Auch nach dem neuen Datenschutzgesetz (nDSG) hat jede Person (im Folgenden «Antragsteller») das Recht, vom «Verantwortlichen» Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.

Bei Vorlage eines Auskunftsgesuchs durch einen «Antragsteller» wird bei Ihnen, als «Verantwortlicher», dadurch die Erfüllung Ihrer Informationspflichten gemäss Artikel 25 (Auskunftsrecht) nDSG «aktiviert».

Ausserdem werden in der (neuen) Verordnung über den Datenschutz (DSV) in den Artikeln 16 bis 19 DSV Einzelheiten zum Umgang mit dem Auskunftsrecht ausgeführt; dort sind die Modalitäten, Zuständigkeiten, Fristen sowie die Ausnahme von der Kostenlosigkeit eines Auskunftsbegehrens konkretisiert. (Die erwähnten Gesetzestexte können Sie am Ende dieses Eintrags nachlesen; sie sind thematisch eine wesentliche und unverzichtbare inhaltliche Ergänzung).

Der «Antragsteller» kann im Übrigen je nach Bedarf und Notwendigkeit veranlassen, dass seine bearbeiteten Daten gelöscht oder berichtigt werden.

Durch dieses Auskunftsrecht wird betroffenen Personen ermöglicht, die Kontrolle über ihre Daten, die (beispielsweise) bei Ihnen beschafft und bearbeitet werden, zu behalten.

Die Grundlage des Auskunftsrechts ist u. a. die Gewährleistung der uneingeschränkten Ausübung der informationellen Selbstbestimmung von Bürger:innen, was ihnen nach dem nDSG zusteht. Gleichzeitig gewährleistet das Auskunftsrecht eine transparente Datenbearbeitung. Die Initiative zur Wahrnehmung des Auskunftsrechts muss, um es klarzustellen, jedoch von Bürger:innen jeweils selbst kommen.

Möchte also ein «Antragsteller» sein Auskunftsrecht wahrnehmen, enthält das nDSG zur Orientierung eine Aufzählung der Informationen, die ihm/ihr immer erteilt werden müssen.

Folgende Informationen müssen demnach in jedem Fall übermittelt werden:

• Die Identität und die Kontaktdaten des Verantwortlichen.
• Die bearbeiteten Personendaten und die Bearbeitungszwecke.
• Die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer.
• Die verfügbaren Angaben über die Herkunft der Personendaten, wenn diese Daten nicht beim «Antragsteller» selbst beschafft wurden.
• Falls zutreffend, über das Vorliegen einer automatisierten Einzelentscheidung sowie über die Logik, auf der die Entscheidung beruht.
• Angaben über die Empfänger:innen oder die Kategorien von Empfänger:innen, denen Personendaten bekanntgegeben wurden.
• Wenn Empfänger:innen bekanntgegebener Personendaten des «Antragstellers» im Ausland ansässig sind, muss der «Antragsteller» über den Empfänger-Staat sowie die vorgesehenen Garantien oder die Anwendung einer entsprechend zulässigen Ausnahme informiert werden.

Übrigens: Eine Begründung seitens eines «Antragstellers» für die Geltendmachung seines Auskunfts-, Berichtigungs- oder Löschungsrechts zu seinen Personendaten muss er beim Auskunftsbegehren dem Verantwortlichen gegenüber nicht begründen.

Die Auskunft ist in der Regel innerhalb von 30 Tagen kostenlos zu erteilen.

Für Auskunftsbegehren, die beim «Verantwortlichen» einen unverhältnismässigen Aufwand verursachen, können Gebühren (bis zu 300 Franken) erhoben werden.

In gewissen Fällen kann der «Verantwortliche» die Auskunft verweigern, einschränken oder aufschieben, insbesondere aufgrund überwiegender privater oder öffentlicher Interessen. In solchen Fällen muss der «Verantwortliche» begründen, warum er die Auskunft verweigert, einschränkt oder aufschiebt. Das kann der Fall sein, wenn dies in einem Gesetz vorgesehen ist, beispielsweise bei Angaben, die dem Anwaltsgeheimnis unterstehen. Eine Einschränkung des Auskunftsrechts ist zudem auch möglich, wenn dies wegen überwiegender Interessen eines Dritten erforderlich ist, beispielsweise wenn die Bekanntgabe des Namens eines Informanten diesen in ernsthafte Gefahr für Leib und Leben setzen würde. Und unter der Voraussetzung, dass der «Verantwortliche» die Personendaten nicht an Dritte weitergibt, kann er ggf. ein eigenes überwiegendes Interesse für eine Einschränkung des Auskunftsrechts geltend machen. Zudem gelten für Datensammlungen, die ausschliesslich für Veröffentlichungen im redaktionellen Teil von Presse, Radio, Fernsehen, Online-Zeitschriften etc. verwendet werden, besondere Vorschriften und insbesondere ein weitreichender Quellenschutz (Artikel 27 nDSG).

Achtung: Die falsche oder unvollständige Erteilung der geforderten Auskünfte ist bussgeldbewehrt.

