DSG

(Diese Erläuterungen finden sich in der Botschaft von 2003.)

Artikel 7a sieht vor, dass wer besonders schützenswerte Daten oder Persönlichkeitsprofile beschafft, verpflichtet ist, die betroffene Person darüber zu informieren. Dieser Informationspflicht muss der Inhaber der Datensammlung von sich aus nachkommen, was Artikel 7a vom Auskunftsrecht nach Artikel 8 unterscheidet. Artikel 9 des Entwurfs erlaubt die Verweigerung, Einschränkung oder Aufschiebung der Information, wenn ein überwiegendes öffentliches oder privates Interesse dies erfordert. Artikel 7a geht bezüglich des Grundsatzes der Erkennbarkeit der Datenbeschaffung weiter als Artikel 4 Absatz 4 des vorliegenden Entwurfs, denn er sieht eine Pflicht zur aktiven Information vor. Er entspricht der Motion «Erhöhte Transparenz». Ein verstärkter Schutz rechtfertigt sich für die besonders schützenswerten Daten und die Persönlichkeitsprofile insofern, als die Bearbeitung dieser Art von Personendaten zu Diskriminierungen führen kann.

Artikel 7a sollte indirekt auch eine präventive Wirkung haben: Muss der Inhaber der Datensammlung die betroffene Person aktiv und ausführlich informieren, wird er bestrebt sein, keine besonders schützenswerten Daten oder Persönlichkeitsprofile zu beschaffen, die er für seine Tätigkeit nicht unbedingt benötigt. Gemäss Absatz 2 muss der Inhaber der Datensammlung der betroffenen Person – in der Regel ausdrücklich – alle Informationen zukommen lassen, die für eine Bearbeitung nach dem Grundsatz von Treu und Glauben und der Verhältnismässigkeit erforderlich sind. Es sind dies mindestens die Informationen gemäss den Buchstaben a bis c, das heisst die Identität des Inhabers der Datensammlung, den Zweck des Bearbeitens und die Kategorien allfälliger Datenempfänger (nicht aber die Identität jedes einzelnen Datenempfängers). Erfordert es der Grundsatz von Treu und Glauben, muss der Inhaber der Datensammlung indessen noch weitere Informationen liefern, beispielsweise darüber, ob die Beantwortung der gestellten Fragen freiwillig oder obligatorisch ist und über die Folgen einer Verweigerung der verlangten Angaben (vgl. dazu den Kommentar zu Art. 4 Abs. 4). Ist eine Person bereits informiert (unabhängig davon, ob sie vom Inhaber der Datensammlung selbst oder von einem Dritten informiert wurde), braucht der Inhaber der Datensammlung sie nicht erneut zu informieren. Die Information, die bei der erstmaligen Datenbeschaffung erfolgen muss, braucht – soweit die Umstände weiterer Erhebungen (namentlich der Zweck der Bearbeitung) denen der erstmaligen Beschaffung entsprechen – somit nicht bei jeder neuerlichen Datenbeschaffung wiederholt zu werden.

Die Information ist keinem Formerfordernis unterworfen; sie kann also mündlich erfolgen. Dennoch wird die schriftliche Form aus Beweisgründen empfohlen. Die Information kann den Betroffenen schriftlich abgegeben oder in schriftlicher Form an einem genügend sichtbaren Ort angebracht werden (z.B. Aushang, einem Vertrag oder einer Rechnung beigelegter Text, gut sichtbar platzierte Rubrik auf einer Internetseite etc.). Wie im Falle von Artikel 4 Absatz 4 muss der Inhaber der Datensammlung der Informationspflicht des Artikels 7a gemäss den Grundsätzen von Verhältnismässigkeit sowie Treu und Glauben nachkommen (Art. 4 Abs. 2 DSG). Die Information muss demnach genügend sichtbar, lesbar und verständlich sein. Der Inhaber der Datensammlung kann die Information auch mit weiteren Angaben verbinden. Wird die Bekanntgabe von Daten an Dritte beabsichtigt und ist diese weder gesetzlich vorgeschrieben noch zur Erfüllung eines Vertrages notwendig, kann die betroffene Person mittels einer Klausel eingeladen werden, ihre Zustimmung zu dieser Bekanntgabe zu geben, oder diese zu verweigern. So können sich die Inhaber der Datensammlungen darüber vergewissern, dass die Betroffenen die Information erhalten haben und sich später, sofern sie der Bekanntgabe zugestimmt haben, dieser nicht widersetzen werden (Art. 12 Abs. 2 DSG).

Es wird an der Praxis liegen, die jeweils situationsgerechten Instrumente zur Sicherstellung der Information der Betroffenen zu entwickeln. Artikel 7a lässt diesbezüglich für die Inhaber der Datensammlungen einen grossen Spielraum. Für die Umsetzung der notwendigen Informationsmassnahmen ist eine Übergangsfrist vorgesehen (vgl. Übergangsbestimmungen).

Beispiele:

– Eine Krankenkasse muss ausdrücklich – z.B. in einem Schreiben oder im mit den Versicherten abzuschliessenden Vertrag – darauf hinweisen, wie die ihr zugänglichen Gesundheitsdaten des Versicherten verwendet werden.

