DSG

(Diese Erläuterungen finden sich in der Botschaft von 1988 und beziehen sich dort auf den Art. 24, der im DSG als Art. 27 ausgestaltet ist.)

Die Bestimmung regelt die Arbeitsweise des Datenschutzbeauftragten und umschreibt seine Befugnisse. Seine wichtigsten Kompetenzen bestehen darin, dass er von sich aus bei Datenbearbeitungen, bei denen er Persönlichkeitsverletzungen vermutet, Abklärungen vornehmen und Empfehlungen an die Datenbearbeiter richten oder die betroffenen Personen, die sich an ihn gewendet haben, orientieren kann. Hingegen darf er keine rechtsverbindlichen Anordnungen treffen.

Nach Absatz 1 hat der Datenschutzbeauftragte nicht nur die Einhaltung dieses Gesetzes, sondern auch aller weitern datenschutzrechtlichen Erlasse des Bundes zu überwachen. Damit sind bereits bestehendes und künftiges Spezialdatenschutzrecht, aber auch völkerrechtliche Verträge gemeint. Von der Aufsicht durch den Datenschutzbeauftragten ausgenommen ist allerdings der Bundesrat. Der Datenschutzbeauftragte kann nicht Kontrollorgan seiner eigenen Aufsichtsbehörde sein. Das heisst aber nicht, dass sich: der Bundesrat grundsätzlich nicht auch nach den datenschutzrechtlichen Bestimmungen richten will.

Nach Absatz 2 kann der Datenschutzbeauftragte von sich aus oder aufgrund von Anzeigen die ihm nötig erscheinenden Abklärungen vornehmen. Da er niemals in der Lage sein wird, alle datenschutzrechtlich problematischen Bearbeitungen zu untersuchen, wird er sich auf Fälle mit besonderer Tragweite und grosser Präjudizwirkung beschränken. Entsprechend besteht auch für Personen, die eine tatsächliche oder vermeintliche Verletzung von Datenschutzvorschriften anzeigen, kein Erledigungsanspruch. Bei Datenbearbeitungen durch Private kann der Datenschutzbeauftragte zudem nur ausnahmsweise Abklärungen vornehmen. Denn entsprechend der im Zivilrecht geltenden Privatautonomie soll es grundsätzlich Sache der Betroffenen und nicht einer staatlichen Behörde sein, sich gegen Persönlichkeitsverletzungen durch Datenbearbeitungen zu wehren. Diesbezügliche Ansprüche sollen vor dem Zivilrichter durchgesetzt werden. Eine Ausnahme gilt lediglich in drei Fällen: Der Datenschutzbeauftragte soll auch im privaten Bereich intervenieren können, wenn bestimmte Bearbeitungsmethoden die Gefahr in sich bergen, dass die Persönlichkeit einer grösseren Anzahl von Personen verletzt wird (Bst. a). Man kann in diesem Zusammenhang von Fehlern bei der Konzeption eines Informationssystems sprechen, die sich mit den Mitteln des Zivilprozessrechts nicht mehr angemessen beheben lassen. Hier soll der Datenschutzbeauftragte gleichsam im öffentlichen Interesse Abklärungen vornehmen können. Die gleichen Befugnisse hat er auch bei registrierpflichtigen Datensammlungen und meldepflichtigen Bekanntgaben ins Ausland (Bst. b und c). Auch in diesen Fällen sind die Risiken einer Persönlichkeitsverletzung stark erhöht. Wenn der Beauftragte bei der Meldung solcher Datenbearbeitungen auf mögliche Persönlichkeitsgefährdungen stösst, soll er Massnahmen ergreifen können, da ansonsten Registrier- und Meldepflicht keine Wirkungen entfalten würden. Weil aber die Registrierpflicht für private Datenbearbeiter eine sehr eingeschränkte ist, sind auf diesem Gebiet auch der Tätigkeit des Datenschutzbeauftragten enge, Grenzen gesetzt. Bei den Bundesorganen hingegen kann der Datenschutzbeauftragte jederzeit alle ihm nützlich erscheinenden Abklärungen vornehmen (Bst. d). Der Grundsatz der gesetzmässigen Verwaltung gilt absolut, weshalb auch die Kontrolle umfassend sein soll.

