Die Bedeutung des EuGH-Urteils i. S. Facebook/Bundeskartellamt für die Anwendung des revidierten schweizerischen Datenschutzgesetzes (DSG)

Cédric Akeret

Inhaltsverzeichnis

I. Einleitende Bemerkungen zum revidierten Datenschutzgesetz (DSG)

II. Analoge Übernahme oder sinngemässe Beachtung bei der Auslegung?

1. Verschiedene Ansätze der DSGVO und des DSG

2. Potentielle Bedeutung des EuGH-Entscheids in der Rs. C-252/21 für die Auslegung von parallelen DSG-Bestimmungen

III. Fazit

Am 1. September 2023 trat das revidierte Datenschutzgesetz (DSG) in der Schweiz in Kraft. Nebst dem Umstand, dass das bis dahin geltende Datenschutzgesetz aus dem Jahre 1992 längst nicht mehr zeitgemässe Bestimmungen enthielt, welche es zu ersetzen galt, damit der Schutz von Personendaten auf ein dem aktuellen Stand der Technik entsprechendes Schutzniveau angehoben werden konnte, war eine Totalrevision auch für Angleichungen an den europäischen Standard unabdingbar und von zentralem Interesse für den Wirtschaftsstandort Schweiz. Ohne eine Anerkennung der Schweiz als sog. «Drittstaat mit angemessenem Datenschutzniveau» nach Art. 45 DSGVO wäre ein freier Datenverkehr zwischen der Schweiz und der EU nur noch unter erschwerten Bedingungen – bspw. durch die Implementierung von durch das EU-Recht vorgegebenen Standardvertragsklauseln in einschlägige Verträge – möglich gewesen. Vor diesem Hintergrund erstaunt keinesfalls, dass die konkrete Ausgestaltung des revidierten DSG mit derjenigen der DSGVO in weiten Zügen übereinstimmt. Doch nicht nur die Ähnlichkeit der Gesetzestexte deutet auf eine Notwendigkeit der Berücksichtigung eines EuGH-Urteils zur Auslegung der DSGVO für die Auslegung des DSG hin. Vielmehr ist auch der räumliche Anwendungsbereich der DSGVO nach Art. 3 Abs. 2, wonach u. U. auch Verantwortliche mit Sitz in der Schweiz die Bestimmungen der DSGVO einzuhalten haben, Kriterium dafür, dass EU-Literatur und Rechtsprechung zur DSGVO für die Schweiz massgebend sein können. Dies legt es nahe, die ergangene Entscheidung des EuGH auch aus |Schweizer Sicht zu analysieren und zentrale Aspekte der Beurteilung auf die Anwendung des DSG zu übertragen.

Im Unterschied zur DSGVO, nach welcher die Datenverarbeitung grundsätzlich verboten ist (Verbotsprinzip), jedoch bei Vorliegen eines Erlaubnistatbestandes rechtmässig werden kann (vgl. Art. 6 Abs. 1 DSGVO), ist die Datenbearbeitung nach dem DSG im Grundsatz erlaubt, sofern diese rechtmässig erfolgt (vgl. Art. 6 Abs. 1). Doch selbst wenn nach dem DSG bei einer Datenbearbeitung die Grundsätze nicht eingehalten werden, ist diese bei Vorliegen eines Rechtfertigungsgrundes – z. B. einer Einwilligung nach Art. 31 Abs. 1 DSG – wiederum rechtmässig. Wenn nun nach der DSGVO Rechtfertigungsgründe gemäss Art. 6 Abs. 1 bzw. Art. 9 Abs. 2 DSGVO bereits auf einer ersten Stufe zu prüfen sind, haben diese nach dem Schweizer Datenschutzrecht hingegen erst auf einer nachgeordneten Stufe, und erst bei einer grundsätzlich unrechtmässigen bzw. persönlichkeitsverletzenden Datenbearbeitung vorzuliegen. Nur wenn also die Persönlichkeitsverletzung als widerrechtlich zu werten ist, weil gerade kein Rechtfertigungsgrund vorliegt, ist die Datenbearbeitung unrechtmässig und damit verboten.

Initiiert durch das Vorabentscheidungsersuchen des OLG Düsseldorf vom 22. April 2021 befasste sich der EuGH in seinem Entscheid vom 4. Juli 2023 mit der Auslegung einzelner Bestimmungen der DSGVO, insbesondere zu Art. 6 und Art. 9 DSGVO. Das DSG unterscheidet hinsichtlich der Rechtfertigungsgründe – im Unterschied zur DSGVO – aber nicht zwischen der Bearbeitung von «regulären» Personendaten und besonders schützenswerten Personendaten. Dennoch finden sich im 5. Kapitel, insbesondere in Art. 31 DSG, dem Wortlaut und Sinngehalt nach ähnliche Bestimmungen wie in Art. 6 und Art. 9 DSGVO. Obwohl eine Unterscheidung zwischen der Bearbeitung von regulären und besonders schützenswerten Personendaten hinsichtlich der Rechtfertigungsgründe im DSG fehlt, hat eine Übernahme der Auslegung des EuGH zu Art. 9 Abs. 1 DSGVO, dass die Verknüpfung von solchen personenbezogenen Daten mit den bereits erhobenen Daten im Benutzerkonto als Verarbeitung besonderer Kategorien personenbezogener Daten anzusehen ist, Tragweite. Denn wenn die Verknüpfung von Personendaten mit Daten, welche nach Art 5 lit. c DSG als besonders schützenswert gelten, darin resultiert, dass die Gesamtheit der Daten als besonders schützenswert zu beurteilen ist, führt dies zu einem notwendigerweise anderen Umgang mit den Daten bei deren Erhebung sowie zu umfangreicheren Pflichten des Verantwortlichen.

