Einwilligung oder überwiegendes Interesse? Das sagt das DSG

Ein Newsletter soll versendet, Bewerbungen sollen bearbeitet oder eine Website soll analysiert werden. Dann stellt sich rasch die Frage: Einwilligung oder berechtigtes Interesse? Die richtige Antwort hängt nicht vom bevorzugten Formular ab, sondern vom Zweck, den betroffenen Personen, der Datenart und den Erwartungen im konkreten Fall. Wer diese Entscheidung strukturiert trifft und dokumentiert, schafft eine tragfähige Grundlage für den laufenden Betrieb.

Zuerst die Rechtslage richtig einordnen

Für Schweizer Unternehmen ist ein Punkt besonders wichtig: Das seit dem 1. September 2023 geltende Datenschutzgesetz (DSG) funktioniert nicht identisch wie die DSGVO. Die DSGVO verlangt für jede Bearbeitung von Personendaten eine Rechtsgrundlage nach Art. 6 DSGVO. Eine davon ist das berechtigte Interesse.

Das Schweizer DSG folgt einem anderen Aufbau. Die Bearbeitung von Personendaten ist grundsätzlich erlaubt, sofern die Grundsätze nach Art. 6 DSG eingehalten werden: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit und nach Art. 8 DSG die Datensicherheit. Eine Rechtsgrundlage ist nur nötig, wenn eine Bearbeitung die Persönlichkeit verletzt, etwa weil sie gegen diese Grundsätze verstösst oder ausdrücklich gegen den Willen der betroffenen Person erfolgt (Art. 30 DSG). Dann kann sie nach Art. 31 DSG durch die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse oder ein Gesetz gerechtfertigt sein. Das DSG spricht also von einem «überwiegenden», nicht von einem «berechtigten» Interesse.

Im Schweizer Unternehmensalltag wird dennoch oft von «berechtigtem Interesse» gesprochen. Das ist nachvollziehbar, vor allem bei Unternehmen mit EU-Bezug oder DSGVO-Prozessen. Praktisch sollte jedoch klar sein, welches Regelwerk für die Bearbeitung gilt und wie die Interessenabwägung darin einzuordnen ist. Bei grenzüberschreitenden Prozessen braucht es häufig beide Perspektiven.

Wann eine Einwilligung sinnvoll ist

Eine Einwilligung passt, wenn Betroffene tatsächlich frei entscheiden können und eine Zustimmung für den konkreten Zweck nachvollziehbar ist. Sie ist kein universeller Sicherheitsgurt für jede Datenbearbeitung. Im Gegenteil: Wird sie ohne echte Wahlmöglichkeit eingeholt, ist sie in der Praxis oft die schwächere Lösung.

Ein typisches Beispiel ist die freiwillige Anmeldung zu einem Marketing-Newsletter. Interessierte geben ihre E-Mail-Adresse an und bestätigen, dass sie regelmässige Informationen erhalten möchten. Zweck, Inhalt und Abmeldung sollten klar sein. Nach Art. 6 Abs. 6 DSG ist eine Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird. Für besonders schützenswerte Personendaten, Profiling mit hohem Risiko und Profiling durch Bundesorgane muss sie zudem ausdrücklich erfolgen (Art. 6 Abs. 7 DSG). Die Einwilligung muss nachweisbar sein, etwa über ein sauberes Double-Opt-in-Verfahren und eine nachvollziehbare Protokollierung.

Auch bei optionalen Website-Technologien kann eine Einwilligung der richtige Weg sein, beispielsweise wenn Analyse- oder Marketing-Cookies über das technisch Erforderliche hinaus eingesetzt werden. Entscheidend ist, dass die Website auch bei einer Ablehnung sinnvoll nutzbar bleibt, soweit die betreffenden Funktionen nicht zwingend erforderlich sind.

Im Arbeitsverhältnis ist dagegen Zurückhaltung angezeigt. Mitarbeitende oder Bewerbende befinden sich gegenüber dem Unternehmen häufig in einem Abhängigkeitsverhältnis. Eine Einwilligung kann deshalb problematisch sein, wenn die Person faktisch kaum frei Nein sagen kann. Für die Bearbeitung von Lohndaten, Einsatzplänen oder Bewerbungsunterlagen braucht es in der Regel keine Einwilligung, sofern die Bearbeitung für das Arbeitsverhältnis beziehungsweise den Bewerbungsprozess erforderlich und transparent ist. Art. 328b OR erlaubt dem Arbeitgeber die Bearbeitung genau jener Daten, welche die Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind.

Berechtigtes Interesse: Nutzen allein genügt nicht

Ein berechtigtes beziehungsweise überwiegendes Interesse kann vorliegen, wenn ein Unternehmen einen nachvollziehbaren, legitimen Zweck verfolgt und die Auswirkungen auf betroffene Personen angemessen begrenzt. Wirtschaftliche Interessen sind nicht ausgeschlossen. Sie stehen aber nicht automatisch über den Interessen der betroffenen Personen.

