Seit 1. September 2023: Was das neue Datenschutzgesetz der Schweiz für Sie bedeutet.
Mit dem 1. September 2023 tritt ohne Übergangszeit ein neues Datenschutzgesetz für die Schweiz in Kraft. Es gilt nicht nur für in der Schweiz ansässige Unternehmen und Privatpersonen, sondern auch für alle, deren (potenzielle) Kunden oder Nutzer sich in der Schweiz befinden und für alle, die Daten Schweizer Bürger oder Auftraggeber verarbeiten. So bereitet Sie sich vor.
Das neue Schweizer Datenschutzgesetz (SDSG) lehnt sich an die EU-Datenschutzvorgaben an und ähnelt damit der deutschen Auslegung der Datenschutz-Grundverordnung (DSGVO) sehr, weicht jedoch in Nuancen davon ab oder nutzt andere Begriffe.
Das neue Schweizer Datenschutzgesetz ist für alle Prozesse zu beachten, die sich in der Schweiz auswirken. Es ist also gleich, wo der Anbieter der Dienstleistung oder der Website-Betreiber angesiedelt ist oder wo der betreffende Datenverarbeitungsprozess angestoßen wird – wenn sich das Angebot, die Dienstleistung oder die Website auf Schweizer Territorium auswirkt, ist das SDSG zu beachten. Das betrifft
Faktisch sind also auch alle Anbieter betroffen, deren Websites aus der Schweiz erreichbar sind und die personenbezogene Daten erheben oder erheben könnten. Wie auch das Internet selbst gilt das Gesetz nicht nur auf dem Schweizer Staatsgebiet, sondern für alle dort ansässigen Personen und Unternehmen. Es ähnelt in diesem Punkt sehr stark der DSGVO, die im umgekehrten Fall bereits seit 2018 von Schweizer Unternehmen zu beachten ist. Generell werden alle Unternehmen, die die DSGVO einhalten, damit gleichzeitig auch die Vorgaben des SDSG einhalten.
Sie haben bereits einen externen Datenschutzbeauftragten und möchten einen schnellen Preis-Leistungs-Vergleich? Nutzen Sie unsere Rechner für eine individuelle Preiskonfiguration.
Insgesamt ist das SDSG nicht ganz so ausführlich und auch nicht ganz so streng wie die DSGVO. Insbesondere müssen Datenverarbeiter nach dem SDSG nicht die genauen Rechtsgrundlagen der Datenverarbeitung angeben, wie es die DSGVO in Artikel 6 vorgibt. Laut Artikel 6 des SDSG ist nur die Rechtmäßigkeit, die Zweckbindung, die Verhältnismäßigkeit und die Grundsätze von Treu und Glauben zu beachten. Die Bestellung einer oder eines Datenschutzbeauftragten (dort „Datenschutzberater/in“) ist in der Schweiz außer bei Bundesorganen immer freiwillig.
Zudem sind die Strafen bei Verstößen gegen das SDSG mit maximal 250.000 Franken niedriger als in der DSGVO. Strafzahlungen werden allerdings nicht wie bei der DSGVO gegen Unternehmen, sondern gegen die letztlich verantwortlichen Personen (z. B. Geschäftsführung) im Unternehmen verhängt. Diese Abweichungen werden sich für Unternehmen, die sowohl im Einflussbereich des SDSG und der DSGVO bewegen, nicht auswirken.
Die Regelungen des Schweizer Datenschutzgesetzes gelten auch außerhalb von Datensystemen. Dies ist ein großer Unterschied zur DSGVO. Das SDSG erstreckt sich auch auf eine rein manuelle Datenerfassung, etwas das handschriftliche Notieren einer Telefonnummer oder einer Adresse zu einer Bestellung vor Ort im Ladengeschäft.
