In Kürze

Art. 20 DSG enthält eine Reihe von Erleichterungen von der Informationspflicht: Zum einen Ausnahmen, bei denen die Informationspflicht vollständig entfällt, z.B. wenn die betroffene Person bereits über die entsprechenden Informationen verfügt oder die Bearbeitung in Erfüllung einer gesetzlichen Pflicht erfolgt. Zum anderen enthält die Bestimmung Einschränkungen, bei denen die Informationspflicht fortbesteht, die Information aber im Einzelfall eingeschränkt, aufgeschoben oder ausgesetzt werden kann, z.B. wenn eine Information den Zweck der Bearbeitung vereiteln würde oder überwiegende Interessen einer Information entgegenstehen. Art. 20 DSG dient als Korrektiv zu einer umfassenden Informationspflicht und sorgt dafür, dass die Informationspflicht für Verantwortliche nicht zu einer übermässigen Belastung wird und auf Fälle beschränkt bleibt, wo sie für den Schutz betroffener Personen erforderlich ist.

I. Allgemeines

A. Normzweck

1 Art. 20 DSG normiert eine Reihe von Erleichterungen von der Informationspflicht. Die Bestimmung soll sicherstellen, dass die Informationspflicht dort gilt, wo sie für eine transparente Datenbearbeitung und den Schutz betroffener Personen erforderlich ist, während sie in Fällen, in denen sie überflüssig oder unverhältnismässig wäre, nicht zur Anwendung kommt. Sie ist Ausdruck des gesetzgeberischen Bemühens, einen Interessenausgleich zu finden und gezielt Erleichterungen zu schaffen. Im Vergleich zur DSGVO

ist der Ausnahmekatalog von Art. 20 DSG recht umfangreich.

B. Entstehungsgeschichte

2 Art. 20 DSG bündelt die im alten Recht über verschiedene Artikel verteilten Ausnahmen und Einschränkungen (Art. 9, Art. 14 Abs. 4 und 5, Art. 18a und Art. 18b aDSG) und ergänzt sie moderat. Art. 20 DSG blieb in den parlamentarischen Beratungen im Grundsatz unbestritten, wobei die Ausnahme bei unverhältnismässigem Aufwand von Teilen des Parlaments als zu weitgehend angesehen wurde. Hinzugefügt wurde in den parlamentarischen Beratungen das Konzernprivileg gem. Art. 20 Abs. 4 DSG.

C. Systematik

3 Die Bestimmung unterscheidet einerseits Ausnahmen, bei denen die Informationspflicht ganz wegfällt, und andererseits Einschränkungen, bei denen die Informationspflicht grundsätzlich weiterbesteht, der Verantwortliche die Information im Einzelfall aber einschränken, aufschieben oder aussetzen kann. Art. 20 DSG findet sowohl auf private Verantwortliche als auch auf Bundesorgane Anwendung, differenziert bei den einzelnen Ausnahmen und Einschränkungen z.T. aber zwischen Privaten und Bundesorganen.

4 Die in Art. 20 DSG enthaltenen Ausnahmen und Einschränkungen sind abschliessend. Eine Verletzung der Informationspflicht kann auch nicht nach Art. 31 DSG gerechtfertigt werden, da die Informationspflicht von Art. 19 DSG öffentlich-rechtlicher Natur ist und nicht eine Konkretisierung der Bearbeitungsgrundsätze gem. Art. 6 DSG.

D. Auslegungshinweise

5 Die Ausnahmetatbestände von Art. 20 DSG gehen z.T. recht weit und umfassen auch Fälle, in denen zwar Erkennbarkeit der Datenbearbeitung gegeben ist (gesetzliche Grundlage, Abs. 1 lit. b) oder die Vertraulichkeit der bearbeiteten Personendaten gewährleistet ist (gesetzliche Geheimhaltungspflicht, Abs. 1 lit c), das von der Informationspflicht geschützte Informationsbedürfnis der betroffenen Person aber unerfüllt bleibt. Es ist deshalb angebracht, die Tatbestände eher eng auszulegen und in Einklang mit dem Zweck der Informationspflicht zu bringen.

