Das neue Datenschutzgesetz
Dieser Beitrag gibt Ihnen einen kurzen Überblick über die wichtigsten Bestimmungen des neuen Datenschutzgesetzes, das per 1. September 2023 in Kraft tritt.
Auf wen ist das Datenschutzgesetz anwendbar?
Das neue Datenschutzgesetz ist anwendbar auf private Personen und Bundesorgane, die Personendaten natürlicher Personen bearbeiten. Daten juristischer Personen fallen nicht mehr unter den Anwendungsbereich des neuen Datenschutzgesetzes. Unter «Bearbeiten» fällt jeder Umgang mit Personendaten, insbesondere das Beschaffen, Speichern, Verwenden, Bekanntgeben, Archivieren und Löschen von Daten.
Was müssen Unternehmen beachten?
Informationspflichten
Mit dem neuen Datenschutzgesetz sind die Informationspflichten der betroffenen Personen dahingehend ausgeweitet worden, als dass diese über jede Beschaffung von Personendaten – und nicht nur wie bisher bei besonders schützenswerten Daten und Persönlichkeitsprofilen – angemessen informiert werden müssen; dies auch, wenn die Personendaten nicht bei der betroffenen Person selbst erhoben werden. Bekanntgegeben werden müssen die Identität und die Kontaktdaten des Verantwortlichen, der Bearbeitungszweck, gegebenenfalls die Empfänger, denen Personendaten bekannt gegeben werden sowie bei einer Auslandbekanntgabe der Staat oder das internationale Organ. Dementsprechend haben Unternehmen ihre Datenschutzerklärungen anzupassen, um die Informationspflichten gegenüber den betroffenen Personen einzuhalten.
Verzeichnis der Bearbeitungstätigkeiten
Unternehmen, welche als Verantwortliche oder Auftragsbearbeiter Personendaten bearbeiten und mehr als 250 Mitarbeiter beschäftigen oder besonders schützenswerte Personendaten (insbesondere Daten über Gesundheit, Intimsphäre, religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten, verwaltungs- und strafrechtliche Sanktionen und neu genetische und biometrische Daten) in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko (automatisierte Bearbeitung von Personendaten, welche eine Verknüpfung zu wesentlichen persönlichen Aspekten einer natürlichen Person erlaubt) durchführen, haben nunmehr ein Verzeichnis ihrer Bearbeitungstätigkeiten zu führen. Das Bearbeitungsverzeichnis hat sich über die Identität des Verantwortlichen, den Bearbeitungszweck, die Kategorien betroffener Personen und bearbeiteter Personendaten, zur Aufbewahrungsdauer, einer Auslandbekanntgabe und zu Massnahmen zur Gewährleistung der Datensicherheit zu äussern.
Datenschutz-Folgenabschätzung
Verantwortliche Unternehmen müssen – mit wenigen Ausnahmen – vorgängig eine Datenschutz-Folgenabschätzung erstellen, wenn sich bei der Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person ergibt, insbesondere bei der umfangreichen Bearbeitung von besonders schützenswerten Personendaten. Ziel der Datenschutz-Folgenabschätzung ist die vorgängige Analyse und Bewertung von Risiken, welche mit einer Bearbeitungstätigkeit einhergehen. Auf dieser Grundlage sind entsprechende Massnahmen zum Schutz der betroffenen Personen zu treffen. Sofern trotz Massnahmen nach wie vor ein hohes Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen besteht, ist vorgängig eine Stellungnahme des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzuholen.
Meldung von Datenschutz-Verletzungen
Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt, ist so rasch als möglich dem EDÖB zu melden. Eine solche liegt dann vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet, verändert oder Unbefugten offengelegt oder zugänglich gemacht werden. Wenn es zum Schutz der betroffenen Person erforderlich ist oder der EDÖB dies verlangt, so hat der Verantwortliche auch die betroffenen Personen zu informieren.
Privacy by Design und Privacy by Default
Unternehmen sind zum einen verpflichtet, bei der Datenbearbeitung vorab durch angemessene technische und organisatorische Massnahmen sicherzustellen, dass die Datenschutzvorschriften eingehalten werden (Privacy by Design). Zum anderen ist bei Webapplikationen mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung von Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt (Privacy by Default). Es ist somit immer standardmässig eine datenschutzfreundliche Einstellung vorzunehmen.
Wir sind für Sie da
Haben Sie weitere Fragen oder benötigen Hilfe bei anderen Rechtsangelegenheiten? Unsere spezialisierten Anwält:innen und Jurist:innen begleiten Sie in allen Rechtsfragen.
