Sie verwenden einen veralteten Browser. Es können Darstellungsfehler und technische Probleme auftreten.
OK, SCHLIESSEN
Mit der Revision des Schweizer Datenschutzgesetzes (nDSG) ändern sich ab 2023 wichtige Bestimmungen über die Bearbeitung von Personendaten. Unternehmen müssen in Zukunft verschärfte Regeln beachten – und sollten daher ihre bestehenden Richtlinien und Datenschutzerklärungen bis zum Inkrafttreten am 1. September 2023 anpassen.
Zum einen geht es darum, das Datenschutzgesetz an die veränderten technologischen und gesellschaftlichen Verhältnisse (Cloud Computing, Big Data, soziale Netzwerke, Internet der Dinge) anzupassen: Die Selbstbestimmung der betroffenen Personen über ihre Daten soll gestärkt werden. Zum anderen wird mit dieser Revision das DSG auf die europäischen Datenschutzregeln abgestimmt: Es soll sichergestellt werden, dass die EU die Schweiz weiterhin als Drittstaat mit einem angemessenen Datenschutzniveau anerkennt – und die unkomplizierte Datenübermittlung zwischen der Schweiz und der EU auch in Zukunft möglich bleibt.
Wenn die EU-Kommission die Angemessenheit des schweizerischen Datenschutzniveaus nicht mehr anerkennt, drohen Schweizer Unternehmen künftig Wettbewerbsnachteile, da der Datenaustausch mit Unternehmen in der EU erschwert werden würde.
Das neue DSG wird zusammen mit der vom Bundesrat noch zu erlassenden Datenschutzverordnung (VDSG) im September 2023 in Kraft treten.
Bis zum Inkrafttreten des nDSG.
Das nDSG enthält keine Übergangsfristen.
Die Kompetenzen des EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) zur Durchsetzung des nDSG wurden erweitert. Er kann von Amtes wegen oder auf Anzeige eine Untersuchung gegen ein Unternehmen einleiten und bei Verstössen gegen Datenschutzvorschriften weitreichende Massnahmen anordnen, wie die Anpassung oder Unterbrechung der Datenbearbeitung oder gar die Datenlöschung.
Ferner stehen den Betroffenen gemäss nDSG zivilrechtliche Rechtsbehelfe zur Durchsetzung ihrer Ansprüche zur Verfügung. Gleichzeitig wurde die Zivilprozessordnung (ZPO) angepasst, welche die entsprechenden Gerichtsverfahren für kostenlos erklärt.
Im September 2020 verabschiedeten National- und Ständerat nach knapp vierjährigem Gesetzgebungsprozess das totalrevidierte Schweizer Datenschutzgesetz (nDSG). Dieses revidierte Datenschutzgesetz (nDSG) gleicht sich in vielen – doch nicht in allen – Punkten an die Datenschutz-Grundverordnung der EU (DSGVO) an. Es bleiben aber auch wesentliche Unterschiede bestehen.
Bei vorsätzlichen Verstössen gegen das nDSG wie Verletzung von Informations-, Auskunfts-, Mitwirkungs- oder Sorgfaltspflichten können Privatpersonen mit Bussen bis CHF 250'000 bestraft werden. Bei Widerhandlungen in Geschäftsbetrieben können die Unternehmen mit einer Busse bis CHF 50'000 bestraft werden, wenn die Ermittlung der fehlbaren Personen mit unverhältnismässigem Aufwand verbunden wäre – und eine Busse für diese von höchstens CHF 50'000 in Betracht fallen würde.
Hier liegt ein grosser Unterschied zur DSGVO vor, die nicht die natürlichen Personen, sondern die Unternehmen mit wesentlich höheren Bussen bestraft.
DSG ist das schweizerische Datenschutzgesetz (Bundesgesetz über den Datenschutz). Mit nDSG wird das totalrevidierte neue Datenschutzgesetz im Unterschied zum geltenden DSG bezeichnet.