II. Ausnahmen (Abs. 1 und 2)

A. Allgemeines

6 Art. 20 DSG legt in Abs. 1 und 2 insgesamt sechs Situationen fest, in denen der Verantwortliche von der Pflicht zur Information betroffener Personen vollständig entbunden ist. In diesen Situationen muss die betroffene Person auch nicht über die Anwendbarkeit der Ausnahme selbst informiert werden.

Ihr bleibt nur die Ausübung des Auskunftsrechts, wobei die betroffene Person bei Unkenntnis der Datenbearbeitung aber häufig gar keinen Anlass hat, Auskunft über ihre Daten zu verlangen, und das Auskunftsrecht seinerseits ähnlichen Beschränkungen unterliegt (Art. 26 DSG).

B. Vorkenntnis der Informationen (Abs. 1 lit. a)

7 Die Informationspflicht entfällt, wenn die betroffene Person bereits über die entsprechenden Informationen verfügt. Betroffene müssen nicht über Sachen informiert werden, die sie schon wissen, was einleuchtet. Eine vergleichbare Ausnahme von der Informationspflicht findet sich auch in der DSGVO.

Im alten DSG war die Ausnahme noch etwas enger gefasst und bezog sich auf den Informationsvorgang und nicht auf das Vorhandensein der Information an sich (Art. 14 Abs. 4 und Art. 18a Abs. 3 aDSG: «wenn die betroffene Person bereits informiert wurde»).

8 Die Ausnahme bedeutet zunächst, dass betroffene Personen bei späteren Datenbeschaffungen nicht erneut informiert werden müssen, wenn sie schon anlässlich einer früheren Beschaffung informiert wurden.

Voraussetzung ist, dass die Beschaffungen sachlich zusammenhängen und zeitlich nicht zu weit auseinanderliegen. Zu denken ist etwa an einzelne Bestellungen in einem Onlineshop, wenn anlässlich der Kontoerstellung bereits informiert wurde, oder an medizinische Nachbehandlungen, wenn bereits im Zusammenhang mit der Erstbehandlung eine Information erfolgte.

9 Ein weiterer Anwendungsfall der Ausnahme liegt vor, wenn die betroffene Person in eine Datenbearbeitung eingewilligt hat, da eine gültige Einwilligung nach Art. 6 Abs. 6 DSG definitionsgemäss eine hinreichende Information voraussetzt.

Die von Art. 19 DSG verlangten Informationen können also auch mittels Einwilligungserklärung mitgeteilt werden.

10 Unter die Ausnahme sollen gem. Botschaft sodann auch Situationen fallen, in denen die betroffene Person ihre Personendaten dem Verantwortlichen ohne dessen Zutun zustellt.

Das geht recht weit, da die Kenntnis der betroffenen Person hier auf die Tatsache der Beschaffung beschränkt bleibt. Es besteht aber ein legitimes Informationsinteresse an weiteren Umständen der Datenbearbeitung, in dem von der Botschaft genannten Beispiel einer Stellenbewerbung etwa daran, ob (und wie lange) die Bewerbungsunterlagen auch für künftige Stellen vorgehalten werden, an wen sie ggf. weitergegeben werden und wo sie gespeichert werden.

11 Unter die Ausnahme werden schliesslich auch Fälle subsumiert, in denen feststeht, dass die betroffene Person auf die Informationen gem. Art. 19 DSG verzichtet hat oder sie kein Interesse an der Information hat.

Das muss aber auf klare Fälle beschränkt bleiben und ist jedenfalls nicht schon dann anzunehmen, wenn die betroffene Person ihre Personendaten öffentlich zugänglich gemacht hat (z.B. auf einem Social Media Profil).

C. Gesetzlich vorgeschriebene Bearbeitungen (Abs. 1 lit. b)

12 Die Informationspflicht entfällt auch, wenn die Datenbearbeitung gesetzlich vorgesehen ist. Die Überlegung ist, dass in diesen Fällen bereits der Gesetzgeber die Eckpunkte der Datenbearbeitung unter Abwägung der verschiedenen Interessen definiert hat und die Information Betroffener deshalb keinen wesentlichen zusätzlichen Schutz bieten würde. Die DSGVO enthält eine ähnliche Ausnahme, jedoch beschränkt auf den Fall einer indirekten Beschaffung und geknüpft an die Bedingung, dass die Gesetzesnorm die Datenbearbeitung ausdrücklich regelt und geeignete Massnahmen zum Schutz berechtigter Interessen von betroffenen Personen vorsieht.

