Unsere Webseite nutzt Cookies und weitere Technologien, um die Benutzerfreundlichkeit für Sie zu verbessern und die Leistung der Webseite und unserer Werbemassnahmen zu messen. Weitere Informationen und Optionen finden Sie in unserer Datenschutzerklärung.
Ok

Auskunftsrecht: Das Auskunftsrecht nach neuem Datenschutzrecht

Das Auskunftsrecht ist in Art. 25 ff. des neuen Datenschutzgesetzes (nDSG) und in Artikel 16 ff. der entsprechenden neuen Datenschutzverordnung (nDSV) geregelt. Es ist das wichtigste Instrument im Datenschutz, weshalb es im nDSG zu Beginn der den betroffenen Personen eingeräumte Rechte steht. Das Auskunftsrecht dient in erster Linie dem Schutz der Persönlichkeit und der Grundrechte der Personen, von denen Personendaten bearbeitet werden.

04.04.2023 Von: Regina Arquint
Auskunftsrecht

Ferner wird der betroffenen Person damit ein Instrument zur Verfügung gestellt, mit dem sie die Bearbeitung ihrer Personendaten kontrollieren und prüfen kann, ob die Daten rechtmässig bearbeitet werden und bei einer Verletzung, ihr die Durchsetzung der Rechte zu ermöglichen. Bei der Überprüfung der Rechtmässigkeit der Datenbearbeitung geht es vor allem um die Einhaltung der Grundsätze der Datenbearbeitung, wie

  1. die rechtmässige Beschaffung, die Bearbeitung nach Treu und Glauben,
  2. die Überprüfung der Richtigkeit der Daten, die Einhaltung der Verhältnismässigkeit bei der Datenbearbeitung,
  3. die Gewährleistung des angemessenen Datenschutzes bei Auslandtransfers sowie die Löschung der Daten.

Zudem unterstützt das Auskunftsrecht den Persönlichkeitsschutz einer Person (Art. 28–28b und 28g–28 l ZGB). So kann eine betroffene Person mittels eines Auskunftsbegehrens Informationen erlangen, die ihr als Grundlage zur Beurteilung dienen, ob eine Persönlichkeitsverletzung begangen wurde.

Das Auskunftsrecht betreffend Personen

Auskunftsberechtigte Personen

Das Auskunftsrecht gehört zu den (relativen) Höchstpersönlichkeitsrechten einer Person. Es kann weder auf eine andere Person übertragen werden noch kann es vererbt werden. Nach neuer Rechtlage steht es allerdings nur den natürlichen Personen zu. Hingegen sind juristische Person nicht mehr durch das Datenschutzrecht geschützt. Auf das Recht kann niemand verzichten; eine solche Verzichtserklärung wäre ungültig. Schliesslich gilt das Recht unbefristet, d.h. es verjährt nicht.

Bei verstorbenen Personen sieht das neue Datenschutzgesetz und die neue Datenschutzverordnung keine solches Auskunftsrecht mehr vor, da das Auskunftsrecht betreffend Daten von verstorbenen Personen, wie dies die aktuelle Datenschutzverordnung vorsieht (Art. 1 Abs. 7 DSGV) als «Gesetzwidrig» beurteilt wurde. Da das datenschutzrechtliche Auskunftsrecht ein Recht ist, das aus dem Persönlichkeitsrecht der betroffenen Person fliesst, darf grundsätzlich nur diese Auskunft über die eigenen Daten verlangen. Da gemäss schweizerischer Rechtspraxis das Persönlichkeitsrecht und der damit verfolge Schutzzweck beim Tod des Betroffenen grundsätzlich dahinfällt, geht das Auskunftsrecht nicht auf die Erben über.

Auskunftspflichtige Personen

In erster Linie muss der Verantwortliche die Auskunft erteilen. Der Verantwortliche ist die Person, welche allein oder zusammen mit anderen über den Zweck und die Mittel der Datenbearbeitung entscheidet und somit die Verantwortung für die Datenbearbeitung trägt (Art. 5 lit. j nDSG).

