Das Zutrittsprotokoll und das Auskunftsrecht

In der Schweiz

Die Bestimmung, die diese Seite von einer deutschen unterscheidet, ist Art. 26 Absatz 2 des Datenschutzgesetzes (SR 235.1, Stand 7.7.2025). Buchstabe a nennt zwei Voraussetzungen, die zusammen erfüllt sein müssen: «Überwiegende Interessen des Verantwortlichen erfordern die Massnahme.» und «Der Verantwortliche gibt die Personendaten nicht Dritten bekannt.» Absatz 3 fügt an: «Unternehmen, die zum selben Konzern gehören, gelten nicht als Dritte im Sinne von Absatz 2 Buchstabe a Ziffer 2.» Das Gesetz erlaubt dem privaten Verantwortlichen damit, die Auskunft mit einem Interesse zu begrenzen, das sein eigenes ist, und es zieht die Grenze des Drittbegriffs um den Konzern herum und nicht vor ihm. Umsonst ist das nicht zu haben: Absatz 4 bestimmt «Der Verantwortliche muss angeben, weshalb er die Auskunft verweigert, einschränkt oder aufschiebt.» Eine Verweigerung ohne Begründung ist im Gesetz nicht vorgesehen. Auf der anderen Seite steht ein Katalog mit sieben Positionen. Art. 25 Absatz 2 DSG bindet die Auskunft zuerst an zwei Zwecke: Die betroffene Person soll ihre Rechte nach dem Gesetz geltend machen können, und die Datenbearbeitung soll transparent sein. Dann zählt der Absatz sieben Angaben auf, die ihr «In jedem Fall» mitgeteilt werden; zwei davon stehen unter dem Vorbehalt «gegebenenfalls». Beide Artikel sind für diesen Eintrag gegen die konsolidierte Fassung aus dem Fedlex-Filestore geprüft worden.

Wann eine Antwort ausbleiben darf

Art. 26 Abs. 1 DSG nennt drei Gründe, die für jeden Verantwortlichen gelten, für die private Firma wie für das Bundesorgan. Der erste ist ein Gesetz im formellen Sinn, das die Verweigerung vorsieht, «namentlich um ein Berufsgeheimnis zu schützen». Der zweite Grund sind überwiegende Interessen Dritter. Der dritte betrifft das Gesuch selbst: Es darf abgewiesen werden, wenn es «offensichtlich unbegründet ist, namentlich wenn es einen datenschutzwidrigen Zweck verfolgt, oder offensichtlich querulatorisch ist».

Der dritte Grund ist derjenige, der eine betroffene Person am ehesten trifft, die zum zweiten Mal fragt. Er hängt an der Offensichtlichkeit des Gesuchs und nicht an ihrer Zahl, und diese Offensichtlichkeit muss der Verantwortliche dartun. Die blosse Frage, ob über eine Person Zutrittsdaten geführt werden, verfolgt noch keinen datenschutzwidrigen Zweck.

Diese drei Gründe sind nicht die interessanten. Die interessanten stehen im zweiten Absatz, und sie sind nach Adressat getrennt.

Das eigene Interesse des Betriebs, und die Bedingung daran

Art. 26 Abs. 2 Bst. a DSG gilt nur, wenn der Verantwortliche eine private Person ist. Für ihn kommen zwei Voraussetzungen zusammen, und beide müssen erfüllt sein: Seine eigenen überwiegenden Interessen müssen die Massnahme erfordern, und er darf die Personendaten nicht Dritten bekannt geben. Fällt die zweite Voraussetzung weg, weil der Betrieb die Zutrittsdaten an eine andere Stelle weiterreicht, fällt die ganze Verweigerungsmöglichkeit weg.

Absatz 3 schwächt diese Bedingung an einer Stelle ab, die im Alltag zählt: Unternehmen desselben Konzerns gelten nicht als Dritte. Ein Betrieb, der die Anlagenverwaltung an eine Schwestergesellschaft ausgelagert hat, verliert die Verweigerungsmöglichkeit dadurch nicht. Ein Betrieb, der dieselbe Aufgabe an ein konzernfremdes Unternehmen vergeben hat, steht anders da.

Für die betroffene Person heisst das: Sie erfährt in jedem Fall etwas. Entweder die Auskunft selbst oder den Grund, aus dem sie ausbleibt. Ein Schweigen ist im Gesetz nicht vorgesehen, und die Frist dafür ist dieselbe wie für die Auskunft.