13 Um unter die Ausnahme zu fallen, muss entweder die Datenbearbeitung selbst vom Gesetz vorgeschrieben sein oder die Datenbearbeitung muss für die Erfüllung einer gesetzlichen Pflicht unentbehrlich sein. Mit Bezug auf private Verantwortliche genügt eine hinreichend präzise Grundlage in einem Gesetz im materiellen Sinn.

Für Bundesorgane gilt der Massstab von Art. 34 DSG und ein Gesetz im formellen Sinn ist erforderlich, wenn es um die Bearbeitung von besonders schützenswerten Personendaten geht, Profiling durchgeführt wird, oder wenn es sich um einen schwerwiegenden Eingriff in die Grundrechte handelt.

14 Vom Gesetz verlangte Datenbearbeitungen sind in der Rechtsordnung zahlreich und die Ausnahme hat deshalb grosse praktische Bedeutung. Als Beispiele können genannt werden: Führung des Aktienbuches sowie Einberufung und Durchführung der Generalversammlung bei Aktiengesellschaften;

Identifizierungspflichten und Feststellung der wirtschaftlich berechtigten Person zwecks Geldwäschereibekämpfung; gesundheitspolizeiliche Meldepflichten im Zusammenhang mit übertragbaren Krankheiten; Lohnzahlung und Zeugniserstellung durch den Arbeitgeber im Arbeitsverhältnis; steuer- sowie sozialversicherungsrechtliche Abrechnungspflichten.

15 Die Ausnahme kann auch dann beansprucht werden, wenn der Verantwortliche die gesetzliche Pflicht selbst herbeigeführt hat, z.B. geldwäschereirechtliche Identifizierungspflichten durch Anbahnung der Geschäftsbeziehung oder arbeitsrechtlich indizierte Bearbeitungen durch Abschluss des Arbeitsvertrages.

16 Geht die Datenbearbeitung über die gesetzliche Pflichtvorgabe hinaus (sollen z.B. zwecks Pandemiebekämpfung erfasste Daten auch für Marketingzwecke verwendet werden), findet die Ausnahme keine Anwendung und es ist zu informieren.

Ebenfalls nicht von der Informationspflicht ausgenommen sind Datenbearbeitungen, die nur auf allgemeiner Ebene in einem gesetzlich bestimmten Rahmen ablaufen, aber freiwillig erfolgen. Im Mitarbeitendenbereich ist deshalb regelmässig eine Information erforderlich, z.B. in Form einer Mitarbeitenden-Datenschutzerklärung. Auch wenn der von Art. 328b OR gesetzte Rahmen nicht überschritten wird, gehen Datenbearbeitungen im Mitarbeitendenbereich meist über das hinaus, was vom Gesetz effektiv vorgeschrieben ist.

17 Bei Bundesorganen erfolgt die Bearbeitung von Personendaten aufgrund von Art. 34 DSG in den meisten Fällen auf Basis einer gesetzlichen Grundlage. Die entsprechenden Gesetzesbestimmungen sind jedoch häufig recht allgemein gehalten und können die mit der Informationspflicht angestrebte Transparenz oft nicht alleine gewährleisten.

Richtiger Ansicht nach entbindet Abs. 1 lit. b Bundesorgane deshalb nur dann von der Informationspflicht, wenn die Datenbearbeitung vom Gesetz ausdrücklich vorgesehen und ausreichend präzise umschrieben ist. Als Beispiel für eine im Gesetz präzise umschriebene Datenbearbeitung kann Art. 69f und 69g RTVG i.V.m. Art. 67 und 67a RTVV genannt werden. Bundesorgane gestützt auf Abs. 1 lit. b bei jeder auf Gesetz beruhenden Bearbeitung von der Informationspflicht auszunehmen, würde die Transparenz bundesstaatlicher Datenbearbeitungen hingegen übermässig strapazieren und die Anwendbarkeit von Art. 19 DSG auf Bundesorgane an sich sowie die in Art. 20 Abs. 3 DSG speziell für Bundesorgane vorgesehenen Einschränkungen weitgehend obsolet machen.

