IN KÜRZE

Art. 6 Abs. 6 und 7 DSG statuieren die Gültigkeitsvoraussetzungen für datenschutzrechtliche Einwilligungen. In welchen Fällen eine Einwilligung erforderlich ist, wird hingegen in anderen Bestimmungen geregelt. Die neuen Bestimmungen zur Einwilligung sind inhaltlich im Wesentlichen gleich wie diejenige von Art. 4 Abs. 5 aDSG. Es wurde lediglich präzisiert, dass eine Einwilligung für eine oder mehrere bestimmte Bearbeitungen erteilt werden muss, was bisher schon galt. Bei der ausdrücklichen Einwilligung hat das neu eingeführte Profiling das altrechtliche Persönlichkeitsprofil abgelöst. Im Übrigen sollte aber keine Änderung der Rechtslage erfolgen. Sofern eine Einwilligung erforderlich ist, muss diese somit nach wie vor für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt werden. Ist eine Einwilligung für die Bearbeitung von besonders schützenswerten Personendaten, für ein Profiling mit hohem Risiko durch eine private Person oder ein Profiling durch ein Bundesorgan erforderlich, muss diese zudem ausdrücklich sein. Auch in diesen Fällen besteht jedoch kein allgemeines Einwilligungserfordernis, obwohl teilweise Gegenteiliges vertreten wird. Im Anwendungsbereich der DSGVO kommt eine Einwilligung aufgrund des unterschiedlichen Konzepts (Verbotsprinzip mit Erlaubnisvorbehalt) als Rechtsgrundlage einer Bearbeitung häufiger zur Anwendung und die Anforderungen an eine gültige Einwilligung sind insgesamt höher als unter dem DSG.

I. Allgemeines

A. Entstehungsgeschichte

1 Art. 6 Abs. 6 und Abs. 7 DSG entsprechen inhaltlich im Wesentlichen Art. 4 Abs. 5 aDSG, wobei im Rahmen der Totalrevision einige redaktionelle Änderungen vorgenommen wurden. Die ausdrückliche Einwilligung wurde von der „gewöhnlichen“ Einwilligung getrennt und in einem separaten Absatz geregelt. Zudem wurde präzisiert, dass sich die Einwilligung auf eine oder mehrere bestimmte Bearbeitungen beziehen muss. Diese Konkretisierung erfolgte im Hinblick auf eine Annäherung an das revidierte Übereinkommen SEV 108. Dadurch resultiert aber keine Änderung der Rechtslage.

Da im Rahmen der Totalrevision zudem der Begriff des Persönlichkeitsprofils durch jenen des Profiling ersetzt wurde, muss neu die Einwilligung für ein Profiling mit hohem Risiko durch private Personen sowie ein Profiling durch Bundesorgane ausdrücklich erfolgen.

2 Das im Entwurf neu eingefügte Kriterium der Eindeutigkeit der Einwilligung wurde in der parlamentarischen Beratung fallen gelassen. Auch dieses war ursprünglich im Hinblick auf eine Annäherung an das revidierte Übereinkommen SEV 108 eingefügt worden.

B. Systematik und Abgrenzung

3 Das Schweizer Datenschutzgesetz basiert auf dem Erlaubnisprinzip mit Verbotsvorbehalt. Demnach ist eine Bearbeitung grundsätzlich zulässig, sofern die Bearbeitungsgrundsätze von Art. 6 und die Datensicherheit gemäss Art. 8 DSG eingehalten, Personendaten nicht entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet oder Dritten besonders schützenswerte Personendaten bekanntgegeben werden (Art. 30 Abs. 2 DSG). Andernfalls liegt eine Persönlichkeitsverletzung vor, die u.a. durch Einwilligung der betroffenen Person gerechtfertigt werden kann (Art. 31 Abs. 1 DSG).

4 Art. 6 Abs. 6 und 7 DSG statuieren somit kein allgemeines Einwilligungserfordernis, sondern definieren nur, unter welchen Voraussetzungen eine Einwilligung gültig ist.

Ob und für welche Fälle hingegen eine solche erforderlich ist, wird anderswo geregelt. Entsprechend bedarf es auch für die Fälle von Art. 6 Abs. 7 DSG (Bearbeitung von besonders schützenswerten Personendaten, Profiling mit hohem Risiko durch eine private Person sowie Profiling durch ein Bundesorgan) nicht per se einer Einwilligung, auch wenn teilweise Gegenteiliges vertreten wird.

5 Trotz der systematischen Stellung der Bestimmungen zur Einwilligung unter Art. 6 DSG mit dem Titel „Grundsätze“, handelt es sich bei den Gültigkeitsvoraussetzungen der Einwilligungen nicht um einen datenschutzrechtlichen Bearbeitungsgrundsatz.

Insbesondere liegt keine Persönlichkeitsverletzung vor, wenn die Voraussetzungen der Einwilligung nicht eingehalten werden, obwohl Art. 30 Abs. 2 lit. a DSG auf die „Grundsätze“ von Art. 6 DSG verweist. Besser wäre es aus diesem Grund gewesen, die Bestimmungen zur Einwilligung zu den Definitionen von Art. 5 DSG zu verschieben.

C. Anwendungsbereich

6 Für private Personen kann die Einwilligung insbesondere eine Persönlichkeitsverletzung rechtfertigen (Art. 31 Abs. 1 DSG). Darüber hinaus kann für private Personen eine Einwilligung in folgenden Fällen von Relevanz sein: Für die Bekanntgabe von Personendaten ins Ausland abweichend von Artikel 16 Abs. 1 und 2 DSG (Art. 17 Abs. 1 lit. a DSG); für automatisierte Einzelentscheidungen, ohne die Voraussetzungen von Art. 21 Abs. 1 und 2 DSG einhalten zu müssen (Art. 21 Abs. 3 lit. b DSG); im Rahmen des Auskunftsrechts für die Mitteilung von Gesundheitsdaten durch eine Gesundheitsfachperson (Art. 25 Abs. 3 DSG).

7 Für Bundesorgane kann die Einwilligung im Einzelfall

das generelle Erfordernis einer gesetzlichen Grundlage ersetzen (Art. 34 Abs. 4 lit. b DSG) und zwar auch bei der Bekanntgabe von Personendaten ins Ausland (Art. 36 Abs. 2 lit. b DSG).

