In Kürze

Art. 25 DSG regelt das Auskunftsrecht der betroffenen Personen als «Grundpfeiler des Datenschutzrechts». Jede betroffene Person kann von Verantwortlichen Auskunft darüber verlangen, ob über sie Personendaten bearbeitet werden. Das Auskunftsrecht ist höchstpersönlich. Betroffene Personen können nicht im Voraus auf das Auskunftsrecht verzichten. Die Auskunft muss alle Angaben umfassen, die erforderlich sind, damit die betroffene Person ihre Rechte geltend machen und die Datenbearbeitung nachvollziehen kann. Der Mindestinhalt der Auskunft ist gesetzlich geregelt. Die Auskunft muss in einer verständlichen Form sowie grundsätzlich kostenlos und innert 30 Tagen erteilt werden. Bei der Bearbeitung durch eine Auftragsbearbeiterin oder einen Auftragsbearbeiter bleibt die oder der Verantwortliche auskunftspflichtig. Betroffene Personen verfügen über verschiedene rechtliche Möglichkeiten, um ihr Recht auf Auskunft durchzusetzen.

I. Allgemeines

A. Zweck

1 Das 4. Kapitel «Rechte der betroffenen Personen» umfasst das Auskunftsrecht (Art. 25 ff. DSG) und das mit dem DSG eingeführte Recht auf Datenherausgabe oder Datenübertragung (Art. 28 f. DSG; auch: Recht auf Datenportabilität). Das Auskunftsrecht lässt sich aus Art. 13 BV über den «Schutz der Privatsphäre» sowie aus Art. 8 EMRK über das «Recht auf Achtung des Privat‑ und Familienlebens» ableiten und ist ein «Grundpfeiler des Datenschutzrechts»

. Das Auskunftsrecht muss deshalb auch in Datenschutzklauseln in einem Vertrag (Art. 16 Abs. 2 lit. b DSG) und in spezifischen Garantien (Art. 16 Abs. 2 lit. c DSG) bei der Bekanntgabe von Personendaten ins Ausland ausdrücklich enthalten sein.

2 Das Auskunftsrecht ist ein zentraler Rechtsanspruch für betroffene Personen, um – in gewissen Grenzen – in Erfahrung zu bringen, welche Daten über sie von wem für welchen Zweck bearbeitet werden.

Betroffene Personen sollen mit dem Auskunftsrecht insbesondere prüfen können, ob ihre Daten im Einklang mit den datenschutzrechtlichen Grundsätzen (Art. 6 ff. DSG) bearbeitet werden. Das Auskunftsrecht soll damit eine Kontrollfunktion haben wie auch präventiv wirken.

3 Das Auskunftsrecht ermöglicht betroffenen Personen, ihr Recht auf informationelle Selbstbestimmung wahrzunehmen, sofern und soweit ein solches im DSG umgesetzt wurde.

Das Auskunftsrecht und die entsprechend erteilte Auskunft bilden häufig die Grundlage für die Wahrnehmung weiterer Rechtsansprüche betroffener Personen wie Berichtigung und Löschung (Art. 32 u. 41 DSG) oder Widerspruch (Art. 30 Abs. 2 lit. b DSG), letztlich zur Durchsetzung des Persönlichkeitsschutzes.

4 Das Auskunftsrecht gemäss Art. 25 ff. DSG ergänzt die Informationspflicht gemäss Art. 19 ff. und geht inhaltlich weiter. Betroffene Personen können eine Auskunft erhalten, die über das hinausgeht, worüber die oder der Verantwortliche informieren muss, womit die Transparenz erhöht wird.

5 Die drei Artikel zum Auskunftsrecht sind wie folgt strukturiert: Art. 25 DSG bestimmt, wer Auskunft verlangen kann und welche Auskunft Verantwortliche in welchem Rahmen erteilen müssen. Art. 26 DSG klärt, unter welchen Voraussetzungen das Auskunftsrecht eingeschränkt werden kann. Art. 27 DSG regelt, unter welchen Voraussetzungen das Auskunftsrecht im Zusammenhang mit Medien weiter eingeschränkt werden kann. In der Datenschutzverordnung konkretisieren Art. 16–19 DSV das Auskunftsrecht.

