Datenschutz-Begriffe für Schweizer KMU, einfach erklärt

Eine Velowerkstatt in Thun wechselt auf eine neue Terminsoftware. Im Vertrag steht «Auftragsbearbeitung», in der Datenschutzerklärung des Anbieters «Bekanntgabe ins Ausland», im Verkaufsgespräch fällt «DSGVO-konform», und eine Kundin schreibt eine Woche später, sie mache «vom Auskunftsrecht Gebrauch». Vier Ausdrücke, vier verschiedene Herkünfte — und keiner davon erklärt sich von selbst.

Die meisten dieser Wörter sind im Schweizer Datenschutzgesetz definiert, und zwar kurz und an einer einzigen Stelle. Ein paar andere, die genauso oft fallen, stehen dort gar nicht. Dieser Beitrag geht die Begriffe durch, die einem beim Lesen eines Vertrags oder einer Datenschutzerklärung tatsächlich begegnen: was im Gesetzestext steht, wie das im Alltag eines kleinen Betriebs aussieht, und warum der Begriff überhaupt auftaucht.

Die Wörter, mit denen das Gesetz beginnt

Artikel 5 DSG ist eine Liste von Definitionen. Elf Buchstaben, die den Rest des Gesetzes tragen.

Personendaten sind nach Art. 5 Bst. a DSG «alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen». Bestimmbar genügt: Die Kundennummer 4711 zusammen mit einer Reparaturliste ist ein Personendatum, sobald irgendwo in der Werkstatt die Zuordnung zum Namen existiert. Der Begriff taucht deshalb ganz am Anfang jedes Vertrags auf — er entscheidet, ob das Gesetz für einen Datenbestand überhaupt gilt. Eine betroffene Person ist die natürliche Person, über die solche Daten bearbeitet werden (Bst. b): die Kundin, der Kursteilnehmer, die Mitarbeiterin.

Bearbeiten ist weiter gefasst, als das Wort vermuten lässt. Art. 5 Bst. d DSG nennt «jeden Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren», ausdrücklich auch das blosse Speichern, Aufbewahren, Archivieren und Löschen. Eine Excel-Liste, die seit vier Jahren unangetastet auf einem Laufwerk liegt, ist damit eine Bearbeitung. Bekanntgeben ist der Spezialfall daneben: das Übermitteln oder Zugänglichmachen von Personendaten (Bst. e). Das ist der Grund, weshalb in Verträgen so oft «Bekanntgabe» und nicht «Weitergabe» steht — der Gesetzestext kennt den einen Ausdruck und nicht den anderen.

Besonders schützenswerte Personendaten sind in Art. 5 Bst. c DSG abschliessend aufgezählt: Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten; Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie; genetische Daten; biometrische Daten, die eine natürliche Person eindeutig identifizieren; Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen; und Daten über Massnahmen der sozialen Hilfe. Ein Name gehört nicht dazu, eine Telefonnummer auch nicht. Der Satz «Mein Knie ist nach dem Sturz noch nicht belastbar» im Bemerkungsfeld eines Anmeldeformulars gehört dazu. Die Kategorie taucht im Vertrag auf, weil mehrere andere Bestimmungen an sie anknüpfen — unter anderem die Form der Einwilligung, die nach Art. 6 Abs. 7 Bst. a DSG hier ausdrücklich erfolgen muss.

Profiling schliesslich ist nach Bst. f die automatisierte Bearbeitung, mit der persönliche Aspekte einer Person bewertet werden — Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben, Verhalten, Aufenthaltsort. Der Knopf «Kundensegmente berechnen» in einem Kassensystem ist der Begriff in seiner praktischen Form.

Wer entscheidet, und wer nur ausführt

Die wichtigste Unterscheidung im ganzen Gesetz ist die zwischen zwei Rollen, weil sie festlegt, wer wem gegenüber geradesteht.

Der Verantwortliche ist nach Art. 5 Bst. j DSG die private Person oder das Bundesorgan, die oder das «allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet». Der Auftragsbearbeiter bearbeitet Personendaten im Auftrag des Verantwortlichen (Bst. k). Die Velowerkstatt entscheidet, dass sie Termine führt, welche Felder das Formular hat und wie lange die Einträge bleiben — sie ist die Verantwortliche. Der Softwareanbieter führt aus — er ist Auftragsbearbeiter. Der EDÖB beschreibt als typische Auftragsbearbeiter Cloud-Anbieter, Webhoster, Versandunternehmen, Call-Center, Treuhandunternehmen und IT-Supportfirmen.