Als Rechtfertigungsgründe nennt Art. 31 DSG die Einwilligung der betroffenen Person, ein überwiegendes öffentliches oder privates Interesse sowie durch den Verantwortlichen einzuhaltende Gesetzesbestimmungen. Anders als in der DSGVO (vgl. Art. 6) sind dies die einzigen explizit genannten Rechtfertigungsgründe. Der Schweizer Gesetzgeber konkretisiert jedoch das überwiegende Interesse des Verantwortlichen nicht abschliessend in Art. 31 Abs. 2 lit. a – f DSG und lässt so Raum für weitere, die Interessen der betroffenen Person am Schutz der Persönlichkeit überwiegende, Interessen des Verantwortlichen als Rechtfertigungsgründe. Eine Interessenabwägung im Einzelfall ist damit unumgänglich. Art. 6 DSGVO hingegen wurde als abschliessende Aufzählung formuliert, sodass kein Spielraum für weitere Rechtfertigungsgründe besteht. Dies verstärkt die Notwendigkeit zusätzlich, die Rechtsprechung zur Auslegung der DSGVO auch für die Auslegung des DSG zu beachten.

Eine direkte Parallele besteht hinsichtlich des «offensichtlich öffentlich Machens» gem. Art. 9 Abs. 2 lit. e DSGVO bzw. Art. 30 Abs. 3 DSG. Anders als der europäische Gesetzgeber hat der schweizerische jedoch darauf verzichtet, die Bearbeitung allgemein zugänglich gemachter Personendaten auf die Rechtfertigungsebene zu heben, vielmehr entfällt nach ihm die Qualifikation als Persönlichkeitsverletzung als solche und damit letztlich auch die Schutzwürdigkeit der Personendaten. Eine Bearbeitung wissentlich und willentlich allgemein zugänglich gemachter Daten ist somit – in der Regel – rechtmässig, sofern die betroffene Person die Bearbeitung nicht ausdrücklich untersagt hat. Obschon der DSG-Bestimmung das Merkmal der «Offensichtlichkeit» fehlt, drängt sich zumindest für die Auslegung der Einschub eines solchen, zusätzlichen objektiven Elements analog DSGVO auf, da es für die Datenbearbeiter und letztlich auch für die Gerichte in der Praxis kaum je möglich sein wird, das subjektive Element des Wissens und Willens abschliessend zu beurteilen. Die Offensichtlichkeit schafft dahingehend Klarheit und bietet ein greifbares objektives Kriterium, an welches die Beurteilung einer Persönlichkeitsverletzung und damit letztlich auch die Rechtmässigkeit einer Datenbearbeitung angeknüpft werden kann. Dennoch darf die Abschwächung des subjektiven Tatbestandsele|ments nicht zu einer Ausweitung des Anwendungsbereiches von Art. 30 Abs. 3 DSG führen, weshalb eine die Auslegung der objektiven Tatbestandsmerkmale von Art. 30 Abs. 3 DSG unter Einschluss der Offensichtlichkeit restriktiv zu erfolgen hat. Insofern muss also auch nach der Schweizer Bestimmung für einen Dritten objektiv erkennbar sein, dass die Daten offensichtlich allgemein zugänglich gemacht wurden. Die blosse Betätigung einer Schaltfläche, bei welcher der Nutzer im Einzelnen noch nicht abzuschätzen vermag, wie sich dies auf seine Personendaten im Detail auswirkt, kann – in Übereinstimmung mit der Auslegung von Art. 9 Abs. 2 lit. e DSGVO – auch nach dem DSG nicht als allgemeines Zugänglichmachen gewertet werden. Vielmehr bedarf es auch hier einer erkennbaren Willensbetätigung im Sinne der Offensichtlichkeit.

