Merkblatt betreffend die Untersuchung von Verstössen gegen Datenschutzvorschriften durch den EDÖB

Stand: Oktober 2024

Dieses Merkblatt fasst die (separat publizierten) ausführlichen Darlegungen des EDÖB zu den Art. 49-53 DSG zusammen.

I Einleitung

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat als Aufsichtsorgan im Bereich des Datenschutzes sicherzustellen, dass Bundesorgane und Privatpersonen die bundesrechtlichen Datenschutzvorschriften einhalten, das heisst das Bundesgesetz über den Datenschutz vom 25. September 2020 (DSG) wie auch die übrigen Datenschutzvorschriften des Bundes (vgl. Art. 4 Abs. 1 DSG) (hier nachfolgend: Datenschutzvorschriften). Zu seiner Aufsichtstätigkeit gehört die Untersuchung von Verstössen gegen die Datenschutzvorschriften (vgl. Art. 49 ff. DSG) und gegebenenfalls die Anordnung von Verwaltungsmassnahmen zur Durchsetzung dieser Vorschriften (vgl. Art. 51 DSG).

Dieses Merkblatt soll einen kurzen Überblick über das Instrument der Untersuchung vermitteln. Es fasst die (separat publizierten) ausführlichen Darlegungen des EDÖB zu den Art. 49-53 DSG (nachfolgend zit. EDÖB, Anwendung) zusammen.

II Anlass und Zweck der Untersuchung 1

Das DSG sieht vor, dass der EDÖB eine Untersuchung eröffnet, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte (vgl. Art. 49 Abs. 1 DSG). Die Untersuchung stellt ein förmliches Verwaltungsverfahren dar. Es dient der Erhebung und Feststellung des rechtserheblichen Sachverhalts und ermöglicht die rechtliche Beurteilung, ob der festgestellte Sachverhalt gegen Datenschutzvorschriften verstösst. Führt die Untersuchung zum Ergebnis, dass ein Verstoss gegen Datenschutzvorschriften vorliegt, ist der EDÖB unter den Voraussetzungen von Art. 51 DSG befugt, Verwaltungsmassnahmen anzuordnen.

Die Eröffnung der Untersuchung kann von Amtes wegen oder auf Anzeige hin erfolgen; die ersten Anzeichen für einen möglichen Verstoss gegen Datenschutzvorschriften können also auf Wahrnehmungen zurückgehen, welche der EDÖB im Zuge seiner gesetzlichen Aufsichts- oder

1 Vgl. zum Nachfolgenden EDÖB, Anwendung, Art. 49 N 4 f. und N 18.

Beratungstätigkeit gemacht hat, oder aber ganz oder teilweise auf Schilderungen Betroffener oder Dritter (z.B. Medienhäuser oder Konsumentenschutzorganisationen) beruhen.

Die Anzeige an den EDÖB erfolgt idealerweise über das Webseitenformular des EDÖB, kann grundsätzlich aber in beliebiger Form ergehen. An eine Frist ist die Anzeige nicht gebunden; allerdings sollte der angezeigte Sachverhalt eine gewisse Aktualität aufweisen, damit der EDÖB für den Fall, dass ein Verstoss gegen Datenschutzvorschriften vorliegt, auch rechtzeitig geeignete Verwaltungsmassnahmen nach Art. 51 DSG anordnen kann. Für die Behandlung einer Anzeige werden keine Gebühren erhoben (vgl. Art. 59 DSG Umkehrschluss).

III Adressaten und Gegenstand der Untersuchung 2

Adressaten der Untersuchung sind Bundesorgane oder private Personen (natürliche oder juristische Personen - insbesondere Unternehmungen).

Die Untersuchung erstreckt sich auf sämtliche Sachverhalte, auf welche das DSG oder andere (bereichsspezifische) Datenschutzvorschriften des Bundes anwendbar sind.

