Datenschutz bei drohnengestützter Datenbearbeitung durch Private

§ 3Zentrale Bestimmungen des E-DSG

Nachdem nun feststeht, dass der E-DSG ohne Weiteres auf die drohnengestützte Datenbearbeitung durch Private anwendbar ist und die Ausnahme gemäss Art. 2 Abs. 2 lit. a E-DSG nur in Einzelfällen greift, gilt es, die zentralen Vorschriften dieses Gesetzes und deren Anwendung auf die drohnengestützte Datenbearbeitung zu erläutern.⁶⁰⁸ Aufgrund der Totalrevision des DSG⁶⁰⁹ soll eingangs kurz dargestellt werden, in welchen Bereichen das neue Datenschutzrecht Änderungen mit sich bringt und wo die bisher geltenden Regelungen übernommen wurden.

Die in Art. 5 und 7 E-DSG festgehaltenen Grundsätze der Datenbearbeitung wurden praktisch unverändert aus dem alten Recht übernommen;⁶¹⁰ deshalb sollen diese nachfolgend nur kurz dargestellt und auf ihre Bedeutung — S. 82 —im Zusammenhang mit der drohnengestützten Datenbearbeitung hin untersucht werden (dazu sogleich). Die Rechte der Betroffenen sind jedoch ausgebaut und verstärkt worden. Ein Ziel der Revision war es denn auch, die Transparenz von Datenbearbeitungen zu erhöhen; dies ging mit ausgebau- ten Informationspflichten einher (hinten, S. 93 ff.).⁶¹¹ Auch das Auskunftsrecht, welches die Informationspflicht des Verantwortlichen ergänzt, wurde ausgebaut (dazu hinten, S. 100 ff.).⁶¹² Keine materiellen Änderungen ergaben sich bei den Rechten der betroffenen Person bei Persönlichkeitsverletzungen; diese Normen wurden übernommen (S. 106 ff.). Neu eingeführt wurden dagegen die Vorgaben zu «Privacy by Design» (S. 89 ff.) sowie die Datenschutz-Folgenabschätzung (dazu S. 98 ff.). Der Aufbau der nachfolgenden Ausführungen orientiert sich an der Systematik des E-DSG.

I.Bearbeitungsgrundsätze

Die Grundsätze der Datenbearbeitung sind in den Art. 5 und 7 E-DSG geregelt. Werden diese nicht eingehalten, führt dies zu einer Persönlichkeitsverletzung, welche möglicherweise durch einen Rechtfertigungsgrund gedeckt ist (Art. 26 f. E-DSG).⁶¹³ Nachfolgend ist im Einzelnen zu skizzieren, welche Bedeutung den datenschutzrechtlichen Bearbeitungsgrundsätzen allgemein und insbesondere im Zusammenhang mit der drohnengestützten Datenbearbeitung durch Private zukommt.

1.Rechtmässigkeit

Gemäss Art. 5 Abs. 1 E-DSG müssen Personendaten rechtmässig bearbeitet werden. Rechtswidrig ist eine Datenbearbeitung insbesondere, wenn damit gegen eine Bestimmung der Schweizer Rechtsordnung verstossen wird, wobei zivilrechtliche oder strafrechtliche Normen im Vordergrund stehen.⁶¹⁴ Vorausgesetzt ist zudem, dass die verletzte Bestimmung «zumindest auch, direkt oder indirekt, den Schutz der Persönlichkeit einer Person bezweckt».⁶¹⁵

Aus strafrechtlicher Sicht stehen die Bestimmungen von Art. 179 ff. StGB⁶¹⁶ und insbesondere der Tatbestand der Verletzung des Geheim- oder Privatbereichs durch Aufnahmegeräte (Art. 179^quaterStGB) im Vordergrund. Es ist nicht auszuschliessen, dass sich ein Privater, der drohnengestützt Bilder von Grundstücken und den sich darauf befindlichen Personen erstellt, gemäss Art. 179^quaterStGB strafbar macht.⁶¹⁷ Aus zivilrechtlicher Optik sind etwa die Täuschung (Art. 28 OR) und Drohung (Art. 29 f. OR) zu beachten.⁶¹⁸

2.Treu und Glauben und Verhältnismässigkeit

2.1 Verhältnismässigkeit

Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein (Art. 5 Abs. 2 E-DSG). Verhältnismässigkeit bedeutet in diesem Zusammenhang, dass die Art und Weise sowie der Zweck der Bearbeitung geeignet und erforderlich sein müssen, um das angestrebte Ziel zu erreichen. Zudem hat ein angemessenes Verhältnis zwischen dem Zweck und dem verwendeten Mittel zu bestehen.⁶¹⁹ Über diese drei klassischen Vorgaben der Verhältnismässigkeit hinaus sind die Rechte der betroffenen Personen soweit wie möglich zu wahren.⁶²⁰

Die Grundsätze der Datenvermeidung und der Datensparsamkeit ergeben sich aus dem datenschutzrechtlichen Verhältnismässigkeitsgrundsatz.⁶²¹ Die in Art. 5 Abs. 4 E-DSG verankerte Regelung zur Dauer der Aufbewahrung von Daten ist als Regel der Datensparsamkeit bzw. -vermeidung und mithin als Ausfluss des Verhältnismässigkeitsprinzips zu verstehen.⁶²² Namentlich sollen jeweils nur so viele Daten bearbeitet werden, wie zur Erreichung des — S. 84 —Zwecks notwendig ist.⁶²³ Des Weiteren fordert diese Norm, dass Daten vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.⁶²⁴

Im Kontext der drohnengestützten Datenbearbeitung durch Private kommen verschiedene Massnahmen zur Datensparsamkeit in Betracht. So könnte etwa ein Drohnenbetreiber die Kamera nicht während des gesamten Fluges laufen lassen und/oder das Mikrofon nur aktivieren, wenn dies notwendig ist.⁶²⁵

2.2 Treu und Glauben

Die bereits in der Bundesverfassung (Art. 5 Abs. 3 und Art. 9 BV) sowie im Zivilrecht (Art. 2 Abs. 1 ZGB) verankerte «Fundamentalnorm»⁶²⁶ von Treu und Glauben besagt allgemein, dass im Rechtsverkehr ein loyales und vertrauenswürdiges Verhalten geboten ist; widersprüchliches Verhalten läuft dem zuwider.⁶²⁷ Im Datenschutzrecht stellt dieser Grundsatz eine Generalklausel dar, welche dort zum Zuge kommt bzw. kommen kann, wo die anderen Grundsätze nicht greifen.⁶²⁸

Im Zusammenhang mit der drohnengestützten Datenbearbeitung durch Private kommt dem Grundsatz von Treu und Glauben insofern Bedeutung zu, als eine heimliche Datenbearbeitung oder eine solche, mit der die betroffene Person nicht rechnen muss, diesen Grundsatz verletzt.⁶²⁹ Die Datenbearbeitung ist mithin rechtswidrig, und dies selbst dann, wenn gegen keine (andere) Rechtsnorm verstossen wird.⁶³⁰

3.Zweckbindung und Erkennbarkeit (Transparenz)

Art. 5 Abs. 3 E-DSG schreibt vor, dass Personendaten nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden dürfen; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist. Diese Bestimmung wurde im E-DSG neu gefasst und enthält nun die Grundsätze der Zweckbindung sowie der Transparenz; materiell ergaben sich daraus keine Änderungen im Verhältnis zum noch geltenden Recht.⁶³¹

3.1 Zweckbindung

Gemäss dem Grundsatz der Zweckbindung soll eine betroffene Person bereits zu Beginn wissen, wofür die über sie bearbeiteten Daten verwendet werden.⁶³² Der Verantwortliche darf die Daten sodann nicht «zweckent- fremden», d.h., er darf sie nicht ohne Weiteres für einen anderen als den ursprünglich vorgesehenen Zweck bearbeiten.⁶³³

Informiert ein Drohnenbetreiber die betroffene Person zwar, verwendet die entstandenen Aufnahmen anschliessend jedoch zu anderen Zwecken, so ist der Grundsatz der Zweckbindung verletzt. Im Kontext der drohnengestützten Datenbearbeitung durch Private kommt der Zweckbindung aber keine besondere Bedeutung zu. Ist eine Datenbearbeitung an sich für die betroffene Person nicht erkennbar, so kann sie sich auch über den Zweck der Bearbeitung nicht im Klaren sein.

3.2 Erkennbarkeit

Der Grundsatz der Erkennbarkeit (oder Transparenz) verlangt, dass die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung für die betroffene Person erkennbar sind.⁶³⁴ «Die Erkennbarkeit der Datenbearbeitung — das Prinzip der Transparenz — ist Grundlage des Rechts auf informationelle Selbstbestimmung und Voraussetzung für die Wahrnehmung — S. 86 —datenschutzrechtlicher Ansprüche.»⁶³⁵ Die Verbesserung dieser Transparenz war denn auch Teil verschiedener DSG-Revisionen.⁶³⁶ Sie kann als «Eckpfeiler des ganzen Datenschutzsystems» bezeichnet werden.⁶³⁷

Ob die Erkennbarkeit bejaht werden kann, ist nach den konkreten Umständen des Einzelfalls zu beurteilen.⁶³⁸ Ist eine Bearbeitung nicht oder nicht deutlich erkennbar, so hat der oder die Verantwortliche zusätzliche Informationen bereitzustellen. Gleiches gilt, wenn die Datenbeschaffung in einer konkreten Situation erkennbar, der Zweck derselben aber nicht ersichtlich ist.⁶³⁹ Nicht vorgegeben ist, in welcher Form die Erkennbarkeit sichergestellt werden soll.⁶⁴⁰ Auch diesbezüglich gilt, den Umständen des Einzelfalls Rechnung zu tragen sowie anhand der Vorgaben der Verhältnismässigkeit und von Treu und Glauben vorzugehen.

