkredite); Art. 18 f. RL (EU) 2023/2225 bzw. aktuell noch Art. 8 RL 2008/48/EG (betr. Verbraucherkredite). ↵

Paal, ZfDR 2023, S. 127; vgl. auch Marsch/Kratz, S. 393; Taeger, BKR 2024, S. 43 und 45 f. ↵

Damit die Bestimmungen über die automatisierten Entscheidungen anwendbar sind, müssen zudem deren übrigen Voraussetzungen vorliegen (vgl. dazu unten Teil 4, D.II., D.III. und D.IV.). Beim hier vertretenen Verständnis der Massgeblichkeit (vgl. dazu oben Teil 4, D.I.3.3.a) dürfte zumindest die ausschliessliche Automatisierung gegeben sein. ↵

Vgl. Paal, ZfDR 2023, S. 127 i.f. (zu den Schlussanträgen), der dem Generalanwalt insoweit zustimmt, als der Anwendungsbereich von Art. 22 Abs. 1 DSGVO in Fällen eröffnet sei, in denen die Kreditgeberin gestützt auf den Kreditscore und ohne relevante menschliche Beteiligung einen Kredit ablehne. ↵

Vgl. ebenfalls kritisch Paal, ZfDR 2023, S. 130 f., zu den Schlussanträgen; Taeger, BKR 2024, S. 45, zu den Schlussanträgen und dem Urteil. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 44 ff. ↵

Vgl. dazu oben Teil 4, D.I.1. ↵

Vgl. GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 38. ↵

Vgl. GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 38. ↵

Vgl. dazu oben Teil 4, D.I.1. ↵

Vgl. Kalchev, S. 439 f.; Paal, ZfDR 2023, S. 131; Taeger, BKR 2024, S. 44. ↵

Vgl. dazu oben Teil 4, D.I.3.2. ↵

Zum DSG gl.M. Bericht Wirtschaftsauskunfteien, S. 26; BSK DSG-Henseler/Vasella, Art. 21 N 12; a.M. offenbar Peter et al., S. 52, wonach die Tätigkeit der Auskunfteien eine Entscheidung i.S.v. Art. 21 DSG umfasse und die Auskunfteien diese Bestimmung künftig bei Entscheidungen mit Rechtsfolgen beachten müssten; zur DSGVO gl.M. Paal, ZfDR 2023, S. 138; Taeger, BKR 2024, S. 43; vgl. auch Blasek, ZD 2024, S. 259; Hirsch, SZW 2024, S. 116; a.M. EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 40 ff., insb. Ziff. 73; ähnlich GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 33 ff., insb. Ziff. 47; Hense, S. 194; Krüger, S. 74; vgl. auch Langenbucher, S. 67. Zumindest vor dem Verfahren beim EuGH entsprach dies auch der herrschenden (deutschen) Lehre (vgl. statt vieler Paal, in: Specht-Riemenschneider et al., S. 337; Schulz, in: Gola/Heckmann, Art. 22 N 13; Taeger, RDV 2017, S. 4 und 6; ferner VGer Wiesbaden, 6 K 788/20 vom 1. Oktober 2021, in: BeckRS 2021, 30719, Rn. 23). ↵

Zur DSGVO vgl. EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 51 ff.; GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 40 ff. ↵

Vgl. aber GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 32, der eingangs seiner Begründung festhält, dass es «mit anderen Worten» darum gehe, ob Art. 22 Abs. 1 DSGVO auf Auskunfteien anwendbar sei. ↵

Vgl. dazu oben Teil 4, D.I.1. ↵

Vgl. dazu oben Teil 2, B.I. ↵

Zur DSGVO so EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 61 ff. bzw. GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 40 ff. und 53 ff., welche die Pflichten der Auskunftei zuordnen, ohne auf die hier angerissene Fragestellung einzugehen. ↵

Vgl. dazu unten Teil 4, E.III. ↵

42

Ausschliesslich automatisierte Datenbearbeitung

Bearbeitung von Personendaten

Art. 21 Abs. 1 DSG und Art. 22 Abs. 1 DSGVO setzen eine ausschliesslich automatisierte Bearbeitung voraus.[1] Der Begriff der Bearbeitung ist im DSG bzw. in der DSGVO legaldefiniert und meint jeden Umgang mit Personendaten.[2] Ohnehin muss der sachliche Anwendungsbereich des Datenschutzrechts eröffnet sein,[3] nachdem die Bestimmungen über die automatisierten Entscheidungen im DSG bzw. in der DSGVO verankert sind. Erfüllt also eine Entscheidung die übrigen Voraussetzungen einer automatisierten Entscheidung, doch werden bloss Sachdaten «bearbeitet», liegt keine automatisierte Entscheidung im Sinne des DSG und der DSGVO vor.[4]

Für die DSGVO unterstreicht dies auch die Gesetzeshistorie,[5] wo die Kommission in ihrem Entwurf der «natürlichen Person» ein Recht gegen auf Profiling basierende Massnahmen einräumen wollte,[6] sich schliesslich aber ein Recht gegen automatisierte Entscheidungen der «betroffenen Person» durchsetzte. Aus dieser Verwendung des «legaldefinierten» Begriffs und dem gesetzeshistorischen Wechsel dahin lässt sich ableiten, dass zumindest auch Daten der Person zu bearbeiten sind, der gegenüber die Entscheidung eine Rechtsfolge oder eine erhebliche Beeinträchtigung zeitigt. Denn bei der «betroffenen Person» handelt es sich um die natürliche Person, deren Daten bearbeitet werden,[7] und gemäss Art. 21 Abs. 1 DSG und Art. 22 Abs. 1 DSGVO muss sie von einer relevanten Auswirkung erfasst sein.

Die Zweckausrichtung der Bestimmungen über automatisierte Entscheidungen spricht indes dagegen, dass Daten der von den relevanten Auswirkungen betroffenen Person zu bearbeiten sind. Zwar ist der Zweck der Bestimmungen nicht restlos klar,[8] für die wichtigsten (auch in der Lehre thematisierten) Aspekte spielt es indes keine Rolle, ob ausschliesslich Daten Dritter oder zumindest auch der von den relevanten Auswirkungen betroffenen Person bearbeitet werden. So ist für eine allfällige Verletzung der Menschenwürde sowie für die Entscheidungsqualität grundsätzlich unerheblich, wessen Daten bearbeitet wurden. Die Gefahr einer fehlerhaften Datengrundlage akzentuiert sich bei der ausschliesslichen Bearbeitung von Drittdaten sogar. Zwar wird eine diskriminierende Entscheidung regelmässig an ein geschütztes Merkmal und insoweit an ein Datum der von der Entscheidung betroffenen Person anknüpfen, tut sie dies hingegen nicht, sind diskriminierende Wirkungen nicht ausgeschlossen. Es liesse sich also argumentieren, dass eine automatisierte Entscheidung i.S.v. DSG und DSGVO auch bei der ausschliesslichen Bearbeitung von Personendaten Dritter vorliegt.[9]

Allerdings dürfte es in der Praxis kaum vorkommen, dass ein Verantwortlicher eine automatisierte Entscheidung ausschliesslich auf der Bearbeitung von Daten Dritter fällt. Denn die Personendaten des Dritten werden, indem sie durch die Entscheidungsfällung auf die von den relevanten Auswirkungen betroffene Person bezogen werden, auch als Personendaten der letzteren qualifizieren.[10] Hinzu kommt, dass die verlangte Individualität der Entscheidung dahingehend auszulegen sein dürfte, dass Daten jener natürlichen Person bearbeitet werden, auf welche die Entscheidung eine relevante Auswirkung hat.[11] Bei den hier interessierenden Kreditentscheidungen spielt eine Beschränkung auf Daten der von den relevanten Auswirkungen betroffenen Person ohnehin – wenn überhaupt – eine untergeordnete Rolle. Selbst wenn ein Kreditkartenunternehmen beispielsweise das Kreditlimit einer Kundin nicht aufgrund deren Rückzahlverhaltens, sondern wegen der Analyse anderer Kunden in demselben Gebiet, die bei denselben Läden einkaufen,[12] herabsetzt, nutzt das Kreditkartenunternehmen dabei zumindest Angaben über das Wohngebiet und die Einkäufe der Kundin. Generell berechnet eine Auskunftei ihren Kreditscore anhand verschiedener Daten der hinsichtlich ihrer Kreditwürdigkeit zu beurteilenden Person[13] und fällt die Kreditgeberin ihre Entscheidung über das kreditorische Risiko zumindest gestützt auf den Kreditscore, der ein Personendatum der bewerteten Person darstellt.[14]

Phase und Grad der erforderlichen Automatisierung

Wann eine Bearbeitung automatisiert erfolgt, lässt sich den Erlassen nicht unmittelbar entnehmen; erwähntermassen ist dafür die Verwendung technischer Hilfsmittel, konkret einer Datenverarbeitungsanlage bzw. eines Computers, erforderlich.[15] Wenn ein Mensch anhand eines Entscheidungsbaums oder eines Ablaufplans Schritt für Schritt vorgeht und sodann entsprechend entscheidet, ist zwar eine gewisse Nähe zur automatisierten Bearbeitung auszumachen; dies genügt indes für die Anwendbarkeit der Bestimmungen über die automatisierten Entscheidungen nicht.[16]

Massgebende Phase der Automatisierung

Der Wortlaut von Art. 21 Abs. 1 DSG und Art. 22 Abs. 1 DSGVO liesse den Schluss zu, dass sämtliche für die Entscheidung kausalen Datenbearbeitungen automatisiert erfolgen müssen, indem er eine Entscheidung verlangt, «die ausschliesslich auf einer automatisierten Bearbeitung beruht».[17] Wäre dies der Massstab und müsste entsprechend bereits ausschliesslich ein Computer die Entscheidungskriterien festlegen bzw. die Software programmieren, gäbe es (nach heutigem Stand der Technik) überhaupt keine ausschliesslich automatisierten Entscheidungen.[18]

Ein Hinweis auf die massgebende Phase der Automatisierung lässt sich der Parenthese «einschließlich Profiling», die sich in Art. 22 Abs. 1 DSGVO findet und auch noch im E-DSG enthalten war,[19] ebenso wie EG 71 Satz 2 DSGVO entnehmen, der das Profiling zu «einer derartigen Verarbeitung» zählt: Wenn das Profiling, das sich begrifflich auf die Phase der Schlussfolgerung beschränkt,[20] eine ausschliesslich automatisierte Bearbeitung darstellen kann, muss es genügen, wenn die dieser Phase entsprechenden Datenbearbeitungen ausschliesslich automatisiert erfolgen. Dieses Verständnis stützen auch die Ausführungen zu Art. 9 Abs. 1 lit. a Konv. 108+ im dazugehörigen Erläuternden Bericht, wonach die Bestimmung etwa Fälle erfassen wolle, in denen die Kreditwürdigkeit einer Person allein auf der Grundlage einer Software bewertet werde.[21]

In diese Richtung lassen sich auch die Ausführungen des Generalanwalts und des EuGH im Fall zum Scoring der SCHUFA lesen, die gemäss Vorlagefrage[22] unterstellen mussten, dass der Kreditscore der darauf gestützten Entscheidung massgeblich zugrunde liegt, also keine relevante menschliche Beurteilung mehr hinzutritt.[23] Der Generalanwalt bejahte eine ausschliessliche Automatisierung, weil in der betreffenden Sachverhaltsdarstellung nichts darauf hingedeutet habe, «dass zusätzlich zu dem von SCHUFA angewandten mathematischen und statistischen Verfahren die Score-Werte in irgendeiner Weise massgeblich durch eine individuelle Bewertung und Einschätzung durch einen Menschen festgelegt worden wären».[24] Der EuGH selbst schloss aus dem Vorliegen eines Profilings auf eine ausschliessliche Automatisierung,[25] was sich ebenfalls als Bestätigung verstehen lässt, dass die betreffende Phase entscheidend ist.[26]

Massgebend ist demnach, um sich der Worte von Bundesrat und Bundesamt für Justiz zu bedienen, die «inhaltliche Beurteilung des Sachverhalts» samt «Entscheid, der auf der Basis dieser Sachverhaltsbeurteilung ergeht»,[27] wobei mit dem «Entscheid» die Schlussfolgerung hinsichtlich des Entscheidungsinhalts gemeint sein muss.[28] Wie zu zeigen sein wird,[29] ist denn auch eine Bewertung im Sinne eines Profilings bei einer automatisierten Entscheidung häufig, aber nicht begriffsnotwendig. Das Abstellen auf diese Phase hat etwa zur Folge, dass es für das Vorliegen einer automatisierten Entscheidung unerheblich ist, dass die Auskunftei das von ihr für die Berechnung des Kreditscores angewendete Modell bzw. dessen Merkmale und Gewichtungen gegebenenfalls manuell entwickelt bzw. festgelegt hat.

Massgebender Grad der Automatisierung

Art. 21 Abs. 1 DSG und Art. 22 Abs. 1 DSGVO konkretisieren den erforderlichen Grad der Automatisierung mit dem Wort «ausschliesslich», was EG 71 Satz 1 DSGVO für das europäische Recht als «ohne jegliches menschliche Eingreifen» paraphrasiert. Im Gesetzgebungsverfahren der DSGVO[30] und des DSG[31] diskutierte der jeweilige Gesetzgeber, ob die Normen auch teilweise automatisierte Entscheidungen[32] bzw. blosse Empfehlungen erfassen sollen. Die betreffenden Änderungsanträge wurden allerdings in der Folge verworfen bzw. zurückgezogen; die Gesetzgeber entschieden sich also bewusst für eine Beschränkung auf ausschliesslich automatisierte Entscheidungen.[33] Automatisierte Systeme für Vorselektionen oder Empfehlungen liegen demnach grundsätzlich[34] ausserhalb des Anwendungsbereichs der Bestimmungen über die automatisierten Entscheidungen.[35]

Angesichts des verabschiedeten Wortlauts der Bestimmungen und dieser Gesetzeshistorie rechtfertigt sich nicht, wegen des Automatisierungsbias die Voraussetzung der ausschliesslichen Automatisierung grosszügig auszulegen, sodass auch (gewisse) teilautomatisierte Entscheidungen erfasst sind.[36] Freilich gibt es empirische Nachweise dieses Phänomens[37] und lassen sich in die Materialien zum Vorgängererlass der DSGVO diesbezügliche Bedenken hineininterpretieren,[38] jedoch hätte der Gesetzgeber dieses Anliegen im Wortlaut (anstelle der Ausschliesslichkeit) abbilden müssen. Dass der gesetzgeberische Wille für die Erfassung von Konstellationen des Automatisierungsbias gar nicht erst vorlag, unterstreicht für das europäische Recht der Umstand, dass sich der Gesetzgeber des Phänomens offenbar bewusst war und er trotzdem für die Voraussetzung einer ausschliesslichen Automatisierung optierte. Auch deutet die Adressierung des Automatisierungsbias in der KIVO darauf hin,[39] dass dieses Phänomen hervorrufende Systeme nicht prohibitiv (etwa mit einem Verbot oder einem Widerspruchsrecht) zu erfassen, sondern vielmehr die Nutzenden solcher Systeme auf dieses Phänomen hin zu sensibilisieren sind.

Menschliche Beteiligung an der Entscheidung

Trotz des Erfordernisses einer ausschliesslichen Automatisierung kann angesichts offensichtlicher Umgehungsmöglichkeiten nicht jede menschliche Beteiligung in einem Entscheidungsprozess dazu führen, dass keine automatisierte Entscheidung vorliegt.[40] Die blosse Kommunikation oder die formale Ausfertigung der Entscheidung durch eine natürliche Person genügt beispielsweise nicht,[41] handelt es sich doch schon deswegen um keine relevante Beteiligung, weil sie nicht die für die Automatisierung massgebende Phase betrifft.[42]

Als relevante menschliche Beteiligungen, die aus dem Anwendungsbereich der Bestimmungen über automatisierte Entscheidungen hinausführen, diskutieren die Artikel‑29‑Datenschutzgruppe und die Lehre insbesondere die menschliche Überprüfung der Entscheidung (nachfolgend 3.1) sowie die menschliche Beurteilung von (zusätzlichen) Entscheidungskriterien (nachfolgend 3.2). Während die Vorgaben in der Lehre an die erstere Variante zu streng scheinen, greift letztere Variante im Einzelfall zu kurz, weshalb die menschliche Beteiligung besser nach den Vorgaben des Verantwortlichen zu beurteilen ist, an die sich die natürliche Person gegebenenfalls halten muss (nachfolgend 3.3).

Menschliche Überprüfung der Entscheidung

Gemäss der Artikel‑29‑Datenschutzgruppe und einer insbesondere zur DSGVO verbreiteten Ansicht ist für eine relevante menschliche Überprüfung einer Entscheidung erforderlich, dass (i) die natürliche Person zu einer abweichenden Entscheidung befugt ist, (ii) die massgeblichen Daten berücksichtigt und (iii) über die erforderlichen (fachlichen) Fähigkeiten verfügt.[43]

Gewiss erforderlich für eine solche Überprüfung ist die Befugnis, eine abweichende Entscheidung zu treffen, weil sonst die Überprüfung zur Farce verkommt. Dies bedeutet auch, dass es an einer menschlichen Überprüfung fehlt, wenn die natürliche Person etwa aufgrund einer Weisung verbindliche Vorgaben hat, wie sie eine ausschliesslich automatisiert generierte Empfehlung in eine Entscheidung umzusetzen hat.[44] Ist die natürliche Person beispielsweise verpflichtet, ab einem bestimmten Scorewert keinen Kredit mehr zu gewähren (sog. Cut-Off-Score), liegt in Bezug auf die deswegen erfolgenden Kreditverweigerungen (und nicht zwingend das gesamte Entscheidungssystem) eine ausschliessliche Automatisierung vor.[45] Darauf ist zurückzukommen.[46]

Als Datengrundlage können nicht die «massgeblichen Daten» – verstanden als sämtliche für die Entscheidung objektiv relevanten Daten – vorausgesetzt sein.[47] Denn zum einen wäre es bevormundend, Entscheidungsträgern vorzugeben, welche Daten sie für ihre Entscheidungen verwenden müssen, und zum anderen garantieren das DSG und die DSGVO auch bei Entscheidungen durch einen Menschen nicht, dass dieser alle relevanten Daten berücksichtigt. Für eine eigentliche Überprüfung kann daher höchstens erforderlich sein, dass der natürlichen Person die im Einzelfall als Input verwendeten Daten vorliegen;[48] sie kann sodann auf gleicher Grundlage eine Entscheidung fällen und so kontrollieren, ob sie zu demselben Resultat gelangt.[49]

Über welche Fähigkeiten die natürliche Person verfügen muss, präzisiert die Artikel‑29‑Datenschutzgruppe nicht. Die Lehre wird nur vereinzelt konkreter und verlangt etwa ein technisches Verständnis, inwiefern Profiling und automatisierte Entscheidungen zu Unfairness und Unrichtigkeiten führen können[50] oder gewisse Medienkompetenzen, da Menschen Schwächen bei der Beurteilung von maschinellen Vorschlägen unterliegen.[51] Nachdem die natürliche Person lediglich die Entscheidung und nicht deren Herleitung überprüfen muss, ist es allerdings unerheblich, ob sie allfällige Unzulänglichkeiten der eingesetzten Technologie kennt. Es ist entsprechend auch kein Erfordernis, dass die überprüfende Person die Logik des Entscheidungssystems oder sogar dessen Algorithmen kennt[52] und das System (für sie) nachvollziehbar und/oder erklärbar ist.[53] Ebenso wenig kann ein bestimmtes Fachwissen im einschlägigen Bereich verlangt sein (z.B. eine Expertise im Kreditwesen), zumal sich das DSG und die DSGVO bloss gegen ausschliesslich automatisierte Entscheidungen richten und weder eine sinnvolle Logik noch eine qualitativ hochwertige Entscheidung garantieren.

Die Kenntnis des Automatisierungsbias, der (wohl) angesprochenen menschlichen Schwächen, erscheint sinnvoll, aber für eine relevante menschliche Beurteilung nicht erforderlich.[54] Ungeachtet der Medienkompetenzen der natürlichen Person ist vielmehr massgebend, dass sie die fragliche Entscheidung tatsächlich überprüft.[55] Aus diesem Grund führen auch Stichprobenkontrollen[56] oder die Überprüfung nicht plausibler Entscheidungen[57] durch eine natürliche Person lediglich bei den tatsächlich überprüften Entscheidungen zu einer relevanten menschlichen Beteiligung. Nicht erforderlich ist hingegen, dass die natürliche Person zufolge Überprüfung die Entscheidung inhaltlich ändert;[58] auch lässt sich die inhaltliche Bestätigung der Entscheidungen (wenn überhaupt) höchstens als Indiz werten, dass keine tatsächliche Überprüfung stattgefunden hat.[59]

Menschliche Beurteilung von Entscheidungskriterien

Statt eine automatisiert generierte Einschätzung wie einen Kreditscore zu einer (überprüften oder nicht überprüften) Entscheidung zu erheben, kann eine dem Verantwortlichen zuordenbare natürliche Person auch weitere Kriterien prüfen und in die Entscheidung miteinbeziehen. Gemäss Ansicht der Artikel‑29‑Datenschutzgruppe und einer entsprechenden Lehrmeinung fehlt es sodann an einer ausschliesslichen Automatisierung.[60] Damit die Ausschliesslichkeit entfalle, sei beispielsweise bei einer Kreditentscheidung entscheidend, dass im Hinblick auf die Zahlungswilligkeit und -fähigkeit neben dem Scorewert noch weitere Faktoren in die Entscheidung einfliessen.[61]

Solche zusätzlichen Kriterien (oder Daten als zusätzliche Entscheidungsgrundlage), die zur automatisierten Beurteilung des Sachverhalts hinzutreten, sind für eine eigene menschliche Entscheidung gewiss erforderlich, aber nicht zwingend ausreichend. Andernfalls liesse sich ein beliebiges Kriterium (etwa das Alter der kreditinteressierten Person), das nur für einen Detailaspekt der Entscheidung relevant ist (z.B. eine geringfügige Verkürzung der Kreditlaufzeit), der Entscheidungsfindung hinzufügen und so der Anwendungsbereich der besonderen Bestimmungen umgehen. Um diese Umgehungsmöglichkeit einzudämmen, ist beim Hinzutreten zusätzlicher, menschlich geprüfter Kriterien – wie sogleich zu zeigen ist – der vollautomatisierte Ausschluss von Varianten isoliert als Entscheidung zu betrachten und hinsichtlich der (übrigen) Voraussetzungen zu prüfen.[62]

Massgeblichkeit der Vorgaben an die natürliche Person

Ist eine natürliche Person an der massgebenden Phase, also an der Schlussfolgerung, beteiligt, ist entscheidend, ob sie Vorgaben hinsichtlich der Berücksichtigung der automatisiert generierten Einschätzung hat. Dies klingt zum einen in der von der Lehre postulierten Voraussetzung für eine menschliche Überprüfung an, dass die natürliche Person zur Fällung einer abweichenden Entscheidung befugt sein muss;[63] zum anderen drängt sich dieser Fokus auf, weil sich anhand dieser Vorgaben beurteilen lässt, ob und gegebenenfalls inwiefern automatisiert Varianten ausgeschlossen wurden.

Keine Rolle spielt das Vorliegen von Vorgaben für den Sonderfall, in dem die dem Verantwortlichen zuordenbare natürliche Person ausschliesslich die automatisiert generierte Einschätzung als Grundlage für die Entscheidungsfällung berücksichtigt. Mangels weiterer Daten kann die natürliche Person nicht anders als auf die Einschätzung abstellen, die entsprechend auf die Entscheidung durchschlägt; letztere ist sodann als ausschliesslich automatisiert zu betrachten.

Zu unterscheidende Konstellationen

Vor diesem Hintergrund sind für die Beurteilung einer relevanten menschlichen Beteiligung an der Entscheidung die folgenden Konstellationen zu unterscheiden:

Eine Unterscheidung erfolgt zunächst anhand der Personendaten, die der Verantwortliche bzw. die ihm zuordenbare natürliche Person berücksichtigt. Keine relevante menschliche Beteiligung liegt vor, wenn der Verantwortliche zwar eine natürliche Person einsetzt, diese aber ausschliesslich gestützt auf eine automatisiert generierte Einschätzung entscheidet. Dies ist beispielsweise der Fall, wenn eine natürliche Person der Kreditgeberin, ohne weitere Personendaten zu berücksichtigen, gestützt auf den Kreditscore die Kreditentscheidung fällt.

Berücksichtigt der Verantwortliche weitere Personendaten, ist anschliessend danach zu unterscheiden, ob die natürliche Person Vorgaben hinsichtlich der Berücksichtigung der automatisiert generierten Einschätzung zu befolgen hat und gegebenenfalls welche. Darf die natürliche Person die automatisiert generierte Einschätzung frei von Vorgaben neben den weiteren Daten berücksichtigen, so liegt keine automatisierte Entscheidung vor.[64] In diesen Fällen ist es der natürlichen Person stets möglich, die automatisiert generierte Einschätzung zu übersteuern.[65]

Erteilt der Verantwortliche der natürlichen Person Vorgaben, wie sie die automatisiert generierte Einschätzung zu berücksichtigen hat, vermögen diese unter Umständen Varianten auszuschliessen. Insoweit liegt eine Entscheidung vor, die auf einer ausschliesslich automatisierten Bearbeitung beruht. Muss die natürliche Person z.B. bei einem Kreditscore von unter 350 von insgesamt 600 Punkten – ungeachtet der übrigen Daten wie eigener Zahlungserfahrungen, die sie (grundsätzlich) ebenfalls zu berücksichtigen hat – einen Kredit verweigern, ist in jedem Fall mit einem Kreditscore unter 350 die erforderliche ausschliessliche Automatisierung gegeben.

Anwendung auf gemischte und mehrstufige Entscheidungsprozesse

Eine Untergruppe der letztgenannten Konstellation lässt sich als gemischter Entscheidungsprozess bezeichnen, da eine menschliche und eine maschinelle Beurteilung zusammenspielen und letztere im Einzelfall (dennoch allein) zum Ausschluss von Varianten führen kann.

Dies lässt sich anhand eines Beispiels veranschaulichen: Eine Kreditgeberin lässt ihre Kreditentscheidungen gestützt auf einen Kreditscore (von 1 bis 600 Punkten) sowie auf das Einkommen und das Vermögen fällen, die eine natürliche Person als zusätzliche Kriterien bewertet (je 1 bis 300 Punkte). Ab 900 von maximal möglichen 1’200 Punkten gewährt die Kreditgeberin einen Kredit, ab 1’000 mit Vorzugskonditionen. Nur weil die Verweigerung oder Gewährung des Kredits auch auf menschlich bewertete Kriterien abstellt, lässt sich die Anwendbarkeit der Bestimmungen über automatisierte Entscheidungen nicht ausschliessen. Indem die Berücksichtigung des Kreditscores im Einzelfall dazu führen kann, dass der betroffenen Person kein Kredit oder bloss zu ungünstigen Konditionen angeboten wird, vermag eine automatisierte Entscheidung vorzuliegen.

Liegt der Kreditscore bei 275 Punkten, ist eine Kreditgewährung selbst bei voller Punktzahl bei Einkommen und Vermögen (insgesamt 875 Punkte) nicht mehr möglich; im Ergebnis wurde also der Kreditantrag ausschliesslich automatisiert verweigert.

Liegt der Kreditscore bei 380 Punkten, ist eine Kreditgewährung aussichtsreicher, doch selbst bei voller Punktzahl bei Einkommen und Vermögen (insgesamt 980 Punkte) sind Vorzugskonditionen ausgeschlossen. Über die ungünstigeren Konditionen wurde automatisiert entschieden.

Analog zu behandeln sind «mehrstufige Entscheidungsprozesse», bei denen die Literatur die Verortung der Entscheidung und die Frage der ausschliesslichen Automatisierung zuweilen als schwierig zu beantworten betrachtet.[66] In solchen Prozessen kann es vorkommen, dass eine automatisierte Beurteilung des Sachverhalts (bzw. eines Teils davon) dazu führt, dass dem später im Prozess entscheidenden Menschen nicht mehr alle zuvor möglichen Varianten offenstehen (z.B. Kreditgewährung nur zu im Vergleich ungünstigen Konditionen). Indem Varianten des möglichen Entscheidungsinhalts ausgeschlossen werden, erfolgt eine Entscheidung.[67]

Zur Illustration bietet sich auch hier ein Beispiel an: Eine Kreditgeberin gewährt ab einer bestimmten Höhe des Scorewerts ausschliesslich automatisiert (ohne weitere Prüfung) einen Kredit. Bei tieferen Scorewerten setzt sie eine natürliche Person ein, die den Kreditantrag prüft und entweder den Kredit verweigern oder zu ungünstigeren Konditionen (etwa höhere Zinsen oder kürzere Rückzahlungsfrist) gewähren kann. Diese maschinelle Triage umfasst insoweit eine automatisierte Entscheidung, als sie Varianten ausschliesst. Die Verweigerung oder Gewährung des Kredits, über welche die natürliche Person entscheiden kann, bedeutet für die kreditinteressierte Person, statt eines Kredits (ohne besondere Konditionen) bestenfalls einen Kredit mit ungünstigen Konditionen angeboten zu erhalten.

Ob solche Entscheidungen in gemischten und in mehrstufigen Prozessen eine Rechtsfolge oder eine erhebliche Beeinträchtigung zeitigen, beurteilt sich im Einzelfall anhand der fraglichen Entscheidung, also des Ausschlusses möglicher Varianten. Nachdem ausschliesslich nachteilige Auswirkungen relevant sind,[68] ist die Differenz zwischen der für die betroffene Person günstigsten Variante, die im Rahmen des Entscheidungsprozesses insgesamt möglich ist, und der günstigsten Variante, die der Mensch (noch) ausfällen kann, zu betrachten.

Der Wortlaut dieser Normen spricht von einer «Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht» bzw. «einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung». «Ausschliesslich» könnte sich also auf die Anzahl Bearbeitungen beziehen: Um von den Normen erfasst zu sein, dürfte die Entscheidung nur auf einer (automatisierten) Bearbeitung beruhen. Dies erscheint aber – auch mit Blick auf den Zweck der Regelung (vgl. dazu oben Teil 4, C.III.) – wenig sinnvoll. Zudem wäre es zuweilen schwierig, einzelne Bearbeitungen voneinander abzugrenzen und zu bestimmen, ob eine Entscheidung nur auf einer Bearbeitung beruht. «Ausschliesslich» bezieht sich also auf die Automatisierung. ↵

Vgl. dazu oben Teil 2, A.I.2. ↵

Vgl. dazu oben Teil 2, A.I. ↵

Zum DSG Thouvenin/Früh, S. 11; SHK DSG-Pärli/Flück, Art. 21 N 7; vgl. auch Rosenthal, Jusletter 2017a, Rn. 102; zur DSGVO Dreyer/Schulz, S. 19; Edwards/Veale, IEEE Secur. Priv. 3/2018, S. 48; vgl. auch Nišević, S. 114; a.M. offenbar Bygrave, in: Kuner et al., S. 533; vgl. auch Sancho, S. 144. ↵

Vgl. Kamarinou et al., S. 9 f.; Savin, S. 9. ↵

Nach Art. 20 E-DSGVO KOM sollte eine natürliche Person (bei gegebenen weiteren Voraussetzungen) das Recht haben, nicht einer auf einer rein automatisierten Verarbeitung von Daten (nicht wie sonst: «personenbezogenen Daten») basierenden Massnahme unterworfen zu werden. ↵

Art. 5 lit. b DSG definiert die betroffene Person als die natürliche Person, über die Personendaten bearbeitet werden. Art. 4 Ziff. 1 DSGVO meint mit «betroffener Person» (gemäss der Legaldefinition der personenbezogenen Daten) eine identifizierte oder identifizierbare natürliche Person, auf die sich die Informationen beziehen (vgl. Schild, in: Wolff et al., Art. 4 N 28). ↵

Vgl. dazu oben Teil 4, C. ↵

Zum DSG a.M. wohl Rosenthal, Jusletter 2017a, Rn. 102; zur DSGVO Bygrave, in: Kuner et al., S. 533; a.M. Dreyer/Schulz, S. 19 und 21. ↵

Vgl. dazu oben Teil 2, A.I.1.1.b. ↵

Vgl. dazu oben Teil 4, D.I.1. ↵

Vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 24; Lieber, o.S. ↵

Vgl. dazu oben Teil 1, E.I.2.2. ↵

Vgl. dazu oben Teil 2, A.I.4.1. ↵

Vgl. dazu oben Teil 3, B.I.2.2. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 20; Suter F., S. 294; vgl. auch Thouvenin/Früh, S. 13; zur DSGVO von Lewinski, in: Wolff et al., Art. 22 N 22; vgl. auch Scholz, in: Simitis et al., Art. 22 N 25. ↵

So der Wortlaut von Art. 21 Abs. 1 DSG; Art. 22 Abs. 1 DSGVO spricht ähnlich von einer «ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung». ↵

Zum DSG vgl. BJ, Totalrevision, S. 20, wonach die Programmierung nicht erheblich sei; Obrecht, S. 40; Rechsteiner, Rn. 5; zur DSGVO Martini, Blackbox, S. 173; Martini, in: Paal/Pauly, Art. 22 N 19b; vgl. auch Lorentz, S. 262. ↵

Das Parlament strich die Parenthese in Art. 21 Abs. 1 DSG, allerdings ohne eine materielle Änderung zu beabsichtigen (vgl. dazu oben Teil 4, B.I.). ↵

Vgl. dazu oben Teil 3, B.I.2.1.b. ↵

Explanatory Report Convention 108, Rn. 75. ↵

Zur DSGVO EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 27. ↵

Vgl. dazu oben Teil 4, D.I.3.3.a; a.M. wohl Montavon/Forowicz, Rn. 116, die aus dieser Rechtsprechung ableiten, dass auch teilautomatisierte Entscheidungen Art. 22 DSGVO (bzw. Art. 21 DSG) unterstehen würden. ↵

Zur DSGVO GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 36. ↵

Zur DSGVO EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 47. ↵

Die Erwägung des EuGH wirft zugleich die Frage auf, ob jedes Profiling, das nicht zwingend ausschliesslich automatisiert sein muss (vgl. dazu oben Teil 3, B.I.2.2.b), die Voraussetzung der (ausschliesslichen) Automatisierung erfüllt. Dies ist angesichts des sich aus dem Wortlaut und der Gesetzeshistorie ergebenden Erfordernisses, dass die Automatisierung ausschliesslich sein muss (vgl. dazu unten Teil 4, D.II.2.2), abzulehnen. Hinzu kommt, dass sich die Erwähnung des Profilings in Art. 22 Abs. 1 DSGVO ebenso gut auch als Beispiel für eine – je nach den Umständen ganz oder teilweise (vgl. Art. 2 Abs. 1 DSGVO) – automatisierte Verarbeitung lesen lässt (zum DSG a.M. wohl Suter F., S. 308; zur DSGVO vgl. Taeger, in: Taeger/Gabel, Art. 22 N 44; Veil, in: Gierschmann et al., Art. 22 N 53; a.M. Helfrich, in: Sydow/Marsch, Art. 22 N 46; Martini, in: Paal/Pauly, Art. 22 N 21; vgl. auch Sesing, S. 289). Der hier vertretenen Ansicht scheint auch GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 33 und 36, zu sein, der zunächst ein Profiling bejahte und anschliessend dennoch die ausschliessliche Automatisierung prüfte. ↵

