In unserer zunehmend digitalisierten Welt sind persönliche Daten zu einem wertvollen Gut geworden. Nahezu jede Online-Aktivität, von der Nutzung sozialer Medien bis hin zu Online-Bewerbungen, hinterlässt Datenspuren.

Um Einzelpersonen mehr Kontrolle über ihre eigenen Daten zu geben, existieren Gesetze wie das revidierte Schweizer Datenschutzgesetz (revDSG), das am 1. September 2023 in Kraft getreten ist. Dieses Gesetz gewährt verschiedene Rechte, darunter das Recht auf Auskunft und das Recht auf Löschung von Daten. Um die praktische Anwendbarkeit und die Einhaltung dieser Gesetze durch Unternehmen zu untersuchen, führe ich nun ein Experiment durch. Im Fokus stehen dabei die Rechte auf Auskunft und Löschung im Kontext von früheren Bewerbungsprozessen.

Ziel ist es herauszufinden, wie gut diese Gesetze in der Realität funktionieren und wie gewissenhaft Unternehmen ihre Pflichten wahrnehmen. Die Ergebnisse dieses Experiments sollen in einem zweiten Beitrag geteilt werden, um und den aktuellen Stand des Datenschutzes in der Schweiz stichprobenartig zu informieren. Die zunehmende Bedeutung digitaler Daten in Rekrutierungsprozessen unterstreicht die Relevanz des Rechts auf Auskunft und Löschung gerade im Arbeitskontext. Unternehmen sammeln und speichern routinemässig eine beträchtliche Menge an persönlichen Daten während der Rekrutierung. Stellensuchende haben ein grosses Interesse daran zu wissen, welche Daten gespeichert werden und sicherzustellen, dass diese nicht unbegrenzt aufbewahrt werden. Ein solches Experiment kann auch die praktischen Herausforderungen aufzeigen, mit denen Einzelpersonen konfrontiert sind, wenn sie versuchen, ihre Datenschutzrechte auszuüben.

Obwohl das Gesetz Rechte gewährt, kann der eigentliche Prozess der Kontaktaufnahme mit Unternehmen, des Verständnisses ihrer Antworten (oder des Ausbleibens von Antworten) und der Bewertung der Compliance für eine durchschnittliche Person komplex und zeitaufwendig sein.

Meine Rechte kennen: Das revDSG stärkt Einzelpersonen

Das beschriebene Experiment basiert auf spezifischen Rechten, die durch das revDSG gewährt werden. Dieses Gesetz zielt darauf ab, die Daten natürlicher Personen zu schützen. Es ist wichtig zu verstehen, dass das Gesetz nicht nur für Unternehmen mit Sitz in der Schweiz gilt, sondern auch für ausländische Unternehmen, die beispielsweise Kunden in der Schweiz betreuen oder Mitarbeitende mit Wohnsitz in der Schweiz beschäftigen. Die extraterritoriale Wirkung des revDSG bedeutet, dass selbst internationale Unternehmen, die Bewerbungen von Personen in der Schweiz erhalten haben, diesen Datenschutzbestimmungen unterliegen.

Das Recht zu fragen: Artikel 25 (Auskunftsrecht) verstehen

Artikel 25 des revDSG räumt jeder Person das Recht ein, von einem Verantwortlichen Auskunft darüber zu verlangen, ob ihre personenbezogenen Daten bearbeitet werden. Der Verantwortliche ist dabei diejenige Stelle, die über den Zweck und die Mittel der Datenbearbeitung entscheidet. Die zentralen Absätze 1 und 2 von Artikel 25 lauten wie folgt:

„Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.“

„Die betroffene Person erhält diejenigen Informationen, die erforderlich…“ (Quelle 1]

Die Auskunft muss in der Regel kostenlos erteilt werden und sollte im Normalfall innerhalb von 30 Tagen erfolgen.

Die detaillierte Auflistung der in Artikel 25 Absatz 2 geforderten Informationen bietet einen klaren Massstab dafür, was eine vollständige Antwort auf ein Auskunftsgesuch ausmacht. Diese Klarheit im Gesetz sollte es Einzelpersonen theoretisch erleichtern zu beurteilen, ob Unternehmen ihren Pflichten nachkommen.