Warum die Unterscheidung überall auftaucht: Sie verschiebt die Verantwortung nicht. Der EDÖB hält fest, dass der Auftraggeber für den Datenschutz verantwortlich bleibt, auch wenn er die Bearbeitung auslagert — er muss den Auftragsbearbeiter sorgfältig auswählen, angemessen instruieren und soweit nötig überwachen. Art. 9 Abs. 1 DSG knüpft die Auslagerung an zwei Bedingungen: Die Daten werden so bearbeitet, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht verbietet die Übertragung.

Unterauftragsbearbeitung ist die Fortsetzung derselben Kette. Nach Art. 9 Abs. 3 DSG darf der Auftragsbearbeiter die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen. Bei einer allgemeinen Genehmigung informiert er über jede Hinzuziehung oder Ersetzung, und der Verantwortliche kann widersprechen. Deshalb führen viele Anbieter eine öffentliche Liste ihrer Unterauftragsbearbeiter: Sie ist die praktische Form dieser Genehmigung.

Die Begriffe, die in einer Datenschutzerklärung stehen

Bekanntgabe ins Ausland meint die Übermittlung von Personendaten an einen Empfänger ausserhalb der Schweiz. Zulässig ist sie, wenn der Bundesrat für den betreffenden Staat einen angemessenen Schutz festgestellt hat (Art. 16 Abs. 1 DSG); diese Staaten stehen in Anhang 1 DSV. Fehlt ein solcher Entscheid, nennt Art. 16 Abs. 2 DSG die möglichen Garantien, darunter Standarddatenschutzklauseln, die der EDÖB genehmigt, ausgestellt oder anerkannt hat. Für eine Fahrschule in Olten, deren Terminerinnerungen über einen ausländischen SMS-Versender laufen, ist das kein theoretischer Punkt: Der Staat und gegebenenfalls die Garantie gehören zu dem, worüber die betroffene Person informiert wird (Art. 19 Abs. 4 DSG).

Informationspflicht ist der Fachausdruck für das, was eine Datenschutzerklärung tut. Art. 19 Abs. 2 DSG nennt als Minimum die Identität und die Kontaktdaten des Verantwortlichen, den Bearbeitungszweck und gegebenenfalls die Empfängerinnen und Empfänger oder deren Kategorien. Der EDÖB ordnet die Datenschutzerklärung ausdrücklich dieser Bestimmung zu.

Auskunftsrecht ist die Gegenseite. Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden, und erhält dabei unter anderem die Daten selbst, den Zweck, die Aufbewahrungsdauer und die Empfänger (Art. 25 DSG). Die Auskunft ist grundsätzlich kostenlos und wird in der Regel innerhalb von 30 Tagen erteilt; die DSV setzt dieselbe Frist und lässt bei unverhältnismässigem Aufwand eine Kostenbeteiligung von höchstens 300 Franken zu (Art. 18 und 19 DSV). Adressatin ist die Werkstatt, nicht der Softwareanbieter: Lässt der Verantwortliche Daten von einem Auftragsbearbeiter bearbeiten, bleibt er auskunftspflichtig (Art. 25 Abs. 4 DSG).

Verzeichnis der Bearbeitungstätigkeiten ist die interne Liste, die Art. 12 DSG beschreibt: Zweck, Kategorien betroffener Personen und Daten, Empfängerkategorien, wenn möglich die Aufbewahrungsdauer, und bei einer Bekanntgabe ins Ausland der Staat und die Garantien. Dazu gehört eine Ausnahme, die in Gesprächen oft untergeht: Unternehmen und andere privatrechtliche Organisationen mit weniger als 250 Mitarbeiterinnen und Mitarbeitern am 1. Januar eines Jahres sowie natürliche Personen sind von der Pflicht befreit — ausser es werden besonders schützenswerte Personendaten in grossem Umfang bearbeitet oder es findet ein Profiling mit hohem Risiko statt (Art. 24 DSV).

Datensicherheit ist in Art. 8 DSG als Pflicht von Verantwortlichem und Auftragsbearbeiter formuliert, eine dem Risiko angemessene Sicherheit durch technische und organisatorische Massnahmen zu gewährleisten. Was damit gemeint ist, buchstabiert Art. 2 DSV aus: Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit. Diese vier Wörter sind der Grund, weshalb Sicherheitsseiten von Anbietern so oft dieselbe Gliederung haben.

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen ist die deutsche Fassung dessen, was im Verkaufsgespräch «privacy by design» und «privacy by default» heisst. Art. 7 DSG verlangt vom Verantwortlichen, die Bearbeitung ab der Planung so auszugestalten, dass die Datenschutzvorschriften eingehalten werden, und durch geeignete Voreinstellungen sicherzustellen, dass sie auf das nötige Mindestmass beschränkt bleibt, soweit die betroffene Person nichts anderes bestimmt. Im Alltag ist das die Frage, ob ein Häkchen bei der Auslieferung gesetzt oder leer ist.

