Art. 6 DSG — Grundsätze

Art. 6 DSG — Grundsätze

1 Personendaten müssen rechtmässig bearbeitet werden.

2 Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.

3 Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.

4 Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.

5 Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.

6 Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.

7 Die Einwilligung muss ausdrücklich erfolgen für: a. die Bearbeitung von besonders schützenswerten Personendaten; b. ein Profiling mit hohem Risiko durch eine private Person; oder c. ein Profiling durch ein Bundesorgan. {: .gesetzeszitat}

I. Bedeutung und Funktion

Art. 6 DSG enthält die wesentlichen materiellen Bearbeitungsgrundsätze des schweizerischen Datenschutzrechts — sowohl für private Verantwortliche als auch für Bundesorgane. Die Bestimmung konkretisiert den verfassungsmässigen Persönlichkeitsschutz (Art. 13 Abs. 2 BV) und bildet den Massstab, an dem sich jede Datenbearbeitung messen lassen muss (BVGer A-3891/2025 vom 22. Juni 2026, E. 5.3.1).

1 Die sieben Bearbeitungsgrundsätze — Rechtmässigkeit (Abs. 1), Treu und Glauben sowie Verhältnismässigkeit (Abs. 2), Zweckbindung und Erkennbarkeit (Abs. 3), Aufbewahrungsbegrenzung (Abs. 4), Richtigkeit (Abs. 5) sowie die Anforderungen an eine gültige bzw. ausdrückliche Einwilligung (Abs. 6 f.) — müssen kumulativ eingehalten werden und sind unabhängig voneinander zu prüfen. Die Verletzung mehrerer Grundsätze durch dieselbe Datenbearbeitung wirkt sich auf die Schwere der Persönlichkeitsverletzung aus und erhöht die Anforderungen an deren Rechtfertigung (BVGer A-3891/2025, E. 5.3.1).

2 Ein Verstoss gegen die Bearbeitungsgrundsätze stellt eine Persönlichkeitsverletzung dar (Art. 30 Abs. 2 lit. a DSG), die bei privaten Verantwortlichen durch Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt sein kann (Art. 31 DSG) — anders als nach der EU-DSGVO bedarf im schweizerischen Recht nicht jede Datenbearbeitung durch Private einer eigenständigen Rechtsgrundlage.

II. Abs. 1: Rechtmässigkeit

3 Die Bearbeitung von Personendaten muss mit der Rechtsordnung insgesamt vereinbar sein — sowohl mit dem Datenschutzrecht selbst als auch mit anderen einschlägigen Erlassen (z.B. Berufsgeheimnisse, Arbeitsrecht, Strafrecht). Bei Bundesorganen tritt hinzu, dass für die Bearbeitung besonders schützenswerter Personendaten oder für Profiling eine Grundlage in einem Gesetz im formellen Sinn erforderlich ist (Art. 34 DSG).

III. Abs. 2: Treu und Glauben und Verhältnismässigkeit

4 Der Grundsatz von Treu und Glauben verlangt eine für die betroffene Person nachvollziehbare, nicht täuschende Datenbearbeitung. Der Verhältnismässigkeitsgrundsatz setzt voraus, dass die Bearbeitung zur Erreichung des verfolgten Zwecks geeignet und erforderlich ist und in einem vertretbaren Verhältnis zum Eingriff in die Persönlichkeitsrechte der betroffenen Person steht.

5 Ein Verstoss gegen den Verhältnismässigkeitsgrundsatz wurde etwa bei einem Inkassounternehmen bejaht, das auf einer öffentlich zugänglichen Internetseite umfassende Personendaten mutmasslicher Schuldnerinnen und Schuldner (Namen, Adressen, Herkunft, Arbeitsstelle, Angaben zu zivil- und strafrechtlichen Verfahren, Fotos) sowie von mit ihnen verbundenen Personen veröffentlichte, um vor Geschäften mit diesen Personen zu warnen (BVGer A-3891/2025, E. 5.1 ff.).

IV. Abs. 3: Zweckbindung und Erkennbarkeit (Transparenz)

6 Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft und nur so bearbeitet werden, dass dies mit dem ursprünglichen Zweck vereinbar bleibt. Bereits öffentlich zugängliche Daten unterliegen weiterhin der Zweckbindung: Werden sie mit Informationen aus anderen Quellen kombiniert und in einem neuen Kontext verwendet — etwa um Aussagen über die Zahlungsmoral einer Person zu treffen oder deren Aufenthaltsort festzustellen —, liegt keine blosse Weiterverwendung öffentlich zugänglicher Daten mehr vor, sondern eine eigenständige, an den Bearbeitungsgrundsätzen zu messende Nutzung zu einem neuen Zweck (BVGer A-3891/2025, E. 5.2).

7 Werden Personendaten nicht bei der betroffenen Person selbst, sondern bei Dritten beschafft, muss der Verantwortliche die betroffene Person spätestens einen Monat nach Erhalt der Daten über die Bearbeitung informieren (Art. 19 Abs. 5 DSG); unterbleibt eine solche Information ohne dass eine Ausnahme nach Art. 20 DSG greift, liegt zugleich ein Verstoss gegen den Transparenzgrundsatz vor (BVGer A-3891/2025, E. 5.2).

V. Abs. 4: Aufbewahrungsbegrenzung

8 Personendaten sind zu vernichten oder zu anonymisieren, sobald sie für den Bearbeitungszweck nicht mehr erforderlich sind. Dieser Grundsatz wirkt als zeitliche Schranke der Datenbearbeitung und ergänzt die Zweckbindung nach Abs. 3.

VI. Abs. 5: Richtigkeit

9 Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern und alle angemessenen Massnahmen treffen, damit unrichtige oder unvollständige Daten berichtigt, gelöscht oder vernichtet werden. Die Angemessenheit der Massnahmen richtet sich nach Art und Umfang der Bearbeitung sowie dem Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen. Bei Bundesorganen wird dieser Grundsatz durch die Ansprüche nach Art. 41 DSG (→ dortige Kommentierung) durchsetzbar ausgestaltet.

VII. Abs. 6 und 7: Einwilligung

10 Wo eine Einwilligung der betroffenen Person erforderlich ist, ist diese nur gültig, wenn sie sich auf eine oder mehrere bestimmte Bearbeitungen bezieht und nach angemessener Information freiwillig erteilt wird. Eine globale Einwilligung in unbestimmte Bearbeitungen oder Bearbeitungen zu beliebigen Zwecken ist damit ungültig. Die Einwilligung bedarf grundsätzlich keiner besonderen Form: Sie kann schriftlich oder mündlich, ausdrücklich oder stillschweigend sowie konkludent erklärt werden — etwa dadurch, dass die betroffene Person Daten freiwillig bekannt gibt (BVGer A-3891/2025, E. 6.4.1).

11 Qualifiziertes Formerfordernis: Abweichend vom Grundsatz der Formfreiheit muss die Einwilligung nach Abs. 7 ausdrücklich erfolgen für die Bearbeitung besonders schützenswerter Personendaten (lit. a — dazu zählen namentlich Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen, Art. 5 lit. c Ziff. 5 DSG), für ein Profiling mit hohem Risiko durch eine private Person (lit. b) sowie für jedes Profiling durch ein Bundesorgan (lit. c). Diese verschärften Anforderungen tragen dem Umstand Rechnung, dass es sich bei besonders schützenswerten Personendaten um eine mit Blick auf den Grundrechts- und Persönlichkeitsschutz privilegierte Unterkategorie handelt (BVGer A-3891/2025, E. 6.4.1).

Annotation

12 Rechtfertigung ersetzt Einwilligung nicht automatisch. Die Einwilligung ist nur einer von mehreren Rechtfertigungsgründen für eine Persönlichkeitsverletzung (Art. 31 Abs. 1 DSG). Fehlt eine gültige — bzw. bei besonders schützenswerten Daten eine ausdrückliche — Einwilligung, bedeutet dies nicht zwingend, dass die Bearbeitung widerrechtlich ist; sie kann weiterhin durch ein überwiegendes privates oder öffentliches Interesse oder eine gesetzliche Grundlage gerechtfertigt sein. Umgekehrt genügt eine erteilte Einwilligung nicht, wenn sie den formellen Anforderungen von Abs. 6 f. nicht entspricht — eine ungültige (weil zu unbestimmte oder nicht ausdrücklich erteilte) Einwilligung vermag eine Persönlichkeitsverletzung nicht zu rechtfertigen, selbst wenn die betroffene Person der Bearbeitung im Ergebnis nicht abgeneigt gewesen wäre.

VIII. Rechtsprechung zur Vorgängerbestimmung (Art. 4 aDSG)

13 Die unter dem bis 31. August 2023 geltenden alten Datenschutzgesetz (aDSG) zu den Bearbeitungsgrundsätzen von Art. 4 aDSG ergangene Rechtsprechung bleibt für die Auslegung von Art. 6 DSG einschlägig, da die Grundstruktur der Bearbeitungsgrundsätze durch die Totalrevision inhaltlich nicht verändert wurde (Rechtmässigkeit = aArt. 4 Abs. 1; Verhältnismässigkeit = aArt. 4 Abs. 2; Erkennbarkeit/Zweckmässigkeit = aArt. 4 Abs. 3 f.). Das Bundesgericht bejahte im Google-Street-View-Fall eine Verletzung der Bearbeitungsgrundsätze durch die unzureichende Anonymisierung von Personen und Kennzeichen auf im Internet veröffentlichten Strassenbildern und verpflichtete den Betreiber zu einer vollständigen Unkenntlichmachung bei sensiblen Einrichtungen (Schulen, Spitälern, Altersheimen, Frauenhäusern, Gerichten, Gefängnissen) sowie zu einer effizienten, kostenlosen nachträglichen Anonymisierung auf Anzeige betroffener Personen (BGE 138 II 346, E. 9 f.).

Spezialliteraturverzeichnis

GAUL CAROLINE, Kommentierung zu Art. 6 Abs. 3–5 DSG, in: Steiner Thomas/Morand Anne-Sophie/Hürlimann Daniel (Hrsg.), Onlinekommentar zum Bundesgesetz über den Datenschutz, https://onlinekommentar.ch/de/kommentare/dsg6abs3-5

LODERER GASPARE T., Kommentierung zu Art. 6 Abs. 6 und 7 DSG, in: Steiner Thomas/Morand Anne-Sophie/Hürlimann Daniel (Hrsg.), Onlinekommentar zum Bundesgesetz über den Datenschutz, https://onlinekommentar.ch/de/kommentare/art6abs6und7