Antworten, die nicht alle aufgeführten Informationen enthalten, könnten auf mangelnde vollständige Compliance hindeuten. Die 30-Tage-Frist setzt eine Erwartung für zeitnahe Antworten, und erhebliche Verzögerungen ohne Begründung könnten ein Zeichen für Non-Compliance oder operative Herausforderungen für die Unternehmen sein. Diese Frist ermöglicht einen messbaren Aspekt des Experiments. Die Anzahl der Unternehmen, die innerhalb dieser Frist antworten, im Vergleich zu denen, die dies nicht tun, kann Aufschluss über die allgemeine Reaktionsfähigkeit von Unternehmen auf Datenanfragen geben.

Die Tatsache, dass das Auskunftsrecht höchstpersönlich ist , unterstreicht, dass es sich um ein individuelles Recht handelt, auf das nicht im Voraus verzichtet werden kann. Dieses Rechtsprinzip stärkt die Position des Einzelnen bei derartigen Anfragen.

Das Recht auf Löschung: Artikel 32 und 30 verstehen

Neben dem Recht auf Auskunft gewährt das revDSG auch das Recht auf Berichtigung unrichtiger Daten und, was besonders wichtig ist, das Recht zu verlangen, dass personenbezogene Daten unter bestimmten Bedingungen gelöscht oder vernichtet werden. Dies wird oft als Recht auf Vergessenwerden bezeichnet. Relevante Teile von Artikel 32, Absatz 2 lauten:

Klagen zum Schutz der Persönlichkeit richten sich nach den Artikeln 28, 28a sowie 28g–28l des Zivilgesetzbuchs. Die klagende Partei kann insbesondere verlangen, dass:

• a. eine bestimmte Datenbearbeitung verboten wird;
• b. eine bestimmte Bekanntgabe von Personendaten an Dritte untersagt wird;
• c. Personendaten gelöscht oder vernichtet werden.

Dieser Artikel verweist auf die Möglichkeit, rechtliche Schritte einzuleiten, um das Recht auf Löschung durchzusetzen. Zusätzlich gewährt Artikel 30, Absatz 1, Buchstabe b das Recht, der Bearbeitung personenbezogener Daten zu widersprechen. Die Ausübung dieses Widerspruchsrechts kann zur Einstellung der Bearbeitung führen, es sei denn, der Verantwortliche hat einen legitimen, überwiegenden Grund. Dies wird auch als schweizerische Umsetzung des Rechts auf Vergessenwerden aus der DSGVO angesehen.

Einfach ausgedrückt bedeutet dies, dass wenn ein Unternehmen die Daten nicht mehr für den Zweck benötigt, für den sie erhoben wurden (z. B. ein abgeschlossener Bewerbungsprozess), und keine gesetzlichen Aufbewahrungspflichten bestehen, man das Unternehmen auffordern kann, die Daten zu löschen. Der Prozess zur Bearbeitung von Löschanträgen sollte im Allgemeinen innerhalb von 30 Tagen abgeschlossen sein, wobei diese Frist um weitere 30 Tage verlängert werden kann, falls das Unternehmen mehr Zeit benötigt, um die Daten bereitzustellen.

Unterschiedliche Ansätze: Artikel 32 und Artikel 30

Während sich Artikel 32 auf die Möglichkeit des Rechtswegs konzentriert, bietet Artikel 30 einen direkteren Mechanismus für Einzelpersonen, der Bearbeitung zu widersprechen und die Löschung zu beantragen, was ihn in der Praxis potenziell zu einem häufiger genutzten Instrument macht. Die Möglichkeit, direkt Widerspruch einzulegen und die Löschung zu beantragen, ohne sofort rechtliche Schritte einzuleiten, ist ein entscheidender Aspekt der individuellen Datenkontrolle. Das Experiment umfasst nicht die direkte Berufung auf dieses Recht, sondern auf die Möglichkeit des Rechtswegs gemäss Artikel 32 in der Kommunikation mit den Unternehmen.

