Aktuelle Entwicklungen im Datenschutz

Datenschutz entwickelt sich laufend weiter. Dieser Teil beschränkt sich auf Entwicklungen, die bereits feststehen.

Das revidierte DSG ist Alltag

Das revidierte DSG gilt seit dem 1. September 2023 und hat das Datenschutzgesetz von 1992 abgelöst. Die wichtigsten Neuerungen:

• Geschützt sind nur noch natürliche Personen, nicht mehr Unternehmen.
• Die Informationspflicht gilt für jede Beschaffung von Personendaten (Art. 19).
• Neu sind unter anderem die Meldepflicht bei Datenschutzverletzungen (Art. 24), die Datenschutz-Folgenabschätzung (Art. 22) und das Recht auf Datenherausgabe (Art. 28).
• Der Bussenrahmen für vorsätzliche Verstösse beträgt bis zu CHF 250 000 (Art. 60–63).

Künstliche Intelligenz fällt unter das DSG

Der EDÖB hat klargestellt, dass das geltende DSG direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Anbieter und Nutzer von KI-Anwendungen müssen also bereits heute die Grundsätze, die Informationspflicht und die Regeln zu automatisierten Einzelentscheidungen (Art. 21) einhalten. Der Bundesrat hat zudem entschieden, die KI-Konvention des Europarats zu ratifizieren und das Schweizer Recht wo nötig anzupassen.

Die KI-Verordnung der EU betrifft auch Schweizer Unternehmen

Die KI-Verordnung der EU («AI Act») gilt nicht nur für Unternehmen in der EU. Sie erfasst auch Schweizer Anbieter, die KI-Systeme in der EU anbieten oder deren Ergebnisse in der EU verwendet werden. Ihre Pflichten werden schrittweise anwendbar.

Datentransfers in die USA

Der Bundesrat hat die USA für Unternehmen, die nach dem Swiss-US Data Privacy Framework zertifiziert sind, in die Liste der Staaten mit angemessenem Datenschutz aufgenommen (Anhang 1 DSV). Für nicht zertifizierte US-Unternehmen braucht es weiterhin Garantien wie Standarddatenschutzklauseln (Art. 16 Abs. 2).

Cybersicherheit und Datenschutz rücken zusammen

Betreiber kritischer Infrastrukturen müssen Cyberangriffe dem Bundesamt für Cybersicherheit (BACS) melden; dies regelt das Informationssicherheitsgesetz. Das DSG sieht zudem vor, dass der EDÖB eine Meldung über eine Datenschutzverletzung mit Einverständnis des Verantwortlichen an das BACS weiterleiten kann (Art. 24 Abs. 5bis).

Was das für Sie bedeutet

Ihre Rechte als betroffene Person bleiben unverändert: Auskunft, Herausgabe, Berichtigung und Widerspruch gelten auch gegenüber KI-Anbietern und Unternehmen mit Servern im Ausland. Neue Technologien ändern nichts daran, dass ein Unternehmen Ihnen erklären muss, was es mit Ihren Daten macht.

Zum Gesetzestext: Art. 16 DSG – Informationen für Betriebe: Für Unternehmen.