In Kürze

Das totalrevidierte DSG tritt am 1. September 2023 ohne generelle Übergangsfrist in Kraft. Art. 69 legt jedoch fest, dass einige ausgewählte Artikel auf bestimmte Datenbearbeitungen nicht anwendbar sind. Die Norm bestimmt, dass dies jedoch nur dann zutrifft, sofern diese Datenbearbeitungen vor Inkrafttreten des totalrevidierten DSG begonnen haben und nach dessen Inkrafttreten weder der Bearbeitungszweck geändert noch neue Daten beschafft wurden. In diesem Sinne schliesst der Artikel die präventiven Massnahmen der Art. 7, 22 und 23 in bestimmten Fällen aus. Der Gesetzgeber wollte auf diese Weise vermeiden, dass die Verantwortlichen nachträglich in die Pflicht genommen werden können und dadurch zusätzlicher Aufwand und weitere Kosten entstehen.

I. Allgemeines

A. Überblick

1Das totalrevidierte DSG enthält keine Übergangsfristen, die von den Verantwortlichen oder anderen betroffenen Personen berücksichtigt werden müssten.

Insofern findet es grundsätzlich ab dem 1. September 2023 Anwendung. Im 10. Kapitel, den Schlussbestimmungen, finden sich jedoch einige relevante Übergangsbestimmungen. Diese sind konkret in den Art. 69 bis 72 enthalten. Der vorliegende Art. 69 sieht spezifisch vor, dass die Art. 7, 22 und 23 auf Datenbearbeitungen in bestimmten Fällen nicht anwendbar sind. Dies gilt für solche Bearbeitungen, mit denen vor Inkrafttreten des revidierten DSG am 1. September 2023 begonnen wurde und deren Bearbeitungszweck nach Inkrafttreten weder geändert wurde noch neue Daten zum Datenbearbeitungsprozess hinzugefügt worden sind.

B. Entstehungsgeschichte

2Mit Inkrafttreten des totalrevidierten DSG am 1. September 2023 gelten die Normen schweizweit und sind somit, sofern Art. 2 und 3 Abs. 1 erfüllt sind, anwendbar. So wie auch in anderen Gesetzen üblich, gibt es von diesem Grundsatz jedoch Ausnahmen oder zumindest Übergangsbestimmungen, welche den Übergang zwischen dem alten und neuen Normenkatalog vereinfachen sollen. Vorgesehen war letzteres in einem Art. 64 E-DSG. Dieser sah drei Ausnahmen vor, namentlich eine Rückwirkung des Auskunftsrechts der betroffenen Personen bei bereits abgeschlossenen Datenbearbeitungen (Abs. 1), eine Übergangsfrist für die Anpassung fortdauernder Datenbearbeitungen (Abs. 2) sowie die Nichtanwendbarkeit bestimmter Bestimmungen bei der unverändert fortdauernden Datenbearbeitung (Abs. 3).

In Abs. 4 wurde sodann der Grundsatz der Geltung der Bestimmungen mit Inkrafttreten statuiert. Schliesslich wurden jedoch alle Absätze gestrichen – bis auf den genannten Abs. 3. Dieser findet sich nun im vorliegenden Art. 69 wieder.

C. Normzweck

3Art. 69 stellt sicher, dass beim Vorliegen spezifischer Voraussetzungen eine rückwirkende Anwendung von Art. 7, 22 und 23 verhindert wird. Der Gesetzgeber erleichtert damit den Übergang zwischen dem vorbestehenden sowie dem totalrevidierten DSG und erspart den Verantwortlichen zusätzlichen Aufwand sowie Kosten. Darüber hinaus stellt der Art. sicher, dass den Verantwortlichen nicht nachträglich Pflichten aufgebürdet werden. Eine im Einzelfall problematische Rückwirkung des Gesetzes wird somit vermieden. Gleichzeitig ist die Bedeutung dieses Artikels begrenzt, zumal das DSG i.A. keine relevanten Übergangsfristen vorsieht.

II. Inhalt

A. Voraussetzungen

4Inhaltlich bezieht sich Art. 69 auf Art. 7, 22 und 23. Während Art. 7 die Grundsätze des Privacy by Design (Datenschutz durch Technik) sowie Privacy by Default (datenschutzrechtliche Voreinstellungen) verankert (vgl. hierzu ausführlich die OK-Klaus zu Art. 7 DSG), beziehen sich Art. 22 und 23 auf die Datenschutz-Folgenabschätzung (DSFA) (siehe hierzu OK-Harasgama/Haux zu Art. 22 DSG). Art. 22 legt die Grundlagen zur Durchführung der DSFA und 23 einige Voraussetzungen zur Konsultation des EDÖB fest, sofern im Rahmen einer DSFA erkannt wird, dass trotz ergriffener, risikomindernder Massnahmen ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person besteht.

