Dein Praktischer Leitfaden Zur Einhaltung Des Schweizer Bundesgesetzes Ueber

Einführung: Die Ankunft einer neuen Datenschutz-Ära in der Schweiz

Die Schweiz hat mit der Einführung des neuen Bundesgesetzes über den Datenschutz (revDSG) eine neue Ära des Datenschutzes eingeläutet. Die neue Gesetzgebung ersetzt das bisherige Gesetz von 1992, spiegelt das fortschreitende digitale Zeitalter wider und bringt die Schweizer Vorschriften näher an die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union. Das neue Gesetz führt mehrere neue Anforderungen ein, die Unternehmen erfüllen müssen, um konform zu bleiben.

Dieser Artikel zielt darauf ab, Unternehmen – insbesondere solche, die sich zum ersten Mal mit den Feinheiten des Datenschutzes auseinandersetzen – durch die neue Landschaft, die durch das revDSG geformt wurde, zu führen. Er skizziert die wichtigsten Änderungen, kritischen Bestimmungen, die Kompatibilität mit der EU-DSGVO und die notwendigen Schritte zur Erreichung der Konformität.

Hauptneuerungen des revDSG

Das revDSG baut auf dem bestehenden Datenschutzrahmen auf und führt mehrere neue Elemente ein. Dazu gehören:

• Stärkere Transparenzanforderungen: Der Verantwortliche muss die betroffene Person angemessen über die Beschaffung von Personendaten informieren (Art. 19 revDSG). Mindestens mitzuteilen sind seine Identität und Kontaktdaten, der Bearbeitungszweck und gegebenenfalls die Empfänger oder Kategorien von Empfängern; werden die Daten nicht bei der betroffenen Person beschafft, auch die Kategorien der bearbeiteten Daten. Betroffene Personen können außerdem verlangen, dass fehlerhafte Daten berichtigt werden (Art. 32 revDSG).
• Recht auf Information: Das Gesetz besagt, dass jede Person vom Verantwortlichen für die Datenverarbeitung Informationen darüber verlangen kann, ob ihre persönlichen Daten verarbeitet werden (Art. 25 revDSG). Die Auskunft enthält unter anderem die Aufbewahrungsdauer oder die Kriterien zu deren Festlegung (Art. 25 Abs. 2 revDSG).
• Erweiterte Compliance-Verpflichtungen für Unternehmen: Das revDSG erfasst Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3 revDSG). Ein privater Verantwortlicher mit Sitz im Ausland muss nur unter bestimmten Voraussetzungen eine Vertretung in der Schweiz bezeichnen: Die Bearbeitung muss mit dem Angebot von Waren oder Dienstleistungen oder der Beobachtung des Verhaltens von Personen in der Schweiz zusammenhängen, umfangreich und regelmäßig sein und ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringen (Art. 14 revDSG).
• Gestärkte Regulierungsbefugnisse und Sanktionen: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann bei Verstößen unter anderem anordnen, dass Bearbeitungen angepasst, unterbrochen oder abgebrochen und Personendaten gelöscht oder vernichtet werden (Art. 51 revDSG). Auf Antrag können Privatpersonen mit Busse bis zu CHF 250.000 bestraft werden, etwa bei vorsätzlich falschen oder unvollständigen Auskünften (Art. 60 revDSG) oder bei vorsätzlicher Verletzung von Sorgfaltspflichten (Art. 61 revDSG); die Strafverfolgung obliegt den Kantonen (Art. 65 revDSG). Käme eine Busse von höchstens CHF 50.000 in Betracht und wäre die Ermittlung der verantwortlichen Personen mit unverhältnismäßigem Untersuchungsaufwand verbunden, kann stattdessen das Unternehmen zur Bezahlung der Busse verurteilt werden (Art. 64 revDSG).
• Meldung von Verletzungen der Datensicherheit: Der Verantwortliche muss dem EDÖB so rasch wie möglich eine Verletzung der Datensicherheit melden, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt (Art. 24 Abs. 1 revDSG). Die betroffene Person wird informiert, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt (Art. 24 Abs. 4 revDSG).
• Datenschutz durch Technikgestaltung und Datenschutz durch datenschutzfreundliche Voreinstellungen: Nach Art. 7 revDSG muss der Verantwortliche die Datenbearbeitung technisch und organisatorisch so ausgestalten, dass die Datenschutzvorschriften eingehalten werden, und dies bereits ab der Planung berücksichtigen. Die Voreinstellungen müssen die Bearbeitung auf das für den Verwendungszweck nötige Minimum beschränken, soweit die betroffene Person nichts anderes bestimmt (Art. 7 Abs. 1 bis 3 revDSG). Dieser vorausschauende Ansatz hilft, den Datenschutz auf jeder operativen Ebene zu berücksichtigen.
• Datenschutz-Folgenabschätzung: Private und öffentliche Stellen, die Daten verarbeiten, müssen eine Datenschutz-Folgenabschätzung (DSFA) durchführen, wenn die Datenbearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen darstellt (Art. 22 revDSG).
• Die Rolle des EDÖB: Das revDSG überträgt dem EDÖB zusätzliche Aufgaben und Befugnisse und bringt Änderungen für Datenverarbeiter und betroffene Personen mit sich. Der EDÖB wird in Zukunft private Datenverarbeiter für eine Reihe seiner Dienstleistungen in Rechnung stellen (Art. 59 revDSG).
• Datenschutzberaterin oder -berater: Private Verantwortliche können eine Datenschutzberaterin oder einen Datenschutzberater ernennen (Art. 10 revDSG). Sie oder er ist Anlaufstelle für betroffene Personen und Behörden und berät den Verantwortlichen. Sind die Voraussetzungen erfüllt (unabhängig und weisungsfrei, keine unvereinbaren Tätigkeiten, erforderliche Fachkenntnisse, Kontaktdaten veröffentlicht und dem EDÖB mitgeteilt), kann der Verantwortliche nach einer Datenschutz-Folgenabschätzung auf die Konsultation des EDÖB verzichten, wenn er die Beraterin oder den Berater konsultiert hat (Art. 10 und Art. 23 Abs. 4 revDSG).