Zum DSG Botschaft Totalrevision DSG, S. 7056 f.; BJ, Totalrevision, S. 20, die mit dem «Entscheid», der automatisiert zu ergehen habe, nicht die Entscheidung selbst, sondern die Schlussfolgerung im Sinn haben mussten. Denn die Entscheidung selbst – es liesse sich auch vom Ergebnis der Schlussfolgerung sprechen – stellt keine Bearbeitung dar (vgl. dazu unten Teil 4, D.I.1) und muss gemäss Art. 21 Abs. 1 DSG bloss «auf einer automatisierten Bearbeitung beruh[en]», also nicht selbst automatisiert erfolgen. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 21; vgl. auch Suter F., S. 296 f.; zur DSGVO vgl. Kumkar/Roth-Isigkeit, S. 279 («Entscheidungsprozess im engeren Sinn»); Martini, Blackbox, S. 173 («Subsumtionsentscheidung»). ↵

Vgl. dazu unten Teil 4, D.IV.1. ↵

Amendments LIBE, S. 30 und 32 ff. (Amendments 1546, 1550 und 1552), mit den Vorschlägen, Entscheidungen zu erfassen, die «based on automated processing», «based solely or predominantly on automated processing» bzw. «primarily based on automated processing» sind; vgl. auch Art. 20 Abs. 5 E-DSGVO EP, der sich gegen Profiling mit bestimmten Folgen gerichtet hätte, das sich ausschliesslich oder vorrangig auf eine automatisierte Verarbeitung stützt. ↵

SPK-NR vom 31. Januar/1. Februar 2019, S. 38 ff., wo die Voraussetzung der Ausschliesslichkeit und ein Antrag auf deren Streichung diskutiert werden. Ein Behördenmitglied erläutert, dass ein Recht auf Überprüfung bei gemischten Verfahren nicht sinnvoll sei, weil es heutzutage fast keine nicht zumindest teilweise automatisierten Entscheidungen mehr gebe und das Erfordernis der Vollautomatisierung besser dem besonderen Recht auf menschliche Überprüfung entspreche. In der Folge zog der betreffende Nationalrat seinen Antrag zurück. ↵

Teilautomatisierte Entscheidungen, die massgeblich auf künstlicher Intelligenz beruhen, hätten indes nach einer kurz vor Inkrafttreten des DSG eingereichten parlamentarischen Initiative im DSG adressiert werden sollen (Parlamentarische Initiative Grüne Fraktion [23.438]). Der Nationalrat gab der Initiative keine Folge (Amtl. Bull. NR 2024 S. 1384). ↵

Zum DSG vgl. Rosenthal, Jusletter 2020, Rn. 108; zur DSGVO Henseler, automatisierte Entscheidung, S. 306; Mendoza/Bygrave, S. 88; Wachter et al., IDPL 2017, S. 92. ↵

Erhebt eine natürliche Person die Empfehlung oder Vorselektion ohne Weiteres zur Entscheidung, vermag dennoch eine automatisierte Entscheidung vorzuliegen (vgl. dazu unten Teil 4, D.II.3.3). ↵

Zum DSG Obrecht, S. 42; vgl. auch SHK DSG-Pärli/Flück, Art. 21 N 6; Rosenthal, Jusletter 2020, Rn. 108; zur DSGVO statt vieler Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 22; Bygrave/Mendoza, S. 87; Veale/Edwards, S. 400. ↵

Zum DSG so ähnlich aber Mehmedovic, Rn. 43 f.; zur DSGVO so aber Hoffmann/Kevekordes, S. 610; vgl. auch Nišević, S. 110; Veale/Edwards, S. 400. ↵

Vgl. dazu oben Teil 4, C.III.1. ↵

Vgl. dazu oben Teil 4, C.I. ↵

Vgl. Art. 14 Abs. 4 lit. b KIVO; dazu auch oben Teil 4, C.III.1. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 22; vgl. auch Botschaft Totalrevision DSG, S. 7056 f.; zur DSGVO Lorentz, S. 262; vgl. auch Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 22; Veale/Edwards, S. 400. ↵

Zum DSG Botschaft Totalrevision DSG, S. 7057; Heuberger, Rn. 194 f.; Métille, S. 27; a.M. offenbar Rosenthal, Jusletter IT 2022, Rn. 40; zur DSGVO Mendoza/Bygrave, S. 87; vgl. auch Buchner, in: Kühling/Buchner, Art. 22 N 15; Vasella, in: Emmenegger, S. 196. ↵

Vgl. dazu oben Teil 4, D.II.2.1. ↵

Zum DSG vgl. Heuberger, Rn. 194; SHK DSG-Pärli/Flück, Art. 21 N 6; Suter F., S. 298 f.; zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 22; Lorentz, S. 262 f.; vgl. auch Rechtbank Amsterdam, C/13/692003 / HA RK 20-302 vom 11. März 2021, Ziff. 4.10; Buchner, in: Kühling/Buchner, Art. 22 N 16; Scholz, in: Simitis et al., Art. 22 N 27. ↵

Davon abzugrenzen sind Vorgaben hinsichtlich der Beurteilung von Entscheidungsgrundlagen, die keine ausschliesslich automatisierte Schlussfolgerung umfassen. Unproblematisch ist daher z.B. eine Weisung an die natürliche Person, wie sie bei ihrer Kreditwürdigkeitsbeurteilung die ihr vorliegenden Zahlungserfahrungen berücksichtigen muss. Die relevante Phase der Schlussfolgerung (vgl. dazu oben Teil 4, D.II.2.1) erfolgt hier manuell, auch wenn aufgrund der Vorgaben eine gewisse Nähe zur Automatisierung auszumachen ist (vgl. dazu oben Teil 4, D.II.2.). ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 22; zur DSGVO Schantz, in: Schantz/Wolff, Rn. 736; Scholz, in: Simitis et al., Art. 22 N 29; Vasella, in: Emmenegger, S. 196; zum aBDSG/DE Golla, S. 63; Möller/Florax, MMR 2002, S. 809; a.M. Wuermeling, Scoring, S. 108, weil der Sachbearbeiter auch ohne Scoringverfahren keine völlige Entscheidungsfreiheit habe. ↵

Vgl. dazu unten Teil 4, D.II.3.3. ↵

Zur DSGVO vgl. aber Schulz, in: Gola/Heckmann, Art. 22 N 15, wonach die natürliche Person bei einer Bonitätsprüfung in der Lage sein müsse, die Gesamtumstände im Hinblick auf die Zahlungsfähigkeit bzw. Zahlungswilligkeit der kreditinteressierten Person zu würdigen. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 22. ↵

Statt durch eine Überprüfung kann die relevante menschliche Beteiligung auch dadurch erfolgen, dass die natürliche Person anhand der ihr vorliegenden Daten entscheidet bzw. von der Entscheidung oder automatisiert generierten Einschätzung abweichen kann (vgl. dazu unten Teil 4, D.II.3.3.a). Hier kann es keine Rolle spielen, ob der natürlichen Person sämtliche Daten des Inputs vorliegen, zumal es dem Verantwortlichen auch unbenommen wäre, ohne die automatisiert generierte Einschätzung allein gestützt auf die ihm vorliegenden Daten zu entscheiden. ↵

Zur DSGVO Kaltheuner/Bietti, S. 14; vgl. auch Lorentz, S. 262. ↵

Zur DSGVO Schulz, in: Gola/Heckmann, Art. 22 N 15; von Lewinski, in: Wolff et al., Art. 22 N 24; zum aBDSG/DE vgl. Golla, S. 64. ↵

Zur DSGVO Scholz, in: Simitis et al., Art. 22 N 27; vgl. auch von Lewinski, in: Wolff et al., Art. 22 N 24. ↵

Zur DSGVO so aber Kaltheuner/Bietti, S. 13 f.; vgl. auch Nišević, S. 110. ↵

Freilich setzt Art. 14 Abs. 4 lit. b KIVO – verkürzt formuliert – für die menschliche Aufsicht über Hochrisiko-KI-Systeme das Bewusstsein über dieses Phänomen voraus. Jedoch lassen sich die Voraussetzungen an die menschliche Aufsicht nicht auf die menschliche Überprüfung von automatisierten Entscheidungen nach DSG bzw. DSGVO übertragen. Denn bei der KIVO geht es um die Aufsicht über ein System, also auch dessen Funktionsweise (wie EG 73 KIVO festhält und die Vorgaben in Art. 14 Abs. 4 KIVO verdeutlichen), und nicht – wie hier – um die Überprüfung der Entscheidung bzw. des Entscheidungsvorschlags. ↵

Zum DSG OFK DSG-Bieri/Powell, Art. 21 N 5; Rechsteiner, Rn. 5; vgl. auch Mathys/Reinhart, S. 35; ferner Botschaft Totalrevision DSG, S. 7057, die missverständlich ausführt, dass genügen solle, dass die natürliche Person eine inhaltliche Prüfung vornehmen könne; zur DSGVO Kumkar/Roth-Isigkeit, S. 279; Lorentz, S. 263; Martini, in: Paal/Pauly, Art. 22 N 19. ↵

Zum DSG SHK DSG-Pärli/Flück, Art. 21 N 6; Plattner, Rn. 615; Toren, Rn. 16; zur DSGVO Kumkar/Roth-Isigkeit, S. 279; Martini, in: Paal/Pauly, Art. 22 N 19; Scholz, in: Simitis et al., Art. 22 N 27. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 22 f.; ferner Suter F., S. 297 f.; zur DSGVO Martini, in: Paal/Pauly, Art. 22 N 19; Scholz, in: Simitis et al., Art. 22 N 27; a.M. Buchner, in: Kühling/Buchner, Art. 22 N 15; von Lewinski, in: Wolff et al., Art. 22 N 25.1. ↵

Zur DSGVO Scholz, in: Simitis et al., Art. 22 N 28. ↵

Zur DSGVO Iraschko-Luscher, S. 471 f.; vgl. auch Horstmann/Dalmer, S. 262. ↵

Zum DSG vgl. PC LPD-Jaccoud et al., Art. 21 N 18; Suter F., S. 298; zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 22; Scholz, in: Simitis et al., Art. 22 N 28 ff.; Schulz, in: Gola/Heckmann, Art. 22 N 14, wonach keine automatisierte Entscheidung vorliege, «wenn zusätzlich zu einer Bonitätsprüfung bzw. einem erstellten oder angefragten Scorewert interne individuelle Überlegungen in die Letztentscheidung des Sachbearbeiters einfließen»; vgl. auch Lorentz, S. 263; zum aBDSG/DE Abel, RDV 2006, S. 112; vgl. auch Wuermeling, Scoring, S. 108. ↵

Zur DSGVO Scholz, in: Simitis et al., Art. 22 N 30; vgl. auch Lorentz, S. 263. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 22. ↵

Vgl. dazu oben Teil 4, D.II.3.1. ↵

Insofern als weitere Daten gelten auch solche Daten, die bereits für die automatisiert generierte Einschätzung, etwa den Kreditscore, verwendet wurden (zur DSGVO vgl. Scholz, in: Simitis et al., Art. 22 N 30). ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 22. ↵

Vgl. Binns/Veale, S. 319 ff.; dazu auch oben Teil 4, D.I.2. ↵

Vgl. dazu oben Teil 4, D.I.1. und D.I.2. ↵

Vgl. dazu unten Teil 4, D.III.1.2. ↵

43

Relevante Auswirkung

Allgemeine Voraussetzungen an die Auswirkung

Die Entscheidung im Einzelfall muss eine relevante Auswirkung, konkret eine Rechtsfolge oder eine erhebliche Beeinträchtigung, verursachen (Art. 21 Abs. 1 DSG; Art. 22 Abs. 1 DSGVO). Wie die Formulierungen des DSG und der DSGVO zeigen (vgl. «für sie» bzw. «ihr gegenüber»), muss diese relevante Auswirkung «eine betroffene Person» tangieren. Nachdem nur eine natürliche Person eine betroffene Person sein kann (Art. 5 lit. b DSG; vgl. Art. 4 Ziff. 1 DSGVO), stellt eine Entscheidung, deren relevante Auswirkung sich nicht zumindest auch auf eine oder mehrere natürliche Personen, sondern etwa ausschliesslich auf eine juristische Person richtet, keine automatisierte Entscheidung im Sinne der genannten Bestimmungen dar. Welche weiteren Voraussetzungen die relevante Auswirkung erfüllen muss, ist im Folgenden zu klären.

Tatsächliche, nicht potenzielle Auswirkung

Nach vereinzelten Lehrmeinungen sollen nicht die tatsächlichen Auswirkungen einer Entscheidung auf eine betroffene Person massgebend sein. Vielmehr lässt es eine Ansicht genügen, dass ein Entscheidungssystem potenziell relevante Auswirkungen hat, damit das gesamte System den Bestimmungen über automatisierte Entscheidungen untersteht.[1] Dies ergebe sich insbesondere aus der zukunftsgerichteten Sprache der Informationspflicht, die von «angestrebten Auswirkungen» spreche.[2] Daher müsse die Relevanz der Auswirkungen im Voraus beurteilt werden.[3] Nach einer anderen Ansicht sind die möglichen Entscheidungsalternativen eines Systems, z.B. die Verweigerung eines Kredits, vorab zu betrachten und auf die Voraussetzungen einer automatisierten Entscheidung zu prüfen.[4] Dafür sollen unter dem DSG die Materialien sprechen, die eine Information über die automatisierte Entscheidung (Art. 21 Abs. 1 DSG) auch im Vornherein erlauben, sodass sich das Vorliegen einer automatisierten Entscheidung bereits vor deren Fällung beurteilen können müsse.[5] Beide Lehrmeinungen führen zudem insbesondere praktische Schwierigkeiten ins Feld, wenn die (kontextabhängigen) Auswirkungen der Entscheidung im Einzelfall zu prüfen wären.[6]

Diese Lehrmeinungen sind abzulehnen: Der Wortlaut von Art. 21 DSG bzw. Art. 22 DSGVO adressiert deutlich Entscheidungen mit tatsächlichen Auswirkungen und nicht Entscheidungssysteme oder Entscheidungsalternativen mit potenziell relevanten Auswirkungen.[7] EG 71 Satz 1 DSGVO führt als Beispiel die Ablehnung eines Kreditantrags an, nicht ein automatisiertes System zur Entscheidung über Kreditanträge.[8] Ähnlich nennt die Botschaft zum DSG beispielhaft den Nichtabschluss eines Kreditkartenvertrags (aufgrund einer unrichtigen Datengrundlage) und hält sogar ausdrücklich fest, dass die konkreten Umstände des Einzelfalls massgebend seien, etwa wie bedeutsam das fragliche Gut für die betroffene Person sei.[9]

Zwar muss der Verantwortliche zur Erfüllung der Informationspflicht unter der DSGVO generell und unter dem DSG im Fall einer vorgängigen Information die Auswirkungen seiner Entscheidungen vorab einschätzen, und kann die einzelfallbezogene Beurteilung der Auswirkungen zuweilen praktisch schwierig und allenfalls von rechtlichen Hindernissen geprägt sein. Aus diesen Gründen ist es dem Verantwortlichen unbenommen, vorsichtshalber sämtliche betroffenen Personen, etwa in einer Datenschutzerklärung, zu informieren.[10] Daraus allerdings abzuleiten, dass den Verantwortlichen die Informations- und anderen Pflichten bei automatisierten Entscheidungen treffen, obwohl es bei den einzelnen Entscheidungen an den Voraussetzungen (womöglich) fehlt, geht zu weit. Ausserdem würde sich sodann fragen, ob (potenziell) relevante Auswirkungen bereits bei einer betroffenen Person ausreichen würden oder ob solche Auswirkungen einen bestimmten Anteil sämtlicher vom System oder der Entscheidungsalternative betroffener Personen treffen müssten.[11]

Auf den vorliegenden Untersuchungsgegenstand angewandt, ergibt sich Folgendes: Es ist unerheblich, ob ein System oder einzelne von dessen Entscheidungsalternativen für automatisierte Kreditentscheidungen potenziell eine Rechtsfolge oder eine erhebliche Beeinträchtigung verursachen. Versagt das vollautomatisierte System einer kreditinteressierten Person ein Darlehen zum Erwerb eines für sie (nach objektivem Massstab) essenziellen Gegenstands und verfügt sie über keine Ausweichmöglichkeit, so liegt zwar im Einzelfall eine automatisierte Entscheidung im Sinne des DSG und der DSGVO vor.[12] Dies hat aber nicht zur Folge, dass das gesamte System oder jede daraus hervorgehende Darlehensverweigerung den Bestimmungen über automatisierte Entscheidungen untersteht. Diese Ansicht entspricht jener eines Generalanwalts,[13] und auch der EuGH dürfte sie teilen, zumal er bei der Voraussetzung der relevanten Auswirkung nicht genügen lässt, dass das System auch zu Ablehnungen von Kreditanträgen führen kann, sondern festhält, dass «in nahezu allen Fällen […] die Bank die Gewährung des beantragten Kredits ablehnt».[14] Auf diese Weise verstand jedenfalls auch ein erstes Urteil eines nationalen Gerichts den EuGH, das dessen Rechtsprechung auf einen konkreten Fall anwendete.[15]

Nachteilige, nicht beliebige Auswirkung

Herleitung

Grammatikalische Ausgangslage

Nach Art. 22 Abs. 1 DSGVO muss die Entscheidung gegenüber der betroffenen Person «rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen». Da eine Beeinträchtigung einen Nachteil für die betroffene Person impliziert und diese Tatbestandsvariante durch die Formulierung «in ähnlicher Weise» mit der Variante der rechtlichen Wirkung verbunden ist, liesse der (deutsche) Wortlaut den Schluss zu, dass negative Auswirkungen erforderlich sind.[16] Etwa die französische und die englische Sprachfassung[17] verwenden das Verb «affecter» bzw. «affect», die nicht negativ konnotiert sind und sich besser mit «betreffen» übersetzen lassen.[18]

Die deutsche Fassung des DSG verwendet ebenfalls das Verb «beeinträchtigen», doch verzichtet Art. 21 Abs. 1 DSG auf die Formulierung «in ähnlicher Weise», weshalb der Wortlaut nur für die Auswirkungen abseits einer Rechtsfolge einen nachteiligen Charakter fordert. Allerdings verlangen die anderen Sprachfassungen[19] keinen Nachteil; sie sprechen von «affecter» bzw. «avere conseguenze», die ebenfalls nicht negativ konnotiert sind und besser als «betreffen» bzw. «Konsequenzen haben» übersetzt werden. Vor diesem Hintergrund lässt sich weder aus dem Wortlaut der DSGVO noch des DSG eindeutig ableiten, ob die Auswirkungen einer automatisierten Entscheidung einen Nachteil für die betroffene Person umfassen müssen.

Gesetzeshistorie und Systematik

Bei der DSGVO sprechen die Gesetzgebungsgeschichte und eine systematische Betrachtung gegen das Erfordernis eines nachteiligen bzw. beeinträchtigenden Charakters. Eine ausdrückliche Beschränkung auf «beschwerende» Entscheidungen sah nämlich ein Entwurf der DSRL vor;[20] diese fand aber weder in die DSRL noch in die DSGVO Eingang. Die Gesetzgeber scheinen sich also bewusst gegen eine solche Einschränkung entschieden zu haben.[21] Diese gesetzgeberische Wertung unterstreicht die Parallelbestimmung im Justiz- und Polizeibereich, deren Wortlaut ausdrücklich automatisierte Entscheidungen mit nachteiligen Rechtsfolgen (und solche, welche die betroffene Person erheblich «beeinträchtigen»[22]) erfasst.[23]

Die Artikel‑29‑Datenschutzgruppe liess demgegenüber in ihrem Entwurf der Leitlinien zu automatisierten Entscheidungen sowohl nachteilige als auch vorteilhafte Auswirkungen genügen,[24] strich die entsprechende Passage aber für die definitive Version. Es lässt sich also spekulieren, dass sie ihre Meinung zwischenzeitlich geändert hat oder für sie die Rechtslage entgegen der ersten Äusserung zumindest unklar ist.

Für das DSG lässt sich der Botschaft (trotz der wertneutralen Formulierung der romanischen Sprachfassungen) entnehmen, dass eine erhebliche Beeinträchtigung eine nachteilige Auswirkung voraussetzt.[25] Für die Tatbestandsvariante der Rechtsfolge ergibt sich dies hingegen nicht, weshalb auch das Bundesamt für Justiz zur Debatte stellt, ob auch eine positive Rechtsfolge die Begriffsdefinition erfüllt.[26] Hinsichtlich Bundesorgane hält es indes für denkbar, aus dem Verweis auf das VwVG zu schliessen, dass bei einer Entscheidung, die den Begehren der betroffenen Person voll entspreche, lediglich die Rechte nach Art. 21 Abs. 2 DSG entfallen würden,[27] nicht aber die Informationspflicht nach Art. 21 Abs. 1 DSG. Diesfalls liege also grundsätzlich eine automatisierte Entscheidung vor.[28] Ein analoges Argument auch hinsichtlich privater Personen liesse sich aus Art. 21 Abs. 3 lit. a DSG bilden, der die Informationspflicht und die besonderen Betroffenenrechte aufhebt, wenn die Entscheidung im Vertragszusammenhang ergeht und dem Begehren der betroffenen Person stattgegeben wird.[29] Würde bei vollständiger Stattgabe der Begehren keine automatisierte Entscheidung mehr vorliegen, würde es dieser (an weitere Voraussetzungen geknüpften) Ausnahme nicht bedürfen.[30]

Statt den Schluss, dass auch Entscheidungen ohne nachteilige Auswirkungen erfasst sind, lässt sich jedenfalls ebenso gut jener ziehen, dass sich der nachteilige Charakter nicht anhand der allfälligen Begehren der betroffenen Person beurteilt. Diese letztere Deutungsvariante ist vorzuziehen, nachdem es zum einen Entscheidungen gibt, die ohne Begehren der betroffenen Person erfolgen und zum anderen solche, die für sie trotz Stattgabe der Begehren (auch) nachteilig sind.[31]

Zweckausrichtung

Auch wenn die Zweckausrichtung der Bestimmungen über automatisierte Entscheidungen nicht restlos klar ist, sprechen die diskutierten Zwecke[32] dafür, dass eine nachteilige bzw. beeinträchtigende Auswirkung erforderlich ist.[33] Die Bedenken unzulänglicher Datengrundlagen materialisieren sich etwa erst bei nachteiligen Folgen für die betroffene Person. Ebenso äussern sich Unfairness und Diskriminierung, wovor die Regelung auch schützen will, in einem zumindest immateriellen Nachteil für die betroffene Person. Ob die Würde eines Menschen tangiert sein kann, wenn er keinen Nachteil erleidet, lässt sich zumindest in Frage stellen.

Zwischenfazit

Der Wortlaut des DSG und der DSGVO liefert unter Berücksichtigung unterschiedlicher Sprachfassungen keine eindeutige Antwort auf die Frage, ob die Auswirkungen einer automatisierten Entscheidung für die betroffene Person nachteilig sein müssen. Im Gegenteil lassen sich für die DSGVO aus der Gesetzgebungsgeschichte und der Systematik Argumente gewinnen, dass auch Entscheidungen ohne solchen Nachteil erfasst sind.

Für das DSG drückt die Botschaft den gesetzgeberischen Willen aus, bloss (zumindest auch) nachteilige Auswirkungen als erhebliche Beeinträchtigungen zu erfassen; ob allfällige Rechtsfolgen nachteilig sein müssen, lässt sie offen. Wie sich aus dem systematischen Kontext ergibt, erfasst Art. 21 Abs. 1 DSG auch Entscheidungen, die den Begehren der betroffenen Person vollständig stattgeben.[34] Der Umkehrschluss, dass nachteilige Auswirkungen entsprechend nicht erforderlich seien, greift indes zu kurz.

Mit Blick auf die Zweckausrichtung der Bestimmungen über die automatisierten Entscheidungen lässt sich nicht rechtfertigen, auch Entscheidungen zu erfassen, die mit keinem Nachteil für die betroffene Person verbunden sind. Deshalb ist nach hier vertretener Ansicht sowohl unter dem DSG als auch der DSGVO zu verlangen, dass die Auswirkungen einer Entscheidung – seien sie rechtlicher oder anderweitiger Natur – für die betroffene Person nicht ausschliesslich begünstigend sind.[35]

Bedeutung

Zur Beurteilung einer (auch) nachteiligen Auswirkung unter der DSGVO stellt die (deutsche) Lehre teilweise auf die Betroffenenbegehren ab und verneint einen nachteiligen Charakter, wenn den Begehren vollumfänglich stattgegeben wird.[36] Dem dürfte sich das Bundesamt für Justiz für das DSG implizit angeschlossen haben.[37] Diese Ansicht lässt allerdings ausser Acht, dass die Auswirkungen ungeachtet der Begehren für die betroffene Person auch einen nachteiligen Charakter aufweisen können, indem ihr eine Pflicht auferlegt oder sie in ihren persönlichen Belangen eingeschränkt wird.[38]

Hinzu kommt, dass sich aus den Ausnahmen von den Rechten auf Darlegung des eigenen Standpunkts und auf Überprüfung (sowie der Informationspflicht) bei vollständiger Stattgabe der Begehren der betroffenen Person[39] für das DSG schliessen lässt, dass sich der erforderliche Nachteil nicht nach diesen Begehren beurteilt.[40] Andernfalls hätten die Ausnahmen – wenn überhaupt – nur noch einen geringfügigen Anwendungsbereich.[41] Angesichts einer vergleichbaren Ausnahme im BDSG/DE scheint im Übrigen auch der deutsche Gesetzgeber diese Auffassung in Bezug auf die DSGVO zu teilen.[42]

Ein Nachteil liegt daher beispielsweise vor, wenn sich aus dem automatisiert abgeschlossenen Vertrag eine Pflicht für die betroffene Person ergibt (z.B. die Zinszahlungspflicht in einem Darlehensvertrag).[43] Ebenso liegt eine nachteilige Auswirkung vor, wenn der Verantwortliche den Abschluss eines (Kredit‑)Vertrags verweigert, worin aber noch nicht zwingend eine relevante Auswirkung liegen muss.[44]

Auswirkung, nicht Entscheidungsgrundlage

Sowohl zum DSG als auch zur DSGVO finden sich Äusserungen, welche die Interpretation zulassen, dass nicht nur die Auswirkung der Entscheidung bei der Voraussetzung der Rechtsfolge oder erheblichen Beeinträchtigung zu berücksichtigen ist:

So kann gemäss der Botschaft «ein negatives Kreditscoring» die tatsächlichen finanziellen Verhältnisse einer Person widerspiegeln, aber auch auf falschen oder veralteten Daten beruhen, die deren tatsächlichen finanziellen Verhältnissen völlig widersprechen. Hat letzterer Fall zur Folge, dass die betroffene Person keinen Kreditkartenvertrag abschliessen könne, führe dies zu einer «ungerechtfertigten Beeinträchtigung».[45] Dies liesse sich angesichts der weiteren bundesrätlichen Ausführungen auch als «erhebliche Beeinträchtigung» missverstehen.[46]

In ihren Leitlinien spricht die Artikel‑29‑Datenschutzgruppe ein Kreditkartenunternehmen an, welches das Kreditlimit einer Kundin nicht aufgrund deren Rückzahlverhaltens reduziert, sondern wegen der Analyse anderer Kunden in demselben Gebiet, die bei denselben Läden einkaufen. In diesem Beispiel führe das Verhalten anderer Personen als derjenigen, auf die sich die automatisierte Entscheidung beziehe, zu einer erheblichen Beeinträchtigung.[47]

In diesen Beispielen scheinen der Bundesrat und die Artikel‑29‑Datenschutzgruppe das Vorliegen einer erheblichen Beeinträchtigung statt von der Auswirkung der Entscheidung davon abhängig zu machen, welche Daten bzw. Daten welcher Qualität deren Grundlage bilden. Dieser – wenn auch nur implizit geäusserte – Anknüpfungspunkt der Entscheidungsgrundlage ist abzulehnen.[48] Er findet keine Stütze im Wortlaut von Art. 21 Abs. 1 DSG und Art. 22 Abs. 1 DSGVO, wonach die Entscheidung, nicht die zugrunde liegenden Datenbearbeitungen, eine Rechtsfolge oder eine erhebliche Beeinträchtigung verursachen muss. Im Kontext der übrigen Äusserungen von Bundesrat und Artikel‑29‑Datenschutzgruppe erscheint dieser Anknüpfungspunkt denn auch als zufälliger Ausreisser.

Die alternativen Voraussetzungen einer erheblichen Beeinträchtigung oder Rechtsfolge wollen den Anwendungsbereich der Bestimmungen auf Entscheidungen beschränken, die wegen ihrer Auswirkung von einigem Gewicht für die betroffene Person sind.[49] Deswegen wäre es verfehlt, eine Rechtsfolge oder erhebliche Beeinträchtigung bei einer fehlerhaften (Daten‑)Grundlage ungeachtet der womöglich geringfügigen Auswirkung auf die betroffene Person anzunehmen. Zwar richten sich die Bestimmungen über die automatisierten Entscheidungen auch gegen Entscheidungen ungenügender Qualität,[50] wofür die Datenrichtigkeit eine wichtige Rolle spielt. Jedoch verfolgen sie angesichts des Wortlauts und ihrer Ausrichtung auf tatsächliche Auswirkungen[51] – anders als das (übrige) Datenschutzrecht[52] – nicht einen präventiven Vorfeldschutz; Fallkonstellationen, in denen eine Entscheidung gestützt auf eine datenschutzwidrige Grundlage erfolgt, sind denn auch anderweitig datenschutzrechtlich abgedeckt.

Die Missachtung von Bearbeitungsgrundsätzen (ob unter dem DSG gerechtfertigt oder nicht) oder anderer Vorgaben im Rahmen der automatisierten Datenbearbeitungen, die der Entscheidung zugrunde liegen, ist an sich für die Beurteilung der relevanten Auswirkung der automatisierten Entscheidung irrelevant.

Rechtsfolge und erhebliche Beeinträchtigung im Einzelnen

Rechtsfolge

Eine automatisierte Entscheidung zeitigt eine Rechtsfolge bzw. rechtliche Wirkung,[53] wenn sie die Rechtsposition der betroffenen Person nachteilig[54] ändert.[55] Die Entscheidung muss ein Recht aufheben, eine Pflicht auferlegen oder ein Recht oder eine Pflicht zuungunsten der betroffenen Person abändern.[56] Keine Rechtsfolge in diesem Sinne stellt die blosse Verletzung eines Rechts der betroffenen Person wie des Persönlichkeitsrechts (vgl. Art. 28 ZGB) oder eines Grundrechts dar.[57] Die Rechtsfolge muss unmittelbar von der Entscheidung ausgehen;[58] unzureichend ist eine faktische Wirkung, die (mittelbar) rechtlich relevant ist, da sonst der Begriff der automatisierten Entscheidung ausufern würde.[59] Eine Rechtsfolge liegt demnach beispielsweise bei der Kündigung eines Vertrags,[60] nicht hingegen bei der Verweigerung eines Arbeitsvertrags vor, (nur) weil dies für die betroffene Person etwa ausländerrechtlich[61] relevant ist.[62]

Eine Erheblichkeitsschwelle muss die Rechtsfolge unter beiden Erlassen nicht überschreiten.[63] Der Wortlaut der DSGVO («in ähnlicher Weise») erlaubt zwar die Interpretation, dass auch die Rechtsfolge «erheblich» sein muss,[64] lässt sich jedoch auch so verstehen, dass Rechtsfolgen generell erheblich sind und die tatsächlichen Auswirkungen dieses Niveau der Erheblichkeit erreichen müssen.[65] Letztere Lesart lässt sich auch aus der Gegenüberstellung mit Art. 9 Abs. 1 lit. a Konv. 108+ ableiten, der nur die Voraussetzung der erheblichen Beeinträchtigung kennt; bei einer Rechtsfolge scheinen die DSGVO und das DSG in Umsetzung der Konvention generell von einer erheblichen Beeinträchtigung auszugehen. Hinzu kommt, dass sonst die Tatbestandsvariante der Rechtsfolge in jener der erheblichen Beeinträchtigung aufginge.

Erhebliche Beeinträchtigung

Die begrifflichen Konturen der «erheblichen Beeinträchtigung» lassen sich weniger leicht bestimmen als jene der Variante der Rechtsfolge,[66] zumal weder das schweizerische noch das europäische Recht die Voraussetzung präzisieren. Gemäss der Botschaft ist eine erhebliche Beeinträchtigung anzunehmen, wenn die betroffene Person auf nachhaltige Weise, z.B. in ihren wirtschaftlichen oder persönlichen Belangen eingeschränkt wird.[67] Dies deckt sich weitgehend mit Äusserungen in der deutschen Lehre zur DSGVO, wonach die betroffene Person durch die Entscheidung in ihrer wirtschaftlichen oder persönlichen Entfaltung nachhaltig gestört werden muss.[68] Eine blosse Belästigung genügt demnach nicht.[69] Als Kriterien nennt der Bundesrat die Bedeutsamkeit des fraglichen Guts für die betroffene Person, den allfälligen Zugang zu Alternativen sowie die Dauerhaftigkeit der Auswirkungen der Entscheidung.[70] Der längerfristige oder dauerhafte Einfluss auf die betroffene Person ist gemäss der Artikel‑29‑Datenschutzgruppe auch für die DSGVO zu berücksichtigen, zudem der Einfluss auf das Verhalten oder die Wahlmöglichkeiten der betroffenen Person und die allfällige Folge, dass sie ausgegrenzt oder diskriminiert wird.[71]

Für die Beurteilung der Erheblichkeit einer Beeinträchtigung sind die Umstände des Einzelfalls relevant, die nach objektiven Kriterien zu beurteilen sind.[72] Massstab ist also nicht das subjektive Empfinden der betroffenen Person, sondern der durchschnittliche Adressat.[73] Dies erscheint gerechtfertigt, weil das DSG und die DSGVO auch bei anderen (immateriellen) Beeinträchtigungen eine objektivierte Sichtweise annehmen, so etwa bei der Beurteilung einer (anderweitigen) Persönlichkeitsverletzung unter dem DSG[74] bzw. eines immateriellen Schadens unter der DSGVO (vgl. Art. 82 DSGVO).[75] Weshalb – wie eine Lehrmeinung postuliert[76] – der Zweck der Bestimmungen über die automatisierten Entscheidungen einen (teilweise) subjektiven Massstab erfordern soll, leuchtet nicht ein.

Als Beispiele,[77] die sich allerdings nur beschränkt als Referenzgrösse eignen, führt die Botschaft die Zuteilung medizinischer Leistungen oder – je nach den konkreten Auswirkungen – einen nicht abgeschlossenen Vertrag auf.[78] EG 71 Satz 1 DSGVO nennt undifferenziert die automatische Ablehnung eines Online-Kreditantrags oder ein Online-Einstellungsverfahren, wobei nicht eindeutig ist, ob damit eine rechtliche Wirkung oder eine erhebliche Beeinträchtigung angesprochen sein soll.[79] Gemäss der Artikel‑29‑Datenschutzgruppe vermögen etwa Entscheidungen mit Auswirkungen auf die finanzielle Lage einer Person, etwa ihre Kreditwürdigkeit, eine erhebliche Beeinträchtigung zu verursachen.[80]

Betrachtung ausgewählter Entscheidungen

Verweigerung des Abschlusses eines Vertrags, insbesondere mit kreditorischem Risiko

Rechtsfolge?