– Ein Arzt muss einen Patienten, der einen HIV-Test macht, darüber informieren, dass nach Epidemiengesetz ein allfälliger positiver Befund dem Bundesamt für Gesundheit gemeldet wird (eine neuerliche Information durch das Amt ist nicht mehr erforderlich). Diese Information kann beispielsweise mündlich erfolgen, aber es ist auch denkbar, dass sie – in der notwendigen Deutlichkeit, d.h. nicht im «Kleingedruckten» – etwa in einer AIDS-Aufklärungsbroschüre enthalten ist.

Absatz 3 regelt den Fall, dass die Daten nicht bei der betroffenen Person beschafft werden, sondern bei Dritten: In diesem Fall muss die betroffene Person möglichst dann informiert werden, wenn der Inhaber der Datensammlung die Daten beschafft, spätestens jedoch bei deren Speicherung oder bei der ersten Bekanntgabe an Dritte. Der Begriff der Speicherung umfasst dabei nicht nur den technischen Vorgang, mittels desselben die beschafften Daten beispielsweise in einem Informatiksystem aufgezeichnet werden. Er umfasst jede sich an die Beschaffung anschliessende Tätigkeit, die eine weitere Verwertung der Daten vorbereitet. Der Inhaber der Datensammlung kann nur dann darauf verzichten, die betroffene Person zu informieren, wenn er sich auf eine Beschaffung von Personendaten beschränkt oder wenn sich die Information der betroffenen Person nach den Umständen als unmöglich oder sehr schwierig erweist (z.B. wenn der Inhaber der Datensammlung keine Möglichkeit hat, die betroffene Person zu kontaktieren). Der Inhaber der Datensammlung muss dennoch alles unternehmen, was von ihm nach den Umständen vernünftigerweise verlangt werden kann, um seiner Informationspflicht nachzukommen. Er darf sich nicht mit der blossen Vermutung begnügen, dass die Information unmöglich oder unverhältnismässig ist. Das Verhalten des Inhabers der Datensammlung ist unter dem Gesichtspunkt von Treu und Glauben zu prüfen; die Ausnahmebestimmung von Absatz 3 ist eng auszulegen. Der Inhaber der Datensammlung kann auch dann auf die Information der betroffenen Person verzichten, wenn die Beschaffung oder Bekanntgabe von Daten durch das Gesetz ausdrücklich vorgesehen ist.

Leiten Kantone von ihnen beschaffte besonders schützenswerte Personendaten und Persönlichkeitsprofile im Rahmen des Vollzuges von Bundesrecht an Bundesbehörden weiter (Beispiel: Übermittlung von Angaben über Führerausweisentzüge an das Bundesamt für Strassen zwecks Registrierung im Administrativmassnahmen-Register nach Artikel 104b Strassenverkehrsgesetz), so obliegt ihnen die Information der betroffenen Personen. Die Bundesbehörden sind nicht zu einer neuerlichen Information verpflichtet (Art. 7a Abs. 3).

In der Vernehmlassung wurde verschiedentlich vorgeschlagen, für die Weitergabe von Personendaten innerhalb eines Konzerns ausdrücklich – und insbesondere in Bezug auf Artikel 7a Absatz 3 – eine Ausnahme von den Regeln betreffend die Bekanntgabe an Dritte vorzusehen. Eine gewisse Erleichterung wird nun in Artikel 6 Absatz 2 Buchstabe g für grenzüberschreitende Übermittlungen vorgesehen (vgl. Erläuterungen zu dieser Bestimmung). Bezüglich der hier verankerten Informationspflicht dagegen würde eine generelle Ausnahme von Bekanntgaben unter Konzerngesellschaften dem Zweck der Schaffung von mehr Transparenz für die Betroffenen zuwiderlaufen.

Artikel 9 sieht Einschränkungen der Informationspflicht vor, wenn das Gesetz es vorschreibt und wenn überwiegende Interessen Dritter dies verlangen. Die Bundesorgane können ferner die Information verweigern, wenn ein überwiegendes öffentliches Interesse dies erfordert, ebenso wenn die Bekanntgabe das Risiko in sich birgt, den Zweck einer Strafuntersuchung oder eines anderen Untersuchungsverfahrens in Frage zu stellen. Es ist darauf hinzuweisen, dass die Richtlinie 95/46/EG, die Empfehlungen des Europarats und die Datenschutzgesetze der umliegenden Länder sehr ähnliche Informationspflichten vorsehen, deren Tragweite allerdings weiter geht (vgl. Ziff. 1.2.3).

Bereits heute gibt es Unternehmen, welche die Informationspflichten nach Artikel 7a erfüllen. Es ist noch einmal darauf hinzuweisen, dass es auch im Interesse der Unternehmen ist, bei der Beschaffung von Personendaten so transparent wie möglich vorzugehen. Nur so können sie das Vertrauen der Konsumentinnen und Konsumenten gewinnen. Dies trifft insbesondere für die Entwicklung im Bereich des elektronischen Handels zu. Wer die Pflicht zur Information der von der Bearbeitung betroffenen Person vorsätzlich verletzt oder nicht die in Absatz 2 Buchstabe a bis c vorgesehenen Angaben macht oder wer vorsätzlich falsch informiert, kann strafrechtlich verfolgt werden (Art. 34 Abs. 1).