Meine Rechte kennen und durchsetzen
Jede Person verfügt über ein Recht auf informationelle Selbstbestimmung und somit das Recht, Auskunft über die Bearbeitung ihrer Personendaten zu verlangen und diese gegebenenfalls zu korrigieren oder zu löschen bzw. deren Bearbeitung einschränken zu lassen. Manche Rechte der betroffenen Personen sind im Gesetz klar definiert, manche nur impliziert, das heisst, sie werden aus Verpflichtungen des Verantwortlichen abgeleitet. Auf dieser Seite erfahren Sie, welche Ansprüche Sie geltend machen können und wie Sie dabei vorgehen.
Auskunftsrecht
Sie können gestützt auf Art. 25 DSG jederzeit vom Verantwortlichen Auskunft verlangen, ob und welche Personendaten über Sie bearbeitet werden.
Die Auskunft umfasst insbesondere:
- Identität und Kontaktdaten des Verantwortlichen
- Art der bearbeiteten Daten und Bearbeitungszweck
- Empfänger oder Kategorien von Empfängerinnen
- Speicherdauer beziehungsweise die Kriterien zur Festlegung der Aufbewahrungsdauer
Die Auskunft ist grundsätzlich kostenlos und erfolgt in der Regel innert 30 Tagen.
Das Recht auf Auskunft erlaubt Ihnen in Erfahrung zu bringen, welche Informationen ein Verantwortlicher über Sie hat und in welchem Kontext bzw. wofür er diese bearbeitet, einschliesslich an wen der Verantwortliche diese Daten bekanntgibt.
Die Anfrage um Auskunft ist an keine Form gebunden, aber Sie können gerne unseren Musterbrief verwenden, um sicherzustellen, dass Ihr Gesuch als Auskunftsbegehren verstanden wird:
Berichtigungsrecht
Die Bearbeitung von falschen Personendaten kann grosse Nachteile für die betroffene Person bringen. Zum Beispiel, wenn Ihnen die negative Zahlungserfahrung mit einem Namensvetter fälschlicherweise zugeordnet wird und Ihnen deshalb ein Kredit abgelehnt wird (siehe Kredit & Inkasso). Die Bearbeitung von unrichtigen Personendaten stellt deshalb eine widerrechtliche Persönlichkeitsverletzung dar.
Deshalb muss jeder, der Personendaten bearbeitet, angemessene Massnahmen treffen, um sicherzustellen, dass diese auch korrekt sind. Aus dieser Pflicht des Verantwortlichen (Art. 6 Abs. 5 DSG) wird das Berichtigungsrecht abgeleitet.
Falls Ihre Personendaten unrichtig oder unvollständig sind, können Sie deren Berichtigung gestützt auf Art. 32 Abs. 1 DSG verlangen. Das Berichtigungsrecht geht Hand in Hand mit dem Auskunftsrecht, denn oft erfahren Sie im Rahmen einer Auskunft, dass falsche Daten über Sie bearbeitet werden. Ohne dieses Wissen, können Sie die Daten nicht berichtigen.
Ist der für die Bearbeitung Verantwortliche ein Bundesorgan, so kann das Berichtigungsrecht gestützt auf Art. 41 Abs. 2 Bst. a DSG geltend gemacht werden. Dieses Recht kann insbesondere dann nützlich sein, wenn ein Eintrag nicht mehr aktuell ist und dies negative Folgen für Sie als betroffene Person hat (z.B. wenn Sie eine Rechnung zur Bezahlung der Radio- und Fernsehabgabe erhalten, aber nicht mehr in dem entsprechenden Haushalt wohnen).
Kredit und Inkasso
Wirtschaftsauskunfteien, Inkassobüros und andere Stellen bearbeiten Daten zu Ihrem Zahlungsverhalten und geben sie weiter. Wann ist dies erlaubt?
Löschungsrecht
Unter bestimmten Bedingungen haben Sie das Recht, die Löschung oder Vernichtung Ihrer Personendaten zu verlangen:
- Wenn die Daten für den ursprünglichen Zweck nicht mehr benötigt werden, können Sie gestützt auf den Grundsatz der Verhältnismässigkeit bzw. der Datenminimierung (Art. 6 Abs. 4 DSG) die Löschung Ihrer Personendaten verlangen. Zum Beispiel, wenn Bonitätsdaten älter als 10 Jahre sind (Siehe Kredit & Inkasso).
- Wenn Sie Ihre Einwilligung zu deren Bearbeitung erteilt haben, aber inzwischen nicht mehr damit einverstanden sind, das heisst, Sie ziehen Ihre Einwilligung zurück.
- Wenn die Datenbearbeitung unrechtmässig erfolgt ist. Zum Beispiel, wenn Ihre Bilder ohne Ihre Erlaubnis publiziert wurden (Siehe Umgang mit Fotos).
- Oder generell, wenn die Daten entgegen den Bearbeitungsgrundsätzen der Transparenz oder von Treu und Glauben erhoben oder zweckentfremdet wurden. Zum Beispiel, wenn Sie adressierte Werbung erhalten und nicht nachvollziehen können, woher Ihre Adressdaten stammen.
Kredit und Inkasso
Wirtschaftsauskunfteien, Inkassobüros und andere Stellen bearbeiten Daten zu Ihrem Zahlungsverhalten und geben sie weiter. Wann ist dies erlaubt?
Umgang mit Fotos
Jede Person hat ein Recht am eigenen Bild. Dies bedeutet, dass jede und jeder in der Regel darüber entscheiden kann, ob und in welcher Form ihr oder sein Bild aufgenommen und veröffentlicht werden darf.
Der Verantwortliche kann die Löschung aber ablehnen, wenn er die Bearbeitung auf einen anderen Rechtfertigungsgrund stützen kann, zum Beispiel weil er von Gesetzes wegen die Daten bearbeiten muss oder er eigene überwiegende Interessen an der Bearbeitung geltend macht. Unter Umständen kommt dann die Sperrung der Daten in Frage (siehe unten).
Die entsprechenden Rechtsansprüche werden in Art. 32 Abs. 2 Bst. c DSG (Datenbearbeitung durch private Personen bzw. Unternehmen) bzw. in Art. 41 Abs. 2 lit. a DSG (Datenbearbeitung durch Bundesorgane) geregelt.
Recht auf Einschränkung der Datenbearbeitung (Datensperrung und De-Indexierung)
Ähnlich wie die Löschung, können Sie gestützt auf Art. 32 Abs. 2 lit. b DSG die Einschränkung der Datenbearbeitung beantragen, wenn Sie die Verhältnismässigkeit der Datenbearbeitung oder die Richtigkeit der Daten bestreiten.
Es kann zum Beispiel vorkommen, dass bestimmte Informationen zwar wegen überwiegenden privaten oder öffentlichen Interessen archiviert oder publiziert werden. Sie erachten es aber als unverhältnismässig, dass jede und jeder uneingeschränkt auf diese Informationen zugreifen kann. Es kann sein, dass diese Informationen einen alten Sachverhalt betreffen, wie eine Sportveranstaltung, an der Sie vor mehreren Jahren teilgenommen haben (siehe Sportveranstaltungen). Oder der Zweck der Bearbeitung wäre auch erfüllt, wenn nur bestimmte Personen, die ein besonderes Interesse nachweisen können, auf diese Informationen zugreifen könnten (z.B. auf Informationen über Ihre Bonität). Dies kann auch die Wiedergabe von Daten aus öffentlichen Registern (wie das Handelsregister) betreffen.
Die Ausübung dieses Rechts im Internetkontext erfolgt oft in der Form eines Gesuchs um De-Indexierung der Informationen. Das heisst, die Auffindbarkeit der Informationen durch Suchmaschinen wird eingeschränkt, sodass diese nicht mehr in Internetsuchen nach den Namen der Person erscheinen. Eine De-Indexierung muss durch den Verantwortlichen vorgenommen werden.
