Bei der Bewertung möglicher negativer Auswirkungen der beobachteten Praktik der Torwächter zur Erhebung und Sammlung großer Datenmengen von Endnutzern müssen die Interessen der Endnutzer hinsichtlich des Schutzes ihrer Daten und ihrer Privatsphäre berücksichtigt werden. Die Gewährleistung eines angemessenen Maßes an Transparenz bei den Profiling-Praktiken der Torwächter – unter anderem, aber nicht begrenzt auf, Profiling im Sinne von Artikel 4 Nummer 4 der Verordnung (EU) 2016/679 – fördert die Bestreitbarkeit der zentralen Plattformdienste. Durch Transparenzanforderungen wird von außen Druck auf Torwächter ausgeübt, tiefgreifendes Verbraucher-Profiling nicht zum Branchenstandard zu machen, zumal potenzielle Markteinsteiger oder neugegründete Unternehmen nicht im gleichen Umfang, mit der gleichen Tiefe und in ähnlicher Größenordnung auf Daten zugreifen können. Eine größere Transparenz dürfte es anderen Unternehmen, die zentrale Plattformdienste bereitstellen, ermöglichen, sich durch anspruchsvollere Garantien für den Schutz der Privatsphäre wirksamer von den etablierten Diensten abzusetzen.
Damit diese Transparenzpflicht ein Mindestmaß an Wirksamkeit entfaltet, sollten die Torwächter zumindest eine unabhängig geprüfte Beschreibung der Grundlage darlegen, auf der das Profiling durchgeführt wird, und dabei unter anderem erläutern, ob auf personenbezogene Daten und Daten aus Nutzeraktivitäten im Einklang mit der Verordnung (EU) 2016/679 zurückgegriffen wird, wie diese Daten verarbeitet werden, zu welchem Zweck das Profil erstellt und letztlich genutzt wird, über welchen Zeitraum das Profiling erfolgt, welche Auswirkungen das Profiling auf die Dienste des Torwächters hat, mit welchen Maßnahmen die Endnutzer auf die einschlägige Nutzung eines solchen Profilings wirksam hingewiesen werden und mit welchen Maßnahmen sie um Einwilligung ersucht werden bzw. ihnen die Möglichkeit gegeben wird, ihre Einwilligung zu verweigern oder zu widerrufen. Die Kommission sollte die geprüfte Beschreibung dem Europäischen Datenschutzausschuss übermitteln, damit sie in die Durchsetzung der Datenschutzvorschriften der Union einfließen kann. Die Kommission sollte ermächtigt werden, die Methodik und das Verfahren für die geprüfte Beschreibung zu entwickeln, und zwar in Abstimmung mit dem Europäischen Datenschutzbeauftragten, dem Europäischen Datenschutzausschuss, der Zivilgesellschaft und Sachverständigen, im Einklang mit den Verordnungen (EU) Nr. 182/2011 (¹⁶) und (EU) 2018/1725 (¹⁷) des Europäischen Parlaments und des Rates.
(¹⁶) Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren (ABl. L 55 vom 28.2.2011, S. 13).
(¹⁷) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39).