Pflichten der Pensionskasse bei der Gewährung von Datenschutzrechten der Versicherten

Pensionskassen müssen über geeignete Massnahmen zum Schutz der Personendaten der Versicherten verfügen. Insofern als, dass Versicherte darauf vertrauen, dass ihre persönlichen Daten sicher und verantwortungsvoll verarbeitet werden. Doch welche Rechte haben die Versicherten in Bezug auf ihre Daten und wie können Pensionskassen sicherstellen, dass diese Rechte gewahrt werden?

Versicherte einer Pensionskasse haben bestimmte Rechte, die durch das Schweizer Datenschutzgesetz (DSG) geschützt sind. Es ist für Pensionskassen unerlässlich, die gesetzlichen Vorschriften nicht nur gut zu kennen und zu beachten, sondern auch sie in ihren internen Prozessen zu implementieren. Unter anderen haben die Versicherten diese Datenschutz-Rechte:

  • Auskunftsrecht: Betroffene können gemäss Art. 25 DSG Auskunft darüber verlangen, ob Personendaten über Sie bearbeitet werden;
  • Berichtigung, Löschung oder Sperrung: Gemäss Art. 41 DSG können Betroffene von der Pensionskasse als Bundesorgan verlangen, dass Personendaten berichtigt, gelöscht oder vernichtet werden. Alternativ kann statt der Löschung die Bearbeitung der Personendaten eingeschränkt werden, sofern die Richtigkeit der Personendaten bestritten und weder die Richtigkeit noch die Unrichtigkeit festgestellt werden kann; überwiegende Interessen Dritter die Einschränkung erfordern; ein überwiegendes öffentliches Interesse dies erfordert; oder die Löschung oder Vernichtung der Daten eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden kann;
  • Herausgabe von Daten: Sofern Personendaten automatisiert und mit der Einwilligung oder in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages bearbeitet werden, können Betroffene gemäss Art. 28 DSG die Herausgabe der Personendaten in einem gängigen elektronischen Format oder die Übermittlung an einen anderen Verantwortlichen verlangen.

Das umfangreichste, in der Bearbeitung aufwändigste und möglicherweise folgenreichste Recht ist das Auskunftsrecht. Die Erteilung einer vorsätzlich falschen oder unvollständigen Auskunft kann nach Art. 60 DSG strafrechtlich verfolgt und mit Bußgeldern bis zu 250,000 Franken sanktioniert werden. Darüber hinaus besteht die Gefahr einer Schädigung des guten Rufs, wenn derartige Anfragen unvollständig oder fehlerhaft beantwortet werden. Aus diesem Grund ist die Einführung geeigneter interner Verfahren zur Gewährleistung der Einhaltung der entsprechenden rechtlichen Verpflichtungen wichtig. Pensionskassen sollten klare und transparente Prozesse zur Erkennung und Beantwortung von Anfragen der Betroffenen implementieren.

Bei der Gestaltung eines geeigneten Prozesses zur Beantwortung von Auskunftsanfragen nach Art. 25 DSG ist u.a. folgendes zu beachten:

  • Sicheres Erkennen von Auskunftsbegehren:
    Im Allgemeinen sollen Auskunftsbegehren schriftlich gestellt werden. Entsprechende Anfragen müssen jedoch nicht an eine bestimmte Stelle des Verantwortlichen gerichtet sein und benötigen keine bestimmte Formulierung. Somit können Anfragen bei verschiedenen Ansprechpartnern der Pensionskasse eingehen. Die Pensionskasse muss sicherstellen, dass ihre Mitarbeitenden in Bezug auf die Rechte von Betroffenen und die Erkennung von Betroffenenanfragen umfassend geschult sind. Auskunftsbegehren müssen zuverlässig erkannt und dem richtigen Prozess für die Beantwortung zugeordnet werden. Die Schulungen sollten regelmäßig wiederholt werden.

  • Identifikation des Betroffenen:
    Die Pensionskasse muss angemessene Massnahmen treffen, um die anfragende betroffene Person zu identifizieren. Diese ist zur Mitwirkung verpflichtet. Eine zuverlässige Identifikation des Betroffenen ist bei der Beantwortung von Auskunftsanfragen besonders wichtig: Antragsteller könnten bei der Einreichung falsche Namen und E-Mail-Adressen verwenden. Würde ein Antrag ohne angemessene Identitätsprüfung bearbeiten, könnten die Personendaten eines anderen nicht beteiligten Dritten unbefugt offengelegt werden. Dies wäre eine Verletzung der Persönlichkeitsrechte dieser dritten Person.

