Neues Datenschutzgesetz in der Schweiz

Artikel verfasst von:

Das revidierte Datenschutzgesetz in der Schweiz

Das neue Datenschutzgesetz (nDSG), das ab dem 1. September 2023 in der Schweiz in Kraft tritt, bringt eine Reihe von Veränderungen für Unternehmen und Organisationen mit sich. Ziel dieser Überarbeitung ist es, das Schweizer Datenschutzrecht an das Niveau der EU-Datenschutzgrundverordnung (DSGVO) anzuheben.

Das nDSG bleibt jedoch nicht eine Kopie der DSGVO. Es behält seine eigenständige Grundkonzeption bei und unterscheidet sich in verschiedenen Bereichen von der DSGVO. Unter anderem wurden strengere Sanktionen eingeführt, erweiterte Informationspflichten geschaffen und die Verpflichtung zur Erstellung eines Verzeichnisses für Datenverarbeitungen vorgesehen.

Arztpraxen und medizinische Dienstleister

Arztpraxen und medizinische Dienstleister, obwohl nicht explizit im Gesetz genannt, sind von diesen Veränderungen stark betroffen. Sie verarbeiten sensible personenbezogene Daten und unterliegen daher strengeren Datenschutzanforderungen. Auch die Pflicht zur Erstellung einer Datenschutzerklärung auf ihrer Webseite gilt für sie.

Kostenloser Datenschutz-Check

Die Frage, ob Ihre Arztpraxis Datenschutzkonform ist, hängt von einer Vielzahl von Faktoren ab. Um Ihnen dabei zu helfen, diese Frage zu beantworten, bieten wir einen kostenlosen Datenschutz-Check an.

Mit diesem Service können Sie überprüfen, ob Ihre Arztpraxis den Anforderungen des neuen Datenschutzgesetzes in der Schweiz entspricht. Nutzen Sie unseren kostenfreien Service, um sicherzustellen, dass Sie datenschutzkonform sind!

Welche Bussen sind möglich?

In einer Zeit, in der das digitale Leben eine so entscheidende Rolle spielt, ist Datenschutz von zentraler Bedeutung. Mit dem neuen Schweizer Datenschutzgesetz wird ein verstärktes Augenmerk auf die Sanktionierung von Datenschutzverstössen gelegt.

Laut dem neuen Gesetz werden vorsätzliches Handeln und Unterlassen im Bereich des Datenschutzes mit schweren Strafen geahndet. Wer gegen die Pflichten zur Auskunft, Information oder Mitwirkung verstösst, riskiert Bussen von bis zu CHF 250’000.

Auch die Verletzung der beruflichen Schweigepflicht oder die Missachtung von Verfügungen kann hohe Geldstrafen zur Folge haben. Daher ist es für Unternehmen von höchster Priorität, Datenschutzanforderungen sorgfältig einzuhalten und Auskunftsersuchen korrekt zu beantworten.

Zudem sind im neuen Gesetz auch Strafen für bestimmte Arten von Sorgfaltspflichtverletzungen definiert. Wenn ein Unternehmen beispielsweise gegen Vorschriften zur Offenlegung von Daten ins Ausland verstösst, die Regeln zur Einbindung von Auftragsverarbeitern missachtet oder die Mindestanforderungen an die Datensicherheit nicht erfüllt, kann es ebenfalls mit Bussen bis zu CHF 250’000 belegt werden.

Die Verantwortung für die strafrechtliche Verfolgung und Beurteilung dieser Datenschutzverstösse liegt bei den Kantonen. Dennoch hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) das Recht, Strafanzeige zu erstatten. Der EDÖB hat die gleichen Rechte wie ein privater Kläger und kann sogar ein verwaltungsrechtliches Untersuchungsverfahren einleiten und Verfügungen erlassen.

Interessant ist, dass, obwohl die Datenschutzpflichten den Unternehmen auferlegt werden, Verstösse gegen die Strafbestimmungen den Führungskräften des Unternehmens zugeschrieben werden. Dennoch können auch Nicht-Führungskräfte für Verstösse belangt werden, was das gesamte Unternehmen zu verstärkten Datenschutzbemühungen anspornen sollte.

Zusammenfassend lässt sich sagen, dass das neue Schweizer Datenschutzgesetz den Datenschutz ernst nimmt und Unternehmen, die ihre Datenschutzpflichten nicht einhalten, mit erheblichen Sanktionen rechnen müssen. Daher ist es von entscheidender Bedeutung, dass Unternehmen sich dieser Änderungen bewusst sind und sich entsprechend vorbereiten.

Privacy by Design und Privacy by Default

«Privacy by Design» und «Privacy by Default» sind zwei Schlüsselprinzipien, die sich auf den Datenschutz konzentrieren. Mit ihrem Verständnis und ihrer Implementierung können Unternehmen sicherstellen, dass sie sowohl die Grundrechte ihrer Kunden als auch ihre rechtlichen Verpflichtungen respektieren.

«Privacy by Design» ist ein Prinzip, das jetzt auch im Schweizer Datenschutzgesetz fest verankert ist. Dieses Konzept, das bereits in der Datenschutz-Grundverordnung (DSGVO) bekannt ist, besagt, dass Datenschutz von Anfang an, d.h. bereits in der Projektplanungsphase, berücksichtigt werden muss. Dies bedeutet, dass Unternehmen ihre Datenverarbeitungsprozesse so gestalten müssen, dass sie technisch und organisatorisch in der Lage sind, die Datenschutzvorschriften einzuhalten. Dies erfordert eine proaktive Haltung zum Datenschutz, indem Datenminimierung und pseudonymisierung von Anfang an in Systemen und Prozessen eingebettet werden.

Das Prinzip «Privacy by Default» legt fest, dass nur die für den jeweiligen Verwendungszweck notwendigen Personendaten standardmässig verarbeitet werden dürfen. Dies bedeutet, dass die Datenschutzeinstellungen auf die strengsten Beschränkungen voreingestellt sein sollten und nur die für die jeweilige Funktion unbedingt notwendigen Daten erfasst und verarbeitet werden. Unternehmen müssen sicherstellen, dass die Verarbeitung von persönlichen Daten auf das nötige Mindestmaß beschränkt wird.

Es ist zu beachten, dass im Gegensatz zur DSGVO das neue Datenschutzgesetz (nDSG) in der Schweiz keine Pflicht zur Implementierung von Cookie-Bannern vorsieht. Wenn Ihr Unternehmen also nicht unter die DSGVO fällt, besteht keine Notwendigkeit, ein Cookie-Banner auf Ihrer Website zu implementieren.

Mit diesen beiden Prinzipien bietet die Datenschutzgesetzgebung Unternehmen einen klaren Weg, um ein Gleichgewicht zwischen geschäftlichen Notwendigkeiten und den Rechten der Einzelpersonen auf Datenschutz zu gewährleisten. Es liegt in der Verantwortung jedes Unternehmens, diese Grundsätze zu respektieren und umzusetzen, um sicherzustellen, dass persönliche Daten geschützt und verantwortungsvoll behandelt werden.

Meldung einer Datensicherheitsverletzung

Eine effektive Reaktion auf eine Verletzung der Datensicherheit erfordert umfassende Vorbereitungen und Prozesse. Sie als datenverantwortliche Person müssen auf alles vorbereitet sein, um Ihr Unternehmen und die Daten Ihrer Kunden bestmöglich zu schützen.

Wenn Sie mit einer Verletzung der Datensicherheit konfrontiert sind, die wahrscheinlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, müssen Sie den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so schnell wie möglich benachrichtigen. Dieser Zeitrahmen ist weniger streng als die 72-Stunden-Frist, die von der Datenschutz-Grundverordnung (DSGVO) vorgegeben wird.

Eine Datenverletzung liegt vor, wenn persönliche Daten unbeabsichtigt oder illegal verloren gehen, gelöscht, zerstört, verändert oder unberechtigt offengelegt oder zugänglich gemacht werden. Diese Art von Vorfall kann weitreichende Auswirkungen auf den Einzelnen und auf Ihr Unternehmen haben. Die DSGVO enthält auch eine solche Bestimmung.

