Michael
Das revidierte Bundesgesetz über den Datenschutz (revDSG) wurde in der Herbstsession 2020 beschlossen. Am 1. September 2023 trat es in Kraft, gemeinsam mit der Datenschutzverordnung (DSV) und der Verordnung über Datenschutzzertifizierungen (VDSZ).
Das Ziel des neuen Datenschutzgesetzes ist es, einen modernen Datenschutz zu gewährleisten. Es soll die Kontrolle über persönliche Daten in der Schweiz stärken.
Unternehmen in der Schweiz müssen nun ihre Datenbearbeitungs- und Speicherungsprozesse überprüfen. Anpassungen sind erforderlich, um den neuen Anforderungen gerecht zu werden.
Die neuen Datenschutzbestimmungen betreffen hauptsächlich in der Schweiz ansässige Unternehmen. Sie können aber auch internationale Unternehmen betreffen, wenn deren Datenverarbeitungen Auswirkungen in der Schweiz zeigen.
Es ist ratsam, frühzeitig eine Übersicht der Datenverarbeitungen zu erstellen. Technische und organisatorische Maßnahmen sollten überprüft werden. Bei Unklarheiten bietet der EDÖB Hilfestellung an.
Warum die Revision des Datenschutzgesetzes notwendig war
Als Antwort auf weitreichende Veränderungen in der Datenverarbeitung kam es zur Überarbeitung des Datenschutzrechts. Das Bundesgesetz von 1992 stellte lange die Grundlage dar. Doch Technologiefortschritte wie Smartphones und das Internet der Dinge haben neue Risiken mit sich gebracht. Diese Entwicklungen erforderten eine Anpassung des gesetzlichen Rahmens.
Historischer Kontext und Auslöser der Totalrevision
Das ursprüngliche Gesetz war noch vor der Ära der Vernetzung entstanden. Veränderte Geschäftsmodelle und neue Techniken der Datenverarbeitung brachten Herausforderungen. Big-Data-Analysen und Automatisierung im Profiling erforderten einen verstärkten Schutz der Persönlichkeitsrechte. Daher war eine umfassende Überarbeitung unerlässlich, um die Gesetze zu aktualisieren.
Internationale Entwicklungen hatten ebenfalls Einfluss. Seit Mai 2018 hat die EU mit der DSGVO höhere Datenschutzstandards gesetzt. Der Vergleich mit der DSGVO offenbarte Konflikte, die den Handel störten und Unsicherheiten schafften. Eine Anpassung war notwendig, um den Datenverkehr über Grenzen hinweg zu erleichtern.
Ziele der Revision
Die Modernisierung des Datenschutzes stand im Mittelpunkt der Revision. Neuerungen betrafen vor allem die Datenschutzpflichten, die präziser definiert wurden. Dazu wurden Konzepte wie Privacy by Design und Privacy by Default rechtlich verankert.
Es ging auch darum, die Transparenz und die Kontrolle für die Betroffenen zu verbessern. Die Rechte auf Auskunft, Berichtigung und Löschung wurden klarer gefasst. Schweizer Unternehmen müssen jetzt ihre Prozesse überdenken und ihre Dokumentationen ausbauen.
Ein weiteres Ziel war die Verbesserung der Durchsetzbarkeit der Vorschriften. Mit stärkeren Sanktionen und effektiveren Aufsichtsmechanismen soll die Einhaltung des neuen Rahmens gesichert werden. Ein detaillierter DSGVO Vergleich hilft Unternehmen, ihre Compliance-Strategien zu überprüfen und anzupassen.
DSG Schweiz: Geltungsbereich und zentrale Neuerungen
Das überarbeitete Datenschutzgesetz dient dem Schutz personenbezogener Daten natürlicher Personen. Juristische Personen fallen nicht mehr darunter. Der Anwendungsbereich des DSG erstreckt sich jetzt auch auf grenzüberschreitende Datenverarbeitungen, die die Schweiz betreffen.
Unternehmen und staatliche Stellen müssen evaluieren, ob ihre Datenverarbeitungen Schweizer Recht unterliegen. Insbesondere ist entscheidend, ob Dienste aus dem Ausland in der Schweiz angeboten werden oder Daten von Personen, die in der Schweiz wohnen, verarbeitet werden.
Wer und was betroffen ist
Daten aller natürlichen Personen, die identifiziert oder profiliert werden können, werden vom Gesetz erfasst. Firmen und Organisationen, die geschäftlich in der Schweiz aktiv sind oder sich an Schweizer Bürger richten, müssen sich an die gesetzlichen Anforderungen halten.
Ausländische Dienstanbieter in der Schweiz könnten verpflichtet sein, eine lokale Vertretung zu benennen, falls ihre Aktivitäten in der Schweiz Auswirkungen haben. Diese Vorschrift soll die rechtliche Unsicherheit für Dienste über Grenzen hinweg minimieren.