Verletzung der Datensicherheit ist definiert als Verletzung, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden (Art. 5 Bst. h DSG). Der Verantwortliche meldet dem EDÖB so rasch als möglich eine solche Verletzung, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt (Art. 24 Abs. 1 DSG); der Auftragsbearbeiter meldet sie seinerseits dem Verantwortlichen (Abs. 3). Was in die Meldung gehört, zählt Art. 15 DSV auf.

Wörter, die oft fallen und nicht im DSG stehen

Das ist der Teil, der beim Lesen eines Vertrags am meisten spart.

DSGVO und GDPR. Das ist die Datenschutz-Grundverordnung der Europäischen Union — zwei Namen für dieselbe Verordnung, die deutsche und die englische Abkürzung. Der EDÖB schreibt dazu, dass die DSGVO in der Schweiz nicht unmittelbar gilt, dass sie aber für Schweizer Unternehmen konkret gelten kann, etwa wenn sie Daten von in der EU ansässigen Personen bearbeiten, um dort Waren oder Dienstleistungen anzubieten, oder um deren Verhalten zu beobachten. Auf die Frage, ob ein Schweizer Unternehmen die DSGVO einhalten muss, antwortet er, Schweizer Unternehmen unterlägen in erster Linie Schweizer Recht und sollten deshalb das DSG einhalten. Ob daneben die DSGVO greift, hängt vom Einzelfall ab.

DPO und Datenschutzbeauftragter. Das DSG kennt diese Bezeichnung für private Verantwortliche nicht. Art. 10 DSG spricht von der Datenschutzberaterin oder dem Datenschutzberater, und der EDÖB hält fest, dass die Ernennung für private Verantwortliche — Unternehmen, Verein, KMU — freiwillig ist. Die Funktion kann auch von mehreren Personen im Betrieb oder von einer juristischen Person wahrgenommen werden, sofern die Voraussetzungen von Art. 10 DSG erfüllt sind. «Datenschutzbeauftragter» ist in der Schweiz vor allem der Titel der Aufsichtsbehörde selbst: der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

«DSG-konform», «zertifiziert», «compliant». Keines dieser Wörter ist eine gesetzliche Bezeichnung. Was das Gesetz kennt, ist die Zertifizierung nach Art. 13 DSG: Hersteller, Verantwortliche und Auftragsbearbeiter können ihre Systeme, Produkte und Dienstleistungen durch anerkannte unabhängige Zertifizierungsstellen bewerten lassen; der Bundesrat erlässt dazu Vorschriften und regelt die Einführung eines Datenschutz-Qualitätszeichens. Eine Zertifizierung ist damit eine überprüfbare Angabe — Stelle, Umfang, Datum —, und «konform» ohne diese drei Angaben ist eine Selbstbeschreibung.

«AVV» oder «Auftragsverarbeitungsvertrag». Der Ausdruck stammt aus dem EU-Recht. Art. 9 DSG sagt, dass die Bearbeitung vertraglich oder durch die Gesetzgebung übertragen werden kann, und nennt die Bedingungen — ein Dokument mit einem bestimmten Namen schreibt er nicht vor. Viele Anbieter verwenden den Ausdruck trotzdem, weil dasselbe Papier für beide Rechtsordnungen dienen soll.

Was das Lesen eines Vertrags erleichtert

Die Begriffe stehen fast alle an einer einzigen Stelle: Art. 5 DSG für die Definitionen, Art. 6 bis 12 DSG für die Pflichten, Art. 25 DSG für das Auskunftsrecht, die DSV für die Einzelheiten. Der Text ist auf Fedlex frei abrufbar, in allen Amtssprachen, und er ist kürzer als die meisten Vertragsanhänge, die ihn zitieren.

Nützlich ist vor allem eine Gewohnheit: Ein Wort im Vertrag, das im Gesetzestext vorkommt, lässt sich dort nachschlagen; ein Wort, das dort nicht vorkommt, ist entweder aus einer anderen Rechtsordnung geliehen oder eine Formulierung des Anbieters. Beides ist in Ordnung — es hilft nur zu wissen, welches von beidem gerade vorliegt. Ob eine Bestimmung auf einen bestimmten Betrieb zutrifft, hängt von dessen Situation ab; diese Frage beantwortet ein Glossar nicht. Es macht nur den Satz lesbar, in dem sie gestellt wird.