nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 17 E-DSG, welcher im revDSG als Art. 19 ausgestaltet ist.)

In Artikel 17 E‑DSG wird neu die Informationspflicht bei der Beschaffung von Daten geregelt. Die Artikel 14, 18 und 18a DSG werden damit in einer Norm zusammengeführt. Dadurch werden Doppelspurigkeiten vermieden und es gilt eine einheitliche Regelung für die Datenbearbeitung durch Bundesorgane und private Verantwortliche. Die Bestimmung entspricht den Anforderungen von Artikel 7bis E‑SEV 108 sowie Artikel 13 der Richtlinie (EU) 2016/680. Die Artikel 13 f. der Verordnung (EU) 2016/679 enthalten eine ähnliche Regelung.

Die Informationspflicht verbessert die Transparenz bei der Datenbearbeitung, die ein zentrales Ziel der Revision ist. Denn regelmässig kann die betroffene Person ohne entsprechende Informationen nicht erkennen, dass Daten über sie bearbeitet werden. Zugleich kann die betroffene Person ihre Rechte gemäss dem DSG nur wahrnehmen, wenn ihr eine Datenbearbeitung bekannt ist. Durch die verbesserte Transparenz bei der Datenbearbeitung werden daher auch die Rechte der betroffenen Person gestärkt, was ebenfalls ein zentrales Anliegen der Revision ist. Schliesslich dient die Informationspflicht der Sensibilisierung der Bevölkerung für den Datenschutz, die mit der Revision ebenso angestrebt wird.

Abs. 1 Grundsatz

Gemäss Absatz 1 muss der Verantwortliche die betroffene Person über die Beschaffung von Personendaten informieren. Dies gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.

Der E‑DSG legt nicht fest, auf welche Weise die Information erfolgen muss. Der Verantwortliche muss aber sicherstellen, dass die betroffene Person die Information tatsächlich zur Kenntnis nehmen kann. Sicherzustellen ist damit die Möglichkeit, sich in einfach zugänglicher Weise zu informieren, nicht aber, dass sich die betroffene Person im konkreten Fall wirklich informiert. Diese Möglichkeit, Informationen zur Kenntnis zu nehmen, hängt wesentlich davon ab, ob die Daten bei der betroffenen Person beschafft werden oder nicht.

So kann eine allgemeine Information genügen, wenn die Personendaten bei der betroffenen Person beschafft werden (zu allgemeinen Geschäftsbedingungen vgl. Art. 18 Abs. 1). Denkbar sind in diesem Fall eine Datenschutzerklärung auf einer Website, aber gegebenenfalls auch Symbole oder Piktogramme, soweit sie die nötigen Informationen wiedergeben. Wird eine allgemeine Form gewählt, muss die Information leicht zugänglich, vollständig und genügend sichtbar gemacht sein. Auch ein mehrstufiger Zugang ist möglich, der beispielsweise auf einer ersten Stufe eine Übersicht enthält, die auf einer zweiten Stufe Zugang zu detaillierten Informationen gibt. Nicht ausreichend ist hingegen, wenn einfach eine Kontaktperson angegeben wird. Die betroffene Person soll die Informationen erhalten, ohne dass sie zuerst danach fragenmuss.

Werden die Daten hingegen nicht bei der betroffenen Person beschafft, muss der Verantwortliche prüfen, wie die Information erfolgen muss, damit die betroffene Person tatsächlich von ihr Kenntnis nehmen kann. Gegebenenfalls reicht es in diesem Fall nicht aus, lediglich Informationen zur Verfügung zu stellen, sondern die betroffene Person muss aktiv informiert werden, sei dies in einer geeigneten allgemeinen Form oder durch individuelle Information. So wird beispielsweise eine Person, die nie Bücher kauft, kaum die Website eines Online-Buchhändlers besuchen und dessen Datenschutzerklärung lesen. Dementsprechend wird sie aufgrund dieser allgemeinen Erklärung auch nicht erfahren, dass der Online-Buchhändler Daten über sie bearbeitet, weil sie gar nicht damit rechnet. Die Informationspflicht soll damit grundsätzlich auch verhindern, dass ohne Wissen der betroffenen Person Daten über sie bearbeitet werden; vorbehalten bleiben die Ausnahmen in Artikel 18.

Die Information ist zwar keinem Formerfordernis unterworfen, aber es ist insgesamt eine Form zu wählen, welche dem Zweck einer transparenten Datenbearbeitung gerecht wird. Aus Beweisgründen ist es zudem empfehlenswert, die Information zu dokumentieren oder schriftlich zu geben. Auch muss die Information verständlich abgefasst sein, sodass sie tatsächlich dem Zweck einer transparenten Datenbearbeitung dient.

Abs. 2 Mitzuteilende Informationen

Der Einleitungssatz von Absatz 2 legt den Grundsatz fest, an dem sich der Verantwortliche bei der Mitteilung von Informationen orientieren muss. Demnach muss er der betroffenen Person diejenigen Informationen mitteilen, die erforderlich sind, um ihre Rechte nach dem Gesetz geltend zu machen und eine transparente Datenbearbeitung zu gewährleisten. Die Buchstaben a – c konkretisieren diesen Grundsatz durch Mindestangaben, welche der betroffenen Person in jedem Fall mitgeteilt werden müssen. Dabei handelt es sich nach Buchstabe a um die Identität, d.h. den Namen, und die Kontaktdaten des Verantwortlichen und nach Buchstabe b den Bearbeitungszweck. Gegebenenfalls sind zudem nach Buchstabe c die Empfänger oder die Kategorien von Empfängern anzugeben, denen die Personendaten bekanntgegeben werden. Dabei besteht ein Wahlreicht auf Seiten des Verantwortlichen, ob er die Empfänger oder lediglich die Kategorien von Empfängern angeben möchte. Wie auch in der Europäischen Union (vgl. Art. 4 Ziff. 9 der Verordnung [EU] 2016/679) gehören auch Auftragsbearbeiter zu den Empfängern im Sinne der Bestimmung. Will der Verantwortliche deren Identität jedoch nicht offenlegen, kann er sich mit der Angabe der Kategorie begnügen. Der Beauftragte hätte bevorzugt, wenn darüber hinaus auch die Rechtsgrundlage der Bearbeitung mitgeteilt hätte werden müssen.

Durch die Kombination aus einer allgemeinen Vorschrift, welche die grundsätzlichen Anforderungen an die zu übermittelnden Informationen enthält, und spezifischen Mindestangaben lässt sich die Informationspflicht flexibel handhaben. Entsprechend der Art der bearbeiteten Daten, der Natur und dem Umfang der fraglichen Datenbearbeitung muss der Verantwortliche verstärkt informieren oder nicht. So kann es beispielsweise auch nötig sein, über die Dauer der Bearbeitung, oder die Anonymisierung von Daten zu informieren. Diese Flexibilität ist erforderlich, weil das DSG auf eine Vielzahl unterschiedlicher Datenbearbeitungen anwendbar ist. Zugleich wird durch eine flexible Regelung sichergestellt, dass die Verantwortlichen keine unnötigen Informationen übermitteln müssen und die betroffenen Personen nur erforderliche Informationen erhalten. Ebenfalls erlaubt dies den Verantwortlichen, die Informationspflicht für ihre spezifische Branche in Verhaltenskodizes zu konkretisieren.

Abs. 3 Kategorien der Personendaten

Nur wenn die Daten nicht bei der betroffenen Person beschafft werden, muss der Verantwortliche nach Absatz 3 der betroffenen Person zudem mitteilen, welche Kategorien von Personendaten er bearbeitet. Diese Einschränkung ergibt sich aus der Annahme, dass der betroffenen Person zumindest die Kategorien von Daten oder sogar die Daten bekannt sein dürften, wenn diese bei ihr beschafft werden. Wenn die Daten nicht bei der betroffenen Person beschafft werden, hat diese keine Möglichkeit zu erfahren, welche Kategorien von Daten über sie bearbeitet werden, und muss daher entsprechend informiert werden.

Abs. 4 Bekanntgabe ins Ausland

Werden die Personendaten ins Ausland bekanntgegeben, muss der Verantwortliche die betroffene Person auch über den Staat informieren, in den die Daten gelangen. Falls dieser Staat keinen angemessenen Schutz gewährleistet und der Verantwortliche auf Garantien nach Artikel 13 Absatz 2 zurückgreift, muss er der betroffenen Person auch diese Garantien mitteilen. Dasselbe gilt, wenn die Bekanntgabe aufgrund einer Ausnahme nach Artikel 14 erfolgt.

Abs. 5 Zeitpunkt der Information

Werden die Daten bei der betroffenen Person beschafft, muss sie in diesem Zeitpunkt informiert werden. Dies ergibt sich aus Absatz 2.

Absatz 5 regelt den Zeitpunkt der Information, wenn die Daten nicht bei der betroffenen Person beschafft werden. Die Bestimmung legt dafür eine maximale Frist von einem Monat fest, innerhalb der die Information erfolgen muss. Satz 2 enthält eine kürzere Frist für den Fall, dass der Verantwortliche die Personendaten vor Ablauf dieser einmonatigen Frist an Empfänger bekanntgibt. Dann muss die betroffene Person spätestens zum Zeitpunkt der Bekanntgabe informiert werden.

Zusammenfassend gilt damit eine grundsätzliche Frist von einem Monat, nachdem der Verantwortliche die Daten erhalten hat. Diese Frist gilt unabhängig davon, wofür die Personendaten verwendet werden. Eine kürzere Frist gilt nur, wenn der Verantwortliche die Personendaten an Empfänger bekannt gibt.