Source: https://digilaw.ch/06-data-protection-2/
Timestamp: 2019-04-24 06:26:45+00:00

Document:
«Privacy Protection» bzw. «Data Protection» ist das Key Issue der digitalen Welt; nicht nur wegen des Datenschutz-Hypes betreffend die Internet-Community Facebook. Privacy ist aber keine Erfindung des digitialen Zeitalters, sondern wurde bereits im ersten Zivilgesetzbuch (ZGB) der Schweiz von 1907 in den Art. 27 ff., unter dem Titel des Schutzes der Persönlichkeit, reguliert. Mit dem Einzug der Informationstechnologie (IT) in den 80er-Jahren des 20. Jahrhunderts wurde es immer einfacher Daten zu sammeln und Daten zu verarbeiten. Damit nahm auch die Gefahr der Persönlichkeitsverletzungen gemäss ZGB enorm zu und der Gesetzgeber sah sich veranlasst, den Persönlichkeitsschutz im Bereich der Datenverarbeitung detailliert zu regeln. Mit der in technologischen Fragen regelmässigen Verzögerung trat am 1. Juli 1993 das neue Datenschutzgesetz (DSG) in Kraft.
Unter den gesetzlichen Datenschutz fallen lediglich Daten, die sich auf eine bestimmte oder bestimmbare Person beziehen, sogenannte Personendaten (Art. 3 DSG). Unter «Person» ist sowohl eine natürliche, wie auch eine juristische zu verstehen.
Die Basis des Datenschutzrechts bilden dessen Prinzipien, die sich in Art. 4 ff. DSG finden. Auch wenn die Materie kompliziert zu sein scheint, geht es in der Praxis eigentlich einfach darum, die Datenschutzprinzipien auf den Data Lifecycle (dt. Datenkreislauf) anzuwenden. Der Data Lifecycle beginnt beim Sammeln bzw. der Erhebung von Daten, geht weiter über jegliches Verarbeiten von Daten, bis zu deren Vernichtung bzw. Löschung. Von den nachfolgenden Prinzipien sind in der digitalen Praxis die Verhältnismässigkeit und die Zweckgebundenheit besonders wichtig.
Unter dem Prinzip der Sicherheit versteht man den eigentlichen Schutz von Daten durch technische und organisatorische Massnahmen. Diese Massnahmen gewährleisten die Vertraulichkeit, die Verfügbarkeit, die Integrität und die Authentizität der Daten sowie die Nachvollziehbarkeit der Datenbearbeitung. Dabei gilt auch hier das Prinzip der Verhältnismässigkeit und die Massnahmen müssen dem Stand der Technik entsprechen. Je sensibler die zu schützenden Daten sind, je höher sind die Anforderungen an diesen Datenschutz. Da der Mensch regelmässig das schwächste Glied in der Kette des Datenschutzes ist, sind neben technischen vor allem auch organisatorische Massnahmen wichtig. Die Nachvollziehbarkeit der Datenverarbeitung verlangt eine entsprechende Protokollierung. Beides sind auch Schwerpunkte der nachfolgend erläuterten neuen EU-Datenschutz-Grundverordnung.
Ein Manko des aktuellen schweizerischen Datenschutzgesetzes ist es, dass deren Verletzer praktisch keine juristischen Konsequenzen befürchten müssen. Mit einigigen wenigen Ausnahmen ist die Verletzung der Vorschriften, insbesondere der Prinzipien des Datenschutzgesetzes nicht strafbar (s. Art. 34 f. DSG). Ansonsten müssen betroffene Personen ihre Rechte auf dem Zivilweg gemäss Art. 28 ZGB (Verletzung der Persönlichkeit) durchsetzen. Da ein solches Vorgehen jedoch mit einem grossen Kostenrisiko verbunden ist, erfolgt dies nur sehr selten. Griffiger ist die Möglichkeit des Eidg. Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) (s. www.edoeb.admin.ch). Dieser kann gemäss Art. 29 DSG aus eigener Initiative oder auf Anzeige hin Verletzungen des Datenschutzgesetzes abklären und entsprechende Empfehlungen erlassen. Werden diese nicht befolgt oder abgelehnt, kann der EDÖB diese dem Bundesverwaltungsgericht zum Entscheid vorlegen. Einen Entscheid des Bundesverwaltungsgerichts kann der EDÖB schliesslich vor Bundesgericht ziehen. Entsprechende Fälle, wie z.B. derjenige betr. «Street View» gegen Google finden sich unter folgendem Link: www.edoeb.admin.ch/edoeb/de/home/datenschutz/dokumentation/weiterzuege.html.