B. Entstehungsgeschichte

6 Art. 25 beruht auf dem bisherigen Art. 8 aDSG. Im Vergleich zu Art. 8 aDSG können Personen von allen Verantwortlichen (Art. 5 lit. j DSG) und nicht mehr nur vom «Inhaber einer Datensammlung» (Art. 3 lit. i i.V.m. Art. 8 Abs. 1 aDSG) Auskunft verlangen. Im Grossen und Ganzen wurden die bisherigen Bestimmungen zum Auskunftsrecht gemäss Art. 8 aDSG ff. beibehalten und stellenweise ergänzt.

7 Die Auskunftspflicht – aus Sicht der oder des Verantwortlichen das Gegenstück zum Auskunftsrecht der betroffenen Personen – ist nicht mehr auf bestimmte Angaben beschränkt (so insbesondere noch Art. 8 Abs. 2 aDSG), sondern es müssen jene Informationen mitgeteilt werden, welche erforderlich sind, damit die betroffene Person ihre Rechte gemäss DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist (Art. 25 Abs. 2 DSG). Gleichzeitig wird versucht, die unter dem aDSG «übliche missbräuchliche Nutzung des Auskunftsrechts zur Beweisbeschaffung» einzuschränken.

In der parlamentarischen Debatte wurde ausserdem insbesondere ergänzt, dass Auskunft über «die bearbeiteten Personendaten als solche» erteilt werden muss (Art. 25 Abs. 2 lit. b DSG).

II. Auskunftsrecht (Abs. 1)

8 Art. 25 Abs. 1 DSG statuiert das Auskunftsrecht in allgemeiner Weise. Jede natürliche Person kann verlangen, dass eine Verantwortliche oder ein Verantwortlicher Auskunft darüber erteilt, ob Personendaten (Art. 5 lit. a DSG) über sie bearbeitet werden.

Auskunftspflichtig sind verantwortliche Privatpersonen und verantwortliche Bundesorgane (Art. 5 lit. j DSG). Eine Begründung für oder ein Rechtsschutzinteresse an der geforderten Auskunft sind grundsätzlich nicht erforderlich. Bei Bundesorganen handelt es sich bei der Auskunftserteilung um eine Verfügung gemäss Art. 5 VwVG, womit eine Begründung und eine Rechtsmittelbelehrung gemäss Art. 35 VwVG erforderlich sind.

9 Das Auskunftsrecht ist höchstpersönlicher Natur und auf den Zugang zu eigenen Daten beschränkt.

Das Auskunftsrecht ist nicht übertragbar und nicht vererblich. Für urteilsunfähige Personen handelt der gesetzliche Vertreter (Art. 19c Abs. 2 ZGB).

10 Die betroffene Person, die Auskunft verlangt, muss sich von der oder dem Verantwortlichen mit angemessenen Massnahmen identifizieren lassen und beim Nachweis ihrer Identität mitwirken (Art. 16 Abs. 5 DSV). Ob die Identifizierung mit der Kopie eines amtlichen Ausweises angemessen ist, muss im Einzelfall beurteilt werden. Die Pflicht gemäss Art. 1 Abs. 1 aVDSG, wonach sich die betroffene Person über ihre Identität ausweisen muss, besteht nicht mehr. Je nach vorhandenen Daten über eine Person sind die Angaben in einem amtlichen Ausweis für die Identifizierung nicht geeignet. Bei Internet-Plattformen beispielsweise ist den Verantwortlichen häufig nur die E-Mail-Adresse oder eine Mobilfunk-Telefonnummer bekannt. In diesem Fall kann die Identifizierung auf diesem Weg erfolgen.

Das generelle Einfordern einer Ausweiskopie, allenfalls sogar beglaubigt, würde die datenschutzrechtlichen Grundsätze der Erforderlichkeit, Verhältnismässigkeit und Zweckbestimmtheit verletzen (Art. 6 Abs. Abs. 2, 3 u. 4 DSG).

11 Das Auskunftsgesuch einer betroffenen Person, ob Daten über sie bearbeitet werden, muss grundsätzlich schriftlich gestellt werden (Art. 16 Abs. 1 Satz 1 DSV). Die oder der Verantwortliche kann auch mündliche Auskunftsgesuche ermöglichen (Art. 16 Abs. 1 Satz 2 DSV). Das Auskunftsrecht wird damit potenziell etwas niederschwelliger ausgestaltet.

