Art. 19 DSG: Informationspflicht bei der Beschaffung von Personendaten

Funktion und Stellung im System des DSG

Art. 19 DSG verpflichtet den Verantwortlichen zu einer aktiven Information. Er muss von sich aus informieren und nicht erst, wenn die betroffene Person nachfragt rbog-2025-nr-10. Ausgelöst wird die Pflicht durch die Beschaffung von Personendaten. Sie gilt unabhängig davon, ob die Daten bei der betroffenen Person selbst oder bei einem Dritten beschafft werden a-3891-2025.

Nach dem Bundesverwaltungsgericht ergänzt Art. 19 Abs. 1 DSG den allgemeinen Transparenzgrundsatz a-2941-2024. Dieser verlangt, dass Daten nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden (Art. 6 Abs. 3 DSG) 235.1--6. Das Bundesgericht hat zu Art. 18a aDSG festgehalten, die Information solle den Betroffenen ermöglichen, die Zulässigkeit der Beschaffung zu beurteilen. Sie diene damit dem Präventivschutz 148-ii-349.

Abs. 2 verwendet dieselbe Generalklausel wie das Auskunftsrecht in Art. 25 Abs. 2 DSG. Die Auskunft ist das nachgelagerte Gegenstück: Sie wird erst auf Verlangen erteilt und verweist für die Auslandsbekanntgabe ausdrücklich auf die Angaben nach Art. 19 Abs. 4 DSG 235.1--25.

Auch die Einwilligung hängt von der Information ab. Sie ist nur gültig, wenn sie «nach angemessener Information» erteilt wird (Art. 6 Abs. 6 DSG) 235.1--6. Eine mangelhafte Information nach Art. 19 DSG kann daher eine Einwilligung entwerten, auf die sich der Verantwortliche stützen will.

Für automatisierte Einzelentscheidungen gilt zusätzlich die eigene Informationspflicht nach Art. 21 DSG 235.1--21.

Entstehung und zeitliche Geltung: Ausweitung gegenüber dem bisherigen Recht

Kern der Revision ist die Ausweitung der Pflicht. Nach Art. 14 aDSG mussten private Personen nur informieren, wenn sie besonders schützenswerte Personendaten oder Persönlichkeitsprofile beschafften. Bundesorgane waren nach Art. 18a aDSG schon bisher bei jeder Beschaffung informationspflichtig bbl-2017-6941. Nach der Botschaft gilt die Pflicht nun für alle Bearbeitungen durch private Verantwortliche, unter Vorbehalt einzelner Ausnahmen. Ziel ist eine generell bessere Transparenz bbl-2017-6941.

Wie gross dieser Schritt ist, zeigt der Vergleich gleichartiger Fälle:

Altes Recht: Die Beschwerdekammer in Strafsachen des Kantons Bern verneinte bei einem GPS-Tracker an einem Fahrzeug jede Informationspflicht. Das Bewegungsprofil eines Fahrzeugs enthalte weder besonders schützenswerte Personendaten noch sei es ein Persönlichkeitsprofil. Art. 34 aDSG sei daher offensichtlich nicht erfüllt bk-2017-358.
Neues Recht, Thurgau: Das Obergericht Thurgau sieht im Abruf von AirTag-Standortdaten eines fremden Fahrzeugs grundsätzlich eine Beschaffung, die Art. 19 DSG auslöst rbog-2025-nr-10.
Neues Recht, Freiburg: Das Kantonsgericht Freiburg bestätigte für einen GPS-Tracker am Fahrzeug des Bruders einen Schuldspruch nach Art. 19 Abs. 1 und 2 in Verbindung mit Art. 60 Abs. 1 lit. b DSG 501-2025-197.

Ältere Entscheide zur Informationspflicht Privater lassen sich deshalb nicht übertragen, soweit sie auf der früheren Beschränkung auf besonders schützenswerte Daten beruhen.

