Welche Personendaten ein Anmeldeformular tatsächlich sammelt

Eine Musikschule in Chur stellt ihre Semesteranmeldung online. Das Formular ist schnell gebaut: Vorname, Name, E-Mail, Telefon, Adresse, Geburtsdatum des Kindes, Instrument, ein Feld für Bemerkungen, ein Häkchen für die Kenntnisnahme der Bedingungen. Neun Felder, eine halbe Stunde Arbeit.

Was danach in der Tabelle steht, ist mehr als neun Angaben. Ein Teil davon wurde nie gefragt, ein Teil fällt unter eine Kategorie, die das Schweizer Datenschutzgesetz ausdrücklich gesondert behandelt — und ein Feld nimmt entgegen, was niemand geplant hat.

Feld für Feld

Personendaten sind nach Art. 5 Bst. a DSG «alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen». Das ist weiter gefasst, als es im Alltag klingt: Es genügt, dass sich eine Person bestimmen lässt, nicht dass ihr Name dabeisteht.

Feld	Was darin ankommt	Was daran hängt
Vorname, Name	Die Identität, unmittelbar	Macht alle übrigen Felder zuordenbar
E-Mail-Adresse	Oft Vorname, Name und Arbeitgeber in einer Zeile	Ein Kanal, über den die Person später erreichbar ist
Telefonnummer	Eine Nummer, meist dauerhaft und über Jahre dieselbe	Verknüpfbar mit anderen Verzeichnissen
Adresse	Wohnort, Quartier, manchmal die Wohnsituation	Zusammen mit dem Namen fast immer eindeutig
Geburtsdatum	Alter, Minderjährigkeit, Jahrgang	Häufiges Merkmal zur Verknüpfung von Datensätzen
Auswahlfelder	Genau das, wonach gefragt wurde — und manchmal mehr	«Kurs für Erwerbslose» sagt etwas über die Situation der Person
Freitextfeld	Alles, was der antwortenden Person wichtig erscheint	Siehe weiter unten
Datei-Upload	Den Inhalt der Datei und deren Metadaten	Ein Foto trägt oft Aufnahmezeit und Gerät mit sich, ein PDF den Namen der Verfasserin
Einwilligungshäkchen	Die Tatsache der Zustimmung, sinnvollerweise mit Zeitpunkt und gezeigtem Wortlaut	Der Nachweis, dass und wozu eingewilligt wurde

Das Auswahlfeld verdient einen zweiten Blick. Eine Auswahlliste sieht harmlos aus, weil sie vorgegeben ist. Aber die Optionen selbst können Aussagen enthalten: «Ermässigung für IV-Bezügerinnen», «Gruppe für Wiedereinsteigende nach Krankheit», «Abendkurs für Mitglieder der Gewerkschaft». Wer eine solche Option anklickt, gibt damit eine Angabe preis, die im Formular gar nicht als Frage steht.

Was mitkommt, ohne dass es jemand eintippt

Neben den ausgefüllten Feldern entsteht beim Absenden eine zweite Schicht von Angaben. Sie ist im Formular nicht sichtbar und in der Auswertungstabelle meistens schon.

Der Zeitpunkt. Jeder Eintrag trägt eine Uhrzeit. Bei einem Anmeldeformular ist das eine Verwaltungsangabe. Bei einem internen Meldeformular ist der Zeitstempel selbst eine Information: Wer um 23:40 Uhr an einem Sonntag etwas gemeldet hat, ist in einem kleinen Betrieb unter Umständen bereits eingegrenzt.

Die Herkunftsseite. Viele Formular-Werkzeuge speichern, von welcher Seite die Person kam. Das kann harmlos sein. Es kann aber auch heissen, dass in der Tabelle steht, dass jemand vor der Anmeldung die Seite «Beratung bei Überschuldung» gelesen hat.

Technische Angaben. Je nach Werkzeug werden IP-Adresse, Browser und Gerät festgehalten. Ob solche Angaben in einem konkreten Fall eine Person bestimmbar machen, entscheidet sich an Art. 5 Bst. a DSG — und damit daran, was sonst noch in derselben Zeile steht.