Der elektronische Weg ist dem schriftlichen Weg gleichgestellt (Art. 16 Abs. 3 DSV). Schriftlichkeit umfasst jede Form, die den Nachweis durch Text ermöglicht.

12 Die Auskunft über die bearbeiteten Daten erfolgt schriftlich oder in der Form, in der die Daten vorliegen (Art. 16 Abs. 2 Satz 1 DSV). Der elektronische Weg ist dem schriftlichen Weg gleichgestellt (Art. 16 Abs. 3 DSV). Die oder der Verantwortliche kann eine Einsicht an Ort und Stelle anbieten, welcher die betroffene Person aber nicht zustimmen muss (Art. 16 Abs. 2 Satz 2 DSV). Die oder der Verantwortliche kann die Auskunft mit dem Einverständnis der betroffenen Person auch mündlich erteilen (Art. 16 Abs. 2 Satz 3 DSV). Bei der Einsicht vor Ort besteht ein Anspruch auf Kopien.

Die Personendaten der betroffenen Person müssen bei der Auskunftserteilung vor dem Zugriff unberechtigter Dritter geschützt werden (Art. 8 DSG). Die oder der Verantwortliche darf in der gleichen Form antworten, in welcher die betroffene Person Auskunft verlangt hat, zum Beispiel mittels nicht ende-zu-ende-verschlüsselter E-Mail. Die Verschlüsselung von E-Mail ist häufig praxisfremd und nicht zweckmässig. Eine Alternative zu E-Mail kann Instant Messaging mit standardmässiger Ende-zu-Ende-Verschlüsselung sein, zum Beispiel mit Signal, Threema oder WhatsApp, sofern die betroffene Person, die Auskunft verlangt, einen solchen Instant Messaging-Dienst verwendet.

13 Beim elektronischen Weg wie insbesondere bei der Verwendung von E-Mail ist zu beachten, dass ein Auskunftsgesuch oder eine erteilte Auskunft auf elektronischem Weg ohne Empfangsbestätigung allenfalls nicht als zugestellt gelten kann.

Die Beweislast liegt bei der Absenderin oder beim Absender. Bei Internet-Plattformen kann angeboten werden, Auskunftsgesuche und Auskunftserteilung über die Plattform abzuwickeln. Den betroffenen Personen steht aber frei, schriftlich um Auskunft zu ersuchen.

14 Die Auskunft muss in einer für die betroffene Person verständlichen Form erteilt werden (Art. 16 Abs. 4 DSV). Die Verständlichkeit, zum Beispiel bei einem unüblichen oder nicht ohne Weiteres lesbaren Format der Daten, kann durch entsprechende Erläuterungen gewährleistet werden.

Die Verständlichkeit betrifft gemäss Wortlaut die Form und nicht den Inhalt der Auskunft.

III. Inhalt der Auskunft (Abs. 2)

15 Die Auskunft muss im Sinn einer Generalklausel gemäss Art. 25 Abs. 2 DSG jene Informationen umfassen, welche erforderlich sind, damit die betroffene Person ihre Rechte gemäss DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Wenn keine Personendaten vorhanden sind, muss eine Negativauskunft erteilt werden.

16 Unabhängig davon definiert Art. 25 Abs. 2 DSG einen Mindestkatalog von Informationen, die den betroffenen Personen mitgeteilt werden müssen: Identität und Kontaktdaten der oder des Verantwortlichen (lit. a, analog Art. 19 Abs. 2 lit. a DSG), bearbeitete Personendaten als solche (lit. b), Bearbeitungszweck (lit. c, analog Art. 19 Abs. 2 lit. b DSG), Aufbewahrungsdauer oder, sofern nicht möglich, Kriterien zur Festlegung der Aufbewahrungsdauer (lit. d), verfügbare Angaben über die Herkunft der Personendaten (Quelle), sofern sie nicht bei der betroffenen Person beschafft wurden, da die betroffene Person in diesem Fall bereits gemäss Art. 19 f. DSG informiert werden musste (lit. e), Vorliegen und Logik einer allfälligen automatisierten Einzelentscheidung gemäss Art. 21 DSG (lit. f) und allfällige Empfängerinnen und Empfänger (lit. f, analog Art. 19 Abs. 2 lit. c DSG). Inwiefern nicht aufgezählte Informationen von der oder dem Verantwortlichen erst auf Nachfrage mitgeteilt werden müssen oder von Anfang an ein Hinweis auf solche Informationen erfolgen muss, ist umstritten.

