Fachmitteilung Nr. 91 als pdf - Mit uns

Schweizerischer Pensionskassenverband
Association suisse des Institutions de prévoyance
Associazione svizzera delle Istituzioni di previdenza
Kreuzstrasse 26
8008 Zürich
Telefon 043 243 74 15/16
Telefax 043 243 74 17
E-Mail info@asip.ch
Website www.asip.ch
Zürich, 3. September 2012
Fachmitteilung Nr. 91
Datenschutz
Ausgangslage
Immer wieder gab die Frage des Datenflusses zwischen der Vorsorgeeinrichtung (VE) und
dem ihr angeschlossenen Arbeitgeber zu Diskussionen Anlass. Im Urteil vom 10. 04. 2012
(A-4467/2011) hat das Bundesverwaltungsgericht nun ausdrücklich festgehalten, dass die
Bearbeitung und Bekanntgabe von Personendaten dem Datenschutzgesetz (DSG, ergänzt
durch die spezialgesetzlichen Normen des BVG und des OR) unterstehen und dass die VE
nur solche Personendaten an den Arbeitgeber weitergeben darf, die für die Erfüllung der
arbeitsvertraglichen und der im Rahmen der beruflichen Vorsorge anfallenden Aufgaben des
Arbeitgebers objektiv notwendig sind. Nach Auffassung des Bundesverwaltungsgerichts verletzt
die Zustellung der Vorsorgeausweise in unverschlossenen Couverts an die Arbeitgebenden
zwecks Weiterleitung an die bei ihnen versicherten Arbeitnehmenden den Grundsatz
der Datensicherheit (Art. 7 DSG).
I. Bearbeiten von Personendaten durch den Arbeitgeber
Der Arbeitgeber darf Daten über die Arbeitnehmenden nur bearbeiten, soweit sie sich auf
dessen Eignung für das Arbeitsverhältnis beziehen oder zur Durchführung des Arbeitsvertrags
erforderlich sind (Art. 328b OR). Der Arbeitgeber hat grundsätzlich kein Anrecht auf
Informationen betreffend die persönlichen Vermögensverhältnisse und Gesundheitsdaten.
Zudem unterstehen die in die Durchführung des BVG involvierten Personen des Arbeitgebers
und die Arbeitgebervertreter im paritätischen Führungsorgan der VE der Schweigepflicht
von Art. 86 BVG. Dadurch soll verhindert werden, dass der Arbeitgeber die konkreten
Vorsorgeverhältnisse als eines der Kriterien dafür heranzieht, ob zum Beispiel im Rahmen

