Das alte Bundesgesetz über den Datenschutz (DSG) vom 19. Juni 1992 war aufgrund tiefgreifender technologischer Entwicklungen nicht mehr zeitgemäss. Die Totalrevision des DSG dient dessen Anpassung an die veränderten technologischen und gesellschaftlichen Verhältnisse. Im Zentrum der Reform stehen die Verbesserung der Transparenz von Datenbearbeitungen und die Stärkung der Selbstbestimmung der betroffenen Personen über ihre Daten.
Das neue DSG nimmt innerhalb zentraler Bereiche des alten DSG weitreichende Veränderungen vor. Im Mittelpunkt dieses Beitrags steht die Informationspflicht von privaten Personen (Unternehmen und natürliche Personen) beim Bearbeiten von Personendaten, also die Pflicht des Inhabers der Datensammlung (in der Terminologie des neuen DSG: der Verantwortliche), die betroffene Person über die Beschaffung von Personendaten zu informieren. Ausgeklammert bleibt hier die Informationspflicht bei automatisierten Einzelentscheidungen (Art. 21 DSG), welche in einem späteren Beitrag separat behandelt werden wird.
Rechtsgrundlagen
Art. 19 DSG Informationspflicht bei der Beschaffung von Personendaten
1 Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
2 Er teilt der betroffenen Person bei der Beschaffung diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; er teilt ihr mindestens mit:
a. die Identität und die Kontaktdaten des Verantwortlichen;
b. den Bearbeitungszweck;
c. gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.
3 Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr zudem die Kategorien der bearbeiteten Personendaten mit.
4 Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mit.
5 Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr die Informationen nach den Absätzen 2–4 spätestens einen Monat, nachdem er die Daten erhalten hat, mit. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.
Art. 20 DSG Ausnahmen von der Informationspflicht und Einschränkungen
1 Die Informationspflicht nach Artikel 19 entfällt, wenn eine der folgenden Voraussetzungen erfüllt ist:
a. Die betroffene Person verfügt bereits über die entsprechenden Informationen.
b. Die Bearbeitung ist gesetzlich vorgesehen.
c. Es handelt sich beim Verantwortlichen um eine private Person, die gesetzlich zur Geheimhaltung verpflichtet ist.
d. Die Voraussetzungen nach Artikel 27 sind erfüllt.
2 Werden die Personendaten nicht bei der betroffenen Person beschafft, so entfällt die Informationspflicht zudem, wenn eine der folgenden Voraussetzungen erfüllt ist:
a. Die Information ist nicht möglich.
b. Die Information erfordert einen unverhältnismässigen Aufwand.
3 Der Verantwortliche kann die Mitteilung der Informationen in den folgenden Fällen einschränken, aufschieben oder darauf verzichten:
a. Überwiegende Interessen Dritter erfordern die Massnahme.
b. Die Information vereitelt den Zweck der Bearbeitung.
c. Der Verantwortliche ist eine private Person, überwiegende Interessen erfordern die Massnahme und die folgenden Voraussetzungen sind erfüllt:
- Überwiegende Interessen des Verantwortlichen erfordern die Massnahme.
2. Der Verantwortliche gibt die Personendaten nicht Dritten bekannt.
[…]
Änderungen
Die Pflicht zur Information verbessert die Transparenz bei der Datenbearbeitung. Denn regelmässig kann die betroffene Person ohne entsprechende Informationen nicht erkennen, dass Daten über sie bearbeitet werden. Zugleich kann die betroffene Person ihre Rechte gemäss dem DSG nur wahrnehmen, wenn ihr eine Datenbearbeitung bekannt ist. Durch die verbesserte Transparenz bei der Datenbearbeitung werden daher insbesondere die Rechte der betroffenen Person gestärkt.
In Art. 19 DSG wird neu die Informationspflicht bei der Beschaffung von Daten geregelt. Die Art. 14, 18 und 18a aDSG werden damit einerseits in einer Norm zusammengeführt. Dadurch gilt eine einheitliche Regelung für die Datenbearbeitung durch Bundesorgane und private Verantwortliche. Andererseits wird die Informationspflicht, welche sich bei der Bearbeitung durch Private vormals lediglich auf «schützenswerte Personendaten oder Persönlichkeitsprofile» erstreckt hat (Art. 14 Abs. 1 aDSG)*, auf «Personendaten» im Allgemeinen ausgeweitet (Art. 19 Abs. 1 DSG).* Als besonders schützenswerte Personendaten gelten Daten über «die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten, die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit, Massnahmen der sozialen Hilfe, administrative oder strafrechtliche Verfolgungen und Sanktionen» (Art. 3 lit. c DSG). Besonders schützenswerte Personendaten sind damit eine Unterart der Personendaten.
Das neue DSG legt nicht fest, auf welche Weise die Information erfolgen muss. Der Verantwortliche muss aber sicherstellen, dass die betroffene Person die Information tatsächlich zur Kenntnis nehmen kann. So kann eine allgemeine Information genügen, wenn die Personendaten bei der betroffenen Person beschafft werden (etwa über eine Datenschutzerklärung). Werden die Daten hingegen nicht bei der betroffenen Person beschafft, muss der Verantwortliche prüfen, wie die Information erfolgen muss, damit die betroffene Person tatsächlich von ihr Kenntnis nehmen kann.
Im Gegensatz zu Art. 14 aDSG legt der Einleitungssatz von Art. 19 Abs. 2 DSG die Grundsätze fest, an denen sich der Verantwortliche bei der Mitteilung von Informationen orientieren muss. Demnach muss er der betroffenen Person diejenigen Informationen mitteilen, die erforderlich sind, um ihre Rechte nach dem Gesetz geltend machen zu können und eine transparente Datenbearbeitung zu gewährleisten. Die lit. a–c konkretisieren dies durch Mindestangaben, welche sich im Grundsatz nicht von den Vorgaben von Art. 14 aDSG unterscheiden.
