Auskunftsrecht: Das Auskunftsrecht nach neuem Datenschutzrecht
Regina Arquint, lic.iur. HSG, RA, CIPP/E
Frau Arquint schloss ihr Studium der Rechtswissenschaften an der Universität St. Gallen im Jahr 2002 ab. Nach absolviertem Gerichts- und Anwaltspraktikum erwarb Regina Arquint das Anwaltspatent im Jahr 2005. Anschliessend arbeitete sie in einer renommierten Wirtschaftskanzlei in Zürich. In den Jahren 2008 – 2017 war sie in leitender Stelle in einem internationalen Konzern der Luxus- und Modeschmuckbranche tätig. Heute ist sie Partnerin bei der Kanzlei AFFINITY LAW & TAX in Meilen und Zürich und Dozentin für Datenschutzrecht an der Ostschweizer Fachhochschule St. Gallen im Lehrgang CAS Führung und Steuerung der IT. Regina Arquint ist Mitglied des Zürcherischen und des Schweizerischen Anwaltsverbandes. Sie hat das Zertifikat als International Privacy Professional (CIPP/E) erlangt und ist Mitglied der Internationalen Vereinigung für Datenschutz (IAPP).
Passende Arbeitshilfen
Ferner wird der betroffenen Person damit ein Instrument zur Verfügung gestellt, mit dem sie die Bearbeitung ihrer Personendaten kontrollieren und prüfen kann, ob ihre Personendaten rechtmässig bearbeitet werden und bei einer Verletzung, ihr die Durchsetzung der Rechte zu ermöglichen. Bei der Überprüfung der Rechtmässigkeit der Datenbearbeitung geht es vor allem um die Einhaltung der Grundsätze der Datenbearbeitung, wie
- die rechtmässige Beschaffung, die Bearbeitung nach Treu und Glauben;
- die Überprüfung der Richtigkeit der Personendaten, die Einhaltung der Verhältnismässigkeit bei der Datenbearbeitung;
- die Gewährleistung des angemessenen Datenschutzes bei Auslandtransfers sowie die Löschung der Personendaten.
Zudem unterstützt das Auskunftsrecht den Persönlichkeitsschutz einer Person (Art. 28 – 28b und 28g – 28l ZGB). So kann eine betroffene Person mittels eines Auskunftsbegehrens Informationen erlangen, die ihr als Grundlage zur Beurteilung dienen, ob eine Persönlichkeitsverletzung begangen wurde.
Das Auskunftsrecht betreffend Personen
Auskunftsberechtigte Personen
Das Auskunftsrecht gehört zu den (relativen) Höchstpersönlichkeitsrechten einer Person. Es kann weder auf eine andere Person übertragen werden, noch kann es vererbt werden. Nach neuer Rechtlage steht es allerdings nur den natürlichen Personen zu. Hingegen sind juristische Person nicht mehr durch das Datenschutzrecht geschützt. Diese müssen sich für die Durchsetzung ihrer Rechte auf andere Gesetze berufen, wie bspw. das Persönlichkeitsrecht nach Art. 28 ff. ZGB, das unlautere Wettbewerbsrecht (UWG) oder das Firmenrecht nach dem Obligationenrecht. Auf das Recht kann niemand verzichten; eine solche Verzichtserklärung wäre ungültig. Schliesslich gilt das Recht unbefristet, d.h. es verjährt nicht.
Bei verstorbenen Personen sieht das neue Datenschutzgesetz und die neue Datenschutzverordnung keine solches Auskunftsrecht mehr vor, da das Auskunftsrecht betreffend Personendaten von verstorbenen Personen, wie dies die alteDatenschutzverordnung vorsah (Art. 1 Abs. 7 DSGV) als „Gesetzwidrig“ beurteilt wurde. Da das datenschutzrechtliche Auskunftsrecht ein Recht ist, das aus dem Persönlichkeitsrecht der betroffenen Person fliesst, darf grundsätzlich nur diese Auskunft über die eigenen Personendaten verlangen. Da gemäss schweizerischer Rechtspraxis das Persönlichkeitsrecht und der damit verfolge Schutzzweck beim Tod des Betroffenen grundsätzlich dahinfällt, geht das Auskunftsrecht nicht auf die Erben über. In diesem Fall richtet sich das Auskunftsrecht der Erben alleine nach den Regeln des Erbrechts gemäss ZGB, welches in der Regel weniger weit geht, als das Auskunftsrecht einer betroffenen Person nach dem Datenschutzrecht.
Auskunftspflichtige Personen
In erster Linie muss der Verantwortliche die Auskunft erteilen. Der Verantwortliche ist die Person, welche allein oder zusammen mit anderen über den Zweck und die Mittel der Datenbearbeitung entscheidet und somit die Verantwortung für die Datenbearbeitung trägt (Art. 5 lit. j DSG).
Wenn der Verantwortliche die Personendaten durch einen Dritten in seinem Auftrag bearbeiten lässt, so bleibt der Verantwortliche zur Auskunftserteilung verpflichtet (Art. 25 Abs. 4 DSG). Wenn er allerdings selbst nicht in der Lage ist, die Auskunft zu erteilen, dann ist davon auszugehen, dass er das Begehren (analog Art. 1 Abs. 6 der alten DSGV dem Dritten weiterzuleiten hat, damit dieser die Auskunft erteilen kann.
Ist der Dritte hingegen selbst Verantwortlicher (nicht bloss ein Auftragsbearbeiter) und führt er die Datensammlung gemeinsam mit dem anderen Verantwortlichen, so ist jeder einzelne Verantwortliche zur Auskunft verpflichtet. Die Verantwortlichen können allerdings einen Verantwortlichen bezeichnen, der für die Behandlung der Auskunftsbegehren zuständig ist. Wenn ein Verantwortlicher zur Auskunftserteilung nicht ermächtigt bzw. nicht zuständig ist, so hat er das Auskunftsbegehren an den zuständigen Verantwortlichen weiterzuleiten.
Wesentlich ist, dass durch die Aufgabenaufteilung zwischen zwei gemeinsam Verantwortlichen die Geltendmachung eines Auskunftsbegehrens durch den Betroffenen nicht erheblich erschwert oder sogar verunmöglicht werden darf. Die auskunftsberechtigten Personen haben sich nicht um die innere Organisation eines Inhabers bzw. mehrerer Inhaber zu kümmern.
Ferner kann eine auskunftsberechtigte Person ihr Auskunftsrecht über einen Dritten geltend machen. Mögliche Gründe dafür können bspw. die Geheimhaltung oder das Schutzbedürfnis des Auskunftsberechtigten sein. So sieht Art. 25 Abs. 3 DSG vor, dass der Verantwortliche Personendaten über die Gesundheit der betroffenen Person einem Arzt mitteilen kann, der von der Gesuchstellerin bezeichnet wurde. Der Arzt nimmt dann Einblick in die Personendaten und teilt diese der auskunftsberechtigten Person mit. Damit kann bspw. vermieden werden, dass der Verantwortliche die Auskunft nicht mit dem Grund verweigern kann, er könnte bei einer Schädigung oder Selbstgefährdung der betroffenen Person aufgrund der Mitteilung der Personendaten gegenüber der betroffenen Person haftbar gemacht werden.
Gegenstand des Auskunftsrecht
Beim Auskunftsrecht handelt es sich um ein umfassendes Recht. Sofern es nicht aus gesetzlichen Gründen eingeschränkt werden kann, muss grundsätzlich über alle Personendaten informiert werden. Dies gilt unabhängig von der Art der Bearbeitung (sei es elektronisch, auf Papier, als Video oder Tonaufnahmen), vom Ort oder vom Zeitpunkt der Bearbeitung.
Das Datenschutzgesetz sieht zuerst vor, dass jede Person von einem Verantwortlichen Auskunft darüber verlangen kann, ob überhaupt Daten über sie bearbeitet werden (Art. 25 Abs. 1 DSG). Damit hat der Verantwortliche gegenüber der betroffenen Person auch mitzuteilen, wenn keine Personendaten über sie bearbeitet werden (sog. Negativmeldung).
Sofern Personendaten bearbeitet werden, hat der Verantwortliche der betroffenen Person folgende Informationen mitzuteilen (Art. 25 Abs. 2 DSG):
Als Grundregel hat er der betroffenen Person diejenigen Informationen mitzuteilen, die erforderlich sind, damit sie ihre Rechte nach dem DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall hat er ihr folgende Informationen mitzuteilen:
- Die Identität und die Kontaktdaten des verantwortlichen;
- Die bearbeiteten Personendaten als solche;
Mit den „bearbeiteten Personendaten als solche“ sind nur die Personendaten gemeint und nicht etwa Dokumente, wie E-Mails, Verträge, Berichte oder andere Unterlagen. Zu den Personendaten gehören alle Personenaten, die sich auf den Antragssteller in bestimmter oder bestimmbarer Weise beziehen. Ebenfalls davon erfasst sind pseudonymisierte Daten, sofern der Verantwortliche selbst über den Schlüssel zur Identifikation der Daten verfügt. Von der Mitteilung ausgeschlossen sind somit lediglich anonymisierte Daten, d.h. solche Informationen, die keinen Rückschluss auf den Antragsteller ermöglichen (z.B. statistische Auswertungen). Kein Anspruch hingegen hat die auskunftsersuchende Person auf Dokumente bspw. in Form von Kopien, sondern nur auf die Daten als solche.
- Der Bearbeitungszweck;
- Ebenfalls mitzuteilen ist der Zweck der Datenbearbeitung. Dies ermöglicht die betroffene Person zu prüfen, ob der Grundsatz der Zweckbindung gemäss Art. 6 Abs. 3 DSG eingehalten wurde.
- Die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung der Dauer;
- die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden; Mitzuteilen sind die Herkunft der Daten sowie die Identität der Herkunftsperson, damit der Antragsteller seine Rechte auch gegenüber diesen Quellen, wenn nötig geltend machen kann.
- Gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
Gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Absatz 4.
Ebenfalls mitzuteilen sind die Kategorien der Empfänger der Daten. Dazu gehören Auftragsbearbeiter (wie bspw. IT-Dienstleistungsunternehmen), gemeinsame Verantwortliche, Partnerunternehmen, Kreditinstitute, Gerichtsbehörden etc.). Nicht erforderlich ist hingegen, dass Dritte namentlich erwähnt werden.
Nach altem Recht mussten nur Personendaten mitgeteilt werden, die sich in einer Datensammlung befanden, d.h. wo ein Datenbestand aufgebaut wurde, dass die Daten nach betroffenen Personen erschliessen liess (Art. 3 Abs. 1 lit g. DSG). Nach neuem Recht ist das Auskunftsrecht nicht mehr nur auf Datensammlungen beschränkt, sondern umfasst auch Personendaten, die sich ausserhalb von Datensammlungen befinden. Da der Begriff der Datensammlung nach altem Recht sehr weit ausgelegt wurde, wird dies in der Praxis eher von untergeordneter Bedeutung sein. In der EU hat es eine entsprechende Einschränkung gar nie gegeben.
Damit die betroffene Person ihre Rechte geltend machen kann und eine transparente Datenverarbeitung gewährleistet ist, ist es empfehlenswert, auch die Rechtsgrundlage/n des Bearbeitens bzw. die Rechtfertigungsgründe nach Art. 31 DSG mitzuteilen. Dies ermöglicht der betroffenen Person zu überprüfen, ob die Daten rechtmässig erhoben und bearbeitet werden. Dazu gehören einmal gesetzliche Grundlagen, was bspw. den Bereich des Sozialversicherungsrechtes betrifft, wenn der Arbeitgeber Daten über seine Mitarbeiter zum Zwecke des Sozialversicherungsschutzes bearbeiten muss. Als weitere Rechtsgrundlagen kommen die Einwilligung der betroffenen Person wie auch ein überwiegendes Interesse des Verantwortlichen (Art. 31 Abs. 1 DSG) in Frage. Im letzteren Fall enthalten sind auch Datenbearbeitungen, die nötig sind im Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages mit der betroffenen Person.
Passende Produkt-Empfehlungen
Form des Auskunftsbegehrens und der Auskunftserteilung
Das schriftliche Formerfordernis, wie das alte Datenschutzrecht vorsah, wurde im neuen Datenschutzgesetz weggelassen. Die Modalitäten des Auskunftsbegehrens und der Auskunftserteilung sind in Art. 16 DSV geregelt. Diese sieht verschiedene Formen und Möglichkeiten der Auskunftserteilung vor.
Das Auskunftsgesuch kann schriftlich oder auf elektronischem Weg erfolgen. Falls der Verantwortliche einverstanden ist, kann das Begehren auch mündlich mitgeteilt werden.
Die Auskunftserteilung kann schriftlich, in elektronischer Form oder in der Form, in der die Daten vorliegen erfolgen. Im Einvernehmen mit dem Verantwortlichen kann die betroffene Person ihre Daten auch an Ort und Stelle einsehen. Die Auskunft kann auch mündlich erfolgen, wenn die betroffene Person einverstanden ist.
Die Auskunft ist der betroffenen Person in verständlicher Form zu erteilen.
Nachweis der Identität des Antragstellers
Ferner ist es ganz wichtig, dass der Verantwortliche die Identität der betroffenen Person nachweist. Denn würden die Personendaten einem unberechtigten Antragsteller mitgeteilt werden, würde der Verantwortliche selbst dadurch eine Datenschutz- und Persönlichkeitsverletzung begehen. Die Prüfung der Identität muss sorgfältig und den Umständen entsprechend angemessen erfolgen. Dabei gilt der Grundsatz, je schutzwürdiger und sensibler die Personendaten, umso höhere Anforderungen sind an den Nachweis der Identität des Antragstellers zu stellen. So können bspw. bestimmte Personendaten (wie z.B. Geburtsdatum, Adresse, letzter Rechnungsbetrag) abgefragt werden oder eine Kopie oder eine Bestätigung der Echtheit der Kopie eines Ausweises/Identitätskarte des Antragstellers verlangt werden.
Frist für die Beantwortung von Auskunftsbegehren
Die Auskunft hat in der Regel innerhalb von 30 Tagen seit Eingang des Auskunftsbegehrens zu erfolgen (Art. 25 Abs. 7 DSG). Dies gilt auch, wenn der Auskunftspflichtige eine Einschränkung des Auskunftsrechts gestützt auf Art. 26 DSG geltend machen möchte. Diesfalls muss er den Einschränkungsgrund begründen und seinen Entscheid ebenfalls innerhalb von 30 Tagen mitteilen. Die gleiche Frist gilt für andere Begründungen, wie bspw., wenn der Nachweis der Identität ungenügend ist, der Verdacht des Rechtsmissbrauchs vorliegt oder ein zu weit gefasstes Begehren gestellt wurde.
Wenn eine Antwort innerhalb dieser Frist nicht möglich ist, darf der Auskunftspflichtige diese selbst erstrecken. Diesfalls hat er dem Antragsteller eine definitive Frist anzugeben, bis wann die Auskunftserteilung erfolgt.
Kosten
Die Auskunft hat grundsätzlich kostenlos zu erfolgen. Der Bundesrat kann in der Verordnung Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist (Art. 25 Abs. 6 DSG). Gemäss altem Recht konnte in den nachfolgenden zwei Fällen eine angemessene Kostenbeteiligung ausnahmsweise verlangt werden (Art. 2 VDSG):
- Wenn der Auskunftspflichtige der antragstellenden Person in den zwölf Monaten vor dem Gesuch die gewünschten Auskünfte bereits mitgeteilt hatte und es kein schutzwürdiges Interesse an einer neuen Auskunftserteilung nachgewiesen werden konnte. Ein schutzwürdiges Interesse war insbesondere gegeben, wenn die Personendaten ohne Mitteilung an die betroffene Person verändert wurden.
Wenn die Auskunftserteilung mit einem besonders grossen Arbeitsaufwand verbunden war.
Ein besonders grosser Aufwand bestand in der Praxis insbesondere dort, wo der Aufwand den üblichen mit dem Hervorholen, Kopieren und Versenden eines Dossiers verbundene Aufwand erheblich übersteigte. Dies war bspw. der Fall bei langwierigen Nachforschungen in manuell geführten Datensammlungen, wenn Akten hinsichtlich Personendaten Dritter einzeln geprüft und ggf. teilweise abgedeckt oder anonymisiert werden mussten, oder der Aktenumfang ausserordentlich gross war.
Der Auskunftspflichtige konnte die Kosten nach angemessenem Aufwand bestimmen, wobei die Grenze bei maximal CHF 300.00 lag. Zudem musste er dem Gesuchsteller vorher die Möglichkeit geben, sein Gesuch innert einer Frist von 10 Tagen ohne Kostenfolge zurückzuziehen (Art. 2 VDSG Abs. 2).
Das neue Datenschutzrecht weicht etwas vom alten Datenschutzrecht ab, wobei die Grundzüge ähnlich ausgestaltet sind. Gemäss der neuen Datenschutzverordnung (Art. 19 DSV) kann der Verantwortliche von der betroffenen Person eine angemessene Kostenbeteiligung verlangen, wen die Erteilung der Auskunft mit einem unverhältnismässigen Aufwand verbunden ist. Dabei kann sich der Verantwortliche nicht auf den Tatbestand des unverhältnismässigen Aufwandes berufen, wenn er bspw. Zugang zu zahlreichen Personendaten geben muss, die der Verantwortliche erhoben hat, weil sein Interesse gerade darin bestand, möglichst viele Personendaten zu sammeln, oder bei grossem Zeitaufwand aufgrund einer mangelhaften Organisation des Verantwortlichen.
Die Beteiligung darf jedoch maximal CHF 300.00 betragen. Zudem muss der Verantwortliche der betroffenen Person die Höhe der Beteiligung vor der Auskunftserteilung mitteilen. Wenn die betroffene Person das Gesuch nicht innerhalb von zehn Tagen bestätigt, so gilt es als ohne Kostenfolge als zurückgezogen. Die 30-tägige Frist zur Auskunftserteilung beginnt nach Ablauf der 10-tägigen Bedenkzeit zu laufen (Art. 19 Abs. 3 DSV).
Einschränkungen des Auskunftsrecht
Das Auskunftsrecht gilt nicht absolut. Das Gesetz regelt die Einschränkungen des Auskunftsrechtes in Art. 26 DSG und für Medienschaffende in Art. 27 DSG. Vorliegend von besonderer Bedeutung sind die Einschränkungsgründe nach Art. 26 DSG, weshalb nachfolgend lediglich auf diese näher eingegangen wird.
Art. 26 DSG regelt die Gründe für die Einschränkung des Auskunftsrechts abschliessend. Das bedeutet, dass ein Verantwortlicher sich grundsätzlich nur auf diese stützen kann. Bevor auf die einzelnen Tatbestände näher eingegangen wird, ist festzuhalten, dass alle Einschränkungsgründe eine Interessenabwägung im konkreten Einzelfall erfordern. Dabei sind die Interessen der betroffenen Person nicht bereits von Anfang an ein grösseres Gewicht beizumessen als jene der auskunftspflichtigen Person oder eines Dritten.
Gemäss Art. 26 DSG kann der Verantwortliche die Auskunft verweigern, einschränken oder aufschieben, soweit folgende Voraussetzungen gegeben sind.
Ein Gesetz im formellen Sinn sieht eine solche Einschränkung vor (Art. 26 Abs. 1 lit. a DSG).
Hier von Bedeutung sind vor allem Bundesgesetze mit Regelungen, die Geheimhaltungsvorschriften vorsehen. Als mögliche Beispiele könne die Berufsgeheimnisse wie bspw. von Rechtsanwälten, Notare, Ärzte oder das Post- und Fernmeldegeheimnis gemäss Art. 321 – 321ter StGB oder das Bankkundendatengeheimnis nach Art. 47 BankG genannt werden. Allerdings kann sich der Auskunftspflichtige nicht auf eine Einschränkung des Auskunftsrechts gestützt auf diese Grundlagen gegenüber der betroffenen Person berufen, soweit die Norm gerade den Zweck hat, die betroffene Person zu schützen. Weitere Geheimhaltungspflichten können sich aus dem Geschäfts- und Fabrikationsgeheimnis ergeben, wie sie bspw. für den Arbeitnehmer nach Art. 321e OR oder für den Beauftragten nach Art. 406g OR gelten.
Die Einschränkung ist wegen überwiegender Interessen Dritter erforderlich (Art. 26 Abs. 1 lit. b DSG).
Vorab festzuhalten ist, dass mit „Dritter“ nicht Personen gemeint sind, die zum Kreis der Empfänger der Personendaten gehören, welche der Auskunftspflichtige gegenüber dem Auskunftsberechtigten gerade mitteilen muss (vgl. obiger Punkt 3 lit. g). Ferner darf er bei der Auskunft auch nicht Personendaten über eine andere Person mitteilen, wenn er dadurch selbst eine Datenschutzverletzung begehen würde. So kann ein überwiegendes Interesse Dritter gegeben sein, wenn befürchtet werden muss, dass der Gesuchsteller beim Einblick in seine Daten zugleich auch Informationen über Drittpersonen erhält und dadurch die Datenschutzinteressen dieser Drittperson verletzt werden können. In diesem Fall müssen alle Personendaten dieser Drittperson in einer Weise geschwärzt oder abgedeckt werden, dass diese Drittperson nicht mehr identifizierbar ist. Wenn das Unkenntlich machen dieser Drittperson bspw. nicht möglich ist, muss gegebenenfalls eine Interessenabwägung vorgenommen werden, wobei der Auskunftspflichtige stets darauf zu achten hat, dass er dadurch keine unrechtmässige Datenbekanntgabe über einen Dritten vornimmt (so könnte er bspw. die Zustimmung des betroffenen Dritten einholen).