Zur Vorgehensweise

Sowohl das Auskunftsbegehren als auch die Bekanntgabe der angeforderten Informationen können elektronisch oder auf dem Postweg erfolgen. Der «Verantwortliche» muss hier geeignete Massnahmen treffen, um die Identifizierung des «Antragstellers» zu gewährleisten und dessen Daten vor dem Zugang unbefugter Dritter bei der Bekanntgabe zu schützen.

Wichtig: Beachten Sie als «Verantwortlicher» den Datenschutzaspekt bei der Forderung des Identitätsnachweises vom «Antragsteller», denn Sie dürfen dieses Datum nur für dessen Identifizierung verwenden; danach entfällt der "Zweck" und das Datum ist grundsätzlich zu löschen.

Hinweis: Wenn Sie ein Auskunftsbegehren im Namen eines Privatunternehmens stellen, müssen Sie zusätzlich einen Handelsregister-Auszug als Berechtigungsnachweis beifügen.

Damit Sie sehen, wie ein Auskunftsbegehren in der Praxis aussieht, zeigen wir Ihnen über folgenden Link einen Musterbrief, der veranschaulicht, was Sie (inhaltlich) erwarten können. Ein Berichtigungs- oder Löschungsbegehren wird ähnlich strukturiert sein.

Setzen Sie sich für weitere Informationen zum Thema jederzeit mit uns in Verbindung. Wir beraten Sie auch gerne unverbindlich in einem ersten Gespräch, z. B. mittels MS Teams, über pragmatische und unkomplizierte Lösungsmöglichkeiten, die Ihren Datenschutz wesentlich erleichtern und definitiv Aufwand und Kosten sparen.

Relevante Gesetzestexte

Artikel 25 (Auskunftsrecht) nDSG

1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.

2 Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:

1. die Identität und die Kontaktdaten des Verantwortlichen;
2. die bearbeiteten Personendaten als solche;
3. der Bearbeitungszweck;
4. die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
5. die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
6. gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
7. gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4 [Informationspflicht bei der Beschaffung von Personendaten nDSG].

3 Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.

4 Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.

5 Niemand kann im Voraus auf das Auskunftsrecht verzichten.

6 Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.

7 Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.

Verordnung über den Datenschutz (DSV)

3. Kapitel: Rechte der betroffenen Person
4. Abschnitt: Auskunftsrecht

Artikel 16 (Modalitäten) DSV

1 Wer vom Verantwortlichen Auskunft darüber verlangt, ob Personendaten über sie oder ihn bearbeitet werden, muss dies schriftlich tun. Ist der Verantwortliche einverstanden, so kann das Begehren auch mündlich mitgeteilt werden.

2 Die Auskunftserteilung erfolgt schriftlich oder in der Form, in der die Daten vorliegen. Im Einvernehmen mit dem Verantwortlichen kann die betroffene Person ihre Daten an Ort und Stelle einsehen. Die Auskunft kann mündlich erteilt werden, wenn die betroffene Person einverstanden ist.

3 Das Auskunftsbegehren und die Auskunftserteilung können auf elektronischem Weg erfolgen.

4 Die Auskunft muss der betroffenen Person in einer verständlichen Form erteilt werden.

5 Der Verantwortliche muss angemessene Massnahmen treffen, um die betroffene Person zu identifizieren. Diese ist zur Mitwirkung verpflichtet.

Artikel 17 (Zuständigkeit) DSV

1 Bearbeiten mehrere Verantwortliche Personendaten gemeinsam, so kann die betroffene Person ihr Auskunftsrecht bei jedem Verantwortlichen geltend machen.

2 Betrifft das Begehren Daten, die von einem Auftragsbearbeiter bearbeitet werden, so unterstützt der Auftragsbearbeiter den Verantwortlichen bei der Erteilung der Auskunft, sofern er das Begehren nicht im Auftrag des Verantwortlichen beantwortet.

Artikel 18 (Frist) DSV

1 Die Auskunft muss innerhalb von 30 Tagen seit dem Eingang des Begehrens erteilt werden.

2 Kann die Auskunft nicht innerhalb von 30 Tagen erteilt werden, so muss der Verantwortliche die betroffene Person darüber informieren und ihr mitteilen, innerhalb welcher Frist die Auskunft erfolgt.

3 Verweigert der Verantwortliche die Auskunft, schränkt er sie ein oder schiebt er sie auf, so muss er dies innerhalb derselben Frist mitteilen.

Artikel 19 (Ausnahme von der Kostenlosigkeit) DSV

1 Ist die Erteilung der Auskunft mit einem unverhältnismässigen Aufwand verbunden, so kann der Verantwortliche von der betroffenen Person verlangen, dass sie sich an den Kosten angemessen beteiligt.

2 Die Beteiligung beträgt maximal 300 Franken.

3 Der Verantwortliche muss der betroffenen Person die Höhe der Beteiligung vor der Auskunftserteilung mitteilen. Bestätigt die betroffene Person das Gesuch nicht innerhalb von zehn Tagen, so gilt es als ohne Kostenfolge zurückgezogen. Die Frist nach Artikel 18 Absatz 1 beginnt nach Ablauf der zehntägigen Bedenkzeit zu laufen.