Auskunftsrecht Schweiz: Auskunftsbegehren nach Art. 25 nDSG stellen

Jede Person in der Schweiz, und unter Umständen auch ausserhalb, kann eine Organisation fragen, welche Personendaten sie über sie bearbeitet und wozu sie diese verwendet. Das ist das Auskunftsrecht nach Art. 25 des nDSG, des revidierten Bundesgesetzes über den Datenschutz. Es wirkt selbst gegenüber einem Unternehmen oder einer Behörde, das oder die der betroffenen Person noch nie etwas über ihre Datenbestände mitgeteilt hat, und es braucht dafür weder eine Anwältin noch ein Gericht.

Diese Seite erklärt, was ein Verantwortlicher, also wer über Zweck und Mittel der Bearbeitung entscheidet, tatsächlich herausgeben muss, wie viel Zeit er für die Antwort hat, was er dafür verlangen darf, und auf welchen engen Gründen er das Begehren ablehnen darf. Sie enthält zudem durchgerechnete Beispiele und eine kurze Vorlage, die Sie für Ihr eigenes Begehren anpassen können.

Sie gehört zu unserer umfassenderen Berichterstattung zum Schweizer Datenschutzrecht, die wiederum Teil des breiteren Leitfadens zum Schweizer Recht ist.

Informationen zuletzt geprüft am 21. Juli 2026. Diese Seite enthält allgemeine rechtliche Informationen zum Schweizer Recht und stellt keine Rechtsberatung im Einzelfall dar.

Was Artikel 25 Ihnen tatsächlich zusteht

Nach Art. 25 Abs. 1 nDSG kann jede Person einen Verantwortlichen fragen, ob er überhaupt Personendaten über sie bearbeitet. Ist das der Fall, verpflichtet Art. 25 Abs. 2 nDSG den Verantwortlichen, das herauszugeben, was die Person braucht, um ihre Rechte tatsächlich wahrzunehmen, und legt ein Minimum fest, das in jedem Fall enthalten sein muss.

Dieses Minimum umfasst die Identität und Kontaktdaten des Verantwortlichen, die bearbeiteten Personendaten als solche, den Zweck der Bearbeitung sowie die Aufbewahrungsdauer oder die Kriterien, nach denen sie festgelegt wird. Es umfasst zudem, was über die Herkunft der Daten bekannt ist, wenn sie nicht direkt bei der Person erhoben wurden, ob eine automatisierte Einzelentscheidung vorliegt und, falls ja, die dahinterliegende Logik, sowie die Empfängerinnen und Empfänger oder Kategorien von Empfängerinnen und Empfängern, denen die Daten bekanntgegeben wurden oder werden.

Gesundheitsdaten geniessen eine zusätzliche Schutzvorkehrung. Art. 25 Abs. 3 nDSG erlaubt es, sie über eine von der antragstellenden Person genannte Gesundheitsfachperson statt direkt mitzuteilen, wenn die Person diesen Weg vorzieht. Zwei weitere Punkte sind für die praktische Wirkung des Rechts wichtig.

Art. 25 Abs. 4 nDSG stellt klar, dass der Beizug eines Auftragsbearbeiters den Verantwortlichen nicht davon befreit, das Begehren einfach weiterzureichen und sich aus der Verantwortung zu ziehen. Antwortpflichtig bleibt der Verantwortliche selbst. Art. 25 Abs. 5 nDSG fügt an, dass niemand im Voraus auf dieses Recht verzichten kann, sodass eine versteckte Klausel in einem Vertrag oder in allgemeinen Geschäftsbedingungen es nicht wegbedingen kann.

Der realistische Zeitrahmen: 30 Tage sind die Regel, keine feste Mauer

Art. 25 Abs. 7 nDSG sieht vor, dass die Auskunft in der Regel innert 30 Tagen erteilt wird. Diese Formulierung ist entscheidend. Es handelt sich um eine Regel, auf die das System ausgerichtet ist, nicht um eine absolute gesetzliche Grenze ohne rechtmässigen Weg darüber hinaus.

