Datenschutz Grundsätze Schweiz

Der nachfolgende Beitrag soll Dir einen Überblick über die Grundsätze verschaffen, nach denen personenbezogene Daten in der Schweiz bearbeitet werden dürfen. Dieser Beitrag orientiert sich am geltenden schweizerischen Datenschutzgesetz (DSG).

Weshalb dürfen Daten von Personen in der Schweiz beschafft und bearbeitet werden?

Das Beschaffen von Personendaten und die anschliessende Datenbearbeitung unterliegt den gewissen gesetzlichen Grundsätzen. Wenn die Grundsätze nicht beachtet werden, kann dies die Persönlichkeit einer von der Datenbearbeitung betroffenen Person verletzen. Ein Beispiel:

Anna bewirbt sich auf eine Stelle als Compliance Officer in einer Versicherung. Dabei sendet sie ihr umfassendes Bewerbungsdossier ab. Danach wird sie zu mehreren Vorstellungsgesprächen und einem Test eingeladen. Alle diese Massnahmen haben zu Ziel, ein möglichst genaues Bild über die Persönlichkeit von Anna zu erhalten. Es werden sogar Recherchen in Social Media vorgenommen. Anna weiss aber nicht, wie genau sie tatsächlich durchleuchtet und analysiert wird.

Über Anna wird ein sog. Persönlichkeitsprofil erstellt. Gemäss Art. 4 Abs. 5 DSG wird hierfür eine ausdrückliche Einwilligung von Anna verlangt. Da die Versicherung diese Einwilligung nicht eingeholt hat, verletzt die Erstellung des Persönlichkeitsprofils die Bearbeitungsgrundsätze.

Wenn bei einer Datenerhebung oder einer Datenbearbeitung die Grundsätze missachtet werden, ist eine zusätzliche Rechtfertigung nötig. Werden die Grundsätze hingegen eingehalten, dürfen die Datenbearbeitungen ohne zusätzlichen Rechtfertigungsgrund erfolgen.

Die Bearbeitungsgrundsätze schreiben vor, dass Personendaten rechtmässig, nach dem Grundsatz von Treu und Glauben transparent sowie unter Beachtung der Verhältnismässigkeit bearbeitet werden müssen. Dabei muss ausserdem der Zweckbindungsgrundsatz beachtet werden.

Was die Grundsätze im Einzelnen und in ihrer konkreten Anwendung bedeuten, erklären wir Dir nachfolgend.

Wann erfolgt eine Datenbearbeitung unrechtmässig?

Werden Personendaten bearbeitet, muss dies in Übereinstimmung mit den geltenden Vorschriften und Gesetzen geschehen. Rechtswidrig ist das Bearbeiten oder Beschaffen von Daten daher in den folgenden Fällen:

• Wenn gegen die Bestimmungen des Strafrechts verstossen wird.
  Beispiel: Der Geheim- oder Privatbereich einer Person wird durch eine unerlaubte Videoüberwachung oder Abhörung verletzt oder eine Person wird mit Androhung von Gewalt gezwungen, ihre Kontodaten zu übermitteln.

• Beim Verstoss gegen vertragsrechtliche Normen.
  Beispiel: Daten des Vertragspartners werden an Dritte weitergegeben, obwohl dies der Vertrag verbietet.

• Beim Verstoss gegen die Normen des DSG selbst.
  Beispiel: Bei einer unverhältnismässigen Datenbearbeitung oder bei der Missachtung des Grundsatzes von Treu und Glauben (siehe nächste Abschnitte).

Wann ist eine Datenbearbeitung intransparent und verletzt damit den Grundsatz von Treu und Glauben?

Intransparent ist, wenn eine Datenbearbeitung heimlich erfolgt. So beispielsweise eine App, die ohne einen entsprechenden Hinweis in der Datenschutzerklärung das Verhalten ihrer Nutzer/-innen trackt und auswertet.

