Aufgrund aktueller Anfragen von Medienschaffenden und politischen Parteien formuliert der EDÖB hinsichtlich Vereinbarkeit
von sogenannten Kampagnentools mit der Privatsphäre und informationellen Selbstbestimmung der Bürgerinnen und Bürger die folgenden Hinweise:
1. Worum geht es?
Die Rede ist von digitalen Applikationen, die politische Gruppierungen und Interessenverbände dazu verwenden, um Aktionen beispielsweise in ihre Webseiten-Umgebung zu integrieren und deren Planung und Durchführung gezielt auf Interaktionen mit bestimmten Personengruppen ausrichten. Die dazu erforderlichen Daten stammen von Personen, welche ein Interesse für gewisse Inhalte manifestiert haben. Indem die Kampagnenverantwortlichen Informationen wie Name oder E-Mail-Adresse erfassen und diese mit deren Verhalten als Nutzer von Social-Media-Plattformen algorithmisch abgleichen, ziehen sie Schlüsse auf politische Interessen und Neigungen.
Beim Einsatz von Kampagnentools werden somit Daten über politische oder weltanschauliche Ansichten der betroffene Personen bearbeitet, die in die Kategorie der besonders schützenswerten Personendaten fallen. Durch die Verknüpfung der Daten, welche die betroffenen Personen auf Webseiten und Social-Media-Plattformen zurücklassen, können zudem Persönlichkeitsprofile entstehen. Liegt weder ein Rechtfertigungsgrund durch Gesetz noch ein überwiegendes privates oder öffentliches Interesse im Sinne von Artikel 13 des Bundesgesetzes über den Datenschutz (DSG) vor, setzt die Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen gemäss Artikel 4 Absatz 5 DSG eine ausdrückliche Einwilligung der betroffenen Personen voraus.
2. Rechtliche Hinweise
Aufgrund dieser Ausgangslage gelangt der EDÖB in Auslegung von Art. 4 Abs. 5 DSG zur folgenden rechtlichen
Einschätzung:
- Mit Kampagnentools dürfen nur Daten über Personen bearbeitet werden, die ausdrücklich, selbstbestimmt und hinreichend informiert in deren Anwendung eingewilligt haben. Politische Gruppierungen und Interessenverbände dürfen Daten mit solchen Tools nur zu den Zwecken und in dem Umfang bearbeiten, für die eine Einwilligung vorliegt.
- Eine ausdrückliche Einwilligung liegt vor, wenn sich die betroffenen Personen auf der Webseite der Kampagnenverantwortlichen registriert haben und sich ausdrücklich (z.B. durchSetzen eines entsprechenden Häkchens) damit einverstanden erklären, dass ihrehinterlegten Daten mit den entsprechenden Tools bearbeitet werden.
- Erklärungen, mit denen Personen lediglich in genereller Weise Nutzungsbedingungen annehmen, sind keine ausdrücklichen Einwilligungen zum Einsatz von Kampagnentools.
- Das gleiche gilt für Äusserungen, mit denen Anliegen und Inhalte von Kampagnenverantwortlichen z.B. auf Social-Media-Plattformen abonniert oder kommentiert werden.
- Einwilligungen können sich nur auf die eigenen Daten beziehen. Die Anwendung der Tools auf Daten von Drittpersonen setzt deren Einwilligung voraus.
- Selbstbestimmt ist die Einwilligung, wenn die Betroffenen jederzeit die Möglichkeit haben, ihre Einwilligung zu widerrufen und sich von der Datenbearbeitung mit dem Kampagnentool abzumelden.
- Eine informierte Einwilligung setzt voraus, dass interessierte Personen vor der Registrierung fair und vollständig über die Bearbeitung ihrer Daten mit dem Kampagnentool und ihre Rechte, wie z.B. jenes des jederzeitigen Widerrufs, informiert worden sind.
- Fair bedeutet, dass die Information sprachlich leicht verständlich, rasch auffindbar und graphisch übersichtlich vermittelt wird.
- Vollständig sind Online-Texte, welche die Zwecke und Wirkungsweisen der digitalen Kampagnentools in mehreren adressatengerechten Erklärungstiefen zugänglich machen und insbesondere über die Dauer der Bearbeitung und die allfällige Weitergabe der Daten Auskunft geben. Die Kaskade der Informationen beginnt mit einer gut sichtbaren Kurzinformation auf der Registrierungsseite, welche die wichtigsten Punkte der Datenbearbeitung erklärt. Jeder dieser Punkte enthält Links, die den Leser auf die jeweils relevanten Passagen der einschlägigen Bearbeitungsreglemente und Datenschutzbestimmungen führen.
- Zur vollständigen Information gehören insbesondere auch Angaben über die Bearbeitung von Daten, die mit Informationen aus Sozialen Medien angereichert und ausgewertet werden („Social Match“).
EDÖB, 18.10.2017