Wenn der Verantwortliche die Personendaten durch einen Dritten in seinem Auftrag bearbeiten lässt, so bleibt der Verantwortliche zur Auskunftserteilung verpflichtet (Art. 25 Abs. 4 nDSG). Wenn er allerdings selbst nicht in der Lage ist, die Auskunft zu erteilen, dann ist davon auszugehen, dass er das Begehren (analog Art. 1 Abs. 6 der aktuellen Datenschutzverordnung) dem Dritten weiterzuleiten hat, damit dieser die Auskunft erteilen kann.

Ist der Dritte hingegen selbst Verantwortlicher (nicht bloss ein Auftragsbearbeiter) und führt er die Datensammlung gemeinsam mit dem anderen Verantwortlichen, so ist jeder einzelne Verantwortliche zur Auskunft verpflichtet. Die Verantwortlichen können allerdings einen Verantwortlichen bezeichnen, der für die Behandlung der Auskunftsbegehren zuständig ist. Wenn ein Verantwortlicher zur Auskunftserteilung nicht ermächtigt bzw. nicht zuständig ist, so hat er das Auskunftsbegehren an den zuständigen Verantwortlichen weiterzuleiten.

Wesentlich ist, dass durch die Aufgabenaufteilung zwischen zwei gemeinsam Verantwortlichen die Geltendmachung eines Auskunftsbegehrens nicht erheblich erschwert oder sogar verunmöglicht werden darf. Die auskunftsberechtigten Personen haben sich nicht um die innere Organisation eines Inhabers bzw. mehrerer Inhaber zu kümmern.

Ferner kann eine auskunftsberechtigte Person ihr Auskunftsrecht über einen Dritten geltend machen. Mögliche Gründe dafür können bspw. die Geheimhaltung oder das Schutzbedürfnis des Auskunftsberechtigten sein. So sieht Art. 25 Abs. 3 nDSG vor, dass der Verantwortliche Daten über die Gesundheit der betroffenen Person einem Arzt mitteilen kann, der von der Gesuchstellerin bezeichnet wurde. Der Arzt nimmt dann Einblick in die Daten und teilt diese der auskunftsberechtigten Person mit. Damit kann bspw. vermieden werden, dass der Verantwortliche die Auskunft nicht mit dem Grund verweigern kann, er könnte bei einer Schädigung oder Selbstgefährdung der betroffenen Person aufgrund der Mitteilung der Daten gegenüber der betroffenen Person haftbar gemacht werden.

Gegenstand des Auskunftsrecht

Beim Auskunftsrecht handelt es sich um ein umfassendes Recht. Sofern es nicht aus gesetzlichen Gründen eingeschränkt werden kann, muss grundsätzlich über alle Daten informiert werden unabhängig von der Art der Bearbeitung (sei es elektronisch, auf Papier, als Video oder Tonaufnahmen), vom Ort oder vom Zeitpunkt der Bearbeitung.

Das Gesetzt sieht zuerst vor, dass jede Person von einem Verantwortlichen Auskunft darüber verlangen kann, ob überhaupt Daten über sie bearbeitet werden (Art. 25 Abs. 1 nDSG). Damit hat der Verantwortliche gegenüber der betroffenen Person auch mitzuteilen, wenn keine Personendaten über sie bearbeitet werden (sog. Negativmeldung).

