Das neue Datenschutzgesetz der Schweiz

Am 1. September 2023 tritt das neue Schweizer Datenschutzgesetz (nDSG) ohne Übergangsfristen in Kraft. Ab dann gilt es also. Welche Auswirkungen hat das Gesetz auf Unternehmen mit einer Online-Präsenz? Die folgende kurze Übersicht gibt einen guten Einblick, was für Unternehmen bezüglich der Online-Präsenz zu tun ist.

Autor:in: Ivan Schwab-Germann

Veröffentlicht: 21. März 2023

Grundsatz

Nach dem Schweizer Datenschutzgesetz (DSG) müssen Online-Applikationen, die personenbezogene Daten von Nutzern (nur natürliche Personen) aus der Schweiz verarbeiten, die vorherige, freiwillig erteilte, informierte und ausdrückliche Einwilligung dieser Personen einholen.

Geltungsbereich

Wer auf seiner Online-Präsenz Nutzer:innen aus der Schweiz hat, ist verpflichtet, das neue Schweizer DSG einzuhalten. Das gilt auch für Applikationen, die ausserhalb der Schweiz betrieben werden.

8 zentrale Punkte, die es zu beachten gilt

Informationspflicht - Nutzer müssen informiert werden, welche Daten gesammelt werden.
Folgenabschätzung - Eine solche ist notwendig, wenn die Datenbearbeitung ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt.
Profiling - Bei Profiling mit hohem Risiko ist eine Einwilligung erforderlich (Aspekte sind: Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel).
Meldepflicht - Bei unbeabsichtigtem oder widerrechtlichem Verlieren, Löschen, Vernichten, Verändern oder Unbefugten zugänglich machen von Personendaten, müssen neu dem EDÖB (Eidgenössischen Datenschutz- und Öffentlichkeits Beauftragten) so rasch als möglich (gemäss DSGVO innerhalb von 72 Stunden) Meldung gemacht werden.
Privacy-by-Design und Privacy-by-Default - Es dürfen nur Daten gesammelt werden, die auch tatsächlich für den Prozess gesammelt werden müssen. Also z.B. bei einem Shopeinkauf nur die nötigen Daten um die Bestellung abwickeln zu können.
Informationspflicht - Das nDSG schreibt indirekt vor, dass alle Websites über eine Datenschutzerklärung verfügen müssen (mit Angabe der Kontaktdaten der verantwortlichen Person).
Auskunftsrecht - Über sämtliche Inhalte und Prozesse muss auf Anfrage Auskunft gegeben werden.
Cookie–Handling - Wie die DSGVO verlangt auch das Schweizer DSG, dass die Einwilligung zu Cookies für jede Art von Zweck eingeholt wird und nicht einfach eine allgemeine Verwendung von Cookies ohne nähere Spezifikation, welche Daten gesammelt werden und für welche Zwecke. Die Informationen zur Einwilligung sollen klar, gut verständlich, vollständig und in allen Sprachen der Website vorhanden sein.

Auswirkungen

Fehlverhalten kann neu mit einer Busse von CHF 250’000 anstatt CHF 10’000 gebüsst werden (Datenschutzbeauftragte als auch die Unternehmung selbst). Das gilt bei der vorsätzlichen Verletzung von Informations-, Auskunfts-, Mitwirkungs- und Sorgfaltspflichten.

Bei einem eventual-vorsätzlichen Verstoss (ich mach mal nichts) ist die Unternehmung resp. der Datenschutzverantwortliche ebenfalls persönlich haftbar.

Fazit

Wie bei der DSGVO lässt auch das nDSG Spielraum für Interpretationen der Formulierungen bezüglich der Anwendung auf Websites. Erst die Urteile der Richter werden im Detail klären, ob z.B. die IP-Nr einer Nutzerin auch in der Schweiz zu den schützenswerten persönlichen Daten zu zählen ist - wie im EU Raum. Es ist zu erwarten, dass die hiesigen Richter aber den Urteilen der EU folgen werden. Deshalb ist ein Unternehmen wohl gut beraten, diesbezüglich keine Risiken einzugehen und die im EU-Raum üblichen Standards zu übernehmen.