Eingereichter Text
Mit Schreiben vom 14. Januar 2004 hat der Eidgenössische Datenschutzbeauftragte festgestellt, dass in Bezug auf eine Meldung von Händlern einer unteren Handelsstufe über die Weitergabe von Kundendaten durch die obere Handelsstufe keine weiteren Massnahmen erforderlich seien, da keine gravierende Verletzung datenschutzrechtlicher Vorschriften feststellbar sei.
Ich frage den Bundesrat:
1. Ist er der Meinung, dass die Weitergabe von Kundendaten durch eine obere Handelsstufe in einem vertikalen Vertriebssystem, ohne die ausdrückliche Zustimmung der Kunden, keine gravierende Verletzung datenschutzrechtlicher Bestimmungen ist und keine Massnahmen notwendig sind?
2. Ist er der Meinung, dass eine Verwendung von Kundendaten zu ganz anderem Zweck als dem, für welchen sie an eine obere Handelsstufe in einem vertikalen Vertriebssystem weitergegeben werden müssen, keine gravierende Verletzung datenschutzrechtlicher Bestimmungen darstellt? Dies insbesondere unter der Berücksichtigung der Tatsache, dass dadurch einem selbstständigen Unternehmer Kundendaten entschädigungslos weggenommen werden?
3. Ist er der Meinung, dass die Beantwortung einer Meldung an den Datenschutzbeauftragten innerhalb von dreieinhalb Monaten in einer Angelegenheit, welche für die Melder von höchster Bedeutung für das Überleben ihrer Betriebe ist, genügend rasch erfolgt ist?
4. Ist es aus seiner Sicht korrekt, wenn Unternehmen – es handelt sich hier ausschliesslich um kleine und mittlere Betriebe – in Fragen von so grundlegender Bedeutung, welche eindeutig in den Zuständigkeitsbereich des Datenschutzbeauftragten fallen, auf das Verfahren vor dem Zivilrichter verwiesen werden?
Stellungnahme des Bundesrats
Zur Ausgangslage: Im Rahmen der Neuorganisation seines Vertretungsnetzes informierte ein Autoimporteur die Kunden einer bisherigen Vertretung seiner Automarke darüber, dass ihrem bisherigen Garagisten die Markenvertretung entzogen wurde. Gleichzeitig wurde den Autoinhabern ein neuer Markenvertreter vorgeschlagen. Im gleichen Schreiben wies der Autoimporteur darauf hin, dass sich die Autoinhaber gegen die Weitergabe ihrer Kundendaten an den neuen Markenvertreter aussprechen können. Die Frage stellte sich, ob der Autoimporteur berechtigt war, die Kundendaten seiner Vertretung zu verwenden bzw. an eine neue Vertretung weiterzugeben, bzw. ob dieser dadurch gegen das Bundesgesetz über den Datenschutz (DSG; SR 235.1) verstossen habe.
Der Eidgenössische Datenschutzbeauftragte stellte in seiner Sachverhaltsabklärung Folgendes fest:
1. Der Garagist (bisheriger Markenvertreter) hat mit Zustimmung der betroffenen Autoinhaber deren Kundendaten für Marketingzwecke an den Autoimporteur weitergeleitet.
2. Der Autoimporteur informierte die betroffenen Autoinhaber schriftlich über die geplante Weitergabe der Kundendaten an den neuen Markenvertreter und die Zweckänderung in der Datenbearbeitung.
3. Der Importeur hat den Autoinhabern die Möglichkeit eingeräumt hat, sich der Weitergabe ihrer Kundendaten an den neuen Markenvertreter zu widersetzen. Machen die Betroffenen davon keinen Gebrauch, so kommt dies einer impliziten Einwilligung zur Datenweitergabe gleich.
4. Die hier zu beurteilende Weitergabe der Kundendaten durch den Importeur stand grundsätzlich im Einklang mit dem DSG.
5. Das DSG verleiht dem bisherigen Markenvertreter keine Ansprüche an jenen Kundendaten, die dieser datenschutzkonform (d. h. mit Einwilligung der Betroffenen) an den Autoimporteur bekannt gegeben hat.
Zu den Fragen:
1. Nein: Das DSG stellt keine besonderen Formerfordernisse an eine Einwilligungserklärung. Die Einwilligung der betroffenen Person, z. B. für die Weitergabe von Kundendaten, kann ausdrücklich oder stillschweigend erfolgen. Welchen Anforderungen die Einwilligung der Betroffenen im konkreten Einzelfall genügen muss, bestimmt sich insbesondere nach der Sensibilität der bearbeiteten Personendaten. Im vorliegenden Fall informierte die obere Handelsstufe die Kunden über die beabsichtigte Weitergabe der Kundendaten und räumte ihnen die Gelegenheit ein, sich innerhalb eines bestimmten Zeitraums gegen diese Bekanntgabe auszusprechen.