Im Parlament blieb der Entwurf des Bundesrates (Art. 17 E-DSG) im Kern unverändert:

«Angemessen» in Abs. 1: Der Nationalrat fügte das Wort ein topic-47369.
Abs. 4: Eine Minderheit wollte die Information über die Auslandsbekanntgabe als zu detailliert und unverhältnismässig streichen. Sie unterlag mit 39 zu 157 Stimmen topic-47369.
Abs. 2 lit. d und e: Der Ständerat ergänzte eine Liste der Rechte und einen Hinweis auf Bonitätsprüfungen topic-48166. Der Nationalrat strich beides wieder topic-48528, und der Ständerat schloss sich an topic-48963.

Eine abstrakte Aufzählung der Betroffenenrechte gehört damit nicht zum gesetzlichen Mindestinhalt. Massgebend bleibt aber die Generalklausel von Abs. 2: Die Information muss es der betroffenen Person ermöglichen, ihre Rechte geltend zu machen.

Art. 19 DSG gilt seit dem 1. September 2023 unverändert. Die Übergangsbestimmung für laufende Bearbeitungen nimmt nur die Art. 7, 22 und 23 DSG aus. Auch dies gilt nur, wenn der Zweck unverändert bleibt und keine neuen Daten beschafft werden 235.1--69. Art. 19 DSG ist nicht ausgenommen. Jede neue Beschaffung untersteht daher dem neuen Recht.

EDÖB-Untersuchungen, die bei Inkrafttreten hängig waren, richten sich hingegen nach bisherigem Recht (Art. 70 DSG) 235.1--70:

Der EDÖB beurteilte deshalb die Datenschutzerklärung von Ricardo und TX Group noch nach Art. 4 Abs. 4 und Art. 14 aDSG edob-schlussbericht-vom-11-....
Im Fall «Pfarrer-Check» wurde die Untersuchung erst nach dem Inkrafttreten eröffnet. Das Bundesverwaltungsgericht wandte deshalb das neue DSG an a-2941-2024.

Verpflichtete Person und Anwendungsbereich

Verpflichtet ist allein der Verantwortliche, also wer allein oder zusammen mit anderen über Zweck und Mittel der Bearbeitung entscheidet (Art. 5 lit. j DSG) 235.1--5. Der Auftragsbearbeiter ist nicht selbst informationspflichtig. Nach dem erläuternden Bericht richtet sich Art. 13 DSV einzig an den Verantwortlichen. Dieser muss aber offenlegen, wenn Daten an einen Auftragsbearbeiter bekanntgegeben werden edob-verordnung-uber-den-da.... Das Kantonsgericht Wallis nennt Auftragsbearbeiter als Beispiel für Empfänger im Sinne von Abs. 2 lit. c p3-25-9.

Im Konzern ist die Rollenverteilung heikel. Im Fall Ricardo galt Folgendes edob-schlussbericht-vom-11-...:

Bearbeitungen der TX Group für Zwecke, die Ricardo bestimmt hatte, waren Auftragsbearbeitung.
Für die Bearbeitung zu eigenen und konzernweiten Zwecken war die TX Group selbst verantwortlich oder mitverantwortlich.
Der EDÖB beanstandete, dass diese Rollenverteilung aus der Datenschutzerklärung nicht klar hervorging.

Der Bericht betrifft noch altes Recht. Er zeigt aber, dass eine unklare Zuordnung der Verantwortlichkeit selbst ein Transparenzmangel ist.

Der Anwendungsbereich hat folgende Grenzen:

Nur natürliche Personen: Das DSG gilt nur für Personendaten natürlicher Personen (Art. 2 Abs. 1 DSG) 235.1--2. Juristische Personen sind vom revidierten Gesetz und seinen Strafbestimmungen nicht mehr geschützt (hg220030+1).
Persönlicher Gebrauch: Ausgenommen sind Daten, die eine natürliche Person ausschliesslich zum persönlichen Gebrauch bearbeitet (Art. 2 Abs. 2 lit. a DSG) 235.1--2. Das Kantonsgericht Wallis verneinte diese Ausnahme für eine Kamera an einer Gaststätte. Sie erfasste den Kundenparkplatz und damit Daten ausserhalb der Privatsphäre des Eigentümers p3-25-9.
Verfahren: In Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen geht das Verfahrensrecht vor. Für erstinstanzliche Verwaltungsverfahren gilt hingegen das DSG (Art. 2 Abs. 3 DSG) 235.1--2.
Kantonale Organe: Für sie gilt kantonales Recht, im Kanton Waadt etwa Art. 13 LPrD ge-2026-0008.
Räumlicher Bereich: Das Gesetz erfasst Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Privatrechtliche Ansprüche richten sich nach dem IPRG (Art. 3 DSG) 235.1--3.

