Das neue DSG – wird ein externer Datenschutzbeauftragter notwendig?

Diese orchestriert den Datenschutz auf der Ebene der EU (Europäische Union).Die neue Verordnung und deren Umsetzung nimmt die Unternehmen in die Pflicht. Bis zur Einführung müssen die betroffenen Firmen alle notwendigen Business-Anpassungen vornehmen. Ansonsten drohen empfindliche Strafen. Experten wie pagestreet.de raten daher, die Dienste eines externen Datenschutzbeauftragten in Anspruch zu nehmen. Doch welche Änderungen sieht das neue Gesetz explizit vor?

Wen betrifft das Schweizer Datenschutzgesetz?

Die neue Regelung hat Auswirkungen auf alle Unternehmen, die ihren Sitz in der Schweiz haben. Zudem betrifft das DSG alle ausländischen Firmen, die Geschäftsbeziehungen zur Eidgenossenschaft unterhalten oder deren Datenbearbeitung Auswirkungen auf die Schweiz mit sich bringt.

Ist ein externer Datenschutzbeauftragter notwendig?

Wenn das betreffende Unternehmen Mitarbeiter beschäftigt, die die notwendige Expertise vorweisen, kann auf einen externen Datenschutzbeauftragten verzichtet werden. Das Prozedere um den Datenschutz ist allerdings aufwendig und bindet viele Ressourcen. Obendrein drohen bei fehlerhafter Bearbeitung schmerzhafte Strafzahlungen. Daher empfiehlt es sich, auf das Know-how eines Dienstleisters zurückzugreifen, der mit der Materie bestens vertraut ist.

Welche Änderungen werden beim DSG vorgenommen?

Das neue DSG enthält einige Änderungen. Die wichtigsten erläutern wir an dieser Stelle.

Besonders schützenswerte Personendaten

Mit der Gesetzesreform werden natürliche Personen umfassender geschützt. Im Moment gelten nur Daten über die gesundheitsrelevanten Aspekte sowie Angaben über die Herkunft, der Religion sowie die politische Einstellung als «besonders schützenswert».

Mit der Einführung der neuen Regelungen wird dieser Bereich erweitert. Dann zählen auch biometrische Daten wie der Retina-Scan und der Fingerprint sowie die Ethnie zu den Informationen, die einem besonderen Schutz unterliegen.

Benachrichtigungspflicht bei Datenpanne

Im Falle einer Datenpanne muss der Datenverlust unverzüglich den EDÖB (Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte) gemeldet werden. Sofern Persönlichkeits- und Grundrechte gefährdet sind, müssen auch die betroffenen Personen selbst informiert werden.

Nur noch natürliche Personen geniessen Datenschutz

Die Revision des Datenschutzgesetzes besagt, dass Unternehmen und juristische Personen das Gesetz nicht mehr in Anspruch nehmen können. Die Inhalte des DSG lassen sich zukünftig nur noch auf natürliche Personen anwenden. Firmen und Betriebe berufen sich ab September auf das Firmenrecht, das Zivilgesetzbuch (ZGB) oder das Gesetz gegen den unlauteren Wettbewerb (UWG).

Profilingwird im DSG festgeschrieben

Im Datenschutz werden Daten, die indirekt ein genaues Bild einer natürlichen Person ermöglichen, als Profiling beschrieben. Dazu zählen sensible Informationen über den Wohnort, Hobbys und andere persönliche Interessen und Vorlieben, die unter anderem für Werbezwecke genutzt werden. Obendrein werden dieser Kategorie Daten über die wirtschaftlichen Verhältnisse, die Entwicklung der Arbeitsleistung und Angaben über den gesundheitlichen Zustand zugeordnet.

Diese Daten dürfen zwar weiterhin verarbeitet werden, sofern die notwendige hohe Sensibilität berücksichtigt wird und Persönlichkeitsrechte nicht ausdrücklich verletzt werden. Lassen sich aber Rückschlüsse auf die Charakterzüge eines Menschen ziehen, liegt Profiling vor. Dann bedarf es immer der ausdrücklichen Autorisation der Betreffenden.

Privacy-by-default & Privacy-by-Design

Im neuen DSG kommt diesen beiden Stichworten eine gesteigerte Bedeutung zu.

• Privacy-by-Design beschreibt ein Paket von Grundsätzen, die bereits bei der Datenaufnahme umgesetzt sein müssen. Sofern diese Voreinstellungen nicht genau geplant werden, muss später mit beträchtlichen Problemen gerechnet werden.
• Privacy-by-Default umfasst eine Richtlinie, die besagt, dass die verarbeitenden Daten mit dem Verwendungszweck harmonisieren müssen. Die Nutzung weiterer Daten bedarf der Erlaubnis der betreffenden natürlichen Person.

Ergänzung der erweiterten Informationspflicht Bestimmte Mindestkriterien zur Datensicherheit müssen den betroffenen natürlichen Personen zukünftig verpflichtend offengelegt werden:

• der Bearbeitungszweck
• die Identität und die Kontaktdaten der verantwortlichen Unternehmensvertreter
• der explizit angeführte Hinweis auf eine automatische Erhebung der Daten
• die Empfänger

Pflicht zur Risikoplanung

Im Falle besonders risikobehafteter Datenverarbeitung wird für die Unternehmen die Abschätzung der Folgen zur Pflicht. Die Verantwortlichen müssen die möglichen Risiken einordnen und Massnahmen benennen, wie diese verringert werden können. Das geschieht mit dem Ziel, kohärente Gefahren so weit wie möglich auszuschliessen.

(Luca De Toffol, St. Gallen/IFJ)