Das Statthalteramt Bezirk Zürich bestrafte mittels Strafbefehl einen Unternehmensjuristen wegen der Verletzung der Auskunftspflicht nach dem neuen Datenschutzgesetz (DSG) in der Schweiz.
Mit Strafbefehl vom 4. März 2025 verhängte das Statthalteramt eine Busse von 600 Franken bei Verfahrenskosten von weiteren 430 Franken mit Verweis auf Art. 25 Abs. 2 DSG i.V.m. Art. 60 Abs. 1 lit. a DSG.
Was sind die Rechtsgrundlagen im neuen Datenschutzgesetz?
Art 25. Abs. 2 DSG betrifft das Auskunftsrecht und lautet – gemeinsam mit Art. 25 Abs. 1 DSG – unter anderem wie folgt:
«1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2 Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
b. die bearbeiteten Personendaten als solche […].»
Art. 60 Abs. 1 lit. a DSG ist die entsprechende Strafbestimmung und lautet unter anderem wie folgt:
«Mit Busse bis zu 250 000 Franken werden private Personen auf Antrag bestraft:
a. die ihre Pflichten nach den Artikeln […] 25–27 verletzen, indem sie vorsätzlich eine falsche oder unvollständige Auskunft erteilen […].»
Die beschuldigte Person erhob – soweit mir bekannt – Einsprache gegen den Strafbefehl. Der Strafbefehl ist deshalb nicht rechtskräftig.
Auskunftsrecht gemäss Art. 25 DSG im Onlinekommentar
Was steht im Strafbefehl?
Wie wird der Sachverhalt beschrieben?
Der Strafbefehl geht auf mein Auskunftsbegehren an die TX Group AG als Herausgeberin der kostenlosen Boulevardzeitung «20 Minuten» zurück.
Ich hatte – so der Sachverhalt im Strafbefehl – das Auskunftsbegehren am 2. Oktober 2023 gestellt:
«Mit Schreiben vom 2. Oktober 2023 ersuchte der Anzeigeerstatter die TX Group AG gestützt auf Art. 25 ff. DSG um Auskunft, ihm innerhalb von 30 Tagen mitzuteilen, ob Daten über ihn bearbeitet werden.»
Die beschuldigte Person, ein Unternehmensjurist bei der TX Group AG, der unter anderem auf Datenschutz spezialisiert ist, antwortete mir wie folgt:
«Mit Schreiben vom 12. Oktober 2023 teilte der Beschuldigte dem Anzeigeerstatter mit, dass die Tamedia mit den vom Anzeigeerstatter mitgeteilten Angaben zwei Datensätze im System habe finden können. ‹20 Minuten› habe mit den vom Anzeigeerstatter mitgeteilten Angaben im System keine Datensätze finden können.»
Die Auskunft konnte nicht stimmen. Ich reagierte deshalb wie folgt:
«Mit E-Mail vom 3. November 2023 an [die] TX Group AG machte der Anzeigeerstatter geltend, dass die Auskunft in Bezug auf ‹20 Minuten› offensichtlich unvollständig sei. Es sei ausgeschlossen, dass bei ‹20 Minuten› unter den genannten Identifikatoren nichts zu finden sei.»
In der Folge kam es zu folgendem Austausch:
«Der Beschuldigte antwortete mit E-Mail vom 10. November 2023 wie folgt:
‹20 Minuten hat nochmals nachgeforscht und konnte anhand der zwei von lhnen angegebenen ldentifikatoren (E-Mail-Adresse und Handynummer) in der Benutzerverwaltung keine Daten finden. Könnten Sie nochmals spezifizieren, wo Sie diese Daten angegeben haben?›
Des Weiteren gab der Beschuldigte an, dass es verschiedene Zeitungsartikel gäbe, in welchen der Anzeigeerstatter mit Namen genannt werde.»
Und:
«Mit E-Mail vom 20. November 2023 teilte der Anzeigeerstatter dem Beschuldigten mit, dass er keinen Medienspiegel auf datenschutzrechtlichem Weg wünsche, er sich aber frage, ob es möglich sei, dass während Jahren mit regelmässigen Kontakten mit ‹20 Minuten› keinerlei Personendaten über ihn zu finden seien. Er glaube, es sei offensichtlich, dass die Auskunft unvollständig sei.»
Nun behauptete die beschuldigte Person nicht mehr, bei «20 Minuten» seien keine Personendaten über mich zu finden, sondern berief sich insbesondere auf das Medienprivileg gemäss Art. 27 DSG:
«Mit E-Mail vom 1. Dezember 2023 antwortete der Beschuldigte, dass für alle Bearbeitungsvorgänge, die den Bereich der Publizistik beträfen, sich die Redaktion von 20 Minuten auf ihr Verweigerungsrecht nach Art. 27 Abs. 1 bzw. Abs. 2 DSG stütze.
Darunter würden auch die von dem Anzeigeerstatter angeforderten Kommunikationsinhalte und Notizen fallen, sofern sie nicht bereits von Art. 2 Abs. 2 lit. a DSG erfasst würden. Damit gab der Beschuldigte zu, dass ‹20 Minuten› über Daten des Anzeigeerstatters verfügt.»
Gemäss Art. 27 DSG können Medienunternehmen und Medienschaffende die Auskunft unter bestimmten Voraussetzungen aufschieben, einschränken oder verweigern.
Art. 2 Abs. 2 lit. a DSG betrifft die Bearbeitung von Personendaten ausschliesslich zum persönlichen Gebrauch. Man spricht auch von der «Haushaltsausnahme». Für eine solche Bearbeitung ist das DSG nicht anwendbar.
Einschränkungen des Auskunftsrechts für Medien gemäss Art. 27 DSG im Onlinekommentar
Wofür erfolgte die Bestrafung mittels Strafbefehl?
Der erwähnte Unternehmensjurist wurde für die vorsätzliche Erteilung einer falschen («unrichtigen») bzw. unvollständigen Auskunft bestraft.
Das Statthalteramt Bezirk Zürich beschreibt im – nicht rechtskräftigen – Strafbefehl den Grund für die Bestrafung wie folgt:
«Da der Beschuldigte als verantwortliche Person der TX Group AG durch seine Auskünfte, dass bei ‹20 Minuten› keine Daten zu finden seien, den Eindruck erweckte, dass diese vollständig sind, obschon weitere Daten in Bezug auf den Anzeigeerstatter vorhanden sind, gab der Beschuldigte wissentlich und willentlich eine unrichtige bzw. unvollständige Auskunft, womit er sich der vorsätzlichen Übertretung von Art. 60 Abs. 1 lit. a DSG schuldig machte. Für die begangene Übertretung ist der Beschuldigte zu bestrafen.»
Das Statthalteramt ist die zuständige Übertretungsstrafbehörde im Bezirk Zürich (Art. 17 StPO). Übertretungen sind Straftaten, die ausschliesslich mit Busse bedroht sind (Art. 103 StGB).
Die Bestrafung für eine Übertretung mit einer Busse von 5’000 Franken oder weniger wird nicht im Strafregister eingetragen (Art. 18 Abs. 1 lit. c Ziff. 3 StReG).
Neues Datenschutzgesetz: Arbeitgeber dürfen Arbeitnehmer-Bussen nicht bezahlen
Bild: OpenAI / ChatGPT.