17 Bei der oder dem Verantwortlichen gemäss Art. 25 Abs. 2 lit. a ist allenfalls unklar, wer überhaupt verantwortlich ist, allenfalls zusammen mit anderen (Art. 5 lit. j DSG). Die Identität und die Kontaktdaten sind zu nennen oder, sofern schon bekannt, zu bestätigen. Wer ein Auskunftsgesuch erhält, wird – auch mit Blick auf die Generalklausel – der betroffenen Person mitteilen müssen, wenn keine ausschliessliche Verantwortlichkeit vorliegt oder wenn mangels Verantwortlichkeit keine Auskunft erteilt werden kann. Bei einer gemeinsamen Verantwortlichkeit ist die Auskunftserteilung unter den Verantwortlichen zu koordinieren, wobei betroffene Personen immer von einer oder einem Verantwortlichen in der Schweiz Auskunft verlangen können sollen, was gerade bei allfälligen weiteren Verantwortlichen im Ausland bedeutsam ist.

Bei mehreren Verantwortlichen ist jede oder jeder einzelne Verantwortliche auskunftspflichtig (Art. 17 Abs. 1 DSV). Wenn keine Verantwortlichkeit vorliegt, insbesondere bei einer Bearbeitung durch Auftragsbearbeiterinnen oder Auftragsbearbeiter (Art. 8 DSG), ist das Auskunftsgesuch der oder dem Verantwortlichen weiterzuleiten oder mindestens auf die Verantwortliche oder den Verantwortlichen hinzuweisen. Die Beweislast, dass eine Auskunft, die als vollständig bezeichnet wird, tatsächlich vollständig ist, trägt die oder der Verantwortliche. Verantwortliche werden normalerweise nicht den Eindruck erwecken wollen, die erteilte Auskunft sei vollständig, und sind auch nicht zu einer entsprechenden Bestätigung verpflichtet.

18 Gemäss Art. 25 Abs. 2 lit. b müssen nur die bearbeiteten Personendaten als solche geliefert werden, das heisst beispielsweise nicht einzelne Dokumente, E-Mails, Notizen oder Verträge als Ganzes, sondern nur darin enthaltene Personendaten. Unterlagen als Ganzes dürfen freiwillig geliefert werden, was in der Praxis je nach Daten für die Verantwortliche oder den Verantwortlichen einfacher sein kann. Das Auskunftsrecht kann nur bearbeitete Personendaten umfassen, die vom DSG erfasst werden (Art. 2 Abs. 2 DSG), also zum Beispiel keine Personendaten, die von natürlichen Personen ausschliesslich zum persönlichen Gebrauch bearbeitet werden (Art. 2 Abs. 2 lit. a DSG e contrario). Bei grossen Datenmengen, die bearbeitet werden, kann die oder der Verantwortliche eine Präzisierung von der betroffenen Person verlangen.

19 Auskunftsfähig sind nur «schriftlich bzw. ‹physisch› vorhandene, und deshalb auf Dauer objektiv einsehbare […], nicht aber bloss im Gedächtnis abrufbare Daten»

. «Unerheblich ist die Art der Speicherung oder die Bezeichnung» der Daten.

20 Das Recht auf Auskunft über Daten verstorbener Personen gemäss Art. 1 Abs. 7 aVDSG wurde nicht in das DSG oder in die DSV übernommen.

Die Bestimmung wurde in der Rechtsprechung zuletzt als bundesrechtswidrig qualifiziert.

21 Was als Personendatum im Sinn des Auskunftsrechts gilt, muss im Einzelfall beurteilt werden, gerade auch beim Kriterium der Bestimmbarkeit (Art. 5 lit. a DSG).

Massstab und gleichzeitig Einschränkung ist die Generalklausel: «Beim Datenschutzrecht geht es nur darum, einer betroffenen Person dabei zu helfen, ihre Datenschutzrechte (zumindest die einklagbaren Ansprüche) geltend machen zu können und eine (datenschutzrechtlich motivierte) Transparenz der Datenbearbeitung sicherzustellen». Das Auskunftsrecht soll insbesondere kein Mittel zur Beweisbeschaffung sein (vgl. N. 7 oben).

22 Der Bearbeitungszweck (Art. 25 Abs. 2 lit. c) entspricht jenem gemäss Informationspflicht (Art. 18 Abs. 2 lit. b DSG).

