Das neue Bundesgesetz über den Datenschutz (DSG)

Der Schutz von Personendaten ist längst nicht mehr nur für grosse Unternehmen ein zentrales Thema, sondern auch für KMU. Weil immer mehr digitale Tools, Software für die Kundenverwaltung, E-Mail-Marketing und Cloud-Systeme im Einsatz sind, bearbeitet jedes Unternehmen, ob gross oder klein, täglich sensible Daten: Namen, E-Mail-Adressen, Telefonnummern, Informationen über Lieferanten und Kunden. Deshalb gibt es in der Schweiz ein eigenes Gesetz, das regelt, wie diese Daten erhoben, bearbeitet, geschützt und aufbewahrt werden müssen: das Bundesgesetz über den Datenschutz (DSG).

Auch wenn die Schweizer Regelung zu diesem Thema aus den 1990er-Jahren stammt, ist es 2020 für alle, die im digitalen Bereich tätig sind, nach wie vor sehr wichtig zu verstehen, was der Schutz der Daten von Kunden und Mitarbeitenden bedeutet. Es geht darum, das Gesetz einzuhalten, und ebenso darum, im digitalen Zeitalter Vertrauen und Professionalität aufzubauen.

Was ist das DSG (Bundesgesetz über den Datenschutz)?

Das DSG ist das Schweizer Gesetz, das die Bearbeitung von Personendaten regelt. Sein Hauptziel ist es, die Persönlichkeit und die Grundrechte natürlicher Personen zu schützen, wenn Unternehmen oder Organisationen ihre Daten erheben, bearbeiten oder verwenden.

Konkret legt das DSG die Grundregeln fest für:

• was unter Personendaten zu verstehen ist;
• wann und wie ihre Bearbeitung zulässig ist;
• die Rechte der betroffenen Personen (z. B. Auskunft, Berichtigung, Löschung);
• die Pflichten derjenigen, die Daten verwalten (Unternehmen, Dienstleister usw.);
• die Sanktionen bei Verstössen.

Wer muss das DSG einhalten?

Das Gesetz gilt für alle, die in der Schweiz Personendaten bearbeiten, also für:

• Unternehmen und KMU, die Daten von Kunden oder Mitarbeitenden verwalten;
• Anbieter digitaler Dienstleistungen;
• öffentliche Stellen, die in der Eidgenossenschaft Daten erheben und bearbeiten.

Wichtig: Es gibt keine Mindestgrösse, ab der ein Unternehmen dem DSG unterstellt ist. Auch ein kleines Unternehmen oder ein Selbstständiger, der Kundendaten erhebt, muss die Grundregeln befolgen.

Was sind „Personendaten“?

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Zum Beispiel:

• Vor- und Nachname
• Post- oder E-Mail-Adresse
• Telefonnummer
• Zahlungsdaten
• Informationen über Kunden, Lieferanten oder Mitarbeitende

In bestimmten Fällen können auch Daten wie die IP-Adresse oder digitale Identitäten als Personendaten gelten, wenn sie Rückschlüsse auf eine Person erlauben.

Die Grundsätze des Datenschutzes

Das DSG beruht auf einigen zentralen Grundsätzen, die jedes Unternehmen einhalten muss:

Rechtmässigkeit

Die Bearbeitung der Daten muss rechtmässig sein. Für die Erhebung und Verwendung der Daten braucht es sachliche Gründe (etwa die Erfüllung eines Vertrags oder eine ausdrückliche Einwilligung).

Transparenz

Die Personen müssen wissen, warum ihre Daten erhoben werden, wie sie verwendet werden und wie lange sie aufbewahrt werden.

Sicherheit

Unternehmen müssen technische und organisatorische Massnahmen treffen, um die Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen.

Rechte der betroffenen Personen

Das DSG gewährt den Nutzern bestimmte Rechte an ihren eigenen Daten. Dazu gehören:

• Auskunftsrecht: wissen, welche Daten bearbeitet werden;
• Recht auf Berichtigung: falsche Daten korrigieren lassen;
• in gewissen Fällen das Verlangen, die Daten zu löschen oder ihre Bearbeitung einzuschränken.

Die Nutzer müssen ihre Rechte einfach ausüben können, und die Unternehmen brauchen interne Abläufe, um solche Anfragen zu bearbeiten.

Pflichten für Unternehmen

Auch KMU müssen einige zentrale Verantwortlichkeiten beachten:

Pflichten für Unternehmen

Jedes Unternehmen sollte wissen, wo und wie es Daten erhebt, wer darauf Zugriff hat und wozu sie bearbeitet werden.

Angemessene Sicherheitsmassnahmen treffen

Daten zu erheben, reicht nicht: Sensible Informationen müssen mit geeigneten Mitteln geschützt werden, etwa mit Backups, geschützten Zugängen und internen Richtlinien.

Die Ausübung der Rechte der Betroffenen ermöglichen

Kunden oder Mitarbeitende müssen einfach Auskunft über ihre Daten oder deren Löschung verlangen können.

Was passiert, wenn man das DSG nicht einhält?

Auch wenn das DSG von 1992 keine so hohen Sanktionen vorsah wie die europäische DSGVO, kann ein Verstoss gegen die Vorschriften trotzdem rechtliche Risiken, Reputationsschäden und Beanstandungen durch die Nutzer nach sich ziehen.

Deshalb ist es wichtig, vorbeugende Massnahmen zu treffen und den Datenschutz strukturiert anzugehen.

Praktische Tipps für Schweizer KMU

Um das DSG einzuhalten, können KMU:

• eine interne Datenrichtlinie für die Bearbeitung der Daten erstellen;
• die Datenschutz-Einwilligungen auf den Webseiten und in den Formularen aktualisieren;
• sichere digitale Tools einsetzen, um Daten von Kunden und Mitarbeitenden aufzubewahren;
• die Mitarbeitenden über die Risiken im Bereich Datenschutz schulen.

Neben der gesetzlichen Pflicht ist das auch eine Frage der Zuverlässigkeit und des Vertrauens gegenüber Kunden und Partnern.

Wie easy4you Ihnen helfen kann

easy4you unterstützt Schweizer KMU dabei, Abläufe einzuführen, die dem DSG entsprechen:

• Analyse der im Unternehmen bearbeiteten Daten;
• Festlegung von Richtlinien und Abläufen;
• Unterstützung bei der Erstellung von Datenschutzerklärungen und Einwilligungen;
• praxisnahe Schulung der Mitarbeitenden.

Mit unserer Hilfe wird der Datenschutz zu einem Wettbewerbsvorteil, statt zu einem Problem, mit dem Sie allein dastehen.

Fazit

Datenschutz in der Schweiz ist kein abstrakter Begriff: Er ist eine rechtliche Realität, die alle Unternehmen betrifft, die Personendaten bearbeiten. Auch 2020, vor dem Inkrafttreten des neuen DSG, ist es für KMU sehr wichtig, ihre Pflichten zu kennen und konkrete Massnahmen zu treffen.

Möchten Sie wissen, ob Ihr Unternehmen das Datenschutzgesetz einhält?
Kontaktieren Sie uns für eine kostenlose Beratung.