Question 1

Gilt das neue DSG für mein KMU?

Accepted Answer

Ja. Das Datenschutzgesetz (DSG) gilt für jede private Person und jedes Unternehmen, das Personendaten natürlicher Personen bearbeitet, unabhängig von der Grösse (Art. 2 DSG). Es gilt auch für ein Unternehmen im Ausland, wenn sich die Bearbeitung in der Schweiz auswirkt (Art. 3 DSG).

Question 2

revDSG und DSGVO: Was sind die Unterschiede, und wann gelten beide?

Accepted Answer

Das Schweizer DSG und die europäische DSGVO beruhen auf denselben Grundsätzen, doch das DSG verlangt nicht für jede Bearbeitung eine Rechtsgrundlage, setzt keine Frist in Stunden für die Meldung einer Verletzung und bestraft die verantwortlichen Personen statt des Unternehmens. Ein Schweizer Unternehmen muss auch die DSGVO einhalten, wenn es eine Niederlassung in der EU hat, Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet (Art. 3 DSGVO).

Question 3

Welche Sanktionen sieht das neue DSG vor, und gegen wen?

Accepted Answer

Das DSG sieht Bussen bis CHF 250'000 vor (Art. 60-63 DSG). Sie treffen die verantwortliche natürliche Person, nicht das Unternehmen, und nur bei vorsätzlichen Verstössen; das Unternehmen kann mit bis zu CHF 50'000 gebüsst werden, wenn die Ermittlung der verantwortlichen Person unverhältnismässige Untersuchungsmassnahmen erfordern würde (Art. 64 DSG).

Question 4

Braucht es mit dem neuen DSG ein Verzeichnis der Bearbeitungstätigkeiten?

Accepted Answer

In der Regel ja. Das DSG verpflichtet Verantwortliche und Auftragsbearbeiter, ein Verzeichnis ihrer Bearbeitungstätigkeiten zu führen (Art. 12 DSG). Ausgenommen sind Unternehmen mit weniger als 250 Mitarbeitenden, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch (Art. 24 DSV).

Question 5

Muss ich eine Datenschutzberaterin oder einen Datenschutzberater (DPO) ernennen?

Accepted Answer

Nach DSG nein: Für private Unternehmen ist die Datenschutzberaterin oder der Datenschutzberater freiwillig (Art. 10 DSG). Nach DSGVO ist ein Datenschutzbeauftragter Pflicht, wenn die Kerntätigkeit in einer umfangreichen regelmässigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht (Art. 37 DSGVO).

Question 6

Was muss in der Datenschutzerklärung stehen?

Accepted Answer

Bei der Beschaffung von Personendaten muss das Unternehmen die betroffenen Personen mindestens informieren über: seine Identität und Kontaktdaten, den Bearbeitungszweck, die Empfängerinnen und Empfänger oder deren Kategorien und, bei Bekanntgabe ins Ausland, den Staat und die Garantien (Art. 19 DSG). Werden die Daten nicht bei der betroffenen Person beschafft, sind auch die Kategorien der bearbeiteten Daten anzugeben.

Question 7

Braucht es eine Datenschutz-Folgenabschätzung (DSFA)?

Accepted Answer

Ja, aber nur wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen kann (Art. 22 DSG): etwa bei neuen Technologien, bei umfangreicher Bearbeitung besonders schützenswerter Personendaten oder bei systematischer Überwachung umfangreicher öffentlicher Bereiche. Bleibt das Risiko trotz der Massnahmen hoch, ist der EDÖB zu konsultieren (Art. 23 DSG).

Question 8

Darf ich Anbieter mit Servern in den USA oder in der EU nutzen?

Accepted Answer

Ja. Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass der Staat einen angemessenen Schutz gewährleistet, wie die Staaten der EU und des EWR (Art. 16 Abs. 1 DSG). In die USA dürfen sie an Unternehmen gehen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind; für die übrigen braucht es geeignete Garantien, meist die Standardvertragsklauseln (Art. 16 Abs. 2 DSG).

Question 9

Braucht es einen Vertrag mit Anbietern, die Daten für uns bearbeiten?

Accepted Answer

Ja. Ein Unternehmen kann die Bearbeitung von Personendaten vertraglich einem Anbieter (Auftragsbearbeiter) übertragen, wenn dieser die Daten nur so bearbeitet, wie es das Unternehmen selbst tun dürfte, und ihre Sicherheit gewährleistet (Art. 9 DSG). Der Anbieter darf die Bearbeitung nur mit vorgängiger Genehmigung des Unternehmens einem Dritten übertragen; nach DSGVO muss der Vertrag schriftlich sein und den Inhalt von Art. 28 DSGVO haben.

Question 10

Cookies und Banner: Braucht es in der Schweiz eine Einwilligung?

Accepted Answer

In der Regel nein. In der Schweiz dürfen Cookies verwendet werden, wenn die Website über die Bearbeitung und ihren Zweck informiert und darauf hinweist, wie man sie ablehnen kann (Art. 45c des Fernmeldegesetzes, FMG); eine vorgängige Einwilligung ist im Allgemeinen nicht verlangt. Richtet sich die Website an Personen in der EU, braucht es für nicht notwendige Cookies deren Einwilligung, bevor sie gesetzt werden (ePrivacy-Richtlinie und DSGVO).

Question 11

Verletzung der Datensicherheit: Wann und wie muss man sie dem EDÖB melden?

Accepted Answer

Eine Verletzung der Datensicherheit ist dem EDÖB so rasch als möglich zu melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt (Art. 24 DSG). Die betroffenen Personen sind zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt; nach DSGVO ist die Meldung an die Behörde binnen 72 Stunden zu machen (Art. 33 DSGVO).

Question 12

Wie beantwortet man ein Auskunftsbegehren, und innert welcher Frist?

Accepted Answer

Jede Person kann von einem Unternehmen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden, und eine Kopie erhalten, mit Zweck, Aufbewahrungsdauer, Empfängerinnen und Empfängern und ausländischen Staaten (Art. 25 DSG). Die Auskunft ist in der Regel innert 30 Tagen und kostenlos zu erteilen (Art. 18-19 DSV); nach DSGVO beträgt die Frist einen Monat (Art. 12 und 15 DSGVO).

Fragen zum neuen DSG

Gilt es für uns?

Dokumente und Rollen

Anbieter und Ausland

Wenn etwas passiert

Ihre Frage ist nicht dabei?