Das neue Schweizer Bundesgesetz über den Datenschutz (nDSG) Revision des Schweizer Datenschutzgesetzes

Anbieter zum Thema

e3 AG

FTAPI Software GmbH

valvisio international AG

Das Hauptziel des totalrevidierten Schweizer Datenschutzgesetzes gilt der Abstimmung an die europäischen Datenschutzregeln sowie der Bearbeitung von elektronisch zugewonnenen Daten.

Mit dem neuen Datenschutzgesetz (nDSG) soll primär sichergestellt werden, dass die EU die Schweiz weiterhin als Drittstaat mit einem angemessenen Datenschutzniveau anerkennt. Denn eine Nichtanerkennung des schweizerischen Datenschutzniveaus durch die EU-Kommission bedeutet, dass Schweizer Unternehmen künftig mit Wettbewerbsnachteilen konfrontiert und der Datenaustausch mit der EU erschwert würden.

Ein weiteres Ziel des nDSG war seine Verbindlichkeit gegenüber ausländischen Unternehmen, Behörden und Institutionen. Das neue Datenschutzgesetz (nDSG) knüpft bezüglich des räumlichen Geltungsbereichs an das sogenannte Auswirkungsprinzip an. Es gilt also auch für ausländische Firmen, die im Schweizer Markt tätig sind, beziehungsweise deren Datenbearbeitung sich in der Schweiz auswirkt – genauso wie die Datenschutz-Grundverordnung der EU (DSGVO) auch für Schweizer Unternehmen gilt, die im EU-Raum tätig sind. Das Inkrafttreten des Gesetzes ist der 1. September 2023 – nota bene ohne Übergangsfristen.

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

Bei jeder Beschaffung von Personendaten – und nicht mehr nur von sogenannten besonders schützenswerten Daten – muss die betroffene Person vorgängig informiert werden. Es gilt also neu das Opt-in-Prinzip. Wird das Auftragsbearbeitungsverhältnis z. Bsp. in die Cloud übertragen, hat der Auftragsbearbeiter die Daten gleich zu bearbeiten wie der Verantwortliche. Der Bundesrat sieht Ausnahmen für Unternehmen vor, die weniger als 250 Mitarbeitende beschäftigen und deren Datenbearbeitung nur ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt. Für alle anderen gilt: Jedes Unternehmen jeder Größe muss sich an die neuen Datenschutzregelungen halten und kann bei Nichteinhalten dieser mit einer Strafe von bis zu CHF 250'000 sanktioniert werden.

Die Grundsätze „Privacy by Design“ und „Privacy by Default“ werden eingeführt. Das bedeutet, dass der Verantwortliche die Datenbearbeitung ab der Planung so zu gestalten hat, dass die Datenschutzvorschriften und insbesondere die Bearbeitungsgrundsätze eingehalten werden (Privacy by Design). Weiter müssen die Voreinstellungen so eingestellt sein, dass die Bearbeitung von Personendaten auf das für den Verwendungszweck notwendige Mindestmaß beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt (Privacy by Default).

Neu im Gesetz aufgenommen wurde ebenso der Begriff „Profiling“. Der Begriff umfasst jede Art der automatisierten Bearbeitung von Personendaten, um bestimmte persönliche Aspekte einer natürlichen Person zu bewerten. „Profiling mit hohem Risiko“ liegt dann vor, wenn Personendaten automatisiert bearbeitet werden und eine Verknüpfung von Daten die Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt. Bei „Profiling mit hohem Risiko“ muss eine allenfalls erforderliche Einwilligung ausdrücklich vorliegen. Das hohe Risiko ergibt sich – insbesondere bei Verwendung neuer Technologien – aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Insbesondere liegt ein hohes Risiko dann vor, wenn ein „Profiling mit hohem Risiko“ oder umfangreiche Bearbeitungen besonders schützenswerter Personendaten geplant sind.

Ausnahme für Lösungen zertifizierter Anbieter

Gemäß Art. 13 nDSG können nebst den Betreibern von Datenbearbeitungssystemen oder -programmen neu auch deren Hersteller ihre Systeme, Produkte und Dienstleistungen zertifizieren lassen. Mittels Zertifizierung können Unternehmen z. Bsp. nachweisen, dass sie dem Grundsatz von „Privacy by Default“ gerecht werden und über ein angemessenes Datenschutzmanagementsystem verfügen. Ist ein Produkt, System oder eine Dienstleistung also zertifiziert oder wird ein Verhaltenskodex nach Art. 11 nDSG eingehalten, gelten vereinfachte Bedingung für die Bearbeitung von Daten mit und ohne hohem Risiko.

Zur langfristigen und nachhaltigen Sicherheit der Datenverarbeitung empfehle ich Ihnen eine On-Premise-Lösung, bei welcher Sie allein über den Schlüssel für die Entschlüsselung Ihrer Daten verfügen. Damit sind Sie am längsten von Anpassungen Ihrer IT-Infrastruktur gefeit. Denn am 13.6. dieses Jahres hat der Eidgenössischer Datenschutz- und Öffentlichkeits­beauftragte (EDÖB) die Schweizerische Unfallversicherung (SUVA) abgemahnt, weil sie die Personendaten in eine Microsoft Cloud auslagern wollte. Aufgrund teilweise unterschiedlicher Rechtsauffassungen rät der EDÖB der SUVA, die Auslagerung von Personendaten in eine vom US-amerikanischen Konzern Microsoft betriebene Cloud neu zu beurteilen.

Mit Verschlüsselungssoftware auf der sicheren Seite

Mittels Verschlüsselungslösungen wird die datenschutzkonforme Bearbeitung Ihrer Daten einfacher und benutzerfreundlicher. Damit der Schutz maximal ist, muss er möglichst nah beim User beginnen, transparent funktionieren und eine hohe Betriebssicherheit gewährleisten . Maximale Sicherheit gewährt Ihnen die Option „Inlinenetzwerk­komponente zwischen Benutzer und Provider“, da der Cloud-Provider den unverschlüsselten Inhalt nicht sieht. Einem besonders hohen Risiko ausgesetzt sind Unternehmen, die grosse Mengen an Personendaten oder besonders schützenswerte Daten bearbeiten, „Profiling“ durchführen, Webshops betreiben, automatisierte Einzelentscheide generieren oder Personendaten ins Ausland (außerhalb der EU) übermitteln.

Unternehmen, die heute bereits DSGVO-konform sind, haben praktisch keinen Anpassungsbedarf mehr. Wer hingegen nur in der Schweiz tätig ist und bisher noch nichts unternommen hat, sollte umgehend mit einer Gap-Analyse beginnen und einen Anbieter von zertifizierten Sicherheitslösungen kontaktieren. Ausländische Firmen, die umfangreiche Daten von Personen in der Schweiz im Zusammenhang mit Angeboten von Waren oder Dienstleistungen oder zwecks Beobachtung des Verhaltens bearbeiten und die Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringt, müssen eine Datenschutzbeauftragten in der Schweiz ernennen.

Zur langfristigen und nachhaltigen Sicherheit der Datenbearbeitung empfehle ich Ihnen eine On-Premise-Lösung, bei welcher Sie allein über den Schlüssel für die Entschlüsselung Ihrer Daten verfügen. Außerdem rate ich Ihnen, sich für eine schweizerische Verschlüsselungslösung zu entscheiden.

Über den Autor: Thomas Fürling ist CEO der e3 AG. Vor seiner Tätigkeit bei der e3 AG war Fürling während gut zehn Jahren in der IT der UBS tätig.

(ID:48667119)