Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) verneint eine Pflicht zur Negativauskunft, wenn Verantwortliche keine Personendaten über die anfragende Person bearbeiten.
Der EDÖB ist die schweizerische Datenschutz-Aufsichtsbehörde für Bundesorgane und private Personen.
Der EDÖB behauptet, Verantwortliche müssten Auskunftsbegehren von Personen, über die keine Personendaten bearbeitet werden, nicht beantworten. Damit widerspricht der EDÖB dem geltenden Datenschutzrecht.
Was ist eine Negativauskunft im Datenschutzrecht?
«Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.»
Art. 25 Abs. 1 DSG
Gemäss Art. 25 Abs. 1 des schweizerischen Bundesgesetzes über den Datenschutz (Datenschutzgesetz, DSG) kann «[jede] Person […] vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.»
Aus dieser Bestimmung ergibt sich das Recht der anfragenden Person auf eine Auskunft auch für den Fall, dass der angefragte Verantwortliche keine Personendaten über sie bearbeitet. Im Umkehrschluss ergibt sich für den Verantwortlichen eine entsprechende Pflicht zur Auskunftserteilung.
Die Auskunft bzw. Mitteilung an eine betroffene Person, über die keine Personendaten bearbeitet werden, wird als Negativauskunft bezeichnet.
Das Gleiche gilt im Anwendungsbereich der europäischen Datenschutz-Grundverordnung (DSGVO) gemäss Art. 15 Abs. 1 DSGVO.
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) beschreibt die Pflicht zur Negativauskunft wie folgt:
«Zur Erteilung einer Auskunft ist grundsätzlich jeder Verantwortliche verpflichtet, bei dem ein Auskunftsbegehren geltend gemacht worden ist. Dies gilt auch wenn bei der verantwortlichen Stelle keine personenbezogenen Daten von demjenigen gespeichert sind, der die Auskunft begehrt. Denn dann ist eine so genannte Negativauskunft zu erteilen, d.h. die Information zu geben, dass keine personenbezogenen Daten zu der betroffenen Person gespeichert sind.»
Was sagt die Literatur zur Negativauskunft?
«[Das Auskunftsrecht] bezieht sich auf den Umstand, ob eine Datenbearbeitung durch den Verantwortlichen vorgenommen wird oder nicht und umfasst deshalb auch den Anspruch, eine Negativauskunft zu erhalten.»
BSK DSG-Gramigna, Art. 25 N 16
Die Pflicht zur Negativauskunft bzw. das Recht auf Negativauskunft scheint unter schweizerischen Fachpersonen unbestritten zu sein, sofern sie sich dazu äussern.
Ein Beispiel liefert der Basler Kommentar (BSK DSG-Gramigna, Art. 25 N 16):
«Jede Person kann nach Art. 25 Abs. 1 DSG vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Dieser Anspruch bezieht sich auf den Umstand, ob eine Datenbearbeitung durch den Verantwortlichen vorgenommen wird oder nicht und umfasst deshalb auch den Anspruch, eine Negativauskunft zu erhalten. Richtigerweise spricht das Gesetz hier nicht von der betroffenen Person, sondern von jeder Person, denn der Begriff der betroffenen Person (Art. 5 lit. a DSG) setzt eine Bearbeitung der Personendaten voraus.»
Ein weiteres Beispiel liefert der Onlinekommentar (OK DSG-Steiger, Art. 25 N 15, also in eigener Sache):
«Die Auskunft muss im Sinn einer Generalklausel gemäss Art. 25 Abs. 2 DSG jene Informationen umfassen, welche erforderlich sind, damit die betroffene Person ihre Rechte gemäss DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Wenn keine Personendaten vorhanden sind, muss eine Negativauskunft erteilt werden.»
Das galt schon unter dem früheren DSG (SHK DSG-Rudin, 2015, Art. 8 N 29):
«Nach Art. 8 Abs. 1 DSG ist der das Auskunftsbegehren stellenden Person mitzuteilen, ob Daten über sie bearbeitet werden oder nicht (also allenfalls in Form einer Negativmeldung).»
Die Negativauskunft findet sich auch in der Rechtsprechung, zum Beispiel in einem Thurgauer Entscheid aus dem Jahr 2020.
Wieso glaubt der EDÖB, es gäbe keine Pflicht zur Negativauskunft?
