Fragen und Antworten zum neuen Datenschutzgesetz (nDSG)

Das nDSG schützt Menschen vor übermässiger, überraschender, unfairer oder aus anderen Gründen unrechtmässiger Verwendung ihrer Personendaten.

Im Einzelnen:

1. Das neue Datenschutzgesetz regelt den Schutz von sogenannten «natürlichen Personen» (Menschen, im nDSG als «betroffene Personen» bezeichnet) in Bezug auf Daten, die sie beschreiben. Man spricht von Personendaten. Personendaten sind im nDSG definiert als «alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen», das heisst, einen «Personenbezug» haben.
2. Wer Personendaten bearbeitet und dafür Zweck- und Mitteleinsatz festlegt, gilt als sogenannter Verantwortlicher bzw. Verantwortliche. Ziehen der oder die Verantwortliche Dienstleister bei, die in ihrem Auftrag und nach deren Instruktionen Personendaten bearbeiten, gelten diese beigezogenen Dienstleister als Auftragsbearbeiter.
3. Im Anwendungsbereich des nDSG müssen Verantwortliche und (in geringerem Umfang) auch Auftragsbearbeiter die Vorschriften des nDSG kraft Gesetzes einhalten. Auftragsbearbeiter werden vom Verantwortlichen zudem vertraglich zur Einhaltung gewisser Bestimmungen verpflichtet. Somit sehen sich auch Auftragsbearbeiter zur Einhaltung des nDSG verpflichtet.
4. Betroffene Personen können dank des nDSG Ansprüche gegen Datenbearbeiter (Verantwortliche) richten, wenn diese ihre Personendaten übermässig, unfair oder in anderer Weise unrechtmässig bearbeiten. In einem solchen Fall entstehen privatrechtliche Ansprüche auf Verhaltensveränderung gegen die betreffenden Verantwortlichen. Verantwortliche können auch vom EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) kontrolliert werden. Sodann können Mitarbeitende von Verantwortlichen oder Auftragsbearbeitern mit Entscheidungsbefugnis (in der Regel Personen mit Managementfunktionen) wegen bestimmter Verstösse gegen das nDSG strafrechtlich verfolgt werden.
5. Das nDSG wird ergänzt und präzisiert durch Ausführungsbestimmungen in der neuen Datenschutzverordnung (DSV) und der neuen Verordnung über Datenschutzzertifizierungen (VDSZ).

Das neue DSG tritt auf den 1. September 2023 in Kraft.

Im Einzelnen:

1. Das neue DSG tritt auf den 1. September 2023 in Kraft. Es ersetzt auf diesen Zeitpunkt das bisherige Gesetz, das seit 1. Januar 1993 für die Schweiz Geltung hatte.
2. Den finalen Text des neuen DSG hat das Parlament am 25. September 2020 beschlossen. Unternehmen hatten somit bereits 3 Jahre lang Zeit, ihre Datenbearbeitungen an die neuen Anforderungen anzupassen. Deshalb gewährt das Gesetz keine weitere Schonfrist.
3. Einige wenige Bestimmungen des nDSG (Art. 7 nDSG: Datenschutz durch Technik und Voreinstellungen; Art. 22 f. nDSG: Datenschutzfolgeabschätzung) kommen nicht zur Anwendung auf Datenbearbeitungen, die vor dem Inkrafttreten des nDSG begonnen wurden (sog. «Grandfathering»). Dies aber nur, wenn und insofern als (a) der Bearbeitungszweck der Datenbearbeitung sich nicht verändert hat und (b) im Rahmen der Datenbearbeitung keine neuen Daten beschafft werden. Es ist also möglich, einen «Altdatenbestand» auf ein neues IT-System zu übertragen, ohne die Technik auf den höheren neurechtlichen Stand anzuheben; Kompromisse an Datensicherheit (Art. 8 nDSG) darf es aber niemals geben, weswegen aus diesen Gründen technische Aktualisierungen auch für Altdatenbestände notwendig bleiben.
4. Untersuchungen des EDÖB, die im Zeitpunkt seines Inkrafttretens bereits hängig sind, unterstehen weiterhin dem alten Recht.
5. Hat der EDÖB vor dem 1. September 2023 beim Bundesverwaltungsgericht eine Klage erhoben, wird die Klage nach dem alten Recht beurteilt.

Das nDSG gilt für Bearbeitungen in der Schweiz oder mit Wirkung in der Schweiz (Auswirkungsprinzip).

Das neue DSG gilt im Privatbereich und für Bundesbehörden. Es schützt Privatpersonen. Für Daten über Unternehmen gibt es während 5 Jahren eine Sonderregelung, die sich an Bundesbehörden richtet. Im Privatbereich schützt das DSG bereits ab dem 1. September 2023 nur noch Individuen, nicht mehr juristische Personen.

Im Einzelnen:

Verkürzt gesagt gilt das nDSG «in der Schweiz» für «jene, die ihm unterstehen». Diese beiden Aspekte bezeichnet man als den «örtlichen Anwendungsbereich» und den «persönlichen Anwendungsbereich».

Persönlicher Anwendungsbereich: 

• Das nDSG gilt für Bundesbehörden.
• Das nDSG gilt auch für alle privaten Organisationen, die als Verantwortliche oder Auftragsbearbeiter im örtlichen Anwendungsbereich Personendaten bearbeiten. Gemeint sind somit alle Einzelunternehmen, privatrechtlich organisierten Aktiengesellschaften, GmbH, Vereine oder Stiftungen.
• Das nDSG gilt nicht für Gemeinden oder Kantone und ihre Behörden. Damit gilt das nDSG beispielsweise nicht für Schulen. Dort gelten kantonale Datenschutzgesetze mit allerdings weitgehend ähnlichen Regeln wie jene des nDSG.
• Für kantonal organisierte Spitäler, Elektrizitätswerke und dergleichen ist die Rechtslage etwas komplizierter.

Örtlicher Anwendungsbereich:

Das nDSG gilt, wenn es in der Schweiz Auswirkungen hat (Auswirkungsprinzip). Dann sind die Pflichten unter dem nDSG einzuhalten. Dies gilt für Massnahmen des EDÖB und die private Durchsetzung. Für die strafrechtliche Durchsetzung hingegen gilt das strafrechtliche Territorialitätsprinzip: Strafbar sind nur in der Schweiz begangene Verletzungen der Strafbestimmungen des nDSG.

Menschen sind geschützt, Unternehmen aber grundsätzlich nicht mehr (es gibt allerdings Sonderregeln für Unternehmensdaten während 5 Jahren nach Inkrafttreten; diese richten sich an Bundesbehörden). 

Im Einzelnen:

1. Personendaten: Es handelt sich um Angaben, die einen Menschen direkt oder indirekt identifizierbar beschreiben. Das Gesetz spricht von «Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen», das heisst einen «Personenbezug» haben.
2. Unternehmensdaten: Bundesbehörden haben gestützt auf die bestehende Bundesgesetzgebung während fünf Jahren weiterhin das Recht, die von einem Unternehmen erhaltenen Daten an andere Bundesstellen weiterzugeben (bekanntgeben). Die Rechtsregeln des Regierungs- und Verwaltungsorganisationsgesetzes (RVOG) sind dabei einzuhalten. Was die Nutzung solcher Daten angeht, findet sich eine besondere Regelung, die wie folgt lautet (aber nicht besonders klar ist): «Für Bundesorgane finden Vorschriften in anderen Bundeserlassen, die sich auf Personendaten beziehen, während fünf Jahren nach Inkrafttreten dieses Gesetzes weiter Anwendung auf Daten juristischer Personen.»

Die Datenwirtschaft spielt sich ab zwischen Verantwortlichen und betroffenen Personen in Bezug auf deren Personendaten. Die Datenwirtschaft erstreckt sich auch noch auf allfällige weitere Daten (andere Daten, das heisst solche, die nicht Personendaten sind; man spricht auch von «Sachdaten»). Die von den Verantwortlichen beigezogenen Dienstleister werden im Geltungsbereich des nDSG als Auftragsbearbeiter bezeichnet. 

Der Austausch von Verantwortlichen zu anderen Verantwortlichen ist ebenfalls ein wichtiger Vorgang. Ausserhalb des Anwendungsbereichs des nDSG kann man für zum Beispiel «Sachdaten» von Datenlieferant (Datenanbieter) oder Datenempfänger (Datennutzender) sprechen. Im Sprachgebrauch des nDSG würde der Austausch zwischen Datenlieferant und Datenempfänger als Austausch zwischen zwei voneinander unabhängigen Verantwortlichen behandelt werden (sog. «Controller-to-Controller Transfer»).

