DSV

Abs. 1

Diese Bestimmung präzisiert, welche Personendaten unter den Anspruch auf Datenherausgabe oder ‑übertragung fallen. Der Anspruch umfasst Personendaten, die die betroffene Person selbst betreffen sowie automatisiert und auf Grundlage einer Einwilligung oder im Zusammenhang mit einem Vertrag bearbeitet werden (Art. 28 Abs. 1 nDSG).

In erster Linie sind vom Anspruch damit Personendaten ausgeschlossen, welche in Papierform aufbewahrt werden.

Keine Anwendung findet der Anspruch sodann auf Verantwortliche, welche Personendaten in Erfüllung einer öffentlichen Aufgabe oder in einem öffentlichen Interesse bearbeiten. Dies entspricht der Regelung von Artikel 20 Absatz 3 DSGVO sowie dem primär wirtschaftlichen Zweck des Anspruchs auf Datenherausgabe oder ‑übertragung. Bundesorgane, welche im Rahmen ihrer gesetzlichen Aufgaben sowie gestützt auf eine gesetzliche Grundlage Personendaten bearbeiten, sind deshalb grundsätzlich nicht vom Anspruch auf Datenherausgabe oder ‑übertragung betroffen. Sofern Bundesorgane allerdings Personendaten beispielsweise im Wettbewerb mit Privaten bearbeiten, ist denkbar, dass diese Personendaten vom Anspruch umfasst werden. Auf jeden Fall ist es am Verantwortlichen zu prüfen, auf welche Personendaten, die dieser bearbeitet, der Anspruch Anwendung finden könnte und welche davon ausgenommen sind.

Nicht vom Anspruch umfasst sind des Weiteren anonymisierte Personendaten oder solche, welche die betroffene Person nicht betreffen. Pseudonymisierte Personendaten, die eindeutig mit der betroffenen Person in Zusammenhang gebracht werden können, sind hingegen von Artikel 20 Absatz 1 Art. erfasst. In der Praxis dürften in vielen Fällen auch Informationen betroffen sein, welche die Personendaten von mehreren Personen umfassen, wie z. B. der Kontoverlauf einer Kundin oder eines Kunden oder Daten zu Telefongesprächen oder Nachrichten, welche Angaben über Dritte enthalten. Im Rahmen einer Anfrage um Herausgabe oder Übertragung von Personendaten sollten der Gesuchstellerin oder dem Gesuchsteller auch diese Aufzeichnungen bereitgestellt werden. Die Personendaten von Dritten dürfen jedoch nicht für Zwecke bearbeitet werden, welche deren Rechte und Freiheiten beeinträchtigen. Dies wäre der Fall, wenn der neue Verantwortliche die übermittelten Personendaten von Dritten für seine eigene Zwecke verwendet, beispielsweise, um diesen die eigenen Dienste anzubieten. Keine Beeinträchtigung würde hingegen vorliegen, wenn bei einer Übermittlung von Kontoinformationen auf ein neues Bankkonto auf Anlass des Kontoinhabers, die Kontaktadresse im Kontoverlauf seines Bankkontos, weiterhin für denselben Zweck, d.h. als Kontaktadresse und für seinen persönlichen Gebrauch verwendet wird.

Weiter fallen unter Artikel 20 Absatz 1 Art. nur diejenigen Personendaten, welche die betroffene Person einem Verantwortlichen aktiv zur Verfügung stellt. Dies betrifft gemäss Buchstabe a zum einen Personendaten, welche sie dem Verantwortlichen direkt und bewusst angibt, wie z. B. ihre Kontaktdaten über ein Online-Formular oder durch die Tätigung von “Likes”. Gemäss Buchstabe b umfasst der Anspruch zum anderen auch Personendaten, welche die betroffene Person indirekt, das heisst durch ihre Aktivitäten bei der Nutzung eines Dienstes oder eines Gerätes (wissentlich oder unwissentlich) erzeugt und die vom Verantwortlichen beobachtet werden (sogenannte Nutzungsdaten oder “beobachtete” Daten, wie z. B. Suchabfragen, Aktivitäten-Protokolle, Verlauf einer Website-Nutzung).

Dass diese Personendaten vom Anspruch auf Herausgabe und Übertragung umfasst sind, entspricht der europäischen Regelung sowie dem Sinn und Zweck der Norm in Artikel 28 nDSG, wonach die betroffene Person die von ihr einem Verantwortlichen zur Verfügung gestellten Personendaten herausverlangen und weiterverwenden können soll.