Auslöser: der Begriff der Beschaffung

Beschaffen ist eine Form des Bearbeitens (Art. 5 lit. d DSG) 235.1--5. Das Obergericht Thurgau versteht darunter die Tätigkeit, durch die jemand gewollt Kenntnis von den Daten erhält oder die Verfügung darüber begründet. Es verlangt «ein aktives, gezieltes Vorgehen des Verantwortlichen», das «eine gewisse Planmässigkeit» erfordert rbog-2025-nr-10. Nach dieser Umschreibung löst die bloss zufällige Kenntnisnahme die Pflicht nicht aus, der gezielte Abruf hingegen schon.

Im Thurgauer Fall genügte der Abruf über die «Wo ist?»-Funktion. Die Standortdaten waren Personendaten des Beschwerdeführers, weil das Fahrzeug verdachtsweise ausschliesslich von ihm benutzt wurde rbog-2025-nr-10.

Erfasst ist auch die Beschaffung bei Dritten. Das Bundesverwaltungsgericht wandte dies auf ein Inkassounternehmen an, das Daten angeblicher Schuldner überwiegend bei Dritten beschaffte und veröffentlichte. Dass die Betroffenen nachträglich reagieren konnten, ersetzte die Information nicht a-3891-2025.

Inhalt der Information: Generalklausel und Mindestangaben

Abs. 2 hat zwei Ebenen. Die Generalklausel verlangt diejenigen Informationen, die erforderlich sind, damit die betroffene Person ihre Rechte geltend machen kann und die Bearbeitung transparent ist. Die Liste in lit. a–c nennt den Mindestinhalt:

Identität und Kontaktdaten des Verantwortlichen,
Bearbeitungszweck,
gegebenenfalls Empfänger oder Kategorien von Empfängern.

Weitere Angaben sind deshalb geschuldet, wenn der konkrete Fall sie für die Transparenz verlangt. Die Botschaft hebt bei den Empfängern die Kategorien hervor bbl-2017-6941. Das Gesetz lässt wahlweise die Nennung einzelner Empfänger oder von Kategorien genügen.

Massstab ist nach der Rechtsprechung die tatsächlich vorgenommene Bearbeitung. Dazu zwei Fälle:

«Pfarrer-Check»: Ein Verein hatte Pfarrpersonen per E-Mail einen Fragebogen zugestellt und mitgeteilt, die Antworten würden publiziert. Für weitere Informationen verwies er auf seine Website. Das Bundesverwaltungsgericht beanstandete zweierlei. Der Verweis auf die Internetseite genügte nicht, um eine transparente Bearbeitung zu gewährleisten. Zudem war für die Betroffenen nicht erkennbar, dass ihre Daten auch dann publiziert würden, wenn sie den Fragebogen nicht ausfüllten a-2941-2024. Die Information war also gerade über die Bearbeitung unvollständig, die für die Betroffenen am einschneidendsten war.
Ricardo: Der EDÖB verlangte, dass die Datenschutzerklärung erkennen lässt, zu welchen Zwecken welche Personendaten bearbeitet werden und welche Plattformen am Tracking beteiligt sind. Sie müsse zudem die tatsächlich durchgeführten Bearbeitungen wiedergeben edob-schlussbericht-vom-11-....

Wie «angemessen» die Information sein muss, hängt nach der kantonalen Rechtsprechung vom Kontext ab. Das Kantonsgericht Wallis prüfte eine Videoüberwachung am Massstab von Art. 19 Abs. 2 DSG. Ein Hinweisschild an der Eingangstür genügte, obwohl es weder den Zweck noch den Verantwortlichen nannte. Der Zweck war für jeden Benutzer eines Gaststättenparkplatzes klar erkennbar, und als Verantwortlicher kam offensichtlich nur der Eigentümer in Frage p3-25-9. Die Begründung steht der Ausnahme nach Art. 20 Abs. 1 lit. a DSG nahe (betroffene Person verfügt bereits über die Informationen) 235.1--20. Sie ist aber als Einzelfallwertung eines kantonalen Gerichts zu lesen. Sie ist kein Freibrief, auf die Mindestangaben generell zu verzichten.

Form: präzise, verständlich, leicht zugänglich

Nach Art. 13 DSV ist die Information «in präziser, transparenter, verständlicher und leicht zugänglicher Form» mitzuteilen 235.11--13. Eine bestimmte Form schreibt das Gesetz nicht vor. Die Botschaft hält fest, die Information könne «in einfacher, standardisierter Weise erfolgen» bbl-2017-6941.

Der erläuternde Bericht zur DSV präzisiert edob-verordnung-uber-den-da...:

Die betroffene Person soll die wesentlichen Angaben auf der ersten Kommunikationsstufe erhalten.
Weitere Angaben können in einer gegliederten Übersicht verfügbar sein.
Piktogramme wurden aus dem Entwurf gestrichen, weil die Wirtschaft sie in der verlangten Form nicht hätte umsetzen können.

Der EDÖB empfahl im Fall Ricardo einen mehrstufigen Ansatz: Auf der obersten Ebene steht eine knappe Übersicht, über einen Link gelangt man zur ausführlichen Erklärung. Die Datenschutzerklärung müsse leicht auffindbar, nachvollziehbar und übersichtlich sein edob-schlussbericht-vom-11-.... Mit dem «Pfarrer-Check»-Urteil lässt sich dies so verbinden: Ein Link auf weiterführende Informationen ist zulässig, wenn die erste Stufe die wesentlichen Angaben selbst enthält. Ein Link genügt aber nicht, wenn er die Information über einschneidende Bearbeitungen ersetzen soll a-2941-2024.

Beschaffung bei Dritten: Datenkategorien und Monatsfrist

Werden die Daten nicht bei der betroffenen Person beschafft, verschärft das Gesetz die Pflicht in zwei Richtungen:

Inhalt: Zusätzlich sind die Kategorien der bearbeiteten Personendaten mitzuteilen (Abs. 3). Die betroffene Person weiss hier nicht aus eigener Mitwirkung, welche Daten erhoben wurden a-2941-2024.
Zeitpunkt: Die Information ist spätestens einen Monat nach Erhalt der Daten zu erteilen. Werden die Daten vorher bekanntgegeben, spätestens im Zeitpunkt der Bekanntgabe (Abs. 5).

Das Bundesverwaltungsgericht hat die Monatsfrist im Inkassofall angewandt. Die Betroffenen hätten spätestens einen Monat nach Erhalt der Daten die nötigen Informationen erhalten müssen. Eine Ausnahme nach Art. 20 DSG lag nicht vor a-3891-2025. Die Regel über die vorzeitige Bekanntgabe ist in diesem Fall besonders bedeutsam: Wer Daten veröffentlicht, muss spätestens bei der Veröffentlichung informieren. Die Monatsfrist darf er nicht ausschöpfen.

Die Botschaft nennt die Monatsfrist für die Drittbeschaffung, ohne den Fristbeginn näher zu erläutern bbl-2017-6941. Im Nationalrat beantragte eine Minderheit, die Frist nur auf die Angaben nach Abs. 2 und 3 zu beziehen. Folgerichtig zu ihrem Antrag auf Streichung von Abs. 4 unterlag sie topic-47369. Die Frist gilt deshalb auch für die Angaben zur Auslandsbekanntgabe.

Für kantonale Organe sieht das kantonale Recht eigene Zeitpunkte vor. Das Waadtländer Recht verlangt bei Drittbeschaffung eine schriftliche Information spätestens bei der Erfassung der Daten ge-2026-0008. Das Waadtländer Verwaltungsgericht folgerte daraus, die Information müsse nicht vor der Beschaffung erfolgen, sondern könne aufgeschoben werden ge-2014-0110.

Bekanntgabe ins Ausland

Werden Personendaten ins Ausland bekanntgegeben, sind nach Abs. 4 zusätzlich anzugeben:

der Staat oder das internationale Organ,
gegebenenfalls die Garantien nach Art. 16 Abs. 2 DSG oder die Anwendung einer Ausnahme nach Art. 17 DSG.

