Verantwortlichkeit für Datensicherheit

Um die Rolle der Datensicherheitspflicht bei Whistleblowing erfassen zu können, muss festgehalten werden, zwischen welchen Parteien sie überhaupt zum Tragen kommt und wo sich die Verletzung der Datensicherheitspflicht auswirkt.

DSG 7 ist ein Gebot. Es verlangt für die Vertraulichkeit der Daten zu sorgen und stellt somit eine Handlungspflicht dar.¹ Gegen DSG 7 verstösst, wer die angemessenen Massnahmen nicht trifft, sie also unterlässt. Aus dem Wortlaut lässt sich nicht erschliessen, wen diese Pflicht trifft. Auf Grund der allgemeinen Geltung der Bearbeitungsgrundsätze, wie ihn DSG 7 darstellt, ist darauf zu schliessen, dass jede Person, die Umgang mit Daten hat, Adressat ist.² Jeder Bearbeiter ist für Datensicherheit verantwortlich.

Die Person des Verantwortlichen ist in zweierlei Hinsicht bedeutungsvoll: Bei der Ergreifung eines Rechtsbehelfs stellt sich die grundsätzliche Frage, wer passivlegitimiert ist. Nur gegen jene Person, die überhaupt eine Datensicherheitspflicht trifft und diese auch verletzt, kann aus DSG 12 II lit. a i.V.m. DSG 7 I und DSG 15 erfolgreich vorgegangen werden (siehe insbesondere nachfolgendes Kapitel “Im Verhältnis zwischen dem Whistleblower und der betroffenen Person”).

Darüber hinaus spielt die Person des Verantwortlichen eine wichtige Rolle, weil sich in Abhängigkeit der verpflichteten Person eine inhaltlich unterschiedliche Umschreibung der Datensicherheitspflicht ergibt. Den „gewöhnlichen“ Bearbeiter trifft eine andere, meist weniger umfassende Pflicht als den Inhaber der Datensammlung. Es sei denn, beide treffen in derselben Person zusammen. Der Inhaber der Datensammlung stellt bspw. ein Bearbeitungsreglement (organisatorische Massnahmen) auf, welches die Bearbeiter einzuhalten haben. Der Inhaber der Datensammlung steht in der Regel mit seiner Weisungsbefugnis über dem gewöhnlichen Bearbeiter. Ihn trifft entsprechend eine grössere Anzahl an Pflichten (vgl. Abbildung 3).³

Der (potentielle) Whistleblower ist solange gewöhnlicher Bearbeiter, wie er die Daten im Rahmen seiner normalen Tätigkeit bearbeitet und nicht über seine Befugnis hinaus von Daten Kenntnis nimmt, Daten erhält (kopiert, entwendet usf.) oder bekanntgibt (Whistleblowertätigkeiten). Ihn als „aussergewöhnlichen“ Bearbeiter zu bezeichnen, ist im Hinblick auf die Datensicherheitspflichten gegen Whistleblowing nicht notwendig, wie sich im Folgenden zeigen wird.⁴

1. Im Verhältnis zwischen dem Whistleblower und der betroffenen Person

Als gewöhnlichen Bearbeiter von Personendaten (bspw. im Rahmen seiner arbeitsvertraglichen Tätigkeit) trifft auch den Whistleblower die Datensicherheitspflicht. Grundsätzlich ist er dafür verantwortlich, Massnahmen zu treffen, die eine angemessene Datensicherheit gewährleisten (DSG 3 lit. e und 7 I) und insbesondere den Vorgaben des Datensammlungsinhabers nachzukommen.