Neue besonders schützenswerte Personendaten
Es gibt nun eine erweiterte Liste besonders schützenswerter Daten. Explizit gehören jetzt genetische und biometrische Daten dazu.
Zu den bereits geschützten Kategorien zählen weiterhin Gesundheitsdaten, Weltanschauungen, strafrechtliche Informationen und ethnische Zugehörigkeit. Die Verarbeitung dieser Daten verlangt nach strengen Sicherheitsvorkehrungen und einer eindeutigen rechtlichen Grundlage.
Wichtiges Inkrafttreten und rechtlicher Rahmen
Der Start des DSG war der 1. September 2023. Gleichzeitig wurden die DSGVO und das Verzeichnis der Verarbeitungstätigkeiten eingeführt.
Es gibt keine allgemeinen Übergangsfristen. Viele Anforderungen wurden sofort wirksam. Deshalb müssen Organisationen ohne Verzögerung ihre Datenverarbeitungsaktivitäten überprüfen.
- Handlungsempfehlung: Bestimmen Sie, welche Arten von Personen-daten verarbeitet werden.
- Handlungsempfehlung: Klassifizieren und schützen Sie besonders sensible Daten gesondert.
- Handlungsempfehlung: Kontrollieren Sie, ob internationale Verarbeitungsaktivitäten nach dem neuen DSG zu Pflichten führen.
Neue Pflichten für Unternehmen Schweiz und Compliance-Anforderungen
Unternehmen sehen sich neuen Datenschutzpflichten durch die Gesetzesänderung gegenüber. Sie müssen jetzt technische und organisatorische Maßnahmen ergreifen. Es ist essentiell, eine sofortige Analyse der Datenverarbeitung durchzuführen.
Die Konzepte Privacy by Design und Privacy by Default sind jetzt obligatorisch. Es ist erforderlich, dass Produkte und Dienstleistungen grundsätzlich datenschutzorientiert eingestellt sind. Datenschutzprinzipien müssen von Beginn eines Projekts an beachtet werden.
Die Führung eines Verzeichnisses über die Verarbeitungstätigkeiten ist generell ein Muss. Doch kleine Betriebe mit unter 250 Mitarbeitern könnten unter bestimmten Voraussetzungen davon befreit sein. Dieser Prozess vereinfacht sowohl die interne Überprüfung als auch den Nachweis nach außen.
Die Informationspflichten sind jetzt ausgeweitet. Vor der Erfassung personenbezogener Daten ist eine Benachrichtigung erforderlich. Die Informationen müssen Angaben über den Verantwortlichen, den Zweck und den oder die Empfänger umfassen, einschließlich etwaiger Datenübertragungen ins Ausland.
Die Pflicht zur Dokumentation erfordert präzise Belege technischer Maßnahmen. Es müssen Zugriffsbeschränkungen, Verschlüsselungstechniken und Löschkonzepte dokumentiert werden. Diese Unterlagen sind für Unternehmen in der Schweiz bei Audits hilfreich.
Im Falle einer Datensicherheitsverletzung ist eine Meldung an den EDÖB notwendig. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte muss unverzüglich informiert werden. Bei schweren Verstößen muss auch die betroffene Person informiert werden.
Wenn es um hohe Risiken geht, müssen Datenschutz-Folgenabschätzungen durchgeführt werden. Beispiele hierfür sind große Mengen an Gesundheitsdaten oder intensive Überwachungsmaßnahmen. Ein spezielles Augenmerk liegt auch auf dem Profiling, für das zusätzliche Sicherheitsmaßnahmen erforderlich sein können.
Die Überprüfung von Verträgen und Drittanbietern ist obligatorisch. Es ist notwendig, Verträge mit Cloud-Services, externen Dienstleistern und Mitarbeitenden anzupassen. Bei internationalen Datenübermittlungen müssen entsprechende Datenschutzgarantien nachgewiesen werden.
- Sofortige Bestandesaufnahme aller Verarbeitungstätigkeiten.
- Implementierung technischer Massnahmen: Verschlüsselung, Zugriffskontrollen.
- Anpassung von Vertragsklauseln bei Drittanbietern.
- Einführung klarer Meldeprozesse für Sicherheitsvorfälle.
Rechte der betroffenen Personen und praktische Auswirkungen
Das neue Datenschutzgesetz verstärkt die Rechte der Bürger erheblich. Es fordert, dass bei der Erhebung von Daten klare Informationen gegeben werden. Dies dient dazu, dass Betroffene ihre Ansprüche leichter durchsetzen können.
Auskunfts-, Berichtigungs- und Löschungsrechte
Betreffende können erfragen, welche ihrer Daten gespeichert sind und zu welchem Zweck. Sollten Daten falsch sein, müssen diese sofort korrigiert werden.
Das Recht auf Löschung greift, falls die Daten unrechtmäßig genutzt wurden oder nicht länger benötigt werden. Für diese Vorgänge müssen Organisationen entsprechende Prozesse etablieren.