Die Botschaft betont, die betroffene Person müsse insbesondere den Namen des Drittstaats kennen bbl-2017-6941. Der Antrag, diesen Absatz als unverhältnismässig zu streichen, scheiterte im Nationalrat deutlich topic-47369.

Die Systematik ergibt sich aus Art. 16 und 17 DSG. Ohne Angemessenheitsentscheid des Bundesrates ist die Bekanntgabe nur bei geeigneten Garantien zulässig, etwa bei Standarddatenschutzklauseln oder verbindlichen unternehmensinternen Datenschutzvorschriften 235.1--16. Andernfalls braucht es einen Ausnahmetatbestand, etwa eine ausdrückliche Einwilligung oder einen unmittelbaren Zusammenhang mit einem Vertrag 235.1--17. Die Angaben nach Abs. 4 müssen deshalb zur gewählten Rechtsgrundlage passen. Ist der Staat durch Bundesratsentscheid als angemessen anerkannt, genügt nach dem Wortlaut die Nennung des Staates, denn Garantien und Ausnahmen sind nur «gegebenenfalls» mitzuteilen.

Für die USA verlangt der EDÖB zusätzliche Garantien nach Art. 16 Abs. 2 DSG, solange kein Angemessenheitsentscheid greift edob-31-tatigkeitsbericht-2.... In solchen Fällen sind die Garantien folglich anzugeben.

Ausnahmen und Einschränkungen (Art. 20 DSG)

Art. 20 DSG unterscheidet zwei Arten von Tatbeständen 235.1--20.

Die Pflicht entfällt (Abs. 1 und 2), wenn

die betroffene Person bereits über die Informationen verfügt,
die Bearbeitung gesetzlich vorgesehen ist,
der private Verantwortliche gesetzlich zur Geheimhaltung verpflichtet ist,
die Voraussetzungen von Art. 27 DSG erfüllt sind.

Bei Drittbeschaffung entfällt sie zudem, wenn die Information nicht möglich ist oder einen unverhältnismässigen Aufwand erfordert.

Der Verantwortliche kann die Information einschränken, aufschieben oder darauf verzichten (Abs. 3), wenn

überwiegende Interessen Dritter dies erfordern,
die Information den Zweck der Bearbeitung vereiteln würde,
bei Privaten: überwiegende eigene Interessen bestehen und die Daten nicht Dritten bekanntgegeben werden; Konzerngesellschaften gelten dabei nicht als Dritte (Abs. 4),
bei Bundesorganen: überwiegende öffentliche Interessen dies erfordern oder ein Verfahren gefährdet wäre.

Die Entstehung zeigt, wie eng der Gesetzgeber die Ausnahmen fassen wollte. Der Nationalrat hatte die Ausnahme des unverhältnismässigen Aufwands auch auf die direkte Beschaffung erstrecken wollen. Er gab dies in der Differenzbereinigung auf, weil Entwurf und europäisches Recht sie nur bei Drittbeschaffung zulassen. Beim Gruppenprivileg setzte sich ein Kompromiss des Ständerats durch topic-48528. Der Wortlaut beschränkt den unverhältnismässigen Aufwand deshalb bewusst auf Abs. 2.

Zur gesetzlich vorgesehenen Bearbeitung liegt ein Leitentscheid des Bundesgerichts zum alten Recht vor (Art. 18a Abs. 4 lit. a aDSG). Bei der Amtshilfe in Steuersachen regelt das StAhiG ausdrücklich die Übermittlung von Daten Dritter und deren Information. Die allgemeine vorgängige Informationspflicht nach dem DSG entfällt deshalb. Das Bundesgericht behielt aber vor, dass bei besonders schützenswerten Daten im Einzelfall eine vorgängige Information geboten sein kann 148-ii-349. Daraus folgt für Art. 20 Abs. 1 lit. b DSG: Die Spezialnorm muss die Bearbeitung hinreichend bestimmt vorsehen. Bei besonders sensiblen Daten bleibt eine Einzelfallprüfung vorbehalten. Diese Übertragung stützt sich auf einen Entscheid zum alten Recht.

