revDSG in der Schweiz

Das neue Gesetz (revDSG) hat den Zweck, die Persönlichkeit und Grundrechte von natürlichen Personen in der Schweiz zu schützen, deren Daten von Privatpersonen oder dem Staat verarbeitet werden. Es ist wichtig zu beachten, dass das Gesetz den Schutz von Daten juristischer Personen nicht mehr vorsieht. Die grundlegende Idee dahinter ist es, den betroffenen Personen mehr Transparenz zu bieten und ihre Rechte in Bezug auf ihre eigenen Daten zu stärken (sogenannte “informationelle Selbstbestimmung”). Darüber hinaus soll das Gesetz die Prävention und Eigenverantwortung der Datenverarbeiter fördern. Dies geht einher mit einer Stärkung der Datenschutzaufsicht und einer Ausweitung der Strafbestimmungen. Unternehmen werden zudem mit neuen Pflichten konfrontiert, insbesondere in Bezug auf die Erhebung, den Verlust oder den Missbrauch von Personendaten. 

Obwohl das revDSG hauptsächlich für die Schweiz gilt, hat es auch eine extraterritoriale Anwendung. Es kann sich auf Ereignisse im Ausland beziehen, die jedoch Auswirkungen in der Schweiz haben (Art. 3). Mit anderen Worten: Wenn Personendaten außerhalb der Schweiz verarbeitet werden, aber natürliche Personen in der Schweiz betroffen sind und dies Auswirkungen in der Schweiz hat, muss der Datenverarbeiter im Ausland das neue Schweizer Recht einhalten. Darüber hinaus muss er unter bestimmten Bedingungen einen gesetzlichen Vertreter in der Schweiz ernennen (Art. 14 und Art. 15 revDSG).

Das revDSG betrifft alle Unternehmen, unabhängig von ihrer Größe. Jedes Unternehmen verarbeitet eine Vielzahl von Daten, sei es von Kunden, Partnern, Lieferanten oder Mitarbeitern. Mit der zunehmenden Digitalisierung der Wirtschaft wird die Datenmenge in Unternehmen, einschließlich KMUs, weiter steigen. Daher sollten sich alle Unternehmen auf das Inkrafttreten des neuen Gesetzes vorbereiten. Insbesondere Unternehmen, die ihr Datenschutzkonzept noch nicht an die DSGVO angepasst haben, sollten dies berücksichtigen, da sich das neue Gesetz an den EU-Standards orientiert. Es ist auch wichtig zu beachten, dass die Kriminalität im digitalen Raum stetig zunimmt, einschließlich der Anzahl von Cyberangriffen. Kein Unternehmen ist davor immun. Das neue Datenschutzgesetz verpflichtet Unternehmen, die erforderlichen organisatorischen und technischen Maßnahmen zu ergreifen, um die Datensicherheit zu gewährleisten und den Missbrauch von Daten möglichst zu verhindern. 

Jedes Unternehmen muss sich auf das Inkrafttreten des neuen Gesetzes vorbereiten. Dazu gehört eine Bestandsaufnahme der Verarbeitung von Personendaten im Unternehmen und eine Risikobewertung, um die Anforderungen an die Datenschutz-Compliance zu ermitteln. Eine Gap-Analyse kann helfen, die erforderlichen Umsetzungsarbeiten zu identifizieren, indem der Ist-Zustand mit dem Soll-Zustand verglichen wird. Unternehmen, die eine große Menge an Personendaten verarbeiten, wie z.B. Online-Verkaufs- oder Import-/Exportunternehmen mit einem umfangreichen Kundenstamm, der eine beträchtliche Menge an Personendaten generiert, haben erhöhte Compliance-Anforderungen. Ebenso betroffen sind Unternehmen, die besonders schützenswerte Personendaten verarbeiten. In solchen Fällen sind die Anforderungen an die rechtmäßige Verarbeitung von Personendaten und das Risiko von Verletzungen der Persönlichkeitsrechte höher als bei Unternehmen, die nur Daten einer begrenzten Anzahl von Mitarbeitern, Lieferanten oder Kunden verarbeiten. Die Datenschutz-Compliance erfordert je nach Art und Umfang der verarbeiteten Personendaten die Entwicklung oder den Einsatz von Datenschutz-Know-how sowie die Implementierung interner Prozesse, um die Anforderungen des neuen Gesetzes zu erfüllen. 

