Auskunftsbegehren muss jedes Unternehmen innert 30 Tagen und grundsätzlich kostenlos nachkommen. Dabei sind zahlreiche ablauftechnische und formaljuristische Vorgaben zu berücksichtigen.

Das Auskunftsrecht können auch Mitarbeitende gegenüber ihrem Arbeitgeber geltend machen.

Wer als Unternehmen nicht auf solche Auskunftsbegehren vorbereitet ist, kann Fristen verpassen oder formelle Fehler begehen. Beides kann aufwändige Nachbearbeitungen oder gar präjudizierende Konsequenzen zur Folge haben.

Die Digitale Gesellschaft Schweiz stellt einen kostenlosen Generator zur Erstellung von Datenauskunftsbegehren zur Verfügung.

Diese Mutationen müssen vom datenbearbeitenden Unternehmen kostenfrei erbracht werden. Hat das Unternehmen die betroffenen Personendaten an andere Datenbearbeiter weitergeleitet, muss es diese entsprechend informieren, damit die Daten auch in deren Beständen angepasst werden.

Kennt ein Unternehmen die Empfänger solcher personenbezogener Datensätze nicht oder nur unvollständig, hat es seine gesetzlichen Pflichten verletzt und muss möglicherweise mit Konsequenzen rechnen.

Jede Person kann die Nutzung ihrer eigenen Daten hinsichtlich der zeitlichen Verwendungsdauer (ab sofort, ab Datum) und des Sachbezugs (Zusenden von adressierter Werbung, Telefonanrufe, Kontaktaufnahme über E-Mail etc.) widerrufen, einschränken oder gänzlich verbieten lassen.

Solche Begehren müssen von den datenbearbeitenden Unternehmen kostenfrei erfüllt werden.

Jede Person kann verlangen, dass die über sie gespeicherten Daten gelöscht oder auf eine Sperrliste gesetzt werden. Dieses Recht ermöglicht den betroffenen Personen auch, die Weitergabe der eigenen Daten an Dritte einzuschränken oder gänzlich zu verbieten.

Die Erfüllung solcher Begehren müssen datenverarbeitende Unternehmen grundsätzlich kostenlos erbringen. Darüber hinaus müssen diese Firmen oder Vereine sicherstellen, dass die Löschung oder Sperrung allen Datenbearbeitern bekannt wird, an welche sie den betroffenen Datensatz zu einem früheren Zeitpunkt weitergeleitet haben.

Dieses Recht umfasst die Möglichkeit, sich die eigenen Daten – auch in elektronischer Form – übertragen zu lassen. Die Daten müssen vom datenbearbeitenden Unternehmen innert 30 Tagen und in der Regel kostenfrei übertragen respektive herausgegeben werden.

Wer als Unternehmen nicht auf solche Begehren vorbereitet ist, kann arg in Zeitnot geraten und mit technischen Hürden konfrontiert werden. Es empfiehlt sich deshalb, solche Begehren rechtzeitig zu simulieren und sowohl die organisatorischen als auch die technischen Zuständigkeiten festzulegen.

Darüber hinaus darf nicht vergessen werden, dass auch dieser Bearbeitungsvorgang protokolliert werden muss.

Wer der begründeten Meinung ist, dass seine Betroffenenrechte von einem Unternehmen oder einem Verein nicht ordentlich erfüllt würden, kann sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

Der EDÖB hat auf seiner Website ein Anzeigeformular für solche Beschwerden aufgeschaltet.

Treffen immer wieder Meldungen zum selben Unternehmen ein, wird der Datenschutzbeauftragte das betroffene Unternehmen kontaktieren und konkrete Fragen zum Umgang mit dem Schweizer Datenschutzgesetz und seiner betrieblichen Implementierung stellen.

Zahlreiche Alters- und Pflegeheime, medizinische Praxen, Reha-Kliniken und Spitex-Betriebe sind der Meinung, dass sie sich nie mit Betroffenenrechten werden befassen müssen – und falls doch, sei dies «ad hoc» zu lösen.

Leider gibt es Beispiele, die das Gegenteil beweisen. Insbesondere fehlende Zuständigkeiten, verpasste Termine oder eine fehlerhafte Behandlung von Betroffenenrechten können eine ungewollte Eigendynamik entwickeln und der Reputation eines Unternehmens nachhaltigen Schaden zufügen.