Ist eine Datenschutzerklärung für Unternehmen in der Schweiz Pflicht?
Unternehmen müssen nach dem Bundesgesetz über den Datenschutz betroffene Personen angemessen über die Beschaffung von Personendaten informieren. Das Gesetz verlangt dabei bestimmte Mindestangaben; in der Praxis wird dies häufig über eine Datenschutzerklärung erfüllt, soweit damit die gesetzlich verlangten Informationen tatsächlich mitgeteilt werden.
Das Bundesgesetz über den Datenschutz verpflichtet den Verantwortlichen, die betroffene Person angemessen über die Beschaffung von Personendaten zu informieren. Diese Informationspflicht gilt auch dann, wenn die Daten nicht bei der betroffenen Person beschafft werden. Mitgeteilt werden müssen die Informationen, die erforderlich sind, damit die betroffene Person ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Mindestens mitzuteilen sind die Identität und die Kontaktdaten des Verantwortlichen, der Bearbeitungszweck sowie gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.[1]
Werden Daten nicht bei der betroffenen Person beschafft, sind zusätzlich die Kategorien der bearbeiteten Personendaten mitzuteilen. Werden Personendaten ins Ausland bekanntgegeben, sind auch der Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mitzuteilen. Für Daten, die nicht bei der betroffenen Person beschafft werden, nennt das Gesetz auch den Zeitpunkt der Information: Die Angaben nach den Absätzen 2–4 sind spätestens einen Monat, nachdem der Verantwortliche die Daten erhalten hat, mitzuteilen. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.[1]
Ob diese Informationen in einer «Datenschutzerklärung» gebündelt werden, ist für die praktische Umsetzung naheliegend. Entscheidend ist nach dem Gesetz, dass die betroffene Person angemessen informiert wird und die gesetzlich verlangten Mindestangaben tatsächlich erhält. Zu prüfen ist deshalb insbesondere, ob alle Bearbeitungssituationen erfasst sind, ob bei indirekter Beschaffung die zusätzlichen Angaben enthalten sind und ob bei Bekanntgabe ins Ausland die verlangten Informationen mitgeteilt werden.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor jedem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.[1]