Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03111.jsonl.gz/2614

Persönlichkeitsverletzungen
Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen (DSG Art. 30). Das wäre dann der Fall, wenn Grundsätze des DSG nicht beachtet werden, Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden oder Dritten besonders schützenswerte Personendaten bekannt gegeben werden. Eine Persönlichkeitsverletzung gilt als widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist (DSG Art. 31).
Ein überwiegendes Interesse des Verantwortlichen besteht gegenüber volljährigen Personen, wenn der Verantwortliche die Personendaten über einen Vertragspartner in unmittelbarem Zusammenhang mit einem Vertrag bearbeitet und/oder mit einer Person in wirtschaftlichem Wettbewerb steht.
Personendaten zur Prüfung der Kreditwürdigkeit darf man sammeln, sofern es sich nicht um besonders schützenswerte Personendaten oder ein Profiling mit hohem Risiko handelt und die Daten nicht älter als zehn Jahre sind. Diese Daten darf man Dritten nur bekannt geben, wenn diese sie für den Abschluss oder die Abwicklung eines Vertrags mit der betroffenen Person benötigen.
Die betroffene Person kann verlangen, dass unrichtige Personendaten berichtigt werden (DSG Art. 32), ausser wenn eine gesetzliche Vorschrift die Änderung verbietet. Für Klagen zum Schutz der Persönlichkeit gelten die Artikel 28, 28a sowie 28g–28l ZGB.
Die klagende Partei kann insbesondere verlangen, dass:
- eine bestimmte Datenbearbeitung verboten wird
- eine bestimmte Bekanntgabe von Personendaten an Dritte untersagt wird
- Personendaten gelöscht oder vernichtet werden.
Folgenabschätzung ist Pflicht
Die Unternehmen müssen eine Datenschutz-Folgenabschätzung vornehmen, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann (DSG Art. 22). Das hohe Risiko ergibt sich zum Beispiel bei Verwendung neuer Technologien, bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten oder wenn systematisch umfangreiche öffentliche Bereiche überwacht werden.
Die Datenschutz-Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Personen sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte.
Von der Erstellung einer Datenschutz-Folgenabschätzung ausgenommen sind private Verantwortliche, wenn sie gesetzlich zur Bearbeitung der Daten verpflichtet sind oder wenn sie ein zertifiziertes System (DSG Art. 13) verwenden oder
einen Verhaltenskodex befolgen.
Die Datenschutz-Folgenabschätzung, abgekürzt DSFA, sollte folgende Elemente enthalten. Dabei kann man sich an Ar-tikel 35 der Datenschutz-Grundverordnung der EU orientieren:
- Systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschliesslich der von dem Verantwortlichen verfolgten berechtigten Interessen
- Bewertung der Notwendigkeit und Verhältnismässigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck
- Eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die zur Bewältigung der Risiken geplanten Abhilfemassnahmen
- Der Verantwortliche holt wenn nötig den Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung ein.
- Bei Änderungen von Verarbeitungsvorgängen führt der Verantwortliche eine Überprüfung durch, um zu bewerten, ob die Verarbeitung gemäss der DSFA durchgeführt wird.
Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung trotz Sicherheitsmassnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, so muss der Verantwortliche vorher die Stellungnahme des EDÖB einholen (DSG Art. 23).