Datenschutzrecht der Schweiz

Grundbegriff · Querschnittsthema

Grundrechte und VerfahrensgarantienPersonenrechtÜbriges Wirtschafts- und VerwaltungsrechtVerwaltungsverfahren und Verwaltungsrechtspflege

Überblick

Das Datenschutzrecht der Schweiz bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden. Im Zeitalter allgegenwärtiger digitaler Informationsverarbeitung, vernetzter Plattformen, künstlicher Intelligenz und automatisierter Entscheidungsprozesse bildet das Datenschutzrecht eine der zentralen Schranken gegen Machtasymmetrien zwischen Datensubjekten einerseits sowie staatlichen Behörden und mächtigen Privatunternehmen andererseits.

Historisch ist das schweizerische Datenschutzrecht eng mit dem zivilrechtlichen Persönlichkeitsschutz nach Art. 28 ZGB verwoben: Der Schutz vor unbefugter oder missbräuchlicher Datenbearbeitung wird dogmatisch als Ausprägung des Rechts auf Achtung des Privatlebens und der persönlichen Freiheit verstanden. Auf Verfassungsstufe garantiert Art. 13 Abs. 2 BV das Grundrecht auf Schutz vor Missbrauch persönlicher Daten (informationelle Selbstbestimmung).

Die föderalistische Struktur der Eidgenossenschaft teilt die datenschutzrechtliche Regelungskompetenz zweifach auf:

1. Bundesebene und Privatwirtschaft: Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) regelt die Bearbeitung von Daten durch Privatpersonen (natürliche und juristische Personen) sowie durch Organe des Bundes (Bundesverwaltung, eidgenössische Gerichte und Anstalten).
2. Kantonale und kommunale Behörden: Für Behörden der Kantone und Gemeinden gelten ausschliesslich die jeweiligen kantonalen Datenschutzgesetze (z.B. KDSG/IDAG der Kantone), überwacht durch kantonale Datenschutzbeauftragte.

Am 1. September 2023 ist das totalrevidierte Datenschutzgesetz (revDSG) vom 25. September 2020 in Kraft getreten. Die Revision modernisierte das aus dem Jahr 1992 stammende alte Datenschutzgesetz grundlegend. Hauptmotive der Totalrevision waren die Anpassung an die technologische Entwicklung, die Harmonisierung mit dem europäischen Standard der Datenschutz-Grundverordnung (EU-DSGVO 2016/679) zur Sicherung des Angemessenheitsbeschlusses der Europäischen Union (grenzüberschreitender Datenverkehr) sowie die Ratifikation der modernisierten Europaratskonvention 108+.

Verfassungsrechtliche Grundlagen: Art. 13 Abs. 2 BV

Auf Verfassungsstufe ist der Datenschutz in der Bundesverfassung als eigenständiges Grundrecht ausgestaltet:

Schutzbereich und Gehalt der informationellen Selbstbestimmung

Während Abs. 1 den traditionellen räumlichen und relationalen Schutz der Privatsphäre (Familie, Wohnung, Post- und Fernmeldeverkehr) schützt, begründet Abs. 2 das sogenannte Recht auf informationelle Selbstbestimmung. Das Bundesgericht führt dazu in ständiger Praxis aus:

«Nach Art. 13 Abs. 2 BV hat jede Person Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten. Davon erfasst wird jeder Umgang mit personenbezogenen Daten, wozu auch das Aufbewahren zählt»

— BGE 143 I 253 E. 3.2

Das Grundrecht verleiht dem Einzelnen die Befugnis, grundsätzlich selbst darüber zu entscheiden, wann, innerhalb welcher Grenzen und zu welchem Zweck persönliche Lebenssachverhalte preisgegeben, gesammelt, gespeichert, verknüpft oder an Dritte weitergeleitet werden (BGE 140 I 381 E. 4.1). Auch Massnahmen zur Identitätsfeststellung und Speicherung biometrischer Profile greifen in diesen Schutzbereich ein (BGE 147 I 372 E. 2.2: «Erkennungsdienstliche Massnahmen und die Aufbewahrung der Daten können das Recht auf persönliche Freiheit bzw. körperliche Integrität […] und auf informationelle Selbstbestimmung berühren»).

Staatliche Eingriffe in das Recht auf informationelle Selbstbestimmung beurteilen sich nach den allgemeinen Schrankenbestimmungen von Art. 36 BV: Sie bedürfen einer gesetzlichen Grundlage (bei schwerwiegenden Eingriffen eines formellen Gesetzes), müssen durch ein öffentliches Interesse oder den Schutz von Grundrechten Dritter gerechtfertigt und verhältnismässig sein.

Auf internationaler Ebene wird dieser Schutz durch Art. 8 EMRK (Recht auf Achtung des Privat- und Familienlebens) und das Übereinkommen 108/108+ des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten flankiert.

Das Bundesgesetz über den Datenschutz (DSG) im Überblick

Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) konkretisiert den Verfassungsauftrag auf Gesetzesebene:

Geltungsbereich

1. Persönlicher Schutzbereich (Nur natürliche Personen): Ein zentraler Paradigmenwechsel des revDSG gegenüber dem alten Recht von 1992 ist die Beschränkung des Schutzobjekts auf natürliche Personen (Art. 1 und Art. 2 Abs. 1 DSG). Daten juristischer Personen (z.B. AG, GmbH, Vereine) fallen nicht mehr unter das DSG; deren Schutz richtet sich nach dem allgemeinen Zivilrecht (Art. 28 ZGB), dem Lauterkeitsrecht (UWG) oder dem Strafrecht (z.B. Art. 162 StGB). Damit schloss die Schweiz zur europäischen Regelungstradition der DSGVO auf.
2. Sachlicher Geltungsbereich: Das Gesetz erfasst das Bearbeiten von Personendaten durch private Personen und Bundesorgane (Art. 2 Abs. 1 DSG). Ausgenommen sind ausschliesslich persönliche und familiäre Bearbeitungen ohne Aussenbezug (Art. 2 Abs. 2 lit. a DSG), parlamentarische Beratungen der Bundesversammlung (lit. b) sowie hängige Gerichts- und Strafverfahren, in denen das jeweilige Prozessrecht vorgeht (lit. c).
3. Räumlicher Geltungsbereich (Marktortprinzip): Das DSG gilt für Sachverhalte, die sich in der Schweiz auswirken, selbst wenn sie im Ausland veranlasst werden (Art. 3 Abs. 1 DSG). Ausländische Unternehmen, die Waren oder Dienstleistungen in der Schweiz anbieten oder das Verhalten von Personen in der Schweiz beobachten, unterstehen dem schweizerischen Datenschutzrecht und müssen unter bestimmten Voraussetzungen eine Schweizer Vertretung bezeichnen (Art. 14 DSG).

Grundbegriffe des Datenschutzrechts

Das schweizerische Datenschutzrecht baut auf einem System definierter Rechtsbegriffe auf (Art. 5 DSG):

Personendaten und Bestimmbarkeit

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG).

• Bestimmt ist eine Person, wenn sich ihre Identität unmittelbar aus der Information selbst ergibt (z.B. Name, AHV-Nummer, Passfoto).
• Bestimmbar ist eine Person, wenn ihre Identität nicht sofort feststeht, aber durch Verknüpfung mit Zusatzwissen ermittelt werden kann (BGE 138 II 346 E. 6.1: «Dazu gehören auch Bilder, ohne dass es auf die Beschaffenheit des Datenträgers ankommt. Entscheidend ist, dass sich die Angaben einer Person zuordnen lassen»).

In BGE 136 II 508 E. 3.2 hielt das Bundesgericht zur Bestimmbarkeit fest:

«Bestimmbar ist die Person, wenn aufgrund zusätzlicher Informationen auf sie geschlossen werden kann. Für die Bestimmbarkeit genügt jedoch nicht jede theoretische Möglichkeit der Identifizierung»

— BGE 136 II 508 E. 3.2

Das Bundesgericht vertritt einen relativen Personenbezug: Massgebend ist, ob der Datenbearbeiter oder ein Dritter mit vernünftigem Aufwand an Mitteln und Zeit die Identität aufdecken kann. Dynamische IP-Adressen stellen nach dieser Rechtsprechung für denjenigen Personendaten dar, der über die rechtlichen und tatsächlichen Mittel verfügt, die Identität des Anschlussinhabers beim Provider in Erfahrung zu bringen.

Besonders schützenswerte Personendaten

Art. 5 lit. c DSG anerkennt bestimmte Datenkategorien als erhöht risikobehaftet für die Persönlichkeit:

• Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten;
• Daten über die Gesundheit, die Intimsphäre oder die Rasse oder Ethnie;
• genetische Daten und biometrische Daten, die eine natürliche Person eindeutig identifizieren;
• Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen;
• Daten über Massnahmen der sozialen Hilfe.

Für besonders schützenswerte Daten gelten erhöhte Anforderungen: Die Einwilligung muss ausdrücklich erteilt werden (Art. 6 Abs. 7 lit. a DSG), die Weitergabe durch Private bedarf besonderer Rechtfertigung (Art. 30 Abs. 2 lit. c DSG), und Bundesorgane benötigen zwingend eine formellgesetzliche Grundlage (Art. 34 Abs. 2 lit. a DSG).

Bearbeiten und Profiling

Als Bearbeiten gilt jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten (Art. 5 lit. d DSG).

Neu definiert das revDSG den Begriff des Profilings (Art. 5 lit. f DSG): die automatisierte Bearbeitung von Personendaten, um bestimmte persönliche Aspekte einer Person zu bewerten, namentlich um Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel zu analysieren oder vorherzusagen. Führt ein Profiling zu einer Verknüpfung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt, liegt ein Profiling mit hohem Risiko vor (Art. 5 lit. g DSG), das strengeren Schutzmechanismen unterliegt.

Verantwortlicher und Auftragsbearbeiter

• Verantwortlicher (Art. 5 lit. j DSG): Die private Person oder das Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet.
• Auftragsbearbeiter (Art. 5 lit. k DSG): Eine Person oder ein Organ, die oder das Personendaten im Auftrag des Verantwortlichen bearbeitet (z.B. IT-Dienstleister, Cloud-Anbieter, Payroll-Büro). Die Auftragsbearbeitung nach Art. 9 DSG ist nur zulässig, wenn die Daten so bearbeitet werden, wie der Verantwortliche es selbst tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht.

Allgemeine Bearbeitungsgrundsätze (Art. 6 DSG)

Jede Datenbearbeitung muss sich an den allgemeinen Grundsätzen von Art. 6 DSG messen lassen:

Die Grundsätze bilden das normative Rückgrat des Datenschutzrechts:

1. Rechtmässigkeit (Abs. 1): Daten dürfen nicht im Widerspruch zur Rechtsordnung beschafft oder bearbeitet werden.
2. Treu und Glauben (Abs. 2): Datenbearbeitungen dürfen nicht heimlich, irreführend oder entgegen berechtigten Erwartungen der betroffenen Person erfolgen.
3. Verhältnismässigkeit (Abs. 2): Es dürfen nur diejenigen Daten erhoben und gespeichert werden, die für den verfolgten Zweck wirklich erforderlich und geeignet sind. Nicht mehr benötigte Daten sind zu anonymisieren oder zu löschen.
4. Zweckbindung (Abs. 3): Daten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
5. Erkennbarkeit / Transparenz (Abs. 3): Die Beschaffung von Personendaten und der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. Aufnahmen im öffentlichen Raum verletzen diesen Grundsatz, wenn Betroffene nicht auf die Kameras hingewiesen werden (BGE 146 IV 226 E. 3.1: «Das Erstellen von Aufnahmen im öffentlichen Raum, auf welchen Personen oder Autokennzeichen erkennbar sind, stellt ein Bearbeiten von Personendaten […] dar»).
6. Richtigkeit (Abs. 5): Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern und unrichtige oder unvollständige Daten berichtigen oder vernichten.
7. Datensicherheit (Art. 8 DSG): Der Verantwortliche und der Auftragsbearbeiter müssen durch angemessene technische und organisatorische Massnahmen (TOM) einen dem Risiko angemessenen Schutz gewährleisten, um Datensicherheitsverletzungen zu verhindern.