Art. 18 DSV regelt die Einzelheiten. Abs. 1 lässt die Frist von 30 Tagen ab dem Eingang des Begehrens laufen. Abs. 2 gibt dem Verantwortlichen einen rechtmässigen Ausweg, wenn er die Frist tatsächlich nicht einhalten kann: Er muss der antragstellenden Person mitteilen, dass er die 30 Tage nicht einhalten kann, und einen neuen Termin nennen, bis zu dem die Antwort erfolgt.

Abs. 3 fügt an, dass eine Verweigerung, eine Einschränkung oder ein Aufschub innert derselben ursprünglichen Frist mitzuteilen ist und nicht auf später verschoben werden darf.

Ein kurzes Beispiel zeigt, wie das in der Praxis abläuft. Sara schreibt einem Unternehmen am 3. März eine E-Mail und verlangt nach Art. 25 nDSG alles, was es über sie gespeichert hat. Nach Art. 18 Abs. 1 DSV ist die Antwort bis zum 2. April fällig. Liegen die Daten des Unternehmens in einem alten System, das noch migriert wird, und kann die Prüfung bis dahin tatsächlich nicht abgeschlossen werden, muss das Unternehmen Sara vor dem 2. April schreiben und einen neuen Termin nennen, etwa den 30. April, statt die 30 Tage stillschweigend verstreichen zu lassen.

Das unterscheidet sich echt von der Struktur der DSGVO mit einer festen Frist von einem Monat, die um bis zu zwei weitere Monate verlängert werden kann. Das nDSG knüpft die Verlängerung an eine tatsächliche Mitteilungspflicht statt an eine gedeckelte Zahl zusätzlicher Monate, doch die Mitteilung ist nicht freiwillig. Ein Verantwortlicher, der die 30 Tage verpasst und nichts sagt, hat nichts rechtmässig verlängert.

Was es kosten darf: grundsätzlich kostenlos, sonst gedeckelt

Art. 25 Abs. 6 nDSG hält unmissverständlich fest, dass der Verantwortliche die Auskunft kostenlos erteilen muss. Das ist die Regel, und die meisten Begehren kosten die antragstellende Person überhaupt nichts.

Art. 19 DSV sieht eine einzige, eng gefasste Ausnahme vor. Verursacht die Beantwortung einen unverhältnismässigen Aufwand, kann der Verantwortliche die Person an den Kosten beteiligen, wobei Abs. 2 diesen Beitrag unabhängig vom tatsächlichen Aufwand auf CHF 300 begrenzt. Abs. 3 fügt zwei Schutzvorkehrungen an. Der Verantwortliche muss der Person den Betrag mitteilen, bevor er die Auskunft erteilt, und bestätigt die Person das Begehren nicht innert 10 Tagen nach dieser Mitteilung, gilt das Begehren als zurückgezogen, ohne dass ihr dafür Kosten entstehen.

Beim zeitlichen Ablauf lohnt es sich, sich zu merken, wo dieses 10-Tage-Fenster liegt. Es liegt vor dem Beginn der 30-Tage-Frist. Die Frist nach Art. 18 Abs. 1 DSV beginnt erst, wenn das 10-tägige Bestätigungsfenster abgelaufen ist, sodass ein Fall mit Gebühr rechtmässig insgesamt länger dauern kann als ein einfacher Fall, ohne dass der Verantwortliche dabei etwas falsch gemacht hätte.

Marcos Begehren veranschaulicht das. Er verlangt von einem Callcenter-Betreiber fünf Jahre aufgezeichneter Kontakte samt zugehöriger Notizen. Das Unternehmen erachtet die dafür nötige manuelle Prüfung als unverhältnismässigen Aufwand und teilt Marco mit, dass es dafür vor Beginn der Arbeit CHF 250 verlangt.

Marco hat 10 Tage Zeit, um zu bestätigen, dass er weiterhin an seinem Begehren festhält. Tut er das, beginnt die 30-Tage-Frist für die eigentliche Antwort erst zu laufen, sobald dieses Bestätigungsfenster abgelaufen ist, und nicht ab dem Datum seines ursprünglichen Begehrens.