Im Einzelnen:

1. Wer Personendaten bearbeitet und dafür Zweck- und Mitteleinsatz festlegt, gilt als sogenannter Verantwortlicher bzw. Verantwortliche. 
2. Ziehen der oder die Verantwortliche Dienstleister bei, die in ihrem Auftrag und gemäss ihrer Instruktion Personendaten bearbeiten, gelten diese beigezogenen Dienstleister als Auftragsbearbeiter.
3. Wer vom Verantwortlichen Personendaten erhält und selbst über Zweck und Mittel deren Bearbeitung entscheidet (entscheiden darf), ist selbst Verantwortlicher (als «Datenempfänger»). 
4. Die ausgetauschten Daten sind entweder Personendaten oder andere Daten. Personendaten beziehen sich auf betroffene Personen. 
5. Andere Daten können nach ihrer Herkunft danach unterschieden werden, ob sie von einem Unternehmen oder von einer natürlichen Person ausgehen (Datenlieferant).

Die EU DSGVO (die Datenschutzgrundverordnung der EU) ist das Datenschutzgesetz für die EU. Das nDSG ist das Pendant für die Schweiz. Die Regeln sind nicht deckungsgleich, aber aus heutiger Sicht gleichwertig.

Im Einzelnen:

1. Einer der grossen konzeptionellen Unterschiede zwischen der DSGVO und dem nDSG ist das Sanktionensystem. Die DSGVO kennt keine Strafsanktionen, aber erlaubt Datenschutzbehörden, Verwaltungssanktionen in erheblicher Höhe auszusprechen. 
2. Nach dem nDSG sind Verwaltungssanktionen (Bestrafung des Verantwortlichen mit einer Maximalbusse bis CHF 50 000.–) ausnahmsweise ebenfalls möglich. Grundsätzlich richtet sich eine Bestrafung aber nach dem Strafrecht. Die im Einzelnen handelnde Person kann mit einer Busse bis CHF 250 000.– belegt werden.

Die Strafsanktionen des nDSG sollen sich gemäss Absicht des Gesetzgebers an die geschäftsführenden Personen richten. Die Strafbarkeit der Mitarbeitenden ist gemäss Gesetz aber nicht gänzlich ausgeschlossen. So ist eine ziemlich komplizierte Regel entstanden, nach der zusätzlich auch noch das Unternehmen selbst strafrechtlich haften kann. 

Im Einzelnen:

1. Wenn im Datenschutzrecht etwas schiefläuft, wird dies meistens in Geschäftsbetrieben geschehen. Dementsprechend erklärt das nDSG (konkret: Art. 64 nDSG) eine Sonderregel (konkret: Art. 6 und 7 des Bundesgesetzes über das Verwaltungsstrafrecht) als direkt anwendbar, nach welcher die geschäftsführenden Personen bestraft werden für Datenschutzverletzungen, die sie «in Verletzung einer Rechtspflicht» nicht abgewendet haben. Die Regel hält auch einen Auffangtatbestand bereit, wonach das Unternehmen bestraft werden kann. Somit haften strafrechtlich die folgenden Personen:

• Geschäftsführung: Da sich das Datenschutzrecht an Verantwortliche und somit oft an Geschäftsbetriebe richtet und da eine geschäftsführende Person für die Organisation des Geschäftsbetriebs verantwortlich ist, könnten geschäftsführende Personen bei Datenschutzverletzungen regelmässig haftbar sein (dies wird allerdings kritisiert). Die geschäftsführende Person kann bereits dann bestraft werden, wenn sie fahrlässig war und wenn die Datenschutzverletzung ohne das fahrlässige Verhalten hätte abgewendet werden können. Zusätzlich muss nachgewiesen sein, dass ein Tatbestand gemäss Deliktskatalog des nDSG stattgefunden hat; mindestens die Tatbestandsmässigkeit und die Rechtswidrigkeit müssen gegeben sein. So steht es jedenfalls im Gesetz. Was die Praxis bringt, wird man sehen müssen. Geschäftsführende Personen können nach der Regel strafbar sein, auch wenn die handelnde Einzelperson nicht bestraft werden kann. Die geschäftsführenden Personen könnten somit nach dem Wortlaut des Gesetzes relativ rasch für Datenschutzverletzungen bestraft werden. Der Bussenrahmen beläuft sich auf CHF 250 000.–.
• Unternehmenshaftung: Wenn die Datenschutzverletzung nur 20% des Bussenrahmens nach sich ziehen wird (also es fällt eine Busse von höchstens CHF 50 000.– in Betracht), kann das Unternehmen direkt zur Zahlung der Busse verurteilt werden. Die untersuchende Staatsanwaltschaft muss aber der Meinung sein, dass der Aufwand zur Ermittlung der strafbaren Personen innerhalb des Geschäftsbetriebs unverhältnismässig gross wäre. Diese Haftung tritt dann an die Stelle der Bestrafung der Geschäftsführung.
• Direkt handelnde Mitarbeitende: Die Mitarbeitenden sind weiterhin einer Strafbarkeit ausgesetzt, auch wenn Unternehmen oder Geschäftsführung bereits bestraft worden sind. Die Strafbestimmungen des nDSG richten sich grundsätzlich an die handelnden Einzelpersonen. Sie haften aber nicht bei Fahrlässigkeit, sondern erst bei Vorsatz. Der Bussenrahmen liegt auch für die Mitarbeitenden bei CHF 250 000.–.

2. Eintrag im Strafregister: Übertretungen, die mit einer Busse von über CHF 5 000.– sanktioniert werden, erscheinen nicht im Privatauszug des Strafregisters.
3. Strafverfolgung: Es sind die kantonalen Staatsanwaltschaften zuständig. 

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann bei Datenschutzverletzungen ein verwaltungsrechtliches Untersuchungsverfahren eröffnen. Darin kann er Verfügungen erlassen. 

Im Einzelnen:

1. Der EDÖB kann die Verantwortliche in Verfügungen, die er im Rahmen seiner Untersuchungen erlässt, zu Massnahmen verpflichten, um dem Datenschutz besser zum Durchbruch zu verhelfen. Wer solchen Verfügungen nicht nachkommt, riskiert Strafsanktionen (siehe weiter oben).
2. Der EDÖB kann selbst aber keine Strafsanktionen anordnen.

Wer jemandem anderen gegenüber gestützt auf einen Vertrag zu datenschutzrechtlicher Sorgfalt verpflichtet ist, kann wegen einer Datenschutzverletzung haftbar werden. Die Grundlagen finden sich im nDSG oder allenfalls in einem Vertrag, in dem sich die Verantwortliche zur Einhaltung des Datenschutzrechts verpflichtet hat.

Im Einzelnen:

1. Die betroffene Person hat sehr oft keine direkte vertragliche Beziehung zur Verantwortlichen, die das Datenschutzrecht verletzt hat. Die betroffene Person kann dann auf die gesetzlichen Rechtsbehelfe abstellen und eine Klage auf Beseitigung der Datenschutzverletzung oder auf Unterlassung weiteren rechtsverletzenden Verhaltens anstrengen. 
2. Eine Klage auf Schadenersatz steht theoretisch auch der betroffenen Person offen. Ein direkt resultierender Schaden wird aber oft sehr schwer aufzuzeigen sein. Und Ersatz für weiteren Schaden könnte an anderen Voraussetzungen des Haftungsrechts scheitern.
3. Schadenersatzklagen sind eher denkbar, wenn sich eine Verantwortliche oder eine Auftragsdatenbearbeiterin in einem Vertrag zur Einhaltung des Datenschutzrechts verpflichtet hat. Sie kann dann im Fall einer Datenschutzverletzung beispielsweise für direkten Schaden (Kosten der Überwachung des Darkweb nach einem Data Breach) haften oder, meist unter strengeren Voraussetzungen, auch für indirekten Schaden (Umsatzverlust wegen eines Reputationsschadens).

Als IT-Dienstleister ist man meistens ein sogenannter Auftragsbearbeiter und steht in einer vertraglichen Beziehung zum Verantwortlichen. Somit haftet man jeweils nach den Regeln des Vertrags gegenüber dem Verantwortlichen, aber kaum je auch gegenüber der betroffenen Person. Allerdings kann vorsätzliches Verletzen von Datenschutzbestimmungen durchaus zu Strafbarkeit führen. 

Im Einzelnen:

1. Als IT-Dienstleister ist man oft ein sogenannter Auftragsbearbeiter. Dies ist man dann, wenn man im Rahmen seiner Tätigkeit für die Verantwortliche in die Datenbearbeitung konkret eingebunden ist. 

