nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 23 E-DSG, welcher im revDSG als Art. 25 ausgestaltet ist.)

Das Auskunftsrecht ergänzt die Informationspflicht des Verantwortlichen und bildet die zentrale Grundlage dafür, dass die betroffene Person ihre Rechte nach diesem Gesetz überhaupt wahrnehmen kann. Das Auskunftsrecht ist ein subjektives höchstpersönliches Recht, das auch urteilsfähige handlungsunfähige Personen selbständig, ohne Zustimmung ihres gesetzlichen Vertreters, geltend machen können. Aus dem Charakter des höchstpersönlichen Rechts ergibt sich auch, dass niemand im Voraus auf das Auskunftsrecht verzichten kann (Art. 23 Abs. 5 E‑DSG).

Abs. 1 Grundsatz

Nach Absatz 1 kann jede Person vom Verantwortlichen kostenlos Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Die Bestimmung bleibt, abgesehen von redaktionellen Anpassungen, unverändert im Verhältnis zum bisherigen Recht.

Abs. 2 Mitzuteilende Informationen

Absatz 2 hält fest, dass die betroffene Person aufgrund eines Auskunftsbegehrens diejenigen Informationen erhält, die ihr auch aufgrund der Informationspflicht mitgeteilt werden müssen (vgl. Art. 17 Abs. 2 E‑DSG). Dabei handelt es sich grundsätzlich um diejenigen Informationen, die erforderlich sind, damit die betroffene Person ihre Rechte nach dem Gesetz geltend machen kann und damit eine transparente Datenbearbeitung gewährleistet ist. Dies verdeutlicht den engen Zusammenhang von Auskunftsrecht und Informationspflicht. Zugleich wird auf diese Weise der zentrale Zweck des Auskunftsrechts hervorgehoben, wie ihn auch das Bundesgericht festgehalten hat, nämlich der betroffenen Person zu ermöglichen, ihre Rechte im Bereich des Datenschutzes geltend zu machen. Die Präzisierung erfolgt vor dem Hintergrund der zahlreichen Stellungnahmen in der Vernehmlassung sowie in der Lehre, die kritisieren, dass das Auskunftsrecht häufig zu anderen, datenschutzfremden Zwecken verwendet werde. Angesprochen sind insbesondere Fälle, in denen das Auskunftsrecht ausschliesslich zur Beschaffung von Beweismitteln für Zivilprozesse benutzt wird, die in keinem Zusammenhang mit dem Datenschutz stehen. Dadurch wird die Beschaffung von Beweismitteln, die zugleich als Personaldaten nach dem DSG zu bezeichnen sind, in einer Form ermöglicht, wie sie im geltenden Verfahrensrecht nicht vorgesehen ist. Andere Beweismittel, die keine Personendaten darstellen, sind hingegen auf den üblichen prozessrechtlichen Wegen zu beschaffen. Daraus ergeben sich sachlich nicht gerechtfertigte Unterschiede in der Beweismittelbeschaffung.

