Das Bundesgesetz über den Datenschutz (DSG) schützt die Persönlichkeit und Grundrechte von Personen, deren Daten bearbeitet werden. Seit der Revision im September 2023 hast du als Privatperson deutlich mehr Durchsetzungsmöglichkeiten als zuvor. Das Gesetz gilt für private Unternehmen und Bundesorgane gleichermassen. Kantonal- und Gemeindeverwaltungen unterstehen kantonalen Datenschutzgesetzen, die meist ähnlich aufgebaut sind.
Das DSG gibt dir fünf zentrale Rechte: Auskunftsrecht (du kannst wissen, welche Daten über dich bearbeitet werden), Berichtigungsrecht (du kannst falsche Daten korrigieren lassen), Löschungsrecht (du kannst unrechtmässig bearbeitete Daten löschen lassen), Widerspruchsrecht (du kannst der Bearbeitung in bestimmten Fällen widersprechen) und Recht auf Datenherausgabe (du kannst deine Daten in einem gängigen Format erhalten). Diese Rechte gelten nicht absolut. Unternehmen können sie einschränken, wenn gesetzliche Pflichten oder überwiegende Interessen vorliegen. Die Beweislast liegt aber beim Unternehmen, nicht bei dir.
Das Auskunftsrecht ist dein wichtigstes Werkzeug. Du kannst von jedem Unternehmen verlangen zu erfahren, welche Personendaten es über dich bearbeitet, woher diese stammen, zu welchem Zweck sie verwendet werden und an wen sie weitergegeben wurden. Die Auskunft ist grundsätzlich kostenlos. Nur bei offensichtlich unverhältnismässigem Aufwand darf das Unternehmen eine Gebühr verlangen, die es vorher ankündigen muss.
Deine Anfrage muss schriftlich erfolgen. E-Mail reicht aus, du brauchst keinen eingeschriebenen Brief. Das Unternehmen muss dich identifizieren können, verlange also eine Bestätigung per E-Mail an deine registrierte Adresse oder leg eine Kopie deines Ausweises bei. Formuliere klar: "Ich verlange gestützt auf Art. 25 DSG Auskunft über alle Personendaten, die Sie über mich bearbeiten." Das Unternehmen hat 30 Tage Zeit zu antworten. Reagiert es nicht, kannst du eine Mahnung mit 14-tägiger Nachfrist setzen.
Wenn die Auskunft zeigt, dass Daten falsch oder veraltet sind, kannst du Berichtigung verlangen. Das gilt für faktische Fehler (falsche Adresse, falsches Geburtsdatum) genauso wie für unvollständige Daten, die ein falsches Bild ergeben. Beispiel: Ein Inkassoeintrag bleibt bestehen, obwohl du die Forderung längst beglichen hast. Hier kannst du verlangen, dass der Eintrag korrigiert oder gelöscht wird.
Das Löschungsrecht greift, wenn Daten unrechtmässig bearbeitet werden. Unrechtmässig bedeutet: ohne Rechtsgrundlage (Gesetz, Vertrag, Einwilligung oder überwiegendes Interesse). Typischer Fall: Ein ehemaliger Arbeitgeber speichert weiterhin deine Gesundheitsdaten, obwohl das Arbeitsverhältnis beendet ist und keine Aufbewahrungspflicht besteht. Formuliere präzise: "Ich verlange die Löschung meiner Gesundheitsdaten, da keine gesetzliche Grundlage für deren weitere Bearbeitung besteht." Wenn das Unternehmen ablehnt, muss es begründen, welche Rechtsgrundlage es hat.
Das Widerspruchsrecht erlaubt dir, der Bearbeitung deiner Daten zu widersprechen, wenn das Unternehmen sich auf ein überwiegendes Interesse beruft. Überwiegendes Interesse ist eine Rechtsgrundlage, die Unternehmen oft nutzen: "Wir haben ein berechtigtes Interesse, Ihre Daten für Direktwerbung zu verwenden." Du kannst diesem Interesse widersprechen. Das Unternehmen muss dann darlegen, warum sein Interesse dein Interesse an der Nichtbearbeitung überwiegt.
Praxisbeispiel: Ein Versicherungsbroker hat deine Kontaktdaten von einem Partner erhalten und schickt dir unaufgefordert Angebote. Du hast nie eingewilligt. Der Broker beruft sich auf sein Interesse an Kundenakquise. Du widersprichst schriftlich: "Ich widerspreche der Bearbeitung meiner Kontaktdaten für Direktwerbung." Der Broker muss die Bearbeitung einstellen, ausser er kann nachweisen, dass sein Interesse überwiegt, was bei unaufgeforderter Werbung selten der Fall ist.