  • Kosten:
    Auskunftsbegehren sind zunächst kostenlos. Ist jedoch die Beantwortung mit einem unverhältnismässigen Aufwand verbunden, so kann die Pensionskasse von der betroffenen Person verlangen, dass sie sich an den Kosten angemessen beteiligt. Die Beteiligung beträgt maximal 300 Franken. Die Höhe der Beteiligung muss der betroffenen Person vor der Auskunftserteilung mitgeteilt werden. Bestätigt die betroffene Person das Kostengesuch nicht innerhalb von zehn Tagen, so gilt es als ohne Kostenfolge zurückgezogen.

  • Fristen:
    Auskünfte müssen innerhalb von 30 Tagen nach Eingang des Begehrens erteilt werden. Kann die Auskunft nicht innerhalb dieser Frist erteilt werden, so muss die Pensionskasse die betroffene Person darüber informieren und ihr mitteilen, innerhalb welcher Frist die Auskunft erfolgt. Sollte die Pensionskasse die Auskunft aus bestimmten Gründen verweigern oder einschränken, so muss dies der betroffenen Person innerhalb derselben Frist mitgeteilt werden.

  • Vollständigkeit der Antwort:
    Die Auskunft muss der betroffenen Person vollständig und in einer verständlichen Form erteilt werden. In der Antwort sind alle Daten einzubeziehen, die die Pensionskasse zur Person speichert und verarbeitet. Dies betrifft auch Daten, die von einem Auftragsbearbeiter bearbeitet werden (z.B. einem externen Dienstleister für die technische Verwaltung). Die Auftragsbearbeiter haben die Pensionskasse zu unterstützen. Die beinhaltet z.B. die Hilfe bei der Selektion und Zusammenstellung der relevanten Daten. Eine vollständige Antwort soll nach Art. 25 DSG zumindest enthalten:

    • Eine Bestätigung, dass Personendaten über die betroffene Person bearbeitet werden;
    • Identität und die Kontaktdaten des Verantwortlichen;
    • die bearbeiteten Personendaten als solche;
    • Angaben zu den Bearbeitungszwecken;
    • die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
    • die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
    • gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
    • gegebenenfalls die Empfänger oder die Kategorien von Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen zu Garantien zum Schutz der Betroffenen bei der Datenübermittlung.

  • Form der Antwort:
    Die Auskunftserteilung kann elektronisch, schriftlich oder in der Form erfolgen, in der die Daten vorliegen. Laut der Schweizer Datenschutzverordnung kann eine Auskunft auch mündlich erteilt werden, wenn die betroffene Person einverstanden ist. Im Einvernehmen mit dem Verantwortlichen kann die betroffene Person ihre Daten auch an Ort und Stelle einsehen.

  • Verweigerung von Auskünften:
    Nach Art. 26 DSG hat die Pensionskasse gewisse Schutz- und Abwägungsgründe, die dazu führen können, dass eine Auskunft ganz oder teilweise verweigert oder aufgeschoben wird. Zum Beispiel:

    • Um die Persönlichkeitsrechte und datenschutzinteressen von Dritten zu schützen, kann die Pensionskasse die Offenlegung solcher Informationen verweigern, die nicht allein der versicherten Person zuzurechnen sind (z.B. von Begünstigten, Mitarbeitenden oder anderen Versicherten).
    • Wenn das Auskunftsersuchen missbräuchlich auf datenschutzwidrige Zwecke abzielt oder querulatorisch ist, so kann die Pensionskasse die Anfrage ablehnen oder um Konkretisierung bitten.

Fazit

Die Verantwortung, die Pensionskassen beim Schutz von Personendaten tragen, geht weit über das reine Befolgen von gesetzlichen Vorgaben hinaus. Die Einhaltung datenschutzrechtlicher Pflichten schützt nicht nur vor hohen Bußgeldern – sie ist der Schlüssel, das Vertrauen der Versicherte zu sichern. Ein konsequent umgesetzter Datenschutz, der alle Anforderungen des DSG berücksichtigt, signalisiert Kompetenz und Verantwortungsbewusstsein. Durch transparente Prozesse, regelmäßige Schulungen und den konsequenten Einsatz moderner Sicherheitsmaßnahmen wird der Datenschutz zum strategischen Erfolgsfaktor. Nur so lassen sich langfristig das Vertrauen der Versicherte gewinnen und der gute Ruf der Institution erhalten.