Das neue Datenschutzgesetz
Das revidierte Schweizer Datenschutzgesetz (DSG) wird im Jahr 2022 in Kraft treten und zahlreiche Angleichungen an die europäische Datenschutzgrundverordnung (DSGVO) mit sich bringen. Wer Daten bearbeitet, tut gut daran, sich rechtzeitig über die Neuerungen zu informieren und gegebenenfalls Massnahmen zu treffen.
Nachdem die europäische DSGVO, welche auch für Datenbearbeitungen in der Schweiz relevant sein kann, bereits am 25. Mai 2018 in Kraft getreten ist, hat das Schweizer Parlament am 25. September 2020 die Totalrevision des DSG verabschiedet. Nun müssen noch die Ausführungsbestimmungen angepasst werden (die Vernehmlassung zur Revision der Verordnung wird in dieser Jahreshälfte erwartet). Anschliessend wird das neue Datenschutzgesetz voraussichtlich im Jahr 2022 in Kraft treten, wobei das genaue Datum noch nicht bekannt ist.
Wer hat Handlungsbedarf?
Das Schweizer Datenschutzrecht ist grundsätzlich von allen privaten Personen, die Personendaten von natürlichen Personen bearbeiten und dies nicht ausschliesslich zum persönlichen Gebrauch machen, zu beachten. Als „Bearbeiten von Personendaten“ wird jeder Umgang mit Personendaten verstanden. Insbesondere fällt darunter das Beschaffen, Aufbewahren, Umarbeiten, Bekanntgeben, Archivieren, Speichern oder gar Vernichten von Personendaten. Voraussetzung ist weiter ein Bezug zur Schweiz (bspw. Datenbearbeiter/-bearbeitung in der Schweiz; betroffene Person in der Schweiz). Der Anwendungsbereich des DSG ist folglich sehr weit.
Einige der datenbearbeitenden Personen in der Schweiz werden bereits bei Inkrafttreten der DSGVO Massnahmen getroffen haben. Mit dem totalrevidierten DSG wird eine Angleichung an die DSGVO angestrebt, wobei das DSG in der Regel nicht strenger ist als die DSGVO. Dennoch handelt es sich um ein eigenständiges Gesetz. Auch wer also bereits Massnahmen zur Einhaltung der DSGVO getroffen hat, sollte prüfen, ob damit auch das neue Schweizer DSG eingehalten wird.
Was sind die wesentlichen Neuerungen des DSG?
Obwohl das DSG totalrevidiert wurde, bleiben die Grundprinzipien des Datenschutzes weitgehend unverändert. Das bedeutet, dass nach dem Schweizer Konzept (anders als in der EU) Datenbearbeitungen grundsätzlich weiterhin zulässig sind und nur in gewissen Situationen ein Rechtfertigungsgrund (wie bspw. eine Einwilligung) erforderlich ist.
Zu beachten sind insbesondere folgende wesentlichen Änderungen:
- Daten von juristischen Personen werden künftig nicht mehr geschützt.
- Die Rechte der betroffenen Personen werden gestärkt, wobei es auch neue Bestimmungen gibt, um missbräuchliche Begehren zurückzuweisen. Die Rechte der Betroffenen umfassend bspw.
- Auskunftsrecht (und damit verbunden auch die gestärkte Informationspflicht des Datenbearbeiters);
- Recht auf Datenherausgabe oder –übertragung (Datenportabilität);
- Anhörungsrecht bei automatisierten Einzelentscheidungen (inkl. Informationspflicht des Datenbearbeiters);
- Recht auf Berichtigung unrichtiger Personendaten.
- Die Pflichten der datenbearbeitenden Personen werden ausgebaut, bspw.
- Pflicht zur Führung eines Verzeichnisses der Bearbeitungstätigkeiten;
- Pflicht zur Vornahme einer Datenschutz-Folgenabschätzung bei heiklen Datenbearbeitungen;
- Pflicht zum Datenschutz durch Technik sowie durch datenschutzfreundliche Voreinstellungen („Privacy by design“ sowie „Privacy by default“);
- Pflicht zur Meldung von Verletzungen der Datensicherheit (damit diese Pflicht wahrgenommen werden kann, muss intern ein Prozess zur Erkennung solcher Verletzungen etabliert werden).
- Die Funktion des eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wird gestärkt.
Weiter ist vorgesehen, dass Unternehmen einen Datenschutzberater ernennen können, es besteht jedoch keine Pflicht dazu. Werden Daten an Dritte weitergegeben (bspw. Dienstleister) so hat der Verantwortliche sicherzustellen, dass der Auftragsbearbeiter die Daten nur in zulässiger Weise bearbeitet und die Datensicherheit gewährleistet. Dazu werden in der Regel entsprechende Verträge abgeschlossen. Beim Transfer von Daten ins Ausland ist besondere Vorsicht geboten.
Andere Instrumente, wie beispielsweise das „Recht auf Vergessen“ sowie der Grundsatz, dass Daten nur entsprechend dem Zweck, zu dem sie erhoben wurden, und nur so weit und so lange wie nötig bearbeitet werden dürfen (Zweckgebundenheit), gab es bereits im bisherigen Recht und bestehen weiterhin. Ausserdem werden besonders schützenswerte Personendaten auch in Zukunft besonders geschützt.
Zu beachten sind auch die Änderungen bezüglich der Durchsetzung des DSG. So können diverse Verletzungen des DSG gebüsst werden. Die Busse beträgt maximal CHF 250’000.00 und wird den verantwortlichen natürlichen Personen auferlegt (allerdings nur bei vorsätzlichem Handeln).
Bis zum Inkrafttreten des neuen Datenschutzrechts bleibt noch einige Zeit. Wir unterstützen Sie gerne bei der Prüfung, ob in Ihrem Unternehmen Handlungsbedarf besteht, sowie bei der Umsetzung von Massnahmen.