Dass eine Ausnahme nicht leichthin angenommen wird, zeigt die Rechtsprechung des Bundesverwaltungsgerichts zur FINMA. Für die eigenen Daten des Beschwerdeführers war keine Einschränkung nach Art. 18b aDSG ersichtlich. Die unterbliebene Information war rechtswidrig 2024iv-2.

Zum Aufschub bei überwiegenden Interessen gibt es einen kantonalen Anwendungsfall. Das Waadtländer Verwaltungsgericht anerkannte unter kantonalem Recht: Eine Gemeinde, die einen Vertragsschluss erwog, durfte über eine Detektei Daten über den künftigen Vertragspartner zunächst ohne dessen Wissen beschaffen. Sie informierte ihn später über den Zweck und ergänzte die Angaben auf sein Gesuch hin ge-2014-0110. Der Entscheid zeigt die Logik des Aufschubs: Die Information wird nachgeholt und nicht endgültig unterlassen.

Wie streng der Massstab an solche Vorbehalte ist, zeigt ein Entscheid des Bundesgerichts zum kantonalen Polizeirecht. Es hob eine Norm auf, nach der die nachträgliche Mitteilung einer präventiven verdeckten Fahndung pauschal aufgeschoben oder unterlassen werden konnte, «wenn dies zum Schutz überwiegender öffentlicher oder privater Interessen notwendig ist». Die Mitteilung sei Voraussetzung des Rechtsschutzes 1c-39-2021. Der Entscheid betrifft nicht das DSG. Er stützt aber analog, dass ein Verzicht nach Art. 20 Abs. 3 DSG konkret begründete Interessen voraussetzt.

Strafrechtlich gilt: Wer gestützt auf Art. 20 DSG berechtigterweise von einer Information absieht, macht sich nicht strafbar rbog-2025-nr-10. Die Ausnahmen sind deshalb schon bei der Beurteilung des Tatbestands zu prüfen. Im Thurgauer Fall musste das Verfahren mangels Abklärungen zu Art. 20 Abs. 1 und 3 lit. a–c DSG an die Staatsanwaltschaft zurückgewiesen werden rbog-2025-nr-10.

Erkennbarkeit bei Videoüberwachung und verdeckter Beschaffung

Ein wichtiges Anwendungsfeld ist die private Videoüberwachung. Die Rechtsprechung entwickelte sich hier am Erkennbarkeitsgrundsatz (Art. 4 Abs. 4 aDSG, heute Art. 6 Abs. 3 DSG) und verbindet ihn heute mit Art. 19 DSG.

Zeitpunkt der Information: Nach dem Bundesgericht müssen Personen informiert sein, bevor sie das Sichtfeld der Kamera betreten. Im konkreten Fall genügten Kleber, die bloss «von aussen» sichtbar waren, nicht ohne weitere Abklärungen. Das Bundesgericht wies die Sache zur Ergänzung des Sachverhalts zurück 6b-768-2022. Diesen Massstab übernahm das Kantonsgericht Wallis unter neuem Recht. Es ergänzte ihn um die Mindestangaben nach Art. 19 Abs. 2 DSG p3-25-9. Die Erkennbarkeit ist eine Tatfrage, die abgeklärt werden muss. Die Genfer Beschwerdekammer wies deshalb eine Sache zurück, damit geprüft werde, ob die Überwachung für die Benutzer «reconnaissable, visible, apparente et suffisamment discernable» sei acpr-685-2023.

Nicht erkennbare Aufzeichnung: Eine fortlaufende Dashcam-Aufzeichnung ist nach dem Bundesgericht für die Betroffenen nicht erkennbar. Sie war ohne Rechtfertigung widerrechtlich. Die Aufnahmen waren im Strafverfahren nach Interessenabwägung nicht verwertbar 147-iv-16.

