Vor ein paar Tagen hat der EDÖB seinen Schlussbericht in Sachen Digitec Galaxus veröffentlicht. Darin vertritt er – zwar zum alten Datenschutzrecht, aber trotzdem von Relevanz – eine strenge Haltung, insbesondere auch, was die Informationspflicht (neu in Art. 19 DSG geregelt) betrifft.
Aus Sicht der revidierten Informationspflicht lohnt es sich, insbesondere auf drei Empfehlungen des EDÖB einzugehen:
𝐄𝐦𝐩𝐟𝐞𝐡𝐥𝐮𝐧𝐠 𝟐: Der EDÖB verlangt, dass erkennbar ist, zu welchen Zwecken welche Personendaten bearbeitet werden. Weder unter dem Transparenzgrundsatz (Art. 6 Abs. 3 DSG) noch der Informationspflicht (Art. 19 DSG) ist dies eine Pflichtangabe. Lediglich in sehr beschränkten Fällen (z.B. bei sehr umfangreichen Zweckbeschreibungen) können der Transparenzgrundsatz und/oder die Informationspflicht erfordern, dass die Kategorien der bearbeiteten Personendaten zu den einzelnen Bearbeitungszwecken in Beziehung gesetzt werden (vgl. BSK-DSG, Art. 19 N 19).
𝐄𝐦𝐩𝐟𝐞𝐡𝐥𝐮𝐧𝐠 𝟑: Der EDÖB spricht sich gegen die Angabe von Datenbearbeitungen auf Vorrat aus. Diese Ansicht teile ich nicht. Lediglich der Grundsatz der Verhältnismässigkeit (Art. 6 Abs. 2 DSG) setzt hier Schranken, wobei dies auf Extremfälle beschränkt bleiben dürfte (vgl. BSK-DSG, Art. 19 N 17).
𝐄𝐦𝐩𝐟𝐞𝐡𝐥𝐮𝐧𝐠 𝟒: Der EDÖB verlangt die Angabe von Rechtfertigungsgründen. Diese Ansicht findet keine Stütze im Gesetz. Anders als die DSGVO (Art. 13 Abs. 1 lit. c) verlangt Art. 19 DSG keine Angabe der Rechtsgrundlage für die Bearbeitung (zumal dies für eine rechtmässige Bearbeitung auch gar nicht erforderlich ist unter dem Schweizer Datenschutzrecht). Aber auch die Angabe eines Rechtfertigungsgrundes im Falle einer Persönlichkeitsverletzung wird von Art. 19 DSG nicht gefordert.
Es bleibt abzuwarten, ob der EDÖB seine strenge Haltung zur Informationspflicht unter dem revidierten Datenschutzgesetz beibehält und diese auch durch die Rechtsprechung bestätigt wird. Es bestehen jedenfalls gute Argumente, welche gegen die strenge Haltung des EDÖB sprechen.