einer Restrukturierungsmassnahme das Arbeitsverhältnis mit einer bestimmten angestellten
Person aufgelöst werden soll.
II. Bearbeiten von Personendaten durch die Vorsorgeeinrichtung
Die Organe der Vorsorgeeinrichtungen und die von ihnen mit der Aufgabenerfüllung betrauten
Dritten sind an die Art. 4ff. DSG (allgemeine Datenschutzbestimmungen) gebunden. Insbesondere
müssen die Personendaten vor unbefugtem Zugriff gesichert sein (Art. 7 DSG).
Die Grundsätze der Bearbeitung von Personendaten des DSG gelten auch in der weitergehenden
beruflichen Vorsorge. Die Nichteinhaltung stellt eine nicht rechtfertigungsfähige Persönlichkeitsverletzung
dar (Art. 12 DSG).
1. Schweigepflicht
Auskunftsbegehren der versicherten Personen bei ihrer VE dürfen zu keinen negativen Auswirkungen
auf ihr Arbeitsverhältnis führen, weshalb die Mitarbeitenden der Vorsorgeeinrichtungen
der Schweigepflicht gemäss Art. 86 BVG unterstehen. Die Verletzung dieser Pflicht
wird mit Gefängnis bis zu sechs Monaten oder mit Busse bis zu CHF 30‘000 bestraft; vorbehalten
bleibt das Vorliegen eines Verbrechens oder Vergehens, das nach Strafgesetzbuch
mit einer strengeren Strafe bedroht wird, wie z.B. die Amtsgeheimnisverletzung (Art. 320
StGB). Die Schweigepflicht gilt gegenüber „Dritten“, also gegenüber all den Stellen und Personen,
die nicht zur VE gehören. Obwohl sie auf die obligatorische berufliche Vorsorge beschränkt
ist, gilt sie auch bei umhüllenden Vorsorgeeinrichtungen. Bei rein überobligatorischen
Vorsorgeeinrichtungen gelten der Persönlichkeitsschutz nach Art. 28 ZGB sowie der
datenschutzrechtliche Berufsgeheimnisschutz nach Art. 35 DSG.
2. Datenbekanntgabe gegenüber Dritten
Art. 86a BVG regelt abschliessend die zulässige Bekanntgabe von Personendaten an Dritte
und geht der allgemeinen Datenbearbeitungsbestimmung von Art. 85a BVG vor. Sofern kein
überwiegendes Privatinteresse entgegensteht, ist die Datenbekanntgabe ohne schriftliches
Ersuchen z.B. zwischen den verschiedenen Organen der beruflichen Vorsorge zulässig, soweit
die Daten für die Aufgabenerfüllung notwendig sind (Art. 86a Abs. 2 lit. a BVG). Weiter
ist die Bekanntgabe von Personendaten zulässig, wenn die betroffene Person im Einzelfall
schriftlich eingewilligt hat. Die Einwilligung ist nur gültig, wenn sie nach angemessener Information
freiwillig erfolgt ist. Bei der Bearbeitung besonders schützenswerter Daten im Sinne
von Art. 3 lit. c DSG (z.B. Gesundheitsdaten) muss die Einwilligung ausdrücklich erfolgen.
In der weitergehenden und ausserobligatorischen beruflichen Vorsorge gelten die gleichen
Voraussetzungen (Art. 4 Abs. 5 DSG). Bei einem Outsourcing hat sich die VE zu vergewissern,
dass der Dritte die Datensicherheit gewährleistet (Art. 10a Abs. 2 DSG).
2

Fazit und Empfehlungen
Der Arbeitgeber ist hinsichtlich der Personendaten der Arbeitnehmenden/Versicherten als
Dritter zu behandeln. Es steht ihm lediglich insoweit Einsicht in Personendaten zu, als diese
für die Wahrnehmung seiner arbeitsrechtlichen und berufsvorsorgerechtlichen Pflichten (z.B.
Auskunftspflicht gemäss Art. 331 Abs. 4 OR) unabdingbar ist. Dies gilt insbesondere auch für
die Vertreter sowohl des Arbeitgebers als auch der Arbeitnehmenden im paritätischen Organ
hinsichtlich individualisierter, vor allem gesundheitsbezogener Daten über versicherte Arbeitnehmende.
Eine Einschränkung des Einsichtsrechts der Arbeitgeberseite in Personaldossiers
der Vorsorgeeinrichtung ist gerechtfertigt, da diese Detailkenntnisse für die dem paritätischen
Organ zukommenden Aufgaben irrelevant sind. Sinngemässe Überlegungen gelten
auch für die paritätische Verwaltung auf Stufe Vorsorgewerk.
Wir empfehlen folgende Massnahmen:
1. Es ist sicherzustellen, dass Informationen nur an diejenigen Personen fliessen, die sie
effektiv auch brauchen. Insbesondere bei Konstellationen von Personalunionen (z. B. bei
Personen aus dem Personalwesen, die gleichzeitig für die VE tätig sind) sind Kommunikationsschranken
einzubauen.
2. Bei Übertragung der Führung der Versichertendossiers an einen aussenstehenden Dritten
(nicht den Arbeitgeber) im Sinne eines Outsourcings: Sicherstellung der Gewährleistung
der Datensicherheit durch diesen Dritten gemäss Art. 10a Abs. 2 DSG.
3. Periodischer Versand wichtiger, die versicherte Person besonders und persönlich interessierender
Daten, wie zum Beispiel der Vorsorgeausweis, entweder direkt an den Versicherten
oder dann in einem verschlossenem Couvert an den Arbeitgeber zwecks Weiterleitung
an den Versicherten.
ASIP
Hanspeter Konrad
3