Pflichten von Unternehmen nach dem DSG

Wer über Zweck und Mittel einer Datenbearbeitung entscheidet, ist nach dem DSG der Verantwortliche (Art. 5 Bst. j). Wer Daten nur in dessen Auftrag bearbeitet, etwa ein IT-Dienstleister, ist Auftragsbearbeiter (Art. 5 Bst. k). Wenn Sie diese Pflichten kennen, wissen Sie auch, was Sie von einem Unternehmen erwarten dürfen.

Datenschutz ab der Planung (Art. 7)

Unternehmen müssen ihre Systeme von Anfang an so gestalten, dass die Grundsätze von Art. 6 eingehalten werden («Privacy by Design»). Die Voreinstellungen müssen die Bearbeitung auf das Nötige beschränken («Privacy by Default») – ein Kundenprofil sollte also zum Beispiel nicht standardmässig öffentlich sein.

Informationspflicht (Art. 19)

Wer Personendaten beschafft, muss Sie angemessen informieren, mindestens über:

Identität und Kontaktdaten des Verantwortlichen,
den Bearbeitungszweck,
die Empfänger oder Kategorien von Empfängern,
bei Bekanntgabe ins Ausland den Staat und die Garantien.

Meist geschieht dies in einer Datenschutzerklärung. Stammen die Daten nicht von Ihnen, ist spätestens einen Monat nach Erhalt zu informieren.

Verzeichnis der Bearbeitungstätigkeiten (Art. 12)

Das Verzeichnis beschreibt unter anderem Zwecke, Datenkategorien, Empfänger und Aufbewahrungsdauer. Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, sofern sie weder umfangreich besonders schützenswerte Daten bearbeiten noch ein Profiling mit hohem Risiko durchführen (Art. 24 DSV).

Datensicherheit und Meldepflicht

Die Daten sind durch technische und organisatorische Massnahmen angemessen zu schützen (Art. 8). Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko sind dem EDÖB zu melden (Art. 24). Mehr dazu in Teil 4.

Datenschutz-Folgenabschätzung (Art. 22)

Kann eine geplante Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringen – etwa bei umfangreicher Bearbeitung von Gesundheitsdaten oder systematischer Überwachung öffentlicher Bereiche –, muss vorgängig eine Folgenabschätzung erstellt werden. Bleibt trotz Massnahmen ein hohes Risiko, ist der EDÖB zu konsultieren (Art. 23).

Auftragsbearbeiter (Art. 9)

Ein Unternehmen darf Daten an Dienstleister auslagern, wenn diese die Daten nur so bearbeiten, wie es das Unternehmen selbst dürfte, und die Datensicherheit gewährleisten. Weitere Unterauftragnehmer braucht es nur mit vorgängiger Genehmigung.

Weitere Punkte

Ein Datenschutzberater ist für Private freiwillig (Art. 10).
Bestimmte ausländische Unternehmen müssen eine Vertretung in der Schweiz bezeichnen (Art. 14).
Gesuche betroffener Personen sind fristgerecht zu beantworten (Art. 25–29).

Weitere Informationen finden Sie im Bereich Für Unternehmen und im Gesetzestext zu Art. 19 DSG.