Der Whistleblower bearbeitet unbefugt, sobald er seinen Whistleblowertätigkeiten nachkommt: Er nimmt bspw. Einsicht in Datensätze, die nicht in seinem Tätigkeitsbereich liegen, womit er durch seine Bearbeitung gegen das Verhältnismässigkeitsprinzip (DSG 4 II) und das Zweckbindungsgebot (DSG 4 III) verstösst. Dasselbe gilt, wenn er Kopien dieser Daten erstellt. Im Falle der Bekanntgabe gibt er regelmässig Daten entgegen dem Zweck bekannt, welcher bei der Beschaffung angegeben wurde. Es liegt wiederum ein Verstoss gegen den Grundsatz der Zweckbindung (DSG 4 III) vor. Diese Bearbeitungsvorgänge haben eine Persönlichkeitsverletzung der betroffenen Person zur Folge (DSG 12 II lit. a).

Im selben Zug wird vom Whistleblower die Vertraulichkeit verletzt: Einerseits, indem er von Daten ausserhalb seines Zuständigkeitsbereichs Kenntnis nimmt oder diese erhält, andererseits, indem er Dritten diese Daten bekannt gibt.

DSG 7 I statuiert aber kein Verbot die Datensicherheit zu verletzen, sondern eine Handlungspflicht, sie zu schützen. Der Whistleblower verletzt durch seine Whistleblowertätigkeiten die Datensicherheit, nicht aber die Datensicherheitspflicht. Die folgende Abbildung 3 soll das Beschriebene veranschaulichen:

2. Im Verhältnis zwischen dem Whistleblower und dessen Organisation

Die Datensicherheitspflicht aus DSG 7 I betrifft direkt grundsätzlich nur das Verhältnis zwischen einem Bearbeiter (bzw. Inhaber der Datensammlung) und der betroffenen Person, nicht aber die Beziehung zwischen einem Bearbeiter und dessen Organisation (der Inhaberin der Datensammlung).

Hier ergeben sich je nach Stellung des Whistleblowers namentlich auftrags- oder arbeitsrechtliche Fragen (insbesondere bez. Treuepflicht), sowie Fragen zur Haftung.⁵

Hingegen kann sich die Datensicherheitspflicht durchaus indirekt auf das Verhältnis zwischen einem Datenbearbeiter und dessen Organisation auswirken: So ist an eine Regressnahme (OR 55 II) der Organisation auf den Bearbeiter zu denken, da die Organisation zur Einhaltung der Bearbeitungsgrundsätze, wie DSG 7 einen darstellt, verpflichtet ist und über die Geschäftsherrenhaftung (OR 55 I) zur Verantwortung gezogen werden kann.⁶

In der Praxis häufige Fälle: Der Programmierer eines Onlineshopbetreibers implementiert ein unsicheres Login-Verfahren. Nach einer erfolgreichen Attacke bemerken diverse Kunden ungewollte Belastungen ihrer Kreditkarten.⁷ Oder ein Angestellter vergisst seinen Laptop mit unverschlüsselten Kundendaten in einem öffentlichen Verkehrsmittel.⁸ In solchen Fällen ergeben sich Schäden beim Kunden, welche er von der Organisation ersetzt haben will (DSG 15 I verweist u.a. auf ZGB 28a III, wo wiederum auf OR 41 verwiesen wird).

Aus der Definition des Whistleblowers geht hervor, dass er als Insider zu seiner Organisation in einem Subordinationsverhältnis oder auf gleicher Augenhöhe stehen kann. Je nach Stellung ist er sodann bei Ersterem Bearbeiter oder bei Letzterem Auftragsbearbeiter (DSG 10a I).⁹ Im Falle des Auftragsbearbeiters handelt es sich um Outsourcing und damit um die Spielart des atypische Whistleblowings (Whistleblowing)(4. atypisches Whistleblowing (Outsourcing)).

Zusammengefasst regelt das DSG die Beziehung zwischen Whistleblower und dessen Organisation im Bereich der Datensicherheit nicht selbst. Es bezweckt den Schutz der betroffenen Person bei der Bearbeitung ihrer Daten und spielt im Verhältnis zwischen dem Whistleblower und dessen Organisation „nur“ eine indirekte Rolle.