Wann ein Verantwortlicher rechtmässig ablehnen darf

Art. 26 Abs. 1 nDSG erlaubt es einem Verantwortlichen, die Auskunft zu verweigern, einzuschränken oder aufzuschieben, wenn ein formelles Gesetz dies vorsieht, insbesondere zum Schutz eines Berufsgeheimnisses, wenn überwiegende Interessen Dritter dies erfordern, oder wenn das Begehren offensichtlich unbegründet ist, etwa weil es einen datenschutzwidrigen Zweck verfolgt, oder offensichtlich querulatorisch.

Art. 26 Abs. 2 nDSG fügt zwei weitere Gründe an, je nachdem, wer der Verantwortliche ist. Ein privater Verantwortlicher kann die Auskunft auch verweigern, wenn seine eigenen überwiegenden Interessen dies erfordern und die Daten nicht an Dritte weitergegeben werden. Ein Bundesorgan kann sie verweigern, wenn ein überwiegendes öffentliches Interesse besteht, insbesondere die innere oder äussere Sicherheit des Staates, oder wenn das Begehren eine Untersuchung, eine Abklärung oder ein Verfahren gefährden würde.

Art. 26 Abs. 3 nDSG schliesst eine naheliegende Lücke für Unternehmensgruppen. Gesellschaften desselben Konzerns gelten für den oben genannten Grund des privaten Verantwortlichen nicht als Dritte, sodass ein Konzern nicht geltend machen kann, er habe Daten zurückgehalten, um die eigenständigen Interessen einer Schwestergesellschaft zu schützen.

Auf welchen Grund sich ein Verantwortlicher auch stützt, Art. 26 Abs. 4 nDSG verlangt, dass er tatsächlich begründet, weshalb er die Auskunft verweigert, eingeschränkt oder aufgeschoben hat. Eine pauschale Ablehnung ohne genannten Grund ist keine rechtmässige Anwendung von Art. 26, sondern schlicht ein Begehren, das der Verantwortliche nicht ordnungsgemäss beantwortet hat.

Das Auskunftsbegehren formulieren

Das nDSG schreibt keine amtliche Form vor, und ein Verantwortlicher kann rechtmässig nicht verlangen, dass Sie zuerst ein eigenes Formular ausfüllen, bevor er tätig wird. Ein paar praktische Entscheidungen machen den Unterschied zwischen einem Begehren, das ordentlich beantwortet wird, und einem, das sich hinzieht.

Weisen Sie sich klar aus, mit Ihrem Namen und den Kontaktdaten, an die die Antwort gehen soll, sowie genügend Angaben, damit der Verantwortliche Ihre Unterlagen tatsächlich finden kann, ohne raten zu müssen. Halten Sie ausdrücklich fest, dass Sie Ihr Auskunftsrecht nach Art. 25 nDSG geltend machen, damit das Begehren nicht als gewöhnliche Anfrage an den Kundendienst gelesen wird. Sagen Sie, was Sie bestätigt haben möchten, sei es alles, was der Verantwortliche über Sie hält, oder ein bestimmtes System, eine Abteilung oder ein bestimmter Zeitraum, denn ein eingegrenztes Begehren wird oft rascher beantwortet als ein offenes.

Versenden Sie es über einen Kanal, der eine Nachverfolgbarkeit hinterlässt, etwa E-Mail oder einen eingeschriebenen Brief, und bewahren Sie eine Kopie mit Datum auf. Das Gesetz verlangt weder Deutsch, Französisch noch Italienisch, doch wer in der Amtssprache schreibt, in der der Verantwortliche üblicherweise arbeitet, kann damit rechnen, dass das Begehren rascher an der richtigen Stelle ankommt.

Nachfolgend eine kurze Vorlage, die Sie anpassen können. Ersetzen Sie die eckigen Klammern durch Ihre eigenen Angaben, bevor Sie das Begehren versenden.

