Automatisierte Einzelentscheidung In Kraft
Wesentliche Fakten
| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Artikel 21 DSG regelt die automatisierte Einzelentscheidung; das Datenschutzgesetz vom 25. September 2020 ist seit dem 1. September 2023 in Kraft. |
| Definition | Eine automatisierte Einzelentscheidung beruht ausschliesslich auf einer automatisierten Bearbeitung und ist mit einer Rechtsfolge verbunden oder beeinträchtigt die betroffene Person erheblich. |
| Informationspflicht | Der Verantwortliche informiert die betroffene Person über die automatisierte Einzelentscheidung (Art. 21 Abs. 1 DSG). |
| Standpunkt darlegen | Auf Antrag gibt der Verantwortliche der betroffenen Person die Möglichkeit, ihren Standpunkt darzulegen (Art. 21 Abs. 2 DSG). |
| Überprüfung durch eine natürliche Person | Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird (Art. 21 Abs. 2 DSG). |
| Ausnahme Vertrag | Die Pflichten entfallen, wenn die Entscheidung in unmittelbarem Zusammenhang mit Abschluss oder Abwicklung eines Vertrags steht und dem Begehren der betroffenen Person stattgegeben wird (Art. 21 Abs. 3 Bst. a DSG). |
| Ausnahme Einwilligung | Die Pflichten entfallen, wenn die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt (Art. 21 Abs. 3 Bst. b DSG). |
| Bundesorgane | Ergeht die Entscheidung durch ein Bundesorgan, muss dieses sie entsprechend kennzeichnen (Art. 21 Abs. 4 DSG). |
| Ausnahme im Verwaltungsverfahren | Das Recht auf Anhörung und Überprüfung entfällt, wenn die Partei nach Artikel 30 Absatz 2 VwVG vor der Verfügung nicht angehört werden muss. |
| Auskunft über die Logik | Im Rahmen des Auskunftsrechts sind gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung und die Logik, auf der sie beruht, mitzuteilen (Art. 25 Abs. 2 Bst. f DSG). |
| Auskunftsfrist | Die Auskunft ist innerhalb von 30 Tagen seit Eingang des Begehrens zu erteilen (Art. 18 DSV). |
| Sanktion | Wer die Information nach Artikel 21 Absatz 1 DSG vorsätzlich unterlässt, wird auf Antrag mit Busse bis zu 250 000 Franken bestraft (Art. 60 Abs. 1 DSG). |
Was eine automatisierte Einzelentscheidung ist
Artikel 21 des Datenschutzgesetzes (DSG) regelt eine besondere Konstellation: Eine Entscheidung ergeht ausschliesslich gestützt auf eine automatisierte Bearbeitung von Personendaten und ist für die betroffene Person mit einer Rechtsfolge verbunden oder beeinträchtigt sie erheblich. Beide Merkmale müssen zusammentreffen.
«Ausschliesslich automatisiert» heisst, dass keine natürliche Person die Entscheidung inhaltlich mitträgt. Ein Mitarbeitender, der ein Systemergebnis bloss abtippt, weiterleitet oder formal bestätigt, macht aus der Entscheidung keine menschliche. Entscheidend ist, ob eine natürliche Person den Sachverhalt tatsächlich würdigt und über einen eigenen Entscheidungsspielraum verfügt. Fehlt dieser Spielraum, bleibt es bei einer automatisierten Einzelentscheidung.
Die Rechtsfolge erfasst Entscheidungen, die die Rechtsstellung der betroffenen Person verändern: die Ablehnung eines Vertragsschlusses, die Beendigung eines Vertragsverhältnisses, die Verweigerung einer Leistung. Die erhebliche Beeinträchtigung geht darüber hinaus und erfasst faktische Nachteile von einigem Gewicht, etwa die automatische Sperrung eines Kontos, die Aussortierung einer Bewerbung oder eine Preisgestaltung, die den Zugang zu einer Leistung praktisch verschliesst. Geringfügige Unannehmlichkeiten genügen nicht.