Das neue Datenschutzgesetz bietet gegenüber der DSGVO eine mildere Regelung. Es sieht nur dann eine Berichtspflicht vor, wenn ein hohes Risiko besteht. Dies kann für Unternehmen von Vorteil sein, da es den Druck etwas lindert.

Allerdings, falls notwendig, müssen Sie zukünftig die betroffenen Personen informieren. Es ist auch wichtig zu beachten, dass die Pflicht zur Meldung von Datenverletzungen nicht nur Sie, sondern auch Ihre Auftragsverarbeiter trifft. Sie sind also gut beraten, Ihre Auftragsverarbeiter sorgfältig auszuwählen und sicherzustellen, dass sie ihre Verpflichtungen in Bezug auf den Datenschutz erfüllen.

Es ist unerlässlich, dass Sie sich mit den Bestimmungen des Datenschutzgesetzes und der DSGVO auskennen und eine Strategie zur Bewältigung von Datenverletzungen haben. Durch eine effektive Vorbereitung können Sie nicht nur rechtliche Konsequenzen vermeiden, sondern auch das Vertrauen Ihrer Kunden in Ihr Unternehmen stärken.

Auftragsbearbeiterin und Auftragsbearbeiter

Ein effizientes Outsourcing erfordert eine qualifizierte Auftragsbearbeiterin oder einen Auftragsbearbeiter, die bzw. der gesetzliche Anforderungen und Vertragsvereinbarungen optimal erfüllen kann. Der richtige Umgang mit sensiblen Daten ist dabei ein zentraler Aspekt, der eine korrekte und sichere Datenbearbeitung durch die Auftragsbearbeiterin oder den Auftragsbearbeiter erfordert.

Die Verantwortung der Auftragsbearbeiterin bzw. des Auftragsbearbeiters geht weit über die blosse Erfüllung der Aufgaben hinaus. Sie oder er muss in der Lage sein, die Datensicherheit unter allen Umständen zu gewährleisten, genau so, wie es die verantwortliche Person selbst tun würde. Die bestehenden Rechtsnormen betonen die Unabänderlichkeit dieser Pflicht zur Datensicherheit.

Mit der gesetzlichen Neuregelung wird die Zustimmung des oder der Verantwortlichen erforderlich, wenn die Auftragsbearbeiterin oder der Auftragsbearbeiter die Hilfe Dritter in Anspruch nehmen möchte. Diese Neuregelung unterstreicht die Bedeutung der Datenverarbeitungskontrolle und korrespondiert mit der Datenschutz-Grundverordnung (DSGVO).

Die Wahl einer qualifizierten Auftragsbearbeiterin oder eines Auftragsbearbeiters gewährleistet eine effiziente, sichere und rechtskonforme Datenbearbeitung. In einer digitalisierten Welt, in der die Datenverarbeitung in die Cloud ausgelagert wird, ist es unerlässlich, einen fachkundigen Partner an der Seite zu haben, der die gesetzlichen Vorschriften und die Anforderungen der DSGVO erfüllt und sicherstellt, dass Ihre Daten in sicheren Händen sind.

Sie haben noch weitere Fragen zum neuen Datenschutzgesetz?

Schützen Sie Ihre sensiblen Daten und sorgen Sie für umfassenden Datenschutz in Ihrer Arztpraxis. Vereinbaren Sie jetzt einen Termin für eine individuelle Datenschutz-Beratung – online, telefonisch oder direkt bei Ihnen vor Ort. Unser hochqualifiziertes Team berät Sie gerne und unterstützt Sie dabei, den bestmöglichen Datenschutz in Ihrer Organisation zu gewährleisten.

Mit unseren Datenschutz-Paketen bieten wir Ihnen ein breites Spektrum an Lösungen für all Ihre Datenschutzanliegen. Von der Implementierung von Datenschutzrichtlinien über die Schulung Ihrer Mitarbeiter bis hin zur Vorbereitung auf eine Datenschutzprüfung – wir decken alle Aspekte ab, die für einen umfassenden Datenschutz in Ihrer Arztpraxis notwendig sind.