Zwischenstände. Formulare, die laufend speichern, halten auch fest, was jemand geschrieben und dann wieder gelöscht hat. Die zweite, überlegtere Antwort ersetzt die erste dann nicht überall.

Diese Schicht entsteht nicht durch böse Absicht, sondern durch Voreinstellungen. Art. 7 Abs. 3 DSG geht genau auf diesen Punkt ein: Der Verantwortliche stellt durch geeignete Voreinstellungen sicher, dass die Bearbeitung auf das für den Verwendungszweck nötige Mindestmass beschränkt bleibt, soweit die betroffene Person nichts anderes bestimmt.

Die Kategorie, die das Gesetz gesondert behandelt

Das DSG unterscheidet nicht zwischen «wichtigen» und «unwichtigen» Personendaten, aber es kennt eine abschliessend aufgezählte Gruppe. Art. 5 Bst. c DSG nennt als besonders schützenswerte Personendaten:

1. Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten
2. Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie
3. genetische Daten
4. biometrische Daten, die eine natürliche Person eindeutig identifizieren
5. Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen
6. Daten über Massnahmen der sozialen Hilfe

Ein Name ist das nicht. Eine Telefonnummer auch nicht. Wohl aber die Angabe, dass ein Kind Asthma hat, dass jemand aus religiösen Gründen an einem bestimmten Tag nicht kommen kann, dass eine Anmeldung über die Sozialhilfe läuft — oder der Fingerabdruck, mit dem sich eine Zugangskontrolle öffnen lässt. Der EDÖB nennt Gesundheitsdaten und biometrische Merkmale wie Fingerabdrücke als Beispiele dieser Kategorie.

Was an dieser Einstufung hängt

Die Kategorie ist keine Etikette, sondern ein Anknüpfungspunkt für mehrere Bestimmungen. Das Gesetz knüpft daran unter anderem:

• Die Form der Einwilligung. Ist eine Einwilligung erforderlich, so ist sie nur gültig, wenn sie nach angemessener Information freiwillig und für eine oder mehrere bestimmte Bearbeitungen erteilt wird (Art. 6 Abs. 6 DSG). Für besonders schützenswerte Personendaten muss sie zusätzlich ausdrücklich erfolgen (Art. 6 Abs. 7 Bst. a DSG). Der EDÖB hält im Zusammenhang mit Gesundheitsfragebogen fest, dass allgemein gehaltene Pauschaleinwilligungen nicht genügen, konkret formulierte Erklärungen dagegen schon.
• Die Weitergabe an Dritte. Eine Persönlichkeitsverletzung liegt insbesondere vor, wenn Dritten besonders schützenswerte Personendaten bekanntgegeben werden (Art. 30 Abs. 2 Bst. c DSG). Widerrechtlich ist sie, wenn kein Rechtfertigungsgrund nach Art. 31 DSG vorliegt.
• Protokollierung und Reglement. Werden besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet und können präventive Massnahmen den Datenschutz nicht gewährleisten, verlangt Art. 4 DSV mindestens die Protokollierung von Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten. Bei einer Bearbeitung in grossem Umfang kommt nach Art. 5 DSV ein Bearbeitungsreglement dazu.
• Das Verzeichnis der Bearbeitungstätigkeiten. Betriebe mit weniger als 250 Mitarbeitenden am 1. Januar sind davon grundsätzlich befreit — ausser es werden besonders schützenswerte Personendaten in grossem Umfang bearbeitet oder es findet ein Profiling mit hohem Risiko statt (Art. 24 DSV).
• Die Datenschutz-Folgenabschätzung. Ein hohes Risiko liegt namentlich bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten vor (Art. 22 Abs. 2 Bst. a DSG).

Die Formulierungen «in grossem Umfang» und «umfangreich» sind dabei nicht beziffert. Ob eine Musikschule mit 300 Anmeldungen pro Semester darunter fällt, ist eine Frage des Einzelfalls und keine, die sich aus dem Gesetzestext ablesen lässt.