8 Darüber hinaus wird die Einwilligung auch anderswo im DSG erwähnt

und kann auch spezialgesetzlich vorgesehen sein. Ob und inwieweit hierbei die Voraussetzungen des DSG Anwendung finden, ist insbesondere im Schnittbereich mit dem Spamverbot gemäss Art. 3 Abs. 1 lit. o UWG nicht restlos geklärt. Zumindest implizit wird jedoch davon ausgegangen.

D. Vergleich mit der DSGVO

9 Das schweizerische Konzept

unterscheidet sich grundlegend vom umgekehrten Konzept der DSGVO. Dort gilt das Verbotsprinzip mit Erlaubnisvorbehalt, wonach jede Bearbeitung von Personendaten verboten ist, ausser es liegt eine Rechtsgrundlage für die Bearbeitung vor (Art. 6 DSGVO). Eine dieser möglichen Rechtsgrundlagen ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Deren Voraussetzungen sind generell in Art. 4 Nr. 11 und Art. 7 DSGVO näher umschrieben, in Bezug auf Einwilligungen von Kindern in Art. 8 DSGVO und für die Bearbeitung besonderer Kategorien von Personendaten muss die Einwilligung ausdrücklich erfolgen (Art. 9 Abs. 2 lit. a DSGVO).

10 Die Voraussetzungen an eine gültige Einwilligung nach der DSGVO sind strenger als diejenigen nach dem DSG.

Eine nach DSGVO gültige Einwilligung erfüllt somit grundsätzlich die Anforderungen des DSG, während eine nach DSG gültige Einwilligung nicht zwingend den erhöhten Anforderungen der DSGVO genügt.

II. Voraussetzungen der Einwilligung (Art. 6 Abs. 6 DSG)

A. Allgemeines

11 Die Einwilligung unterliegt den allgemeinen „Schranken“ des Persönlichkeitsrechts, wozu die Bestimmungen von Art. 16 ff. ZGB (Urteilsfähigkeit)

und Art. 27 ZGB (übermässige Bindung) gehören. Die Einwilligung ist als einseitiges Rechtsgeschäft zu qualifizieren, weshalb das OR insbesondere im Bereich der Auslegung der Einwilligung (Vertrauensprinzip), der Schranken von Art. 19 und 20 OR sowie der Willensmängel (Art. 23 ff. OR) Anwendung findet.

B. Urteilsfähigkeit

12 Die Erteilung einer datenschutzrechtlichen Einwilligung stellt eine Ausübung eines höchstpersönlichen Rechts dar und kann daher durch urteilsfähige handlungsunfähige Personen selbstständig ausgeübt werden (Art. 19c Abs. 1 ZGB).

Für urteilsunfähige Personen handelt hingegen grundsätzlich ihr gesetzlicher Vertreter (Art. 19c Abs. 2 ZGB). Die Eltern können im Rahmen ihrer gesetzlichen Vertretung und im Umfang der ihnen zustehenden elterlichen Sorge für urteilsunfähige Kinder eine Einwilligung erteilen (Art. 304 ZGB).

13 Urteilsfähig ist, wem nicht wegen gewisser Zustände (Kindesalters, geistiger Behinderung, psychischer Störung, Rausch oder ähnlichem) die Fähigkeit mangelt, vernunftgemäss handeln zu können (Art. 16 ZGB). Als Faustregel ist die Urteilsfähigkeit bei Minderjährigen ab 13 Jahren anzunehmen.

Aufgrund der Relativität der Urteilsfähigkeit sind die Anforderungen bspw. bei komplexen Bearbeitungen, sensitiven Personendaten und schweren Eingriffen in die Persönlichkeit höher anzusetzen.

C. Zeitpunkt

14 Die Einwilligung muss grundsätzlich vor der Datenbearbeitung erteilt werden,

was beispielsweise vor der Datenbeschaffung oder -bekanntgabe (vgl. Art. 5 lit. d DSG) sein kann. Ist eine Einwilligung erforderlich und liegt diese nicht vor, ist die entsprechende Datenbearbeitung rechtswidrig.

15 Eine nachträgliche Einwilligung im eigentlichen Sinn ist ausgeschlossen. Jedoch kommt eine nachträgliche Genehmigung in Betracht, die als Verzicht auf die Geltendmachung von Ansprüchen zu deuten ist.

Bis zum Zeitpunkt der nachträglichen Genehmigung liegt jedoch eine rechtswidrige Datenbearbeitung vor. Zudem erstreckt sich die nachträgliche Genehmigung nur auf die Datenbearbeitung, über welche anfänglich oder nachträglich angemessen informiert wurde.

D. Eine oder mehrere bestimmte Bearbeitungen

16 Das Kriterium, wonach sich die Einwilligung auf eine oder mehrere bestimmte Bearbeitungen beziehen muss, wurde mit der Totalrevision neu eingefügt. Dadurch gleicht sich die Formulierung insgesamt an Art. 5 Abs. 2 des revidierten Übereinkommens SEV 108 an, ohne aber eine Änderung der Rechtslage zu bewirken.

17 Wie bereits nach altem Recht ist erforderlich, dass die Bearbeitung insbesondere bzgl. Umfang und Zweck hinreichend bestimmt ist.

Die betroffene Person soll nachvollziehen können, für welche Bearbeitungen sie ihre Einwilligung erteilt. Der konkrete Umfang der Einwilligung ergibt sich aus der Einwilligungserklärung und der angemessenen Information. Unzureichend sind ohne weitere Angaben bspw. allgemeine Zweckbeschreibungen wie „Verbesserung der Erfahrungen des Nutzers“, „Werbezwecke“, „IT- Sicherheitszwecke“ oder „zukünftige Forschung.“ Die Bearbeitungen können zeitlich beschränkt oder unbeschränkt sein. Teilweise ist jedoch eine Einwilligung im Einzelfall erforderlich.

18 Die Einwilligung in mehrere Bearbeitungen bedingt nicht, dass diese alle gleichgelagert sind, sondern es kann auch in verschiedene Bearbeitungen eingewilligt werden.

Sodann kann ein Bearbeitungszweck wie die Heilbehandlung bei einer Ärztin oder einem Arzt verschiedene Bearbeitungen erfordern, bspw. den Austausch von besonders schützenswerten Personendaten mit anderen Fachpersonen oder Versicherungen sowie die Bearbeitung zu Abrechnungszwecken.

