Eine neue rechtliche Grundlage für Unternehmen in der Schweiz
Seit dem 1. September 2023 arbeiten Unternehmen, die in der Schweiz geschäftlich tätig sind, unter einem überarbeiteten rechtlichen Rahmen: dem Bundesgesetz über den Datenschutz, allgemein als DSG oder nDSG bezeichnet. Das Gesetz, das ursprünglich im September 2020 vom Schweizer Parlament verabschiedet wurde, bringt die Schweizer Datenschutzregeln inhaltlich näher an die EU-Datenschutz-Grundverordnung, behält aber gleichzeitig typisch schweizerische Besonderheiten bei, die Unternehmen nicht einfach aus ihren DSGVO-Compliance-Programmen übernehmen können.
Der Zeitpunkt ist wichtig. Viele Organisationen, darunter deutsche Unternehmen mit Schweizer Tochtergesellschaften, Niederlassungen oder Kundenstämmen, mussten ihre Datenverarbeitungspraktiken vor der September-Frist neu bewerten. Für Unternehmen, die annahmen, dass die DSGVO-Konformität automatisch ausreichend sei, führte das Schweizer Datenschutzgesetz eigene Verpflichtungen, Definitionen und Durchsetzungsmechanismen ein, die eine gesonderte Beachtung erforderten.
Was das Schweizer Datenschutzgesetz anders macht
Einer der folgenreichsten Aspekte des überarbeiteten DSG ist seine extraterritoriale Reichweite. Das Gesetz gilt für jede Verarbeitung personenbezogener Daten, die eine Wirkung in der Schweiz entfaltet, selbst wenn diese Verarbeitung im Ausland angestoßen wird. Das bedeutet, dass ein Unternehmen mit Hauptsitz außerhalb der Schweiz, einschließlich Deutschland oder anderen EU-Staaten, der Schweizer Gerichtsbarkeit unterliegen kann, nur weil es Daten von Personen in der Schweiz verarbeitet.
Diese extraterritoriale Reichweite spiegelt einen breiteren Trend in der globalen Datenschutzregulierung wider, bei dem der physische Standort eines Unternehmens weniger zählt als der Standort der Personen, deren Daten verarbeitet werden. Es ist ein Konzept, das eng mit dem zusammenhängt, was die VPN-Zuständigkeit für Datenschutztools bestimmt: Der rechtliche Rahmen, der eine Organisation regelt, wird dadurch geprägt, wo ihre Betroffenen, Nutzer oder Kunden leben, nicht nur wo ihre Server oder Büros stehen. Unternehmen, die sich bereits mit Zuständigkeitsfragen bei grenzüberschreitenden Datenströmen auseinandergesetzt haben, werden das Muster hier wiedererkennen.
Ein weiteres bemerkenswertes Merkmal ist die Strafstruktur. Nach dem überarbeiteten Gesetz können Personen, in der Regel verantwortliche Führungskräfte oder Mitarbeiter, die bestimmte Bestimmungen vorsätzlich verletzen, mit Geldstrafen von bis zu 250.000 CHF belegt werden. Das ist eine bedeutende Abkehr von einem Modell, das nur Unternehmensstrafen vorsah, und legt persönliche Verantwortung auf Entscheidungsträger innerhalb einer Organisation, anstatt Verstöße ausschließlich als Kosten des Geschäftsbetriebs zu behandeln.
Compliance-Druck trifft auf eine breitere Cybersicherheitsrealität
Die neuen rechtlichen Verpflichtungen kommen zu einem Zeitpunkt, an dem Schweizer Unternehmen bereits aus einer anderen Richtung mit realen Datensicherheitsdruck konfrontiert sind: Cyberkriminellen. Jüngste Vorfälle mit Schweizer Organisationen unterstreichen, warum regulatorische Compliance und operative Sicherheit zusammenwirken müssen. Eine Ransomware-Gruppe namens Booba Project übernahm die Verantwortung für einen Angriff auf Zynex, ein in der Schweiz ansässiges Unternehmen, und behauptete, Daten exfiltriert zu haben. Separately wurde der Schweizer Schienenfahrzeughersteller Stadler über eine Lieferantenplattform ins Visier genommen und weigerte sich öffentlich, ein mehrmillionenschweres Lösegeld von der Everest Group zu zahlen.
Diese Vorfälle sind eine Erinnerung daran, dass Datenschutzrecht und Cybersicherheitspraxis zwei Seiten derselben Medaille sind. Ein Unternehmen kann gut ausgearbeitete Datenschutzrichtlinien haben und dennoch einen Verstoß erleiden, wenn seine technischen Schutzmaßnahmen hinterherhinken. Nach dem Schweizer Datenschutzgesetz wird von Organisationen erwartet, dass sie angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umsetzen, was bedeutet, dass Verhinderung von Verstößen nicht nur gute Praxis ist, sondern Teil des Compliance-Bildes, das die Aufsichtsbehörden nach einem Vorfall prüfen werden.
Was das für Sie bedeutet
Wenn Sie ein Unternehmen führen oder für eines arbeiten, das personenbezogene Daten mit Bezug zur Schweiz verarbeitet, sei es über Kunden, Mitarbeiter oder Partner, gilt das überarbeitete DSG wahrscheinlich bereits für Sie, unabhängig davon, wo Ihr Hauptsitz liegt. Das ist besonders relevant für deutsche und andere EU-basierte Unternehmen, die annahmen, dass die DSGVO-Angleichung sie vollständig abdeckt; die Schweizer Anforderungen an Datenverarbeitungsverzeichnisse, grenzüberschreitende Übermittlungen und Meldung von Verstößen haben ihre eigenen Nuancen.
Für einzelne Verbraucher ist der praktische Vorteil ein rechtlicher Rahmen, der darauf ausgelegt ist, ihnen mehr Transparenz und Kontrolle darüber zu geben, wie ihre personenbezogenen Daten von Unternehmen genutzt werden, die in der Schweiz tätig sind oder mit ihr verbunden sind. Er wird nicht jeden Verstoß oder Ransomware-Versuch stoppen, aber er schafft klarere Verantwortlichkeit, wenn etwas schiefgeht.
Wichtige Erkenntnisse
Unternehmen mit jeglicher Schweizer Datenverbindung sollten prüfen, ob ihr bestehendes DSGVO-Compliance-Programm tatsächlich die spezifischen DSG-Anforderungen erfüllt, anstatt Äquivalenz anzunehmen. Rechts- und IT-Teams sollten eng zusammenarbeiten, da die extraterritoriale Reichweite des Gesetzes bedeutet, dass die Zuständigkeit allein ein Unternehmen nicht von seinen Pflichten befreit. Angesichts der persönlichen Geldstrafen für vorsätzliche Verstöße verdient die Verantwortlichkeit der Führungsebene für Datenverarbeitungsentscheidungen einen dokumentierten, prüfbaren Prozess. Und angesichts der anhaltenden Ransomware-Aktivitäten gegen Schweizer Unternehmen sollten technische Schutzmaßnahmen als Compliance-Anforderung behandelt werden, nicht nur als IT-Angelegenheit. Das Schweizer Datenschutzgesetz ist nun ein fester Bestandteil des Betriebsumfelds für jedes Unternehmen, das Schweizer personenbezogene Daten berührt, und sich im Voraus darauf einzustellen ist weitaus einfacher, als zu reagieren, nachdem eine Aufsichtsbehörde oder ein Angreifer das Thema erzwungen hat.