Das Recht auf Datenherausgabe (auch Datenportabilität) ermöglicht dir, deine Daten von einem Anbieter zu einem anderen zu übertragen. Du kannst verlangen, dass dir das Unternehmen deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung stellt. Das Format muss so beschaffen sein, dass du es einem anderen Anbieter übergeben kannst.
Dieses Recht gilt nur für Daten, die du selbst bereitgestellt hast (Profildaten, hochgeladene Inhalte, Nutzungshistorie), nicht für Daten, die das Unternehmen über dich erstellt hat (z.B. Bonitätsbewertungen). Typischer Anwendungsfall: Du willst von einem Cloud-Speicher zu einem anderen wechseln. Du verlangst deine Daten als ZIP-Archiv oder in einem offenen Format wie JSON. Das Unternehmen muss die Daten innert 30 Tagen liefern. Verlangt es dafür eine Gebühr, muss es diese vorher ankündigen und begründen.
Eine wirksame Anfrage ist klar, konkret und referenziert das DSG. Verwende dieses Muster: "Sehr geehrte Damen und Herren, gestützt auf Art. 25 DSG verlange ich Auskunft über alle Personendaten, die Sie über mich bearbeiten. Ich bitte um Mitteilung, welche Daten Sie über mich speichern, woher diese stammen, zu welchem Zweck Sie diese verwenden und an wen Sie diese weitergegeben haben. Bitte senden Sie mir die Auskunft innert 30 Tagen an diese E-Mail-Adresse. Mit freundlichen Grüssen, [Name]"
Füge eine Kopie deines Ausweises bei, wenn das Unternehmen dich nicht eindeutig identifizieren kann (z.B. bei Auskunfteien, Versicherungen). Bei Online-Diensten reicht oft der Login mit deinem Account. Setze das Unternehmen unter Zeitdruck: "Sollte ich innert 30 Tagen keine Antwort erhalten, werde ich den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einschalten." Das zeigt, dass du deine Rechte kennst. Bewahre alle E-Mails auf, du brauchst sie für eine allfällige Beschwerde.
Reagiert das Unternehmen nicht oder nur unvollständig, hast du drei Eskalationsstufen. Erste Stufe: Mahnung mit Nachfrist. Warte 30 Tage nach der ersten Anfrage, dann schickst du eine Mahnung: "Ich habe am [Datum] Auskunft verlangt und bis heute keine Antwort erhalten. Ich setze Ihnen eine Nachfrist von 14 Tagen. Sollten Sie auch dann nicht reagieren, werde ich den EDÖB einschalten."
Zweite Stufe: Meldung beim EDÖB. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die Aufsichtsbehörde für den Datenschutz in der Schweiz. Du kannst ihm Verstösse melden über das Online-Formular auf edoeb.admin.ch. Der EDÖB prüft den Fall und kann Untersuchungen einleiten. Er hat aber keine direkte Sanktionsbefugnis gegen private Unternehmen. Seine Empfehlungen sind nicht bindend.
Dritte Stufe: Zivilklage. Wenn das Unternehmen deine Rechte verletzt, kannst du vor Gericht auf Unterlassung, Beseitigung oder Feststellung klagen. Das ist aufwändig und kostet. Eine Klage lohnt sich meist nur, wenn ein erheblicher Schaden entstanden ist oder das Unternehmen systematisch gegen das DSG verstösst. Bei Verstössen gegen das DSG können auch Strafverfahren eingeleitet werden, diese betreffen aber meist schwere Fälle wie vorsätzliche Verletzung der Auskunftspflicht oder unrechtmässige Bekanntgabe besonders schützenswerter Daten.
Erstens: Nutze dein Auskunftsrecht aktiv. Mindestens einmal pro Jahr solltest du bei grossen Anbietern (Banken, Versicherungen, Online-Händler) nachfragen, welche Daten sie über dich haben. Das schafft Transparenz und zeigt dem Unternehmen, dass du deine Rechte kennst. Viele Unternehmen halten Daten länger als nötig oder geben sie weiter, ohne dass du es weisst.
Zweitens: Dokumentiere alles. Jede Anfrage, jede Antwort, jede Mahnung. Speichere E-Mails und Screenshots. Wenn du den EDÖB einschalten oder klagen musst, brauchst du lückenlose Nachweise. Ein Google Doc oder eine Notiz-App mit Zeitstempeln reicht aus.
Drittens: Bleib hartnäckig, aber sachlich. Viele Unternehmen setzen darauf, dass Anfragen im Sand verlaufen. Wer nach der ersten Ablehnung aufgibt, hat verloren. Wer nachhakt, Fristen setzt und den EDÖB erwähnt, hat deutlich bessere Chancen. Emotionale Anschuldigungen bringen nichts. Klare Rechtsverweise und Fristen bringen alles.
Druckfertige Cybersecurity-Checklisten und Notfallpläne: gratis, sofort verwendbar.
Vorlagen herunterladen →