Sofern Daten bearbeitet werden, hat der Verantwortliche der betroffenen Person folgende Informationen mitzuteilen (Art. 25 Abs. 2 DSG):

Als Grundregel hat er der betroffenen Person diejenigen Informationen mitzuteilen, die erforderlich sind, damit sie ihre Rechte nach dem nDSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall hat er ihr folgende Informationen mitzuteilen:

  1. Die Identität und die Kontaktdaten des verantwortlichen;
  2. Die bearbeiteten Personendaten als solche;

Dazu gehören alle Daten, die sich auf den Antragssteller in bestimmter oder bestimmbarer Weise beziehen. Ebenfalls davon erfasst sind pseudonymisierte Daten, sofern der Verantwortliche selbst über den Schlüssel zur Identifikation der Daten verfügt. Von der Mitteilung ausgeschlossen sind somit lediglich anonymisierte Daten, d.h. solche Informationen, die keinen Rückschluss auf den Antragsteller ermöglichen (z.B. statistische Auswertungen). Kein Anspruch hingegen hat die auskunftsersuchende Person auf Dokumente bspw. in Form von Kopien, sondern nur auf die Daten als solche.

  1. Der Bearbeitungszweck;

Ebenfalls mitzuteilen ist der Zweck der Datenbearbeitung. Dies ermöglicht die betroffene Person zu prüfen, ob der Grundsatz der Zweckbindung gemäss Art. 6 Abs. 3 nDSG eingehalten wurde.

  1. Die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung der Dauer;
  2. die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;

Mitzuteilen sind die Herkunft der Daten sowie die Identität der Herkunftsperson, damit der Antragsteller seine Rechte auch gegenüber diesen Quellen, wenn nötig geltend machen kann.

  1. Gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
  2. Gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Absatz 4.

Ebenfalls mitzuteilen sind die Kategorien der Empfänger der Daten. Dazu gehören Auftragsbearbeiter (wie bspw. IT-Dienstleistungsunternehmen), gemeinsame Verantwortliche, Partnerunternehmen, Kreditinstitute, Gerichtsbehörden etc.). Nicht erforderlich ist hingegen, dass Dritte namentlich erwähnt werden.

Nach aktuellem Recht müssen nur Daten mitgeteilt werden, die sich in einer Datensammlung befinden, d.h. wo ein Datenbestand aufgebaut wurde, dass die Daten nach betroffenen Personen erschliessen lässt (Art. 3 Abs. 1 lit g. DSG). Nach neuem Recht ist das Auskunftsrecht nicht mehr nur auf Datensammlungen beschränkt, sondern umfasst auch Daten, welche sich ausserhalb von Datensammlungen befinden. Da der Begriff der Datensammlung nach aktuellem Recht sehr weit ausgelegt wird, wird dies in der Praxis eher von untergeordneter Bedeutung sein. In der EU hat es eine entsprechende Einschränkung gar nie gegeben.

Damit die betroffene Person ihre Rechte geltend machen kann und eine transparente Datenverarbeitung gewährleistet ist, ist es empfehlenswert, auch die Rechtsgrundlage/n des Bearbeitens mitzuteilen. Dies ermöglicht der betroffenen Person zu überprüfen, ob die Daten rechtmässig erhoben und bearbeitet werden. Dazu gehören einmal gesetzliche Grundlagen, was bspw. den Bereich des Sozialversicherungsrechtes betrifft, wenn der Arbeitgeber Daten über seine Mitarbeiter zum Zwecke des Sozialversicherungsschutzes bearbeiten muss. Als weitere Rechtsgrundlagen kommen die Einwilligung der betroffenen Person wie auch ein überwiegendes Interesse des Verantwortlichen (Art. 31 Abs. 1 nDSG) in Frage. Im letzteren Fall enthalten sind auch Datenbearbeitungen, die nötig sind im Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages mit der betroffenen Person.

Form des Auskunftbegehrens

Das schriftliche Formerfordernis, wie das aktuelle Datenschutzrecht vorsieht, wurde im nDSG weggelassen. Es bleibt abzuwarten, ob bestimmte Formerfordernisse in der Verordnung vorgesehen werden. Damit können das Auskunftsbegehren sowie die Auskunftserteilung auch auf elektronischem Weg (z.B. per E-Mail) oder durch Einsicht vor Ort erfolgen, wenn der Verantwortliche dies ausdrücklich vorgesehen hat und den betroffenen Personen darüber informiert hat.

Nachweis der Identität des Antragstellers

Ferner muss der Verantwortliche über die Identität der betroffenen Person nachweisen. Denn würden die Personendaten einem unberechtigten Antragsteller mitgeteilt werden, würde der Auskunftspflichtige selbst dadurch eine Datenschutz- und Persönlichkeitsverletzung begehen. Die Prüfung der Identität muss sorgfältig und den Umständen entsprechend angemessen erfolgen. Dabei gilt der Grundsatz, je schutzwürdiger und sensibler die Daten, umso höhere Anforderungen sind an den Nachweis der Identität des Antragstellers zu stellen. So können bspw. bestimmte Daten (wie z.B. Geburtsdatum, Adresse, letzter Rechnungsbetrag) abgefragt werden oder eine Kopie oder eine Bestätigung der Echtheit der Kopie eines Ausweises/Identitätskarte des Antragstellers verlangt werden.

Frist für die Beantwortung von Auskunftsbegehren

Die Auskunft hat in der Regel innerhalb von 30 Tagen seit Eingang des Auskunftsbegehrens zu erfolgen (Art. 25 Abs. 7 nDSG). Dies gilt auch, wenn der Auskunftspflichtige eine Einschränkung des Auskunftsrechts gestützt auf Art. 26 nDSG geltend machen möchte. Diesfalls muss er den Einschränkungsgrund begründen und seinen Entscheid ebenfalls innerhalb von 30 Tagen mitteilen. Die gleiche Frist gilt für andere Begründungen, wie bspw., wenn der Nachweis der Identität ungenügend ist, der Verdacht des Rechtsmissbrauchs vorliegt oder ein zu weit gefasstes Begehren gestellt wurde. Wenn eine Antwort innerhalb dieser Frist nicht möglich ist, darf der Auskunftspflichtige diese selbst erstrecken. Er sollte dem Antragsteller allerdings eine definitive Frist angeben, bis wann er die Auskunftserteilung mitteilt.

Kosten

Die Auskunft hat grundsätzlich kostenlos zu erfolgen. Der Bundesrat kann in der Verordnung Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist (Art. 25 Abs. 6 nDSG). Gemäss aktuellem Recht kann in den nachfolgenden zwei Fällen eine angemessene Kostenbeteiligung ausnahmsweise verlangt werden (Art. 2 VDSG):

  1. Der Auskunftspflichtige hat der antragstellenden Person in den zwölf Monaten vor dem Gesuch die gewünschten Auskünfte bereits mitgeteilt und es kann kein schutzwürdiges Interesse an einer neuen Auskunftserteilung nachgewiesen werden. Ein schutzwürdiges Interesse ist insbesondere gegeben, wenn die Personendaten ohne Mitteilung an die betroffene Person verändert wurden.
  2. Die Auskunftserteilung ist mit einem besonders grossen Arbeitsaufwand verbunden.

Ein besonders grosser Aufwand besteht in der Praxis insbesondere dort, wo der Aufwand den üblichen mit dem Hervorholen, Kopieren und Versenden eines Dossiers verbundene Aufwand erheblich übersteigt. Dies kann bspw. der Fall sein bei langwierigen Nachforschungen in manuell geführten Datensammlungen, wenn Akten hinsichtlich Personendaten Dritter einzeln geprüft und ggf. teilweise abgedeckt oder anonymisiert werden müssen, oder der Aktenumfang ausserordentlich gross ist.

Der Auskunftspflichtige kann die Kosten nach angemessenem Aufwand bestimmen, wobei die Grenze bei maximal CHF 300.00 liegt. Zudem muss er dem Gesuchsteller nach heutigem Recht vorher die Möglichkeit geben, sein Gesuch innert einer Frist von 10 Tagen ohne Kostenfolge zurückzuziehen (Art. 2 VDSG Abs. 2).