Kein Verbot, sondern eine Informations- und Mitwirkungspflicht
Hier unterscheidet sich das schweizerische Recht deutlich von der europäischen Regelung. Das DSG verbietet automatisierte Einzelentscheidungen nicht. Es knüpft an sie vielmehr Transparenz- und Mitwirkungsrechte. Wer im Geltungsbereich des DSG automatisiert entscheidet, braucht dafür keine besondere Rechtfertigung, muss aber die betroffene Person informieren und ihr auf Verlangen den Zugang zu einer natürlichen Person eröffnen.
Nach Artikel 21 Absatz 1 DSG informiert der Verantwortliche die betroffene Person über die automatisierte Einzelentscheidung. Das Gesetz schreibt weder eine Form noch eine Frist vor. Aus dem Zweck der Bestimmung folgt jedoch, dass die Information die betroffene Person erreichen muss, solange ihre Rechte nach Absatz 2 noch sinnvoll ausgeübt werden können. In der Praxis erfolgt sie deshalb regelmässig zusammen mit der Eröffnung der Entscheidung selbst und benennt diese ausdrücklich als automatisiert.
Standpunkt darlegen und Überprüfung durch eine natürliche Person
Artikel 21 Absatz 2 DSG gibt der betroffenen Person zwei Rechte. Erstens erhält sie auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Zweitens kann sie verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
Beide Rechte setzen einen Antrag der betroffenen Person voraus; der Verantwortliche muss sie nicht von sich aus anhören. Verlangt sie jedoch die Überprüfung, ist diese durchzuführen. Sie muss inhaltlich sein: Die natürliche Person hat den Fall zu würdigen, die vorgebrachten Argumente einzubeziehen und über die Befugnis zu verfügen, das ursprüngliche Ergebnis zu ändern. Eine blosse Bestätigung des Systemergebnisses ohne eigene Prüfung erfüllt Artikel 21 Absatz 2 DSG nicht. Ein bestimmtes Ergebnis schuldet der Verantwortliche dagegen nicht; die Überprüfung kann die Entscheidung auch bestätigen.
Die beiden Ausnahmen nach Artikel 21 Absatz 3 DSG
Die Absätze 1 und 2 gelten in zwei Fällen nicht.
Vertrag mit vollumfänglich gutgeheissenem Begehren
Die erste Ausnahme greift, wenn die automatisierte Einzelentscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird. Beide Voraussetzungen sind kumulativ. Wird ein Gesuch automatisiert vollumfänglich bewilligt, besteht kein Anlass für Information und Überprüfung. Wird es abgelehnt oder nur teilweise bewilligt, greift die Ausnahme nicht, und die Pflichten nach den Absätzen 1 und 2 leben vollständig auf.
Ausdrückliche Einwilligung
Die zweite Ausnahme setzt voraus, dass die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt. Für die Einwilligung gelten die Anforderungen von Artikel 6 Absatz 6 DSG: Sie muss nach angemessener Information freiwillig und für eine oder mehrere bestimmte Bearbeitungen erteilt werden. Ausdrücklich bedeutet, dass stillschweigende oder mutmassliche Einwilligung ausgeschlossen ist; eine in allgemeinen Geschäftsbedingungen versteckte Klausel genügt den Anforderungen regelmässig nicht.
Automatisierte Einzelentscheidungen von Bundesorganen
Ergeht die automatisierte Einzelentscheidung durch ein Bundesorgan, so muss dieses die Entscheidung nach Artikel 21 Absatz 4 DSG entsprechend kennzeichnen. Die Kennzeichnungspflicht tritt neben die Informationspflicht nach Absatz 1.
Das Recht auf Anhörung und Überprüfung nach Absatz 2 ist demgegenüber eingeschränkt: Es ist nicht anwendbar, wenn die betroffene Person nach Artikel 30 Absatz 2 des Verwaltungsverfahrensgesetzes (VwVG) oder nach einem anderen Bundesgesetz vor dem Entscheid nicht angehört werden muss. Artikel 30 Absatz 2 VwVG nennt unter anderem Zwischenverfügungen, die nicht selbständig durch Beschwerde anfechtbar sind, Verfügungen, die durch Einsprache anfechtbar sind, sowie Verfügungen, in denen die Behörde den Begehren der Parteien voll entspricht. Die Rechtsmittel des Verwaltungsverfahrens bleiben in diesen Fällen unberührt.
Verhältnis zum Auskunftsrecht
Artikel 21 DSG steht nicht allein. Verlangt die betroffene Person Auskunft nach Artikel 25 DSG, so gehört nach Artikel 25 Absatz 2 Buchstabe f DSG zum Auskunftsinhalt gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht.
Geschuldet ist damit eine nachvollziehbare Erklärung der Entscheidungslogik: welche Datenkategorien einfliessen, nach welchen Kriterien gewichtet wird und wie das Ergebnis zustande kommt. Nicht geschuldet ist die Offenlegung des Quellcodes oder eines vollständigen Modells. Die Auskunft ist nach Artikel 25 Absatz 6 DSG grundsätzlich kostenlos und wird nach Artikel 18 der Datenschutzverordnung (DSV) innerhalb von 30 Tagen seit Eingang des Begehrens erteilt. Ist die Auskunft mit einem unverhältnismässigen Aufwand verbunden, kann der Verantwortliche nach Artikel 19 DSV eine Kostenbeteiligung von höchstens 300 Franken verlangen, die er vorgängig mitteilen muss.
Profiling und Datenschutz-Folgenabschätzung
Automatisierte Entscheidungen beruhen häufig auf Profiling im Sinne von Artikel 5 Buchstabe f DSG, also auf einer automatisierten Bewertung persönlicher Aspekte wie Arbeitsleistung, wirtschaftlicher Lage, Gesundheit oder Zuverlässigkeit. Führt das Profiling zu einer Verknüpfung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt, liegt Profiling mit hohem Risiko nach Artikel 5 Buchstabe g DSG vor. Eine private Person benötigt dafür nach Artikel 6 Absatz 7 Buchstabe b DSG die ausdrückliche Einwilligung der betroffenen Person.
Kann die Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringen, erstellt der Verantwortliche zudem vorgängig eine Datenschutz-Folgenabschätzung nach Artikel 22 DSG. Unabhängig davon gelten die Grundsätze nach Artikel 6 DSG, namentlich Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung und Richtigkeit der Daten, sowie die Pflicht zum Datenschutz durch Technik nach Artikel 7 DSG.
Durchsetzung
Werden die Pflichten verletzt, stehen drei Wege offen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann nach Artikel 51 Absatz 3 Buchstabe c DSG anordnen, dass die betroffenen Personen nach den Artikeln 19 und 21 DSG informiert werden; er kann die Bearbeitung nach Artikel 51 Absatz 1 DSG anpassen, unterbrechen oder abbrechen lassen.
Zivilrechtlich kann die betroffene Person nach den Artikeln 30 und 32 DSG gegen eine widerrechtliche Persönlichkeitsverletzung vorgehen und namentlich die Berichtigung unrichtiger Personendaten, das Verbot einer bestimmten Bearbeitung oder die Löschung von Personendaten verlangen.
Strafrechtlich droht nach Artikel 60 Absatz 1 DSG eine Busse bis zu 250 000 Franken. Strafbar ist, wer vorsätzlich eine falsche oder unvollständige Auskunft erteilt oder es vorsätzlich unterlässt, die betroffene Person nach Artikel 21 Absatz 1 DSG zu informieren. Die Strafverfolgung erfolgt nur auf Antrag, und die Busse trifft die verantwortliche natürliche Person.
