Das neue Datenschutzrecht – die DSGVO wie auch das revDSG – beruhen weiterhin auf dem Autonomieprinzip, obwohl dessen Prämissen fraglich sind. Die Stellung des Betroffenen wird dabei durch flankierende Massnahmen gestärkt. Leider wird das Autonomieprinzip aber oft überdehnt und dadurch im Grunde verletzt. Auch der Umgang mit Risiken ist nicht konsistent, gerade im revDSG. Das revDSG lässt aber Raum für eine prinzipienbasierte Anwendung, etwa dann, wenn die heutige Praxis zum Persönlichkeitsprofil – das vom Bearbeitungskontext abhängig ist – beim Profiling mit hohem Risiko weitergeführt wird und der Begriff des «hohen Risikos» auch sonst über das revDSG hinweg konsistent ausgelegt und konkretisiert wird.

Gesichtserkennung könnte dem stationären Handel ermöglichen, datentechnisch zum Online-Handel aufzuschliessen. Sie funktioniert offline so, wie es ein Cookie online tut: Ein Kunde kann wiedererkannt werden, ohne dass er etwas dafür tun muss – oder nur schon etwas davon mitbekommt. Das ist einem Grossteil der Bevölkerung nicht geheuer: Für zwei Drittel der Kunden wäre Gesichtserkennung ein Grund, das betreffende Geschäft zu meiden. Diese fehlende gesellschaftliche Akzeptanz ist einer der Gründe, weshalb Gesichtserkennung hierzulande im Detailhandel noch kaum eingesetzt wird. Ein anderer sind hohe datenrechtliche Anforderungen. Die Mehrzahl der Anwendungen von Gesichtserkennung setzt eine Einwilligung voraus und muss somit als Opt-in-Modell ausgestaltet werden – jedenfalls wenn die DSGVO zugrunde gelegt wird. Das führt zur Prognose, dass anonymes Einkaufen noch lange möglich sein wird.

Zu wissen, wer sich an einem bestimmten Ort aufhält (oder aufgehalten hat) – ein Traum für viele. Etwa für die Werbung. «Lieber Peter Muster! Schön, dass Sie uns wieder besuchen!». Wieviel freundlicher ist das doch, beim Eingang ins Warenhaus so begrüsst zu werden, statt einfach vor der Rolltreppe zu stehen und zu versuchen, auf einer Übersichtstafel herauszufinden, wo es Socken zu kaufen gibt. Vielleicht wird auch gleich: «Sie haben letztes Mal einen Freizeitanzug gekauft – wir hätten heute das passende Hemd dazu ...», und, weil ich ja ein guter Kunde bin: «... für Sie zum unschlagbaren Sonderpreis von 79 Franken!».

Es ist nicht abschliessend geklärt, ob die DSGVO auf schweizerische Unternehmen anwendbar ist, wenn und weil diese als Auftragsverarbeiter eines Verantwortlichen mit Niederlassung in der EU tätig sind oder umgekehrt Daten durch einen EU-Auftragsverarbeiter verarbeiten lassen. Nach hier vertretener Auffassung ist dies nicht der Fall; in solchen Konstellationen untersteht nur das Unternehmen in der EU der DSGVO.