Laut Transparenzgrundsatz des DSG sollen betroffene Personen darüber informiert werden, wie Verantwortliche ihre Personendaten beschaffen und bearbeiten. Dabei müssen insbesondere die Zwecke der Bearbeitung von Personendaten erkennbar werden.

Das DSG baut die Informationspflichten aus (unter dem alten Datenschutzrecht war dies nur bei besonderen Kategorien von Personendaten notwendig) und fordert die Bereitstellung von Informationen bei jeder Beschaffung von Personendaten. Die Bereitstellung eines Informationsschreibens ist somit für jedes Unternehmen verpflichtend.

Zu Gewährleistung einer fairen und transparenten Verarbeitung, müssen Verantwortliche nicht nur über eigene Bearbeitungen der Daten (z.B. Vertragserfüllung) informieren, sondern auch über die Datenbearbeitung durch Dritte. (z.B. externe Dienstleister oder eingesetzte Software). Über einen Auslandstransfer in datenschutzkritischen Staaten (z.B. die USA) ist ebenso zu informieren.

Sofern Sie auch Waren und/oder Dienstleistungen in der EU/EWR anbieten, empfiehlt es sich, das Informationsschreiben zusätzlich nach den Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) zu gestalten.

Nach Art. 19 DSG obliegt jegliche Datenbeschaffung der Informationsplicht. Die Pflicht zur Transparenz besagt, dass Betroffene immer nachvollziehen können müssen, welche Daten weshalb und wozu genutzt werden und wohin diese Daten übermittelt werden.

Demnach besteht unter dem DSG für alle Unternehmen die Pflicht zum Informationsschreiben für Interessenten, Kunden, Partner und andere externe Parteien.

Betroffenen Personen sind „angemessen“ zu informieren. Demnach müssen die Informationen in präziser, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache erteilt werden. Ein einfaches Abschreiben des Gesetzes ist also nicht möglich.

Damit das Informationsschreiben leicht auffindbar ist, sollte es im Rahmen der Website bereitstehen und in der E-Mail-Signatur aller Mitarbeiter (sowie bei Onlineshops und vergleichbaren Systemen in automatisierten Transaktions-E-Mails) mit verlinkt werden.

Die Kenntnisnahme eines Ein Informationsschreiben müssen Unternehmen sich nicht bestätigen lassen. Ein häufig gesehener Fehler sind Checkboxen, mit denen man sich die „Einwilligung“ in ein Datenschutzhinweis bestätigen lässt.

Achtung: Das Informationsschreiben ist nicht mit Allgemeinen Geschäftsbedingungen (AGB) oder dem Impressum zu verwechseln. Das sind andere Informationen, die bereitgestellt werden müssen.

Damit betroffene Personen ihre Rechte in Anspruch nehmen können, müssen Verantwortliche über diese Rechte aufklären und die dafür erforderlichen Kontaktadressen veröffentlichen.

Zudem müssen Verantwortliche darüber informieren, welche Personendaten sie beschaffen, wie, wofür und wo sie diese Daten bearbeiten und wohin sie diese ggfs. übermitteln. Hierunter fallen z.B. Informationen über die Verwendung von Kontaktdetails und Vertragsdaten. Aber auch über Dienste von Dritten, wie CRM-Systeme, worin Ansprechpartner und Kontakte gespeichert sind, ist zu informieren.

Im neuen DSG wurden in den Art. 60-66 die Strafbestimmungen verschärft. Fehlt das Informationsschreiben, wird die Informationspflicht gemäss Art. 19 und 21 DSG verletzt. Art. 60 DSG sieht dafür eine Busse von bis zu 250.000 CHF vor.