Was Verantwortliche vorkehren sollten
Wer automatisiert entscheidet, führt zweckmässigerweise ein Verzeichnis der betroffenen Entscheidungsprozesse und hält je Prozess fest, ob eine Rechtsfolge oder eine erhebliche Beeinträchtigung vorliegt, ob eine Ausnahme nach Artikel 21 Absatz 3 DSG greift, wie und wann informiert wird und wer die Überprüfung nach Absatz 2 vornimmt. Diese Person braucht Zugang zu den Entscheidungsgrundlagen und die Kompetenz, das Ergebnis zu ändern. Die Entscheidungslogik ist so zu dokumentieren, dass sie bei einem Auskunftsbegehren innerhalb von 30 Tagen verständlich erklärt werden kann. Wird die Entscheidung von einem Auftragsbearbeiter getroffen, bleibt der Verantwortliche nach Artikel 25 Absatz 4 DSG auskunftspflichtig; die entsprechenden Zuständigkeiten sind vertraglich zu regeln.
Häufige Fragen
Sind automatisierte Entscheidungen in der Schweiz verboten?
Nein. Das DSG verbietet sie nicht, sondern knüpft an sie eine Informationspflicht und das Recht, den eigenen Standpunkt darzulegen und eine Überprüfung durch eine natürliche Person zu verlangen (Art. 21 DSG).
Wann gilt eine Entscheidung als ausschliesslich automatisiert?
Wenn keine natürliche Person den Fall inhaltlich würdigt. Wer ein Systemergebnis bloss weiterleitet oder formal bestätigt, ohne eigenen Entscheidungsspielraum, macht die Entscheidung nicht zu einer menschlichen.
Muss ich informiert werden, wenn mein Antrag automatisiert bewilligt wird?
In der Regel nicht. Steht die Entscheidung in unmittelbarem Zusammenhang mit einem Vertrag und wird Ihrem Begehren stattgegeben, entfallen die Pflichten nach Artikel 21 Absätze 1 und 2 DSG.
Was muss die Überprüfung durch eine natürliche Person umfassen?
Eine inhaltliche Neubeurteilung. Die überprüfende Person muss die Vorbringen einbeziehen und befugt sein, das Ergebnis zu ändern. Sie kann die Entscheidung aber auch bestätigen.
Habe ich Anspruch auf Offenlegung des Algorithmus?
Nein. Nach Artikel 25 Absatz 2 Buchstabe f DSG ist die Logik mitzuteilen, auf der die Entscheidung beruht, also Datenkategorien, Kriterien und deren Gewichtung. Quellcode oder ein vollständiges Modell sind nicht geschuldet.
Wie lange hat der Verantwortliche für die Auskunft Zeit?
30 Tage seit Eingang des Begehrens (Art. 18 DSV). Ist dies nicht möglich, muss er die betroffene Person informieren und ihr mitteilen, innerhalb welcher Frist die Auskunft erfolgt.
Kostet die Auskunft etwas?
Grundsätzlich nicht. Nur bei unverhältnismässigem Aufwand kann der Verantwortliche nach Artikel 19 DSV eine Kostenbeteiligung von höchstens 300 Franken verlangen, die er vorgängig mitteilen muss.
Welche Folgen hat eine Verletzung von Artikel 21 DSG?
Der EDÖB kann die Information anordnen (Art. 51 DSG), zivilrechtlich stehen die Ansprüche nach den Artikeln 30 und 32 DSG offen, und wer vorsätzlich nicht informiert, wird auf Antrag mit Busse bis zu 250 000 Franken bestraft (Art. 60 DSG).
Quellen
- Fedlex – Datenschutzgesetz (DSG), Art. 21: https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_21
- Fedlex – Datenschutzgesetz (DSG), Art. 25: https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_25
- Fedlex – Datenschutzgesetz (DSG), Art. 5: https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_5
- Fedlex – Datenschutzgesetz (DSG), Art. 6: https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_6
- Fedlex – Datenschutzgesetz (DSG), Art. 22: https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_22
- Fedlex – Datenschutzgesetz (DSG), Art. 51: https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_51
- Fedlex – Datenschutzgesetz (DSG), Art. 60: https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_60
- Fedlex – Datenschutzverordnung (DSV), Art. 18: https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_18
- Fedlex – Datenschutzverordnung (DSV), Art. 19: https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_19
- Fedlex – Verwaltungsverfahrensgesetz (VwVG), Art. 30: https://www.fedlex.admin.ch/eli/cc/1969/737_757_755/de#art_30