Das neue schweizerische Datenschutzgesetz (DSG) ist seit dem 1. September 2023 in Kraft, um ein gleichwertiges Datenschutzniveau mit der europäischen Datenschutzgrundverordnung (DSGVO) zu schaffen. Das Auskunftsrecht der betroffenen Person ist in beiden Rechtsordnungen ein zentrales Instrument. Muss der Verantwortliche in seiner Antwort auf ein Auskunftsersuchen auch Kopien von Dokumenten zur Verfügung stellen? Gibt es diesbezüglich rechtliche Unterschiede?
Jede natürliche Person hat das Recht, über die Bearbeitung ihrer Personendaten selbst zu bestimmen. Das Auskunftsrecht der betroffenen Person gegenüber dem Datenbearbeiter (Verantwortlichen) gemäss Art. 25 DSG bleibt auch im neuen schweizerischen Datenschutzgesetz (DSG) weiterhin das zentrale Instrument, um Zweck, Dauer und Verhältnismässigkeit der Datenbearbeitung selbst zu kontrollieren. Das Auskunftsrecht ist auch notwendig, damit die betroffene Person ihr Recht auf Berichtigung und Löschung geltend machen kann.
Das schweizerische DSG ist nicht nur bei rein innerstaatlichen Sachverhalten in der Schweiz anwendbar, bei denen kein Auslandbezug besteht. Das DSG ist in räumlicher Hinsicht auch auf Datenbearbeitungen im Ausland anwendbar, die sich in der Schweiz auswirken (Bsp. Bundesgerichtsentscheid Google Street View, BGE 138 II 346). Andererseits ist die europäische Datenschutzgrundverordnung (DSGVO) zum Beispiel in der Schweiz anwendbar, wenn ein Schweizer Unternehmen im grenzüberschreitenden Geschäftsverkehr aktiv Waren oder Dienstleistungen an Personen in der EU anbietet.
- Auskunftsrecht gemäss Art. 25 DSG
Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob und welche Personendaten über sie bearbeitet werden (Art. 25 DSG). Gegenstand des Auskunftsrechts sind ungeachtet ihrer Form (Wort, Schrift, Bild, Ton oder andere Weise) alle Daten, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Gemäss Art. 25 Abs. 2 DSG beschränkt sich das Auskunftsrecht auf diejenigen Informationen, die erforderlich sind, damit die betroffene Person ihre Rechte nach diesem Gesetz geltend machen kann und die Transparenz der Datenbearbeitung gewährleistet ist. Damit soll verhindert werden, dass das datenschutzrechtliche Auskunftsbegehren zu anderen, datenschutzfremden Zwecken, insbesondere zur Beweisbeschaffung in Zivilprozessen, missbraucht werden kann.
Sofern keine Verweigerungsgründe vorliegen, hat der Verantwortliche das Auskunftsgesuch innert 30 Tagen zu beantworten und die betroffene Person über die Mindestangaben gemäss Art. 25 Abs. 2 DSG zu informieren, insbesondere über die bearbeiteten Personendaten «als solche», den Bearbeitungszweck, die Aufbewahrungsdauer und die Herkunft der Daten. Die Präzisierung der Personendaten «als solche» wird in der Rechtspraxis dahingehend verstanden, dass der Verantwortliche lediglich eine Liste der bearbeiteten Personendaten, nicht aber Kopien von spezifischen Dokumenten (Korrespondenzunterlagen, Berichte, Gutachten, Verträge, usw.) herausgeben muss.
- Auskunftsrecht gemäss Art. 15 DSGVO
Im Anwendungsbereich der Europäischen Datenschutz-Grundverordnung (DSGVO) sieht Art. 15 Abs. 3 DSGVO hingegen ausdrücklich vor, dass der Verantwortliche der betroffenen Person eine Kopie der personenbezogenen Daten zur Verfügung zu stellen hat.
Der Europäische Gerichtshof hat hierzu in seinem Urteil C-487/21 vom 4. Mai 2023 in Anwendung des Transparenzprinzips entschieden, dass der betroffenen Person eine originalgetreue und verständliche Kopie aller sie betreffenden Daten zur Verfügung zu stellen ist, wenn die Kontextualisierung für das Verständnis erforderlich ist. Das Auskunftsrecht nach Art. 15 DSGVO gibt der betroffenen Person somit das Recht, Kopien von Auszügen aus Dokumenten oder von ganzen Dokumenten oder auch Auszüge aus Datenbanken mit ihren Personendaten zu erhalten. Voraussetzung ist aber, dass dies zur wirksamen Ausübung der in der DSGVO vorgesehenen Rechte, insbesondere des Rechts auf Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO), erforderlich und mit den Rechten Dritter vereinbar ist.
- Fazit
Die Ausgestaltung und der Umfang der Auskunftspflicht des Verantwortlichen nach Art. 25 DSG und Art. 15 DSGVO unterscheiden sich. Bei einem Auskunftsbegehren sollte der Verantwortliche deshalb vorab prüfen, ob das DSG oder die DSGVO anwendbar ist.