19 Umstritten ist, inwiefern Generaleinwilligungen zulässig sind.

In jedem Fall müssen die Grenzen der Einwilligung eindeutig sein und diese muss gestützt auf den Verhältnismässigkeitsgrundsatz umso klarer sein, je sensibler Art und Umfang der Bearbeitung sind. Unzulässig sind demnach unlimitierte Einwilligungserklärungen zu beliebigen Zwecken, für irgendwelche Bearbeitungen oder für sämtliche Kategorien von Personendaten durch unbegrenzte Bearbeiter. Hingegen ist es bspw. zulässig, den bisherigen Arbeitgeber zur generellen Erteilung von Auskünften gegenüber potentiellen Arbeitgebern zu ermächtigen, was im Falle der Bekanntgabe von besonders schützenswerten Personendaten (wie Angaben über Abwesenheiten infolge von Krankheiten) einer ausdrücklichen Einwilligung bedarf.

E. Angemessene Information

20 Die datenschutzrechtliche Einwilligung orientiert sich an der „Einwilligung des aufgeklärten Patienten“, so dass alle Informationen im konkreten Fall mitgeteilt werden müssen, damit die betroffene Person eine freie Entscheidung treffen kann.

Mit anderen Worten geht es darum, dass die betroffene Person Klarheit darüber hat, worin sie einwilligt, d.h. die Tragweite ihrer Einwilligung kennt. Welche konkreten Informationen bereitzustellen sind, wurde bereits unter altem Recht nicht einheitlich beurteilt, und wird es auch unter dem neuen Recht nicht.

21 Die Anforderungen an die angemessene Information können nach hier vertretener Auffassung an die Informationspflicht gemäss Art. 19 DSG angelehnt werden.

Denn die für eine Einwilligung erforderliche angemessene Information kann dazu führen, dass eine Ausnahme von der Informationspflicht gemäss Art. 19 DSG vorliegt, da die betroffene Person bereits über die entsprechenden Informationen verfügt (Art. 20 Abs. 1 lit. a DSG).

22 Das bedeutet indessen nicht, dass sämtliche Informationen von Art. 19 DSG unbenommen in jedem Fall als Grundlage für die angemessene Information nach Art. 6 Abs. 6 DSG bereitgestellt werden müssen, selbst wenn sich ein solch integrativer Ansatz in der Praxis aufdrängen kann. Nach hier vertretener Auffassung sind für die angemessene Information im Rahmen von Einwilligungen mindestens folgende Angaben erforderlich:

• Identität des Verantwortlichen;

• Bearbeitungszweck;

• (Kategorien) bearbeitete(r) Personendaten.

23 Welche dieser Informationen in welchem Detailgrad erforderlich und ob darüber hinaus zusätzliche Informationen notwendig sind, hängt von den Umständen des Einzelfalls ab. In Anwendung des Verhältnismässigkeitsgrundsatzes hat die angemessene Information grundsätzlich umso eindeutiger zu sein, je sensibler die betroffenen Personendaten sind.

Beispielsweise konkretisiert Art. 16 Abs. 2 HFG für Einwilligungen in Forschungsprojekte u.a., dass auch über die voraussehbaren Risiken und Belastungen sowie Massnahmen zum Schutz der erhobenen Personendaten zu informieren ist. Nach Art. 8 Abs. 1 HFV muss ferner über das Recht der Verweigerung oder des Widerrufs und den Konsequenzen eines Widerrufs sowie ganz allgemein über weitere für den Entscheid erforderliche Inhalte aufgeklärt werden.

24 Anders als Art. 7 Abs. 3 DSGVO verlangt das DSG aber grundsätzlich keine Information über das Widerrufsrecht und den Umstand, dass der Widerruf die Rechtmässigkeit der auf die Einwilligung gestützte Bearbeitung bis zum Widerruf nicht berührt.

Eine fehlende Information hierüber macht eine erteilte Einwilligung daher nicht ungültig.

25 Die DSGVO verlangt zudem, dass die Einwilligung so einfach widerrufen wie erteilt werden kann.

Der EDÖB hat dies gestützt auf den Grundsatz von Treu und Glauben auch für das aDSG verlangt. In dieser Pauschalität findet sich hierfür aber keine Stütze im Gesetz und diese Auffassung ist daher abzulehnen. Hingegen kann die Freiwilligkeit der Einwilligung fraglich sein, wenn diese nicht auf zumutbare Weise widerrufen werden kann.

26 Teilweise wird entsprechend den Ausführungen in der Botschaft 2003 die Auffassung vertreten, dass über die negativen Folgen oder Nachteile der Verweigerung der Einwilligung informiert werden muss.

Dies ist nach hier vertretener Auffassung nicht erforderlicher Inhalt einer angemessenen Information, kann aber je nach nachteiligen Folgen die Gültigkeit der Einwilligung mangels Freiwilligkeit in Frage stellen. Hingegen ist über gegebenenfalls bestehende Risiken der Datenbearbeitung zu informieren.

27 Die angemessene Information hat grundsätzlich durch den Verantwortlichen zu erfolgen.

Das Einholen einer Einwilligung für die Bearbeitung durch einen Dritten ist aber möglich. Dies erfordert regelmässig eine namentliche Nennung des Dritten, ausser diese Angabe ergebe sich genügend klar aus den Umständen, wie das beispielsweise im Falle von Gruppengesellschaften der Fall sein kann.

28 Die zur Verfügung gestellten Informationen sind nach dem Vertrauensprinzip auszulegen, d.h. wie sie die betroffene Person verstehen durfte und musste.

Auszugehen ist dabei von einer durchschnittlich verständigen Person des angesprochenen Adressatenkreises. Abzulehnen ist somit die Lehrmeinung, welche stattdessen auf die Fähigkeiten der individuell betroffenen Person abstellen möchte.

29 Die angemessene Information hat präzise, transparent und verständlich zu erfolgen.

Sie sollte in derjenigen Sprache verfasst werden, in welcher der Verantwortliche seine der Bearbeitung zugrunde liegenden Leistungen erbringt. Die Form der Information kann mündlich oder schriftlich erfolgen; aus Beweisgründen empfiehlt sich jedoch ein Nachweis in Textform. Müssen die Informationen über die Bearbeitung, in welche eingewilligt wird, zerstückelt und aus mehreren Stellen in einem Dokument zusammengetragen werden, kann dies gegen das Vorliegen angemessener Information sprechen.

30 Die Information muss vor Erteilung der Einwilligung zur Kenntnis genommen werden können.

Eine Bedenkfrist kann je nach Sensitivität der Bearbeitung angezeigt sein. So verlangt Art. 16 Abs. 3 HFG beispielsweise die Einräumung einer angemessenen Bedenkfrist, bevor die betroffene Person in ein Forschungsprojekt einwilligt.

