Jusletter IT

Das neue Datenschutzgesetz (nDSG) bringt eine erweiterte Informationspflicht bei der Beschaffung von Personendaten mit sich.¹ Sie ist sinngemäss der Informationspflicht der DSGVO nachgebildet und soll die Transparenz von Datenbearbeitungen erhöhen.

Der vorliegende Beitrag möchte Hilfe leisten zur praktischen Umsetzung der Informationspflicht.

Es gehört zu den erklärten Zielen der DSG-Revision, die Transparenz von Datenbearbeitungen zu erhöhen. Dies soll u.a. mit der ausgebauten Informationspflicht erreicht werden. Ohne entsprechende Information können die Betroffenen nicht erkennen, dass Personendaten über sie bearbeitet werden. Zudem können sie ihre Rechte unter dem Datenschutzgesetz nur wahrnehmen, wenn ihnen eine Datenbearbeitung bekannt ist. Die neue Informationspflicht soll daher nicht nur Datenbearbeitungen transparenter machen, sondern gleichzeitig die Rechte der Betroffenen stärken, was ein weiteres zentrales Anliegen der Revision darstellt.²

Vor diesem Hintergrund versteht sich die Informationspflicht als eine Konkretisierung des Transparenzgrundsatzes.³ Entsprechend ist eine Missachtung als Persönlichkeitsverletzung zu betrachten, die unter Art. 31 nDSG gerechtfertigt sein kann.⁴

Zusätzliche Angaben zu Datenbearbeitungen bewirken nicht automatisch mehr Transparenz. Die Betroffenen mit Informationen zu fluten, führt zu «information fatigue» und verfehlt das Ziel. Bei der Umsetzung der Informationspflicht gilt es deshalb stets ihre Zielsetzung im Auge zu behalten. Sie muss aus Sicht der Betroffenen betrachtet werden und kann vereinfacht auf die Kernfrage heruntergebrochen werden: Welche Informationen sind für die Betroffenen tatsächlich von Interesse, damit sie ihre Rechte geltend machen können?

Die Informationspflicht trifft den Verantwortlichen. Er hat die Betroffenen über Personendaten zu informieren, die er beschafft, sei es direkt bei den Betroffenen selbst, sei es bei Dritten (sog. indirekte Beschaffung). «Beschaffen» setzt ein aktives Verhalten voraus; über Personendaten, die dem Verantwortlichen ohne sein aktives Zutun zugegangen sind (bspw. Blindbewerbungen oder ungewollt erhobene Daten), braucht er deshalb nicht zu informieren. Gemäss Rosenthal setzt die Beschaffung im Sinne der Informationspflicht eine planmässige Datenerhebung voraus.⁵ Die Informationspflicht gilt nicht rückwirkend, d.h. nicht für Daten, welche mit Inkrafttreten des neuen Datenschutzgesetzes bereits beschafft worden sind.⁶

Das Gesetz schreibt die Mindestinformation vor, die den Betroffenen mitzuteilen ist.⁷ Der Verantwortliche muss zusätzliche Informationen liefern, soweit ihn der Transparenzgrundsatz dazu verpflichtet.⁸ Zudem gibt es Ausnahmen und Einschränkungen. Der Ansatz des Gesetzgebers lässt dem Verantwortlichen eine gewisse Flexibilität, wie und worüber er informiert. Dies wird unterstrichen durch die erst von den Räten eingefügte Formulierung, wonach die Information «angemessen» zu sein hat.⁹ Der Verantwortliche wird sich dabei an den Kategorien der von ihm bearbeiteten Daten und der Bearbeitungstiefe orientieren.¹⁰ Richtschnur muss sein, was die Betroffenen wissen müssen, um ihre Rechte wahrnehmen zu können.

Verantwortlichen derselben Branche steht es zudem offen, via Branchenverband die Informationspflicht für ihre spezifische Branche in einem Verhaltenskodex zu konkretisieren.¹¹

Zu Inhalt und Umfang im Einzelnen:

Name und Kontaktdaten des Verantwortlichen sind zwingend mitzuteilen. Der Verantwortliche ist die private Person oder das Bundesorgan, die bzw. das über den Zweck und die Mittel der Bearbeitung entscheidet.¹² Bei privaten Verantwortlichen wird es sich zumeist um juristische Personen handeln.¹³ Als Kontaktdaten bieten sich eine Postanschrift oder eine Emailadresse an; eine Telefonnummer ist optional.

Ausländische private Verantwortliche haben Name und Adresse ihrer Vertretung in der Schweiz anzugeben, sofern sie eine solche bestellen müssen.¹⁴ Zwar besteht keine Pflicht, die Kontaktdaten des Datenschutzberaters zu veröffentlichen, doch private Verantwortliche werden dies tun, um von Erleichterungen bei der Datenschutz-Folgenabschätzung profitieren zu können.¹⁵ Der Datenschutzberater oder die -beraterin brauchen dabei nicht namentlich aufgeführt zu werden, auch generische Bezeichnungen (z.B. datenschutzteam@muster-ag.ch und dergleichen) sind zulässig.¹⁶

Werden die beschafften Daten weitergegeben, müssen die Empfänger angegeben werden. Sie können entweder namentlich genannt oder als Kategorie aufgeführt werden. Die meisten Verantwortlichen werden sich aus praktischen Gründen für das Zweite entscheiden. Dies einerseits, weil vertragliche Vertraulichkeitsvereinbarungen einer namentlichen Nennung entgegenstehen können, andererseits, weil als Empfänger auch die Auftragsdatenbearbeiter aufzuführen sind. Letzteres führt dazu, dass sich das mögliche Feld von Empfängern derart weit öffnet, dass es zumeist nur noch durch allgemeine Umschreibungen vollständig abgedeckt werden kann. Denkbar sind Formulierungen wie «Cloud-Provider», «Versanddienstleister» oder «unsere Partner».¹⁷ Ausreichend ist jedoch auch der blosse Hinweis auf «Auftragsbearbeiter». Zweigniederlassungen und die eigenen Mitarbeiter gelten nicht als Empfänger und müssen darum nicht genannt werden.¹⁸

Zum Mindestinhalt gehören auch die Bearbeitungszwecke. Wie umfassend sie umschrieben werden, bleibt weitgehend dem Verantwortlichen überlassen. Kurzbezeichnungen sind zulässig.¹⁹ Generell empfiehlt es sich, die Zwecke so erklärend abzufassen, dass sie für den Adressatenkreis, d.h. die jeweiligen Betroffenen, ohne weiteres verständlich sind. Umschreibungen sind da hilfreicher als einzelne Begriffe.²⁰

Bei Auslandsbekanntgabe sind die Empfängerstaaten (oder allenfalls das internationale Organ) und gegebenenfalls die Garantien zur Gewährleistung eines geeigneten Datenschutzes mitzuteilen.²¹ Es handelt sich hier um eine gegenüber der DSGVO weitergehende Vorgabe, die auf praxisfremden Vorstellungen beruht. Sie ignoriert, wie weit die grenzüberschreitende Datenbearbeitung in der Unternehmenswelt mittlerweile vorangeschritten ist. Neben der Aufzählung jedes einzelnen Landes, in das Daten bekanntgegeben wird, können diese auch in Gruppen zusammengefasst werden. Dies liegt auf der Hand für die Länder der EU und des EWR, welche unter der DSGVO einen einheitlichen Rechtsraum bilden. Bei Datenbekanntgabe in eines oder mehrere dieser Länder, egal welches, genügt die Bezeichnung «EU/EWR». Allerdings erfüllen auch Umschreibungen wie «Osteuropa» (das wären potenziell sämtliche Länder, die nach herkömmlichem Sprachgebrauch dem Osten Europas zugerechnet werden), «Südamerika» oder gar «weltweit» die Informationspflicht.²² Geographisch unscharfe Formulierungen wie «Nahost» können ebenfalls verwendet werden, führen aber dazu, dass der Kreis an potenziellen Exportländern schwammig wird, was gegenüber den Betroffenen kaum vertrauensbildend wirkt.

