Ferner wird festgehalten, dass der EDÖB die vorgenannte Klage zur Kenntnis genommen habe, diese und allfällige Auswirkungen auf die Schweiz analysiere. Ausserdem habe der EDÖB Oracle Software (Schweiz) GmbH angeschrieben und behalte sich vor, gegebenenfalls weitere Schritte einzuleiten.
Der EDÖB fokussiert laut erwähnter Medienmitteilung seine Analyse u.a. auf folgende Aspekte:
a) Einhaltung der datenschutzrechtlichen Bearbeitungsgrundsätze der "Transparenz und der Verhältnismässigkeit".
b) "Erforderlichkeit einer ausdrücklichen Einwilligung für die Erstellung von Persönlichkeitsprofilen und die Bearbeitung von besonders schützenswerten Personendaten".
Der Fokus der Analyse des EDÖB ist in zweifacher Hinsicht überraschend:
1) Vorab ist nicht primär das Datenschutzgesetz (DSG), sondern Art. 45c lit. b Fernmeldegesetz (FMG) für den Einsatz von Tracking-Technologien (d.h. einem Auslesen oder Übermitteln von Daten mittels fernmeldetechnischer Übertragung auf fremde Geräte) anwendbar. Bereits damit werden Transparenz (Information) sowie die Möglichkeit einer Ablehnung (sog. Opt-Out) technisch nicht notwendiger Trackings sichergestellt. Dies erfolgt unabhängig davon, ob Personendaten gemäss Art. 3 lit. a DSG bearbeitet werden oder nicht.
2) Falls im Rahmen eines Trackings Personendaten bearbeitet werden, also zwischen den fraglichen Daten ein Personenbezug ohne unverhältnismässig grossen Aufwand (sog. relative Methode) hergestellt werden kann, ist zusätzlich das DSG anwendbar.
Im DSG gilt jedoch der Grundsatz der Erlaubnis mit Verbotsvorbehalt: Danach ist im Privatbereich weder eine datenschutzrechtliche Einwilligung noch ein anderer datenschutzrechtlicher Rechtfertigungsgrund als Voraussetzung für die Bearbeitung (z.B. Erstellung) von Personendaten erforderlich, sofern insbesondere die (i) Bearbeitungsgrundsätze (Art. 4 ff. DSG i.V.m. Art. 12 Abs. 2 lit. a DSG) eingehalten werden, (ii) keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile an echte Dritte bekanntgegeben werden (Art. 12 Abs. 2 lit. c DSG) und (iii) kein ausdrücklicher Widerspruch der betroffenen Person vorliegt (Art. 12 Abs. 2 lit. b DSG).
Folglich sieht das DSG keine Einwilligung für die Erstellung von Persönlichkeitsprofilen oder die Erhebung besonders schützenswerter Personendaten vor - weder im Zusammenhang mit Tracking-Technologien noch für andere Bearbeitungen.
Dieser Grundsatz gilt auch im totalrevidierten DSG, das am 01. September 2023 in Kraft tritt.
Michal Cichocki