Recht auf Datenherausgabe und Datenübertragbarkeit
Neu ist das Recht, eigene Daten in einem gängigen elektronischen Format zu erhalten. Dies erleichtert den Wechsel zwischen Dienstleistern, wie z. B. dem Wechsel einer Arztpraxis.
Die Übertragung darf keine überhöhten Kosten verursachen. Es müssen Exportfunktionen bereitstehen und klare Fristen eingehalten werden.
Recht gegen automatisierte Einzelentscheidungen
Es steht jedem frei, gegen Entscheidungen, die ohne menschliches Zutun getroffen wurden, Einspruch zu erheben. Auf Anforderung muss eine menschliche Überprüfung erfolgen.
Particularly, regulations covering automated decisions are crucial for lending or insurance processes. Companies must maintain transparent procedures and verification steps.
Handlungsempfehlung:
- Einführung von standardisierten Formularen für Anfragen zur Auskunft und Löschung.
- Klare Fristen und Zuständigkeiten müssen festgelegt werden.
- Mitarbeitende sollten in der Bearbeitung von Anfragen und der Identifikation von Profiling-Risiken geschult werden.
Vergleich DSG Schweiz vs. DSGVO: Ähnlichkeiten und Unterschiede
Dieser Vergleich hebt die wichtigen Ähnlichkeiten und Unterschiede zwischen dem revidierten DSG und der DSGVO hervor. Unser Ziel ist es, eine klare Darstellung zu bieten. Diese soll insbesondere Schweizer Unternehmen wertvolle Einblicke für ihr Handeln geben.
Gründe für die Annäherung an die DSGVO
Die Revision des DSG strebt nach Harmonisierung mit dem europäischen Standard. Das Hauptziel ist die Sicherung des freien Datenverkehrs mit der EU. Ein harmonisierter Datenschutz unterstützt den Austausch zwischen Schweizer Firmen und EU-Partnern entscheidend.
Hauptunterschiede in Pflichten und Sanktionen
Die Pflichten unter beiden Gesetzen zeigen viele Gemeinsamkeiten. Vorgeschrieben sind unter anderem Aufzeichnungen und die Prinzipien von Privacy by Design. Signifikante Unterschiede offenbaren sich jedoch bei den Sanktionen. Während das revidierte DSG Geldstrafen bis zu 250’000 CHF gegen natürliche Personen vorsieht, richtet die DSGVO ihr Augenmerk auf hohe Bußgelder für Unternehmen.
Praxisrelevante Konsequenzen für Unternehmen, die DSGVO-konform sind
- Viele DSGVO-Compliance-Maßnahmen erfüllen bereits die Anforderungen. Jedoch sind oft Anpassungen bei Informationspflichten notwendig.
- Verfahren für Mitteilungen an den EDÖB müssen überarbeitet werden. Dies betrifft sowohl technische als auch formale Aspekte.
- Vertragsklauseln mit Dienstleistern bedürfen einer Überprüfung, um den Anforderungen beider Regelwerke gerecht zu werden.
Um die notwendigen Anpassungen konkret zu identifizieren, ist eine gezielte Gap-Analyse empfehlenswert. In der Regel sind nur spezifische Anpassungen nötig, falls schon ein DSGVO-konformes System existiert.
In der Praxis heißt das: Prozesse müssen dokumentiert, Meldefristen festgelegt und Zuständigkeiten klar zugewiesen werden. Bei Fragen helfen externe Datenschutzberater oder Organisationen wie SwissPrivacy.Law weiter.
Fazit
Das überarbeitete DSG verbessert die Rechte von Personen und passt die Datenschutzanforderungen an die moderne Welt an. Privacy by Design, ausgeweitete Informationspflichten und spezielle Regelungen für KMU sind nun unverzichtbar. Sie müssen in jeder Compliance-Strategie Beachtung finden.
Unternehmen in der Schweiz sollten umgehend analysieren, welche Personendaten sie verarbeiten. Ziel ist es, Risiken zu erkennen und entsprechende Schutzmaßnahmen zu ergreifen. Es gilt, Richtlinien zu aktualisieren und Verträge mit Drittanbietern zu überprüfen, insbesondere wenn Cloud-Services genutzt werden.
Zuwiderhandlungen gegen das DSG können schwerwiegende Konsequenzen nach sich ziehen, die sowohl Strafen als auch Bußgelder umfassen können. Die Orientierungshilfen des EDÖB bieten nützliche Anleitungen. Ergänzend dazu sind Checklisten von IT-Sicherheitspartnern wertvoll. Es ist ratsam, Schulungen anzubieten und Verfahren für den Umgang mit Sicherheitsvorfällen festzulegen.
Es ist jetzt an der Zeit, eine detaillierte Bestandsaufnahme der verarbeiteten Personendaten durchzuführen. Technische Anpassungen und die Einführung klarer Abläufe müssen erfolgen. Dies ist essentiell, um einen freien Datenverkehr mit der EU zu ermöglichen und gleichzeitig den Datenschutz in der Schweiz effektiv zu gewährleisten.