Werden die Daten indirekt, also nicht bei den Betroffenen selbst erhoben, sind zudem die Datenkategorien mitzuteilen.²³ Dies vor dem Hintergrund, dass die Betroffenen ansonsten kaum in der Lage sein werden, zu erfahren, um welche Datenkategorien es geht.²⁴

Mitzuteilen sind schliesslich unter bestimmten Voraussetzungen automatisierte Einzelentscheide.²⁵

In den meisten Fällen wird es nicht erforderlich sein, über diesen Mindestinhalt hinausgehende Informationen zu liefern wie bspw. die Datenquellen oder die Speicherdauer.²⁶ Anderes gilt nur dort, wo die Betroffenen weitere Informationen brauchen, um ihre Rechte unter dem DSG geltend zu machen. Zu denken ist in erster Linie an besondere Risiken für die Persönlichkeit der Betroffenen, die sich aus Datenbearbeitungen des Verantwortlichen ergeben können, und die für die Betroffenen ohne weitere Angaben nicht erkennbar sind oder klar unerwartete, weil eindeutig ungewöhnliche Bearbeitungen.²⁷

Weder Art. 19 nDSG noch der Transparenzgrundsatz verpflichten den Verantwortlichen, über die Betroffenenrechte zu informieren. Es handelt sich hier nicht um Datenbearbeitungen des Verantwortlichen, sondern um Rechtsansprüche, die im Gesetz verankert und dort auffindbar sind.²⁸

Die Informationspflicht gilt nicht ohne Ausnahme oder Einschränkung. Die Ausnahmetatbestände finden sich in Art. 20 nDSG.

Informationen, die den Betroffenen bereits bekannt sind, brauchen nicht nochmals mitgeteilt werden. Die Botschaft hat hier als Beispiel das Szenario vor Augen, dass die betroffene Person bereits im Rahmen einer Einwilligung Informationen erhalten hat, deren nochmalige Mitteilung ein Leerlauf wäre.²⁹

Interessanter ist die Bestimmung, wonach die Informationspflicht entfällt, wenn die Bearbeitung in einem Gesetz vorgesehen ist. Private Verantwortliche werden sich darauf berufen können, sobald eine Datenbearbeitung in einem Gesetz im materiellen Sinne hinreichend umschrieben ist.³⁰ Wo die Datenbearbeitung über die Rechtsnorm hinausgeht, muss informiert werden.³¹ Dies empfiehlt sich generell für Zweifelsfälle. Die Ausnahmebestimmung darf nicht als generelle Freizeichnung der Bundesorgane von der Informationspflicht verstanden werden. Zwar führt die Botschaft aus, dass Bundesorgane Personendaten ohnehin nur bearbeiten könnten, wenn eine gesetzliche Grundlage bestehe, welcher sich regelmässig auch die entsprechenden Informationen entnehmen liessen. Dies bedeutet jedoch nicht, dass die Bundesorgane der Informationspflicht nicht unterstehen. Wäre dem so, so wäre die in Art. 20 Abs. 3 nDSG vorgesehene Einschränkung der Informationspflicht für Bundesorgane hinfällig. Gesetzesbestimmungen allein werden die mit der Informationspflicht angestrebte Transparenz kaum verwirklichen können.³²

Der dritte Ausnahmetatbestand greift den Normkonflikt zwischen Informations- und Geheimhaltungspflicht eines privaten Verantwortlichen auf und gibt der Geheimhaltungspflicht den Vorrang.³³

Bei der indirekten Beschaffung kann von der Information abgesehen werden, wenn sie einen Aufwand verursacht, der verglichen mit dem mutmasslichen Interesse der betroffenen Person an der Information nicht verhältnismässig ist. Der unverhältnismässige Aufwand kann entweder darin bestehen, die betroffene Person zu identifizieren oder die Information selbst mitzuteilen, wenn es um eine Vielzahl von Personen geht.³⁴ Werden bspw. Personendaten rein zu Archivzwecken bearbeitet, kann es mit einem unverhältnismässigen Aufwand verbunden sein, sämtliche Betroffenen darüber zu informieren.³⁵ In der Botschaft wird davor gewarnt, sich mit der blossen Vermutung zu begnügen, die Information sei unmöglich oder nur mit unverhältnismässigem Aufwand zu bewerkstelligen.³⁶ Das ist im Ansatz richtig, doch darf der Verantwortliche getrost auf solche Bemühungen verzichten, die von vornherein und offensichtlich als erfolglos oder übermässig aufwändig zu betrachten sind. Er wird umso mehr darauf bedacht sein, seine Einschätzung zu plausibilisieren und nachvollziehbar zu dokumentieren.

Eine weitere Ausnahme gründet im Quellenschutz für Medienschaffende.³⁷

Schliesslich listet das Gesetz eine Reihe von Konstellationen auf, bei deren Vorliegen die Informationspflicht zwar grundsätzlich bestehen bleibt, der Verantwortliche die Information gestützt auf eine Interessenabwägung aber einschränken, aufschieben oder sogar gänzlich darauf verzichten darf.³⁸ Es geht um Fälle, bei denen der Grund für die Beschränkung der Informationspflicht und das Interesse an einer transparenten Datenbearbeitung zueinander in Beziehung gesetzt werden müssen und als Ergebnis:

• die Interessen von Drittpersonen überwiegen;
• die Interessen des privaten Verantwortlichen überwiegen und er die Daten keinen Dritten bekanntgibt, ausgenommen Gruppengesellschaften, gemeinsamen Verantwortlichen oder Auftragsbearbeitern;
• die Information den Zweck der Bearbeitung vereitelt, bspw. im Rahmen des investigativen Journalismus,³⁹ oder beim Bundesorgan eine Untersuchung oder ein Verfahren gefährdet;
• beim Bundesorgan öffentliche Interessen überwiegen.

Gemäss der Botschaft sind diese Einschränkungen restriktiv auszulegen und die Information nur soweit zu beschränken, als dies wirklich unerlässlich ist.⁴⁰ Diese Auffassung findet im Gesetzestext allerdings keine Stütze und ist auch sonst unbegründet. Vielmehr ist eine ergebnisoffene, wertende Interessenabwägung im Einzelfall vorzunehmen. Der Verantwortliche darf dabei auch wirtschaftliche Interessen berücksichtigen. Ausser Frage steht, dass ein Aufschieben, sofern ausreichend, als mildere Massnahme einem gänzlichen Verzicht der Information vorgeht. So wird eine Bank zwar nicht innert der Monatsfrist von Art. 19 Abs. 5 nDSG⁴¹ informieren müssen, nachdem sie sich in öffentlichen Quellen erste Angaben über einen neuen potenziellen Kunden beschafft hat, aber sicherlich dann, sobald sie diesem sog. Prospect einen erfolgversprechenden Business Case präsentieren kann.

Das nDSG legt nicht fest, auf welche Weise die Information erfolgen muss.⁴² Der Verantwortliche muss einzig sicherstellen, dass die Betroffenen die Information zur Kenntnis nehmen können.⁴³

Aus Gründen der Beweisbarkeit empfiehlt sich die Schriftform. Im Vordergrund stehen Allgemeine Geschäftsbedingungen (AGB) oder Datenschutzerklärungen.

AGB haben den Vor- und gleichzeitig Nachteil, dass sie Bestandteil eines Vertrages mit den Betroffenen sind. Ein gewiefter Verantwortlicher, welcher seine Datenbearbeitungen in AGB beschreibt, kann auf diesem Weg versuchen, einer etwaigen Diskussion über Verletzungen der Datenschutzgrundsätze von vorneherein den Boden zu entziehen, indem er für seine Bearbeitungen eine Einwilligung geltend macht.⁴⁴ Der Nachteil zeigt sich darin, dass die Informationspflicht so nur gegenüber Vertragspartnern erfüllt werden kann. Aussen vor bleiben weitere Betroffene wie etwa Webseitenbesucher. Ausserdem sind AGB zugangsbedürftig und unterliegen den Schranken von Art. 8 UWG.

In der Datenschutzerklärung beschreibt der Verantwortliche seine Datenbearbeitungen. Als einseitige Erklärung bildet sie nicht Bestandteil eines Vertrages. Entsprechend einfach kann sie der Verantwortliche anpassen, um neuen oder geänderten Bearbeitungen Rechnung zu tragen. Aus diesem Grund ist der Datenschutzerklärung als Instrument zur Erfüllung der Informationspflicht gegenüber AGB in der Regel der Vorzug zu geben.⁴⁵ Es ist davon auszugehen, dass die überwiegende Mehrzahl der Verantwortlichen von Datenschutzerklärungen Gebrauch machen werden, um ihrer Informationspflicht nachzukommen.

Welche Voraussetzungen hat eine Datenschutzerklärung unter Art. 19 nDSG zu genügen? Kurz gesagt muss sie leicht zugänglich, verständlich, vollständig und genügend sichtbar gemacht sein.⁴⁶ Im Vorfeld des neuen DSG wie schon zuvor unter der DSGVO wurde relativ breit erörtert, ob bei einem sog. Medienbruch⁴⁷ noch von leichter Zugänglichkeit gesprochen werden kann.⁴⁸ Diese Diskussion wirkt bereits heute leicht antiquiert, was sich in Zukunft weiter akzentuieren wird. Von ganz wenigen Ausnahmen abgesehen ist es den Betroffenen nicht nur bloss zumutbar, Datenschutzhinweise auf Webseiten der Verantwortlichen abzurufen. Sie tun dies vielmehr selbstverständlich, weil es ihrem Erwartungshorizont entspricht. Davon abgesehen gilt für die Informationspflicht auch kein Zugangsprinzip.⁴⁹ Es genügt, dass die Datenschutzerklärung für die Betroffenen auf der Webseite leicht und rasch auffindbar ist. Die weit überwiegende Zahl der Verantwortlichen sehen bereits heute auf der Einstiegsseite ihres Webautritts einen direkten Link zu den Datenschutzhinweisen vor.

In der Praxis stehen viele Verantwortliche, insbesondere grössere Unternehmen, vor der Herausforderung, sämtliche erforderlichen Informationen zusammenzustellen. Wer über sauber geführte Prozesse verfügt, ist hier im Vorteil. Idealerweise sind sie so angelegt, dass neue Datenbearbeitungen nicht «live» gehen, bevor sie im Datenbearbeitungsverzeichnis eingetragen und in der Datenschutzerklärung nachgeführt sind. Auch zeigt sich hier der Wert einer dezentral operierenden Datenschutzorganisation, welche die Fachbereiche eng begleitet.

Sind die informationspflichtigen Inhalte ermittelt, folgt die nächste Hürde: Die Datenschutzerklärung ist so zu gestalten, dass sie den Anforderungen an die Modalitäten der Information gerecht wird. Dabei steht das Erfordernis nach Vollständigkeit in einem gewissen Spannungsverhältnis zur Anforderung, die Information verständlich mitzuteilen.⁵⁰ Als Lösung hierzu propagieren hiesige wie europäische Datenschutzbehörden den Mehrebenenansatz («mulitlayered notice»): Hierbei werden die Informationen in verschiedenen Ebenen erteilt. Auf der ersten Ebene wird überblicksmässig über die wesentlichen Umstände der Datenbearbeitung informiert und mittels Links auf untere Ebenen verwiesen. Dort folgen Details zu einzelnen Aspekten der Bearbeitung.⁵¹

Es besteht keine Verpflichtung, übrigens auch nicht unter der DSGVO, einen solchen Mehrebenenansatz zu verfolgen. Dessen ungeachtet mag dies ein interessantes Instrument für Verantwortliche sein, die möglichst «kundenfreundlich» informieren möchten. Wer diesen Ansatz maximieren will, kann auf der ersten Ebene Piktogramme einsetzen.⁵² Der Verein PRIVACY ICONS bietet solche unentgeltlich an.⁵³ Es gibt keinen Mindestinhalt, welcher auf der ersten Ebene dargestellt werden muss. Die Flexibilität ist gross, solange die Informationen leicht zugänglich und verständlich sind.

Werden die Daten bei der betroffenen Person beschafft, muss sie in diesem Zeitpunkt informiert werden.⁵⁴ Praktisch bedeutet dies, dass die Information auf der Webseite des Verantwortlichen abrufbar sein muss, sobald er die Daten beschafft. Wie Rosenthal⁵⁵ zurecht ausführt, darf die Datenschutzerklärung zukünftig denkbare Zwecke und Bearbeitungen vorwegnehmen. Beschafft der Verantwortliche die Daten nicht bei den Betroffenen, muss er längstens nach einem Monat informieren. Diese Frist gilt aber nur, solange der Verantwortliche die Daten nicht an Empfänger bekanntgibt. Wenn er also Daten in der Cloud – und damit bei einem Auftragsbearbeiter – speichert, muss er die Betroffenen sogleich informieren. Sofern dies nicht umsetzbar ist, bleibt ihm der Rückgriff auf die im Gesetz vorgesehenen Ausnahmetatbestände.⁵⁶

Die Informationspflicht knüpft an die Datenbeschaffung an, weshalb der Verantwortliche nicht darüber informieren muss, wenn sich die Umstände der Bearbeitung ändern. Das gilt jedoch nicht ausnahmslos. Der Grundsatz der Zweckbindung verpflichtet den Verantwortlichen indirekt, die Betroffenen über neue zusätzliche Bearbeitungszwecke zu informieren. Dasselbe kann sich aus dem Transparenzgrundsatz oder dem Gebot, Personendaten nach Treu und Glauben zu bearbeiten,⁵⁷ ergeben. Verlagert der Verantwortliche etwa die Datenspeicherung von der Schweiz in ein unsicheres Drittland oder nimmt er andere aus Sicht der Betroffenen sehr wesentliche Änderungen vor, wird er dies mitzuteilen haben.⁵⁸

Bei der Umsetzung der Informationspflicht gilt es die Balance zu finden zwischen Vollständigkeit und Einfachheit. Der Verantwortliche handelt (auch) im Interesse der Betroffenen, wenn er sich neben dem gesetzlichen Mindestinhalt auf das beschränkt, was die Betroffenen wissen müssen, um ihre Rechte wahrzunehmen. Das erfordert zugegebenermassen etwas Mut: Die Verletzung der Informationspflichten ist strafbewehrt,⁵⁹ was aber zugleich in zweifacher Hinsicht zu relativieren ist: Erstens hält die offene Formulierung von Art. 19 nDSG dem Bestimmtheitsgebot von Art. 1 StGB nicht stand, weshalb die Verletzung dieser Norm strafrechtlich nicht sanktioniert werden darf.⁶⁰ Zweitens handelt es sich um ein Vorsatzdelikt. Am Vorsatz wird es regelmässig fehlen, wenn etwas vergessen geht, unpräzise formuliert ist oder eben – weil aus Sicht des Verantwortlichen nicht mitteilungspflichtig – bewusst weggelassen wird. Im letztgenannten Fall sollte der Verantwortliche seine Überlegungen, warum er auf die Information verzichtet, bzw. sie einschränkt oder aufschiebt, nachvollziehbar begründen und dokumentieren, um für den Fall der Fälle gewappnet zu sein.

Claudius Ettlinger. Der Autor ist Datenschutzberater bei der SBB AG. Er gibt in diesem Beitrag seine persönliche Meinung wieder.