2. Den Auftragsbearbeiter treffen unter Umständen auch Pflichten zur Durchsetzung von Vertragspflichten bei grenzüberschreitender Übermittlung von Personendaten (auch eine Auskunftspflicht gegenüber dem EDÖB). Der Auftragsbearbeiter muss den Verantwortlichen bei der Beantwortung von Betroffenenbegehren unterstützen und allfällige Verletzungen der Datensicherheit dem Verantwortlichen melden.
3. Wer als Auftragsbearbeiter tätig ist, hat für Datensicherheit zu sorgen und muss unter Umständen ein Bearbeitungsverzeichnis führen und ein Bearbeitungsreglement erstellen. Auch die Verletzung von Datensicherheitsbestimmungen kann zu direkter Verantwortlichkeit des Auftragsbearbeiters führen.

Mit Datenschutz meint man oft mehr als das, was im nDSG geregelt ist, und zwar kann Folgendes (mit)gemeint sein:

1. Regeln zum Schutz von Informationen, weil man vertraglich dazu verpflichtet ist (zum Beispiel Geheimhaltungsvereinbarung)
2. Regeln, die eine gewisse Sorgfalt oder sonstige Verhaltenspflichten bei der Informationsbearbeitung für Dritte verlangen, zum Beispiel, um das Finanzmarktsystem zu schützen (Regeln der Finma)
3. Regeln, die das Unternehmen sich selbst auferlegt hat, um dem eigenen Gestaltungsziel zum Durchbruch zu verhelfen (eigene Unternehmenspolitik: Es geht hier nicht um das Müssen respektive Dürfen, sondern um das Wollen)
4. und zuletzt eben auch die Regeln zum Schutz von Personendaten. Dabei können Regeln des nDSG ebenso wie Regeln der europäischen Datenschutzgrundverordnung (DSGVO) angesprochen sein, je nachdem, wie sie anwendbar sind.

Im Einzelnen:

1. Zur DSGVO: 

2. Branchenspezifische Regeln: Wer in einer besonderen Branche tätig ist, muss die für die Branche anwendbaren Regeln einhalten. Banken müssen z.B. die Regeln der Finma einhalten (Bankenaufsicht). Anders als die Bestimmungen des nDSG dienen die Regeln der Bankenaufsicht einem Systemschutz, während das nDSG und die DSGVO den Individualschutz bezwecken. Krankenversicherungen müssen überdies die Regeln des Bundesamts für Gesundheit einhalten, auch diese dienen dem Systemschutz. Banken haben zusätzlich das Bankgeheimnis zu wahren, das ebenfalls dem Individualschutz dient, gleich wie das nDSG.
3. Regeln für die öffentliche Hand: Eine besondere Form der «branchenbezogenen» Regeln gilt für Verwaltungsbehörden. Kantonale Vorgaben und unter Umständen kantonale Gesetze sind einzuhalten durch Gemeinden, Schulen und beispielsweise Elektrizitätswerke. Behörden haben zusätzlich Geheimhaltung zu wahren.
4. Selbstregulierung im Bereich der Geldwäscherei: In einer digitalen Welt haben vielfältige Handlungen einen Bezug zu Daten und unter Umständen auch zu Personendaten, weswegen auch Regelwerke zum Schutz gegen Geldwäscherei Bezüge zu Personendaten und dergleichen aufweisen, wenngleich die entsprechenden Regelwerke (z.B. ARIF oder SRO Treuhand Suisse) eher dem Systemschutz als dem Individualschutz dienen.
5. Sonderbestimmungen: Wenn eine bestimmte Tätigkeit eine zusätzliche Schutzbestimmung aufstellt, liegt der Schluss nahe, dass deswegen eine Verschärfung greife, die man besonders zu beachten habe. Als Beispiele können die obligationenrechtlichen Vorgaben an die Arbeitgeberin zum Schutz ihres Personals herhalten, ebenso besondere Gesetzbestimmungen im kantonalen Recht, die beispielsweise die Geheimhaltung im Adoptionsrecht oder im Bereich des Steuerwesens («Steuergeheimnis») adressieren. Dieser intuitiv zwar verständliche Schluss ist aber oft unbegründet; oft gehen solche Sonderbestimmungen nicht weiter als die allgemeinen Rechte und Pflichten, die sich ohnehin schon aus dem Geheimnisrecht oder dem allgemeinen Datenschutzrecht ergeben. Ein nüchterner Blick auf die Zweckbestimmung solcher Regeln lohnt sich zumeist.

Die Personalakten von Mitarbeitenden darf die Arbeitgeberin während der gesamten Dauer des Arbeitsverhältnisses aufbewahren und anschliessend für eine begrenzte Dauer für Archivzwecke (Faustregel: plus fünf Jahre). Die Aufbewahrungsdauer für abgelehnte Stellenbewerber ist kürzer, kann aber für drei volle Jahre aufbewahrt werden und dann weiter bis zum Ablauf des in jenem Zeitpunkt laufenden Geschäftsjahrs. In einzelnen Branchen (zum Beispiel in der beruflichen Vorsorge) können die Aufbewahrungsdauern längere Zeit betragen.

Im Einzelnen:

1. Die Personalakten von Mitarbeitenden darf die Arbeitgeberin während der gesamten Dauer des Arbeitsverhältnisses aufbewahren und anschliessend aufgrund der generellen Regeln während voller 5 Jahre über die Beendigung hin-aus bis zum Ablauf des Geschäftsjahrs (also im Einzelfall fast bis zu sechs Jahre nach Beendigung).
2. Nach Beendigung des Arbeitsverhältnisses ist der Bearbeitungszweck aber einzuschränken (Archivzweck). Zur Verteidigung gegen Rechtsansprüche kann dann auf diese Daten gegriffen werden oder bei Vorliegen eines sonst wie überwiegenden Interesses. Sonst sollte auf solche Daten nicht mehr zugegriffen werden (bereits zuvor ist beim Zugriff auf Personendaten von Mitarbeitenden deren Persönlichkeit am Arbeitsplatz besonders zu wahren: «keine Überwachung von Mitarbeitenden»).
3. Abgelehnte Stellenbewerberinnen und -bewerber sind nicht in eine gültige Arbeitsbeziehung eingetreten und somit gelten die Regeln der vorvertraglichen Haftung. Für solche Ansprüche gilt eine dreijährige Verjährungsfrist, weswegen erst nach Ablauf des Geschäftsjahrs, in welches das Ende der Verjährungsfrist fällt, eine Haftung ausgeschlossen werden kann. Dies berechtigt die Verantwortliche, Dossiers von Stellenbewerberinnen bis dahin aufzubewahren. In der Praxis sind die Aufbewahrungsdauern in Bezug auf abgewiesene Stellenbewerberinnen und -bewerber aber oft kürzer. Sind die Dossiers als Papierkopie auf dem Postweg eingegangen, ist die Floskel «zu unserer Entlastung retour» gebräuchlich; sind die Unterlagen per E-Mail eingegangen, könnte eine entsprechende Formulierung («wir werden nach x [Dauer] löschen») sinnvoll sein, um Transparenz herzustellen.
4. Verantwortliche sollten eine Datenschutzerklärung für abgelehnte Bewerberinnen (dazu Schritt 3 gemäss https://dp-services.ch) und für eigenes Personal (dazu Schritt 4 gemäss https://dp-services.ch) etablieren.

Kundendaten dürfen so lange aufbewahrt werden, wie der Zweck dies erfordert. Kunden stehen in einer vertraglichen Austauschbeziehung zum Unternehmen. Aus Verträgen ergeben sich Verjährungsfristen zwischen fünf und zehn Jahren. Je nach Branche können die Aufbewahrungsfristen aber deutlich länger sein (zum Beispiel in der beruflichen Vorsorge).

Im Einzelnen:

1. Eine Verantwortliche ist für die Aufbewahrung von Personendaten ihrer Kunden für so lange befugt, wie sie ein eigenes, besseres Interesse hat. Ein solches besteht darin, dass die Verantwortliche sich gegen Ansprüche der Kundin wehren und sich zu diesem Zweck auf Verträge und andere Unterlagen, die die Kundin betreffen, abstützen können muss. Datenschutz darf nicht dazu führen, die «Waffengleichheit» für allfällige Zivilprozesse zu torpedieren.
2. Wenn die Verjährungsfristen abgelaufen sind, besteht aber in der Regel kein Grund mehr, diese Unterlagen aufzubewahren. Dann sind solche Unterlagen somit zu löschen. Nach Beendigung des Arbeitsverhältnisses ist der Bearbeitungszweck aber einzuschränken (Archivzweck). Zur Verteidigung gegen Rechtsansprüche kann dann auf diese Daten gegriffen werden oder bei Vorliegen eines sonst wie überwiegenden Interesses. Sonst sollte auf solche Daten nicht mehr zugegriffen werden.