31 Ob die Information tatsächlich zur Kenntnis genommen wird, ist nicht von Belang. Massgebend ist einzig, ob eine zumutbare Möglichkeit zur Kenntnisnahme der Information bestand.

Bei einer Globalübernahme, d.h. der Einwilligungserteilung ohne Kenntnisnahme der Information (weil diese bspw. nur in verlinkten AGB oder einer Datenschutzerklärung vorzufinden ist), gelten ungewöhnliche Klauseln nicht (Ungewöhnlichkeitsregel). Daher kann es angezeigt sein, ungewöhnliche Aspekte gesondert hervorzuheben.

F. Freiwilligkeit

32 Die Einwilligung muss freiwillig erteilt werden, d.h. Ausdruck des freien Willens der betroffenen Person sein.

Dabei besteht eine Wechselwirkung mit der Erforderlichkeit der angemessenen Information. Sofern die angemessene Information fehlt, kann auch keine Freiwilligkeit angenommen werden. Nicht freiwillig erfolgt eine Einwilligung zudem, welche durch Täuschung, Drohung oder Zwang zustande gekommen ist.

33 Das DSG kennt kein an Art. 7 Abs. 4 DSGVO angelehntes Koppelungsverbot,

wobei dessen Existenz und Tragweite unter der DSGVO umstritten ist. Dennoch bestehen auch unter Schweizer Recht Ausprägungen der unzulässigen Koppelung einer Einwilligung, deren Hürden aber höher als unter der DSGVO sind. Eine Einwilligung soll insbesondere dann nicht freiwillig sein, wenn durch eine Verweigerung der Einwilligung ein Nachteil resultiert, welcher keinen Bezug zum Bearbeitungszweck hat oder diesem gegenüber unverhältnismässig ist. Ein sonstiger Nachteil aufgrund der Verweigerung einer Einwilligung beeinträchtigt hingegen die Gültigkeit der Einwilligung nicht.

34 Beispiele:

Freiwillig erteilt und zulässig ist die Einwilligung zur Überprüfung der Kreditwürdigkeit zwecks Bezugs einer Kreditkarte, da ohne Einwilligung der Nachteil des Nichterhalts der Kreditkarte verhältnismässig ist. Die Unmöglichkeit der Teilnahme an einem Versicherungsprogramm hat einen direkten Bezug zur Datenbearbeitung, für welche eine Einwilligung eingeholt wird; und auch der Umstand, dass mit geldwerten Vorteilen und Bargeldboni in der Höhe von maximal CHF 75.00 pro Jahr bei nur grundversicherten Personen geworben wird, stellt die Freiwilligkeit der Einwilligung nicht in Frage. Als nicht freiwillig erteilt, weil unverhältnismässig, gilt hingegen die Drohung der Kündigung bei Nichtzustimmung zu einer im Arbeitsvertrag nicht vorgesehenen Datenbearbeitung.

35 Teilweise wird Freiwilligkeit nur angenommen, wenn eine zumutbare Handlungsalternative besteht.

Nach hier vertretener Auffassung bedarf es abgesehen von Ausnahmesituationen (insb. marktbeherrschende Stellung, soziale oder faktische Abhängigkeiten) für die Bejahung der Freiwilligkeit nicht einer Alternative. Deshalb kann der betroffenen Person bei Nichterteilung der Einwilligung die Inanspruchnahme einer Leistung grundsätzlich verweigert werden.

36 Die Frage der Freiwilligkeit einer Einwilligung ist vor allem im Arbeitsverhältnis umstritten. Teilweise wird argumentiert, es fehle in diesem Kontext an der notwendigen Freiwilligkeit

bzw. jede über Art. 328b OR hinausgehende Datenbearbeitung sei unzulässig. Andere Autoren sehen den Rahmen der Freiwilligkeit lediglich enger gesteckt, indem beispielsweise eine zumutbare Handlungsalternative für die Arbeitnehmenden zur Verfügung stehen müsse. Die wohl herrschende Lehre sowie der EDÖB erachten eine über Art. 328b Abs. 1 OR hinausgehende Datenbearbeitung nur dann als zulässig, wenn diese für die Arbeitnehmenden von Vorteil bzw. in deren Interesse ist (Art. 362 OR). Und wiederum andere Autoren erachten auch zuungunsten der Arbeitnehmenden von Art. 328b OR abweichende Einwilligungen unter Umständen als gültig. Gemäss Bundesgericht soll eine Datenbearbeitung entgegen Art. 328b OR zwar rechtswidrig sein, aber auf einen Rechtfertigungsgrund gemäss Art. 13 aDSG gestützt werden können. Dieser Auffassung zufolge handelt sich somit bei Art. 328b OR um einen Bearbeitungsgrundsatz und nicht eine Verbotsnorm. Die knappen Ausführungen hierzu werden in der Lehre jedoch kritisiert. Das Bundesgericht hat seine Auffassung in der Folge bestätigt, ohne aber auf seinen früheren Entscheid Bezug genommen zu haben.

37 Nach hier vertretener Auffassung sind Einwilligungen im Arbeitsverhältnis nicht per se ausgeschlossen und es kann auch in Bearbeitungen, die über Art. 328b Abs. 1 OR hinausgehen, eingewilligt werden. Entscheidend ist dabei, ob angemessen informiert wurde und von tatsächlicher Freiwilligkeit in Form einer Ablehnungsmöglichkeit ohne nachteilige Konsequenzen auszugehen ist oder nicht.

So kann bspw. in die Veröffentlichung von Fotos von Mitarbeitenden ohne Kundenkontakt im Internet oder gar zu Werbezwecken eingewilligt werden, sofern über die entsprechende Bearbeitung informiert wurde und effektive Wahlfreiheit der Arbeitnehmenden besteht. Für diese Beurteilung kann die Position der Angestellten sowie der Arbeitsnehmenden-Lebenszyklus (Bewerbung, laufendes Arbeitsverhältnis, Beendigung) massgebend sein. Von fehlender Freiwilligkeit wäre hingegen in dem in N. 34 zuletzt genannten Beispiel auszugehen.

38 Im europäischen Kontext ist für die Frage der Freiwilligkeit v.a. im Bereich der Cookie-Banner die Thematik der sog. Dark Patterns bzw. Nudging zu beachten. Das Verleiten der Nutzer zum Erteilen einer Einwilligung, bspw. durch ungleiche farbliche Gestaltung und Grösse des „Annehmen“- und „Ablehnen“-Buttons oder Mehraufwand für das Ablehnen (indem z.B. ein „Alle Ablehnen“-Button erst auf der zweiten Darstellungsebene, nach Klick auf „Weiteres“ angeboten wird), stellt nach der Rechtsprechung und Auffassung von Aufsichtsbehörden die Freiwilligkeit in Frage. Ob diese Entwicklung in der Schweiz auch an Bedeutung gewinnen wird, ist fraglich. Denn nach Schweizer Recht bedarf es grundsätzlich keiner Einwilligung in Cookies.

