neues datenschutzgesetz

NEUES DATENSCHUTZGESETZ

ÄNDERUNGEN TRETEN PER 1. SEPTEMBER 2023 IN KRAFT

Per 1. September 2023 tritt das neue Datenschutzgesetz (DSG) ohne Übergangsfrist in Kraft. Damit ergeben sich einige Änderungen, welche zwingend beachtet werden müssen. 

Ziel
Ziel des neuen Datenschutzgesetzes ist es, der Datenschutz an die veränderten technologischen und gesellschaftlichen Verhältnisse anzupassen. Folglich bedeutet das für die Unternehmen eine Erhöhung der Compliance-Anforderungen sowie eine Verschärfung der Strafbestimmungen. 

Bei den Compliance-Anforderungen werden die Informations- und Auskunftspflichten, die Dokumentationsanforderungen, die Datensicherheitsvorschriften sowie die Meldepflicht von Datensicherheitsverletzungen ausgedehnt und verschärft.

Als Verschärfung der Strafbestimmung bedeutet dies, dass höhere Bussen gesprochen werden (bis CHF 250'000.00), die persönliche Haftung in den Vordergrund tritt sowie dass Verwaltungsverfahren infolge der Stärkung der Kompetenzen der Aufsichtbehörde mit Kostenfolgen eintreten können.

Geltungsbereich
Das neue Datenschutzgesetz der Schweiz richtet sich an alle Unternehmen, bei welchem die Kunden des Unternehmens in der Schweiz ansässig sind. Das bedeutet, dass das DSG sich nicht an den Unternehmensstandort richtet, sondern an dessen Kundendaten orientiert.

CHECKLISTE DATENSCHUTZ

WAS MÜSSEN SIE BEACHTEN?

Die Änderungen am Datenschutzgesetz bringen automatisch auch Änderungen für Unternehmen mit. Folgende Punkte müssen zwingend beachtet werden:

1. Bestandesaufnahme / Datenbearbeitungsverzeichnis
   Dokumentieren Sie Ihre Daten-Prozesse. Prüfen Sie die Führung eines Datenbearbeitungsverzeichnissess bei mehr als 250 Mitarbeitenden oder bei besonders schützenswerten Personendaten.
2. Datenschutzerklärung
   Wie werden Ihre Daten beschafft und verarbeitet? Eine aktuelle Datenschutzerklärung ist zwingend auszuweisen. 
3. Datensicherheit
   Nehmen Sie technische und organisatorische Massnahmen vor und aktualisieren Sie Ihr IT-Reglement um die Datensicherheit Ihrer Mitarbeitenden und Kunden zu gewährleisten.
4. Auftragsdatenverarbeiter / Outsourcing
   Geben Sie Daten an 3. Personen/Institutionen weiteren, muss zwingend ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden.
5. DSFA Datenschutzfolgeabschätzung
   Dokumentieren Sie bei künftigen Projekten Ihr Vorhaben und Massnahmen bezüglich der Datenverarbeitung. Eine entsprechende Datenschutzfolgeabschätzung ist zwingend zu erstellen.
6. Betroffenenrechte
   Personen können auf Anfrage Auskunft über Folgendes verlangen: Auskunfgsbegehren, Datenkorrektur, Menschliches Gehört bei automatisierter Einzelfallentscheidung, Löschkonzept
7. Datenbekanntgabe ins Ausland
   Werden Personendaten in anderen Ländern direkt oder indirekt bearbeitet? Beispielsweise Google Dienste? Der Datenschutz bei diesen Ländern muss überprüft und eingehalten werden.
8. Data Breach Notification
   Haben Sie Meldeprozess an das Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) und andere Betroffene eingeführt?
9. Privacy by default
   Einstellungen zum Datenschutz sind standardmässig auf das Minimum der benötigten Informationen vorzunehmen.
10. Geheimhaltung
    Sämtliche anvertrauten Daten müssen geheim bleiben.
11. Bearbeitungsgrundsätze
    Kunden müssen über jede Dateverabreitung informiert werden.
12. Datenschutzbeauftragter
    Gesetzlich ist kein Datenschutzbeauftragter vorgeschrieben. Es werden aber immer Personen bestraft und nicht das Unternehmen selbst.