Einleitung zum Datenschutz

Trotz dynamischen Umfelds unserer Informationsgesellschaft hat sich am Grundanliegen des Persönlichkeitsschutzes, wie es vom Gesetzgeber im Datenschutzgesetz (DSG), in den 1980er-Jahren konzipiert und 1993 in Kraft gesetzt, berücksichtigt wurde, nichts geändert.

Der Datenschutz verfolgt den Schutz des Persönlichkeitsrechts von Personen bei der Datenverarbeitung in technisch-organisatorischer Hinsicht (Wahrung der Vertraulichkeit und Integrität) und beinhaltet das Recht jedes Menschen, grundsätzlich selbst darüber zu entscheiden, wem wann welche seiner persönlichen Daten zugänglich sein sollen.

Basics

Das Datenschutzrecht gilt als Konkretisierung des verfassungsmässigen Persönlichkeitsschutzes (vgl. auch BV 10 Abs. 2 und BV 13). Dieser grundrechtliche Datenschutz beinhaltet nicht nur negative Abwehrrechte, sondern auch positive Schutzpflichten des Staates. DSG 1 stellt die Leitlinie für den Datenschutz auf. Nicht zu verkennen sind die zwei konzeptionellen Ausrichtungen des DSG: Legalitätsprinzip im öffentlich-rechtlichen Bereich und Prinzip der Rechtfertigung im privatrechtlichen Bereich. Keine Grundsätze ohne Ausnahmen: DSG 2 statuiert die Ausnahmen vom Geltungsbereich. Es sind daher die vom DSG gesetzten Rahmenbedingungen bei der Datenbearbeitung zu beachten:

Begriffe

  • Datenschutz   =   Schutz von Privatpersonen vor Beeinträchtigungen ihrer Privatsphäre durch unbefugte Erhebung, Speicherung und Weitergabe von Daten, die ihre Person betreffen
  • Personendaten (Daten)   =   alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen
  • betroffene Personen   =   natürliche oder juristische Personen, über die Daten bearbeitet werden;
  • besonders schützenswerte Personendaten   =   Daten über:
    • die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten,
    • die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit,
    • Massnahmen der sozialen Hilfe,
    • administrative oder strafrechtliche Verfolgungen und Sanktionen;
  • Persönlichkeitsprofile   =   eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt;
  • Bearbeiten   =   jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten;
  • Bekanntgeben   =   das Zugänglichmachen von Personendaten wie das Einsicht gewähren, 
  • Datensammlung   =   jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind;
  • Bundesorgane   =   Behörden und Dienststellen des Bundes sowie Personen, soweit sie mit öffentlichen Aufgaben des Bundes betraut sind;
  • Inhaber der Datensammlung   =   private Personen oder Bundesorgane, die über den Zweck und den Inhalt der Datensammlung entscheiden;

Grundlagen

  • Bundesgesetz über den Datenschutz vom 19.06.1992 (Datenschutzgesetz (DSG); SR 235.1)
  • Verordnung zum Bundesgesetz über den Datenschutz vom 14.06.1993 ((VDSG); SR 235.11)
  • Verordnung über die Datenschutzzertifizierungen vom 28.09.2007 ((VDSZ); SR 235.13)
  • Verordnung vom 12.11.2006 über den Pilotbetrieb des nationalen Polizeiindexes (SR 235.12)
  • Verordnung (EU) 2016/679 (Datenschutzgrundverordnung (DSGVO))
  • E-DSG (Entwurf über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz
  • Schweizerische Bundesverfassung (SR 101)
  • EMRK (Konvention zum Schutze der Menschenrechte und Grundfreiheiten vom 04.11.1950

Zweck

Das DSG bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (vgl. DSG 1).

Anwendungsbereich

Das DSG gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch:

  • private Personen
  • Bundesorgane.

Das DSG ist nicht anwendbar auf:

  • Personendaten, die eine natürliche Person ausschliesslich zum persönlichen Gebrauch bearbeitet und nicht an Aussenstehende bekannt gibt;
  • Beratungen in den Eidgenössischen Räten und in den parlamentarischen Kommissionen;
  • hängige Zivilprozesse, Strafverfahren, Verfahren der internationalen Rechtshilfe sowie staats- und verwaltungsrechtliche Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren;
  • öffentliche Register des Privatrechtsverkehrs;
  • Personendaten, die das Internationale Komitee vom Roten Kreuz bearbeitet.

Vgl. DSG 2.

Allgemeiner Datenschutz

Die Bestimmungen von DSG 4 – 11a enthalten Normen, die sowohl für Privatpersonen als auch für Bundesorgane gelten und das zentrale Recht auf Auskunft der betroffenen Person regeln. DSG 4 statuiert die allgemeinen rechtlichen Grundsätze wie Rechtmässigkeit, Verhalten nach Treu und Glauben und Verhältnismässigkeit sowie die datenspezifischen Prinzipien von Erkennbarkeit und Zweckbindung. Dieser DSG Abschnitt behandelt auch die Einwilligung, je nach Art der Daten in Bezug auf die vorgängige Information und die Form der Einwilligung. Schliesslich besteht eine Vergewisserungspflicht bezüglich Datenrichtigkeit. Hinsichtlich der Datensicherheit für die betroffene Person besteht ein Anspruch auf angemessenen Schutz ihrer Daten, mit den dafür notwendigen organisatorischen und technischen Massnahmen. In diesem DSG-Abschnitt werden die grenzüberschreitende Datenbekanntgabe (DSG 6), das in der Informatik übliche Outsourcing (DSG 10a), die öffentlichen Register der Datensammlungen (DSG 11a), einschliesslich der betrieblichen Datenschutzverantwortlichen, normiert. Das Recht auf Auskunft ergibt sich direkt aus BV 13. Die Modalitäten des Auskunftsrechts, das Verweigerungsrecht unter gewissen Voraussetzungen, aber auch die Einschränkungen und der Aufschub, sind in DSG 9 enthalten. Für Datensammlungen der Medien gelten Spezialbestimmungen (DSG 10). Die Themen sind also:

  • Datenrichtigkeit
  • Grenzüberschreitende Datenbekanntgabe
  • Datensicherheit
  • Auskunftsrecht
  • Auskunftsrechts-Einschränkung
  • Medienauskunftsrechts-Einschränkungen
  • Datenbearbeitung durch Dritte
  • Zertifizierungsverfahren
  • Datensammlungs-Register

Datenschutz-Prinzipien

Jede Personendaten-Bearbeitung ist auf die Einhaltung dieser Grundsätze:

  • zu planen
  • laufend zu überprüfen bzw. zu überwachen
  • während des Datenkreislaufs sicherzustellen.

Grundsatz der Rechtmässigkeit

Die Personendaten dürfen nur rechtmässig bearbeitet werden (vgl. DSG 4 Abs. 1).

An einer rechtmässigen Bearbeitung fehlt es, wenn die Bearbeitung einer rechtlich verbindlichen Regulierung, welche den Persönlichkeitsschutz bezweckt, verletzt.

Beispiel: Öffnung eines e-mails durch einen Nichtberechtigten (Verletzung des strafbewehrten Briefgeheimnisses (StGB 179)).

Grundsatz von Treu und Glauben

Die Bearbeitung von Personendaten hat nach Treu und Glauben zu erfolgen (vgl. DSG 4 Abs. 2).

Der Grundsatz von Treu und Glauben erfordert einen fairen und vertrauenswürdigen Umgang mit Personendaten. Auf diesen Grundsatz wird im Sinne einer Generalklausel zurückgegriffen, wenn keiner der anderen Datenbearbeitungsgrundsätze greift. Der Grundsatz von Treu und Glauben ist mittelbar auch im Grundsatz der Transparenz mitenthalten.

Das DSG enthält keine Pflicht zur Meldung von Datenschutzverletzungen. Gleichwohl kann gestützt auf den Grundsatz von Treu und Glauben im Einzelfall eine Obliegenheit bestehen, eine Datenschutzverletzung wie Hacking-Vorfall, Datenleck usw. den betroffenen Personen

Beispiel: Information des EDÖB bei einem missbräuchlichen Datenzugriff, bei welchem Daten von Privaten kompromittiert wurden.