Der hierfür massgebliche Art. 45c lit. b FMG verlangt lediglich, dass die Benutzer „über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können.“ Diesbezüglich gilt es jedoch die weitere Entwicklung zu beobachten, da der EDÖB und andere Stimmen für Tracking in der Regel eine zu rechtfertigende Persönlichkeitsverletzung annehmen.

39 Die DSGVO verlangt, dass bei verschiedenen Bearbeitungsvorgängen granular eingewilligt werden kann.

Das ist ein Grund dafür, wieso europarechtskonforme Cookie-Banner oftmals die Möglichkeit bieten, in jedes einzelne Cookie separat einzuwilligen. Über die Sinnhaftigkeit einer solchen Granularität bei Cookies kann man sich freilich streiten. Denn es ist eher unwahrscheinlich, dass eine Person ihre Einwilligung in gewisse, einzelne Cookies erteilen möchte und in andere nicht. Da sich ein solches Erfordernis der Granularität jedenfalls dem DSG nicht entnehmen lässt, kann dies höchstens in Ausnahmefällen gefordert werden.

G. Eindeutigkeit

40 Der Entwurf des DSG sah noch vor, dass die Einwilligung „eindeutig“ erteilt werden müsse.

Die Botschaft führt hierzu aus, aus der Erklärung der betroffenen Person müsse deren Wille zweifelsfrei hervorgehen, was von den Umständen des Einzelfalls abhänge und die Zustimmung müsse gestützt auf den Verhältnismässigkeitsgrundsatz umso eindeutiger sein, je sensibler die fraglichen Personendaten seien.

41 Vom Parlament wurde das Erfordernis der Eindeutigkeit jedoch fallen gelassen

und fand somit nicht Eingang in den Wortlaut von Art. 6 Abs. 6 DSG. In der Lehre hat aber offenbar für Verwirrung gesorgt, dass die Botschaft Bezug auf dieses Kriterium nimmt.

42 Bereits die Botschaft 2003 hatte ausgeführt, dass gestützt auf den Verhältnismässigkeitsgrundsatz eine Zustimmung umso klarer zu erfolgen habe, je sensibler die fraglichen Personendaten seien.

Damit ist die Deutlichkeit der Willenserklärung betroffen, wodurch Parallelen mit dem in der DSGVO vorzufindenden Kriterium der „eindeutig bestätigenden Handlung“ bestehen. Als Alternative zur „Erklärung“ stellt dies den zweiten Anwendungsfall der „unmissverständlich abgegebenen Willensbekundung“ gemäss Art. 4 Nr. 11 DSGVO dar. Mangels entsprechenden Kriteriums im DSG kann im Unterschied zur DSGVO daraus jedoch nicht abgeleitet werden, dass die Einwilligung etwa mittels vorangekreuzter Kästchen unzulässig ist. Dies steht auch nicht zwingend im Widerspruch zur Voraussetzung von „Privacy by Default“ gemäss Art. 7 Abs. 3 DSG.

43 Eine Auslegung des Kriteriums der Eindeutigkeit im Einklang mit dem revidierten Übereinkommen SEV 108 würde hingegen erfordern, dass eine Einwilligung „unmissverständlich“ erfolgt.

Dieses Erfordernis kann sich sowohl auf die Form als auch auf den Inhalt der Erklärung beziehen. Die Botschaft legt den Schluss nahe, dass sich das Element auf die Form bezog. Sofern das der Fall sein sollte, hat der Gesetzgeber diesem Formerfordernis dadurch Rechnung getragen, dass eine Einwilligung durch Stillschweigen grundsätzlich nicht genügt. Soweit der Inhalt betroffen sein soll, gilt ohnehin der Grundsatz, dass die Anforderungen gestützt auf den Verhältnismässigkeitsgrundsatz variieren. Damit käme nach Schweizer Recht dem Kriterium der Eindeutigkeit keine eigenständige Bedeutung zu.

H. Form

44 Die Einwilligung kann formfrei erteilt werden.

Abgesehen von gesetzlichen Ausnahmen sind daher auch mündliche Einwilligungen möglich. Da der Datenbearbeiter die Beweislast für eine Einwilligung trägt, drängt sich jedoch eine dokumentierbare Einwilligung auf. Dies relativiert zumindest faktisch die grundsätzliche Formfreiheit.

45 Einwilligungen können grundsätzlich auch im Rahmen von AGB eingeholt werden.

Erfolgt hierbei eine Globalübernahme, greift jedoch die Ungewöhnlichkeitsregel, wonach zulasten der betroffenen Person ungewöhnliche Einwilligungen unwirksam sind. Zudem kommt die Unklarheitsregel zum Zug, wonach unklare Formulierungen im Zweifel zulasten des Verfassers gehen.

46Ausser für den Fall der erforderlichen Ausdrücklichkeit von Art. 6 Abs. 7 DSG

kann die Einwilligung auch konkludent erteilt werden. Hierbei ergibt sich die Willenserklärung nicht aus der Erklärung selbst, sondern aus einem Verhalten, welches aufgrund der Umstände als eindeutiger Ausdruck des Willens verstanden werden kann. Dies ist bspw. der Fall, wenn die betroffene Person ihre Daten selbst zugänglich macht.

47 Für die konkludente Einwilligung wird oftmals das Synonym der stillschweigenden Einwilligung

verwendet, was aber zu vermeiden ist. Denn Schweigen oder Untätigkeit führt grundsätzlich nicht zu einer gültigen Einwilligung (vgl. Art. 6 OR), ausser die Parteien haben Stillschweigen als Zustimmung vereinbart.

48 In Ausnahmefällen ist bei Dringlichkeit eine mutmassliche Einwilligung denkbar, bspw. im Falle bewusstloser Patienten.

Die Bedeutung solcher Einwilligungen ist jedoch vernachlässigbar, da in diesen Fällen wohl ohnehin eine Rechtfertigung aufgrund überwiegendem Interesse der betroffenen Person greifen würde. Teilweise wird die mutmassliche Einwilligung von der hypothetischen unterschieden. Demnach soll eine Einwilligung trotz fehlen angemessener Information gültig sein, da die betroffene Person auch bei umfassender Information eingewilligt hätte. Dafür besteht hingegen kaum Raum, ausser die betroffene Person genehmigt dies nachträglich in Form eines Verzichts auf die Geltendmachung von Ansprüchen.

III. Ausdrückliche Einwilligung (Art. 6 Abs. 7 DSG)

49 Ist für die Bearbeitung von besonders schützenswerten Personendaten, ein Profiling mit hohem Risiko durch eine private Person oder ein Profiling durch ein Bundesorgan eine Einwilligung erforderlich, so hat diese ausdrücklich zu erfolgen.

Damit besteht auch bei diesen Bearbeitungsvorgängen kein generelles Einwilligungserfordernis. Obwohl Äusserungen in der parlamentarischen Debatte teilweise Gegenteiliges nahelegten, der Wortlaut von Art. 6 Abs. 7 DSG dies im Unterschied zu demjenigen von Art. 6 Abs. 6 DSG nicht einleitend vorwegnimmt und der EDÖB sowie die Lehre teilweise das Gegenteil vertreten, ergibt sich dies aus der Klarstellung in der parlamentarischen Beratung sowie dem Umstand, dass keine Änderung der Rechtslage erfolgen sollte.

50 Das Kriterium der Ausdrücklichkeit ist zusätzlich zu den Voraussetzungen von Art. 6 Abs. 6 DSG zu beachten.

In Art. 4 Abs. 5 aDSG sowie im Vorentwurf zum DSG kam dies besser zum Ausdruck, da die „normale“ sowie ausdrückliche Einwilligung im selben Absatz geregelt waren und der Zusatz „zudem“ dies klargestellt hatte.

51 Umstritten ist, ob sich das verschärfende Element der Ausdrücklichkeit nur auf die Form oder auch auf den Inhalt der Einwilligung bezieht.

In Bezug auf die Form wird ausdrücklich als Gegenteil von konkludent verstanden. Eine schriftliche Einwilligung wird aber nicht verlangt. Gestützt auf Art. 1 OR ist für die Frage der Ausdrücklichkeit massgebend, ob der geäusserte Wille aus der Willenserklärung in Form von geschriebenen oder gesprochenen Worten oder einem Zeichen unmittelbar hervorgeht. Mit anderen Worten muss die Willensäusserung als solche durch ihre Art und Weise bereits Klarheit über den Willen schaffen. Beispiele für ausdrückliche Zeichen sind das aktive Ankreuzen eines Kästchens, die aktive Auswahl bestimmter technischer Parameter für IT-Dienste, das zustimmende Kopfnicken im Rahmen von ärztlichen Behandlungen oder das Öffnen des Mundes zur Entnahme von Wangenschleimhaut nach entsprechender Aufklärung. Aus Gründen der Beweislast drängt sich aber wiederum eine dokumentierbare Einwilligung auf.

52 Nach einem Teil der Lehre

und dem EDÖB bezieht sich die Ausdrücklichkeit auch auf den Inhalt. Das affirmative Verhalten soll sich bei einer ausdrücklichen Einwilligung auf die betreffende Datenbearbeitung beziehen und nicht lediglich auf die Handlung, welche diese Datenbearbeitung nur zur Folge hat. Eine Einwilligung in den Erhalt personalisierter Werbung würde somit nicht eine ausdrückliche Einwilligung in das der Werbung zugrundeliegende Profiling mit hohem Risiko beinhalten.

53 Nach hier vertretener Auffassung bezieht sich das Erfordernis der Ausdrücklichkeit auf die Form der Einwilligung und nicht deren Inhalt. Die Botschaft 2003 führt aus: „die Einwilligung ist nicht an eine bestimmte Form gebunden und kann stillschweigend bzw. durch konkludentes Handeln erfolgen, sofern es nicht um die Bearbeitung von besonders schützenswerten Daten oder Persönlichkeitsprofilen geht. Bereits heute wird gemäss dem Verhältnismässigkeitsgrundsatz davon ausgegangen, dass die Zustimmung umso klarer zu erfolgen hat, je sensibler die fraglichen Personendaten sind.“ Für den zweiten Satz verweist die Botschaft auf eine Literaturstelle,

welche ausdrücklich als Gegenbegriff zu konkludent versteht. Das historische Auslegungselement bestätigt diesen Befund, zumal gemäss Botschaft 2017 nicht von der aktuellen Rechtslage abgewichen werden soll.

IV. Widerruf

54 Eine Einwilligung kann jederzeit und ohne Begründung widerrufen werden.

Ein Widerruf zur Unzeit kann jedoch Schadenersatzpflicht auslösen. Wirkung entfaltet ein Widerruf sodann nur für die Zukunft, womit die Rechtmässigkeit bereits erfolgter Bearbeitungen nicht vom Widerruf tangiert ist. Bisherige Datenbearbeitungen können aber aufgrund von Willensmängeln angefochten werden. Gestützt auf eine Einwilligung bearbeitete Daten müssen gegebenenfalls gelöscht werden, sofern für deren weitere Bearbeitung in Form der andauernden Speicherung eine andere Rechtfertigung fehlt.

55 Gemäss Bundesgericht können nicht zum Kernbereich der menschlichen Existenz gehörende Persönlichkeitsgüter wie Name, Stimme oder Bild unwiderruflich ausgestaltet werden, sofern bei der vertraglichen Verpflichtung wirtschaftliche Interessen im Vordergrund stehen.

Inwiefern sich diese Überlegungen des Rechts am eigenen Bild verallgemeinern lassen, ist jedoch nicht restlos klar. Denn im zu beurteilenden Fall war u.a. entscheidend, dass ein Widerruf gegen Bezahlung einer moderaten Rücktrittsentschädigung in Form einer Konventionalstrafe möglich war.

V. Rechtsfolgen bei fehlender, ungültiger oder widerrufener Einwilligung

56 Bedarf eine bestimmte Bearbeitung einer Einwilligung und liegt diese nicht (rechtzeitig) vor bzw. erfüllt sie die Gültigkeitsvoraussetzungen nicht, so ist die entsprechende Bearbeitung rechtswidrig bzw. stellt eine Persönlichkeitsverletzung dar. Wird eine Bearbeitung trotz Widerruf einer Einwilligung fortgeführt, liegt ebenfalls eine Persönlichkeitsverletzung vor (Art. 30 Abs. 2 lit. b DSG).

