Das ist neu

Es besteht künftig eine erhöhte Informations-, Auskunfts- und Meldepflicht für Unternehmungen. Die erweiterte Informationspflicht bezieht sich neu auf alle beabsichtigten Beschaffungen von Personendaten, und nicht wie bisher nur auf das Beschaffen von besonders schützenswerten Personendaten und Persönlichkeitsprofilen.

Eine neue Besonderheit im revidierten DSG ist das Profiling. Es handelt sich um einen speziellen Bearbeitungsvorgang. Dabei werden automatisiert Personendaten bearbeitet bzw. bewertet. Das revidierte DSG unterscheidet zwischen «normalem» Profiling und Profiling mit hohem Risiko. Bei Letzterem ist gemäss Gesetz eine ausdrückliche Einwilligung der betroffenen Person erforderlich.

Das revidierte DSG verpflichtet die Unternehmen künftig Verzeichnisse über die Datenbearbeitungstätigkeit, sog. Bearbeitungsverzeichnisse, zu führen. In diesen soll festgehalten werden, welche Personendaten wie verarbeitet werden. KMU mit weniger als 250 Mitarbeitenden, deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt, sind von dieser Pflicht ausgenommen. Ausserdem müssen die Unternehmen mit ihren Auftragsbearbeiterin eine schriftliche Auftragsbearbeitungsvereinbarung abschliessen, d.h. in der Zusammenarbeit mit Lieferanten und Kunden sind die datenschutzrechtlichen Rechte und Pflichten vertraglich zu regeln.

Die Auskunftsrechte der betroffenen Personen gegenüber den Verantwortlichen von Datenbearbeitungen wurden verstärkt. Neu wurde das Recht auf Datenherausgabe und Übertragung, die sog. Datenportabilität, aufgenommen.

Bei Verletzungen der Datensicherheit sind die Unternehmen nun verpflichtet, dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch wie möglich mitzuteilen. Eine Verletzung der Datensicherheit liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.

Werden die Datenschutzvorschriften vorsätzlich verletzt, so droht der handelnden Person, nicht dem Unternehmen, eine Busse von bis zu CHF 250’000.

Das revidierte Datenschutzgesetz enthält noch weitere neue Verpflichtungen, z.B. bei automatisierten Einzelfallentscheidungen.