Gemäss der neuen Datenschutzverordnung (Art. 19) kann der Verantwortliche von der betroffenen personen eine angemessene Kostenbeteiligung verlangen, wen die Erteilung der Auskunft mit einem unverhältnismässigen Aufwand verbunden ist. Die Beteiligung darf jedoch maximal CHF 300.– betragen. Zudem muss der Verantwortliche der betroffenen Person die Höhe der Beteiligung vor der Auskunftserteilung mitteilen. Wenn die betroffene Person das Gesuch nicht innerhalb von zehn Tagen bestätigt, so gilt es als ohne Kostenfolge als Zurückgezogen.

Einschränkungen des Auskunftsrecht

Das Auskunftsrecht gilt nicht uneingeschränkt. Das Gesetz regelt die Einschränkungen des Auskunftsrechtes in Art. 26 nDSG und für Medienschaffende in Art. 27 nDSG. Vorliegend von besonderer Bedeutung sind die Einschränkungsgründe nach Art. 26 nDSG, weshalb nachfolgend lediglich auf diese näher eingegangen wird.

Art. 26 nDSG regelt die Gründe für die Einschränkung des Auskunftsrechts abschliessend. Das heisst, ein Verantwortlicher kann sich grundsätzlich nur auf diese stützen. Bevor auf die Einzelnen Tatbestände darauf eingegangen wird, ist festzuhalten, dass alle Einschränkungsgründe eine Interessenabwägung im konkreten Einzelfall erfordern. Dabei sind die Interessen der betroffenen Person nicht bereits von Anfang an ein grösseres Gewicht beizumessen als jene der auskunftspflichtigen Person oder eines Dritten.

Danach kann der Verantwortliche gemäss Art. 26 nDSG die Auskunft verweigern, einschränken oder aufschieben, soweit folgende Voraussetzungen gegeben sind.

  1. Ein Gesetz im formellen Sinn sieht eine solche Einschränkung vor (Art. 26 Abs. 1 lit. a nDSG).

Hier von Bedeutung sind vor allem Bundesgesetze mit Regelungen, die Geheimhaltungsvorschriften vorsehen. Als mögliche Beispiele könne hier die Berufsgeheimnisse wie bspw. von Rechtsanwälten, Notare, Ärzte oder das Post- und Fernmeldegeheimnis gemäss Art. 321–321ter StGB oder das Bankkundendatengeheimnis nach Art. 47 BankG genannt werden. Allerdings kann sich der Auskunftspflichtige nicht auf eine Einschränkung des Auskunftsrechts gestützt auf diese Grundlagen gegenüber der betroffenen Person berufen, soweit die Norm gerade den Zweck hat, die betroffene Person zu schützen. Weitere Geheimhaltungspflichten können sich aus dem Geschäfts- und Fabrikationsgeheimnis ergeben, wie sie bspw. für den Arbeitnehmer nach Art. 321e OR oder für den Beauftragten nach Art. 406g OR gelten.

  1. Die Einschränkung ist wegen überwiegender Interessen Dritter erforderlich (Art. 26 Abs. 1 lit. b nDSG).

Vorab festzuhalten ist, dass mit „Dritter“ nicht Personen gemeint sind, die zum Kreis der Empfänger der Daten gehören, welche der Auskunftspflichtige gegenüber dem Auskunftsberechtigten gerade mitteilen muss (vgl. obiger Punkt 3 lit. g). Ferner darf er bei der Auskunft auch nicht Daten über eine andere Person mitteilen, wenn er dadurch selbst eine Datenschutzverletzung begehen würde. So kann ein überwiegendes Interesse Dritter gegeben sein, wenn befürchtet werden muss, dass der Gesuchsteller beim Einblick in seine Daten zugleich auch Informationen über Drittpersonen erhält und dadurch die Datenschutzinteressen dieser Drittperson verletzt werden können. In diesem Fall müssen alle Personendaten dieser Drittperson in einer Weise geschwärzt oder abgedeckt werden, dass diese Drittperson nicht mehr identifizierbar ist. Wenn das Unkenntlich machen dieser Drittperson bspw. nicht möglich ist, muss gegebenenfalls eine Interessenabwägung vorgenommen werden, wobei der Auskunftspflichtige stets darauf zu achten hat, dass er dadurch keine unrechtmässige Datenbekanntgabe über einen Dritten vornimmt (so könnte er bspw. die Zustimmung des betroffenen Dritten einholen).

