Mit den heute vorhandenen Technologien ist es ohne grossen Aufwand möglich, Personendaten zu sammeln, zu ordnen, auszuwerten und zu verbreiten. Nicht nur im Internet, sondern auch in Unternehmungen und Verwaltungen entstehen damit riesige Datenmengen, die nach einer gezielten Auswertung rufen. Ziel dieses Vorgehens ist das Aufspüren von Regeln und Mustern bzw. statistischen Auffälligkeiten (Data Mining). Mit den gesammelten Daten lassen sich bspw. Gewohnheitsmuster, Kaufverhalten oder Kundenprofile erstellen. Damit werden neue Informationen über Personen geschaffen, die vor der Auswertung noch gar nicht existierten. Der Wert dieser erzeugten Personeninformationen kann für Unternehmungen, die individuell angepasste Werbebotschaften, Kaufempfehlungen oder dergleichen ihren Kunden zukommen lassen wollen, sehr hoch sein.
Den wirtschaftlichen Interessen dieser Unternehmungen steht der Schutz der Persönlichkeit der betroffenen Personen gegenüber. Gemäss geltendem Gesetz (Datenschutzgesetz [DSG] und Datenschutzverordnung [VDSG]) dürfen Personendaten nur bearbeitet werden, sofern diese rechtmässig beschafft wurden, die Bearbeitung nach Treu und Glauben erfolgt und verhältnismässig ist. Der Inhaber der Datensammlung ist verpflichtet, die betroffene Person über die Beschaffung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen aktiv zu informieren.
Privatpersonen müssen Datensammlungen beim Eidgenössischen Datenschutz- und Oeffentlichkeitsbeauftragten anmelden, wenn regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet werden, oder regelmässig Personendaten an Dritte bekannt gegeben werden. Diese Meldepflicht gilt selbst dann, wenn die betroffene Person über die Datenbearbeitung informiert ist. Die Datensammlungen müssen angemeldet werden, bevor sie eröffnet werden.
Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist. Die Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen ist nur mit ausdrücklicher Einwilligung der betroffenen Person zulässig. Wer Personendaten bearbeitet, hat sich über deren Richtigkeit zu vergewissern. Weiter müssen Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden.
Die Rechte der betroffenen Personen müssen gewahrt bleiben. Jede Person kann grundsätzlich vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob und welche Daten über sie bearbeitet werden und woher die Daten stammen. Sie hat ferner ein Recht auf Berichtigung und kann die Sperrung bzw. Löschung der Personendaten verlangen. Besonders schützenswerte Personendaten oder Persönlichkeitsprofile dürfen nicht ohne Einwilligung bzw. ohne Vorliegen eines gesetzlich vorgesehenen Rechtfertigungsgrundes Dritten bekannt gegeben werden.
Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet (der Datenschutzbeauftragte führt eine entsprechende Liste). Wer Personendaten (ohne Einwilligung der betroffenen Person im Einzelfall) in ein Land übermitteln will, in dem ein angemessener Datenschutz fehlt, muss den Datenschutzbeauftragten in der Regel über hinreichende (vertragliche) Schutzmassnahmen informieren. Werden Personendaten (rechtmässig) im Internet publiziert oder innerhalb von Konzerngesellschaften übermittelt, welche hinreichenden Datenschutzregeln unterstehen, so gilt dies nicht als Übermittlung ins Ausland.
Weitere Informationen: www.edoeb.admin.ch (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter).