Der EDÖB hat sich in einer Kolumne in der NZZ (Mittwoch, 27.9.2017, S. 9) zur Erfüllung der Informationspflicht geäussert. Er erachtet dabei erstens die Information über eine Website als ausreichend und empfiehlt zweitens eine gestufte Information:
Während die Aktualisierung von Nutzungsbedingungen und das Beibringen von Einwilligungen über Papier noch mit grossem Aufwand verbunden waren, lässt sich der Anspruch der Kunden auf Transparenz heute dank digitaler Technologie leicht umsetzen. Mittels Aufschaltung entsprechender Informationen können die Anbieter ihre Kunden online stets fair und umfassend auf dem Laufenden halten. Fair ist eine aufgeschaltete Information, wenn sie erstens sprachlich leicht verständlich ist und die Kunden zweitens durch eine bedienungsfreundliche Programmierung direkt auf jene Passagen der Nutzungs- und Geschäftsbedingungen lenkt, die für die informierte Ausübung konkreter Wahl- und Zustimmungsrechte relevant sind.
Umfassend informiert wird, wenn die Bearbeitungsverantwortlichen ihre Online-Texte in mehreren Erklärungstiefen zugänglich machen, die den unterschiedlich weit gehenden Bedürfnissen der Besucher von der Online-Laufkundschaft bis hin zu spezialisierten Kreisen wie Investigationsjournalisten und Datenschutzbehörden Rechnung tragen.
Diese Aussagen sind im Kontext der Botschaft zum Entwurf des DSG zu lesen, die sich zur Informationspflicht i.S.v. Art. 17 E‑DSG wie folgt äussert:
So kann eine allgemeine Information genügen, wenn die Personendaten bei der betroffenen Person beschafft werden (zu allgemeinen Geschäftsbedigungen vgl. Art. 18 Abs. 1). Denkbar sind in diesem Fall eine Datenschutzerklärung auf einer Website, aber gegebenenfalls auch Symbole oder Piktogramme, soweit sie die nötigen Informationen wiedergeben. Wird eine allgemeine Form gewählt, muss die Information leicht zugänglich, vollständig und genügend sichtbar gemacht sein. Auch ein mehrstufiger Zugang ist möglich, der beispielsweise auf einer ersten Stufe eine Übersicht enthält, die auf einer zweiten Stufe Zugang zu detaillierten Informationen gibt. Nicht ausreichend ist hingegen, wenn einfach eine Kontaktperson angegeben wird. Die betroffene Person soll die Informationen erhalten, ohne dass sie zuerst danach fragen muss.
EDÖB wie Botschaft sind also der Ansicht, dass die Informationspflicht nach Art. 17 E‑DSG dadurch erfüllt werden kann, dass die erforderlichen Angaben auf einer Website veröffentlicht werden und nur auf diesem Weg mitgeteilt werden. Das gilt jedenfalls dann, wenn die Daten direkt von der betroffenen Person erhoben werden. Aber auch bei der Dritterhebung muss eine solche Information ausreichen, sofern der Betroffene von der Erhebung Kenntnis hat, was z.B. durch eine entsprechende Mitteilung sichergestellt werden kann. Ausreichend wäre daher z.B. ein Hinweis in AGB, dass der Verantwortliche Personendaten über Dritte beschafft, etwa über eine Kreditauskunftei; die weiteren nach Art. 17 Abs. 2 DSG erforderlichen Angaben können in diesem Fall ebenfalls bspw. über eine Website bereitgestellt werden.
Erforderlich ist aber eine klare Sprache, und empfohlen wird eine “mehrstufige” Erklärung. Damit ist eine “gestufte” Information gemeint – dabei wird die erforderliche Information zunächst nur in allgemeiner Form zur Verfügung gestellt; der Besucher der Website hat aber die Möglichkeit, die einzelnen Themen über weiterführende Links zu vertiefen. Weitere Ausführungen zu diesem Vorgehen finden sich in der Medienmitteilung des EDÖB zur Sachverhaltsabklärung zu Windows 10:
[…] Im zweiten Release können die Benutzer beim Installationsprozess zusätzlich direkt auf die entsprechende Passage in der aktuellsten Version der Datenschutzerklärung zugreifen. Damit wird die Transparenz erhöht und den Benutzern erleichtert, die relevanten Informationen in der umfangreichen Erklärung zu finden. […]Der EDÖB erachtet die mit Microsoft erreichte Lösung, insbesondere die direkte Verlinkung zu den relevanten Passagen der Datenschutzerklärung und die Wahlmöglichkeiten, als Mindeststandard für Anwendungen und Dienste anderer Unternehmen. Bei künftigen Abklärungen wird der EDÖB die zu überprüfenden Datenbearbeitungen an der erzielten Lösung messen.