Die 30-Tage-Frist: Aufruf für effiziente Prozesse in der Verwaltung

Die 30-Tage-Frist für Löschanträge, ähnlich wie bei Auskunftsanträgen, unterstreicht die Betonung der revDSG auf die zeitnahe Bearbeitung von Rechten betroffener Personen. Diese konsistente Frist über verschiedene Rechte hinweg deutet auf eine legislative Absicht hin, dass Unternehmen effiziente Prozesse für die Verwaltung von Datenanfragen einrichten sollen. Es ist jedoch wichtig zu beachten, dass das Recht auf Löschung nicht absolut ist und durch gesetzliche Aufbewahrungspflichten (z. B. für Steuerunterlagen) eingeschränkt sein kann. Diese Einschränkung setzt realistische Erwartungen für Einzelpersonen, die ihr Recht auf Löschung ausüben, und erkennt die legitimen Bedürfnisse von Unternehmen an, andere gesetzliche Anforderungen zu erfüllen.

Die Kontaktaufnahme: Meine Anfragen an Unternehmen

Um das Experiment durchzuführen, habe ich eine Liste von ungefähr 50 Unternehmen erstellt, basierend auf meine Aufzeichnungen über frühere Bewerbungen und Stellenanzeigen. Anschliessend wurden die relevanten Kontaktdaten dieser Unternehmen ermittelt. Dabei habe ich mich primär an die angegebenen Kontaktinformationen – auf den jeweiligen Webseiten für datenschutzrechtliche Themen – oder die der jeweiligen Datenschutzbeauftragten gehalten, falls identifizierbar.

Für die Kontaktaufnahme mit den Unternehmen wurde ein vorgefertigter Text des EDÖB auf die persönliche Situation angepasst verwendet, in dem die Ausübung des Rechts auf Auskunft (Auskunftsrecht) gemäss Artikel 25 und des Rechts auf Löschung (Recht auf Löschung/Vergessenwerden) gemäss Artikel 32 klar dargelegt wurde. Die Anfragen werden auf einem bestimmten Weg versandt, beispielsweise per E-Mail, per Kontaktformular oder wenn es sein muss, mit der umweltschädlichen und veralteten Methode, per Post.

Der proaktive Ansatz, eine Liste zu erstellen und standardisierte Anfragen zu versenden, soll einen systematischen Versuch demonstrieren, meine Rechte auszuüben. Dieser methodische Ansatz erhöht die Zuverlässigkeit der Ergebnisse des Experiments, da er eine konsistente Anwendung der Anfragen auf alle Zielunternehmen sicherstellt. Der Aufwand, der für die Identifizierung von Unternehmen und deren Kontaktdaten erforderlich sein wird, verdeutlicht jedoch eine potenzielle Hürde für Einzelpersonen, die versuchen, ihre Datenschutzrechte auszuüben. Selbst mit einem vorbereiteten Text kann der erste Schritt der Identifizierung der korrekten Stellen und ihrer Kontaktinformationen zeitaufwendig sein und einige Personen möglicherweise davon abhalten, ihre Rechte zu verfolgen.

Der aktuelle Stand des Experiments: Warten auf Antworten

Das Experiment ist derzeit in vollem Gange. Die Anfragen an die rund 50 Unternehmen werden am 1. Juni 2025 versandt, und ab da an wird die Einhaltung der gesetzlich vorgeschriebenen Fristen beobachtet. Gemäss revDSG haben die Datenverantwortlichen in der Regel 30 Tage Zeit, um auf Auskunftsbegehren zu antworten.

Auch für Löschbegehren gilt im Allgemeinen eine Frist von 30 Tagen, die in komplexen Fällen um weitere 30 Tage verlängert werden kann. Da die Auswertung der Antworten und die detaillierte Analyse der Compliance-Raten eine gewisse Zeit in Anspruch nehmen wird, werden die vollständigen Ergebnisse dieses Experiments in einem zweiten Teil des Artikels veröffentlicht. Dies ermöglicht eine umfassende und fundierte Darstellung der Beobachtungen und Schlussfolgerungen, sobald alle Rückmeldungen eingegangen und ausgewertet sind.