Mit dem neuen Datenschutzgesetz werden unter anderem folgende Pflichten für Unternehmen eingeführt: 

• Gewährleistung des Datenschutzes durch den Einsatz von Technologie und datenschutzfreundlichen Voreinstellungen
• Erstellung und Führung eines Verzeichnisses der Datenverarbeitungstätigkeiten. 
• Meldepflicht gegenüber dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) sowie gegenüber der betroffenen Person im Falle einer Verletzung der Datensicherheit 
• Verpflichtung, in bestimmten Fällen eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Datenverarbeitung ein hohes Risiko birgt 
• Informationspflicht bei der Datenerhebung und Pflicht zur Angabe des Staates im Falle einer Datenübermittlung ins Ausland 
• Informationspflicht im Falle einer automatisierten Einzelentscheidung

Das Hauptziel dieses Gesetzes ist es, die Transparenz und den Schutz der persönlichen Daten von betroffenen Personen zu stärken. In dieser Hinsicht wird der Einzelne von neuen Rechten profitieren, wie z.B. in Bezug auf 

• sein Recht auf Auskunft über die Bearbeitung seiner Personendaten (Art. 25-27 revDSG) 
• sein Recht auf Herausgabe oder Übermittlung seiner Daten (Datenübertragbarkeit)) (Art. 28 und 29 revDSG) 
• das Recht, nicht einer automatisierten Einzelentscheidung unterworfen zu werden, d. h. einer Entscheidung, welche in Bezug auf eine Person mit Hilfe von Algorithmen getroffen und auf ihre persönlichen Daten angewendet werden, ohne dass ein Mensch in den Prozess eingreift (Art. 21 revDSG) 

Bei einem Verstoß gegen das neue Gesetz können Sanktionen in Form von Bußgeldern von bis zu CHF 250.000 drohen. Im Gegensatz zur DSGVO richten sich die Sanktionen gemäß dem revidierten Datenschutzgesetz nicht gegen das fehlbare Unternehmen, sondern gegen die natürliche Person, die für die Einhaltung des Datenschutzes verantwortlich ist (z.B. Geschäftsführer oder Verwaltungsrat). Es werden ausschließlich (eventuell) vorsätzliches Verhalten bestraft (Art. 60 ff. revidiertes Datenschutzgesetz).  

Im Gegensatz zur Datenschutz-Grundverordnung (DSGVO) der Europäischen Union (EU) besteht nach dem neuen Gesetz keine zwingende Verpflichtung für Privatunternehmen, einen Datenschutzberater zu bestellen. Allerdings sehen wir Schwierigkeiten, wie die verschiedenen Verpflichtungen ohne einen solchen Berater realistisch erfüllt werden können. Daher empfehlen wir dringend, einen Datenschutzberater oder zumindest eine Person zu ernennen, die sich während des Geschäftsbetriebs um Datenschutzangelegenheiten kümmert. Es ist wichtig zu beachten, dass die Verantwortung nicht allein auf den Schultern einer einzelnen Person liegen sollte. Eine mögliche Lösung wäre beispielsweise, die Funktion des Datenschutzberaters von Personen aus dem Compliance-, IT- und Vertriebsteam mit entsprechenden Kenntnissen und einem umfassenden Überblick über die Geschäftstätigkeiten gemeinsam ausfüllen zu lassen. Dabei sollten potenzielle Interessenkonflikte in den Funktionen berücksichtigt werden. Alternativ könnte auch die Beauftragung eines externen Datenschutzberaters eine gute Option sein. 

Jedes Unternehmen ohne Niederlassung in der EU, das Waren oder Dienstleistungen in einem Mitgliedstaat anbietet oder das Verhalten betroffener Personen beobachtet und in diesem Zusammenhang personenbezogene Daten verarbeitet, benötigt einen EU-Vertreter, vgl. Art. 27 Abs. 1 DSGVO. Das geht mit dem sogenannten „Marktortsprinzip“ aus Art. 3 Abs. 2 DSGVO einher, wonach, unabhängig von einer vorhandenen Niederlassung im Europäischen Wirtschaftsraum, die DSGVO auch bei Datenverarbeitungen durch in Drittländern niedergelassene Unternehmen Anwendung findet.