23 Die Aufbewahrungsdauer oder, sofern die Mitteilung einer Dauer nicht möglich ist, die Kriterien zur Festlegung dieser Dauer (Art. 25 Abs. 2 lit. d DSG) können Verantwortliche einem allenfalls vorhandenen Verzeichnis der Bearbeitungstätigkeiten entnehmen (Art. 12 Abs. 2 lit. e DSG). Als Kriterium wird mindestens auf den Grundsatz der Erforderlichkeit (Art. 6 Abs. 4 DSG) verwiesen werden müssen.

24 Bei der Herkunft gemäss Art. 25 Abs. 2 lit. e DSG können von der oder dem Verantwortlichen keine Abklärungen zur Herkunft von Daten verlangt werden.

25 Beim Vorliegen einer automatisierten Einzelentscheidung muss gemäss Art. 25 Abs. 1 lit. f DSG einerseits über diesen Umstand und andererseits über die Logik, auf der die Entscheidung beruht, Auskunft erteilt werden. Das Vorliegen an sich müsste der betroffenen Person aufgrund der Informationspflicht bei einer automatisierten Einzelentscheidung grundsätzlich bereits bekannt sein (Art. 21 Abs. 1 DSG; Ausnahmen gemäss Art. 21 Abs. 3 DSG). Die Logik, das heisst die Kriterien und die zugrundeliegenden Daten, muss die betroffene Person mit Verweis auf ihr Auskunftsrecht einfordern. Algorithmen können als Geschäftsgeheimnisse geschützt sein, doch müssen die Grundannahmen der Algorithmus-Logik genannt werden.

Bei «künstlicher Intelligenz» stösst das Auskunftsrecht in dieser Hinsicht an Grenzen, da die oder der Verantwortliche häufig nicht weiss (und auch nicht wissen kann), welche Personendaten wieso zum sichtbaren Ergebnis geführt haben.

26 Bei allfälligen Empfängerinnen und Empfängern gemäss Art. 25 Abs. 2 lit. g genügt die Bekanntgabe der Kategorien. Kategorien sind beispielsweise Behörden oder Konzerngesellschaften, während Namen nicht genannt werden müssen.

Dazu kommt die Auskunft über die Bekanntgabe ins Ausland gemäss Art. 19 Abs. 4 DSG.

IV. Sonderfälle

A. Auskunft durch Gesundheitsfachperson (Abs. 3)

27 Für Personendaten über die Gesundheit sieht Art. 25 Abs. 3 DSG vor, dass diese mit Einwilligung der betroffenen Person durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden können. Gesundheitsdaten sind besonders schützenswerte Personendaten gemäss Art. 5 lit. c Ziff. 2 DSG.

28 Die Bestimmung entspricht weitgehend Art. 8 Abs. 3 aDSG. Ergänzt wurde die erforderliche Einwilligung, um der betroffenen Person eine freie Wahl zu ermöglichen. Die Auskunft kann nicht mehr nur durch Ärztinnen und Ärzte, sondern durch alle Gesundheitsfachpersonen erteilt werden, die für den jeweiligen Fall qualifiziert sind.

Als Gesundheitsfachpersonen müssen insbesondere Medizinalpersonen mit Eintrag im Medizinalberuferegister (MedReg) gelten.

B. Bearbeitung durch Auftragsbearbeiterinnen oder Auftragsbearbeiter (Abs. 4)

29 Bei der Bearbeitung von Personendaten durch Auftragsbearbeiterinnen oder Auftragsbearbeiter (Art. 9 DSG) bleibt die oder der Verantwortliche auskunftspflichtig. Die Bestimmung entspricht dem ersten Satz des bisherigen Art. 8 Abs. 4 aDSG, dessen zweiter Satz ersatzlos gestrichen wurde.

30 Eine Auftragsbearbeiterin oder ein Auftragsbearbeiter, die oder der um Auskunft ersucht wird, ohne verantwortlich zu sein, hat das Auskunftsgesuch der oder dem bzw. den Verantwortlichen weiterzuleiten oder mindestens auf den oder die Verantwortlichen hinzuweisen.

