Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Machen Betroffene im Falle von automatisierten Einzelentscheidungen
von ihrem Auskunftsrecht nach § 18 Gebrauch, ist der logische Aufbau der
automatisierten Verarbeitung der Daten der Betroffenen mitzuteilen (siehe
§ 18 Abs. 1 S. 1 Nr. 5).
Absatz 1
„Die Vorschrift beruht auf dem Grundgedanken, dass Entscheidungen, die
auf einer Bewertung der Persönlichkeit der Betroffenen beruhen und damit
ihr Persönlichkeitsrecht im Kern berühren, nicht allein einem technischen
System überlassen werden sollen, sondern letztlich von einem Menschen
verantwortet werden müssen“ (Bü-Drs. 16/3995 zu § 5a).
Mit „Entscheidungen“ sind vor allem solche gemeint, die die Betroffenen
beschweren (zu begünstigenden Entscheidungen siehe Abs. 2 Nr. 2). Bewertungen
einer Person müssen, wenn Rechtsfolgen oder Belastungen
damit verbunden sind, immer auf ausreichender Tatsachengrundlage von
einem Menschen (z.B. Behördenmitarbeiter) getroffen oder zumindest von
einer natürlichen Person inhaltlich überprüft – und verantwortet – werden.
Persönlichkeitswertungen aufgrund einzelner Profildaten dürfen also nicht
von einer Maschine „technisch errechnet“ (kombiniert) werden, sondern
müssen auf menschlicher Logik unter Berücksichtigung der Individualität
der Betroffenen beruhen. Relevant kann dies z.B. bei (gewerbe- oder waffenrechtlichen)
Zuverlässigkeitsbeurteilungen oder in Bewerberauswahlverfahren
(Leistungsfähigkeit, Teamfähigkeit) werden. „Nicht ausschließlich“
bedeutet, dass es zulässig ist, zunächst einen maschinellen Entscheidungsvorschlag
zu erzeugen, der dann aber von einer natürlichen Person
inhaltlich geprüft werden muss (vgl. Simitis, BDSG, 7. Aufl., § 6a Rn 16).
Absatz 2
„Absatz 2 macht von den Ausnahmemöglichkeiten des Artikels 15 Absatz 2
der EG-Datenschutzrichtlinie Gebrauch. Nummer 1 enthält lediglich einen
klarstellenden deklaratorischen Verweis auf die Möglichkeit abweichender
bereichsspezifischer Vorschriften. Nummern 2 und 3 greifen die Ausnahmemöglichkeiten
des Artikels 15 Absatz 2 Buchstabe a der EG-Datenschutzrichtlinie
auf. Die erneute Prüfung unter Berücksichtigung der
Stellungnahme der oder des Betroffenen (Nummer 3, 3. Halbsatz) darf nicht
ausschließlich automatisiert erfolgen“ (Bü-Drs. 16/3995 zu § 5a).
Zumindest müssen Betroffene die Möglichkeit haben, die der maschinellen
Entscheidung zugrunde liegenden Profile und Bewertungsmaßstäbe zu
erfahren und ihre Belange rechtzeitig einzubringen.
75