Per 1. September 2023 tritt das revidierte Datenschutzgesetz (DSG) in Kraft. Damit passt die Schweiz ihre Rechtsgrundlage den heutigen Verhältnissen an und erreicht eine Harmonisierung mit dem EU-Recht. Was müssen KMU, Kanzleien und Praxen beachten?

Das revidierte DSG gilt für sämtliche Personen und Unternehmen, die in der Schweiz eine wirtschaftliche Tätigkeit ausführen. Die wichtigsten Änderungen sind folgende:

• Neu sind nur noch die Daten natürlicher Personen betroffen, diejenigen von juristischen Personen nicht mehr.
• Genetische und biometrische Daten gehören neu zu den besonders schützenswerten Daten. Daten über die Gesundheit gehörten schon bisher dazu.
• Ein Verzeichnis der Bearbeitungstätigkeiten wird obligatorisch. Die Verordnung zum Gesetz sieht jedoch eine Ausnahme für KMU vor, deren Datenbearbeitung nur ein geringes Risiko von Verletzungen der Persönlichkeit von betroffenen Personen mit sich bringt.
• Wurde die Datensicherheit verletzt, so ist eine rasche Meldung erforderlich. Anders gesagt: Wenn Ihre Daten bei einem Cyberangriff gehackt oder versehentlich zugänglich gemacht wurden, so müssen Sie umgehend den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) informieren.
• Neu werden die Grundsätze «Privacy by Design» (Datenschutz durch Technikgestaltung) und «Privacy by Default» (Datenschutz durch Voreinstellung) eingeführt. Das bedeutet: Sämtliche Software, Hardware und Dienstleistungen müssen von Beginn weg so aufgebaut und konfiguriert sein, dass die Daten geschützt sind und die Privatsphäre der Nutzer:innen gewahrt bleibt.
• Falls ein hohes Risiko für die Persönlichkeit oder die Grundrechte von betroffenen Personen besteht, müssen so genannte Folgenabschätzungen durchgeführt werden. Der EDÖB erarbeitet dazu zurzeit weitere Informationen.
• Die Informationspflicht wird ausgeweitet: Bei jeder Beschaffung von Personendaten – und nicht mehr nur von so genannten besonders schützenswerten Daten – muss die betroffene Person vorgängig informiert werden. Zum Beispiel müssen Unternehmen neu begründen, warum sie Informationen über ihre Kund:innen sammeln, und offenlegen, welchen Dritten sie diese zugänglich machen. Jede Person hat das Recht zu wissen, wie lange ihre Daten gespeichert und für welche Zwecke sie verwendet werden.
• Der Begriff Profiling, also die automatisierte Bearbeitung personenbezogener Daten, wurde neu in das Gesetz aufgenommen.
  

Es wird erwartet, dass die Berufs-, Branchen- und Wirtschaftsverbände Verhaltensrichtlinien für ihre Mitglieder erarbeiten und diese dem EDÖB vorlegen. Wer sich daran hält, verhält sich konform mit dem neuen DSG.

Weitere Informationen finden Sie auf der Website des EDÖB.