Welche Grundsätze gelten, wenn ein Unternehmen Personendaten bearbeitet?
Personendaten müssen rechtmässig, nach Treu und Glauben und verhältnismässig bearbeitet werden. Sie dürfen nur für einen bestimmten, für die betroffene Person erkennbaren Zweck beschafft und nur zweckvereinbar weiterbearbeitet werden. Zudem sind Richtigkeit, Löschung oder Vernichtung bzw. Anonymisierung sowie die Anforderungen an eine gültige Einwilligung zu beachten.
Für die Bearbeitung von Personendaten gelten mehrere Grundsätze gleichzeitig. Die Bearbeitung muss rechtmässig sein. Sie muss zudem nach Treu und Glauben erfolgen und verhältnismässig sein. Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden. Danach dürfen sie nur so bearbeitet werden, dass dies mit diesem Zweck vereinbar ist. Praktisch ist deshalb zu prüfen, ob der Zweck klar festgelegt ist, ob er für die betroffene Person erkennbar ist und ob jede weitere Verwendung noch zu diesem Zweck passt.[1]
Personendaten werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Wer Personendaten bearbeitet, muss sich ausserdem über deren Richtigkeit vergewissern. Es sind alle angemessenen Massnahmen zu treffen, damit Daten berichtigt, gelöscht oder vernichtet werden, wenn sie im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Welche Massnahmen angemessen sind, hängt namentlich von der Art und dem Umfang der Bearbeitung sowie vom Risiko ab, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt. Zu prüfen ist daher insbesondere, wie umfangreich die Bearbeitung ist und welches Risiko damit verbunden ist.[1]
Ist eine Einwilligung der betroffenen Person erforderlich, ist sie nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird. Ausdrücklich erfolgen muss die Einwilligung für die Bearbeitung von besonders schützenswerten Personendaten, für ein Profiling mit hohem Risiko durch eine private Person oder für ein Profiling durch ein Bundesorgan. Deshalb ist zu prüfen, ob überhaupt eine Einwilligung erforderlich ist, ob sie ausreichend informiert und freiwillig erteilt wurde und ob wegen der Art der Bearbeitung eine ausdrückliche Einwilligung nötig ist.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor einem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.[1]