Dem Gesetzeswortlaut nach eröffnet der EDÖB eine Untersuchung, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte (vgl. Art. 49 Abs. 1 DSG). Der Begriff der «Datenbearbeitung» ist in einem weiten Sinn zu verstehen: Die Eröffnung einer Untersuchung ist immer dann möglich, wenn auch Verwaltungsmassnahmen nach Art. 51 DSG angeordnet werden können. Sie ist also auch zulässig, wenn genügend Anzeichen dafür bestehen, dass die Verantwortlichen Ordnungsvorschriften oder Pflichten gegenüber Betroffenen missachten, z.B. bei einem Datenverlust entgegen Art. 24 DSG den EDÖB oder gegebenenfalls die betroffenen Personen nicht informieren (vgl. Art. 51 Abs. 3 Bst. f DSG).

IV. «Genügend Anzeichen» für einen Verstoss 3

Während der EDÖB bei Datenbearbeitungen durch Privatpersonen bisher nur dann eine Sachverhaltsabklärung eröffnen durfte, wenn die Bearbeitungsmethoden geeignet waren, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler), fällt diese Schwelle unter dem revidierten Recht weg. Neu sind die Voraussetzungen zur Eröffnung einer Untersuchung dieselben, ob sich die Untersuchung gegen ein Bundesorgan oder gegen eine Privatperson richtet: Es müssen lediglich genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte (vgl. Art. 49 Abs. 1 DSG). Der EDÖB darf eine Untersuchung also unabhängig von der Anzahl potentiell betroffener Personen eröffnen.

«Genügend Anzeichen» werden dann gegeben sein, wenn die Anzeichen zur Annahme berechtigen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte. Es muss mit einer gewissen Wahrscheinlichkeit davon ausgegangen werden können, dass dies der Fall ist. Mit anderen Worten kann nicht jeder noch so vage Hinweis auf einen vielleicht vorliegenden Verstoss eine Pflicht zur Untersuchung begründen. Staatliches Handeln muss von Verfassungs wegen stets im öffentlichen Interesse liegen und verhältnismässig sein.

2 Vgl. zum Nachfolgenden EDÖB, Anwendung, Art. 49 N 6 f. 3 Vgl. zum Nachfolgenden ausführlich EDÖB, Anwendung, Art. 49 N 9 ff.

V Informelle Vorabklärungen 4

Liegen dem EDÖB erste Hinweise auf einen Verstoss gegen Datenschutzvorschriften vor, prüft er im Rahmen informeller Vorabklärungen, ob sämtliche Voraussetzungen für eine Untersuchung gegeben sind. Das Stadium der Vorabklärungen weist einen formlosen Charakter auf. Es findet noch kein formelles Verwaltungsverfahren statt, und das Bundesgesetz über das Verwaltungsverfahren (VwVG) ist dementsprechend nicht anwendbar.

Gegenstand informeller Vorabklärungen kann etwa sein, ob der EDÖB zuständig ist oder gegen wen sich eine Untersuchung richten müsste. Sodann ist denkbar, dass sich eine Untersuchung im Laufe der Vorabklärung erübrigt, namentlich, weil unbestimmte Hinweise auf einen Gesetzesverstoss rasch entkräftet werden können, oder aber, weil die Privatperson oder das Bundesorgan auf eine niederschwellige Intervention des EDÖB hin freiwillig Massnahmen zur zeitgerechten Herstellung der Datenschutzkonformität ergreift oder beraten werden möchte, wie die Datenschutzkonformität erreicht werden kann. Weiter kann sich trotz genügender Anzeichen für einen Verstoss ergeben, dass eine Untersuchung im konkreten Fall nicht angezeigt ist, weil die Verletzung der Datenschutzvorschriften von geringfügiger Bedeutung ist (vgl. Art. 49 Abs. 2 DSG und dazu ausführlich hinten VII. 1.).

In Fällen, in denen zum vornherein absehbar wird, dass es nicht möglich ist, einen potentiellen Verstoss mit einem vernünftigen verwaltungsökonomischen Aufwand nachzuweisen und hernach den rechtmässigen Zustand durchzusetzen, wird der EDÖB auch bei Verstössen, die nicht von geringfügiger Bedeutung sind, von der Durchführung einer Untersuchung absehen respektive diese nach der Eröffnung frühzeitig einstellen müssen. In der digitalen Realität können zu beurteilenden Bearbeitungen und Projekte (beispielsweise Apps) sodann sehr kurzlebig sein. Es kann deshalb in gewissen Konstellationen zielführender sein, wenn der EDÖB den rechtmässigen Zustand in einer ersten Phase mit informellen Kontaktnahmen zeitnah herbeizuführen sucht, ehe er ein zeitintensives Verwaltungsverfahren in die Wege leitet.

Im Rahmen der Vorabklärungen geht es darum, aus öffentlich zugänglichen Quellen, aber auch vom Verantwortlichen selbst, von betroffenen Personen oder von Dritten – beispielsweise Konsumentenschutzorganisationen – nähere Informationen zu einem eventuellen Verstoss gegen Datenschutzvorschriften zu beschaffen. Die Beantwortung von Fragen oder die Anpassung der Datenbearbeitung im Nachgang zu einer niederschwelligen Intervention des EDÖB ist in diesem Stadium freiwillig; den Verantwortlichen treffen – anders als während einer formellen Untersuchung – keine Mitwirkungspflichten (zu den Mitwirkungspflichten in einer Untersuchung vgl. hinten VIII. 3.). Allerdings kann die Verweigerung der freiwilligen Mitwirkung den EDÖB dazu veranlassen, den Verantwortlichen durch Eröffnung einer Untersuchung zu einer solchen zu verpflichten. Liefert der Verantwortliche im Rahmen der Vorabklärungen freiwillig schlüssige Argumente dafür, dass kein Verstoss gegen Datenschutzvorschriften vorliegt, erübrigt sich die Eröffnung einer Untersuchung in aller Regel. Ergeben sich demgegenüber genügend Anzeichen für einen Verstoss und sind auch die weiteren Voraussetzungen für eine Untersuchung gegeben, eröffnet der EDÖB eine solche.

VI Rechtsstellung von Anzeigerinnen und Anzeigern5

Der EDÖB ist verpflichtet, auf die Anzeige einer betroffenen Person oder von Drittpersonen hin eine Untersuchung zu eröffnen, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte (vgl. Art. 49 Abs. 1 DSG). Er hat entsprechenden Anzeigen demnach nachzugehen und zu prüfen, ob eine Untersuchung einzuleiten ist.

Gemäss dem Gesetzeswortlaut hat die anzeigende Person im Untersuchungsverfahren nicht die Rechtsstellung einer Partei. Partei ist nur das Bundesorgan oder die private Person, gegen das oder die eine Untersuchung eröffnet wurde (vgl. Art. 52 Abs. 2 DSG).

4 Vgl. zum Nachfolgenden ausführlich EDÖB, Anwendung, Art. 49 N 12 ff. 5 Vgl. zum Nachfolgenden ausführlich EDÖB, Anwendung, Art. 49 N 19 f. und N 21 ff.

Geht die Anzeige von einer Drittperson aus, die von der potentiellen Datenschutzverletzung nicht betroffen ist, hat diese weder einen Anspruch auf Behandlung der Anzeige noch muss der EDÖB sie über sein Vorgehen informieren (vgl. Art. 49 Abs. 4 DSG Umkehrschluss). In Fällen von allgemeinem Interesse informiert Letzterer indessen gestützt auf Art. 57 Abs. 2 DSG die Öffentlichkeit.

Stammt die Anzeige von einer Person, die von einer potentiellen Datenschutzverletzung selber betroffen ist, hält Art. 49 Abs. 4 DSG fest, dass der EDÖB die betroffene Person über die unternommenen Schritte und das Ergebnis einer allfälligen Untersuchung informieren muss.