«Das Unternehmen könnte antworten, dass es keine Daten verarbeitet, aber da es keine Verpflichtung hat, stellt die Nichtbeantwortung keinen Verstoss dar.»
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Eine betroffene Person gelangte an den EDÖB, weil sie im Zusammenhang mit der Erfassung von Fahrzeug-Kontrollschildern in einer Parkgarage keine Auskunft von einem mutmasslich verantwortlichen Unternehmen erhalten hatte.
Die betroffene Person ging davon aus, dass das erwähnte Unternehmen Personendaten über sie bearbeitet. Das Unternehmen betreibt Software für die Betreiber von Parkgaragen und anderen Parkplätzen.
Der EDÖB erklärte, das sei nicht der Fall, und verneinte in der Folge die Pflicht zur Negativauskunft, unter anderem:
«Nach Rücksprache mit unseren IT-Spezialisten hat sich herausgestellt, dass [das Unternehmen] in Wirklichkeit keine Daten über die Nutzer des Parkplatzes […] verarbeitet [sic!].»
Und:
«Die Daten werden […] vom Parkplatzbetreiber, [sic!] während der Parkdauer verarbeitet [sic!] und anschliessend gelöscht. Es findet keine Übermittlung an [das Unternehmen] statt.»
Und auch:
«Daher kommt das Unternehmen dem Antrag auf Auskunftsrecht gemäss Artikel 25 DSG nicht nach, da es sich in Wirklichkeit nicht um einen für die Verarbeitung [sic!] Verantwortlichen handelt. Das bedeutet, dass kein Verstoss gegen das DSG zu melden ist und dass der EDÖB keine weiteren Hinweise auf einen Verstoss hat. Wir betrachten diesen Fall daher als abgeschlossen.»
Der EDÖB beliess es nicht bei dieser Rückmeldung, sondern lobte sogar ausdrücklich die «Verarbeitung» (sic!) von Fahrzeug-Kontrollschildern:
«Die Verarbeitung von Kennzeichen durch Parkhäuser wird in der Schweiz immer häufiger und die Datenschutzgrundsätze werden gewissenhaft angewendet.»
Und:
«Die Nummer erscheint zwar auf dem Ticket, wird aber nach Beendigung des Parkvorgangs, spätestens 24 Stunden danach, aus allen Datenbanken gelöscht. Das physische Ticket dient lediglich als Sicherheit für den Fall, dass es zu einem Fehler im System bei der Überprüfung der Einfahrtszeit kommt.»
Es ist nicht ersichtlich, woher der EDÖB von der erwähnten Gewissenhaftigkeit weiss. Das Gleiche gilt für die Behauptung, dass die Daten tatsächlich spätestens nach 24 Stunden aus allen (!) Datenbanken gelöscht werden.
Die Äusserungen des EDÖB könnten den Eindruck erwecken, dass der EDÖB die Sichtweise der Betreiber von Software für die Erfassung von Kontrollschildern übernimmt.
In den Äusserungen des EDÖB fällt auf, dass die Personendaten «verarbeitet» und nicht «bearbeitet» werden.
«Verarbeitung» ist die europäische Terminologie gemäss Art. 4 Ziff. 2 DSGVO. In der Schweiz hingegen wird gemäss Art. 5 lit. d DSG von der «Bearbeitung» gesprochen.
Die europäische Terminologie wird in der Schweiz gelegentlich verwendet. So ist häufig von einem Auftragsverarbeitungsvertrag die Rede. Beim EDÖB als schweizerische Datenschutz-Aufsichtsbehörde fällt die konsequente Verwendung der europäischen Terminologie in der vorliegenden Angelegenheit aber auf.
Die Wortwahl erinnert an Texte, die mit generativer KI erstellt wurden, möglicherweise ohne sorgfältige Prüfung. Bei KI-Diensten ist aus Deutschschweizer Sicht ein gängiges Problem, dass sie in erster Linie mit deutschem Wissen über datenschutzrechtliche Themen trainiert wurden.
Die betroffene Person protestierte beim EDÖB, der aber daran festhielt, dass es keine Pflicht auf Negativauskunft geben soll, unter anderem:
«Da [das Unternehmen] nicht für die Verarbeitung im Sinne des DSG verantwortlich ist, besteht keine gesetzliche Verpflichtung, auf ein Auskunftsersuchen zu antworten. Das Unternehmen könnte antworten, dass es keine Daten verarbeitet, aber da es keine Verpflichtung hat, stellt die Nichtbeantwortung keinen Verstoss dar.»
