Art. 25 DSG — Auskunftsrecht

Art. 25 DSG — Auskunftsrecht

1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.

2 Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt: a. die Identität und die Kontaktdaten des Verantwortlichen; b. die bearbeiteten Personendaten als solche; c. der Bearbeitungszweck; d. die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer; e. die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden; f. gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht; g. gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.

3 Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.

4 Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.

5 Niemand kann im Voraus auf das Auskunftsrecht verzichten.

6 Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.

7 Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt. {: .gesetzeszitat}

I. Bedeutung und Funktion

Art. 25 DSG regelt das Auskunftsrecht als «Grundpfeiler des Datenschutzrechts»: Erst die Kenntnis darüber, ob und welche Personendaten ein Verantwortlicher bearbeitet, versetzt die betroffene Person in die Lage, ihre übrigen Rechte — namentlich Berichtigung und Löschung gegenüber Bundesorganen (Art. 41 DSG) oder Einschränkung/Widerspruch gegenüber privaten Verantwortlichen (Art. 30 ff. DSG) — überhaupt geltend zu machen. Das Auskunftsrecht ist höchstpersönlich und kann grundsätzlich ohne Nachweis eines besonderen Interesses geltend gemacht werden.

II. Abs. 1: Grundsatz

1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Verantwortlicher im Sinne dieser Bestimmung kann sowohl eine private Person als auch ein Bundesorgan sein (Art. 2 DSG). Das Begehren muss nicht begründet werden; ein Auskunftsinteresse wird nicht vorausgesetzt (dazu näher Rz. 12).

III. Abs. 2: Umfang und Mindestinhalt der Auskunft

2 Die Auskunft muss diejenigen Informationen umfassen, die erforderlich sind, damit die betroffene Person ihre Rechte geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Das Gesetz nennt einen Mindestkatalog, der in jedem Fall mitzuteilen ist:

• lit. a: Identität und Kontaktdaten des Verantwortlichen;
• lit. b: die bearbeiteten Personendaten als solche (nicht bloss eine Zusammenfassung);
• lit. c: der Bearbeitungszweck;
• lit. d: die Aufbewahrungsdauer bzw., falls diese nicht bestimmbar ist, die Kriterien zu deren Festlegung;
• lit. e: die verfügbaren Angaben zur Herkunft der Daten, soweit diese nicht bei der betroffenen Person selbst beschafft wurden;
• lit. f: gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die dieser zugrunde liegende Logik;
• lit. g: gegebenenfalls die Empfängerinnen und Empfänger bzw. Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, samt den Informationen nach Art. 19 Abs. 4 DSG (Bekanntgabe ins Ausland).

3 In der Praxis wird dieser Mindestinhalt auch ausserhalb der Bundesverwaltung — etwa im kantonalen Steuerverfahren, wo neben dem Recht auf Akteneinsicht zusätzlich das bundesrechtliche datenschutzrechtliche Auskunftsrecht nach Art. 25 Abs. 2 DSG zur Anwendung gelangen kann — als eigenständiger, zusätzlicher Anspruch anerkannt (Spezialverwaltungsgericht AG 3-RV.2025.59 vom 22. Januar 2026).

IV. Abs. 3: Gesundheitsdaten

4 Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung auch durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden. Diese Möglichkeit trägt dem Umstand Rechnung, dass die unmittelbare Konfrontation mit sensiblen Gesundheitsinformationen ohne fachliche Einordnung für die betroffene Person belastend sein kann.

V. Abs. 4: Fortbestehende Auskunftspflicht bei Auftragsbearbeitung

5 Lagert der Verantwortliche die Datenbearbeitung an einen Auftragsbearbeiter aus, bleibt er — und nicht der Auftragsbearbeiter — gegenüber der betroffenen Person auskunftspflichtig. Diese Regel korrespondiert mit der in Art. 24 Abs. 3 DSG vorgesehenen Meldepflicht des Auftragsbearbeiters gegenüber dem Verantwortlichen bei Datensicherheitsverletzungen (→ dortige Kommentierung) und stellt sicher, dass die Auslagerung der technischen Bearbeitung nicht zu einer Verkürzung der Betroffenenrechte führt.

VI. Abs. 5: Unverzichtbarkeit

6 Auf das Auskunftsrecht kann niemand im Voraus verzichten. Vertragliche oder AGB-mässige Klauseln, mit denen ein zukünftiger Verzicht auf das Auskunftsrecht vereinbart werden soll, sind insoweit unwirksam.