Absatz 3 räumt dem Datenschutzbeauftragten die für seine Abklärungen nötigen Informationsbeschaffungsrechte ein. Er hat das Recht, Akten herauszuverlangen, wobei ihn vor allem die Informatikkonzepte interessieren dürften. Er kann sich aber auch vor Ort Datenbearbeitungen vorführen lassen um festzustellen, welche Bearbeitungsmöglichkeiten effektiv bestehen. Daneben muss er Auskünfte einholen können, und zwar nicht nur bei den hauptverantwortlichen Datenbearbeitern oder den Inhabern von Datensammlungen, sondern auch bei deren Hilfspersonen. Die in eine Abklärung einbezogenen Personen müssen den Datenschutzbeauftragten unterstützen; sie haben eine ähnliche Mitwirkungspflicht, wie sie in Artikel 13 des Verwaltungsverfahrensgesetzes (SR 172.021) vorgesehen ist. Die Mitwirkungspflicht soll anderseits nicht zur Folge haben, dass private Bearbeiter oder Organe des Bundes sich selber belasten müssen. Absatz 3 sieht deshalb vor, dass eine vom Datenschutzbeauftragten einvernommene Person sich sinngemäss auf das Zeugnisverweigerungsrecht von Artikel 16 des Verwaltungsverfahrensgesetzes und damit zum Teil auch auf Artikel 42 Absätze l und 3 der Bundeszivilprozessordnung (SR 275) berufen kann. Der Datenbearbeiter oder eine Drittperson können demnach die Aussage namentlich verweigern, wenn sie dadurch sich selber oder nahe Verwandte der strafrechtlichen Verfolgung aussetzen würden. Als Straftatbestände fallen dabei vor allem die Artikel 28 und 29 des Entwurfs in Betracht. Die Befragten können dem Datenschutzbeauftragten auch ein Berufsgeheimnis entgegenhalten, jedoch nur solange sie die betroffene Person, in deren Interesse der Datenschutzbeauftragte ermittelt, nicht davon entbindet. Das Amtsgeheimnis hingegen gilt gegenüber dem Datenschutzbeauftragten nicht.

Kommt der Datenschutzbeauftragte im Rahmen seiner, Abklärungen zum Schluss, dass eine Bearbeitungsart gegen die Vorschriften dieses Gesetzes verstösst, so erlässt er nach Absatz 4 eine Empfehlung. Dabei wird er den Datenbearbeiter in der Regel auffordern, künftig seine Praxis zu ändern, ohne dass er aber auf Einzelfälle Bezug nimmt. Denkbar ist auch, dass der Beauftragte eine Empfehlung im Hinblick auf eine bestimmte betroffene Person oder Personengruppe macht. Die Empfehlung ist weder für private Datenbearbeiter noch für die Bundesorgane verbindlich. Es handelt sich dabei insbesondere nicht um eine Verfügung, die mit den Mitteln des Verwaltungszwanges durchgesetzt werden könnte. Private Datenbearbeiter und Bundesorgane sind deshalb frei; ob sie sich an die Empfehlung halten wollen oder nicht. Im letzteren Fall gehen sie allerdings das Risiko ein, dass im Rahmen eines privatrechtlichen Klage- oder eines öffentlich-rechtlichen Beschwerdeverfahrens die Unrechtmässigkeit ihrer Datenbearbeitung festgestellt wird und sie allenfalls auch straf- und haftpflichtrechtlich belangt werden. Zudem müssen sie damit rechnen, dass der Datenschutzbeauftragte die Angelegenheit der Datenschutzkommission unterbreitet, welche dann in einem rechtsverbindlichen Entscheid festlegt, ob die entsprechende Bearbeitung zulässig ist.

Wenn der Datenschutzbeauftragte eine Empfehlung erlassen hat, wird er den Adressaten ersuchen, sich innert einer bestimmten Frist darüber auszusprechen, ob er sich daranhalten werde. Verneint dies der betreffende Datenbearbeiter, antwortet er überhaupt nicht oder stellt der Datenschutzbeauftragte fest, dass trotz Annahme der Empfehlung die beanstandete Datenbearbeitung fortgesetzt wird, so kann er nach Absatz 5 die Angelegenheit der Datenschutzkommission unterbreiten (Bst. a). Er wird vor allem dann einen Entscheid der Kommission verlangen, wenn wesentliche öffentliche Interessen auf dem Spiel stehen und wenn es um Fragen von präjudizieller Bedeutung geht. In Fällen, in denen nur eine einzige oder wenige Personen von einer unrechtmässigen Datenbearbeitung und keine öffentlichen Interessen betroffen sind, kann er auf die Anrufung der Datenschutzkommission verzichten, dafür aber die Personen, die ihm Meldung gemacht haben, auf den ordentlichen Rechtsweg verweisen (Bst. b). Es ist dann Sache der betroffenen Personen, sich gegenüber privaten Datenbearbeitern mit zivilrechtlicher Klage gemäss Artikel 12 oder gegenüber Bundesorganen mit Beschwerde gemäss Artikel 22 zur Wehr zu setzen. Wird die Angelegenheit der Datenschutzkommission vorgelegt, so prüft sie die umstrittene Frage neu und erlässt eine Verfügung. Da die Empfehlung des Datenschutzbeauftragten in der Regel allgemein gehalten sein wird, werden die betroffenen Personen selber selten in dieses Verfahren einbezogen werden.