Was sind Daten?
Daten sind zunächst einmal nichts anderes als Informationen. Heute meinen wir in der Regel Informationen, die digital in binärer Form abgespeichert wurden, damit sie einfacher verarbeitet werden können. Aber auch Daten, die physisch vorhanden sind, fallen unter diesen Begriff.
Was sind Personendaten?
Unter Personendaten versteht man Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Der Name, die Adresse oder das Geburtsdatum sind Beispiele für solche Daten. Bestimmt ist eine Person, wenn sich ihre Identität direkt aus der Information selbst ergibt. Zum Beispiel bei einem Personaldossier, bei einem Datensatz in der Kundenkartei oder bei einem Personalausweis. Bestimmbar ist eine Person, wenn ihre Identität nur durch die Kombination der Information mit anderen Informationen (ohne einen unverhältnismässigen Aufwand) feststellbar ist. Zum Beispiel über Angaben zum Namen und der Adresse.
Was gilt, wenn anhand der Daten nicht auf eine bestimmte Person geschlossen werden kann?
Damit Personendaten unter die Bestimmungen des Datenschutzgesetzes fallen, muss – mit vernünftigem Aufwand – auf eine konkrete Person geschlossen werden können. Ist dies nicht der Fall bzw. wurden die Personendaten anonymisiert, gelten sie nicht mehr als Personendaten im Sinne des Gesetzes. Diese Daten sind dann nicht mehr geschützt.
Welche Arten von Daten unterscheidet man?
Man unterscheidet zwischen gewöhnlichen Personendaten und besonders schützenswerten Personendaten.
Unter die besonders schützenswerten Personendaten fallen Informationen, die Aussagen über die persönlichen Werte und Ansichten einer Person zulassen. Aussagen über den Gesundheitszustand, die Identität im engeren Sinne oder solche Daten, die normalerweise von Behörden bearbeitet werden. Beispiele hierfür sind Daten über:
- religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten,
- die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Ethnie,
- Massnahmen der sozialen Hilfe und
- verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen.
Mit dem neuen Datenschutzgesetz, das am 1. September 2023 in Kraft tritt, wird der Katalog der besonders schützenswerten Daten erweitert um:
- genetische Daten und
- biometrische Daten, mit denen sich eine natürliche Person eindeutig identifizieren lässt.
Gibt es bei besonders schützenswerten Personendaten etwas Bestimmtes zu beachten?
Ja, es gilt zu beachten, dass solche Daten nur dann bearbeitet werden dürfen, wenn die betreffende Person ausdrücklich in die vorgesehene Bearbeitung eingewilligt hat.
Was heisst «ausdrücklich eingewilligt» in diesem Kontext und was ist unter Bearbeitung genau zu verstehen?
Von einer ausdrücklichen Einwilligung ist dann auszugehen, wenn sie dem tatsächlichen Willen der betreffenden Person entspricht und diese aktiv eine Einwilligungshandlung vornimmt.
Unter den Begriff «Bearbeitung» fällt jeder Umgang mit Personendaten. Das Gesetz erwähnt jedoch speziell die Begriffe:
- beschaffen
- speichern
- aufbewahren
- verwenden
- verändern
- bekanntgeben
- archivieren
- löschen
- vernichten
Was ist Profiling?
Beim Profiling geht es um das systematische Erfassen von Verhaltenseigenschaften von einem oder mehreren Menschen, die anschliessend ausgewertet und zum Beispiel für gezielte Werbemassnahmen genutzt werden. Unter Profiling versteht man allerdings nur die automatisierte Interpretation von Daten. Werden diese Daten durch eine Person interpretiert, fällt dies nicht unter das Profiling im Sinne des Gesetzes.
Gibt es sonst noch etwas, das du zum Thema Personendaten wissen musst?
Ja, wer Personendaten bearbeitet, muss die betreffende Person vorgängig in angemessener Art und Weise darüber informieren. Dies gilt nicht nur für die Beschaffung von Personendaten, sondern auch für die weitere Bearbeitung dieser Daten.
Was bedeutet «informieren» in diesem Kontext?
Bei der vorgängigen Information durch die verantwortliche Person geht es darum sicherzustellen, dass den betroffenen Personen alle erforderlichen Informationen mitgeteilt werden, damit sie ihre Rechte wahrnehmen zu können. Es geht also um Transparenz. Eine solche «Information» enthält mindestens:
- die Identität sowie die Kontaktdaten der verantwortlichen Person,
- den Bearbeitungszweck sowie
- die Empfängerinnen oder Empfänger, an die die Personendaten weitergegeben werden (sofern dies der Fall ist).
Wie findest du heraus, ob jemand Daten über dich gespeichert hat und welche?
Wenn du wissen möchtest, ob und welche Daten zu deiner Person durch ein Unternehmen gespeichert wurden, kannst du bei der oder dem Verantwortlichen ein Auskunftsbegehren stellen. Denn gemäss Gesetz hat jede Person das Recht zu erfahren, ob und welche Personendaten über sie gespeichert bzw. bearbeitet werden.
