DSGVO (Datenschutz-Grundverordnung)

Die DSGVO (Datenschutz-Grundverordnung, Verordnung (EU) 2016/679) ist das zentrale Datenschutzgesetz der EU. Sie kann auch für Schweizer Unternehmen ohne EU-Sitz gelten, sobald diese Personen in der EU gezielt ansprechen oder deren Verhalten beobachten.

Die DSGVO regelt, wie Organisationen mit den Personendaten von (natürlichen) Personen in der EU umgehen. Für Unternehmen in der Schweiz ist sie das EU-Gegenstück zum nDSG: Viele Betriebe fallen unter beide Regelwerke gleichzeitig, weil das revidierte Schweizer Recht bewusst an die DSGVO angeglichen wurde, um den freien Datenverkehr mit der EU zu erhalten. Hinweis: Dieser Artikel ist eine vereinfachte Orientierung und keine Rechtsberatung.

Wann gilt die DSGVO für ein Schweizer Unternehmen?

Ein Unternehmen mit Sitz in der Schweiz und ohne Niederlassung in der EU fällt trotzdem unter die DSGVO, sobald es gezielt Personen in der EU anspricht oder deren Verhalten beobachtet (Art. 3 Abs. 2 DSGVO). Typische Auslöser sind ein Onlineshop mit Lieferung und Preisen in Euro, Marketing in einer EU-Landessprache oder das Tracking von Besuchenden aus der EU zu Profiling-Zwecken. Bedienst du ausschliesslich Kundschaft in der Schweiz, bist du in der Regel nicht betroffen. Das verbreitete «Wir sind ein Schweizer Betrieb, also gilt die DSGVO nicht» stimmt damit nur, solange du keinen Bezug zur EU herstellst.

Welche Rechte und Pflichten der DSGVO sind zentral?

Die DSGVO gibt betroffenen Personen weitreichende Rechte und knüpft jede Verarbeitung an eine Rechtsgrundlage.

• Rechtsgrundlage: Jede Verarbeitung braucht eine der sechs Grundlagen aus Art. 6, etwa Einwilligung, Vertrag oder berechtigtes Interesse.
• Auskunftsrecht: Nach Art. 15 können Betroffene eine Kopie ihrer Daten sowie Auskunft über Zwecke, Empfänger und Speicherdauer verlangen.
• Meldepflicht: Eine Datenschutzverletzung meldest du der zuständigen Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden (Art. 33 DSGVO).

DSGVO und revidiertes DSG: die wichtigsten Unterschiede

Beide Gesetze ähneln sich stark, unterscheiden sich aber in ein paar Punkten:

• Bussen: Die DSGVO sieht bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes vor (Art. 83). Das nDSG sanktioniert mit bis zu CHF 250’000, und zwar gegen verantwortliche Einzelpersonen statt gegen das Unternehmen.
• Datenschutzbeauftragter: Unter der DSGVO in bestimmten Fällen Pflicht, in der Schweiz nur empfohlen.
• Einwilligung: Die DSGVO stützt sich stärker auf die Einwilligung, während im nDSG häufiger ein berechtigtes Interesse genügt.

Quellen

• EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Volltext
• EDÖB: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter