Source: https://www.lexology.com/library/detail.aspx?g=1c1f2f9c-6405-4042-8dda-2cf9a9ff08df
Timestamp: 2020-01-29 04:58:23+00:00

Document:
Status des Datenschutzes in der Schweiz - Lexology
Status des Datenschutzes in der Schweiz
European Union, Switzerland August 2 2019
ERFA Kommunikation Efficiency Club vom 30. Juli 2019
Dr. Michael Reinle, LL.M.
2 Status Datenschutz in der Schweiz
Datenschutzrevision in der Schweiz wo stehen wir? Anwendung der DSGVO auf CH-Unternehmen berblick Informationspflichten Einwilligung Berechtigtes Interesse Datenbearbeitungsgrundstze Profiling E-Mail Marketing Auftragsdatenbearbeitung Datenschutz-Folgenabschtzung Kompetenzen Datenschutzbehrden
Meyerlustenberger Lachenal AG Rechtsanwlte
www.mll-legal.com | www.mll-news.com
Datenschutzrevision in der Schweiz wo stehen wir?
4 Status Datenschutz in der Schweiz
DSG-Revision nicht im luftleeren Raum
Modernisierung der Datenschutzkonvention SEV 108 des Europarates (E-K108) EU-Datenschutzgrundverordnung
21. Dezember 2016: Vorentwurf zur Totalrevision des Schweizer Datenschutzgesetzes (DSG) in die Vernehmlassung
Ende Vernehmlassung: 4. April 2017 Heftige Kritik am Vorentwurf
15. September 2017: Entwurf und Botschaft zur Totalrevision des Schweizer Datenschutzgesetzes
Beratung durch Nationalrat in der Herbstsession 2019 (9.-27. September 2019)
5 Status Datenschutz in der Schweiz
Struktur der Datenschutzrevision
Beibehaltung der Struktur des Datenschutzgesetzes Nur punktuelle Regelung von Big Data (z.B. verstrktes Auskunftsrecht, Data
Privacy by Design, Datenschutzfolgenabschtzung, etc.) Umstritten, ob Detailregelungen im Gesetz oder durch Selbstregulierung (z.B.
Auskunftsrechte und Sorgfaltspflichten) Verhaltenskodizes durch Berufsund Wirtschaftsverbnde sowie Bundesorgane mit anschl. Stellungnahme durch EDB (Art. 10 E-DSG) Entscheidend fr Umsetzung: Strkung des EDB und Erleichterung des Zugangs zu Gerichten fr betroffene Personen (Strkung der Aufsichtsbehrden in EK-108) Umstritten: Sanktionsmechanismus
Anwendung DSGVO auf CHUnternehmen
Weltweite Anwendung!
DSGVO gilt weit ber Grenzen des Binnenmarkts hinaus: Extraterritorialitt
Ort der Datenbearbeitung ist irrelevant
Keine Niederlassung in EU/EWR erforderlich
Staatsbrgerschaft der Betroffenen ist nicht entscheidend
CH wird den Grossteil der nderungen bernehmen
8 Status Datenschutz in der Schweiz
EU DSGVO ist fr Schweizer Unternehmen relevant!
Art. 3 DSGVO: Anwendung auch auf Nicht-EU-Unternehmen
Bearbeitung durch Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union, unabhngig davon, ob die Verarbeitung in der Union stattfindet
Bearbeitung von Daten betroffener Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht
Angebot von Waren und Dienstleistungen an betroffene Personen in der Union
Beobachtung des Verhaltens betroffener Personen, soweit ihr Verhalten in der Union erfolgt (Tracking Tools)
9 Status Datenschutz in der Schweiz
CH-Unternehmen verfgt ber eine EWRNiederlassung und Aktivitt der Niederlassung ist untrennbar mit der Aktivitt der CHHaupteinrichtung verbunden
Verkauf von Waren oder Dienstleistungen eines CH-Unternehmens an EU-Kunden oder berwachung des Verhaltens von Personen, sofern sich das Verhalten in der EU abspielt z.B. Trackingtools in Webshop, der auch auf EUKunden ausgerichtet ist
CH-Unternehmen beauftragt EU-Unternehmen zur Auftragsdatenverarbeitung (z.B. Cloud-Anbieter) auch bei Sub-Processing des EU-Verarbeiters an Unternehmen ausserhalb der EU oder Bearbeitung von Personendaten durch CH-Unternehmen im Auftrag eines EU-Unternehmens (z.B. einer EUNiederlassung)
Meyerlustenberger Lachenal Rechtsanwlte
www.mll-legal.com www.mll-news.com
10 Status Datenschutz in der Schweiz
Rumlicher Geltungsbereich erste Erfahrungen
Hoher Anteil an E-Commerce-Unternehmen betroffen Ausnahme: reiner CH-Onlineshop; aber Achtung: DSGVO nun auch in
Liechtenstein anwendbar Zahlreiche offene Fragen trotz Anwendbarkeit
Zwingende Vorgaben fr den Sitz des EU-Vertreters? Welche EU-Datenschutzbehrden sind fr unterstellte CH-Unternehmen zustndig?
