Art. 19 DSG — Informationspflicht bei der Beschaffung von Personendaten
Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
Er teilt der betroffenen Person bei der Beschaffung diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; er teilt ihr mindestens mit:
die Identität und die Kontaktdaten des Verantwortlichen;
den Bearbeitungszweck;
gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.
Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr zudem die Kategorien der bearbeiteten Personendaten mit.
Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mit.
Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr die Informationen nach den Absätzen 2–4 spätestens einen Monat, nachdem er die Daten erhalten hat, mit. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.
Funktion und Stellung im System des DSG
Art. 19 DSG verpflichtet den Verantwortlichen zu einer aktiven Information. Er muss von sich aus informieren und nicht erst, wenn die betroffene Person nachfragt ch-tg-supreme-court--rbog-2025-nr-10. Ausgelöst wird die Pflicht durch die Beschaffung von Personendaten. Sie gilt unabhängig davon, ob die Daten bei der betroffenen Person selbst oder bei einem Dritten beschafft werden a-3891-2025.
Nach dem Bundesverwaltungsgericht ergänzt Art. 19 Abs. 1 DSG den allgemeinen Transparenzgrundsatz a-2941-2024. Dieser verlangt, dass Daten nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden (Art. 6 Abs. 3 DSG) Art. 6 DSG. Das Bundesgericht hat zu Art. 18a aDSG festgehalten, die Information solle den Betroffenen ermöglichen, die Zulässigkeit der Beschaffung zu beurteilen. Sie diene damit dem PräventivschutzBGE 148 II 349.
Abs. 2 verwendet dieselbe Generalklausel wie das Auskunftsrecht in Art. 25 Abs. 2 DSG. Die Auskunft ist das nachgelagerte Gegenstück: Sie wird erst auf Verlangen erteilt und verweist für die Auslandsbekanntgabe ausdrücklich auf die Angaben nach Art. 19 Abs. 4 DSG Art. 25 DSG.
Auch die Einwilligung hängt von der Information ab. Sie ist nur gültig, wenn sie «nach angemessener Information» erteilt wird (Art. 6 Abs. 6 DSG) Art. 6 DSG. Eine mangelhafte Information nach Art. 19 DSG kann daher eine Einwilligung entwerten, auf die sich der Verantwortliche stützen will.
Für automatisierte Einzelentscheidungen gilt zusätzlich die eigene Informationspflicht nach Art. 21 DSG Art. 21 DSG.
Entstehung und zeitliche Geltung: Ausweitung gegenüber dem bisherigen Recht
Kern der Revision ist die Ausweitung der Pflicht. Nach Art. 14 aDSG mussten private Personen nur informieren, wenn sie besonders schützenswerte Personendaten oder Persönlichkeitsprofile beschafften. Bundesorgane waren nach Art. 18a aDSG schon bisher bei jeder Beschaffung informationspflichtig BBl 2017 6941. Nach der Botschaft gilt die Pflicht nun für alle Bearbeitungen durch private Verantwortliche, unter Vorbehalt einzelner Ausnahmen. Ziel ist eine generell bessere Transparenz BBl 2017 6941.
Wie gross dieser Schritt ist, zeigt der Vergleich gleichartiger Fälle:
Altes Recht: Die Beschwerdekammer in Strafsachen des Kantons Bern verneinte bei einem GPS-Tracker an einem Fahrzeug jede Informationspflicht. Das Bewegungsprofil eines Fahrzeugs enthalte weder besonders schützenswerte Personendaten noch sei es ein Persönlichkeitsprofil. Art. 34 aDSG sei daher offensichtlich nicht erfüllt BK 2017 358.
Neues Recht, Thurgau: Das Obergericht Thurgau sieht im Abruf von AirTag-Standortdaten eines fremden Fahrzeugs grundsätzlich eine Beschaffung, die Art. 19 DSG auslöst ch-tg-supreme-court--rbog-2025-nr-10.
Neues Recht, Freiburg: Das Kantonsgericht Freiburg bestätigte für einen GPS-Tracker am Fahrzeug des Bruders einen Schuldspruch nach Art. 19 Abs. 1 und 2 in Verbindung mit Art. 60 Abs. 1 lit. b DSG 501 2025 197.
Ältere Entscheide zur Informationspflicht Privater lassen sich deshalb nicht übertragen, soweit sie auf der früheren Beschränkung auf besonders schützenswerte Daten beruhen.
Im Parlament blieb der Entwurf des Bundesrates (Art. 17 E-DSG) im Kern unverändert:
«Angemessen» in Abs. 1: Der Nationalrat fügte das Wort ein AB 2019 N 1805.
Abs. 4: Eine Minderheit wollte die Information über die Auslandsbekanntgabe als zu detailliert und unverhältnismässig streichen. Sie unterlag mit 39 zu 157 Stimmen AB 2019 N 1805.
Abs. 2 lit. d und e: Der Ständerat ergänzte eine Liste der Rechte und einen Hinweis auf Bonitätsprüfungen AB 2019 S 1240. Der Nationalrat strich beides wieder AB 2020 N 140, und der Ständerat schloss sich an AB 2020 S 291.
Eine abstrakte Aufzählung der Betroffenenrechte gehört damit nicht zum gesetzlichen Mindestinhalt. Massgebend bleibt aber die Generalklausel von Abs. 2: Die Information muss es der betroffenen Person ermöglichen, ihre Rechte geltend zu machen.
Art. 19 DSG gilt seit dem 1. September 2023 unverändert. Die Übergangsbestimmung für laufende Bearbeitungen nimmt nur die Art. 7, 22 und 23 DSG aus. Auch dies gilt nur, wenn der Zweck unverändert bleibt und keine neuen Daten beschafft werden Art. 69 DSG. Art. 19 DSG ist nicht ausgenommen. Jede neue Beschaffung untersteht daher dem neuen Recht.
EDÖB-Untersuchungen, die bei Inkrafttreten hängig waren, richten sich hingegen nach bisherigem Recht (Art. 70 DSG) Art. 70 DSG:
Im Fall «Pfarrer-Check» wurde die Untersuchung erst nach dem Inkrafttreten eröffnet. Das Bundesverwaltungsgericht wandte deshalb das neue DSG an a-2941-2024.
Verpflichtete Person und Anwendungsbereich
Verpflichtet ist allein der Verantwortliche, also wer allein oder zusammen mit anderen über Zweck und Mittel der Bearbeitung entscheidet (Art. 5 lit. j DSG) Art. 5 DSG. Der Auftragsbearbeiter ist nicht selbst informationspflichtig. Nach dem erläuternden Bericht richtet sich Art. 13 DSV einzig an den Verantwortlichen. Dieser muss aber offenlegen, wenn Daten an einen Auftragsbearbeiter bekanntgegeben werden EDÖB Verordnung über den Datenschutz (Datenschutzverordnung, DSV) - Erläuternder Bericht. Das Kantonsgericht Wallis nennt Auftragsbearbeiter als Beispiel für Empfänger im Sinne von Abs. 2 lit. c P3 25 9.
Bearbeitungen der TX Group für Zwecke, die Ricardo bestimmt hatte, waren Auftragsbearbeitung.
Für die Bearbeitung zu eigenen und konzernweiten Zwecken war die TX Group selbst verantwortlich oder mitverantwortlich.
Der EDÖB beanstandete, dass diese Rollenverteilung aus der Datenschutzerklärung nicht klar hervorging.
Der Bericht betrifft noch altes Recht. Er zeigt aber, dass eine unklare Zuordnung der Verantwortlichkeit selbst ein Transparenzmangel ist.
Der Anwendungsbereich hat folgende Grenzen:
Nur natürliche Personen: Das DSG gilt nur für Personendaten natürlicher Personen (Art. 2 Abs. 1 DSG) Art. 2 DSG. Juristische Personen sind vom revidierten Gesetz und seinen Strafbestimmungen nicht mehr geschützt (HG220030; BK 2025 65).
Persönlicher Gebrauch: Ausgenommen sind Daten, die eine natürliche Person ausschliesslich zum persönlichen Gebrauch bearbeitet (Art. 2 Abs. 2 lit. a DSG) Art. 2 DSG. Das Kantonsgericht Wallis verneinte diese Ausnahme für eine Kamera an einer Gaststätte. Sie erfasste den Kundenparkplatz und damit Daten ausserhalb der Privatsphäre des Eigentümers P3 25 9.
Verfahren: In Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen geht das Verfahrensrecht vor. Für erstinstanzliche Verwaltungsverfahren gilt hingegen das DSG (Art. 2 Abs. 3 DSG) Art. 2 DSG.
Kantonale Organe: Für sie gilt kantonales Recht, im Kanton Waadt etwa Art. 13 LPrD ge-2026-0008.
Räumlicher Bereich: Das Gesetz erfasst Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Privatrechtliche Ansprüche richten sich nach dem IPRG (Art. 3 DSG) Art. 3 DSG.