57 In diesen Fällen kann sich ein Verantwortlicher subsidiär auf andere Rechtfertigungsgründe (Art. 31 DSG) berufen.

Greift hingegen auch kein anderer Rechtfertigungsgrund, bestehen Ansprüche gegen private Verantwortliche (Art. 32 Abs. 2 DSG) bzw. Bundesorgane (Art. 41 DSG) und es erfolgen gegebenenfalls Untersuchungs- und Verwaltungsmassnahmen durch den EDÖB (Art. 49 ff. DSG).

58 Eine Verletzung von Art. 6 Abs. 6 und 7 DSG ist nicht direkt strafbewehrt.

Eine indirekte Bestrafung kommt aber insbesondere bei der Bekanntgabe von Personendaten ins Ausland gestützt auf eine ungültige oder widerrufene Einwilligung infrage, sofern die Bekanntgabe gestützt auf diesen Einwilligungstatbestand fortgesetzt wurde (Art. 61 lit. a i.V.m. Art. 17 Abs. 1 lit. a DSG). Zudem ist insbesondere im Bereich der elektronischen Massenwerbung bei fehlender Einwilligung gemäss Art. 3 Abs. 1 lit. o UWG eine Bestrafung nach Art. 23 UWG möglich.

VI. Praxishinweise

59 In der Praxis wird teilweise eine Einwilligung für Bearbeitungen eingeholt, welche keine erfordern.

Vereinzelt wird argumentiert, dass das Transparenzgebot oder der Grundsatz von Treu und Glauben gegen das Einholen von nicht notwendigen Einwilligungen sprechen. Eine solche Strenge ist in der Regel nicht angezeigt, weil die Frage der Erforderlichkeit einer Einwilligung oftmals mit einer Rechtsunsicherheit verbunden ist. Da eine Einwilligung aber jederzeit widerrufen werden kann, sollten zunächst alternative Rechtfertigungsgründe geprüft werden.

60 Im Internet sind häufig Formulierungen wie „Ich willige in die Datenschutzerklärung ein“, „Ich akzeptiere die Datenschutzerklärung“ oder dergleichen anzutreffen.

Eine Datenschutzerklärung soll jedoch nur einseitig informieren und nicht einen zweiseitigen Vertrag darstellen. Bei einer Globalübernahme wirkt zudem die Ungewöhnlichkeitsregel einschränkend. Die Datenschutzerklärung sollte daher nur verlinkt und Einwilligungen separat und zurückhaltend eingeholt werden.

VII. Normkritik

61 Gemäss der Botschaft zum neuen Datenschutzgesetz war eine Leitlinie der Revision die Stärkung der Rechte der betroffenen Personen, wozu auch die genauere Festlegung der Voraussetzungen für eine gültige Einwilligung der betroffenen Person beitragen sollte.

Dass dieses Ziel durch die erfolgte Präzisierung der Voraussetzungen an die Einwilligung erreicht wird, ist nicht anzunehmen. Denn einerseits erfolgte keine Änderung der Rechtslage. Andererseits werden Einwilligungserklärungen genauso wie Datenschutzerklärungen kaum gelesen. Es kann ein „information overload“ sowie eine Klick-Müdigkeit resultieren, v.a. wenn zusätzlich zu einer datenschutzrechtlichen Einwilligungserklärung eine Einwilligung in AGB eingeholt und die Datenschutzerklärung zur Kenntnis gebracht wird.

LITERATURVERZEICHNIS

Aebi-Müller Regina E., Personenbezogene Informationen im System des zivilrechtlichen Persönlichkeitsschutzes, Bern 2005.

Aebi-Müller Regina E. Grenzen des Bildnisschutzes – überwiegendes Interesse des Versicherers an der Observation eines Geschädigten und Rückzug einer Einwilligung zur Publikation erotischer Bilder im Internet, ZBJV 147 (2011), S. 330-354 (zit. ZBJV).

Baeriswyl Bruno, Kommentierung zu Art. 6, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl., Bern 2023.

Bühlmann Lukas/Schüepp Michael, Information, Einwilligung und weitere Brennpunkte im (neuen) Schweizer Datenschutzrecht, Jusletter 15.3.2021.

Dal Molin Luca, in: Dal Molin Luca/Wesiak-Schmidt Kirsten (Hrsg.), Datenschutz im Unternehmen, Zürich et al. 2023.

Domenig Benjamin/Mitscherlich Christian/Lutz Chantal, Datenschutzrecht für Schweizer Unternehmen, Stiftungen und Vereine, Bern 2022.

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Datenbearbeitung durch den Arbeitgeber, 24.4.2023, abrufbar unter https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/arbeit_wirtschaft/datenbearbeitung-arbeitgeber.html, besucht am 14.10.2023 (zit. Arbeitgeber).

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Schlussbericht und Empfehlungen vom 3.3.2023 mit Ergänzungen vom 17.5.2023 in Sachen Once Dating AG (zit. Schlussbericht Once Dating).

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Schlussbericht vom 11.4.2006 sowie Anhang vom 6.11.2006 in Sachen Erhebung biometrischer Daten beim Erwerb einer Dauerkarte in den Sport- und Freizeitanlagen KSS Schaffhausen (zit. Schlussbericht KSS Schaffhausen).

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Tracking, 12.4.2023, abrufbar unter https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/internet_technologie/tracking.html, besucht am 14.10.2023 (zit. Tracking).

European Data Protection Board (EDPB), Leitlinien 05/2020 zur Einwilligung gemäss Verordnung 2016/679, Version 1.1, angenommen am 4.5.2020, abrufbar unter https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_de.pdf, besucht am 14.10.2023.

Fasnacht Tobias, Die Einwilligung im Datenschutzrecht, Zürich 2017.

Ferrari-Visca Reto/Reichlin Jeremy, in: Dal Molin Luca/Wesiak-Schmidt Kirsten (Hrsg.), Datenschutz im Unternehmen, Zürich et al. 2023.

George Damian, Prinzipien und Rechtmässigkeitsbedingungen im privaten Datenschutzrecht, Zürich 2021.

Glatthaar Matthias/Schröder Annika, Kommentierung zu Art. 19 DSG, in: Steiner Thomas/Morand Anne-Sophie/ Hürlimann Daniel (Hrsg.), Onlinekommentar zum Bundesgesetz über den Datenschutz, 20.8.2023, abrufbar unter https://onlinekommentar.ch/de/kommentare/dsg19, besucht am 14.10.2023, DOI: https://doi.org/10.17176/20230820-133017-0.

Haas Raphaël, Die Einwilligung in eine Persönlichkeitsverletzung nach Art. 28 Abs. 2 ZGB, Zürich 2007.

