Die Schweiz erh\u00e4lt ein neues Datenschutzgesetz. Es tritt am 1. September in Kraft und ist mit zahlreichen Pflichten verbunden. Damit sich Weiterbildungsanbieter auf das neue Gesetz vorbereiten k\u00f6nnen, hat der SVEB ein Online-Seminar mit einem Experten durchgef\u00fchrt. <\/p>\n\n\n\n
Am 1. September dieses Jahres tritt in der Schweiz das revidierte Datenschutzgesetz (DSG) in Kraft. Damit wird der Datenschutz auf das Niveau der EU angehoben. Unternehmen, die sich bereits an die europ\u00e4ische Datenschutzgrundverordnung (DSGVO) angepasst haben, werden nur wenige \u00c4nderungen vornehmen m\u00fcssen, wie der Bund auf seinem KMU-Portal<\/a> festh\u00e4lt. F\u00fcr die anderen jedoch wird es einiges zu tun geben. Und Achtung: Das revidierte DSG gilt ohne \u00dcbergangsfrist. <\/p>\n\n\n\n Damit sich Weiterbildungsanbieter auf das revidierte Gesetz vorbereiten k\u00f6nnen, hat der SVEB im Juni ein Online-Seminar durchgef\u00fchrt, das die wichtigsten \u00c4nderungen beleuchtete, aber auch mit Irrt\u00fcmern und falschen Annahmen aufr\u00e4umte. Referent war der Rechtsanwalt Michael Widmer, der sich seit 15 Jahren mit Themen des Datenschutzes auseinandersetzt und unter anderem an der Z\u00fcrcher Hochschule f\u00fcr Angewandte Wissenschaften (ZHAW) ein CAS zu Datenschutz unterrichtet. <\/p>\n\n\n\n Das revidierte DSG bereite vor allem Aufwand und bringe wenig Nutzen, heisst es landl\u00e4ufig. Das m\u00fcsse jeder f\u00fcr sich entscheiden, meinte Michael Widmer. Sich jedoch rechtzeitig mit dem Thema zu besch\u00e4ftigen, sei nicht falsch. <\/p>\n\n\n\n Denn die Folgen von Verletzungen von DSG-Vorschriften k\u00f6nnen teuer zu stehen kommen. Zun\u00e4chst einmal gilt ab dem 1. September, dass zivilrechtliche Verfahren wegen der Verletzung von Pers\u00f6nlichkeitsrechten f\u00fcr den Kl\u00e4ger oder die Kl\u00e4gerin kostenlos sind. Die strafrechtlichen Bussen f\u00fcr Verletzungen von DSG-Vorschriften k\u00f6nnen indes bis zu 250\u2018000 Franken betragen, wobei diese Summe eher auf grosse Unternehmen abziele, beschwichtigte der Rechtsanwalt. <\/p>\n\n\n\n Dennoch kann es f\u00fcr Einzelne unangenehm werden, denn T\u00e4terin oder T\u00e4ter sei grunds\u00e4tzlich eine nat\u00fcrliche Person, also beispielsweise der Gesch\u00e4ftsf\u00fchrer eines Unternehmens. Zwar kann nur eine vors\u00e4tzliche Pflichtverletzung geahndet werden, aber es gen\u00fcge der Eventualvorsatz, sagt Michael Widmer. Und last but not least: Die Verletzung von DSG-Vorschriften kann nicht versichert werden. <\/p>\n\n\n\n Im neuen DSG sind nur noch die Daten nat\u00fcrlicher Personen betroffen. Das heisst, es geht um Angaben, die sich auf eine \u00abbestimmte oder bestimmbare nat\u00fcrliche Person\u00bb beziehen. Wie Michael Widmer ausf\u00fchrte, kann das aber durchaus heikel sein. So k\u00f6nnen verschiedene gesammelte Daten R\u00fcckschl\u00fcsse auf eine bestimmte Person zulassen, auch wenn weder ein Name noch eine Adresse im Datensatz aufgef\u00fchrt werden. Kann aufgrund von bestimmten Kombinationen von Daten