Rechtfertigung trotz Transparenzmangel: Mehrere Entscheide lassen die Erkennbarkeit offen, weil ein überwiegendes Interesse die Bearbeitung jedenfalls rechtfertigt:

Bei einer Bancomat-Kamera bejahte das Bundesgericht ein Sicherheitsinteresse an der Verhinderung und Aufklärung von Straftaten 7b-797-2023.
Die Beschwerdekammer Bern bejahte eine Rechtfertigung bei einer anlassbezogenen Überwachung des eigenen Parkplatzes nach wiederholten Beschädigungen. Entscheidend waren die Beschränkung auf das Notwendige und eine Aufnahmedauer von zunächst 34 Minuten pro Tag. Das Gericht betonte, Rechtfertigungsgründe bei Verstössen gegen die Bearbeitungsgrundsätze seien nur mit grosser Zurückhaltung zu bejahen bk-2021-532.

Verdeckte Überwachung im Arbeitsverhältnis: Nach dem Bundesgericht deckt der allgemeine Hinweis auf mögliche Kontrollen den verdeckten Einsatz einer Spionagesoftware nicht. Der Arbeitnehmer war zwar über die Möglichkeit von Kontrollen informiert worden, «ma certamente non delle modalità invasive e sproporzionate» (aber sicher nicht über die invasiven und unverhältnismässigen Modalitäten). Das Gutachten war unverwertbar, und die Kündigung fiel dahin 139-ii-7. Der Entscheid stützt sich auf das Arbeitsrecht (Art. 26 ArGV 3) und das öffentliche Personalrecht. Für Art. 19 DSG folgt daraus sinngemäss: Die Information muss die konkrete Art der Bearbeitung erfassen.

In dieselbe Richtung geht ein Genfer Entscheid nach kantonalem Recht. Badge-Daten, die nach dem Hinweis «en cas de soupçon de malversation» (bei Verdacht auf Verfehlungen) erhoben wurden, durften nicht zur Arbeitszeitkontrolle verwendet werden. Der Zweck war nicht erkennbar, und die Daten waren zu vernichten ata-1316-2024. Im privaten Arbeitsverhältnis verweist Art. 328b OR im Übrigen auf das DSG 220--328b.

Folgen einer Verletzung

Zivilrechtlicher Persönlichkeitsschutz

Eine Persönlichkeitsverletzung liegt insbesondere vor, wenn Personendaten entgegen den Grundsätzen von Art. 6 DSG bearbeitet werden (Art. 30 Abs. 2 lit. a DSG) 235.1--30. Sie ist widerrechtlich, wenn sie nicht durch Einwilligung, überwiegendes privates oder öffentliches Interesse oder Gesetz gerechtfertigt ist (Art. 31 Abs. 1 DSG) 235.1--31. Die Klagen richten sich nach Art. 28 ff. ZGB. Verlangt werden kann namentlich, dass eine Bearbeitung verboten wird oder Daten gelöscht werden (Art. 32 Abs. 2 DSG) 235.1--32.

Art. 30 Abs. 2 lit. a DSG nennt Art. 19 DSG nicht ausdrücklich. Ein Informationsmangel lässt sich aber über den Transparenzgrundsatz erfassen. Im Inkassofall stützte das Bundesverwaltungsgericht die Persönlichkeitsverletzung bereits auf Art. 6 Abs. 3 DSG. Ob zusätzlich Art. 19 DSG verletzt war, liess es offen a-3891-2025. Eine Rechtfertigung ist bei Verstössen gegen die Bearbeitungsgrundsätze nicht ausgeschlossen. Sie darf aber nur mit grosser Zurückhaltung bejaht werden. Im Fall Logistep genügten weder das wirtschaftliche Interesse noch das Interesse an der Bekämpfung von Urheberrechtsverletzungen, um die verdeckte Erhebung von IP-Adressen zu rechtfertigen 136-ii-508. Zu den Fällen der Videoüberwachung, in denen eine Rechtfertigung bejaht wurde, siehe den Abschnitt zur Erkennbarkeit bei Videoüberwachung und verdeckter Beschaffung.

Ein Informationsmangel führt nicht automatisch zur Löschung. Gegenüber der FINMA stellte das Bundesverwaltungsgericht fest, die unterbliebene Information sei rechtswidrig. Die Löschung des Eintrags verweigerte es dennoch, weil die Bearbeitung im Übrigen zulässig war 2024iv-2. Ob der Mangel eine Löschung rechtfertigt, hängt also davon ab, ob die Bearbeitung auch materiell unzulässig ist.