12 Status Datenschutz in der Schweiz
Wichtige Themen #1
Rumlicher Anwendungsbereich, Art. 3 EU-DSGVO
Datenverarbeitung innerhalb der EU Marktortprinzip fr Datenverarbeiter mit Sitz in Drittstaaten
(z.B. CH)
Grundsatz: Verbot mit Erlaubnisvorbehalt
Durch die Verordnung selbst Durch Einwilligung (hohe Anforderungen an Gltigkeit) ,,berwiegendes Interesse" (spielt knftig grere Rolle) Durch Gesetz
Strkung der Datenschutzprinzipien, z.B. Transparenz
Aktive Informationspflicht mit klaren Inhaltsvorgaben Aktive Informationspflicht auch bei Datenbeschaffung aus
Drittquellen Problem bei Datenanreicherung
13 Status Datenschutz in der Schweiz
Wichtige Themen #2
Verschrfte Sorgfaltspflichten
Datenschutz-Folgenabschtzung (,,Impact Assessment"), Dokumentations- und Nachweispflichten (,,Accountability") Data Privacy by Design, Data Privacy by Default
Ausbau der Betroffenenrechte
Auskunftsrecht und Zugriffsrecht Recht auf Berichtigung Recht auf Lschung einschlielich eines Rechtes auf
,,Vergessenwerden" Recht auf Datenbertragbarkeit (Datenportabilitt) Widerspruchsrecht und Widerrufsrecht
Deutlich schrfere Sanktionen
bis zu EUR 20 Mio. oder 4% des weltweiten Jahresumsatzes
14 Status Datenschutz in der Schweiz
Verfahren bei nationalen Datenschutzbehrden
206`326 Flle, davon 94'622 durch Beschwerden von betroffenen Personen
Meldungen von Data Breaches
64`684
Erste Bussen Schonfrist vorbei
EUR 50 Mio. gegen Google durch CNIL (Verletzung Transparenzgebot, ungltige Einwilligung)
EUR 5'000.00 gegen Kolibri Images durch Datenschutzbehrde Hamburg (fehlender Auftragsverarbeitungsvertrag)
EUR 2 Mio. gegen Telemarketingunternehmen durch italienische Aufsichtsbehrde
GBP 99 Mio. gegen Mariott durch britische Aufsichtsbehrde (Data Breach; intention to fine)
GBP 183 Mio. gegen British Airways durch britische Aufsichtsbehrde (Data Breach; intention to fine)
16 Status Datenschutz in der Schweiz
Direkte Datenbeschaffung
Informationspflichten, Art. 13 DSGVO bzw. Art. 17 f. E-DSG
1. Namen und Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters 2. Kontaktdaten des Datenschutzbeauftragten 3. Zwecke und Rechtsgrundlage 4. Ggf. die berechtigten Interessen an einer Datenverarbeitung 5. Ggf. Empfnger oder Kategorien von Empfngern der personenbezogenen Daten 6. Ggf. die Absicht einer bermittlung in Drittstaaten oder an eine internationale Organisation 7. Weitere Informationen, die notwendig sind, um eine faire und transparente Verarbeitung zu gewhrleisten 8. Dauer der Datenspeicherung bzw. Kriterien fr die Festlegung der Dauer 9. Bestehen von Betroffenenrechten wie Auskunft, Berichtigung, Lschung, Sperrung, Widerspruchsrecht oder
Datenbertragbarkeit 10. Widerrufsrecht bei einwilligungsbasierter Datenverarbeitung 11. Bestehen eines Beschwerderechts bei einer Aufsichtsbehrde 12. Ggf., ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist oder fr den Vertragsschluss erforderlich ist 13. Bestehen einer automatisierten Entscheidungsfindung einschlielich Profiling sowie aussagekrftige Informationen
ber die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung fr die betroffene Person
17 Status Datenschutz in der Schweiz
Indirekte Datenbeschaffung
Aktive Informationspflicht (Art. 14 DSGVO bzw. Art. 17 Abs. 3 E-DSG)
Informationspflicht gilt auch bei der Beschaffung von Daten aus Drittquellen Information muss sptestens einen Monat nach Datenerhebung aus Drittquelle erfolgen Ausnahme: Information ist unmglich, unverhltnismssig oder wrde den verfolgten Zweck vereiteln
b. zustzlich die Kontaktdaten des Datenschutzbeauftragten;
c. Die Zwecke, fr die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage fr die Verarbeitung;
d. die Kategorien personenbezogener Daten, die verarbeitet werden;
e. Gegebenenfalls die Empfnger oder Kategorien von Empfngern der personenbezogenen Daten;
f. gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfnger in einem Drittland oder einer internationalen Organisation zu bermitteln,...
