Neues Datenschutzgesetz Schweiz (revDSG): Leitfaden zur Umsetzung

Erweiterter Schutz personenbezogener Daten

• Gilt nur für natürliche Personen (juristische Personen sind nicht mehr geschützt).
• Neue Definition sensibler Daten, darunter genetische und biometrische Daten.
• Verarbeitung von besonders schützenswerten Daten erfordert strenge Sicherheitsmassnahmen.

Transparenz- und Informationspflichten

• Unternehmen müssen Betroffene klar und verständlich über die Datenverarbeitung informieren.
• Datenschutzerklärung muss umfassende Details enthalten (Zweck, Aufbewahrung, Empfänger etc.).

Datenschutz-Folgenabschätzung (DSFA)

• Pflicht, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für Betroffene darstellt.
• Unternehmen müssen Risiken analysieren und Massnahmen zur Minimierung ergreifen.

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

• „Privacy by Design“ & „Privacy by Default“ werden zur Pflicht.
• Systeme müssen von Anfang an datenschutzkonform gestaltet sein.

Meldepflicht bei Datenschutzverletzungen

• Neu: Unternehmen müssen Datenschutzverletzungen so schnell wie möglich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden.
• Pflicht zur dokumentierten Risikoanalyse, ob eine Meldung erforderlich ist.

Strengere Sanktionen für Verstösse

• Bussen bis zu 250.000 CHF für verantwortliche Personen (z. B. Geschäftsführer, Datenschutzbeauftragte).
• Sanktionen treffen nicht das Unternehmen, sondern direkt handelnde Personen.

Pflicht zur Führung eines Verzeichnisses der Verarbeitungstätigkeiten

• Unternehmen müssen dokumentieren, welche Daten sie verarbeiten.
• Kleinunternehmen mit weniger als 250 Mitarbeitern sind nur teilweise verpflichtet.

Schritt 1: Datenschutzerklärung aktualisieren

• Alle Verarbeitungen personenbezogener Daten müssen klar offengelegt werden.
• Angaben zu den Verantwortlichen, Verarbeitungszwecken, Empfängern und Aufbewahrungsfristen.

Schritt 2: Datenschutz-Managementsystem einführen

• Datenschutzrichtlinien und interne Prozesse überprüfen.
• Verantwortlichkeiten klären (Datenschutzverantwortlicher oder Datenschutzberater ernennen).

Schritt 3: Verzeichnis der Verarbeitungstätigkeiten erstellen

• Erfassung aller Datenverarbeitungen im Unternehmen.
• Festlegung von Rechtsgrundlagen für jede Verarbeitung.

Schritt 4: Datenschutz-Folgenabschätzungen durchführen

• Für risikoreiche Datenverarbeitungen eine DSFA erstellen.
• Technische und organisatorische Massnahmen zur Risikominimierung umsetzen.

Schritt 5: Verträge mit Auftragsverarbeitern anpassen

• Alle Verträge mit Dienstleistern müssen den neuen Anforderungen entsprechen.
• Standardvertragsklauseln für internationale Datenübermittlungen prüfen.

Schritt 6: Mitarbeiterschulungen durchführen

• Sensibilisierung für neue Pflichten (Meldepflichten, Datensicherheit).
• Umsetzung von Privacy by Design & Default in der Praxis.

1. Hohe Anforderungen an Transparenz und Dokumentation

• Unternehmen müssen detaillierte Informationen über die Datenverarbeitung bereitstellen.
• Erstellung und Pflege des Verzeichnisses der Verarbeitungstätigkeiten ist aufwendig.

2. Risiko persönlicher Haftung für Verstösse

• Anders als in der EU werden nicht Unternehmen, sondern Einzelpersonen (Geschäftsführer, Verantwortliche) gebüsst.
• Klare Datenschutzrichtlinien und interne Schulungen sind notwendig, um Haftungsrisiken zu minimieren.

3. Neue Datenschutz-Folgenabschätzungen erforderlich

• Unternehmen müssen genau prüfen, ob eine Verarbeitung ein hohes Risiko für Betroffene darstellt.
• Fehlende Erfahrungswerte und Standards für DSFA-Prozesse erschweren die Umsetzung.

4. Anpassung bestehender IT-Systeme

• Datenschutzfreundliche Voreinstellungen (Privacy by Default) erfordern oft technische Anpassungen.
• Viele Unternehmen müssen ihre IT-Sicherheit verbessern, um den neuen Anforderungen gerecht zu werden.

5. Komplexität bei internationalen Datenübertragungen

• Datenübermittlungen ins Ausland müssen besonders geprüft werden.
• Falls Daten ausserhalb der Schweiz verarbeitet werden, müssen Unternehmen geeignete Garantien sicherstellen (z. B. Standardvertragsklauseln).

Das revidierte Datenschutzgesetz (revDSG) erfordert eine proaktive Anpassung der Datenschutzmassnahmen. Unternehmen sollten keine Zeit verlieren, da Verstösse direkt sanktioniert werden können.

Die Vorteile einer schnellen Umsetzung:

• Weniger Haftungsrisiken für Geschäftsführer & Verantwortliche
• Bessere Vertrauensbasis bei Kunden und Geschäftspartnern
• Erfüllung internationaler Datenschutzstandards (Wettbewerbsvorteil)
• Erhöhte Datensicherheit und Schutz vor Cyberangriffen

Unternehmen sollten das revDSG als Chance sehen, um Datenschutzprozesse zu optimieren und langfristig rechtskonform zu agieren. Wer früh handelt, bleibt wettbewerbsfähig und vermeidet kostspielige Strafen.