Mitarbeiterdaten: Was ändert sich mit dem revidierten DSG?
Inhalt
KURZ ZUSAMMENGEFASST
Mit dem revidierten Datenschutzgesetz (DSG) haben Mitarbeitende und ehemalige Mitarbeitende umfassende Rechte, um Auskunft über ihre gespeicherten Daten zu verlangen, diese zu korrigieren oder zu löschen. Arbeitgeber sind verpflichtet, diese Gesuche innerhalb von 30 Tagen zu bearbeiten und müssen dabei sicherstellen, dass die Identität der Person verifiziert ist. Eine Verweigerung oder Einschränkung der Auskunft ist nur unter strengen Voraussetzungen, etwa bei gesetzlichen Aufbewahrungspflichten oder drohenden Rechtsstreitigkeiten, zulässig.
Die wichtigsten Punkte:
- Mitarbeitende haben ein höchstpersönliches Recht auf umfassende Auskunft über ihre bearbeiteten Personendaten.
- Die Antwortfrist beträgt grundsätzlich 30 Tage ab erfolgreicher Identifikation der Person.
- Arbeitgeber müssen interne Prozesse definieren, um Gesuche fristgerecht und gesetzeskonform zu bearbeiten.
- Löschgesuche können aufgrund gesetzlicher Archivierungspflichten oder Beweiserhaltung abgelehnt werden.
- Strafrechtliche Folgen drohen bei vorsätzlicher falscher oder unvollständiger Auskunft.
Sophia Pearson
Sophia Pearson, MLaw, Juristin bei der IT & Law Consulting GmbH in Zürich. Ihre Tätigkeitsgebiete sind das IT-Vertragsrecht, Datenschutzrecht sowie Records Management.
Maria Winkler
Mag. iur. Maria Winkler ist Geschäftsinhaberin der IT & Law Consulting GmbH in Zürich, Dozentin an diversen Fachhochschulen, Datenschutzbeauftragte verschiedener Unternehmen im privaten und öffentlichen Sektor sowie Fachexpertin für Datenschutzzertifizierungen in der Schweiz und in Österreich.
Passende Arbeitshilfen
Wie müssen Arbeitgeber auf Auskunfts-, Berichtigungs- und Löschgesuche von Mitarbeitenden nach dem DSG reagieren?
Das datenschutzrechtliche Auskunftsrecht
Worum geht es?
Mitarbeitende haben das Recht, vom Arbeitgeber umfassend Auskunft darüber zu verlangen, welche Personendaten über sie bearbeitet werden und darüberhinausgehend noch weitere Informationen zu den Datenbearbeitungen zu erhalten. Dieses datenschutzrechtliche Auskunftsrecht dient der Transparenz und bildet die Basis dafür, dass die Mitarbeitenden sich gegen allfällige unzulässige Datenbearbeitungen zur Wehr setzen können.
Im Folgenden werden die grundsätzlichen Voraussetzungen an die korrekte Behandlung von Auskunftsbegehren im Personalbereich zusammengefasst.
Erste Schritte bei Eingang eines Auskunftsbegehrens
Mitarbeitende haben nur das Recht auf Auskunft betreffend die eigenen Personendaten. Das Auskunftsrecht ist ein sogenanntes «höchstpersönliches Recht», weshalb die Auskunft nur der betroffenen Person selbst oder einem in ihrem Auftrag handelnden Rechtsvertreter erteilt werden darf, der eine ausreichende Vollmacht nachweisen muss.
Falls die gesuchstellende Person nicht bekannt ist, was bei grösseren Unternehmen durchaus der Fall sein kann, muss diese daher zuerst identifiziert werden, bevor die Auskunft erteilt wird. Dies kann mit einer Kopie eines amtlichen Ausweises erfolgen. Gerade im Arbeitsbereich ist eine zuverlässige Identifikation aber auch mit anderen, weniger formalistischen, Nachweisen möglich. Zu denken ist dabei insbesondere an interne Firmen-Ausweise, die durch das Unternehmen selbst nach einem standardisierten Prozess vergeben werden oder an die Angabe der Personalnummer, allenfalls verbunden mit weiteren persönlichen Informationen wie z.B. das Geburtsdatum.