Definition (Art. 4 Nr. 11 DSGVO):
freiwillig fr den bestimmten Fall in informierter Weise und unmissverstndlich abgegebene Willensbekundung in Form einer Erklrung oder einer sonstigen eindeutigen
besttigenden Handlung
eindeutige besttigende Handlung schriftliche Erklrung, die auch elektronisch erfolgen kann ,,Stillschweigen, bereits angekreuzte Kstchen oder
Unttigkeit der betroffenen Person sollten daher keine Einwilligung darstellen." (EG 32) kein Opt-Out
Alteinwilligungen gelten nur dann, wenn die Anforderungen der DSGVO eingehalten wurden (EG 171)
20 Status Datenschutz in der Schweiz
Einwilligungsgrundstze
Art. 7 DSGVO Informiertheit (Art. 7 Abs. 2 DSGVO)
,,Fr den konkreten Fall und in Kenntnis der Sachlage" Hervorhebungspflicht bei Verbindung mit anderen Texten (AGB?, DSE?) Klare und einfache Sprache In verstndlicher und leicht zugnglicher Form
Widerruflichkeit (Art. 7 Abs. 3 DSGVO)
jederzeit mit Wirkung fr die Zukunft widerruflich hierauf ist vor Abgabe hinzuweisen
Freiwilligkeit (Art. 7 Abs. 4 DSGVO)
nicht gegeben bei ,,klarem Ungleichgewicht" z.B. Zwangssituationen und rechtl. Abhngigkeitsverhltnisse
21 Status Datenschutz in der Schweiz
Einwilligung in Weitergabe von Daten
OLG Frankfurt vom 28. Juli 2016
Einwilligungserklrung in Telefon- und E-Mail-Werbung im Rahmen eines Gewinnspieles unwirksam
Grund: Einwilligung fr Weitergabe an eine Vielzahl von werbenden Unternehmen zu unbestimmt!
Link auf Liste mit 50 werbenden Unternehmen, aber: Geschftsbereiche der Unternehmen zu wenig spezifisch
Anforderungen an Einwilligung zur Weitergabe von Daten an Dritte liberaler
Aber: Nutzer muss eine Vorstellung ber den Kreis der Datenempfnger erhalten!
Geschftsbereiche der werbenden Unternehmen auch nach schweizerischem Recht relevant Kategorisierung gengt!
Art. 5 Abs. 6 E-DSG keine inhaltliche nderung
23 Status Datenschutz in der Schweiz
Zentraler Erlaubnistatbestand
Berechtigtes Interesse als wichtiger Rechtfertigungsgrund fr Datenbearbeitungen (Art. 6 Abs. 1 Satz 1 lit. f DSGVO)
Interessenabwgung im Einzelfall: Interesse des Datenbearbeiters gegenber Persnlichkeitsrechtsinteressen der betroffenen Person
Berechtigtes Interesse z.B. bei Bearbeitung von Daten aus Kontaktformularen, um Anfrage zu beantworten
Im Zweifel: ,,Reasonable Expectations"
Mit welchen Datenbearbeitungen musste die betroffene Person im Zeitpunkt der Datenbeschaffung aufgrund der Umstnde rechnen!
