Revision des Schweizerischen Datenschutzgesetzes (DSG): Neuigkeiten und Perspektiven.

Versuchen wir also einen kurzen Exkurs zu den wichtigsten von den Bundeskammern genehmigten Neuerungen, über die die Debatte offen und fruchtbar bleibt. Wir werden uns auf die besonders relevanten und sensibleren Auswirkungen konzentrieren:

1. Die neue Kategorisierung personenbezogener Daten, insbesondere derjenigen, die als sensibel identifiziert wurden. Dabei handelt es sich um besonders schützenswerte Daten; die Kategorie wurde erweitert um Daten zur ethnischen Zugehörigkeit, Genetik und biometrische Daten, die die eindeutige Identifizierung einer natürlichen Person zulassen;
2. Die Einführung von das Konzept der „Hochrisiko-Profilerstellung“. Nehmen wir ein Beispiel: Es handelt sich um Profilerstellung, wenn uns verhaltensbasierte Werbung vorgeschlagen wird, beispielsweise wenn wir auf einer Website ein Werbeplakat ansehen, das sich auf eine Dienstleistung bezieht, nach der wir zuvor gesucht haben: Es handelt sich also um eine automatisierte Verarbeitung personenbezogener Daten. Die Profilerstellung mit hohem Risiko liegt hingegen vor, wenn eine Analyse auf ein bestimmtes Thema abzielt. Diese Profilerstellung wird daher hervorgehoben, rechtlich unterstrichen und damit individualisiert: « jede Verarbeitung von Daten oder personenbezogenen Daten, die darauf abzielt, wesentliche persönliche Merkmale einer Person, insbesondere berufliche Leistung, wirtschaftliche Lage, Gesundheit, Privatsphäre oder Reisen, zu analysieren oder vorherzusagen». Der übernommene Begriff entspricht dabei der Legaldefinition der europäischen DSGVO. Darüber hinaus war die Perspektive der Einwilligung der interessierten Parteien zunächst eine offene Tür; wir versuchten zu verstehen, ob die Einwilligung ein diskriminierender Faktor bei der Verwendung von Profilerstellung in diesem Sinne sein könnte oder nicht: anscheinend nicht und die Profilerstellung sollte (vorerst) ohne Zustimmung erlaubt sein;
3. das Recht der Organisationen, einen Berater für den Schutz personenbezogener Daten zu ernennen, der als Gesprächspartner sowohl gegenüber den interessierten Parteien als auch gegenüber den Behörden fungiert (u.a. EDÖB – Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter);
4. Pflicht zur Meldung eines möglichen „Datenverstoßes“ an den EDÖB und genauer, wenn es sich um einen hohen Datenschutzverstoß handelt Risiko für die Grundrechte und Grundfreiheiten der betroffenen Personen und in einigen Fällen wurde auch die Verpflichtung aufgenommen, die Verletzung den interessierten Parteien mitzuteilen;

< li>Die Bedeutung von Durchführung einer Datenschutz-Folgenabschätzung, wenn die Verarbeitung mit einem hohen Risiko für die Rechte und Freiheiten der betroffenen Personen verbunden ist. Dies ist ein besonders heikler Aspekt, der eine sorgfältige Reflexion seitens der beteiligten Unternehmen erfordert. Insbesondere werden neue Transparenz- und Dokumentationspflichten sowie spezifische Verarbeitungstätigkeiten in Bezug auf Risiken auferlegt.
Einige Beispiele:

• Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten, sofern zutreffend, Ausnahme von kleinen und mittlere Unternehmen (Artikel 12);
• Erstellung oder Aktualisierung von Datenschutzinformationen für betroffene Personen, um der Informationspflicht bei der Erhebung personenbezogener Daten nachzukommen (Artikel 19 ff.);
• Überprüfung der Verträge mit Datenverarbeitern, gemeinsamen Datenverantwortlichen und Dritten (z. B. Artikel 9 und 16 ff.);
• Durchführung einer Bewertung der Auswirkungen auf den Datenschutz, sofern die Verarbeitungsrisiken damit verbunden sind ein hohes Risiko für die Rechte und Freiheiten der betroffenen Person, möglicherweise einschließlich aller „Profilerstellung mit hohem Risiko“ (Artikel 22) (siehe Punkt 2 dieser Liste);
  Wie Sie sehen können, werden Unternehmen ermutigt, die Zeit, die sie brauchen bei Inkrafttreten des DSG, um ihre Mechanismen zu aktualisieren und die Auswirkungen auf ihre Aktivitäten zu bewerten, mit der Implementierung oder Entwicklung von Prozessen zu beginnen, die den laufenden Entwicklungen in Bezug auf Datenschutz & Datenschutz.
5. Ein weiterer grundlegender Aspekt, aber nicht der letzte, der zu berücksichtigen ist, ist die Übertragung von Kontrollbefugnissen, des Zugangs zu Orten und die unternehmenseigenen Unterlagen zur Durchführung der erforderlichen Ermittlungen. Bei Gesetzesverstößen wird auf den möglichen Einsatz des Busseninstruments bis CHF 250’000.- hingewiesen. Wir weisen darauf hin, dass die Revision des Datenschutzgesetzes in der Schweiz die strafrechtlichen Bestimmungen zum Datenschutz verschärft, zumal der Datenschutz- und Öffentlichkeitsbeauftragte im Gegensatz zu seinen europäischen Kollegen keine Verwaltungssanktionen verhängen kann. Darüber hinaus wurde im Gesetzgebungsverfahren zum Ausdruck gebracht, dass sich die strafrechtlichen Sanktionen hauptsächlich gegen Führungskräfte richten und nicht gegen Mitarbeiter, die bei der Ausübung ihrer Tätigkeit mit schutzwürdigen Daten in Kontakt kommen. Gleichzeitig ist jedoch nicht vollständig ausgeschlossen, dass es Fälle geben kann, in denen die Sanktion auch gegen Mitarbeiter ohne Führungsfunktion verhängt werden kann. Bei Straftaten, für die eine Busse von CHF 50’000.00 in Betracht kommt, der Aufwand zur Identifizierung des Täters im Unternehmen aber unverhältnismäßig wäre, kann das Unternehmen anstelle der natürlichen Person, die die Straftat begangen hat, zur Zahlung der Geldbuße verurteilt werden. Dieser Punkt bleibt offen für legislative Entwicklungen.