auf eine Person r\u00fcckgeschlossen werden, handelt es sich eben um eine bestimmbare Person, was datenschutzrelevant ist. <\/p>\n\n\n\n Sofern das eigene Unternehmen unter das revidierte DSG f\u00e4llt \u2013 kantonale Beh\u00f6rden zum Beispiel sind ausgenommen \u2013 ist zun\u00e4chst einmal eine Datenschutzerkl\u00e4rung erforderlich, wie Michael Widmer festh\u00e4lt. Ausformuliert heisst das: Es besteht eine Auskunftspflicht dar\u00fcber, welche Informationen man bearbeitet. Man k\u00f6nne dies auch m\u00fcndlich mitteilen, so Widmer. Allerdings ist in einem Streitfall der Beweis eher schwierig zu erbringen, dass man der Informationspflicht nachgekommen ist. Die Regel sollte deshalb eine Datenschutzerkl\u00e4rung zum Beispiel auf der Webseite sein. <\/p>\n\n\n\n Zu den Irrt\u00fcmern in Bezug auf das revidiert DSG geh\u00f6re die Annahme, dass die Bearbeitung von Personendaten nur mit Einwilligung der betroffenen Person zul\u00e4ssig sei. Hier bestehe auch ein Unterschied zur EU. In der Schweiz d\u00fcrfe man grunds\u00e4tzlich Personendaten bearbeiten, wobei man sich aber an gewisse Grunds\u00e4tze halten m\u00fcsse. <\/p>\n\n\n\n Auch die Annahme, dass f\u00fcr den Versand eines Newsletters immer eine Einwilligung erforderlich sei, sei teilweise falsch, betonte Widmer. Verschicke man einen Newsletter an jemanden, mit dem man bereits eine gesch\u00e4ftliche Beziehung unterhalte, sei keine Einwilligung n\u00f6tig. Etwas anderes sei es, wenn man irgendeine Adresse \u2013 zum Beispiel die auf einer Visitenkarte, die einem zugesteckt wurde \u2013 verwende. Dann sei eine Einwilligung n\u00f6tig. Allerdings kommt es auch darauf an, welcher Dienst zum Versenden der Newsletter benutzt wird. Benutzt man beispielsweise das amerikanische Programm Mailchimp, werden Daten ins sogenannte unsichere Ausland weitergegeben, was \u2013 wie unten weiter ausgef\u00fchrt wird \u2013 einiges verkompliziert. <\/p>\n\n\n\n Auch die Pflicht zur Benennung einer Datenschutzberaterin oder eines -Beraters geh\u00f6re in die Welt der Ger\u00fcchte, so Widmer. Dennoch sei es sinnvoll, intern eine Person zu bestimmen, die sich um das Thema k\u00fcmmere. <\/p>\n\n\n\n Schliesslich sei auch punkto Auskunftspflicht zu differenzieren, erkl\u00e4rte der Rechtsanwalt. Zwar m\u00fcsse man Auskunft \u00fcber bearbeitete Personendaten erteilen, wenn eine betroffene Person dies verlange. Gleichzeitig m\u00fcsse dabei ber\u00fccksichtigt werden, dass nicht andere Personendaten betroffen seien. <\/p>\n\n\n\n Michael Widmer empfiehlt, sich zun\u00e4chst einmal Kenntnis dar\u00fcber zu verschaffen, welche Personendaten im Unternehmen bearbeitet werden und daf\u00fcr ein Bearbeitungsverzeichnis zu erstellen. Dazu verpflichtet sind Unternehmen mit weniger als 250 Mitarbeitenden zwar nicht, sofern keine Bearbeitung besonders sch\u00fctzenswerter Daten im grossen Umfang durchgef\u00fchrt wird oder ein Profiling mit hohem Risiko. Aber es zeigt sich, dass eine Datenschutzerkl\u00e4rung ohne Bearbeitungsverzeichnis praktisch nicht zu erstellen