Voraussetzungsloses unentgeltliches Widerspruchsrecht Information der betroffenen Person
Datenbearbeitungsgrundstze
25 Status Datenschutz in der Schweiz
Transparenzgebot (Art. 5 Abs. 3 E-DSG) Prinzip der Datensparsamkeit (Art 5 Abs. 2 und 4 E-DSG) Zweckbindungsgebot (Art. 5 Abs. 3 E-DSG) Richtigkeit der Daten (Art. 5 Abs. 5 E-DSG) Bearbeitung von verffentlichten Daten: In der Regel liegt keine
Persnlichkeitsverletzung vor, wenn die betroffene Person die Personendaten allgemein zugnglich gemacht und eine Bearbeitung nicht ausdrcklich untersagt hat (Art 26 E-DSG)
27 Status Datenschutz in der Schweiz
Definition Profiling: jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persnliche Aspekte, die sich auf eine natrliche Person beziehen, zu bewerten, insbesondere um Aspekte bezglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persnliche Vorlieben, Interessen, Zuverlssigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natrlichen Person zu analysieren oder vorherzusagen
Keine generelle ausdrckliche Zustimmung fr das Profiling; es gilt Art. 6 DSGVO
Ausdrckliche Zustimmung wird nur in Art. 22 DSGVO im Zusammenhang mit Profiling erwhnt. Dort geht es jedoch um automatisierte Entscheidungen im Einzelfall inklusive Profiling mit rechtlicher Wirkung oder erheblicher Beeintrchtigung
28 Status Datenschutz in der Schweiz
Art. 4 lit. f E-DSG
Definition: die Bewertung bestimmter Merkmale einer Person auf der Grundlage von automatisiert bearbeiteten Personendaten, insbesondere um die Arbeitsleistung, die wirtschaftlichen Verhltnisse, die Gesundheit, das Verhalten, die Vorlieben, den Aufenthaltsort oder die Mobilitt zu analysieren oder vorherzusagen
Geltendes DSG: Persnlichkeitsprofil = eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persnlichkeit einer natrlichen Person erlaubt
Unterschied Profiling - Persnlichkeitsprofil
Praxis des EDB betreffend Persnlichkeitsprofile als Interpretationshilfe fr Profiling (Quer- vs. Lngsprofil)?
Keine generelle ausdrckliche Zustimmung fr das Profiling (eine solche war im VE-DSG noch enthalten)
30 Status Datenschutz in der Schweiz
Spamming Verbot (Art. 3 Abs. 1 lit. o UWG) Keine generelle Erlaubnis zur Zustellung von Newslettern an bestehende Kunden Nicht erlaubt (ohne informierte Einwilligung): Weitergabe fr Marketingzwecke an Dritte Im Zweifelsfall: Nur Werbung fr eigene Produkte und Dienstleistungen Art. 3 lit. o UWG: Erfasst auch Auftraggeber, nicht nur den Versender
Anforderungen an informierte Einwilligung Tragweite der Einwilligung muss erkennbar sein Betroffene Person muss Vorstellung ber den Kreis der Datenempfnger und damit Zusteller von E-Mails haben Einwilligung in AGB zulssig?
32 Status Datenschutz in der Schweiz
Google Analytics Cloud-Anbieter fr
Datenspeicherung Microsoft 365 (Cloud-Lsung) Salesforce / Microsoft Dynamics
(CRM-Systeme) Webhoster
33 Status Datenschutz in der Schweiz
Anforderungen Schweiz (Art. 10a DSG bzw. neu Art. 8 E-DSG)
Sicherstellung, dass der Auftragsbearbeiter Daten nur so bearbeitet, wie dies die verantwortliche Person auch drfte
Instruktions- und Kontrollrechte sowie sorgfltige Auswahl sind besonders wichtig
Gilt auch bei Auftragsdatenbearbeitungsverhltnissen zwischen inlndischen Unternehmen
E-DSG: Neu Beizug von Subunternehmern nur mit Zustimmung des Verantwortlichen
34 Status Datenschutz in der Schweiz
Anforderungen in der EU (Art. 28 EU-DSGVO)
Schriftlicher Vertrag Genehmigung von Subunternehmern Instruktions- und Kontrollrechte des Verantwortlichen Untersttzungs- und Kooperationspflichten des Auftragsverarbeiters Sorgfltige Auswahl: Zusammenarbeit nur mit Auftragsverarbeitern, die durch
die Implementierung von technischen und organisatorischen Massnahmen die Verarbeitung im Einklang mit der EU-DSGVO sicherstellen knnen Sicherstellung der Implementierung von technischen und organisatorischen Massnahmen zur Datensicherheit Nachweispflicht des Auftragsverarbeiters
35 Status Datenschutz in der Schweiz
Beispiel Inhalt und Zweck eines Datenverarbeitungsvertrag
37 Status Datenschutz in der Schweiz
Leitlinien des Europischen Datenschutzausschusses (EDSA) zur Datenschutz-Folgenabschtzung (https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611236)
Aufgreifkriterium: wenn die Verarbeitung ,,wahrscheinlich ein hohes Risiko fr die Rechte und Freiheiten natrlicher Personen mit sich bringt"
Nationale Datenschutzbehrden: Erarbeitung von ,,Black Lists" (https://edpb.europa.eu/our-work-tools/consistency-findings/opinions_de)
38 Status Datenschutz in der Schweiz
Quelle: EDSA Leitlinien zur Datenschutz-Folgenabschtzung
39 Status Datenschutz in der Schweiz
Quelle: EDSA Leitlinie zur Datenschutz-Folgenabschtzung
40 Status Datenschutz in der Schweiz
41 Status Datenschutz in der Schweiz
Wann ist eine Folgenabschtzung durchzufhren: Vor Aufnahme der betreffenden Verarbeitungsttigkeit
Muss die Folgenabschtzung nur fr neue Verarbeitungsttigkeiten durchgefhrt werden?