An die Datenschutz- oder Rechtsabteilung von [Firmenname]. Ich mache mein Auskunftsrecht nach Art. 25 nDSG geltend und bitte Sie zu bestätigen, ob Sie Personendaten über mich bearbeiten. Falls ja, bitte ich Sie um Angabe der Kategorien der bearbeiteten Daten, des Zwecks der Bearbeitung, der Aufbewahrungsdauer oder der Kriterien zu deren Festlegung, der Herkunft der Daten, sofern sie nicht direkt bei mir erhoben wurden, sowie der Empfängerinnen und Empfänger oder Kategorien von Empfängerinnen und Empfängern, denen die Daten bekanntgegeben wurden. Mein Name ist [Ihr Name], meine Adresse lautet [Ihre Adresse], und ich bin erreichbar unter [Ihre E-Mail-Adresse oder Telefonnummer]. Mir ist bewusst, dass eine Antwort nach Art. 18 der Datenschutzverordnung in der Regel innert 30 Tagen erfolgt, und ich bitte um direkte Mitteilung, falls mehr Zeit benötigt wird.

Ein durchgerechnetes Beispiel: die Akte vom früheren Arbeitgeber verlangen

Ein häufiger Praxisfall ist eine ehemalige Arbeitnehmerin, die nach einer Kündigung oder einem Streit ihre Personalakte will. Richtig gestellt, sollte das Begehren die Personalakte selbst erfassen, allfällige Beurteilungs- oder Leistungsnotizen, Aufzeichnungen zu disziplinarischen Massnahmen sowie das Ergebnis einer allfälligen automatisierten Bewertung durch den Arbeitgeber, zusammen mit dem Zweck, aus dem jede Kategorie aufbewahrt wird.

Ein Arbeitgeber kann sich in einem echten Fall dennoch auf Art. 26 berufen. Notizen zu einer laufenden internen Untersuchung gegen eine andere Person oder Material, das tatsächlich unter das überwiegende Interesse eines Dritten fällt, etwa die eigenen Personendaten einer Kollegin, die in derselben Akte vermischt sind, dürfen rechtmässig zurückbehalten oder geschwärzt werden. Was der Arbeitgeber rechtmässig nicht tun kann, ist die gesamte Akte ohne Erklärung zu verweigern oder die 30 Tage einfach kommentarlos verstreichen zu lassen.

Was tun, wenn die Antwort unzureichend ist oder ausbleibt

Zwei Wege stehen offen, wenn ein Verantwortlicher schlecht geantwortet hat, verspätet und ohne Mitteilung, oder überhaupt nicht geantwortet hat. Dabei hilft es, ehrlich zu wissen, was jeder dieser Wege leisten kann und was nicht.

Der erste ist eine Anzeige beim EDÖB. Art. 49 nDSG erlaubt der Behörde, aufgrund einer Anzeige eine Untersuchung zu eröffnen, wenn ausreichende Anhaltspunkte für eine mögliche Verletzung bestehen, und Art. 50 nDSG gibt ihr die Befugnis, Unterlagen und Zugang zu verlangen, wenn der Verantwortliche nicht freiwillig kooperiert. Stellt sie eine Verletzung fest, kann sie den Verantwortlichen nach Art. 51 nDSG anweisen, sich daran zu halten, etwa indem er die von Art. 25 verlangte Auskunft tatsächlich erteilt, oder sie kann sich auf eine formelle Verwarnung beschränken, wenn das Problem während der Untersuchung bereits behoben wurde. Was sie nicht kann, ist Ihnen Schadenersatz zuzusprechen oder dem Unternehmen selbst eine Busse aufzuerlegen.

Hat ein Verantwortlicher auf Ihr Begehren vorsätzlich eine falsche oder unvollständige Auskunft erteilt oder vorsätzlich überhaupt nicht geantwortet, kann das eine Straftat nach Art. 60 nDSG darstellen, mit einer Busse bis zu CHF 250000. Art. 60 Abs. 1 nDSG wird nur auf Antrag verfolgt, es handelt sich also um ein Antragsdelikt: Im Regelfall muss die betroffene Person selbst einen Strafantrag stellen, und eine Meldung an den EDÖB setzt für sich allein noch keine Strafverfolgung in Gang.

