CH-Händler aufgepasst: Neues Schweizer Datenschutzgesetz frühestens zum September 2023

Die Totalrevision des Schweizer Datenschutzrechts läuft bereits seit einigen Jahren. Geplant war einmal, dass das neue Schweizer Datenschutzgesetz im Herbst 2022 oder zum 1. Januar 2023 in Kraft tritt. Nun soll es der 1. September 2023 sein. Ganz sicher ist dies aber noch immer nicht. Was Händler wissen müssen, zeigt dieser Beitrag.

Was geschah bislang?

Bereits seit einigen Jahren überarbeitet die Schweiz das im sog. „Schweizer Bundesgesetz über den Datenschutz (DSG)“ geregelte Datenschutzrecht, das aus dem Jahre 1992 stammt, um dieses an die veränderten Gegebenheiten der modernen Zeit, insbesondere also an den technologischen und gesellschaftlichen Fortschritt rund um das Internet, Smartphone, Social Media, Clouds & Co anzupassen. Hierzu wird das schweizerische Datenschutzrecht inhaltlich an die Vorschriften der EU Datenschutz-Grundverordnung (DSGVO) angenähert.

Welchen Hintergrund haben die Anpassungen des neuen Schweizer Datenschutzrechts?

Das bereits im Entwurf vorliegende, umfassend überarbeitete neue Schweizer Datenschutzgesetz (auch „nDSG“ oder „revDSG“ abgekürzt) – zudem auch als „Totalrevision des Bundesgesetzes über den Datenschutz“ bezeichnet – soll für einen besseren Schutz von personenbezogenen Daten sorgen, der dem Schutz nach der DSGVO nachempfunden und daher vergleichbar ist.

Im Wesentlichen lassen sich die weitreichenden Änderungen wie folgt zusammenfassen:

• Anpassung an die technologischen Entwicklungen der letzten Jahre
• Stärkung der Selbstbestimmung über die personenbezogenen Daten, einschließlich:
• neuer Rechte für Schweizer Bürgerinnen und Bürger,
• Transparenz bei der Erhebung von personenbezogenen Daten und
• Sicherstellung der Vereinbarkeit mit dem Recht der EU, vor allem der DSGVO.

Wieso sind Anpassungen des Schweizer Datenschutzrechts an die DSGVO notwendig?

Eines der Hauptanliegen der Anpassungen ist, dass die Schweiz auch nach Inkrafttreten der DSGVO als sog. Drittstaat mit einem angemessenen Datenschutzniveau anerkannt bleibt, so dass auch künftig grenzüberschreitende Übermittlungen von personenbezogenen Daten aus EU-Mitgliedstaaten an Unternehmen oder sonstige Organisationen in der Schweiz ohne Beachtung zusätzlicher Anforderungen möglich bleiben.

Hintergrund ist: An Unternehmen oder sonstige Organisationen in sog. Drittstaaten, also Staaten außerhalb des Europäischen Wirtschaftsraums (EWR), wie etwa der Schweiz, dürfen Verantwortliche i.S.d. DSGVO nur dann personenbezogene Daten übermitteln, wenn in diesen Drittstaaten ein angemessenes Datenschutzniveau besteht. Ohne Angleichung der Vorschriften des Schweizer Datenschutzrechts an die Vorgaben der DSGVO bestünde das Risiko, dass Unternehmen in der EU ggf. gezwungen wären, aufwendige zusätzliche Maßnahmen zum Schutz der personenbezogenen Daten zu treffen, sog. geeignete Garantien i.S.d. Art. 46 DSGVO, um personenbezogene Daten in die Schweiz übermitteln zu dürfen.

Die datenschutzrechtliche Prüfung und Vorbereitung, Verhandlung und Abschluss sowie Implementierung solch zusätzlicher Schutzmaßnahmen bedeutet aber nicht bloß unerheblichen Aufwand, der nicht erforderlich ist, wenn das Schweizer Datenschutzrecht bereits von Haus aus dem Schutzniveau der DSGVO entspricht.

Welches sind die wichtigsten Neuerungen im neuen Schweizer Datenschutzgesetz für Händler und sonstige Unternehmen?

Das neue Schweizer Datenschutzgesetz enthält viele Neuerungen, die bereits aus der DSGVO bekannt sein dürften. Eine Auswahl hiervon:

• Ausweitung der datenschutzrechtlichen Informationspflichten: Künftig muss bei jeder Erhebung von personenbezogenen Daten – und nicht wie bislang nur von sogenannten besonders schützenswerten Daten – über die Datenverarbeitung informiert werden.
• Verpflichtendes Verzeichnis der Verarbeitungstätigkeiten, allerdings mit Ausnahmemöglichkeiten für KMU.
• Einführung der Grundsätze "Privacy by Design" (=Datenschutz durch Technikgestaltung) und "Privacy by Default" (=Datenschutz durch datenschutzfreundliche Voreinstellungen).
• Pflicht zur Durchführung von datenschutzrechtlichen Folgenabschätzungen bei Datenverarbeitungen, für die ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen besteht.
• Pflicht zur Meldung von Verletzungen der Datensicherheit gegenüber dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Wann wird das neue Schweizer Datenschutzgesetz in Kraft treten?

Zuletzt wurde noch spekuliert, dass das neue Schweizer Datenschutzgesetz noch im Herbst 2022 in Kraft treten könnte, oder jedenfalls zum 1. Januar 2023.

Nun verschiebt sich das Datum jedoch weiter nach hinten: Nach aktuellem Stand ist vorgesehen, dass das neue Schweizer Datenschutzgesetz zum 1. September 2023 in Kraft gesetzt wird.

Allerdings ist das Gesetzgebungsverfahren formell noch nicht ganz abgeschlossen. Noch steht hierzu ein notwendiger Entscheid des Bundesrates der Schweiz aus. Daher kann sich das Datum des Inkrafttretens theoretisch noch weiter verschieben.

Welche Folgen hat dies für Händler, die in der Schweiz verkaufen?

Online-Händler, die Waren in der Schweiz verkaufen, müssen die Vorgaben des Schweizer Datenschutzrechts beachten, soweit das Gesetz in ihrem Fall Anwendung findet.

Betroffen sein können aber auch solche Unternehmen, die personenbezogene Daten an anderen Unternehmen oder sonstige Organisationen in der Schweiz übermitteln. Dies kann etwa der Fall sein, wenn Kundendaten mit Tochter- oder Schwesterunternehmen mit Sitz in der Schweiz oder mit Lieferanten bzw. Dienstleistern in der Schweiz ausgetauscht werden.

Für Verantwortliche i.S.d. Datenschutzrechts bedeutet die Verschiebung des Inkrafttretens des neuen Schweizer Datenschutzrechts nun ein Mehr an Zeit zur Vorbereitung und Umsetzung der neuen Vorgaben.

Übrigens: Die IT-Recht Kanzlei bietet eine Vielzahl von Rechtstexten an, die spezifisch auf ausländische Rechtsordnungen, einschließlich der Schweiz, angepasst sind, und an die neuen Entwicklungen stetig weiter angepasst werden. Sprechen Sie uns gerne an, wenn Sie hierzu Fragen haben.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .