Die Plattform für Compliance-Verantwortliche

Der Auskunftsanspruch im revidierten Schweizer Datenschutzgesetz (revDSG): Überblick und Praxishinweise für die künftige Beantwortung von Auskunftsbegehren

Am 25. September 2020 hat das Parlament die Totalrevision des Schweizer Datenschutzgesetzes (DSG) verabschiedet. Im Rahmen der Gesetzesrevision sollten unter anderem die Rechte der betroffenen Personen gestärkt werden. Dabei hat auch das Auskunftsrecht einige Anpassungen erfahren, die es künftig bei der Beantwortung von Auskunftsbegehren zu beachten gilt (mit dem Inkrafttreten ist voraussichtlich per 1. Januar 2022 zu rechnen).

Nach geltendem Recht ist der betroffenen Person – falls Daten über sie bearbeitet werden – im Sinne einer Mindestinformation Folgendes mitzuteilen:

  • alle über sie in der Datensammlung vorhandenen Daten einschliesslich der verfügbaren Angaben über die Herkunft der Daten;
  • der Zweck und ggf. die Rechtsgrundlagen des Bearbeitens sowie die Kategorien der bearbeiteten Personendaten, der an der Sammlung Beteiligten und der Datenempfänger.

Dieser Mindestkatalog wurde erweitert um Informationen über die Aufbewahrungsdauer sowie allfällige Auslandtransfers und automatisierte Einzelentscheide (inkl. Logik).

Das Auskunftsrecht ist neu nicht mehr auf diese (erweiterten) Mindestinformationen beschränkt, sondern umfasst jede Information, welche für die betroffene Person erforderlich ist, um ihre Rechte nach revDSG geltend zu machen.

Auf den ersten Blick wurde das Auskunftsrecht damit erheblich ausgebaut. Bei der Beantwortung von Auskunftsbegehren müssen neu zusätzliche Angaben gemacht werden, wobei diese aufgrund der offenen Formulierung („jede Information“) noch nicht mal abschliessend bekannt sind.

Allerdings gibt es auch Neuerungen, die für eine Einschränkung des neuen Auskunftsrechts gegenüber dem geltenden Recht sprechen. So sieht das das Auskunftsrecht neu vor, dass nur Personendaten „als solche“ herausverlangt werden können. Dies ist unter geltendem Recht strittig. Mehrheitlich wird heute davon ausgegangen, dass das Recht auf Auskunft die gesamten Dokumente umfasse, welche die fraglichen Personendaten enthalten. Dies führt dazu, dass das Auskunftsrecht heute in der Praxis regelmässig dazu verwendet wird, um an prozessrelevante Akten und Unterlagen zu gelangen. Dies widerspricht Sinn und Zweck des Auskunftsrechts, welches nicht die (vorprozessuale) Beweismittelbeschaffung erleichtern, sondern die Kontrolle über die eigenen Daten und die Überprüfung und ggf. Durchsetzung der datenschutzrechtlichen Grundsätze gewährleisten soll. Mit der neuen Regelung soll die missbräuchliche Verwendung des Auskunftsrechts als „Aktenherausgaberecht“ verhindert werden. Aus demselben Grund wird bei den Einschränkungsgründen neu explizit festgehalten, dass die Auskunft mitunter dann verweigert, eingeschränkt oder aufgeschoben werden kann, wenn ein Begehren „offensichtlich unbegründet ist, namentlich wenn es einen datenschutzwidrigen Zweck verfolgt, oder offensichtlich querulatorisch [ist]“.

Die Modalitäten des Auskunftsersuchens bzw. der Auskunftserteilung sind heute mehrheitlich in der Verordnung zum DSG (VDSG) geregelt. Dies wird auch unter dem neuen DSG der Fall sein. Der Verordnungstext liegt derzeit noch nicht vor. Ob und ggf. inwiefern sich die Modalitäten vom geltenden Recht unterscheiden, wird sich zeigen. Klar ist einzig – weil neu im Gesetz geregelt – dass die Auskunft innert 30 Tagen zu erteilen ist (wie bereits heute). Hingegen sieht zumindest das Gesetz nicht mehr vor, dass die Auskunft schriftlich, in Form eines Ausdrucks oder einer Kopie zu erfolgen hat.

Mit dem Inkrafttreten des revidierten DSG ist – wie eingangs erwähnt – voraussichtlich zwar nicht vor dem 1. Januar 2022 zu rechnen. Jedoch sieht das Gesetz grundsätzlich keine Übergangsfristen zur Umsetzung der neuen Regelungen vor. Datenschutzkonzepte sollten deshalb frühzeitig geprüft und ggf. angepasst werden, zumal mit der Revision auch die Sanktionsfolgen bei Datenschutzverstössen verschärft wurden (Bussen bis CHF 250‘000). Für die Beantwortung von datenschutzrechtlichen Auskunftsbegehren kommt der Erstellung und Führung von Bearbeitungsverzeichnissen – neu ebenfalls eine Pflicht für gewisse Unternehmen – eine grosse Bedeutung zu. Denn nur eine sorgfältige Dokumentation sämtlicher Datenbearbeitungen erlaubt es, Datenschutzbegehren korrekt, rechtzeitig und mit einem verhältnismässigen Aufwand zu beantworten.

Schliesslich ist darauf hinzuweisen, dass das neue Finanzdienstleistungsgesetz (FIDLEG) einen Anspruch des Kunden auf Herausgabe von Dokumenten vorsieht, der kumulativ zum datenschutzrechtlichen Auskunftsanspruch besteht. Diese Ansprüche weisen Parallelen, aber auch einige Unterschiede auf. Bei der Beantwortung von Begehren, die sich auf beide Rechtsgrundlagen stützen, sollte daher eine separate Behandlung von Herausgabe- und Auskunftsbegehren erfolgen, wobei das jeweilige Gesuch insbesondere hinsichtlich Gegenstand, Modalitäten und allfälligen Schranken hin zu prüfen ist.

Luca Stäuble, Rechtsanwalt bei Kellerhals Carrard Zürich sowie Stv. Geschäftsführer beim Schweizerischen Leasingverband (SLV)

Treffen Sie Luca Stäuble an der NZCK 2021.