Die Buchstaben a bis g enthalten eine Liste der Informationen, welche der betroffenen Person in jedem Fall mitzuteilen sind. Die nicht abschliessende Aufzählung erfasst grundsätzlich sämtliche Informationen, die der Verantwortliche der betroffenen Person mitteilen muss. Subsidiär erlaubt die Generalklausel im Einleitungssatz, gegebenenfalls weitere Informationen zu verlangen, wenn diese für die betroffene Person erforderlich sind, um ihre Rechte nach diesem Gesetz geltend zu machen und eine transparente Datenbearbeitung zu gewährleisten. Wenn er grosse Datenmengen über die betroffene Person bearbeitet, kann der Auskunftspflichtige gegebenenfalls verlangen, dass die betroffene Person präzisiert, auf welche Informationen oder welche Bearbeitungsvorgänge sich ihr Auskunftsgesuch bezieht. In jedem Fall erhält die betroffene Person zunächst Auskunft über die Identität und die Kontaktdaten des Verantwortlichen (Bst. a). Je nachdem wird sie diese Informationen bereits haben (z. B. aufgrund der Informationspflicht) und sie werden ihr bestätigt. Denkbar ist aber auch, dass die betroffene Person erst in diesem Zeitpunkt von einem Verantwortlichen erfährt, z. B. wenn es mehrere Verantwortliche gibt. Darüber hinaus müssen ihr die bearbeiteten Personendaten (Bst. b) und der Bearbeitungszweck (Bst. c) mitgeteilt werden. Ebenso erhält die betroffene Person Auskunft darüber, wie lange die Daten aufbewahrt werden, oder, wenn dies nicht möglich ist, nach welchen Kriterien sich die Aufbewahrungsdauer richtet (Bst. d). Diese Informationen erlauben ihr insbesondere nachzuvollziehen, ob der Verantwortliche die Daten entsprechend den Grundsätzen in Artikel 5 E‑DSG bearbeitet. Da die Aufbewahrungsdauer aufgrund der Informationspflicht regelmässig nicht mitgeteilt werden muss, soll die betroffene Person sie im Rahmen des Auskunftsrechts in jedem Fall erhalten. Ebenfalls erhält die betroffene Person die verfügbaren Angaben über die Herkunft der Daten, soweit sie nicht bei ihr erhoben wurden (Bst. e). Gegebenenfalls wird der betroffenen Person mitgeteilt, ob eine automatisierte Einzelentscheidung vorliegt (Bst. f). In diesem Fall erhält sie ebenfalls Informationen über die Logik, auf der die Entscheidung beruht. Dabei müssen nicht unbedingt die Algorithmen mitgeteilt werden, die Grundlage der Entscheidung sind, weil es sich dabei regelmässig um Geschäftsgeheimnisse handelt. Vielmehr müssen die Grundannahmen der Algorithmus-Logik genannt werden, auf der die automatisierte Einzelentscheidung beruht. Das bedeutet beispielsweise, dass die betroffene Person Auskunft darüber erhält, dass sie aufgrund eines negativen Scoring-Resultats einen Vertrag zu schlechteren Konditionen abschliessen kann, als dies offeriert wurde. Darüber hinaus muss sie aber auch über die Menge und die Art der für das Scoring herangezogenen Informationen sowie deren Gewichtung informiert werden. Schliesslich erhält die betroffenen Person Informationen über die Empfänger oder die Kategorien von Empfängern, denen die Personendaten bekanntgegeben werden (Bst. g). Falls die Empfänger sich im Ausland befinden, nennt der Auskunftspflichtige zudem den Staat, in den die Daten bekanntgegeben werden, sowie gegebenenfalls die Garantien nach Artikel 13 Absatz 2 E‑DSG oder die Anwendung einer Ausnahme nach Artikel 14 E‑DSG.

Abs. 3 und 4

Aus dem geltenden Recht unverändert übernommen wurde Absatz 3, wonach der Verantwortliche Informationen über die Gesundheit der betroffenen Person durch eine von dieser bezeichneten Gesundheitsfachperson mitteilen kann. Die Gesundheitsfachperson muss die Qualifikationen haben, die im fraglichen Fall erforderlich sind. Vorgesehen ist aber neu die Einwilligung der betroffenen Person, dass ihr die Daten über eine andere Person mitgeteilt werden. Dies verbessert die Wahlmöglichkeiten der betroffenen Person. Ebenfalls wird der Kreis der möglichen Personen erweitert, indem von einer Gesundheitsfachperson die Rede ist. Beide Ergänzungen erfolgen aufgrund der Vernehmlassung.

Satz 1 von Absatz 4 bleibt unverändert. Demnach ist grundsätzlich stets der Verantwortliche auskunftspflichtig, selbst wenn er die Bearbeitung an einen Auftragsbearbeiter delegiert. Richtet die betroffene Person ein Auskunftsgesuch versehentlich an den Auftragsbearbeiter, muss dieser ihr den Verantwortlichen nennen oder das Gesuch entsprechend weiterleiten. Der Auftragsbearbeiter muss in einem solchen Fall nicht selbst Auskunft geben, aber er darf die betroffene Person bei der Ausübung ihres Auskunftsrechts auch nicht behindern. Satz 2 der Bestimmung wird hingegen gestrichen.

Abs. 5

Diese Bestimmung entspricht dem bisherigen Artikel 8 Absatz 6 DSG.

Abs. 6

Absatz 6 gibt dem Bundesrat die Möglichkeit, in der Verordnung Ausnahmen von der Kostenlosigkeit vorzusehen. Diese Möglichkeit besteht schon im bisherigen Recht (vgl. Art. 2 VDSG). In der Vernehmlassungsvorlage wurde sie gestrichen, was erheblich kritisiert wurde, unter anderem mit der Begründung, dass Ausnahmen von der Kostenlosigkeit eine Möglichkeit seien, um Missbräuchen des Auskunftsrechts vorzubeugen. Aufgrund der Kritik in der Vernehmlassung wird diese Vorschrift nun beibehalten. Der Bundesrat wird dabei der Tatsache Rechnung tragen, dass gewisse Auskunftsersuchen für den Verantwortlichen mit einem grossen Aufwand verbunden sind.