VII Untersuchungspflicht des EDÖB6

Keine Untersuchungspflicht bei Verstössen von geringfügiger Bedeutung

Der EDÖB kann von einer Untersuchung absehen, wenn die Verletzung der Datenschutzvorschriften von geringfügiger Bedeutung ist (vgl. Art. 49 Abs. 2 DSG). Die Pflicht zur Eröffnung einer Untersuchung entfällt in Fällen geringfügiger Verletzungsintensität, also in Fällen, in denen die allfällige Verletzung der Privatsphäre oder informationellen Selbstbestimmung der potentiell betroffenen Personen von so geringfügiger Intensität ist, dass von der Eröffnung einer Untersuchung abgesehen werden kann. Die unbestimmte Begrifflichkeit der «geringfügigen Bedeutung» respektive «Bedeutung» des Verstosses lässt sodann einen gewissen Spielraum, um die Auslegung weiter zu konkretisieren. Für die Praxis muss einerseits der Wille des Gesetzgebers wegleitend sein, dass die Untersuchungspflicht des EDÖB den für die Schweiz verbindlichen Vorgaben auf europäischer Ebene entspricht und die Schweiz ein angemessenes Datenschutzniveau gewährleistet. Andererseits ist der EDÖB bestrebt, seine Untersuchungskompetenzen über das gesetzlich geforderte Minimum hinaus auszuschöpfen, indem er – soweit es seine Ressourcen erlauben – auch dann zu Untersuchungen schreiten wird, wenn er zu solchen befugt, aber nicht verpflichtet ist.

Untersuchungspflicht bei Verstössen von Bedeutung

Nach bisherigem Recht bestand eine Pflicht, Untersuchungen zu eröffnen, bei Verstössen durch Bundesorgane (vgl. Art. 27 aDSG) oder durch private Personen, wenn eine grössere Anzahl von Personen betroffen war (vgl. den Wortlaut von Art. 29 Abs. 1 Bst. a aDSG). Neu untersucht der EDÖB jeden Fall, in welchem die Verletzung der Datenschutzvorschriften nicht von geringfügiger Bedeutung und damit von Bedeutung ist (vgl. Art. 49 Abs. 2 DSG Umkehrschluss; siehe auch vorne VII. 1.). Das Kriterium des bedeutenden Verstosses kann somit auch gegeben sein, wenn private Personen die Daten einiger weniger Personen oder einer Einzelperson bearbeiten. Erfährt der EDÖB von Amtes wegen oder auf die Anzeige einer Drittperson hin von einem potentiellen Verstoss, kann er z.B. trotz eines kleinen Kreises von Betroffenen untersuchungspflichtig werden, wenn sich der Verstoss mit hoher Verletzungsintensität auf deren Privatsphäre auswirken könnte.

Hat eine betroffene Person beim EDÖB Anzeige erstattet und erweist sich der angezeigte Verstoss gegen Datenschutzvorschriften als bedeutend, ist der EDÖB verpflichtet, eine Untersuchung zu eröffnen und die betroffene Person über deren Ergebnis zu informieren (vgl. Art. 49 Abs. 4 DSG). Ehe er ein zeitintensives Verwaltungsverfahren eröffnet, kann er in einer ersten Phase versuchen, den rechtmässigen Zustand mittels informeller Kontaktnahme zeitnah herzustellen.

