Informations-
Pflicht
Beschafft ein Verantwortlicher Personendaten, so hat er die betroffene Person zu informieren. Der betroffenen Person sind mindestens folgende Informationen mitzuteilen:
- Identität und Kontaktdaten des Verantwortlichen;
- Bearbeitungszweck;
- wenn Personendaten bekannt gegeben werden, die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern;
- wenn Personendaten ins Ausland bekannt gegeben werden, den Exportstaat oder das internationale Organ sowie die Garantien für einen angemessenen Datenschutz.
Sind weitere Informationen erforderlich, damit die betroffene Person ihre Rechte geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist, so sind der betroffenen Person auch weitere Informationen bekannt zu geben.
Die Information hat in präziser, transparenter, verständlicher und leicht zugänglicher Form zu erfolgen.
Werden die Personendaten nicht bei der betroffenen Person beschafft, so ist der betroffenen Person zusätzlich die Kategorie der bearbeiteten Personendaten mitzuteilen. Diese Information hat bis spätestens einen Monat nach Erhalt der Daten zu erfolgen, es sei denn die Personendaten werden bereits vorher bekannt gegeben, so hat die Information spätestens im Zeitpunkt der Bekanntgabe zu erfolgen.
Ausnahmen:
Eine Informationspflicht entfällt in folgenden Fällen:
- Die betroffene Person verfügt bereits über die entsprechenden Informationen,
- Die Bearbeitung ist gesetzlich vorgesehen.
- Es handelt sich beim Verantwortlichen um eine private Person, die gesetzlich zur Geheimhaltung verpflichtet
- Unter gewissen Voraussetzungen für Medienschaffende.
Werden die Daten nicht bei der betroffenen Person beschafft entfällt die Informationspflicht zudem in folgenden Fällen:
- Die Information ist nicht möglich.
- Die Information erfordert einen unverhältnismässigen Aufwand.
Die Information darf in folgenden Fällen eingeschränkt, aufgeschoben oder darauf verzichtet werden:
- Überwiegende Interessen Dritter erfordern die Massnahme;
- Die Information vereitelt den Zweck der Bearbeitung;
- Überwiegende Interessen des Verantwortlichen erfordern die Massnahme und die Personendaten nicht Dritten bekannt. Konzernunternehmen gelten dabei nicht als Dritte.
Automatisierte Einzelentscheidung
Beruht eine Entscheidung ausschliesslich auf einer automatisierten Bearbeitung (automatisierte Einzelentscheidung), die für eine betroffene Person mit Rechtsfolgen verbunden ist oder sie erheblich beeinträchtigt, so hat der Verantwortliche die betroffene Person zu informieren. Er hat der betroffenen Person auf Antrag die Möglichkeit zu geben, ihren Standpunkt darzulegen. Die betroffene Person kann zudem verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
Die zusätzlichen Pflichten bei einer automatisierten Einzelentscheidung gelten in folgenden Fällen nicht:
- die automatisierte Einzelentscheidung steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person und ihrem Begehren wird stattgegeben;
- die betroffene Person hat ausdrücklich eingewilligt, dass die Entscheidung automatisiert erfolgt.
Beispiele:
- Datenschutzerklärung auf einer Webseite.
- Der Antrag für einen Leasingvertrag wird automatisiert berechnet und beurteilt.