Nach dem revDSG geht es bei den Datenverarbeitung nicht mehr nur um Datenverarbeitungen die innerhalb der Schweiz stattfinden. Der Geltungsbereich wird ausgeweitet auf Datenverarbeitungen, die sich in der Schweiz stattfinden, auch wenn sie im Ausland veranlasst wurden.

Ein anderer Geltungsbereich wird eingeschränkt. Während das noch geltende DSG auf Daten sowohl natürlicher als auch juristischer Personen anwendbar ist, schränkt das revDSG hier den Geltungsbereich auf nur noch natürlicher Personen ein.

Die Informationspflicht ist jetzt auf alle Datenverarbeitungen ausgedehnt worden, vergleichbar wie bei den Informationspflichten in Art. 13 + 14 DSGVO. Die folgende Angaben sind Mindestinformationen, die dem Betroffenen mitgeteilt werden müssen:

• Identität und Kontaktdaten des Verantwortlichen
• Bearbeitungszweck
• Ggf. Empfängerinnen und Empfänger oder Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.

Falls die Personendaten ins Ausland übermittelt werden, müssen dem Betroffenen auch der Staat oder das internationale Organ und ggf. die Garantien zum Schutz der Personendaten mitgeteilt werden, wenn es sich hierbei um eine Übermittlung in ein unsicheres Drittland handelt.

Profiling mit hohem Risiko liegt dann vor, wenn Personendaten automatisiert bearbeitet werden und eine Verknüpfung von Daten die Beurteilung „wesentlicher Aspekte der Persönlichkeit“ des Betroffenen erlaubt. Eine genauere Auslegung zur gesetzlichen Definition „Profiling mit hohem Risiko“ muss noch kommen, da eine Abgrenzung zum normalen Profiling in der Praxis nicht einfach werden wird.

Wird jetzt ein Profiling mit hohem Risiko gemacht, muss das Unternehmen sicherstellen, dass sämtliche Bearbeitungsgrundsätze eingehalten werden oder ein anderer Rechtfertigungsgrund vorliegt, wie z. B. die Einwilligung durch den Betroffenen.

Falls Unternehmen nicht schon jetzt DSGVO-Compliant  sind, wird dieser Punkt hier wohl die größte Hürde sein. Wie auch in nach der DSGVO, wird auch nach dem revDSG für alle Unternehmen ein Datenverarbeitungsverzeichnis zu führen sein.

Bei Erstellung eines solchen Verarbeitungsverzeichnisses können wir gerne helfen. Ebenso kümmern wir uns auch um die Identifikation dieser Verarbeitungsprozesse in Ihrem Unternehmen oder unterstützen die entsprechend Verantwortlichen bei dieser Aufagbe.

Hier hat sich das revDSG sehr stark an das DSGVO gehalten. Unternehmen, die entweder in der Schweiz sitzen und in der EU oder in der EU sitzen und in der Schweiz einer der folgenden Punkte erfüllen, brauchen in dem jeweiligen Land einen Datenschutz Repräsentanten.

• Eine Datenverarbeitung steht im Zusammenhang mit dem Angebot von Waren (z. B. Online Shop) oder Dienstleistungen in der Schweiz oder mit der Überwachung des Verhaltens von Menschen in der Schweiz.
• Eine Datenverarbeitung personenbezogener Daten ist umfangreich und findet regelmäßig statt.
• Eine Datenverarbeitung führt wahrscheinlich zu einem hohen Risiko für die Privatsphäre der betroffenen Person.
  
  

In beiden Fällen bieten wir eine Repräsentanz in dem entsprechenden Land und sind somit die Anlaustelle für Betroffene und Behörden.

Mit dem revDSG hat es der Bundesrat der DSGVO gleichgetan und den Verantwortlichen und die Auftragsbearbeiter in die Pflicht genommen, dem Risiko angemessene Datensicherheit zu gewährleisten. Eine genauere Definition des „Risikos“ bzw. der Mindestanforderung wird bestimmt noch folgen. Die Maßnahmen zur Datensicherung soll in einer technischen und organisatorischen Maßnahme (TOM) vom Unternehmen aufgelistet werden.

Bei einer Datenschutzverletzung (z. B. Datenverlust oder versehentlicher Versand von Mails an falschen Adressaten), die vermeintlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte des Betroffenen führen, sind unverzüglich dem EDÖB und gegebenenfalls dem Betroffenen zu melden.