Der Blick von aussen hilft beim neuen Datenschutzgesetz

Das totalrevidierte Bundesgesetz über den Datenschutz (DSG) tritt am 1. September 2023 in Kraft. Es stärkt die Rechte der Schweizer Bürgerinnen und Bürger im Digitalzeitalter und hebt den Datenschutz auf ein mit den EU-Staaten vergleichbares Niveau. Für Unternehmen und ihre Mitarbeitenden geht das mit neuen Pflichten einher, denen sie bis zum Start des Gesetzes nachkommen müssen. Dafür benötigen sie in der Regel spezialisierte Lösungen, die helfen, einen Überblick über die erfassten Personendaten zu erhalten und alle Datenbearbeitungen lückenlos zu dokumentieren. Mit händischer Suche und manuell gepflegten Listen lässt sich das angesichts umfangreicher und schnell wachsender Datenbestände längst nicht mehr leisten. Darüber hinaus können externe IT-Dienstleister eine wertvolle Hilfe sein, weil sie mit ihrem Wissen und ihrer Erfahrung bei der Entwicklung der notwendigen Konzepte und Strategien sowie der Auswahl und Einführung geeigneter Lösungen unterstützen. Mit ihrem Blick von aussen sind sie in der Lage, ungeeignete Prozesse und Schutzmassnahmen zu erkennen oder Daten zu identifizieren, die datenschutzrechtlich relevant sind, vom Unternehmen selbst aber nicht als solche eingestuft wurden.

Zu den neuen Pflichten laut DSG zählt die Information der betroffenen Bürgerinnen und Bürger bei jeder Beschaffung von Personendaten. Ausserdem müssen Unternehmen ihnen auf Anfrage eine Auskunft erteilen, welche Daten sie zu welchem Zweck bearbeiten, woher diese Daten stammen und wie lange sie aufbewahrt werden. Bestimmte Datenschutzverstösse sind künftig dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu melden, und schliesslich muss auch ein genaues sowie jederzeit aktuelles Verzeichnis sämtlicher Datenbearbeitungen geführt werden. Insbesondere für Unternehmen mit komplexen System- und Prozesslandschaften kann das anspruchsvoll sein, weil es wie bisher nicht mehr ausreicht, nur punktuell Datenschutz-Sachverhalte zu erfassen. Dabei stehen die Mitarbeitenden in der Pflicht, dies gewissenhaft zu erledigen, da sie mit dem neuen Datenschutzgesetz neuerdings persönlich haftbar sind. Verstossen sie etwa vorsätzlich gegen Informations- und Auskunftspflichten oder verletzen Sorgfaltspflichten, droht eine Geldbusse von bis zu 250 000 Franken.

Mit dem neuen DSG kommen weitere neue Aufgaben auf Führungspersonal und viele Mitarbeitende zu:

Unterstützung erhalten Unternehmen bei all diesen Herausforderungen von Dienstleistern, die nicht nur datenschutzspezifische, sondern auch die branchentypischen Herausforderungen kennen.

Gemeinsam können sie die Einführung von Tools vorantreiben, welche die Erfassung und Bearbeitung von Datenschutzsachverhalten erleichtern, indem sie unter anderem weitgehend automatisiert ein Verzeichnis der Datenbearbeitungen anlegen, Compliance Checks vornehmen, durch Datenschutzfolgeabschätzungen führen und beim Ablauf von Aufbewahrungsfristen informieren. Solche Tools helfen allen Mitarbeitenden, die mit Personendaten arbeiten und daher für die Einhaltung der gesetzlichen Anforderungen verantwortlich sind.

Dazu kommt, dass erfahrungsgemäss in einem Unternehmen meist mehr Personendaten im Umlauf sind, als man vermutet. Umso wichtiger sind Lösungen, die einen Überblick über den Bestand liefern und sicherstellen, dass alle Daten datenschutzgerecht gespeichert sind und am Ende von Aufbewahrungsfristen zuverlässig und belegbar gelöscht werden. Im Umgang mit den Tools brauchen die Mitarbeitenden Schulungen, damit sie diese effizient und fehlerfrei bedienen und ihren Tätigkeiten ohne Angst vor Datenschutzverletzungen und persönlichen Bussen nachgehen können.

Letztlich gibt es nicht eine Checkliste, ein Tool oder eine Verfahrensweise, die für alle Unternehmen passt. Jedes Unternehmen ist einzigartig und muss individuell vorgehen – etwas, das bei einem komplexen Thema wie dem totalrevidierten DSG deutlich leichter fällt, wenn externe Spezialistinnen und Spezialisten hinzugezogen werden, die Konzepte und Lösungen entwickeln, die genau zu den jeweiligen Anforderungen und Verhältnissen in einem Unternehmen passen.