Die Informationspflicht bei automatisierten Einzelentscheidungen (Art. 19 DSG) bilden einen Teilbereich der Informationspflichten privater Personen beim Bearbeiten von Personendaten. Diese Kategorie von Informationspflichten wurde mit dem neuen DSG eingeführt, weil zu erwarten ist, dass automatisierte Einzelentscheidungen aufgrund technologischer Entwicklungen in der Praxis im Rahmen von immer mehr Entscheidungsprozessen angewandt werden.
Art. 21 DSG Informationspflicht bei einer automatisierten Einzelentscheidung
1 Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung, beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
2 Er gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird.
3 Die Absätze 1 und 2 gelten nicht, wenn:
a. die Entscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird; oder
b. die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt.
[…]
Nach Art. 21 Abs. 1 DSG muss der Verantwortliche die betroffene Person über automatisierte Entscheidungen unter zwei Bedingungen informieren: Erstens muss eine solche ausschliesslich auf einer automatisierten Bearbeitung beruhen und zweitens für die betroffene Person mit einer Rechtsfolge verbunden sein oder sie erheblich beeinträchtigen.
Eine automatisierte Einzelentscheidung liegt vor, wenn keine inhaltliche Bewertung und darauf gestützte Entscheidungen durch eine natürliche Person (Mensch) stattgefunden haben. Die inhaltliche Beurteilung des Sachverhalts, auf dem die Entscheidung beruht, erfolgt also ohne Dazutun einer natürlichen Person. Darüber hinaus wird auch der Entscheid, der auf der Basis dieser Sachverhaltsbeurteilung ergeht, nicht von einer natürlichen Person getroffen. Massgebend ist somit, inwieweit eine natürliche Person eine inhaltliche Prüfung vornehmen und, darauf aufbauend, die endgültige Entscheidung fällen kann. Ebenfalls erforderlich ist, dass die Entscheidung eine bestimmte Komplexität aufweist. Reine Wenn-Dann-Entscheidungen sind vom Begriff nicht erfasst (zb. Bargeldbezug an einem Bargeldautomat). Der Bundesrat hat zudem angekündigt, den Begriff der automatisierten Einzelentscheidung – falls erforderlich – weiter präzisieren zu wollen.
Die betroffene Person muss nicht über jede automatisierte Einzelentscheidung informiert werden. Vielmehr ist dies nur erforderlich, wenn die Entscheidung mit einer Rechtsfolge für die betroffene Person verbunden ist oder sie erheblich beeinträchtigt. Die Entscheidung ist mit einer Rechtsfolge verbunden, wenn sie unmittelbare, rechtlich vorgesehene Konsequenzen für die betroffene Person nach sich zieht (zb. Abschluss eines Vertrags oder Ergehen einer Steuerveranlagung aufgrund einer automatisierten Einzelentscheidung). Eine Erheblichkeit der Beeinträchtigung ist anzunehmen, wenn der Betroffene auf nachhaltige Weise eingeschränkt wird. Eine blosse Belästigung reicht dafür nicht aus. Massgebend sind die konkreten Umstände des Einzelfalls. Zu berücksichtigen ist insbesondere, wie bedeutsam das fragliche Gut für die betroffene Person ist, wie dauerhaft sich die Entscheidung auswirkt und ob Alternativen zum automatisierten Entscheidungsprozess vorliegen.
Der Verantwortliche muss die betroffene Person auch über ein Profiling informieren, wenn dieses zu einer Entscheidung führt, die für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt. Als Profiling i.S.v. Art. 5 lit. f DSG gilt jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen. Bringt das Profiling ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt, handelt es sich um Profiling mit hohem Risiko (Art. 5 lit. g DSG).
Nach Art. 21 Abs. 2 DSG muss der Verantwortliche der betroffenen Person ebenfalls die Möglichkeit geben, ihren Standpunkt darzulegen, wenn sie dies verlangt. Der Betroffene soll insbesondere die Gelegenheit erhalten, seine Ansicht zum Ergebnis der Entscheidung zu äussern und gegebenenfalls nachzufragen, wie die Entscheidung zustande gekommen ist. Damit soll verhindert werden, dass die Datenbearbeitung auf Basis unvollständiger, veralteter oder unzutreffender Daten stattfindet. Diese Ziele liegen mit den Interessen des Verantwortlichen im Einklang, weil unzutreffende automatisierte Einzelentscheidungen auch für ihn negative Konsequenzen nach sich ziehen können. Das DSG legt nicht fest, wann die betroffene Person informiert werden muss und wann sie Gelegenheit erhält, ihren Standpunkt darzulegen. Dementsprechend kann dies vor oder nach der Entscheidung erfolgen.
Gemäss Art. 21 Abs. 3 DSG entfällt die Pflicht zur Information und Anhörung nach Abs. 1 und 2, wenn die automatisierte Einzelentscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen steht, soweit ihrem Begehren stattgegeben wird (lit. a). In einem solchen Fall ist davon auszugehen, dass die betroffene Person kein Interesse mehr an der Information hat. Das Begehren der betroffenen Person gilt als stattgegeben, wenn der Vertragsabschluss genau zu den Konditionen erfolgt, wie sie in einer Offerte dargestellt wurden oder wie sie die betroffene Person verlangt hatte. Abzustellen ist darauf, ob gesamthaft den Begehren der betroffenen Person stattgegeben wurde. Es reicht nicht aus, wenn dies nur in Bezug auf einzelne Elemente der Fall ist. Die Informations- und Anhörungspflicht entfällt weiterhin, wenn der Betroffene ausdrücklich eingewilligt hat, dass eine Entscheidung automatisiert erfolgt (lit. b).