Vorgehen: Beschreibung des Verarbeitungsvorganges und Verarbeitungszweckes Bewertung der Notwendigkeit und Verhltnismssigkeit der Verarbeitungsvorgnge Bewertung der Risiken fr die Rechte und Freiheiten der betroffenen Personen Skizzierung der Massnahmen zur Vermeidung oder Minimierung von Risiken
Kompetenzen Datenschutzbehrden
43 Status Datenschutz in der Schweiz
Kompetenzen gemss DSGVO
Art. 58 DSGVO: Umfassende Untersuchungskompetenzen Informationsansprche gegenber Verantwortlichen und Auftragsverarbeitern Durchfhrung von Untersuchungen berprfung von Zertifizierungen Hinweise auf Datenschutzverstsse Umfassendes Zugangsrecht zu Daten und Informationen Zugangsrecht zu Rumlichkeiten und Datenverarbeitungsanlagen
Umfassende Abhilfebefugnisse Verwarnung wegen Datenschutzverstssen Aussprechung von Geldbussen Endgltige oder vorbergehende Beschrnkung von Datenverarbeitungen
44 Status Datenschutz in der Schweiz
Kompetenzen gemss E-DSG
Umfassende Untersuchungskompetenzen (Art. 43 E-DSG) Durchfhrung von Untersuchungen Umfassendes Zugangsrecht zu Daten und Informationen Zugangsrecht zu Rumlichkeiten und Datenverarbeitungsanlagen Mitwirkungspflichten des Datenbearbeiters Zeugeneinvernahmen
Umfassende Abhilfebefugnisse Erlass vorsorglicher Massnahmen, z.B. vorsorglicher Verbote von Datenbearbeitungen (Art. 44 Abs. 2 E-DSG) Verwaltungsmassnahmen, z.B. Anpassung oder Verbot von Datenbearbeitungen, Lschung von Personendaten, Durchfhrung einer Datenschutz-Folgenabschtzung (Art. 45 E-DSG)
45 Status Datenschutz in der Schweiz
Keine Kompetenz des EDB zur Aussprechung von Geldbussen
Art. 59 Abs. 2 E-DSG: Kompetenz fr Geldbussen bei kantonalen Strafverfolgungsbehrden; EDB Recht zur Strafanzeige
Sanktionierung von Datenschutzverstssen (Art. 54 ff. E-DSG) Normadressaten sind natrliche Personen, gemss Botschaft die Leitungspersonen Nur bei Vorsatz Maximale Geldstrafe: CHF 250'000.00
Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten Verletzung von Sorgfaltspflichten Verletzung der beruflichen Schweigepflicht Missachtung von Verfgungen des EDB
Partner, Zrich michael.reinle@mll-legal.com www.mll-legal.com | www.mll-news.com
Wir danken fr Ihre Zeit und Ihr Interesse
Meyerlustenberger Lachenal - Michael Reinle
Bedeutung der DSGVO für die Treuhandbranche *
Revision des Datenschutzgesetzes (DSG): Standpunkt des Nationalrats steht fest - Recht auf Datenübertragbarkeit auch in der Schweiz * - Switzerland

References: Art. 3
 Art. 3
 Art. 13
 Art. 17
 Art. 17

Art. 7

Art. 5
 Art. 6
 Art. 22

Art. 4
 Art. 3
 Art. 8

Art. 58

Art. 59