Abs. 2

Absatz 2 beschreibt, welche Personendaten nicht als von der betroffenen Person im Sinne von Artikel 28 Absatz 1 nDSG bekanntgegebene Personendaten anzusehen sind. Damit präzisiert diese Regelung den Geltungsbereich des Anspruchs auf Datenherausgabe oder ‑übertragung. Nicht vom Anspruch umfasst sind demnach Personendaten, welche ein Verantwortlicher aus Rückschlüssen aus den durch die betroffene Person im Sinne von Artikel 20 Absatz 1 Buchstaben a und b bereitgestellten oder beobachteten Personendaten selber ableitet oder durch eigene Analysen dieser Personendaten erzeugt. Zu denken ist beispielsweise an die Bewertung des Gesundheitszustands eines Nutzers, Nutzer- oder Risikoprofile, Kreditrisikoanalysen etc. Im Unterschied zu den bereitgestellten Personendaten beziehen sich hier die Leistungen und Investitionen des Verantwortlichen auf die Analyse und Auswertung der bereitgestellten Daten und nicht auf das Sammeln und Bearbeiten der Personendaten.

Die Ausnahme dieser Personendaten vom Anspruch auf Datenherausgabe oder ‑übertragung entspricht der Regelung im europäischen Recht. Da es Ziel dieses Anspruchs ist, der betroffenen Person eine Weiterverwendung ihrer Personendaten zu ermöglichen, erscheint es gerechtfertigt, eine Ausnahme für solche Personendaten vorzusehen, welche ein Verantwortlicher durch Auswertung und Einsatz eigener Ressourcen (Eigenleistungen, Eigen-Investition, firmeninterne Algorithmen und Analyseverfahren) erzeugt. Im Unterschied zu den durch die betroffene Person “bereitgestellten Personendaten” gemäss Absatz 1, ist bei diesen durch den Verantwortlichen erzeugten Personendaten, dessen Interesse am Schutz seiner Eigenleistung und eigenen Investition höher zu gewichten. Solche Personendaten fallen daher nicht in den Geltungsbereich des Anspruchs auf Datenherausgabe oder ‑übertragung.

Im Rahmen des Auskunftsrechts nach Artikel 25 nDSG und der dazugehörigen Verordnungsbestimmungen (Art. 16 – 19 Art.) hat die betroffene Person jedoch die Möglichkeit, Auskunft vom Verantwortlichen über diese Personendaten, ihren Bearbeitungszweck, ihre Aufbewahrungsdauer sowie bei Vorliegen automatisierter Einzelentscheidungen, über die Logik, auf der diese Entscheidung beruht, zu erhalten.

Wichtig festzuhalten ist, dass die Regelung in Artikel 20 Absatz 2 nicht als eine Einschränkung vom in Artikel 28 nDSG eingeführten Anspruch auf Datenherausgabe oder ‑übertragung zu verstehen ist, sondern der Auslegung der gesetzlichen Bestimmung dient, indem sie den Geltungsbereich des Anspruchs präzisiert.

Vielmehr gelten aufgrund des Verweises in Artikel 29 Absatz 1 nDSG auf Artikel 26 Absatz 1 und 2 nDSG die für die Einschränkung des Auskunftsrechts vorgesehenen Gründe sinngemäss ebenso für die Verweigerung, Einschränkung oder den Aufschub einer Herausgabe oder Übertragung der Personendaten, beispielsweise zum Schutz überwiegender Interessen des Verantwortlichen (z. B. bei Geschäftsgeheimnissen oder geistigem Eigentum) oder zum Schutz von überwiegender Interessen Dritter. Dies sollte jedoch nicht dazu führen, dass der betroffenen Person jegliche Informationsweitergabe verweigert wird. Vielmehr muss im Rahmen einer Verhältnismässigkeitsprüfung und Interessenabwägung im Einzelfall bestimmt werden, ob und welche Personendaten an die betroffene Person herauszugeben oder auf einen anderen Verantwortlichen zu übertragen sind.

Verweigert oder beschränkt der Verantwortliche die Herausgabe oder Übertragung von Personendaten oder schiebt diese auf, ist er gemäss Artikel 29 Absatz 2 nDSG der betroffenen Person gegenüber zur Begründung verpflichtet.