§ 54 Automatisierte Einzelentscheidung
(1) Eine ausschließlich auf einer automatischen Verarbeitung beruhende Entscheidung, die mit einer nachteiligen Rechtsfolge für die betroffene Person verbunden ist oder sie erheblich beeinträchtigt, ist nur zulässig, wenn sie in einer Rechtsvorschrift vorgesehen ist.
(2) Entscheidungen nach Absatz 1 dürfen nicht auf besonderen Kategorien personenbezogener Daten beruhen, sofern nicht geeignete Maßnahmen zum Schutz der Rechtsgüter sowie der berechtigten Interessen der betroffenen Personen getroffen wurden.
(3) Profiling, das zur Folge hat, dass betroffene Personen auf der Grundlage von besonderen Kategorien personenbezogener Daten diskriminiert werden, ist verboten.
Kommentar
§ 54 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
Die Vorschrift setzt Artikel 11 der Richtlinie (EU) 2016/680 um. Sie hat im Anwendungsbereich von Teil 3 (vgl. § 45) das Verbot automatisierter, z. B. auf Profiling basierender, Einzelentscheidungen zum Gegenstand.
Absatz 1 bestimmt, dass eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, die für Betroffene nachteilige Rechtsfolgen hat oder Betroffne erheblich beeinträchtigt, nur dann zulässig ist, wenn dies in einer Rechtsvorschrift vorgesehen ist. Der Anwendungsbereich ist nur dann eröffnet, wenn die Entscheidung Wirkungen gegenüber Betroffenen entfaltet. Regelmäßig wird es sich um Verwaltungsakte (§ 35 VwVfG) handeln. Behördeninterne Zwischenentscheidungen im Rahmen von automatisierten Verarbeitungsvorgängen ohne Außenwirkung fallen nicht unter Absatz 1.
Nach Absatz 2 werden Entscheidungen, die unter Verarbeitung besonderer Kategorien personenbezogener Daten erfolgen, unter besonderen Schutz gestellt. Die Regelung ist wenig aufschlussreich, da konkrete Anforderungen an „geeignete Maßnahmen“ nicht genannt werden und erheblich vom Ausmaß der potenziellen Rechtsbeeinträchtigung abhängen. Die Vorschrift bewirkt ein grundsätzliches Verbot der automatisierten Entscheidungsfindung durch die Verarbeitung besonderer Kategorien personenbezogener Daten und erlegt dem Verantwortlichen die Nachweispflicht für „geeignete Maßnahmen“ auf.
Absatz 3 untersagt das Profiling auf Grundlage besonderer Kategorien personenbezogener Daten (vgl. § 46 Nummer 14), soweit dadurch Betroffene diskriminiert werden.