Die betroffene Person soll die bezogenen und bearbeiteten Daten kontrollieren und die Einhaltung der datenschutzrechtlichen Grundsätze nicht nur prüfen, sondern auch durchsetzen können:
- Definitionen
- Auskunftsrecht = Recht jeder Person, vom Verantwortlichen Auskunft darüber zu verlangen, ob Personendaten über sie bearbeitet werden.
- Kontrollrecht = Recht der betroffenen Person, die über sie beschafften Daten zu kontrollieren.
- Löschungs- und Berichtigungsrecht = Recht der betroffenen Person, – wenn nötig – zu veranlassen, dass ihre Daten gelöscht oder berichtigt werden.
- Grundlagen
- nDSG 25
- DSV 16 – DSV 19
- Grundsatz
- Jede Person darf vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet wurden oder werden (vgl. nDSG 25 Abs. 1).
- Anspruch auf die erforderlichen Informationen
- Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist (nDSG 25 Abs. 2)
- In jedem Fall sind der betroffenen Personen die folgenden Informationen mitzuteilen:
-
-
- die Identität und die Kontaktdaten des Verantwortlichen;
- die bearbeiteten Personendaten als solche;
- der Bearbeitungszweck;
- die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
- die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
- gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
- gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach nDSG 19 Abs. 4.
- Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden (nDSG 25 Abs. 3).
- Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig (nDSG 25 Abs. 4).
- Niemand kann im Voraus auf das Auskunftsrecht verzichten (nDSG 25 Abs. 5).
- Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist (nDSG 25 Abs. 6).
- Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt (nDSG 25 Abs. 7).
-
Die Details von nDSG 25 + DSV 16 – 19
Art. 25 nDSG Auskunftsrecht
1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2 Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
- die Identität und die Kontaktdaten des Verantwortlichen;
- die bearbeiteten Personendaten als solche;
- der Bearbeitungszweck;
- die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
- die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
- gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
- gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3 Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4 Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5 Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6 Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7 Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
Art. 16 DSV Modalitäten
1 Wer vom Verantwortlichen Auskunft darüber verlangt, ob Personendaten über sie oder ihn bearbeitet werden, muss dies schriftlich tun. Ist der Verantwortliche einverstanden, so kann das Begehren auch mündlich mitgeteilt werden.
2 Die Auskunftserteilung erfolgt schriftlich oder in der Form, in der die Daten vorliegen. Im Einvernehmen mit dem Verantwortlichen kann die betroffene Person ihre Daten an Ort und Stelle einsehen. Die Auskunft kann mündlich erteilt werden, wenn die betroffene Person einverstanden ist.
3 Das Auskunftsbegehren und die Auskunftserteilung können auf elektronischem Weg erfolgen.
4 Die Auskunft muss der betroffenen Person in einer verständlichen Form erteilt werden.
5 Der Verantwortliche muss angemessene Massnahmen treffen, um die betroffene Person zu identifizieren. Diese ist zur Mitwirkung verpflichtet.
Art. 17 DSV Zuständigkeit
1 Bearbeiten mehrere Verantwortliche Personendaten gemeinsam, so kann die betroffene Person ihr Auskunftsrecht bei jedem Verantwortlichen geltend machen.
2 Betrifft das Begehren Daten, die von einem Auftragsbearbeiter bearbeitet werden, so unterstützt der Auftragsbearbeiter den Verantwortlichen bei der Erteilung der Auskunft, sofern er das Begehren nicht im Auftrag des Verantwortlichen beantwortet.
Art. 18 DSV Frist
1 Die Auskunft muss innerhalb von 30 Tagen seit dem Eingang des Begehrens erteilt werden.
2 Kann die Auskunft nicht innerhalb von 30 Tagen erteilt werden, so muss der Verantwortliche die betroffene Person darüber informieren und ihr mitteilen, innerhalb welcher Frist die Auskunft erfolgt.
3 Verweigert der Verantwortliche die Auskunft, schränkt er sie ein oder schiebt er sie auf, so muss er dies innerhalb derselben Frist mitteilen.
Art. 19 DSV Ausnahme von der Kostenlosigkeit
1 Ist die Erteilung der Auskunft mit einem unverhältnismässigen Aufwand verbunden, so kann der Verantwortliche von der betroffenen Person verlangen, dass sie sich an den Kosten angemessen beteiligt.
2 Die Beteiligung beträgt maximal 300 Franken.
3 Der Verantwortliche muss der betroffenen Person die Höhe der Beteiligung vor der Auskunftserteilung mitteilen. Bestätigt die betroffene Person das Gesuch nicht innerhalb von zehn Tagen, so gilt es als ohne Kostenfolge zurückgezogen. Die Frist nach Artikel 18 Absatz 1 beginnt nach Ablauf der zehntägigen Bedenkzeit zu laufen.