Unmittelbar nach dem Eingang eines Auskunftsgesuchs sollte zudem geprüft werden, ob die Auskunft aufgrund von entgegenstehenden gesetzlichen Pflichten oder überwiegenden Interessen des Arbeitgebers oder Dritter verweigert, eingeschränkt oder aufgeschoben werden muss. Gemäss dem DSG müssen auch offensichtlich unbegründete oder querulatorische Auskunftsgesuche nicht beantwortet werden.
Passende Produkt-Empfehlungen
Da Auskunftsgesuche innerhalb einer 30-tägigen Frist beantwortet werden müssen, empfiehlt es sich, die Zuständigkeiten und die Prozesse klar zu regeln. Kann die Frist nicht eingehalten oder kann die Auskunft nicht bzw. nicht in vollem Umfang erteilt werden, muss der Arbeitgeber die betroffene Person darüber innerhalb der 30-tägigen Frist informieren und ihr mitteilen, wann sie mit der Auskunft rechnen kann. Die Frist beginnt erst, nachdem die gesuchstellende Person identifiziert worden ist.
In der Praxis hat es sich bewährt, bei einem Auskunftsgesuch nachzufragen, ob die betroffene Person tatsächlich Auskunft über alle Daten haben möchte, die über sie bearbeitet werden. Häufig möchten Personen, die Auskunftsgesuche nach dem DSG stellen, nur Informationen über Personendaten im Zusammenhang mit bestimmten Vorfällen oder einzelnen Datenbearbeitungen. Denkbar wäre beispielsweise, dass ein Mitarbeitender ausschliesslich wissen möchte, welche Daten im Personaldossier geführt werden. Die Botschaft zum revidierten DSG verweist ausdrücklich darauf, dass der Auskunftspflichtige, der eine grosse Menge an Personendaten bearbeitet, von der berechtigten Person verlangen kann, dass sie präzisiert, worauf sich ihr Auskunftsgesuch genau bezieht.
Inhalt und Form der Auskunft
Bezieht sich das Auskunftsgesuch auf alle Mitarbeiterdaten, die der Arbeitgeber bearbeitet oder auf alle Daten, die im Personaldossier geführt werden, dann muss die Information tatsächlich umfassend erteilt werden.
Die folgende Tabelle zeigt die Anforderungen des DSG.
| DSG |
|---|
Alle Informationen, die erforderlich sind, damit die betroffene Person ihre Rechte nach dem DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. [Hinweis: Diese Generalklausel kann bei komplexen Datenbearbeitungen dazu führen, dass mehr als die unten genannten Mindestinformationen gegeben werden müssen.] |
Identität und Kontaktdaten des Verantwortlichen [Hinweis: Der Verantwortliche ist die juristische Person, die über die Zwecke und Mittel der Datenbearbeitung bestimmt – dies ist im Personalbereich der Arbeitgeber. Zusätzliche Verantwortliche können beispielsweise in Konzernverhältnissen vorliegen, wenn Personaldaten auch für die Zwecke der Muttergesellschaft bearbeitet werden und diese allenfalls auch bestimmt, dass die Daten in einem zentralen HR-System gehostet werden.] |
| Die bearbeiteten Personendaten als solche |
| Der Bearbeitungszweck |
Die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden [Hinweis: Das bedeutet, dass nur dann Angaben über die Herkunft gemacht werden müssen, wenn diese Information auch dokumentiert wurde.] |
| Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden |
| Die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer |
| Gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht |
Das DSG verpflichtet zur Auskunft über die «bearbeiteten Personendaten als solche». Damit möchte der Gesetzgeber klarstellen, dass nicht Dokumente, sondern eine Aufstellung der bearbeiteten Personendaten verlangt werden kann. Insbesondere im Hinblick auf die in der obenstehenden Tabelle zitierte Generalklausel des DSG werden aber zumindest teilweise Kopien von Dokumenten herausgegeben werden müssen.
Das Recht auf Berichtigung oder Löschung
Checkliste
- Eingang des Gesuchs dokumentieren und Datum festlegen.
- Identität der gesuchstellenden Person verifizieren (z.B. via Ausweis oder Personalnummer).
- Prüfen, ob Vollmacht vorliegt, falls das Gesuch durch einen Rechtsvertreter eingereicht wurde.
- Frist zur Beantwortung (30 Tage) bestimmen und im System hinterlegen.
- Fristverlängerung oder -verweigerung bei Bedarf sofort kommunizieren.
- Alle relevanten Datenstellen im Unternehmen einbeziehen, um eine vollständige Erfassung zu gewährleisten.