Auftragsbearbeiterinnen und Auftragsbearbeiter müssen gemäss Art. 17 Abs. 2 DSV die oder den Verantwortlichen bei der Auskunftserteilung unterstützen, sofern sie nicht mit der Auskunftserteilung beauftragt wurden. Die oder der Verantwortliche wird die Auskunftserteilung im Vertrag mit der Auftragsbearbeiterin oder dem Auftragsbearbeiter (Auftragsbearbeitungsvertrag) regeln müssen (Art. 9 Abs. 1 lit. a DSG).

V. Modalitäten

A. Kein Verzicht auf Auskunftsrecht (Abs. 5)

31 Gemäss Art. 25 Abs. 5 DSG kann nicht im Voraus auf das Auskunftsrecht verzichtet werden. Die Bestimmung entspricht Art. 8 Abs. 6 aDSG.

B. Kostenlosigkeit der Auskunft (Abs. 6)

32 Die Auskunft muss gemäss Art. 25 Abs. 6 DSG grundsätzlich kostenlos erteilt werden. Die entsprechende Teil-Bestimmung von Art. 8 Abs. 5 aDSG («in der Regel […] kostenlos») wurde damit übernommen. Das Auskunftsrecht steht unter der Annahme, dass die Auskunftserteilung bei einer gesetzes- und verordnungskonformen Datenbearbeitung in aller Regel ohne grossen Aufwand möglich ist.

33 Der Bundesrat erhält die Kompetenz, Ausnahmen von der Kostenlosigkeit vorzusehen, «namentlich wenn der Aufwand unverhältnismässig ist». Der Bundesrat hat mit Art. 19 DSV von dieser Kompetenz Gebrauch gemacht.

34 Die Auskunftserteilung kann bei einem unverhältnismässigen Aufwand ausnahmsweise von einer angemessenen Kostenbeteiligung von bis zu 300 Franken abhängig gemacht werden (Art. 19 Abs. 1 u. 2 DSV).

35 Kein unverhältnismässiger Aufwand liegt vor, wenn über viele Personendaten Auskunft erteilt werden muss, weil die oder der Verantwortliche im eigenen Interesse (möglichst) viele Daten sammelt. Das Gleiche gilt, wenn sich der unverhältnismässige Aufwand durch eine mangelhafte Organisation der oder des Verantwortlichen ergibt.

Bei Auskunftsgesuchen an die Stiftung meineimpfungen nach der Einstellung der Internet-Plattform meineimpfungen.ch empfahl der EDÖB den betroffenen Personen, die um Auskunft ersucht hatten, die Gebühren für beglaubigte Ausweiskopien zurückzuerstatten, welche die Stiftung gefordert hatte.

36 Die oder der Verantwortliche muss die betroffene Person, die Auskunft verlangt hat, über die Höhe der Kostenbeteiligung vor Erteilung der Auskunft informieren (Art. 19 Abs. 3 Satz 1 DSV). Sofern die betroffene Person nicht innerhalb von zehn Tagen an der verlangten Auskunft festhält, gilt das Auskunftsgesuch als ohne Kostenfolge zurückgezogen (Art. 19 Abs. 2 DSV). Die erste Frist für die Erteilung der Auskunft gemäss Art. 18 Abs. 1 DSV verlängert sich dadurch um diese Bedenkfrist von zehn Tagen (Art. 19 Abs. 3 Satz 2 DSV).

37 In der Praxis ist eine Kostenbeteiligung der betroffenen Person von geringer Bedeutung. Bei einer Vollkostenrechnung erreicht der Aufwand der oder des Verantwortlichen im Zusammenhang mit der Kostenbeteiligung häufig die maximal möglichen 300 Franken. Dieser Aufwand erhöht sich weiter, wenn die betroffene Person ihr Auskunftsgesuch aufgrund der geforderten Kostenbeteiligung anpasst, damit die oder der Verantwortliche keinen unverhältnismässigen Aufwand mehr behaupten kann. Für die Verantwortliche oder den Verantwortlichen ist es üblicherweise einfacher, eine Präzisierung der verlangten Auskunft zu verlangen (vgl. N. 18 oben).

C. Frist für die Auskunft (Abs. 7)

38 Für die Auskunftserteilung gilt eine erste Frist von 30 Tagen seit Eingang bei der oder dem Verantwortlichen (Art. 18 Abs. 1 DSV). Die oder der Verantwortliche kann die Frist erstrecken, wenn die Auskunft nicht innerhalb von 30 Tagen erteilt werden kann, und muss die betroffene Person in diesem Fall über die neue Frist informieren (Art. 18 Abs. 2 DSV).