Bei den infrage stehenden Kundendaten handelte es sich nicht um besonders schützenswerte Personendaten. Eine ausdrückliche Zustimmung der Kunden zur Weitergabe ihrer Daten war demnach nicht notwendig. Die stillschweigende Einwilligung eines Kunden kann zu Recht als gültige Zustimmung im Sinne des DSG gewertet werden.
2. Leitet die untere Handelsstufe die von ihr erhobenen Kundendaten datenschutzkonform an die obere Handelsstufe weiter, so erwachsen der unteren Handelsstufe keine sich auf das DSG gründende Ansprüche, künftig die Datenbearbeitung der oberen Handelsstufe mitbestimmen zu können.
Laut DSG stehen nur den betroffenen Personen, d. h. in diesem Fall den Kunden, Rechte zur Einflussnahme auf die Bearbeitung durch den Datenbearbeiter zu. Aus datenschutzrechtlicher Sicht kann also nur der Kunde die Weitergabe seiner Angaben an einen neuen Vertriebshändler untersagen, nicht aber die untere Handelsstufe. Mit Zustimmung des Kunden ist auch die Weitergabe durch die obere Handelsstufe zulässig, selbst wenn sie eine Änderung des ursprünglichen Bearbeitungszwecks darstellt.
3. Die Dauer für die Beantwortung einer Anfrage hängt einerseits von den im Einzelfall notwendigen Sachverhaltsabklärungen, andererseits vom generellen Arbeitsanfall im Sekretariat des Eidgenössischen Datenschutzbeauftragten ab. Das DSG (Art. 26) sichert dem Eidgenössischen Datenschutzbeauftragten zu, dass er seine Aufgaben unabhängig erfüllen kann. Daher äussert sich der Bundesrat grundsätzlich nicht zur Dauer von Sachverhaltsabklärungen, die der Eidgenössische Datenschutzbeauftragte durchführt.
Der Eidgenössische Datenschutzbeauftragte hat seine Zuständigkeit von Beginn an anerkannt, soweit es die datenschutzrechtlichen Aspekte der Angelegenheit betrifft. Dies zeigt sich daran, dass er die im DSG vorgesehenen Sachverhaltsabklärungen umgehend eingeleitet und eine umfassende datenschutzrechtliche Beurteilung vorgenommen hat.
Der Eidgenössische Datenschutzbeauftragte hat zwar die Möglichkeit, aufgrund seiner Abklärungen Empfehlungen zu erlassen und einen Fall vor der Eidgenössischen Datenschutzkommission zum Entscheid zu bringen (Art. 29 Abs. 3 – 4 DSG). Der Eidgenössische Datenschutzbeauftragte erachtete es im vorliegenden Fall als nicht angezeigt, eine Empfehlung zu erlassen. Gemäss Artikel 15 DSG können aber auch die betroffenen Personen ihre Rechte zivilrechtlich geltend machen.
Zur Ausgangslage: Im Rahmen der Neuorganisation seines Vertretungsnetzes informierte ein Autoimporteur die Kunden einer bisherigen Vertretung seiner Automarke darüber, dass ihrem bisherigen Garagisten die Markenvertretung entzogen wurde. Gleichzeitig wurde den Autoinhabern ein neuer Markenvertreter vorgeschlagen. Im gleichen Schreiben wies der Autoimporteur darauf hin, dass sich die Autoinhaber gegen die Weitergabe ihrer Kundendaten an den neuen Markenvertreter aussprechen können. Die Frage stellte sich, ob der Autoimporteur berechtigt war, die Kundendaten seiner Vertretung zu verwenden bzw. an eine neue Vertretung weiterzugeben, bzw. ob dieser dadurch gegen das Bundesgesetz über den Datenschutz (DSG; SR 235.1) verstossen habe.
Der Eidgenössische Datenschutzbeauftragte stellte in seiner Sachverhaltsabklärung Folgendes fest:
1. Der Garagist (bisheriger Markenvertreter) hat mit Zustimmung der betroffenen Autoinhaber deren Kundendaten für Marketingzwecke an den Autoimporteur weitergeleitet.
2. Der Autoimporteur informierte die betroffenen Autoinhaber schriftlich über die geplante Weitergabe der Kundendaten an den neuen Markenvertreter und die Zweckänderung in der Datenbearbeitung.
3. Der Importeur hat den Autoinhabern die Möglichkeit eingeräumt hat, sich der Weitergabe ihrer Kundendaten an den neuen Markenvertreter zu widersetzen. Machen die Betroffenen davon keinen Gebrauch, so kommt dies einer impliziten Einwilligung zur Datenweitergabe gleich.
4. Die hier zu beurteilende Weitergabe der Kundendaten durch den Importeur stand grundsätzlich im Einklang mit dem DSG.
5. Das DSG verleiht dem bisherigen Markenvertreter keine Ansprüche an jenen Kundendaten, die dieser datenschutzkonform (d. h. mit Einwilligung der Betroffenen) an den Autoimporteur bekannt gegeben hat.
Zu den Fragen:
1. Nein: Das DSG stellt keine besonderen Formerfordernisse an eine Einwilligungserklärung. Die Einwilligung der betroffenen Person, z. B. für die Weitergabe von Kundendaten, kann ausdrücklich oder stillschweigend erfolgen. Welchen Anforderungen die Einwilligung der Betroffenen im konkreten Einzelfall genügen muss, bestimmt sich insbesondere nach der Sensibilität der bearbeiteten Personendaten. Im vorliegenden Fall informierte die obere Handelsstufe die Kunden über die beabsichtigte Weitergabe der Kundendaten und räumte ihnen die Gelegenheit ein, sich innerhalb eines bestimmten Zeitraums gegen diese Bekanntgabe auszusprechen.
Bei den infrage stehenden Kundendaten handelte es sich nicht um besonders schützenswerte Personendaten. Eine ausdrückliche Zustimmung der Kunden zur Weitergabe ihrer Daten war demnach nicht notwendig. Die stillschweigende Einwilligung eines Kunden kann zu Recht als gültige Zustimmung im Sinne des DSG gewertet werden.
2. Leitet die untere Handelsstufe die von ihr erhobenen Kundendaten datenschutzkonform an die obere Handelsstufe weiter, so erwachsen der unteren Handelsstufe keine sich auf das DSG gründende Ansprüche, künftig die Datenbearbeitung der oberen Handelsstufe mitbestimmen zu können.
Laut DSG stehen nur den betroffenen Personen, d. h. in diesem Fall den Kunden, Rechte zur Einflussnahme auf die Bearbeitung durch den Datenbearbeiter zu. Aus datenschutzrechtlicher Sicht kann also nur der Kunde die Weitergabe seiner Angaben an einen neuen Vertriebshändler untersagen, nicht aber die untere Handelsstufe. Mit Zustimmung des Kunden ist auch die Weitergabe durch die obere Handelsstufe zulässig, selbst wenn sie eine Änderung des ursprünglichen Bearbeitungszwecks darstellt.
3. Die Dauer für die Beantwortung einer Anfrage hängt einerseits von den im Einzelfall notwendigen Sachverhaltsabklärungen, andererseits vom generellen Arbeitsanfall im Sekretariat des Eidgenössischen Datenschutzbeauftragten ab. Das DSG (Art. 26) sichert dem Eidgenössischen Datenschutzbeauftragten zu, dass er seine Aufgaben unabhängig erfüllen kann. Daher äussert sich der Bundesrat grundsätzlich nicht zur Dauer von Sachverhaltsabklärungen, die der Eidgenössische Datenschutzbeauftragte durchführt.
Der Eidgenössische Datenschutzbeauftragte hat seine Zuständigkeit von Beginn an anerkannt, soweit es die datenschutzrechtlichen Aspekte der Angelegenheit betrifft. Dies zeigt sich daran, dass er die im DSG vorgesehenen Sachverhaltsabklärungen umgehend eingeleitet und eine umfassende datenschutzrechtliche Beurteilung vorgenommen hat.
Der Eidgenössische Datenschutzbeauftragte hat zwar die Möglichkeit, aufgrund seiner Abklärungen Empfehlungen zu erlassen und einen Fall vor der Eidgenössischen Datenschutzkommission zum Entscheid zu bringen (Art. 29 Abs. 3 – 4 DSG). Der Eidgenössische Datenschutzbeauftragte erachtete es im vorliegenden Fall als nicht angezeigt, eine Empfehlung zu erlassen. Gemäss Artikel 15 DSG können aber auch die betroffenen Personen ihre Rechte zivilrechtlich geltend machen.