Der Begriff ist weiter, als die meisten vermuten. Es braucht keinen Namen und keine Adresse. Es genügt, dass sich aus der Angabe im Zusammenhang mit anderen Informationen ableiten lässt, um wen es geht. Damit sind in einem Handwerks-, Reinigungs- oder Beratungsbetrieb fast alle Unterlagen betroffen, die einen Kunden oder eine Mitarbeiterin betreffen.
Bestimmt oder bestimmbar: die Frage, die zählt
Bestimmt ist eine Person, wenn die Angabe sie direkt benennt: Name, Kundennummer mit Namen dahinter, Foto des Gesichts. Bestimmbar ist sie, wenn jemand mit verhältnismässigem Aufwand herausfinden kann, wer gemeint ist. Die Zeile «Objekt Lindenweg 7, Wohnung 3, Schlüssel nicht zurückgegeben» nennt keinen Namen und trifft trotzdem eine bestimmbare Person.
| Angabe im Betrieb | Personendaten? | Warum |
|---|---|---|
| Kundenkartei mit Name, Telefon, Notiz zum letzten Einsatz | Ja | Die Person ist bestimmt, jede Notiz dazu gehört zu ihr |
| Rechnung an eine Privatperson | Ja | Sie zeigt, wer wann was bestellt und bezahlt hat |
| Adresse und Telefonnummer der Beispiel Immobilien AG | Nein | Das Gesetz schützt seit dem 1. September 2023 nur natürliche Personen (Art. 2 Abs. 1) |
| Mailadresse der Verwalterin bei derselben AG | Ja | Hinter der Adresse steht ein Mensch mit Namen |
| Foto der fertigen Fassade, keine Person darauf | Nein | Kein Bezug zu einer bestimmbaren Person |
| Dasselbe Foto mit lesbarem Autokennzeichen | Besser ja behandeln | Das Kennzeichen führt zu einer Halterin, jedenfalls über die Behörde |
| Stundenerfassung mit Datum, Objekt und Mitarbeitername | Ja | Zeigt, wer wann wo gearbeitet hat |
| Arztzeugnis im Personaldossier | Ja, und zwar besonders schützenswert | Gesundheitsdaten (Art. 5 Bst. c Ziff. 2) |
Besonders schützenswerte Personendaten
Das Gesetz zählt sie abschliessend auf (DSG Art. 5 Bst. c). Im Kleinbetrieb kommen vor allem die ersten beiden Gruppen vor, und zwar fast immer im Personaldossier.
- Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten
- Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie
- Genetische Daten
- Biometrische Daten, die eine natürliche Person eindeutig identifizieren, etwa ein Fingerabdruck für die Zeiterfassung
- Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen
- Daten über Massnahmen der sozialen Hilfe
Der praktische Unterschied: Stützt du dich für die Bearbeitung solcher Daten auf eine Einwilligung, muss diese ausdrücklich erfolgen (DSG Art. 6 Abs. 7). Ein Häkchen im Kleingedruckten genügt dann nicht. Und wer besonders schützenswerte Daten in grossem Umfang bearbeitet, verliert die Befreiung vom Bearbeitungsverzeichnis.
Bearbeiten, bekanntgeben, Profiling
- Bearbeiten ist jeder Umgang mit Personendaten (Art. 5 Bst. d): beschaffen, speichern, aufbewahren, verwenden, verändern, bekanntgeben, archivieren, löschen, vernichten. Auch das blosse Aufbewahren einer alten Kundenliste ist eine Bearbeitung.
- Bekanntgeben ist das Übermitteln oder Zugänglichmachen (Bst. e). Die Belege an die Treuhandstelle zu schicken, ist eine Bekanntgabe.
- Profiling ist die automatisierte Auswertung, um persönliche Aspekte zu bewerten oder vorherzusagen (Bst. f). Ein Profiling mit hohem Risiko liegt vor, wenn die Verknüpfung eine Beurteilung wesentlicher Persönlichkeitsaspekte erlaubt (Bst. g). Eine Kundenliste nach Umsatz zu sortieren, ist keines.
Wann Daten aufhören, Personendaten zu sein
Personendaten werden vernichtet oder anonymisiert, sobald sie für den Zweck der Bearbeitung nicht mehr nötig sind (DSG Art. 6 Abs. 4). Anonymisiert heisst: Der Bezug zur Person lässt sich auch mit verhältnismässigem Aufwand nicht mehr herstellen. Erst dann fällt die Auswertung aus dem Gesetz heraus. Den Namen durch «Kunde 4711» zu ersetzen, reicht nicht, solange du die Zuordnungsliste noch hast; das ist eine Pseudonymisierung, und der Datensatz bleibt ein Personendatum.
In der Praxis kollidiert die Löschpflicht regelmässig mit der Aufbewahrungspflicht von zehn Jahren für Bücher und Belege (OR Art. 958f). Die gesetzliche Pflicht geht vor: Rechnungen und Buchungsbelege bleiben, auch wenn ein Kunde die Löschung verlangt. Was darüber hinausgeht, also Notizen, alte Offerten ohne Auftrag, Fotos ohne Zweck, gehört weg. Mehr dazu unter Kundendaten speichern und Aufbewahrungsfristen.
Häufige Fragen
Sind Angaben über eine GmbH Personendaten?
Nein. Seit dem 1. September 2023 gilt das Datenschutzgesetz nur für Daten natürlicher Personen (DSG Art. 2 Abs. 1). Sobald aber eine Ansprechperson mit Namen, Direktwahl oder Mailadresse in deiner Kartei steht, sind das wieder Personendaten, und die Regeln gelten für diesen Teil.
Ist eine E-Mail-Adresse wie info@beispiel.ch ein Personendatum?
In der Regel nicht, weil sie keine bestimmte Person bezeichnet. Bei vorname.name@beispiel.ch ist es umgekehrt: Die Adresse nennt den Menschen direkt. Im Zweifel entscheidet nicht die Form der Adresse, sondern ob sich mit verhältnismässigem Aufwand herausfinden lässt, wer dahintersteht.
Gelten die Daten eines verstorbenen Kunden noch als Personendaten?
Das Gesetz schützt lebende natürliche Personen. Mit dem Tod endet der Persönlichkeitsschutz der verstorbenen Person. Trotzdem bleiben die Unterlagen: Rechnungen und Belege unterliegen der zehnjährigen Aufbewahrungspflicht nach OR Art. 958f, und Angaben über Angehörige sind weiterhin deren Personendaten.
Brauche ich für jedes Personendatum eine Einwilligung?
Nein, und das ist der häufigste Irrtum. Eine Einwilligung ist nur einer von mehreren Wegen. Was du für Offerte, Auftrag, Rechnung und Garantie brauchst, darfst du in der Regel ohne Einwilligung bearbeiten: Bearbeitest du Daten deiner Vertragspartnerin in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung des Vertrags, kommt das ausdrücklich als überwiegendes Interesse in Betracht (DSG Art. 31 Abs. 2 Bst. a).
Quellen
- Datenschutzgesetz (DSG), Art. 5: Begriffe
- Datenschutzgesetz (DSG), Art. 2: persönlicher und sachlicher Geltungsbereich
- Datenschutzgesetz (DSG), Art. 6: Grundsätze, mit Abs. 4 und Abs. 7
- Datenschutzgesetz (DSG), Art. 31: überwiegende Interessen
- Obligationenrecht (OR), Art. 958f: Aufbewahrung der Geschäftsbücher
- Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter: Basiswissen Datenschutz
Dieser Text ist eine allgemeine Information für Schweizer Unternehmen und ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Wenn dir ein Fehler auffällt, schreib uns, wir korrigieren ihn.