D. Gesetzliche Geheimhaltungspflichten (Abs. 1 lit. c)

18 Von der Informationspflicht befreit sind natürliche Personen, die einer gesetzlichen Geheimhaltungspflicht unterstehen. Zu denken ist v.a. an die in Art. 321 StGB genannten Berufsgruppen wie z.B. Geistliche, Anwältinnen, Apotheker und Ärztinnen. Die Ausnahme gilt nur (aber immerhin) für den geheimnisgeschützten Tätigkeitsbereich, nicht aber für allfällige weitere Tätigkeiten einer dieser Berufsgruppen angehörigen Person. Wenn die Anwältin oder Hausärztin also z.B. Personendaten für die Kundenakquisition (Einladung zu Veranstaltungen oder Versand von Kundeninformationen) oder für die Bereitstellung ihrer Webseite bearbeitet, untersteht sie für diese Tätigkeiten der Informationspflicht.

19 Nicht unter die Ausnahme fällt die juristische Person, bei der die geheimhaltungspflichtige Person ggf. angestellt ist oder für die sie tätig ist. Eine Anwaltskörperschaft oder ein Ärztezentrum muss deshalb auch über Datenbearbeitungen im geheimnisgeschützten Tätigkeitsbereich informieren (z.B. über Anwaltsleistungen im Monopolbereich oder über Gesundheitsleistungen). Auch auf Bundesorgane findet die Ausnahme keine Anwendung.

20 Gem. Botschaft

wird mit der Ausnahme gem. Abs. 1 lit. c ein möglicher Normenkonflikt zwischen Geheimhaltungspflicht und Informationspflicht geregelt, was aber nicht überzeugt: Auch im geheimnisgeschützten Tätigkeitsbereich würden durch die Bereitstellung der in Art. 19 DSG verlangten Angaben keine personenbezogenen Daten offengelegt und somit auch keine Geheimnisse offenbart. Ein Anwalt könnte z.B. ohne weiteres in allgemeiner Weise darüber informieren, dass die in einer Rechtsschrift enthaltenen Personendaten an die Gegenpartei und das zuständige Gericht übermittelt werden. Gleichermassen könnte eine Ärztin über die Weitergabe von Personendaten an die Krankenversicherung zu Abrechnungszwecken informieren. Das Berufsgeheimnis wäre in solchen Fällen nicht tangiert. Sollte im Einzelfall dennoch ein Konflikt bestehen, könnte dieser auch über eine der in Abs. 3 vorgesehenen Einschränkungen (z.B. bei überwiegenden Interessen) gelöst werden.

21 Die pauschale Ausnahme von der Informationspflicht für geheimhaltungsverpflichtete Personen erstaunt auch deshalb, weil bei Geltung einer gesetzlichen Geheimhaltungspflicht zwar die Vertraulichkeit der bearbeiteten Personendaten gewährleistet ist, das von der Informationspflicht geschützte Informationsbedürfnis damit aber nicht ohne weiteres entfällt. Bspw. bleibt offen, für welche Zwecke der Geheimnisträger die Personendaten bearbeitet, z.B. ob die Ärztin oder der Anwalt auch Profiling betreibt und die erhobenen Daten für Marketingzwecke nutzt.

22 Die DSGVO enthält eine vergleichbare Ausnahme für den Fall, dass die erhobenen Personendaten einem Berufsgeheimnis unterstehen.

Sie ist zugleich weiter und enger als die Ausnahme des DSG: Die Ausnahme der DSGVO ist nicht auf private Personen beschränkt, gilt dafür aber nur im Fall einer indirekten Beschaffung.

E. Medienprivileg (Abs. 1 lit. d)

23 Eine weitere Ausnahme betrifft die Recherchetätigkeit von Medien im Hinblick auf die Publikation einer journalistischen Arbeit und den Quellenschutz. Unter den gleichen Voraussetzungen, nach denen eine Auskunft verweigert werden kann, kann auch auf eine Information verzichtet werden: Art. 20 Abs. 1 lit. d DSG verweist auf Art. 27 DSG.

Die Ausnahme schützt die Informations- und Kontrollfunktion von Medien. Müssten Personen, die den Gegenstand einer investigativen Recherche bilden, darüber informiert werden, und Informationsquellen offengelegt werden, würde die journalistische Arbeit verunmöglicht und Medien könnten die ihnen zugedachte demokratische Funktion nicht erfüllen.

24 Die Ausnahme von Abs. 1 lit. d steht nur bei Bearbeitungen von Personendaten im Hinblick auf die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums (z.B. einer Zeitung oder eines Onlinemagazins) zur Verfügung. Für sog. «Advertorials» und andere Veröffentlichungen mit überwiegendem Werbecharakter kann die Ausnahme ebenso wenig geltend gemacht werden wie für Recherchetätigkeiten im Hinblick auf einen Dokumentarfilm oder ein anderes nicht-periodisches Medium. Ggf. kann bei solchen Recherchetätigkeiten aber auf einen anderen Ausnahme- oder Einschränkungsgrund zurückgegriffen werden, z.B. auf Art. 20 Abs. 3 lit. b DSG (Zweckvereitelung).

F. Unmöglichkeit der Information (Abs. 2 lit. a)

25 Werden Personendaten nicht direkt bei der betroffenen Person, also indirekt beschafft, entfällt die Informationspflicht auch dann, wenn die Information nicht möglich ist. In Fällen direkter Beschaffung steht die Ausnahme nicht zur Verfügung, was folgerichtig ist. Denklogisch kann nicht die direkte Datenerhebung bei der betroffenen Person möglich, ihre Information aber unmöglich sein.

26 Unmöglichkeit, die Information durchzuführen, liegt z.B. vor, wenn die betroffene Person gar nicht identifiziert werden kann. In dem in der Botschaft

genannten Beispiel des Fotos einer Unbekannten darf dies angesichts heutiger technologischer Möglichkeiten aber nicht ohne weiteres angenommen werden. Die Ausnahme hat auch sonst kaum praktische Relevanz: Bei Unmöglichkeit der Identifikation fehlt es dogmatisch meist schon am Personenbezug der betreffenden Daten und die Frage der Informationspflicht stellt sich gar nicht erst.

G. Unverhältnismässiger Aufwand (Abs. 2 lit. b)

27 Die Informationspflicht entfällt schliesslich, wenn Personendaten indirekt beschafft werden und die Information der betroffenen Personen einen unverhältnismässigen Aufwand erfordern würde. Wiederum kann die Ausnahme bei direkter Beschaffung nicht beansprucht werden. Wer Personendaten direkt bei der betroffenen Person erhebt, dem ist zuzumuten, sie über die Beschaffung zu informieren.

28 Welcher Aufwand noch verhältnismässig ist, ist im Einzelfall zu bestimmen und richtet sich nach dem Aufwand des Verantwortlichen gemessen am Informationsinteresse der betroffenen Personen.

Massgeblich ist dabei nicht das konkrete Informationsinteresse einzelner Personen, sondern ein generalisiertes Informationsinteresse. Je sensibler die bearbeiteten Daten, je umfangreicher die Bearbeitung, je kritischer die Modalitäten der Bearbeitung, je grösser die Kritikalität des Bearbeitungszwecks und je neuartiger die für die Bearbeitung eingesetzten Technologien sind, desto grössere Aufwände können dem Verantwortlichen zugemutet werden.

29 Die Botschaft nennt als Beispiel für einen unverhältnismässigen Aufwand die Bearbeitung von Personendaten zu Archivzwecken.

Bei einer grossen Anzahl von Personen wäre die Information mit einem hohen Aufwand verbunden, während sich das Informationsinteresse der Betroffenen in solchen Fällen regelmässig in Grenzen halten dürfte. Die analoge Ausnahmebestimmung in der DSGVO nennt als weitere Beispiele die Bearbeitung für wissenschaftliche oder historische Forschungszwecke sowie für statistische Zwecke. Unverhältnismässig kann die Information betroffener Personen auch dann sein, wenn sehr grosse Datenmengen für das Training von Large Language Models und ähnlichen KI-Modellen verwendet werden, z.B. wenn die Künstliche Intelligenz mit dem «ganzen Internet» trainiert wird. In der Praxis empfiehlt es sich, jeweils zu dokumentieren, aus welchen Überlegungen eine Information betroffener Person nicht mehr als verhältnismässig eingeschätzt wird.

30 Der Tatbestand von Abs. 2 lit. b ist als Ausnahme konzipiert, eine Einschränkung hätte aber besser gepasst. Ist eine Information z.B. wegen der grossen Anzahl betroffener Personen unverhältnismässig, erscheint ein vollständiges Auslassen der Information nicht angebracht. Ein milderes (und naheliegendes) Mittel wäre in solchen Fällen die Bereitstellung einer Datenschutzerklärung auf der Webseite des betreffenden Unternehmens unter Verzicht auf eine individuelle Benachrichtigung.