Das dogmatische Zweisäulensystem: Private vs. Bundesorgane

Das schweizerische Datenschutzrecht unterscheidet grundlegend zwischen der Datenbearbeitung durch Private und jener durch staatliche Behörden (Bundesorgane):

Datenbearbeitung durch Private: Erlaubnis mit Missbrauchsverbot

Im Privatrecht gilt der Grundsatz der Erlaubnis mit Missbrauchsverbot: Private dürfen Personendaten grundsätzlich ohne behördliche Bewilligung und ohne ausdrückliche gesetzliche Ermächtigung bearbeiten. Eine Rechtfertigung ist erst dann erforderlich, wenn eine Persönlichkeitsverletzung im Sinne von Art. 30 DSG vorliegt:

• Bearbeitung entgegen den Grundsätzen von Art. 6 oder Art. 8 DSG;
• Bearbeitung von Daten einer Person gegen deren ausdrücklichen Widerspruch;
• Bekanntgabe besonders schützenswerter Personendaten an Dritte ohne Rechtfertigung.

Liegt eine Persönlichkeitsverletzung vor, ist sie widerrechtlich, es sei denn, sie wird durch einen Rechtfertigungsgrund nach Art. 31 DSG legitimiert:

• Einwilligung der betroffenen Person (freiwillig, nach angemessener Information; bei besonders schützenswerten Daten oder Profiling mit hohem Risiko ausdrücklich);
• Überwiegendes privates oder öffentliches Interesse (z.B. Vertragsabwicklung, Bonitätsprüfung im Zusammenhang mit einem Vertragsabschluss, Kreditwürdigkeitsprüfungen gemäss BGE 138 III 425 E. 4.1 oder wissenschaftliche Forschung);
• Gesetzliche Ermächtigung.

In BGE 138 II 346 E. 10.1 betonte das Bundesgericht: Das Datenschutzgesetz «ergänzt und konkretisiert […] den bereits in Art. 28 Abs. 2 ZGB gewährleisteten Schutz der Persönlichkeit».

Datenbearbeitung durch Bundesorgane: Gesetzmässigkeitsprinzip

Für Bundesorgane gilt das entgegengesetzte Prinzip: das strenge Gesetzmässigkeitsprinzip (Art. 34 DSG i.V.m. Art. 5 Abs. 1 und Art. 36 BV). Behörden dürfen Personendaten nur bearbeiten, wenn dafür eine ausdrückliche Rechtsgrundlage besteht.

Besonders schützenswerte Personendaten oder Daten für ein Profiling dürfen Bundesorgane nur bearbeiten, wenn ein Gesetz im formellen Sinn dies ausdrücklich vorsieht (Art. 34 Abs. 2 lit. a DSG), es sei denn, die Bearbeitung ist für eine im Gesetz klar umschriebene Aufgabe unentbehrlich oder der Bundesrat ermächtigt dazu (Art. 34 Abs. 2 lit. b–c DSG).