Der größte Unterschied jedoch liegt im Regelungsprinzip: In der EU und damit auch in der DSGVO ist die Verarbeitung personenbezogener Daten grundsätzlich verboten und nur unter Einhaltung der nationalen Vorgaben, wie etwa der DSGVO, reglementiert erlaubt. In der Schweiz hingegen ist die Datenverarbeitung unter Beachtung von Rechtmäßigkeit, Zweckbindung, Verhältnismäßigkeit und den Grundsätzen von Treu und Glauben erlaubt und muss nur bei einer Verletzung der Persönlichkeitsrechte begründet werden.
Ähnlich wie die DSGVO umfasst das SDSG laut Artikel 2 personenbezogene Daten („dort „Personendaten“) in
Mit „Personendaten“ werden alle Angaben bezeichnet, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen, also zu einer direkten oder indirekten Identifizierung führen können. Ähnlich wie bei den „personenbezogenen Daten“ der DSGVO sind also neben Klarangaben auch IDs, IP-Adressen und andere technische Möglichkeiten der Identifizierung eingeschlossen. Daten von juristischen Personen (Stiftungen, GmbHs etc.) sind nicht vom SDSG umfasst – dies ist eine Neuerung gegenüber dem bisherigen SDSG.
Die Verarbeitung, die in der Schweiz als „Bearbeitung“ bezeichnet wird, umfasst dieselben Vorgänge wie im Geltungsbereich der DS-GVO: Beschaffen, Speichern, Verwenden, Verbinden, Verändern, Archivieren, Löschen, Vernichten…
Datenschutzschulungen für verschiedene Abteilungen effizient umsetzen mit den E-Learnings von Cortina Consult.
Als besonders schützenswerte persönliche Daten gelten in der Schweiz laut Artikel 5c SDSG ebenso wie in der EU (z. B. besondere Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 DSGVO) Daten zu
Wie die DSGVO sieht das SDSG die Verarbeitung von Daten aus dieser Kategorie nur erlaubt, wenn eine ausdrückliche Einwilligung der betroffenen Person vorliegt (Artikel 6 Absatz 7a SDSG).
Die Betroffenenrechte des SDSG sind weniger detailliert vorgegeben als in der DS-GVO. Ausdrücklich erwähnt sind nur das Recht auf Auskunft (Artikel 25 SDSG) und die Herausgabe/Datenübertragbarkeit (Artikel 28 SDSG). Die übrigen Betroffenenrechte auf Berichtigung, Löschung, Einschränkung der Bearbeitung, Widerspruch und Beschwerde ergeben sich allerdings aus Artikel 32 DS-GVO und Artikel 6 SDSG.
Nach Artikel 25 SDSG muss die Auskunft an Betroffene folgende Informationen umfassen:
Dies entspricht dem Katalog der DS-GVO, der zudem noch eine elektronische Kopie einschließt. Diese kann aber auch nach Artikel 25 SDSG notwendig werden, um die verlangte Transparenz zu gewährleisten.
Wenn Sie sich mit Ihrem Unternehmen bereits an der DSGVO orientiert haben, brauchen Sie nur verhältnismäßig wenige Feinjustierungen im System vorzunehmen.
Deutlich aufwändiger wird es, wenn Sie bisher ausschließlich in der Schweiz tätig waren und sich ausschließlich am bisherigen SDSG orientiert haben. Sie benötigen zum 1. September 2023 beispielsweise
Die Bedingungen für Kreditwürdigkeitsprüfungen wurden durch das neue SDSG in Artikel 31 Absatz 2 verschärft, sie dürfen nur noch durchgeführt werden, wenn
die betroffene Person volljährig ist.
Die Vorgabe zum Datenschutz per design/default wurde erst mit Artikel 7 des neuen SDSG eingeführt. Es ist bereits bei der Konzeption von Datenerhebungstechnik darauf zu achten, dass diese so datensparsam und sicher wie irgend möglich gestaltet wird. Es dürfen auch technisch nur Daten erhoben werden, die für den vorgesehenen und in der Datenschutzinformation aufgeführten Zweck dieser Datenerhebung erforderlich sind.
So ist beispielsweise eine Postadresse oder eine Telefonnummer für den Versand eines elektronischen Newsletters nicht erforderlich und soll bei der Anmeldung für diesen Service daher auch nicht erhoben werden (Datenschutz per design). Und auch die höchste technisch erreichbare Sicherheitsstufe sollte von vornherein eingerichtet werden. Werden teilweise vorausgefüllte Formulare, Banner etc. eingeblendet, so müssen die Voreinstellungen entweder ganz unterbleiben oder aber die datenschutzorientierte Auswahl (und nicht die im Interesse des Werbenden liegende) anzeigen (Datenschutz per default).
Nicht notwendige Cookies erfordern nach der DSGVO zum einen die Einwilligung, damit sie auf dem Nutzergerät gespeichert werden dürfen, und zum anderen die Einwilligung, bestimmte Daten zu erheben.
Während die DSGVO für die Speicherung nicht notwendiger Cookies eine ausdrückliche Einwilligung fordert, genügt nach dem SDSG ein Hinweis auf ihren Einsatz und eine Information, wie die Cookies gelöscht werden können – zum Beispiel über den Browser.
Auch beim Datenschutz sind die Vorgaben der DSGVO strenger als die des Schweizer Datenschutzgesetzes. Der Nutzer muss spätestens wenn durch die Cookies ein Nutzerprofil geschaffen wird, in die Cookiesetzung einwilligen („Opt-In-Verfahren“). In der Schweiz ist das nur notwendig, wenn die Anlage des Nutzerprofils gegen die Persönlichkeitsrechte des Nutzers verstößt („Profiling mit hohem Risiko“). Das grenzüberschreitende Internet macht jedoch in fast allen Fällen die engere Auslegung der Cookiesetzung nach DSGVO notwendig.
Die Datenschutzerklärung muss vorliegen, sobald auf einer Webseite – egal ob privat oder nicht – personenbezogene Daten erhoben werden. Das kann ein privater Blog mit Kommentarfunktion sein, ein Ladengeschäft (auch ohne Internetseite), in dem z. B. Bestellungen aufgenommen werden, ein Verein mit einem Kontaktformular auf der Webseite oder auch ein Unternehmen mit Webseite, das sowohl gegenüber Kunden als auch gegenüber seinen Mitarbeitenden je eine Erklärung zum Datenschutz zur Verfügung stellen muss.
Dies gilt nicht nur bei besonders schützenswerten, sondern bei allen personenbezogenen Daten. In der Erklärung muss zwingend eine Person angegeben werden, die für den Datenschutz verantwortlich ist, sowie Kontaktmöglichkeiten zu ihr, um sich mit Auskunfts-Korrektur- und Löschanfragen an sie zu wenden.
Ja, denn die inhaltlichen Überschneidungen sind sehr groß. Die Positionen sind zwar teils unterschiedlich benannt, aber inhaltlich gleich. Wenn Sie über eine vollständige Datenschutzerklärung nach Artikel 13 und 14 der DSGVO verfügen, ergänzt um unternehmensspezifische Zusatzangaben, sind auch die Vorgaben des Artikel 19 Absatz 2 SDSG erfüllt. Unbedingt muss die Datenschutzerklärung ausführliche Informationen über eventuelles Profiling, also die vollautomatische Zusammenführung und Bewertung von personenbezogenen Daten, und die Einwilligungspflicht sowie das Widerspruchsrecht hierzu enthalten.
TIPP: Wenn Sie eine gemeinsame Datenschutzerklärung nutzen wollen, stellen Sie eine Erläuterung zu den Begriffsentsprechungen im SDSG voran. Gilt Ihre Datenschutzerklärung nur für die Schweiz, nutzen Sie nur die Begriffe aus dem SDSG.
Nutzen Sie unsere Expertise in verschiedenen Branchen, um Datenschutz in Ihrem Unternehmen zum Wettbewerbsvorteil zu machen.
