Schweizer Datenschutzgesetz

Das revidierte Schweizer Datenschutzgesetz gilt seit dem 1. September 2023. Für deutsche Unternehmen ist es keine exotische Rechtsordnung, sondern eine praktische Frage: Wer Kunden, Beschäftigte oder Lieferanten in der Schweiz hat, wird davon erfasst – auch ohne Niederlassung dort.

Warum es Sie betreffen kann

Maßgeblich ist das Auswirkungsprinzip: Das Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, unabhängig davon, wo die Bearbeitung stattfindet und wo das Unternehmen sitzt. Das entspricht der Systematik, die auch die DSGVO für Anbieter außerhalb der EU vorsieht.

Erfasst sind damit typischerweise: Onlineshops, die in die Schweiz liefern, Dienstleister mit Schweizer Kunden, Unternehmen mit Beschäftigten in der Schweiz, und Websites, die sich erkennbar an ein Schweizer Publikum richten.

Umgekehrt gilt: Die Schweiz ist von der Europäischen Kommission als Land mit angemessenem Datenschutzniveau anerkannt. Eine Übermittlung dorthin braucht deshalb keine zusätzlichen Garantien – anders als bei der Übermittlung in die USA.

Wo es der DSGVO ähnelt

Die Revision hat das Schweizer Recht bewusst an das europäische angenähert. Wer die Verordnung umgesetzt hat, findet vieles wieder:

  • dieselben Grundsätze – Rechtmäßigkeit, Treu und Glauben, Verhältnismäßigkeit, Zweckbindung, Richtigkeit, Sicherheit
  • Informationspflichten bei der Beschaffung von Personendaten
  • Auskunftsrecht und Recht auf Datenherausgabe
  • ein Verzeichnis der Bearbeitungstätigkeiten
  • eine Folgenabschätzung bei hohem Risiko
  • Anforderungen an die Auftragsbearbeitung
  • Meldepflicht bei Verletzungen der Datensicherheit
  • Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

Wer ein funktionierendes Verarbeitungsverzeichnis und ein Löschkonzept hat, erfüllt einen erheblichen Teil bereits.

Wo es abweicht – und das ist der Teil, der zählt

Keine Daten juristischer Personen mehr. Anders als das alte Recht schützt das revidierte DSG nur noch Daten natürlicher Personen. Das ist eine Angleichung an die DSGVO.

Die Meldefrist ist anders formuliert. Verletzungen der Datensicherheit sind dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich zu melden – nicht binnen einer festen Stundenzahl. Gemeldet wird zudem nur, wenn ein hohes Risiko für Persönlichkeit oder Grundrechte besteht. Die Schwelle liegt damit höher als in Art. 33 DSGVO.

Es gibt keine Bußgelder gegen Unternehmen, sondern Strafen gegen Personen. Das ist der auffälligste Unterschied und der, der in Geschäftsführungen für Aufmerksamkeit sorgt: Das Schweizer Recht sanktioniert bestimmte Verstöße mit Busse gegen die verantwortliche natürliche Person, nicht gegen die Gesellschaft. Die Beträge sind niedriger als die europäischen Rahmen, treffen aber persönlich.

Eine Vertretung in der Schweiz kann erforderlich sein: Unternehmen ohne Sitz in der Schweiz müssen unter bestimmten Voraussetzungen eine Vertretung dort benennen – insbesondere bei umfangreicher, regelmäßiger Bearbeitung mit hohem Risiko im Zusammenhang mit dem Angebot von Waren und Dienstleistungen. Das entspricht der Konstruktion des EU-Vertreters nach Art. 27 DSGVO, nur in umgekehrter Richtung.

Ein Datenschutzberater ist freiwillig. Das Schweizer Recht kennt keine Pflicht zur Benennung wie Art. 37 DSGVO; die Benennung bringt aber Verfahrenserleichterungen mit sich.

Was zu tun ist

Für Unternehmen, die bereits DSGVO-konform arbeiten, ist der Zusatzaufwand überschaubar:

  1. Prüfen, ob Sie erfasst sind – Kunden, Beschäftigte, Lieferanten oder Marktausrichtung in der Schweiz.
  2. Prüfen, ob eine Vertretung nötig ist.
  3. Die Datenschutzerklärung ergänzen – die Informationspflichten weichen im Detail ab; siehe Datenschutzerklärung.
  4. Den Meldeweg um den EDÖB ergänzen, damit im Ernstfall niemand sucht.
  5. Verträge prüfen, in denen Schweizer Recht vereinbart ist.

Kontakt

Sie liefern in die Schweiz oder beschäftigen dort? Dann ist die Frage, ob eine Vertretung nötig ist, der erste Punkt.