Die Verweigerung eines Vertragsschlusses wie die Ablehnung eines beantragten Darlehens entfaltet keine Rechtsfolge; eine rechtliche Wirkung bleibt vielmehr gerade aus.[81] Ein Generalanwalt des EuGH sah dies anders und hielt eine rechtliche Wirkung insofern für möglich, als die betroffene Person nach der Ablehnung nicht mehr in den Genuss einer vertraglichen Beziehung mit dem potenziellen Vertragspartner, in der betreffenden Sache einem Finanzinstitut, kommen könne.[82] Dies mag zwar eine faktische Wirkung einer Ablehnung sein, ist aber keine rechtliche Konsequenz der Entscheidung. Dem scheint der EuGH beizupflichten; er hat jedenfalls in der besagten Sache eine erhebliche Beeinträchtigung angenommen und ist nicht von einer rechtlichen Wirkung ausgegangen.[83]

Obwohl im Anwendungsbereich des DSG und der DSGVO vom Grundsatz der Vertragsfreiheit auszugehen ist,[84] bestehen zuweilen Kontrahierungspflichten, also Pflichten zum Abschluss eines bestimmten Vertrags,[85] die sich (in der Schweiz) etwa aus dem Kartellrecht, dem Krankenversicherungsrecht oder dem Recht der elektronischen Medien ergeben.[86] Zudem leitet sich gemäss Bundesgericht[87] unter bestimmten Voraussetzungen (unter anderem hinsichtlich des Vertragsgegenstands und der Angebotssituation) aus den allgemeinen Prinzipien des schweizerischen Privatrechts eine Kontrahierungspflicht ab.[88] Besteht eine solche Kontrahierungspflicht, geht eine Lehr- und Behördenmeinung davon aus, dass die Verweigerung eines Vertragsschlusses eine Rechtsfolge zeitigt.[89]

Eine Vertragsverweigerung soll nach einer weiteren Ansicht (überdies) zu einer Rechtsfolge führen, wenn sie gestützt auf ein (auch im Privatrechtsverkehr[90]) geschütztes Merkmal erfolgt, die betroffene Person also diskriminiert wird.[91] Dies träfe im Kontext des schweizerischen Privatrechts beispielsweise zu, wenn einer Bewerberin der Abschluss eines Arbeitsvertrags aufgrund ihres Geschlechts automatisiert verweigert und so zugleich das Diskriminierungsverbot des Gleichstellungsgesetzes missachtet würde.[92] Dasselbe gilt etwa auch, wenn einer Person aufgrund ihrer Behinderung der Abschluss eines Vertrags (über eine grundsätzlich von jedermann beanspruchbare Dienstleistung) verweigert wird.[93]

Nach hier vertretener Ansicht verursacht auch eine Vertragsverweigerung, die eine Kontrahierungspflicht ignoriert oder zu einer (im Privatrechtsverkehr relevanten) Diskriminierung führt, keine Rechtsfolge i.S.v. Art. 21 Abs. 1 DSG bzw. Art. 22 Abs. 1 DSGVO. Zwar verletzt der Verantwortliche in diesen Fällen die Rechte der betroffenen Person, doch ändert die Entscheidung deren Rechtsposition nicht,[94] wie es eben die Tatbestandsvariante der Rechtsfolge verlangt.[95] Diese Auffassung scheint auch die Artikel‑29‑Datenschutzgruppe hinsichtlich Diskriminierungen zu teilen, zumal sie diese als Konstellation erfasst, in der nicht eine Rechtsfolge, sondern eine erhebliche Beeinträchtigung vorliegt bzw. vorliegen kann.[96]

Erhebliche Beeinträchtigung

Eine Vertragsverweigerung beeinträchtigt die betroffene Person zwar nicht zwingend erheblich, tut dies aber unter Umständen.[97] Zunächst wird eine erhebliche Beeinträchtigung in jenen Fällen anzunehmen sein, in denen der Verantwortliche mit der Verweigerung eine Kontrahierungspflicht ignoriert oder die betroffene Person rechtlich relevant[98] diskriminiert.[99] Nachdem die Rechtsordnung in diesen Fällen der betroffenen Person den Abschluss zwingend ermöglichen bzw. sie vor Diskriminierungen gezielt schützen will, ist anzunehmen, dass die Entscheidung die wirtschaftliche und/oder persönliche Entfaltung der betroffenen Person ausreichend stört.

Ausserhalb solcher Konstellationen sind für die Beurteilung einer erheblichen Beeinträchtigung der Gegenstand des Vertrags sowie die Angebotssituation auf dem Markt massgebend.[100] Für das DSG lassen sich diese Kriterien aus der Botschaft ableiten, die insbesondere die Bedeutsamkeit des fraglichen Guts für die betroffene Person sowie die Zugänglichkeit von Alternativen als für die Beurteilung einer erheblichen Beeinträchtigung massgebend erklärt.[101] Für die DSGVO fehlt zwar ein entsprechender gesetzeshistorischer Hinweis; die Kriterien[102] bieten sich angesichts des Verständnisses einer erheblichen Beeinträchtigung in der DSGVO indes auch hier an,[103] ist doch eine nachhaltige Störung der wirtschaftlichen oder persönlichen Entfaltung erforderlich und sollen blosse Belästigungen nicht ausreichen.[104] Unerheblich ist die Beeinträchtigung demnach, wenn dem Vertragsgegenstand eine (vergleichsweise) geringfügige wirtschaftliche oder persönliche Bedeutung zukommt. Ist die Bedeutung des Vertragsgegenstands hingegen nicht geringfügig und besteht auf dem Markt keine oder bloss eine Alternative zu deutlich ungünstigeren Bedingungen, ist eine erhebliche Beeinträchtigung zu bejahen.

Vor diesem Hintergrund greift es – trotz dahingehend interpretierbarer Ausführungen in der Kommissionsdiskussion zum DSG[105] bzw. im EG 71 Satz 1 DSGVO – zu kurz, bei jeder Ablehnung eines Kreditantrags eine erhebliche Beeinträchtigung anzunehmen.[106] Ob (auch) der EuGH kürzlich für die generelle Annahme einer erheblichen Beeinträchtigung bei einer negativen Kreditentscheidung votierte, ist nicht restlos klar;[107] sollte dem so sein, ist diese Ansicht abzulehnen. Vielmehr ist eben auch bei Verträgen mit kreditorischem Risiko[108] anhand des (zu finanzierenden) Gegenstands und der Angebotssituation eine erhebliche Beeinträchtigung zu prüfen.[109]

Ungewöhnliche Umstände vorbehalten, fehlt es beispielsweise bereits an einem relevanten Gegenstand, wenn ein beantragtes Darlehen zur Finanzierung einer Armbanduhr dienen soll. Hingegen dürfte in der Regel nicht mehr von einem in wirtschaftlicher und persönlicher Hinsicht geringfügigen Vertragsgegenstand die Rede sein, wenn eine Anbieterin ein Mobiltelefonabonnement automatisiert verweigert. In der Schweiz lässt sich (derzeit) aber in Frage stellen, ob bei einem solchen Abonnement nicht zumutbare Alternativen bestehen, sei es aufgrund anderer Anbieter oder der Möglichkeit, die Dienstleistungen mit Vorauszahlung (Prepaid-Handy) zu beziehen. Eine erhebliche Beeinträchtigung zufolge Vertragsverweigerung wird angesichts des Gegenstands und der Angebotssituation demgegenüber etwa vorliegen, wenn der Verantwortliche der betroffenen Person automatisiert den Abschluss eines Mietvertrags über (nicht Ferienzwecken dienende) Wohnräume versagt.[110]

Verweigerung günstigerer Vertragskonditionen, insbesondere eines Kaufs auf Rechnung

Rechtsfolge oder erhebliche Beeinträchtigung?

Automatisiert lassen sich auch die (angebotenen) Konditionen eines Vertrags festlegen, z.B. der Preis oder die Zahlungsmodalitäten für Waren und Dienstleistungen oder die Laufzeit oder der Zins eines Darlehens.[111] Zeigt sich die betroffene Person vertragsinteressiert und entscheidet der Verantwortliche automatisiert, dass er bloss zu ungünstigeren (als die anbegehrten oder üblichen) Konditionen den Vertrag mit der betroffenen Person zu schliessen bereit ist, fragt sich, ob diese für die betroffene Person nachteilige Entscheidung über die Vertragskonditionen eine Rechtsfolge[112] oder bloss (allenfalls) eine erhebliche Beeinträchtigung[113] verursacht.

Solche Entscheidungen über Vertragskonditionen schlagen sich zwar mittelbar in der auf Vertragsabschluss gerichteten Willenserklärung des Verantwortlichen und gegebenenfalls im abgeschlossenen Vertrag nieder, indem die betroffene Person den Vertrag bloss zu ungünstigeren Konditionen schliessen kann und gegebenenfalls die aus den vereinbarten Konditionen fliessenden Pflichten tragen muss; z.B. erhält die betroffene Person bloss Zahlungsmodalitäten ohne kreditorisches Risiko angeboten oder der abgeschlossene Vertrag sieht einen unüblich hohen Preis vor. Die Entscheidung, der betroffenen Person nicht die anbegehrten oder üblichen Vertragskonditionen zu gewähren, entfaltet an sich aber nicht unmittelbar eine Rechtsfolge,[114] wie es diese Tatbestandsvariante von Art. 21 Abs. 1 DSG bzw. Art. 22 Abs. 1 DSGVO erfordern würde.[115] Hinzu kommt, dass sonst ein Wertungswiderspruch bestünde:[116] Während die Vertragsverweigerung allenfalls eine erhebliche Beeinträchtigung verursachen würde, läge bei ungünstigeren Vertragskonditionen stets eine Rechtsfolge, mithin eine relevante Auswirkung vor, selbst wenn es bloss etwa um eine geringfügige Preiserhöhung ginge.

Nach einer nicht unterstützenswerten Ansicht soll die automatisierte Bestimmung von Vertragskonditionen deshalb eine rechtliche Wirkung entfalten, weil die betroffene Person damit eine Einschränkung ihrer Vertragsfreiheit hinnehmen müsse.[117] Die Vertragsfreiheit (jedenfalls nach schweizerischem Verständnis) umfasst indes kein Recht auf spezifische Vertragskonditionen, sondern garantiert unter anderem bloss, Verträge grundsätzlich beliebigen Inhalts abschliessen zu können.[118] Nur weil eine potenzielle Vertragspartnerin nicht bereit ist, bestimmte Konditionen zu vereinbaren und damit ihre eigene Vertragsfreiheit ausübt, ist die Vertragsfreiheit grundsätzlich Vertragsinteressierter nicht eingeschränkt. Ausserdem würde hier höchstens eine Verletzung eines Rechts, nicht aber eine erforderliche Änderung der Rechtsposition der betroffenen Person vorliegen.[119]

Vor diesem Hintergrund ist die Verweigerung günstigerer Vertragskonditionen, insbesondere die Verweigerung eines Kaufs auf Rechnung, unter der Tatbestandsvariante der erheblichen Beeinträchtigung zu prüfen. Dies scheint denn auch der Ansicht des EDSB zu entsprechen; er dürfte allerdings bei einer Kreditvergabe zu einem überhöhten oder unfairen Preis generell von einer erheblichen Beeinträchtigung für die betroffene Person ausgehen.[120] Auch die Artikel‑29‑Datenschutzgruppe ordnet personalisierte Preise bei dieser Tatbestandsvariante ein, stellt aber – zu Recht – klar, dass diese die betroffene Person nicht erheblich beeinträchtigen müssen, sondern bloss können.[121]

Ob die Verweigerung von anbegehrten oder üblichen Konditionen zuungunsten der betroffenen Person sie erheblich beeinträchtigt, ist im Einzelfall zu prüfen.[122] Wichtige Faktoren dürften dabei die allfällige Dauerhaftigkeit des Vertrags, die Bedeutung des Vertragsgegenstands für die betroffene Person und ihre Alternativen sein. Eine erhebliche Beeinträchtigung wird jedenfalls dann vorliegen, wenn Vertragskonditionen prohibitiv wirken und einer Vertragsverweigerung gleichkommen, die in der gegebenen Konstellation eine erhebliche Beeinträchtigung[123] darstellen würde.[124]

Verweigerung eines Kaufs auf Rechnung im Besonderen

Ob die Entscheidung, der betroffenen Person eine bestimmte Zahlungsmodalität, die für deren Vertragspartner mit einem kreditorischen Risiko verbunden ist, nicht anzubieten, eine relevante Auswirkung zeitigt, ist umstritten. Dies zeigt sich insbesondere bei der Frage, ob die Verweigerung eines Kaufs auf Rechnung (durch einen Online-Shop) eine erhebliche Beeinträchtigung darstellt. Nach einer Ansicht verursacht die Verweigerung einer Zahlungsmodalität per se eine erhebliche Beeinträchtigung,[125] eine andere verneint dies konsequent[126] und eine dritte Ansicht differenziert nach den Umständen.[127] So hält etwa das deutsche Bundeskartellamt dafür, dass zumindest «im Falle eines höheren Bestellwerts […] eine Vorleistung für den Betroffenen jedenfalls wirtschaftlich erheblich ins Gewicht fallen und die Ablehnung eines Rechnungskaufs damit ggfs. – ähnlich wie die Ablehnung eines Kredits – eine erhebliche Beeinträchtigung darstellen [könnte]».[128]

Mit Blick auf das Vertragsrecht (jedenfalls der Schweiz) ist zu berücksichtigen, dass das Gesetz zwar verschiedentlich Vorleistungspflichten vorsieht,[129] bei synallagmatischen Verträgen indes vom Grundsatz der gleichzeitigen Leistungserbringung ausgeht.[130] Eine Vorleistung ist also – gesetzliche Ausnahmen vorbehalten – ein freiwilliges Entgegenkommen des entsprechenden Schuldners,[131] was besonders beim Kaufvertrag zutrifft, der die Regel eines Leistungsaustauschs Zug um Zug ausdrücklich festhält (Art. 184 Abs. 2 OR). Jedenfalls wenn eine Anbieterin bloss auf der Regelung gemäss dispositivem Recht besteht, lässt sich kaum behaupten, dies beeinträchtige die betroffene Person erheblich.[132]

Ausserdem werden sich Anbieterinnen Verträgen mit kreditunwürdigen Personen, gegenüber denen sie also grundsätzlich keine Vorleistungspflicht eingehen, nicht verschliessen, sofern sie im Einzelfall kein kreditorisches Risiko tragen müssen,[133] z.B. wegen einer Kreditkarten- oder Vorauszahlung. Die Verweigerung, eine Ware (oder Dienstleistung) mit Vorleistungspflicht anzubieten, schneidet die betroffene Person also nicht vom Leistungsbezug an sich ab. Dementsprechend ist – selbst bei hohen Bestellwerten – auch die Tragweite der Entscheidung zu relativieren, deren Auswirkungen sich kaum als nachhaltige Einschränkung der wirtschaftlichen oder persönlichen Entfaltung bezeichnen lassen.[134] Solange der betroffenen Person eine zumutbare Zahlungsmodalität als Alternative verbleibt, verursacht die Verweigerung eines Waren- oder Dienstleistungsbezugs auf Rechnung keine erhebliche Beeinträchtigung.[135]

Deshalb bewegt sich etwa eine Anbieterin eines Online-Shops, welche die Kreditwürdigkeit vertragsinteressierter Personen vollautomatisiert prüft (bzw. prüfen lässt) und bei negativer Einschätzung gestützt darauf als Zahlungsmodalität statt Rechnung bloss Vorkasse oder Kreditkarte anbietet, ausserhalb des Anwendungsbereichs der Bestimmungen über die automatisierten Entscheidungen.

Zur DSGVO Binns/Veale, S. 326 f. ↵

Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g DSGVO. ↵

Zur DSGVO Binns/Veale, S. 326. ↵

Zum DSG Suter F., S. 313 ff., wonach auch die übrigen Voraussetzungen nicht anhand konkreter Entscheidungen, sondern der Entscheidungsalternativen eines Systems zu prüfen seien. Im Wesentlichen aus denselben Gründen wie bei der relevanten Auswirkung ist diese Ansicht auch für die übrigen Voraussetzungen abzulehnen. ↵

Zum DSG Suter F., S. 313 f. ↵

Zum DSG Suter F., S. 314; zur DSGVO Binns/Veale, S. 327. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 24. ↵

Zur DSGVO vgl. Binns/Veale, S. 326, die dies auch einräumen. ↵

Botschaft Totalrevision DSG, S. 7057. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 24. ↵

Zur DSGVO vgl. Binns/Veale, S. 327, die dies auch einräumen. ↵

Vgl. dazu unten Teil 4, D.III.3.1.b. ↵

Zur DSGVO GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 39, wonach eine Einzelfallprüfung der Schwere der Auswirkungen auf die Stellung der betroffenen Person erforderlich sei. ↵

Zur DSGVO EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 48 f. ↵

Zur DSGVO LG Traunstein, 6 O 2465/23 vom 22. Mai 2024, in: GRUR-RS 2024, 12349, Rn. 28, das Art. 22 Abs. 1 DSGVO nicht anwendet, weil die (angeblich) betroffene Person keine ablehnende Kreditentscheidung beweisen konnte. ↵

So Buchner, in: Kühling/Buchner, Art. 22 N 25; Kumkar/Roth-Isigkeit, S. 279; Lorentz, S. 264; Schulz, in: Gola/Heckmann, Art. 22 N 21: a.M. Helfrich, in: Sydow/Marsch, Art. 22 N 48; vgl. auch Scholz, in: Simitis et al., Art. 22 N 32. ↵

Sie sprechen von einer Entscheidung, «produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire» bzw. «which produces legal effects concerning him or her or similarly significantly affects him or her». ↵

Ähnlich auch Strassemeyer/Quiel, in: Freund et al., Art. 22 N 33. ↵

Sie adressieren eine Entscheidung, «qui a des effets juridiques pour elle ou l’affecte de manière significative» bzw. «che abbia per lei effetti giuridici o conseguenze significative». ↵

EG Kommission, Geänderter Vorschlag DSRL, S. 26 f., die als Beispiel für eine Entscheidung, die nach diesem Entwurf nicht erfasst gewesen wäre, eine (auf Kreditscoring gestützte) positive Kreditvergabeentscheidung nennt. ↵

Binns/Veale, S. 328; von Lewinski, in: Wolff et al., Art. 22 N 33; vgl. auch Martini, in: Paal/Pauly, Art. 22 N 28. ↵

Wobei die französische und englische Sprachfassung – wie in der DSGVO – die Verben «affecter» bzw. «affect» verwenden. ↵

Nicht nur die deutsche Fassung von Art. 11 JIRL, sondern auch die französische und die englische Fassung sprechen von «effets juridiques défavorables» bzw. «adverse legal effect»; vgl. dazu Binns/Veale, S. 328; Herbst, in: Auernhammer, Art. 22 N 14. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling (WP 251), S. 12. ↵

Botschaft Totalrevision DSG, S. 7057; vgl. auch BJ, Totalrevision, S. 21. ↵

BJ, Totalrevision, S. 21. ↵

Art. 21 Abs. 2 DSG, der ein Recht der betroffenen Person auf Darlegung ihres Standpunkts und auf Überprüfung der Entscheidung vorsieht, ist nicht anwendbar, wenn die betroffene Person nach Art. 30 Abs. 2 VwVG nicht angehört werden muss (Art. 21 Abs. 4 DSG). Nicht anzuhören braucht die Behörde die Parteien vor Verfügungen, in denen die Behörde den Begehren der Parteien voll entspricht (Art. 30 Abs. 2 lit. c VwVG). ↵

BJ, Totalrevision, S. 21. ↵

Wie sich aus der Botschaft Totalrevision DSG, S. 7058, ableiten lässt, ist bei der Beurteilung der Stattgabe der Begehren i.S.v. Art. 21 Abs. 3 lit. a DSG nicht auf die eigentlichen Begehren der betroffenen Person, sondern auf das (allgemeine) Angebot des Verantwortlichen im betreffenden Vertragszusammenhang abzustellen (BSK DSG-Henseler/Vasella, Art. 21 N 52; a.M. wohl SHK DSG-Pärli/Flück, Art. 21 N 17). ↵

Vgl. BSK DSG-Henseler/Vasella, Art. 21 N 25; Suter F., S. 276. ↵

Vgl. dazu unten Teil 4, D.III.1.2.b. ↵

Vgl. dazu oben Teil 4, C. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 25; vgl. auch Suter F., S. 275, die sich dennoch dagegen ausspricht, dass die Rechtsfolge nachteilig sein müsse; zur DSGVO Strassemeyer/Quiel, in: Freund et al., Art. 22 N 34 und 39; Veil, in: Gierschmann et al., Art. 22 N 71; vgl. auch Schantz, in: Schantz/Wolff, Rn. 737; a.M. Dreyer/Schulz, S. 20, wonach der Schutzzweck auch bei (rechtlichen) Vorteilen berührt sei. ↵

Vgl. Art. 21 Abs. 3 lit. a und Art. 21 Abs. 4 DSG i.V.m. Art. 30 Abs. 2 lit. c VwVG. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 25; a.M. OFK DSG-Bieri/Powell, Art. 21 N 7; Suter F., S. 275 f., je in Bezug auf die Variante der Rechtsfolge; zur DSGVO Buchner, in: Kühling/Buchner, Art. 22 N 25 f.; Strassemeyer/Quiel, in: Freund et al., Art. 22 N 35 und 39; Veil, in: Gierschmann et al., Art. 22 N 71; a.M. Martini, in: Paal/Pauly, Art. 22 N 28; vgl. auch Bygrave, in: Kuner et al., S. 534; Helfrich, in: Sydow/Marsch, Art. 22 N 48; Scholz, in: Simitis et al., Art. 22 N 32, die auch eine Rechtsfolge ohne Nachteil genügen lassen. ↵

Buchner, in: Kühling/Buchner, Art. 22 N 25; vgl. auch Scholz, in: Simitis et al., Art. 22 N 32 (Fn. 88). ↵

BJ, Totalrevision, S. 21. ↵

Zur DSGVO Strassemeyer/Quiel, in: Freund et al., Art. 22 N 34, in Bezug auf die Variante der Rechtsfolge. ↵

Art. 21 Abs. 3 lit. a und Art. 21 Abs. 4 DSG i.V.m. Art. 30 Abs. 2 lit. c VwVG. ↵

Vgl. dazu oben Teil 4, D.III.1.2.a.bb. ↵

Vorstellbar wäre etwa der Fall, in dem der betroffenen Person rechtlich zwingend mehr zusteht, als sie anbegehrt hat (zur DSGVO vgl. Martini, in: Paal/Pauly, Art. 22 N 28). ↵

Zur DSGVO Strassemeyer/Quiel, in: Freund et al., Art. 22 N 34, in Bezug auf die Variante der Rechtsfolge und mit Hinweis auf § 37 Abs. 1 Ziff. 1 BDSG/DE, der eine Ausnahme von Art. 22 Abs. 1 DSGVO vorsieht, wenn dem Begehren der betroffenen Person stattgegeben wurde; vgl. auch Martini, in: Paal/Pauly, Art. 22 N 28, mit demselben Argument in Bezug auf das aBDSG/DE, das diese Ausnahme ebenso kannte. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 30; zur DSGVO Strassemeyer/Quiel, in: Freund et al., Art. 22 N 34; a.M. Schulz, in: Gola/Heckmann, Art. 22 N 21. ↵

Vgl. dazu unten Teil 4, D.III.3.1. ↵

Botschaft Totalrevision DSG, S. 7057. ↵

Vgl. BSK DSG-Henseler/Vasella, Art. 21 N 26; vgl. auch Suter F., S. 285. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 24. Das Beispiel trug sich so ähnlich in den USA mit dem Kreditkartenunternehmen American Express zu (Lieber, o.S.). ↵

Die Bearbeitung von falschen oder veralteten bzw. ungeeigneten Daten kann unter dem Gesichtspunkt des Bearbeitungsgrundsatzes der Datenrichtigkeit bzw. der Verhältnismässigkeit problematisch sein (vgl. dazu oben Teil 3, C.IV.1.1.a und C.V.2.). ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 26; vgl. auch Thouvenin/Früh, S. 13; zur DSGVO Schantz, in: Schantz/Wolff, Rn. 737; vgl. auch GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 34, wonach Art. 22 Abs. 1 DSGVO, wie sich aus dem Wortlaut ergebe, «nur schwerwiegende Auswirkungen» abdecke. ↵

Vgl. dazu oben Teil 4, C.I. ↵

Vgl. dazu oben Teil 4, D.III.1.1. ↵

Vgl. dazu Biaggini, S. 20; Gellert, IDPL 2015, S. 5 f.; George, S. 119. ↵

Das DSG spricht von einer Rechtsfolge, die DSGVO von einer rechtlichen Wirkung. Darunter dürfte dasselbe zu verstehen sein (vgl. dazu oben Teil 4, B.I.), zumal auch die Lehre zur DSGVO den Begriff der Rechtsfolgen verwendet (vgl. Martini, in: Paal/Pauly, Art. 22 N 26; Scholz, in: Simitis et al., Art. 22 N 32; von Lewinski, in: Wolff et al., Art. 22 N 28 f.). ↵

Vgl. dazu oben Teil 4, D.III.1.2. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 27; vgl. auch Botschaft Totalrevision DSG, S. 7057; Heuberger, Rn. 199; zur DSGVO Schulz, in: Gola/Heckmann, Art. 22 N 21; Strassemeyer/Quiel, in: Freund et al., Art. 22 N 32 und 35; vgl. auch Scholz, in: Simitis et al., Art. 22 N 32. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 27; vgl. auch OFK DSG-Bieri/Powell, Art. 21 N 7, die eine rechtsgestaltende Auswirkung verlangen; Mehmedovic, Rn. 30; zur DSGVO Schulz, in: Gola/Heckmann, Art. 22 N 21; Strassemeyer/Quiel, in: Freund et al., Art. 22 N 32 und 35; vgl. auch Herbst, in: Auernhammer, Art. 22 N 13. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 27; a.M. Heuberger, Rn. 199 ff.; zur DSGVO vgl. Herbst, in: Auernhammer, Art. 22 N 13, in Bezug auf Grundrechte; Schulz, in: Gola/Heckmann, Art. 22 N 21; a.M. wohl Buchner, in: Kühling/Buchner, Art. 22 N 24a; unklar Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 23, die einerseits für ausreichend zu befinden scheint, dass die Entscheidung «die Rechte einer Person betrifft» und andererseits eine erhebliche Beeinträchtigung zu prüfen aufgibt, wenn «sich [die] Rechte oder Pflichten [durch die Entscheidung] nicht ändern». ↵

Zum DSG Botschaft Totalrevision DSG, S. 7057; BJ, Totalrevision, S. 20; SHK DSG-Pärli/Flück, Art. 21 N 9; vgl. auch Heuberger, Rn. 199. ↵

Zur DSGVO Martini, in: Paal/Pauly, Art. 22 N 26; vgl. auch von Lewinski, in: Wolff et al., Art. 22 N 28; a.M. Malgieri/Comandé, S. 252; Scholz, in: Simitis et al., Art. 22 N 32. ↵

Zum DSG Botschaft Totalrevision DSG, S. 7057; zur DSGVO Schulz, in: Gola/Heckmann, Art. 22 N 22. ↵

Vgl. etwa Art. 18 AIG, der die Zulassung von Personen zu einem Aufenthalt in der Schweiz zur Ausübung einer unselbständigen Erwerbstätigkeit regelt, soweit kein völkerrechtlicher Vertrag zur Anwendung kommt (vgl. Art. 2 AIG). ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 28. ↵

Zum DSG SHK DSG-Pärli/Flück, Art. 21 N 9; Rosenthal, Jusletter 2017a, Rn. 102; a.M. wohl Hirsch/Merlino, S. 43; zur DSGVO Henseler, automatisierte Entscheidung, S. 311; vgl. auch Bygrave, in: Kuner et al., S. 534; a.M. Schulz, in: Gola/Heckmann, Art. 22 N 21. GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 34, hielt (abgesehen vom Verweis auf den Wortlaut) ohne nähere Begründung und Konkretisierung fest, dass Art. 22 Abs. 1 DSGVO «nur schwerwiegende Auswirkungen abdeckt». Ob damit eine generelle, im Einzelfall zu prüfende Erheblichkeitsschwelle gemeint war, bleibt unklar, erscheint aber eher fraglich. ↵

Zur DSGVO Schulz, in: Gola/Heckmann, Art. 22 N 21; vgl. auch Rosenthal, Jusletter 2017a, Rn. 102. ↵

Zur DSGVO vgl. Bygrave, in: Kuner et al., S. 534; Henseler, automatisierte Entscheidung, S. 311. ↵

Zur DSGVO Lorentz, S. 264; Temme, S. 482. ↵

Botschaft Totalrevision DSG, S. 7057; vgl. auch BJ, Totalrevision, S. 21. ↵

Buchner, in: Kühling/Buchner, Art. 22 N 26; Lorentz, S. 265; von Lewinski, in: Wolff et al., Art. 22 N 40; vgl. auch Martini, in: Paal/Pauly, Art. 22 N 27, der zudem das Antasten der körperlichen Integrität oder Gesundheit sowie die nachteilige Veränderung der gesellschaftlichen Reputation nennt. ↵

Zum DSG Botschaft Totalrevision DSG, S. 7057; Mehmedovic, Rn. 30; Rosenthal, Jusletter 2020, Rn. 109; zur DSGVO Scholz, in: Simitis et al., Art. 22 N 35; Schulz, in: Gola/Heckmann, Art. 22 N 23. ↵

Botschaft Totalrevision DSG, S. 7057; vgl. auch BJ, Totalrevision, S. 21. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 23; vgl. auch Rechtbank Amsterdam, C/13/692003 / HA RK 20-302 vom 11. März 2021, Ziff. 4.11. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 31; vgl. auch OFK DSG-Bieri/Powell, Art. 21 N 8; Heuberger, Rn. 202; zur DSGVO Martini, in: Paal/Pauly, Art. 22 N 27; Scholz, in: Simitis et al., Art. 22 N 35; vgl. auch von Lewinski et al., § 16 N 23–24. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 31; zur DSGVO Scholz, in: Simitis et al., Art. 22 N 35; vgl. auch von Lewinski, in: Wolff et al., Art. 22 N 38; Zahariev, S. 76. ↵

Vgl. dazu oben Teil 3, C.IX.1.2. ↵

Gola/Piltz, in: Gola/Heckmann, Art. 82 N 13; Kreße, in: Sydow/Marsch, Art. 82 N 6; vgl. auch Frenzel, in: Paal/Pauly, Art. 82 N 10. ↵

Zur DSGVO Bygrave, in: Kuner et al., S. 535, wonach in beschränktem Masse auch die Wahrnehmung der betroffenen Person und deren allfällige Zugehörigkeit zu einer verletzlichen Gruppe zu berücksichtigen sei, da Art. 22 DSGVO auch den Schutz der Integrität und Würde der betroffenen Person bezwecke; zur DSRL so Bygrave, CLSR 2001, S. 19. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 32 f., mit Beispielen; zur DSGVO vgl. Bygrave, in: Kuner et al. (Update), S. 99 f., mit Beispielen. ↵

Botschaft Totalrevision DSG, S. 7057. ↵

Als Beispiele für Entscheidungen, die zu einer erheblichen Beeinträchtigung der betroffenen Person führen, versteht sie jedenfalls die norwegische Aufsichtsbehörde (vgl. Datatilsynet, S. 20). Diese Ansicht dürfte der EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 45 ff., (zumindest) in Bezug auf den Online-Kreditantrag teilen. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 23 f. ↵

Zum DSG Botschaft Totalrevision DSG, S. 7057; Rosenthal, Jusletter 2020, Rn. 109; Schmidlin, Rn. 41; a.M. Peter et al., S. 52; zur DSGVO Kumkar/Roth-Isigkeit, S. 280; Lorentz, S. 264; Schulz, in: Gola/Heckmann, Art. 22 N 24; vgl. auch EDSB, Rn. 31; a.M. Helfrich, in: Sydow/Marsch, Art. 22 N 48; offen gelassen bei Buchner, in: Kühling/Buchner, Art. 22 N 24a. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 35. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 48 f. ↵

Zum DSG Heuberger, Rn. 200; vgl. auch BJ, Totalrevision, S. 21; zur DSGVO Dreyer/Schulz, S. 18; Schulz in: Gola/Heckmann, Art. 22 N 24; Taeger, in: Taeger/Gabel, Art. 22 N 45. ↵

Zum Begriff der Kontrahierungspflicht vgl. Gauch et al., Rn. 1102 ff. ↵

Vgl. Gauch et al., Rn. 1108 ff.; ferner Göksu, ZBJV 2004, S. 36. ↵

Eine Kontrahierungspflicht besteht, wenn (i) ein Anbieter Waren oder Dienstleistungen des alltäglichen Normalbedarfs (ii) allgemein und öffentlich anbietet, (iii) dem Interessenten aufgrund der starken Machtstellung des Anbieters zumutbare Ausweichmöglichkeiten zur Befriedigung seines Normalbedarfs fehlen und (iv) der Anbieter keine sachlich gerechtfertigten Gründe für die Verweigerung des Vertragsabschlusses anzugeben vermag (BGE 129 III 35 E. 6.3). ↵

In Bezug auf einen Darlehensvertrag dürfte unter schweizerischem Recht selten eine Kontrahierungspflicht bestehen, nachdem wohl oft zumutbare Ausweichmöglichkeiten zur Verfügung stehen und die erforderliche Zugehörigkeit zum alltäglichen Normalbedarf fraglich erscheint. Zwar beschränkt sich der Normalbedarf nicht auf «für das nackte Überleben notwendige Güter und Leistungen», doch verlangt das Bundesgericht, dass die Güter und Leistungen «heute praktisch jedermann zur Verfügung stehen und im Alltag in Anspruch genommen werden» (BGE 129 III 35 E. 6.3). ↵

Zum DSG BJ, Totalrevision, S. 21; zur DSGVO Scholz, in: Simitis et al., Art. 22 N 34; Taeger, in: Taeger/Gabel, Art. 22 N 45; vgl. auch von Lewinski, in: Wolff et al., Art. 22 N 35; Wachter et al., IDPL 2017, S. 93. ↵

Art. 8 Abs. 2 BV und Art. 21 GRCh haben keine unmittelbare Drittwirkung in den Beziehungen zwischen Privatpersonen (vgl. dazu oben Teil 3, C.VII.2.2.b.aa und C.VII.2.2.b.bb). ↵

Zum DSG Heuberger, Rn. 200; zur DSGVO Scholz, in: Simitis et al., Art. 22 N 34; vgl. auch Schulz, in: Gola/Heckmann, Art. 22 N 23. ↵

Art. 3 Abs. 1 und 2 GlG; vgl. auch SHK GlG-Wetzstein/Wolfensberger, Art. 3 N 50 ff. ↵

Art. 3 lit. e und Art. 6 BehiG sowie Art. 2 lit. d BehiV; vgl. auch Naguib, S. 1000 ff. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 30; vgl. auch Suter F., S. 282 f., die rechtswidrige Diskriminierungen lediglich als erhebliche Beeinträchtigung prüft; zur DSGVO vgl. Martini, in: Paal/Pauly, Art. 22 N 27 f., der rechtlich relevante Diskriminierungen als erhebliche Beeinträchtigung anspricht; ferner Scholz, in: Simitis et al., Art. 22 N 32 und 34 f., dessen Positionierung indes nicht restlos klar wird. ↵