Am 25. Mai 2018 löste die Europäische Union die bisher geltende Datenschutz-Richlinie durch die neue Datenschutz-Grundverordnung (DSGVO) ab, die als Verordnung (im Gegensatz zur Richtlinie) das Datenschutzrecht der EU-Mitgliedstaaten nicht nur harmonisiert, sondern nunmehr vereinheitlicht. D.h. die DSGVO kommt ohne Umsetzung im nationale Recht direkt zur Anwendung (self-executing).
Für Unternehmen hat die Verordnung gravierende Folgen. Neben Schadenersatzforderungen der Betroffenen drohen bei Verstössen Bussen von bis zu 4 % des globalen (!) Umsatzes (!) und fehlbare Manager, Datenschutzbeauftragte und übrige Entscheidungsträger können mit Bussen bis zu 20 Mio. Euro bestraft werden. Dabei weisen die offiziellen Erläuterungen (Erwägungsgründe) der EU-Datenschutzverordnung darauf hin, dass der Begriff des «Unternehmens» analog des Begriffs im EU-Kartellrecht verstanden werden müsse. Im EU-Kartellrecht kann unter dem Begriff «Unternehmen» effektiv ein ganzer Konzern bzw. eine ganze Holding verstanden werden, auch wenn effektiv nur eine Tochtergesellschaft verantwortlich ist. Dies ist dann der Fall, wenn die Muttergesellschaft die Tochtergesellschaft beherrscht. In diesem Fall würden die bis zu 4 % Busse auf den ganzen Konzern- bzw. Holding-Umsatz bezogen!
Die EU-Datenschutzverordnung bringt nicht nur Zusatzaufwand für Unternehmen, sondern erleichtert diesen auch das Business in bestimmten Bereichen. So fallen z.B. die Daten juristischer Personen nicht mehr unter den Datenschutz (inskünftig wohl auch in der Schweiz), was den Bereich B2B erheblich entlastet. Daten von juristischen Personen sind aber inskünftig nicht „Freiwild“, sondern sind immer noch durch den generellen Persönlichkeitsschutz sowie insbesondere den Grundsätzen des Lauterkeitsrechts (in der Schweiz UWG) geschützt. Es fragt sich aber, ob die EU-Datenschutzverordnung auf Daten von natürlicher Personen, die für ein bzw. in einem Unternehmen arbeiten, zur Anwendung kommt. Dazu gibt es kurz nach Einführung der Verordnung noch keine Rechtsprechung. Eine Recherche zeigt aber, dass eine Mehrheit der Kommentatoren davon ausgeht, dass die EU-Datenschutzverordnung in Bezug auf diese Daten zur Anwendung kommt. Da insbesondere im Zusammenhang mit der Kommunikation mit Unternehmen wohl praktisch immer Daten natürlicher Personen ins Spiel kommen, fragt sich, wie sinnvoll eine Unterscheidung von Daten juristischer und Daten natürlicher Personen überhaupt ist. Die Frage ist aber wohl nicht von praktischer Bedeutung, das über kurz oder lang die EU-Datenschutzverordnung von allen Unternehmen umgesetzt wird.
Konkrete Datenschutz-Massnahmen
Währenddem die Datenschutz-Grundsätze noch relativ einfach zu verstehen sind, liegt der Teufel auch im Datenschutz im Detail bzw. in deren praktischen Umsetzung.