ist. Die Datenschutzerkl\u00e4rung ist wiederum Bestandteil der Informationspflicht. <\/p>\n\n\n\n Ein Bearbeitungsverzeichnis kann ein einfaches Excel-Sheet sein. Darin sollten mindestens aufgef\u00fchrt werden: die Identit\u00e4t des Verantwortlichen, Zweck, Kategorie von Personendaten sowie Empf\u00e4nger, Aufbewahrungsdauer oder Kriterien, die Beschreibung von Massnahmen zur Datensicherheit und, so der Fall, eine Bekanntgabe ins Ausland (dabei Zielland sowie Garantien nennen). <\/p>\n\n\n\n Ebenfalls seien Vertr\u00e4ge hinsichtlich der neuen Datenschutzregeln zu pr\u00fcfen und gegebenenfalls anzupassen, die man zum Beispiel mit IT-Dienstleistern, Cloud-Anbietern oder beispielsweise HR-Dienstleistern abgeschlossen habe. Zu den ersten Schritten geh\u00f6re \u00fcberdies, die Datensicherheit zu pr\u00fcfen. Dabei k\u00f6nne es sinnvoll sein, Zugriffsrechte einzuschr\u00e4nken (etwa auf Teilnehmendenlisten), bestimmte Datens\u00e4tze zu verschl\u00fcsseln oder andere Massnahmen zur Sicherung der Daten zu treffen. <\/p>\n\n\n\n Wie die an die Pr\u00e4sentation anschliessende Diskussion zeigte, steckt der Teufel auch beim revidierten DSV im Detail bzw. in den t\u00e4glich verwendeten Tools wie Zoom, Dropbox, Teams und anderen, bei der Benutzung von Cloud-Dienstleistungen oder Newsletter-Diensten wie Mailchimp. \u00abBeziehungsstatur kompliziert\u00bb, umschrieb es der Rechtsanwalt. <\/p>\n\n\n\n Denn grunds\u00e4tzlich sei zwischen sicherem und unsicherem Ausland zu unterscheiden (entsprechende Listen finden sich im Internet<\/a>). W\u00e4hrend L\u00e4nder in der EU grunds\u00e4tzlich als sicher gelten und eine Bekanntgabe von Daten ohne weiteres m\u00f6glich ist, geh\u00f6ren die USA zu den unsicheren Kandidaten. Das heisst, wer Software oder Cloud-Dienste aus den USA nutzt oder Daten auf Server mit Standort im unsicheren Ausland transferiert, muss aufpassen bzw. daf\u00fcr eine entsprechende Einwilligung einholen. Entsprechende Anleitungen, wie man bei Bekanntgabe von Personendaten ins Ausland vorgehen muss, findet man auf der Seite des Eidgen\u00f6ssischen Datenschutz- und \u00d6ffentlichkeitsbeauftragten (ED\u00d6B).<\/a> Eine Bekanntgabe der Daten ins unsichere Ausland sei auf jeden Fall mit hohem Aufwand verbunden, so der Rechtsanwalt. Deshalb sei es empfehlenswert, Alternativen zu pr\u00fcfen, etwa Anbieter in der Schweiz, in der EU oder im EWR \u2013 auch bez\u00fcglich Serverstandorte. <\/p>\n\n\n\n Die Umsetzung der neuen Bestimmungen ist also zeitintensiv. Michael Widmer empfiehlt, jetzt damit zu beginnen. Weitere Informationen zum revidierten Gesetz findet man auf zahlreichen Webseiten im Internet, wobei die Seite des ED\u00d6B zum neuen Datenschutzgesetz<\/a> erste Anlaufstelle sein kann. <\/p>\n\n\n\nOnline-Seminar zu den wichtigsten Punkten <\/h2>\n\n\n\n
Auch \u00abbestimmbare Personen\u00bb sind gesch\u00fctzt <\/h2>\n\n\n\n
G\u00e4ngige Irrt\u00fcmer <\/h2>\n\n\n\n
Die ersten Schritte <\/h2>\n\n\n\n
Sicheres und unsicheres Ausland <\/h2>\n\n\n\n
Weitere Informationen<\/h2>\n\n\n\n