Ferner kann der Verantwortliche die Auskunft verweigern, einschränken oder aufschieben, sofern das Auskunftsgesuch offensichtlich unbegründet ist, namentlich wenn es einen datenschutzwidrigen Zweck verfolgt, oder offensichtlich querulatorisch ist (Art. 26 Abs. 1 lit. c DSG).
Einen datenschutzwidrigen Zweck wird verfolgt, wenn das Interesse an der Auskunft nicht datenschutzrechtlicher Natur ist (bspw. zur Überprüfung der korrekten Bearbeitung der Personendaten in Übereinstimmung mit den Datenschutzgrundsätzen) , sondern der wirkliche Zweck bspw. in der Beweisbeschaffung (sog. „fishing expedition“) zur Durchsetzung bspw. eines Anspruches aus dem Arbeitsrecht zufolge einer möglichen rechtsmissbräuchlichen Kündigung besteht und mittels eines datenschutzrechtlichen Auskunftsbegehrens an Beweismittel gelangt werden soll, welche im Klageverfahren der rechtsmissbräuchlichen Kündigung von der Beklagten nicht herausgegeben werden müssten, um dadurch die Gewinnchancen im Gerichtsverfahren zu erhöhen (vgl. dazu auch den Bundesgerichtsentscheid 4A_277/2020 vom 18. November 2020, welches dies nun klargestellt hat)
- Darüber hinaus ist es gemäss Art. 26 Abs. 2 DSG in den folgenden Fällen möglich, die Auskunft zu verweigern, einschränken oder aufschieben, wenn folgende Voraussetzungen erfüllt sind:
- Überwiegende Interessen des Verantwortlichen erfordern die Massnahme (Art. 26 Abs. 2 lit. a Ziff. 1 DSG).
- Der Verantwortliche gibt die Personendaten nicht Dritten bekannt (Art. 26 Abs. 2 lit. a Ziff. 2 DSG).
Mit Dritten sind hier echte Dritten im Sinne des Datenschutzgesetzes gemeint und nicht etwa Auftragsbearbeiter, welche die Personendaten im Auftrag und auf Anweisung der auskunftspflichtigen Person nach Art. 9 DSG bearbeiten. Ebenfalls nicht als Dritte gelten Bekanntgaben innerhalb derselben juristischen Person (wie bspw. Organe oder Arbeitnehmer) oder an Unternehmen, die zum selben Konzern gehören (Art. 26 Abs. 3 DSG).
Auch vorliegend hat der Auskunftspflichtige eine Interessenabwägung seiner Interessen gegenüber denjenigen des Auskunftsberechtigten vorzunehmen. Als mögliche überwiegende Interessen der auskunftspflichtigen Personen kommen hier in Frage: die Befürchtung von Wirtschaftsspionage, die Gefährdung oder Beeinträchtigung eigener Persönlichkeitsrechte wie gegebenenfalls auch überwiegende finanzielle Interessen je nach Beurteilung im Einzelfall, wenn dem Auskunftspflichtigen bspw. dadurch einen grossen Schaden entstehen könnte oder gar seine Existenz gefährdet wäre (BGE 135 III 425 E. 6.1.).
In jedem Fall hat der Verantwortliche anzugeben, aus welchem Grund er die Auskunft verweigert, einschränkt oder aufschiebt (Art. 26 Abs. 4 DSG). Dabei müssen gemäss Gesetz keine besonderen Formvorschriften eingehalten werden. Aus Beweisgründen und zur Beurteilung der Einschränkung auf ihre Gesetzmässigkeit hin, sowohl durch die betroffene Person als auch durch eine mögliche Gerichtsinstanz, sollte die Begründung schriftlich erfolgen.
Rechtsfolgen einer falschen Auskunft
Sofern die auskunftspflichtige Person vorsätzlich eine falsche Auskunft gibt, oder eine unvollständige Auskunft erteilt, kann sie auf Antrag mit Busse bis zu CHF 250‘000.00 bestraft werden (Art. 60 Abs. 1 lit. a DSG). Der Auskunftspflichtige sollte damit nie eine Vollständigkeitserklärung abgeben, da es selbst bei einer sorgfältigen Auskunftserteilung die Möglichkeit besteht, dass nicht über alle Personendaten im Unternehmen Auskunft erteilt wurde.
