Was sind Personendaten?
Informationen sagen etwas aus, müssen einen Informationsgehalt haben. Es kann sich dabei um Sachinformationen oder um Angaben über Personen handeln.
Damit von Informationen als Personendaten gesprochen werden kann, müssen sie sich auf eine Person beziehen. Der Begriff der Personendaten umfasst jede Information, die – direkt oder indirekt – etwas über eine natürliche oder eine juristische Person aussagt.
Was sind «gewöhnliche» Personendaten?
Zu den «gewöhnlichen» Personendaten zählen beispielsweise der Name, die Adresse oder das Geburtsjahr der jeweiligen Person. Es handelt sich bei dieser Art von Personendaten um Informationen, die in der Regel kein besonderes Risiko einer Stigmatisierung oder Diskriminierung mit sich bringen.
Es spielt keine Rolle, ob es sich bei den Informationen um Tatsachenfeststellungen oder um Werturteile handelt: Solange mit der Information eine Aussage über eine bzw. zu einer bestimmten oder bestimmbaren Person gemacht wird, handelt es sich um Personendaten. Sollen solche Personendaten bearbeitet werden, gilt das Datenschutzrecht.
Was sind besondere Personendaten?
«Besondere Personendaten» sind Personendaten, bei deren Bearbeitung eine besondere Gefahr der Grundrechtsverletzung besteht. Hier können zwei Kategorien unterschieden werden: Das IDG nennt als «sensitive» Personendaten ausdrücklich (aber nicht abschliessend) beispielsweise religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten, Angaben über die Gesundheit, Angaben über Massnahmen der sozialen Hilfe und Angaben über administrative oder strafrechtliche Verfolgungen oder Sanktionen.
Als zweite Kategorie nennt das IDG die Persönlichkeitsprofile. Ein Persönlichkeitsprofil ist eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt, womit ebenso die Gefahr der Grundrechtsverletzung besteht. Der Begriff der «besonderen Personendaten» fasst die beiden Kategorien zusammen.
Achtung: Auch an sich «gewöhnliche» Personendaten wie eine Adresse können zu besonderen Personendaten werden, so z.B. wenn die betroffene Person bedroht oder verfolgt wird. Bei der Beurteilung, ob es sich um «besondere Personendaten» handelt, sind deshalb immer auch die Umstände zu berücksichtigen.
Was bedeutet die Unterscheidung zwischen «gewöhnlichen» und besonderen Personendaten in der Praxis?
Da die besonderen Personendaten aufgrund ihres Stigmatisierungspotentials besonderen Schutz geniessen sollen, knüpft das IDG unterschiedliche Voraussetzungen an das Bearbeiten von «gewöhnlichen» und besonderen Personendaten:
«Gewöhnliche» Personendaten dürfen bearbeitet werden, wenn
- dafür eine gesetzliche Grundlage besteht oder
- dies zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist (§ 9 IDG).
Es genügt folglich, wenn sich die Grundlage für das Bearbeiten «gewöhnlicher» Personendaten in einer Verordnung findet. Besondere Personendaten dürfen hingegen nur bearbeitet werden, wenn
- ein Gesetz dazu ausdrücklich ermächtigt oder verpflichtet oder
- es für eine in einem Gesetz klar umschriebene Aufgabe zwingend notwendig ist.
Hier reicht eine Verordnung somit nicht mehr: Die Grundlage für das Bearbeiten der besonderen Personendaten muss sich in einem Gesetz finden.
Ausserdem wird das Verhältnismässigkeitsprinzip strenger angewandt: besondere Personendaten dürfen nur bearbeitet werden, wenn dies zur Aufgabenerfüllung zwingend notwendig ist, wenn die gesetzliche Aufgabe also ohne besondere Personendaten überhaupt nicht erfüllt werden kann.