Auslöser: der Begriff der Beschaffung
Beschaffen ist eine Form des Bearbeitens (Art. 5 lit. d DSG) Art. 5 DSG. Das Obergericht Thurgau versteht darunter die Tätigkeit, durch die jemand gewollt Kenntnis von den Daten erhält oder die Verfügung darüber begründet. Es verlangt «ein aktives, gezieltes Vorgehen des Verantwortlichen», das «eine gewisse Planmässigkeit» erfordert ch-tg-supreme-court--rbog-2025-nr-10. Nach dieser Umschreibung löst die bloss zufällige Kenntnisnahme die Pflicht nicht aus, der gezielte Abruf hingegen schon.
Im Thurgauer Fall genügte der Abruf über die «Wo ist?»-Funktion. Die Standortdaten waren Personendaten des Beschwerdeführers, weil das Fahrzeug verdachtsweise ausschliesslich von ihm benutzt wurde ch-tg-supreme-court--rbog-2025-nr-10.
Erfasst ist auch die Beschaffung bei Dritten. Das Bundesverwaltungsgericht wandte dies auf ein Inkassounternehmen an, das Daten angeblicher Schuldner überwiegend bei Dritten beschaffte und veröffentlichte. Dass die Betroffenen nachträglich reagieren konnten, ersetzte die Information nicht a-3891-2025.
Inhalt der Information: Generalklausel und Mindestangaben
Abs. 2 hat zwei Ebenen. Die Generalklausel verlangt diejenigen Informationen, die erforderlich sind, damit die betroffene Person ihre Rechte geltend machen kann und die Bearbeitung transparent ist. Die Liste in lit. a–c nennt den Mindestinhalt:
Identität und Kontaktdaten des Verantwortlichen,
Bearbeitungszweck,
gegebenenfalls Empfänger oder Kategorien von Empfängern.
Weitere Angaben sind deshalb geschuldet, wenn der konkrete Fall sie für die Transparenz verlangt. Die Botschaft hebt bei den Empfängern die Kategorien hervor BBl 2017 6941. Das Gesetz lässt wahlweise die Nennung einzelner Empfänger oder von Kategorien genügen.
Massstab ist nach der Rechtsprechung die tatsächlich vorgenommene Bearbeitung. Dazu zwei Fälle:
«Pfarrer-Check»: Ein Verein hatte Pfarrpersonen per E-Mail einen Fragebogen zugestellt und mitgeteilt, die Antworten würden publiziert. Für weitere Informationen verwies er auf seine Website. Das Bundesverwaltungsgericht beanstandete zweierlei. Der Verweis auf die Internetseite genügte nicht, um eine transparente Bearbeitung zu gewährleisten. Zudem war für die Betroffenen nicht erkennbar, dass ihre Daten auch dann publiziert würden, wenn sie den Fragebogen nicht ausfüllten a-2941-2024. Die Information war also gerade über die Bearbeitung unvollständig, die für die Betroffenen am einschneidendsten war.
Ricardo: Der EDÖB verlangte, dass die Datenschutzerklärung erkennen lässt, zu welchen Zwecken welche Personendaten bearbeitet werden und welche Plattformen am Tracking beteiligt sind. Sie müsse zudem die tatsächlich durchgeführten Bearbeitungen wiedergeben EDÖB Schlussbericht vom 11. April 2024 i.S. Ricardo AG und TX Group AG (geschwärzt).
Wie «angemessen» die Information sein muss, hängt nach der kantonalen Rechtsprechung vom Kontext ab. Das Kantonsgericht Wallis prüfte eine Videoüberwachung am Massstab von Art. 19 Abs. 2 DSG. Ein Hinweisschild an der Eingangstür genügte, obwohl es weder den Zweck noch den Verantwortlichen nannte. Der Zweck war für jeden Benutzer eines Gaststättenparkplatzes klar erkennbar, und als Verantwortlicher kam offensichtlich nur der Eigentümer in Frage P3 25 9. Die Begründung steht der Ausnahme nach Art. 20 Abs. 1 lit. a DSG nahe (betroffene Person verfügt bereits über die Informationen) Art. 20 DSG. Sie ist aber als Einzelfallwertung eines kantonalen Gerichts zu lesen. Sie ist kein Freibrief, auf die Mindestangaben generell zu verzichten.
Form: präzise, verständlich, leicht zugänglich
Nach Art. 13 DSV ist die Information «in präziser, transparenter, verständlicher und leicht zugänglicher Form» mitzuteilen Art. 13 DSV. Eine bestimmte Form schreibt das Gesetz nicht vor. Die Botschaft hält fest, die Information könne «in einfacher, standardisierter Weise erfolgen» BBl 2017 6941.
Die betroffene Person soll die wesentlichen Angaben auf der ersten Kommunikationsstufe erhalten.
Weitere Angaben können in einer gegliederten Übersicht verfügbar sein.
Piktogramme wurden aus dem Entwurf gestrichen, weil die Wirtschaft sie in der verlangten Form nicht hätte umsetzen können.
Der EDÖB empfahl im Fall Ricardo einen mehrstufigen Ansatz: Auf der obersten Ebene steht eine knappe Übersicht, über einen Link gelangt man zur ausführlichen Erklärung. Die Datenschutzerklärung müsse leicht auffindbar, nachvollziehbar und übersichtlich sein EDÖB Schlussbericht vom 11. April 2024 i.S. Ricardo AG und TX Group AG (geschwärzt). Mit dem «Pfarrer-Check»-Urteil lässt sich dies so verbinden: Ein Link auf weiterführende Informationen ist zulässig, wenn die erste Stufe die wesentlichen Angaben selbst enthält. Ein Link genügt aber nicht, wenn er die Information über einschneidende Bearbeitungen ersetzen soll a-2941-2024.
Beschaffung bei Dritten: Datenkategorien und Monatsfrist
Werden die Daten nicht bei der betroffenen Person beschafft, verschärft das Gesetz die Pflicht in zwei Richtungen:
Inhalt: Zusätzlich sind die Kategorien der bearbeiteten Personendaten mitzuteilen (Abs. 3). Die betroffene Person weiss hier nicht aus eigener Mitwirkung, welche Daten erhoben wurden a-2941-2024.
Zeitpunkt: Die Information ist spätestens einen Monat nach Erhalt der Daten zu erteilen. Werden die Daten vorher bekanntgegeben, spätestens im Zeitpunkt der Bekanntgabe (Abs. 5).
Das Bundesverwaltungsgericht hat die Monatsfrist im Inkassofall angewandt. Die Betroffenen hätten spätestens einen Monat nach Erhalt der Daten die nötigen Informationen erhalten müssen. Eine Ausnahme nach Art. 20 DSG lag nicht vor a-3891-2025. Die Regel über die vorzeitige Bekanntgabe ist in diesem Fall besonders bedeutsam: Wer Daten veröffentlicht, muss spätestens bei der Veröffentlichung informieren. Die Monatsfrist darf er nicht ausschöpfen.
Die Botschaft nennt die Monatsfrist für die Drittbeschaffung, ohne den Fristbeginn näher zu erläutern BBl 2017 6941. Im Nationalrat beantragte eine Minderheit, die Frist nur auf die Angaben nach Abs. 2 und 3 zu beziehen. Folgerichtig zu ihrem Antrag auf Streichung von Abs. 4 unterlag sie AB 2019 N 1805. Die Frist gilt deshalb auch für die Angaben zur Auslandsbekanntgabe.
Für kantonale Organe sieht das kantonale Recht eigene Zeitpunkte vor. Das Waadtländer Recht verlangt bei Drittbeschaffung eine schriftliche Information spätestens bei der Erfassung der Daten ge-2026-0008. Das Waadtländer Verwaltungsgericht folgerte daraus, die Information müsse nicht vor der Beschaffung erfolgen, sondern könne aufgeschoben werden ge-2014-0110.
Bekanntgabe ins Ausland
Werden Personendaten ins Ausland bekanntgegeben, sind nach Abs. 4 zusätzlich anzugeben:
der Staat oder das internationale Organ,
gegebenenfalls die Garantien nach Art. 16 Abs. 2 DSG oder die Anwendung einer Ausnahme nach Art. 17 DSG.
Die Botschaft betont, die betroffene Person müsse insbesondere den Namen des Drittstaats kennen BBl 2017 6941. Der Antrag, diesen Absatz als unverhältnismässig zu streichen, scheiterte im Nationalrat deutlich AB 2019 N 1805.
Die Systematik ergibt sich aus Art. 16 und 17 DSG. Ohne Angemessenheitsentscheid des Bundesrates ist die Bekanntgabe nur bei geeigneten Garantien zulässig, etwa bei Standarddatenschutzklauseln oder verbindlichen unternehmensinternen Datenschutzvorschriften Art. 16 DSG. Andernfalls braucht es einen Ausnahmetatbestand, etwa eine ausdrückliche Einwilligung oder einen unmittelbaren Zusammenhang mit einem Vertrag Art. 17 DSG. Die Angaben nach Abs. 4 müssen deshalb zur gewählten Rechtsgrundlage passen. Ist der Staat durch Bundesratsentscheid als angemessen anerkannt, genügt nach dem Wortlaut die Nennung des Staates, denn Garantien und Ausnahmen sind nur «gegebenenfalls» mitzuteilen.
Für die USA verlangt der EDÖB zusätzliche Garantien nach Art. 16 Abs. 2 DSG, solange kein Angemessenheitsentscheid greift EDÖB 31. Tätigkeitsbericht 2023/2024. In solchen Fällen sind die Garantien folglich anzugeben.
Ausnahmen und Einschränkungen (Art. 20 DSG)
Art. 20 DSG unterscheidet zwei Arten von Tatbeständen Art. 20 DSG.
Die Pflicht entfällt (Abs. 1 und 2), wenn
die betroffene Person bereits über die Informationen verfügt,
die Bearbeitung gesetzlich vorgesehen ist,
der private Verantwortliche gesetzlich zur Geheimhaltung verpflichtet ist,
die Voraussetzungen von Art. 27 DSG erfüllt sind.
Bei Drittbeschaffung entfällt sie zudem, wenn die Information nicht möglich ist oder einen unverhältnismässigen Aufwand erfordert.
Der Verantwortliche kann die Information einschränken, aufschieben oder darauf verzichten (Abs. 3), wenn
überwiegende Interessen Dritter dies erfordern,
die Information den Zweck der Bearbeitung vereiteln würde,
bei Privaten: überwiegende eigene Interessen bestehen und die Daten nicht Dritten bekanntgegeben werden; Konzerngesellschaften gelten dabei nicht als Dritte (Abs. 4),
bei Bundesorganen: überwiegende öffentliche Interessen dies erfordern oder ein Verfahren gefährdet wäre.
Die Entstehung zeigt, wie eng der Gesetzgeber die Ausnahmen fassen wollte. Der Nationalrat hatte die Ausnahme des unverhältnismässigen Aufwands auch auf die direkte Beschaffung erstrecken wollen. Er gab dies in der Differenzbereinigung auf, weil Entwurf und europäisches Recht sie nur bei Drittbeschaffung zulassen. Beim Gruppenprivileg setzte sich ein Kompromiss des Ständerats durch AB 2020 N 140. Der Wortlaut beschränkt den unverhältnismässigen Aufwand deshalb bewusst auf Abs. 2.
Zur gesetzlich vorgesehenen Bearbeitung liegt ein Leitentscheid des Bundesgerichts zum alten Recht vor (Art. 18a Abs. 4 lit. a aDSG). Bei der Amtshilfe in Steuersachen regelt das StAhiG ausdrücklich die Übermittlung von Daten Dritter und deren Information. Die allgemeine vorgängige Informationspflicht nach dem DSG entfällt deshalb. Das Bundesgericht behielt aber vor, dass bei besonders schützenswerten Daten im Einzelfall eine vorgängige Information geboten sein kann BGE 148 II 349. Daraus folgt für Art. 20 Abs. 1 lit. b DSG: Die Spezialnorm muss die Bearbeitung hinreichend bestimmt vorsehen. Bei besonders sensiblen Daten bleibt eine Einzelfallprüfung vorbehalten. Diese Übertragung stützt sich auf einen Entscheid zum alten Recht.
Dass eine Ausnahme nicht leichthin angenommen wird, zeigt die Rechtsprechung des Bundesverwaltungsgerichts zur FINMA. Für die eigenen Daten des Beschwerdeführers war keine Einschränkung nach Art. 18b aDSG ersichtlich. Die unterbliebene Information war rechtswidrig 2024iv-2.
Zum Aufschub bei überwiegenden Interessen gibt es einen kantonalen Anwendungsfall. Das Waadtländer Verwaltungsgericht anerkannte unter kantonalem Recht: Eine Gemeinde, die einen Vertragsschluss erwog, durfte über eine Detektei Daten über den künftigen Vertragspartner zunächst ohne dessen Wissen beschaffen. Sie informierte ihn später über den Zweck und ergänzte die Angaben auf sein Gesuch hin ge-2014-0110. Der Entscheid zeigt die Logik des Aufschubs: Die Information wird nachgeholt und nicht endgültig unterlassen.