Im Kontext der drohnengestützten Datenbearbeitung durch Private ist dem Transparenzgebot regelmässig nicht Genüge getan. Die betroffenen Personen sind sich über den Zweck einer drohnengestützten Datenbearbeitung meist nicht im Klaren. In den allermeisten Fällen kann eine allfällig betroffene Person nicht einmal erkennen, ob und welche Daten mit einer Drohne bearbeitet werden.⁶⁴¹

4.Datenrichtigkeit

Der Grundsatz der Datenrichtigkeit wurde aus Art. 5 DSG übernommen und mit den anderen zentralen Grundsätzen des E-DSG in einer einzigen Bestimmung zusammengeführt.⁶⁴² Er besagt, dass, wer Personendaten bearbeitet, sich über deren Richtigkeit vergewissern muss. «Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der — S. 87 —Datenbearbeitung sowie von den Risiken, welche die Bearbeitung für die Persönlichkeit und Grundrechte der betroffenen Personen mit sich bringt» (Art. 5 Abs. 5 E-DSG).⁶⁴³

Die Bestimmung ist vor allem im Bereich von wirtschaftlichen Transaktionen von Bedeutung. Wird z.B. bei der Beurteilung der Kreditwürdigkeit einer Person auf nicht korrekte Angaben zur finanziellen Situation oder auf eine falsche Wohnadresse derselben abgestellt, so sind diese Daten zu berichtigen.⁶⁴⁴ Bei der drohnengestützten Datenbearbeitung durch Private rückt die Datenrichtigkeit deshalb in den Hintergrund.

5.Einwilligung

Art. 5 Abs. 6 E-DSG schreibt vor, dass die Einwilligung der betroffenen Person — falls sie erforderlich ist — nur gültig ist, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird. Die Einwilligung ist an keine Form gebunden; eine schriftliche Erklärung ist nicht erforderlich.⁶⁴⁵ Die Einwilligung kann somit auch durch eine stillschweigende bzw. konkludente Willenserklärung erfolgen (vgl. Art. 1 OR).⁶⁴⁶

Eine Information ist dann «angemessen» im Sinne der hier diskutierten Bestimmung, wenn die betroffene Person darauf gestützt die Datenbearbeitung in Bezug auf die Risiken für ihre Persönlichkeitsrechte einschätzen kann.⁶⁴⁷ Primär soll dazu über Umfang und Zweck der Datenbearbeitung informiert werden.⁶⁴⁸ Unfreiwillig erfolgt die Einwilligung, «wenn bei einer Verweigerung Nachteile drohen, die mit dem Bearbeitungszweck in keinem sachlichen Zusammenhang stehen oder aus anderen Gründen unverhältnismässig sind».⁶⁴⁹

Je sensibler die infrage stehenden Personendaten sind, desto höhere Anforderungen sind an die Eindeutigkeit zu stellen.⁶⁵⁰ Diesem Anspruch lebt Art. 5 Abs. 7 E-DSG denn auch nach, indem er für die Bearbeitung von besonders schützenswerten Personendaten eine ausdrückliche Einwilligung verlangt.⁶⁵¹

«Eine Willenserklärung ist ‹ausdrücklich›, wenn sie durch geschriebene oder gesprochene Worte oder ein Zeichen erfolgt und der geäusserte Willen [recte: Wille] aus den verwendeten Worten oder dem Zeichen unmittelbar hervorgeht.»⁶⁵² Eine ausdrückliche Willenserklärung kann mithin «auch etwa durch Kopfnicken und generell durch ein gesellschaftlich anerkanntes oder durch die Parteien im Einzelfall vereinbartes Kommunikationsmittel» erfolgen.⁶⁵³

Damit eine gültige Einwilligung vorliegen würde, müsste der Private, welcher mit seiner Drohne Daten bearbeiten will, die (möglicherweise) betroffenen Personen vorab über die Bearbeitung und deren Zweck informieren. Da für die Bearbeitung besonders schützenswerter Personendaten eine Einwilligung ausdrücklich zu erfolgen hat, müssten z.B. Grundstückeigentümer direkt kontaktiert werden.⁶⁵⁴ Diese Vorgaben werden in der Praxis wohl kaum einmal erfüllt werden (können).⁶⁵⁵ Der Einwilligung kommt im vorliegend interessierenden Bereich somit keine allzu grosse Bedeutung zu.⁶⁵⁶

6.Rechtsfolge bei Missachtung

Werden die Bearbeitungsgrundsätze nicht eingehalten, liegt regelmässig eine Persönlichkeitsverletzung im Sinne von Art. 26 E-DSG vor. Dagegen kann sich die betroffene Person mit den Klagen nach Art. 28 E-DSG zur Wehr setzen.⁶⁵⁷

Strafbewehrt ist eine Missachtung der Grundsätze von Art. 5 und 7 E-DSG dagegen nicht.⁶⁵⁸ Eine Bestrafung wäre denn auch unverhältnismässig; ein zivilrechtliches Vorgehen erscheint als geeignetere Massnahme, um Abhilfe zu schaffen.

II.Privacy by Design

Art. 6 E-DSG normiert «Datenschutz durch Technik und datenschutzfreund- liche Voreinstellungen». Gemeint sind damit «Privacy by Design»⁶⁵⁹ bzw. «Data Protection by Design»⁶⁶⁰ und «Privacy by Default».⁶⁶¹

1.Die Regelung im Einzelnen

1.1 Datenschutz durch Technik

«Der Verantwortliche ist verpflichtet, die Datenbearbeitung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden, insbesondere die Grundsätze nach Artikel 5 [E-DSG].⁶⁶² Er berücksichtigt dies ab der Planung» (Art. 6 Abs. 1 E-DSG).⁶⁶³ «Datenschutzvorschriften» im Sinne dieser Bestimmung meint neben den exemplarisch erwähnten Datenbearbeitungsgrundsätzen auch die weiteren Anforderungen des E-DSG; diese sind einzuhalten und die Rechte der betroffenen Personen zu schützen.⁶⁶⁴

Ziel der Norm ist die Verwirklichung von datenschutzrechtlichen Anforderungen im System, und zwar dergestalt, dass die Gefahr von Verstössen gegen datenschutzrechtliche Vorgaben reduziert oder ausgeschlossen wird.⁶⁶⁵

Dabei müssen die Massnahmen des «Data Protection by Design» während des gesamten Lebenszyklus der Daten⁶⁶⁶ aufrechterhalten und ggf. angepasst bzw. verbessert werden.⁶⁶⁷

Als Umsetzungsbeispiele kommen die regelmässige Löschung von Daten oder deren standardmässige Anonymisierung in Betracht;⁶⁶⁸ kommt eine Kamera zum Einsatz, können z.B. Gesichter oder Personen durch Software unkenntlich gemacht werden.⁶⁶⁹ Aus organisatorischer Sicht sind sodann etwa die Regelung von Informationsflüssen, die Festlegung von Verhaltensregeln und das Abhalten von Schulungen denkbar.⁶⁷⁰

Hervorzuheben ist, dass Hersteller von Produkten und Applikationen nicht von Art. 6 E-DSG erfasst sind; Normadressat ist einzig der Verantwortliche.⁶⁷¹ Letzterer ist mithin bei der Wahl der Massnahme auf diejenige Technik beschränkt, welche ihm angeboten wird.⁶⁷² Dem Beispiel der DSGVO folgend, zielt auch der E-DSG darauf ab, Datenschutz durch Technik «übers Dreieck» zu erreichen, indem die Pflichten der Verantwortlichen die Nachfrage nach entsprechenden Produkten, Applikationen und Diensten bei den Herstellern erzeugt.⁶⁷³

1.2 Beurteilung der Angemessenheit

Die technischen und organisatorischen Massnahmen müssen insbesondere dem Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie den Risiken, welche die Bearbeitung für die Persönlichkeit und Grundrechte der betroffenen Personen mit sich bringt, angemessen sein (Art. 6 Abs. 2 E-DSG).⁶⁷⁴ «Je höher das Risiko, je grösser die Eintrittswahrscheinlichkeit und je umfangreicher die Datenbearbeitung ist, umso höher — S. 91 —sind die Anforderungen an die technischen Vorkehren, damit sie (…) als angemessen gelten können.»⁶⁷⁵

Dem Verantwortlichen kommt bei der Wahl der Massnahmen ein relativ grosser Ermessensspielraum zu. Wird dieser überschritten, besteht die Gefahr der Verletzung von Datenbearbeitungsgrundsätzen und damit wiederum das Risiko von Persönlichkeitsverletzungen.⁶⁷⁶