Vgl. dazu oben Teil 4, D.III.2.1. ↵

Zur DSGVO Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 23. ↵

Zum DSG Botschaft Totalrevision DSG, S. 7057; Bühlmann/Lagler, S. 19; PC LPD-Jaccoud et al., Art. 21 N 21 und 23; zur DSGVO Herbst, in: Auernhammer, Art. 22 N 17; Martini, in: Paal/Pauly, Art. 22 N 27; Taeger, in: Taeger/Gabel, Art. 22 N 47; vgl. auch Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 23 f.; a.M. Scholz, in: Simitis et al., Art. 22 N 36; Thüsing et al., RDV 2023, S. 84, die generell eine erhebliche Beeinträchtigung annehmen. ↵

Vgl. dazu oben Teil 4, D.III.3.1.a. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 30 und 32; zur DSGVO vgl. Martini, in: Paal/Pauly, Art. 22 N 27 f.; Scholz, in: Simitis et al., Art. 22 N 35, je in Bezug auf rechtlich relevante Diskriminierungen; ferner Herbst, in: Auernhammer, Art. 22 N 17, der aber auch bei Diskriminierungen eine Einzelfallprüfung postuliert. ↵

Die Kriterien für die Beurteilung einer erheblichen Beeinträchtigung bei der Verweigerung eines Vertragsabschlusses ähneln sich den bundesgerichtlichen Voraussetzungen der allgemeinen Kontrahierungspflicht (vgl. dazu oben Teil 4, D.III.3.1.a), grenzen sich von ihnen aber zumindest insofern ab, als nur für letztere allfällige sachlich gerechtfertigten Gründe für die Verweigerung des Vertragsabschlusses relevant sind. ↵

Botschaft Totalrevision DSG, S. 7057; vgl. auch Büyüksagis, S. 232, der die Verfügbarkeit von Alternativen betont; Schmidlin, Rn. 41, der eine erhebliche Beeinträchtigung bei einem negativen Einstellungsentscheid wegen der Bedeutung für die Lebenssituation bejaht. ↵

Herbst, in: Auernhammer, Art. 22 N 17, bejaht offenbar eine erhebliche Beeinträchtigung bei der Verweigerung eines Vertragsabschlusses nur, wenn sich das Angebot an die Allgemeinheit richtet. Eine dogmatische Grundlage für diese Voraussetzung ist nicht ersichtlich, und sie wäre wohl ohnehin kaum praxisrelevant: Denn zum einen dürften sich Angebote bzw. Einladungen zur Offertenstellung betreffend Verträge, deren Gegenstand die erforderliche wirtschaftliche oder persönliche Bedeutung aufweist, in aller Regel an die Allgemeinheit richten. Zum anderen wird sich die vorausgesetzte Automatisierung (vgl. dazu oben Teil 4, D.II.2.) bei Verträgen, die sich nicht an die Allgemeinheit richten, nur selten (wirtschaftlich) lohnen und in der Praxis vorliegen. ↵

Zur DSGVO vgl. Henseler, automatisierte Entscheidung, S. 314; Herbst, in: Auernhammer, Art. 22 N 17; Kamlah, in: Plath, Art. 22 N 14 und 17; Schantz, in: Schantz/Wolff, Rn. 737; strenger Schulz, in: Gola/Heckmann, Art. 22 N 24; von Lewinski, in: Wolff et al., Art. 22 N 39a f. ↵

Vgl. dazu oben Teil 4, D.III.2.2. ↵

SPK-NR vom 31. Januar/1. Februar 2019, S. 38. ↵

Zum DSG vgl. PC LPD-Jaccoud et al., Art. 21 N 23; ferner Domenig et al., Rn. 230 (Beispiel); a.M. wohl Mehmedovic, Rn. 31; zur DSGVO vgl. Kamlah, in: Plath, Art. 22 N 17; von Lewinski, in: Wolff et al., Art. 22 N 39a f.; a.M. Scholz, in: Simitis et al., Art. 22 N 36; vgl. auch EDSB, Rn. 31. ↵

Zur DSGVO vgl. EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 48 f., der – wohl insb. mit Blick auf die Beispiele in EG 71 Satz 1 DSGVO – bei Ablehnung eines beantragten Kredits von einer erheblichen Beeinträchtigung ausging, ohne die weiteren Umstände zu prüfen. ↵

Vgl. dazu oben Teil 1, A. und Teil 3, C.IV.2.2.b.aa. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 32; vgl. auch Domenig et al., Rn. 230 (Beispiel), in Bezug auf Alternativen; zur DSGVO vgl. Herbst, in: Auernhammer, Art. 22 N 17; Kamlah, in: Plath, Art. 22 N 17; a.M. wohl Schulz, in: Gola/Heckmann, Art. 22 N 26, vgl. aber N 24. ↵

Zum DSG vgl. BJ, Fragen, S. 32, wonach die Verfügbarkeit von Alternativen restriktiv auszulegen sei, wenn es sich um ein wichtiges Gut wie eine Wohnung handle. ↵

Vgl. Botschaft Totalrevision DSG, S. 7067; Mathys/Reinhardt, S. 36; Scholz, in: Simitis et al., Art. 22 N 36. ↵

Zum DSG vgl. Peter et al., S. 52, in Bezug auf die Verweigerung eines Kaufs auf Rechnung; zum aBDSG/DE vgl. Möller/Florax, MMR 2002, S. 809; Moos/Rothkegel, S. 565, je in Bezug auf die Verweigerung eines Kaufs auf Rechnung. ↵

Zur DSGVO Scholz, in: Simitis et al., Art. 22 N 36; vgl. auch Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 24; EDSB, Rn. 31, je in Bezug auf unterschiedliche Preisangebote; Bundeskartellamt, S. 82, in Bezug auf die Verweigerung eines Kaufs auf Rechnung; zum aBDSG/DE vgl. Born, S. 69, in Bezug auf die Bestimmung von Zahlungsmodalitäten. ↵

Zum DSG vgl. Wermelinger, Jusletter 2024, Rn. 10; zur DSGVO vgl. von Lewinski, in: Wolff et al., Art. 22 N 35. ↵

Vgl. dazu oben Teil 4, D.III.2.1. ↵

Zum aBDSG/DE vgl. Moos/Rothkegel, S. 565. ↵

Zum aBDSG/DE so aber Möller/Florax, MMR 2002, S. 809. ↵

Vgl. statt vieler Gauch et al., Rn. 611a ff.; BSK OR I-Meise/Huguenin, Art. 19 N 1 ff. ↵

Vgl. dazu oben Teil 4, D.III.2.1. ↵

EDSB, Rn. 31. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 24. ↵

Zur DSGVO Herbst, in: Auernhammer, Art. 22 N 17; vgl. auch Scholz, in: Simitis et al., Art. 22 N 36, wonach aber regelmässig die Schwelle der Erheblichkeit überschritten sei; a.M. wohl von Lewinski, in: Wolff et al., Art. 22 N 37 und 39, wonach die Verweigerung von Vorzugskonditionen keine erhebliche Beeinträchtigung darstellen könne. ↵

Vgl. dazu oben Teil 4, D.III.3.1.b. ↵

Zur DSGVO vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 24, wonach übermässig hohe Preise Personen von bestimmten Waren oder Dienstleistungen ausschliessen könnten. ↵

Zum DSG vgl. Peter et al., S. 52, wonach diesfalls eine die Anwendbarkeit von Art. 21 DSG begründende Rechtsfolge vorliegen solle; zum aBDSG/DE Born, S. 69, weil die betroffene Person in ihrer Vertragsfreiheit eingeschränkt sei und gegenüber anderen Kunden dadurch «diskriminiert» werde. ↵

Zum DSG vgl. Thouvenin et al., Jusletter 2020, Rn. 8, wonach der Entscheid, ob in einem Webshop Kauf auf Rechnung angeboten werde, mangels erforderlicher Tragweite keine automatisierte Entscheidung darstelle; zur DSGVO Kamlah, in: Plath, Art. 22 N 15 und 17; vgl. auch von Lewinski, in: Wolff et al., Art. 22 N 37 und 39; zum aBDSG/DE Golla, S. 63. ↵

Zur DSGVO Bundeskartellamt, S. 82; vgl. auch Scholz, in: Simitis et al., Art. 22 N 36, der jedoch (ohne nähere Begründung) festhält, dass regelmässig die Erheblichkeitsschwelle überschritten sei. ↵

Zur DSGVO Bundeskartellamt, S. 82. ↵

Das Gesetz sieht insb. eine Vorleistungspflicht der Vermieterin (Art. 257c OR), des Verpächters (Art. 281 Abs. 1 OR), der Arbeitnehmerin (Art. 323 Abs. 1 OR), des Unternehmers (Art. 372 Abs. 1 OR) und der versicherten Person (Art. 19 VVG) vor. ↵

Art. 82 OR; BSK OR I-Schroeter, Art. 82 N 1; BK OR-Weber, Art. 82 N 135. ↵

Zum DSG Wermelinger, Jusletter 2024, Rn. 10. ↵

Zum DSG vgl. Wermelinger, Jusletter 2024, Rn. 10, wonach Zug-um-Zug-Geschäfte «grundsätzlich unserem Rechtsverständnis» zugrunde lägen und daher «nicht als Nachteil gewertet werden» könnten. ↵

Hofer, in: Passadelis et al., Rn. 16.7; vgl. auch Wermelinger, Jusletter 2024, Rn. 18. ↵

Vgl. dazu oben Teil 4, D.III.2.2. ↵

Zum DSG vgl. Wermelinger, Jusletter 2024, Rn. 49, der eine erhebliche Beeinträchtigung bei der Verweigerung eines Leistungsbezugs auf Rechnung generell abzulehnen scheint; zur DSGVO Schulz, in: Gola/Heckmann, Art. 22 N 25. ↵

44

Komplexität der Entscheidung

Bewertung von persönlichen Aspekten?

Als weitere Voraussetzung einer automatisierten Entscheidung verlangte Art. 15 DSRL, die Vorgängerbestimmung von Art. 22 DSGVO, dass der Verantwortliche persönliche Aspekte der betroffenen Person bewertete.[1] Dieses Tatbestandselement findet sich im Wortlaut der DSGVO nicht mehr. Da sich mit dieser Voraussetzung triviale Wenn-Dann-Entscheidungen[2] aus dem Anwendungsbereich der Bestimmungen über automatisierte Entscheidungen ausschliessen lassen, befürwortet ein Teil der Lehre zur DSGVO, dass die Bewertung von persönlichen Aspekten ein Tatbestandsmerkmal von Art. 22 Abs. 1 DSGVO darstellt.[3] Auch ein obiter dictum des EuGH lässt sich so verstehen, als würde er eine solche Voraussetzung befürworten.[4]

Aus dem genannten Grund will eine Lehrmeinung dieses Erfordernis auf das DSG übertragen,[5] obwohl eine entsprechende Vorgängerbestimmung im schweizerischen Recht fehlt und sich dem Wortlaut von Art. 21 DSG keinerlei Hinweise auf eine solche Voraussetzung entnehmen lassen. Nach Ansicht der Mehrheit der Begleitgruppe, die das Normkonzept zum DSG verfasst hat, besteht zwar ein erhöhtes Schutzbedürfnis, wenn Entscheidungsverfahren die Bewertung von einzelnen Merkmalen einer Person beinhalten,[6] eine entsprechende Einschränkung fand aber ebenso wenig Eingang in den Vorentwurf wie in den Entwurf[7] und stand im Gesetzgebungsverfahren als Antrag nie zur Diskussion.

Im europäischen Recht deutet zunächst freilich EG 71 Satz 1 DSGVO[8] darauf hin, dass die Bewertung persönlicher Aspekte erforderlich ist.[9] Gemäss einem Verfechter dieses Erfordernisses spricht dafür auch Art. 35 Abs. 3 lit. a DSGVO.[10] Dieser verlangt eine Datenschutz-Folgenabschätzung bei einer systematischen und umfassenden Bewertung persönlicher Aspekte natürlicher Personen, die auf einer automatisierten Verarbeitung einschliesslich Profiling beruht und die ihrerseits als Grundlage für eine Entscheidung dient, die Rechtswirkung gegenüber natürlichen Personen entfaltet oder diese in ähnlich erheblicher Weise beeinträchtigt.[11] Daraus lässt sich indes nicht ableiten, dass auch den automatisierten Entscheidungen nach Art. 22 DSGVO ein Profiling vorangehen muss; im Gegenteil steht Art. 35 Abs. 3 lit. a DSGVO aus systematischen Gründen einem Erfordernis der Bewertung persönlicher Aspekte entgegen.[12]

Auch der Wortlaut von Art. 22 Abs. 1 DSGVO deutet darauf hin, dass kein solches Erfordernis besteht.[13] Er enthält zwar die auf das Profiling verweisende Parenthese, nennt aber weder ein solches Erfordernis abstrakt noch einzelne persönliche Aspekte. Implizit gibt die Parenthese zu erkennen, dass es auch Anwendungsfälle gibt, in denen kein persönlicher Aspekt bewertet wird; Art. 22 DSGVO spricht nämlich von «einschließlich Profiling»,[14] das (vereinfacht formuliert) als automatisierte Bewertung von persönlichen Aspekten definiert ist.[15] Hinzu kommt, dass eine entsprechende Voraussetzung noch im Vorschlag der EU-Kommission enthalten war,[16] dann aber vom Rat gestrichen wurde.[17]

Gewiss erscheint es abwegig, dass sich die Bestimmungen über automatisierte Entscheidungen auch gegen triviale Wenn-Dann-Entscheide wie Bargeldbezüge am Bankomaten richten.[18] Vor dem geschilderten Hintergrund vermag jedoch die Zweckausrichtung weder im schweizerischen noch im europäischen Recht ein Erfordernis der Bewertung von persönlichen Aspekten argumentativ zu tragen. Dies auch deshalb, weil ein allfälliges Komplexitätserfordernis besser an den Gegenstand statt an den Prozess der Entscheidung anknüpft.

Anderweitiges Komplexitätserfordernis

Anknüpfung an Entscheidungsprozess oder -gegenstand?

Gemäss der bundesrätlichen Botschaft müssen Entscheidungen eine gewisse Komplexität aufweisen, um als automatisierte Entscheidung im Sinne des Gesetzes zu gelten; reine Wenn-Dann-Entscheidungen seien vom Begriff nicht erfasst.[19] Auch nach dem Bundesamt für Justiz ist von einer wortlautgetreuen Auslegung von Art. 21 Abs. 1 DSG abzuweichen und im Sinne einer teleologischen Reduktion eine gewisse Komplexität zu fordern. Auszunehmen seien «triviale Wenn-Dann-Entscheidungen bzw. simple Ja/Nein-Abfragen objektiver Kriterien, die auf Bedingungen beruhen, welche für die betroffene Person offensichtlich sind».[20] Dies ergebe sich aus dem Zweck der Bestimmungen über die automatisierten Entscheidungen, der auf den Schutz der betroffenen Personen vor nicht nachvollziehbaren Entscheidungsprozessen ziele.[21]

Ob der Bundesrat die Komplexität des Entscheidungsgegenstands oder des Entscheidungsprozesses meint, wird in seinen Äusserungen nicht klar.[22] Auch das Bundesamt für Justiz spricht in seiner Übersicht zur Totalrevision des DSG von der einer Entscheidung innewohnenden Komplexität einerseits und von nicht nachvollziehbaren Entscheidungsprozessen andererseits. Es betont allerdings die Frage der Nachvollziehbarkeit und die Einfachheit der Kriterien und wird also die Komplexität des Entscheidungsprozesses vor Augen haben. Verlangt man eine gewisse Komplexität, erscheint es indes – sowohl für das DSG als auch die DSGVO – überzeugender, an den Entscheidungsgegenstand anzuknüpfen.[23] Denn komplexe Gegenstände lassen sich mit einfachen Wenn-Dann-Schemata entscheiden und sind trotzdem problematisch.[24] Umgekehrt lassen sich Entscheidungen mit einem einfachen Gegenstand in komplexen, allenfalls nicht nachvollziehbaren Verfahren herleiten, was (vergleichsweise) unproblematisch erscheint.[25]

Auch Folgeerwägungen sprechen dafür, dass die Komplexität des Entscheidungsgegenstands massgebend sein sollte. Eine Anknüpfung an komplexe Entscheidungsprozesse würde nämlich die Bestimmungen über die automatisierten Entscheidungen (aktuell) vielfach ins Leere laufen lassen. Dies gälte gerade in der öffentlichen Verwaltung, für welche die Schweiz in mehreren abgaberechtlichen Spezialgesetzen Rechtsgrundlagen[26] für automatisierte Entscheidungen geschaffen hat.[27] Je nach Anforderungen an die Komplexität,[28] jedenfalls beim Abstellen auf die fehlende Nachvollziehbarkeit des Entscheidungsprozesses,[29] dürfte dies teilweise sogar beim Kreditscoring und automatisierten Kreditentscheidungen zutreffen, die den Gesetzgebern beim Erlass der Bestimmungen immerhin als Prototypen dienten.[30] Den Entscheidungsprozess als massgebend zu betrachten, würde überdies dem Verantwortlichen eine Umgehungsmöglichkeit eröffnen. Er könnte eine an sich komplexe Entscheidung simpel herleiten und damit dem Anwendungsbereich entziehen.

Zwar ergibt auf den ersten Blick die bei automatisierten Entscheidungen verstärkte Transparenz, insbesondere das Auskunftsrecht betreffend die Logik,[31] bei komplexen Entscheidungsprozessen mehr Sinn als bei simpleren. Allerdings stellt die Transparenz keinen Selbstzweck dar; ihr Zweck erschöpft sich nicht in der Nachvollziehbarkeit des Entscheidungsprozesses für die betroffene Person. Vielmehr soll die Transparenz die betroffene Person in die Lage versetzen, ihre Rechte ausüben und erforderlichenfalls gegen die Entscheidung vorgehen zu können.[32] Die «Anfechtung» einer missliebigen Entscheidung und ein dafür erforderliches Verständnis für die Logik sind vor allem bei komplexen Entscheidungsgegenständen vonnöten. Sofern sich also ein Komplexitätserfordernis methodologisch rechtfertigen lässt, ist dabei auf die Komplexität des Gegenstands, nicht des Prozesses der Entscheidung abzustellen.

Herleitung des Komplexitätserfordernisses

Der Wortlaut von Art. 21 Abs. 1 DSG und Art. 22 Abs. 1 DSGVO verlangt nicht ausdrücklich eine Komplexität. Einzig der Begriff der Entscheidung könnte als Stütze für ein solches Erfordernis dienen: ohne Komplexität kein Spielraum, ohne Spielraum keine Entscheidung.[33] Ein gewichtiges Argument stellt dies freilich nicht dar. Ein solches findet sich aber in der Botschaft zum totalrevidierten DSG, die explizit eine gewisse Komplexität voraussetzt.[34] Ein vergleichbarer Hinweis lässt sich den Materialien zur DSGVO nicht entnehmen. Immerhin liesse sich in das in EG 71 Satz 1 DSGVO erwähnte (scheinbare[35]) Erfordernis der Bewertung von persönlichen Aspekten hineinlesen,[36] dass eine gewisse Komplexität verlangt ist.[37]

Die teleologische Reduktion, wie sie das Bundesamt für Justiz vornimmt, vermag zwar nach dem Gesagten nicht zu überzeugen.[38] Dennoch dürfte ausser Frage stehen, dass die Bestimmungen über automatisierte Entscheidungen angesichts ihrer Zweckausrichtung nicht Entscheidungen wie die chipkartengestützte Zutrittskontrolle adressieren. So fordern denn auch Stimmen in der Lehre zur DSGVO eine teleologische Reduktion,[39] teils durch die Voraussetzung der Bewertung eines persönlichen Aspekts[40] und teils ohne Konkretisierung der geforderten Komplexität.[41] Über die ratio legis der Bestimmung legen sie jedoch nicht (eingehend) Rechenschaft ab.[42]

Dies überrascht angesichts der im Detail unklaren Zweckausrichtung der Bestimmungen wenig.[43] Bei näherer Betrachtung lassen sich aus den in Frage kommenden Zwecken aber durchaus Argumente für ein Komplexitätserfordernis gewinnen: Soweit sich zumindest der historische Gesetzgeber Sorgen um die Entscheidungsqualität machte, sind diese zwar mit dem technischen Fortschritt stetig weniger gerechtfertigt,[44] erscheinen indes einzig bei komplexen Entscheidungsgegenständen nachvollziehbar, nicht hingegen bei trivialen, denen automatisierte Systeme gewiss schon gewachsen sind. Ebenso den Zweck der (wenn auch schwer konkretisierbaren) Fairness werden vor allem Entscheidungen mit einem Ermessensspielraum tangieren, der unfair ausgefüllt zu werden droht. Auch die Menschenwürde, deren Schutz die Bestimmungen auch bezwecken sollen, spricht für einen Entscheidungsgegenstand mit einer gewissen Komplexität, zumal sonst das Konzept der Menschenwürde banalisiert würde.

Ein weiteres Argument ergibt sich mit Blick auf die Rechte, die das DSG und die DSGVO der betroffenen Person bei automatisierten Entscheidungen vermitteln,[45] insbesondere jenes, die Entscheidung von einer natürlichen Person überprüfen bzw. anstelle einer Maschine fällen zu lassen (Art. 21 Abs. 2 DSG; Art. 22 Abs. 1 und 3 DSGVO).[46] Diese Rechtsfolge ist nur bei Entscheidungen sinnvoll, bei denen die menschliche Entscheidungsfindung – im Vergleich zur maschinellen – für die betroffene Person immerhin potenziell gewinnbringend ist. Dies trifft etwa bei der chipkartengestützten Zutrittskontrolle oder einem Spamfilter,[47] wo der Entscheidungsgegenstand keinen Ermessensspielraum lässt, nicht zu, dafür z.B. bei den Entscheidungen über die Einstellung von Bewerbenden oder die Kreditvergabe. In den letzteren beiden Beispielen kann eine natürliche Person die der Maschine einprogrammierten oder antrainierten Kriterien anders gewichten oder weitere berücksichtigen. Sie kann damit Ermessen ausüben und insofern für eine einzelfallgerechte Entscheidung sorgen.[48]

Vor diesem Hintergrund ist der Anwendungsbereich von Art. 21 DSG und Art. 22 DSGVO auf Entscheidungen zu beschränken, die an sich eine gewisse Komplexität aufweisen. Dabei ist die erforderliche Komplexität dort zu bejahen,[49] wo die Fällung der Entscheidung oder deren Überprüfung durch eine natürliche Person grundsätzlich sinnvoll erscheint.[50] Damit sind im Wesentlichen Entscheidungen angesprochen, deren Gegenstand einen (wenn auch geringfügigen) Beurteilungs- oder Ermessensspielraum aufweist,[51] wie dies etwa bei den vorliegend interessierenden Entscheidungen über den Abschluss eines Darlehens- oder Mietvertrags der Fall ist. Unerheblich für die Qualifikation als automatisierte Entscheidung ist hingegen, wie der Verantwortliche einen solchen Spielraum – sei es mit einem komplexen oder simplen Prozess – ausfüllt.[52]

Freilich lässt sich gegen ein so verstandenes Komplexitätserfordernis im schweizerischen Recht auf die Änderungen in den abgabenrechtlichen Spezialgesetzen verweisen, die neu automatisierte Entscheidungen nach Art. 21 DSG zulassen.[53] Denn die Komplexität dieser abgabenrechtlichen Entscheidungen ist gering; es besteht – wenn überhaupt – nur ein kleiner Ermessensspielraum.[54] Wenn diese abgabenrechtlichen Verfügungen automatisierte Entscheidungen nach Art. 21 DSG darzustellen vermögen, kann eine solche Komplexität eigentlich keine Voraussetzung sein. Kommt hinzu, dass die Lehre verwaltungsrechtliche Entscheidungen mit Ermessensspielraum grundsätzlich als für die Vollautomatisierung ungeeignet betrachtet.[55] Diese Argumente lassen sich allerdings relativieren. Mit dem Bundesrat ist (auch bei verwaltungsrechtlichen Verfügungen) eine Unterscheidung zwischen nicht komplexen Entscheidungen ohne Ermessensspielraum einerseits und Entscheidungen ausreichender Komplexität i.S.v. Art. 21 DSG andererseits vorzunehmen.[56] Liegt (wenn auch ausnahmsweise) der erforderliche Beurteilungs- und Ermessensspielraum vor, ermöglichen die abgabenrechtlichen Spezialgesetze der zuständigen Behörde, eine automatisierte Entscheidung nach Art. 21 DSG zu fällen. Dass es in den übrigen Fällen an einem solchen Spielraum fehlt, erlaubt nicht den Schluss, dass Art. 21 DSG generell keine Komplexität erfordert. Zudem geht der Bundesrat hier implizit davon aus, dass Behörden bei ausreichender Rechtsgrundlage auch Verfügungen mit Ermessensspielraum als automatisierte Entscheidungen erlassen dürfen. Damit stellt er sich wohl gegen die erwähnte Lehrmeinung, wonach verwaltungsrechtliche Entscheidungen mit Ermessensspielraum für die Vollautomatisierung grundsätzlich ungeeignet sind.

Art. 15 DSRL verlangte eine Entscheidung, «die ausschließlich aufgrund einer automatisierten Verarbeitung von Daten zum Zwecke der Bewertung einzelner Aspekte ihrer Person ergeht, wie beispielsweise ihrer beruflichen Leistungsfähigkeit, ihrer Kreditwürdigkeit, ihrer Zuverlässigkeit oder ihres Verhaltens». ↵

Als Beispiele für solche Entscheidungen werden zum DSG und zur DSGVO etwa der Bargeldbezug an einem Bankomaten oder die chipkartengestützte Zutrittskontrolle genannt (zum DSG BJ, Totalrevision, S. 20; vgl. auch Botschaft Totalrevision DSG, S. 7057; zur DSGVO Abel, ZD 2018a, S. 305; Häuselmann, Jusletter 2018, Rn. 38; vgl. auch von Lewinski, in: Wolff et al., Art. 22 N 13). ↵

So Abel, ZD 2018a, S. 305; Buchner, in: Kühling/Buchner, Art. 22 N 6 und 18 f.; Schulz, in: Gola/Heckmann, Art. 22 N 19; von Lewinski, in: Wolff et al., Art. 22 N 9 und 12 f.; vgl. auch Häuselmann, Jusletter 2018, Rn. 38; Mendoza/Bygrave, S. 90 f.; a.M. Bygrave, in: Kuner et al., S. 530; Dammann, S. 312; Herbst, in: Auernhammer, Art. 22 N 8; Kaminski, BTLJ 2019, S. 207; Scholz, in: Simitis et al., Art. 22 N 15 und 19. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 57 f., der dabei auf EG 71 DSGVO verweist. ↵

Vgl. Heuberger, Rn. 196 f. ↵

Normkonzept Revision DSG, S. 26. ↵

Vgl. Art. 15 Abs. 1 VE-DSG; Art. 19 Abs. 1 E-DSG. ↵

EG 71 Satz 1 DSGVO lautet wie folgt: «Die betroffene Person sollte das Recht haben, keiner Entscheidung […] zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die [eine relevante Auswirkung auf die betroffene Person hat].» ↵

Buchner, in: Kühling/Buchner, Art. 22 N 6 und 19; Häuselmann, Jusletter 2018, Rn. 38; vgl. auch von Lewinski, in: Wolff et al., Art. 22 N 12. ↵

Vgl. Buchner, in: Kühling/Buchner, Art. 22 N 19. ↵

Vgl. dazu auch oben Teil 3, D.IV.2.2.b.cc.iv.2. ↵

Henseler, automatisierte Entscheidung, S. 310. ↵

Vgl. Dammann, S. 312; Scholz, in: Simitis et al., Art. 22 N 19; ferner Schulz, in: Gola/Heckmann, Art. 22 N 19. ↵

Henseler, automatisierte Entscheidung, S. 309; Steinbach, S. 118. ↵

Vgl. dazu oben Teil 3, B.I.2. ↵

Art. 20 Ziff. 1 E-DSGVO KOM. ↵

Art. 20 Ziff. 1 E-DSGVO Rat. ↵

Zum DSG vgl. Botschaft Totalrevision DSG, S. 7057, die deswegen eine gewisse Komplexität verlangt; zur DSGVO Abel, ZD 2018a, S. 305; vgl. auch Häuselmann, Jusletter 2018, Rn. 38; von Lewinski, in: Wolff et al., Art. 22 N 13. Nach hier vertretener Ansicht fallen Bargeldbezüge am Bankomaten üblicherweise schon aus dem Anwendungsbereich, weil es (mangels Spielraums) an einer Entscheidung fehlt (vgl. dazu oben Teil 4, D.I.2.). ↵

Zum DSG Botschaft Totalrevision DSG, S. 7057; vgl. auch Mehmedovic, Rn. 29; Métille, in: Epiney et al. 2022, S. 16; Rosenthal, Jusletter 2020, Rn. 107. ↵

Zum DSG BJ, Totalrevision, S. 20. ↵

Zum DSG BJ, Totalrevision, S. 20, mit Verweis auf Krügel/Pfeiffenbring, § 11 N 41 f., die diesen (angeblichen) Zweck von Art. 22 DSGVO nicht näher begründen. ↵

Vgl. Suter F., S. 265 f., die u.a. aufgrund der sich sonst ergebenden Abgrenzungsfragen, die Gesetz und Materialien unbeantwortet lassen würden, ein Komplexitätserfordernis verneint. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 18; vgl. auch Rosenthal, Jusletter 2017a, Rn. 102, der aufgrund des (grundsätzlich) bestehenden Spielraums der Entscheidung deren Komplexität bejaht, auch wenn eine Bank anhand Wenn-Dann-Regeln darüber entscheidet, ob sie einer Kundin das Konto zu überziehen erlaubt; a.M. Bühlmann/Schüepp, Jusletter 2022, Rn. 98 (Fn. 184), wonach die «gewählte Lösung der Aufgabenstellung» komplex sein müsse. ↵

Eine Arbeitgeberin verwendet z.B. ein automatisiertes System, das Bewerbende allein anhand ihrer Schulnoten bewertet und alle mit einem Notendurchschnitt unter einer bestimmten Grenze aussortiert. ↵

Beispielsweise setzt eine Bank ein Gesichtserkennungssystem ein, wenn sich die Kunden per Smartphone in das E-Banking einloggen. ↵

Art. 17 Abs. 3 BStG; Art. 21 Abs. 2bis MinöStG; Art. 11 Abs. 4 SVAG; Art. 18 Abs. 4 TStG; Art. 38 Abs. 2 ZG; vgl. dazu Botschaft Totalrevision DSG, S. 7138 ff.; Braun Binder, ZSR 2020, S. 261 ff. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 7 und 18; vgl. auch Obrecht, S. 40 f. (Fn. 26), wonach die meisten derzeit in der Verwaltung eingesetzten Algorithmen auf Wenn-Dann-Schemata beruhen würden, sodass keine allzu hohe Komplexität verlangt werden könne, und kaum ein heute im Verwaltungsalltag eingesetztes System Art. 21 DSG unterfiele, wenn auf die fehlende Nachvollziehbarkeit abgestellt würde. ↵

Zum DSG vgl. Rosenthal, Jusletter 2017a, Rn. 102, mit dem Beispiel einer Entscheidung einer Bank betreffend die von einer Kundin beantragte Kontoüberziehung. Da auch diese Entscheidung letztlich auf eine Serie von Wenn-Dann-Regeln abstelle, sei bei der Komplexität vielmehr auf den der Bank zukommenden Spielraum bei dieser (eine Kreditprüfung umfassenden) Entscheidung abzustellen. ↵

Zumindest die schweizerischen Auskunfteien setzen Techniken aus dem Bereich des Machine Learning bzw. der Künstlichen Intelligenz, die mit Komplexität und fehlender Nachvollziehbarkeit in Verbindung gebracht werden (vgl. BJ, Totalrevision, S. 20 [Fn. 40]), erst in beschränktem Masse ein (vgl. dazu oben Teil 1, D.II.2.2.b). ↵

Zum DSG vgl. Botschaft Totalrevision DSG, S. 7057; zur DSGVO vgl. EG 71 Satz 1 DSGVO. ↵

Art. 25 Abs. 2 lit. f DSG; Art. 15 Abs. 1 lit. h DSGVO. ↵

Vgl. dazu oben Teil 4, C.III.1. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 11, wonach eine Entscheidung einen Spielraum erfordere; Rosenthal, Jusletter 2017a, Rn. 102; a.M. wohl BJ, Totalrevision, S. 20, wonach für ein Komplexitätserfordernis von einer wortlautgetreuen Auslegung abzuweichen sei; zur DSGVO vgl. Steinbach, S. 116 f. ↵

Botschaft Totalrevision DSG, S. 7057. ↵

Vgl. dazu oben Teil 4, D.IV.1. ↵

Vgl. Kumkar/Roth-Isigkeit, S. 279. ↵

Vgl. EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 43 ff. und 57 f., der zwar zunächst von bloss drei Voraussetzungen von Art. 22 Abs. 1 DSGVO spricht, anschliessend aber mit Verweis auf EG 71 DSGVO (zusätzlich) die Bewertung von persönlichen Aspekten zu verlangen scheint. ↵

Abgesehen davon, dass eine Komplexität des Gegenstands, nicht des Prozesses der Entscheidung zu verlangen, sinnvoller erscheint (vgl. dazu oben Teil 4, D.IV.2.1), stand für den Gesetzgeber nicht im Vordergrund, betroffene Personen vor nicht nachvollziehbaren Entscheidungen, sondern vor Entscheidungen mit unrichtigen Datengrundlagen zu schützen und im Hinblick auf die Ausübung weiterer Rechte für Transparenz zu sorgen (vgl. dazu oben Teil 4, C.I.). Die an der Nachvollziehbarkeit ausgerichtete teleologische Reduktion überzeugt auch angesichts der neu geschaffenen Rechtsgrundlagen in den abgaberechtlichen Spezialgesetzen nicht, die Veranlagungsverfügungen und Steuerbetragsfestsetzungen als automatisierte Entscheidungen i.S.v. Art. 21 DSG zu fällen erlauben (Botschaft Totalrevision DSG, S. 7138 ff.). Diese Entscheidungen beruhen auf «objektiven Kriterien», welche für die betroffenen Personen aufgrund der Publikation der Gesetze «offensichtlich» sind; es liesse sich insofern von Entscheidungen nach einem (trivialen) Wenn-Dann-Schema sprechen. Solche Entscheidungen würde das BJ, Totalrevision, S. 20, nun aber gerade vom Anwendungsbereich von Art. 21 DSG ausschliessen wollen. ↵

Andere erkennen diese Fragestellung, betrachten aber einfache Wenn-Dann-Entscheidungen dennoch als von den Bestimmungen über die automatisierten Entscheidungen erfasst (Finck, S. 9; Martini, in: Paal/Pauly, Art. 22 N 15b; vgl. auch Dammann, S. 312). ↵

Buchner, in: Kühling/Buchner, Art. 22 N 18; Schulz, in: Gola/Heckmann, Art. 22 N 19; Steinbach, S. 118 f.; vgl. auch Abel, ZD 2018a, S. 306; von Lewinski, in: Wolff et al., Art. 22 N 12 f.; vgl. dazu auch oben Teil 4, D.IV.1. Dabei würde es sich im Übrigen um ein an den Entscheidungsprozess anknüpfendes Komplexitätserfordernis handeln (vgl. dazu oben Teil 4, D.IV.2.1), weil der Prozess eben eine Bewertung persönlicher Aspekte umfassen müsste. Daran würde es z.B. der negativen Rekrutierungsentscheidung, die allein auf den Notendurchschnitt der Bewerberin abstellt, (mangels Interpretation mit subjektiver Komponente; vgl. dazu oben Teil 3, B.I.2.1.a) fehlen. ↵