Nehmen wir die Videoüberwachung an einem Lagerzugang. Das Unternehmen möchte Diebstähle verhindern und Vorfälle aufklären. Dieses Interesse kann erheblich sein. Trotzdem muss die Umsetzung verhältnismässig bleiben: Kameras dürfen nicht ohne Grund Pausenräume oder öffentliche Flächen erfassen, die Speicherdauer muss begrenzt sein und klare Hinweise müssen über die Überwachung informieren.

Ähnlich verhält es sich bei der Pflege von Kundenbeziehungen. Ein Unternehmen darf bestehende Kontakte nicht beliebig für jede Marketingmassnahme verwenden. Relevant sind unter anderem die ursprüngliche Geschäftsbeziehung, die vernünftige Erwartung der Person, die Art der Kommunikation und eine einfache Widerspruchs- oder Abmeldemöglichkeit. Je weiter sich eine Massnahme vom ursprünglichen Zweck entfernt, desto kritischer wird die Abwägung.

Besondere Vorsicht ist bei besonders schützenswerten Personendaten nach Art. 5 DSG geboten, etwa Gesundheitsdaten, Daten über religiöse oder politische Ansichten oder Daten zu strafrechtlichen Verfahren. Auch umfangreiche Profilbildungen, automatisierte Bewertungen oder eine unerwartete Weitergabe an Dritte verlangen eine deutlich sorgfältigere Prüfung.

Die Abwägung in fünf Schritten prüfen

Statt bei jeder neuen Bearbeitung reflexartig ein Häkchenfeld einzubauen, lohnt sich eine kurze, wiederholbare Prüfung. Sie lässt sich in die Fachprozesse von Marketing, HR, IT und Vertrieb integrieren.

Zuerst wird der Zweck konkret beschrieben. «Kundenkommunikation» ist zu ungenau. Besser wäre: «Information bestehender Geschäftskunden über vergleichbare Dienstleistungen per E-Mail». Danach ist zu klären, welche Daten wirklich erforderlich sind, woher sie stammen, wer Zugriff erhält und wie lange sie aufbewahrt werden.

Anschliessend folgt die zentrale Frage: Rechnet die betroffene Person vernünftigerweise mit dieser Bearbeitung? Wer ein Support-Ticket eröffnet, erwartet eine Antwort und eine interne Dokumentation zur Fallbearbeitung. Wer eine Visitenkarte an einer Messe abgibt, erwartet nicht zwingend eine dauerhafte Aufnahme in breit angelegte Werbekampagnen.

Danach werden die Auswirkungen beurteilt. Kann die Bearbeitung zu Nachteilen, Kontrollverlust, Stigmatisierung oder unerwünschter Überwachung führen? Werden sensible Daten bearbeitet? Werden Daten mit externen Dienstleistern, Konzerngesellschaften oder Stellen im Ausland geteilt? Je stärker der Eingriff, desto eher braucht es zusätzliche Schutzmassnahmen oder eine andere Grundlage.

Sind Zweck und Interessen überzeugend, muss die Bearbeitung auf das notwendige Mass beschränkt werden. Geeignete Massnahmen sind beispielsweise rollenbasierte Zugriffe, kurze Löschfristen, Pseudonymisierung, getrennte Systeme für unterschiedliche Zwecke und ein einfacher Widerspruchskanal. Transparenz gehört ebenfalls dazu: Die Informationspflicht nach Art. 19 DSG gilt unabhängig davon, ob die Bearbeitung auf einer Einwilligung oder einer Interessenabwägung beruht. Datenschutzerklärungen, Hinweise im Prozess und klare Kontaktstellen müssen die Bearbeitung verständlich erklären. Art. 31 Abs. 2 DSG nennt zudem Beispiele für ein überwiegendes Interesse, etwa die Bearbeitung in unmittelbarem Zusammenhang mit einem Vertrag, die Bonitätsprüfung unter engen Voraussetzungen oder die Bearbeitung zu nicht personenbezogenen Zwecken wie Forschung und Statistik.

Dokumentation macht Entscheidungen belastbar

Die beste Interessenabwägung hilft wenig, wenn sie nur in den Köpfen einzelner Mitarbeitender existiert. Unternehmen sollten die Entscheidung dort dokumentieren, wo sie später auffindbar und überprüfbar ist: im Bearbeitungsverzeichnis, in der Prozessdokumentation oder in einer Datenschutzmanagement-Lösung.

Für jede relevante Bearbeitung reichen oft wenige klare Angaben: Zweck, Datenkategorien, betroffene Personengruppen, Empfänger, Aufbewahrungsdauer, technische und organisatorische Massnahmen sowie die Begründung für Einwilligung oder Interessenabwägung. Bei Einwilligungen kommen Nachweis, Zeitpunkt, Wortlaut und Widerrufsmöglichkeit hinzu.

Diese Dokumentation erleichtert mehr als nur die Rechenschaft gegenüber Behörden oder Geschäftspartnern. Sie verhindert auch operative Fehler. Wenn das Marketing weiss, welche Kontakte werblich angesprochen werden dürfen, die IT Löschregeln kennt und der Kundenservice Widersprüche korrekt erfasst, wird Datenschutz Teil des Arbeitsablaufs statt eines Projekts in der Schublade.