Obwohl im E-DSG nicht explizit erwähnt, ist im Rahmen einer Verhältnismässigkeitsprüfung («Zweck-Mittel-Relation», Art. 5 Abs. 2 BV) auch eine wirtschaftliche Komponente zu berücksichtigen. So kann sichergestellt werden, dass der Verantwortliche die Implementierungskosten einer technischen oder organisatorischen Massnahme nicht in unbegrenztem Umfang zu tragen hat.⁶⁷⁷

1.3 Stand der Technik insbesondere

Gemäss Art. 6 Abs. 2 E-DSG müssen die technischen und organisatorischen Massnahmen u.a. dem Stand der Technik angemessen sein. Die Botschaft zum E-DSG führt nicht aus, was damit gemeint ist.⁶⁷⁸ Auch neuere Urteile des Bundesgerichts zu datenschutzrechtlichen Fragen erwähnen den «Stand der Technik», ohne näher auf dessen Bedeutung und Inhalt einzugehen.⁶⁷⁹ Der im Umweltrecht oftmals verwendete Begriff⁶⁸⁰ beschreibt Massnahmen, die einem entwickelten Stadium von technischen Möglichkeiten zu einem bestimmten Zeitpunkt entsprechen und auf gesicherten Erkenntnissen der Wissenschaft, Technik und Erfahrung basieren. Ausserdem müssen diese Massnahmen in ausreichendem Mass verfügbar sein, um angemessen umgesetzt zu werden.⁶⁸¹

2.Sanktionierung

Werden die Vorschriften von Art. 6 E-DSG nicht eingehalten, so sieht das Gesetz keine strafrechtliche Sanktionierung vor (vgl. Art. 54 ff. E-DSG). Eine Nichteinhaltung kann dagegen (indirekt) zu einer Persönlichkeitsverletzung führen, namentlich wenn dadurch Bearbeitungsgrundsätze verletzt werden.⁶⁸²

3.Bedeutung bei der drohnengestützten Datenbearbeitung durch Private

Privacy by Design hält in verschiedener Hinsicht Lösungsansätze für datenschutzrechtliche Probleme im Bereich der Drohnenfliegerei bereit. So konsetatierte etwa Roma: «Privacy by design might prove an extremely useful tool to ensure effective enforcement of EU and national legislation, especially where Mini RPAS⁶⁸³ are concerned.»⁶⁸⁴

Mögliche Umsetzungsvarianten von Privacy by Design bei Drohnen sind z.B. eine Beschränkung von Dauer und Auflösung von Videoaufnahmen oder das Anbringen von Warnlichtern bzw. Warnsignalen, welche auf eine Datenbearbeitung hinweisen.⁶⁸⁵ Gesichter und/oder Nummern (z.B. auf Kontrollschildern von Motorfahrzeugen) könnten automatisch erkannt und unkenntlich gemacht werden.⁶⁸⁶ Doch auch das äussere Erscheinungsbild einer Drohne und die damit assoziierten Risiken für Sicherheit und Privatsphäre sollten im vorliegenden Zusammenhang mitbedacht werden.⁶⁸⁷ So kann etwa durch die Verwendung von helleren Farben und das Anbringen — S. 93 —von Logos bzw. Kennzeichen eine Drohne weniger einschüchternd wirken und ggf. Transparenz geschaffen werden.⁶⁸⁸

Nicht alle der genannten Optionen sind jedoch ohne Weiteres umsetzbar. Denn die Programmierung von Datenschutzregeln in Software ist sehr komplex und teilweise gar nicht durchführbar. Zu Recht hielten koops/ leenes fest: «Some legal rules are intentionally open, vague, overinclusive or underinclusive, and often they are indeterminate and require interpreta- tion.»⁶⁸⁹ Gerade die zentralen Bearbeitungsgrundsätze, insbesondere die Verhältnismässigkeit sowie Treu und Glauben,⁶⁹⁰ sind gewollt offen formuliert, was eine softwareseitige Umsetzung derselben erschwert, wenn nicht gar verunmöglicht.⁶⁹¹ Die vorprogrammierten Datenschutzregeln würden ausserdem wohl oft (zu) rigide ausfallen (um Persönlichkeitsverletzungen mit Sicherheit zu vermeiden) und folglich keine Kontextsensitivität zulassen.⁶⁹²

Unter der Geltung des zukünftigen DSG wird sich erst zeigen müssen, welche Umsetzungsvarianten der Vorgabe von Datenschutz durch Technik die Drohnen- und Drohnenzubehörhersteller anbieten werden. Rechtsprechung zu Mindestanforderungen könnte «ein starker Anreiz [sein], erstens auf dem Markt ‹gerichtsfeste› Modelle anzubieten und zweitens auch nur solche Modelle zu verwenden».⁶⁹³ Entsprechende Gerichtspraxis fehlt indes bis anhin.

III.Informationspflicht

Die in Art. 17 E-DSG geregelte Informationspflicht, d.h. die Pflicht des Verantwortlichen, die betroffene Person angemessen über die Beschaffung von Personendaten zu informieren, ist primär darauf ausgerichtet, Transparenz bei der Datenbearbeitung herzustellen. Denn regelmässig kann die betroffene Person nicht erkennen, dass Daten über sie bearbeitet werden; folglich kann sie auch ihre Rechte gemäss E-DSG nicht wahrnehmen.⁶⁹⁴ Die Informationspflicht soll hier Abhilfe schaffen und dient somit auch einer effektiven — S. 94 —Rechtsdurchsetzung.⁶⁹⁵ Im Vergleich zum geltenden Recht wurde sie ausgeweitet; gemäss Art. 14 DSG trifft Private nur dann eine Informationspflicht, wenn sie besonders schützenswerte Personendaten beschaffen.⁶⁹⁶

1.Voraussetzungen

Art. 17 Abs. 1 E-DSG schreibt vor, dass der Verantwortliche die betroffene Person angemessen über die Beschaffung von Personendaten informiert. Diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden; damit sind Fälle angesprochen, in denen die Daten bei Dritten beschafft werden.⁶⁹⁷ Als Dritter in diesem Sinn gilt jede vom Verantwortlichen und dem oder der Betroffenen verschiedene (natürliche oder juristische) Person.⁶⁹⁸ Wird auf öffentliche Quellen — wie etwa Medienberichte oder fremde Webseiten⁶⁹⁹— zurückgegriffen, stellt dies ebenfalls eine Beschaffung bei Dritten dar.⁷⁰⁰

Die Pflicht zur Information wird durch die «Beschaffung» ausgelöst. Beim Beschaffen handelt es sich um einen Bearbeitungsvorgang im Sinne von Art. 4 lit. c E-DSG. «Beschaffen» beschreibt «die Aktivität […], wodurch [der Verantwortliche] gewollt Kenntnis von den Daten erhält oder die Verfügung darüber begründet».⁷⁰¹ Es wird mithin ein aktives Tun vonseiten des Verantwortlichen vorausgesetzt.⁷⁰²

Die drohnengestützte Datenbearbeitung (unabhängig vom verwendeten Sensor) stellt ohne Weiteres eine «Beschaffung» im Sinne von Art. 17 E-DSG dar. Dieser Vorgang bezieht sich direkt auf die betroffene Person und die Daten werden somit direkt bei ihr beschafft.

2.Umfang und Modalitäten

Inhaltlich schreibt Art. 17 Abs. 2 E-DSG vor, dass der betroffenen Person diejenigen Informationen mitgeteilt werden müssen, die erforderlich sind, damit — S. 95 —sie ihre Rechte nach dem E-DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Im Sinne eines Mindestkatalogs führt das Gesetz folgende Informationen auf, die mitgeteilt werden müssen: die Identität und die Kontaktdaten des Verantwortlichen (lit. a); der Bearbeitungszweck (lit. b); und ggf. die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden (lit. c).⁷⁰³

Der E-DSG legt nicht fest, auf welche Weise die Information erfolgen muss. Der Verantwortliche muss jedoch sicherstellen, dass die betroffene Person die Information tatsächlich zur Kenntnis nehmen kann.⁷⁰⁴ Sie muss demnach ausdrücklich und aktiv erfolgen sowie präzise, verständlich und in einer klaren und einfachen Sprache ausgedrückt werden.⁷⁰⁵ Der Verantwortliche hat sicherzustellen, dass die Möglichkeit besteht, sich in leicht zugänglicher Weise zu informieren, nicht aber, dass sich die betroffene Person im konkreten Fall tatsächlich informiert.⁷⁰⁶ Eine allgemeine Information kann genügen, wenn Personendaten bei der betroffenen Person selbst beschafft werden. In diesem Fall sind gemäss Botschaft «eine Datenschutzerklärung auf einer Website, aber gegebenenfalls auch Symbole oder Piktogramme, soweit sie die nötigen Informationen wiedergeben» denkbar.⁷⁰⁷

Es besteht keine Formvorschrift bezüglich der Information; sie kann also grundsätzlich auch mündlich erfolgen. Aus Beweisgründen sowie aus Transparenzüberlegungen ist aber eine schriftliche Information empfehlens- wert.⁷⁰⁸ Insgesamt muss eine Form gewählt werden und zudem die Information so verständlich sein, dass sie dem Zweck einer transparenten Datenbearbeitung auch tatsächlich dient.⁷⁰⁹ Bei der drohnengestützten Datenbearbeitung durch Private kommt eine mündliche Information bezüglich Identität des Verantwortlichen und Zweck der Bearbeitung grundsätzlich in Betracht.

3.Zeitpunkt der Information

Werden Daten direkt bei der betroffenen Person beschafft, so ist diese gemäss Art. 17 Abs. 2 E-DSG bei der Beschaffung zu informieren. Gemäss Botschaft bedeutet dies, dass der Verantwortliche die betroffene Person «in diesem Zeitpunkt» informieren muss.⁷¹⁰ Daraus ergibt sich aber nicht zwingend eine Gleichzeitigkeit der Vorgänge; dies wäre auch nicht in jedem Fall praktikabel. Vielmehr hat die Information vor, während oder unmittelbar nach der (ersten) Datenbeschaffung zu erfolgen.⁷¹¹ Wie bei der eigentlichen Beschaffung ist auch hier ein aktives Tun des Verantwortlichen erforderlich.⁷¹²

Für Daten, die nicht bei der betroffenen Person selbst beschafft werden, gibt Art. 17 Abs. 5 E-DSG eine Frist vor. Danach hat die Information spätestens einen Monat, nachdem der Verantwortliche die Daten erhalten hat, zu erfolgen. Eine kürzere Frist ist für den Fall vorgesehen, dass der Verantwortliche die Personendaten vor Ablauf der Monatsfrist (an einen oder mehrere) Empfänger bekannt gibt. In diesem Fall muss er die betroffene Person spätestens zum Zeitpunkt der Bekanntgabe informieren.⁷¹³

4.Ausnahmen und Einschränkungen

4.1 Ausnahmen

Das Gesetz sieht Ausnahmen zur und Einschränkungen der Informationspflicht vor. So entfällt diese gemäss Art. 18 Abs. 1 E-DSG, wenn eine der folgenden Voraussetzungen erfüllt ist: die betroffene Person verfügt bereits über die entsprechenden Informationen (lit. a); die Bearbeitung ist gesetzlich vorgesehen (lit. b); es handelt sich beim Verantwortlichen um eine private Person, die gesetzlich zur Geheimhaltung verpflichtet ist (lit. c); oder die Information erfordert einen unverhältnismässigen Aufwand (lit. e).⁷¹⁴ Werden die Personendaten nicht bei der betroffenen Person beschafft, so entfällt die Informationspflicht zudem, solange die Person nicht mit verhältnismässigem Aufwand bestimmt werden kann (Art. 18 Abs. 2 E-DSG).

Im Zusammenhang mit der drohnengestützten Datenbearbeitung durch Private besteht keine Rechtsgrundlage, welche eine entsprechende Datenbearbeitung — S. 97 —im Sinne von Art. 18 Abs. 1 lit. b E-DSG vorsehen würde. Ausserdem ist in diesem Kontext nicht ersichtlich, wie die betroffene Person bereits Kenntnis der entsprechenden Informationen haben oder dass ein Privater gesetzlich einer Geheimhaltungspflicht unterliegen könnte (lit. a und c). Des Weiteren werden die Daten nicht bei Dritten beschafft, womit die Ausnahmen gemäss Art. 18 Abs. 2 E-DSG nicht greifen.⁷¹⁵ Insgesamt ist bei der drohnengestützten Datenbearbeitung durch Private keine der genannten Ausnahmen einschlägig.

4.2 Einschränkungen

Des Weiteren sieht das Gesetz in Art. 18 Abs. 3 E-DSG vor, dass der Verantwortliche die Mitteilung der Informationen in gewissen Fällen einschränken, aufschieben oder darauf verzichten kann.⁷¹⁶ Solche Massnahmen sind etwa möglich, wenn sie wegen überwiegender Interessen Dritter erforderlich sind (lit. a). Private Verantwortliche können zudem so vorgehen, wenn eigene überwiegende Interessen es erfordern (lit. c).

Werden von einem Privaten mit einer Drohne Daten bearbeitet, so wird regelmässig keiner der im E-DSG vorgesehenen Tatbestände einschlägig sein. Denn es ist kaum eine Situation denkbar, in welcher überwiegende Interessen des Drohnenbetreibers (als Verantwortlicher) oder von Dritten einer Information entgegenstehen könnten. Die Mitteilung der Informationen gemäss Art. 17 E-DSG kann somit nicht eingeschränkt, aufgeschoben oder auf sie verzichtet werden.

5.Sanktionierung

Die Verletzung von Informationspflichten ist gemäss Art. 54 Abs. 1 lit. a und b E-DSG sanktionsbewehrt. So werden private Personen auf Antrag mit Busse bis zu 250’000 Franken bestraft, die ihre Pflichten nach den Art. 17, 19 und 23–25 E-DSG verletzen, indem sie vorsätzlich eine falsche oder unvollständige Auskunft erteilen (lit. a). Mit der gleichen Busse können private Personen belegt werden, die es vorsätzlich unterlassen, die betroffene Person nach Art. 17 Abs. 1 E-DSG zu informieren (lit. b Ziff. 1)⁷¹⁷ oder ihr die Angaben nach Art. 17 Abs. 2 E-DSG zu liefern (lit. b Ziff. 2).

6.Bedeutung bei der drohnengestützten Datenbearbeitung durch Private

Die Informationspflicht gemäss Art. 17 E-DSG ist ohne Weiteres auf Private anwendbar, die drohnengestützt Daten bearbeiten. Die gesetzlichen Ausnahmen der Informationspflicht sind nicht einschlägig. Es ist jedoch davon auszugehen, dass bei der drohnengestützten Datenbearbeitung eine Information der betroffenen Personen regelmässig unterbleibt. Dies dürfte sich primär daraus ergeben, dass sich Drohnenbetreiber einer entsprechenden Pflicht nicht bewusst sind oder aber diese nicht erfüllen. Eine Sanktionierung gemäss Art. 54 E-DSG kommt somit meist nicht in Betracht, da in so gearteten Fällen regelmässig keine Vorsätzlichkeit vorliegt.⁷¹⁸

Die mit der Informationspflicht angestrebte Verbesserung der Transparenz wird bei der drohnengestützten Datenbearbeitung mithin nicht erreicht. Aus diesem Grund kommt dem datenschutzrechtlichen Auskunftsrecht (dazu hinten, S. 100 ff.) in diesem Kontext eine besondere Bedeutung zu.

IV.Datenschutz-Folgenabschätzung

1.Voraussetzungen

Wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann, erstellt der Verantwortliche vorgängig eine Datenschutz-Folgenabschätzung. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, so kann eine gemeinsame Abschätzung erstellt werden (Art. 20 Abs. 1 E-DSG).⁷¹⁹ Das «hohe Risiko» ergibt sich, insbesondere bei Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung (Art. 20 Abs. 2 E-DSG).⁷²⁰ Ein hohes Risiko liegt namentlich bei einer umfangreichen Bearbeitung besonders schützenswerter Personendaten, oder wenn systematisch umfangreiche öffentliche Bereiche überwacht werden, vor (Art. 20 Abs. 2 lit. a und c E-DSG).⁷²¹

Inhaltich verlangt Art. 20 Abs. 3 E-DSG «eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der — S. 99 —Persönlichkeit und der Grundrechte». Datenbearbeitungen durch Private, die zur Erfüllung einer gesetzlichen Pflicht des Verantwortlichen erfolgen, sind gemäss Abs. 4 von der Erstellung einer Datenschutz-Folgenabschätzung ausgenommen.⁷²²

2.Sanktionierung

Wird die Pflicht zur Erstellung einer Datenschutz-Folgenabschätzung nicht eingehalten, hat der untätig gebliebene Verantwortliche keine strafrechtli- chen Folgen zu gewärtigen: Die Missachtung von Art. 20 E-DSG ist in den Strafbestimmungen von Art. 54 ff. E-DSG nicht enthalten. In diesem Fall ist auch keine Persönlichkeitsverletzung möglich, da die Folgenabschätzung vor der Datenbearbeitung ansetzt und somit zu diesem Zeitpunkt noch keine Personen betroffen sind.⁷²³ Wird eine Datenbearbeitung durchgeführt, welche einer Folgenabschätzung bedurft hätte, so ist jedoch die Einhaltung der Bearbeitungsgrundsätze gefährdet, was Persönlichkeitsverletzungen nach sich ziehen kann.⁷²⁴

3.Bedeutung bei der drohnengestützten Datenbearbeitung durch Private

Bei der drohnengestützten Datenbearbeitung durch Private kommt der Datenschutz-Folgenabschätzung geringe Bedeutung zu. Zwar ist ein privater Verantwortlicher grundsätzlich der Pflicht zur Erstellung einer solchen unterworfen; jedoch ist nicht davon auszugehen, dass bei einer drohnengestützten Datenbearbeitung durch einen Privaten oft ein «hohes Risiko» im Sinne von Art. 20 Abs. 1 und 2 E-DSG besteht. Der Umfang, die Umstände und der Zweck einer solchen Datenbearbeitung erreichen diese Schwelle regelmässig nicht.⁷²⁵

Bei den in dieser Untersuchung interessierenden Bearbeitungsvorgän- gen liegt keine systematische Überwachung von umfangreichen öffentlichen Bereichen vor (vgl. Art. 20 Abs. 2 lit. c E-DSG).⁷²⁶ Dagegen ist eine umfangreiche — S. 100 —Bearbeitung von besonders schützenswerten Personendaten im Sinne von Art. 20 Abs. 2 lit. a E-DSG nicht auszuschliessen.⁷²⁷ Umfangreich ist eine Datenbearbeitung dann, wenn grosse Mengen an Daten bearbeitet werden und/oder eine grosse Zahl von Personen betroffen ist bzw. betroffen sein kann.⁷²⁸ Demnach könnte etwa eine (beabsichtigte) Aufnahme einer Demons tration⁷²⁹ mit einer Drohne durch einen Privaten die Pflicht zur Erstellung einer Datenschutz-Folgenabschätzung mit sich bringen.⁷³⁰

V.Auskunftsrecht

1.Zentrale Bedeutung des Anspruchs

Das in Art. 23 E-DSG enthaltene Auskunftsrecht stellt eine Ergänzung der Informationspflicht des Verantwortlichen dar; es bildet die Grundlage dafür, dass die betroffene Person die Rechte aus dem Datenschutzgesetz überhaupt wahrnehmen kann.⁷³¹ Das Auskunftsrecht ist mithin ein zentrales, wenn nicht das zentrale Institut der Durchsetzung des (datenschutzrechtlichen) Persönlichkeitsschutzes⁷³² bzw. des Datenschutzrechts überhaupt.⁷³³ Es soll den betroffenen Personen ermöglichen, die über sie «bearbeiteten Daten zu kontrollieren mit dem Ziel, die Einhaltung der datenschutzrechtlichen Grundsätze und Bestimmungen zu überprüfen und gegebenenfalls durchzusetzen».⁷³⁴ So kann eine betroffene Person z.B. die Berichtigung unrichtiger Daten (vgl. Art. 5 Abs. 2 E-DSG), die Sperrung der Bekanntgabe gewisser Daten oder die — S. 101 —Löschung und Vernichtung derselben (Art. 28 Abs. 2 E-DSG735) verlangen.736 Dem Auskunftsrecht kommt folglich eine Kontrollfunktion zu.737

2.Auskunftsberechtigte und Auskunftsverpflichtete

Jede Person kann gemäss Art. 23 Abs. 1 E-DSG vom Verantwortlichen kostenlos738 Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Als subjektives, höchstpersönliches Recht kann es auch von urteilsfähigen handlungsunfähigen Personen selbständig, ohne Zustimmung ihres gesetzlichen Vertreters, geltend gemacht werden (vgl. Art. 19c ZGB).739 Aufgrund des klaren Wortlauts von Art. 23 Abs. 1 E-DSG kann Auskunft darüber verlangt werden, ob Personendaten bearbeitet werden (und nicht etwa nur darüber, welche Personendaten bearbeitet werden).740 Auskunftsverpflichtet ist derjenige, der für eine Datenbearbeitung verantwortlich ist bzw. vermutungsweise dafür verantwortlich zeichnet.741

3.Voraussetzungen

Das Auskunftsrecht besteht voraussetzungslos.742 Der Auskunftsberechtigte hat weder ein schutzwürdiges Interesse noch eine besondere Motivation nachzuweisen;743 auch blosse Neugier reicht aus.744 Grenze bildet einzig der Rechts- 735 Vgl. dazu detailliert hinten, S. 112 ff.

736 Vgl. BGE 125 II 473 E. 4b; 126 II 126 E. 5c/bb.

737 Vgl. BGE 138 III 425 E. 5.3; 120 II 118 E. 3b.

738 Vgl. aber Art. 23 Abs. 6 E-DSG, wonach der Bundesrat Ausnahmen von der Kostenlosig-

keit vorsehen kann, namentlich wenn der Aufwand unverhältnismässig gross ist.

739 Botschaft Totalrevision DSG, S. 7066; peter, S. 212. Ausführlich zum Begriff des

höchstpersönlichen Rechts und dessen Bedeutung statt vieler KuKo ZGB-Hotz, Art. 19c N 1 ff. Ausführlich zu den Begriffen der Urteilsfähigkeit und der Handlungs- fähigkeit (bzw. -un fähigkeit) statt vieler Steinauer/Fountoulakis, Rn. 75 ff. und Rn. 163 ff.

740 Vgl. epiney/Fasnacht, in: Belser/Epiney/Waldmann, § 11 Rn. 24; BSK DSG-Gramigna/

Maurer-Lambrou, Art. 8 N 24. Selbstredend können vom Verantwortlichen keine Angaben gefordert werden, über die er gar nicht verfügt (vgl. BGE 136 II 508 E. 3.7).

741 «Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbei-

ten, so bleibt er auskunftspflichtig» (Art. 23 Abs. 4 E-DSG). Auftragsdatenbearbeiter ist gemäss Legaldefinition in Art. 4 lit. j E-DSG die «private Person oder [das] Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet». In Übereinstimmung mit dem Fokus der vorliegenden Untersuchung wird nicht weiter auf die Auftragsdatenbearbeitung eingegangen.

742 Handkomm. DSG-Rosenthal, Art. 8 N 5; epiney/Fasnacht, in: Belser/Epiney/Wald-

mann, § 11 Rn. 21.

743 BGE 144 III 119 E. 7.1.1; 127 V 219 E. 1a/aa; Handkomm. DSG-Rosenthal, Art. 8 N 12.

missbrauch (vgl. Art. 2 Abs. 2 ZGB).⁷⁴⁵ Besteht der Verdacht einer rechtsmissbräuchlichen oder querulatorischen Geltendmachung des Auskunftsrechts, so darf der Verantwortliche vom Auskunftsberechtigten eine Begründung des Auskunftsbegehrens verlangen;⁷⁴⁶ ansonsten ist grundsätzlich keine solche zu liefern.

4.Ausübung des Auskunftsrechts

4.1 Auskunftsbegehren

Das Auskunftsbegehren ist prinzipiell schriftlich einzureichen,⁷⁴⁷ es kommen aber auch mündliche (z.B. telefonische) oder elektronische Gesuche in Betracht.⁷⁴⁸ Inhaltlich sind keine hohen Anforderungen an das Begehren zu stellen.⁷⁴⁹ Es kann jedoch vom Auskunftsberechtigten verlangt werden, wenigstens die «ihm möglichen und zumutbaren zweckdienlichen Angaben zur Erleichterung des Auffindens der Daten zu machen».⁷⁵⁰

Im Rahmen der drohnengestützten Datenbearbeitung liegt hier der Knackpunkt des Auskunftsrechts. Der Drohnenbetreiber, welcher als (allfälliger) Verantwortlicher die Auskunft zu erteilen hätte, ist nicht ohne Weiteres zu identifizieren. Somit kann die betroffene Person ihr Auskunftsbegehren gar nicht erst stellen.

4.2 Identifikation des Auskunftsberechtigten

Der Verantwortliche hat die Identität des Gesuchstellers zu überprüfen; würde er dies nicht tun, bestünde die Gefahr von Persönlichkeitsverletzungen, indem Daten Dritter eingesehen werden könnten.⁷⁵¹ Je schutzwürdiger die Daten, umso höhere Anforderungen sind an die Qualität des Identitätsnachweises zu stellen.⁷⁵² Regelmässig geschieht die Überprüfung anhand einer Kopie eines amtlichen Identitätsausweises, der dem Gesuch beigelegt wird.⁷⁵³

5.Erteilung der Auskunft

5.1 Form und Inhalt

Die Auskunft ist grundsätzlich schriftlich, in Form eines Ausdrucks oder einer Fotokopie, zu erteilen.⁷⁵⁴ Auf jeden Fall müssen die Daten in lesbarer bzw. verständlicher und — falls sie in irgendeiner Weise verschlüsselt sind — entschlüsselter Form übermittelt werden.⁷⁵⁵ Je nach Art der bearbeiteten Daten ist dies jedoch kein gangbarer Weg: Geht es um Video- oder Tonaufnahmen, so ist der Auskunftsverpflichtete prinzipiell gehalten, dem Berechtigten eine Kopie der Daten auf einem geeigneten Speichermedium zuzustellen.⁷⁵⁶

Inhaltlich bestimmt Art. 23 Abs. 2 E-DSG, welche Angaben die betroffene Person erhält. Namentlich soll sie diejenigen Informationen erhalten, die erforderlich sind, damit sie ihre Rechte nach dem Datenschutzgesetz geltend machen kann. Gemäss dem Wortlaut der Bestimmung werden der betroffenen Person ausschliesslich die darin genannten Informationen mitgeteilt. Dabei handelt es sich u.a. um die Identität und die Kontaktdaten des Verantwortlichen (lit. a), die bearbeiteten Personendaten als solche (lit. b)⁷⁵⁷ sowie den Bearbeitungszweck (lit. c).⁷⁵⁸

Der Inhalt der erteilten Auskunft muss wahrheitsgetreu und vollständig sein.⁷⁵⁹ Vollständigkeit bedeutet in diesem Zusammenhang, dass der Gehalt der Auskunft dem Gegenstand des Gesuchs entspricht.⁷⁶⁰ Es gilt des Weiteren allfällige Einschränkungen zu beachten, was eine sorgfältige Prüfung im Einzelfall verlangt.⁷⁶¹

5.2 Einschränkungen

Art. 24 Abs. 1 E-DSG sieht vor, dass der Verantwortliche die Auskunft verweigern, einschränken oder aufschieben kann, wenn ein Gesetz im formellen Sinn dies vorsieht, namentlich um ein Berufsgeheimnis zu schützen (lit. a), dies aufgrund überwiegender Interessen Dritter erforderlich ist (lit. b) oder das Auskunftsgesuch offensichtlich unbegründet ist, namentlich wenn es einen datenschutzwidrigen Zweck verfolgt oder offensichtlich querulatorisch ist (lit. c). Darüber hinaus kann ein privater Verantwortlicher gemäss Art. 24 Abs. 2 lit. a E-DSG die Auskunft verweigern, einschränken oder aufschieben, wenn «überwiegende Interessen des Verantwortlichen die Massnahme [erfordern]».

Werden von einem Privaten mit einer Drohne Daten bearbeitet, so ist regelmässig keiner der vorgenannten Tatbestände erfüllt.⁷⁶² Zunächst ist kaum eine Situation denkbar, in welcher überwiegende Interessen des Drohnenbetreibers als Verantwortlicher oder von Dritten der Auskunftserteilung entgegenstehen würden. Ausserdem ist kein Gesetz im formellen Sinn ersichtlich, das einschlägig wäre.

Der Tatbestand des offensichtlich unbegründeten Auskunftsgesuchs ist sodann eng auszulegen und nicht leichthin anzunehmen.⁷⁶³ Aufgrund der Tatsache, dass das Auskunftsrecht bereits bei blosser Neugier und ohne spezifischen Interessennachweis zu erteilen ist,⁷⁶⁴ kommt eine Verweigerung oder eine Einschränkung der Auskunft wegen offensichtlicher Unbegründetheit grundsätzlich nur in Ausnahmefällen infrage, etwa bei unzulässiger Beweisausforschung im Vorfeld eines Prozesses.⁷⁶⁵ Querulatorische Auskunftsersuchen liegen dann vor, wenn diese z.B. häufig wiederholt werden, ohne dass dies schlüssig begründet würde, oder wenn sich diese an einen Verantwortlichen richten, von dem die gesuchstellende Person bereits weiss, dass er keine Daten über sie bearbeitet.⁷⁶⁶

6.Zeitpunkt der Auskunft

Das Auskunftsrecht kann ohne zeitliche Beschränkung, d.h. jederzeit, ausgeübt werden.⁷⁶⁷ Es ist unverjährbar.⁷⁶⁸ Die Auskunft ist in der Regel innert 30 Ta- gen seit Eingang des Auskunftsbegehrens zu erteilen (vgl. Art. 23 Abs. 7 E-DSG).⁷⁶⁹ Das Auskunftsrecht ist zudem unverzichtbar; das Gesetz hält dies in Art. 23 Abs. 5 E-DSG explizit fest, indem es bestimmt, dass niemand im Voraus auf das Auskunftsrecht verzichten kann.⁷⁷⁰ Es ist aber zulässig, dass eine betroffene Person gegenüber einem Verantwortlichen auf die (erneute) Ausübung des Auskunftsrechts verzichtet oder aber ein Gesuch wieder zurückzieht.⁷⁷¹

7.Sanktionierung

Die Verletzung von Auskunftspflichten ist gemäss Art. 54 Abs. 2 lit. a E-DSG sanktionsbewehrt. So werden private Personen auf Antrag mit Busse bis zu 250’000 Franken bestraft, die ihre Pflichten nach den Art. 17, 19 und 23–25 E-DSG verletzen, indem sie vorsätzlich eine falsche oder unvollständige Auskunft erteilen.

8.Bedeutung bei der drohnengestützten Datenbearbeitung durch Private

Wie im Rahmen der Untersuchung der Informationspflicht festgestellt, ist es bei der drohnengestützten Datenbearbeitung unwahrscheinlich, dass die Verantwortlichen derselben nachkommen.⁷⁷² Das Auskunftsrecht, als Ergänzung der Informationspflicht und als Kontrollrecht der betroffenen Person, ist somit von umso grösserer Bedeutung. Aus den vorangehenden Ausführungen erhellt jedoch, dass auch das Auskunftsrecht in diesem Kontext die ihm zugedachte Funktion nicht erfüllen kann. Denn ist der oder die Verantwortliche nicht zu identifizieren, so ist bereits das Stellen eines Auskunftsbegehrens ausgeschlossen. Dieser Umstand fällt besonders ins Gewicht, da bei der drohnengestützten Datenbearbeitung nachweislich ein Transparenzbedürfnis zu Art und Zweck derselben ausgelöst wird.⁷⁷³

VI.Rechte bei Persönlichkeitsverletzungen

Die in Art. 26 bis 28 E-DSG enthaltenen Vorschriften entsprechen weitgehend, mit einigen redaktionellen Änderungen, den heute geltenden Art. 12, 13 und 15 DSG.⁷⁷⁴ Inhaltlich konkretisieren diese Normen die in Art. 28 ff. ZGB geregelten Ansprüche bei Verletzungen der Persönlichkeit und allfällige Rechtfertigungsgründe im Kontext des Datenschutzrechts.⁷⁷⁵

1.Persönlichkeitsverletzung

Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen (Art. 26 Abs. 1 E-DSG). Eine Persönlichkeitsverletzung liegt gemäss der Auflistung in Abs. 2 insbesondere vor, wenn die Datenbearbeitungsgrundsätze⁷⁷⁶ nicht eingehalten werden (lit. a).⁷⁷⁷ Daneben sind auch die Bearbeitung entgegen der ausdrücklichen Willenserklärung⁷⁷⁸ der betroffenen Person sowie die Bekanntgabe an Dritte von besonders schützenswerten Personendaten explizit erwähnt (lit. b und c). Die Liste ist — wie sich bereits aus der Verwendung des Begriffs «insbesondere» ergibt — als nicht abschliessend zu verstehen.⁷⁷⁹

Bei der drohnengestützten Datenbearbeitung durch Private werden regelmässig Datenbearbeitungsgrundsätze nicht eingehalten, wobei der Grundsatz der Erkennbarkeit im Vordergrund steht.⁷⁸⁰ In diesen Fällen ist gemäss Art. 26 Abs. 2 lit. a E-DSG grundsätzlich eine Persönlichkeitsverletzung gegeben; diese kann jedoch möglicherweise gerechtfertigt sein.⁷⁸¹ Die zu Art. 12 Abs. 2 lit. a DSG geführte Diskussion, ob eine Rechtfertigung einer Persönlichkeitsverletzung aufgrund der Verletzung eines Datenbearbeitungsgrundsatzes überhaupt möglich ist,⁷⁸² dürfte mit dem E-DSG erledigt — S. 107 —sein.⁷⁸³ Eine Rechtfertigung der Bearbeitung von Personendaten entgegen den allgemeinen Bearbeitungsgrundsätzen ist demnach nicht generell ausgeschlossen; die Rechtfertigungsgründe dürfen aber im konkreten Fall nur mit grosser Zurückhaltung bejaht werden.⁷⁸⁴

Da die Aufnahmen von Personen und Grundstücken mithilfe von Drohnen besonders schützenswerte Personendaten darstellen können,⁷⁸⁵ kommt — bei deren Bekanntgabe — auch der Regelung von Art. 26 Abs. 2 lit. c E-DSG Gewicht zu. Eine solche Bekanntgabe, etwa eine Weitergabe an Dritte, bedarf somit in jedem Fall eines Rechtfertigungsgrundes,⁷⁸⁶ ansonsten sie eine widerrechtliche Persönlichkeitsverletzung darstellt.

Von geringerer Bedeutung ist jedoch Art. 26 Abs. 2 lit. b E-DSG. Gemäss dieser Bestimmung liegt eine Persönlichkeitsverletzung vor, wenn Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden. Ein solches Verbot kann jedoch nicht pauschal ausgespro- chen werden; es muss vielmehr gegenüber bestimmten Verantwortlichen und bezogen auf bestimmte Daten und Bearbeitungen verhängt werden.⁷⁸⁷ Bei der drohnengestützten Datenbearbeitung durch Private dürfte eine entsprechende «ausdrückliche» Willenserklärung der betroffenen Personen kaum einmal vorliegen bzw. kaum vom allfälligen Bearbeiter zur Kenntnis genommen werden.⁷⁸⁸ Anders würde es sich nur verhalten, wenn etwa die betroffene Person die Drohne sowie deren Betreiber identifizieren, diesen direkt ansprechen und eine allfällige Datenbearbeitung explizit verbieten kann.

Keine Persönlichkeitsverletzung liegt in der Regel vor, wenn die betroffene Person die Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat (Art. 26 Abs. 3 E-DSG). Ein «allgemeines Zugänglichmachen» von Daten setzt voraus, dass dies in den Medien — S. 108 —oder im Internet geschieht;⁷⁸⁹ so sind sie für «eine unbestimmte Zahl von Personen […] ohne wesentliche Hindernisse» zugänglich.⁷⁹⁰ Für die vorliegende Auseinandersetzung ist dieser Ausschluss unbeachtlich.

2.Rechtfertigungsgründe

Gemäss Art. 27 Abs. 1 E-DSG ist eine Persönlichkeitsverletzung widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist. Diese Bestimmung entspricht der Regelung in Art. 28 Abs. 2 ZGB.

Die Rechtfertigungsgründe des Gesetzes sowie der Einwilligung der betroffenen Person finden im Zusammenhang mit der drohnengestützten Datenbearbeitung durch Private kaum einmal Anwendung.⁷⁹¹ Zunächst ist kein Gesetz ersichtlich, welches in diesem Kontext eine Datenbearbeitung rechtfertigen würde. Vorausgesetzt wäre dafür, dass der Gesetzgeber eine Datenbearbeitung «ausdrücklich fordert, erlaubt oder zumindest stillschweigend voraussetzt».⁷⁹² Des Weiteren darf auch das Vorliegen einer wirksamen Einwilligung regelmässig verneint werden.⁷⁹³ Eine solche ist gemäss Art. 5 Abs. 6 E-DSG nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird. Bei drohnengestützten Datenbearbeitungen durch Private sind nur wenige Situationen vorstellbar, in welcher diese Voraussetzungen erfüllt sind.⁷⁹⁴

Art. 27 Abs. 2 E-DSG enthält eine nicht abschliessende Liste von Fällen, in denen ein überwiegendes Interesse des Verantwortlichen als Rechtfertigungsgrund in Betracht fällt.⁷⁹⁵ So werden u.a. der Abschluss und die Durchführung eines Vertrags (lit. a), die Überprüfung der Kreditwürdigkeit (lit. c), — S. 109 —die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums (lit. d) oder die Verwendung zu Zwecken der Forschung, Planung oder Statistik (lit. e) genannt. Die aufgeführten Tatbestände sind im Zusammenhang mit der drohnengestützten Datenbearbeitung durch Private kaum einschlägig. Persönlichkeitsverletzungen können damit nicht gerechtfertigt werden.

Handelt es sich bei der betroffenen Person um «eine Person des öffentlichen Lebens», d.h. eine (absolute oder relative) Person der Zeitgeschichte wie z.B. Politiker, Profisportler, Musiker, Schauspieler etc.,⁷⁹⁶ könnte u.U. Art. 27 Abs. 2 lit. f E-DSG zur Anwendung kommen. Gemäss dieser Bestimmung fällt ein überwiegendes Interesse des Verantwortlichen in Betracht, wenn dieser «Personendaten über eine Person des öffentlichen Lebens [sammelt], die sich auf das Wirken dieser Person in der Öffentlichkeit beziehen». Für den hier interessierenden Kontext ist ein so geartetes überwiegendes Interesse wohl in den allermeisten Fällen zu verneinen, da sich die drohnengestützte Datenbearbeitung auf das «Wirken der Person in der Öffentlichkeit» beziehen müsste.⁷⁹⁷

Ein überwiegendes privates Interesse des Verantwortlichen, das nicht im Gesetz erwähnt ist, kommt im Grundsatz ebenfalls als Rechtfertigungsgrund in Betracht. Ein solches setzt jedoch ein schützenswertes Interesse voraus, welches dasjenige der betroffenen Person überwiegt.⁷⁹⁸ Im hier interessierenden Kontext dürfte somit regelmässig keine so geartete Rechtfertigung in Betracht kommen.⁷⁹⁹

Insgesamt ist im Bereich der drohnengestützten Datenbearbeitung durch Private in den allermeisten Fällen kein Rechtfertigungsgrund gegeben. Die nicht gerechtfertigten Persönlichkeitsverletzungen bringen somit grundsätzlich die Anwendbarkeit der Ansprüche gemäss Art. 28 E-DSG mit sich.

3.Rechtsansprüche

3.1 Übersicht

Art. 28 E-DSG enthält die Ansprüche, welche eine betroffene Person gegenüber privaten Verantwortlichen vor dem Zivilgericht geltend machen kann.⁸⁰⁰ Gemäss Art. 28 Abs. 2 E-DSG richten sich die Klagen zum Schutz der Persönlichkeit nach den Art. 28, 28a sowie 28g–28l ZGB.⁸⁰¹ Darauf soll sogleich vertieft eingegangen werden.

Daneben gewährt Art. 28 Abs. 1 E-DSG der betroffenen Person das Recht zu verlangen, dass unrichtige Personendaten berichtigt werden.⁸⁰² Kann weder die Richtigkeit noch die Unrichtigkeit der betreffenden Personendaten festgestellt werden, so kann die klagende Partei verlangen, dass ein Bestreitungsvermerk angebracht wird (Art. 28 Abs. 3 E-DSG). Dem Berichtigungsanspruch kommt für die vorliegende Untersuchung untergeordnete Bedeutung zu, da die Richtigkeit der drohnengestützt bearbeiteten Daten kaum umstritten sein dürfte.⁸⁰³ Deshalb wird dieser Anspruch nicht weiter behandelt.

Die betroffene Person kann zudem verlangen, dass die Berichtigung, die Löschung oder die Vernichtung, das Verbot der Bearbeitung oder der Bekanntgabe an Dritte, der Bestreitungsvermerk oder das Urteil Dritten mitgeteilt oder veröffentlicht wird (Art. 28 Abs. 4 E-DSG).

3.2 Klagen zum Schutz der Persönlichkeit

Die datenschutzrechtlichen Klagen «richten sich nach» den Bestimmungen des ZGB (Art. 28 Abs. 2 E-DSG). Letztere sind folglich nicht unbesehen auf das Datenschutzgesetz zu übertragen; vielmehr ist kurz auf das Zusammenspiel zwischen den beiden Gesetzen einzugehen.

Zunächst enthält Art. 28 Abs. 1 ZGB den Grundsatz, dass, wer in seiner Persönlichkeit widerrechtlich verletzt wird, zu seinem Schutz gegen jeden, der an der Verletzung mitwirkt, das Gericht anrufen kann. Abs. 2 dieser Be-

stimmung nennt Rechtfertigungsgründe; diese enthält der E-DSG selbst und fast gleichlautend bereits in Art. 27 Abs. 1. Als lex specialis geht die Bestimmung des E-DSG vor.⁸⁰⁴ Die Art. 28g–28l ZGB behandeln das Recht auf Gegendarstellung; sie sind für die vorliegende Untersuchung unbeachtlich.⁸⁰⁵ Art. 28a ZGB regelt die einzelnen Ansprüche, welche der betroffenen Person zur Verfügung stehen: Unterlassung (Abs. 1 Ziff. 1), Beseitigung (Abs. 1 Ziff. 2); Feststellung (Abs. 1 Ziff. 3); Schadenersatz (Abs. 3 i.V.m. Art. 41 ff. OR⁸⁰⁶); Genugtuung (Abs. 3 i.V.m. Art. 49 OR) und Gewinnherausgabe (Abs. 3 i.V.m. Art. 423 OR).⁸⁰⁷ Art. 28 Abs. 2 E-DSG seinerseits verdeutlicht die Unterlassungs- und Beseitigungsansprüche im datenschutzrechtlichen Kontext, indem er namentlich das Verbot einer bestimmten Datenbearbeitung (lit. a) und die Untersagung einer bestimmten Bekanntgabe von Personendaten an Dritte (lit. b) explizit erwähnt.⁸⁰⁸ Daneben nennt die Bestimmung auch den Anspruch auf Löschung oder Vernichtung von Personendaten (lit. c).⁸⁰⁹ Aus Art. 26 Abs. 2 lit. a E-DSG ergibt sich — zusammen mit dem Löschungs- und Vernichtungsanspruch — des Weiteren ein einklagbares «Recht auf Vergessenwerden».⁸¹⁰ Im Zusammenhang mit der drohnengestützten Datenbearbeitung durch Private sind dem Widerspruchs- bzw. Beseitigungsrecht sowie dem Unterlassungsanspruch zentrale Bedeutung zuzumessen. Dagegen kommt — S. 112 —den Ansprüchen auf Schadenersatz⁸¹¹ und Gewinnherausgabe⁸¹² nur untergeordnete Bedeutung zu.⁸¹³ Eine Genugtuungsklage käme jedoch prinzipiell in Betracht; gleiches gilt für die Feststellungsklage.

3.3 Die Ansprüche im Einzelnen

a Beseitigung

Gestützt auf Art. 28a Abs. 1 Ziff. 2 ZGB kann die betroffene Person verlangen, dass eine bestehende Persönlichkeitsverletzung beseitigt wird. Die Geltendmachung eines Beseitigungsanspruchs setzt voraus, dass die betroffene Person nachweist, dass die beklagte Partei ihre Daten in persönlichkeitsverletzender Weise (vgl. Art. 26 E-DSG) bearbeitet und diese Bearbeitung andauert.⁸¹⁴

Im Rahmen des Datenschutzrechts kommen verschiedenste Arten der Beseitigung in Betracht. So kann neben der Löschung und Vernichtung (Art. 28 Abs. 2 lit. c E-DSG) auch ein Verbot der (weiteren) Bearbeitung und Bekanntgabe (vgl. Art. 28 Abs. 2 lit. a und b E-DSG) verlangt werden.⁸¹⁵ Des Weiteren kann die betroffene Person etwa die Herausgabe, das Unbrauchbarmachen der Daten oder die Entfernung derselben von sozialen Netzwerken anbegehren.⁸¹⁶ Unter dem Titel der Beseitigung kann zudem das Recht auf Auskunft gemäss Art. 23 E-DSG gerichtlich durchgesetzt werden.⁸¹⁷

Wird ein Herausgabeanspruch geltend gemacht, so kann — im Rahmen der Verhältnismässigkeit — vom Verantwortlichen u.U. verlangt werden, dass er Datenträger wie USB-Sticks oder externe Speicherkarten wie z.B. SDKarten, — S. 113 —auf welchen die strittigen Daten gespeichert sind, herausgibt.⁸¹⁸ Trägt eine Drohne eine Kamera, so kommt daher grundsätzlich auch in Betracht, dass die Speicherkarte derselben her ausgefordert wird. Dabei gilt zu beachten, dass — wenn Daten verschiedener Personen darauf gespeichert sind — nicht durch die Herausgabe neuerliche Persönlichkeitsverletzungen begangen werden.

Bezieht sich ein Beseitigungsanspruch auf die Löschung bzw. Vernichtung von elektronisch gespeicherten Personendaten, so geht es um einen technisch komplexen Vorgang.⁸¹⁹ Vorausgesetzt ist, dass allfällige Kopien der Dateien in Clouds⁸²⁰ oder auf externen Festplatten erfasst werden (können).⁸²¹ Die physische Zerstörung von Datenträgern soll vom Gericht nur als ultima ratio angeordnet werden.⁸²² Sind Personendaten sodann im Internet, z.B. auf sozialen Netzwerken, gespeichert, führt dies oftmals dazu, dass diese auch nach einer Löschung auf der «Ursprungsseite» anderswo noch auffindbar bleiben.⁸²³

b Unterlassung

Eine drohende oder die Wiederholung einer bereits begangenen Verletzung kann mit dem Unterlassungsanspruch unterbunden werden (vgl. Art. 28a Abs. 1 Ziff. 1 ZGB und Art. 28 Abs. 2 lit. a und b E-DSG). Unter diesem Titel kann etwa verlangt werden, dass eine unmittelbar bevorstehende bzw. beabsichtigte Bekanntgabe von Daten an Dritte oder Veröffentlichung von Daten (z.B. in sozialen Medien) untersagt wird.⁸²⁴

Die Geltendmachung des Unterlassungsanspruchs verlangt, dass die betroffene Person die Gefahr einer drohenden Persönlichkeitsverletzung nachweist. Ein Unterlassungsbegehren setzt mithin «ein hinreichendes Rechtsschutzinteresse voraus, das besteht, wenn die widerrechtliche Handlung unmittelbar droht, d.h., wenn das Verhalten des Beklagten die künftige Rechtsverletzung ernsthaft befürchten lässt.»⁸²⁵ Aus datenschutzrechtlicher — S. 114 —Perspektive ist hier z.B. an Fälle zu denken, in denen der Verantwortliche in der Vergangenheit bereits eine ähnlich gelagerte Persönlichkeitsverletzung begangen hat und/oder eine Verwarnung durch die betroffene Person wirkungslos blieb. Ebenso wäre ein hinreichendes Rechtsschutzinteresse zu bejahen, wenn der Verantwortliche die Unrechtmässigkeit einer Bearbeitung bestreitet, sodass sich eine Wiederholung derselben abzeichnet.⁸²⁶

Da Datenbearbeitungen oftmals auf Dauer angelegt sind und die ernsthafte Gefahr einer Wiederholung der Persönlichkeitsverletzung bestehen kann, lassen sich Beseitigungs- und Unterlassungsansprüche nicht immer sauber trennen bzw. drängt sich eine Kombination derselben auf.⁸²⁷

Das Gericht kann dem Beklagten, ggf. unter Androhung der Bestrafung nach Art. 292 StGB,⁸²⁸ verbieten, die fragliche Datenbearbeitung vorzunehmen.⁸²⁹ Da damit vorwiegend präventive Zwecke verfolgt werden, ist einem solchen Begehren nur mit grosser Zurückhaltung und unter Wahrung des Grundsatzes der Verhältnismässigkeit stattzugeben.⁸³⁰

Im Kontext der drohnengestützten Datenbearbeitung durch Private könnte ein Unterlassungsbegehren darauf abzielen, eine beabsichtigte Veröffentlichung von Bildern oder Videos, z.B. auf sozialen Medien, gerichtlich verbieten zu lassen.

c Genugtuung

Gestützt auf Art. 28a Abs. 3 ZGB i.V.m. Art. 49 Abs. 1 OR hat eine Person, die in ihrer Persönlichkeit widerrechtlich verletzt wurde, Anspruch auf Leistung einer Geldsumme als Genugtuung, sofern die Schwere der Verletzung es rechtfertigt und diese nicht anders wiedergutgemacht worden ist.⁸³¹ Vorausgesetzt ist mithin eine objektiv schwere Persönlichkeitsverletzung und dass diese auch subjektiv hinreichend schwer wiegt (d.h. als «seelischer Schmerz» — S. 115 —empfunden wird).⁸³² Diese Voraussetzungen sind (auch) im datenschutzrechtlichen Kontext vom Kläger nachzuweisen.⁸³³ Neben der widerrechtlichen Persönlichkeitsverletzung muss für einen Genugtuungsanspruch ein Verschulden des Verletzers⁸³⁴ sowie ein adäquater Kausalzusammenhang⁸³⁵ zwischen der persönlichkeitsverletzenden Datenbearbeitung und der erlittenen seelischen Unbill vorliegen.⁸³⁶ Eine Genugtuung kommt u.a. in Betracht, wenn besonders schützenswerte Personendaten unrechtmässig bearbeitet werden.⁸³⁷ Diese Voraussetzungen können grundsätzlich bei einer drohnengestützten Datenbearbeitung durch Private vorliegen.⁸³⁸ Regelmässig werden aber Daten, welche Private mithilfe einer Drohne bearbeiten (z.B. in der Form der Bekanntgabe an Dritte), keine seelische Unbill von der erforderlichen Schwere verursachen.⁸³⁹

d Feststellung Gestützt auf Art. 28a Abs. 1 Ziff. 3 ZGB hat eine in ihrer Persönlichkeit verletzte Person Anspruch, die Widerrechtlichkeit einer Verletzung feststellen zu lassen, wenn sich diese weiterhin störend auswirkt. Vorausgesetzt ist, dass die Verletzung bereits eingetreten ist, diese aber nicht mehr andauert.⁸⁴⁰ In diesem Fall würden sowohl der Unterlassungs- sowie der Beseitigungsanspruch ins Leere laufen. Die Feststellungsklage ist denn auch subsidiär zu diesen Ansprüchen.⁸⁴¹

Zur erfolgreichen Geltendmachung des Feststellungsanspruchs muss sich die (abgeschlossene) Persönlichkeitsverletzung weiterhin oder erneut störend auswirken.⁸⁴² «Der Feststellungsklage kommt […] die Funktion zu, eine eingetretene Persönlichkeitsverletzung zu beseitigen. Besteht ein durch eine Verletzung in den persönlichen Verhältnissen hervorgerufener Störungszu- stand, nimmt das Begehren um gerichtliche Feststellung einer widerrechtlichen Persönlichkeitsverletzung eine dem Verletzten dienende Beseitigungs- funktion wahr.»⁸⁴³

Die Feststellungsklage steht im Vordergrund, wenn für den Kläger ideelle Überlegungen ausschlaggebend sind; diese können sodann mit dem Rechtsbegehren der Mitteilung oder der Veröffentlichung verknüpft werden.⁸⁴⁴ Ein solches Vorgehen kommt z.B. in Betracht, wenn durch die persönlichkeitsverletzende Datenbearbeitung wie eine Publikation im Internet ein «nachteiliges Vorstellungsbild in der Öffentlichkeit oder bei Dritten» entstanden ist.⁸⁴⁵ An das Feststellungsinteresse sind keine hohen Anforderungen zu stellen.⁸⁴⁶ Die infrage stehende Persönlichkeitsverletzung muss somit nicht schwer wiegen.⁸⁴⁷

Im Zusammenhang mit der drohnengestützten Datenbearbeitung durch Private käme eine Feststellungsklage demnach in Betracht, wenn etwa durch ungewollte, auf sozialen Netzwerken veröffentlichte Foto- oder Videoaufnahmen ein nachteiliges Bild der betroffenen Person bei Dritten entstanden ist.

4.Bedeutung bei der drohnengestützten Datenbearbeitung durch Private

Die in diesem Abschnitt gemachten Ausführungen zeigen klar auf, dass bei der drohnengestützten Datenbearbeitung regelmässig widerrechtliche Persönlichkeitsverletzungen begangen werden, wogegen die in Art. 28 E-DSG enthaltenen Ansprüche geltend gemacht werden können. Die zur Verfügung stehenden Klagevarianten sind denn auch grundsätzlich geeignet, um bei persönlichkeitsverletzenden Datenbearbeitungen mittels Drohnen Abhilfe — S. 117 —zu schaffen. Die betroffenen Personen werden jedoch kaum einmal wirksam eine Klage zum Schutz der Persönlichkeit einreichen können, da ihnen die Kenntnis über die Identität des Drohnenbetreibers fehlt.