Checkliste: 7 Schritte zum neuen Schweizer Datenschutzgesetz

Am 1. September 2023 trat das neue Schweizer Datenschutzgesetz (nDSG) in Kraft. Es folgte auf die 2018 eingeführte Datenschutz-Grundverordnung (DSGVO) der Europäischen Union.

Dieser Beitrag erklärt die damaligen Neuerungen und ihre kurz- sowie langfristigen Auswirkungen auf KMU. Die Checkliste schafft einen Überblick für eine planbare Umstellung, damit Unternehmen Bussen und Reputationsschäden vermeiden, das Vertrauen ihrer Kund:innen stärken und den freien Datenverkehr mit der EU sichern können.

• Gültig seit: 1. September 2023
• Ziel: besserer Schutz der Persönlichkeits- und Grundrechte bei der Bearbeitung von Personendaten
• Vorbild: DSGVO der Europäischen Union aus dem Jahr 2018
• Betrifft: in erster Linie Unternehmen und Vereine
• Vorteil für KMU: wettbewerbsfähig bleiben, Bussen vermeiden und Kund:innenvertrauen stärken
• nDSG vs. DSGVO: die 11 wichtigsten Unterschiede im Überblick
• Praktische Hilfe: Datenschutz-Generator; der Code onlineKarma10 bietet einen Rabatt.

Das nDSG schützt in seinem vollen Umfang die Daten natürlicher Personen. Daten juristischer Personen fallen nicht mehr im gleichen Mass unter den Schutz des Gesetzes. Die Persönlichkeitsrechte von Mitarbeitenden eines Unternehmens bleiben geschützt.

Genetische und biometrische Personendaten zählen zu den besonders schützenswerten Personendaten und verlangen besondere Sorgfalt.

Personendaten umfassen etwa Stammdaten wie Name, Geburtstag oder IBAN, Bewegungsdaten aus physischem und digitalem Tracking sowie Profiling-Daten zur automatischen Auswertung von Interessen, Vorlieben oder Leistung.

Besonders schützenswert sind unter anderem Daten zu Gesundheit, genetischen oder biometrischen Merkmalen, religiösen, politischen oder gewerkschaftlichen Ansichten sowie Daten zu strafrechtlichen oder sozialen Massnahmen.

Diese beiden Grundsätze schützen Personendaten durch eine angemessene technische und organisatorische Gestaltung sowie durch datenschutzfreundliche Voreinstellungen.

Die Datenschutz-Folgenabschätzung (DSFA) beschreibt die geplante Datenbearbeitung, bewertet Risiken für Persönlichkeit und Grundrechte betroffener Personen und hält geeignete Schutzmassnahmen fest.

Die Informationspflicht gilt bei jeder Beschaffung von Personendaten, nicht nur bei besonders schützenswerten Daten. Betroffene Personen müssen verständlich über Umfang und Zweck der Bearbeitung informiert werden – zum Beispiel in einer Datenschutzerklärung. Weitere Informationen bietet der EDÖB.

Erfassen Sie, welche Personendaten Sie bearbeiten und welche davon besonders schützenswert sind. Informieren Sie transparent und leicht verständlich, etwa über:

• Datenschutzerklärung
• AGB oder separates Schreiben
• Einwilligungsformular
• informative Cookie-Banner

Ob eine Einwilligung nötig ist, hängt von Datenkategorie, Zweck, eingesetzter Technologie und anwendbarem Recht ab.

Die technische Struktur eines Produkts oder einer Dienstleistung muss die Privatsphäre respektieren. Sinnvolle Massnahmen sind:

• Datenminimierung: nur Daten erfassen, die für den Zweck wirklich erforderlich sind.
• Selektiver Passwort- und Zugriffsschutz: Zugriff nur für Mitarbeitende, die ihn für ihre Arbeit benötigen.
• Löschkonzept: Personendaten unter Beachtung gesetzlicher Aufbewahrungspflichten nach einer festgelegten Zeit löschen.

Datenschutzfreundliche Voreinstellungen sind ohne Eingreifen der Nutzer:innen aktiv und beschränken die Datenbearbeitung auf das notwendige Minimum. Beispiele sind IP-Anonymisierung in Analysesystemen, sparsame Kontaktformulare, restriktive Zugriffe auf Profile und App-Berechtigungen.

Aktueller Hinweis zur Cookie-Frage: Eine pauschale Cookie-Banner-Pflicht wie in der EU gibt es in der Schweiz nicht. Je nach eingesetzten Technologien, Datenkategorien, Zielgruppe und Anwendbarkeit der DSGVO kann eine Einwilligung dennoch erforderlich sein. Prüfen Sie den konkreten Fall aktuell.

Eine DSFA ist nötig, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für Persönlichkeit oder Grundrechte birgt. Das Risiko kann sich insbesondere aus neuen Technologien, Art und Umfang, Umständen oder Zweck der Bearbeitung ergeben. Beispiele sind die umfangreiche Bearbeitung besonders schützenswerter Daten oder die systematische Überwachung öffentlich zugänglicher Bereiche.

Die Datenschutzerklärung muss sämtliche relevanten Datenbearbeitungen verständlich beschreiben und leicht auffindbar sein, etwa im Footer. Auch Kontaktformulare sollten auf die Datenschutzbestimmungen hinweisen. Wichtige Angaben sind:

• Identität und Kontaktdaten des Verantwortlichen
• Bearbeitungszweck
• Empfänger bei Datenweitergabe
• Datenkategorien bei Beschaffung durch Dritte
• Länderangabe bei Datenexporten

Der Generator von Datenschutzpartner unterstützt bei der Erstellung. Mit dem Code onlineKarma10 können Kund:innen bis zu 10 Prozent sparen.

Verantwortliche und Auftragsbearbeiter führen grundsätzlich ein Verzeichnis der Bearbeitungstätigkeiten. Eine Ausnahme kann für Organisationen mit weniger als 250 Mitarbeitenden gelten, wenn die Bearbeitung nur ein geringes Risiko birgt. Das Verzeichnis dokumentiert die gesetzlich vorgesehenen Mindestangaben und sollte auch Aufbewahrungsdauer sowie eine allgemeine Beschreibung der Datensicherheitsmassnahmen enthalten.

Verletzungen der Datensicherheit müssen dem EDÖB so rasch als möglich gemeldet werden, wenn sie voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führen. Betroffene Personen sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.

Aktueller Hinweis: Das frühere NCSC heisst heute Bundesamt für Cybersicherheit. Informationen und Meldemöglichkeiten finden Sie beim BACS.

Das nDSG sieht bei bestimmten vorsätzlichen Verstössen strafrechtliche Sanktionen gegen verantwortliche natürliche Personen vor. Je nach Tatbestand sind Bussen bis zu CHF 250’000, aufsichtsrechtliche Untersuchungen durch den EDÖB sowie zivilrechtliche Ansprüche möglich.

Relevant können insbesondere Verletzungen von Informations-, Auskunfts- oder Datensicherheitspflichten, unzureichende Schutzmassnahmen bei Auslandübermittlungen sowie fehlende vertragliche Absicherungen mit Auftragsbearbeitern sein.

Welche Sanktion im Einzelfall möglich ist und wer haftet, hängt von den konkreten Umständen ab. Diese Übersicht ersetzt keine rechtliche Beurteilung.

Für eine strukturierte Umsetzung eignen sich folgende Schritte:

• Bestandsaufnahme aller Bearbeitungen von Personendaten
• Risikobewertung im Unternehmen
• Organisation interner Prozesse, klare Zuständigkeiten und minimale Zugriffsrechte
• Prüfung und Anpassung von Datenschutzerklärungen und Verträgen mit Auftragsbearbeitern, inklusive Bearbeitungsverzeichnis
• Bestimmung einer Ansprechperson für Datenschutzthemen

Diese beiden Dienste können bei der praktischen Umsetzung unterstützen. Prüfen Sie vor dem Einsatz, ob Funktionsumfang und Konditionen zu Ihrer Situation passen.

Mit dem Fragebogen von Datenschutzpartner lässt sich eine individuelle Datenschutzerklärung erstellen.

Wenn die Website ein Einwilligungsbanner benötigt, unterstützt Cookiebot bei Einrichtung und Verwaltung.

• KMU-Portal des Bundes: Neues Datenschutzgesetz
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
• Bexio: Neues Datenschutzgesetz
• Hostpoint: Das neue Datenschutzgesetz
• EQS: Schweizer Datenschutzgesetz
• WEKA: Übersicht zum nDSG
• VISCHER: Das neue Datenschutzgesetz
• Cookiebot: Datenschutz in der Schweiz