Diese Verantwortlichkeit trifft die innerhalb der Organisation verantwortliche Einzelperson, nicht das Unternehmen als Abstraktum, und sie wird nach Art. 65 nDSG durch die kantonalen Behörden verfolgt. Der EDÖB kann Anzeige erstatten und sich als Privatklägerschaft beteiligen, die Busse selbst auferlegen kann er jedoch nicht. Die Straftat setzt Vorsatz voraus, sodass gewöhnliche Nachlässigkeit diese Schwelle nicht erreicht. Unsere Übersicht zum nDSG stellt die Strafbestimmungen im Detail dar.

Der zweite Weg ist eine gewöhnliche Zivilklage. Eine Person kann ein Zivilgericht ersuchen, einen Verantwortlichen zur Einhaltung von Art. 25 zu verpflichten, im Rahmen des allgemeinen Verfahrens, das für jede Zivilklage in der Schweiz zur Verfügung steht. Dieser Weg kann eine Einhaltung erzwingen, wo die Korrekturbefugnisse des EDÖB nicht ausreichen, ist jedoch langsamer und kostspieliger als eine Anzeige, und er führt nicht von selbst zu einer Entschädigung für einen unabhängigen Streit, sondern nur zu einer Anordnung, die an das Auskunftsbegehren selbst gebunden ist.

Reichweite über die Schweizer Grenze hinaus

Art. 3 nDSG lässt das Gesetz überall dort gelten, wo sich ein Sachverhalt in der Schweiz auswirkt, selbst wenn er im Ausland ausgelöst wurde. Massgebend ist, wo die Auswirkung eintritt, nicht wo das Unternehmen seine Server oder seinen Hauptsitz hat.

In der Praxis kann ein ausländisches Unternehmen, das Kundinnen und Kunden in der Schweiz bedient, etwa ein Online-Händler oder ein Abo-Dienst mit Sitz ausserhalb des Landes, in den Anwendungsbereich von Art. 25 fallen, obwohl es überhaupt kein Büro in der Schweiz hat, sofern seine Bearbeitung Personen hier betrifft. Die Distanz zur Schweiz ist für sich allein kein Einwand gegen ein Auskunftsbegehren.

Die Schweiz ist nicht die EU, und dies ist kein DSGVO-Antrag

Die Schweiz ist kein Mitglied der Europäischen Union, und die DSGVO ist kein Schweizer Recht. Das auf dieser Seite beschriebene Recht stammt aus dem nDSG, einem Schweizer Gesetz, und wird nach Schweizer Fristen und Schweizer Gebührenregeln beantwortet, nicht nach der Struktur der DSGVO mit einem Monat und zwei weiteren Monaten.

An einem Punkt berühren sich die beiden Systeme dennoch. Die Europäische Kommission bestätigte am 15. Januar 2024 erneut, dass das Schweizer Datenschutzrecht ein angemessenes Schutzniveau im Sinne der DSGVO bietet, ein Entscheid, der es erlaubt, Personendaten ohne zusätzliche Schutzmassnahmen aus der EU in die Schweiz zu übermitteln. Das ist eine Anerkennung, die von der EU in Richtung Schweiz läuft, nicht eine Übernahme der DSGVO durch die Schweiz oder eine Bindung an sie, und es ändert nichts daran, was ein Begehren nach Art. 25 nDSG ist oder wie es beantwortet wird.

Was dieses Recht für Sie leisten kann, und was nicht

Ein Auskunftsbegehren sagt Ihnen, was ein Verantwortlicher über Sie hält, woher diese Daten nach seinen Angaben stammen, und weshalb er sie nach eigenen Angaben bearbeitet. Das ist eine echt nützliche Information, die einen späteren Schritt unterstützen kann, sei es die Berichtigung eines Eintrags, das Verständnis einer Entscheidung oder den Aufbau eines Falls.

Es ist für sich allein kein rascher Weg, einen Streit mit einem Arbeitgeber, einer Versicherung oder einer Bank zu gewinnen. Es führt zu keinem Schuldeingeständnis, keiner Einigung und keiner Auszahlung, und ein Verantwortlicher, der korrekt antwortet, gibt damit nichts zur zugrunde liegenden Streitigkeit zu. Stecken Sie mitten in einem solchen Streit, lohnt es sich, das Begehren ruhig und sachlich zu stellen und das, was zurückkommt, als eine Information unter mehreren zu behandeln, nicht als Lösung an sich.