VDSG ist die Verordnung des Bundesrats zum DSG. Sie enthält die Ausführungs- bzw. Detailbestimmungen. Die definitive Fassung der neuen Verordnung liegt noch nicht vor. Der Bundesrat hat am 23.6.2021 den Verordnungsentwurf in die Vernehmlassung geschickt.
DSGVO ist die Datenschutz-Grundverordnung der EU vom 27.4.2016. Sie gilt für alle EU-Staaten seit dem 25.5.2018 unmittelbar. Obwohl es sich um eine europäische Verordnung handelt, ist sie unter gewissen Voraussetzungen auch auf Schweizer Unternehmen anwendbar.
Im Unterschied zur DSGVO, die für jede Datenbearbeitung eine Rechtsgrundlage verlangt, ändert sich die Art und Weise der Datenbearbeitung nach nDSG nicht grundlegend. Wie bisher ist für die Bearbeitung von Personendaten durch private Unternehmen im Unterschied zur DSGVO keine Einwilligung oder ein anderer Rechtfertigungsgrund nötig, sofern:
Eine ausdrückliche Einwilligung ist nur bei Bearbeitung von besonders schützenswerten Personendaten und neu bei Profiling mit hohem Risiko vorgeschrieben.
Ja, das neue DSG knüpft bezüglich des räumlichen Geltungsbereichs an das sogenannte Auswirkungsprinzip an. Es gilt auch für ausländische Firmen, die im Schweizer Markt tätig sind beziehungsweise deren Datenbearbeitung sich in der Schweiz auswirkt, genauso wie die DSGVO auch für Schweizer Unternehmen gilt, die im EU-Raum tätig sind.
Unternehmen mit Sitz im Ausland müssen eine Vertretung in der Schweiz bezeichnen, wenn sie regelmässig umfangreich Daten von Personen in der Schweiz im Zusammenhang mit Angeboten von Waren oder Dienstleistungen oder zwecks Beobachtung des Verhaltens bearbeiten und die Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringt.
Umgekehrt müssen Schweizer Unternehmen gemäss DSG immer einen Datenschutzverantwortlichen ernennen, wenn sie Personendaten von Einwohnern der EU bearbeiten. Nicht nur, wenn ein hohes Risiko vorliegt.
Einem besonders hohen Risiko ausgesetzt sind Unternehmen, die grosse Mengen an Personendaten oder besonders schützenswerte Personendaten bearbeiten, Profiling durchführen, Webshops betreiben, automatisierte Einzelentscheide generieren oder Personendaten ins Ausland (ausserhalb der EU) übermitteln.
Der Aufwand hängt davon ab, ob das Unternehmen aufgrund seiner Tätigkeit zu den besonders betroffenen Unternehmen gehört und wie weit es sich bereits an die neuen Entwicklungen angepasst hat. Unternehmen, die bereits DSGVO-konform sind, haben praktisch keinen Anpassungsbedarf mehr. Wer hingegen nur in der Schweiz tätig ist und bisher noch nichts unternommen hat, sollte umgehend mit einer Gap-Analyse beginnen.
Nein, die Ernennung eines Datenschutzberaters ist im Unterschied zur DSGVO freiwillig, bringt aber gewisse Vorteile. Er ist einerseits Anlaufstelle für Mitarbeitende, Kunden (bei Ausübung ihrer Betroffenenrechte) und Behörden zu Datenschutzthemen. Andererseits entfällt die obligatorische Konsultation des EDÖB im Zusammenhang mit Datenschutz-Folgenabschätzungen bei hohen Risiken, wenn stattdessen der Datenschutzberater konsultiert wird.
Das hängt davon ab, ob im Unternehmen entsprechende Kompetenzen vorhanden sind, zum Beispiel ein kompetenter Datenschutzverantwortlicher nach altem DSG oder eine Rechtsabteilung. Andernfalls empfehlen wir dringend, externe Unterstützung in Anspruch zu nehmen.
Anleitungen und Vorlagen finden Sie unter anderem auf diesen Seiten:
Heike Gross ist Content-Managerin und recherchiert spannende Themen rund um Cybersicherheit, Wohnen, Mobilität und vieles mehr.