Das Freitextfeld

Bleibt das Feld, über das am wenigsten nachgedacht wird und in dem am meisten ankommt.

«Gibt es sonst etwas, das wir wissen sollten?» ist eine freundliche Frage. Sie ist auch eine offene Einladung. In einer Musikschule steht dort: «Nora hat eine Nussallergie, bitte im Lager berücksichtigen.» In einem Sportverein: «Ich nehme Blutverdünner, mein Hausarzt weiss Bescheid.» In einem Kursformular: «Ich komme über das Arbeitsintegrationsprogramm, die Rechnung geht ans Sozialamt.» In einem Kontaktformular einer Beratungsstelle steht manchmal die ganze Geschichte.

Drei Dinge daran sind bemerkenswert.

Erstens: Die Angaben wurden nicht erhoben, sondern angeboten. Niemand hat nach der Gesundheit gefragt. Trotzdem stehen die Angaben jetzt in derselben Tabelle wie die Telefonnummern — und sie sind, sobald sie dort stehen, Daten über die Gesundheit im Sinne von Art. 5 Bst. c Ziff. 2 DSG. An der Einstufung ändert nichts, dass sie ungefragt kamen.

Zweitens: Freitext lässt sich nicht sortieren. Ein Feld «Allergien» kann ausgeblendet, getrennt gespeichert, eingeschränkt sichtbar gemacht und nach Ablauf gelöscht werden. Ein Feld «Bemerkungen» kann das nicht, weil vorher niemand weiss, was darin steht. Alle, die die Tabelle öffnen dürfen, sehen alles.

Drittens: Es ist zuerst eine Gestaltungsfrage. Das Gesetz verlangt, dass Personendaten verhältnismässig und nur zu einem bestimmten, für die betroffene Person erkennbaren Zweck beschafft werden (Art. 6 Abs. 2 und 3 DSG). Der EDÖB formuliert dasselbe für Vereine so, dass nur Daten bearbeitet werden dürfen, die zur Erfüllung des Vereinszwecks wirklich notwendig sind. Ein Feld, dessen Inhalt im Voraus unbestimmt ist, macht diese Prüfung schwer — nicht weil es verboten wäre, sondern weil sich über etwas Unbekanntes schlecht urteilen lässt. Wer aus «Bemerkungen» zwei konkrete Felder mit klarer Beschriftung macht, weiss vorher, was ankommt.

Ein Formular, bei dem nichts davon greift

Der Gegenfall ist ebenso lehrreich. Eine Schreinerei in Langenthal hat auf ihrer Website ein Kontaktformular mit drei Feldern: Name, E-Mail, Nachricht. Kein Geburtsdatum, keine Adresse, kein Upload, keine Auswahlliste mit heiklen Optionen. Die Anfragen betreffen Küchenfronten und Liefertermine.

Hier sind es Personendaten, und die Grundsätze von Art. 6 DSG gelten wie überall. Aber keine der Bestimmungen über besonders schützenswerte Daten kommt zum Zug, weil solche Daten schlicht nicht anfallen — mit einer Einschränkung: Das Feld «Nachricht» ist ein Freitextfeld. Auch dort kann eines Tages ein Satz über eine Krankheit stehen. Der Unterschied zum ersten Beispiel ist nicht die Technik, sondern die Wahrscheinlichkeit und die Menge.

Genau deshalb ist die Frage, welche Felder ein Formular hat, nützlicher als die Frage, welche Software es erzeugt hat. Das eine lässt sich in zehn Minuten beantworten, indem man das eigene Formular ausdruckt und Zeile für Zeile durchgeht. Auch für Privatpersonen, die ein Formular für einen Anlass oder eine Sammelbestellung aufsetzen, ist es dieselbe halbe Seite Arbeit.

Wir entwickeln mit Formulare eine Web-App für genau diesen Fall: Formulare, bei denen die Antworten bereits im Browser verschlüsselt werden und in der Schweiz gespeichert bleiben. Das ändert nichts daran, welche Felder ein Formular hat — das bleibt die Entscheidung derjenigen, die es aufsetzt. Es ändert, wie viele Stellen die Antworten unterwegs lesen können.