Die Auswirkungen des Vorentwurfs zum neuen Datenschutzgesetz

Die sieben Leitlinien

Der Bundesrat hat am 20. April 2016 die Strategie «Digitale Schweiz» verabschiedet. Die Digitalisierung betrifft den Datenschutz im Kern. Geschützt werden im Datenschutz nicht die Daten an sich, sondern die Person, die hinter den Daten steht. Es geht also um den Persönlichkeitsschutz der Betroffenen. Spätestens durch die Enthüllungen von Edward Snowden wurde ein öffentliches Bewusstsein für die Wichtigkeit und den hohen Stellenwert geschaffen, den unsere Gesellschaft dem Datenschutz zumisst.

Die Revision des DSG richtet sich nach sieben Leitlinien aus.

• Als Erstes gilt im künftigen DSG ein risikobasierter Ansatz. Unternehmen, deren Kerngeschäft die Personendatenbearbeitung ist, sind einem erhöhten Risiko ausgesetzt und dementsprechend sind deren Pflichten strenger. Die Pricewaterhouse Coopers AG (PwC) wurde vom EJPD beauftragt, eine Regulierungsfolgenabschätzung (RFA) vorzunehmen. In ihrem abschliessenden Bericht hat PwC betreffend Datenschutzexponierung drei Kategorien gebildet: Bei der ersten Kategorie handelt es sich um Unternehmen mit geringer Exponierung, das heisst Unternehmen, die vorwiegend lokal tätig sind und keinen oder nur geringen Einsatz von Web-IT-Technologien ausweisen (zum Beispiel lokale Schreinerei, Metzgerei, Elektriker, etc.). Die zweite Kategorie bilden Unternehmen, deren Kerngeschäft zwar nicht die Datenbearbeitung ist, die aber sowohl lokal als auch international tätig sind, die eine verstärkte Nutzung von Web-IT und Cloud-Ser­vices ausweisen. Die dritte Kategorie schliesslich umfasst Unternehmen, deren Kerngeschäft die Personendatenbearbeitung darstellt (Big Data und Cloud-Dienstleister, etc.).
• Als zweite Leitlinie wird der technologieneutrale Charakter des Datenschutzgesetzes genannt, womit das Gesetz offen für weitere technologische Entwicklungen bleibt.
• Die dritte Leitlinie bildet die Modernisierung der Terminologie, welche insbesondere eine Anpassung an das europäische Recht darstellt; so wird zum Beispiel neu der Begriff «Verantwortlicher» benutzt. «Verantwortlicher» ist die private Person oder das Bundesorgan, welches den Zweck der Datenbearbeitung festlegt und bestimmt, mit welchen Mitteln dies geschieht; mit anderen Worten: Der Bearbeiter von Daten ist für die Einhaltung des Datenschutzes verantwortlich.
• Eine vierte Leitlinie stellt die Verbesserung des grenzüberschreitenden Datenverkehrs dar.
• Als fünfte und besonders bedeutsame Leitlinie wird die Stärkung der Rechte der Betroffenen genannt.
• Mit dieser eng verknüpft ist schliesslich die sechste Leitlinie, welche die Pflichten der Verantwortlichen präzisieren will.
• Als siebte Leitlinie ist letztendlich die Stärkung der Kontrolle genannt, die insbesondere die Stellung des EDÖB verbessern will.

Vermehrter Schutz der Betroffenen, strengere Pflichten der Verantwortlichen sowie die Stärkung der Kontrolle bedeuten erhöhte Anforderungen an die eigene Datenschutz-Compliance. KMU täten gut daran, sich in einem ersten Schritt überhaupt bewusst zu werden, unter welche Kategorie sie fallen, welche Daten sie bearbeiten, um danach die passenden Massnahmen ergreifen zu können.

Die Informationspflicht

Im neuen Vorentwurf des Datenschutzgesetzes (VE-DSG) gelten weiterhin die bekannten und tragenden Grundsätze des Datenschutzes. So muss jede Bearbeitung rechtmässig und verhältnismässig sein. Weiter hat die Beschaffung sowie der Zweck der Bearbeitung für den Betroffenen erkennbar zu sein.