Grundsatz der Verhältnismässigkeit

Der Grundsatz der Verhältnismässigkeit verlangt, dass die Datenbearbeitung für den konkreten Bearbeitungszweck objektiv geeignet und erforderlich ist. Die Beurteilung ist vom Einzelfall und vom konkreten Zweck der Bearbeitung abhängig (vgl. DSG 4 Abs. 2)

Beispiel: keine Erhebung nicht benötigter Personendaten resp. Vernichtung oder Anonymisierung nicht mehr benötigter Personendaten.

Grundsatz der Zweckbindung

Die Personendaten dürfen nur für den bei der Beschaffung angegebenen Zweck oder den Zweck, der aus den Umständen ersichtlich oder gesetzlich vorgesehen ist, bearbeitet werden (vgl. DSG 4 Abs. 3).

Der Verwendungszweck muss vor der Datenbeschaffung feststehen oder ersichtlich sein.

Eine Datenbeschaffung „auf Vorrat“ ist nicht nur unverhältnismassig, sondern verletzt auch den Grundsatz der Zweckbindung.

Beispiel: Personendatenverwendung bei erneuter Stellenbesetzung ohne Zustimmung des Bewerbers

Grundsatz der Transparenz resp. der Erkennbarkeit

Die Personendatenbeschaffung und der Bearbeitungszweck müssen erkennbar sein (vgl. DSG 4 Abs. 4).

Die Datenbeschaffung soll für die betroffenen Personen transparent gemacht werden.

Von einer Information kann nur in folgenden Fällen abgesehen werden:

  • betroffene Person ist bereits informiert
  • Datenspeicherung oder Datenbekanntgabe sind in Gesetz ausdrücklich vorgesehen
  • Unmöglichkeit oder Unverhältnismässigkeit der Information.

Beispiel: Videoüberwachung bestimmter Betriebsbereiche muss erkennbar sein.

Grundsatz der Datenrichtigkeit

Der Datenverarbeiter hat dafür zu sorgen, dass die bearbeiteten Personendaten richtig sind (vgl. DSG 5 Abs. 1).

Dabei ist zu berücksichtigen:

  • Alterung der Daten
  • Regelmässige Überprüfung der Daten
  • Datenberichtigung
  • Unterscheidung in statische, unverändert bleibende Daten und änderungsmögliche Daten

Beispiel: gleich bleibendes Geburtsdatum, anpassungsnotwendiger Zivilstand.

Organisatorische oder technische Massnahmen in Bezug auf:

  • Sicherstellung, dass unrichtige oder unvollständige Daten berichtigt oder gelöscht werden.

Grundsatz der Datensicherheit

Personendaten sind durch angemessene technische oder organisatorische Massnahmen gegen unbefugtes Bearbeiten zu schützen (vgl. DSG 7).

Beispiel: Gefahr von Daten-Hacking

Angesichts der Datenbearbeitungs-Automatisierung ist der Datenschutz ohne angemessene Datensicherheitssysteme und Datensicherheitsmechanismen gar nicht mehr möglich.

Gemäss VDSG 8 sind Verfügbarkeit und Integrität der Daten bestmöglich und nach dem aktuellen Stand der Technik zu gewährleisten. Die von der VDSG genannten Risiken, die zu eliminieren bzw. minimieren sind:

  • Unbefugte oder zufällige Vernichtung
  • Zufälliger Verlust
  • Fälschung, Diebstahl oder widerrechtliche Verwendung
  • Unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitung.

Bei der Festsetzung der Massnahmen sind die folgenden Kriterien zu berücksichtigen:

  • Zweck der Datenbearbeitung
  • Art und Umfang der Datenbearbeitung
  • Einschätzung der möglichen Risiken für die betreffenden Personen
  • Gegenwärtiger Stand der Technik.

Die VDSG ordnet keine konkreten Massnahmen an, da diese vom Einzelfall abhängig sind und von Art und Umfang der Daten abhängen.