Wen Sie fragen, wenn mehrere Stellen beteiligt sind

Die Modalitäten regelt die Datenschutzverordnung (SR 235.11, Stand 1.12.2025) und nicht das Gesetz selbst. Art. 16 Abs. 1 DSV verlangt die Schriftform: «Wer vom Verantwortlichen Auskunft darüber verlangt, ob Personendaten über sie oder ihn bearbeitet werden, muss dies schriftlich tun.» Mündlich geht es nur, wenn der Verantwortliche einverstanden ist. Der elektronische Weg ist nach Absatz 3 ausdrücklich offen.

Welche Stelle der richtige Adressat ist, muss die betroffene Person nicht auflösen. Art. 17 Abs. 1 DSV bestimmt: «Bearbeiten mehrere Verantwortliche Personendaten gemeinsam, so kann die betroffene Person ihr Auskunftsrecht bei jedem Verantwortlichen geltend machen.» Und wenn die Anlage von einem externen Dienstleister betreut wird, bleibt nach Art. 25 Abs. 4 DSG der Verantwortliche auskunftspflichtig; der Auftragsbearbeiter unterstützt ihn nach Art. 17 Abs. 2 DSV dabei.

Eine Pflicht trifft auch die fragende Seite. Art. 16 Abs. 5 DSV verlangt vom Verantwortlichen angemessene Massnahmen zur Identifikation der betroffenen Person und hält fest, dass diese zur Mitwirkung verpflichtet ist. Eine Auskunft über ein Zutrittsmedium setzt deshalb den Nachweis voraus, dass die fragende Person diejenige ist, der das Medium zugeordnet war.

Wann die Antwort kommt und was sie kosten darf

Die Frist von 30 Tagen aus Art. 25 Abs. 7 DSG ist im Eintrag zur Zutrittskontrolle und zum Datenschutz bereits festgehalten, dort aus der Sicht des Betriebs. Art. 18 Abs. 1 DSV knüpft sie an den Eingang des Begehrens. Aus der Sicht der betroffenen Person kommen zwei Mitteilungspflichten der Verordnung dazu, die das Gesetz nicht hat. Absatz 2 verlangt, dass der Verantwortliche über eine Verzögerung informiert und mitteilt, innerhalb welcher Frist die Auskunft erfolgt. Absatz 3 lautet: «Verweigert der Verantwortliche die Auskunft, schränkt er sie ein oder schiebt er sie auf, so muss er dies innerhalb derselben Frist mitteilen.»

Die Auskunft ist nach Art. 25 Abs. 6 DSG kostenlos. Eine Kostenbeteiligung darf der Verantwortliche nach Art. 19 Abs. 1 DSV nicht verlangen, es sei denn, die Erteilung der Auskunft ist mit einem unverhältnismässigen Aufwand verbunden; Absatz 2 begrenzt die Beteiligung: «Die Beteiligung beträgt maximal 300 Franken.»

Die Höhe muss nach Art. 19 Abs. 3 DSV vor der Auskunftserteilung mitgeteilt werden. Bestätigt die betroffene Person ihr Gesuch danach nicht innerhalb von zehn Tagen, gilt es als ohne Kostenfolge zurückgezogen, und die Frist von 30 Tagen beginnt erst nach Ablauf dieser Bedenkzeit zu laufen. Die Verordnung stützt sich für diese Ausnahme auf die Delegationsnorm in Art. 25 Abs. 6 DSG, die den Bundesrat dazu ausdrücklich ermächtigt.

Wenn Sie eine Kopie Ihrer Daten wollen und keine blosse Auskunft

Neben dem Auskunftsrecht steht ein zweites, engeres Recht. Art. 28 Abs. 1 DSG gibt jeder Person den Anspruch auf «die Herausgabe ihrer Personendaten, die sie ihm bekanntgegeben hat, in einem gängigen elektronischen Format». Der Anspruch hat zwei Voraussetzungen, die zusammen erfüllt sein müssen: Der Verantwortliche bearbeitet die Daten automatisiert, und er tut es mit Einwilligung der betroffenen Person oder in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags mit ihr.

