Am 25. Mai 2018 wird die im April 2016 in Kraft getretene Datenschutz-Grundverordnung (DSGVO) der Europäischen Union nach einer zweijährigen Einführungszeit ihre volle Wirkung entfalten. Und in der Schweiz hat der Bundesrat im September 2017 die Botschaft für die Revision des Datenschutzgesetzes verabschiedet. Damit soll das Schweizer Recht an die Entwicklung in der EU angepasst werden. Was bedeutet das für die einzelnen Unternehmen? 

Wer ist von der Datenschutz-Grundverordnung betroffen?

Ab dem 25. Mai 2018, müssen Unternehmen und Organisationen, die persönlich identifizierbare Informationen über EU-Bürger kontrollieren oder verarbeiten, die strengen organisatorischen und technischen Massnahmen gemäss der Datenschutz-Grundverordnung der EU eingeführt haben. Entscheidend ist dabei: Entscheidend ist dabei: Wo die Bürger bisher beweisen mussten, dass sie Opfer von Datenmissbrauch oder Sicherheitsverletzungen waren, müssen nun die Unternehmen und Organisationen nachweisen, dass sie ausreichende, präventive Massnahmen zum Schutz der personenbezogenen Daten umgesetzt haben. Ist das nicht der Fall, drohen Bussen bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes.

Unterschied zwischen Entscheidern über die Daten und Datenverarbeitern

Die Datenschutz-Grundverordnung der EU unterscheidet zwischen den Unternehmen und Organisationen, welche die Daten kontrollieren und über deren Verwendung entscheiden, sowie den Datenverarbeitern. Demnach ist es in erster Linie Sache der Unternehmen und Organisation, dass bei ihren Daten hundertprozentig die «best practice» in Bezug auf Datensicherheit und Compliance in ihrer gesamten Wertschöpfungskette jederzeit gewährleistet ist. Aber: Im Falle eines Verstosses gegen die Datensicherheit und einer anschliessenden Untersuchung können sich auch die externen Datenverarbeiter haftbar machen, wenn das Leck in ihren Systemen entstanden ist. 
Auf jeden Fall gilt: Unternehmen müssen prüfen, ob ihre Datendienstleister hinsichtlich der Datensicherheit wirklich die von der Datenschutz-Grundverordnung der EU geforderte umfassende Datensicherheit bieten. Es braucht dafür «Best Practice Data Protection» der gesamten Wertschöpfungskette entlang bis hin zur Infrastrukturebene und der physischen Sicherheit in den externen Rechenzentren.

Angleichung des Schweizer Rechts an die Datenschutz-Grundverordnung der EU ist im Gang

Auch der Bundesrat will den Datenschutz an das Internet-Zeitalter anpassen und die Stellung der Bürgerinnen und Bürger stärken. Parallel dazu gleicht er das Schweizer Recht an die Entwicklung in der EU und im Europarat an und stellt so sicher, dass die freie Datenübermittlung zwischen Schweizer Unternehmen und solchen in der EU weiterhin möglich bleibt. Deshalb hat die Regierung im September 2017 eine entsprechende Botschaft zur Revision des Datenschutzgesetzes verabschiedet, die von den Eidgenössischen Räten zu behandeln ist. Der Bundesrat hofft, das Gesetz in der zweiten Hälfte 2018 in Kraft setzen zu können. 
Für die Schweizer Bürgerinnen und Bürger bringt die Revision einen verbesserten Schutz ihrer Daten. Unternehmen, die Daten erheben, müssen die betroffenen Personen neu über die Erhebung jeder Art von Daten informieren. Weiter müssen Unternehmen beispielsweise bereits im Planungsstadium eines Projekts die Vorgaben des Datenschutzes berücksichtigen. Auch die Selbstregulierung wird gefördert, indem Unternehmen die Möglichkeit haben, einen branchenspezifischen Verhaltenskodex zu erarbeiten. 
In der Schweiz soll allerdings der Höchstbetrag der Bussen bei Zuwiderhandlungen gegen das Datenschutzgesetz auf 250'000 Franken begrenz werden.