  1. Ferner kann der Verantwortliche die Auskunft verweigern, einschränken oder aufschieben, sofern das Auskunftsgesuch offensichtlich unbegründet ist, namentlich wenn es einen datenschutzwidrigen Zweck verfolgt, oder offensichtlich querulatorisch ist (Art. 26 Abs. 1 lit. c nDSG).

Einen datenschutzwidrigen Zweck wird verfolgt, wenn nicht die Bearbeitung und Nutzung der Daten als solche im Fokus liegt, so der wirkliche Zweck bspw. in der Durchsetzung eines Anspruches aus dem Arbeitsrecht bspw. in einer rechtsmissbräuchlichen Kündigung besteht und mittels eines datenschutzrechtlichen Auskunftsbegehrens an Beweismittel gelangt werden soll, welche im Klageverfahren der rechtsmissbräuchlichen Kündigung von der Beklgaten nicht herausgegeben werden müssten, um dadurch die Gewinnchancen im Gerichtsverfahren zu erhöhen.

Darüber hinaus ist es gemäss Art. 26 Abs. 2 nDSG in den folgenden Fällen möglich, die Auskunft zu verweigern, einschränken oder aufschieben, wenn folgende Voraussetzungen erfüllt sind:

  1. Überwiegende Interessen des Verantwortlichen erfordern die Massnahme (Art. 26 Abs. 2 lit. a Ziff. 1 nDSG).
  2. Der Verantwortliche gibt die Personendaten nicht Dritten bekannt (Art. 26 Abs. 2 lit. a Ziff. 2 nDSG).

Mit Dritten sind hier echte Dritten im Sinne des Datenschutzgesetzes gemeint und nicht etwa Auftragsbearbeiter, welche die Daten im Auftrag und auf Anweisung der auskunftspflichtigen Person nach Art. 9 nDSG bearbeiten. Ebenfalls nicht als Dritte gelten Bekanntgaben innerhalb derselben juristischen Person (wie bspw. Organe oder Arbeitnehmer) oder an Unternehmen, die zum selben Konzern gehören (Art. 26 Abs. 3 nDSG).

Auch vorliegend hat der Auskunftspflichtige eine Interessenabwägung seiner Interessen gegenüber denjenigen des Auskunftsberechtigten vorzunehmen. Als mögliche überwiegende Interessen der auskunftspflichtigen Personen kommen hier in Frage: die Befürchtung von Wirtschaftsspionage, die Gefährdung oder Beeinträchtigung eigener Persönlichkeitsrechte wie gegebenenfalls auch überwiegende finanzielle Interessen je nach Beurteilung im Einzelfall, wenn dem Auskunftspflichtigen bspw. dadurch einen grossen Schaden entstehen könnte oder gar seine Existenz gefährdet wäre (BGE 135 III 425 E. 6.1.).

In jedem Fall hat der Verantwortliche anzugeben, aus welchem Grund er die Auskunft verweigert, einschränkt oder aufschiebt (Art. 26 Abs. 4 nDSG). Dabei müssen gemäss Gesetz keine besonderen Formvorschriften eingehalten werden. Aus Beweisgründen und zur Beurteilung der Einschränkung auf ihre Gesetzmässigkeit hin, sowohl durch die betroffene Person als auch durch eine mögliche Gerichtsinstanz, sollte die Begründung schriftlich erfolgen.

Rechtsfolgen einer falschen Auskunft

Sofern die auskunftspflichtige Person vorsätzlich eine falsche Auskunft gibt, oder eine unvollständige Auskunft erteilt, kann sie auf Antrag mit Busse bis zu CHF 250‘000.00 bestraft werden (Art. 60 Abs. 1 lit. a nDSG).

Newsletter W+ abonnieren