5Diese Pflichten sind grundsätzlich vor der jeweiligen Bearbeitung der Daten zu berücksichtigen und sollen dem Verantwortlichen mittels dieser Übergangsbestimmung nicht rückwirkend auferlegt werden. Im Sinne dieses Rückwirkungsverbots setzt die Norm voraus, dass die Datenbearbeitung vor Inkrafttreten begonnen hat. Sie muss also vor dem 1. September 2023 angefangen haben und darf weder geplant (i.S.d. Art. 7 Abs. 1 DSG) noch bereits beendet gewesen sein.

Während sich die Abgrenzung zwischen der blossen Planung und der tatsächlichen Durchführung einer Datenbearbeitung im Einzelfall bestimmen lässt, stellt sich die Frage, wie die Durchführung von der Beendigung der Datenbearbeitung abzugrenzen ist. Hierbei ist zu berücksichtigen, dass eine Beendigung erst mit dem Erreichen des Bearbeitungszwecks angenommen werden kann. Gleichgestellt ist die Situation, in welcher der Zweck de facto nicht mehr erreichbar ist.

6Als zweite Voraussetzung muss der zuvor festgelegte Bearbeitungszweck unverändert fortbestehen. Dies bedeutet, dass der Zweck zu Beginn der Datenbearbeitung ausreichend bestimmt und konkretisiert wurde und zum Zeitpunkt des Inkrafttretens des totalrevidierten DSG unverändert fortbesteht (vgl. zur Bestimmung des Bearbeitungszwecks ausführlich die Kommentierung zu Art. 6 Abs. 3 DSG). In diesem Rahmen stellt sich die Frage, was gilt, sofern nur einige Bearbeitungszwecke weiterverfolgt, andere jedoch aufgegeben werden. Diese wäre der Fall, wenn z.B. eine Datenbank mit Patientendaten aus klinischen Versuchen initial für weitere klinische Versuche im selben Forschungsbereich (Zweck 1) und zum Training eines auf künstlicher Intelligenz (KI) beruhenden Prognosetools (Zweck 2) bearbeitet werden und nach Inkrafttreten des totalrevidierten DSG findet die Datenbearbeitung nur noch für klinische Versuche, d.h. für Zweck 1, statt. Für die Annahme, dass dies vom Wortlaut des Art. 69 umfasst ist, spricht, dass jedenfalls keine Erweiterung der Bearbeitungszwecke erfolgt. Vielmehr werden die Bestehenden weiterverfolgt – wenn auch in reduzierter Form.

7Drittens muss der Datenbestand der betreffenden Datenbearbeitung unverändert fortbestehen. Dem Wortlaut des Gesetzes zufolge, dürfen mithin «keine neuen Daten beschafft» worden sein. Beim Vorgang des «Beschaffens» handelt es sich «um einen aktiven, gezielten und bewussten Akt der Erhebung der betreffenden Personendaten».

Entscheidend ist das gezielte, aktive Tun. Das passive Erhalten von Daten ist davon hingegen nicht umfasst. Zu einem ähnlichen Ergebnis kommen andere Autoren, indem sie auf die Planmässigkeit des Vorgangs abstellen.

8Unklar ist jedoch, wie der Passus «keine neuen Daten» auszulegen ist. Eine enge Auslegung würde dazu führen, dass für einen gleichbleibenden Datenbearbeitungsprozess mit feststehenden Datenkategorien die Übergangsbestimmung nicht gelten würde, sofern bei gleichbleibenden Datenkategorien zusätzliche Daten(-punkte) über weitere Personen beschafft werden. Dies wäre unabhängig davon, wie sich diese zusätzlichen Daten(-punkte) auf den Bearbeitungsprozess oder -zweck auswirken. Diese Einschätzung liesse sich damit begründen, dass der Datenbestand oder der Umfang der vorhandenen Daten verändert bzw. vergrössert würde. Als Beispiel lässt sich ein auf KI beruhendes HR-Tool eines Unternehmens anführen, das nach dem 1. September 2023 zusätzliche Daten(-punkte) von neuen Bewerberinnen oder Mitarbeiterinnen bearbeitet. Der Datenbestand oder der Umfang dieses Bestands würde somit verändert bzw. vergrössert, sodass bei Vorliegen der weiteren Voraussetzungen des Art. 69 gemäss dieser engen Auslegung nochmals eine Datenschutz-Folgenabschätzung durchgeführt werden müsste. Während die Botschaft eine solche Auslegung durchaus nahelegt,