3. Gerade das zuletzt erwähnte Beispiel zeigt, dass der B2B-Kontext im Bereich des Datenschutzrechts eine besondere Bedeutung haben kann.

Wenn man Personendaten noch aufbewahren muss, um eine gesetzliche Aufbewahrungspflicht einhalten zu können, muss man Personendaten nicht löschen.

Im Einzelnen:

1. Die vorgängig erläuterten Beispiele zeigen, aus welchen Überlegungen sich die Aufbewahrungspflichten ergeben und warum dies im Rahmen der Verhältnismässigkeit dazu führt, dass Personendaten nicht vor Ablauf der Aufbewahrungspflichten zu löschen sind.
2. Nachdem Personendaten nicht mehr für die Vertragserfüllung benötigt werden, sollte man sie nur noch zu Zwecken der Archivierung aufbewahren. Man sollte auf solche Daten somit im Alltag nicht mehr zugreifen.
3. Die betroffene Person kann sich schon vor Ablauf der Aufbewahrungsdauer bei der Verantwortlichen melden und die Löschung ihrer Daten verlangen. Es können unter Umständen bereits dann Teilaspekte ihrer Daten gelöscht werden, die schon vor Ablauf der Archiv-Aufbewahrung nicht mehr benötigt werden (beispielsweise Marketingdaten zur Person wie Interessen oder ihre Aktivitätshistorie), aber Unterlagen ihre Verträge betreffend noch nicht. 
4. Einigen sich die Parteien darauf, dass die Kundin keine Ansprüche mehr gegen die Verantwortliche stellen wird, obwohl die Verjährungsfrist noch nicht abgelaufen ist, kann auch die Löschung der Vertragsunterlagen erwirkt werden; denn dann ist die Aufbewahrung auch aus der Perspektive der Verantwortlichen nicht weiter notwendig.

Nein, nach schweizerischem Recht ist das Cookie-Banner nicht Pflicht. Man sollte darauf verzichten.

Im Einzelnen:

1. Cookie-Banner sind Regeln, die sich nicht aus dem eng verstandenen Datenschutzrecht ergeben (z.B. nDSG oder DSGVO). Dennoch haben sie sich im EU-Raum eingebürgert, weil sich die dort im Bereich der Cookies und ähnlichen Technologien geltenden Einwilligungsanforderungen kaum mehr anders umsetzen lassen. 
2. In der Schweiz gibt es weiterhin keine Opt-in-Regel, sondern es genügt ein reiner Transparenzhinweis und ein Hinweis auf eine Ablehnungsmöglichkeit (die auch in geeigneten Browser-Einstellungen liegen kann). Der Transparenzhinweis kann zwar auch mit einem Cookie-Banner umgesetzt werden. Aber der Transparenzhinweis kann auch in der Datenschutzerklärung oder in einem separaten Transparenzstatement für die Website stehen. 
3. Wird der Transparenzhinweis auf einem Cookie-Banner angebracht, kann dieses so ausgestaltet sein, dass es nach einigen Klicks («Surfen auf der Seite») von selbst verschwindet oder weggeklickt wird, oder aber man gestaltet die Klick-Funktion des Cookie-Banner aus mit «Hinweis schliessen» oder «Verstanden». 
4. Wegklicken kann man zwar als Zustimmung aufsetzen («Akzeptieren» statt «Hinweis schliessen»), aber davon wird eher abgeraten. Warum? Denn daraus könnte die Nutzerin konstruieren, dass die Webseitenbetreiberin sich aus eigenen Stücken einer Einwilligungsregelung unterworfen hat (mit der Wirkung, dass Cookies bei verweigerter oder zurückgezogener Einwilligung zu löschen sind). 
5. Cookie-Banners können in der Schweiz somit sogar negative Auswirkungen haben (abgesehen davon, dass sie ohnehin störend wirken). Man sollte darauf verzichten oder sie jedenfalls nur verwenden, wenn sich Transparenz nicht anderswie – in der Datenschutzerklärung – einfach herstellen lässt (dann aber nur mit «Hinweis schliessen», nicht mit der Einladung zum «Akzeptieren»).

Die Datenschutzerklärung für eine Website soll Transparenz geben darüber, was einen Bezug zum Unternehmen hat. Wenn man sich für eine einzelne, nach aussen wirkende Datenschutzerklärung entscheidet, kann man auf das Muster von https://dp-services.ch/ abstellen. Mit diesem hat man die Datenschutzerklärung rasch erstellt (automatisiertes System unterstützt beim Erstellen des Dokuments) à Schritt 3: «Transparenz herstellen für Kundschaft und andere Kontakte».

Im Einzelnen:

1. Die Mindestinformationen einer Datenschutzerklärung sind die folgenden: 

• Wer ist Verantwortlicher und wie kann man ihn kontaktieren?
• Wozu werden Daten bearbeitet? (Bearbeitungszwecke)
• Wer erhält vom Verantwortlichen Personendaten über die betroffene Person? Es geht um Empfänger oder Empfängerkategorien und man meint damit nicht nur Verantwortliche, sondern auch Auftragsbearbeiter (wobei Letzteres eigentlich systemwidrig ist)
• In welche Länder werden Personendaten übermittelt? (Nennung Zielland mit Garantien)

2. Werden Personendaten bei Dritten erhoben und nicht bei der betroffenen Person, ist auch noch anzugeben, welche Kategorien von Personendaten der Verantwortliche erhebt.
3. Dann sollte man an Folgendes denken: Die Datenschutzerklärung ist eine «Erklärung», nicht Teil eines Vertrags. Somit nicht «Ich akzeptiere…», sondern (ohne Checkbox!) «Informationen zu unserem Umgang mit Ihren Personendaten finden Sie…» oder «… und ich nehme die Datenschutzerklärung zur Kenntnis.»
4. Die Online-Umsetzung ist auch für Offline-Bearbeitungen möglich und sinnvoll.
5. Hinweis auf Datenschutzerklärung (unter Angabe der URL oder mit Link) in E-Mails oder schriftlichen Offerten.

Beim Newsletter-Versand verändert sich mit dem nDSG nichts. 

Im Einzelnen:

1. Man muss beim Newsletter-Versand verschiedene Bearbeitungsphasen unterscheiden: 
2. Datensammlung: Die Datensammlung muss den Grundsätzen des nDSG entsprechen.
3. Versand: Der Versand muss den Regeln des Bundesgesetzes über den unlauteren Wettbewerb (UWG) entsprechen. Ohne Opt-in kann einer Einzelperson nur Massen-E-Mail-Kommunikation zugestellt werden, wenn es sich um eine Bestandskundin für die beworbenen Themen handelt. Ist kein Opt-in einzuholen, muss aber auf jeden Fall die Gelegenheit zum Opt-Out gegeben werden.
4. Beobachtung: Da Marketingabteilungen auch Öffnungsraten und dergleichen beobachten, was in sich eine Datenbearbeitung darstellt, sollte die Datenschutzerklärung, auf die man sich bezieht, jeweils bereits im Newsletter verlinkt werden.

Ja, das ist unter Schweizer Recht möglich.

Aber: Man kann heute immer weniger ignorieren, dass bei vielen Webseitenbesucherinnen insgesamt ein Unwohlsein verbleibt. Dieses Unwohlsein hängt zusammen damit, dass das weltweite Ökosystem, über das Werbeflächen vermittelt werden, aus der Perspektive sowohl der Webseitenbetreibers als auch der Nutzerin intransparent wirkt. Man sollte sich ernsthaft fragen, ob man nicht besser Lösungen einsetzt, die man wirklich versteht.