Beide Voraussetzungen zusammen erklären, warum dieses Recht schmaler ist als die Auskunft. Es erfasst nur Daten, welche die Person selbst bekanntgegeben hat, nicht alles, was ein System über sie erzeugt. Nach Absatz 2 kann sie zudem die Übertragung an einen anderen Verantwortlichen verlangen, sofern das keinen unverhältnismässigen Aufwand erfordert; nach Absatz 3 ist auch das grundsätzlich kostenlos.

Art. 29 DSG verweist für die Einschränkung dieses Rechts auf dieselben Gründe wie beim Auskunftsrecht, also auf Art. 26 Absätze 1 und 2, und verlangt in seinem Absatz 2 wiederum, dass der Verantwortliche angibt, weshalb er die Herausgabe verweigert, einschränkt oder aufschiebt.

Wenn im Protokoll etwas Falsches steht

Die Auskunft ist kein Selbstzweck. Art. 32 Abs. 1 DSG knüpft daran an: «Die betroffene Person kann verlangen, dass unrichtige Personendaten berichtigt werden», ausser eine gesetzliche Vorschrift verbiete die Änderung oder die Daten würden zu Archivzwecken im öffentlichen Interesse bearbeitet. Für den Streitfall verweist Absatz 2 auf die Klagen zum Schutz der Persönlichkeit nach den Artikeln 28, 28a sowie 28g bis 28l des Zivilgesetzbuchs und nennt drei Begehren ausdrücklich: das Verbot einer bestimmten Bearbeitung, das Verbot einer bestimmten Bekanntgabe an Dritte, und die Löschung oder Vernichtung.

Für den Fall, dass sich die Sache nicht klären lässt, hält Absatz 3 einen eigenen Behelf bereit: «Kann weder die Richtigkeit noch die Unrichtigkeit der betreffenden Personendaten festgestellt werden, so kann die klagende Partei verlangen, dass ein Bestreitungsvermerk angebracht wird.» Bei einem Zutrittsprotokoll liegt dieser Fall nahe, denn ob eine Person zu einer bestimmten Zeit an einer bestimmten Tür war, lässt sich nachträglich oft weder beweisen noch widerlegen.

Solange nur die zehn Artikel gelesen sind, die diesem Eintrag zugrunde liegen, also Art. 25 bis 29 und Art. 32 DSG mit den sieben Katalogpunkten in Art. 25 Abs. 2 und Art. 16 bis 19 DSV, ist über die Gerichtspraxis zu diesen Bestimmungen nichts gesagt. Eine Volltextsuche auf entscheidsuche.ch gab am 4. September 2026 acht Entscheide zurück, in denen die Zeichenfolge «Art. 26 DSG» vorkommt; gelesen ist für diesen Eintrag keiner davon, und über ihren Inhalt ist hier nichts behauptet. Für eine Verweigerung, die nicht hingenommen werden soll, steht eine Rechtsberatung zur Verfügung, und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die Aufsichtsbehörde, an die eine Anzeige gerichtet werden kann.

Die sieben Angaben, die das Gesetz aufzählt

Art. 25 Abs. 2 DSG sagt zuerst, wonach sich der Umfang der Auskunft richtet, nämlich danach, was die betroffene Person zur Ausübung ihrer Rechte und für eine transparente Bearbeitung braucht. Dann folgt die Aufzählung, eingeleitet mit den Worten «In jedem Fall werden ihr folgende Informationen mitgeteilt». Sieben Buchstaben stehen darin, und zwei davon sind mit «gegebenenfalls» versehen, gelten also nur, wenn der Fall vorliegt.

• Bst. a: die Identität und die Kontaktdaten des Verantwortlichen.
• Bst. b: «die bearbeiteten Personendaten als solche», also die Daten selbst und nicht bloss eine Beschreibung von Kategorien.
• Bst. c: der Bearbeitungszweck.
• Bst. d: die Aufbewahrungsdauer oder, wenn deren Angabe nicht möglich ist, die Kriterien zu ihrer Festlegung. Was das für einen Betrieb bedeutet, der eine Dauer erst festlegen muss, steht im Eintrag zur Zutrittskontrolle und zum Datenschutz.
• Bst. e: die verfügbaren Angaben über die Herkunft der Daten, soweit sie nicht bei der betroffenen Person beschafft wurden.
• Bst. f: gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung und die Logik, auf der sie beruht.
• Bst. g: gegebenenfalls die Empfängerinnen und Empfänger oder deren Kategorien, samt den Angaben nach Art. 19 Abs. 4 DSG zur Bekanntgabe ins Ausland.