Auskunft und Löschung im Shop (Schweiz): Anfragen bearbeiten

Ein Auskunftsbegehren im Shop ist ein Vorgang mit Frist, Form und eigener Strafdrohung; für ein Löschungsbegehren setzt die DSV keine Frist. Wer die Anfrage nicht als Prozess aufsetzt, antwortet zu spät, an die falsche Person oder unvollständig. Das revidierte Datenschutzgesetz, oft nDSG genannt, gilt seit dem 1. September 2023 (Art. 74 DSG).

Wer im Shop verantwortlich ist

Verantwortlicher ist, wer über Zweck und Mittel der Bearbeitung entscheidet (Art. 5 lit. j DSG) — also Ihr Shop, auch wenn Hosting, Zahlung und Versand über Dritte laufen. Bei einem Auftragsbearbeiter bleibt der Shop auskunftspflichtig (Art. 25 Abs. 4 DSG); der Auftragsbearbeiter unterstützt ihn (Art. 17 Abs. 2 DSV).

Das Gesetz schützt Personendaten natürlicher Personen (Art. 2 Abs. 1 DSG); die Kontaktdaten der Ansprechperson eines Geschäftskunden sind Personendaten, die Daten der Firma als solcher nicht. Die Person muss ihr Begehren nicht begründen und kein Interesse nachweisen (so der EDÖB); auf das Auskunftsrecht kann sie nicht im Voraus verzichten (Art. 25 Abs. 1 und 5 DSG).

Vier Rechte, die hinter einer Anfrage stehen können

Begehren	Grundlage	Was Sie tun	Frist nach der DSV
Auskunft	Art. 25 DSG	Angaben nach Art. 25 Abs. 2 DSG liefern; bei fehlenden Daten eine Negativmeldung	30 Tage seit Eingang (Art. 18 Abs. 1 DSV); bei verlangter Kostenbeteiligung erst nach Ablauf der zehntägigen Bedenkzeit (Art. 19 Abs. 3 DSV)
Datenherausgabe oder -übertragung	Art. 28 DSG	ihr bekannt gegebene Daten, die er automatisiert und gestützt auf Einwilligung oder Vertrag bearbeitet, in einem gängigen elektronischen Format herausgeben, grundsätzlich kostenlos	wie die Auskunft, samt Kostenbeteiligung bei unverhältnismässigem Aufwand (Art. 22 in Verbindung mit Art. 19 DSV)
Berichtigung	Art. 32 Abs. 1 DSG	unrichtige Daten berichtigen, ausser ein Gesetz verbietet die Änderung	keine Frist in der DSV
Löschung oder Vernichtung	Art. 32 Abs. 2 lit. c DSG	löschen, was für den Zweck nicht mehr nötig ist und kein Rechtfertigungsgrund deckt	keine Frist in der DSV

Die 30-Tage-Frist steht in der Verordnung beim Auskunftsrecht und gilt über Art. 22 DSV auch für die Datenherausgabe. Für Berichtigung und Löschung nennt die DSV keine Frist; diese Ansprüche richten sich nach den Klagen des Zivilgesetzbuchs (Art. 32 Abs. 2 DSG; Art. 28 und 28a ZGB).

So bearbeiten Sie eine Anfrage in sieben Schritten

1. Eingang erfassen. Das Auskunftsbegehren muss schriftlich sein; mündlich geht es nur, wenn Sie einverstanden sind (Art. 16 Abs. 1 DSV). Notieren Sie das Eingangsdatum, denn es startet die Frist.
2. Identität prüfen. Der Verantwortliche muss angemessene Massnahmen treffen, die anfragende Person muss mitwirken (Art. 16 Abs. 5 DSV). Per Post legt sie nach der Empfehlung des EDÖB eine Ausweiskopie bei; nutzen Sie diese Daten nur zur Identifikation und vernichten Sie die Kopie danach. Elektronische Antworten schützen Sie vor dem Zugriff Unbefugter.
3. Begehren einordnen. Eine Anfrage kann mehrere Rechte enthalten; legen Sie vor der Bearbeitung fest, welche der vier geltend gemacht werden.
4. Daten zusammentragen. Gehen Sie Ihr Verzeichnis der Bearbeitungstätigkeiten durch (Art. 12 Abs. 2 DSG): Shop, ERP, Zahlungsdienstleister, Versand, Support, Newsletter, Webanalyse; ziehen Sie Auftragsbearbeiter ein (Art. 9 DSG). Die Wege gehören auch in die Datenschutzerklärung für den Onlineshop in der Schweiz.
5. Entscheiden, was Sie behalten. Prüfen Sie die Datenkategorie gegen die Aufbewahrungspflichten und Rechtfertigungsgründe im nächsten Abschnitt.
6. Antworten (Auskunft und Herausgabe). Die Auskunft erteilen Sie schriftlich oder in der Form, in der die Daten vorliegen; im Einvernehmen mit der Person auch durch Einsicht an Ort und Stelle oder mündlich; Begehren und Auskunft können auch auf elektronischem Weg erfolgen; sie muss in jedem Fall verständlich sein (Art. 16 Abs. 2 bis 4 DSV). Die Datenherausgabe und -übertragung erfolgt auf Verlangen in einem gängigen elektronischen Format und grundsätzlich kostenlos (Art. 28 Abs. 1 und 3 DSG); bei unverhältnismässigem Aufwand ist auch hier eine Kostenbeteiligung der Person möglich (Art. 22 in Verbindung mit Art. 19 DSV). Verweigern oder schränken Sie ein, begründen Sie es und teilen Sie es innert derselben Frist mit (Art. 26 Abs. 4 DSG; Art. 18 Abs. 3 DSV).
7. Umsetzung festhalten. Notieren Sie Eingang, Entscheid, Begründung und Löschdatum datenminimal, denn auch diese Notiz ist eine Bearbeitung (Art. 6 Abs. 2 und 4 DSG).