3. Im Verhältnis zwischen der betroffenen Person und den Bearbeitern bzw. der Organisation des Whistleblowers

Die Organisation ist in der Regel die Inhaberin der Datensammlung, da sie über Inhalt und Zweck der Datensammlung entscheidet, also die Entscheidungsmacht über sie inne hat (vgl. Kapitel Inhaber einer Datensammlung). In diesem Sinne bearbeitet auch die Organisation Daten (DSG 3 lit. e „jeder Umgang“).¹⁰ Die Organisation ist damit zur Einhaltung der allgemeinen Bearbeitungsgrundsätze aus DSG 4 ff. – inklusive der Gewährleistung der hier im Zentrum stehenden Datensicherheit – verpflichtet.¹¹

Den Bearbeiter, der auf Weisung seiner Organisation Daten bearbeitet, treffen ebenfalls Datensicherheitspflichten aus DSG 7 I (vgl. Verantwortlichkeit für Datensicherheit). Im Unterschied zur Organisation geht seine Pflicht auf Grund seiner Subordination nicht gleich weit (vgl. Verantwortlichkeit für Datensicherheit).

Für die Organisation handeln ihre Organe. Sie geben dem Willen der juristischen Person Ausdruck (ZGB 55 I) und verpflichten sie direkt (ZGB 55 II).¹² Die Organe haben damit die Pflicht, die technischen und organisatorischen Massnahmen zu treffen, um DSG 7 I und II zu genügen.¹³

4. atypisches Whistleblowing (Outsourcing)

Der Auftragsbearbeiter hat der Datensicherheitspflicht grundsätzlich wie ein Inhaber nachzukommen (DSG 10a I). Die Hilfspersonen des Auftragsbearbeiters haften entsprechend wie gewöhnliche Bearbeiter.¹⁴ Der Auftragsbearbeiter wird, obschon ihn dieselben Datensicherheitspflichten wie einen Datensammlungsinhaber treffen, nicht automatisch zum Inhaber der Datensammlung.¹⁵

DSG 10a II verpflichtet die outsourcende Organisation ausdrücklich, sich zu vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleistet. Sie bleibt im Übrigen weiterhin als Inhaberin der Datensammlung mitsamt ihrer Datensicherheitspflichten verantwortlich.¹⁶

In diesem Zusammenhang stellen sich im Hinblick auf Whistleblowing interessante Fragen bspw. bezüglich den Möglichkeiten zur Haftungsreduktion des Outsourcinggebers¹⁷, bezüglich den Unterschieden zwischen der Haftung des gewöhnlichen Bearbeiters (Arbeitnehmer) und des Auftragsbearbeiters¹⁸ oder den Verhältnissen bei Kettenoutsourcing¹⁹. Das atypische Whistleblowing an dieser Stelle eingehender zu behandeln, würde aber den Rahmen sprengen.

5. Fazit zur Verantwortlichkeit

Den Whistleblower trifft wie jeden Bearbeiter eine Datensicherheitspflicht. Durch die für ihn typischen Bearbeitungsvorgänge (siehe 1. Eingrenzung auf die Vertraulichkeit) verletzt er zwar die Datensicherheit, nicht aber die Datensicherheitspflicht.

Es ergeben sich bei Eintritt eines Whistleblowingfalles folgende zu prüfende Datensicherheitspflichtverletzungen (vgl. Abbildung 4):

Jene der Organisation (Inhaberin);
Jene der Hilfspersonen der Organisation (gewöhnliche Bearbeiter);
Jene des Auftragsbearbeiters und dessen Hilfspersonen(Outsourcing).

Ver­ant­wort­lich­keit für Datensicherheit

1. Im Ver­hält­nis zwi­schen dem Whist­le­b­lower und der betrof­fe­nen Person

2. Im Ver­hält­nis zwi­schen dem Whist­le­b­lower und des­sen Organisation

3. Im Ver­hält­nis zwi­schen der betrof­fe­nen Per­son und den Bear­bei­tern bzw. der Orga­ni­sa­tion des Whistleblowers

4. aty­pi­sches Whist­le­b­lo­wing (Out­sour­cing)