Die weiteren Anforderungen an die Massnahmen sind:

  • Vertraulichkeit
  • Angemessenheit (vgl. VDSG 7)
  • Kontroll- und Eingriffsmöglichkeit
  • Zielerreichung der Massnahmen durch entsprechende Ausgestaltung (vgl. VDSG 9)
    • Zugangskontrolle
      • Unbefugten Personen ist der Zugang zum Datenverarbeitungssystem zu verwehren
    • Berechtigungskontrolle
      • Unbefugten Personen ist das Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verunmöglichen
    • Transportkontrolle
      • Beim Datentransfer ist unbefugtes Lesen, Kopieren, Verändern und Löschen zu verhindern
    • Bekanntgabekontrolle
      • Datenempfänger, welchen Personendaten bekanntgegeben werden, müssen identifiziert werden
    • Speicherkontrolle
      • Unbefugte Eingaben in den Speicher und die unbefugte Einsichtnahme, Veränderung oder Löschung gespeicherter Personendaten ist zu verhindern
    • Zugriffskontrolle
      • Der Zugriff berechtigter Personen ist auf Personendaten zu beschränken, die sie zur Aufgabenerfüllung benötigen
    • Eingabekontrolle
      • Vor allem in automatisierten Systemen sollte nachträglich überprüft werden können, welche Personendaten zu welcher Zeit durch wen eingegeben wurden
  • Protokollierung

Personendatenbearbeitung durch Private

Die vier Bestimmungen des DSG 12 – 15 beschlagen den privatrechtlichen Datenschutz, namentlich das Bearbeiten von Personendaten durch private Personen:

  • Persönlichkeitsverletzungen
  • Rechtfertigungsgründe
  • Information bei besonders schützenswerten Personendaten + Personenprofilen
  • Rechtsansprüche

Personendatenbearbeitung durch Bund

DSG 16 – 25bis sind Normen, die neben der Konkretisierung des Legalitätsprinzips auch Bestimmungen zur Datenbeschaffung und zur Datenbekanntgabe (nur) für die Bundesorgane enthalten, einschliesslich der Rechte der betroffenen Personen gegenüber den Bundesorganen:

  • Verantwortliches Organ + Kontrolle
  • Rechtsgrundlage
  • Automatische Datenverarbeitung
  • Personendatenbeschaffung
  • Informationspflicht
  • Informationspflicht-Einschränkung
  • Personendaten-Bekanntgabe
  • Bekanntgabe-Sperrung
  • Bundesarchiv-Einlieferung
  • Bearbeitung für Forschung, Planung + Statistik
  • Privatrechtliche Bundes-Tätigkeit
  • Ansprüche + Verfahren
  • Verfahren bei Personendaten-Bekanntgabe in Amtsdokumenten

Datenschutzbeauftragter

In DSG 26 – 31 erfolgt u.a. auch eine Institutionalisierung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), welchem nicht nur eine Aufsichtsfunktion, sondern auch Beratungsaufgaben zukommen:

  • Wahl
  • Stellung
  • Wiederwahl
  • Beendigung der Amtsdauer
  • Aufsicht
  • Beratung Privater
  • Abklärungen + Empfehlungen im Privatbereich
  • Information
  • Weitere Aufgaben

Rechtsschutz

In der Verweisungsnorm von DSG 33 wird auf die Bestimmungen der Bundesrechtspflege, namentlich auf das Bundesgesetz über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG), SR 172.21, verwiesen und so der Rechtsschutz bestimmt:

  • Instanzenzug
  • Anwendbares Verfahren
    • Erstinstanzliches Verfahren
    • Rechtsmittelverfahren
    • Vorsorgliche Massnahmen
  • Aufsicht
  • etc.

Strafbestimmungen

Die DSG-Strafnormen DSG 34 und DSG 35 sind sog. Nebenstrafrechtsnormen. Sie enthalten Tatbestand und Rechtsfolgen, wobei ihre praktische Bedeutung trotz wichtiger Funktion umstritten ist:

  • Verletzung Auskunfts-, Melde- + Mitwirkungspflichten
  • Verletzung berufliche Schweigepflicht

Vollzug

Der Bundesrat wird in DSG 36 zum Erlass von Ausführungsbestimmungen ermächtigt und verpflichtet sowie zu weiteren Regelungskompetenzen legitimiert:

  • Bearbeitung von Datensammlungen
  • Datenbearbeitung durch Dritte
  • Personenidentifikation
  • Abschluss völkerrechtlicher Verträge
  • Übergangsbestimmungen

Datenschutzgesuch

Jede Person hat gestützt auf das Datenschutzgesetz (DSG 8) grundsätzlich ohne Interessennachweis Anspruch auf umfassende Einsicht in die über sie in einer Datensammlung vorhandenen Personendaten.

