Am 1. September 2023 trat in der Schweiz das neue Datenschutzgesetz in Kraft.

Das revidierte Datenschutzgesetz und die dazugehörige Datenschutzverordnung trat in der Schweiz am 1. September 2023 in Kraft und sind ohne Übergangsfrist anwendbar. Die neue Gesetzgebung betrifft sämtliche Unternehmen in allen Branchen, aber ganz besonders jene, die sensible, persönliche Kundendaten verwalten, zum Beispiel Treuhand- und IT-Firmen, Gesundheitspraxen oder Immobilienverwaltungen.

Was änderte sich konkret seit dem 1. September?
Die wichtigsten Massnahmen in Kürze: Seit dem 1. September 2023 muss die Firma oder Organisation die Sicherheit der Personendaten gewährleisten, Multifaktorauthentifizierung einführen, Super-Administratoren bei der Datenbearbeitung definieren sowie interne Weisungen und Schulungen durchführen.

Strafmass: Bisher galten Verstösse gegen den Datenschutz als Kavaliersdelikte, jetzt gilt nur schon ein Verstoss gegen die Informationspflicht als strafrechtlich relevant.

Die Datenschutzerklärung muss auf der Website aufgeschaltet sein. Dies zentral. Der Wortlaut muss präzise, transparent, verständlich und leicht zugänglich sein. Betroffene müssen grundsätzlich VOR der Datenbearbeitung über dessen Verwendung informiert werden. Ausserdem muss auf Anfragen von Betroffenen zur Datenbearbeitung kostenlos und innert 30 Tagen reagiert werden («Auskunftspflicht»). Die Daten müssen zudem in einem gängigen elektronischen Format übermittelt werden.

Für wen gilt das neue Datenschutzgesetz?
Das neue Datenschutzgesetz schützt ausschliesslich natürliche Personen (jedoch nicht mehr juristische Personen) vor Missbrauch, in der Pflicht stehen allerdings alle Unternehmen und Einzelpersonen, die Daten bearbeiten. Das Gesetz ist ausserdem weltweit für alle Sachverhalte anwendbar, sobald sich diese auf die Schweiz auswirken. Die weltweite Anwendbarkeit erlaubt es gegen den Datenhunger von grossen Tech-Firmen wie Alpha (Google), Meta (Facebook), Amazon etc. vorzugehen.

Was sind die Pflichten der Verantwortlichen und Auftragsbearbeitenden?
Sie sind verpflichtet, Kunden, Interessentinnen, Geschäftspartner, Mitarbeitende und Website-Besuchende – kurz, alle, die Ihnen Personendaten anvertrauen (= Betroffene) – darauf hinzuweisen, dass und wann Sie deren Daten sammeln und bearbeiten. In Ihrer Datenschutzerklärung müssen Sie über die Erhebung, den Zweck und die Art der Bearbeitung der Personendaten (zum Beispiel Profiling) informieren.

Sie sind ausserdem verpflichtet, die Betroffenen über ihre Rechte zu informieren. Dazu gehören beispielsweise das Recht, Auskunft über die gesammelten Personendaten zu verlangen, oder das Recht, die eigenen Personendaten berichtigen oder löschen zu lassen. Sie müssen den Betroffenen zudem zeigen, wie sie ihre Rechte wahrnehmen können und wen sie dafür kontaktieren müssen.

Was muss meine Datenschutzerklärung beinhalten?
Die Anforderungen an die Datenschutzerklärung steigen enorm: Das dürfte dazu führen, dass diese eher zu lang als zu kurz werden, um gegen alle Eventualitäten abgesichert zu sein.

Folgende Fragen müssen in Zukunft in der Datenschutzerklärung beantwortet werden:

Welche Personendaten werden zu welchem Zweck erhoben? Wie wird der Benutzer, die Benutzerin darüber informiert? Wie wird sein respektive ihr Einverständnis eingeholt?
Verwenden Sie die erhobenen Daten für Marketingmassnahmen – allenfalls durch dritte Trackinganbieter, insbesondere Google Analytics?
Wie lange werden die Daten wo gespeichert? Wie schützen Sie die Daten beim Speichern?
Werden die Daten weitergegeben? Wenn ja, an wen?
Wohin wendet man sich mit einer Anfrage für Auskunft, Löschung, Korrektur oder Herausgabe der Daten? Welche Angaben (insbesondere Identitätsnachweis) sind nötig?
Setzen Sie automatisierte Verfahren ein, um Benutzende zu identifizieren (Profiling) oder um aus den Daten rechtlich relevante Informationen abzuleiten (zum Beispiel Credit Score)?
Verwenden Sie auf Ihrer Website Vorlagen von Google oder haben Sie Google-Fonts eingebunden, die Google einen Zugriff ermöglichen (heruntergeladene Fonts sind unproblematisch)?

Wie unterscheidet sich das neue Schweizer Gesetz zur DSGVO der EU?
Falls Sie Ihre Tätigkeiten bereits auf die DSGVO der EU ausgerichtet haben, dann ist das schon einmal sehr gut. Wichtig ist, dass die Auftragsdatenverarbeitung sowie die Standardvertragsklauseln seit 1. September 2023 dem Schweizerischen Datenschutzgesetz unterstehen. In der Schweiz besteht neu die gesetzliche Vorgabe, die Dokumentation zu Meldungen, die gegenüber dem EDÖB gemacht wurden, für 2 Jahre aufzubewahren.

Zu guter Letzt noch ein Tipp für die Praxis:
Machen Sie Ihre Mitarbeitenden auf das Datenschutzgeheimnis aufmerksam. Jede Person, die Daten verarbeitet, ist dem neuen Gesetz verpflichtet und muss auf Anfrage innert 30 Tagen und grundsätzlich kostenlos Transparenz über die Verwendung der Daten herstellen können.

Quelle: Gryps.ch – 20.05.2023