Kasper Gabriel, People Analytics in privatrechtlichen Arbeitsverhältnissen, Zürich et al. 2021.

Klaus Samuel/Thomann Kenzo, Kommentierung zu Art. 6 Abs 6 und 7 DSG, in: Bieri Adrian/Powell Julian (Hrsg.), Orell Füssli Kommentar zum Schweizerischen Datenschutzgesetz mit weiteren Erlassen, Zürich 2023.

Kurt Pärli, Kommentierung zu Art. 328b OR, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl., Bern 2023.

Kurt Pärli, BGer 4A_518/2020: Rechtswidrige Beschaffung von Arbeitnehmerpersonendaten, Jusletter 14.2.2022 (zit. Arbeitnehmerpersonendaten).

Kunz Christian, Kommentierung zu Art. 16 DSG, in: Bieri Adrian/Powell Julian (Hrsg.), Orell Füssli Kommentar zum Schweizerischen Datenschutzgesetz mit weiteren Erlassen, Zürich 2023.

Maurer-Lambrou Urs/Steiner Andrea, Kommentierung zu Art. 4 aDSG, in: Maurer-Lambrou Urs/Blechta Gabor P. (Hrsg.), Basler Kommentar zum Datenschutzgesetz/Öffentlichkeitsgesetz, 3. Aufl., Basel 2014.

Meier Philippe/Tschumy Nicolas, Kommentierung zu Art. 6 DSG, in: Métille Sylvain/Meier Philippe (Hrsg.), Commentaire Romand, Loi sur la protection des données, Basel 2023.

Pellascio Michael, Kommentierung zu Art. 328b OR, in: Kren Kostkiewicz Jolanta/Wolf Stephan/Amstutz Marc/Fankhauser Roland, Orell Füssli Kommentar zum Schweizerischen Obligationenrecht, 3. Aufl., Zürich 2016.

Pfaffinger Monika, Kommentierung zu Art. 31 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl., Bern 2023.

Pietruszak Thomas, Kommentierung zu Art. 328b OR, in: Honsell Heinrich (Hrsg.), Kurzkommentar Obligationenrecht, Basel 2014.

Portmann Wolfgang/Rudolph Roger, Kommentierung zu Art. 328b OR, in: Widmer Lüchinger Corinne/Oser David (Hrsg.), Basler Kommentar Obligationenrecht I, 7. Aufl., Basel 2020.

Rampini Corrado, Kommentierung zu Art. 13 DSG, in: Maurer-Lambrou Urs/Blechta Gabor P. (Hrsg.), Basler Kommentar zum Datenschutzgesetz/Öffentlichkeitsgesetz, 3. Aufl., Basel 2014.

Rehbinder Manfred/Stöckli Jean-Fritz, Kommentierung zu Art. 328b OR, in: Hausheer Heinz/Walter Hans Peter (Hrsg.), Berner Kommentar, Einleitung und Kommentar zu den Art. 319-330b OR, Zürich 2010.

Rosenthal David, Das neue Datenschutzgesetz, Jusletter 16.11.2020 (zit. nDSG).

Rosenthal David, Der Entwurf für ein neues Datenschutzgesetz, Jusletter 27.11.2017 (zit. Entwurf).

Rosenthal David, Der Vorentwurf für ein neues Datenschutzgesetz: Was er bedeutet, Jusletter 20.2.2017 (zit. Vorentwurf).

Rosenthal David/Jöhri Yvonne, Kommentierung zu Art. 4 und 13 DSG, Art. 328b OR, Art. 45c FMG, Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, Zürich 2008.

Schulz Sebastian, Kommentierung zu Art. 7 DSGVO, in: Gola Peter/Heckmann Dirk, Datenschutz-Grundverordnung – Bundesdatenschutzgesetz, 3. Aufl., München 2022.

Spacek Dirk, Kommentierung zu Art. 7 DSG, in: Bieri Adrian/Powell Julian (Hrsg.), Orell Füssli Kommentar zum Schweizerischen Datenschutzgesetz mit weiteren Erlassen, Zürich 2023.

Steiner Thomas, Zwischen Autonomie und Angleichung: Eine Analyse zur Anwendung des neuen DSG im Lichte der DSGVO, in: Widmer Michael (Hrsg.), Datenschutz: Rechtliche Schnittstellen, Zürich 2023, S. 51-138.

Steiner Thomas/Laux Christian, Kommentierung zu Art. 30 und 31 DSG, in: Bieri Adrian/Powell Julian (Hrsg.), Orell Füssli Kommentar zum Schweizerischen Datenschutzgesetz mit weiteren Erlassen, Zürich 2023.

Streiff Ullin/von Kaenel Adrian/Rudolph Roger, Arbeitsvertrag, Praxiskommentar zu Art. 319-362 OR, 7. Aufl., Zürich 2012.

Uttinger Ursula/Geiser Thomas, Das neue Datenschutzrecht, Basel 2023.

Vasella David, Kommentierung zu Art. 3 Abs. 1 lit. o UWG, in: Heizmann Reto/Loacker Leander D., UWG Kommentar, Zürich et al. 2018.

Vasella David, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, Jusletter 16.11.2015 (zit. Einwilligung).

Vasella, EDÖB: Schlussbericht und Empfehlungen iS Once Dating, datenrecht.ch, 19.6.2023, abrufbar unter https://datenrecht.ch/edoeb-schlussbericht-und-empfehlungen-is-once-dating, besucht am 14.10.2023 (zit. Once Dating).

MATERIALIENVERZEICHNIS

Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15.7.2017, BBl 2017 S. 6941 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/2017/2057/de, besucht am 14.10.2023 (zit. Botschaft 2017).

Botschaft zur Änderung des Bundesgesetzes über den Datenschutz (DSG) und zum Bundesbeschluss betreffend den Beitritt der Schweiz zum Zusatzprotokoll vom 8.11.2001 zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Aufsichtsbehörden und grenzüberschreitende Datenübermittlung vom 19.2.2003, BBl 2003 S. 2101 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/2003/267/de, besucht am 14.10.2023 (zit. Botschaft 2003).

Botschaft zum Bundesgesetz über den Datenschutz (DSG) vom 23.3.1988, BBl 1988 II S. 413 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/1988/2_413_421_353/de, besucht am 14.10.2023 (zit. Botschaft 1988).

Bundesgesetz über die Umsetzung der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (Weiterentwicklung des Schengen-Besitzstands), BBl 2017 S. 7193 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/2017/2058/de, besucht am 14.10.2023 (zit. Entwurf DSG).