Ausserdem müssen betroffene Personen über Datenpannen informiert werden. So zum Beispiel, wenn eine E-Mail mit heiklen Anhängen falsch versendet wird oder wenn von einer Fluggesellschaft Passagierdaten gestohlen werden.

Was besagt das Zweckbindungsprinzip?

Personendaten müssen für den angegebenen Zweck verwendet werden. Dieser Verwendungszweck muss vor der Beschaffung der Daten für die betroffene Person ersichtlich sein. Der Zweck kann sich aus einer von drei Varianten ergeben:

1. Eine Offenlegung bei der Erhebung der Daten: Beim Vertragsschluss, einer Onlinebestellung oder Buchung, bei der Newsletteranmeldung, bei der Registration für ein Social Media Profil unter Verweis auf die Datenschutzerklärung.  

2. Eine gesetzliche Aufgabe: Weiter kann sich der Zweck direkt aus dem Gesetz ergeben, bspw. aus dem Steuergesetz. Die Steuerverwaltung bearbeitet Daten, um die öffentliche Aufgabe der Veranlagung oder der Einziehung von Steuern zu erfüllen.

3. Die Umstände: In einigen weiteren Fällen kann sich der Verwendungszweck auch aus den Umständen der Datenerhebung ergeben. Dies ist z.B. der Fall, wenn ein Arzt seine Patienten über allfällige Allergien befragt.

Dagegen ist eine Weiterverwendung der beschafften Daten für andere bzw. neue Zwecke unzulässig. Daten, die bspw. zu statistischen Zwecken erhoben wurden, dürfen nicht für anschliessende Werbung verwendet werden. So ist es nicht erlaubt, Geburtsdaten von den Einwohnern einer Gemeinde zu erfassen und anschliessend an bestimmte Altersgruppen spezifische Werbeflyer zu versenden.

Was passiert, wenn Datenbearbeitungen gegen die Grundsätze verstossen?

Eine Datenbearbeitung, welche die Grundsätze nicht befolgt, stellt eine unzulässige Verletzung der Persönlichkeit dar. Das kann unter Umständen eine Strafverfolgung, eine Busse oder Schadenersatzforderungen zur Folge haben. Solche Nachteile drohen jedoch nicht immer. Liegt ein Rechtfertigungsgrund vor, ist eine Datenbearbeitung trotz eines Verstosses gegen die Bearbeitungsgrundsätze zulässig. Die drei möglichen Rechtfertigungsgründe sind die Folgenden:

• Die betroffene Person willigt in die Datenbearbeitung ein;

• Die überwiegenden privaten oder öffentlichen Interessen des Verantwortlichen rechtfertigen eine Datenbearbeitung
  Beispiel: Ein überwiegendes privates Interesse kann gegeben sein, wenn ein Vermieter Betreibungsdaten über einen potentiellen Mieter einholt. Ein überwiegendes öffentliches Interesse ist beispielsweise das Interesse an der Aufklärung einer Straftat (wobei Letzteres in der Regel von Behörden vorgenommen wird, deren Handeln auf einer gesetzlichen Grundlage beruht);

• Gesetzliche Bestimmungen erlauben die spezifische Datenbearbeitung
  Beispiel: Wenn ein Verdacht auf Missbrauch besteht, dürfen speziell zugelassene Sozialversicherungsdetektive im Auftrag von Sozialversicherungen heimliche Ton- und Bildaufnahmen von Invalidenrentenbezügern erstellen.

Gibt es noch weitere wichtige Grundsätze für die Bearbeitung von Daten?

Bei der Datenbearbeitung muss neben den erwähnten Prinzipien stets die Datensicherheit beachtet werden. So ist es die Pflicht von Verantwortlichen und Auftragsbearbeitern, angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten zu treffen. So beispielsweise indem die eigene Webseite mittels der sogenannten SSL-Verschlüsselung gesichert wird.