Informationspflicht: Müssen betroffene informiert werden?

Künstliche Intelligenz (KI) und Datenschutz

KI im Unternehmen datenschutzkonform nutzen und einsetzen

Praxis-Seminar, 1 Tag, ZWB, Zürich

Nächster Termin: 03. September 2026

Informationspflicht bei der Beschaffung von Personendaten

Grundsatz und Mindestinhalt (Art. 19 DSG): Die Verantwortliche muss die betroffene Person angemessen über die Beschaffung informieren – auch dann, wenn die Daten nicht bei der betroffenen Person beschafft werden. Mindestens mitzuteilen sind Identität und Kontaktdaten der Verantwortlichen, der Bearbeitungszweck sowie (gegebenenfalls) Empfängerinnen und Empfänger oder Empfängerkategorien. Zusätzlich verlangt Art. 19 DSG bei Drittbeschaffung von Daten die Angabe der Kategorien der bearbeiteten Personendaten. Bei Bekanntgabe ins Ausland sind der Empfängerstaat bzw. das internationale Organ sowie – falls relevant – Garantien oder die Anwendung einer Ausnahme zu nennen.

Zeitpunkt und Art der Information

So viel wie nötig, so nutzerfreundlich wie möglich: Bei Direkterhebung der Daten erfolgt die Information typischerweise im Zeitpunkt der Erhebung (z.B. im Formular/Checkout). Werden Daten bei Dritten beschafft, gilt grundsätzlich: Information spätestens innert eines Monats nach Erhalt – oder früher, falls die Daten vor Ablauf dieser Frist bekanntgegeben werden. Das DSG macht keine starren Formvorschriften. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) betont aber, dass die Information knapp, transparent, verständlich und leicht zugänglich sein muss (z.B. Datenschutzerklärung, Hinweise im Prozess, Piktogramme/Layering).

Praxisbeispiel: Online-Shop: Hinweis im Checkout (Vertragsabwicklung/Versand; Empfänger: Zahlungsdienstleister/Logistiker; ggf. Auslandbekanntgabe in Cloud-Support-Ländergruppen).

Praxisbeispiel: Marketing aus Drittquelle (B2B-Leads): Information innert Monatsfrist über Datenkategorien, Zweck (z.B. Angebot/Newsletter), Empfängerkategorien und allfällige Auslandbekanntgabe.

Wann darf die Information entfallen oder eingeschränkt werden?

Art. 20 DSG ist das Korrektiv: Die Informationspflicht entfällt u.a., wenn die betroffene Person bereits über die Informationen verfügt, die Bearbeitung gesetzlich vorgesehen ist oder eine gesetzliche Geheimhaltungspflicht greift; bei Drittbeschaffung zusätzlich, wenn Information nicht möglich ist oder einen unverhältnismässigen Aufwand erfordert.

Die Verantwortliche kann die Information zudem einschränken, aufschieben oder unterlassen, wenn z.B. überwiegende Interessen Dritter dies erfordern oder die Information den Zweck der Bearbeitung vereiteln würde; für Bundesorgane gelten zusätzliche Gründe (überwiegende öffentliche Interessen, Gefährdung von Verfahren).

«Best Practice»: Ausnahmen sind zu begründen und intern zu dokumentieren (Abwägung, Alternativen, Ersatzmassnahmen wie öffentliche Bekanntmachung). Das ist nicht nur «Compliance», sondern reduziert Streit-, Beschwerde- und Reputationsrisiken.