III. Einschränkungen

A. Allgemeines

31 Art. 20 DSG enthält in Abs. 3 insgesamt fünf Konstellationen, in denen die Information eingeschränkt, aufgeschoben oder ausgesetzt werden kann. Anders als bei den Ausnahmen gem. Abs. 1 und 2, entfällt die Informationspflicht in diesen Fällen nicht vollständig und die Information darf jeweils nur so weit eingeschränkt werden, als es der entsprechende Grund im Einzelfall erfordert.

Fällt der Grund für die Einschränkung nachträglich weg, muss die Information nachgeholt werden. Wie bei den Ausnahmen muss die betroffene Person auch bei den Einschränkungen gem. Abs. 3 nicht über die Anwendung und den Umfang der Einschränkung in Kenntnis gesetzt werden, und ihr bleibt auch hier einzig die Geltendmachung des Auskunftsrechts.

32 Die Möglichkeiten zur Einschränkung der Information basieren grossteils auf einer Interessenabwägung, bei der der konkrete Anlass für eine Einschränkung mit dem Informationsbedürfnis der betroffenen Personen ins Verhältnis zu setzen ist.

Demgegenüber geht bei den Ausnahmen meist aus dem Vorliegen eines bestimmten Sachverhalts (z.B. dass die betroffene Person bereits über die Information verfügt) hervor, ob von der Ausnahme Gebrauch gemacht werden kann oder nicht.

B. Überwiegende Interessen Dritter (Abs. 3 lit. a)

33 Eine Möglichkeit zur Einschränkung der Information besteht, wenn diese aufgrund überwiegender Interessen Dritter erforderlich ist. Die Formulierung «Dritter» in Abs. 3 lit. a ist dabei nicht ausschliesslich im Plural zu verstehen und es genügt auch das überwiegende Interesse einer einzelnen Drittperson, um die Information einschränken zu können. Diese Einschränkungsmöglichkeit besteht sowohl für private Verantwortliche als auch für Bundesorgane.

34 Die Einschränkung kann in Fällen genutzt werden, in denen Drittpersonen ein Interesse am Ausbleiben der Information an die betroffene Person haben, und dieses Interesse das Informationsbedürfnis der betroffenen Person überwiegt.

Dies ist vor allem in Konstellationen denkbar, in denen die betroffene Person durch die Information auch Angaben zu Drittpersonen erlangen würde und dadurch deren Geheimhaltungsinteressen beeinträchtigt würden. In der Praxis dürften solche Konstellationen aber nur selten vorkommen, da mit der Information als solches in der Regel keine personenbezogenen Daten offengelegt werden.

C. Vereitelung des Zwecks (Abs. 3 lit. b)

35 Ebenfalls möglich ist die Einschränkung der Information für private Verantwortliche sowie Bundesorgane dann, wenn durch die Information der mit der Datenbearbeitung verfolgte Zweck vereitelt wird. Art. 20 Abs. 3 lit. b DSG lässt offen, ob eine blosse Beeinträchtigung des Bearbeitungszwecks für eine Einschränkung der Information bereits ausreicht oder ob eine vollständige Verhinderung gegeben sein muss. Gem. Botschaft sind die Bestimmungen in Art. 20 Abs. 3 DSG restriktiv auszulegen,

weswegen davon auszugehen ist, dass die Vereitelung vollständig sein muss.

36 Bei mehreren mit einer Datenbearbeitung verfolgten Zwecken muss die Information an die betroffene Person den eigentlichen Hauptzweck vereiteln, dem gem. Botschaft zudem eine erhebliche Bedeutung zukommen muss.

Die Möglichkeit zur Einschränkung der Information wird auch dadurch weiter eingeschränkt, dass rein wirtschaftliche Interessen generell nicht in den Anwendungsbereich der Einschränkung gem. Abs. 3 lit. b fallen. In der Praxis wird es deshalb nur wenige Fälle geben, bei denen private Verantwortliche von dieser Einschränkung Gebrauch machen können. Breiter sind die Anwendungsmöglichkeiten bei Bundesorganen, v.a. im Bereich der Strafverfolgung, wobei hier aber meist auch die Einschränkungsmöglichkeit von Abs. 3 lit. d Ziff. 2 greifen dürfte.

37 Ein Anwendungsbeispiel für die Einschränkung sind Recherchetätigkeiten im Zusammenhang mit investigativem Journalismus, die nicht unter die Ausnahme von Art. 20 Abs. 1 lit. d DSG fallen, z.B. weil die Recherche für eine Dokumentation und nicht für ein periodisch erscheinendes Medium erfolgt.

Ein Aussetzen der Information gestützt auf Abs. 3 lit. b kann auch dann gerechtfertigt sein, wenn im Rahmen einer Beweissicherung für einen späteren Prozess Personendaten bearbeitet werden und die Information der betroffenen Person die Erhebung des Beweismaterials verunmöglichen würde. Ebenso denkbar ist das Aufschieben der Information bei der Durchführung von Verhaltensstudien, in denen die betroffenen Personen ein möglichst natürliches Verhalten zeigen sollen und eine Information vor Durchführung der Studie die Ergebnisse verfälschen würde. Auch im Fall einer gerechtfertigten Beschattung einer Person durch einen Privatdetektiv würde ihr Zweck durch die Information an die beobachtete Person vereitelt.

D. Überwiegende Interessen des Verantwortlichen (Abs. 3 lit. c)

38 Die Möglichkeit zur Einschränkung der Information aufgrund überwiegender Interessen des Verantwortlichen steht nur privaten Verantwortlichen offen. Bundesorgane können sich nicht auf diese Möglichkeit beziehen.

39 Im Unterschied zu Abs. 3 lit. b kommen hier auch wirtschaftliche Interessen wie z.B. Absatzförderung oder Produktentwicklungin Frage.

Da sich die Einschränkungsmöglichkeit nur an private Verantwortliche richtet, wird es in vielen Fällen um genau solche wirtschaftlichen Interessen gehen. Der tatsächlichen Einschränkung der Information muss aber eine Abwägung zwischen den Interessen des Verantwortlichen und dem Informationsbedürfnis der betroffenen Personen vorausgehen. Es handelt sich um einen recht offenen Massstab und für Verantwortliche ist es deshalb ratsam zu dokumentieren, warum die eigenen Interessen überwiegen.

40 Voraussetzung für eine Einschränkung der Information nach Abs. 3 lit. c ist ausserdem, dass keine Datenbekanntgabe an Dritte erfolgt. Damit sind Bekanntgaben an selbständige Verantwortliche gemeint, z.B. an Kooperationspartner oder Werbenetzwerke, aber auch Behörden fallen darunter.

Unschädlich sind hingegen Bekanntgaben an Auftragsbearbeiter, die die Datenbearbeitung weisungsgebunden im Auftrag des Verantwortlichen durchführen, sowie an gemeinsam Verantwortliche. Wenn auch Bekanntgaben an Auftragsbearbeiter und gemeinsam Verantwortliche erfasst sein sollen, spricht das DSG i.d.R. von «Empfängern» statt von «Dritten».

41 Ebenfalls unschädlich sind gem. Abs. 4 generell Datenbekanntgaben an Konzerngesellschaften, und zwar auch dann, wenn es sich beim konzerninternen Empfänger seinerseits um einen eigenen Verantwortlichen handelt. Bei der Weitergabe von Personendaten innerhalb des eigenen Konzerns, etwa im HR-Bereich, sind die Voraussetzungen für die Einschränkungsmöglichkeit also weiterhin gegeben. Dieses Konzernprivileg war im Gesetzesentwurf ursprünglich nicht vorgesehen und wurde während der parlamentarischen Beratungen hinzugefügt. Zum Ausschluss der Einschränkungsmöglichkeit von Abs. 3 lit. c führen folglich nur Bekanntgaben an separate Verantwortliche ausserhalb des eigenen Konzernverbunds.

42 Abs. 3 lit. c bietet für die praktische Anwendung einen erheblichen Spielraum für eine Einschränkung der Information, da ein überwiegendes Interesse des Verantwortlichen für eine Vielzahl von Datenbearbeitungen vorgebracht werden kann. Regelmässig anzunehmen sind überwiegende Interessen z.B. bei niederschwelligen Datenbearbeitungen wie einfachen Kundenbindungsmassnahmen, bei denen die Umstände sowie die Art und Weise der Datenbearbeitung offensichtlich sind und eine umfassende Information für betroffene Personen deshalb keinen Mehrwert hätte.

