Art. 15 DSGVO und revDSG
In drei Sätzen verstanden
DSGVO Art. 15 (EU) und Art. 25 ff. revDSG (Schweiz, in Kraft seit 1.9.2023) gewähren Betroffenen Auskunfts- und Informationsrechte gegenüber datenverarbeitenden Stellen. Strukturen sind ähnlich; Durchsetzungsstärke unterscheidet sich (EU-Aufsichtsbehörden mit Bussenbefugnis bis 4 % Konzernumsatz; Schweizer EDÖB hat seit revDSG erweiterte Anordnungs- und Sanktionsbefugnisse).
Mechanik
DSGVO Art. 15: Betroffene können Auskunft über verarbeitete Daten, Zwecke, Empfänger, Speicherdauer und Quellen verlangen — innert 30 Tagen, kostenlos. Schweizer revDSG Art. 25 ist strukturell vergleichbar.
NDG-Daten sind in der Schweiz Sonderregime (Art. 63 NDG); DSGVO/revDSG greifen primär bei Privatwirtschaft und allgemeiner Verwaltung. Für Daten bei US-Hyperscalern gilt: revDSG bindet den Schweizer Vertragspartner (z.B. Microsoft Switzerland), aber CLOUD-Act-Anfragen umgehen diese Bindung.
Was das für die Schweiz bedeutet
Schweizer Bürger:innen können bei jeder Stelle Auskunft verlangen. Praktische Probleme: Identifikation, Vollständigkeit, Sub-Auftragsverarbeiter. Bei Microsoft 365 muss differenziert werden zwischen «Standard-Datenkategorien» (welche Microsoft offenlegt) und «System-Telemetrie» (Geschäftsgeheimnis).
Logische Schlussfolgerung
DSGVO/revDSG sind effektiv für direkte Datenherausgabe — ineffektiv für Datenströme, die unter US-Recht erzwungen werden. Die Auskunft enthält selten Hinweise auf CLOUD-Act/FISA-702-Anfragen, weil der Provider rechtlich oft verpflichtet ist zu schweigen.
Was sich daraus für die Gesetzgebung ergibt
Hinweis: Die folgenden Punkte sind Empfehlungen aus dem BGDS-Entwurf (Sektion 6) — kein geltendes Recht, sondern Vorschläge für eine künftige Schweizer Gesetzgebung.
Der BGDS-Vorschlag (Art. 9-14) würde revDSG-Auskunftsrecht um eine Pflicht zur Offenlegung von US-Behörden-Datenanfragen, sobald rechtlich möglich (analog Microsoft Transparency Reports) ergänzen.