Typische Fehlentscheide in der Praxis

Häufig wird die Einwilligung zu breit formuliert. Formulierungen wie «Ich bin mit sämtlichen Datenbearbeitungen einverstanden» sind weder verständlich noch zweckbezogen. Besser ist eine getrennte, konkrete Zustimmung für freiwillige und klar beschriebene Bearbeitungen.

Ein zweiter Fehler ist die Berufung auf ein berechtigtes Interesse ohne Abwägung. «Wir brauchen die Daten für unser Geschäft» beschreibt einen Nutzen, aber noch keine Begründung. Erst die Prüfung von Erforderlichkeit, Betroffenenerwartung, Risiken und Schutzmassnahmen zeigt, ob die Bearbeitung angemessen ausgestaltet ist.

Drittens werden externe Tools übersehen. Cloud-Dienste, Bewerbungsplattformen, Newsletter-Software oder Analysewerkzeuge verändern Datenflüsse und Empfängerkreise. Neben der eigentlichen Grundlage müssen auch Auftragsbearbeitung, Informationspflichten, Zugriffsrechte und allfällige Datenbekanntgaben ins Ausland sauber geregelt sein.

So wird die Entscheidung im Unternehmen praktikabel

Für KMU bewährt sich ein einfacher Freigabeprozess für neue Datenbearbeitungen. Die verantwortliche Fachstelle beschreibt den Zweck und den Ablauf. Datenschutz, IT oder eine zuständige Compliance-Rolle prüft die Datenkategorien, Risiken und vorgesehenen Schutzmassnahmen. Bei erhöhtem Risiko wird die Beurteilung vertieft und vor der Einführung festgehalten.

Wichtig ist, dass der Prozess nicht nur für grosse Digitalprojekte gilt. Auch ein neues Online-Formular, die Einführung eines Zeiterfassungstools oder eine veränderte Kundenansprache können neue Bearbeitungen schaffen. Bei erhöhtem Risiko verlangt Art. 22 DSG eine Datenschutz-Folgenabschätzung. Eine zentrale Plattform wie DSMS+ kann dabei helfen, Bearbeitungsverzeichnisse, Datenschutz-Folgenabschätzungen, Auftragsbearbeitungen und Zuständigkeiten in einem nachvollziehbaren Prozess zusammenzuführen.

Die passende Entscheidung zwischen Einwilligung und Interessenabwägung ist selten eine Frage von Ja oder Nein auf einem Formular. Sie entsteht aus einem klaren Zweck, einer fairen Einschätzung der Auswirkungen und einer Umsetzung, die Betroffene respektiert. Genau diese Struktur macht Datenschutz im Unternehmensalltag effizient, nachvollziehbar und vertrauenswürdig.

Häufige Fragen

Braucht es nach Schweizer DSG für jede Datenbearbeitung eine Einwilligung?

Nein. Anders als die DSGVO kennt das DSG kein generelles Verbot mit Erlaubnisvorbehalt. Personendaten dürfen bearbeitet werden, solange die Grundsätze nach Art. 6 DSG eingehalten sind. Ein Rechtfertigungsgrund wie die Einwilligung oder ein überwiegendes Interesse wird erst nötig, wenn die Bearbeitung die Persönlichkeit verletzt (Art. 30 und 31 DSG).

Was ist der Unterschied zwischen berechtigtem und überwiegendem Interesse?

«Berechtigtes Interesse» ist ein Begriff der DSGVO (Art. 6 Abs. 1 lit. f). Das Schweizer DSG spricht in Art. 31 von einem «überwiegenden privaten oder öffentlichen Interesse». Inhaltlich geht es in beiden Fällen um eine Interessenabwägung zwischen dem Unternehmen und den betroffenen Personen. Wer EU-Kundschaft bedient, muss beide Perspektiven dokumentieren.

Darf ein Unternehmen bestehende Kunden ohne Einwilligung per E-Mail bewerben?

Das Lauterkeitsrecht (Art. 3 Abs. 1 lit. o UWG) erlaubt Werbung an bestehende Kunden für ähnliche Produkte, wenn die Kontaktdaten im Rahmen eines Kaufs erhoben wurden und jede Nachricht eine einfache Abmeldemöglichkeit enthält. Datenschutzrechtlich stützt sich das auf ein überwiegendes Interesse. Für Newsletter an Interessenten ohne Kaufbeziehung braucht es dagegen eine Einwilligung.

Wie muss eine Interessenabwägung dokumentiert werden?

Das DSG schreibt keine Form vor. Bewährt hat sich ein kurzer Vermerk im Bearbeitungsverzeichnis oder in der Prozessdokumentation: Zweck, erforderliche Daten, Erwartung der Betroffenen, mögliche Nachteile, Schutzmassnahmen und Ergebnis der Abwägung mit Datum und verantwortlicher Person. So lässt sich die Entscheidung bei einem Auskunftsbegehren oder einer Anfrage des EDÖB nachvollziehen.