Was ist das INLB? - Neues Bundesgesetz über den Datenschutz (nFADP)

Loi fédérale sur la protection des données
Bundesgesetz über den Datenschutz
Legge federale sulla protezione dei dati

Was müssen Sie wissen?

• Eine Zustimmung zur Datenerhebung/-verarbeitung ist nicht unter allen Umständen erforderlich.
• Tritt am 1. September 2023 in Kraft.
• Gilt für natürliche Personen (nicht mehr für juristische Personen) sowie für kommerzielle und nichtkommerzielle Einrichtungen, die Daten von Schweizer Bürgern verarbeiten.
• Unternehmen sind für eine gesetzeskonforme Datenverarbeitung verantwortlich, auch wenn sie Dritte (z. B. Anbieter) damit beauftragen.
• Alle Auftragsverarbeiter müssen angemessene organisatorische und technische Maßnahmen ergreifen, um den Datenschutz und die Datensicherheit zu gewährleisten.
• Gilt sowohl für Daten in physischen als auch in elektronischen Akten.
• Extraterritoriales Recht: Unternehmen, die personenbezogene Daten verarbeiten, müssen nicht in der Schweiz ansässig sein.
• Verbietet die Übermittlung personenbezogener Daten aus der Schweiz in Länder, mit denen kein Angemessenheitsabkommen besteht, es sei denn, es liegt eine ausdrückliche Zustimmung der betroffenen Personen vor.

Richtlinien zur Benachrichtigung

Bevor eine Datenerfassung stattfindet, müssen Einzelpersonen benachrichtigt werden, unabhängig davon, ob ihre Zustimmung für die spätere Datenverarbeitung erforderlich ist.

Unternehmen müssen die folgenden Details transparent mitteilen, möglicherweise auf einer speziellen Webseite zum Datenschutz, die auch wesentliche Kriterien für die Einholung einer gültigen Zustimmung sind:

- Wer kontrolliert die Daten: das Unternehmen oder eine externe Partei.

- Wie kann man den Datenverantwortlichen kontaktieren.

- Wer erhält die Daten und alle anderen Parteien, die mit dem Datensatz interagieren.

- Das Land des Empfängers, wenn die Daten grenzüberschreitend gesendet werden.

- Die Gründe für die Erhebung und Verwendung der Daten.

- Relevante Datenkategorien, die gesammelt werden.

- Wie die Daten gesammelt werden, falls zutreffend.

- Die rechtliche Rechtfertigung für die Verarbeitung, falls zutreffend.

- Die Rechte, die Einzelpersonen im Rahmen des DSG in Bezug auf ihre Daten haben, einschließlich ihrer Möglichkeit, die Zustimmung zu verweigern oder zu widerrufen.

Richtlinien für die Zustimmung

Im Gegensatz zur DSGVO erlaubt das DSG den Unternehmen den Umgang mit personenbezogenen Daten ohne gesonderte Rechtsgrundlage, sofern nicht bestimmte Bedingungen erfüllt sind. Zu den Situationen, die eine Zustimmung erfordern, gehören:

- Verwaltung sensibler persönlicher Daten.

- Hochriskante Profiling-Aktivitäten, die von Privatpersonen durchgeführt werden.

- Profiling-Aufgaben, die von einer föderalen Institution (Regierung) durchgeführt werden.

- Weitergabe von Daten an externe Staaten, die keine ausreichenden Datenschutzmaßnahmen ergreifen.

Das DSG bietet zwar andere Rechtsgrundlagen für die Datenverarbeitung als die Einwilligung (z.B. ein gesetzliches Mandat oder ein überwiegendes öffentliches Interesse), doch sind diese im Vergleich zur DSGVO stärker eingeschränkt. Wenn eine Einwilligung als notwendig erachtet wird, muss sie entweder vor oder während der Datenerhebung eingeholt werden. Ähnlich wie die DSGVO schreibt das DSG vor, dass die Zustimmung des Nutzers detailliert, in Kenntnis der Sachlage und freiwillig erteilt werden muss. Um die Einhaltung der Vorschriften zu gewährleisten, ist eine Plattform zur Verwaltung von Einwilligungen unerlässlich. Diese kann bei der Erstellung konformer Benutzerbenachrichtigungen helfen - zum Beispiel durch die Erweiterung einer Seite mit Datenschutzrichtlinien - und bei der Erfassung und Archivierung konformer Einwilligungen. Mit Hilfe der Geolokalisierung ist es möglich, mehrere Konfigurationen einzurichten, die verschiedene Vorschriften wie GDPR und FADP erfüllen und an den Standort des Nutzers angepasst sind.

Rechte der Kunden

- Erkundigen Sie sich, ob Informationen über Sie verarbeitet werden oder wurden (Sie können nicht im Voraus auf dieses Recht verzichten) und bitten Sie darum, die über Sie gesammelten Daten einzusehen.

- Sie erhalten eine physische Kopie Ihrer Daten, entweder gedruckt oder als Fotokopie, ohne dass Ihnen Kosten entstehen.

- Korrekturen ihrer persönlichen Daten zu beantragen, wenn diese sich als fehlerhaft oder unvollständig erweisen (dieser Antrag kann aus Gründen wie Sicherheitsbedenken, zur Absicherung strafrechtlicher Ermittlungen oder zur Wahrung der Rechte wichtiger Dritter eingeschränkt, verweigert oder verschoben werden).

IHRE FADP-CHECKLISTE

• Erstellen oder aktualisieren Sie die Datenschutzrichtlinien für Ihre Website, die auf Ihr Unternehmen, Ihre Nutzer und die von Ihnen verarbeiteten Daten zugeschnitten sind.
• Informieren Sie die Benutzer immer über die Datenverarbeitung, auch wenn ihre Zustimmung nicht erforderlich ist.
• Nutzen Sie eine Einwilligungsplattform, um Ihre Datenschutzrichtlinien aktuell und benutzerfreundlich zu halten.
• Listen Sie die Länder auf, mit denen Sie Daten austauschen, und holen Sie die Zustimmung der Benutzer ein, bevor Sie Daten weitergeben, wenn diese Länder kein Datenabkommen haben.
• Sammeln und speichern Sie Benutzerberechtigungen sicher, insbesondere für sensible Daten.
• Aktualisieren Sie die Datenregeln Ihres Unternehmens und teilen Sie sie mit Ihrem Team.
• Führen Sie ein Protokoll über alle Datenaktivitäten.
• Verfügen Sie über ein System, mit dem Sie Datenanfragen von Nutzern, wie z.B. Zugriff oder Korrekturen, umgehend bearbeiten können.
• Stellen Sie sicher, dass die Benutzer ihre Daten leicht abrufen können, entweder auf Papier oder in einem gängigen digitalen Format.
• Führen Sie eine Bewertung durch, wenn Sie viele sensible Daten verarbeiten.
• Haben Sie einen Plan für Datenschutzverletzungen und benachrichtigen Sie die notwendigen Parteien, einschließlich Dritter, wenn eine Verletzung eintritt.
• Aktualisieren Sie Verträge mit Dritten, um die Datensicherheit zu gewährleisten. Denken Sie daran, dass Sie letztendlich die Verantwortung tragen.
• Speichern Sie Daten nur so lange wie nötig und löschen oder anonymisieren Sie sie danach.
• Weisen Sie einen Datenschutzbeauftragten zu, der die Richtlinien verwaltet und mit den Benutzern kommuniziert.
• Lassen Sie sich regelmäßig von Rechtsexperten über Ihre Pflichten im Rahmen des INLB beraten.

WICHTIGER HAFTUNGSAUSSCHLUSS: Die in diesem Dokument enthaltenen Informationen stellen keine Rechtsberatung dar und sind auch nicht als solche gedacht. Stattdessen dienen alle auf dieser Website verfügbaren Informationen, Inhalte und Materialien ausschließlich allgemeinen Informationszwecken. Die Leser dieses Dokuments sollten sich an ihren Anwalt wenden, um sich in einer bestimmten Rechtsangelegenheit beraten zu lassen. Kein Leser, Benutzer oder Browser dieser Website sollte auf der Grundlage der Informationen auf dieser Website handeln oder davon absehen, ohne zuvor einen Rechtsbeistand in der betreffenden Rechtsordnung zu konsultieren. Nur Ihr persönlicher Anwalt kann Ihnen versichern, dass die hier enthaltenen Informationen - und Ihre Interpretation dieser Informationen - auf Ihre spezielle Situation anwendbar oder angemessen sind.