nDSG | revDSG - Handlungsbedarf für den Datenschutz

Was ist der notwendige Handlungsbedarf für die korrekte Umsetzung des Datenschutzes nach nDSG | revDSG?

Wir beraten Sie - kompetent, pragmatisch, schnell und lösungsorientiert

Wo liegt der aktuelle Handlungsbedarf zur Umsetzung des nDSG | revDSG?

Handlungsbedarf zur Umsetzung des nDSG | revDSG

Globale Sicht des revDSG

Aus globaler Betrachtung ergibt sich ein Handlungsbedarf für das neue Datenschutzgesetz aus wirtschaftlichem Grunde, da ein Datenaustausch mit Unternehmen und Staatsorganen aus Ländern, die nicht über einen vergleichbaren Datenschutz verfügen, nur unter sehr erschwerten Bedinungen durchgeführt werden kann.

Aus Sicht der EU ist die Schweiz ein "Drittland". Für einen Datentransfer in ein Drittland ist ein Angemessenheitsbeschluss der EU erforderlich. Derzeit liegt eine Prüfung zwar vor, diese berut jedoch auf der alten Gesetzeslage. Das 30 Jahre alte Schweizer Datenschutzgesetz erfüllte diese Anforderungen nicht mehr. Nun muss das revidierte Datenschutzgesetz neu qualifiziert werden. Dieser Sachlage ist nicht nur auf Europa beschränkt, da viele Länder wie zum Beispiel Japan und auch Kalifornien in den USA ihre Anforderungen an den Datenschutz verschärfen.

Deshalb hatte die Schweiz hier dringender Handlungsbedarf für ein neues Datenschutzgesetz an die internationalen Standards anzupassen.

Die technologische Entwicklung und Veränderungen der gesellschaftlichen Anforderungen haben sich ebenfalls stark verändert, so dass das alte Datenschutzgesetz aus dem Jahre 1992 nicht mehr zeitgemäß war.

Persönliche Sicht des revDSG

Die Saktionen des neuen revidierten Datenschutzgesetz (nDSG | revDSG) der Schweiz wirken auf private Personen, die den Datenschutz verantworten. Damit ist in erster Linie das Kader gemeint, aber auch Personen, welche die Entscheidung über die Verarbeitung getroffen und beeinflusst haben.

Die Busse beträgt bis zu 250.000 Franken. Es ist nicht möglich diese durch Kader-Versicherungen abzusichern.

Diese Versicherungen werden, in aktuellen Diskussionen, nur Gerichts- bzw. Verfahrenskosten tragen. Nach Art. 64 (2) ergibt sich alleinig die Möglichkeit, dass im Falle einer Busse von höchsten 50.000 Franken und unverhältnismassig hohem Aufwand zur Ermittlung der strafbaren Personen den Geschäftsbetrieb zur Zahlung der Busse zu verurteilen.

Auf Grund der Aufwände zur Umsetzung wird den Unternehmen empfohlen umgehend die Umsetzung des Datenschutzes zu beginnen.

Rechtliche Beurteilung in Bezug auf den Datenschutz (revDSG | nDSG)

Das Unternehmen sollte eine Beurteilung durchführen, in wie weit es ggf. auch die Anforderungen der DS GVO umsetzen muss, da es personenbezogene Daten aus Ländern der EU verarbeitet.

Genauso müssen die Anforderungen aus dem nDSG für die Verarbeitung der personenbezogenen Daten in der Schweiz bewertet werden.

Bestandsaufnahme zum revDSG | nDSG

Das Unternehmen sollte im ersten Schritt eine Besandsaufnahme durchführen. Dabei sind die Informationsflüsse der personenbezogenen Daten und betroffenen Prozesse zu analysieren und die Bearbeitungen bzw. Verfahren aufzunehmen. In diesem Schritt müssen die Datenstrukturen zur späteren Erstellung der Bearbeitungsverzeichnisse aufgenommen werden. Die Ergebnisse sind auf die Risiken zu bewerten.

Notwendige Dokumentationen und Datenschutzmangementsystem für revDSG | nDSG

Es wird empfohlen, ein Datenschutzmanagementsystem (DSMS) für die Umsetzung des Datenschutzes aufzubauen. Dieses bildet die Aufbau- und Ablauforganisation des Datenschutzes ab. Somit wird im Unternehmen klar, wie man den Datentschutz umsetzt. Es beinhaltet die technischen und organisatorischen Maßnahmen (TOM) - hierzu gehört die Erstelltung von Richtlinien zum Datenschutz und Datensicherheit. Im Rahmen der Organisation ist eine Datenschutzerklärung nach den Vorgaben des nDSG zu erstellen, die DS-Verträge im Rahmen der Auftragsbearbeitung sind zu überprüfen oder grundsätzlich zu erstellen.

Siehe hierzu die spezielle Punkte: Bearbeitungsverzeichnissen, analog zur DS GVO und Auftragsbearbeitungsverzeichnisse.

Datenschutzfolgeabschätzungen (DSFA) für revDSG | nDSG

Je nach Risiko sind ggf. Datenschutzfolgeabschätzungen zu erstellen.

Erstellung von Bearbeitungsverzeichnissen

Personenbezogene Daten werden durch Verfahren bearbeitet. Hierfür sind spezielle Bearbeitungsverzeichnisse zu erstellen. Der Inhalt und Struktur der Daten wird vom nDSG vorgegeben. Es gibt zwar eine Ausnahme für Unternehmen unter 250 Mitarbeiter - dennoch wird empfohlen diese Verzeichnisse grundsätzlich zu erstellen. Diese Verzeichnisse müssen laufend gehalten werden.

Erstellung von Auftragsbearbeitungsvereinbarungen

Wenn das Unternehmen personenbezogene Daten von Kunden verarbeitet ung ggf. IT-Dienstleistungen erbringt, ist die Ausarbeitung von Auftragsbearbeitungsvereinbarungen bzw. -verträgen notwendig.

Umsetzung Datensicherheit

Es ist eine der Risiken angemessene Datensicherheit im Unternehmen umzusetzen.

Diese Punkte sind nur beispielhaft dargestellt. Es wird empfohlen für die Einführung des Datenschutzes ein Projekt aufzusetzen.

Für kleine Unternehmen reicht hierfür eine einfache Projektstruktur und ein minimales Datenschutzmanagementsystem.

Wird es komplexer und das Unternehmen größer, sollte ein Projekt spezifisch geplant werden.

Wir haben hierfür konkrete Projektplanungen aus unsere Erfahrung erstellt. Diese sind pragmatisch und lösungsoientiert in verschiedenen Varianten für Klein- Mittelunternehmen und auch für Großunternehmen von uns erstellt und für den Einsatz verfügubar.