Wie Sie sich auf die Umsetzung des überarbeiteten DSG vorbereiten können

Philipp Rosenauer
Partner Legal, PwC Schweiz

Das überarbeitete Schweizer Bundesgesetz über den Datenschutz (revDSG) tritt im September 2023 in Kraft. Es ist ratsam, sich bis dahin auf die Änderung der Gesetzgebung vorzubereiten, um unerwünschte Folgen zu vermeiden. Daher sollten Sie den Umsetzungsprozess der neuen Datenschutzbestimmungen frühzeitig anstossen.

Den Überblick zu behalten kann schwierig sein und erfordert besondere Aufmerksamkeit. Gerne unterstützen wir Sie dabei.

Welches sind die wichtigsten Massnahmen, um eine erfolgreiche Umsetzung zu gewährleisten?

Entscheidend ist, dass klare, vorab festgelegte Schritte eingehalten und branchenspezifische Faktoren berücksichtigt werden. Selbst wenn Sie bereits die Bestimmungen der EU Datenschutz-Grundverordnung (DSGVO) einhalten, werden Sie Ihre Prozesse, Richtlinien, Dokumentationen usw. anpassen müssen.

Welche Massnahmen müssen durchgeführt werden, um die Einhaltung des revDSG sicherzustellen?

Zur besseren Übersicht haben wir nachstehend einige der wichtigsten Massnahmen zusammengefasst.

1. Anpassung Ihrer Richtlinien, Weisungen, Arbeitsanweisungen, Checklisten

Datenschutzrichtlinien, Datenschutz-Folgenabschätzung, Projektmanagement, Datenmanagement, Prozessmanagement
Bereitstellung von Datenschutzerklärungen für Kund:innen, Mitarbeitende und Bewerber:innen, Anpassung der verschiedenen Nutzungsbedingungen
Anpassung der Kundenvereinbarungen und Formulare für Neukunden
Vermehrte Einbindung der Geschäftsführung in Datenschutzangelegenheiten

2. Schaffung einer klaren Governance: Aufgaben, Zuständigkeiten und Verantwortlichkeiten

Benennung eines Datenschutzberaters (grundsätzlich bei Privatunternehmen optional)
Festlegung klarer Aufgaben-, Zuständigkeits- und Verantwortungsbereiche für den Datenschutzberater
Regelung der Zusammenarbeit zwischen den wichtigsten Beteiligten, z.B. Datenschutzberater, Rechtsabteilung, IT

3. Einbindung der Datenschutzanforderungen in Ihre Prozesse

Erstellung eines Verzeichnisses der Bearbeitungstätigkeiten
Entwicklung von Regeln und einem Konzept für die Löschung (Datenaufbewahrungsrichtlinien)
Umsetzung der Löschfunktionalität in IT-Anwendungen
Umsetzung des Prozesses zur Datenschutz-Folgenabschätzung, der Checklisten und der ersten Überprüfung aller derzeit laufenden Projekte (Datenschutz durch Technikeinstellungen/ datenschutzfreundliche Standardeinstellungen)
Prüfung und Anpassung des Meldekonzepts für Datenschutzverletzungen gegenüber Kunden und Behörden
Einrichtung von Prozessen zur Durchsetzung der folgenden Rechte von betroffenen Personen: periodische Löschung, Entgegennahme von Datenschutzanfragen, Anträge auf Löschung, Anträge auf Auskunft, Widerspruch/Anträge auf Einschränkung der Verarbeitung
Umsetzung eines Konzepts für das Einwilligungsmanagement sowie das Einholen von Einwilligungen zur Verarbeitung personenbezogener Daten (falls erforderlich)

4. Aufklärung, Sensibilisierung, Schulungen und Informationen

Abgestimmte Schulungen (je nach Zielpublikum) und fortlaufende Informationen für Mitarbeitende
Einzelschulungen auf Managementebene
Fortlaufende Aktualisierung der Intranetseite des Datenschutzberaters
Sensibilisierung im Unternehmen/der ersten Verteidigungslinie, vor allem im Zusammenhang mit neuen Projekten und der Analyse grosser Datenmengen (Big Data Analytics, Erstellung von Persönlichkeitsprofilen)
Erstellung von Checklisten/Merkblättern/Richtlinien für datenschutzrechtlich sensible Bereiche (z.B. beim Austausch von personenbezogenen Daten mit Dritten oder dem grenzüberschreitenden Datenaustausch)

5. Auswahl und Überwachung von Drittanbietern und Datenauftragsverarbeitern

Aktuelles Verzeichnis aller externen Datenverarbeiter
Abschluss von Datenverarbeitungsvereinbarungen
Regelmässige Prüfung von externen Datenverarbeitern
Gewährleistung der Transparenz aller Unterauftragnehmer und Durchsetzung der Datenschutzstandards
Regelmässige Information der Datenschutzbehörde über die Ergebnisse der jährlichen Überprüfung der Datenverarbeiter
Anpassung von Geheimhaltungsvereinbarungen, Vertragsvorlagen

6. Einrichtung eines umfassenden Kontrollsystems (einschliesslich Berichterstattung, Prüfung, Messgrössen)

Regelmässige Berichterstattung des Datenschutzberaters an die Geschäftsführung
Einrichtung einer einheitlichen konzernweiten Berichtsstruktur sowie standardisierter KPIs/KRIs für alle Aspekte des Datenschutzes
Einführung eines standardisierten Prüfungsschemas und Abstimmung der Prüfungspläne mit verbundenen Funktionen (z.B. Interne Revision, Legal Compliance usw.)
Risikobasierte Prüfung von Projekten im Hinblick auf die Einhaltung der Datenschutzgesetze durch den Datenschutzberater
Zentrales Register für grössere Vorfälle (z.B. Datenschutzverletzungen)

Wie lange dauert der Umsetzungsprozess?

Bei der erfolgreichen Integration der datenschutzrechtlichen Compliance ist keine perfekte Punktlandung zu einem vorab festgelegten Zeitpunkt möglich. Die Umsetzung braucht Zeit, damit kontinuierliche Verbesserungen möglich sind.