VII. Abs. 6 und 7: Kostenlosigkeit und Frist

7 Die Auskunft ist grundsätzlich kostenlos zu erteilen; der Bundesrat kann Ausnahmen vorsehen, namentlich bei unverhältnismässigem Aufwand. Sie wird in der Regel innerhalb von 30 Tagen erteilt — eine Ordnungsfrist, die in begründeten Fällen (z.B. bei besonders komplexen oder umfangreichen Datenbeständen) überschritten werden kann, ohne dass dies für sich allein die Auskunft rechtswidrig macht.

VIII. Weitere Bemerkungen

1. Grenzen: Rechtsmissbräuchliche («zweckwidrige») Geltendmachung

8 Obschon das Auskunftsrecht grundsätzlich ohne Interessennachweis geltend gemacht werden kann, kommt dem Motiv des Auskunftsbegehrens im Hinblick auf einen allfälligen Rechtsmissbrauch (Art. 2 Abs. 2 ZGB) Bedeutung zu. Rechtsmissbrauch fällt namentlich in Betracht, wenn das Auskunftsrecht zu datenschutzwidrigen Zwecken eingesetzt wird (BGE 138 III 425, E. 5.5 — ergangen zum inhaltsgleichen Art. 8 aDSG). Eine zweckwidrige Verwendung des datenschutzrechtlichen Auskunftsrechts ist namentlich anzunehmen, wenn das Auskunftsbegehren einzig zu dem Zweck gestellt wird, die (spätere) Gegenpartei eines Rechtsstreits auszuforschen und sich Beweise zu beschaffen, an die eine Partei über die zivilprozessualen Beweisregeln sonst nicht gelangen könnte («fishing expedition»; BGer 4A_277/2020 vom 18. November 2020, E. 5.3; bestätigt in Gericht ZH AH250010 vom 26. Februar 2026, E. 3.3.3).

9 Die Beweislast für das Vorliegen eines Einschränkungsgrundes nach Art. 26 DSG — mithin auch für eine rechtsmissbräuchliche Zweckverfolgung — liegt beim Verantwortlichen; unter der Verhandlungsmaxime obliegt ihm dabei die Behauptungs- und Substantiierungslast, wobei die massgebenden Behauptungen in den Rechtsschriften selbst und nicht bloss in eingereichten Beilagen zu erfolgen haben (Gericht ZH AH250010, E. 3.3.3).

10 Praxisbeispiel: In einem arbeitsrechtlichen Streit um eine fristlose Kündigung verlangte der gekündigte Arbeitnehmer gestützt auf Art. 25 DSG Einsicht in sein vollständiges Personaldossier. Das Gericht verneinte eine blosse «fishing expedition», da sich ein legitimes datenschutzrechtliches Interesse nicht ausschliessen liess, schränkte die Auskunft aber gestützt auf Art. 26 Abs. 1 lit. b DSG (überwiegende Interessen Dritter) auf diejenigen Dossierteile ein, die nicht mit einer laufenden vereinsinternen Ethikuntersuchung zusammenhingen — insbesondere zum Schutz der Identität minderjähriger, anonym aussagender Drittpersonen (Gericht ZH AH250010, E. 3.3.5 ff.).

2. Verhältnis zu Art. 26 DSG

11 Art. 25 DSG begründet den Auskunftsanspruch dem Grundsatz nach; Art. 26 DSG (→ dortige Kommentierung) regelt demgegenüber abschliessend, unter welchen Voraussetzungen der Verantwortliche die Auskunft verweigern, einschränken oder aufschieben darf. Beide Bestimmungen sind stets zusammen zu lesen: Ein Auskunftsbegehren ist nur dann (teilweise) abzulehnen, wenn sich der Verantwortliche auf einen der in Art. 26 DSG abschliessend aufgezählten Gründe stützen kann und dies entsprechend begründet (Art. 26 Abs. 4 DSG).

Spezialliteraturverzeichnis

STEIGER MARTIN, Kommentierung zu Art. 25 DSG, in: Steiner Thomas/Morand Anne-Sophie/Hürlimann Daniel (Hrsg.), Onlinekommentar zum Bundesgesetz über den Datenschutz, https://onlinekommentar.ch/de/kommentare/dsg25