§ 4 Rechtsgrundlagen der Verarbeitung / h) Scoring außerhalb eines konkreten Entscheidungsprozesses

Rz. 247

In den Anwendungsbereich des Art. 6 Abs. 1 lit f.) DSGVO können, wie Taeger^[313] zutreffend hervorhebt, auch Maßnahmen zur Bildung sog. Score-Werte^[314] fallen, soweit diese nicht in eine "automatisierte Entscheidung" mündet, die dem Betroffenen gegenüber rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt.^[315] Nur im letzteren Fall soll sich die Verarbeitung – neben den sonstigen, nach der Verordnung für die Verarbeitung personenbezogener Daten aufgestellten Grundsätzen, wie etwa die Rechtsgrundlage für die Verarbeitung oder die Datenschutzgrundsätze^[316] – zusätzlich auch an den weiteren Vorgaben des Art. 22 DSGVO^[317] messen lassen müssen. Die Ausführungen von Taeger^[318] überzeugen, so dass z.B. die Bildung von Score-Werten durch Auskunfteien, die selber keine "Entscheidung" über den Betroffenen treffen oder sonstige Maßnahmen gegenüber diesem "veranlassen", allein an allgemeinen Vorgaben der DSGO zu messen ist. Die Gegenauffassung von Piltz^[319] entfernt sich vom Wortlaut der Norm und findet jedenfalls in grammatikalischer Hinsicht^[320] im Verordnungstext keine Grundlage.^[321]

Rz. 248

Im Hinblick auf die erforderliche Rechtsgrundlage bildet Art. 6 Abs. 1 lit. f) DSGVO die in Betracht zu ziehende Ermächtigungsgrundlage für Scoring durch Auskunfteien. Dabei kann das Bilden eines Scores unproblematisch als "berechtigtes Interesse" eingestuft werden. Damit ist noch nichts über die Zulässigkeit seiner Bildung im Rahmen des Art. 6 Abs. 1 lit. f) DSGVO gesagt, nach dem das berechtigte Interesse mit den Interessen und Grundrechten des Betroffenen abzuwägen ist. In diesem Zusammenhang spielt nicht nur die Kategorie der im Rahmen des Scorings verwendeten Daten eine Rolle,^[322] sondern auch die Auswirkungen, die sich für einen Betroffenen über die – dann anhand der Maßgaben des Art. 22 DSGVO zu messenden – Verwendung des "anlasslos", also nicht mit dem Ziel einer konkreten Entscheidungsfindung, gebildeten Scores ergeben. Vor diesem Hintergrund kann die Bildung engmaschiger Geo-Score-Werte erhebliche Auswirkungen für den Betroffenen haben.

Rz. 249

Die Beurteilung des Scorings außerhalb eines konkreten Entscheidungsprozesses allein nach Art. 6 Abs. 1 lit. f) DSGVO hat unmittelbare Auswirkungen auf die vom Verantwortlichen für derartige Maßnahmen zu erfüllenden Informationspflichten. So ist der Verantwortliche in diesem Fall nicht verpflichtet, über die Zweckangabe^[323] hinaus, auch "Informationen über die involvierte Logik"^[324] mitzuliefern. Auch das Auskunftsrecht des Betroffenen^[325] erstreckt sich beim Scoring außerhalb eines konkreten Entscheidungsprozesses nicht auf diese Information. Mit Blick auf Art. 21 Abs. 1 und Abs. 2 DSGVO^[326] ergibt sich für den Betroffenen– in den in Art. 21 Abs. 1 DSGVO normierten Grenzen^[327] –unstreitig ein Widerspruchsrecht gegen die Verarbeitung seiner personenbezogenen Daten im Rahmen des Scorings außerhalb konkreter Entscheidungsprozesse.

[313] Taeger, ZD 2017, 3, 6.

[314] Zum Begriff unten Rdn 341.

[315] Vgl. Art. 22 Abs. 1 DSGVO, hierzu unten Rdn 332 ff.; Taeger, a.a.O, spricht vom sog. "externen Score".

[316] Erwägungsgrund 72 DSGVO.

[317] Hierzu ausführlich Rdn 332 ff.

[318] A.a.O.

[319] Piltz, K&R 2016, S. 629, 635.

[320] In Art. 22 Abs. 1 DSGVO heißt es "die Entscheidung" muss rechtliche Wirkung entfalten oder den Betroffenen in ähnlicher Weise erheblich beeinträchtigen, nicht die Maßnahme als solche.

[321] Gegen ein derartiges Verständnis sprechen auch Art. 13 Abs. 2 lit. f) DSGVO, Art. 14 Abs. 2 lit. g) DSGVO und Art. 15 Abs. 1 lit. h) DSGVO.

[322] Ein Ausschluss dürfte sich jedenfalls für die Verarbeitung von Daten mit "höchsten Schutzbedarf" unter Berücksichtigung des in Erwägungsgrund 71 (zum "Profiling") zum Ausdruck kommenden Grundgedankens des Gesetzgebers aber unproblematisch auch für sämtliche besonderen Kategorien personenbezogener Daten ergeben.

[323] Diese muss für sich genommen natürlich den allgemeinen Anforderungen an die Zweckbestimmung genügen, so dass jedenfalls fraglich sein kann, ob die Nennung des Begriffs "Scoring" als Zweckangabe zulässig ist. Insoweit kann sich nach hiesiger Auffassung – vor allem unter Berücksichtigung der mannigfaltigen Einsatzmöglichkeiten von Score-Werten – mit Blick auf die erforderliche Eindeutigkeit der Zweckangabe, aber auch zur Beurteilung der Legitimität der Bildung eines konkreten Score-Wertes, das Erfordernis einer näheren Konkretisierung, beispielsweise "Bildung von Geo-Scores", "Bildung von Kreditscores" oder "Kreditscoring", "Scoring für Direktmarketingzwecke", "Smart Metering" stellen.

[324] Vgl. Art. 13 Abs. 2 lit. f) DSGVO, Art. 14 Abs. 2 lit. g) DSGVO.

[325] Vgl. Art. 15 Abs. 1 lit. h) DSGVO.

[326] Hier wird gerade nicht von Profiling nach Art. 22 Abs. 1 DSGVO, sondern allgemein von "Profiling" gesprochen.

[327] Nachweis (!) "zwingender schutzwürdige Gründe für die Verarbeitung" durch den Verantwortlichen im Rahmen von Scores, die "die die Interessen, Rechte und Freiheiten der betroffenen...