Informationspflicht
Bei der Beschaffung von Personendaten muss klar und offen informiert werden, welche Personendaten erhoben und wofür sie benutzt werden.
Der betroffenen Person muss also klar sein
- dass Personendaten von ihr erfasst werden,
- welche Daten das genau sind,
- wer diese Personendaten bearbeitet und
- wofür sie verwendet werden.
Werden Personendaten ins Ausland bekannt gegeben, muss auch informiert werden wohin und wie sie geschützt werden.
Nach Art. 6 Abs. 3 DSG besteht grundsätzlich eine Informationspflicht beim Beschaffen von Personendaten, da der Zweck für die betroffene Person immer erkennbar sein muss.
Nach Art. 19 DSG ist das Minimum, was der betroffenen Person mitgeteilt werden muss:
- die Identität und die Kontaktdaten des Verantwortlichen und
- der Bearbeitungszweck.
- Werden die Daten nicht bei der betroffenen Person beschafft, auch die Kategorien der bearbeiteten Personendaten.
- Falls zutreffend: Die Empfängerinnen und Empfänger (oder die Kategorien von Empfängerinnen und Empfängern), denen die Personendaten bekanntgegeben werden.
Werden die Personendaten ins Ausland bekannt gegeben, muss nach Art. 19 Abs. 4 DSG der betroffenen Person zudem das Empfängerland mitgeteilt werden und mit welchen Garantien die Personendaten geschützt werden.
Laut Art. 13 DSV muss eine Information in präziser, transparenter, verständlicher und leicht zugänglicher Form erfolgen.
Es muss angemessen informiert werden. Was das genau bedeutet, ist kontextabhängig. Ein gängiges Mittel dazu ist eine Datenschutzerklärung auf der Webseite.
Eine Vorlage für eine Datenschutzerklärung mit Anleitung befindet sich auf MyRight. Falls die Tätigkeit dem Berufsgeheimnis unterliegt, kann die Vorlage vom Berufsverband FMH verwendet werden.
Art. 20 DSG nennt die Ausnahmen und Einschränkungen. Die Informationspflicht entfällt, wenn:
- die betroffene Person schon entsprechend informiert ist;
- die Bearbeitung gesetzlich vorgesehen ist;
- der Verantwortliche eine private Person ist, die gesetzlich zur Geheimhaltung verpflichtet ist;
- der Verantwortliche eine private Person ist und die Personendaten nicht Dritten bekannt gegeben werden;
- die Personendaten nicht bei der Person selber beschafft werden und eine Information mit zu grossem Aufwand verbunden wäre oder gar nicht möglich ist.
Es gibt weitere Ausnahmen und Einschränkungen der Informationspflicht für Medien, die im Art. 27 DSG definiert werden.