- Das Urteil A‑4873/2021 bekräftigt, dass das Auskunftsrecht nach Art. 8 aDSG nur Ansprüche auf Personendaten umfasst.
- BVGer verweist unnötig auf die DSGVO, trotz fehlender Relevanz für das schweizerische Datenschutzrecht.
- Die Aussage, ein ganzes Dokument sei notwendig für das Verständnis von Personendaten, ist stark umstritten.
- Das Urteil des EuGH in Rs. C‑487/21 ist für den Schweizer Kontext nicht übertragbar und unangebracht.
Mit Urteil A‑4873/2021 vom 11. April 2024 hat das BVGer entschieden, dass das Auskunftsrecht nach Art. 8 aDSG (der übergangsrechtlich noch galt) keinen Anspruch auf Kopien von Dokumenten vermittelt, sondern lediglich auf Kopien von Personendaten.
Eine Ausnahme soll gelten, wenn die Bereitstellung eines Dokuments im Einzelfall notwendig ist, um den Informationsgehalt eines Personendatums verständlich zu machen (was vorliegend nicht dargelegt worden war; die diesbezügliche Aussage des BVGer ist deshalb ein obiter dictum):
6.4.8 Zusammengefasst ergibt sich weder in grammatikalischer noch systematischer, historischer, teleologischer oder geltungszeitlicher Hinsicht ein grundsätzlicher Anspruch einer auskunftsersuchenden Person auf Fotokopien jener Dokumente, in welchen sich deren Daten befinden. Der Anspruch bezieht sich auch nach dem aDSG prinzipiell nur auf die Personendaten als solche. Nachdem jedoch letztere so mitzuteilen sind, dass sie verständlich sind […], kann es – aus teleologischen Gesichtspunkten, mit Blick auf die Andeutung in der bundesrätlichen Botschaft sowie analog zur überzeugenden Rechtsprechung des EuGH – im Einzelfall erforderlich sein, zur Kontextualisierung der Datenbearbeitung der auskunftsersuchenden Person eine Fotokopie des Dokuments auszuhändigen […].
Das Urteil ist im Ergebnis richtig, d.h. bei der Verweigerung der Einsicht in Dokumente, sowohl unter dem alten als auch dem geltenden DSG.
In drei Punkten ist es aber zu kritisieren:
- Das BVGer nimmt zunächst eine viel ausführlichere Auslegung vor, als es notwendig ist. Nachdem das DSG generell nur auf die Bearbeitung von Personendaten anwendbar ist, kann das Auskunftsrecht a priori nicht weitergehen. Mit dem aktuellen DSG ist ferner klargestellt, dass sich der Auskunftsanspruch nur auf “Personendaten als solche” bezieht, was das BVGer in seiner Auslegung auch berücksichtigt.
- Ohne Not nimmt das BVGer auf die DSGVO Bezug. Immerhin hält es fest:
Der Vollständigkeit halber ist auf Art. 15 DSGVO und die Rechtsprechung dazu einzugehen. Zwar ist Art. 15 DSGVO zur Auslegung von Art. 8 Abs. 5 aDSG nicht relevant, da ersterer dem Gesetzgeber nicht als Vorbild diente […]. Dies war erst beim geltenden DSG der Fall […]. Nachdem jedoch Art. 15 DSGVO einen vergleichbaren Wortlaut aufweist und zu dessen Tragweite bereits Gerichtsurteile vorliegen, rechtfertigt sich ein rechtsvergleichender Blick darauf.
Es trifft nicht zu, dass die DSGVO Vorbild beim Auskunftsrecht war. Vor allem aber ist zu befürchten, dass ein solcher Blick zur Seite – oder nach oben? – zur Regel wird. Er ist aber falsch, soweit sich nicht aus den Materialien ergibt, dass beim DSG nicht nur terminologisch, sondern auch inhaltlich eine Angleichung an die DSGVO beabsichtigt war. Auch wenn das BVGer die Bezugnahme zur DSGVO als “rechtsvergleichend” bezeichnet: Gerichte dürfen die DSGVO nicht schleichend übernehmen, und zwar auch nicht unter dem Titel der “Plausibilisierung”. Die Auslegung des DSG hat nach den üblichen Auslegungsregeln zu erfolgen; die DSGVO ist grundsätzlich nicht relevant, und zwar auch dann nicht, wenn ein Auslegungsergebnis “unplausibel” sein sollte. Beim vorliegenden Urteil ist denn auch völlig unklar, inwiefern der Blick zur DSGVO für das Ergebnis relevant war.