E. Überwiegende öffentliche Interessen (Abs. 3 lit. d Ziff. 1)

43 Für Bundesorgane ist es möglich, eine Information einzuschränken, wenn dies erforderlich ist, um überwiegende öffentliche Interessen zu schützen. Für private Verantwortliche besteht keine Möglichkeit, eine Einschränkung der Information auf Abs. 3 lit. d zu stützen.

44 Was als öffentliches Interesse zu verstehen ist, ist recht breit gefasst. Die Norm nennt exemplarisch Interessen der inneren oder äusseren Sicherheit der Schweiz, was insb. im Kontext nachrichtendienstlicher Tätigkeiten relevant sein kann. Öffentliche Interessen sind aber auch dann tangiert, wenn es z.B. um die Einhaltung völkerrechtlicher Verpflichtungen, diplomatische Zwecke oder die Beziehungspflege mit dem Ausland geht.

Ein Bundesorgan könnte also bspw. dann die Information einschränken, wenn die Mitteilung an die betroffenen Personen den aussenpolitischen Beziehungen mit einem anderen Land schaden würde.

45 Auch hier muss das öffentliche Interesse «überwiegen» und es ist somit eine Interessenabwägung erforderlich, damit ein Bundesorgan von der Einschränkungsmöglichkeit Gebrauch machen kann. Eine Abwägung, die das Informationsbedürfnis (einzelner) betroffener Personen nationalen Sicherheitsinteressen gegenüberstellt, dürfte aber häufig zugunsten der Einschränkungsmöglichkeit ausfallen.

F. Verfahrensgefährdung (Abs. 3 lit. d Ziff. 2)

46 Schliesslich sieht Abs. 3 lit. d Ziff. 2 noch eine Möglichkeit zur Einschränkung vor, wenn die Information dazu führen würde, dass eine Ermittlung, Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährdet würde. Auch diese Möglichkeit steht nur Bundesorganen offen und kann nicht von privaten Verantwortlichen genutzt werden. Private Verantwortliche müssen in Fällen einer Verfahrensgefährdung auf einen anderen Ausnahme- oder Einschränkungsgrund zurückgreifen.

47 Die Möglichkeit hat eine inhaltliche Nähe zur Einschränkung der Information, wenn diese den eigentlichen Zweck der Datenbearbeitung vereiteln würde. Anders als nach Abs. 3 lit. b, bei dem der Zweck tatsächlich vereitelt werden muss, reicht bei der Einschränkungsmöglichkeit nach Abs. 3 lit. d aber eine Gefährdung aus. Es ist also nicht erforderlich, dass sich die Gefährdung tatsächlich realisiert; das Risiko genügt.

Literaturverzeichnis

Bieri Adrian/Powell Julian, Informationspflicht nach dem totalrevidierten Datenschutzgesetz, AJP 2020, S. 1533 ff.

Bühlmann Lukas/Lagler Marion, Informationspflichten und Auskunftsrecht nach dem neuen Datenschutzrecht, SZW 2021, S. 16 ff.

Cottier Bertil, Transparence des traitements de données personnelles opérés par les organes fédéraux: un pas en avant, deux en arrière, SZW 2021, S. 65 ff.

Ettlinger Claudius, Die Informationspflicht gemäss neuem Datenschutzgesetz, in Jusletter IT 16. Dezember 2021.

Pärli Kurt/Flück Nathalie, Kommentierung zu Art. 19 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl., Bern 2023.

Rosenthal David, Das neue Datenschutzgesetz, in: Jusletter 16. November 2020.

Vasella David, Zu den Anforderungen an die Erfüllung der Informationspflicht nach dem revDSG, datenrecht.ch, 28. Oktober 2022, abrufbar unter https://datenrecht.ch/zu-den-anforderungen-an-die-erfuellung-der-informationspflicht-nach-dem-revdsg, besucht am 25.5.2023 (zit. Informationspflicht).

Materialienverzeichnis

Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15.7.2017, BBl 2017 S. 6941 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/2017/2057/de, besucht am 18.5.2023 (zit. Botschaft DSG).