Kumkar/Roth-Isigkeit, S. 279; von Lewinski et al., § 16 N 11. ↵

Häuselmann, Jusletter 2018, Rn. 38, hält fest, dass Art. 22 DSGVO den Schutz vor einer inakkuraten und missbräuchlichen Verwendung von Informationstechnologien im Rahmen von vollautomatisierten Entscheidungsprozessen bezwecke und dessen Anwendungsbereich deshalb zu beschränken sei. ↵

Vgl. dazu oben Teil 4, C. ↵

Vgl. Thouvenin et al., EDPL 2022, S. 194 f.; Thouvenin/Früh, S. 9. ↵

Art. 21 und Art. 25 Abs. 2 lit. f DSG; Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g, Art. 15 Abs. 1 lit. h und Art. 22 DSGVO. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 17; zur DSGVO vgl. Steinbach, S. 119, die sich für das Erfordernis der Bewertung persönlicher Aspekte u.a. mit dem Argument ausspricht, dass nur Entscheidungen von Art. 22 Abs. 1 DSGVO erfasst sein sollten, bei denen es einen Unterschied mache, ob sie von einem Menschen oder einem Algorithmus getroffen würden. ↵

Zum DSG vgl. Rosenthal, Jusletter 2017a, Rn. 102 (Fn. 123), wonach Spamfilter zwar unterschiedliche Anteile und Auswahlen an false positives und false negatives aufweisen würden, es aber jeweils klar sei, dass die betreffenden Treffer «false» seien. ↵

Zum DSG vgl. Rosenthal, Jusletter 2020, Rn. 107; ferner SHK DSG-Pärli/Flück, Art. 21 N 7; zur DSGVO vgl. Lorentz, S. 259; ferner Zweig, S. 15, wonach Menschen den Einzelfall bewerten würden und auch Kriterien berücksichtigen könnten, die eigentlich aus dem Bewertungsraster fielen. ↵

Zum DSG a.M. Braun Binder, ZSR 2020, S. 258 f., wonach die Komplexität sinnvollerweise nur Entscheidungen ausschliessen könne, die keinerlei Sachverhaltsermittlung erfordern würden, sodass z.B. Verkehrsampeln nicht erfasst seien; vgl. auch Wiederkehr/Meyer, S. 1105. Dieses Verständnis ist abzulehnen, weil diese Entscheidungen – jedenfalls jene der erwähnten Verkehrsampeln – bereits mangels Bearbeitung von Personendaten (vgl. dazu oben Teil 4, D.II.1.) aus dem Anwendungsbereich fallen. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 17, wonach es im Einzelfall schwierig zu beurteilen sein könne, ob ein Entscheidungsgegenstand einen Ermessensspielraum aufweise und als Massstab dafür die Erwägung dienen könne, ob die Überprüfung durch eine natürliche Person sinnvoll erscheine. ↵

Zur DSGVO vgl. Steinbach, S. 116 ff., die zwar im Ergebnis «Wenn-Dann-Entscheidungen» aus dem Anwendungsbereich ausschliesst, aber einen Beurteilungs- bzw. Ermessensspielraum verlangt. ↵

Zum DSG a.M. wohl Rosenthal, Jusletter 2020, Rn. 107, gemäss dem Art. 21 DSG zwar voraussetzt, dass einer Maschine ein Ermessensentscheid übertragen wird, der sodann aber eine Bewertung wie beim Profiling verlangt. ↵

Vgl. Botschaft Totalrevision DSG, S. 7138 ff.; Braun Binder, ZSR 2020, S. 261 ff. ↵

Zum DSG Rechsteiner, Rn. 16 und 37; vgl. auch Braun Binder, SZW 2020, S. 32. ↵

Zum DSG Braun Binder, ZSR 2020, S. 276; Rechsteiner, Rn. 31; vgl. auch Obrecht, S. 41. ↵

Zum DSG Erläuternder Bericht Zollgesetzrevision, S. 52; vgl. dazu auch Thurnherr, S. 142. ↵

45

Zwischenfazit

Eine Entscheidung, wie sie Art. 21 DSG bzw. Art. 22 DSGVO voraussetzt, lässt sich als einen Akt verstehen, der mit in gewisser Weise abschliessender Wirkung aus mindestens zwei Varianten auswählt, z.B. die Verweigerung (statt Gewährung) eines Darlehens durch eine Kreditgeberin. Gemäss EuGH ist auch der Kreditscore eine Entscheidung, sofern von ihm massgeblich abhängt, ob eine diesen beschaffende Dritte wie eine Kreditgeberin ein Vertragsverhältnis begründet, durchführt oder beendet. Angesichts der wenig überzeugenden Argumente des EuGH (und des zuständigen Generalanwalts) lässt sich dieser Ansicht indes nicht folgen. Ein Kreditscore schliesst auch in der vom EuGH adressierten Konstellation keine Varianten abschliessend aus und stellt daher keine Entscheidung dar. Die Erlasse auferlegen aber ihr Pflichtenprogramm bei automatisierten Entscheidungen dem «Verantwortlichen», also dem über Zweck und Mittel einer Bearbeitung entscheidenden Akteur. Da eine automatisierte Entscheidung keine Datenbearbeitung darstellt, könnte sich fragen, ob eine Auskunftei nicht doch in der Pflicht steht. Darauf ist zurückzukommen.[1]

Auf einer ausschliesslich automatisierten Bearbeitung beruht eine Entscheidung, wenn die Phase der Schlussfolgerung computergestützt erfolgt und keine natürliche Person daran (relevant) beteiligt ist. Ob eine relevante menschliche Beteiligung vorliegt, ist vorab mit Blick auf die Vorgaben des Verantwortlichen zu beurteilen, die er der beteiligten natürliche Person gegebenenfalls zur Berücksichtigung aufgibt. Eine ausschliessliche Automatisierung ist beispielsweise zu bejahen, wenn eine Kreditgeberin ihre Kreditentscheidungen unmittelbar auf den von der Auskunftei automatisiert generierten Kreditscore abstellt, etwa einen Kredit verweigert, weil ein Cut-off-Score nicht erreicht ist.

Die Entscheidung muss zudem im Einzelfall eine für die betroffene Person nachteilige Rechtsfolge verursachen oder sie erheblich beeinträchtigen. Nicht bei jeder automatisierten Verweigerung eines Vertrags mit kreditorischem Risiko liegt eine erhebliche Beeinträchtigung vor. Sie ist zu bejahen, wenn der Verantwortliche damit eine Kontrahierungspflicht ignoriert oder die betroffene Person rechtlich relevant diskriminiert, oder, wenn der zu finanzierende Gegenstand (objektiv betrachtet) nicht von geringfügiger Bedeutung ist und der betroffenen Person keine zumutbare Alternative offensteht. Dies trifft z.B. zu, wenn der Verantwortliche einen Mietvertrag über (nicht Ferienzwecken dienende) Wohnräume versagt. Verweigert etwa ein Online-Shop der betroffenen Person einen Kauf auf Rechnung, bietet ihr aber eine andere zumutbare Zahlungsmodalität an, fehlt die erforderliche Erheblichkeit.

Das DSG und die DSGVO setzen zudem eine gewisse Komplexität des Gegenstands (und nicht des Prozesses) der Entscheidung voraus. Eine solche Komplexität liegt vor, wenn eine menschliche (statt maschinelle) Fällung oder Überprüfung der Entscheidung grundsätzlich sinnvoll erscheint, wie dies etwa bei Kreditentscheidungen der Fall ist. Hier erlaubt die Beurteilung der Kreditwürdigkeit oder deren Überprüfung durch eine natürliche Person die Berücksichtigung ausserordentlicher Umstände des Einzelfalls. Nicht erforderlich ist hingegen die Bewertung von persönlichen Aspekten. Im hier interessierenden Kontext wäre eine solche aber ohnehin gegeben, nachdem eine Auskunftei beim Kreditscoring zumindest die Kreditwürdigkeit und wohl auch die wirtschaftliche Lage und Zuverlässigkeit (bei der Schuldentilgung) der betroffenen Person automatisiert beurteilt.[2]

Vgl. dazu unten Teil 4, E.III. ↵

Vgl. dazu oben Teil 3, B.I.2.1.c. ↵

XXVI

Berechtigter und Verpflichteter

Liegen die beschriebenen Elemente einer automatisierten Entscheidung vor, ergeben sich daraus verschiedene spezifische Rechte und Pflichten (nachfolgend I.). Obwohl diese Rechte der legaldefinierten «betroffenen Person» (Art. 5 lit. b DSG; vgl. Art. 4 Ziff. 1 DSGVO) zustehen und sich gegen den legaldefinierten «Verantwortlichen» (Art. 5 lit. j DSG; Art. 4 Ziff. 7 DSGVO) richten, stellt sich die Frage, wer dadurch berechtigt (nachfolgend II.) und wer verpflichtet wird (nachfolgend III.).

46

Überblick über die Rechte und Pflichten

Informationspflicht und Auskunftsrecht

Im schweizerischen Recht (DSG)

Gemäss Art. 21 Abs. 1 DSG muss der Verantwortliche die betroffene Person über eine automatisierte Entscheidung – wahlweise vor oder nach deren Fällung[1] – informieren. Weitere Informationen schuldet der Verantwortliche nach dem Wortlaut dieser Bestimmung nicht. Allerdings können kraft der Generalklausel von Art. 19 Abs. 2 DSG weitere Informationen, etwa über die Rechte auf Darlegung des Standpunkts und auf Überprüfung (Art. 21 Abs. 2 DSG),[2] geschuldet sein. Fraglich erscheint, ob dazu auch eine Information über die involvierte Logik, wie sie das europäische Recht vorsieht,[3] zählt.[4]

Die Informationspflicht nach Art. 21 Abs. 1 DSG entfällt, wenn eine Ausnahmekonstellation[5] vorliegt (vgl. Art. 21 Abs. 3 DSG). Für die Informationspflicht nach Art. 19 DSG sieht Art. 20 DSG Ausnahmen und Einschränkungen vor, unter Umständen z.B. überwiegende Interessen des Verantwortlichen oder Dritter.

Weitere Informationen kann die betroffene Person auf Gesuch hin verlangen. Art. 25 Abs. 2 DSG vermittelt ihr nämlich im Sinne einer Generalklausel ein Recht auf Auskunft über alle Informationen, die erforderlich sind, damit sie ihre Rechte nach DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Als Mindestinhalt zählt zur Auskunft das allfällige Vorliegen einer automatisierten Entscheidung sowie die Logik, auf der die Entscheidung beruht (Art. 25 Abs. 2 lit. f DSG).[6] Auch abseits einer automatisierten Entscheidung könnte die Generalklausel vom Verantwortlichen Informationen über die Logik einer Datenbearbeitung, etwa eines Profilings, verlangen.[7] Dies ist indes tendenziell abzulehnen, weil es offenbar generell Wille des Gesetzgebers war, eine Auskunft über die Logik auf automatisierte Entscheidungen i.S.v. Art. 21 Abs. 1 DSG zu beschränken.[8] Hinzu kommt bei der hier interessierenden Berechnung des Kreditscores, dass der Ständerat ein Auskunftsrecht über das Vorliegen einer Datenbearbeitung zur Prüfung der Kreditwürdigkeit und über die Logik, auf der die Bearbeitung beruht, ausdrücklich vorsehen wollte,[9] sich damit aber nicht durchsetzen konnte.

Ausnahmen und Einschränkungen zum Auskunftsrecht sehen Art. 26 f. DSG vor; das spezifische Auskunftsrecht bei einer automatisierten Entscheidung (Art. 25 Abs. 2 lit. f DSG) wird allerdings auch entfallen, wenn eine Ausnahmekonstellation i.S.v. Art. 21 Abs. 3 DSG vorliegt.[10]

Im europäischen Recht (DSGVO)

Die DSGVO verlangt vom Verantwortlichen eine Information über das Bestehen einer automatisierten Entscheidung i.S.v. Art. 22 Abs. 1 und 4 DSGVO und «zumindest in diesen Fällen» aussagekräftige Informationen über die involvierte Logik[11] sowie die Tragweite und die angestrebten Auswirkungen[12] einer derartigen Verarbeitung (Art. 13 Abs. 2 lit. f bzw. Art. 14 Abs. 2 lit. g DSGVO). Die Information muss bei der Direktbeschaffung zum Zeitpunkt der Erhebung und bei der indirekten Beschaffung innerhalb einer angemessenen Frist nach Erlangung der Daten erfolgen, die längstens einen Monat dauern darf (Art. 13 Abs. 1 bzw. Art. 14 Abs. 3 DSGVO).[13]

Ausserdem sieht die DSGVO – wie das DSG – ein spezifisches Auskunftsrecht bei automatisierten Entscheidungen vor, das wortgleich wie die Informationspflicht formuliert ist, also ebenfalls die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen umfasst (Art. 15 Abs. 1 lit. h DSGVO). Die betroffene Person kann mit dem Auskunftsrecht (in Bezug auf diese Aspekte) gemäss herrschender Meinung dieselben Informationen in Erfahrung bringen, wie ihr bereits im Rahmen der Informationspflicht zur Verfügung zu stellen sind.[14] Zusätzlich wird der Verantwortliche die Information schulden, ob und gegebenenfalls welche automatisierten Entscheidungen er im Konkreten gegenüber der betroffenen Person gefällt hat.[15]

Die in der Informationspflicht und im Auskunftsrecht enthaltene Parenthese, wonach «zumindest in diesen Fällen» die Informationen, insbesondere über die Logik, geschuldet seien, könnte darauf schliessen lassen, dass der Verantwortliche sie der betroffenen Person auch unter anderen Umständen, etwa bei Vornahme eines Profilings oder einer teilautomatisierten Entscheidung, mitteilen muss.[16] Wie sich allerdings aus der Gesetzeshistorie ergibt,[17] entschied sich der Gesetzgeber bewusst gegen eine Informationspflicht beim Profiling und ein Auskunftsrecht bei darauf gestützten Massnahmen bzw. bei automatisierten Datenverarbeitungen.[18] Deshalb lässt sich aus der Parenthese[19] nicht ableiten, dass der Anwendungsbereich der Informationspflicht bzw. des Auskunftsrechts über automatisierte Entscheidungen hinausgeht.[20] Im Übrigen geht auch der EuGH davon aus, dass das Profiling, jedenfalls in der Form der Berechnung des Kreditscores, kein Auskunftsrecht i.S.v. Art. 15 Abs. 1 lit. h DSGVO auslöst.[21]

Ebenso bestehen keine Informationspflicht und kein Auskunftsrecht angesichts des fehlenden Verweises auf Entscheidungen i.S.v. Art. 22 Abs. 2 DSGVO, wenn eine Ausnahmekonstellation im Sinne dieser Bestimmung vorliegt.[22] Daneben kennt die DSGVO (in freilich beschränktem Masse) Ausnahmen von der Informationspflicht, namentlich jene der bereits vorliegenden Informationen (Art. 13 Abs. 4 bzw. Art. 14 Abs. 5 DSGVO). Ob Art. 15 Abs. 4 DSGVO bloss wortlautgetreu eine Ausnahme vom Recht auf eine Kopie i.S.v. Art. 15 Abs. 3 DSGVO beinhaltet oder sich «Rechte und Freiheiten anderer Personen» etwa auch gegenüber dem spezifischen Auskunftsrecht bei automatisierten Entscheidungen vorbringen lassen, ist umstritten.[23] Ein Generalanwalt des EuGH hat kürzlich letztere Ansicht gestützt und dafürgehalten, dass auch der Schutz von Geschäftsgeheimnissen Beschränkungen des in Art. 15 Abs. 1 lit. h DSGVO vorgesehenen Auskunftsrechts rechtfertigen könne.[24]

Besondere Betroffenenrechte

Das DSG spricht der betroffenen Person ein Recht auf Darlegung ihres Standpunktes und auf Überprüfung der automatisierten Entscheidung zu (Art. 21 Abs. 2 DSG). Die Gelegenheit zur Darlegung ihres Standpunkts kann der Verantwortliche der betroffenen Person vor oder nach der Entscheidung einräumen,[25] er muss aber einen allfälligen Standpunkt in guten Treuen (in der automatisierten Entscheidung oder bei deren Überprüfung) berücksichtigen.[26] Das Recht auf Überprüfung durch eine natürliche Person soll, funktional betrachtet, der betroffenen Person zu verhindern ermöglichen, dass ausschliesslich eine Maschine statt (auch) ein Mensch eine sie betreffende Entscheidung (endgültig) fällt. Die Vorgaben an die Überprüfung durch eine natürliche Person sind demnach an den Voraussetzungen einer relevanten menschlichen Beteiligung an einer teilautomatisierten Entscheidung, insbesondere jenen an eine Überprüfung der Entscheidung,[27] auszurichten.[28] Die besonderen Betroffenenrechte entfallen, wenn eine Ausnahmekonstellation[29] vorliegt (vgl. Art. 21 Abs. 3 DSG).

Gemäss EuGH[30] und der wohl herrschenden Meinung[31] sieht Art. 22 Abs. 1 DSGVO ein grundsätzliches Verbot von automatisierten Entscheidungen vor, das die betroffene Person nicht geltend machen muss. Dafür sprechen etwa die an ein Verbot erinnernde Formulierung von EG 71 Satz 3 DSGVO sowie Art. 22 Abs. 2 lit. c DSGVO, der automatisierte Entscheidungen bei Einwilligung der betroffenen Person von Art. 22 Abs. 1 DSGVO ausnimmt, was nur bei einem grundsätzlichen Verbot sinnvoll erscheint. Nach einer Minderheitsmeinung muss die betroffene Person hingegen ihr Recht, nicht einer automatisierten Entscheidung unterworfen zu werden, geltend machen,[32] sodass ihr gegenüber eine (erneute) Entscheidung gefällt wird, die nicht Art. 22 Abs. 1 DSGVO untersteht. Für diese letztere Ansicht sprechen die überzeugenderen Argumente, namentlich der Wortlaut, die Anknüpfung an die Vorgängerbestimmung (Art. 15 DSRL), die lediglich ein Betroffenenrecht vorsah, und die Systematik, insbesondere im Zusammenhang mit der Informationspflicht, zumal sonst eine Pflicht zur Information über verbotene Entscheidungen bestünde.[33] Über kein solches Widerspruchsrecht verfügt die betroffene Person, wenn eine der sogleich zu besprechenden Ausnahmekonstellationen gegeben ist (vgl. Art. 22 Abs. 2 DSG).

Ausnahmekonstellationen

Ausnahmekonstellationen im Einzelnen

In bestimmten Konstellationen darf ein Verantwortlicher eine automatisierte Entscheidung ohne Berücksichtigung der spezifischen Informations- und Auskunftspflicht fällen und stehen der betroffenen Person die besonderen Betroffenenrechte nicht zu (vgl. Art. 21 Abs. 3 DSG;[34] Art. 22 Abs. 2 DSGVO[35]):

Dies ist zunächst bei bestimmten automatisierten Entscheidungen im Zusammenhang mit Verträgen der Fall. Unter dem DSG muss die automatisierte Entscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person stehen und ihrem Begehren stattgegeben worden sein (Art. 21 Abs. 3 lit. a DSG).[36] Die DSGVO sieht eine Ausnahme von (automatisierten) Entscheidungen vor, die für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich sind (Art. 22 Abs. 2 lit. a DSGVO), wobei – trotz des Wortlauts – nicht die Entscheidung, sondern deren automatisierte Fällung erforderlich sein muss.[37]

Als weitere Ausnahme sehen beide Erlasse die ausdrückliche Einwilligung der betroffenen Person vor (Art. 21 Abs. 3 lit. b DSG; Art. 22 Abs. 2 lit. c DSGVO). Obwohl Art. 6 Abs. 6 f. DSG systematisch betrachtet die Einwilligung in Datenbearbeitungen adressiert, erscheint es angesichts des vergleichbaren Schutzbedürfnisses der betroffenen Person naheliegend und sachgerecht, die darin enthaltenen Vorgaben auch an die Einwilligung in eine automatisierte Entscheidung zu stellen.[38] Mutatis mutandis gilt das auch für die DSGVO, in deren Anwendungsbereich Art. 4 Ziff. 11 und Art. 7 DSGVO heranzuziehen sind.[39] Die Einwilligung muss daher nach angemessener Information, freiwillig, ausdrücklich und – unter der DSGVO – mittels eindeutig bestätigender Handlung erfolgen.[40]

Für die DSGVO können Rechtsvorschriften der EU oder der Mitgliedstaaten, nicht aber der Schweiz, weitere Ausnahmen vorsehen (Art. 22 Abs. 2 lit. b DSGVO), etwa um Betrug und Steuerhinterziehung zu überwachen und zu verhindern (EG 71 Satz 3 DSGVO). Die betreffenden Rechtsvorschriften müssen nicht nur die Ausnahme vorsehen, sondern auch angemessene Massnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten (Art. 22 Abs. 2 lit. b DSGVO).

Angemessene Massnahmen und Verarbeitung besonderer Kategorien personenbezogener Daten (nur DSGVO)

Erfolgt im Anwendungsbereich der DSGVO eine automatisierte Entscheidung gestützt auf eine Einwilligung oder ist sie für den Abschluss oder die Erfüllung eines Vertrags erforderlich, muss der Verantwortliche angemessene Massnahmen zugunsten der betroffenen Person ergreifen, zumindest[41] muss er ihr die Rechte auf Erwirkung des Eingreifens einer (natürlichen) Person seitens des Verantwortlichen,[42] auf Darlegung des eigenen Standpunkts[43] und auf Anfechtung der Entscheidung[44] gewähren (Art. 22 Abs. 3 DSGVO). Die Rechte auf Eingreifen einer Person und auf Darlegung des eigenen Standpunkts sind inhaltlich mit jenen in Art. 21 Abs. 2 DSG vergleichbar, bestehen indes nicht grundsätzlich, sondern nur in den Ausnahmekonstellationen.

Zusätzliche Einschränkungen gelten unter der DSGVO, wenn die automatisierte Entscheidung in einer Ausnahmekonstellation[45] auf der Verarbeitung besonderer Kategorien personenbezogener Daten beruht. Diesfalls muss eine Ausnahme vom grundsätzlichen Verbot der Verarbeitung solcher Daten i.S.v. Art. 9 Abs. 2 lit. a oder g DSGVO gegeben sein, also eine ausdrückliche Einwilligung der betroffenen Person vorliegen oder die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaates aus Gründen eines erheblichen öffentlichen Interesses erforderlich sein. Zudem muss der Verantwortliche angemessene Massnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person treffen (Art. 22 Abs. 4 DSGVO). In Abgrenzung zu Art. 22 Abs. 3 DSGVO sind hier die Massnahmen an der Sensibilität der verarbeiteten Daten auszurichten.[46]

Botschaft Totalrevision DSG, S. 7058; Büyüksagis, S. 231; SHK DSG-Pärli/Flück, Art. 21 N 11. ↵

BSK DSG-Henseler/Vasella, Art. 21 N 38; vgl. auch SHK DSG-Pärli/Flück, Art. 21 N 12; Rosenthal, Jusletter 2020, Rn. 112, wonach die betroffene Person (hingegen zufolge Art. 21 Abs. 1 DSG) darüber zu informieren sei, wie sie das Recht auf Darlegung ihres Standpunkts geltend machen könne. ↵

Vgl. dazu unten Teil 4, E.I.1.2. ↵

Nachdem die Informationspflicht nicht in Art. 19 Abs. 2 DSG, sondern einem separaten Artikel vorgesehen ist, dürfte Art. 21 Abs. 1 DSG die Informationspflicht bei solchen Entscheidungen abschliessend regeln. Zudem sprechen auch Diskussionen in der nationalrätlichen Kommission dafür, dass die betroffene Person solche Zusatzinformationen bloss auf Gesuch hin als Auskunft (Art. 25 Abs. 2 lit. f DSG) erhalten kann (SPK-NR vom 31. Januar/1. Februar 2019, S. 39 f.; gl.M. wohl SHK DSG-Pärli/Flück, Art. 25 N 22). ↵

Vgl. dazu unten Teil 4, E.I.3.1. ↵

Gemäss Botschaft Totalrevision DSG, S. 7067, umfasst die Logik nicht unbedingt die der Entscheidung zugrunde liegenden Algorithmen, weil es sich dabei regelmässig um Geschäftsgeheimnisse handelt; vielmehr seien die Grundannahmen der Algorithmen zu nennen, bei einem Scoring etwa die Menge und die Art der dafür herangezogenen Informationen und deren Gewichtung sowie, dass die betroffene Person aufgrund eines negativen Scores einen Vertrag nur zu schlechteren Konditionen abschliessen könne; vgl. auch PC LPD-Béguin, Art. 25 N 44; OFK DSG-Stengel/Stäuble, Art. 25 N 12. ↵

Vgl. Bericht Wirtschaftsauskunfteien, S. 26, wonach «[u]nter Umständen […] die Wirtschaftsauskunfteien den betroffenen Personen aber im Rahmen des allgemeinen Auskunftsrechts (Art. 25 Abs. 2 nDSG) mitzuteilen [haben], welche Logik der Datenbearbeitung zur Kreditwürdigkeitsprüfung (und damit auch der Bonitätsberechnung) zugrunde liegt […]»; Mehmedovic, Rn. 71 ff., die ein Auskunftsrecht über die Inhalte i.S.v. Art. 25 Abs. 2 lit. f DSG auch bei teilautomatisierten Entscheidungen bejaht. ↵

Eine beantragte Präzisierung von Art. 25 Abs. 2 lit. f DSG, dass die Auskunft über die Logik ausdrücklich nur bei automatisierten Entscheidungen i.S.v. Art. 21 DSG geschuldet ist, wurde vor dem Hintergrund verworfen, dass diese Beschränkung ohnehin gelte und eine zusätzliche Information zur Logik nur Sinn ergebe, wenn eine Informationspflicht nach Art. 21 DSG bestehe (SPK-NR vom 23./24. Mai 2019, S. 5). Ausserdem wollte der Gesetzgeber tunlichst vermeiden, über die DSGVO hinausgehende Vorgaben aufzustellen (sog. «Swiss Finish»; vgl. dazu oben Einleitung, C.II.1.2.b), sodass sich nach DSGVO nicht geschuldete Inhalte als Auskunft höchstens ausnahmsweise rechtfertigen (vgl. Rosenthal, Jusletter 2020, Rn. 98 und 118). Informationen über die involvierte Logik sieht die DSGVO nur bei automatisierten Entscheidungen vor (vgl. dazu unten Teil 4, E.I.1.2). ↵

Vgl. Art. 23 Abs. 2 lit. h Fahne Entwurf 3 Frühjahrssession 2020 NR. ↵

Vgl. dazu unten Teil 4, E.I.3.1. ↵

Welche Informationen als «involvierte Logik» geschuldet sind, ist im Einzelnen umstritten. Den eingesetzten Algorithmus offenzulegen, ist nach herrschender Lehre und der Ansicht eines Generalanwalts des EuGH nicht erforderlich (statt vieler Eßer, in: Auernhammer, Art. 13 N 48; Kamlah, in: Plath, Art. 13 N 28a; Paal, in: Specht-Riemenschneider et al., S. 347). Die Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 28 (zur Informationspflicht) und 30 (zum Auskunftsrecht), verlangt dafür «Einzelheiten der wichtigsten bei der Entscheidungsfindung berücksichtigten Merkmale, die Quelle dieser Informationen und die Relevanz» bzw. «allgemeine Informationen […] (vor allem zu bei der Entscheidungsfindung berücksichtigten Faktoren und deren ‘Gewichtung‘ auf aggregierter Ebene), die auch für die Anfechtung der Entscheidung […] nützlich sind». Dieser Ansicht schloss sich GA de la Tour, Rs. C‑203/22 vom 12. September 2024, Dun & Bradstreet Austria, Ziff. 72 ff. (zum Auskunftsrecht), im Wesentlichen an. ↵

Einen für die betroffene Person aussagekräftigen Inhalt dürfte die Information über die Entscheidungsvarianten darstellen und darüber, welche Verarbeitungsergebnisse zu welcher Entscheidungsvariante führen (vgl. Bäcker, in: Kühling/Buchner, Art. 13 N 55; ferner Kamlah, in: Plath, Art. 13 N 29). So kann eine Kreditgeberin etwa zur Information verpflichtet sein, dass sie je nach punktemässigem Ergebnis des Kreditscorings einen Kredit gewährt, zu schlechteren Konditionen gewährt oder verweigert (vgl. Wachter et al., JOLT 2018, S. 866). ↵

Besondere Regeln gelten bei der indirekten Beschaffung, wenn der Verantwortliche die Daten zur Kommunikation mit der betroffenen Person verwenden will oder er die Offenlegung an einen anderen Empfänger beabsichtigt (Art. 14 Abs. 3 lit. b und c DSGVO). ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 29; Lorentz, S. 247 f.; von Lewinski et al., § 16 N 46–47; vgl. auch Paal, in: Paal/Pauly, Art. 15 N 31; a.M. wohl Bäcker, in: Kühling/Buchner, Art. 15 N 27; Zanfir-Fortuna, in: Kuner et al., S. 463. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 29; Zanfir-Fortuna, in: Kuner et al., S. 463. ↵

Vgl. statt vieler Edwards/Veale, DLTR 2017, S. 53; Hoffmann/Kevekordes, S. 610; Sesing, S. 290. ↵

Während das Europäische Parlament in seinem Entwurf eine Informationspflicht über das Vorhandensein eines Profilings, auf Profiling gestützter Massnahmen und die beabsichtigten Auswirkungen des Profilings sowie die Logik einer automatisierten Datenverarbeitung vorgesehen hatte (Art. 14 Abs. 1 lit. ga und gb E-DSGVO EP), ersetzte der Rat diese durch eine Informationspflicht über das Bestehen einer automatisierten Entscheidungsfindung einschliesslich Profiling, die verwendete Logik sowie die Tragweite und Auswirkungen einer derartigen Verarbeitung (Art. 14 Abs. 1a lit. h und Art. 14a Abs. 2 lit. h E-DSGVO Rat). Auch schlugen die Kommission und das Parlament ein in die Richtung von Art. 15 Abs. 1 lit. h DSGVO gehendes Auskunftsrecht bei auf Profiling gestützten Massnahmen oder sogar generell bei automatisierten Datenverarbeitungen vor (Art. 15 Abs. 1 lit. h i.V.m. Art. 20 Abs. 1 E-DSGVO KOM [ohne involvierte Logik als Auskunftsinhalt]; Art. 15 Abs. 1 lit. h und ha E-DSGVO EP). Letztendlich hat sich im Wesentlichen der Ratsvorschlag durchgesetzt, der dieses Auskunftsrecht auf Entscheidungen beschränkt, die auf automatisierten Verarbeitungen einschliesslich Profiling beruhen (Art. 15 Abs. 1 lit. h E‑DSGVO Rat). ↵

Teilweise wurden diese Vorgaben in die Erwägungsgründe verschoben (vgl. EG 60 Satz 3 DSGVO und EG 63 Satz 3 DSGVO). Mangels rechtlicher Verbindlichkeit vermögen die Erwägungsgründe indes die gesetzgeberische Wertung im verfügenden Teil nicht zu übersteuern (Lorentz, S. 236 f. und 247). ↵

Nach einer Lehrmeinung weist die Parenthese darauf hin, dass bei nicht unter Art. 22 DSGVO subsumierbaren Fällen keine Pflicht zur Information bestehe, aber freiwillig möglich sei (statt vieler Eßer, in: Auernhammer, Art. 13 N 49; Kamlah, in: Plath, Art. 13 N 27; Schmidt-Wudy, in: Wolff et al., Art. 15 N 77; Stollhoff, in: Auernhammer, Art. 15 N 21). Ein solches Verständnis ist zwar denkbar, erscheint aber wenig sinnvoll, da ein Verantwortlicher grundsätzlich stets über mehr informieren darf, als er muss. Grund für die Parenthese dürfte vielmehr sein, dass sich die Institutionen der EU – nach mehreren Wechseln der Ausrichtung während des Gesetzgebungsverfahrens – einigten, (wieder) automatisierte Entscheidungen zu adressieren und dafür auf die Vorgängerbestimmung des heutigen Auskunftsrechts (Art. 12 lit. a DSRL) zurückgriffen. Dieser enthielt die Formulierung «zumindest im Fall automatisierter Entscheidungen», welche den Mitgliedstaaten Umsetzungsspielraum einräumte, den es unter der DSGVO (in dieser Form) nicht mehr gibt (vgl. Kumkar/Roth-Isigkeit, S. 282). ↵

Vgl. statt vieler Kumkar/Roth-Isigkeit, S. 282; Paal, in: Paal/Pauly, Art. 13 N 32; Schmidt-​Wudy, in: Wolff et al., Art. 15 N 77. ↵

Vgl. EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 47 und 63, wo der EuGH zunächst die Tätigkeit wie die der SCHUFA als Profiling einstuft und später festhält, dass die betroffene Person gegenüber der SCHUFA keine Auskunft i.S.v. Art. 15 Abs. 1 lit. h DSGVO geltend machen könne, wenn die SCHUFA keine automatisierte Entscheidung i.S.v. Art. 22 Abs. 1 DSGVO vornehme. ↵

Vgl. dazu unten Teil 4, E.I.3.1. ↵

Befürwortend Dix, in: Simitis et al., Art. 15 N 34; Paal, in: Paal/Pauly, Art. 15 N 41; ablehnend EDSA, Leitlinien Auskunftsrecht, Rn. 169; Bäcker, in: Kühling/Buchner, Art. 15 N 33. ↵

GA de la Tour, Rs. C‑203/22 vom 12. September 2024, Dun & Bradstreet Austria, Ziff. 87 ff., vgl. auch Ziff. 80, wonach die Auskunft angesichts ihres Inhalts in den meisten Fällen nicht zu einer Verletzung von Geschäftsgeheimnissen führe. ↵

OFK DSG-Bieri/Powell, Art. 21 N 16; CR LPD-Flueckiger, Art. 21 N 16; BSK DSG-​Henseler/Vasella, Art. 21 N 40; vgl. auch Botschaft Totalrevision DSG, S. 7058, wonach das DSG zum einen offenlasse, wann die Gelegenheit einzuräumen sei und zum anderen die betroffene Person «insbesondere die Gelegenheit erhalten [soll], ihre Ansicht zum Ergebnis der Entscheidung zu äussern»; a.M. wohl Rosenthal, Jusletter 2017a, Rn. 103. ↵

BSK DSG-Henseler/Vasella, Art. 21 N 41; vgl. auch Rosenthal, Jusletter 2020, Rn. 113; Roth, digma 2017, S. 104. ↵

Vgl. dazu oben Teil 4, D.II.3.1. ↵

Vgl. BSK DSG-Henseler/Vasella, Art. 21 N 44. Nicht erforderlich ist, dass die natürliche Person (auch) die Einhaltung des DSG überprüft (a.M. CR LPD-Flueckiger, Art. 21 N 9). ↵

Vgl. dazu unten Teil 4, E.I.3.1. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 52 f., 64 und 71; so bereits GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 31, je mit Verweis auf EG 71 DSGVO und (den systematischen Zusammenhang mit) Art. 22 Abs. 2 DSGVO, aber ohne auf Gegenargumente einzugehen. ↵

Vgl. statt vieler Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 21; Herbst, in: Auernhammer, Art. 22 N 4; Kaltheuner/Bietti, S. 10 f.; Noto la Diega, Rn. 47. ↵

