Schweizer DSG für KMU: Compliance und Pflichten
Neues Bundesgesetz über den Datenschutz (nDSG), Pflichten der Unternehmen, Sanktionen und Compliance-Massnahmen für Schweizer KMU.
> Neues DSG: Grundprinzipien
Das neue Bundesgesetz über den Datenschutz (nDSG), in Kraft seit 1. September 2023, modernisiert den Schweizer Rechtsrahmen zur teilweisen Angleichung an die europäische DSGVO. Es gilt für alle Unternehmen, die Personendaten in der Schweiz bearbeiten, unabhängig von ihrer Grösse. Die Grundprinzipien bleiben: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit und Datensicherheit.
Wichtige Definitionen: Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Besonders schützenswerte Daten: Angaben über Gesundheit, Religion, politische Ansichten, ethnische Herkunft, Biometrie, genetische Daten, Sozialhilfemassnahmen, strafrechtliche/administrative Verfolgungen oder Sanktionen. Bearbeitung: jeder Umgang mit Personendaten (Erhebung, Aufbewahrung, Verwendung, Übermittlung, Vernichtung).
Räumlicher Anwendungsbereich: Das nDSG gilt auch für ausländische Unternehmen, deren Datenbearbeitung Auswirkungen in der Schweiz hat oder auf Personen in der Schweiz zielt. Diese Unternehmen müssen eine Vertretung in der Schweiz bezeichnen, wenn sie besonders schützenswerte Personendaten umfangreich bearbeiten oder umfangreiches Profiling mit hohem Risiko durchführen.
Bearbeitungsgrundlagen: Die Datenbearbeitung muss auf einer der folgenden Grundlagen beruhen: Einwilligung der betroffenen Person, überwiegendes berechtigtes Interesse des Verantwortlichen, Vertragserfüllung, gesetzliche Pflicht, öffentliches Interesse, Schutz vitaler Interessen. Für besonders schützenswerte Daten und Profiling mit hohem Risiko muss die Einwilligung ausdrücklich sein.
> Pflichten der KMU
Information und Transparenz: Pflicht zur Information der betroffenen Personen bei Datenerhebung: Identität des Verantwortlichen, Zwecke, Empfänger oder Empfängerkategorien, Empfängerländer bei Bekanntgabe ins Ausland, Aufbewahrungsdauer. Diese Informationen müssen in einer Datenschutzerklärung zugänglich sein (Website, Verträge, Formulare).
Rechte der Personen: Auskunftsrecht (Liste aller bearbeiteten Daten), Berichtigungsrecht (Korrektur unrichtiger Daten), Löschungsrecht (unter Bedingungen), Recht auf Datenübertragbarkeit (Erhalt seiner Daten in strukturiertem Format), Widerspruchsrecht gegen Bearbeitung. Der Verantwortliche muss kostenlos innert 30 Tagen antworten. Verweigerung nur bei rechtlichem Grund möglich (Konflikt mit gesetzlichen Pflichten, überwiegende Interessen).
Datensicherheit: Pflicht zum Schutz der Daten durch angemessene technische und organisatorische Massnahmen: Zugriffskontrolle, Verschlüsselung, Pseudonymisierung wenn möglich, regelmässige Backups, Personalschulung, Incident Management, Verträge mit Auftragsbearbeitern. Das Sicherheitsniveau muss an die Risiken und Sensibilität der Daten angepasst sein.
Verzeichnis der Bearbeitungstätigkeiten: Unternehmen mit mehr als 250 Mitarbeitern müssen ein Verzeichnis führen, das jede Bearbeitungstätigkeit detailliert: Zwecke, Kategorien der Daten und Personen, Empfänger, Aufbewahrungsdauer, Sicherheitsmassnahmen, internationale Übermittlungen. KMU mit weniger als 250 Mitarbeitern sind davon befreit, ausser wenn die Bearbeitung ein hohes Risiko für die Persönlichkeit der betroffenen Personen darstellt.
> Sonderfälle und hohe Risiken
Datenschutz-Folgenabschätzung (DSFA): Obligatorisch, wenn die Bearbeitung ein hohes Risiko für die Persönlichkeit zur Folge hat: automatisierte Bearbeitung besonders schützenswerter Daten im grossen Umfang, Profiling mit hohem Risiko, systematische Überwachung öffentlich zugänglicher Bereiche, neue Technologien. Die DSFA muss Risiken und Minderungsmassnahmen bewerten. Bei hohem Restrisiko vorgängige Konsultation des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).
Verletzung der Datensicherheit: Bei Datenleck, das voraussichtlich ein hohes Risiko für die Persönlichkeit zur Folge hat, ist eine Meldung an den EDÖB so rasch wie möglich obligatorisch. Die Meldung muss beschreiben: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgesehene Massnahmen. Mitteilung auch an betroffene Personen, wenn zu ihrem Schutz erforderlich.
Bekanntgabe von Daten ins Ausland: Grundsatz: freie Übermittlung in Länder mit angemessenem Schutzniveau (EU/EWR, vom Bundesrat anerkannte). Für andere Länder: Notwendigkeit angemessener Garantien (Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften) oder ausdrückliche Einwilligung der Person. USA: Data Privacy Framework-Abkommen für gewisse zertifizierte Sektoren. Vorgängige Information der betroffenen Personen obligatorisch.
