Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Buchstaben a–c konkretisieren diesen Grundsatz durch Mindestangaben, welche der

betroffenen Person in jedem Fall mitgeteilt werden müssen. Dazu gehören die Identität und die Kontaktdaten des Verantwortlichen, die bearbeiteten Daten bzw. Kategorien der

bearbeiteten Daten und der Bearbeitungszweck. Die Rechtsgrundlage des Bearbeitens ist – namentlich durch die Bundesorgane – ebenfalls mitzuteilen, soweit diese erforderlich ist,

damit die betroffene Person ihre Rechte geltend machen kann. Durch die Kombination aus einer allgemeinen Vorschrift, welche die grundsätzlichen Anforderungen an die zu

übermittelnden Informationen enthält, und spezifischen Mindestangaben, lässt sich die Informationspflicht flexibel handhaben. Entsprechend der Art der bearbeiteten Daten, der Natur und dem Umfang der fraglichen Datenbearbeitung, muss der Verantwortliche verstärkt informieren oder nicht. Diese Flexibilität ist erforderlich, weil das Datenschutzgesetz auf eine Vielzahl unterschiedlicher Datenbearbeitungen anwendbar ist. Zugleich wird durch eine flexible Regelung sichergestellt, dass die Verantwortlichen keine unnötigen Informationen übermitteln müssen und die betroffenen Personen nur erforderliche Informationen erhalten. Ebenfalls erlaubt dies den Verantwortlichen, die Informationspflicht für ihre spezifische Branche in Empfehlungen der guten Praxis zu konkretisieren. Die betroffene Person muss spätestens im Zeitpunkt der Datenbeschaffung informiert werden, ausser im Falle von Absatz 5.

Absatz 3 Bekanntgabe an Dritte

Nach Absatz 3 muss die betroffene Person zusätzlich über die Empfänger bzw. Kategorien der Empfänger informiert werden, wenn vorgesehen ist, die Daten an Dritte bekanntzugeben. Falls der Verantwortliche die Identität des Empfängers kennt, muss er diese mitteilen. Diese Pflicht gilt auch, wenn sich der Empfänger im Ausland befindet.

Absatz 4 Übertragung an Auftragsbearbeiter

Wird die Bearbeitung von Personendaten einem Auftragsbearbeiter übertragen, muss der Verantwortliche der betroffenen Person gemäss Absatz 4 dessen Identität und Kontaktdaten mitteilen und sie darüber informieren, welche Daten oder Kategorien von Daten der

Auftragsbearbeiter bearbeiten wird. Diese Pflicht gilt auch für Auftragsbearbeiter, die sich im Ausland befinden.

Absatz 5 Zeitpunkt der Information

Absatz 5 bestimmt den Zeitpunkt, in dem die betroffene Person informiert werden muss,

wenn Daten nicht bei der betroffenen Person beschafft werden. In diesem Fall hat die

Information spätestens mit der Speicherung der Daten durch den Verantwortlichen bzw. mit der ersten Bekanntgabe an Dritte zu erfolgen, falls eine Bekanntgabe vorgesehen ist. Der Begriff der Speicherung umfasst dabei nicht nur den technischen Vorgang der Aufzeichnung in einem Informatiksystem, sondern jede an die Beschaffung anschliessende Tätigkeit, mit der eine weitere Nutzung der Daten vorbereitet wird.

Ein Verstoss gegen die Informationspflicht wird sanktioniert (siehe Art. 50 Abs. 1, Bst. a und b, Ziff. 1 und 2 VE-DSG).

8.1.3.2 Art. 14 Ausnahmen von der Informationspflicht und Einschränkungen

Artikel 14 VE-DSG regelt, unter welchen Umständen die Informationspflicht gänzlich entfällt (Abs. 1 und 2), und wann die Information eingeschränkt werden kann, obschon grundsätzlich die Pflicht zur Information besteht (Abs. 3–5). Die beiden Konstellationen sind klar

voneinander abzugrenzen. Die Vorschrift übernimmt dabei weitgehend geltendes Recht (Art. 9, Art. 14 Abs. 4 und 5, sowie 18b DSG), das der Klarheit halber in einer Bestimmung

zusammengeführt wird.

Absätze 1 und 2 Ausnahmen von der Informationspflicht

Nach Absatz 1 ist der Verantwortliche von der Informationspflicht entbunden, wenn die betroffene Person bereits über die Informationen nach Artikel 13 verfügt. Davon ist

auszugehen, wenn die betroffene Person zu einem früheren Zeitpunkt bereits informiert wurde und sich die Informationen, welche übermittelt werden müssen, in der Zwischenzeit nicht geändert haben. Wenn die betroffene Person die Daten selbst zugänglich gemacht hat, gilt sie grundsätzlich ebenfalls als über die Datenbeschaffung informiert. Allerdings müssen