Vgl. statt vieler Kuch, S. 109 und 111; Thouvenin et al., EDPL 2022, passim; Tosoni, passim; Vedder/Naudts, S. 213 f. ↵

Vgl. Tosoni, passim; Thouvenin et al., EDPL 2022, passim; ferner Kuch, S. 101 ff. ↵

Art. 21 Abs. 3 DSG lässt zwar seinem Wortlaut nach nur die Informationspflicht und die besonderen Betroffenenrechte entfallen; dies dürfte indes auch für das spezifische Auskunftsrecht bei automatisierten Entscheidungen gelten (a.M. PC LPD-Béguin, Art. 25 N 43). Wurde Art. 25 Abs. 2 lit. f DSG deswegen nicht mit einem ausdrücklichen Verweis auf Art. 21 DSG präzisiert, weil diese Beschränkung ohnehin gelte und eine zusätzliche Information zur Logik nur Sinn ergebe, wenn eine Informationspflicht nach Art. 21 DSG bestehe (vgl. SPK-NR vom 23./24. Mai 2019, S. 5), erscheint es nur folgerichtig, der betroffenen Person das Auskunftsrecht in den Ausnahmekonstellationen zu versagen. Zudem dürfte in den Fällen von Art. 21 Abs. 3 DSG davon auszugehen sein, dass die betroffene Person kein Transparenzbedürfnis (mehr) hat (vgl. Botschaft Totalrevision DSG, S. 7058). ↵

Unter der DSGVO entfällt das Widerspruchsrecht i.S.v. Art. 22 Abs. 1 DSGVO kraft Art. 22 Abs. 2 DSGVO, während sich der Entfall der Informationspflicht und des Auskunftsrechts aus dem Wortlaut von Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g und Art. 15 Abs. 1 lit. h DSGVO ergibt, die ausdrücklich automatisierte Entscheidungen i.S.v. Art. 22 Abs. 1 und 4 DSGVO, nicht aber jene i.S.v. dessen Abs. 2 adressieren (vgl. Eßer, in: Auernhammer, Art. 13 N 50; Kamlah, in: Plath, Art. 13 N 26; Veil, in: Gierschmann et al., Art. 13/14 N 118, der allerdings von einem verunglückten Verweis auf Art. 22 Abs. 1 und 4 DSGVO spricht; a.M. Buchner, in: Kühling/Buchner, Art. 22 N 32; Scholz, in: Simitis et al., Art. 22 N 58). In den drei von Art. 22 Abs. 2 erfassten Fällen ist anderweitig für Transparenz gesorgt, auch wegen den zu ergreifenden angemessenen Massnahmen (Art. 22 Abs. 2 lit. b und Abs. 3 DSGVO), zu denen nach EG 71 Satz 4 DSGVO eine spezifische Unterrichtung der betroffenen Person und ein Recht auf Erläuterung gehören. ↵

Vgl. dazu statt vieler OFK DSG-Bieri/Powell, Art. 21 N 17; BSK DSG-Henseler/Vasella, Art. 21 N 51 ff.; PC LPD-Jaccoud et al., Art. 21 N 35 f. ↵

Herbst, in: Auernhammer, Art. 22 N 19; Taeger, in: Taeger/Gabel, Art. 22 N 53; vgl. auch Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 25; Brkan, S. 104; Mendoza/Bygrave, S. 92; a.M. Martini, in: Paal/Pauly, Art. 22 N 31a; vgl. auch Buchner, in: Kühling/Buchner, Art. 22 N 30. ↵

BSK DSG-Henseler/Vasella, Art. 21 N 53; Heuberger, Rn. 206; SHK DSG-Pärli/Flück, Art. 21 N 18. ↵

Buchner, in: Kühling/Buchner, Art. 22 N 41; Helfrich, in: Sydow/Marsch, Art. 22 N 66; Scholz, in: Simitis et al., Art. 22 N 52; vgl. auch Bygrave, in: Kuner et al., S. 537; Nišević, S. 112. ↵

Zum DSG vgl. dazu statt vieler BSK DSG-Bühlmann/Reinle, Art. 6 N 277 ff.; Heuberger, Rn. 289 ff.; zur DSGVO vgl. dazu statt vieler Buchner/Kühling, in: Kühling/Buchner, Art. 7 N 20 ff.; Klement, in: Simitis et al., Art. 4 N 47 ff. ↵

EG 71 Satz 4 DSGVO scheint überdies eine Informationspflicht («spezifische Unterrichtung der betroffenen Person») zu postulieren und ein Recht auf Erläuterung zu verlangen, dessen Bestehen und Tragweite in der Lehre stark umstritten sind. Namentlich geht es um die Frage, ob eine Erläuterung der spezifischen automatisierten Entscheidung geschuldet ist, etwa wie das Modell auf ein konkretes Resultat kam, also wie es die Daten im Einzelfall gewichtete und berücksichtigte (befürwortend statt vieler Bygrave, Minding the Machine v2.0, S. 254 f.; Malgieri/Comandé, S. 255; Selbst/Powles, S. 242; ablehnend statt vieler Hoffmann/Kevekordes, S. 611; Kumkar/Roth-Isigkeit, S. 281; Wachter et al., IDPL 2017, S. 79 ff.). GA de la Tour, Rs. C‑203/22 vom 12. September 2024, Dun & Bradstreet Austria, Ziff. 67, scheint diese Frage zu bejahen. ↵

Trotz der Bezeichnung dieses Rechts erlaubt es der betroffenen Person nicht, bereits vor Entscheidungsfällung das Eingreifen einer (natürlichen) Person zu bewirken; vielmehr ist damit ein Recht auf nachträgliche Überprüfung der automatisierten Entscheidung gemeint (Martini, in: Paal/Pauly, Art. 22 N 39a, vgl. auch N 39c, der indes ein separates Recht auf Eingreifen in Härtefallen bejaht; vgl. auch Kuch, S. 126; Taeger, in: Taeger/Gabel, Art. 22 N 70). ↵

Der Verantwortliche muss den Standpunkt nicht nur entgegennehmen, sondern ist dazu verpflichtet, die Vorbringen der betroffenen Person zu berücksichtigen, läuft doch sonst das Recht ins Leere (Brkan, S. 108; Buchner, in: Kühling/Buchner, Art. 22 N 31a; Martini, in: Paal/Pauly, Art. 22 N 39b). ↵

Wie das Recht auf Anfechtung zu verstehen ist und ob es sich vom Anspruch auf Eingreifen einer Person unterscheidet, ist umstritten. Nach Buchner, in: Kühling/Buchner, Art. 22 N 31a, besteht zunächst ein Recht auf eine Entscheidung, die von einer (natürlichen) Person zu verantworten ist und anschliessend eines auf nochmalige Überprüfung dieser Entscheidung durch den Verantwortlichen. Für Helfrich, in: Sydow/Marsch, Art. 22 N 70 und 73, vermittelt Art. 22 Abs. 3 DSGVO ein Recht auf Überprüfung durch eine natürliche Person sowie (im privaten Bereich) ein eigentliches Anfechtungsrecht, etwa bei Verträgen in der Form eines Sonderkündigungsrechts. Taeger, in: Taeger/Gabel, Art. 22 N 69 f., sieht hingegen keinen wesentlichen Unterschied zwischen dem Recht auf Eingreifen und auf Anfechtung; die betroffene Person könne den Entscheid von einer natürlichen Person inhaltlich überprüfen lassen. ↵

Art. 22 Abs. 4 DSGVO bezieht sich nur auf «Entscheidungen nach Absatz 2». Grund für diese Regelung dürfte sein, dass der Verantwortliche diese Entscheidungen – im Gegensatz zu solchen nach Art. 22 Abs. 1 DSGVO – der betroffenen Person mangels Widerspruchsrechts (zunächst) aufzwingen kann (vgl. Tosoni, S. 156). ↵

Herbst, in: Auernhammer, Art. 22 N 27; Taeger, in: Taeger/Gabel, Art. 22 N 76. Die Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 31, verweist etwa auf zyklische und nicht nur in der Planungsphase erfolgende Verfahren, um Unrichtigkeiten und Diskriminierungen auf der Grundlage besonderer Kategorien personenbezogener Daten zu vermeiden. ↵

47

Berechtigter

Im schweizerischen Recht macht der Wortlaut von Art. 21 Abs. 1 DSG deutlich, dass (nur) die betroffene Person zu informieren ist, der gegenüber die Entscheidung eine relevante Auswirkung hat. Art. 21 Abs. 2 DSG, der die besonderen Betroffenenrechte regelt, spricht zwar nur noch von der betroffenen Person, ist aber im systematischen Kontext von Art. 21 Abs. 1 DSG und damit gleich zu lesen.[1] Dies entspricht auch dem Verständnis der Bestimmung zu den automatisierten Entscheidungen, die der Bundesrat im Entwurf der Verordnung zum DSG vorgeschlagen hatte.[2] Ein Grund, weshalb der Berechtigte des Auskunftsrechts i.S.v. Art. 25 Abs. 2 lit. f DSG abweichend zu bestimmen wäre, ist nicht ersichtlich.[3] Im Gegenteil spricht für dieses Verständnis, dass das spezifische Auskunftsrecht darauf ausgerichtet ist, der von der automatisierten Entscheidung betroffenen Person zu ermöglichen, gegen die Entscheidung vorzugehen und die besonderen Betroffenenrechte auszuüben, namentlich jenes auf Darlegung des eigenen Standpunkts.[4] Zudem scheint der Gesetzgeber die Fälle des Auskunftsrechts nach Art. 25 Abs. 2 lit. f DSG an jenen der Informationspflicht nach Art. 21 Abs. 1 DSG ausgerichtet zu haben;[5] es liegt nahe, dass auch der Adressat der Informationen übereinstimmt.

In der DSGVO lässt sich aus dem Wortlaut der Informationspflicht nicht gleich deutlich ableiten, dass die von der Entscheidung betroffene Person zu informieren ist,[6] und nicht etwa auch die Person, auf welche die Entscheidung zwar keine Auswirkung hat, deren Daten aber für eine automatisierte Entscheidung zumindest erhoben werden. Immerhin sprechen die Informationspflicht und das Auskunftsrecht «die angestrebten Auswirkungen […] für die betroffene Person» an, was sich als Beschränkung auf die von der Entscheidung betroffene Person interpretieren lässt. Hinzu kommt, dass der Hauptzweck der Informationspflicht darin liegen wird, der betroffenen Person die Ausübung ihres Widerspruchsrechts[7] zu ermöglichen[8] und jener des Auskunftsrechts, ihr eine Überprüfung und Anfechtung der Entscheidung zu ermöglichen.[9] Folglich ist der Adressat der Informationen nach dem Berechtigten des Widerspruchsrechts bzw. der angemessenen Massnahmen[10] auszurichten. Zumindest Art. 22 Abs. 1 DSGVO ist hierzu klar und spricht das Widerspruchsrecht ausschliesslich der Person zu, der gegenüber die Entscheidung eine Rechtsfolge oder eine erhebliche Beeinträchtigung verursacht.

Daraus ergibt sich für das DSG und die DSGVO, dass der Verantwortliche natürliche Personen, deren Daten er für eine automatisierte Entscheidung zumindest beschafft und allenfalls anderweitig bearbeitet, die aber nicht von deren Auswirkung betroffen sind, nicht gemäss der besonderen Informationspflicht bei automatisierten Entscheidungen informieren und ihnen das spezifische Auskunftsrecht gewähren muss.[11] Ebenso wenig verfügen diese Personen über die besonderen Betroffenenrechte.[12]

BSK DSG-Henseler/Vasella, Art. 21 N 34. ↵

Der vorgeschlagene Art. 17 E-VDSG lautet wie folgt: «Verlangt eine von einer automatisierten Einzelentscheidung betroffene Person, dass sie ihren Standpunkt darlegen kann oder dass eine natürliche Person die Entscheidung überprüft, so darf sie deswegen nicht benachteiligt werden.» ↵

Vgl. CR LPD-Benhamou, Art. 25 N 40; a.M. wohl Rosenthal, Jusletter 2020, Rn. 119, der auch eine Auskunft über Entscheidungen postuliert, welche eine konkrete Person vernünftigerweise betreffen könnten. ↵

Vgl. Botschaft Totalrevision DSG, S. 7058, die zum Recht auf Darstellung des eigenen Standpunkts festhält, dass die betroffene Person nachfragen könne, wie die Entscheidung zustande gekommen sei, was sich als Hinweis auf das Auskunftsrecht deuten lässt (vgl. BSK DSG-Henseler/Vasella, Art. 21 N 43); vgl. auch Mehmedovic, Rn. 81 ff. ↵

SPK-NR vom 23./24. Mai 2019, S. 5; vgl. dazu auch oben Teil 4, E.I.1.1. ↵

Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g DSGVO beschränken die Informationspflicht (anders als das DSG) nicht explizit auf die Person, welche die rechtliche Wirkung oder erhebliche Beeinträchtigung tangiert. ↵

Vgl. dazu oben Teil 4, E.I.2. ↵

Thouvenin et al., EDPL 2022, S. 191; Tosoni, S. 157. ↵

Vgl. Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 30; GA de la Tour, Rs. C‑203/22 vom 12. September 2024, Dun & Bradstreet Austria, Ziff. 49 und 64; Bäcker, in: Kühling/Buchner, Art. 15 N 27b. ↵

Vgl. dazu oben Teil 4, E.I.3.2. ↵

Vgl. dazu oben Teil 4, E.I.1. ↵

Vgl. dazu oben Teil 4, E.I.2. ↵

48

Verpflichteter

Nicht der «Verantwortliche» gemäss Legaldefinition

Das DSG und die DSGVO auferlegen dem Verantwortlichen die Pflicht, die betroffene Person zu informieren[1] und ihr auf Gesuch hin Auskunft zu erteilen[2] und bestimmen (zumindest implizit), dass die besonderen Betroffenenrechte bei automatisierten Entscheidungen gegenüber dem Verantwortlichen auszuüben sind.[3] So hat gemäss Art. 21 Abs. 2 DSG «er» – zusammen mit Abs. 1 gelesen: «der Verantwortliche» – der betroffenen Person auf Antrag die Möglichkeit zu geben, ihren Standpunkt darzulegen;[4] es erscheint nur folgerichtig, dass die betroffene Person bei ihm eine Überprüfung der Entscheidung durch eine natürliche Person verlangen kann. Auch die DSGVO bezieht sich auf den Verantwortlichen (unter anderem in Art. 22 Abs. 2 lit. a DSGVO) und verpflichtet ihn insbesondere, für angemessene Massnahmen zu sorgen, wenn das Widerspruchsrecht gegen automatisierte Entscheidungen[5] wegen der Einwilligung der betroffenen Person oder der Erforderlichkeit für den Abschluss oder die Abwicklung eines Vertrags entfällt (Art. 22 Abs. 3 DSGVO). Nachdem die angemessenen Massnahmen den Entfall des Widerspruchsrechts kompensieren, wird auch dieses selbst gegenüber dem Verantwortlichen vorzubringen sein.

Als «Verantwortlicher» gilt im Datenschutzrecht die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Datenbearbeitung entscheidet (Art. 5 lit. j DSG; Art. 4 Ziff. 7 DSGVO).[6] Definieren die Erlasse den Begriff, liegt es zunächst nahe, den Verpflichteten im Sinne der Legaldefinition zu verstehen. Nachdem sich aber in Frage stellen lässt, ob die Bestimmungen über die automatisierten Entscheidungen im Datenschutzrecht richtig platziert sind,[7] erscheint auch eine Abweichung vom legaldefinierten «Verantwortlichen» durchaus vertretbar. Im Gegenteil wäre es sogar systemwidrig, von der Legaldefinition des Verantwortlichen auszugehen, die an eine Datenbearbeitung anknüpft,[8] stellen doch die vom DSG und der DSGVO adressierten automatisierten Entscheidungen an sich gerade keine Datenbearbeitung dar.[9]

Gleichwohl soll nach einer Lehrmeinung jenem Akteur das Pflichtenprogramm obliegen, der Verantwortlicher im Sinn der Legaldefinition hinsichtlich der einer automatisierten Entscheidung zugrunde liegenden Datenbearbeitung ist.[10] Diese Auffassung vermag in einem Zweiparteienverhältnis – eine Steuerbehörde veranlagt z.B. automatisiert einen Steuerpflichtigen – das Pflichtenprogramm eindeutig und sinnvoll zuzuweisen, weil kein weiterer Akteur neben dem Verantwortlichen für die zugrunde liegende Bearbeitung auftritt.[11] Bei arbeitsteiligen Prozessen trifft dies hingegen nicht zu, wie sich anhand der folgenden Konstellation illustrieren lässt:[12] Ein Akteur beschafft (z.B. kreditrelevante) Daten und übermittelt sie an einen Zweiten, der diese ausschliesslich automatisiert bearbeitet und dabei vielleicht ein Profiling vornimmt (z.B. einen Kreditscore berechnet). Anschliessend überlässt der Zweite die zuvor erhaltenen Daten oder eventuell das generierte Datum (z.B. den Kreditscore) mit oder ohne weitere Daten einem Dritten. Der Dritte nimmt schliesslich gestützt auf eine (automatisierte) Verwendung dieser Daten eine Handlung vor (z.B. eine Kreditverweigerung), die gegenüber der betroffenen Person eine Rechtsfolge oder eine erhebliche Beeinträchtigung bewirkt.

In einer solchen Konstellation würde sich zunächst die Frage stellen, für welche Datenbearbeitung ein Akteur verantwortlich sein müsste, damit ihm das Pflichtenprogramm bei automatisierten Entscheidungen obläge. Geht man von einer bestimmten Phase aus, welche für die erforderliche ausschliessliche Automatisierung massgebend ist,[13] können eigentlich nur die in dieser Phase erfolgenden Datenbearbeitungen relevant sein. Sind die Akteure für sämtliche dieser Bearbeitungen gemeinsam Verantwortliche,[14] liesse sich das Pflichtenprogramm beiden zuordnen. Da sich sonst Rechtsschutzlücken öffnen und Umgehungen ermöglicht würden, kann indes nicht eine Verantwortlichkeit für sämtliche dieser Bearbeitungen erforderlich sein. In den übrigen Fällen fielen also – anhand des obigen Beispiels formuliert – noch immer die Bearbeitungen des Zweiten ebenso wie jene des Dritten in Betracht. Einzig anhand der Verantwortlichkeit für die zugrunde liegenden Datenbearbeitungen könnte also das Pflichtenprogramm nicht eindeutig zugewiesen werden. Zwar liessen sich die Pflichten undifferenziert allen Akteuren auferlegen, die für eine beliebige in dieser Phase stattfindende Bearbeitung verantwortlich sind. Dies überzeugt allerdings schon deshalb nicht, weil diesfalls Akteure (im Beispiel der Zweite) in der Pflicht stehen könnten, obwohl ein anderer Akteur (im Beispiel wohl der Dritte) abschliessend bestimmt, ob die Voraussetzungen einer automatisierten Entscheidung, insbesondere jene der Automatisierung und der relevanten Auswirkung, vorliegen.[15]

Ausserdem würde diese Lösung zu wenig sinnvollen Ergebnissen führen, welche die Anknüpfung an den legaldefinierten Verantwortlichen generell hervorbringen kann. Die betroffene Person hätte nämlich (unter Umständen) das Recht, einem Akteur ihren Standpunkt darzulegen und die Entscheidung von einer diesem zuordenbaren natürlichen Person überprüfen zu lassen (vgl. Art. 21 Abs. 2 DSG),[16] der selbst die Entscheidung bzw. deren relevante Auswirkung auf die betroffene Person, vorliegend etwa die Verweigerung eines Kredits, gar nicht ändern kann.[17] Dasselbe gilt auch für die DSGVO,[18] die der betroffenen Person ein Widerspruchsrecht oder (ebenfalls) ein Recht auf Darlegung ihres Standpunkts und Überprüfung vermittelt (vgl. Art. 22 Abs. 1 und 3 DSGVO).[19] Dieses Ergebnis wäre nicht nur wenig sinnvoll, sondern zugleich höchst unbefriedigend, wenn der betroffenen Person – je nach als massgebend betrachteter Bearbeitung – die besonderen Betroffenenrechte ausschliesslich gegenüber diesem Akteur zur Verfügung stünden. Als Beispiel eines solchen Akteurs lässt sich eine Auskunftei nennen, welche etwa die Kreditverweigerung der Kreditgeberin nicht selbst ändern kann. Darauf ist zurückzukommen.[20]

Im Übrigen knüpft – wie bereits erwähnt[21] – auch der EuGH nicht an die Verantwortlichkeit für die der Entscheidung zugrunde liegenden Verarbeitungen an und weicht damit bei der Zuordnung des Pflichtenprogramms von der Legaldefinition des Verantwortlichen ab. Statt auf die Verarbeitungen der Auskunftei bei der Berechnung des Kreditscores oder jene der Kreditgeberin bei der Nutzung des Kreditscores stellte der EuGH ergebnisorientiert darauf ab, wessen Handlung (seiner Ansicht nach) eine Entscheidung darstellt.[22] Bereits zuvor hatte der Generalanwalt in seinen Schlussanträgen (nach eigenen Kriterien) die «im vorliegenden Fall relevante ‹Entscheidung›» festgelegt und beim Auskunftsrecht darauf abgestellt, wer eine «eigene ‹automatisierte Entscheidungsfindung› […] betreibt».[23]

Der «Verantwortliche» gemäss EuGH im SCHUFA-Fall

Wem das Pflichtenprogramm bei automatisierten Entscheidungen obliegt, beantwortete der EuGH implizit vor dem Hintergrund der ihm vom Verwaltungsgericht Wiesbaden vorgelegten Frage, ob bereits die Erstellung eines Kreditscores, der anschliessend Dritten übermittelt und einer Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses massgeblich zugrunde gelegt wird, eine automatisierte Entscheidung i.S.v. Art. 22 DSGVO darstellt.[24] Die vom Generalanwalt am 16. März 2023 vorgelegten Schlussanträge sowie das Urteil des EuGH vom 7. Dezember 2023 sind im Folgenden (in Bezug auf die Zuordnung des Pflichtenprogramms) näher zu betrachten.

Schlussanträge des Generalanwalts

In Bezug auf die hier interessierende Frage beschrieb der Generalanwalt zunächst den Begriff der Entscheidung[25] und bestimmte sodann, welche Handlung im Dreiparteienverhältnis mit einer Auskunftei und einer Kreditgeberin – der aus einem Profiling-Verfahren hervorgehende Kreditscore oder die Gewährung bzw. Ablehnung eines Kredits – die relevante Entscheidung darstelle. Dies hänge von den Umständen des Einzelfalls ab; wesentliche Bedeutung komme der Art und Weise zu, wie das Verfahren der Entscheidungsfindung vom Profiling bis zur Entscheidung über den Kredit strukturiert sei.[26]

Die entscheidende Rolle spiele, ob das von der Auskunftei durchgeführte Scoring die Entscheidung der Kreditgeberin über die Gewährung oder Ablehnung des Kredits vorbestimme. Erfolge keine Prüfung des Scoring-Ergebnisses und der Richtigkeit der in Bezug auf den Kreditantragsteller zu treffenden Entscheidung, erscheine es logisch, davon auszugehen, dass das Scoring die Entscheidung i.S.v. Art. 22 Abs. 1 DSGVO darstelle. Das Gegenteil anzunehmen, weil der Kreditgeberin die Gewährung oder Ablehnung formal obliege, wäre ein übertriebener Formalismus. Messe eine Kreditgeberin in ihrer Entscheidungsfindung dem Kreditscore grösste Bedeutung zu, werde die betroffene Person bereits auf der Stufe der Kreditwürdigkeitsbewertung beeinträchtigt, nicht erst auf jener der Ablehnung des Kredits. Letztere wende nur das Ergebnis dieser Bewertung auf den konkreten Fall an.[27]

Angesichts der vorausgesetzten ausschliesslichen Automatisierung erscheine es erforderlich, dass die automatisierte Verarbeitung der einzige Aspekt bleibe, der den Ansatz der Kreditgeberin gegenüber dem Kreditantragsteller rechtfertige; es müsse insofern ein Kausalzusammenhang bestehen, als die Auskunftei de facto die endgültige Entscheidung für die Kreditgeberin treffe. Ob dies der Fall sei, hänge von internen Regeln und Praktiken der fraglichen Kreditgeberin ab, die dieser keinen Handlungsspielraum bei der Anwendung des Score-Wertes auf einen Kreditantrag lassen dürften. Inwieweit das von einer Auskunftei vorgenommene Scoring die Kreditgeberin im Allgemeinen binde, sei eine vom vorlegenden Gericht zu beurteilende Tatsachenfrage.[28] Gemäss Sachverhaltsdarstellung des vorlegenden Gerichts müsse die Kreditgeberin die Entscheidung zwar nicht allein vom Kreditscore abhängig machen, tue dies in aller Regel jedoch massgeblich. Deshalb hielt der Generalanwalt dafür, dass im vorliegenden Fall der Kreditscore die Gewährung oder Versagung eines Kredits so vorbestimmen solle, dass er als «Entscheidung» anzusehen sei.[29]

Eine andere Auslegung würde, so der Generalanwalt, zu einer Rechtsschutzlücke führen: Die Auskunftei, von der die Informationen zur involvierten Logik zu erlangen wären, wäre nach Art. 15 Abs. 1 lit. h DSGVO nicht zur Auskunft verpflichtet, weil sie keine automatisierte Entscheidungsfindung betreibe, und die Kreditgeberin könne diese Informationen nicht bereitstellen, weil sie über diese nicht verfüge. Folglich könne die Kreditgeberin das Kreditscoring im Falle der Entscheidungsanfechtung nicht überprüfen (vgl. Art. 22 Abs. 3 DSGVO) oder eine faire, transparente und nichtdiskriminierende Verarbeitung durch geeignete mathematische oder statistische Verfahren gewährleisten (vgl. EG 71 Satz 6 DSGVO). Auch sei ausschliesslich die Auskunftei in der Lage, den übrigen Betroffenenrechten nachzukommen: Nur sie könne das Berichtigungs- und das Löschungsrecht erfüllen, wenn sich die für das Scoring verwendeten Daten als unrichtig erweisen würden bzw. deren Verarbeitung unrechtmässig sei.[30]

Die Auskunftei verantwortlich zu machen, sei zudem die wirksamste Weise zur Gewährleistung der Grundrechte, namentlich des Rechts auf Schutz personenbezogener Daten und auf Achtung des Privatlebens (Art. 7 f. GRCh). Angesichts der Gefahr, dass der von der Auskunftei erstellte Score-Wert von einer Vielzahl von Kreditgeberinnen verwendet werde, erscheine es vernünftig, der betroffenen Person die Geltendmachung ihrer Rechte unmittelbar gegenüber der Auskunftei zu gestatten.[31]

Urteil des EuGH

Der EuGH folgte im Wesentlichen den Schlussanträgen des Generalanwalts, etwa auch in Bezug auf das Verständnis einer «Entscheidung».[32] Im Übrigen führte er zur Begründung aus, dass die höheren Anforderungen an die Rechtmässigkeit einer automatisierten Entscheidung sowie die zusätzlichen Informationspflichten und Auskunftsrechte[33] sich aus dem von Art. 22 DSGVO verfolgten Zweck erklären würden, die betroffene Person vor den besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten – einschliesslich Profiling – verbunden seien.[34] Nach EG 71 DSGVO seien diese besonderen Risiken geeignet, die Interessen und Rechte der betroffenen Person zu beeinträchtigen, insbesondere durch etwaige diskriminierende Wirkungen. Deshalb solle nach diesem Erwägungsgrund gegenüber der betroffenen Person eine faire und transparente Verarbeitung gewährleistet werden, nicht zuletzt durch die Verwendung geeigneter mathematischer oder statistischer Verfahren für das Profiling und durch technische und organisatorische Massnahmen zur Minimierung des Risikos von Fehlern. Die Auslegung, wonach die Auskunftei die Entscheidung fälle und sie das entsprechende Pflichtenprogramm trage, verstärke den wirksamen Schutz, auf den diese Bestimmungen abzielen würden.[35]

Ausserdem würde eine enge Auslegung, nach der nur die von der Kreditgeberin vorgenommene Handlung als Entscheidung eingestuft werden könne, die Gefahr einer Umgehung von Art. 22 DSGVO und folglich eine Rechtsschutzlücke verursachen. Die Berechnung des Kreditscores würde nicht den besonderen Anforderungen von Art. 22 Abs. 2 bis 4 DSGVO unterliegen, obwohl dieses Verfahren auf einer automatisierten Verarbeitung beruhe und Wirkungen entfalte, welche die betroffene Person erheblich beeinträchtige, weil das Handeln der Kreditgeberin vom Kreditscore massgeblich geleitet sei. Zudem würde sonst die betroffene Person – wie der Generalanwalt ausgeführt habe – gegenüber der Auskunftei das Auskunftsrecht i.S.v. Art. 15 Abs. 1 lit. h DSGVO nicht ausüben können, während die Kreditgeberin nicht in der Lage wäre, diese spezifischen Informationen vorzulegen, weil sie darüber im Allgemeinen nicht verfüge.[36]

Würdigung

Verstärkung des wirksamen Schutzes der betroffenen Person

Das Argument des EuGH, der Auskunftei das Pflichtenprogramm aufzuerlegen, verstärke den Schutz der betroffenen Person, auf den die Bestimmungen über die automatisierten Entscheidungen abzielen würden, fusst schon auf einer falschen Prämisse. Entgegen seinen Ausführungen verfolgt Art. 22 DSGVO (und die anderen Bestimmungen, auch jene des DSG) höchstens mittelbar den Zweck,[37] betroffene Personen vor den Risiken zu schützen, die mit einer automatisierten Verarbeitung – einschliesslich Profiling – verbunden sind. Vielmehr richtet sich die Bestimmung ausweislich ihres Wortlauts und ihrer Entstehungsgeschichte[38] gegen Entscheidungen samt ihren Auswirkungen und nicht gegen die diesen zugrunde liegende Verarbeitung. Etwas anderes ergibt sich auch nicht aus dem zitierten EG 71 DSGVO, der nicht (automatisierte) Bewertungen von persönlichen Aspekten anspricht, sondern bloss Entscheidungen, die solche Bewertungen umfassen.[39]

Satz 6 dieses Erwägungsgrundes listet verschiedene Vorgaben auf, an die der EuGH erinnert und deren Einhaltung die Kreditgeberin gemäss Generalanwalt nicht gewährleisten kann. Es handelt sich dabei indes nicht nur wegen ihrer Verankerung in einem Erwägungsgrund, sondern auch mit Blick auf die Gesetzeshistorie nicht um verbindliche Vorgaben.[40] Daran vermag auch eine Rechtsprechung nichts zu ändern, die das Pflichtenprogramm bei automatisierten Entscheidungen der Auskunftei auferlegt. Hinzu kommt, dass sich EG 71 Satz 6 DSGVO trotz oder gerade wegen seiner systemwidrigen Platzierung[41] bei den Bestimmungen zu den automatisierten Entscheidungen auch so als Leitlinie zur Auslegung der Verarbeitungsgrundsätze beim Profiling durch die Auskunftei heranziehen lässt.[42] So wird die Auskunftei etwa aufgrund des Richtigkeitsgrundsatzes kaum umhinkommen, bei der Modellentwicklung auf geeignete mathematische oder statistische Verfahren zurückzugreifen.[43]

(Vermeintliche) Rechtsschutzlücken

Vermeintliche Rechtsschutzlücke beim Auskunftsrecht

Im europäischen Recht (DSGVO)

Die vom EuGH und dem Generalanwalt vorgebrachte Rechtsschutzlücke hinsichtlich des Auskunftsrechts gibt es im Ergebnis nicht. Fällt eine Kreditgeberin (gestützt auf den Kreditscore) eine automatisierte Entscheidung, muss sie auf Gesuch hin Auskunft über die involvierte Logik erteilen (Art. 15 Abs. 1 lit. h DSGVO). Das Auskunftsrecht kennt zumindest dem Wortlaut nach – abgesehen vom Vorbehalt der Rechte und Freiheiten anderer Personen (Art. 15 Abs. 4 DSGVO) – keine Ausnahme.[44] Liesse man die umstrittene analoge Anwendung von Art. 14 Abs. 5 DSGVO, der Ausnahmen zur Informationspflicht bei indirekten Beschaffungen vorsieht, auf das Auskunftsrecht zu,[45] würde eine Ausnahme bestehen, wenn sich die Erteilung der Auskunft als unmöglich erweist (Art. 14 Abs. 5 lit. b DSGVO). Diese Ausnahme lässt sich indes bei selbstverschuldeter Unmöglichkeit, etwa wenn der Verantwortliche mit vorangehenden Massnahmen der Unmöglichkeit hätte vorbeugen können, nicht geltend machen.[46]

Die Kreditgeberin, die das Kreditscoring der Auskunftei in ein ausschliesslich automatisiertes Entscheidungssystem integriert, sich aber nicht die zur Erfüllung ihrer Auskunftspflicht erforderlichen Angaben zur Verfügung stellen lässt, verursacht selbstverschuldet eine (subjektive) Unmöglichkeit. Ist die Kreditgeberin zur Auskunft nicht in der Lage, drohen ihr nicht nur ein Bussgeld (Art. 83 Abs. 5 lit. b DSGVO), sondern ebenso Ansprüche der betroffenen Person auf Ersatz des erlittenen (auch immateriellen) Schadens (Art. 82 DSGVO). Diese Risiken für die Kreditgeberin werden Anreiz genug sein, damit sie für die Fälle automatisierter Entscheidungen (vertraglich) sicherstellt, von der Auskunftei die erforderlichen Informationen zu erhalten.[47] Kann die Kreditgeberin die für die Erfüllung von Art. 15 Abs. 1 lit. h DSGVO erforderlichen Informationen, insbesondere über die involvierte Logik, bei der Auskunftei beschaffen, lässt sich auch nicht einwenden, der Kreditgeberin würden die Informationen fehlen, die sie (gegebenenfalls) für eine menschliche Überprüfung nach Art. 22 Abs. 3 DSGVO der automatisierten Kreditentscheidung benötigt.[48] Eine Rechtsschutzlücke ist also nicht ersichtlich.

Diese Ansicht dürfte auch die Artikel‑29‑Datenschutzgruppe teilen. In ihren Leitlinien hält sie zur Informationspflicht über die involvierte Logik einer automatisierten Entscheidungen fest, dass ein Verantwortlicher, der sich bei der Ablehnung eines Kreditantrags auf eine Bonitätseinschätzung abstütze, unabhängig von deren Quelle in der Lage sein müsse, die Einschätzung und die zugrunde liegenden Überlegungen der betroffenen Person zu erklären.[49] Nachdem die Artikel‑29‑Datenschutzgruppe auch Kreditauskunfteien als mögliche Quellen einer Bonitätseinschätzung benennt, war sie sich der Konstellation bewusst, die vermeintlich eine Rechtsschutzlücke öffnet; sie leitete daraus aber nicht ab, dass die Auskunftei die Informationspflicht hinsichtlich der Logik erfüllen muss.