Das Auskunftsrecht – jedenfalls im Sinn einer Negativauskunft – besteht gerade nicht nur für eine betroffene Person, sondern für jede Person. Das ergibt sich aus dem klaren Wortlaut von Art. 25 Abs. 1 DSG («jede Person», «ob Personendaten über sie bearbeitet werden»).
Die Äusserungen des EDÖB stehen in einem klaren Widerspruch zum gesetzlichen Wortlaut.
Welche Ratschläge gab der EDÖB der betroffenen Person zum Auskunftsrecht?
«Der Verantwortliche muss angemessene Massnahmen treffen, um die betroffene Person zu identifizieren.»
Art. 16 Abs. 5 DSV
Der EDÖB empfahl der betroffenen Person, mit einem Auskunftsbegehren an ein anderes Unternehmen zu gelangen, das angeblich tatsächlich verantwortlich sein soll:
«Was den betreffenden Parkplatz angeht, hat uns die Stadt […] bestätigt, dass [ein anderes Unternehmen] für den Parkplatz verantwortlich ist. Wenn Sie Ihren Antrag auf Auskunftsrecht dennoch geltend machen möchten, müssen Sie ihn direkt an dieses Unternehmen richten […].»
Die betroffene Person hatte dieses andere Unternehmen allerdings bereits kontaktiert und wurde von diesem Unternehmen an das andere Unternehmen, die Betreiberin von Software für die Betreiber von Parkgaragen und anderen Parkplätzen, verwiesen.
Der EDÖB machte der betroffenen Person aber ohnehin keine Hoffnungen auf Erfolg:
«Wir weisen Sie jedoch darauf hin, dass es unserer Erfahrung nach sehr wahrscheinlich ist, dass sie Ihnen antworten werden, dass sie keine Daten über Sie haben, da diese gelöscht wurden.»
Immerhin liess der EDÖB offen, dass sich die betroffene Person nochmals an ihn wenden könne:
«Wenn Sie nach Ihrem Antrag auf Auskunftsrecht [beim anderen Unternehmen] keine Antwort erhalten, können Sie sich in diesem Zusammenhang erneut an uns wenden.»
Und:
«Wir weisen Sie darauf hin, dass der Antrag auf Auskunft kein bestimmtes Formular erfordert, aber eindeutig als solcher erkennbar sein muss. Dem Antrag ist eine Kopie Ihres Personalausweises beizufügen, damit Ihre Identität eindeutig festgestellt werden kann. Der EDÖB kann nur dann tätig werden, wenn diese Bedingungen erfüllt sind.»
Gemäss diesen Äusserungen scheint der EDÖB mit den Modalitäten zum Auskunftsrecht in der Schweiz nur teilweise vertraut zu sein.
Bei einem Auskunftsbegehren muss nicht in jedem Fall eine Ausweiskopie beigelegt werden. Gemäss Art. 16 Abs. 5 der Verordnung über den Datenschutz (Datenschutzverordnung, DSV) gilt lediglich:
«Der Verantwortliche muss angemessene Massnahmen treffen, um die betroffene Person zu identifizieren.»
Die Identität muss einerseits nicht, wie vom EDÖB behauptet, «eindeutig festgestellt» werden. Es genügen «angemessene Massnahmen».
Eine Ausweiskopie ist andererseits nur angemessen, erforderlich und verhältnismässig, wenn ein Abgleich mit bereits vorhandenen Daten der anfragenden Person möglich ist. Wenn der Personenbezug allein über ein Kontrollschild hergestellt wird oder werden könnte, wäre ein solcher Abgleich nicht möglich.
Die Ausweispflicht gemäss der früheren Verordnung zum Bundesgesetz über den Datenschutz (VDSG) wurde nicht in die neue DSV übernommen.
Welche Hinweise gab der EDÖB der betroffenen Person zum zivilen Rechtsweg?
«Dem Entscheidverfahren geht ein Schlichtungsversuch vor einer Schlichtungsbehörde voraus.»
