Strafbestimmungen

Um die Wirkung des DSG zu verstärken, enthält es mehrere Strafbestimmungen zur Ahndung von Pflichtverletzungen.

Im neuen Datenschutzgesetz sind die strafrechtlichen Ahndungen von Pflichtverletzungen gemäss DSG erheblich verschärft. Es enthält vier verschiedene strafbare Handlungen, die in den Artikeln 60 bis 63 aufgeführt sind. Diese haben drei gemeinsame Merkmale:

Es geht nur um vorsätzlich begangene strafbare Handlungen. Fahrlässig begangene Pflichtverletzungen im Zusammenhang mit dem Datenschutz gelten somit nicht als strafbare Handlungen.
Es werden in erster Linie natürliche Personen bestraft. Bei Widerhandlungen in Geschäftsbetrieben ermöglicht Artikel 64 Absatz 1 durch Verweis auf das Bundesgesetz über das Verwaltungsstrafrecht die Verurteilung von Personen in leitender Funktion. Die Strafverfolgungsbehörde kann von der Verfolgung dieser Personen absehen und stattdessen den Geschäftsbetrieb verurteilen, wenn die vorgesehene Busse 50 000 Franken nicht übersteigt und die für die Bestrafung einer natürlichen Person erforderlichen Ermittlungen unverhältnismässig wären.
Die Höchststrafe beträgt 250 000 Franken.

In allen Fällen sind die kantonalen Strafverfolgungsbehörden, in der Regel die Staatsanwaltschaften, für die Verfolgung der erwähnten Straftaten zuständig.

Wichtige Anmerkung: Die erwähnten Punkte beziehen sich nur auf strafrechtliche Aspekte bei Verstössen gegen das DSG. Strafrechtliche Ahndungen sind jedoch nur eine von mehreren Komponenten. Verstösse gegen das DSG können oft auch öffentlich-rechtliche oder privatrechtliche Folgen haben, insbesondere die Pflicht zur Wiedergutmachung des Schadens. Die drei oben beschriebenen Einschränkungen gelten nicht für diese anderen Bereiche. Aus privatrechtlicher Sicht ist es daher denkbar, den Geschäftsbetrieb selbst für einen fahrlässigen Verstoss gegen Vorschriften und mit einem Betrag von mehr als 250 000 Franken zu belangen. Diese Haftung ist jedoch in jedem Fall spezifisch festzulegen und wird in der Regel vertraglich geregelt.

Informations-, Auskunfts- und Mitwirkungspflicht (Art. 60 DSG)

Artikel 60 regelt die Informations-, Auskunfts- und Mitwirkungspflichten. Bei den ersten beiden Pflichten geht es vor allem um die direkten oder indirekten Beziehungen zwischen dem Verantwortlichen und der von der Datenbearbeitung betroffenen Person. Dank der Informationspflicht bei der Beschaffung von Daten (Art. 19 DSG) beziehungsweise bei einer automatisierten Datenbearbeitung (Art. 21 DSG) soll die betroffene Person verstehen können, was mit ihren Daten geschehen wird, und aufgrund dieses Wissens entscheiden können. Die Auskunftspflicht (Art. 25 bis 27 DSG) betrifft laufende Datenbearbeitungen und erlaubt der betroffenen Person, über ihre bearbeiteten Personendaten informiert zu werden. Wenn nötig kann sie dann ihre Rechte geltend machen, vermutlich falsche Daten zu berichtigen oder eine ungerechtfertigte Datenbearbeitung zu stoppen. Dies erwähnten Bestimmungen spielen eine zentrale Rolle im Datenschutz, da das Wissen im Rahmen von Datenbeschaffung und -bearbeitung die Voraussetzung für alle weiteren Massnahmen ist. Aus diesen Gründen wird die Verletzung der erwähnten Bestimmungen strafrechtlich geahndet.

Eine Verletzung der Mitwirkungspflicht wird ebenfalls nach Artikel 60 DSG strafrechtlich geahndet. Die Mitwirkungspflicht bezieht sich auf Untersuchungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), wenn der Verdacht besteht, dass eine Datenbearbeitung gegen das DSG verstösst (Art. 49 ff. DSG). Aufgrund der Mitwirkungspflicht wird dieses Verfahren effizienter.

Informationspflicht

Auskunftsrecht

Sorgfaltspflicht (Art. 61 DSG)

Wer im Besitz von Daten von privaten Personen ist, ist dafür auch verantwortlich. Der Verantwortliche muss die Datensicherheit gewährleisten; er muss technische und organisatorische Massnahmen ergreifen, um die Daten insbesondere vor unberechtigten Zugriffen und Verlust zu schützen (Art. 9 Abs. 3 DSG). Er muss auch die Vorschriften zur Übertragung an Auftragsbearbeiter oder zur Bekanntgabe ins Ausland einhalten (Art. 9 und 16 f. DSG). Um die Wirkung des DSG zu verstärken, wird die Verletzung der erwähnten Pflichten nach Art. 61 DSG strafrechtlich geahndet.

Berufliche Schweigepflicht

Die Schweigepflicht nach Art. 62 DSG hat die gleiche Funktion wie das Berufsgeheimnis nach Artikel 321 des Strafgesetzbuchs (StGB), gilt aber weniger uneingeschränkt. Beispielsweise sehen die Prozessordnungen häufig Befreiungen von der Zeugnispflicht für Personen vor, die dem Berufsgeheimnis unterliegen; diese Befreiungen gelten grundsätzlich nicht für Personen, die der Schweigepflicht nach dem DSG unterliegen. Der Kreis der Personen, die der Schweigepflicht unterliegen, ist dafür viel weiter als jener nach Artikel 321 StGB. Jede Person, die folgenden Tatbestand erfüllt, unterliegt potenziell der Schweigepflicht: Es handelt sich um eine Person, die bei der Ausübung ihres Berufes, der die Kenntnis von Daten erfordert, Kenntnis von ebensolchen erlangt hat. Im Gesundheitsbereich sind dies zum Beispiel Naturheilpraktikerinnen und Naturheilpraktiker oder Akupunkteurinnen und Akupunkteure, die nicht unter Artikel 321 StGB fallen. Ansonsten sind die Begriffe «Geheimnis» und «Offenbaren» im gleichen Sinne wie in Artikel 321 StGB auszulegen. Auch der Begriff der Hilfspersonen, die der Schweigepflicht unterliegen (Abs. 2), ist ähnlich wie in Art. 321 StGB. Die Fachperson kann durch die Einwilligung der betroffenen Person von ihrer Schweigepflicht entbunden werden, aber auch aufgrund einer gesetzlichen Bestimmung (z. B. Zeugnispflicht in einem Verfahren oder Meldepflicht wie in Art. 314d des Zivilgesetzbuchs).

Bekanntgabe von Patientendaten

Missachten einer Verfügung des EDÖB

Artikel 63 DSG ist eine allgemeine Bestimmung, die Entscheide des EDÖB stärkt, so zum Beispiel, wenn er nach Art. 51 DSG anordnet, dass eine Datenbearbeitung abgebrochen wird. Der EDÖB kann somit vorsehen, dass die Nichtbefolgung seiner Verfügung eine mögliche Busse nach Art. 63 DSG nach sich zieht. Es handelt sich also um eine analoge Bestimmung zu Artikel 292 StGB.