entspricht eine derart enge Interpretation nicht dem Sinn und Zweck der Bestimmung. Faktisch würde dies nämlich dazu führen, dass alle fortdauernden Datenbearbeitungsprozesse, bei denen es möglich ist, dass Daten über zusätzliche Personen nach dem 1. September 2023 beschafft werden, nicht unter die Bestimmung fallen. Der Anwendungsbereich des Art. 69 wäre somit vernachlässigbar klein gefasst. Dieser engen Auslegung wird vorliegend nicht gefolgt. Vor diesem Hintergrund kommen vor allem zwei mögliche Auslegungsvarianten infrage: (1) Der Art. 69 findet nur dann Anwendung, wenn neue Datenkategorien beschafft werden, nicht jedoch bei der blossen Veränderung oder Ausdehnung des Umfangs der gleichbleibenden Datenkategorien oder Datenpunkte. Dies wäre z.B. der Fall, wenn durch ein bereitgestelltes Onlineformular für ein Gewinnspiel nach dem 1. September 2023 nicht mehr nur Name, Kontaktdaten und Antwort auf die Gewinnspielfrage erhoben werden, sondern nach weitergehenden Informationen über Interessen und Hobbies gefragt wird. Oder: (2) Art. 69 ist bei jeglichen Datenbearbeitungsprozessen nicht anwendbar, wenn – gemäss Botschaft eng ausgelegt – der Datenbestand oder das Datenvolumen per se vergrössert oder verändert wird, obwohl die beschafften Datenkategorien unverändert bleiben und eine dadurch verursachte Veränderung des Bearbeitungszwecks oder des Prozesses nicht ausgeschlossen werden kann.

9Diskutiert wird ferner, ob vorab bereits beschaffte Daten, die jedoch nachträglich hinzugefügt werden, die Anwendbarkeit des Art. 69 DSG ausschliessen. Ausgehend vom Wortlaut argumentieren einige Autoren, dass die Bearbeitung dieser Daten unter die Ausnahme fällt, jedenfalls sofern sie zum gleichen Zweck beschafft wurden.

Dagegen spricht jedoch, dass das Umfeld der Datenbearbeitungen von technologischen Neuerungen derart tief geprägt ist, dass die Ausnahme des Art. 69 DSG nur unter engen Voraussetzungen gelten sollte und somit restriktiv auszulegen ist. Werden dem Datenbestand neue Daten hinzugefügt, kann der Datenbestand kaum als «unverändert», d.h. als gleichbleibend bezeichnet werden, wenn diese Daten bereits im Rahmen eines anderen Datenbearbeitungszwecks beschafft wurden. Ob diese Frage in der praktischen Anwendung an Bedeutung und Kontur gewinnen wird, erscheint indes fraglich, zumal insgesamt von einer eher geringen praktischen Relevanz dieser Norm auszugehen ist. Dies, zumal sich der Grundsatz von Art. 7 teilweise bereits vor Inkrafttreten aufgrund von Art. 4 und 7 aDSG ergab und Verantwortliche teilweise auch aufgrund der DSGVO dazu verpflichtet waren. Ähnliches gilt für Art. 22 und 23 (siehe hierzu ausführlich die Kommentierung von Harasgama/Haux zu Art. 22 DSG).

B. Herausforderungen

10Mit dem Inkrafttreten des totalrevidierten DSG sehen sich Verantwortliche mit zahlreichen Herausforderungen konfrontiert. Obschon der Wortlaut des Art. 69 DSG nur kurz ausfällt und aus dem Augenmerk zu fallen droht, ist ihm in diesem Rahmen jedoch die notwendige Aufmerksamkeit zu schenken. Während vor dem Inkrafttreten laufende Datenbearbeitungen, welche die weiteren Voraussetzungen erfüllen, ohne Frage unter die Ausnahmeregelung fallen, ist bei Detailfragen und bei der Anwendung von neuen Technologien in Datenbearbeitungsprozessen, die bereits vor Inkrafttreten des totalrevidierten DSG geplant und/oder getestet wurden, stets rechtlicher Rat einzuholen. Hier gilt es genau nachzuvollziehen, ob der Datenbestand oder Bearbeitungszweck tatsächlich unverändert fortbestand oder ob Veränderungen vorgenommen wurden oder vorgenommen werden müssen.

Ist dies der Fall, so ist im Zweifelsfall von der Nichtanwendbarkeit der Norm auszugehen.

Literaturverzeichnis

Dauag Apollo, Kommentierung zu Art. 69 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl., Zürich/Basel, 2023.

Rosenthal David, Das neue Datenschutzgesetz, Jusletter, 16. November 2020.

Rosenthal David/Jöhri Yvonne, Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, Zürich 2008 (zit. HK-DSG).

Materialienverzeichnis

Botschaft vom 15. September 2017 zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz, BBl 2017 S. 6941 ff., abrufbar unter: https://fedlex.data.admin.ch/eli/fga/2017/2057, besucht am 5.6.2023.