Art. 197 ZPO
Unabhängig davon wurde die betroffene Person vom EDÖB auf die die Möglichkeit hingewiesen, den zivilen Rechtsweg zu beschreiten:
«Falls Sie sich in Ihrer Persönlichkeit verletzt erachten, haben Sie die Möglichkeit, die Rechtsansprüche gemäss Art. 32 DSG beim zuständigen Zivilgericht mittels Klage geltend zu machen. Das Zivilverfahren zur Durchsetzung der Rechte der betroffenen Personen wird erleichtert, da in Streitigkeiten nach dem DSG keine Gerichtskosten mehr gesprochen werden […]. Die Anwaltskosten sind jedoch nicht in den Gerichtskosten enthalten. Sie können sich mit Ihrem schriftlichen Rechtsbegehren direkt an das Gericht wenden oder einen Rechtsbeistand konsultieren.»
Gemäss diesen Äusserungen scheint der EDÖB auch mit dem Zivilverfahren zur Durchsetzung des Auskunftsrechts nur teilweise vertraut zu sein.
Betroffene Personen können grundsätzlich nicht direkt an einem Zivilgericht klagen. Sie müssen zuerst ein Schlichtungsverfahren gemäss Art. 197 ff. der Schweizerischen Zivilprozessordnung (Zivilprozessordnung, ZPO) durchlaufen.
Die Klage auf Auskunft ist vom Schlichtungsverfahren nicht ausgenommen (Art. 198 ZPO). Ein Verzicht wäre nur ausnahmsweise möglich, wenn die Verantwortliche ihren Sitz oder Wohnsitz im Ausland hat (Art. 199 Abs. 2 lit. a ZPO).
Bei einer direkten Klage ohne das erforderliche Schlichtungsverfahren würde das angerufene Zivilgericht auf die Klage nicht eintreten.
Für das Schlichtungsgesuch ist ausserdem keine Schriftlichkeit vorgeschrieben (Art. 202 Abs. 1 ZPO). Das Schlichtungsgesuch könnte mündlich bei der Schlichtungsbehörde zu Protokoll gegeben werden.
Das Gleiche gilt, wenn die Schlichtung nicht erfolgreich ist und tatsächlich vor einem Gericht auf Auskunft geklagt wird.
Für die «Durchsetzung des Auskunftsrechts nach Artikel 25 DSG» gilt gemäss Art. 243 Abs. 2 lit. d ZPO im Übrigen das vereinfachte Verfahren.
Im vereinfachten Verfahren ist für die Klage keine Schriftlichkeit vorgeschrieben (Art. 244 Abs. 1 ZPO). Die Klage könnte mündlich beim Gericht zu Protokoll gegeben werden.
Fazit: Rechtliche Unklarheiten beim EDÖB
[Der EDÖB sollte] n seiner Kommunikation und in seinen Verfahren eine besonders klare und sorgfältige Rechtsanwendung vorleben.
Die Behauptung des EDÖB, es gäbe keine Pflicht zur Negativauskunft, steht in einem klaren Widerspruch zum Wortlaut von Art. 25 Abs. 1 DSG.
Der EDÖB, handelnd durch einen seiner Juristen, lässt in der beschriebenen Angelegenheit rätselhafte rechtliche Unklarheiten erkennen. Das gilt für die Verneinung der Pflicht zur Negativauskunft, aber auch für die Äusserungen zum Auskunftsrecht und zum zivilen Rechtsweg.
Ein solches Verhalten des EDÖB ist für betroffene Personen unbefriedigend. Das Vertrauen in den EDÖB als fachkompetente und unabhängige Datenschutz-Aufsichtsbehörde wird erschüttert.
Der EDÖB als Aufsichtsbehörde wirft Verantwortlichen immer wieder vor, das Datenschutzrecht zu verletzen, manchmal auch mit einem Internet-öffentlichem und weltweitem Pranger. Gerade deshalb sollte der EDÖB in seiner Kommunikation und in seinen Verfahren eine besonders klare und sorgfältige Rechtsanwendung vorleben.
Ich werde Verantwortlichen weiterhin empfehlen, eine passende Negativauskunft zu erteilen, wenn keine Personendaten über eine anfragende Person bearbeitet bzw. gefunden werden.
EDÖB: Verwarnung für Bank wegen unvollständiger und verspäteter Auskunft
Siehe auch:
- Mediensteuer: Serafe AG hat keine Lust auf Auskunft über Personendaten
- Auskunftsrecht gemäss Art. 25 DSG (Onlinekommentar)
- DAT290 «Auskunft: Nicht zu schnell, nicht zu viel» (Datenschutz-Plaudereien)
Bild: OpenAI / ChatGPT.