Im Übrigen wäre zur Schliessung dieser vermeintlichen Rechtsschutzlücke auch denkbar (gewesen), der Auskunftei lediglich die Pflicht nach Art. 15 Abs. 1 lit. h DSGVO statt das gesamte Pflichtenprogramm bei automatisierten Entscheidungen aufzuerlegen.[50] Nach hier vertretener Ansicht weitet zwar die Parenthese, wonach «zumindest in diesen Fällen [also jenen i.S.v. Art. 22 Abs. 1 und 4 DSGVO]» die Information geschuldet ist, den Anwendungsbereich dieser Bestimmung nicht auf Profiling und andere automatisierte Verarbeitungen aus,[51] jedoch hätte die Parenthese (bei abweichender Meinung) als grammatikalischer Anknüpfungspunkt dienen können, um das Auskunftsrecht (und die Informationspflicht) zielgenauer auf die Auskunftei auszuweiten. Auch hätte sich dadurch verhindern lassen, dass sich tatsächlich eine Rechtsschutzlücke öffnet.[52]

Im schweizerischen Recht (DSG)

Ähnlich wie nach DSGVO verfügt die betroffene Person auch nach DSG über ein Recht, Auskunft über das allfällige Vorliegen einer automatisierten Einzelentscheidung sowie deren Logik zu erhalten (Art. 25 Abs. 2 lit. f DSG). Im Unterschied zur DSGVO bestehen verschiedene ausdrücklich geregelte Gründe zur Einschränkung des Auskunftsrechts, auf die sich auch eine Kreditgeberin zu berufen vermag (vgl. Art. 26 DSG). Darunter findet sich – anders als bei den Ausnahmen zur Informationspflicht bei indirekten Beschaffungen (Art. 20 Abs. 2 lit. a DSG) – die Unmöglichkeit als Ausnahmegrund nicht.[53] Nachdem der Gesetzgeber mit Art. 26 f. DSG eine vergleichsweise umfangreiche und detaillierte Regelung geschaffen hat, lässt sich eine analoge Anwendung der Ausnahmen zur Informationspflicht generell nicht rechtfertigen, noch viel weniger bei einer selbstverschuldeten Unmöglichkeit.

Auch unter schweizerischem Recht kann also ein Verantwortlicher einem Begehren auf Auskunft über die Logik der automatisierten Entscheidung nicht entgegnen, dass er über die betreffenden Informationen nicht verfügt. Vielmehr ist er gehalten, die Informationen zu beschaffen und der betroffenen Person zu erteilen. Wird die Auskunft unvollständig oder falsch erteilt, droht (primär[54]) der natürlichen Person, welche die Einhaltung dieser strafbewehrten datenschutzrechtlichen Pflicht sicherstellen muss,[55] eine Busse bis zu CHF 250’000 (Art. 60 Abs. 1 lit. a DSG). Nicht strafbar ist zwar, gar nicht zu reagieren oder fälschlicherweise zu behaupten, nicht auskunftspflichtig zu sein.[56] Jedoch vermag der EDÖB nötigenfalls anzuordnen, dass die Kreditgeberin der betroffenen Person die Auskünfte erteilt (Art. 51 Abs. 3 lit. g DSG), wobei er für den Fall der Missachtung der Verfügung eine Busse androhen kann (Art. 63 DSG). Insoweit ist der Druck auf die Kreditgeberin unter dem DSG womöglich etwas geringer als unter der DSGVO, dennoch ist eine Rechtsschutzlücke ebenso wenig erkennbar.

Hinzu kommt unter schweizerischem Recht, dass die Generalklausel von Art. 25 Abs. 2 DSG (ihrem Wortlaut nach) die Möglichkeit schafft, dass die auf ihre Kreditwürdigkeit hin geprüfte Person bei der Auskunftei Auskunft darüber verlangen kann, welche Logik der betreffenden Datenbearbeitung bzw. der Bonitätsberechnung zugrunde liegt.[57] Nach hier vertretener Ansicht besteht zwar ein solcher Auskunftsanspruch tendenziell nicht,[58] bejaht man ihn aber, schafft auch dies der (vermeintlichen) Rechtsschutzlücke Abhilfe. Statt mittels Kunstgriffs den Kreditscore als automatisierte Entscheidung zu qualifizieren, um der betroffenen Person ein Auskunftsrecht über die zugrunde liegende Logik zu vermitteln, liesse sich also zur Not auch ein Auskunftsrecht gestützt auf die Generalklausel bejahen. Dies hätte gegenüber der Übernahme der Rechtsprechung des EuGH nicht nur den Vorteil, dass sich das Auskunftsrecht so zielgenauer auf die Auskunftei ausweiten liesse, sondern würde auch verhindern, dass sich (tatsächlich) eine Rechtsschutzlücke öffnet.[59]

Andere vermeintliche Rechtsschutzlücken

Der EuGH erblickt überdies darin eine Rechtsschutzlücke, dass die Berechnung des Kreditscores sonst nicht den besonderen Anforderungen von Art. 22 Abs. 2–4 DSGVO unterliegen würde, «obwohl dieses Verfahren auf einer automatisierten Verarbeitung beruht und Wirkungen entfaltet, welche die betroffene Person erheblich beeinträchtigen, da das Handeln des Dritten, dem dieser Wahrscheinlichkeitswert übermittelt wird, von diesem maßgeblich geleitet ist».[60] Damit ignoriert der EuGH die im Wortlaut ausdrücklich vorgesehene Voraussetzung der Entscheidung ebenso wie den gesetzgeberischen Willen, Entscheidungen, nicht automatisierte Verarbeitungen bzw. besondere Arten davon zu adressieren.[61] Das Fehlen von Einschränkungen eines Phänomens, das der Gesetzgeber bewusst nicht adressierte, lässt sich nicht als Rechtsschutzlücke bezeichnen.

Eine Rechtsschutzlücke ist auch nicht bei den vom Generalanwalt[62] angesprochenen Rechten auf Berichtigung und Löschung erkennbar,[63] die es der betroffenen Person erlauben, die Korrektur unrichtiger bzw. Löschung unrechtmässig verarbeiteter Daten zu verlangen,[64] etwa jener, die für die Berechnung des Kreditscores verwendet werden. Die betroffene Person kann diese Rechte ohnehin gegenüber der Auskunftei geltend machen, sodass ihr daraus sowieso kein Nachteil erwächst, wenn die Kreditgeberin – wie der Generalanwalt ausführt – weder an der Erhebung der Daten noch am Profiling beteiligt ist, weil sie diese «Aufgaben» einem Dritten übertragen hat.

Auch mit Blick auf einen wirksamen Grundrechtsschutz erscheint es dem Generalanwalt «vernünftig, der betroffenen Person zu gestatten, ihre Rechte unmittelbar gegenüber dieser [also der Auskunftei] geltend zu machen». Denn deren Tätigkeit stelle «die ‹Quelle› jedes etwaigen Schadens» dar und es bestehe die «Gefahr», dass der Kreditscore von einer Vielzahl von Kreditgeberinnen verwendet werde. Nachdem für den Generalanwalt (und auch den EuGH) Art. 22 Abs. 1 DSGVO ein grundsätzliches Verbot von automatisierten Entscheidungen darstellt,[65] kann der Generalanwalt mit den hier angesprochenen Rechten (wiederum) nur das Recht auf Löschung und auf Berichtigung meinen,[66] die der betroffenen Person ohnehin gegenüber der Auskunftei zustehen. Dieses Argument erweist sich daher ebenso als nicht stichhaltig.

Durch die Rechtsprechung des EuGH verursachte Rechtsschutzlücke

Nicht nur bestehen die vermeintlichen Rechtsschutzlücken nicht, sondern öffnet vielmehr die Rechtsprechung des EuGH eine solche. Stehen der betroffenen Person nämlich das Widerspruchsrecht sowie die Rechte auf Überprüfung und Anfechtung (vgl. Art. 22 Abs. 1 bzw. 3 DSGVO) gegenüber der Auskunftei und nicht der Kreditgeberin zu,[67] kann die betroffene Person zwar allenfalls die Änderung des Kreditscores erwirken, verliert aber eine Einflussmöglichkeit auf die für sie wohl relevantere Kreditentscheidung.[68] Zu deren Änderung ist die Auskunftei nämlich weder in der Lage noch befugt.[69] Dies trifft auch unter schweizerischem Recht zu,[70] unter dessen Regime die betroffene Person diesfalls ihre Rechte auf Darlegung des eigenen Standpunkts und auf Überprüfung der Entscheidung aus Art. 21 Abs. 2 DSG gegenüber der Auskunftei geltend machen müsste.

Hoheit über den Prozess und Inhalt der Kreditentscheidung

Mit gewissen Äusserungen scheint der Generalanwalt (zumindest im Ansatz) anzuerkennen, dass die internen Regeln und Praktiken der Kreditgeberin, wie sie den Kreditscore in ihre Kreditentscheidungen einbindet, für die zu klärende Frage entscheidend sind. Dennoch bezeichnete er es als «übertriebene[n] Formalismus», die Entscheidung bei der Kreditgeberin zu verorten, wenn sie die Gewährung oder Ablehnung eines Kredits vom Kreditscore vorbestimmen lasse.[71] Der EuGH stellte ähnlich den Kausalzusammenhang in den Vordergrund und betonte insoweit, dass «dieses Verfahren auf einer automatisierten Verarbeitung [der Auskunftei] beruht», das sich über das Handeln der Kreditgeberin auf die betroffene Person relevant auswirke.[72] Eine nähere Betrachtung, wem die Hoheit über den Prozess und den Inhalt der Kreditentscheidung zusteht und welche Schlüsse daraus zu ziehen sind, fehlt also den Schlussanträgen ebenso wie dem Urteil, hätte sich aber aufgedrängt.[73]

Dem Einflussbereich der Auskunftei entzieht sich nämlich nicht nur, ob überhaupt eine vom EuGH adressierte Konstellation vorliegt, sondern auch, ob die Voraussetzungen einer automatisierten Entscheidung gegeben sind:[74]

Der EuGH beurteilte ausschliesslich die Konstellation, in der die Kreditgeberin bei ihrer Kreditentscheidung massgeblich auf den Kreditscore abstellt.[75] Ob dies der Fall ist, bestimmt die Kreditgeberin anhand ihrer internen Regeln und Praktiken, auf welche die Auskunftei grundsätzlich keinen Einfluss hat.

Nach hier vertretener Ansicht[76] stellt die Kreditgeberin nicht massgeblich auf den Kreditscore ab, wenn sich ein Mensch an der Kreditentscheidung relevant beteiligt.[77] Die Kreditgeberin kann also nicht den Kreditscore ihrer Kreditentscheidung massgeblich zugrunde legen, während es an der Voraussetzung der ausschliesslichen Automatisierung fehlt. Bei einem extensiven Verständnis der Massgeblichkeit wäre dies allerdings möglich. Diesfalls ist es der Kreditgeberin auch allein anheimgestellt, ob überhaupt eine ausschliessliche Automatisierung vorliegt[78] oder sie den Kreditscore etwa noch von einem Menschen überprüfen lässt.[79]

Die Kreditgeberin bindet ferner den Kreditscore (unter Vorbehalt regulatorischer Vorgaben) nach eigenem Ermessen in ihren Entscheidungsprozess ein, womit sie – freilich mithilfe des Kreditscores – aus Varianten auswählt und damit den Inhalt der Entscheidung bestimmt. Auch mit einem schlechten Kreditscore schliesst die Auskunftei nicht schon die Gewährung eines Kredits aus.[80]

Schliesslich vermag nur die Kreditgeberin zu beeinflussen, ob die Entscheidung eine relevante Auswirkung gegenüber der betroffenen Person hat. Die Kreditgeberin legt fest, inwiefern sie an den Scorewert anknüpft, etwa ab welchem Scorewert eine Kreditentscheidung negativ ausfällt[81] und diese damit allenfalls eine relevante Auswirkung gegenüber der betroffenen Person zeitigt.[82]

Erschwerend kommt hinzu, dass die Auskunftei die konkrete Einbindung ihres Kreditscores in den Entscheidungsprozess, insbesondere die internen Regeln und Praktiken der Kreditgeberin, vielfach nicht kennen wird.[83] Freilich wird die Auskunftei im Regelfall gewisse Aspekte der Verwendung des Kreditscores mit der Kreditgeberin vertraglich regeln (müssen),[84] davon dürfte aber die konkrete Einbindung des Kreditscores in die Kreditentscheidung regelmässig nicht erfasst sein. Mit einer solchen Vereinbarung liesse sich auch etwa regeln, dass die Kreditgeberin ihre Kreditentscheidungen nicht massgeblich auf den Kreditscore abstellen darf.[85] Dies würde indes nicht sicherstellen, dass (nach Rechtsprechung des EuGH) die Auskunftei keine automatisierte Entscheidung fällt, zumal sich die Kreditgeberin später vertragswidrig verhalten kann.[86] Der EuGH auferlegt also der Auskunftei in Abhängigkeit von einem grundsätzlich unvorhersehbaren sowie nur schlecht beeinflussbaren künftigen Verhalten eines Dritten (zumindest teilweise) strafbewehrte[87] Pflichten.[88]

Besonders problematisch ist dies bei der Informationspflicht nach DSGVO,[89] weil zu deren gesetzlich vorgesehenem Erfüllungszeitpunkt – grundsätzlich bei der Datenerhebung bzw. innerhalb eines Monats danach (Art. 13 Abs. 1 bzw. Art. 14 Abs. 3 DSGVO) – in aller Regel noch gar nicht feststeht oder zumindest der Auskunftei unbekannt ist, ob der daraus berechnete Kreditscore eine automatisierte Entscheidung darstellt.[90] Unter dem DSG erlaubt zwar dessen Art. 21 Abs. 1 dem Verantwortlichen, auch nach der Fällung der automatisierten Entscheidung darüber zu informieren.[91] Die Generalklausel von Art. 19 Abs. 2 DSG verlangt allerdings bei automatisierten Entscheidungen weitere Informationen, zumindest über die Rechte i.S.v. Art. 21 Abs. 2 DSG,[92] die grundsätzlich (ebenfalls) bei Beschaffung bzw. innerhalb eines Monats danach geschuldet sind (Art. 19 Abs. 2 und 4 DSG).

Vor diesem Hintergrund ist es wenig sachgerecht, die Pflichten gemäss Rechtsprechung des EuGH danach zu verteilen, ob sich ein Prozessschritt, hier der Kreditscore, im Rückblick als (qualifiziert) kausal für das Ergebnis, hier die Kreditentscheidung, und die dazugehörige Auswirkung auf die betroffene Person erweist. Vielmehr erscheint es zwingend, die Einflussmöglichkeiten auf den Kausalzusammenhang und das Vorliegen einer automatisierten Entscheidung zu berücksichtigen.[93] Darauf ist zurückzukommen.[94]

Zwischenfazit

Der Generalanwalt und der EuGH führen eine Reihe von Argumenten ins Feld, weshalb die Auskunftei das Pflichtenprogramm bei automatisierten Entscheidungen tragen soll, wenn die Kreditgeberin massgeblich auf den Kreditscore abstellt. Bei näherer Betrachtung zeigt sich indes, dass die Argumente wenig belastbar sind und jedenfalls nicht zu rechtfertigen vermögen, dass sich der EuGH mit der Anknüpfung an die Vorstufe der automatisierten Entscheidung gerade in einem vom (europäischen) Gesetzgeber bereits entschiedenen Punkt letztlich legislativ betätigt.[95]

Zunächst geht das teleologische Argument, der Schutz gegen Risiken automatisierter Verarbeitungen lasse sich verstärken, wenn die Auskunftei in der Pflicht stehe, von einem unzutreffenden Zweck der Bestimmungen über automatisierte Entscheidungen aus. Die in EG 71 Satz 6 DSGVO enthaltenen Vorgaben können auch so als Leitlinien zur Auslegung der Verarbeitungsgrundsätze beim Profiling durch die Auskunftei dienen. Überdies bestehen die von Generalanwalt und EuGH befürchteten Rechtsschutzlücken – soweit sie diese Bezeichnung überhaupt verdienen – nicht. Im Gegenteil würden die besonderen Betroffenenrechte bei automatisierten Entscheidungen (sowie die angemessenen Massnahmen i.S.v. Art. 22 Abs. 3 DSGVO) leerlaufen, wenn sie der betroffenen Person gegenüber der Auskunftei statt der Kreditgeberin zustünden. Schliesslich würde die Rechtsprechung des EuGH angesichts der Hoheit der Kreditgeberin über Prozess und Inhalt der Kreditentscheidung dazu führen, dass die Auskunftei in Abhängigkeit von einem grundsätzlich unvorhersehbaren sowie nur schlecht beeinflussbaren künftigen Verhalten eines Dritten in die Pflicht genommen würde.

Aus diesen Gründen ist die Rechtsprechung – sowohl für die DSGVO als auch das DSG[96] – abzulehnen. Immerhin verdient der Entscheid des EuGH insoweit Zustimmung, als das Pflichtenprogramm nicht dem «Verantwortlichen» gemäss Legaldefinition zuzuordnen,[97] sondern ein abweichendes Verständnis angezeigt ist. Bei diesem sind die Wirksamkeit des Auskunftsrechts und der besonderen Betroffenenrechte ebenso wie die Hoheit über den Prozess und den Inhalt der Entscheidung besonders zu berücksichtigen.

Der «Verantwortliche» in einem anderen Sinne

Im Sinne einer Analogie zur Legaldefinition?

Lässt sich nicht unmittelbar auf die Verantwortlichkeit i.S.v. DSG und DSGVO abstellen,[98] fällt zunächst die analoge Anwendung dieses Konzepts[99] in Betracht,[100] zumal die Datenschutzerlasse (primär) anhand dessen die vorgesehenen Pflichten den involvierten Akteuren zuordnen. Übertragen auf eine automatisierte Entscheidung würde das bedeuten, dass Verantwortlicher wäre, wer allein oder zusammen mit anderen den Zweck und die Mittel der Entscheidung bestimmt (vgl. Art. 5 lit. j DSG; Art. 4 Ziff. 7 DSGVO).

In der Lehre postuliert – soweit ersichtlich – nur eine Äusserung ausdrücklich die analoge Anwendung der (gemeinsamen) Verantwortlichkeit.[101] Konkret sei das Konzept beim vom EuGH zu beurteilenden Fall mit der deutschen SCHUFA[102] analog anzuwenden und die Auskunftei und die Kreditgeberin als gemeinsam Verantwortliche für die Entscheidung zu betrachten. Die Ansicht geht allerdings – meines Erachtens zu Unrecht[103] – von den vom EuGH behaupteten Rechtsschutzlücken aus und «füllt» diese ergebnisorientiert mit der gemeinsamen Verantwortlichkeit der Akteure.[104] Im Allgemeinen sei eine analoge Anwendung deshalb angezeigt, weil eine Regelung der Verantwortlichkeit planwidrig fehle, wenn sich die Datenverarbeitung und die Entscheidung auf unterschiedliche Akteure verteile.[105] Freilich versagt in solchen Konstellationen – wie ausgeführt[106] – die Anknüpfung an den legaldefinierten Verantwortlichen; eine Analogie rechtfertigt sich deshalb allerdings noch nicht.

Während sich der Zweck durchaus als das Ob und das Warum der Entscheidung interpretieren liesse,[107] liegt die Analogie bei den Mitteln fern. Bei einer Datenbearbeitung sind damit namentlich die Art der bearbeiteten Daten, der Kreis der betroffenen Personen, die Bearbeitungsdauer und der Empfängerkreis gemeint.[108] Mittel in diesem Sinn sind der Entscheidung an sich fremd.[109] Wohl auch darum sehen die Vertreter einer analogen Anwendung «das ‹Mittel›» bei einer Entscheidung in deren «rein automatisierte[n] Durchführung»,[110] was indes das Wie der zugrunde liegenden Bearbeitung und nur mittelbar jenes der hier interessierenden Entscheidung betrifft. Hinzu kommt, dass auch aus Betroffenensicht relevanter ist, wie (also nach welchen Kriterien) Varianten abschliessend ausgeschlossen und die Auswirkungen auf die betroffene Person bestimmt werden. Diese Aspekte, welche weitere Voraussetzungen einer automatisierten Entscheidung repräsentieren, als Mittel zu betrachten, entfernt sich allerdings zu weit von dessen eigentlichem Begriff. Nachdem für das Konzept des Verantwortlichen nicht nur der Zweck, sondern auch die Mittel massgebend sind,[111] erscheint eine analoge Anwendung dieses Konzepts auf Entscheidungen ungeeignet.

Selbst wenn das Konzept der Verantwortlichkeit analog angewendet würde, dürfte die Auskunftei in der vorliegend interessierenden Konstellation kein (gemeinsam) Verantwortlicher sein.[112] Über das Ob und Warum der Kreditvergabe, auf die sich die Entscheidung bezieht, bestimmt die Kreditgeberin. Zudem hat daran nur die Kreditgeberin ein konkretes Interesse,[113] während die Auskunftei höchstens abstrakt an der Verwendung ihres Kreditscores interessiert ist, um ihren Absatz und Marktanteil zu verbessern.[114] Hinzu kommt, dass die Kreditgeberin allein festlegt, inwiefern sie den Kreditscore in ihre Kreditentscheidung einfliessen lässt,[115] mithin auch, ob sie die «rein automatisierte Durchführung» etwa durch eine menschliche Überprüfung aufhebt. Der Auskunftei sind die entsprechenden internen Vorgaben und Praktiken in aller Regel unbekannt.

Im Sinne des «Entscheiders»

Äusserungen in der Lehre

In der (deutschen) Lehre zur DSGVO ist die Ansicht verbreitet, dass das Pflichtenprogramm demjenigen obliegt, der die Entscheidung trifft.[116] Eine Begründung dieses Verständnisses des «Verantwortlichen» fehlt den meisten entsprechenden Äusserungen jedoch ebenso wie eine Erläuterung, was dies konkret bedeutet,[117] abgesehen vom Hinweis, dass eine Auskunftei im Zusammenhang mit der Kreditvergabe (durch die Kreditgeberin) keine Entscheidung treffe.[118] Nach einer Äusserung trägt die Informations- und Auskunftspflichten i.S.v. Art. 13 ff. DSGVO nicht der Akteur, der eine automatisierte Entscheidungsfindung durchführt, sondern jener, welcher deren Ergebnis nutzt.[119] Damit dürfte das Pflichtenprogramm im Ergebnis wohl gleich zugeordnet werden, jedenfalls im Verhältnis zwischen Auskunftei und Kreditgeberin. Mangels näherer Erklärung lässt sich dies indes nicht mit Sicherheit beurteilen.

Zur Frage, weshalb dem Entscheider das Pflichtenprogramm obliege, führt eine Stimme immerhin aus, dass – ausweislich des Wortlauts von Art. 22 Abs. 1 DSGVO – die Verarbeitung und die Entscheidung voneinander zu trennen seien, was sich zwangsläufig auf den Adressaten auswirke.[120] Weshalb aber sodann dem Entscheider die Pflichten obliegen, bleibt offen. Eine andere Wortmeldung konkretisiert den Entscheider im Ergebnis als Akteur, in dessen Verantwortungssphäre der konkrete Verfahrensschritt erfolge, der die tatbestandsmässige Entscheidung determiniere.[121] Im Sinne einer Begründung – und zugleich als Kritik an den Schlussanträgen des Generalanwalts im SCHUFA-Fall zum Kreditscoring[122] – hält diese Wortmeldung fest, dass sich der Entscheider «nicht ohne eine angemessene Berücksichtigung der normativen Verantwortung der Akteure für die Festlegung der Abhängigkeiten und die Kausalzusammenhänge innerhalb des Entscheidungsverfahrens» bestimmen lasse.[123] Diesem Standpunkt ist zuzustimmen. Generell lassen sich aus der Kritik an der Zuordnung des Pflichtenprogramms gemäss EuGH[124] Anhaltspunkte für ein sachgerechtes Verständnis des «Verantwortlichen» gewinnen.

Eigene Herleitung und Konkretisierung

Mit Blick auf die Hoheit über den Prozess und den Inhalt der Entscheidung kann nur ein Akteur in der Pflicht stehen, der abschliessend bestimmt, dass die Voraussetzungen einer automatisierten Entscheidung vorliegen.[125] Dieser Akteur wird jener sein, der – gestützt auf eine ausschliesslich automatisierte Bearbeitung – hinsichtlich eines Gegenstands aus bestehenden Varianten auswählt, also eine Entscheidung trifft,[126] und dadurch die relevante Auswirkung auf die betroffene Person verursacht.[127] Er lässt sich als «Entscheider» bezeichnen. Solange ein anderer Akteur (vor Eintritt der Auswirkung auf die betroffene Person) auf den Gegenstand zurückkommen kann, liegt mangels abschliessenden Charakters noch keine Entscheidung, sondern etwa eine Empfehlung oder eine andere Entscheidungsunterstützung vor.[128]

Einen weiteren Anhaltspunkt liefern die Betroffenenrechte, insbesondere jene auf menschliche Überprüfung bzw. Widerspruch (Art. 21 Abs. 1 DSG; Art. 22 Abs. 1 DSGVO).[129] Diese Rechte können ihre Funktion nur dann erfüllen, wenn sie sich gegenüber einem Akteur vorbringen lassen, der die relevante Auswirkung der Entscheidung auf die betroffene Person aufheben oder ändern kann. Dies wird gerade bei Konstellationen augenscheinlich, in denen ein Akteur, z.B. die Kreditgeberin, (massgeblich) auf eine automatisiert generierte Grundlage, z.B. den Kreditscore, eines anderen Akteurs, z.B. der Auskunftei, abstellt. Wenn die betroffene Person diese besonderen Betroffenenrechte gegen den bloss die Entscheidungsgrundlage erstellenden Akteur, hier die Auskunftei, geltend machen muss, laufen sie leer.[130] Beim Akteur, der die relevante Auswirkung aufheben oder ändern kann, wird es sich um den «Entscheider» handeln, zumal er die Auswirkung zuvor verursacht hat.

Aus diesen Gründen erscheint es sachgerecht und dogmatisch vertretbar, die Pflichten bei automatisierten Entscheidungen dem «Entscheider» aufzuerlegen. Der vorliegend im Fokus stehende Kreditscore einer Auskunftei stellt keine Entscheidung, sondern bloss den Output eines Profilings dar.[131] Auch im Zusammenhang mit der Kreditentscheidung einer Kreditgeberin dient der Kreditscore lediglich als Entscheidungsunterstützung und schliesst noch keine Varianten der Kreditentscheidung abschliessend aus.[132] Demnach trägt allenfalls die Kreditgeberin, nicht aber die Auskunftei, das Pflichtenprogramm bei automatisierten Entscheidungen.[133] Wenn z.B. eine Bank ein Kreditscoringsystem einer Auskunftei für die Bearbeitung ihrer Online-Kreditanträge implementiert und ihre Kreditentscheidungen ausschliesslich gestützt auf den Kreditscore fällt, ist nach wie vor die Bank zur Information und (auf Gesuch hin) zur Auskunft verpflichtet. Ihr gegenüber hat die betroffene Person auch die besonderen Betroffenenrechte geltend zu machen.

Art. 21 Abs. 1 DSG; Art. 13 Abs. 2 und Art. 14 Abs. 2 DSGVO. ↵

Art. 25 Abs. 1 DSG; Art. 15 Abs. 1 DSGVO. ↵

Vgl. Art. 21 Abs. 2 DSG; Art. 22 Abs. 1 DSGVO. ↵

Vgl. Botschaft Totalrevision DSG, S. 7058. ↵

Vgl. dazu oben Teil 4, E.I.2. ↵

Vgl. dazu oben Teil 2, B.I. ↵

Vgl. dazu oben Teil 4, A. ↵

Zum DSG BSK DSG-Henseler/Vasella, Art. 21 N 35; zur DSGVO Ziegenhorn, Rn. 7; vgl. auch Thüsing et al., RDV 2023, S. 85. ↵

Vgl. dazu oben Teil 4, D.I.1. ↵

Zum DSG so Suter F., S. 254 und 268; vgl. auch CR LPD-Flueckiger, Art. 21 N 2, der auf Art. 5 lit. j DSG verweist; zur DSGVO vgl. Scholz, in: Simitis et al., Art. 22 N 17; Taeger, in: Taeger/Gabel, Art. 22 N 19, je mit Hinweis auf Art. 4 Ziff. 7 DSGVO; ferner Kalchev, S. 440, wonach die datenschutzrechtliche Zurechnung nur über die Rollen Verantwortlicher, Auftragsverarbeiter und Dritter erfolgen könne. ↵

Zur DSGVO vgl. Horstmann/Dalmer, S. 264; Ziegenhorn, Rn. 14. ↵

Für die Anwendbarkeit der Bestimmungen über automatisierte Entscheidungen ist es unerheblich, ob die Handlungen mehrerer Akteure zusammen die Tatbestandselemente erfüllen, zumal solche Arbeitsteilungen nichts am Schutzbedarf der betroffenen Person ändern und sonst Umgehungen möglich wären (zur DSGVO vgl. GA Pikamäe, Rs. C‑634/21 vom 16. März 2023, SCHUFA Holding u.a. [Scoring], Ziff. 41; Schantz, in: Schantz/Wolff, Rn. 746; Scholz, in: Simitis et al., Art. 22 N 27 und 29 i.f.; zum aBDSG/DE vgl. Möller/Florax, NJW 2003, S. 2725). ↵

Vgl. dazu oben Teil 4, D.II.2.1. ↵

Vgl. dazu oben Teil 2, B.I. ↵

Vgl. dazu auch unten Teil 4, E.III.2.3.c. und E.III.3.2.b. ↵

Vgl. dazu oben Teil 4, E.I.2. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 35. ↵

Zur DSGVO vgl. Henseler, GA EuGH C‑634/21, o.S.; Paal, ZfDR 2023, S. 136. ↵

Vgl. dazu oben Teil 4, E.I.2. und E.I.3.1. ↵

Vgl. dazu unten Teil 4, E.III.2.3.b.cc. ↵

Vgl. dazu oben Teil 4, D.I.3.3.c. ↵

Zur DSGVO EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 61 ff. ↵

Zur DSGVO GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 40 ff. ↵

VGer Wiesbaden, 6 K 788/20 vom 1. Oktober 2021, in: BeckRS 2021, 30719, Tenor Ziff. 1. ↵

Vgl. dazu oben Teil 4, D.I.1. und D.I.3.3.b. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 40. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 42 f. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 44 f. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 46 f. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 48 ff. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 51. ↵

Vgl. dazu oben Teil 4, D.I.1. und D.I.3.3.b. ↵

Art. 22 sowie Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g und Art. 15 Abs. 1 lit. h DSGVO. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 57. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 59 f. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 61 ff. ↵

Vgl. dazu oben Teil 4, C. ↵

Vgl. dazu oben Teil 3, C.I.3. ↵

Daraus lässt sich auch nicht ableiten, dass eine automatisierte Entscheidung i.S.v. Art. 22 Abs. 1 DSGVO auf eine Bewertung persönlicher Aspekte abstellen muss (vgl. dazu oben Teil 4, D.IV.1.). ↵

Vgl. dazu auch oben Teil 3, C.I.2. ↵

Vgl. dazu auch oben Teil 3, C.I.2. ↵

Anders Paal, ZfDR 2023, S. 136 f. (in Bezug auf die Schlussanträge), wonach sich die Vorgaben von EG 71 Satz 6 DSGVO nur an die der automatisierten Entscheidung vorangehende Verarbeitung, hier an diejenige der Auskunftei, richte, und deshalb das Argument des Generalanwalts nicht trage, die Kreditgeberin könne die Vorgaben nicht erfüllen. ↵

Vgl. dazu auch oben Teil 3, C.V.5.2.b. ↵

Im Unterschied zu lit. g spricht lit. h von Art. 15 Abs. 1 DSGVO auch nicht von den «verfügbaren Informationen» über die involvierte Logik. ↵

Während der EDSA und ein Teil der Lehre (von Art. 12 Abs. 5 DSGVO abgesehen) gestützt auf den Wortlaut einzig in Art. 15 Abs. 4 DSGVO eine Ausnahme erblicken (EDSA, Leitlinien Auskunftsrecht, Rn. 165 ff.; Dix, in: Simitis et al., Art. 15 N 36; Korch/Chatard, S. 484), will ein anderer Teil der Lehre die Ausnahmen von der Informationspflicht auf das Auskunftsrecht analog anwenden (vgl. Härting, CR 2019, S. 223; Stollhoff, in: Auernhammer, Art. 15 N 38 ff.). ↵

Vgl. Art.‑29‑DSG, Leitlinien Transparenz, Rn. 59 (Beispiel). Im Übrigen ist nicht unumstritten, ob sich der Verantwortliche auch bei einer subjektiven Unmöglichkeit, wie sie hier gegeben wäre, auf die Ausnahme berufen kann (befürwortend Dallmann/Busse, S. 398; Schmidt-Wudy, in: Wolff et al., Art. 14 N 98; ablehnend Dix, in: Simitis et al., Art. 14 N 21 f.; vgl. auch Franck, in: Gola/Heckmann, Art. 14 N 25). ↵

Henseler, EuGH C‑634/21, o.S.; Paal, ZfDR 2023, S. 133 f.; vgl. auch Overbeck, S. 293, wonach die Kreditgeberin in der Pflicht sei, sich bei der Auskunftei alle Angaben zu beschaffen, die für die Erfüllung der Informationspflicht erforderlich seien; ähnlich Hirsch, SZW 2024, S. 116; Marsch/Kratz, S. 393; Scholz, in: Simitis et al., Art. 22 N 65; Ziegenhorn, Rn. 19. ↵

Paal, ZfDR 2023, S. 134 und 136. ↵

Art.‑29‑DSG, Leitlinien ADM und Profiling, S. 28 (Beispiel). ↵

Paal, ZfDR 2023, S. 137. ↵

Vgl. dazu oben Teil 4, E.I.1.2. ↵

Vgl. dazu unten Teil 4, E.III.2.3.b.cc. ↵

Im Unterschied zu lit. e spricht lit. f von Art. 25 Abs. 2 DSG auch nicht von den «verfügbaren Angaben» über die Logik, auf der die Entscheidung beruht. ↵

Vgl. Art. 64 DSG (i.V.m. Art. 6 f. VStrR). ↵

Vgl. statt vieler BSK DSG-Mathys/Thomann, Vor Art. 60–66 N 39; Rosenthal/Gubler, S. 58; OFK DSG-Simmler, Vorbem. Art. 60 ff. N 13. ↵

SHK DSG-Pärli/Flück, Art. 25 N 38; Rosenthal, Jusletter 2020, Rn. 116; OK DSG-Steiger, Art. 25 N 43; vgl. auch Botschaft Totalrevision DSG, S. 7101. ↵

Bericht Wirtschaftsauskunfteien, S. 27. ↵

Vgl. dazu oben Teil 4, E.I.1.1. ↵

Vgl. dazu unten Teil 4, E.III.2.3.b.cc. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 62. ↵

Vgl. dazu oben Teil 3, C.I.3. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 50. ↵

Paal, ZfDR 2023, S. 137, hält das Argument des Generalanwalts ebenso wenig für überzeugend, versteht es aber anders. Nach seinem Verständnis argumentiere der Generalanwalt, dass Art. 15 Abs. 1 lit. h DSGVO gegenüber der Auskunftei anzuwenden sei, weil die betroffene Person nur mithilfe der dadurch erhältlichen Informationen ihr Berichtigungs- und Löschungsrecht geltend machen könne. Die in Art. 15 Abs. 1 lit. h DSGVO vorgesehenen Metainformationen seien aber weder für die Beurteilung der Richtigkeit der verwendeten Daten erforderlich noch relevant für das Bestehen eines Löschungsanspruchs. Für die Ausübung dieser Betroffenenrechte würden die Informationen nach dem allgemeinen Auskunftsanspruch genügen (Art. 15 Abs. 1 DSGVO), der sich gegenüber der Auskunftei geltend machen lasse, ungeachtet der Qualifikation deren Kreditscores als automatisierte Entscheidung. ↵