Ein weiterer Vorgang kann sich anschliessen: Eine Verletzung der Datensicherheit, etwa ein unberechtigter Zugriff auf ein Kundenkonto, löst die Meldepflicht an den EDÖB nur aus, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt (Art. 24 Abs. 1 DSG); prüfen Sie dieses Risiko (Datenpanne im Onlineshop: Meldung an den EDÖB). Richtet sich die Verarbeitung auf Personen, die sich in der EU befinden, und bietet der Shop ihnen gezielt Waren oder Dienstleistungen an oder beobachtet er ihr Verhalten dort, gilt daneben die DSGVO-Anfrage (Art. 3 Abs. 2 DSGVO).

Was Sie trotz Löschungsbegehren behalten

Ein Löschungsanspruch setzt eine widerrechtliche Persönlichkeitsverletzung voraus (Art. 30 Abs. 1 DSG, Art. 28 Abs. 2 ZGB). Deckt Gesetz, Einwilligung oder ein überwiegendes Interesse die Bearbeitung, müssen Sie nicht löschen (Art. 31 DSG). Das DSG setzt selbst keine Aufbewahrungsfristen; die Dauer ist je Datenkategorie festzulegen und folgt oft aus anderen Gesetzen (so der EDÖB).

Datenkategorie	Aufbewahrung	Grundlage und Art
Geschäftsbücher, Buchungsbelege, Geschäftsbericht, Revisionsbericht	zehn Jahre ab Ablauf des Geschäftsjahres	gesetzliche Pflicht: Art. 958f Abs. 1 OR
Belege und Aufzeichnungen für die Mehrwertsteuer	bis zum Eintritt der absoluten Festsetzungsverjährung, die in jedem Fall zehn Jahre nach Ablauf der Steuerperiode eintritt; 20 Jahre für Unterlagen zur Berechnung der Einlageentsteuerung und des Eigenverbrauchs bei unbeweglichen Gegenständen	gesetzliche Pflicht für mehrwertsteuerpflichtige Shops: Art. 70 Abs. 2 und 3 sowie Art. 42 Abs. 6 MWSTG; Art. 958f OR bleibt vorbehalten
Stamm- und Bestelldaten eines laufenden Auftrags	bis zum Abschluss der Abwicklung	Rechtfertigung durch überwiegendes privates Interesse: Art. 31 Abs. 2 lit. a DSG
Bestelldaten zur Abwehr von Mängelansprüchen	solange eine Klage wegen Mängeln der Kaufsache möglich ist: zwei Jahre ab Ablieferung, ausnahmsweise fünf Jahre	eigene Interessenabwägung, zu dokumentieren; Fristen nach Art. 210 Abs. 1 und 2 OR
Werbe- und Newsletter-Daten nach dem Widerruf	nur ein Sperrvermerk zum Nachweis der Ablehnung, sonst löschen	die Einwilligung entfällt (Art. 6 Abs. 6 DSG; EDÖB zu E-Mail-Werbung)
Warenkorbabbrüche, Marketingprofile, Trackingdaten	vernichten oder anonymisieren, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind	gesetzliche Pflicht: Art. 6 Abs. 4 DSG
Ausweiskopie aus der Identifikation	nur bis zum Abschluss der Identifikation	Zweckbindung und Verhältnismässigkeit: Art. 6 Abs. 2 und 3 DSG; Art. 16 Abs. 5 DSV

Wo eine Aufbewahrungspflicht greift, bleibt die Bearbeitung in deren Umfang zulässig; wo keine greift, haben Sie die Wahl zwischen Vernichtung und Anonymisierung (Art. 6 Abs. 4 DSG). Anonymisierte Daten beziehen sich nicht mehr auf eine bestimmte oder bestimmbare Person und gelten deshalb nicht mehr als Personendaten (Art. 5 lit. a DSG). Trennen Sie die Bestände: Rechnungsdaten bleiben, Kundenkonto, Merkliste und Marketingprofil können verschwinden; den Rest beschränken Sie auf das, was Pflicht oder Rechtfertigung verlangt (Art. 6 Abs. 2 DSG).