Pflichten der Verantwortlichen nach revDSG

Das revDSG verpflichtet Verantwortliche zu einer Reihe präventiver Schutz- und Dokumentationsmassnahmen (Governance):

1. Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (Art. 7 DSG):
   • Privacy by Design: Bearbeitungssysteme müssen von Beginn weg so konzipiert sein, dass Daten minimiert und geschützt werden.
   • Privacy by Default: Systeme müssen voreingestellt so konfiguriert sein, dass nur das für den Verwendungszweck absolut nötige Mindestmass an Daten bearbeitet wird.
2. Umfassende Informationspflicht (Art. 19–21 DSG): Bei jeder Beschaffung von Personendaten – auch wenn die Daten nicht direkt bei der betroffenen Person erhoben werden – muss der Verantwortliche vorab über Identität, Kontaktdaten, Bearbeitungszweck, Empfänger und allfällige Auslandsübermittlungen informieren (BGE 148 II 349 E. 4.1). In der Praxis erfolgt dies über eine öffentlich zugängliche Datenschutzerklärung (Privacy Policy).
3. Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG): Verantwortliche und Auftragsbearbeiter müssen ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. KMU mit weniger als 250 Mitarbeitenden sind davon befreit, sofern ihre Bearbeitungen nur ein geringes Risiko für Persönlichkeitsverletzungen bergen (Art. 24 DSV).
4. Datenschutz-Folgenabschätzung (DSFA, Art. 22 DSG): Bringt eine geplante Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich (insb. bei neuer Technologie, umfassendem Profiling oder umfangreicher Bearbeitung besonders schützenswerter Daten), muss vorab eine schriftliche DSFA durchgeführt werden.
5. Meldung von Verletzungen der Datensicherheit (Art. 24 DSG): Bei Vorfällen, die zu einem hohen Risiko für die Persönlichkeit führen (z.B. Hackerangriff, Ransomware, Datenleck), muss der Verantwortliche den EDÖB so rasch als möglich informieren (Art. 24 DSG). Betroffene Personen sind zu benachrichtigen, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.
6. Bekanntgabe von Personendaten ins Ausland (Art. 16–17 DSG): Daten dürfen nur in Länder übermittelt werden, die einen angemessenen gesetzlichen Datenschutz gewährleisten (Staatenliste im Anhang 1 der Datenschutzverordnung [DSV]). Fehlt ein solcher Schutz (z.B. USA), sind geeignete Garantien wie Standarddatenschutzklauseln (SCC) oder Binding Corporate Rules (BCR) erforderlich.

Rechte der betroffenen Personen

Das Datenschutzgesetz stattet betroffene Personen mit wirksamen subjektiven Kontrollrechten aus:

Das Auskunftsrecht (Art. 25 DSG)

Das Auskunftsrecht bildet das Dreh- und Angelpunkt aller Betroffenenrechte: Nur wer weiss, welche Daten über ihn bearbeitet werden, kann seine Persönlichkeitsrechte effektiv wahrnehmen. Jede Person kann vom Verantwortlichen unentgeltlich verlangen:

• Bestätigung, ob Personendaten über sie bearbeitet werden;
• Bekanntgabe aller vorhandenen Daten in der Datensammlung;
• Bearbeitungszweck, Aufbewahrungsdauer, Herkunft der Daten, Kategorien von Empfängern und allfällige automatisierte Einzelentscheidungen.

Die Auskunft ist grundsätzlich innert 30 Tagen schriftlich oder in der Form, in der die Daten vorliegen, zu erteilen.

Das Auskunftsrecht darf auch zur Vorbereitung eines künftigen Zivilprozesses genutzt werden (BGE 144 III 519 E. 5.2.1). Die Grenze bildet das Rechtsmissbrauchsverbot: Es darf nicht zu einer verpönten Beweisausforschung missbraucht werden, wenn das Begehren ausschliesslich prozessfremden Schikanen oder reiner Neugier dient (BGE 147 III 139 E. 1.7.2: «Sowohl für den materiellen Anspruch auf Auskunft nach Datenschutzgesetz als auch für den zivilprozessualen Anspruch auf Beweisabnahme gilt sodann, dass diese nicht zu einer verpönten Beweisausforschung missbraucht werden dürfen»).