Gemäss Art. 4 Abs. 3 VE-DSG dürfen Personendaten nur zu einem bestimmten und für die betroffene Person klar erkennbaren Zweck beschafft werden und sie dürfen nur so bearbeitet werden, dass dies mit dem Zweck zu vereinbaren ist. Der Voraussetzung einer «klar erkenn­baren» Beschaffung sowie eines eben­solchen Zwecks führt dazu, dass bei der Beschaffung die Zwecke der Bearbeitung definiert sowie präzise mitgeteilt werden müssen.

Gemäss Art. 13 VE-DSG wird neu eine Informationspflicht bei der Beschaffung von Daten geregelt. Mit dieser neuen Informationspflicht will man die Transparenz bei der Datenerhebung sowie -bearbeitung verbessern und stärken. Ein zentraler Punkt dieser Revision. Und wie vorgängig ausgeführt wurde, ist auch der Gedanke der Stärkung der Rechte der Betroffenen eine Leitlinie von grosser Bedeutung: Seine Rechte wahrnehmen kann immer nur derjenige, der auch weiss, dass über ihn Daten bearbeitet werden.

Eine solche Informationspflicht trifft zurzeit nur Bundesorgane (Art. 18a DSG) sowie den Inhaber einer Datensammlung über besonders schützenswerte Perso-nendaten und Persönlichkeitsprofile (Art. 14 DSG). Als besonders schützenswerte Personendaten gelten Gesundheitsdaten, Daten über die Intimsphäre, Daten über politische und religiöse Ansichten, etc. Die neue Informationspflicht gilt für jeden, der Personendaten beschafft. Die Pflicht bei der Beschaffung von Daten die Betroffenen zu informieren, trifft alle Unternehmen jeder vorstehend dargestellten Kategorie. Ausschlaggebend für die Anwendung der Informationspflicht ist einzig, ob Daten beschafft werden.

Was «Beschaffung» bedeutet

Der Begriff der «Beschaffung» ist nicht gesetzlich geregelt. Nach herrschender Lehre wird als «Beschaffung» von Personendaten der aktive, gezielte und bewusste Akt der Erhebung verstanden. Eine «Beschaffung» von Daten hat bisher für den Betroffenen lediglich «erkennbar» zu sein, wobei es genügt, dass diese «aus den Umständen ersichtlich» ist (vgl. Art. 4 Abs. 3 DSG). Eine eigentliche Informationspflicht besteht nur dann, wenn es sich um besonders heikle Daten handelt und der Zweck nicht auf Anhieb erkennbar ist.

Neu ist der Verantwortliche verpflichtet, die betroffene Person aktiv über die Beschaffung zu informieren, selbst wenn die Daten bei Dritten beschafft werden. Es bestehen zwar keine Formvorschriften für dieses aktive Informieren, aber es ist aus Sicherheits- und Beweisgründen zu empfehlen, die entsprechende Information nachvollziehbar zu dokumentieren (Schriftlichkeit, Aufschaltung auf Internetseite). Diese Information kann individuell, also durch direkte und persönliche Mitteilung, als auch in allgemeiner Form erfolgen, hier ist insbesondere an AGB zu denken. Zu beachten ist jedoch: Diese Information muss in leicht verständlicher Sprache verfasst und leicht zu finden sein.

Nach Art. 13 Abs. 2 VE-DSG hat der Verantwortliche spätestens mit der Beschaffung seine Identität und Kontaktdaten, die bearbeiteten Personendaten oder die Kategorie der bearbeiteten Personendaten sowie den Zweck der Bearbeitung bekanntzugeben. Werden Personendaten Dritten bekanntgegeben, hat gemäss Art. 13 Abs. 3 VE-DSG der Verantwortliche den betroffenen Personen den Empfänger mitzuteilen; ebenso hat er die Pflicht, einen allfälligen Auftragsbearbeiter und dessen Identität und Kontaktdaten offenzulegen. Ausnahmen von dieser Pflicht sind möglich, so zum Beispiel wenn der Betroffene bereits über die Informationen gemäss Art. 13 VE-DSG verfügt oder dieser die Daten selbst zugänglich gemacht hat oder die Information nur mit unverhältnismässigem Aufwand oder gar nicht möglich ist. Die Anforderungen an die letzte Ausnahme sind hoch und diese ist sehr eng auszulegen.