Im Einzelnen:

1. Soweit man Google Analytics noch in einer Fassung einsetzt, die auf Cookies basiert, sind die Cookie-bezogenen Sonderregeln im Schweizerischen Recht zu beachten: Für den Umgang mit Cookies ist das Fernmeldegesetz (FMG) zu beachten. Diese Regeln haben allerdings mit der Datenschutzrevision nicht geändert.
2. Das FMG verlangt (a) eine Information über den Zweck der verwendeten Cookies; und (b) einen Hinweis auf das Opt-out-Recht (Ablehnungsmöglichkeit). Es braucht somit Massnahmen auf der eigenen Webseite, namentlich Transparenzhinweise. Sodann braucht es Massnahmen gegenüber Google: Eine Auftragsdatenbearbeitungsvereinbarung und das Einrichten der IP-Anonymisierungsfunktion.
3. Transparenzhinweise auf der Website sind (a) Erläuterungen, wozu man Google Analytics einsetzt und (b) Hinweise auf die Opt-out-Möglichkeiten, wobei Nutzerinnen das Opt-out auch über den eigenen Browser vornehmen können, wenn der Webseitenbetreiber kein (freiwilliges) Cookie-Präferenztool vorhält. Über den Zweck des Einsatzes von Google Analytics können Unternehmen in ihrer Datenschutzerklärung auf der Website informieren: Die Webanalyse dient dazu, die Nutzung der Website auszuwerten und Informationen für ihre Optimierung zu erhalten.
4. Soweit man Cookies auf der Webseite besonders adressieren will: Ein «Cookie Banner» braucht es nach Schweizer Recht nicht, solange nicht EU-Recht anwendbar wird (aufgrund einer Ausrichtung der Website auf Endkunden in der EU). Ein Cookie-Präferenztool kann aber nützlich sein. Es kann den Webseitenbetreiber dabei unterstützen, den Transparenzanforderungen nachzukommen und den Nutzern Auswahlmöglichkeiten zu geben.
5. Nutzt man Google Analytics 4 (ohne Cookies), treten die Massnahmen zum Herstellen von «Cookie-Compliance» in den Hintergrund. Transparenz sollte man weiterhin herstellen.
6. Ebenfalls sollte man als Webseitenbetreiber so oder so gegenüber Google die folgenden Massnahmen treffen: (1) eine Vereinbarung über die Auftragsbearbeitung mit Google abschliessen und (2) die IP-Anonymisierungsfunktion aktivieren.
7. Was man abschliessend sagen muss: Google Analytics bettet sich ein in weltweites Ökosystem von erheblicher Tragweite. Nutzende fühlen sich dadurch beobachtet, dass Daten, die im Kontext ihrer Webseitennutzung erhoben werden, in ein weltweites System für Werbetreibende eingespiesen werden. Nota bene: Es geht da kaum je um Personendaten. Und doch kann man das Problembewusstsein der Nutzenden nicht mehr einfach so verneinen. Das Gefühl, beobachtet zu sein, bleibt. Und den Webseitenbetreibern gelingt es kaum je, Transparenz herzustellen. Das heisst nicht, dass man die Einwilligung einholen muss (fehlende Transparenz lässt sich nicht durch Einwilligung heilen, denn eine uninformierte Einwilligung ist ungültig). Aber es gilt weiterhin, dass man seine Webseite in einer kontrollierten Art und Weise betreiben muss. Man sollte ernsthaft prüfen, ob man nicht besser eine Lösung einsetzt, die man selber versteht.

Kontaktformulare sollten auf die allgemeine Datenschutzerklärung auf der Website des Unternehmens verweisen (ohne Checkbox zum «Akzeptieren»!). Zweck: Transparenz herstellen, wie die Verantwortliche die eingehenden Meldungen verwenden wird.

Im Einzelnen:

1. Wer auf die allgemeine Datenschutzerklärung verweist, kann die Pflichtinformationen so bereitstellen. Man sollte insbesondere auch erwähnen, ob solche Anfragen Eingang in das unternehmensweite CRM (Customer Relationship Management System) finden (eine Kundenbeziehung liegt dann noch nicht vor und die langdauernde Speicherung könnte ohne Hinweis überraschend sein und somit zu wenig transparent).
2. Wenn man sich für eine einzelne, nach aussen wirkende Datenschutzerklärung entscheidet, kann man auf das Muster von https://dp-services.ch/ abstellen. Mit diesem hat man die Datenschutzerklärung rasch erstellt (automatisiertes System unterstützt beim Erstellen des Dokuments) à Schritt 3: «Transparenz herstellen für Kundschaft und andere Kontakte».

Wenn man Personendaten noch aufbewahren muss, um eine gesetzliche Aufbewahrungspflicht einhalten zu können, muss man Personendaten nicht löschen.

Im Einzelnen:

1. Es gibt technische Systeme, die rechtmässig eingesetzt werden dürfen, die aber eine physische Löschung von Personendaten nicht zulassen (Bsp.: «Journaling-Funktion» einer Aufbewahrungslösung). 
2. Das Datenschutzrecht bezweckt mit der Vorgabe «Löschung», dass Personendaten nicht weiter genutzt werden und nicht einem Data Breach zum Opfer fallen, wenn jemand ein schon längst aus dem Verkehr genommenes System («Legacy System») nicht mehr im Fokus hat. Solange technische und organisatorische Massnahmen verhindern, dass im Normalbetrieb des Systems Mitarbeitende auf Daten zugreifen, braucht es keine physische Löschung; es kann genügen, die Querbezüge (Links) aus einem Abfragesystem auf den physisch noch vorhandenen Eintrag zu deaktivieren. Man kann von einem «Near-To-Delete» oder von einer «Beinahelöschung» sprechen. Technischen Schutzmassnahmen ist in solchen Situationen weiterhin eine grosse Bedeutung beizumessen und es sollte auch geprüft werden, inwiefern die eingesetzten physischen Speichersysteme dennoch regelmässig einer Löschung zugeführt werden können (mit Überwachung der physischen Vernichtung).

Ja.

Im Einzelnen:

1. Personenbezogene Daten dürfen auf einem beliebigen technischen System gespeichert werden, solange die datenschutzrechtlichen Anforderungen eingehalten werden können. 
2. Das Datenschutzrecht ist technologieneutral ausgestaltet. Mit anderen Worten regelt es Schutzziele und dabei massgeblich den Bearbeitungszweck und somit das «Ziel» einer Handlung, aber nicht den «Weg zum Ziel». Cloud ist Technik und somit «Weg zum Ziel». Die Cloud-Lösung selbst sollte nicht Stein des Anstosses sein. Die mangelhafte Ausgestaltung einer Cloud-Lösung kann aber nicht akzeptiert werden, wenn dadurch datenschutzrechtliche Bedingungen verletzt werden. 
3. Man sollte Cloud-Lösungen somit sorgfältig auswählen. Der Cloud Canvas von Laux Lawyers AG ist ein etabliertes Prüfmodell, das Kunden erlaubt, ihre Sourcing-Abläufe sorgfältig einzurichten. Mit dem Cloud Canvas profitieren Kunden in allen Branchen von den langjährigen Erfahrungen von Laux Lawyers bei der Beschaffung von Cloud-Lösungen (z.B. hat Laux Lawyers als erste Kanzlei der Schweiz ein Voll-Outsourcing einer Versicherungsgesellschaft in der Schweiz auf eine Cloud-Lösung eines ausländischen Hyperscalers begleitet, und die Lösungsansätze von Laux Lawyers gelten noch heute als wegweisend).
4. Soweit im Kontext einer Cloud-Lösung Auslandsbezüge hergestellt werden, sind auch diese datenschutzrechtlich korrekt abzubilden. Dies ist aber heute in aller Regel möglich.

Es geht hier um sogenannte BYOD-Regeln. BYOD steht für «Bring Your Own Device». Das Unternehmen muss Kontrolle über seinen Datenbestand haben, und zwar auch dann, wenn Mitarbeitende die Daten nicht auf unternehmenseigenen Geräten bearbeiten. Unternehmen können mit Reglementen Kontrolle organisatorischer und vertraglicher Art herstellen. Es gibt auch technische Lösungen («Sandboxes»), die auf privaten Geräten eingerichtet werden können, um einen technischen Schutz einzurichten.

Im Einzelnen:

Wenn Mitarbeitende Daten auf eigenen Geräten bearbeiten, schliesst dies nicht aus, dass das Unternehmen Kontrolle behält. Die Grundregeln der Kontrolle über Daten sollten aber geregelt werden, um Folgendes sicherzustellen:

1. Nur befugte Personen sollen auf Personendaten und andere Daten des Unternehmens zugreifen können. Der Missbrauch von Daten ist sicherzustellen. Mit Weisungen sollte sichergestellt werden, dass gewisse Daten erst gar nicht auf das private Gerät gespeichert werden.
2. Das Unternehmen soll Personendaten vom Gerät der Mitarbeitenden löschen können und sich über die Löschung vergewissern können, bevor der betreffende Mitarbeitende das Unternehmen verlassen hat.
3. Technische Schutzmassnahmen müssen auf dem Gerät eingerichtet sein.

Auch physische Unterlagen wie Papierausdrucke werden vom nDSG geregelt.

