Handelt ein Bundesorgan privatrechtlich, so gelten die Bestimmungen für die Datenbearbeitung durch private Personen – das sieht Art. 40 DSG vor. Das DSG enthält einerseits spezielle Bestim­mungen für die Datenbearbeitung durch Privatpersonen und andererseits spezielle Bestimmungen für die Datenbearbeitung durch Bundesorgane. Die Bestimmung von Art. 40 DSG regelt die Frage, welche Datenbearbeitungsbestimmungen für Behörden gelten sollen, wenn sie nicht öffentlich-rechtlich, sondern privatrechtlich handeln.

1. Was ist ein Bundesorgan?

Bevor beurteilt werden kann, ob eine privatrechtliche Handlung im Sinne von Art. 40 DSG vorliegt, ist zu prüfen, ob die handelnde Einheit – sei es nun eine klassische Behörde der Zentralverwaltung, z.B. der Finanzverwaltung, oder eine andere, aussenstehende Aufgabenträgerin – überhaupt als Bundesorgan im Sinne von Art. 40 DSG qualifiziert. Dazu bestimmt Art. 5 lit. i DSG, dass ein Bundesorgan im Sinne des DSG eine Behörde oder eine Dienststelle des Bundes ist oder eine Person, die mit öffentlichen Aufgaben des Bundes betraut ist (so etwa die Schweizerische Nationalbank (SNB), private Krankenkassen oder die Schweizerischen Bundesbahnen (SBB)). Nie als Bundesorgan qualifizieren Organe der Kantone und Gemeinden – auch dann nicht, wenn sie mit dem Vollzug einer Bundesaufgabe betraut sind. Nach der altrechtlichen Definition galten auch ausserhalb der Bundesverwaltung stehende Personen nur als Bundesorgan, soweit sie mit einer öffentlichen Aufgabe des Bundes betraut waren. Sie mussten demnach unterschiedlich behandelt werden, je nachdem ob sie im Rahmen ihrer privatrechtlichen Tätigkeit oder im Rahmen ihrer öffentlichen Aufgabe Daten bearbeiteten. Die Unterscheidung wird nach dem neuen DSG erst bei der Beurteilung der konkret betroffenen Tätigkeit nach Art. 40 DSG relevant. Die Änderung hängt damit zusammen, dass nach dem neuen DSG das Aufsichtssystem für private Personen und Bundesorgane nicht mehr unterschiedlich ausgestaltet ist und daher nun Personen, die mit einer öffentlichen Aufgabe des Bundes betraut sind, generell als Bundesorgane gelten können. Sie führt aber dazu, dass die neuen für Bundesorgane geltenden Vorgaben gemäss DSG auch für die mit Bundesaufgaben betrauten Privaten gelten (vgl. dazu Beitrag von Lill Faivre, Datenschutzberaterinnen und Datenschutzberater – bewährte Idee in neuem Gewand, bratschiLETTER Öff.-Recht September 2023).

2. Wann handelt ein Bundesorgan privatrechtlich?

Die Abgrenzung, wann ein Bundesorgan im Sinne des DSG nicht öffentlich-rechtlich, sondern privatrechtlich handelt und damit nach Art. 40 DSG die Bestimmungen für die Datenbearbeitung durch Private zur Anwendung kommen, ist nicht immer einfach. Entscheidend für die Zuordnung einer Tätigkeit zur öffentlich-rechtlichen Sphäre können die hoheitliche Handlungsform, die Wahrnehmung öffentlicher Interessen, die Erfüllung einer gesetzlich zugewiesenen Staatsaufgabe, oder der dabei angewendete Verwaltungszwang sein. Im Rahmen des DSG erscheint insbesondere relevant, wann eine Rechtsbeziehung zu einem Dritten nicht in Form einer Verfügung oder eines verwaltungsrechtlichen Vertrags, sondern mittels einer privatrechtlichen Vereinbarung ausgestaltet ist und die Bundesorgane damit im wirtschaftlichen Wettbewerb mit den Privaten stehen. Für diesen Fall sollen die Bundesorgane in datenschutzrechtlicher Hinsicht ihren privaten Mitkonkurrentinnen und -konkurrenten gleichgestellt werden. Beispiele für Datenbearbeitungen durch Bundesorgane im Rahmen einer privatrechtlichen Tätigkeit sind etwa das Bearbeiten von Mieterdaten einer Liegenschaft, die im Finanzvermögen des Bundes liegt, oder das Bearbeiten von Personendaten durch die SBB beim Umgang mit privaten Fundsachen, die im Rahmen einer Personenbeförderung verloren gingen. Zu erwähnen ist in diesem Zusammenhang ausserdem, dass die Bearbeitung von Daten juristischer Personen neu nicht mehr unter das DSG fällt und Art. 40 DSG daher ohnehin nur massgebend ist, wenn im Rahmen der privatrechtlichen Tätigkeit eines Bundesorgans Personendaten von natürlichen Personen bearbeitet werden. Für die Bearbeitung von Daten über juristische Personen durch Bundesorgane werden neu insbesondere die Bestimmungen in Art. 57r ff. RVOG zu beachten sein.

3. Was gilt, wenn das Bundesorgan privatrechtlich handelt?

Handelt ein Bundesorgan privatrechtlich, gelten in diesem Rahmen in Bezug auf die Datenbearbeitung die gleichen Bestimmungen wie bei der Datenbearbeitung durch Privatpersonen – also insbesondere die Art. 5-32 DSG. Die besonderen Bestimmungen zur Datenbearbeitung durch Bundesorgane nach Art. 33 ff. DSG kommen hingegen nicht zur Anwendung. Daraus ergibt sich in erster Linie, dass Bundesorgane im Rahmen der privatrechtlichen Tätigkeit nicht zwingend jede einzelne Datenbearbeitung auf eine gesetzliche Grundlage abstützen können müssen und sich im Bedarfsfall auf die Rechtfertigungsgründe gemäss Art. 31 DSG berufen können. Zudem ergeben sich aus der Anwendung der Bestimmungen für die Datenbearbeitung durch Private prozessrechtliche Auswirkungen. Die Rechtsansprüche richten sich nach Art. 32 DSG: Die betroffene Person kann verlangen, dass unrichtige Personendaten berichtigt werden oder es kann eine Klage wegen Persönlichkeitsverletzungen gemäss Art. 28, 28a sowie 28g-28l ZGB erhoben werden. Ausserdem besteht ein Anspruch auf Bestreitungsvermerk, wenn weder die Richtigkeit noch die Unrichtigkeit der beanstandeten Personendaten nachweisbar ist. Klagen wegen Persönlichkeitsverletzungen im Rahmen einer privatrechtlichen Tätigkeit sind sodann auch gegen Bundesorgane auf dem Zivilrechtsweg durchzusetzen.

4. Fazit

Zusammenfassend ist festzuhalten, dass die Bestimmungen für die Datenbearbeitungen durch Privatpersonen dann zur Anwendung kommen, wenn eine konkrete Handlung einer als Bundesorgan im Sinne von Art. 5 lit. i DSG qualifizierenden Behörde als privatrechtliche Tätigkeit einzuordnen ist. In diesem Fall wird sie ihren privaten Mitkonkurrentinnen und -konkurrenten im wirtschaftlichen Wettbewerb in datenschutzrechtlicher Hinsicht gleichgestellt und muss insbesondere nicht die strengen Anforderungen an die gesetzliche Grundlage für die Datenbearbeitung erfüllen.