Einschränkungen der Auskunft sind nur unter den engen Voraussetzungen von Art. 26 DSG zulässig (gesetzliche Geheimhaltungspflichten, überwiegende Interessen Dritter oder überwiegende eigene Interessen des Verantwortlichen, wenn die Daten nicht an Dritte weitergegeben werden).

Weitere Betroffenenrechte

• Recht auf Berichtigung, Löschung und Vernichtung (Art. 32 DSG): Unrichtige Daten müssen korrigiert werden. Rechtswidrig beschaffte oder nicht mehr benötigte Daten sind zu löschen (vgl. zur Videoüberwachung BGE 142 III 263 E. 2.1).
• Recht auf Datenherausgabe und -übertragung (Datenportabilität, Art. 28 DSG): Betroffene können verlangen, dass ihnen ihre Daten, die sie dem Verantwortlichen bereitgestellt haben, in einem gängigen elektronischen Format herausgegeben oder einem anderen Anbieter übertragen werden.
• Widerspruchsrecht: Betroffene Personen können einer Bearbeitung oder Bekanntgabe jederzeit widersprechen (Art. 30 Abs. 2 lit. b DSG).

Rechtsdurchsetzung, Aufsicht und Sanktionen

Das revDSG verfügt über ein dreigliedriges Durchsetzungsmodell:

Zivilrechtlicher Klageweg (Art. 41 DSG)

Betroffene Personen können ihre Ansprüche gegen private Verantwortliche vor den Zivilgerichten geltend machen (Art. 41 DSG i.V.m. Art. 28 ff. ZGB). Zur Verfügung stehen:

• Abwehrklagen: Klage auf Verbot einer drohenden Persönlichkeitsverletzung, Beseitigung einer bestehenden Verletzung oder Feststellung der Widerrechtlichkeit;
• Klage auf Berichtigung, Löschung oder Vernichtung von Daten sowie Publikation des Urteils;
• Vermögensrechtliche Klagen: Schadenersatz (Art. 41 OR), Genugtuung (Art. 49 OR) und Herausgabe des Gewinns (Art. 423 OR).

Das Verfahren richtet sich nach der Schweizerischen Zivilprozessordnung (ZPO), in der Regel im vereinfachten Verfahren bei Streitwerten bis CHF 30'000 oder bei nichtvermögensrechtlichen Streitigkeiten.

Aufsicht durch den EDÖB (Art. 49 ff. DSG)

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) wacht über die Einhaltung der Datenschutzvorschriften des Bundes. Im revDSG wurden seine Kompetenzen massiv ausgebaut:

• Er eröffnet Untersuchungen von Amtes wegen oder auf Anzeige hin (Art. 49 DSG).
• Er verfügt über weitreichende Auskunfts- und Editionsrechte gegenüber Verantwortlichen (Art. 50 DSG).
• Bei festgestellten Verletzungen kann der EDÖB neu verbindliche Verfügungen erlassen (Art. 51 DSG): Er kann anordnen, dass eine Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird oder dass Personendaten gelöscht werden.

Gegen Verfügungen des EDÖB steht die Beschwerde an das Bundesverwaltungsgericht und anschliessend an das Bundesgericht offen.

Wichtig: Im Gegensatz zu europäischen Aufsichtsbehörden unter der DSGVO hat der EDÖB keine Kompetenz zur Verhängung von administrativen Bussen.