Vgl. Art. 16 und Art. 17 (insb. Abs. 1 lit. d) DSGVO; ähnlich Art. 32 Abs. 1 und 2 lit. c DSG (bei einem privaten Verantwortlichen), wobei eine Löschung voraussetzt, dass eine widerrechtliche Persönlichkeitsverletzung vorliegt. ↵

EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 52 f., 64 und 71; GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 31. ↵

Nachdem diese Ausführungen in den Schlussanträgen an jene zum Berichtigungs- und Löschungsrecht anschliessen, dürften diese Rechte gemeint sein. Möglicherweise ist dennoch auch das Auskunftsrecht angesprochen; damit vermag jedoch die betroffene Person nicht auf den Kreditscore als «‹Quelle› jedes etwaigen Schadens» einzuwirken. ↵

Gleichzeitig gegenüber der Auskunftei und der Kreditgeberin können der betroffenen Person die Rechte nicht zustehen (vgl. Ziegenhorn, Rn. 17). Ist nämlich im Kreditscore eine Entscheidung zu erblicken, kann es sich bei der darauf gestützten Kreditentscheidung nicht mehr um eine automatisierte Entscheidung handeln (vgl. dazu oben Teil 4, D.I.2.). ↵

Zur DSGVO Henseler, GA EuGH C‑634/21, o.S. ↵

Zur DSGVO Paal, ZfDR 2023, S. 136. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 35. ↵

GA Pikamäe, Rs. C-634/21 vom 16. März 2023, SCHUFA Holding u.a. (Scoring), Ziff. 42 ff. ↵

Vgl. EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 62. ↵

Vgl. Paal, ZfDR 2023, S. 129 und 132. ↵

Vgl. Henseler, EuGH C‑634/21, o.S.; Paal, ZfDR 2023, S. 131 f. ↵

Vgl. dazu oben Teil 4, D.I.3.1. ↵

Vgl. dazu oben Teil 4, D.I.3.3.a. ↵

Vgl. dazu oben Teil 4, D.II.3. ↵

Vgl. Kalchev, S. 439. ↵

Selbst wenn die Kreditgeberin, etwa als Betreiberin eines Online-Shops, den Kreditscore über eine automatisierte Schnittstelle in ihre Kreditentscheidungen integriert (vgl. dazu oben Teil 1, E.I.2.3.a), bestimmt sie über diese Einbindung und damit über die ausschliesslich automatisierte Fällung ihre Kreditentscheidungen. ↵

Vgl. dazu oben Teil 4, D.I.3.3.b. ↵

Vgl. dazu oben Teil 1, D.I. ↵

Vgl. dazu oben Teil 4, D.III.3. ↵

Vgl. Bundeskartellamt, S. 83; Henseler, EuGH C‑634/21, o.S.; Paal, ZfDR 2023, S. 132; Thüsing et al., RDV 2023, S. 84. ↵

Die Auskunftei wird ihre Kundin zumindest dazu verpflichten müssen, Auskünfte nur bei einem Interesse im Einzelfall abzufragen, also wenn sich die Beschaffung und Verwendung des Kreditscores aufgrund eines zu beurteilenden kreditorischen Risikos rechtfertigt (vgl. dazu oben Teil 3, C.VI.3.2.c.aa). ↵

Vgl. Taeger, BKR 2024, S. 46; ferner Schild, S. 165, wonach die SCHUFA in Reaktion auf das Urteil des EuGH bei ihren Kundinnen eine Erklärung eingeholt haben solle, dass der Scorewert kein allein bestimmendes Kriterium für die Kreditentscheidung darstelle. ↵

Taeger, BKR 2024, S. 46. ↵

Vgl. Art. 60 Abs. 1 DSG; Art. 83 Abs. 5 lit. b DSGVO. ↵

Vgl. Henseler, EuGH C‑634/21, o.S.; Taeger, BKR 2024, S. 46. ↵

Vgl. dazu oben Teil 4, E.I.1.2. ↵

Vgl. Genicot, o.S. ↵

Vgl. dazu oben Teil 4, E.I.1.1. ↵

Vgl. dazu oben Teil 4, E.I.2. ↵

Vgl. Paal, ZfDR 2023, S. 132. ↵

Vgl. dazu unten Teil 4, E.III.3.2.b. ↵

Vgl. dazu oben Teil 3, C.I.3. ↵

Für das DSG würde sich sonst überdies die Frage stellen, ob rechtsanwendende schweizerische Behörden die Bestimmungen über die automatisierten Entscheidungen, insb. Art. 21 DSG, europarechtskonform auslegen und dabei diese Rechtsprechung des EuGH autoritativ berücksichtigen müssten. Zwar orientierte sich der Gesetzgeber massgeblich am Begriff der automatisierten Entscheidung nach DSGVO (vgl. dazu oben Teil 4, B.I.), entschied sich aber zumindest für andere damit einhergehende Rechtsfolgen (vgl. dazu oben Teil 4, E.I.). Ohnehin dürften aber bereits die klassischen Auslegungselemente zu einem Ergebnis führen, das keinen Platz mehr für eine europarechtskonforme Auslegung lässt (vgl. dazu oben Einleitung, C.II.1.2.b): Der Kreditscore stellt – wie gesehen (vgl. dazu oben Teil 4, D.I.3.3.b) – auch dann keine Entscheidung dar, wenn die Kreditgeberin diesen ihrer Kreditentscheidung massgeblich zugrunde legt. Die «Verantwortliche» einer von Art. 21 DSG erfassten Kreditentscheidung ist (auch in solchen Konstellationen) die Kreditgeberin (vgl. dazu unten Teil 4, D.III.3.2.b). ↵

Vgl. dazu oben Teil 4, E.III.1. ↵

Vgl. dazu oben Teil 4, E.III.1. ↵

Vgl. dazu oben Teil 2, B.I. ↵

Zur DSGVO vgl. Horstmann/Dalmer, S. 264. ↵

Zur DSGVO Horstmann/Dalmer, S. 264; vgl. auch Thüsing et al., RDV 2023, S. 85, welche die Schlussanträge im SCHUFA-Fall zum Kreditscoring u.a. deshalb kritisieren, weil der Generalanwalt die Entscheidung der Kreditgeberin der SCHUFA zugerechnet habe, ohne «die in der DS-GVO anerkannten Zurechnungsgrundsätze zumindest in entsprechender Anwendung zu verproben». ↵

Vgl. dazu oben Teil 4, E.III.2. ↵

Vgl. dazu oben Teil 4, E.III.2.3.b.cc. ↵

Zur DSGVO vgl. Horstmann/Dalmer, S. 263 f. ↵

Zur DSGVO Horstmann/Dalmer, S. 264. ↵

Vgl. dazu oben Teil 4, E.III.1. ↵

Vgl. dazu oben Teil 2, B.I. ↵

Vgl. dazu oben Teil 2, B.I. ↵

Dies gilt auch in Bezug auf die betroffenen Personen. Eine natürliche Person, auf welche die Entscheidung eine relevante Auswirkung hat, ist allein deshalb noch nicht eine betroffene Person i.S.v. Art. 5 lit. b DSG bzw. Art. 4 Ziff. 1 DSGVO. ↵

Zur DSGVO Horstmann/Dalmer, S. 264. ↵

Vgl. dazu oben Teil 2, B.I. ↵

Zur DSGVO vgl. Paal, ZfDR 2023, S. 133; Thüsing et al., RDV 2023, S. 85; ferner Taeger, BKR 2024, S. 45 (Fn. 38), der eine gemeinsame Verantwortlichkeit für die Kreditentscheidung von Auskunftei und Kreditgeberin (ohne Begründung) ebenfalls ablehnt; a.M. Horstmann/Dalmer, S. 264. ↵

Zur DSGVO Paal, ZfDR 2023, S. 133; Thüsing et al., RDV 2023, S. 85; vgl. auch Kremer, Rn. 12, wonach «die Entscheidung über den Abschluss des Kreditvertrags […] nicht mehr vom ‹gemeinsamen› Willen der SCHUFA mitgetragen» ist. ↵

Vgl. dazu oben Teil 2, B.II. ↵

Vgl. dazu oben Teil 2, B.II. und Teil 4, E.III.2.3.c. ↵

Auch der EuGH, Rs. C-634/21 vom 7. Dezember 2023, SCHUFA Holding u.a. (Scoring), Ziff. 61 ff., sieht den Akteur in der Pflicht, dessen Handlung eine Entscheidung darstellt. Er vertritt aber – wenig fundiert – einen anderen Entscheidungsbegriff (vgl. dazu oben Teil 4, D.I.1. und D.I.3.3.b) und verortet die Entscheidung ohne überzeugende Gründe (in der hier im Fokus stehenden Konstellation) bei der Auskunftei (vgl. dazu oben Teil 4, E.III.2.). Deshalb lässt sich das Urteil des EuGH nur begrenzt als Präjudiz zugunsten dieser Meinung verstehen. ↵

Zur DSGVO Schantz, in: Schantz/Wolff, Rn. 746 (betr. Art. 13 ff. DSGVO); vgl. auch Helfrich, in: Sydow/Marsch, Art. 22 N 42 (betr. Art. 22 DSGVO). ↵

Zur DSGVO Thüsing et al., RDV 2023, S. 84 f.; von Lewinski/Pohl, S. 22 (betr. Art. 13 f. DSGVO); vgl. auch Krämer, NJW 2020, S. 498 (betr. Art. 22 DSGVO), wonach die Auskunftei «im Wirtschaftsleben üblicherweise keine Entscheidung über den Abschluss eines Vertrags» treffe; ferner Eichler, S. 12, wonach die Auskunftei Schutzmassnahmen nach Art. 22 Abs. 3 DSGVO (vgl. dazu unten Teil 4, E.I.3.2) gewährleisten müsse, auch wenn sie in der Regel nicht selbst rechtswirksame oder ähnliche Entscheidungen treffe, solange sie an deren Vorbereitung mitwirke; zum aBDSG/DE Helfrich, Kreditscoring, S. 233. ↵

Zur DSGVO von Lewinski et al., § 16 N 51 (ohne nähere Begründung). ↵

Zur DSGVO Ziegenhorn, Rn. 7, vgl. auch Rn. 14 und 17, wonach der EuGH für die Sonderkonstellation, in der die Kreditgeberin massgeblich auf den Kreditscore der Auskunftei abstelle, die Adressatenstellung vom (eigentlichen) Entscheider zum Ersteller des Kreditscores verschoben habe. ↵

Zur DSGVO Paal, ZfDR 2023, S. 131 f., der statt vom «Entscheider» vom «Entscheidungsträger» spricht. ↵

Vgl. dazu oben Teil 4, E.III.2.1. ↵

Zur DSGVO Paal, ZfDR 2023, S. 132. ↵

Vgl. dazu oben Teil 4, E.III.2.3.b. und E.III.2.3.c. ↵

Sonst drohen die dazugehörigen Pflichten einem Akteur aufgrund eines für ihn womöglich unvorhersehbaren und unbeeinflussbaren Verhaltens eines Dritten zugewiesen zu werden (vgl. dazu oben Teil 4, E.III.2.3.c). ↵

Vgl. dazu oben Teil 4, D.I.1. und D.I.2. ↵

Zum DSG vgl. BSK DSG-Henseler/Vasella, Art. 21 N 35, die vom Akteur sprechen, an dessen Handlung sich unmittelbar die Rechtsfolge oder erhebliche Beeinträchtigung anschliesst; zur DSGVO vgl. Taeger, BKR 2024, S. 45, der davon auszugehen scheint, dass die Entscheidung «der juristischen Person zuzurechnen ist, die durch ihre Erklärung die ‹rechtliche Wirkung› herbeiführt». ↵

Vgl. dazu oben Teil 4, D.I.2. ↵

Vgl. dazu oben Teil 4, E.I.2. ↵

Vgl. dazu oben Teil 4, E.III.2.3.b.cc. ↵

Vgl. dazu oben Teil 4, D.I.3.2. ↵

Vgl. dazu oben Teil 4, D.I.3.3.b. ↵

Vgl. dazu oben Teil 4, E.I. ↵

49

Zwischenfazit

Den «Verantwortlichen» einer automatisierten Entscheidung trifft ein spezifisches Pflichtenprogramm:[1] Zugunsten der Transparenz muss er die betroffene Person insbesondere über die Entscheidung informieren sowie (auf Gesuch hin) Auskunft über die Logik der Entscheidung erteilen. Als besondere Betroffenenrechte vermittelt das DSG ein Recht auf Darlegung des eigenen Standpunkts und auf Überprüfung der automatisierten Entscheidung durch eine natürliche Person. Die DSGVO sieht entgegen dem EuGH kein grundsätzliches Verbot automatisierter Entscheidungen vor, sondern räumt der betroffenen Person ein vorzubringendes Recht ein, nicht einer solchen Entscheidung unterworfen zu werden. Beide Erlasse sehen Ausnahmen von diesen Pflichten vor.

Die sich aus dem Pflichtenprogramm ergebenden Rechte stehen der natürlichen Person zu, deren Daten für die automatisierte Entscheidung bearbeitet werden, und auf die sich die automatisierte Entscheidung zugleich relevant auswirkt.

Zu erfüllen hat das Pflichtenprogramm der «Verantwortliche»:

Diesen definieren das DSG und die DSGVO als natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Datenbearbeitung entscheidet. Anhand dieser Legaldefinition, die nicht an eine Entscheidung, sondern an eine Datenbearbeitung anknüpft, lässt sich das Pflichtenprogramm bei automatisierten Entscheidungen indes nicht überzeugend zuordnen, nachdem sie bei arbeitsteiligen Prozessen zu keiner klaren Zuordnung führt und mit Blick auf die besonderen Betroffenenrechte zuweilen wenig sinnvolle Ergebnisse hervorbringt.

Auch der EuGH stellte in seinem Urteil zum Scoring der deutschen Auskunftei SCHUFA nicht auf den legaldefinierten «Verantwortlichen» ab. Er wies nicht zuletzt mit Blick auf das Ergebnis der Auskunftei das Pflichtenprogramm zu, sofern die Kreditgeberin bei ihrer Kreditentscheidung massgeblich auf den Kreditscore abstellt. Die Begründung des EuGH überzeugt allerdings nicht und lässt im Gegenteil den wesentlichen Aspekt der Hoheit über den Prozess und den Inhalt der Kreditentscheidung ausser Acht. Daher ist die Rechtsprechung für die DSGVO und das DSG abzulehnen.

Als Alternative postuliert die Lehre vereinzelt eine analoge Anwendung des erwähnten, auf Datenbearbeitungen zugeschnittenen Konzepts der (gemeinsamen) Verantwortlichkeit. Während sich der Zweck als das Ob und das Warum der Entscheidung interpretieren liesse, charakterisieren die Entscheidung keine mit den Mitteln einer Datenbearbeitung vergleichbaren Aspekte. Daher erscheint die Analogie ungeeignet. Überzeugender ist es, auf den «Entscheider», also jenen Akteur abzustellen, der – gestützt auf eine ausschliesslich automatisierte Bearbeitung – hinsichtlich eines Gegenstands aus bestehenden Varianten abschliessend auswählt und dadurch die relevante Auswirkung auf die betroffene Person verursacht. Denn dieser Akteur kann abschliessend bestimmen, ob eine automatisierte Entscheidung vorliegt, und wird deren relevante Auswirkung (nach Ausübung der Betroffenenrechte) ändern oder aufheben können.

Der vorliegend im Fokus stehende Kreditscore einer Auskunftei stellt keine Entscheidung, sondern auch im Zusammenhang mit der Kreditentscheidung einer Kreditgeberin lediglich eine Entscheidungsunterstützung dar. Daher trägt allenfalls die Kreditgeberin, nicht aber die Auskunftei, das Pflichtenprogramm bei automatisierten Entscheidungen, selbst wenn die Kreditgeberin massgeblich auf den Kreditscore der Auskunftei abstellt.

Vgl. insb. Art. 21 und Art. 25 Abs. 2 lit. f DSG; Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g, Art. 15 Abs. 1 lit. h und Art. 22 DSGVO. ↵

XXVII

Zusammenfassung in Thesen

1070Die wichtigsten Erkenntnisse der vorliegenden Untersuchung lassen sich mit den nachfolgenden Thesen zusammenfassen:

XXVIII

Berechnung des Kreditscores als Profiling

50

Begriff des Profilings (mit hohem Risiko)

Ein Profiling ist eine zumindest teilweise computergestützte und auf Personendaten abstellende Bewertung eines persönlichen Aspekts einer natürlichen Person.[1] Die Bewertung erfordert eine Interpretation des semantischen Gehalts von Daten mit einer gewissen subjektiven Komponente.[2]

Bei der Berechnung eines Kreditscores bewertet die Auskunftei anhand verschiedener Personendaten, z.B. Zahlungserfahrungen und Betreibungsvorgängen, die Kreditwürdigkeit und wohl auch die wirtschaftliche Lage und Zuverlässigkeit (bei der Schuldentilgung) einer natürlichen Person. Es handelt sich dabei (in aller Regel) um ein Profiling im Sinne des DSG und der DSGVO.[3]

Als Profiling mit hohem Risiko qualifiziert ein Profiling, dessen Input ein Persönlichkeitsprofil im Sinne des aDSG[4] darstellt. Das hohe Risiko für die Persönlichkeit oder die Grundrechte stellt keine eigenständige Voraussetzung dar.[5]

Entgegen der von der altrechtlichen Praxis vorgenommenen Konkretisierung beurteilt sich auch bei Kreditwürdigkeitsprüfungen das Vorliegen eines Profilings mit hohem Risiko unabhängig davon, ob die Daten für diesen Zweck geeignet und erforderlich sind.[6]

Solange der Input eines Profilings zum Zweck der Kreditwürdigkeitsprüfung ausschliesslich die wirtschaftliche Lage, die Zuverlässigkeit (bei der Schuldentilgung) und/oder die Kreditwürdigkeit, nicht aber weitere Aspekte der Persönlichkeit zu beurteilen erlaubt, liegt kein Profiling mit hohem Risiko vor.[7]

Vgl. dazu oben Teil 3, B.I.2. ↵

Vgl. dazu oben Teil 3, B.I.2.1.a. ↵

Vgl. dazu oben Teil 3, B.I.2.4. ↵

Vgl. dazu oben Teil 3, B.II. ↵

Vgl. dazu oben Teil 3, B.III.1. ↵

Vgl. dazu oben Teil 3, B.III.2.1. ↵

Vgl. dazu oben Teil 3, B.III.2.2. ↵

51

Bearbeitungsgrundsätze

Als (besondere Art der) Bearbeitung muss das Profiling (mit hohem Risiko) insbesondere die Bearbeitungsgrundsätze einhalten.[1] Art. 6 Abs. 7 lit. b DSG setzt bei Vornahme eines Profilings mit hohem Risiko keine Einwilligung voraus.[2] Art. 22 DSGVO ist auf ein Profiling an sich selbst dann nicht anwendbar, wenn es gegenüber der betroffenen Person eine rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt.[3]

Der Transparenzgrundsatz erfordert von einer Auskunftei, verschiedene Parameter ihrer Bearbeitungen für die betroffene Person erkennbar zu machen. Dazu gehört gegebenenfalls auch die Vornahme eines Profilings, das angesichts des Umfangs und/oder der Art der herangezogenen Daten besonders einschneidend ist, namentlich ein Profiling mit hohem Risiko.[4] Um für die Erkennbarkeit zu sorgen, wird die Auskunftei auf die Kreditgeberinnen angewiesen sein, die etwa die betroffenen Personen auf die Bearbeitungen oder Informationen der Auskunftei hinweisen.[5]

Der Zweckbindungsgrundsatz im DSG verlangt keinen legitimen Zweck. Dies im Gegensatz zu jenem der DSGVO, was indes bei Kreditwürdigkeitsprüfungen unproblematisch ist.[6] Die Zweckvereinbarkeit einer Bearbeitung von Daten aus privaten Quellen, etwa von Kreditgeberinnen, beurteilt sich nach dem bei der Beschaffung erkennbaren Zweck. Bei Daten aus amtlichen öffentlichen Quellen wie dem Betreibungsregister ist der gesetzliche Zweck massgebend.[7]

Zur Prüfung der Kreditwürdigkeit sind Daten geeignet, die nach allgemeiner Lebenserfahrung oder aus mathematisch-statistischer Sicht für diesen Zweck relevant sind. Die grundsätzliche Möglichkeit von Fehlschlüssen ist unerheblich. Die Verwendung eines bestimmten Datums ist zudem erforderlich, wenn es angesichts der übrigen verwendeten Daten zur Prognosefähigkeit der Kreditwürdigkeitsbeurteilung beiträgt. Die Zumutbarkeit beurteilt sich nach einer Abwägung der involvierten Interessen.[8]

Ein Profiling ohne besonders hohe Fehlerquote dürfte (unter schweizerischem Recht) in aller Regel für die Kreditwürdigkeitsprüfung geeignet und erforderlich sowie tendenziell auch zumutbar sein. Die Zumutbarkeit hängt von verschiedenen Kriterien ab, namentlich vom Umfang und der Aussagekraft des Inputs, der Detailliertheit des Outputs sowie den (potenziellen) Auswirkungen für die betroffene Person. Ein Profiling mit hohem Risiko wird ebenfalls regelmässig zu diesem Zweck geeignet, aber nur ausnahmsweise erforderlich und zumutbar sein.[9]

Die Dauer, während der eine Auskunftei Daten zur Kreditwürdigkeitsprüfung aufbewahren und verwenden darf, hat sich an gesetzlichen Fristen zu orientieren, namentlich an der zehnjährigen Verjährungsfrist von Art. 127 OR unter dem DSG und am (mindestens) fünfjährigen Beobachtungszeitraum der EU-Kapitaladäquanzverordnung unter der DSGVO. Die Auskunftei ist bei Daten aus öffentlichen Registern nicht zwingend an die gesetzlichen Fristen (des nationalen Rechts) für die Speicherung im Register gebunden.[10]

Der Datenrichtigkeitsgrundsatz verbietet nicht, unrichtige Daten zu bearbeiten, sondern verlangt angemessene Massnahmen gegen die Unrichtigkeit;[11] dies gilt auch bei Werturteilen und Wahrscheinlichkeitsaussagen.[12] Zu den Massnahmen, die sich bei einer Auskunftei aufdrängen, zählen eine stichprobenartige Überprüfung des Datenbestands[13] und die Verwendung eines geeigneten mathematischen oder statistischen Verfahrens bei der Modellentwicklung.[14]

Gegen das Risiko, dass Unbefugten, namentlich Kundinnen der Auskunftei, die über kein kreditorisches Risiko entscheiden müssen, Bonitätsdaten wie der Kreditscore zugänglich sind, muss die Auskunftei kraft des Datensicherheitsgrundsatzes technische und organisatorische Massnahmen ergreifen.[15] Eine automatisierte Prüfung vorbehalten, muss sie etwa bei einer bestimmten Quote von Abfragen den Interessennachweis ihrer Kundinnen überprüfen.[16]

Aus dem Grundsatz von Treu und Glauben leitet sich kein Diskriminierungsverbot (unter Privaten) ab.[17] Unter dem DSG kann der Grundsatz von einer Auskunftei verlangen, die Kreditgeberin darüber zu informieren, dass sie ihr falsche oder nicht mehr aktuelle Daten übermittelt hat. Die DSGVO kennt eine spezifische Informationspflicht für solche Fälle, sodass sich diese Vorgabe aus Treu und Glauben – angesichts deren Auffangfunktion – nicht ergibt.[18]

Nach dem der DSGVO unbekannten Grundsatz der Rechtmässigkeit i.e.S. müssen Bearbeitungen alle Rechtsnormen einhalten, die (zumindest auch) den Persönlichkeitsschutz bezwecken und ausserhalb des DSG verankert sind.[19] Unrechtmässig dürfte nicht schon die Berechnung, aber allenfalls die Verwendung eines Kreditscores für eine negative Kreditentscheidung sein, der auf ein Merkmal abstellt, das durch ein gesetzliches Diskriminierungsverbot geschützt ist.[20]

Abseits der Fiktionen von Art. 30 Abs. 2 DSG vermag ein Profiling die Persönlichkeit (unter schweizerischem Recht) nur zu verletzen, wenn zu den begriffsnotwendigen Elementen Umstände hinzutreten, welche die Persönlichkeit zusätzlich zumindest bedrohen. Bei (der üblichen Praxis) der Berechnung des Kreditscores liegt keine solche Konstellation auf der Hand. Ein Profiling mit hohem Risiko dürfte hingegen nicht selten persönlichkeitsverletzend sein, wobei gerade bei Kreditwürdigkeitsprüfungen Ausnahmen denkbar sind.[21]

Vgl. dazu oben Teil 3, C.I.1. ↵

Vgl. dazu oben Teil 3, C.I.4. ↵

Vgl. dazu oben Teil 3, C.I.3. ↵

Vgl. dazu oben Teil 3, C.II.2. ↵

Vgl. dazu oben Teil 3, C.II.4.3. ↵

Vgl. dazu oben Teil 3, C.III.3. ↵

Vgl. dazu oben Teil 3, C.III.4.2. ↵

Vgl. dazu oben Teil 3, C.IV.3.2.b. ↵

Vgl. dazu oben Teil 3, C.IV.3.3. ↵

Vgl. dazu oben Teil 3, C.IV.4.2.b. ↵

Vgl. dazu oben Teil 3, C.V.2. ↵

Vgl. dazu oben Teil 3, C.V.5.1. ↵

Vgl. dazu oben Teil 3, C.V.4.2.b.cc. ↵

Vgl. dazu oben Teil 3, C.V.5.2.b. ↵

Vgl. dazu oben Teil 3, C.VI.3.2.b. ↵

Vgl. dazu oben Teil 3, C.VI.3.2.c. ↵

Vgl. dazu oben Teil 3, C.VII.2.2. ↵

Vgl. dazu oben Teil 3, C.VII.2.3. ↵

Vgl. dazu oben Teil 3, C.VIII.2. ↵

Vgl. dazu oben Teil 3, C.VIII.4. ↵

Vgl. dazu oben Teil 3, C.IX.2. ↵

52

Rechtmässigkeit i.w.S.

Art. 31 Abs. 2 lit. c DSG sieht ein besonders geregeltes überwiegendes Interesse für Bearbeitungen zur Prüfung der Kreditwürdigkeit vor. Diese Bestimmung und insbesondere ihre Ziff. 1–4, die etwa ein Profiling mit hohem Risiko sowie die Bearbeitung mehr als zehn Jahre alter Daten und solcher Minderjähriger ausschliessen, enthalten keine generellen Vorgaben an Bearbeitungen für Kreditwürdigkeitsprüfungen.[1]

Obschon auch bei Vorliegen der Voraussetzungen von Art. 31 Abs. 2 lit. c DSG eine Interessenabwägung im Einzelfall vorzunehmen ist, wird das Interesse an der Bearbeitung regelmässig überwiegen, jedenfalls soweit sich die Bearbeitung im Rahmen der charakteristischen Geschäftstätigkeit einer Auskunftei bewegt. Mit Art. 31 Abs. 2 lit. c DSG dürfte sich nahezu jedes persönlichkeitsverletzende Profiling zum Zweck der Kreditwürdigkeitsprüfung rechtfertigen lassen, das kein Profiling mit hohem Risiko darstellt.[2]

Greift Art. 31 Abs. 2 lit. c DSG nicht, können anderweitige überwiegende Interessen eine persönlichkeitsverletzende Bearbeitung zur Kreditwürdigkeitsprüfung rechtfertigen,[3] insbesondere aus dem Interesse an der Kreditwürdigkeitsprüfung abgeleitete Interessen (z.B. das öffentliche Interesse am Gläubigerschutz). Kommt den Interessen an der Kreditwürdigkeitsprüfung im Einzelfall grosses Gewicht zu und wiegt die fragliche Persönlichkeitsverletzung nicht besonders schwer, vermögen solche Interessen auch ein Profiling mit hohem Risiko zu rechtfertigen.[4]

An der Berechnung des Kreditscores bestehen mehrere Interessen, die nicht nur im Einklang mit der Rechtsordnung und damit berechtigt i.S.v. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO sind, sondern sogar grundrechtlichen Schutz geniessen.[5] Im Vergleich zur ein Profiling darstellenden Berechnung des Kreditscores wird es in aller Regel keine ebenso wirksame und zumutbare Alternative für die Kreditwürdigkeitsprüfung geben, die den Schutz personenbezogener Daten weniger beeinträchtigt.[6]

In der nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO (zudem) vorzunehmenden Interessenabwägung sind beim Profiling zahlreiche Faktoren zu berücksichtigen, namentlich der Umfang und die Aussagekraft des Inputs, die Detailliertheit und Persönlichkeitsrelevanz des Outputs, die vernünftigen Erwartungen der betroffenen Personen sowie die (potenziellen) Auswirkungen auf sie.[7] Im Rahmen der üblichen Praxis der Auskunfteien dürfte die Abwägung zugunsten der Berechnung des Kreditscores ausfallen.[8]

Vgl. dazu oben Teil 3, C.I.5. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.cc.i. ↵

Vgl. dazu oben Teil 3, D.IV.1.2.c.cc.ii. ↵

Vgl. dazu oben Teil 3, D.IV.1.3.b.aa.ii. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.b.aa. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.b.bb. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.a.cc. ↵

Vgl. dazu oben Teil 3, D.IV.2.2.b.cc. ↵

XXIX

Berechnung des Kreditscores als automatisierte Entscheidungsfindung?

53

Begriff der automatisierten Entscheidung

Eine Entscheidung lässt sich als einen Akt verstehen, der mit in gewisser Weise abschliessender Wirkung aus mindestens zwei Varianten auswählt, z.B. die Verweigerung, ein Darlehen zu gewähren.[1] Das Profiling und dessen begriffsnotwendigen Elemente verkörpern keine Entscheidung; vielmehr bedarf es zumindest zusätzlich der Nutzung von dessen Output und einer Handlung gegenüber der betroffenen Person.[2]

Ein Kreditscore ist bloss der Output eines Profilings. Er schliesst an sich noch keine Variante der Kreditentscheidung, etwa ein Darlehen zu gewähren oder zu versagen, abschliessend aus, weshalb er keine Entscheidung darstellt, selbst wenn die Kreditgeberin ihre Kreditentscheidung massgeblich oder ausschliesslich auf den Kreditscore abstellt.[3]

Auf einer ausschliesslich automatisierten Bearbeitung beruht eine Entscheidung, wenn die Phase der Schlussfolgerung computergestützt erfolgt und keine natürliche Person daran (relevant) beteiligt ist.[4] Letzteres beurteilt sich vorab mit Blick auf die Vorgaben des Verantwortlichen, die er der beteiligten natürlichen Person gegebenenfalls zur Berücksichtigung aufgibt.[5]

Die Verweigerung, einen Vertrag mit kreditorischem Risiko abzuschliessen, kann abhängig vom (zu finanzierenden) Gegenstand und der gegebenen Angebotssituation die betroffene Person erheblich beeinträchtigen.[6] Ebenso vermag die Entscheidung, der betroffenen Person nicht die anbegehrten oder üblichen Vertragskonditionen zu gewähren, eine erhebliche Beeinträchtigung zu verursachen. Die Verweigerung eines Waren- oder Dienstleistungsbezugs auf Rechnung beeinträchtigt die betroffene Person indes nicht erheblich, solange ihr eine zumutbare Zahlungsmodalität als Alternative verbleibt.[7]

Eine automatisierte Entscheidung i.S.v. DSG und DSGVO setzt eine gewisse Komplexität des Entscheidungsgegenstands voraus.[8] Diese Komplexität ist dann zu bejahen, wenn die Fällung der Entscheidung oder deren Überprüfung durch eine natürliche Person grundsätzlich sinnvoll erscheint, z.B. bei Entscheidungen, die von der Kreditwürdigkeit der betroffenen Person abhängen.[9]

Vgl. dazu oben Teil 4, D.I.1. und D.I.2. ↵

Vgl. dazu oben Teil 4, D.I.3.2. ↵

Vgl. dazu oben Teil 4, D.I.3.3.b. ↵

Vgl. dazu oben Teil 4, D.II.2. ↵

Vgl. dazu oben Teil 4, D.II.3.3. ↵

Vgl. dazu oben Teil 4, D.III.3.1. ↵

Vgl. dazu oben Teil 4, D.III.3.2. ↵

Vgl. dazu oben Teil 4, D.IV.2.1. ↵

Vgl. dazu oben Teil 4, D.IV.2.2. ↵

54

Berechtigter und Verpflichteter

Den «Verantwortlichen» einer automatisierten Entscheidung trifft ein spezifisches Pflichtenprogramm, das insbesondere Transparenzvorgaben und die Gewährung besonderer Betroffenenrechte umfasst (Art. 21 Abs. 2 DSG; Art. 22 Abs. 1 DSGVO).[1]

Das Pflichtenprogramm vermittelt derjenigen natürlichen Person Rechte, deren Daten für die automatisierte Entscheidung bearbeitet werden und auf die sich die automatisierte Entscheidung zugleich relevant auswirkt.[2]

Die Zuordnung der Pflichten bei automatisierten Entscheidungen richtet sich weder nach der Verantwortlichkeit im Sinne der Legaldefinition für die zugrunde liegenden Bearbeitungen[3] noch nach der analogen Anwendung dieses Konzepts auf die Entscheidung.[4]

Gemäss Urteil des EuGH obliegt einer Auskunftei das Pflichtenprogramm, sofern die Kreditgeberin bei ihrer Kreditentscheidung massgeblich auf den Kreditscore der Auskunftei abstellt. Diese Rechtsprechung ist mangels überzeugender Gründe für die DSGVO und das DSG abzulehnen.[5]

Das Pflichtenprogramm ist dem «Entscheider» aufzuerlegen, also jenem Akteur, der – gestützt auf eine ausschliesslich automatisierte Bearbeitung – hinsichtlich eines Gegenstands aus bestehenden Varianten abschliessend auswählt und dadurch eine relevante Auswirkung auf die betroffene Person verursacht. Mit der Berechnung des Kreditscores fällt die Auskunftei keine Entscheidung, weshalb ihr das Pflichtenprogramm nicht obliegt.[6]

Vgl. dazu oben Teil 4, E.I. ↵

Vgl. dazu oben Teil 4, E.II. ↵

Vgl. dazu oben Teil 4, E.III.1. ↵

Vgl. dazu oben Teil 4, E.III.3.1. ↵

Vgl. dazu oben Teil 4, E.III.2. ↵

Vgl. dazu oben Teil 4, E.III.3.2. ↵

1

Curriculum Vitae

Simon Henseler studierte Rechtswissenschaft an der Universität Freiburg i.Üe. und an der University of Copenhagen. Nach Praktika in einer Zürcher Wirtschaftskanzlei und an einem Aargauer Bezirksgericht erwarb er im Dezember 2018 das Anwaltspatent des Kantons Aargau. An der Universität Zürich arbeitete er sodann am Center for Information Technology, Society, and Law (ITSL) sowie am Universitären Forschungsschwerpunkt Finanzmarktregulierung (UFSP FinReg). Seit Juni 2022 ist Simon Henseler bei der Walder Wyss AG in Zürich tätig, wo er sich als Rechtsanwalt und zertifizierter Information Privacy Professional (CIPP/E) schwerpunktmässig dem Datenschutz-, Informations- und Technologierecht widmet.