Datenschutz durch Technikgestaltung (Privacy by Design): Systeme und Prozesse müssen Datenschutz von Anfang an integrieren: Datenminimierung (nur Notwendiges erheben), Zweckbindung, Speicherbegrenzung, Pseudonymisierung und Verschlüsselung standardmässig, Funktionstrennung. Datenschutzfreundliche Anbieter und Tools bevorzugen.
> Sanktionen und Verantwortlichkeiten
Strafrechtliche Sanktionen: Das nDSG führt strafrechtliche Sanktionen gegen natürliche Personen (Führungskräfte, Mitarbeiter) ein. Busse bis CHF 250'000 für: vorsätzliche Verletzung der Informationspflicht, Nichtbeachtung des Auskunftsrechts, vorsätzlich falsche Angaben an EDÖB, Verletzung der Meldepflicht bei Sicherheitsverletzung, Verletzung der Pflichten bei grenzüberschreitender Übermittlung. Fahrlässige Widerhandlungen werden nur auf Antrag geahndet.
Zivilrechtliche Haftung: Die betroffene Person kann vom Verantwortlichen Beseitigung der Beeinträchtigung (Unterlassungsklage), Löschung der Daten, Berichtigung oder Feststellung ihrer Unrichtigkeit verlangen. Sie kann auch Schadenersatz fordern, wenn sie ein Verschulden, einen Schaden und einen Kausalzusammenhang nachweist. Der Verantwortliche kann sich durch Nachweis entlasten, dass ihn kein Verschulden trifft. Verjährung: 3 Jahre ab Kenntnis des Schadens, spätestens 10 Jahre.
Rolle des EDÖB: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte untersucht auf Beschwerde oder von Amts wegen. Er kann: Auskünfte und Unterlagen verlangen, Kontrollen vor Ort durchführen, Vernichtung von Daten anordnen, Bearbeitung verbieten, Massnahmen empfehlen. Seine Verfügungen können beim Bundesverwaltungsgericht angefochten werden. Verfahren für die betroffene Person kostenlos.
Compliance und Best Practices: Internes Audit zur Identifizierung der Datenbearbeitungen, Erstellung einer klaren und zugänglichen Datenschutzrichtlinie, regelmässige Personalschulung, konforme Auftragsbearbeitungsverträge (DSGVO-Klauseln anpassbar), Prozess für Auskunftsanfragen und Incident Management, jährliche Compliance-Überprüfung. Dokumentation aller Massnahmen zum Nachweis der Compliance bei Kontrolle.
FAQ
Q: Muss mein KMU einen Datenschutzbeauftragten bezeichnen?
R: Nein, die Bezeichnung eines Datenschutzbeauftragten (DSB) ist in der Schweiz nicht obligatorisch, im Gegensatz zur europäischen DSGVO. Es wird jedoch empfohlen, eine für Compliance verantwortliche Person zu bestimmen, insbesondere wenn Sie besonders schützenswerte Daten bearbeiten oder internationale Übermittlungen vornehmen. Diese Person kann intern oder extern sein (spezialisierter Berater).
Q: Darf ich Google Analytics oder Facebook Pixel verwenden?
R: Ja, aber mit Vorsichtsmassnahmen. Sie müssen die Besucher über die Datenübermittlung in die USA informieren, ihre aktive Einwilligung via konformen Cookie-Banner einholen, IP-Adressen anonymisieren und prüfen, dass der Anbieter Data Privacy Framework-zertifiziert ist oder Standardvertragsklauseln nutzen. Bevorzugen Sie europäische Tools (Matomo, Plausible) zur Risikominimierung.
Q: Was tun, wenn ein Kunde die Löschung seiner Daten verlangt?
R: Sie müssen innert 30 Tagen antworten. Ist das Gesuch berechtigt, löschen Sie die Daten und bestätigen schriftlich. Sie können verweigern, wenn: gesetzliche Aufbewahrungspflicht (Buchhaltung: 10 Jahre, Verträge: je nach Art), überwiegendes berechtigtes Interesse (Verteidigung vor Gericht), anfängliche Einwilligung für bestimmte noch nicht abgelaufene Dauer. Bei Verweigerung schriftlich begründen und über Beschwerderecht an EDÖB informieren.
Q: Was riskiert mein KMU konkret bei Nichteinhaltung?
R: Hauptrisiken: Strafrechtliche Sanktionen bis CHF 250'000 für Führungskräfte, Schadenersatz bei nachgewiesener Verletzung, Reputationsschaden und Kundenvertrauensverlust, temporäres Bearbeitungsverbot gewisser Daten, Kosten für erzwungene Compliance nach EDÖB-Kontrolle. KMU werden weniger kontrolliert als Grossunternehmen, aber Kunden- oder Mitarbeiterbeschwerden lösen Untersuchungen aus.
Brauchen Sie Hilfe für DSG-Compliance?
Unsere Rechts-KI analysiert Ihre Situation und informiert Sie über Ihre Pflichten
Rechtlicher Hinweis:
Dieser Leitfaden bietet allgemeine Informationen zum Schweizer DSG und stellt keine persönliche Rechtsberatung dar. Der Datenschutz entwickelt sich rasch und die Pflichten variieren je nach Tätigkeit und Risiken. Für eine genaue Analyse Ihrer Compliance empfehlen wir die Konsultation eines auf Datenschutz spezialisierten Anwalts oder zertifizierten Beraters. Nutzen Sie unseren KI-Assistenten für eine erste Orientierung.