Strafrechtliche Sanktionen (Art. 60–66 DSG)

Ein besonderes Merkmal des schweizerischen Rechts ist das strafrechtliche Sanktionssystem:

• Bussen bis zu CHF 250'000: Bestraft werden vorsätzliche Verletzungen von Informations-, Auskunfts- und Meldepflichten (Art. 60 DSG), Verletzungen der beruflichen Schweigepflicht (Art. 62 DSG) sowie die vorsätzliche Missachtung von Verfügungen des EDÖB (Art. 63 DSG).
• Adressat der Busse: Bestraft werden grundsätzlich die verantwortlichen natürlichen Personen (z.B. Geschäftsführer, Projektleiter, Compliance-Beauftragte) und nicht das Unternehmen selbst.
• Subsiditäre Unternehmensbusse: Nur wenn die Ermittlung der handelnden Person unverhältnismässigen Aufwand verursachen würde und die Busse höchstens CHF 50'000 beträgt, kann das Unternehmen direkt gebüsst werden (Art. 64 Abs. 2 DSG).
• Keine Bestrafung bei Fahrlässigkeit: Bedingter Vorsatz genügt, Fahrlässigkeit bleibt straffrei.
• Zuständig für die Strafverfolgung sind die kantonalen Staatsanwaltschaften.

Praxishinweise

Für Unternehmen und Datenbearbeiter

• Datenschutzerklärung lückenlos halten: Die Informationspflicht nach Art. 19 DSG ist strafbewehrt (Art. 60 Abs. 1 lit. a DSG). Webseiten und Verträge müssen präzise und transparent über jede Datenbearbeitung, eingesetzte Tracking-Tools und Datenflüsse ins Ausland Auskunft geben.
• Auftragsbearbeitungsverträge (AVV) abschliessen: Wer Dienstleister (SaaS, Cloud, Hosting, HR) einbindet, muss sicherstellen, dass schriftliche Vereinbarungen gemäss Art. 9 DSG vorliegen, welche die datenschutzkonforme Bearbeitung und Datensicherheit garantieren.
• Data-Breach-Prozesse definieren: Bei Vorfällen mit hohem Risiko für Betroffene tickt die Uhr: Art. 24 DSG verlangt die Meldung an den EDÖB so rasch als möglich. Unternehmen benötigen ein Notfallkonzept zur raschen Risikobewertung.
• Auskunftsbegehren strukturiert behandeln: Auskunftsbegehren nach Art. 25 DSG müssen in der Regel binnen 30 Tagen beantwortet werden. Die vorsätzliche Erteilung falscher oder unvollständiger Auskunft ist strafbar (Art. 60 Abs. 1 lit. b DSG).

Für betroffene Personen

• Formlose Auskunftsbegehren: Ein Auskunftsbegehren bedarf keiner besonderen Begründung und ist kostenlos. Es genügt ein schriftliches oder elektronisches Gesuch unter Beilage einer Identitätskopie.
• Auskunft zur Vorbereitung von Ansprüchen: Das Auskunftsrecht darf zulässigerweise genutzt werden, um Tatsachen für arbeitsrechtliche, versicherungsrechtliche oder haftpflichtrechtliche Streitigkeiten zu beschaffen. Erst wenn das Gesuch rein schikanös oder mutwillig ist, greift der Einwand des Rechtsmissbrauchs.
• Anzeige an den EDÖB: Bei systematischen Missständen oder verweigerter Zusammenarbeit durch Datenbearbeiter kann jede Person den EDÖB informieren, damit dieser eine aufsichtsrechtliche Untersuchung einleitet.

Leitentscheide

Literatur

• David Rosenthal / Yvonne Jöhri, Handkommentar zum Datenschutzgesetz, Basel 2008.
• Beat Rudin / David Baeriswyl (Hrsg.), Praxiskommentar zum Schweizerischen Datenschutzgesetz, Zürich/Basel/Genf 2023.
• Adrian Bieri / Julian Powell, Datenschutzgesetz (DSG), Zürcher Kommentar, Zürich 2023.
• Urs Belser / David Rosenthal / Astrid Epiney (Hrsg.), Basler Kommentar zum Datenschutzgesetz und Öffentlichkeitsgesetz, 4. Aufl., Basel 2024.

Betroffene Bestimmungen

Verwandte Themen