Wie streng der Massstab an solche Vorbehalte ist, zeigt ein Entscheid des Bundesgerichts zum kantonalen Polizeirecht. Es hob eine Norm auf, nach der die nachträgliche Mitteilung einer präventiven verdeckten Fahndung pauschal aufgeschoben oder unterlassen werden konnte, «wenn dies zum Schutz überwiegender öffentlicher oder privater Interessen notwendig ist». Die Mitteilung sei Voraussetzung des Rechtsschutzes 1C_39/2021. Der Entscheid betrifft nicht das DSG. Er stützt aber analog, dass ein Verzicht nach Art. 20 Abs. 3 DSG konkret begründete Interessen voraussetzt.
Strafrechtlich gilt: Wer gestützt auf Art. 20 DSG berechtigterweise von einer Information absieht, macht sich nicht strafbar ch-tg-supreme-court--rbog-2025-nr-10. Die Ausnahmen sind deshalb schon bei der Beurteilung des Tatbestands zu prüfen. Im Thurgauer Fall musste das Verfahren mangels Abklärungen zu Art. 20 Abs. 1 und 3 lit. a–c DSG an die Staatsanwaltschaft zurückgewiesen werden ch-tg-supreme-court--rbog-2025-nr-10.
Erkennbarkeit bei Videoüberwachung und verdeckter Beschaffung
Ein wichtiges Anwendungsfeld ist die private Videoüberwachung. Die Rechtsprechung entwickelte sich hier am Erkennbarkeitsgrundsatz (Art. 4 Abs. 4 aDSG, heute Art. 6 Abs. 3 DSG) und verbindet ihn heute mit Art. 19 DSG.
Zeitpunkt der Information: Nach dem Bundesgericht müssen Personen informiert sein, bevor sie das Sichtfeld der Kamera betreten. Im konkreten Fall genügten Kleber, die bloss «von aussen» sichtbar waren, nicht ohne weitere Abklärungen. Das Bundesgericht wies die Sache zur Ergänzung des Sachverhalts zurück 6B_768/2022. Diesen Massstab übernahm das Kantonsgericht Wallis unter neuem Recht. Es ergänzte ihn um die Mindestangaben nach Art. 19 Abs. 2 DSG P3 25 9. Die Erkennbarkeit ist eine Tatfrage, die abgeklärt werden muss. Die Genfer Beschwerdekammer wies deshalb eine Sache zurück, damit geprüft werde, ob die Überwachung für die Benutzer «reconnaissable, visible, apparente et suffisamment discernable» sei ACPR/685/2023.
Nicht erkennbare Aufzeichnung: Eine fortlaufende Dashcam-Aufzeichnung ist nach dem Bundesgericht für die Betroffenen nicht erkennbar. Sie war ohne Rechtfertigung widerrechtlich. Die Aufnahmen waren im Strafverfahren nach Interessenabwägung nicht verwertbar BGE 147 IV 16.
Rechtfertigung trotz Transparenzmangel: Mehrere Entscheide lassen die Erkennbarkeit offen, weil ein überwiegendes Interesse die Bearbeitung jedenfalls rechtfertigt:
Bei einer Bancomat-Kamera bejahte das Bundesgericht ein Sicherheitsinteresse an der Verhinderung und Aufklärung von Straftaten 7B_797/2023.
Die Beschwerdekammer Bern bejahte eine Rechtfertigung bei einer anlassbezogenen Überwachung des eigenen Parkplatzes nach wiederholten Beschädigungen. Entscheidend waren die Beschränkung auf das Notwendige und eine Aufnahmedauer von zunächst 34 Minuten pro Tag. Das Gericht betonte, Rechtfertigungsgründe bei Verstössen gegen die Bearbeitungsgrundsätze seien nur mit grosser Zurückhaltung zu bejahen BK 2021 532.
Verdeckte Überwachung im Arbeitsverhältnis: Nach dem Bundesgericht deckt der allgemeine Hinweis auf mögliche Kontrollen den verdeckten Einsatz einer Spionagesoftware nicht. Der Arbeitnehmer war zwar über die Möglichkeit von Kontrollen informiert worden, «ma certamente non delle modalità invasive e sproporzionate» (aber sicher nicht über die invasiven und unverhältnismässigen Modalitäten). Das Gutachten war unverwertbar, und die Kündigung fiel dahin BGE 139 II 7. Der Entscheid stützt sich auf das Arbeitsrecht (Art. 26 ArGV 3) und das öffentliche Personalrecht. Für Art. 19 DSG folgt daraus sinngemäss: Die Information muss die konkrete Art der Bearbeitung erfassen.