Im Einzelnen:

1. Auch in Bezug auf sogenannte «Hard Copies» gilt, dass diese nur so lange aufbewahrt werden dürfen, wie dies nötig ist. 
2. Es braucht auch für Papierunterlagen zweckmässige Schutzmassnahmen. Hier geht es insbesondere um Massnahmen wie «Clean Desk Policies» und verschliessbare Aufbewahrungsschränke. Reinigungspersonal sollte beispielsweise nicht in vertrauliche Dokumente respektive Dokumente mit Personendaten Einsicht nehmen können.

Ja, das ist rechtmässig möglich. Lieferanten oder andere Dienstleister sind je nach Aufgabenstellung als Auftragsbearbeiter vertraglich in die eigene Organisation des Kunden einzubinden. Es braucht somit Verträge mit Schutzmassnahmen. Der Kunde muss die Dienstleistenden sorgfältig auswählen. 

Im Einzelnen:

Die Auswahl von Partnern scheitert nicht am Datenschutzrecht. Man darf Partner auswählen, aber muss diese sorgfältig auswählen und in die eigene Datenschutzorganisation einbinden (Einbindung in den eigenen personellen und organisatorischen Perimeter). Es handelt sich um eine Aufgabenstellung für die Sourcing-Abteilung des Unternehmens.

Was gehört mindestens in solche Verträge?

• Weisungen über die Datenverwendung
• Geheimhaltungsbestimmungen 
• Löschpflichten für die Zeit nach Auftragserfüllung
• Regelung, ob bzw. wie Unterauftragnehmer einbezogen werden können (Verbot oder Vorabgenehmigung)
• Technische Massnahmen zum Schutz von Personendaten
• Unterstützungspflichten in Bezug auf Betroffenenbegehren und Data Breaches

Personenbezogene Daten sollten immer weniger und somit nur sehr zurückhaltend per E-Mail versendet werden. 

Im Einzelnen:

E-Mail-Systeme sollten eigentlich der Vergangenheit angehören. Es ist nicht nur aus datenschutzrechtlichen Gründen von Vorteil, Kollaborationssysteme mit passwortgeschützten und gekapselten Zugriffsbereichen zu verwenden. Wer solche Systeme aktiv einsetzt, kann durch die Wahl der technischen Lösung einen grossen Beitrag nicht nur zur IT-Sicherheit, sondern auch zum Datenschutz leisten.

Das nDSG regelt nicht die Technik («Weg zum Ziel»), sondern verlangt, dass ein Verantwortlicher Datenbearbeitungen kontrolliert. Messengerdienste sind somit nicht per se datenschutzkonform oder datenschutzwidrig. Somit ist keine abstrakte Ja- oder Nein-Antwort möglich.

Im Einzelnen:

1. Wer Messengerdienste für private Zwecke benutzt, untersteht diesbezüglich nicht dem Datenschutzrecht. Dies aus dem folgenden Grund: Das nDSG gilt nicht, wenn eine Privatperson Personendaten von sich selbst oder von andern ausschliesslich zum persönlichen Gebrauch bearbeitet.
2. Im Unternehmenskontext muss man differenzieren: 

• WhatsApp hat eine Lösung für Unternehmenskunden, die datenschutzrechtskonform genutzt werden kann. In Bezug auf den im Privatgebrauch genutzten Messenger wird die Verantwortliche aber kaum je die Kontrollen anwenden können, die es braucht, um der datenschutzrechtlichen Grundformel zu entsprechen: «Kontrollieren kann man nur, was man auch versteht».
• Entsprechendes gilt auch für andere Messenger, die isoliert genutzt werden.
• Die Nutzung von Microsoft Teams ist für den Unternehmenskontext durchaus kontrollierbar, wenn die Verantwortliche Teams als Teil einer M365-Lösung nutzt, die gesamthaft gut aufgesetzt und vertraglich gut abgebildet ist. 

Ja, ein Backup ist zu empfehlen und kann aus datenschutzrechtlicher Sicht sogar geboten sein. 

Im Einzelnen:

1. Daten sollten grundsätzlich immer gut gesichert sein. Hier kann ein IT-Dienstleister helfen, die IT-Sicherheit zu gewährleisten.
2. Der Bundesrat hat in der Datenschutzverordnung den folgenden Grundsatz notiert: «Der Verantwortliche und der Auftragsbearbeiter müssen technische und organisatorische Massnahmen treffen, damit die bearbeiteten Daten ihrem Schutzbedarf entsprechend … verfügbar sind, wenn sie benötigt werden (Verfügbarkeit)». Dieser Grundsatz kann dann gelten, wenn ein Auskunftsbegehren zu beantworten ist. 
3. Umgekehrt ist eine lange Aufbewahrungsdauer nicht nur deswegen vorzukehren, um ein Auskunftsbegehren beantworten zu können. Wenn Daten rechtmässig gelöscht worden sind, schadet es nicht, wenn auf das Auskunftsbegehren nur die folgende Antwort erteilt werden kann: «Über Ihre Person ist in unseren Systemen keine Angabe gespeichert.»

Es gibt in der Schweiz Ähnlichkeiten mit der DSGVO in Bezug auf die Pflicht, einen Vertreter zu bestellen. Unter gewissen Voraussetzungen müssen ausländische Unternehmen einen Vertreter melden, damit der EDÖB eine Kontaktstelle in der Schweiz hat für Kommunikation über die Durchsetzung des nDSG auch gegenüber ausländischen Unternehmen.

Im Einzelnen:

Voraussetzungen der Vertretermeldung:

1. Zusammenhang mit dem Angebot von Waren und Dienstleistungen in der Schweiz
2. Umfangreiche Bearbeitung
3. Regelmässige Bearbeitung
4. Hohes Risiko.

Wenn besonders schützenswerte Personendaten in grossem Umfang in der Cloud bearbeitet werden, können eine Datenschutzfolgeabschätzung, das Erstellen eines Bearbeitungsverzeichnisses und eines Bearbeitungsreglements notwendig werden. Es kann eine Pflicht zur Konsultation des EDÖB geben und es kann nötig werden, Bearbeitungen in den Systemen zu loggen (Erstellung von System-Logs).

Im Einzelnen:

1. DSFA (Datenschutzfolgeabschätzung): Wenn die Bearbeitung der besonders schützenswerten Personendaten «umfangreich» ausfällt, kann bei Verwendung einer Cloud («neue Technologie») die Pflicht zur Vornahme einer Datenschutzfolgeabschätzung begründet sein (Art. 22 Abs. 2 nDSG), sofern sie nicht aus bestimmten Gründen entfällt (Art. 22 Abs. 4 oder 5 nDSG). Aufbewahrung von zwei Jahren. Wird sie freiwillig erstellt, sollte auch die Freiwilligkeit dokumentiert sein (andernfalls Gefahr des Umkehrschlusses).
2. Konsultation des EDÖB: Im Extremfall könnte daran eine Konsultationsphase von zwei bis drei Monaten beim EDÖB anknüpfen (Art. 23 nDSG), was sich mit Bestellung eines Datenschutzberaters aber abwenden liesse (Art. 23 Abs. 4 nDSG).
3. Logging: Weist die Bearbeitung der besonders schützenswerten Personendaten einen «grossen Umfang» auf, ist für Protokollierung zu sorgen (Logging, Art. 3 Abs. 3 lit. a nDSV und Art. 4 Abs. 1 nDSV). Aufbewahrung von einem Jahr für Logs. Logging ist aber keine Pflicht der Cloud per se.
4. Bearbeitungsreglement: Weist die Bearbeitung der besonders schützenswerten Personendaten einen «grossen Umfang» auf, braucht es ein Bearbeitungsreglement (Art. 5 nDSV; diese Pflicht trifft auch den Cloud-Anbieter). Das Bearbeitungsreglement ist aber keine Pflicht der Cloud per se.
5. Bearbeitungsverzeichnis: Weist die Bearbeitung der besonders schützenswerten Personendaten einen «grossen Umfang» auf, ist ein Bearbeitungsverzeichnis zu erstellen (Art. 24 lit. a nDSV), wobei das Bearbeitungsverzeichnis (mit Beschreibung der Cloud) keine Folge der Cloud ist.

Ja, es gibt diverse Compliance-Massnahmen, die vorgenommen werden müssen.

Im Einzelnen:

Es kann nötig sein, die folgenden Massnahmen zu treffen: 

• Höhere Sicherheitsanforderungen treffen
• Detaillierter erklären und so für höhere Transparenz sorgen
• Prüfung der Kreditwürdigkeit ist kein Rechtfertigungsgrund (Art. 31 Abs. 2 lit. c Ziff. 1 nDSG)
• Einwilligung muss – für den Fall, dass sie aufgrund einer anderen Bestimmung des nDSG notwendig sein sollte (und nur dann) – ausdrücklich sein (Art. 6 Abs. 7 lit. b nDSG)
• Logging ist erforderlich (Art. 4 nDSV)
• Bearbeitungsreglement ist Pflicht auch für Private (Art. 5 Abs. 1 lit. b nDSV)
• Bearbeitungsverzeichnis ist Pflicht auch für Private (Art. 24 lit. b nDSV)

Ein Profiling mit hohem Risiko liegt vor, wenn:

1. Automatisierte Bearbeitung;
2. Bewertung über bestimmte persönliche Aspekte möglich,
   • Analyse (gefährliche Datensammlung);
   • Prognose (gefährliche Aussage);
3. Es besteht eine Verknüpfung zu Daten, die eine Beurteilung über wesentliche Aspekte ermöglichen.

Ja, es gibt diverse Handlungspflichten, die zu prüfen sind.

Im Einzelnen:

Es kann nötig sein, die folgenden Massnahmen zu treffen: 

• Höhere Sicherheitsanforderungen treffen
• Detaillierter erklären und so für höhere Transparenz sorgen
• Besonders gute Sicherheitsmassnahmen treffen
• Prüfung der Kreditwürdigkeit ist kein Rechtfertigungsgrund (Art. 31 Abs. 2 lit. c Ziff. 1 nDSG)
• Einwilligung muss – für den Fall, dass sie aufgrund einer anderen Bestimmung des nDSG notwendig sein sollte (und nur dann) – ausdrücklich sein (Art. 6 Abs. 7 lit. a nDSG)
• Logging ist erforderlich (Art. 4 nDSV)
• Bearbeitungsreglement ist Pflicht auch für Private (Art. 5 Abs. 1 lit. b nDSV)
• Bearbeitungsverzeichnis ist Pflicht auch für Private (Art. 24 lit. b nDSV)
• Bekanntgabe nur mit besonderer Rechtfertigung (Art. 30 Abs. 2 lit. c nDSG)
• Sonderregelung bei Rechtfertigung zu Zwecken der Forschung (Art. 31 Abs. 2 lit. e nDSG und Art. 39 Abs. 1 lit. b nDSG)

Datensicherheitsverletzungen (Data Breaches) nehmen leider zu, derzeit wegen Angriffen von aussen. Auch datenschutzrechtlich kann einiges dazu gesagt werden. Es geht vor allem um Meldepflichten. Im Einzelfall können solche Ereignisse aber auch zu Strafbarkeit führen.

Im Einzelnen:

1. Mangelnde Datensicherheit kann nach Art. 64 Abs. 2 DSG zu Strafbarkeit führen (Verletzung von Art. 8 DSG); Meldung kann nur mit Einverständnis «der meldepflichtigen Person» gegen sie verwendet werden (gilt dies auch für das Unternehmen).
2. Meldepflicht an EDÖB bei hohem Risiko. Zeitpunkt: «so rasch als möglich»
3. Meldepflicht an betroffene Person (a) bei Erforderlichkeit oder (b) auf Verlangen EDÖB. Zeitpunkt: offen
4. Pflicht zur Dokumentation des Sicherheitsvorfalls und Aufbewahrung der Dokumentation während zwei Jahren nach Meldung an den EDÖB (sofern Meldung vorgenommen wird, egal ob in Erfüllung einer Pflicht oder nicht; ist allerdings nur Verordnungsrecht)
5. Ansonsten sei auf die folgenden Seiten zur Verortung verwiesen:

Das nDSG sieht für verschiedene Fälle Strafsanktionen vor (siehe Text zum Aufklappen). Bis zur Grenze von CHF 50 000.– kann auch eine Unternehmensbusse resultieren (Art. 64 Abs. 2 DSG)

Im Einzelnen:

Eine Strafsanktion kann es in den folgenden Fällen geben:

• Keine, falsche oder unvollständige proaktive Information, wenn Erhebung direkt bei der betroffenen Person, und zwar sofort. Inhalt: (i) Wer, (ii) Wozu, (iii) Empfänger oder Empfängerkategorien; (iv) Zielland mit Garantien.
• Keine, falsche oder unvollständige proaktive Information, wenn Erhebung bei Dritten. 1 Monat (ausser frühere Bekanntgabe). Inhalt: (i) Wer, (ii) Was; (iii) Wozu, (iv) Empfänger oder Empfängerkategorien; (v) Zielland mit Garantien.
• Keine, falsche oder unvollständige proaktive Information bei relevanter AEFE
• Reaktive Information, die falsch oder unvollständig ist (es müssen die Informationen im Szenario «bei Dritten» sowie: (vi) Aufbewahrungsdauer; (vii) Herkunft; (viii) AEFE (Existenz und Logik) beauskunftet werden). Verspätung (nach Ablauf von 30 Tagen, ohne Meldung im Sinne von Art. 18 Abs. 2 DSV) oder «Nicht-Auskunft» ist nicht strafbar.
• Auslandsübermittlung entgegen den Voraussetzungen
• Unzureichende Einbindung von Auftragsbearbeitern: z.B.Beizug Auftragsbearbeiter ohne Sicherung der Voraussetzungen(Verwendungsbeschränkungen und Sicherheitsbestimmungen)
• Verletzung Datensicherheit, das heisst ohne Vornahme der Schutzbedarfsanalyse, technische und organisatorische Massnahmen
• Verletzung Geheimhaltung (Art. 62 DSG)
• Missachten von Verfügungen (Art. 63 nDSG)
• Identitätsdiebstahl (Art. 179^decies StGB)

Ja. Mit dem nDSG hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zusätzliche Untersuchungsbefugnisse erhalten. Sie gehen weiter als bisher und eine Untersuchung kann rascher als noch nach altem Recht eingeleitet werden («wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte»).

Im Einzelnen:

Der EDÖB kann in den folgenden Situationen untersuchen: 

• Untersuchung gegen Private auch von Amtes wegen, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte (Art. 49 nDSG; Ausnahme: geringfügige Verletzungen).
• Untersuchungsbefugnis als Aufsichtsbehörde gegenüber Behörden des Bundes.

Der EDÖB hat dabei die folgenden Befugnisse:

• Direktes Verfügungsrecht (Änderung, Unterbruch oder Einstellung einer Verarbeitung; Löschung von Personendaten; Information von Betroffenen; Durchführung einer DSFA usw.)
• Untersuchungsbefugnisse (Art. 50 nDSG): (a) Zugang zu Auskünften/Dokumenten; (b) Zugang zu Räumlichkeiten und Anlagen; (c) Zeugeneinvernahmen; (d) Begutachtungen durch Sachverständige.
• Verfügungskompetenz als Aufsichtsbehörde gegenüber Behörden des Bundes.

Fristen können im nDSG in verschiedenen Konstellationen relevant werden.

Im Einzelnen:

Im Sinne einer Zusammenfassung werden hier die verschiedenen Fristen des nDSG erwähnt:

• So rasch wie möglich: Data Breach Notification an EDÖB
• Angemessene Frist: Data Breach Notification an betroffene Person (ist nicht immer gefordert)
• 1 Monat: Proaktive Information nach Art. 19 Abs. 5 nDSG
• 30 Tage: Reaktive Information (Art. 25 Abs. 7 nDSG; Art. 18 DSV)
• 1 Jahr: Aufbewahrung von Logs (Art. 4 DSV)
• 2 Jahre: Aufbewahrung der Datenschutzfolgeabschätzung (Art. 14 DSV)
• 5 Jahre (nach Inkrafttreten des nDSG): Recht von Bundesbehörden zur Bekanntgabe von Daten juristischer Personen gestützt auf das RVOG (Art. 71 nDSG) besteht bis zum 31. August 2028.
• 5 Jahre: Verfolgungsverjährung (Art. 66 nDSG)
• 10 Jahre: Prüfung der Kreditwürdigkeit ist kein Rechtfertigungsgrund mehr, wenn Daten älter sind (Art. 31 Abs. 2 lit. c Ziff. 4 nDSG)

Man spricht hier von den sogenannten Betroffenenrechten. Gemeint sind die Rechte, die man als betroffene Person gegenüber Verantwortlichen hat.

Im Einzelnen:

Das nDSG nennt die folgenden Betroffenenrechte:

• Recht auf Auskunft: Art. 25 nDSG
• Recht auf Berichtigung: Art. 32 Abs. 1 nDSG
• Recht auf Löschung oder Vernichtung von Personendaten: Art. 32 Abs. 2 lit. c nDSG
• Datenherausgabe oder -übertragung (Datenportabilität): Art. 28 nDSG

Zusätzlich zu nennen ist der Umstand, dass eine Verantwortliche Informationspflichten gegenüber der betroffenen Person hat:

• Proaktive Transparenz (Art. 19 nDSG), AEFE (Art. 21 nDSG)
• Data Breach Notice (Art. 24 Abs. 4 nDSG)
• Nennung der Kontaktdaten des Datenschutzberaters (Art. 10 Abs. 3 lit. d nDSG)

Ja, in verschiedenen Konstellationen schreibt das nDSG eine Meldung an den EDÖB vor.

Im Einzelnen:

Es geht um die folgenden Meldepflichten:

• Kontaktdaten des Datenschutzberaters (Art. 10 Abs. 3 lit. d nDSG): Wenn ein Unternehmen einen Datenschutzberater einsetzt, muss dieser dem EDÖB gemeldet werden, andernfalls die vom Gesetz vorgesehene Privilegierungswirkung (im Kontext der Datenschutzfolgeabschätzung, DSFA) nicht zum Tragen kommt. Es ist somit möglich, einen Datenschutzberater zu haben und ihn dem EDÖB nicht zu melden.
• Datenschutzfolgeabschätzungen (DSFA) müssen erstellt und dem EDÖB eingereicht werden, wenn nach Durchführung derselben ein Nettorisiko «hoch» verbleibt und das Unternehmen keinen Datenschutzberater bestellt hat.
• Data Breach mit hohem Risiko: Eine Verletzung der Datensicherheit ist unter Umständen dem EDÖB zu melden.
• Auslandsübermittlungen auf Basis von Datenschutzklauseln, von spezifischen Garantien oder von Binding Corporate Rules (BCR) sind dem EDÖB zu melden.
• Der Vertreter nach Art. 14 nDSG muss dem EDÖB gemeldet werden

Generell ist das Datenschutzrecht ein Rechtsbereich, in dem man selbst zu Lösungen kommen muss. Ob das, was man gemacht hat, rechtmässig war, entscheidet sich erst im Nachhinein. Das ist auf den ersten Blick unbefriedigend, kann aber in der Praxis durchaus handhabbar gemacht werden. Wer nach den folgenden Faustregeln lebt, sollte sich jedenfalls Sanktionen entziehen können:

1. Seinen Laden im Griff haben (Kontrollieren kann nur, wer auch versteht)
2. Sag’ was du tust, tu’ was du sagst
3. Sei nicht unanständig

Im Einzelnen:

Es gibt im nDSG zum Teil aber dennoch die Pflicht, Handlungen dem EDÖB zu melden, damit er sie genehmigen kann (oder die Genehmigung im Einzelfall verweigern kann). Dies ist aber eher die Ausnahme.

Zu nennen sind die folgenden Fälle:

• Zertifizierung von Systemen oder Programmen (Art. 13 nDSG)
• Standarddatenschutzklauseln müssen zum Teil genehmigt werden
• Auch unternehmensweite Datenschutzvorgaben, sog. BCR oder Binding Corporate Rules müssen genehmigt werden
• Verhaltenskodizes (Art. 11 nDSG) müssten ebenfalls genehmigt werden; ob sich dieses Instrument durchsetzt, wird man aber abwarten müssen

Man sollte als Verantwortliche einen Datenschutzberater bestellen, wenn:

1. Man für Schulung und Handhabung des Datenschutzrechts eine Anlaufstelle haben will
2. Man die Resultate einer Datenschutzfolgeabschätzung nicht dem EDÖB melden will

Im Privatbereich ist ein sogenanntes Bearbeitungsverzeichnis oder Verfahrensverzeichnis (manchmal auch kurz «ROPA» für Register of Processing Activities) für kleinere Unternehmen nicht zwingend. Das Gesetz sieht eine Ausnahme für Unternehmen vor, die weniger als 250 Mitarbeitende beschäftigen und deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt. Wir empfehlen aber in jedem Fall, diese Verzeichnisse zu erstellen, da sie eine überaus wertvolle Grundlage für die weitere Datenschutzdokumentation sind.

Im Einzelnen:

Man muss in den folgenden Fällen ein Bearbeitungsverzeichnis haben:

• Wenn man mehr als 250 Mitarbeitende beschäftigt.
• Wenn man in grossem Umfang besonders schützenswerte Personendaten bearbeitet.
• Wenn man ein Profiling mit hohem Risiko vornimmt

Im nDSG steht kein nennenswertes Übergangsrecht. 

Im Einzelnen:

Die inhaltlichen Regeln des Übergangsrechts sind wie folgt:

• Im Grundsatz gilt Folgendes: Neue Anforderungen gelten mit Inkrafttreten in der Regel sofort
• Ausnahme: hängige Verfahren; Grandfathering-Tatbestand, das heisst, das alte Recht gilt weiter
• Grandfathering: Nur bei gleichbleibendem Datenbestand und Zweck («passive Datenbestände»). «Grandfathering» bedeutet hier Folgendes: Für diese zum Beispiel keine Informationspflicht, keine Datenschutzfolgeabschätzungen und keine Pflicht zu Privacy by Design und by Default. Aber ob die Übergangsregel auch für Sicherheitsmassnahmen gilt, ist gemäss Gesetz unklar. Man muss sehen: IT-Sicherheit ist eine laufende Aufgabenstellung, man sollte kein veraltetes Sicherheitsdispositiv haben. DerStand der Technik ist mindestens einzuhalten, aber der kann sich verändern.
• Daten juristischer Personen: Behörden haben noch bis 31. August 2028 ein Bekanntgaberecht

Vergewissern Sie sich (bei Auswahl und Kontrolle), dass Ihr Auftragsbearbeiter die Personendaten gegen Risiko von Datensicherheits-Verletzungen angemessen schützt. Dies bedeutet, dass man Auftragsbearbeiter sorgfältig auswählen und im Blick behalten muss. Zusätzlich sollte man sich vertraglich absichern.

Im Einzelnen:

Verträge mit Auftragsdatenbearbeitern sollten die folgenden Mindestinhalte aufweisen:

• Umschreibung des Gegenstands und des Umfangs der Auftragsbearbeitung 
• Weisungsgebundenheit des Auftragsbearbeiters
• Ausreichende technische und organisatorische Datensicherheits-Massnahmen müssen vorgeschrieben und idealerweise auch auf anderem Weg substantiiert sein.
• Ausreichende Regelungen in Bezug auf Unter-Auftragsbearbeiter (siehe auch Art. 7 nDSV)
• Informations-, Kooperations- und Vertraulichkeitspflichten des Auftragsbearbeiters
• Prüfrechte des Verantwortlichen (Kontrolle während der Vertragsdauer)
• Regelungen zum Schutz von Berufsgeheimnissen
• Ausreichende Regelungen zum Auslandbezug

Sicherheit zu schaffen ist eine wichtige Aufgabenstellung. Man sollte sich hier fachkundig helfen lassen. Damit kann man dies nicht mit einer kurzen Antwort im Rahmen dieses FAQ erledigen. 

Das Nationale Zentrum für Cybersicherheit NCSC hat Hinweise zur Datensicherheit erlassen. Diese sind allerdings eher der Anfang eines Gesprächs als die Abkürzung zum Schluss des Gesprächs über Sicherheit. Einen Einstieg bietet auch der Artikel im Swisscom B2B-Magazin über grundlegende Massnahmen zum Schutz vor Cyberattacken.

Im Einzelnen:

Die folgenden Punkte können im Sinne einer kleinen Hausapotheke für das Aufsetzen eines internen Netzwerks in einem KMU genannt werden:

• Gekapselte «single purpose»-Geräte für bestimmte Tätigkeiten (Zahlungen)
• Massnahmen zur Kapselung im Netzwerk (Weiterverbreitung verhindern)
• Backups vor Infizierung schützen
• Updates durchführen
• Nutzerrechte im Auge behalten, kontrollieren und monitoren
• Admin-Rechte: Admins sollten ausserdem das Prinzip der minimalen Rechtevergabe einhalten.
• Makros sperren
• Websites in Verdachtsverzeichnissen sperren (zum Beispiel aus abuse.ch)
• IP-Adressen sperren (siehe abuse.ch)
• Logs (Speicherdauern): Perioden auf das Maximum setzen. Oft sind die Aufbewahrungsdauern von Logs zu kurz. 90 Tage sind das Minimum, manche Logs sollten auf längere Zeit eingestellt sein.