Inkrafttreten revidiertes Datenschutzgesetz
Nach einem langwierigen Prozess tritt das revidierte Datenschutzgesetz (DSG) per 01.09.2023 in Kraft. Anstoss zu der vorliegenden Revidierung des bestehenden Datenschutzgesetzes war einerseits die Anpassung der datenschutzrechtlichen Normen an die geänderten gesellschaftlichen und technologischen Gegebenheiten, andererseits aber auch die Abstimmung auf die Datenschutznormen der EU. Gerade der zweite Punkt ist von entscheidender Bedeutung, damit die Schweiz von der EU weiterhin als Drittstaat mit angemessenem Datenschutzniveau anerkannt wird.
Das neue DSG sieht keine Übergangsfristen vor, was bedeutet, dass die geänderten und neuen Pflichten per 01.09.2023 umgesetzt werden müssen.
Wesentliche Änderungen und Neuerungen
Die Generalüberholung des bestehenden DSG hat zu wesentlichen Änderungen und Neuerungen im DSG geführt. Auf ausgewählte Neuerungen wird nachfolgend kurz eingegangen.
- Geltungsbereich
Bisher erstreckte sich der Datenschutz auf die Daten von natürlichen sowie juristischen Personen. Mit dem neuen DSG wird der Anwendungsbereich der datenschutzrechtlichen Normen nun auf die Daten natürlicher Personen beschränkt. - Profiling
Im neuen DSG wird neu der Begriff des Profiling eingeführt. Unter dem Begriff Profiling versteht man jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten. Dies insbesondere, um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen. - Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen
Im neuen DSG sind die Grundsätze des «Datenschutzes durch Technik (privacy by design)» und «Datenschutzes durch datenschutzfreundliche Voreinstellungen (privacy by default)» verankert. Diese sehen vor, dass bei der Bearbeitung von Personendaten bereits im Planungsstadium angemessene technische und organisatorische Massnahmen getroffen werden müssen, um die Einhaltung der Datenschutzgrundsätze in diesen Systemen sicherzustellen. Gleichzeitig müssen die datenschutzrelevanten Voreinstellungen auch so ausgestaltet sein, dass die Bearbeitung von Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist. - Aufbewahrungsdauer von Daten
Eine Pflicht zur Löschung von Daten galt im bestehenden DSG nur implizit. Im neuen DSG wird diese Thematik nun explizit durch Bestimmungen betreffend die Speicherbeschränkung geregelt. Es ist vorgesehen, dass Daten vernichtet oder anonymisiert werden, sobald diese zum Zwecke der Bearbeitung nicht mehr erforderlich sind. - Erweiterte Informationspflichten
Unter dem bestehenden DSG mussten betroffene Personen bei der Datenbeschaffung nur informiert werden, wenn es sich bei den Daten um besonders schützenswerte Personendaten handelte. Neu sind betroffene Personen bei jeder Datenbeschaffung entsprechend zu informieren. Die Informationspflicht erstreckt sich unter anderem auf Angaben wie Identität und Kontaktangaben des für die Datenbearbeitung Verantwortlichen, den Bearbeitungszweck, potenzielle Empfänger oder Kategorien von Empfängern sowie auf andere weiterführende Angaben. - Datenschutz-Folgenabschätzung
Besteht bei einer Datenbearbeitung ein hohes Risiko einer Persönlichkeitsverletzung einer betroffenen Person, muss vorgängig eine Datenschutz-Folgenabschätzung erstellt werden. Zweck der Datenschutz-Folgenabschätzung ist, die Risiken der geplanten Bearbeitung vorgängig zu analysieren und notwendige technische und organisatorische Massnahmen bereits in der Planungsphase der Datenbearbeitung festzustellen. - Strafbestimmungen
Verschiedene Tatbestände sehen eine Busse in Höhe von bis zu CHF 250’000 für private Personen vor. Diese Tatbestände reichen von der Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten über die Verletzung von Sorgfaltspflichten bis hin zur Missachtung von Verfügungen. Ebenfalls bestehen Sanktionen für Wiederhandlungen in Geschäftsbetrieben. - Weiteres
Nebst den oben angesprochenen Änderungen und Neuerungen beinhaltet das neue DSG noch eine Vielzahl weiterer wesentlicher Bestimmungen wie z.B. das Bearbeitungsverzeichnis, Meldepflichten an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, Rechte der von der Bearbeitung betroffenen Person usw. - Handlungsempfehlung
Unternehmen sind gut beraten, wenn sie die Bearbeitung von personenbezogenen Daten (insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten) einer Analyse auf die bevorstehenden Neuerungen unterziehen. Das interne Regelwerk (z.B. Weisungen), die Prozesse, Systeme, vertragliche Grundlagen mit Auftragsbearbeiter etc. gilt es in der Regel den neuen Anforderungen anzupassen.
Die Equilas unterstützt vorwiegend Banken und Vermögensverwalter bei der Sicherstellung ihrer regulatorischen Pflichten und bietet neben der Beratung auch die Überwachung des regulatorischen Umfelds, diverse Mustervorlagen wie Reglemente, Weisungen, Verträge etc. an. Falls Sie ein Bedürfnis erkennen, freuen wir uns über Ihre Kontaktaufnahme.
Tags: Datenschutzgesetz, DSG, EU-DSGVO