Wichtige Grundlage dafür und für die Erfüllung der Dokumentationspfichten ist die Erstellung eines Verarbeitungsverzeichnisses. Das Verarbeitungsverzeichnis sollte insbesondere folgende Informationen enthalten:
– Name und Kontaktdaten der Datenschutzverantwortlichen (Unternehmen)
– Kategorien der betroffenen Personen
– Kategorien der verarbeiteten personenbezogenen Daten
– Kategorien der Empfänger der personenbezogenen Daten
– Information über Datenübermittlung ins Ausland und deren rechtliche Grundlage
– Information, wann oder zumindest nach welchen Kriterien die personenbezogenen Daten gelöscht werden
– Allgemeine Information über technische und organisatorische Massnahmen zur Datensicherung
Das Verarbeitungsverzeichnis kann auf Papier oder in elektronischer Form geführt werden.
In jedem Fall ist zu empfehlen, einen Datenschutzbeauftragten einzusetzen. Dieser soll ein kontinuierliches Datenschutz-Audit, die Ergreifung notwendiger Massnahmen und die Beratung in Sachen Datenschutz gewährleisten. Der Datenschutzbeauftragte kann unternehmensextern oder unternehmensintern sein. Der unternehmensinterne Datenschutzbeauftragte hat den Vorteil, dass er nahe am Geschehen ist. Dafür muss mittels Vereinbarung mit dem Arbeitgeber sichergestellt werden, dass der Datenschutzbeauftragte bei der entsprechenden Tätigkeit gegenüber dem Arbeitgeber frei und unabhängig ist und der Arbeitgeber keine entsprechenden Repressionen ausüben kann. Für den Datenschutzbeauftragten ist ein entsprechender Beschrieb mit dessen Aufgaben zu erstellen. Der Datenschutzbeauftragte kommt seinen Verpflichtungen nach, wenn er diese Aufgaben sorgfältig erfüllt. Er ist jedoch nicht Datenschutzverantwortlicher. Das sind das Unternehmen bzw. dessen Organe selbst.
Unabhängig von der in der DSGVO für hohe Risiken vorgesehenen Datenschutz-Folgeabschätzung sollte in jedem Fall eine Risikoanalyse betreffend möglicher Datenschutzverletzungen durchgeführt und die entsprechend notwendigen Massnahmen getroffen werden.
Bestehende Vereinbarungen mit Dritten, insbesondere mit Auftragsverarbeitern (Dritte, die für das Unternehmen Daten verarbeiten) müssen laufend auf ihre Kompatibilität mit den datenschutzrechtlichen Vorschriften überprüft und allenfalls angepasst werden.
Da der Mensch allgemein das schwächste Glied im Datenschutz ist, ist es elementar, Mitarbeitende regelmässig in Sachen Datenschutz zu sensibilisieren und zu schulen.
Im Rahmen der DSGVO wurden die Rechte der Betroffenen gestärkt. So haben diese sowohl ein Auskunftsrecht, wie auch in Art. 8 DSG vorgesehen, als auch ein «Recht auf Vergessenwerden» bzw. ein Recht auf Löschung. Dafür muss gewährleistet sein, dass es das System zulässt, auf eine Übersicht der entsprechenden Daten zuzugreifen.
Insbesondere für Unternehmen, die personenbezogene Daten hosten, dürfte das Recht auf Datenübertragbarkeit eine Herausforderung darstellen. Denn neu haben Betroffene das Recht, dass ihre Daten in einem Format gespeichert werden, das die Übertragung an andere Unternehmen erlaubt. Darüber hinaus können Betroffene die direkte Übertragung zwischen den nämlichen Unternehmen verlangen. Das bedeutet, dass Unternehmen eine entsprechende Interoperabilität gewährleisten müssen. Ein Beispiel dafür stellt der Fall dar, in dem ein Kunde von Apple seine Daten aus einer iOS-Applikation (Apple) auf eine Android-Applikation (Google) transferieren will, weil er von einem iPhone auf ein Smartphone mit dem Betriebssystem Android wechselt.
Schlussendlich ist die Datenschutzkommunikation, weil nach aussen sichtbar, ein wesentliches Element konkreter Datenschutz-Massnahmen. Für die interne Kommunikation kann dafür ein Datenschutzreglement erstellt werden. Extern erfolgt die Kommunikation über eine Datenschutzerklärung.

References: Art. 27
 Art. 4
 Art. 34
 Art. 28
 Art. 29
 Art. 8