- Prüfen, ob gesetzliche Pflichten oder überwiegende Interessen einer Auskunft entgegenstehen.
- Daten aus Dokumenten extrahieren und in einer übersichtlichen Form zusammenstellen.
- Auskunft in der gesetzlich geforderten Form (inkl. Herkunft, Empfänger, Dauer) erteilen.
- Ggf. Musterschreiben verwenden und den Vorgang abschliessend dokumentieren.
Mitarbeitende können verlangen, dass unrichtige Daten, die über sie gespeichert sind, berichtigt werden. Lässt sich die Richtigkeit von Daten nicht zweifelsfrei feststellen, kann ein entsprechender Vermerk verlangt werden.
Das Recht, die Löschung der eigenen Daten zu verlangen, besteht zwar, es gilt aber nicht uneingeschränkt. Es gibt in der Schweiz kein bedingungsloses «Recht auf Vergessenwerden».
Wird ein Unternehmen mit einem Löschgesuch eines aktuellen oder ehemaligen Mitarbeitenden konfrontiert, muss geprüft werden, ob die Daten überhaupt gelöscht werden dürfen. Gesetzliche Aufbewahrungs- und Archivierungsfristen verbieten eine Löschung. Wird die Löschung von Mitarbeiterdaten verlangt, die der Arbeitgeber als Beweismittel für einen unmittelbar drohenden Rechtsstreit benötigt, muss er diese ebenfalls nicht löschen.
Prozesse definieren und Verantwortlichkeiten festlegen
Für eine systematische Umsetzung der gesetzlichen Vorgaben empfiehlt es sich, interne Prozesse aufzusetzen. Insbesondere folgende Fragen müssen geklärt werden:
- Wer soll für die Beantwortung zuständig sein?
- Welche Personen und Stellen müssen mitwirken?
- Wie erfolgt die Fristenkontrolle?
- Wie wird sichergestellt, dass alle betroffenen Daten erfasst werden?
- Welche (gesetzlichen) Pflichten oder überwiegenden Interessen können einem Gesuch entgegenstehen?
Im Folgenden wird als Beispiel eine Checkliste für einen Prozess zur Beantwortung eines Auskunftsgesuchs dargestellt:
Empfehlungen
Unternehmen sind dazu verpflichtet, die Rechte aller betroffenen Personen zu wahren. Insbesondere im Hinblick darauf, dass die vorsätzliche falsche oder unvollständige Beantwortung von Auskunftsbegehren strafrechtliche Folgen haben kann, ist es für Unternehmen empfehlenswert, entsprechende interne Prozesse aufzusetzen. Das fördert effiziente betriebliche Abläufe und ist zudem ein Ausdruck eines wertschätzenden und sorgfältigen Umgangs mit Mitarbeiterdaten.
FAQ: Mitarbeiterdaten
Muss der Arbeitgeber Kopien von Dokumenten herausgeben?
Grundsätzlich verlangt das DSG eine Aufstellung der bearbeiteten Personendaten. In komplexen Fällen oder zur Gewährleistung der Transparenz müssen jedoch teilweise auch Dokumentenkopien herausgegeben werden.
Was passiert, wenn die 30-tägige Frist nicht eingehalten werden kann?
Der Arbeitgeber muss die betroffene Person innerhalb der 30 Tage informieren, dass die Frist nicht eingehalten werden kann, und eine neue Frist mitteilen. Die Frist beginnt erst nach erfolgreicher Identifikation der Person.
Darf ein Arbeitgeber ein Auskunftsbegehren verweigern?
Ja, wenn gesetzliche Pflichten entgegenstehen, überwiegende Interessen des Arbeitgebers oder Dritter vorliegen oder das Gesuch offensichtlich unbegründet oder querulatorisch ist.
Gibt es ein bedingungsloses Recht auf Löschung von Mitarbeiterdaten?
Nein, in der Schweiz existiert kein allgemeines «Recht auf Vergessenwerden». Löschgesuche müssen im Hinblick auf gesetzliche Aufbewahrungsfristen oder die Notwendigkeit von Beweismitteln geprüft werden.
Welche Konsequenzen hat eine falsche Auskunft?
Die vorsätzliche falsche oder unvollständige Beantwortung von Auskunftsbegehren kann strafrechtliche Folgen für das Unternehmen oder die verantwortlichen Personen haben.
