Teil 2 unserer Serie zum Datenschutzrecht in der Schweiz
Im zweiten Teil unserer Serie analysieren wir die Definition von Personendaten gemäss dem Schweizer Datenschutzgesetz (DSG) und zeigen auf, warum der Kontext entscheidend ist, wenn es darum geht, ob Daten einer Person zugeordnet werden können.
Definition von Personendaten
Gemäss Art. 5 lit. a DSG sind Personendaten „alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen“.
Während der Begriff „bestimmt“ in der Regel eindeutig ist, wird hinsichtlich der Bestimmbarkeit am relativen Ansatz festgehalten. Laut Botschaft des Bundesrats zur Totalrevision des Datenschutzgesetzes1 reicht – wie bereits nach bisherigem Recht – die theoretische Möglichkeit, eine Person zu identifizieren, nicht aus, um von einer Bestimmbarkeit auszugehen.
Bereits in seiner Botschaft zum DSG von 19882 stellte der Bundesrat klar, dass keine Bestimmbarkeit vorliegt, wenn „der zur Identifikation erforderliche Aufwand so gross ist, dass nach allgemeiner Lebenserfahrung nicht damit zu rechnen ist, dass ihn irgendjemand auf sich nimmt“. Es sei vielmehr zu prüfen, welche Mittel zur Identifikation einer Person vernünftigerweise eingesetzt werden können, und ob deren Einsatz unter den gegebenen Umständen – z. B. in Bezug auf Zeit und Kosten – zumutbar ist. Dabei sind sowohl der Stand der Technik zum Zeitpunkt der Bearbeitung als auch deren zukünftige Entwicklungen zu berücksichtigen.
Das DSG findet keine Anwendung auf anonymisierte Daten, wenn eine Re-Identifikation durch Dritte unmöglich ist (die Daten wurden vollständig und irreversibel anonymisiert) oder nur mit einem derart hohen Aufwand, dass nach allgemeiner Erfahrung kein Interessierter diesen betreiben würde. Gleiches gilt für pseudonymisierte Daten.3
Gerichtsentscheid zur Pseudonymisierung
In einem Urteil vom September 2021 hat das Handelsgericht Zürich entschieden, dass pseudonymisierte Daten für Personen, die die Zuordnung zu einer konkreten Person nicht vornehmen können, als quasi-anonym gelten. Das Gericht folgte dabei ebenfalls einem relativen Ansatz – entscheidend ist, ob aus Sicht des Empfängers eine Person bestimmbar ist. Es hielt zudem ausdrücklich fest, dass keine Datenbekanntgabe im Sinne des DSG vorliegt, wenn die Daten vor der Übermittlung ins Ausland anonymisiert oder pseudonymisiert wurden und der Empfänger die betroffene Person nicht mehr identifizieren kann.
Kontext und Aufwand: Wann sind Daten bestimmbare Personendaten?
Welcher Aufwand erforderlich und zumutbar ist, um eine Person zu identifizieren, muss im Einzelfall beurteilt werden – unter Berücksichtigung der gesamten verfügbaren Informationen, der technischen Mittel des potenziell Interessierten sowie seines Interesses an der Identifikation.
Das bedeutet: Die Bestimmbarkeit hängt nicht nur vom Datensatz selbst ab, sondern auch davon, wer diesen nutzt und mit welchen Mitteln. Sie ist zudem technologischen Entwicklungen unterworfen – insbesondere im Kontext von Big Data, Datenverknüpfung und algorithmischer Auswertung – und muss daher während des gesamten Bearbeitungszeitraums regelmässig neu beurteilt werden.
Vorschau auf Teil 3
Im nächsten Beitrag unserer Serie befassen wir uns mit den Grundprinzipien der Bearbeitung von Personendaten nach dem DSG – und was dies für Unternehmen in der Praxis bedeutet.
Footnotes
1 BBl 2017 7019
2 BBl 1988 II 444
3 BBl 2017 7019
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