Unterschiede zwischen revDSG und DSGVO verstehen

Trotz gemeinsamer Ziele weisen das revDSG und die DSGVO Unterschiede auf, die Unternehmen, die in beiden Rechtsbereichen tätig sind, verstehen müssen. Hier ist eine vergleichende Analyse:

 revDSGDSGVOBestellung eines Datenschutzbeauftragten (Datenschutzberaterin oder -berater)Freiwillig: Private Verantwortliche können eine Datenschutzberaterin oder einen Datenschutzberater ernennen (revDSG Artikel 10)Pflicht für bestimmte Unternehmen (DSGVO Artikel 37)Verletzungen der Datensicherheit (Datenschutzverletzung)Meldung an den EDÖB so rasch wie möglich bei voraussichtlich hohem Risiko (revDSG Artikel 24)Meldung ohne unangemessene Verzögerung, möglichst binnen 72 Stunden, außer die Verletzung führt voraussichtlich nicht zu einem Risiko (DSGVO Artikel 33)SanktionenBusse bis zu CHF 250.000 für Privatpersonen auf Antrag (revDSG Artikel 60 und 61), bis zu CHF 50.000 für das Unternehmen (revDSG Artikel 64)Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (DSGVO Artikel 83 Absatz 5)Offenlegung von InformationenWeniger strenge Anforderungen an Datenschutzhinweise (revDSG Artikel 19)Detaillierte Anforderungen an Datenschutzhinweise (DSGVO Artikel 13 und 14)DatenübertragungenEntscheidung liegt beim Bundesrat (revDSG Artikel 16)Entscheidung liegt bei der Europäischen Kommission (DSGVO Kapitel V)TransparenzStärkere Transparenzanforderungen (revDSG Artikel 19)Umfassende Transparenzpflichten (Art. 13 DSGVO)

Vorbereitung auf die Einhaltung des revDSG: Ein praktischer Leitfaden

Übergang vom DSG zum revDSG

Für Unternehmen, die bisher mit dem DSG konform waren, mag der Übergang zum revDSG einschüchternd erscheinen, aber er ist entscheidend. Eine Lückenanalyse zur Identifizierung von Datenschutzmängeln und Risiken und die Entwicklung eines strategischen Plans zur Behebung dieser Lücken sind von entscheidender Bedeutung. Die Implementierung von robusten Verfahren zur Datenbearbeitung, strengen Sicherheitsmaßnahmen und effektiven Schulungsprogrammen gewährleistet einen reibungslosen Übergang.

Die anhaltende Relevanz der DSGVO

Trotz der Einführung des revDSG dürfen Schweizer Unternehmen die DSGVO nicht außer Acht lassen, insbesondere wenn sie Daten von EU-Bürgern verarbeiten. Die Einhaltung der DSGVO gewährleistet nicht nur einen reibungslosen Datenaustausch mit EU-Partnern, sondern auch die globale Wettbewerbsfähigkeit des Unternehmens.

Fazit

Das revDSG stellt einen bedeutenden Meilenstein in der Datenschutzlandschaft der Schweiz dar. Das Verständnis der Auswirkungen dieses neuen Gesetzes ist für Schweizer Unternehmen und solche, die in der Schweiz tätig sind, von entscheidender Bedeutung, um die Einhaltung sicherzustellen, erhebliche Strafen zu vermeiden und das Vertrauen der Kunden zu erhalten.

Durch das Verständnis der Schlüsselbestimmungen des revDSG, die Würdigung der Unterschiede zur DSGVO und die Planung eines reibungslosen Übergangs können Unternehmen eine sichere und verantwortungsvolle Handhabung von Personendaten gewährleisten. Obwohl die Aufgabe gewaltig erscheinen mag, sind die Vorteile einer robusten Datenschutzpraxis enorm.

Hier sind einige wichtige Punkte aus dem Artikel:

• Das revDSG ist eine bedeutende Überarbeitung der Schweizer Datenschutzgesetze und bringt sie stärker in Einklang mit der DSGVO.
• Das revDSG führt eine Reihe neuer Anforderungen für Unternehmen ein, einschließlich strengerer Transparenzanforderungen, erweiterterMeldepflichten bei Verletzungen der Datensicherheit und erhöhter Sanktionen für Einzelpersonen und (in einigen Fällen) Unternehmen
• Unternehmen, deren Datenbearbeitung sich in der Schweiz auswirkt, müssen Maßnahmen ergreifen, um die Einhaltung des revDSG sicherzustellen.
• Es gibt eine Reihe von Ressourcen, die Unternehmen dabei helfen, das revDSG zu verstehen und einzuhalten, einschließlich der Website und Leitdokumente des EDÖB.

Wir hoffen, dass dieser Artikel dazu beigetragen hat, einen Überblick über das revDSG zu geben. Bei weiteren Fragen stehen wir euch gerne zur Verfügung.

Webinar-Zusammenfassung: Das neue Datenschutzgesetz in der Schweiz (revDSG) – Jetzt verfügbar!

Falls du unser Webinar über das neue Datenschutzgesetz in der Schweiz verpasst hast, stellen wir es dir hier vor. Bei Fragen zögere bitte nicht, uns sofort zu kontaktieren.

Your browser does not support HTML video.