Das Auskunftsrecht kann mittels eines „Datenschutzgesuches“ (auch sog. „DSG-Gesuch“) geltend gemacht werden.

Exkurs: Arbeitnehmer-Personendatenbearbeitung (OR 328b)

Der Gesetzgeber hat OR 328b eingeführt, um den Persönlichkeitsschutz der Arbeitnehmer zu verstärken und besonderen Gefährdungen, die sich aus besonders heiklen Personendaten des Arbeitnehmers ergeben, Rechnung zu tragen:

Exkurs: DSG-Gesetzesrevision

Der Bundesrat möchte einerseits den Datenschutz stärken und an die veränderten technologischen und gesellschaftlichen Verhältnisse anpassen und andererseits die Voraussetzungen dafür schaffen, dass die Schweiz die Datenschutzkonvention des Europarates ratifizieren und die EU-Richtlinie über den Datenschutz im Bereich der Strafverfolgung übernehmen kann:

  • Vernehmlassung Bundesrat vom 21.12.2016
    • Der Bundesrat will durch eine Totalrevision des Datenschutzgesetzes (DSG) den Datenschutz stärken und an die veränderten technologischen und gesellschaftlichen Verhältnisse anpassen. Zu den geplanten Neuerungen im Einzelnen:
      • Verbesserung der Transparenz und Stärkung der Individualrechte
      • Generelle Informationspflicht
      • Spezifische Informationspflicht bei rein automatisierter Datenbearbeitung
      • Datenschutz-Folgenabschätzung
      • Meldung von Datenschutzverletzungen
      • Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen
      • Dokumentationspflicht, Berichtigungsmitteilungen und Löschung oder Vernichtung von Daten
      • Auskunftsrecht
      • Förderung der Selbstregulierung
      • Stärkung des Eidg. Datenschutz- und Öffentlichkeitsbeauftragten
      • Sanktionenverschärfung
    • Mehr Transparenz und stärkere Kontrolle über die eigenen Daten | admin.ch
  • Reaktionen aus der Wirtschaft
    • Der Vorentwurf, den der Bundesrat in die Vernehmlassung schickte, ist von den Wirtschaftsverbänden und den bürgerlichen Parteien als sehr negativ beurteilt worden (Mehraufwand für die Unternehmen, grosse Kosten, hohe Bussen, das EU-Recht überschiessend etc.).

Exkurs: DSGVO

Am 25.05.2018 ist die Datenschutz-Grundverordnung (DSGVO) (in englisch: General Data Protection RegulationGDPR; in französisch: Règlement général sur la protection des donnéesRGPD) in Kraft getreten:

Die DSGVO ist Teil der EU-Datenschutzreform, welche die Europäische Kommission am 25.01.2012 vorgestellt hat.

Die Reform soll bewirken, dass die Dateninhaber eine bessere Kontrolle über ihre personenbezogenen Daten haben und, dass unter den Unternehmen Wettbewerbsgleichheit herrscht

DSGVO Bussgeldbemessung bei DSGVO-Verstössen

Fazit

Die Anforderungen an Datenmanagement und Datenschutzmassnahmen sind anforderungsreicher und strenger geworden.

Unternehmen haben ihre Datenbearbeitungstätigkeit regelmässig einer kritischen Prüfung zu unterziehen.

Vermehrt rücken im Zusammenhang mit datenschutz-rechtlichen Fragen eine ganzheitliche Betrachtungsweise und ethische Aspekte in den Mittelpunkt. Nicht alles was rechtlich zulässig ist, erscheint ethisch als vertretbar und kann vom Publikum in einem beliebigen Zeitpunkt als inopportun klassiert werden.

Die Fortentwicklung der digitalen Kommunikation bringt immer wieder neue Erkenntnisse und Risiken.

Download: Muster

Drucken / Weiterempfehlen: