Datenschutz in der Schweiz

Datenschutz in der Schweiz
Rechtsgrundlage	Bundesgesetz über den Datenschutz (DSG)
Systematische Rechtssammlung	SR 235.1
Ausführungsverordnung	Datenschutzverordnung (DSV)
Geltendes Bundesgesetz	seit 1. September 2023
Schutzgegenstand	Persönlichkeit und Grundrechte natürlicher Personen
Aufsichtsbehörde	Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Verfassungsgrundlage	Artikel 13 der Bundesverfassung
Räumlicher Geltungsbereich	Schweiz; unter bestimmten Voraussetzungen auch Sachverhalte mit Wirkung in der Schweiz
Offizielle Website	www.edoeb.admin.ch

Der Datenschutz in der Schweiz umfasst die rechtlichen, organisatorischen und technischen Regeln zum Schutz von Personen, deren Daten durch private Unternehmen, Vereine, Behörden oder andere Stellen bearbeitet werden. Zentrale Grundlage auf Bundesebene ist das Bundesgesetz über den Datenschutz vom 25. September 2020, kurz Datenschutzgesetz oder DSG. Es bezweckt den Schutz der Persönlichkeit und der Grundrechte natürlicher Personen, über die Personendaten bearbeitet werden.

Das vollständig revidierte Datenschutzgesetz trat am 1. September 2023 in Kraft und ersetzte das Bundesgesetz über den Datenschutz von 1992. Mit der Revision wurde das schweizerische Datenschutzrecht an die technologische Entwicklung und an veränderte internationale Anforderungen angepasst. Zu den wesentlichen Elementen gehören erweiterte Informationspflichten, stärkere Aufsichtsbefugnisse, Regelungen zum Datenschutz durch Technikgestaltung, die Pflicht zur Meldung bestimmter Verletzungen der Datensicherheit und höhere Strafandrohungen.

Neben dem Datenschutzgesetz bestehen zahlreiche besondere Vorschriften des Bundes und der Kantone. Datenbearbeitungen durch kantonale und kommunale Behörden richten sich in erster Linie nach den Datenschutzgesetzen der jeweiligen Kantone. Für bestimmte Bereiche wie das Gesundheitswesen, die Sozialversicherungen, die Telekommunikation, den Finanzmarkt, die Strafverfolgung und die Forschung gelten zusätzliche spezialgesetzliche Bestimmungen.

Begriff und Zweck

Datenschutz bedeutet nicht, dass Personendaten grundsätzlich geheim gehalten oder überhaupt nicht bearbeitet werden dürfen. Er soll vielmehr sicherstellen, dass natürliche Personen die Kontrolle über Informationen behalten, die sie betreffen, und dass Datenbearbeitungen ihre Persönlichkeit und Grundrechte nicht widerrechtlich verletzen.

Der schweizerische Datenschutz beruht auf dem Gedanken der informationellen Selbstbestimmung. Personen sollen grundsätzlich wissen können, welche Daten über sie bearbeitet werden, zu welchem Zweck dies geschieht, an wen die Daten weitergegeben werden und wie sie ihre Rechte wahrnehmen können.

Vom Datenschutz zu unterscheiden ist die Datensicherheit. Datenschutz bezeichnet vor allem die rechtlichen Voraussetzungen und Grenzen der Bearbeitung von Personendaten. Datensicherheit umfasst die technischen und organisatorischen Massnahmen, mit denen Daten gegen Verlust, Manipulation, unbefugte Kenntnisnahme und andere Gefahren geschützt werden.

Verfassungsrechtliche Grundlage

Artikel 13 der Bundesverfassung gewährleistet den Schutz der Privatsphäre. Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung, ihres Brief-, Post- und Fernmeldeverkehrs sowie auf Schutz vor Missbrauch ihrer persönlichen Daten.

Weitere Bedeutung besitzen die persönliche Freiheit nach Artikel 10 der Bundesverfassung und die Garantien der Europäischen Menschenrechtskonvention. Artikel 8 der Konvention schützt das Recht auf Achtung des Privat- und Familienlebens, der Wohnung und der Korrespondenz.

Das Datenschutzrecht konkretisiert diese grundrechtlichen Garantien für die Bearbeitung von Personendaten durch staatliche und private Stellen.

Entwicklung des Datenschutzrechts

Das erste schweizerische Bundesgesetz über den Datenschutz wurde am 19. Juni 1992 beschlossen und trat am 1. Juli 1993 in Kraft. Es entstand in einer Zeit, in der elektronische Datenbanken und die automatisierte Bearbeitung personenbezogener Informationen stark an Bedeutung gewannen.

Mit der zunehmenden Digitalisierung, der Verbreitung des Internets, der Nutzung von Cloud-Diensten, sozialen Netzwerken, mobilen Geräten, vernetzten Plattformen und datenbasierten Geschäftsmodellen veränderten sich die Risiken für die Privatsphäre grundlegend. Gleichzeitig entwickelte sich das internationale Datenschutzrecht weiter, insbesondere durch die Datenschutz-Grundverordnung der Europäischen Union.

Die Schweiz leitete deshalb eine Totalrevision ihres Datenschutzgesetzes ein. Das neue DSG wurde am 25. September 2020 vom Parlament verabschiedet. Der Bundesrat setzte das Gesetz und die zugehörigen Verordnungen auf den 1. September 2023 in Kraft.

Die Revision sollte den Schutz der Bevölkerung stärken, die Transparenz von Datenbearbeitungen erhöhen und die Vereinbarkeit des schweizerischen Rechts mit internationalen Standards sichern.

Rechtsgrundlagen

Die wichtigste Rechtsgrundlage auf Bundesebene ist das Datenschutzgesetz. Ergänzt wird es insbesondere durch die Verordnung über den Datenschutz und die Verordnung über Datenschutzzertifizierungen. Die Datenschutzverordnung enthält nähere Vorschriften über Datensicherheit, Informationspflichten, Auskunftsbegehren und weitere Vollzugsfragen.

Daneben enthalten zahlreiche Bundesgesetze besondere Datenschutzbestimmungen. Dazu gehören unter anderem:

• das Zivilgesetzbuch mit dem Schutz der Persönlichkeit
• das Obligationenrecht mit Regelungen zum Arbeitsverhältnis
• das Fernmeldegesetz
• das Humanforschungsgesetz
• das Bundesgesetz über den Allgemeinen Teil des Sozialversicherungsrechts
• das Bundesgesetz über das elektronische Patientendossier
• das Bundesgesetz über das Öffentlichkeitsprinzip der Verwaltung
• die Strafprozessordnung und weitere Erlasse der Strafverfolgung

Spezialbestimmungen gehen den allgemeinen Regeln des Datenschutzgesetzes vor, soweit sie denselben Sachverhalt abschliessend regeln.

Bundesrecht und kantonales Recht

Die föderalistische Struktur der Schweiz führt zu einer Aufteilung der Zuständigkeiten. Das Datenschutzgesetz des Bundes gilt insbesondere für Datenbearbeitungen durch private Personen und Unternehmen sowie durch Bundesorgane.

Kantonale und kommunale Behörden unterstehen dagegen grundsätzlich dem Datenschutzrecht ihres Kantons. Jeder Kanton verfügt über eigene gesetzliche Regelungen und eine kantonale Datenschutzaufsicht. Deshalb können sich die konkreten Vorschriften und Verfahrenswege je nach Kanton unterscheiden.

Private Unternehmen unterstehen grundsätzlich auch dann dem Bundesgesetz, wenn sie nur innerhalb eines einzelnen Kantons tätig sind. Entscheidend ist nicht der geografische Tätigkeitsbereich, sondern ob die Bearbeitung durch eine private Stelle oder durch ein öffentliches Organ erfolgt.

Bei öffentlichen Unternehmen und gemischtwirtschaftlichen Organisationen hängt die anwendbare Rechtsordnung von ihrer gesetzlichen Grundlage, ihrer Aufgabe und ihrer organisatorischen Stellung ab.

Anwendungsbereich

Das Datenschutzgesetz schützt natürliche Personen, deren Personendaten bearbeitet werden. Im Unterschied zum früheren Recht werden Daten juristischer Personen nicht mehr durch das DSG geschützt. Juristische Personen können jedoch weiterhin Schutz nach anderen Vorschriften beanspruchen, etwa aufgrund des Persönlichkeitsrechts, des Geschäftsgeheimnisses oder des Wettbewerbsrechts.

Das DSG gilt für private Verantwortliche und für Bundesorgane. Es kann auch auf Sachverhalte Anwendung finden, die sich teilweise ausserhalb der Schweiz ereignen, sich aber in der Schweiz auswirken. Dadurch können unter bestimmten Voraussetzungen auch ausländische Unternehmen erfasst werden, die Waren oder Dienstleistungen für Personen in der Schweiz anbieten oder deren Verhalten beobachten.

Bestimmte Bearbeitungen sind vom sachlichen Geltungsbereich ausgenommen oder unterliegen besonderen Regeln. Dazu gehören rein persönliche Datenbearbeitungen im privaten oder familiären Bereich, soweit die Daten nicht an Aussenstehende bekanntgegeben werden. Für hängige Gerichtsverfahren gelten teilweise die jeweiligen Verfahrensordnungen.

Personendaten

Als Personendaten gelten alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Eine Person ist bestimmbar, wenn sie mit vernünftigem Aufwand direkt oder indirekt identifiziert werden kann.

Zu den Personendaten gehören beispielsweise:

• Name, Adresse und Geburtsdatum
• Telefonnummer und E-Mail-Adresse
• Fotografien und Videoaufnahmen
• Kundennummern und Personalnummern
• Standort- und Bewegungsdaten
• Internetprotokoll-Adressen und Gerätekennungen
• Angaben über Käufe, Interessen und Nutzungsverhalten
• Gesundheits-, Versicherungs- und Steuerdaten

Ob eine Information als Personendatum gilt, hängt vom jeweiligen Kontext und von den verfügbaren Identifikationsmöglichkeiten ab. Vollständig anonymisierte Daten fallen nicht unter das Datenschutzgesetz, sofern eine Reidentifikation nicht mit vertretbarem Aufwand möglich ist. Pseudonymisierte Daten bleiben dagegen in der Regel Personendaten, weil die Zuordnung zu einer Person mithilfe zusätzlicher Informationen möglich bleibt.

Besonders schützenswerte Personendaten

Das Datenschutzgesetz unterscheidet allgemeine Personendaten von besonders schützenswerten Personendaten. Zu dieser Kategorie gehören Daten über:

• religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten
• die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie
• Massnahmen der sozialen Hilfe
• administrative oder strafrechtliche Verfolgungen und Sanktionen
• genetische Daten
• biometrische Daten, die eine natürliche Person eindeutig identifizieren

Die Bearbeitung solcher Daten kann besonders schwerwiegende Auswirkungen auf die betroffenen Personen haben. Deshalb gelten bei der Beurteilung von Risiken, bei der Einwilligung und bei bestimmten organisatorischen Pflichten erhöhte Anforderungen.

Datenbearbeitung

Der Begriff Bearbeiten wird im DSG weit verstanden. Er umfasst jeden Umgang mit Personendaten, unabhängig von den verwendeten Mitteln oder Verfahren. Dazu gehören insbesondere das Beschaffen, Erfassen, Speichern, Aufbewahren, Verwenden, Verändern, Verknüpfen, Bekanntgeben, Archivieren, Löschen und Vernichten von Daten.

Auch die blosse Einsichtnahme kann eine Bearbeitung darstellen. Es spielt grundsätzlich keine Rolle, ob die Daten digital, auf Papier oder in einer anderen Form vorliegen.

Als Verantwortlicher gilt eine private Person, ein Unternehmen, eine Organisation oder ein Bundesorgan, das allein oder gemeinsam mit anderen über den Zweck und die Mittel einer Datenbearbeitung entscheidet.

Ein Auftragsbearbeiter bearbeitet Personendaten im Auftrag des Verantwortlichen. Typische Auftragsbearbeiter sind Anbieter von Cloud-Speichern, Hosting-Unternehmen, externe Lohnbuchhaltungen, Versanddienstleister und Anbieter technischer Plattformen.

Grundsätze der Datenbearbeitung

Personendaten müssen nach den Grundsätzen des Datenschutzgesetzes bearbeitet werden. Diese Grundsätze gelten unabhängig davon, ob im Einzelfall eine ausdrückliche Einwilligung erforderlich ist.

Rechtmässigkeit

Personendaten müssen rechtmässig bearbeitet werden. Eine Bearbeitung darf nicht gegen die schweizerische Rechtsordnung verstossen. Bundesorgane benötigen grundsätzlich eine gesetzliche Grundlage, wobei für besonders schützenswerte Personendaten regelmässig eine Grundlage in einem Gesetz im formellen Sinn erforderlich ist.

Treu und Glauben

Die Bearbeitung muss nach Treu und Glauben erfolgen. Verdeckte, überraschende oder täuschende Datenbearbeitungen können diesen Grundsatz verletzen.

Verhältnismässigkeit

Es dürfen nur diejenigen Daten bearbeitet werden, die für den verfolgten Zweck geeignet und erforderlich sind. Der Eingriff in die Persönlichkeit darf nicht schwerer sein, als es der Zweck verlangt.

Zweckbindung

Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden. Sie dürfen anschliessend nur so bearbeitet werden, dass dies mit dem ursprünglichen Zweck vereinbar ist.

Erkennbarkeit und Transparenz

Die Beschaffung und der Zweck einer Datenbearbeitung müssen für die betroffene Person erkennbar sein. Dieser Grundsatz wird durch die gesetzlichen Informationspflichten konkretisiert.

Datenrichtigkeit

Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Unrichtige oder unvollständige Daten müssen berichtigt, ergänzt oder gelöscht werden, soweit dies nach den Umständen erforderlich ist.

Begrenzte Aufbewahrung

Personendaten dürfen nicht länger in einer Form aufbewahrt werden, welche die Identifizierung der betroffenen Person ermöglicht, als es der Bearbeitungszweck verlangt. Gesetzliche Aufbewahrungspflichten können jedoch eine längere Speicherung erforderlich machen.

Rechtfertigung einer Persönlichkeitsverletzung

Nicht jede Datenbearbeitung benötigt nach schweizerischem Recht von Anfang an eine Einwilligung oder eine andere besondere Rechtsgrundlage. Private Verantwortliche dürfen Personendaten grundsätzlich bearbeiten, solange sie die Bearbeitungsgrundsätze einhalten und keine widerrechtliche Persönlichkeitsverletzung verursachen.

Eine Persönlichkeitsverletzung kann insbesondere vorliegen, wenn Bearbeitungsgrundsätze missachtet, Daten gegen den ausdrücklichen Willen der betroffenen Person bearbeitet oder besonders schützenswerte Daten unberechtigt an Dritte weitergegeben werden.

Eine Persönlichkeitsverletzung ist nicht widerrechtlich, wenn sie durch einen Rechtfertigungsgrund gedeckt ist. Als Rechtfertigungsgründe kommen insbesondere die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse und eine gesetzliche Grundlage infrage.

Einwilligung

Eine Einwilligung ist nur gültig, wenn sie nach angemessener Information freiwillig erteilt wird. Sie muss sich auf eine hinreichend bestimmte Bearbeitung beziehen.

Bei der Bearbeitung besonders schützenswerter Personendaten, bei einem Profiling mit hohem Risiko durch private Verantwortliche und bei bestimmten weiteren Datenbearbeitungen muss die Einwilligung ausdrücklich erfolgen, sofern die Bearbeitung auf eine Einwilligung gestützt wird.

Eine Einwilligung kann grundsätzlich für die Zukunft widerrufen werden. Der Widerruf macht bereits erfolgte Bearbeitungen nicht automatisch rückwirkend unzulässig.

Schweizerisches Datenschutzrecht verlangt nicht für jede Verwendung von Cookies oder jede gewöhnliche Datenbearbeitung zwingend eine vorgängige Einwilligung. Je nach eingesetzter Technologie können jedoch das Fernmelderecht, die Informationspflicht, der Grundsatz der Transparenz oder ausländische Vorschriften zusätzliche Anforderungen begründen.

Informationspflicht

Der Verantwortliche muss die betroffene Person grundsätzlich angemessen über die Beschaffung von Personendaten informieren. Die Pflicht gilt auch dann, wenn die Daten nicht direkt bei der betroffenen Person erhoben werden.

Die Information muss mindestens die Identität und die Kontaktdaten des Verantwortlichen, den Bearbeitungszweck und gegebenenfalls die Empfänger oder Kategorien von Empfängern enthalten. Werden Daten ins Ausland bekanntgegeben, sind unter bestimmten Voraussetzungen auch der Empfängerstaat und die verwendeten Garantien anzugeben.

Die Information erfolgt häufig in einer Datenschutzerklärung. Sie muss verständlich, zugänglich und der konkreten Bearbeitung angepasst sein. Eine pauschale, unklare oder unvollständige Erklärung genügt nicht in jedem Fall.

Das Gesetz sieht Ausnahmen von der Informationspflicht vor, beispielsweise wenn die betroffene Person bereits über die Informationen verfügt, die Bearbeitung gesetzlich vorgesehen ist oder die Information unmöglich beziehungsweise nur mit unverhältnismässigem Aufwand möglich wäre. Solche Ausnahmen sind restriktiv zu beurteilen.

Rechte betroffener Personen

Betroffene Personen verfügen über verschiedene Rechte, mit denen sie die Bearbeitung ihrer Daten kontrollieren und sich gegen unzulässige Bearbeitungen wehren können.

Auskunftsrecht

Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Ist dies der Fall, kann sie insbesondere Informationen über die bearbeiteten Daten, den Zweck, die Aufbewahrungsdauer, die Herkunft und die Empfänger verlangen.

Die Auskunft muss in der Regel kostenlos und innerhalb von 30 Tagen erteilt werden. In begründeten Fällen kann die Frist verlängert oder eine Kostenbeteiligung verlangt werden. Einschränkungen oder Verweigerungen sind nur unter den gesetzlichen Voraussetzungen zulässig.

Berichtigung

Betroffene Personen können verlangen, dass unrichtige Personendaten berichtigt werden. Kann weder die Richtigkeit noch die Unrichtigkeit festgestellt werden, kann unter bestimmten Voraussetzungen ein Bestreitungsvermerk angebracht werden.

Löschung und Vernichtung

Bei einer widerrechtlichen Datenbearbeitung kann die betroffene Person die Löschung oder Vernichtung ihrer Daten verlangen. Ein uneingeschränktes Recht auf Löschung besteht jedoch nicht. Gesetzliche Aufbewahrungspflichten, überwiegende Interessen oder andere Rechtfertigungsgründe können einer Löschung entgegenstehen.

Unterlassung und Einschränkung

Betroffene Personen können gerichtlich verlangen, dass eine drohende widerrechtliche Bearbeitung verboten, eine bestehende Bearbeitung eingestellt oder die Bekanntgabe an Dritte untersagt wird.

Datenherausgabe und Datenübertragung

Unter bestimmten Voraussetzungen kann eine Person verlangen, dass ihr Personendaten, die sie einem privaten Verantwortlichen bekanntgegeben hat, in einem gängigen elektronischen Format herausgegeben oder an einen anderen Verantwortlichen übertragen werden.

Dieses Recht besteht insbesondere dann, wenn die Daten automatisiert und mit Einwilligung oder in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags bearbeitet werden.

Automatisierte Einzelentscheidungen

Eine automatisierte Einzelentscheidung liegt vor, wenn eine Entscheidung ausschliesslich auf einer automatisierten Bearbeitung beruht und für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt.

Der Verantwortliche muss die betroffene Person grundsätzlich über eine solche Entscheidung informieren. Die betroffene Person kann verlangen, ihren Standpunkt darzulegen und dass die Entscheidung von einer natürlichen Person überprüft wird.

Nicht jede algorithmische Empfehlung oder technische Unterstützung gilt als automatisierte Einzelentscheidung. Entscheidend ist, ob die abschliessende Entscheidung ohne massgebliche menschliche Beteiligung getroffen wird.

Profiling

Als Profiling gilt die automatisierte Bearbeitung von Personendaten, um bestimmte persönliche Aspekte einer natürlichen Person zu bewerten. Dazu können Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel gehören.

Ein Profiling mit hohem Risiko liegt vor, wenn die Bearbeitung zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt. Bei privaten Verantwortlichen ist für ein solches Profiling eine ausdrückliche Einwilligung erforderlich, sofern die Bearbeitung auf Einwilligung gestützt wird.

Für Bundesorgane gelten bei Profiling und besonders schützenswerten Personendaten erhöhte Anforderungen an die gesetzliche Grundlage.

Datenschutz durch Technikgestaltung

Der Verantwortliche muss die Datenbearbeitung von der Planung an so ausgestalten, dass die Datenschutzvorschriften eingehalten werden. Dieser Grundsatz wird als Datenschutz durch Technik oder Privacy by Design bezeichnet.

Technische und organisatorische Massnahmen sollen möglichst früh in Systeme, Produkte und Geschäftsprozesse eingebaut werden. Dazu gehören etwa Datenminimierung, Zugriffsbeschränkungen, Verschlüsselung, Pseudonymisierung, Protokollierung und kurze Löschfristen.

Der Grundsatz datenschutzfreundlicher Voreinstellungen oder Privacy by Default verlangt, dass Voreinstellungen grundsätzlich auf das für den jeweiligen Zweck erforderliche Mindestmass der Datenbearbeitung beschränkt sind. Dies ist besonders bei Online-Diensten, Apps, Benutzerkonten und vernetzten Geräten von Bedeutung.

Datensicherheit

Verantwortliche und Auftragsbearbeiter müssen durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten. Die Massnahmen sollen insbesondere die Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit der Datenbearbeitung schützen.

Zu den möglichen Massnahmen gehören:

• Berechtigungs- und Zugriffskonzepte
• sichere Passwörter und Mehrfaktorauthentifizierung
• Verschlüsselung bei Speicherung und Übertragung
• Datensicherungen und Wiederherstellungsverfahren
• Protokollierung sicherheitsrelevanter Vorgänge
• regelmässige Aktualisierung von Systemen
• Schulung der Mitarbeitenden
• physischer Schutz von Geräten und Räumen
• Verfahren zur Erkennung und Behandlung von Sicherheitsvorfällen

Welche Massnahmen angemessen sind, hängt insbesondere von der Art und Menge der Daten, dem Bearbeitungszweck, dem technischen Stand, den Kosten und den möglichen Folgen einer Sicherheitsverletzung ab.

Verletzungen der Datensicherheit

Eine Verletzung der Datensicherheit liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt beziehungsweise zugänglich gemacht werden.

Der Verantwortliche muss dem EDÖB eine Verletzung der Datensicherheit so rasch wie möglich melden, wenn diese voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Die Meldung soll Angaben zur Art der Verletzung, zu ihren Folgen und zu den ergriffenen oder vorgesehenen Massnahmen enthalten.

Der Auftragsbearbeiter muss den Verantwortlichen über jede Verletzung der Datensicherheit informieren. Gegenüber dem EDÖB bleibt grundsätzlich der Verantwortliche meldepflichtig.

Die betroffenen Personen müssen informiert werden, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Eine Information kann beispielsweise notwendig sein, damit Passwörter geändert, Zahlungsmittel gesperrt oder andere Schutzmassnahmen ergriffen werden können.

Nicht jede technische Störung und nicht jedes Datenleck muss dem EDÖB gemeldet werden. Massgeblich ist, ob voraussichtlich ein hohes Risiko für Persönlichkeit oder Grundrechte besteht. Unabhängig von der Meldepflicht sollte der Vorfall dokumentiert, untersucht und behoben werden.

Datenschutz-Folgenabschätzung

Der Verantwortliche muss eine Datenschutz-Folgenabschätzung durchführen, wenn eine geplante Datenbearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt.

Ein hohes Risiko kann sich insbesondere aus der Verwendung neuer Technologien, aus dem Umfang oder Zweck der Bearbeitung sowie aus der systematischen Bearbeitung besonders schützenswerter Personendaten ergeben. Auch eine umfangreiche Überwachung öffentlich zugänglicher Bereiche kann eine Folgenabschätzung erforderlich machen.

Die Datenschutz-Folgenabschätzung beschreibt die geplante Bearbeitung, bewertet die Risiken und nennt die vorgesehenen Schutzmassnahmen.

Bleibt trotz der geplanten Massnahmen ein hohes Risiko bestehen, muss der Verantwortliche grundsätzlich vorgängig die Stellungnahme des EDÖB einholen. Bei privaten Verantwortlichen kann unter bestimmten Voraussetzungen stattdessen eine unabhängige Datenschutzberaterin oder ein unabhängiger Datenschutzberater konsultiert werden.

Verzeichnis der Bearbeitungstätigkeiten

Verantwortliche und Auftragsbearbeiter müssen grundsätzlich ein Verzeichnis ihrer Datenbearbeitungstätigkeiten führen. Das Verzeichnis dokumentiert unter anderem die Identität des Verantwortlichen, die Bearbeitungszwecke, die betroffenen Personenkategorien, die Datenkategorien, die Empfänger und nach Möglichkeit die Aufbewahrungsdauer.

Unternehmen und andere private Organisationen mit weniger als 250 Mitarbeitenden sind unter bestimmten Voraussetzungen von dieser Pflicht ausgenommen. Die Ausnahme gilt insbesondere nicht, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder Profiling mit hohem Risiko durchgeführt wird.

Das Verzeichnis dient der internen Übersicht und erleichtert die Beurteilung von Informationspflichten, Sicherheitsmassnahmen, Auslandsübermittlungen und Löschfristen.

Auftragsbearbeitung

Ein Verantwortlicher darf die Bearbeitung von Personendaten einem Auftragsbearbeiter übertragen, wenn die Daten nur so bearbeitet werden, wie der Verantwortliche dies selbst tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.

Der Verantwortliche muss sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Die Aufgaben, Zwecke, Weisungen, Sicherheitsmassnahmen und Kontrollrechte werden üblicherweise in einem Vertrag zur Auftragsbearbeitung geregelt.

Der Auftragsbearbeiter darf einen weiteren Auftragsbearbeiter grundsätzlich nur mit vorgängiger Genehmigung des Verantwortlichen beiziehen. Die Verantwortung für die rechtmässige Auswahl und Kontrolle kann nicht vollständig auf den Dienstleister übertragen werden.

Bekanntgabe ins Ausland

Personendaten dürfen ins Ausland bekanntgegeben werden, wenn im betreffenden Staat oder Gebiet ein angemessener Datenschutz gewährleistet ist. Der Bundesrat führt eine Liste der Staaten und Gebiete, bei denen ein angemessenes Datenschutzniveau anerkannt wird.

Fehlt ein angemessenes Schutzniveau, kann eine Bekanntgabe unter anderem auf geeignete Garantien gestützt werden. Dazu gehören völkerrechtliche Verträge, vom EDÖB genehmigte oder anerkannte Datenschutzklauseln, Standarddatenschutzklauseln und verbindliche unternehmensinterne Datenschutzvorschriften.

In bestimmten Einzelfällen kann eine Bekanntgabe auch aufgrund einer gesetzlichen Ausnahme zulässig sein, etwa mit ausdrücklicher Einwilligung, zur Abwicklung eines Vertrags oder zur Geltendmachung von Rechtsansprüchen.

Bei der Verwendung internationaler Cloud- und Plattformdienste muss geprüft werden, in welchen Ländern die Daten gespeichert oder zugänglich gemacht werden und welche rechtlichen Zugriffsmöglichkeiten ausländische Behörden besitzen.

Vertretung in der Schweiz

Private Verantwortliche mit Sitz oder Wohnsitz im Ausland müssen unter bestimmten Voraussetzungen eine Vertretung in der Schweiz bezeichnen. Dies betrifft insbesondere Unternehmen, die Waren oder Dienstleistungen in der Schweiz anbieten oder das Verhalten von Personen in der Schweiz beobachten und dabei umfangreiche, regelmässige Bearbeitungen mit hohem Risiko durchführen.

Die Vertretung dient als Anlaufstelle für betroffene Personen und für den EDÖB. Ihre Kontaktdaten müssen veröffentlicht werden.

Datenschutzberatung

Private Verantwortliche können eine Datenschutzberaterin oder einen Datenschutzberater ernennen. Diese Person soll die Verantwortlichen bei der Einhaltung der Datenschutzvorschriften beraten, Schulungen unterstützen und bei Datenschutz-Folgenabschätzungen mitwirken.

Die Datenschutzberatung muss ihre Aufgabe fachlich unabhängig ausüben können und darf keine Weisungen bezüglich ihrer Beratungstätigkeit erhalten. Sie kann intern angestellt oder extern beauftragt sein.

Die Ernennung ist für private Unternehmen grundsätzlich freiwillig. Sie kann jedoch praktische und rechtliche Vorteile bieten, insbesondere bei risikoreichen Bearbeitungen und bei der Beurteilung neuer Projekte.

Bundesorgane müssen eine Datenschutzberatung bezeichnen. Für sie gelten besondere organisatorische Anforderungen.

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die unabhängige Aufsichtsbehörde des Bundes für Datenschutz und Öffentlichkeitsprinzip.

Der EDÖB beaufsichtigt die Anwendung des Datenschutzgesetzes durch Bundesorgane und private Verantwortliche. Er informiert und berät Behörden, Unternehmen und die Bevölkerung, nimmt bestimmte Meldungen entgegen und kann bei Verdacht auf Datenschutzverstösse Untersuchungen eröffnen.

Stellt der EDÖB eine Verletzung von Datenschutzvorschriften fest, kann er verwaltungsrechtliche Massnahmen verfügen. Er kann insbesondere anordnen, eine Bearbeitung anzupassen, einzuschränken, zu unterbrechen oder einzustellen sowie Personendaten zu löschen oder zu vernichten.

Gegen Verfügungen des EDÖB können die gesetzlich vorgesehenen Rechtsmittel ergriffen werden. Der EDÖB kann keine zivilrechtlichen Schadenersatzansprüche zusprechen und verhängt grundsätzlich nicht selbst die strafrechtlichen Bussen des DSG.

Kantonale Datenschutzbehörden

Jeder Kanton verfügt über eine eigene Datenschutzaufsicht. Diese Behörden überwachen insbesondere die kantonalen Verwaltungen, Gemeinden, Schulen, Spitäler und andere öffentliche Einrichtungen, soweit sie dem kantonalen Recht unterstehen.

Die Organisation der Aufsicht unterscheidet sich zwischen den Kantonen. Einige Kantone haben eigene Datenschutzbeauftragte, andere gemeinsame Datenschutzstellen oder kombinierte Datenschutz- und Öffentlichkeitsbeauftragte.

Bei einer Beschwerde gegen eine kantonale oder kommunale Behörde ist daher nicht der EDÖB, sondern in der Regel die zuständige kantonale Aufsichtsstelle Ansprechpartnerin.

Durchsetzung durch betroffene Personen

Betroffene Personen sollten sich bei vermuteten Datenschutzverletzungen zunächst an den Verantwortlichen wenden. Sie können Auskunft, Berichtigung, Löschung oder eine Erklärung der Datenbearbeitung verlangen.

Bei privaten Verantwortlichen können Ansprüche nach dem Datenschutzgesetz und dem Zivilgesetzbuch vor einem Zivilgericht geltend gemacht werden. Möglich sind insbesondere Klagen auf Unterlassung, Beseitigung, Feststellung und Berichtigung.

Betroffene Personen können dem EDÖB Hinweise auf mögliche Verstösse gegen das Datenschutzgesetz geben. Der EDÖB entscheidet jedoch nach den gesetzlichen Voraussetzungen und nach pflichtgemässem Ermessen, ob er eine Untersuchung eröffnet.

Bei Bundesorganen bestehen verwaltungsrechtliche Verfahren. Gegen Entscheide über Auskunfts- und Datenschutzrechte können Rechtsmittel an die zuständigen Verwaltungsgerichte möglich sein.

Strafbestimmungen

Das Datenschutzgesetz enthält Strafbestimmungen für bestimmte vorsätzliche Pflichtverletzungen. Die Höchstbusse beträgt grundsätzlich 250'000 Franken.

Strafbar sein können insbesondere vorsätzliche Verletzungen von Informations-, Auskunfts- und Mitwirkungspflichten, bestimmte unzulässige Auslandsbekanntgaben, Verstösse bei der Auftragsbearbeitung sowie die Verletzung beruflicher Geheimhaltungspflichten.

Die Strafbestimmungen richten sich grundsätzlich gegen natürliche Personen, die für den Verstoss verantwortlich sind, beispielsweise Mitglieder der Geschäftsleitung oder andere entscheidungsbefugte Personen. Unter bestimmten Voraussetzungen kann anstelle der verantwortlichen Person das Unternehmen gebüsst werden, wenn die Ermittlung der verantwortlichen Person unverhältnismässige Untersuchungsmassnahmen erfordern würde.

Nicht jede Verletzung des Datenschutzgesetzes ist automatisch strafbar. Viele Verstösse haben in erster Linie zivilrechtliche oder verwaltungsrechtliche Folgen. Eine strafrechtliche Sanktion setzt die Erfüllung eines gesetzlichen Straftatbestands und in der Regel vorsätzliches Handeln voraus.

Datenschutz am Arbeitsplatz

Arbeitgeber dürfen Daten über Arbeitnehmerinnen und Arbeitnehmer bearbeiten, soweit diese deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind.

Die Überwachung von Mitarbeitenden ist nur innerhalb enger Grenzen zulässig. Überwachungssysteme dürfen nicht hauptsächlich dazu eingesetzt werden, das Verhalten der Beschäftigten am Arbeitsplatz zu überwachen. Sind Systeme aus anderen Gründen erforderlich, müssen sie verhältnismässig ausgestaltet werden.

Bei Bewerbungen dürfen grundsätzlich nur Daten erhoben werden, die für die ausgeschriebene Stelle und die Beurteilung der Eignung relevant sind. Nach Abschluss des Bewerbungsverfahrens sind nicht mehr benötigte Unterlagen zurückzugeben oder zu löschen, sofern keine Einwilligung zur weiteren Aufbewahrung vorliegt.

Besondere Anforderungen gelten für Gesundheitsdaten, Personalakten, Zeiterfassung, Videoüberwachung und die Nutzung betrieblicher Kommunikationsmittel.

Datenschutz im Gesundheitswesen

Gesundheitsdaten gehören zu den besonders schützenswerten Personendaten. Ärztinnen, Ärzte und weitere Gesundheitsfachpersonen unterliegen zusätzlich dem Berufsgeheimnis.

Patientendaten dürfen grundsätzlich nur für die Behandlung, Abrechnung und andere rechtlich zulässige Zwecke bearbeitet werden. Eine Weitergabe an nicht beteiligte Dritte erfordert regelmässig eine Einwilligung, eine gesetzliche Grundlage oder einen anderen Rechtfertigungsgrund.

Beim elektronischen Patientendossier, bei telemedizinischen Angeboten, Gesundheits-Apps und medizinischen Forschungsprojekten gelten zusätzliche spezialgesetzliche Anforderungen.

Die zunehmende Digitalisierung des Gesundheitswesens erhöht die Bedeutung von Zugriffskontrollen, Verschlüsselung, Protokollierung und einer klaren Regelung der Zugriffsberechtigungen.

Videoüberwachung

Videoaufnahmen, auf denen Personen erkennbar sind, stellen eine Bearbeitung von Personendaten dar. Eine Videoüberwachung muss verhältnismässig sein, einem klaren Zweck dienen und für die betroffenen Personen erkennbar sein.

Private Videoanlagen dürfen grundsätzlich nicht mehr Raum erfassen, als zur Wahrung des berechtigten Interesses erforderlich ist. Die Überwachung öffentlicher Bereiche durch Private ist besonders problematisch. Aufnahmen müssen nach einer angemessenen Frist gelöscht werden, sofern kein konkreter Vorfall ihre weitere Aufbewahrung rechtfertigt.

Bei der Videoüberwachung durch Behörden ist eine ausreichende gesetzliche Grundlage erforderlich. Zusätzlich können kantonale und kommunale Vorschriften gelten.

Internet, Cookies und Online-Dienste

Websites und Online-Dienste bearbeiten häufig IP-Adressen, Gerätekennungen, Nutzungsdaten, Kontaktdaten und Informationen über das Verhalten der Besucherinnen und Besucher.

Die Verantwortlichen müssen transparent über ihre Datenbearbeitungen informieren. Je nach eingesetzten Diensten sind Angaben zu Analysewerkzeugen, eingebetteten Inhalten, Werbenetzwerken, Kontaktformularen, Benutzerkonten und Auslandsübermittlungen erforderlich.

Für Cookies gilt neben dem Datenschutzgesetz Artikel 45c des Fernmeldegesetzes. Danach müssen Nutzerinnen und Nutzer über die Bearbeitung und ihren Zweck informiert werden und die Möglichkeit erhalten, die Bearbeitung abzulehnen. Ob zusätzlich eine ausdrückliche Einwilligung erforderlich ist, hängt von der konkreten Bearbeitung und den anwendbaren Rechtsordnungen ab.

Unternehmen, die sich auch an Personen in der Europäischen Union richten oder deren Verhalten dort beobachten, können zusätzlich der Datenschutz-Grundverordnung unterstehen.

Künstliche Intelligenz

Das Datenschutzgesetz ist auf Datenbearbeitungen durch Systeme der künstlichen Intelligenz unmittelbar anwendbar, sofern Personendaten bearbeitet werden. Es ist nicht erforderlich, dass das Gesetz eine bestimmte Technologie ausdrücklich nennt.

Bei KI-Anwendungen sind insbesondere Transparenz, Zweckbindung, Verhältnismässigkeit, Datenrichtigkeit, Datensicherheit und die Regeln über automatisierte Einzelentscheidungen zu beachten.

Risiken können sich aus undurchsichtigen Modellen, fehlerhaften Trainingsdaten, diskriminierenden Ergebnissen, der Zusammenführung grosser Datenmengen und der unkontrollierten Weiterverwendung eingegebener Informationen ergeben.

Bei KI-Systemen mit hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Verantwortliche müssen zudem klären, ob Anbieter von KI-Diensten als Auftragsbearbeiter oder als eigenständige Verantwortliche handeln und in welche Staaten Personendaten übermittelt werden.

Verhältnis zum europäischen Datenschutzrecht

Die Schweiz ist kein Mitglied der Europäischen Union. Die Datenschutz-Grundverordnung gilt deshalb nicht allein deshalb, weil eine Datenbearbeitung in der Schweiz stattfindet.

Die DSGVO kann jedoch unmittelbar auf Schweizer Unternehmen anwendbar sein, wenn sie Personen in der Europäischen Union Waren oder Dienstleistungen anbieten oder ihr Verhalten innerhalb der Union beobachten.

Das Schweizer DSG und die DSGVO verfolgen ähnliche Ziele und enthalten zahlreiche vergleichbare Grundsätze. Dennoch bestehen wichtige Unterschiede. Dazu gehören die Voraussetzungen der Datenbearbeitung, die Höhe und Ausgestaltung der Sanktionen, die Stellung der Aufsichtsbehörden und einzelne Rechte der betroffenen Personen.

Die Europäische Kommission anerkannte das Datenschutzniveau der Schweiz erneut als angemessen. Dadurch können Personendaten aus dem Europäischen Wirtschaftsraum grundsätzlich ohne zusätzliche Übermittlungsinstrumente in die Schweiz übertragen werden.

Schengen und Dublin

Für Datenbearbeitungen im Rahmen der Schengen- und Dublin-Zusammenarbeit gelten besondere europarechtliche und schweizerische Vorschriften. Diese betreffen unter anderem polizeiliche Informationssysteme, Grenzkontrollen, Visa, Asylverfahren und den internationalen Informationsaustausch.

Der EDÖB nimmt im Zuständigkeitsbereich des Bundes Aufsichtsaufgaben über entsprechende Datenbearbeitungen wahr. Für kantonale Polizeibehörden und andere kantonale Stellen können die kantonalen Datenschutzaufsichten zuständig sein.

Herausforderungen

Der Datenschutz in der Schweiz steht vor fortlaufenden technischen und gesellschaftlichen Herausforderungen. Grosse Datenmengen werden zunehmend durch internationale Plattformen, Cloud-Dienste, vernetzte Geräte und Systeme künstlicher Intelligenz verarbeitet.

Besondere Fragen ergeben sich aus der biometrischen Identifikation, der Gesichtserkennung, der personalisierten Werbung, dem Datenhandel, der automatisierten Kredit- und Risikobewertung sowie der Überwachung am Arbeitsplatz und im öffentlichen Raum.

Auch Cyberangriffe und Datenlecks haben an Bedeutung gewonnen. Verantwortliche müssen deshalb den Datenschutz nicht nur als juristische Dokumentationsaufgabe, sondern als Bestandteil der Informationssicherheit, Unternehmensführung und Produktentwicklung behandeln.

Die föderalistische Aufteilung zwischen Bund und Kantonen kann zu unterschiedlichen Vorschriften und Zuständigkeiten führen. Gleichzeitig ermöglicht sie den Kantonen, ihre Regelungen an die jeweiligen Verwaltungsstrukturen anzupassen.

Bedeutung

Der Datenschutz soll Vertrauen in Staat, Wirtschaft und digitale Dienstleistungen schaffen. Personen sollen Informationen preisgeben und Dienste nutzen können, ohne unangemessene Überwachung, Diskriminierung oder Kontrollverlust befürchten zu müssen.

Für Unternehmen ist die Einhaltung des Datenschutzrechts Teil der rechtlichen und organisatorischen Verantwortung. Ein wirksames Datenschutzmanagement kann Haftungs- und Reputationsrisiken verringern und die Qualität von Datenbeständen verbessern.

Für Behörden ist Datenschutz eine Voraussetzung rechtmässigen staatlichen Handelns. Weil staatliche Datenbearbeitungen häufig nicht auf einer freiwilligen Entscheidung der betroffenen Personen beruhen, sind gesetzliche Grundlagen, Zweckbindung und wirksame Aufsicht besonders wichtig.

Siehe auch

• Bundesgesetz über den Datenschutz
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
• Datenschutz-Grundverordnung
• Datensicherheit
• Privatsphäre
• Informationelle Selbstbestimmung
• Persönlichkeitsrecht
• Öffentlichkeitsprinzip in der Schweiz
• Cyberkriminalität in der Schweiz

Literatur

• Urs Maurer-Lambrou, Gabor-Paul Blechta: Basler Kommentar zum Datenschutzgesetz und Öffentlichkeitsgesetz. Basel.
• David Rosenthal, Yvonne Jöhri: Handkommentar zum Datenschutzgesetz. Zürich.
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter: Das neue Datenschutzgesetz aus Sicht des EDÖB. Bern.
• Bundesamt für Justiz: Bundesgesetz über den Datenschutz – Erläuterungen und Materialien. Bern.

Weblinks

• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
• Bundesgesetz über den Datenschutz in der systematischen Rechtssammlung des Bundes
• Verordnung über den Datenschutz in der systematischen Rechtssammlung des Bundes
• Rechte betroffener Personen beim EDÖB
• Musterbriefe zum Datenschutz beim EDÖB
• Meldeportale des EDÖB