Ein Auftragsverarbeitungsverhältnis (im Schweizer Recht Auftragsbearbeitungsverhältnis) liegt vor, wenn die Regelungen des Artikels 9 SDSG, die Artikel 4 Nummer 8 DSGVO entsprechen, erfüllt sind. Das bedeutet:
Während das SDSG keinen Auftragsbearbeitungsvertrag vorschreibt, muss dieser nach DSGVO zwingend abgeschlossen werden.
Für alle Verantwortlichen und Auftragsbearbeiter ist vorgeschrieben, je ein immer aktuell zu haltendes Verzeichnis ihrer Bearbeitungstätigkeiten zu führen (Artikel 12 SDSG). Darin müssen mindestens enthalten sein:
Außerdem muss das Verzeichnis der Bearbeitungstätigkeiten bei Auftragsbearbeitern enthalten:
Das Verzeichnis der Bearbeitungstätigkeiten muss nicht veröffentlicht und auch nicht mehr dem EDÖB gemeldet werden, aber auf Verlagen der Datenschutzaufsicht zur Verfügung gestellt werden.
Wenn Sie bereits ein regelmäßig aktualisiertes Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO haben, reicht dies für die genannten Anforderungen aus.
Unternehmen müssen nach dem neuen Schweizer Datenschutzgesetz Datenschutzverletzungen, die für die betroffenen Personen ein hohes Risiko bergen, nach Artikel 24 SDSG „so rasch als möglich“ beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) sowie allen potenziell vom Datenleck Betroffenen melden.
Das muss Ihre Meldung enthalten:
Diese Inhaltsvorgaben entsprechen denen in Artikel 33 und 34 DSGVO, allerdings sind dort auch eine feste Meldefrist von max. 72 Stunden sowie eine Meldepflicht auch bei nur geringem Risiko für die Betroffenen enthalten.
Wie auch in der DS-GVO (Artikel 27) ist im neuen Schweizer Datenschutzgesetz (Artikel 14) die Pflicht enthalten, einen Vertreter des verarbeitenden Unternehmens in der Schweiz zu benennen. Dieser dient als Kontaktperson für den EDÖB sowie für Betroffene, die ihre Rechte ausüben möchten.
Die oberste Aufsicht über den Datenschutz und die Einhaltung des neuen Datenschutzgesetzes hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Er ist auch diejenige Stelle, die für Datenschutz-Folgeabschätzungen, die auf risikoreiche Datennutzung hinweisen, zu konsultieren und die bei Datenschutzpannen zu informieren ist. Zudem führt er die Ermittlungen bei Verstößen gegen das Datenschutzgesetz durch und kann auch Maßnahmen bei Verstößen verhängen (z. B. Einschränkung oder Einstellung der Datenverarbeitung).
Einhaltung und Kontrolle des Datenschutzes im Unternehmen durch Cortina Consult.
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Registrieren Sie sich für unseren kostenlosen Newsletter mit lesenswerten Neuigkeiten zum Datenschutz und Best-Practices zur Umsetzung.
* Pflichtfeld. Mit der Registrierung erklären Sie Ihr Einverständnis zum Erhalt des Cortina Legal-Updates mit Mailchimp sowie zur Interessen-Analyse durch Auswertung individueller Öffnungs- und Klickraten. Zu Ihrer und unserer Sicherheit senden wir Ihnen vorab noch eine E-Mail mit einem Bestätigungs-Link (sog. Double-Opt-In); die Anmeldung wird erst mit Klick auf diesen Link aktiv. Dadurch stellen wir sicher, dass kein Unbefugter Sie in unser Newsletter-System eintragen kann. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft und ohne Angabe von Gründen widerrufen; z. B. durch Klick auf den Abmeldelink am Ende jedes Newsletters. Nähere Informationen zur Verarbeitung Ihrer Daten finden Sie in unserer Datenschutzerklärung.