6 Vgl. zum Nachfolgenden ausführlich EDÖB, Anwendung, Art. 49 N 27 ff.

VIII Untersuchungsverfahren

1 Einleitung

Nach bisherigem Recht erfolgte die Abklärung des Sachverhalts und der Frage, ob ein Verstoss gegen Datenschutzvorschriften vorliegt, im Rahmen einer Sachverhaltsabklärung, welche der EDÖB gegebenenfalls mit einer rechtlich nicht durchsetzbaren Empfehlung abschloss, eine bestimmte Datenbearbeitung zu ändern oder zu unterlassen. Unter dem revidierten Datenschutzgesetz erfolgt die Untersuchung des Sachverhalts im Rahmen eines förmlichen Verwaltungsverfahrens, das sich nach dem Verwaltungsverfahrensgesetz des Bundes (VwVG) richtet (vgl. Art. 52 Abs. 1 DSG).

Stellt der EDÖB als Ergebnis des Untersuchungsverfahrens einen Verstoss gegen Datenschutzvorschriften fest, hat er die Kompetenz, eine Verwaltungsmassnahme anzuordnen, also eine rechtlich durchsetzbare Verfügung im Sinne von Art. 5 VwVG, welche der Verantwortliche vor Bundesverwaltungsgericht anfechten muss, wenn er sich ihr nicht unterziehen will. Der EDÖB kann z.B. verfügen, dass eine Datenbearbeitung angepasst, unterbrochen oder abgebrochen wird oder Personendaten gelöscht werden (vgl. zu den Verwaltungsmassnahmen ausführlicher hinten VIII. 5.).

2 Eröffnung des Untersuchungsverfahrens 7

Die Eröffnung einer Untersuchung stellt eine verwaltungsinterne Handlung und keine anfechtbare Verfügung dar. Der EDÖB teilt dem Bundesorgan oder der privaten Person die Eröffnung einer Untersuchung mittels Eröffnungsschreiben mit und verschickt in der Regel gleichzeitig einen Fragenkatalog, mit welchem er gestützt auf Art. 49 Abs. 3 DSG die zur Klärung des Sachverhalts erforderlichen Auskünfte und Unterlagen einverlangt (siehe hinten VIII. 3.).

3 Mitwirkungspflicht der Verfahrenspartei 8

Im Untersuchungsverfahren, das sich nach dem Verwaltungsverfahrensgesetz (VwVG) richtet, stellt der EDÖB den Sachverhalt von Amtes wegen fest (vgl. Art. 52 Abs. 1 DSG i.V.m. Art. 12 VwVG). Es gilt die Untersuchungsmaxime, wonach es Sache der Behörde ist, den Sachverhalt festzustellen.

Allerdings ist die Verfahrenspartei – das Bundesorgan oder die Privatperson, gegen das oder die eine Untersuchung eröffnet wurde – verpflichtet, an der Feststellung des Sachverhalts mitzuwirken. So muss sie dem EDÖB alle Auskünfte erteilen und alle Unterlagen zur Verfügung stellen, welche für die Untersuchung notwendig sind, unterliegt also einer Auskunfts- und Editionspflicht (vgl. Art. 49 Abs. 3 Satz 1 DSG). Unter bestimmten Voraussetzungen besteht ein Auskunftsverweigerungsrecht.

Kommt die Verfahrenspartei der Auskunfts- oder Editionspflicht nicht nach oder kann der Sachverhalt trotz der zur Verfügung gestellten Auskünfte und Unterlagen nicht ausreichend geklärt werden, kann der EDÖB gestützt auf Art. 50 DSG prozessuale Anordnungen erlassen, um die erforderlichen Informationen zu beschaffen (vorbehalten bleibt das Berufsgeheimnis). Beispielsweise kann der EDÖB den Zugang zu Räumlichkeiten oder Anlagen oder Zeugeneinvernahmen anordnen.