Sehr ähnlich sind auch die Bestimmungen Art. 6 Abs. 1 lit. b DSGVO und Art. 31 Abs. 2 lit. a DSG. Beide sollen als Rechtfertigungsgründe – bzw. nach DSG als Konkretisierung des Rechtfertigungsgrundes der privaten Interessen – für Datenbearbeitungen dienen, welche in Zusammenhang zu einem Vertragsverhältnis erfolgen. Im Gegensatz zur DSGVO, welche explizit Erforderlichkeit für die Erfüllung eines Vertrages voraussetzt, braucht es nach Art. 31 Abs. 2 lit. a DSG lediglich einen Konnex zum Abschluss oder zur Abwicklung eines Vertrages. Dieser muss dennoch auch nach Schweizer Datenschutzrecht hinsichtlich eines konkreten Vertrages bestehen. Erforderlichkeit wird jedoch erst bei Prüfung der Verhältnismässigkeit im Rahmen einer wertenden Interessenabwägung zwischen den Interessen der betroffenen Person und denjenigen der Datenbearbeiterin relevant. Wenn nun der EuGH ausführt, dass Erforderlichkeit für die Erfüllung eines Vertrages nur dann vorliegt, wenn die Datenbearbeitung letztlich konstitutiv für den Vertrag ist, lässt sich dies nach der hier vertretenen Auffassung nicht auf die Parallelbestimmung im DSG übertragen. Vielmehr bildet der Umstand, dass die Datenbearbeitung für den Abschluss oder die Abwicklung eines Vertrages konstitutiv ist, ein Argument für die Gewichtung der u. U. gegenläufigen Interessen der betroffenen Person und der Datenbearbeiterin. Dennoch bedarf es vor dem Hintergrund des Grundsatzes der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO), der in der Schweiz dem Grundsatz der Verhältnismässigkeit entspricht (Art. 6 Abs. 2 DSG), und der Zweckbindung folglich – wie der EuGH anmerkte – auch in der Schweiz für die rechtfertigende Wirkung einer objektiven Notwendigkeit der Datenbearbeitung für den Abschluss bzw. die Abwicklung eines Vertrages. Die Datenbearbeitung selbst braucht jedoch nicht konstitutiv für den Hauptgegenstand des Vertrages zu sein.

Und noch eine letzte Parallele sei angesprochen: Auch das DSG kennt den Rechtfertigungsgrund der Einwilligung (Art. 31 Abs. 1 DSG). Eine solche ist nach Art. 6 Abs. 6 DSG jedoch nur gültig, wenn sie – wie auch nach der DSGVO (Art. 4 Ziff. 11) – informiert und freiwillig, in Bezug auf einen oder mehrere bestimmte Fälle (Bearbeitungen) abgegeben wurde. Freiwilligkeit liegt nach dem DSG dann vor, wenn die Abgabe einer Willenserklärung ohne Druck erfolgt, also die Entscheidung für oder gegen die Bearbeitung möglich bleiben muss. Ob nun die Abgabe einer Einwilligung in Datenbearbeitungen gegenüber einem marktbeherrschenden Verantwortlichen deren Freiwilligkeit ausschliesst (wie dies der EuGH in seiner Entscheidung zu beurteilen hatte), muss letztlich auch in der Schweiz einer Überprüfung im Einzelfall unterliegen. Auch bei dieser Einzelfallprüfung kann es sich auswirken, dass eine freiwillige und informierte Einwilligung in die Datenbearbeitung nach schweizerischem Recht grundsätzlich nur bei einer unrechtmässigen bzw. persönlichkeitsverletzenden Datenbearbeitung durch den marktbeherrschenden Verantwortlichen vorzuliegen braucht.

Wie und in welchem Umfang die Ausführungen des EuGH zur Auslegung der Bestimmungen der DSGVO detailliert Eingang in die Schweizer Rechtsprechungspraxis finden werden, ist abzuwarten. Wünschenswert wäre es, denn nun, da auch die Schweiz wieder ein dem EU-Datenschutzstandard entsprechendes Datenschutzgesetz kennt und damit durchaus ein wohlwollender Angemessenheitsbeschluss der EU Kommission hinsichtlich des schweizerischen Datenschutzniveaus erwartet werden darf, wenn die Auslegung des DSG zu derjenigen der DSGVO parallel geführt werden (was keine vollständige Identität verlangt), da sonst die Schweiz Gefahr läuft, das mit der Totalrevision angestrebte Ziel der Anpassung an den EU-Standard letztlich doch wieder zu verfehlen.

|Zusammenfassung

Das Urteil des EuGH i. S. Facebook-Datenzusammenführungspraktiken hat erhebliche Relevanz auch für die Schweiz. Zwar basiert das DSG nicht, wie die DSGVO, auf dem Verbotsprinzip. Die DSG-Revision hat das Gesetz aber noch paralleler zur DSGVO ausgestaltet und so liegt eine Ausstrahlungswirkung der gerichtlichen Konkretisierungen von DSGVO-Tatbeständen auf das DSG nahe. Der Beitrag erläutert dies näher im Hinblick auf die Einwilligung und verschiedene gesetzliche Rechtfertigungstatbestände der DSGVO.&cbr;

Résumé

L’arrêt de la CJUE concernant les pratiques de fusion des données de Facebook est également très pertinent pour la Suisse. Si la LPD ne repose pas, commele RGPD, sur le principe d’interdiction, la révision de la LPD vise toutefois à aligner encore plus la loi sur ce règlement. De ce fait, il est envisageable que les décisions judiciaires basées sur le RGPD aient des répercussions sur la LPD. Cet article détaille cette question, notamment en ce qui concerne le consentement et différents fondements juridiques du RGPD.