Die gestrige Beschlussempfehlung des Ausschusses für Recht und Verbraucherschutz (21/5381) sieht außerdem vor, dass § 31 Bundesdatenschutzgesetz durch einen neuen § 37a ersetzt wird.
Aus der Empfehlung (Seite 20f; hier formatiert / optisch aufbereitet):
§ 37a greift das Schutzniveau des bisherigen § 31 auf und ergänzt ihn um materielle sowie formale Vorgaben, um das Schutzniveau an neue Rechtsprechung des Europäischen Gerichtshofs sowie an neue Entwicklungen und Erkenntnisse über die Erstellung von Wahrscheinlichkeitswerten anzupassen. § 37a ist keine datenschutzrechtliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Die Rechtsgrundlagen finden sich vielmehr im Übrigen allgemeinen Datenschutzrecht (…)
- Absatz 2 Nummer 1 nennt die Daten, die nicht genutzt werden dürfen: Gemäß Buchstabe a dürfen keine besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 genutzt werden. Diese Regelung reagiert auf den besonderen Schutzbedarf dieser Kategorie von Daten. Sie birgt ein besonderes Risiko für diskriminierende Ergebnisse.
- Nach Buchstabe b dürfen weder das Alter, das Geschlecht, der Name der natürlichen Person noch personenbezogene Daten aus ihrer Nutzung sozialer Netzwerke genutzt werden. (…)
- Gemäß Buchstabe c dürfen auch Informationen über Zahlungsein- und Zahlungsausgänge auf und von Bankkonten nicht genutzt werden. Diese Zahlungsdaten lassen im großen Umfang Erkenntnisse über persönliche Aspekte der Lebensführung zu. Die aus ihnen ableitbaren Informationen bergen erhebliche Risiken für die betroffene Person. Die Zahlungsdaten sind daher besonders sensibel. (…)
- Der bisherige § 31 Absatz 1 Nummer 3 trug dem Diskriminierungsrisiko von Anschriftendaten nicht hinreichend Rechnung. Zudem eröffnete das Merkmal „ausschließlich“ Möglichkeiten, das Nutzungsverbot des § 31 zu umgehen. Im Anwendungsbereich des § 37a ist es deshalb nun ausnahmslos unzulässig, Anschriftendaten zu nutzen. (…)
- Absatz 4 wird vor dem Hintergrund des Artikels 22 Absatz 2 Buchstabe b der Verordnung (EU) 2016/679 geschaffen, um aufzugreifen, dass mit dem Scoring besondere Risiken für die betroffene Person verbunden sind, deren Auswirkungen und Tragweite oftmals nicht ohne weitere Angaben verstanden werden können. Absatz 4 Satz 1 unterwirft den Verantwortlichen deshalb aus Gründen der Transparenz Mitteilungspflichten.