- Höchst fraglich ist die Aussage, ein gesamtes Dokument sei auszuhändigen, wenn dies zum Verständnis der Personendaten erforderlich ist. Gegen diese – in der Literatur diskutierte – Auffassung sprechen mehrere Gründe:
- Der Gesetzgeber selbst hat in Art. 25 Abs. 1 lit. a‑g festgehalten, was zum Verständnis erforderlich ist. Zwar enthält Art. 25 Abs. 1 bekanntlich eine Generalklausel, deren Tragweite unklar ist. Jedenfalls aber hat sich der Gesetzgeber darum bemüht, die in der Regel relevanten Angaben über die Bearbeitung zu nennen. Mehr kann nur ausnahmsweise notwendig sein. Fehlendes Verständnis von Personendaten kann dafür kaum ausreichen. Wer seine Personendaten und den Zweck und die weiteren im Gesetz genannten Umstände der Datenbearbeitung kennt, sollte das nötige Verständnis der Bearbeitung haben.
- Was wäre überhaupt der Gegenstand des “Verständnisses”? Letztlich müssen dafür datenschutzrechtliche Gesichtspunkte relevant sein – das offenbar anzustrebende Verständnis muss mit Blick auf die informationelle Selbstbestimmung ausgelegt werden. Für diese Selbstbestimmung genügen aber ein Grundverständnis und ein Widerspruchsrecht. Ein breiteres Verständnis einer Datenbearbeitung kann kaum ein datenschutzrechtliches Anliegen sein. Das Datenschutzrecht ist nicht der AT eines allgemeinen Selbstbestimmungsrechts. Man müsste also zeigen, inwiefern eine betroffene Person ihre Selbstbestimmung über ihre Personendaten nur wahrnehmen kann, wenn sie das ganze Dokument kennt.
- Sofern ein Verantwortlicher nur gedanklich eine Verbindung zwischen einem Personendatum und dem Kontext herstellen kann, d.h. aus dem Umfeld eines Personendatums Schlussfolgerungen ableitet oder ableiten kann, die aus dem Personendatum selbst nicht hervorgehen, ist an BGE 147 III 139 zu erinnern: Beim Auskunftsrecht geht es “dem Gesetzgeber darum […], schriftlich bzw. ‘physisch’ vorhandene, und deshalb auf Dauer objektiv einsehbare Datensammlungen zu erfassen, nicht aber bloss im Gedächtnis abrufbare Daten”. Ein Kontext, der bloss gedankliche Schlussfolgerungen erlaubt, ist kein objektiv einsehbares Datum, weshalb er nicht Gegenstand der Auskunft ist, weshalb auch kein ganzes Dokument zur “Kontextualisierung” verlangt werden kann.
- Das BVGer bezieht sich hier auf das Urteil des EuGH in Rs. C‑487/21 i.S. CRIF. Dieses Urteil ist nicht übertragbar:
- Die DSGVO hier nicht massgebend (s. oben). Es gibt in den Materialien keinen Hinweis darauf, dass man beim Auskunftsrecht die DSGVO hätte übernehmen wollen.
- Im Gegenteil: Die DSGVO enthält in Art. 12 ein allgemeines Erleichterungsgebot bei Betroffenenrechten. Der EuGH hat sich darauf gestützt. Eine analoge Bestimmung enthält das schweizerische Datenschutzrecht nicht.
- Art. 16 Abs. 4 DSV sieht zwar vor, dass die Auskunft “in einer verständlichen Form” erteilt werden muss. Aus dem Erläuterungsbericht zur DSV geht aber hervor, dass sich diese Vorgabe lediglich auf das Format der Auskunft bezieht (“Werden Personendaten in einer technischen Form, also beispielsweise in einem nicht üblichen Dateienformat, geliefert, die für die betroffene Person nicht lesbar und/oder nicht verständlich ist, muss der Verantwortliche imstande sein, ihr ergänzende Erläuterungen zu geben, beispielsweise mündlich”). Daraus kann kein Anspruch auf die “Kontextualisierung” des BVGer abgeleitet werden (und das DSG enthält auch keine Delegation für die Einführung eines Erleichterungsgebots durch den Verordnungsgeber).