4 Parteirechte im Untersuchungsverfahren 9

Da sich das Untersuchungsverfahren nach dem VwVG richtet, stehen der Verfahrenspartei von der Eröffnung bis zur Beendigung des Verfahrens sämtliche Parteirechte nach dem VwVG zu. Namentlich

7 Vgl. dazu ausführlich EDÖB, Anwendung, Art. 52 N 6 ff. 8 Vgl. dazu ausführlich EDÖB, Anwendung, Art. 49 N 33 ff. und Art. 50 N 1 ff. 9 Vgl. dazu ausführlich EDÖB, Anwendung, Art. 52 N 12 f. und N 19.

hat sie von Verfassungs wegen einen Anspruch auf rechtliches Gehör (vgl. Art. 29 VwVG) sowie auf Akteneinsicht (vgl. Art. 26 VwVG). Der Gehörsanspruch umfasst unter anderem etwa den Anspruch, erhebliche Beweise beizubringen, an der Erhebung von Beweisen mitzuwirken oder sich zumindest zum Beweisergebnis äussern zu können (vgl. BGE 124 I 49 E. 3a).

5 Abschluss des Untersuchungsverfahrens

Im Rahmen der Untersuchung klärt der EDÖB, ob ein bestimmter Sachverhalt vorliegt und aus rechtlicher Sicht ein Verstoss gegen Datenschutzvorschriften gegeben ist. Ist dies nicht der Fall, stellt er das Verfahren ein bzw. schreibt es wegen Gegenstandslosigkeit ab.

Liegt demgegenüber ein Verstoss gegen Datenschutzvorschriften vor, hat der EDÖB die Möglichkeit, Verwaltungsmassnahmen nach Art. 51 DSG anordnen. Diese ergehen in der Form einer (vor Bundesverwaltungsgericht anfechtbaren) Verfügung (vgl. Art. 52 Abs. 1 DSG), sind also verbindlich.

Das Gesetz sieht zwei Kategorien von Verwaltungsmassnahmen vor:

- Die erste Kategorie betrifft Massnahmen für den Fall, dass Datenbearbeitungen die Datenschutzvorschriften verletzen: Liegt eine Verletzung von Datenschutzvorschriften vor, kann der EDÖB verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Personendaten ganz oder teilweise gelöscht oder vernichtet werden (vgl. Art. 51 Abs. 1 DSG). Bei Datenübermittlungen ins Ausland kann er die Bekanntgabe ins Ausland aufschieben oder untersagen, wenn sie gegen die Voraussetzungen nach Art. 16 und 17 DSG oder gegen Bestimmungen betreffend die Bekanntgabe von Personendaten ins Ausland in anderen Bundesgesetzen verstösst (vgl. Art. 51 Abs. 2 DSG).

- Die zweite Kategorie von Massnahmen betrifft Fälle, in denen Ordnungsvorschriften oder Rechte der betroffenen Person nicht beachtet werden (vgl. Art. 51 Abs. 3 und 4 DSG): So kann der EDÖB z.B. verfügen, dass das Bundesorgan oder die private Person eine Datenschutz- Folgenabschätzung nach Art. 22 DSG vorzunehmen hat (vgl. Art. 51 Abs. 3 Bst. d DSG). Oder er kann verfügen, dass der betroffenen Person die ihr zustehenden Auskünfte nach Art. 25 DSG erteilt werden, wenn sich die private Person oder das Bundesorgan weigert, diese Auskünfte zu erteilen (vgl. Art. 51 Abs. 3 Bst. g DSG).

Trifft das Bundesorgan oder die private Person während der Untersuchung die erforderlichen Massnahmen, um die Einhaltung der Datenschutzvorschriften wiederherzustellen, kann sich der EDÖB darauf beschränken, eine Verwarnung auszusprechen (vgl. Art. 51 Abs. 5 DSG).

Der EDÖB hat auch unter dem revidierten Datenschutzgesetz nicht die Kompetenz, bei Verstössen gegen Datenschutzvorschriften Verwaltungssanktionen zu verhängen. Das DSG sieht lediglich einen Katalog von Strafbestimmungen vor (vgl. Art. 60 ff. DSG). Für die Verfolgung und Beurteilung entsprechender strafbarer Handlungen sind die Kantone zuständig (vgl. Art. 65 Abs. 1 DSG).