Verwende hierzu unsere Mustervorlage und lege deiner Anfrage eine Kopie deiner Identitätskarte oder deines Passes bei. Inzwischen sehen viele Unternehmen vor, dass eine Anfrage auch via E-Mail oder Web-Formular erfolgen kann. Erkundige dich vorher auf der Website des betreffenden Unternehmens, ob die Anfrage auch auf elektronischem Weg erfolgen kann.
Weitere Informationen zum Auskunftsbegehren findest du in unserem Rechtstipp.
In welcher Form erhältst du diese Daten?
Die Auskunftserteilung erfolgt grundsätzlich in schriftlicher Form. Üblich ist eine Auskunftserteilung in einem gängigen elektronischen Format oder schriftlich per Post.
Musst du eine Kopie des Passes oder der ID mitsenden, wenn du ein Auskunftsbegehren stellst?
Ja, die zuverlässige Identifikation der auskunftsersuchenden Person muss zwingend erfolgen können. Üblich ist eine Kopie der ID. Die Identifikation kann aber auch auf anderem Wege erfolgen.
Kostet eine solche Anfrage etwas?
Ein Auskunftsbegehren ist grundsätzlich kostenlos. Es gibt allerdings eine Ausnahme von dieser Regel. Ist die Erteilung der Auskunft mit einem unverhältnismässig grossen Aufwand verbunden, darf verlangt werden, dass sich die betroffene Person an den Kosten beteiligt. Dies ist beispielsweise der Fall, wenn Daten bereits anonymisiert wurden oder wenn in nicht elektronischen Datenarchiven nachgeforscht werden muss.
In einem solchen Fall dürfen die Kosten jedoch maximal CHF 300 betragen. Ausserdem müssen dir die Kosten vor der Auskunftserteilung mitgeteilt werden.
Wie bemerkst du, dass deine Daten missbraucht werden?
Es gibt nicht den einen Moment, der auf Datenmissbrauch hindeutet. Vielmehr kann dies auf viele verschiedene Arten und Weisen erfolgen. So kann beispielsweise der Erhalt eines Werbeanrufs aus dem Ausland darauf hindeuten, dass deine Daten missbraucht wurden. Ebenso gut kann die anrufende Person allerdings rechtmässig in den Besitz deiner Daten gelangt sein. In solchen Fällen kannst du bei der verantwortlichen Person von deinem Auskunftsrecht Gebrauch machen. Im Rahmen dieser Auskunft muss mitgeteilt werden, woher die Daten stammen.
Welche Rechte hast du im Zusammenhang mit deinen Personendaten?
Als betroffene Person kannst du neben der Auskunft auch verlangen, dass deine Daten:
- herausgegeben werden,
- an eine andere Person übertragen werden,
- ganz oder teilweise gelöscht oder vernichtet werden,
- nur für bestimmte Zwecke zur Bearbeitung «freigegeben» werden,
- berichtigt werden oder
- nicht anderen Personen bekanntgegeben werden.
Wie kannst du gegen den Missbrauch deiner Daten vorgehen?
Das kommt darauf an, was genau geschehen ist. Wenn jemand in den Besitz deiner Daten gekommen ist und dich nun mit unerwünschten Anrufen belästigt, kannst du von deinem Recht auf Löschung deiner Daten Gebrauch machen. Wurden deine Daten jedoch zur Begehung einer Straftat verwendet, musst du unbedingt Strafanzeige erstatten. In solchen Fällen macht es auch Sinn, sich juristisch beraten zu lassen. Hier helfen wir dir gerne mit einer Rechtsberatung weiter:
Wenn jemand Daten über dich gespeichert hat, bleiben die dann für immer da?
Nein. Das Gesetz sieht vor, dass die betroffene Person nicht nur Auskunft darüber verlangen darf, welche Personendaten gespeichert wurden. Vielmehr kann sie zusätzlich die vollständige oder teilweise Löschung der Daten verlangen.
Wie musst du vorgehen, wenn du deine Daten bei einem Unternehmen löschen lassen möchtest?
Die Löschung kann mittels Einschreiben beantragt werden.
Was, wenn das Unternehmen, das du um Auskunft gebeten hast, nicht reagiert?
Gegen private Inhaber von Datensammlungen kann am Wohnsitz der betroffenen Person oder am Wohnsitz des Inhabers der Datensammlung eine gerichtliche Klage zur Durchsetzung des Auskunftsrechts eingereicht werden. Die Richterin oder der Richter wird in einem vereinfachten Verfahren entscheiden. Hier helfen wir dir gerne mit einer Rechtsberatung weiter.
Was ändert sich für Privatpersonen mit der Einführung des neuen Datenschutzgesetzes per 1. September 2023?
- Für Privatpersonen ergeben sich keine grossen Änderungen. Betroffene Personen haben nach wie vor die gleichen Rechte wie vor der Revision. Zudem wird die Transparenz hinsichtlich der Datenbearbeitung erhöht und es werden die Rechte der betroffenen Personen gestärkt.
- In erster Linie führen die neuen Anforderungen an die Unternehmen zu einer erhöhten Datensicherheit. Wenn du wissen möchtest, was sich für Unternehmen ändert, empfehlen wir dir unseren Rechtstipp für Unternehmen.