In dieselbe Richtung geht ein Genfer Entscheid nach kantonalem Recht. Badge-Daten, die nach dem Hinweis «en cas de soupçon de malversation» (bei Verdacht auf Verfehlungen) erhoben wurden, durften nicht zur Arbeitszeitkontrolle verwendet werden. Der Zweck war nicht erkennbar, und die Daten waren zu vernichten ATA/1316/2024. Im privaten Arbeitsverhältnis verweist Art. 328b OR im Übrigen auf das DSG Art. 328b OR.
Folgen einer Verletzung
Zivilrechtlicher Persönlichkeitsschutz
Eine Persönlichkeitsverletzung liegt insbesondere vor, wenn Personendaten entgegen den Grundsätzen von Art. 6 DSG bearbeitet werden (Art. 30 Abs. 2 lit. a DSG) Art. 30 DSG. Sie ist widerrechtlich, wenn sie nicht durch Einwilligung, überwiegendes privates oder öffentliches Interesse oder Gesetz gerechtfertigt ist (Art. 31 Abs. 1 DSG) Art. 31 DSG. Die Klagen richten sich nach Art. 28 ff. ZGB. Verlangt werden kann namentlich, dass eine Bearbeitung verboten wird oder Daten gelöscht werden (Art. 32 Abs. 2 DSG) Art. 32 DSG.
Art. 30 Abs. 2 lit. a DSG nennt Art. 19 DSG nicht ausdrücklich. Ein Informationsmangel lässt sich aber über den Transparenzgrundsatz erfassen. Im Inkassofall stützte das Bundesverwaltungsgericht die Persönlichkeitsverletzung bereits auf Art. 6 Abs. 3 DSG. Ob zusätzlich Art. 19 DSG verletzt war, liess es offen a-3891-2025. Eine Rechtfertigung ist bei Verstössen gegen die Bearbeitungsgrundsätze nicht ausgeschlossen. Sie darf aber nur mit grosser Zurückhaltung bejaht werden. Im Fall Logistep genügten weder das wirtschaftliche Interesse noch das Interesse an der Bekämpfung von Urheberrechtsverletzungen, um die verdeckte Erhebung von IP-Adressen zu rechtfertigen BGE 136 II 508. Zu den Fällen der Videoüberwachung, in denen eine Rechtfertigung bejaht wurde, siehe den Abschnitt zur Erkennbarkeit bei Videoüberwachung und verdeckter Beschaffung.
Ein Informationsmangel führt nicht automatisch zur Löschung. Gegenüber der FINMA stellte das Bundesverwaltungsgericht fest, die unterbliebene Information sei rechtswidrig. Die Löschung des Eintrags verweigerte es dennoch, weil die Bearbeitung im Übrigen zulässig war 2024iv-2. Ob der Mangel eine Löschung rechtfertigt, hängt also davon ab, ob die Bearbeitung auch materiell unzulässig ist.
Aufsicht durch den EDÖB
Der EDÖB eröffnet eine Untersuchung von Amtes wegen oder auf Anzeige, wenn genügend Anzeichen für einen Verstoss bestehen. Bei Verletzungen von geringfügiger Bedeutung kann er davon absehen (Art. 49 Abs. 1 und 2 DSG) Art. 49 DSG. Er kann insbesondere anordnen, dass der Verantwortliche die betroffenen Personen nach Art. 19 DSG informiert (Art. 51 Abs. 3 lit. c DSG). Hat der Verantwortliche während der Untersuchung die nötigen Massnahmen getroffen, kann sich der EDÖB auf eine Verwarnung beschränken (Art. 51 Abs. 5 DSG) Art. 51 DSG. In den beiden Urteilen des Bundesverwaltungsgerichts zum neuen Recht diente der Transparenzmangel als Begründung für weitergehende Massnahmen: Unterlassung der Publikation und Löschung der Daten (a-3891-2025; a-2941-2024).
Strafbarkeit
Private Personen werden auf Antrag mit Busse bis zu 250 000 Franken bestraft, wenn sie es vorsätzlich unterlassen, nach Art. 19 Abs. 1 DSG zu informieren oder die Angaben nach Art. 19 Abs. 2 DSG zu liefern. Strafbar ist auch, wer vorsätzlich eine falsche oder unvollständige Auskunft erteilt (Art. 60 Abs. 1 DSG) Art. 60 DSG. Der Unterlassungstatbestand nennt ausdrücklich nur Abs. 1 und 2. Die zusätzlichen Angaben nach Abs. 3 und 4 sowie die Frist nach Abs. 5 sind dort nicht aufgeführt. Bundesorgane sind nicht erfasst.
Die Genfer Beschwerdekammer betont den Vorsatz und das Antragserfordernis ACPR/239/2025. Juristische Personen sind nicht antragsberechtigt, da sie nicht mehr geschützt sind BK 2025 65. Zum Ausschluss der Strafbarkeit bei berechtigtem Verzicht nach Art. 20 DSG siehe den Abschnitt zu den Ausnahmen.
Das Kantonsgericht Freiburg bestätigte einen Schuldspruch wegen eines während einiger Tage angebrachten GPS-Trackers. Es setzte die Busse aber von 20 000 auf 4 000 Franken herab. Massgebend war, dass Verletzung und Folgen begrenzt blieben und es sich um eine einmalige Tat handelte 501 2025 197.
Weitere Regeln:
Geschäftsbetriebe: Für Widerhandlungen in Geschäftsbetrieben gelten Art. 6 und 7 VStrR. Bei Bussen bis 50 000 Franken kann anstelle der verantwortlichen Personen der Betrieb verurteilt werden (Art. 64 DSG) Art. 64 DSG.
Zuständigkeit: Verfolgung und Beurteilung obliegen den Kantonen. Der EDÖB kann Anzeige erstatten und die Rechte einer Privatklägerschaft wahrnehmen (Art. 65 DSG) Art. 65 DSG.
Verjährung: Die Strafverfolgung verjährt nach fünf Jahren (Art. 66 DSG) Art. 66 DSG.
Hinweise für die Praxis
Rollen klären: Vorab ist zu bestimmen, wer Verantwortlicher ist. Bei Konzernsachverhalten ist die Rollenverteilung in der Information offenzulegen.
Information an der tatsächlichen Bearbeitung ausrichten: Insbesondere einschneidende Bearbeitungen wie eine Veröffentlichung sind auf der ersten Stufe ausdrücklich zu nennen. Ein blosser Verweis auf eine Website reicht dafür nicht.
Drittbeschaffung: Datenkategorien nennen. Die Monatsfrist überwachen und spätestens im Zeitpunkt einer früheren Bekanntgabe informieren.
Auslandsbekanntgabe: Staat und je nach Rechtsgrundlage die Garantien oder die Ausnahme angeben.
Ausnahmen dokumentieren: Wer sich auf Art. 20 DSG stützt, sollte die konkreten Interessen festhalten. Davon hängt die zivil-, aufsichts- und strafrechtliche Beurteilung ab.
Videoüberwachung: Hinweise so anbringen, dass sie vor dem Betreten des Erfassungsbereichs wahrnehmbar sind.
Funktion und Stellung im System des DSG
Art. 19 DSG verpflichtet den Verantwortlichen zu einer aktiven Information. Er muss von sich aus informieren und nicht erst, wenn die betroffene Person nachfragt ch-tg-supreme-court--rbog-2025-nr-10. Ausgelöst wird die Pflicht durch die Beschaffung von Personendaten. Sie gilt unabhängig davon, ob die Daten bei der betroffenen Person selbst oder bei einem Dritten beschafft werden a-3891-2025.
Nach dem Bundesverwaltungsgericht ergänzt Art. 19 Abs. 1 DSG den allgemeinen Transparenzgrundsatz a-2941-2024. Dieser verlangt, dass Daten nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden (Art. 6 Abs. 3 DSG) Art. 6 DSG. Das Bundesgericht hat zu Art. 18a aDSG festgehalten, die Information solle den Betroffenen ermöglichen, die Zulässigkeit der Beschaffung zu beurteilen. Sie diene damit dem Präventivschutz BGE 148 II 349.
Abs. 2 verwendet dieselbe Generalklausel wie das Auskunftsrecht in Art. 25 Abs. 2 DSG. Die Auskunft ist das nachgelagerte Gegenstück: Sie wird erst auf Verlangen erteilt und verweist für die Auslandsbekanntgabe ausdrücklich auf die Angaben nach Art. 19 Abs. 4 DSG Art. 25 DSG.
Auch die Einwilligung hängt von der Information ab. Sie ist nur gültig, wenn sie «nach angemessener Information» erteilt wird (Art. 6 Abs. 6 DSG) Art. 6 DSG. Eine mangelhafte Information nach Art. 19 DSG kann daher eine Einwilligung entwerten, auf die sich der Verantwortliche stützen will.
Für automatisierte Einzelentscheidungen gilt zusätzlich die eigene Informationspflicht nach Art. 21 DSG Art. 21 DSG.
Entstehung und zeitliche Geltung: Ausweitung gegenüber dem bisherigen Recht