Die Information muss vor Ablauf der ersten Frist von 30 Tagen erfolgen, wie auch die Information über das Aufschieben, Einschränken oder Verweigern der Auskunft (Art. 18 Abs. 3 DSV; vgl. Art. 26 f. DSG zu Einschränkungen des Auskunftsrechts).

VI. Rechtsdurchsetzung

39 Das Auskunftsrecht ist mit Zivilklage gegenüber verantwortlichen Privatpersonen durchzusetzen

, wobei die Nichterfüllung grundsätzlich keine unmittelbare Persönlichkeitsverletzung darstellt. Die Nichterfüllung kann nicht gemäss Art. 31 DSG gerechtfertigt werden. Gerichtsstand für Zivilklagen ist am Sitz oder Wohnsitz einer der Parteien (Art. 20 lit. d ZPO), wobei kein Kostenvorschuss geleistet werden muss (Art. 99 Abs. 3 lit. d ZPO) und keine Gerichtskosten gesprochen werden (Art. 113 Abs. 2 lit. g u. 114 lit. g ZPO). Für Klagen zur Durchsetzung des Auskunftsrechts gilt das vereinfachte Verfahren (Art. 243 Abs. 2 lit. d ZPO).

40 Das Auskunftsrecht gegen verantwortliche Bundesorgane ist mit Beschwerde durchzusetzen.

Die betroffene Person, die Auskunft verlangt, hat Anspruch auf eine anfechtbare Verfügung.

41 Der EDÖB kann im Verwaltungsverfahren gemäss Art. 49 ff. DSG die Auskunftserteilung verfügen und die Verfügung mit einer Strafandrohung versehen (Art. 51 Abs. 3 lit. g u. 63 DSG). Die betroffene Person hat in diesem Verfahren keine Parteistellung (Art. 52 Abs. 2 DSG e contrario).

42 Die vorsätzliche Erteilung einer falschen oder unvollständigen Auskunft wird auf Antrag der betroffenen Person mit Busse bis zu 250'000 Franken bestraft (Art. 60 Abs. 1 lit. a DSG). Antragsberechtigt ist die betroffene Person (Art. 30 StGB, insbesondere Art. 30 Abs. 1 StGB). Administrativbussen kennt das DSG im Gegensatz zur DSGVO grundsätzlich nicht (Art. 83 DSGVO), wobei eine Busse für Unternehmen ausnahmsweise möglich ist (vgl. N. 44).

43 Wer als Verantwortliche oder Verantwortlicher auf ein Auskunftsgesuch nicht reagiert oder fälschlicherweise behauptet, nicht auskunftspflichtig zu sein, macht sich nicht strafbar.

Diese Strafbarkeitslücke bestand bereits gemäss Art. 34 Abs. 1 lit. a aDSG, wobei die maximal mögliche Busse 10'000 Franken betrug (Art. 106 Abs. 1 StGB).

44 Die Strafbestimmung ist grundsätzlich auf natürliche Personen bei verantwortlichen Privatpersonen beschränkt. Das Bussenrisiko tragen im Wesentlichen jene einzelnen natürlichen Personen, die Auskunft erteilen, was auch eine subalterne Person sein kann. Unternehmen können nur ausnahmsweise bestraft werden; die maximal mögliche Busse liegt in diesem Fall bei 50'000 Franken (Art. 64 DSG). Die Strafbarkeit für die vorsätzliche Erteilung einer unvollständigen Auskunft entfällt, wenn nicht der Eindruck erweckt wird, die Auskunft sei vollständig. Es besteht keine Pflicht zur Erteilung einer Vollständigkeitserklärung.

Für Mitarbeiterinnen und Mitarbeiter der Bundesverwaltung und sonstiger Bundesorgane stehen ausschliesslich disziplinarrechtliche Mittel zur Verfügung.

Literaturverzeichnis

Baeriswyl Bruno, Vorbemerkung zu Art. 25-29 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar, Datenschutzgesetz, 2. Aufl., Bern 2023 (zit. SHK-Baeriswyl, Vorb. zu Art. 25-29 DSG).

Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15.9.2017, BBI 2017 S. 6941 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/2017/2057/de, besucht am 30.3.2023.

Bundesamt für Justiz: Verordnung über den Datenschutz (Datenschutzverordnung, DSV), Erläuternder Bericht vom 31.8.2022 (zit. BJ, Bericht).