Anzugeben ist die Identität des Verantwortlichen, der Bearbeitungszweck und die Dritten, an welche die Daten gegebenenfalls weiter geleitet werden.
Wenn die Daten nicht bei der betroffenen Person beschafft werden, muss der Verantwortliche zudem nach Art. 19 Abs. 3 DSG der betroffenen Person mitteilen, welche Kategorien von Personendaten er bearbeitet. Werden die Personendaten ins Ausland bekanntgegeben, soll den Verantwortlichen gemäss Abs. 4 ebenfalls neu die Pflicht treffen, die betroffene Person über den Staat zu informieren, in den die Daten gelangen.
Art. 19 Abs. 5 DSG regelt wie vormals Art. 14 Abs. 3 aDSG den Zeitpunkt der Information der betroffenen Person, wenn die Daten nicht bei ihr beschafft werden. Die Bestimmung legt dafür neu eine maximale Frist von einem Monat fest, innerhalb der die Information nach Bekanntgabe zu erfolgen hat. Diese Frist gilt unabhängig davon, wofür die Personendaten verwendet werden. Eine kürzere Frist gilt nur, wenn der Verantwortliche die Personendaten an Empfänger bekanntgibt. Im Gegensatz dazu musste nach altem DSG die Information spätestens dann erfolgen, wenn sie gespeichert oder Dritten bekannt gegeben wurde.
Art. 20 DSG regelt, unter welchen Umständen die Informationspflicht gänzlich entfällt (Abs. 1 und 2) und wann die Information eingeschränkt werden kann (Abs. 3). Die Vorschrift übernimmt teilweise altes Recht (Art. 9, Art. 14 Abs. 4 und 5 sowie 18b aDSG), welches in dieser Bestimmung zusammengeführt wird.
Art. 20 Abs. 1 DSG legt einige Konstellationen fest, in denen der Verantwortliche die betroffene Person überhaupt nicht informieren muss. Nach lit. a ist der Verantwortliche von der Informationspflicht befreit, wenn die betroffene Person bereits über die Informationen gemäss Art. 19 verfügt (z.B. bei Zustellung von Bewerbungsunterlagen), nach lit. b entfällt die Informationspflicht, wenn die Bearbeitung im Gesetz vorgesehen ist und nach lit. c ist der private Verantwortliche von der Informationspflicht entbunden, wenn er einer gesetzlichen Geheimhaltungspflicht untersteht. Lit. d regelt schliesslich die Einschränkung des Auskunftsrechts in Bezug auf periodisch erscheinende Medien. Damit zählt Art. 20 Abs. 1 DSG mehr Fälle als Art. 14 aDSG explizit auf, in welchen eine Ausnahme zur Informationspflicht einschlägig sein soll, womit er sich transparenter als die ursprüngliche Bestimmung gestaltet.
In Art. 20 Abs. 2 DSG wird eine spezifische Einschränkung der Informationspflicht für Fälle vorgesehen, in denen Daten nicht bei der betroffenen Person beschafft werden. Die Informationspflicht entfällt demnach, wenn die Information nicht möglich ist (lit. a) oder unverhältnismässigen Aufwand erfordert (lit. b). Es reicht allerdings nicht aus, dass lediglich vermutet wird, die Identifikation sei unmöglich. Vielmehr sind Nachforschungen in einem verhältnismässigen Umfang erforderlich. Mit dieser Regelung erfolgt eine Einschränkung auf Daten, die nicht bei der betroffenen Person beschafft wurden; dies im Gegensatz zu Art. 14 Abs. 4 lit. b aDSG, welcher eine solche Einschränkung nicht vornimmt.
Art. 20 Abs. 3 DSG legt fest, unter welchen Voraussetzungen der Verantwortliche auf die Mitteilung von Informationen verzichten, diese einschränken oder aufschieben kann. Er erfasst damit – im Gegensatz zu Abs. 1 und 2 – Konstellationen, in denen eine Interessenabwägung erfolgt. Die Aufzählung der verschiedenen Ausnahmen ist abschliessend und die Bestimmung ist prinzipiell restriktiv auszulegen. Die Information sollte demnach nur soweit beschränkt werden, als dies wirklich unerlässlich ist. Zum einen kann jeder Verantwortliche die Mitteilung der Informationen einschränken, aufschieben oder darauf verzichten, wenn dies wegen überwiegender Interessen Dritter erforderlich ist (lit. a) oder, wenn die Information den Zweck der Datenbearbeitung vereitelt (lit. b). Nach lit. c besteht weiterhin eine solche Möglichkeit des Verantwortlichen, wenn eigene überwiegende Interessen es erfordern und er die Daten nicht Dritten bekannt gibt. Die Regelungen in Art. 14 Abs. 5 i.V.m. Art. 9 Abs. 1 und 4 aDSG bleiben damit grössenteils erhalten; einzig statuiert die zuvor genannte lit. b ein zusätzliches Element der Vereitelung des Zwecks der Datenverarbeitung, welches im alten DSG nicht explizit erwähnt wurde.
Zusammenfassend ist die einschneidendste Änderung des neuen DSG in der Ausweitung der Informationspflicht von schützenswerten Personendaten oder Persönlichkeitsprofilen zu Personendaten im Allgemeinen zu sehen. Damit wird nämlich die Informationspflicht des Verantwortlichen von einer vormals sehr begrenzten Kategorie von Daten auf alle Personendaten ausgeweitet.