EDÖB: Der Eidgenössische Datenschutzbeauftragte
Der EDÖB (Eidgenössischer Datenschutzbeauftragter) ist der unabhängige Bundesbeauftragte für Datenschutz, ernannt durch Parlament. Er untersucht Beschwerden von Mitarbeitenden über den Umgang mit ihren Daten—besonders bei Rekrutierung und Anstellung—und trifft verbindliche Entscheidungen. Sie brauchen keine Erlaubnis vor der Datenverarbeitung, müssen aber EDÖB sofort benachrichtigen, wenn ein Datenpanne persönliche Informationen von Bewerbern oder Angestellten gefährdet.
Der EDÖB existiert, weil das revDSG (revidiertes Bundesgesetz über den Datenschutz) jedem Arbeitnehmer das Recht auf Einsicht in die Verwendung seiner Daten gewährt. Sie sammeln sensible Informationen: Adresse, Lohngeschichte, Gesundheitsangaben, AHV-Nummern. Der EDÖB stellt sicher, dass Sie dies rechtmässig und sicher tun.
Sie treffen den EDÖB an, wenn sich ein Arbeitnehmer über Datenmissbrauch beschwert oder wenn Sie eine Datenpanne erleben. Das Amt ist klein, aber hat echte Autorität. Die Missachtung einer Meldepflicht oder eines EDÖB-Beschlusses kann zu Bussgeldern bis CHF 250'000 führen.
Wann der EDÖB relevant wird
Der EDÖB wird aktiv nur, wenn jemand Beschwerde einreicht oder Sie einen Datenpannen melden. Es gibt keine Genehmigung, die Sie vor der Rekrutierung einholen müssen. Aber das revDSG verpflichtet Sie, Datenpannen ohne unnötige Verzögerung—üblicherweise innerhalb von 72 Stunden—dem EDÖB zu melden, wenn die Panne ein ernsthaftes Risiko für Rechte oder Freiheiten birgt.
Mitarbeitende und Bewerber können sich beschweren, wenn Sie deren Daten rechtswidrig speichern, ohne Zustimmung weitergeben oder ihnen keinen Zugang gewähren. Der EDÖB untersucht dann und kann Sie anordnen zu handeln.
- Datenpannen: EDÖB innerhalb von 72 Stunden melden, wenn ernstliches Schadensrisiko besteht
- Beschwerden: Arbeitnehmer können beim EDÖB Beschwerde erheben, falls Sie Daten rechtswidrig handhaben
- Auskunftsrecht: Kandidaten und Arbeitnehmer können Kopien ihrer Daten verlangen
- Keine Vorabgenehmigung: Sie fragen EDÖB nicht um Erlaubnis vor Datenerfassung
- Verbindliche Entscheidungen: EDÖB-Entscheide sind durchsetzbar, Sie können sie nicht ignorieren
- Gilt für alle: Keine Grössenausnahme, auch Einzelfirmen unterliegen dem revDSG
Ihre Verpflichtungen nach dem revDSG
Sie dürfen nur Daten sammeln, die für Rekrutierung oder Anstellung notwendig sind. Wenn Sie vor bedingtem Stellenangebot Gesundheitsgeschichte verlangen oder CVs länger als nötig speichern, verstossen Sie gegen das Gesetz. Sie müssen auch sicherstellen, dass Daten sicher gespeichert werden—unverschlüsselte Dateien auf gemeinsamen Laufwerken oder ausgedruckte Formulare in ungesperrten Schränken führen zu Problemen.
Sie müssen Kandidaten und Mitarbeitenden mitteilen, welche Daten Sie sammeln und warum. Ein Datenschutzhinweis in Ihrer Ausschreibung oder im Arbeitsvertrag—in verständlicher Sprache—erfüllt diese Anforderung. Nutzen Sie Rekrutierungssoftware wie zenRecruiting.ai, prüfen Sie, ob der Anbieter eine Auftragsbearbeitervereinbarung mit Ihnen unterzeichnet hat.
- Zweckbindung: Daten nur für legitime Rekrutierungs- oder Anstellungszwecke sammeln
- Dataminimierung: Nicht mehr Daten verlangen als nötig
- Speichersicherheit: Dateien verschlüsseln, Schränke abschliessen, Zugang kontrollieren
- Transparenz: Mitteilen, wie Sie Kandidaten- und Arbeitnehmerdaten verwenden
- Auftragsbearbeiterverträge: Softwareanbieter müssen revDSG-konform sein
- Aufbewahrungsfristen: CVs und Bewerbungen nach Anstellung oder angemessener Frist löschen
Der häufigste Fehler
Arbeitgeber lagern Bewerbungs-CVs jahrelang 'für alle Fälle'. Nach dem revDSG ist diese Speicherung ohne rechtmässigen Zweck illegal. Wenn sich ein Kandidat später beschwert, dass Sie dessen Daten rechtswidrig speichern, wird EDÖB dem Kandidaten recht geben. Sie müssen die Daten löschen und zahlen möglicherweise Bussgeld.
Ein zweiter häufiger Fehler: Eine Datenpanne nicht zu melden, weil Sie annehmen, sie 'war nicht so schlimm'. Der EDÖB entscheidet über die Schwere, nicht Sie. Wenn Lohndaten eines Mitarbeiters freigelegt wurden, melden Sie es. Wenn Sie Passwörter im Klartext speichern und sie durchsickern, melden Sie es. Stille verschärft die Verletzung. Wenden Sie sich an einen Anwalt, wenn Sie unsicher sind.
- CVs unbegrenzt ohne erklärten Zweck speichern verstösst gegen revDSG
- Datenpannen nicht zu melden ist rechtswidrig und verschärft die Verletzung
- Nicht anzunehmen, dass 'es nicht so schlimm' ist, kostet mehr als schnelle Meldung
- Nie allein entscheiden, ob eine Panne ernst ist—EDÖB entscheidet
- Rekrutierungssoftware muss explizite Datenschutzverpflichtungen im Vertrag haben
- Aufbewahrungsrichtlinie dokumentieren und konsequent einhalten, sonst findet EDÖB Sie nicht konform
Häufige Fragen
- Brauche ich EDÖB-Genehmigung, bevor ich mit der Rekrutierung beginne?
- Nein. Sie suchen nicht um EDÖB-Erlaubnis, bevor Sie personenbezogene Daten verarbeiten. Das revDSG ist prinzipienbasiert: Sie müssen selbst rechtmässig handeln. EDÖB untersucht nur nach einer Beschwerde oder Meldung.
- Wie lange darf ich einen CV eines abgelehnten Kandidaten behalten?
- Unter revDSG: nicht länger als für den Rekrutierungszweck nötig. Best Practice: Nach 6–12 Monaten löschen, es sei denn, der Kandidat hat zugestimmt, dass Sie es für zukünftige Stellen speichern. Dokumentieren Sie Ihre Richtlinie und wenden Sie sie konsistent an.
- Was passiert, wenn ich eine Datenpanne nicht dem EDÖB melde?
- Sie riskieren Bussgelder bis CHF 250'000 und Durchsetzungsmassnahmen. EDÖB kann auch öffentliche Mitteilungen herausgeben, was Ihrem Ruf schadet. Betroffene können Sie auch separat auf Schadensersatz klagen.
Allgemeine Informationen für Schweizer Arbeitgeber, keine Rechtsberatung. Lassen Sie alles mit rechtlichen Folgen von einer Juristin prüfen.