Bauer Stefan, Beweisführung der Zustellung im E-Mail-Verkehr, 1.5.2022, https://www.cubewerk.de/wp-content/uploads/2022/06/Stefan_Bauer_Beweisfuehrung_E-Mail_Fiktion_Zugangsfiktion_Zustellnachweise_E-Mail.pdf, besucht am 30.3.2023 (zit. Bauer, E-Mail-Zustellung).

Pärli Kurt/Flück Nathalie, Kommentierung zu Art. 25 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar, Datenschutzgesetz, 2. Aufl., Bern 2023 (zit. SHK-Pärli/Flück, Art. 25 DSG).

Rosenthal David, Das neue Datenschutzgesetz, Jusletter vom 16.11.2020 (zit. Rosenthal, Jusletter).

Rosenthal David/Jöhri Yvonne, Handkommentar zum Datenschutzgesetz und weiteren, ausgewählten Bestimmungen, Zürich 2008 (zit. Rosenthal/Jöhri Art. 8 aDSG).

Schlussbericht und Empfehlungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EBÖB) betreffend die Plattform «meineimpfungen.ch», 31.8.21 (zit. Schlussbericht EDÖB).

Suter-Sieber Irène/Stutz Christoph/Wirz Chiara, Datenschutzzweckwidrige Auskunftsbegehren im Arbeitsverhältnis, AJP 5 (2021), S. 593-605 (zit. Suter-Sieber/Stutz/Wirz, Auskunftsbegehren).

Thouvenin Florent, Recht auf informationelle Selbstbestimmung?!, Vortrag am Datenschutz-Festival der Digitalen Gesellschaft am 2.12.2022 in Zürich, https://www.digitale-gesellschaft.ch/2022/12/15/erstes-datenschutz-festival-der-schweiz-zusammenfassung-rueck-und-ausblick/ und https://www.digitale-gesellschaft.ch/uploads/2022/12/Datenschutz-Festival-Informationelle-Selbstbestimmung.pdf, besucht am 30.3.2023.

Vasella David, 4A_125/2020 (amtl. Publ.): Gegenstand des Auskunftsrechts, insb. betr. Herkunftsangaben; keine Auskunft über Daten im Gedächtnis, in: datenrecht.ch, 12.1.2021, https://datenrecht.ch/4a_125-2020-amtl-publ-gegenstand-des-auskunftsrechts-insb-betr-herkunftsangaben-keine-auskunft-auf-daten-im-gedaechtnis/, besucht am 30.3.2023 (zit. Vasella, Gedächtnis).

Vasella David, 4A_277/2020: Rechtsmissbrauch eines Auskunftsbegehrens bejaht (Fishing Expedition), in: datenrecht.ch, 8.12.2020, https://datenrecht.ch/4a_277-2020-rechtsmissbrauch-eines-auskunftsbegehrens-bejaht-fishing-expedition/, besucht am 30.3.2023 (zit. Vasella, Fishing Expedition).

Vasella David, EuGH (Österreichische Post): Auskunftsrecht umfasst wenn möglich die einzelnen Empfänger (nicht nur Kategorien), in: datenrecht.ch, 14.1.2023, https://datenrecht.ch/eugh-oesterreichische-post-auskunftsrecht-umfasst-die-einzelnen-empfaenger-nicht-nur-kategorien/, besucht am 30.3.2023 (zit. Vasella, Österreichische Post).

Vasella David, OGer ZH: kein Auskunftsrecht betr. Daten einer verstorbenen Person, Art. 1 Abs. 7 VDSG bundesrechtswidrig; Dispositionsmaxime bei Klagen auf Auskunftserteilung, in: datenrecht.ch, 4.4.2017, https://datenrecht.ch/oger-zh-kein-auskunftsrecht-betr-daten-einer-verstorbenen-person-art-7-abs-1-vdsg-bundesrechtswidrig-dispositionsmaxime-bei-klagen-auf-auskunftserteilung/, besucht am 30.3.2023 (zit. Vasella, Tod).

Waldvogel Marcel, Machine Learning: Künstliche Faultier-Intelligenz, in: dnip.ch, 16.8.2022, https://dnip.ch/2022/08/16/machine-learning-kuenstliche-faultier-intelligenz/, besucht am 30.3.2023 (zit. Waldvogel, Machine Learning).