Aufsicht durch den EDÖB

Der EDÖB eröffnet eine Untersuchung von Amtes wegen oder auf Anzeige, wenn genügend Anzeichen für einen Verstoss bestehen. Bei Verletzungen von geringfügiger Bedeutung kann er davon absehen (Art. 49 Abs. 1 und 2 DSG) 235.1--49. Er kann insbesondere anordnen, dass der Verantwortliche die betroffenen Personen nach Art. 19 DSG informiert (Art. 51 Abs. 3 lit. c DSG). Hat der Verantwortliche während der Untersuchung die nötigen Massnahmen getroffen, kann sich der EDÖB auf eine Verwarnung beschränken (Art. 51 Abs. 5 DSG) 235.1--51. In den beiden Urteilen des Bundesverwaltungsgerichts zum neuen Recht diente der Transparenzmangel als Begründung für weitergehende Massnahmen: Unterlassung der Publikation und Löschung der Daten (a-3891-2025+1).

Strafbarkeit

Private Personen werden auf Antrag mit Busse bis zu 250 000 Franken bestraft, wenn sie es vorsätzlich unterlassen, nach Art. 19 Abs. 1 DSG zu informieren oder die Angaben nach Art. 19 Abs. 2 DSG zu liefern. Strafbar ist auch, wer vorsätzlich eine falsche oder unvollständige Auskunft erteilt (Art. 60 Abs. 1 DSG) 235.1--60. Der Unterlassungstatbestand nennt ausdrücklich nur Abs. 1 und 2. Die zusätzlichen Angaben nach Abs. 3 und 4 sowie die Frist nach Abs. 5 sind dort nicht aufgeführt. Bundesorgane sind nicht erfasst.

Die Genfer Beschwerdekammer betont den Vorsatz und das Antragserfordernis acpr-239-2025. Juristische Personen sind nicht antragsberechtigt, da sie nicht mehr geschützt sind bk-2025-65. Zum Ausschluss der Strafbarkeit bei berechtigtem Verzicht nach Art. 20 DSG siehe den Abschnitt zu den Ausnahmen.

Das Kantonsgericht Freiburg bestätigte einen Schuldspruch wegen eines während einiger Tage angebrachten GPS-Trackers. Es setzte die Busse aber von 20 000 auf 4 000 Franken herab. Massgebend war, dass Verletzung und Folgen begrenzt blieben und es sich um eine einmalige Tat handelte 501-2025-197.

Weitere Regeln:

Geschäftsbetriebe: Für Widerhandlungen in Geschäftsbetrieben gelten Art. 6 und 7 VStrR. Bei Bussen bis 50 000 Franken kann anstelle der verantwortlichen Personen der Betrieb verurteilt werden (Art. 64 DSG) 235.1--64.
Zuständigkeit: Verfolgung und Beurteilung obliegen den Kantonen. Der EDÖB kann Anzeige erstatten und die Rechte einer Privatklägerschaft wahrnehmen (Art. 65 DSG) 235.1--65.
Verjährung: Die Strafverfolgung verjährt nach fünf Jahren (Art. 66 DSG) 235.1--66.

Hinweise für die Praxis

Rollen klären: Vorab ist zu bestimmen, wer Verantwortlicher ist. Bei Konzernsachverhalten ist die Rollenverteilung in der Information offenzulegen.
Information an der tatsächlichen Bearbeitung ausrichten: Insbesondere einschneidende Bearbeitungen wie eine Veröffentlichung sind auf der ersten Stufe ausdrücklich zu nennen. Ein blosser Verweis auf eine Website reicht dafür nicht.
Drittbeschaffung: Datenkategorien nennen. Die Monatsfrist überwachen und spätestens im Zeitpunkt einer früheren Bekanntgabe informieren.
Auslandsbekanntgabe: Staat und je nach Rechtsgrundlage die Garantien oder die Ausnahme angeben.
Ausnahmen dokumentieren: Wer sich auf Art. 20 DSG stützt, sollte die konkreten Interessen festhalten. Davon hängt die zivil-, aufsichts- und strafrechtliche Beurteilung ab.
Videoüberwachung: Hinweise so anbringen, dass sie vor dem Betreten des Erfassungsbereichs wahrnehmbar sind.