Seit dem Inkrafttreten des neuen Datenschutzgesetzes («DSG») am 1. September 2023 müssen Arbeitgeber nicht nur ihre Kunden und Geschäftspartner, sondern auch ihre Mitarbeiter über die Bearbeitung von Personendaten informieren. Wer das nicht tut, riskiert eine Busse bis 250 000 Franken. Das Gesetz schreibt folgende Informationen vor, die in jedem Fall mitgeteilt werden müssen:

• Identität und Kontaktdaten des Verantwortlichen (Firma und Kontakt des Arbeitgebers)

• Bearbeitungszweck (z. B. Erfüllung des Arbeitsvertrags, Einhaltung gesetzlicher Pflichten)

• Kategorien von Datenempfängern (z. B. HR-Dienstleister, Versicherungen, Amtsstellen)

Falls die Daten nicht beim Mitarbeiter beschafft werden (z. B. Einholung von Registerauszügen), so müssen ihm zudem die Kategorien der bearbeiteten Personendaten mitgeteilt werden (z. B. Angaben über Betreibungen). Falls die Daten ins Ausland bekannt gegeben werden, so muss ihm auch der Staat und – je nach Staat (insbesondere falls ausserhalb des EWR) – die Garantien zur Sicherstellung eines geeigneten Datenschutzes mitgeteilt werden (in der Praxis meistens Standarddatenschutzklauseln). Besondere Informationspflichten gelten ggfs. bei der Durchführung automatisierter Einzelentscheide (z. B. falls eine Anwendung zur automatisierten Leistungsbeurteilung eingesetzt wird).

Aus Beweisgründen schriftlich

Die Information ist nicht an eine bestimmte Form gebunden. Wichtig ist, dass sie den Mitarbeitenden zur Kenntnis gebracht wird. Dies kann bspw. durch das Aushändigen oder Verlinken einer separaten Mitarbeiter-Datenschutzerklärung per E-Mail oder im Intranet oder durch eine Information im Rahmen des Weisungswesens erfolgen.

Die Information sollte aus Beweisgründen schriftlich und spätestens zum Zeitpunkt der Erhebung der Daten (z. B. bei Stellenantritt) erfolgen. Sie sollte hingegen nicht zum Bestandteil des Arbeitsvertrags gemacht werden, damit einseitige Änderungen möglich bleiben.

Pflicht zur Auskunft

Wie bereits unter dem alten DSG haben alle Personen das Recht zu erfahren, ob Personendaten über sie bearbeitet werden. Dies ist im Verhältnis Arbeitgeber-Arbeitnehmer wohl immer der Fall. Weiter sieht das Gesetz Informationen vor, die der betroffenen Person in jedem Fall mitzuteilen sind (u. a. Auskunft über die bearbeiteten Personendaten als solche [womit klargestellt wird, dass kein Anspruch auf die Herausgabe von Dokumenten besteht], den Bearbeitungszweck, die Aufbewahrungsdauer).

Die Auskunft ist grundsätzlich kostenlos und innert 30 Tagen ab Eingang des Gesuchs zu erteilen. Wer (vorsätzlich) eine falsche oder unvollständige Auskunft erteilt, riskiert eine Busse bis 250 000 Franken. Im Rahmen der Auskunft sollte daher keinesfalls eine Vollständigkeitserklärung abgegeben oder ein solcher Eindruck erweckt werden.

Im arbeitsrechtlichen Kontext kommt es häufig vor, dass sich Arbeitnehmer auf das Auskunftsrecht berufen, um bei sich abzeichnenden Auseinandersetzungen (z. B. nach einer Kündigung durch den Arbeitgeber) an Informationen und Unterlagen heranzukommen und Prozesschancen auszuloten oder schlicht um eine weitere Angriffslinie gegen den Arbeitgeber zu fahren.

Das Bundesgericht hat wiederholt festgehalten, dass die Geltendmachung des Auskunftsrechts zur Beweismittelbeschaffung missbräuchlich ist. Das neue DSG hält nun explizit fest, dass die Auskunft verweigert werden kann, wenn das Gesuch «offensichtlich unbegründet» ist, namentlich einen «datenschutzwidrigen Zweck» verfolgt oder «offensichtlich querulatorisch» ist.

Gründe für eine Verweigerung

Die Beurteilung, ob ein Gesuch einen «datenschutzwidrigen Zweck» verfolgt, hat stets im Einzelfall zu erfolgen. Dabei gilt es nach entsprechenden Indizien Ausschau zu halten wie z. B. einer zeitgleichen Einsprache gegen eine missbräuchliche Kündigung, einer Aufforderung zur Abänderung des Zeugnisses oder andere Anzeichen für eine (drohende) arbeitsrechtliche Auseinandersetzung. Ein «querulatorisches» Gesuch liegt vor, wenn ein Begehren ohne plausible Begründung wiederholt wird oder der Gesuchsteller bereits weiss, dass der Verantwortliche keine Daten über ihn bearbeitet.

Als weitere Verweigerungs- oder Einschränkungsgründe des Auskunftsrechts kommen gesetzliche Pflichten (z. B. ein Berufsgeheimnis) oder Interessen Dritter (z. B. Schutz eines Whistleblowers, Schutz von Geschäftsgeheimnissen) in Betracht. In solchen Fällen wird die Verweigerung der Auskunft regelmässig nicht erforderlich sein; eine Schwärzung entsprechender Passagen dürfte häufig genügen. Auch diese Frage ist stets aufgrund der konkreten Umstände im Einzelfall zu beurteilen.

Weitere Hinweise für die Praxis

Bei der Umsetzung dieser Pflichten hilft das sog. Bearbeitungsverzeichnis, woraus sich unter anderem die Pflichtangaben für die Information sowie die Auskunft ergeben sollten (vgl. die Vorlage auf der Website des sgv). Zudem sollte eine interne Weisung zum Datenschutz erstellt werden, welche die Zuständigkeiten und Kompetenzen sowie die Prozesse mit Blick auf die Umsetzung dieser (und weiterer) Datenschutzpflichten enthält (z. B. wer ist zuständig für die Erstellung und Bereitstellung der Datenschutzerklärung; wer hat ein Auskunftsgesuch innert welcher Frist wie zu beantworten?).

Luca Stäuble

LL.M. Luca Stäuble ist Rechtsanwalt bei Kellerhals Carrard Zürich KlG.

luca.staeuble@kellerhals-carrard.ch