Datenschutzrecht

Das revidierte Datenschutzgesetz in der Praxis

Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz. Es hat den Schweizer Datenschutz näher an die europäische Regelung herangeführt, unterscheidet sich aber in einigen Punkten deutlich: Es schützt nur Daten natürlicher Personen, kennt keine generelle Pflicht zur Bestellung einer Datenschutzberaterin, und es sanktioniert nicht das Unternehmen, sondern die verantwortliche Person persönlich.

Für den Betrieb heisst das vor allem: Transparenz und Nachvollziehbarkeit. Wer Personendaten beschafft, muss die betroffene Person darüber informieren — wer bearbeitet, zu welchem Zweck, und an wen die Daten gehen. Diese Information ist der Kern jeder Datenschutzerklärung, und sie stimmt nur, wenn man vorher weiss, was im eigenen Haus tatsächlich geschieht.

Der Einstieg: Auslegeordnung statt Vorlage

Eine aus dem Internet kopierte Datenschutzerklärung schadet mehr, als sie nützt: Sie beschreibt Bearbeitungen, die es nicht gibt, und verschweigt jene, die es gibt. Wir beginnen deshalb mit einer Auslegeordnung — welche Daten liegen wo, wer hat Zugriff, welche externen Dienstleister sind beteiligt, wohin fliessen die Daten. Daraus entstehen das Bearbeitungsverzeichnis (Art. 12 DSG), die Datenschutzerklärung und, wo das Risiko hoch ist, die Datenschutz-Folgenabschätzung (Art. 22 DSG).

Kleinere Unternehmen sind vom Verzeichnis ausgenommen, wenn die Bearbeitung nur ein geringes Risiko bringt. Nützlich ist es trotzdem: Ohne Übersicht lässt sich weder ein Auskunftsbegehren beantworten noch ein Vorfall beurteilen.

Dienstleister, Cloud und Ausland

Wer die Bearbeitung auslagert, bleibt verantwortlich. Der Vertrag mit dem Auftragsbearbeiter muss festhalten, was dieser darf, welche Sicherheit er gewährleistet und ob er Unterauftragnehmer beiziehen darf (Art. 9 DSG). Liegt der Server im Ausland, kommt die Frage der Angemessenheit dazu: Für Staaten ohne Angemessenheitsbeschluss braucht es Garantien, in der Regel die Standardvertragsklauseln. Gerade bei Marketing-Tools, Newsletter-Diensten und Cloud-Speichern wird dieser Punkt regelmässig übersehen.

Wenn etwas passiert

Datenvorfälle beginnen selten spektakulär: ein falsch adressiertes E-Mail, ein verlorener Laptop, ein kompromittiertes Konto. Entscheidend sind die ersten Stunden. Zu klären ist, welche Daten betroffen sind, ob ein hohes Risiko für die Betroffenen besteht und ob eine Meldung an den EDÖB nötig ist (Art. 24 DSG). Unter der DSGVO läuft parallel die 72-Stunden-Frist. Wir begleiten die Meldung, die Information der Betroffenen und die Aufarbeitung — und halten fest, was zur Verteidigung gegen spätere Ansprüche gebraucht wird.

Datenschutz für Unternehmen in der Ostschweiz

Wir beraten KMU, Vereine, Praxen und Gemeinden aus Wil SG, Teufen AR und Zürich. Wo es um Software- und Cloud-Verträge geht, arbeiten wir mit unserem IT-Recht zusammen; bei Datenbearbeitungen im Arbeitsverhältnis mit dem Arbeitsrecht.