Frist, Form und Kosten der Antwort

Die Auskunft erfolgt in der Regel innerhalb von 30 Tagen (Art. 25 Abs. 7 DSG); die Verordnung setzt 30 Tage seit Eingang des Begehrens (Art. 18 Abs. 1 DSV) und verlangt bei Verzögerung eine Mitteilung mit der neuen Frist (Art. 18 Abs. 2 DSV).

Die Auskunft ist kostenlos (Art. 25 Abs. 6 DSG). Eine Beteiligung von höchstens CHF 300 dürfen Sie nur bei unverhältnismässigem Aufwand verlangen; teilen Sie die Höhe vorher mit. Bestätigt die Person nicht innert zehn Tagen, gilt das Gesuch als zurückgezogen, und die 30-Tage-Frist beginnt nach dieser Bedenkzeit (Art. 19 DSV). Dieselbe Kostenregel gilt sinngemäss für die Datenherausgabe und -übertragung (Art. 28 Abs. 3 DSG; Art. 22 DSV).

Die Antwort kann elektronisch erfolgen und muss verständlich sein; im Einvernehmen können Sie die Daten an Ort und Stelle einsehen lassen oder mündlich Auskunft geben (Art. 16 Abs. 2 und 3 DSV). Eine automatisierte Einzelentscheidung mit Folgen für den Kunden, etwa eine Bonitätsprüfung, gehört mit ihrer Logik in die Auskunft (Art. 25 Abs. 2 lit. f DSG).

Wann Sie eine Auskunft verweigern dürfen

Art. 26 Abs. 1 DSG nennt drei Gründe: eine gesetzliche Grundlage im formellen Sinn, überwiegende Interessen Dritter und ein offensichtlich unbegründetes, etwa querulatorisches Gesuch. Ein privater Verantwortlicher darf zusätzlich verweigern, wenn eigene überwiegende Interessen es erfordern und er die Daten nicht Dritten bekanntgibt (Art. 26 Abs. 2 lit. a DSG). Weshalb er verweigert, muss er immer angeben (Art. 26 Abs. 4 DSG).

Auch die Ablehnung ist eine Antwort: Bearbeiten Sie keine Personendaten über die anfragende Person, teilen Sie ihr das mit einer Negativmeldung mit (so der EDÖB).

Was bei einem Verstoss droht

Wer im Zusammenhang mit Art. 25 bis 27 DSG vorsätzlich eine falsche oder unvollständige Auskunft erteilt, wird auf Antrag mit Busse bis CHF 250’000 bestraft (Art. 60 Abs. 1 lit. a DSG); die Verfolgung obliegt den Kantonen (Art. 65 Abs. 1 DSG) und verjährt nach fünf Jahren (Art. 66 DSG). Fahrlässiges Handeln bleibt straflos. Nach der Darstellung des EDÖB werden in erster Linie natürliche Personen bestraft. Für Widerhandlungen in Geschäftsbetrieben gelten Art. 6 und 7 VStrR (Art. 64 Abs. 1 DSG); fällt nur eine Busse von höchstens CHF 50’000 in Betracht und wären die Untersuchungsmassnahmen zur Ermittlung der strafbaren Personen im Hinblick auf die verwirkte Strafe unverhältnismässig, so kann die Behörde von deren Verfolgung absehen und an ihrer Stelle den Geschäftsbetrieb zur Bezahlung der Busse verurteilen (Art. 64 Abs. 2 DSG).

Checkliste für Ihren Shop

• Halten Sie fest, wo Kundendaten liegen: Shop, ERP, Zahlungsdienstleister, Versand, Support, Newsletter, Analyse.
• Legen Sie fest, wer die Identität prüft, wer antwortet und wer einen Entscheid begründet.
• Hinterlegen Sie Textbausteine für Auskunft, Negativmeldung, Berichtigung und begründete Verweigerung.
• Setzen Sie im Ticketsystem für Auskunftsbegehren eine Wartefrist von 30 Tagen ab Eingang; verlangen Sie eine Kostenbeteiligung, läuft sie erst ab Ablauf der zehntägigen Bedenkzeit (Art. 19 Abs. 3 DSV).
• Listen Sie je Datenkategorie, was Sie aufbewahren müssen und was nur aus einer Interessenabwägung bleibt.
• Prüfen Sie Ihre AGB auf Klauseln, die das Auskunftsrecht abbedingen oder mit Gebühren belegen (Art. 25 Abs. 5 DSG).