Wenn es um die Auffindbarkeit von Informationen geht, die ursprünglich aus einem öffentlichen Interesse heraus publiziert wurden und dieses Interesse nach einer gewissen Zeit nicht mehr besteht, spricht man vom Recht auf Vergessen (siehe Suchmaschinen).
Auch können Sie das Recht auf Einschränkung ausüben, um zu verhindern, dass Daten, deren Richtigkeit bestritten ist bzw. noch abklärt werden muss, weitergegeben werden. Während der Einschränkung dürfen die Daten nur noch gespeichert, aber nicht weiterbearbeitet resp. weitergegeben werden.
Handelt es sich beim Verantwortlichen um ein Bundesorgan, kann die betroffene Person die Bearbeitung ebenfalls einschränken lassen. Da ein Bundesorgan Personendaten nur an eine andere Behörde – sei es in der Schweiz oder im Ausland – bekanntgeben darf, wenn dafür eine gesetzliche Grundlage besteht, kann eine betroffene Person auf der Grundlage von Art. 41 Abs. 1 DSG die Übermittlung von Informationen an eine ausländische Behörde, beispielsweise im Rahmen der Amtshilfe in Steuersachen, unterbinden, wenn sie der Ansicht ist, dass dafür die gesetzlichen Voraussetzungen nicht erfüllt sind.
Suchmaschinen
Das Recht auf Vergessen im Internet bezeichnet die Möglichkeit, über die eigenen digitalen Spuren und das eigene Online-Leben (privat oder öffentlich) zu bestimmen.
Sportveranstaltungen
Welche Daten dürfen im Zusammenhang mit einer Breitensportveranstaltung bearbeitet werden?
Widerspruchsrecht
Sie haben das Recht, jederzeit beim Verantwortlichen gegen die Bearbeitung Ihrer Personendaten Widerspruch einzulegen (Art. 30 Abs. 2 Bst. b DSG).
Nach Eingang Ihres Widerspruchs stellt der Verantwortliche die Bearbeitung ein oder begründet, warum er die Daten gegen Ihren Willen weiterbearbeiten darf und wird.
Recht auf Datenherausgabe oder -übertragung (Recht auf Datenportabilität)
Soweit technisch möglich, können Sie Personendaten, die ein Anbieter mit Ihrer Einwilligung oder gemäss einem zwischen Ihnen bestehenden Vertrag bearbeitet, in einem gängigen, maschinenlesbaren Format erhalten und/oder einem anderen Verantwortlichen übermitteln lassen.
Dieses Recht wird explizit in Art. 28 DSG i.V.m. Art. 20 f. DSV geregelt und soll Ihnen den Anbieterwechsel und die Weiterverwendung Ihrer Daten erleichtern, kann aber gemäss Art. 29 DSG eingeschränkt werden.
Rechte bei automatisierten Einzelentscheidungen
Mit der Digitalisierung und der Verbreitung von KI-gestützten Datenbearbeitungen werden immer öfter Entscheidungen vollständig automatisiert getroffen. Das heisst, sie werden nicht von Menschen, sondern ausschliesslich von Algorithmen gestützt auf vorhandene Informationen und nach programmierter Logik getroffen. Wenn keine menschliche Überprüfung erfolgt, liegt eine automatisierte Einzelentscheidung vor. Sofern diese Entscheidung zu einem wichtigen Nachteil für die betroffene Person führt, sieht Art. 21 DSG einerseits ein Informationsrecht und andererseits ein Recht auf eine manuelle Überprüfung vor.
Recht auf Information bei automatisierten Entscheidungen
Erfolgt eine automatisierte Einzelentscheidung, müssen Sie darüber informiert werden. Sie erhalten auf Verlangen auch Auskunft über die Logik, auf der die Entscheidung beruht.
Recht auf eine manuelle Überprüfung bei automatisierten Entscheidungen
Sie haben zudem das Recht, Ihren Standpunkt gegenüber solchen Entscheidungen darzulegen und eine manuelle Überprüfung zu verlangen.
Wie Sie Ihre Rechte beim Verantwortlichen geltend machen
Stellen Sie Ihr Anliegen schriftlich per Brief oder per E-Mail. Schauen Sie, ob der Verantwortliche eigene Vorgaben macht, über welche Kanäle er Eingaben erhalten möchte.
Bitte beschreiben Sie dabei konkret, welches Recht Sie wahrnehmen möchten. Wenn Sie die Richtigkeit einer Information bestreiten, begründen Sie es.
Da es sich um höchstpersönliche Rechte handelt, müssen Sie sie selbst oder durch Ihren gesetzlichen Vertreter in Ihrem Auftrag ausüben bzw. ausüben lassen.
Um sicherzustellen, dass es wirklich um Sie geht, müssen die Verantwortlichen verhältnismässige Massnahmen treffen, um Ihre Identität zu überprüfen, und Sie müssen dabei mitwirken. Wenn der Verantwortliche nur ein Pseudonym oder eine E-Mail-Adresse von Ihnen kennt, kann er verlangen, dass Sie sich auf Ihrem Konto einloggen oder Ihr Gesuch per E-Mail durch diese, dem Verantwortlichen bekannte, E-Mail-Adresse einreichen.
Unter Umständen kann der Verantwortliche eine Kopie eines Ausweisdokuments verlangen, um Ihre Identität zu bestätigen.
Tipps, um Probleme bei der Durchsetzung Ihrer Rechte zu vermeiden
Wenden Sie sich an die richtige Adresse
Verantwortliche müssen Ihnen im Rahmen ihrer Informationspflicht Kontaktinformationen mitteilen. Diese finden Sie in der Regel in der «Datenschutzerklärung» oder in den «Datenschutzbestimmungen» eines Verantwortlichen (siehe Datenschutzerklärungen im Internet).
Informationspflicht
Mit der Informationspflicht wird eine transparente Datenbearbeitung gewährleistet und die Rechte der betroffenen Personen werden gestärkt. Ohne Information ist sich die betroffene Person möglicherweise nicht bewusst, dass ihre Daten bearbeitet werden, und sie kann daher ihre Rechte nach dem Datenschutzgesetz (DSG) nicht geltend machen. Nach dem DSG ist der Verantwortliche daher verpflichtet, die betroffene Person über die Beschaffung ihrer Personendaten zu informieren. Diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
Datenschutzerklärungen im Internet
Wer braucht eine Datenschutzerklärung und was sollte diese enthalten?
Gewähren Sie eine angemessene Bearbeitungsfrist
Bitte setzen Sie keine unrealistischen Fristen für die Bearbeitung Ihres Gesuches: das Gesetz gewährt den Verantwortlichen nach Art. 25 DSG 30 Tage für die Erteilung einer Auskunft. Kann der Verantwortliche die Auskunft nicht innerhalb von 30 Tagen erteilen, so muss er Sie informieren und Ihnen mitteilen, innerhalb welcher Frist die Auskunft erfolgt. Für andere Anfragen, wie z.B. Lösch- oder Berichtigungsbegehren, kann je nach Situation eine kürzere oder längere Frist angemessen sein.
Schützen Sie Ihre Onlinekonten
Wir erhalten häufig Anfragen von Personen, die sich nicht mehr in ihre Social-Media-Profile einloggen können und keinen Zugriff mehr auf das mit ihrem Social-Media-Profil verknüpfte E-Mail-Konto oder ihre Telefonnummer haben. Leider kann Ihnen der EDÖB in diesem Fall nicht weiterhelfen. Die Anbieter sind verpflichtet, Ihre Personendaten vor unbefugtem Zugriff zu schützen, weshalb sie Massnahmen zur Überprüfung Ihrer Identität als Nutzer ergreifen. Einige Anbieter bieten alternative Identifizierungsmethoden an, dies ist jedoch nicht verpflichtend.
Um solche Probleme zu vermeiden, empfehlen wir Ihnen dringend, Ihre Konten mit sicheren Passwörtern zu schützen und nur bestehende und funktionierende E-Mail-Adressen und Telefonnummern zu verwenden. Wenn Sie ein Konto nicht mehr aktiv nutzen, laden Sie Ihre Daten selber herunter und löschen Sie es, solange Sie noch Zugang haben.
Ihre Rechte gerichtlich durchsetzen
Wenn ein privater Verantwortlicher (ein Unternehmen, ein Verein, eine politische Partei etc.) nach angemessener Zeit auf Ihr Gesuch nicht reagiert oder Sie der Meinung sind, dass die Entscheidung des Verantwortlichen, Ihrem Gesuch nicht nachzukommen, nicht korrekt ist, haben Sie die Möglichkeit, Ihre Rechte gestützt auf Art. 32 Abs. 2 DSG i.V.m. Art. 28 f. ZGB gerichtlich durchzusetzen.
Sie müssen in einem ersten Schritt ein Schlichtungsgesuch bei der Schlichtungsbehörde des zuständigen Bezirks- oder Kreisgerichts an Ihrem Wohnort oder am Wohnort/Sitz des für die Bearbeitung Verantwortlichen einreichen. Dies kann mündlich vor Ort oder schriftlich erfolgen.
Informieren Sie sich zu den Formalitäten einer solchen Eingabe telefonisch oder auf der Webseite des zuständigen Gerichts. Im Rahmen einer Schlichtungsverhandlung wird zuerst versucht, eine Eignung zwischen den Parteien zu erzielen.
Kommt es zu keiner Einigung, bekommen Sie eine Klagebewilligung und können Klage beim Zivilgericht erheben. Sie sind nicht verpflichtet, aber Sie können eine Anwältin oder einen Anwalt beiziehen. Für Verfahren wegen Streitigkeiten nach dem Datenschutzgesetz muss keine Sicherheit geleistet werden, und es werden keine Gerichtskosten erhoben. Das gilt jedoch nicht für allfällige Anwaltskosten.
Es ist zu beachten, dass bei Streitigkeiten bezüglich der Durchsetzung des Auskunftsrechts das Gericht ein vereinfachtes Verfahren anwendet, das sowohl schneller als auch weniger aufwendig ist als ein ordentliches Verfahren (Art. 243 Abs. 2 Bst. d ZPO).
Ihre Rechte gegenüber einem Bundesorgan durchsetzen
Handelt es sich beim Verantwortlichen um ein Bundesorgan, hat dieses Ihr Gesuch (Auskunftsrecht, Einstellung der Bearbeitung, Datenlöschung usw. – vgl. Art. 41 DSG) mit einer formellen Verfügung zu beantworten. Eine solche beinhaltet eine Rechtsmittelbelehrung – d. h. Angaben darüber, wie Sie gegen die Verfügung vorgehen können – und die Frist, innerhalb derer Sie dies tun müssen.
Wenn das Bundesorgan keine Verfügung erlässt, können Sie eine solche verlangen.
Wenn Sie die Verfügung anfechten möchten, müssen Sie in der Regel innerhalb von 30 Tagen bei der zuständigen Behörde Beschwerde erheben. Die Modalitäten der Anfechtung und die zuständige Behörde können jedoch je nach Bereich variieren: Dies wird in der Rechtsmittelbelehrung angegeben. Das Verfahren richtet sich nach dem Gesetz über das Verwaltungsverfahren (VwVG).
Es ist zu beachten, dass für das Beschwerdeverfahren in der Regel eine Vorauszahlung zu leisten ist, die dem Beschwerdeführer jedoch zurückerstattet wird, wenn er Recht bekommt.
Eine Anzeige beim EDÖB machen
Wenn ein privater Verantwortlicher oder ein Bundesorgan nach angemessener Zeit auf Ihr Gesuch nicht reagiert oder Sie der Meinung sind, dass die Entscheidung des Verantwortlichen, Ihrem Gesuch nicht nachzukommen, nicht korrekt ist, haben Sie zudem die Möglichkeit, eine Anzeige beim EDÖB einzureichen.
Der EDÖB kann bei Vorliegen einer Verletzung gegen die Datenschutzvorschriften von Bedeutung gegen den Verantwortlichen intervenieren.